CA2160223C - Procede de chargement d'une zone memoire protegee d'un dispositif de traitement de l'information, et dispositif associe - Google Patents
Procede de chargement d'une zone memoire protegee d'un dispositif de traitement de l'information, et dispositif associeInfo
- Publication number
- CA2160223C CA2160223C CA002160223A CA2160223A CA2160223C CA 2160223 C CA2160223 C CA 2160223C CA 002160223 A CA002160223 A CA 002160223A CA 2160223 A CA2160223 A CA 2160223A CA 2160223 C CA2160223 C CA 2160223C
- Authority
- CA
- Canada
- Prior art keywords
- module
- portable
- memory
- information processing
- rights
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Fee Related
Links
Classifications
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F12/00—Accessing, addressing or allocating within memory systems or architectures
- G06F12/16—Protection against loss of memory contents
-
- G—PHYSICS
- G07—CHECKING-DEVICES
- G07F—COIN-FREED OR LIKE APPARATUS
- G07F7/00—Mechanisms actuated by objects other than coins to free or to actuate vending, hiring, coin or paper currency dispensing or refunding apparatus
- G07F7/08—Mechanisms actuated by objects other than coins to free or to actuate vending, hiring, coin or paper currency dispensing or refunding apparatus by coded identity card or credit card or other personal identification means
- G07F7/10—Mechanisms actuated by objects other than coins to free or to actuate vending, hiring, coin or paper currency dispensing or refunding apparatus by coded identity card or credit card or other personal identification means together with a coded signal, e.g. in the form of personal identification information, like personal identification number [PIN] or biometric data
- G07F7/1008—Active credit-cards provided with means to personalise their use, e.g. with PIN-introduction/comparison system
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/70—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer
- G06F21/78—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer to assure secure storage of data
- G06F21/79—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer to assure secure storage of data in semiconductor storage media, e.g. directly-addressable memories
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
- G06Q20/00—Payment architectures, schemes or protocols
- G06Q20/22—Payment schemes or models
- G06Q20/229—Hierarchy of users of accounts
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
- G06Q20/00—Payment architectures, schemes or protocols
- G06Q20/30—Payment architectures, schemes or protocols characterised by the use of specific devices or networks
- G06Q20/34—Payment architectures, schemes or protocols characterised by the use of specific devices or networks using cards, e.g. integrated circuit [IC] cards or magnetic cards
- G06Q20/341—Active cards, i.e. cards including their own processing means, e.g. including an IC or chip
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
- G06Q20/00—Payment architectures, schemes or protocols
- G06Q20/30—Payment architectures, schemes or protocols characterised by the use of specific devices or networks
- G06Q20/34—Payment architectures, schemes or protocols characterised by the use of specific devices or networks using cards, e.g. integrated circuit [IC] cards or magnetic cards
- G06Q20/355—Personalisation of cards for use
- G06Q20/3552—Downloading or loading of personalisation data
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
- G06Q20/00—Payment architectures, schemes or protocols
- G06Q20/30—Payment architectures, schemes or protocols characterised by the use of specific devices or networks
- G06Q20/36—Payment architectures, schemes or protocols characterised by the use of specific devices or networks using electronic wallets or electronic money safes
- G06Q20/367—Payment architectures, schemes or protocols characterised by the use of specific devices or networks using electronic wallets or electronic money safes involving electronic purses or money safes
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
- G06Q20/00—Payment architectures, schemes or protocols
- G06Q20/30—Payment architectures, schemes or protocols characterised by the use of specific devices or networks
- G06Q20/36—Payment architectures, schemes or protocols characterised by the use of specific devices or networks using electronic wallets or electronic money safes
- G06Q20/367—Payment architectures, schemes or protocols characterised by the use of specific devices or networks using electronic wallets or electronic money safes involving electronic purses or money safes
- G06Q20/3674—Payment architectures, schemes or protocols characterised by the use of specific devices or networks using electronic wallets or electronic money safes involving electronic purses or money safes involving authentication
-
- G—PHYSICS
- G07—CHECKING-DEVICES
- G07F—COIN-FREED OR LIKE APPARATUS
- G07F7/00—Mechanisms actuated by objects other than coins to free or to actuate vending, hiring, coin or paper currency dispensing or refunding apparatus
- G07F7/08—Mechanisms actuated by objects other than coins to free or to actuate vending, hiring, coin or paper currency dispensing or refunding apparatus by coded identity card or credit card or other personal identification means
- G07F7/0806—Details of the card
- G07F7/0813—Specific details related to card security
- G07F7/0826—Embedded security module
Abstract
L'invention est relative à un procédé pour charger une zone mémoire protégée d'un dispositif de traitement de l'information, et au dispositif associé. Cette zone protégée (11) appartient à un module (8) du dispositif de traitement et est accessible en lecture et écriture à des moyens de traitement (9) internesau module mais inaccessible au moins en écriture depuis l'extérieur du module. Selon l'invention, on effectue un transfert d'informations confidentielles vers cette zone protégée (11), à partir d'une zone protégée analogue (27) d'un objet portatif (21) de structure semblable à celle du module, cet objet étant reçu dans un lecteur d'objet portatif (6) prévu dans le dispositif. Application au chargement de données et/ou programmes confidentiels dans tout dispositif de traitement de l'information.
Description
' ~
PROCEDE DE CHARGEMENT D'UNE ZONE MEMOIRE PROTEGEE D'UN
DISPOSITIF DE TRAITEMENT DE L'INFORMATION, ET DISPOSITIF ASSOCIE
5 L'invention est relative à un procédé de chargement d'un dispositif de traitement de l'information co",prenant des moyens de traitement de l'information, une mémoire, des moyens de coopération avec un premier objet portatif et un module co",prenant des moyens de traitement de l'information et une mémoire non volatile incluant une zone protégée accessible en lecture et écriture aux moyens10 de traitement mais inaccessible au moins en écriture depuis l'extérieur du module, le premier objet portatif comportant des moyens de traitement de l'information et une mémoire non volatile incluant une zone protégée accessible en lecture et écriture aux moyens de traitement mais inaccessible au moins en écriture depuis l'extérieur de l'objet portatif, la zone protégée du premier objet 15 portatif contenant des données eV ou des programmes.
Dans la procédure de chargement d'un tel dispositif de traitement de l'information, on s'intéresse particulièrement au chargement du module car celui-ci, de par sa structure, est tout désigné pour contenir des données ou 20 programmes confidentiels dans la zone protégée de sa mémoire.
Un dispositif de ce genre est connu, dans lequel le module est lui-même un objetportatif coopérant avec le dispositif par l'intermédiaire d'un lecteur d'objet portatif. Dans ce cas, le chargement du module s'effectue indépendamment du 25 dispositif, lors d'une phase initiale de personnalisation du module, effectuée chez un organisme habilité. Dans l'environnement sécurisé de cet organisme, le chargement du module ne pose pas de problème particulier.
En revanche, le chargement de la zone protégée du module alors que celui-ci 30 est déjà installé dans le dispositif de traitement est plus délicat, en particulier lorsque ce dispositif est lui-même déjà installé hors des locaux de l'organisme habilité, dans un environnement non sécurisé.
Un premier problème que vise à résoudre l'invention est de proposer un procédé
3s pour charger de façon sécuritaire la zone protégée du module, quel que soit le caractère amovible ou non de celui-ci, et quelle que soit la nature sécuritaire ou non de l'environnement dans lequel on effectue ce chargement au cours de la vie du dispositif de traitement.
L'invention concerne à cet effet un procédé tel que décrit au début de l'exposé et caractérisé en ce qu'il comprend les étapes consistant à faire coopérer le dispositif de traitement avec le premier objet portatif et à transférer dans la zone s protégée du module lesdites données et/ou programmes provenant de la zone protégée du premier objet portatif.
f Ainsi, selon l'invention, le chargement sécuritaire du module est obtenu en établissant un dialogue entre ce module et un objet portatif extérieur, possédant o la même structure sécuritaire que lui1 et en effectuant un transfert d'informations confidentielles entre leurs zones protégées respectives.
Un second aspect de l'invention concerne un procédé pour délivrer une prestation de service déterminée nécessitant l'intervention du premier objet 15 portatif et d'un second objet portatif comportant des moyens de traitement del'information et une mémoire non volatile incluant une zone protégée accessible en lecture et écriture aux moyens de traitement mais inaccessible au moins en écriture depuis l'extérieur de l'objet portatif, la zone protégée contenant des données eVou des programmes, les données eVou programmes contenues dans 20 la zone protégée des premier et second objet portatif définissant leurs droits et obligations respectifs vis-à-vis de ladite prestation de service.
Par exemple, les fonctions d'authentification des objets portatifs, de chiffrement des données, ou encore de certification ou de signature des informations, dans 25 les objets portatifs, nécessitent l'usage d'objets portatifs secondaires contenant des secrets corrélés aux secrets des objets portatifs principaux.
Ceci est notamment le cas des applications de paiement où il est possible d'envoyer un nombre aléatoire aux deux objets et de comparer le résultat d'un 30 calcul effectué dans chaque objet sur la base d'une clé protégée et d'un algorithme cryptographique approprié. Lorsque les deux résultats sont identiques on peut en déduire que l'objet portatif secondaire a authentifié l'objet portatif principal. Le processus peut s'effectuer dans chaque sens pour effectuer une authentification mutuelle.
Dans un tel cas, il est donc nécessaire de posséder deux objets portatifs électroniques et par voie de conséquence de machines ou d'appareils capables de réaliser l'interface entre les deux objets. Ces appareils doivent donc '~160223 comporter deux canaux de communication avec les deux objets et en particulier deux systèmes de connectique qui viennent accroître les coûts et les encombrements, et diminuer la fiabilité des équipements.
s Un problème complémentaire que vise à résoudre l'invention est donc d'éviter la présence simultanée de deux dispositifs de lecture des objets portatifs dans lesappareils.
Selon l'invention, on fait coopérer le dispositif de traitement avec le premier lO objet portatif pour transférer dans la zone protégée du module lesdites données eVou programmes provenant de la zone protégée du premier objet portatif; puis on fait coopérer le dispositif de traitement avec le second objet portatif et l'on procède à la délivrance dudit service en utilisant lesdites données eVou programmes transférés dans le module et ceux contenus dans le second objet portatif.
L'invention concerne aussi un dispositif de traitement de l'information con,cu pour mettre en oeuvre le procédé précité.
20 D'autres détails et avantages de l'invention apparaîtront au cours de la description suivante d'une forme de réalisation préférée mais non limitative en regard des dossiers annexés, sur lesquels:
- la figure 1 représente le schéma d'un dispositif de traitement de l'information 25 selon l'invention et deux objets portatifs destinés à coopérer successivement avec lui; et - la figure 2 définit l'ensemble des opérations relatives à une application particulière de l'invention.
Le dispositif de traitement de l'information 1 représenté sur la figure 1 comprend de façon connue en soi un microprocesseur 2 auquel sont reliées une mémoire ROM 3, une mémoire RAM 4, une interface de transmission 5 permettant au dispositif de communiquer avec un autre dispositif semblable, soit directement, 35 soit au travers d'un réseau de communication. Il comprend aussi un lecteur d'objet portatif 6 agencé pour recevoir un objet portatif du type carte à
microcircuits, par exemple tel que décrit dans les brevets fran,cais 2.461.301 et
PROCEDE DE CHARGEMENT D'UNE ZONE MEMOIRE PROTEGEE D'UN
DISPOSITIF DE TRAITEMENT DE L'INFORMATION, ET DISPOSITIF ASSOCIE
5 L'invention est relative à un procédé de chargement d'un dispositif de traitement de l'information co",prenant des moyens de traitement de l'information, une mémoire, des moyens de coopération avec un premier objet portatif et un module co",prenant des moyens de traitement de l'information et une mémoire non volatile incluant une zone protégée accessible en lecture et écriture aux moyens10 de traitement mais inaccessible au moins en écriture depuis l'extérieur du module, le premier objet portatif comportant des moyens de traitement de l'information et une mémoire non volatile incluant une zone protégée accessible en lecture et écriture aux moyens de traitement mais inaccessible au moins en écriture depuis l'extérieur de l'objet portatif, la zone protégée du premier objet 15 portatif contenant des données eV ou des programmes.
Dans la procédure de chargement d'un tel dispositif de traitement de l'information, on s'intéresse particulièrement au chargement du module car celui-ci, de par sa structure, est tout désigné pour contenir des données ou 20 programmes confidentiels dans la zone protégée de sa mémoire.
Un dispositif de ce genre est connu, dans lequel le module est lui-même un objetportatif coopérant avec le dispositif par l'intermédiaire d'un lecteur d'objet portatif. Dans ce cas, le chargement du module s'effectue indépendamment du 25 dispositif, lors d'une phase initiale de personnalisation du module, effectuée chez un organisme habilité. Dans l'environnement sécurisé de cet organisme, le chargement du module ne pose pas de problème particulier.
En revanche, le chargement de la zone protégée du module alors que celui-ci 30 est déjà installé dans le dispositif de traitement est plus délicat, en particulier lorsque ce dispositif est lui-même déjà installé hors des locaux de l'organisme habilité, dans un environnement non sécurisé.
Un premier problème que vise à résoudre l'invention est de proposer un procédé
3s pour charger de façon sécuritaire la zone protégée du module, quel que soit le caractère amovible ou non de celui-ci, et quelle que soit la nature sécuritaire ou non de l'environnement dans lequel on effectue ce chargement au cours de la vie du dispositif de traitement.
L'invention concerne à cet effet un procédé tel que décrit au début de l'exposé et caractérisé en ce qu'il comprend les étapes consistant à faire coopérer le dispositif de traitement avec le premier objet portatif et à transférer dans la zone s protégée du module lesdites données et/ou programmes provenant de la zone protégée du premier objet portatif.
f Ainsi, selon l'invention, le chargement sécuritaire du module est obtenu en établissant un dialogue entre ce module et un objet portatif extérieur, possédant o la même structure sécuritaire que lui1 et en effectuant un transfert d'informations confidentielles entre leurs zones protégées respectives.
Un second aspect de l'invention concerne un procédé pour délivrer une prestation de service déterminée nécessitant l'intervention du premier objet 15 portatif et d'un second objet portatif comportant des moyens de traitement del'information et une mémoire non volatile incluant une zone protégée accessible en lecture et écriture aux moyens de traitement mais inaccessible au moins en écriture depuis l'extérieur de l'objet portatif, la zone protégée contenant des données eVou des programmes, les données eVou programmes contenues dans 20 la zone protégée des premier et second objet portatif définissant leurs droits et obligations respectifs vis-à-vis de ladite prestation de service.
Par exemple, les fonctions d'authentification des objets portatifs, de chiffrement des données, ou encore de certification ou de signature des informations, dans 25 les objets portatifs, nécessitent l'usage d'objets portatifs secondaires contenant des secrets corrélés aux secrets des objets portatifs principaux.
Ceci est notamment le cas des applications de paiement où il est possible d'envoyer un nombre aléatoire aux deux objets et de comparer le résultat d'un 30 calcul effectué dans chaque objet sur la base d'une clé protégée et d'un algorithme cryptographique approprié. Lorsque les deux résultats sont identiques on peut en déduire que l'objet portatif secondaire a authentifié l'objet portatif principal. Le processus peut s'effectuer dans chaque sens pour effectuer une authentification mutuelle.
Dans un tel cas, il est donc nécessaire de posséder deux objets portatifs électroniques et par voie de conséquence de machines ou d'appareils capables de réaliser l'interface entre les deux objets. Ces appareils doivent donc '~160223 comporter deux canaux de communication avec les deux objets et en particulier deux systèmes de connectique qui viennent accroître les coûts et les encombrements, et diminuer la fiabilité des équipements.
s Un problème complémentaire que vise à résoudre l'invention est donc d'éviter la présence simultanée de deux dispositifs de lecture des objets portatifs dans lesappareils.
Selon l'invention, on fait coopérer le dispositif de traitement avec le premier lO objet portatif pour transférer dans la zone protégée du module lesdites données eVou programmes provenant de la zone protégée du premier objet portatif; puis on fait coopérer le dispositif de traitement avec le second objet portatif et l'on procède à la délivrance dudit service en utilisant lesdites données eVou programmes transférés dans le module et ceux contenus dans le second objet portatif.
L'invention concerne aussi un dispositif de traitement de l'information con,cu pour mettre en oeuvre le procédé précité.
20 D'autres détails et avantages de l'invention apparaîtront au cours de la description suivante d'une forme de réalisation préférée mais non limitative en regard des dossiers annexés, sur lesquels:
- la figure 1 représente le schéma d'un dispositif de traitement de l'information 25 selon l'invention et deux objets portatifs destinés à coopérer successivement avec lui; et - la figure 2 définit l'ensemble des opérations relatives à une application particulière de l'invention.
Le dispositif de traitement de l'information 1 représenté sur la figure 1 comprend de façon connue en soi un microprocesseur 2 auquel sont reliées une mémoire ROM 3, une mémoire RAM 4, une interface de transmission 5 permettant au dispositif de communiquer avec un autre dispositif semblable, soit directement, 35 soit au travers d'un réseau de communication. Il comprend aussi un lecteur d'objet portatif 6 agencé pour recevoir un objet portatif du type carte à
microcircuits, par exemple tel que décrit dans les brevets fran,cais 2.461.301 et
2.401.459 au nom de la Demànderesse. Ce lecteur est relié au microprocesseur par une ligne de transmission 7.
Le dispositif 1 peut en outre être équipé de moyens de stockage tels que des 5 disquettes ou disques amovibles ou non, de moyens de saisie (tels qu'un clavier eVou un dispositif de pointage du type souris) et de moyens d'affichage, ces différents moyens n'étant pas représentés sur la figure 1.
Par ailleurs, le dispositif 1 comprend un module électrique 8, appelé par la suite o module de transfert, qui inclut des moyens de traitement de l'information 9 et une mémoire non volatile associée 10. Ce module est agencé pour définir, dans la mémoire 10, une zone secrète 11 dans laquelle des informations une fois enregistrées, sont inaccessibles depuis l'extérieur du module mais seulement accessibles aux moyens de traitement 9, et une zone libre 12 qui est accessible 15 depuis l'extérieur du module pour une lecture eVou une écriture d'informations.
Chaque zone de mémoire peut comprendre une partie non effac,able ROM et une partie effaçable EPROM, EEPROM, ou constituée de mémoire RAM du type "flash", c'est-à-dire présentant les caractéristiques d'une mémoire EEPROM
avec en outre des temps d'accès identiques à ceux d'une RAM classique. Une 20 mémoire volatile RAM non représentée est par ailleurs prévue.
En tant que module 8, on pourra notamment utiliser un microprocesseur à
mémoire non volatile autoprogrammable, tel que décrit dans le brevet franc,ais n 2.461.301 au nom de la Demanderesse. Comme indiqué en page 1, ligne 5 à
25 17 de ce brevet, le caractère autoprogrammable de la mémoire correspond à la possibilité pour un programme f1 situé dans cette mémoire, de modifier un autre programme fJ situé également dans cette mémoire en un programme gj. Bien que les moyens à mettre en oeuvre pour réaliser cette autoprogrammation puissent varier selon la technique utilisée pour concevoir les moyens de traitement de 30 I'information 9, on rappelle que, dans le cas où ces moyens de traitement sont constitués par un microprocesseur associé à une mémoire non volatile et selon le brevet précité, ces moyens peuvent inclure:
- des mémoires tampon de données et d'adresses, associées à la mémoire, - un programme d'écriture dans la mémoire, chargé dans celle-ci et contenant notamment les instructions permettant le maintien d'une part de la tension de programmation de la mémoire, et d'autre part des données à écrire et de leurs 21~0223 adresses, pendant un temps sùffisant, ce programme d'écriture pouvant toutefois être remplacé par un automate d'écriture à circuits logiques.
Dans une variante, le microprocesseur du module 8 est remplacé par des circuits s logiques implantés dans une puce à semi-conducteurs. En effet, de tels circuits sont aptes à effectuer des calculs, notamment d'authentification et de signature, grâce à de l'électronique câblée, et non microprogrammée. A titre d'exemple, on peut citer le composant de la société SIEMENS commercialisé sous la référence SLE 4436 et celui de la société SGS-THOMSON commercialisé sous la 10 référence ST 1335.
De préférence, le module sera conçu sous forme monolithique sur une seule puce. Il est relié au microprocesseur 2 par une ligne de transmission 13 qui rejoint directement celui-ci, ou par une ligne de transmission 13' qui rejoint la 15 ligne de transmission 7 du lecteur objet portatif 6, comme représenté en pointillés sur la figure 1.
Sur le plan matériel, le module 8 pourra être associé de différentes façons au dispositif de traitement de l'information 1. Il pourra tout d'abord être conçu 20 comme totalement intégré au dispositif, par exemple disposé sur une platine interne de celui-ci supportant un ensemble de composants électroniques, voire sur une même puce que lui. ll pourra aussi être conçu comme un élément rapporté et amovible. Il sera par exemple porté, de façon amovible ou non, par une carte à mémoire de masse équipée d'un connecteur selon la norme PCMCIA
25 (Personal Computer Memory Card International Association) enfichée dans un connecteur correspondant du dispositif de traitement de l'information 1, connecteur qui se situera par exemple entre le microprocesseur 2 et le point de jonction entre les lignes de transmission 7, 13' (pointillés portant la référence 14).
Le dispositif de traitement 1 est destiné à coopérer avec deux objets portatifs 21,22 tels que définis ci-dessus en relation avec le lecteur d'objet portatif 6.Chacun d'eux est équipé d'un module électronique qui a la même structure que le module 8 associé au dispositif de traitement 1 et possède donc des moyens
Le dispositif 1 peut en outre être équipé de moyens de stockage tels que des 5 disquettes ou disques amovibles ou non, de moyens de saisie (tels qu'un clavier eVou un dispositif de pointage du type souris) et de moyens d'affichage, ces différents moyens n'étant pas représentés sur la figure 1.
Par ailleurs, le dispositif 1 comprend un module électrique 8, appelé par la suite o module de transfert, qui inclut des moyens de traitement de l'information 9 et une mémoire non volatile associée 10. Ce module est agencé pour définir, dans la mémoire 10, une zone secrète 11 dans laquelle des informations une fois enregistrées, sont inaccessibles depuis l'extérieur du module mais seulement accessibles aux moyens de traitement 9, et une zone libre 12 qui est accessible 15 depuis l'extérieur du module pour une lecture eVou une écriture d'informations.
Chaque zone de mémoire peut comprendre une partie non effac,able ROM et une partie effaçable EPROM, EEPROM, ou constituée de mémoire RAM du type "flash", c'est-à-dire présentant les caractéristiques d'une mémoire EEPROM
avec en outre des temps d'accès identiques à ceux d'une RAM classique. Une 20 mémoire volatile RAM non représentée est par ailleurs prévue.
En tant que module 8, on pourra notamment utiliser un microprocesseur à
mémoire non volatile autoprogrammable, tel que décrit dans le brevet franc,ais n 2.461.301 au nom de la Demanderesse. Comme indiqué en page 1, ligne 5 à
25 17 de ce brevet, le caractère autoprogrammable de la mémoire correspond à la possibilité pour un programme f1 situé dans cette mémoire, de modifier un autre programme fJ situé également dans cette mémoire en un programme gj. Bien que les moyens à mettre en oeuvre pour réaliser cette autoprogrammation puissent varier selon la technique utilisée pour concevoir les moyens de traitement de 30 I'information 9, on rappelle que, dans le cas où ces moyens de traitement sont constitués par un microprocesseur associé à une mémoire non volatile et selon le brevet précité, ces moyens peuvent inclure:
- des mémoires tampon de données et d'adresses, associées à la mémoire, - un programme d'écriture dans la mémoire, chargé dans celle-ci et contenant notamment les instructions permettant le maintien d'une part de la tension de programmation de la mémoire, et d'autre part des données à écrire et de leurs 21~0223 adresses, pendant un temps sùffisant, ce programme d'écriture pouvant toutefois être remplacé par un automate d'écriture à circuits logiques.
Dans une variante, le microprocesseur du module 8 est remplacé par des circuits s logiques implantés dans une puce à semi-conducteurs. En effet, de tels circuits sont aptes à effectuer des calculs, notamment d'authentification et de signature, grâce à de l'électronique câblée, et non microprogrammée. A titre d'exemple, on peut citer le composant de la société SIEMENS commercialisé sous la référence SLE 4436 et celui de la société SGS-THOMSON commercialisé sous la 10 référence ST 1335.
De préférence, le module sera conçu sous forme monolithique sur une seule puce. Il est relié au microprocesseur 2 par une ligne de transmission 13 qui rejoint directement celui-ci, ou par une ligne de transmission 13' qui rejoint la 15 ligne de transmission 7 du lecteur objet portatif 6, comme représenté en pointillés sur la figure 1.
Sur le plan matériel, le module 8 pourra être associé de différentes façons au dispositif de traitement de l'information 1. Il pourra tout d'abord être conçu 20 comme totalement intégré au dispositif, par exemple disposé sur une platine interne de celui-ci supportant un ensemble de composants électroniques, voire sur une même puce que lui. ll pourra aussi être conçu comme un élément rapporté et amovible. Il sera par exemple porté, de façon amovible ou non, par une carte à mémoire de masse équipée d'un connecteur selon la norme PCMCIA
25 (Personal Computer Memory Card International Association) enfichée dans un connecteur correspondant du dispositif de traitement de l'information 1, connecteur qui se situera par exemple entre le microprocesseur 2 et le point de jonction entre les lignes de transmission 7, 13' (pointillés portant la référence 14).
Le dispositif de traitement 1 est destiné à coopérer avec deux objets portatifs 21,22 tels que définis ci-dessus en relation avec le lecteur d'objet portatif 6.Chacun d'eux est équipé d'un module électronique qui a la même structure que le module 8 associé au dispositif de traitement 1 et possède donc des moyens
3~ de traitement de l'information 23,24, une mémoire non volatile 25,26 comportant une zone protégée 27,28 et une zone libre 29,30, et des moyens d'autoprogrammation .
~1~û223 En variante, la zone secrète`du module de transfert 8 eVou des deux objets portatifs est complétée ou remplacée par une zone dont le niveau de sécurité estinférieur à celui de la zone secrète. Plus précisément, cette zone est non seulement accessible aux moyens de traitement du module de transfert ou des s objets portatifs pour une lecture eVou une écriture d'informations, mais aussiaccessible en lecture -et pas en écriture- depuis l'extérieur du module ou des objets. Dans le présent exposé, on désigne par "zone protégée" soit une zone secrète inaccessible de l'extérieur, soit une zone seulement accessible en Iecture de l'extérieur. Dans une zone accessible en lecture de l'extérieur peuvent o notamment être stockés une clé publique d'un algorithme à clé publique, ou des données ou programmes divers. Dans une zone secrète sont notamment stockées des clés secrètes.
Le procédé, selon l'invention, suppose tout d'abord une phase de 15 personnalisation du module de transfert 8 du dispositif de traitement 1, et des deux objets portatifs 21,22 effectuée par l'organisme habilité. A titre d'exemple, la procédure suivante peut être mise en oeuvre. Dans la zone protégée respective 11,27 du module de transfert 8 et du premier objet portatif 21, on dispose une même clé protégée S qui permettra notamment à l'objet portatif 20 d'authentifier le module de transfert. Par ailleurs, on dispose dans la zone protégée 27 du premier objet portatif une clé protégée mère K et, dans la zone protégée 28 du second objet portatif, une clé protégée Kd diversifiée à partir de la clé K, ces deux clés permettant notamment au premier objet portatif d'authentifier le second. Par exemple, la clé diversifiée Kd est obtenue en 25 effectuant un calcul au moyen d'un algorithme cryptographique déterminé, prenant en compte la clé mère K et un paramètre de diversification caractéristique du second objet portatif.
Selon les besoins, la clé protégée S précitée pourrait aussi faire l'objet d'uneprocédure de diversification.
Dans les zones protégées 27,28 des deux objets portatifs, se trouvent encore respectivement deux programmes P1 et P2 liés à l'application considérée et définissant notamment des règles d'attribution de telle ou telle prestation de service.
L'invention trouve son application dans la mise en oeuvre d'une procédure liée au service considéré, qui exige la présence simultanée des deux objets portatifs 21,22. A cet effet, au moins certains droits inscrits sur l'objet portatif 21 vont être recopiés dans le module de transfert 8.
Dans une première étape, I'objet portatif 21 est inséré dans le lecteur d'objet pG,lalif 6, et il met en oeuvre avec le module de transfert 8 une procédure 5 mutuelle d'authentification de fa,con à vérifier que ceux-ci sont effectivement habilités à intervenir dans la délivrance du service considéré. Par exemple, I'objet portatif génère un nombre aléatoire E et l'envoie au module de transfert, lequel effectue un calcul basé sur sa clé protégée S et ce nombre aléatoire E, .et il envoie un résultat de calcul R à l'objet de portatif 21. Celui-ci effectue le même 10 calcul de son côté, basé sur sa clé protégée S et le même nombre aléatoire E
pour produire un résultat R', et compare les deux résultats R,R: en cas d'identité, I'objet portatif considère que le module de transfert est authentique.
Une procédure de ce genre est notamment décrite dans le brevet français 2.601.795 au nom de la Demanderesse.
La procédure décrite ci-dessus concerne l'authentification du module de transfert 8 par l'objet portatif 21. En sens inverse, le module de transfert 8 pourra authentifier l'objet portatif 21 selon une procédure analogue, la comparaison des résultats R,R' ayant lieu, cette fois-ci dans le module de transfert.
L'authentification mutuelle etant confirmée, le module de transfert 8 et l'objetportatif 21 peuvent échanger des informations, soit en clair, soit sous forme chiffrée en utilisant une clé de chiffrement Sc: dans ce deuxième cas, la clé dechiffrement peut être calculée par le module de transfert et l'objet portatif, de 25 façon connue en soi, à partir d'un algorithme F contenu dans la zone de mémoire protégée 11,27 de ceux-ci, de la clé protégée commune S, et d'un nombre aléatoire Ec généré par le module ou l'objet et transmis à l'autre de cesdeux dispositifs. Le chiffrement de l'information par l'un des dispositifs utilise la clé de chiffrement Sc et un algorithme de chiffrement G, I'autre dispositif 30 déchiffrant l'information reçue au moyen des mêmes paramètres ou d'une clé et d'un algorithme de chiffrement corrélés à ceux-ci.
De façon connue en soi, la procédure peut exiger du porteur de l'objet portatif 21 qu'il s'authentifie en présentant à cet objet un code confidentiel par le biais d'un 35 clavier du dispositif de traitement 1, code qui est comparé avec un code de référence contenu dans la zone de mémoire protégée 27 de l'objet.
- Une seconde étape du procédé selon l'invention consiste à transférer, de l'objet portatif 21 dans le module de transfert 8, tous les paramètres nécessaires à la délivrance du service considéré. En particulier, la clé protégée K et le progran""e P1 sont transférés dans la zone de mémoire protégée 11 du module 5 de transfert 8 et permettront à celui-ci d'effectuer, avec le second objet portatif 22, toute opération nécessitant l'usage de cette clé et de ce programme.
Il peut s'avérer nécessaire de limiter la période pendant laquelle le module de transfert 8 exercera les droits qui lui auront été transmis par le premier objetlO portatif 21. A cet effet, le module de transfert 8 incorporera, dans sa zone protégée 11, un programme agencé pour bloquer son fonctionnement lorsqu'une limite prédéterminée, transmise par le premier objet portatif 21, aura été atteinte.
Il peut s'agir notamment d'un temps de fonctionnement s'écoulant à partir du moment où le transfert des droits est intervenu, ou d'un nombre de transactions,15 la définition d'une transaction étant prédéterminée par le système et pouvantcorrespondre à une unité de prestation de service déterminée ou à une session, période s'écoulant entre le moment où le deuxième objet portatif 22 est introduit dans le dispositif de traitement 1 et celui où il en est retiré. Au terme de la période d'utilisation autorisée, le module de transfert se bloquera et ne pourra20 être remis en service que grâce à l'introduction, dans le lecteur 6, d'un objet portatif apte à le déverrouiller, tel que le premier objet portatif 21.
La figure 2 illustre une application possible de l'invention dans laquelle un message M, élaboré sur les moyens de saisie du dispositif de traitement 1, doit 25 être signé par le premier objet portatif 21, le message M et sa signature SG
devant être introduits dans le second objet portatif 22.
Dans une première étape 31, le premier objet portatif 21 est introduit dans le 30 lecteur d'objet portatif 6 du dispositif de traitement 1. A l'étape suivante 32, le premier objet portatif 21 authentifie le module de transfert 8 de la manière précédemment décrite. En cas d'authentification confirmée, le premier objet portatif 21 charge sa clé protégée K et son programme P1 dans la zone protégée 11 du module de transfert 8 (étape 33). Ensuite, le premier objet portatif 21 est 35 retiré du dispositif de traitement 1 (étape 34) et le second objet portatif 22 est introduit à sa place (étape 35).
l~ ` 2160223 L'authentification du second objet portatif 22 par le module de transfert met enjeu la clé K reçue par ce dernier et la clé Kd de l'objet portatif. Elle s'effectue de la façon indiquée précédemment. A cet effet, le module de transfert devra, à
réception d'un paramètre de diversification en provenance de l'objet portatif, 5 recalculer la clé diversifiée Kd de ce dernier à partir de sa clé mère K. Alors, sauf si le message M est déjà présent en mémoire du dispositif de traitement 1 r OU en mémoire du premier objet portatif 21, ce message est introduit dans le dispositif de traitement par le porteur du premier objet portatif 21, par exemple par les moyens de saisie de ce dispositif (étape 37). La mise en forme du message M peut faire intervenir les programmes P1 et P2.
A l'étape suivante 38, le module de transfert 8 calcule la signature SG du message M, signature qui lie de façon indissociable le contenu du message avec l'identité de l'émetteur de celui-ci, c'est-à-dire en l'espèce la clé protégée K du lS premier objet portatif 21. En pratique, le module de transfert incorpore dans sa zone de mémoire protégée 11 un algorithme de calcul de signature H qui s'y trouve à demeure ou qui a été transféré par le premier objet portatif 21.
L'algorithme H, prenant en compte le message M -de préférence une forme contractée de celui-ci- et la clé protégée K du premier objet portatif 21, produit 20 un résultat de calcul constituant ladite signature SG.
A l'étape 39, le message M et sa signature SG sont transférés dans la mémoire 26 du second objet portatif 22. Ce dernier est ensuite retiré du dispositif de traitement 1 (étape 40).
En conclusion, il apparaît donc que le procédé selon l'invention a permis de faire coopérer les deux objets portatifs 21,22 avec le dispositif de traitement 1 dansune procédure commune, et ce en n'utilisant que la seule ligne de transmission 7reliant le lecteur d'objet portatif 6 au microprocesseur 2 du dispositif de 30 traitement.
On notera que les algorithmes précités d'élaboration d'une clé diversifiée Kd oud'une clé de chiffrement Sc, de chiffrement d'une information, et de calcul de signature pourront être constitués par le même algorithme.
Bien que des algorithmes symétriques à clé protégée aient été présentés ci-dessus, on pourra naturellement mettre à profit des algorithmes dissymétriques àclé publique, de façon qu'au moins l'un des objets portatifs ou le module de ~ ` ~160223 transfert incorpore, au lieu d'ùne clé secrète, une clé publique. Par exemple, I'organisme dispose initialement dans le second objet portatif 22 une signature élaborée grâce à l'algorithme, en fonction d'une donnée d'identification de cet objet et d'une clé secrète, I'authentification de cet objet par le module de 5 transfert 8 faisant intervenir une clé publique correspondante pour vérifier cette signature, cette clé publique étant initialement dans la mémoire du premier objet portatif 21.
On peut citer, parmi différentes applications de l'invention, celle du domaine de 10 la santé, dans laquelle la clé protégée K définit les droits d'un médecin et la clé
protégée Kd ceux d'un patient, le procédé selon l'invention permettant au médecin d'introduire dans l'objet portatif 22 du patient un message constitué par une ordonnance de soins à laquelle est associée la signature du médecin, signature vérifiable par tout organisme possédant les clés publiques corrélées aux clés secrètes K, Kd.
Dans le cas où le dialogue avec le second objet portatif 22 nécessiterait l'intervention simultanée des droits de plusieurs premiers objets portatifs 21, on chargerait successivement, dans le module de transfert 8, les droits nécessaires20 de ces différents premiers objets 21, en introduisant tour à tour ces objets portatifs dans le lecteur 6. Ensuite, le dialogue entre le module de transfert 8 et le second objet portatif 22 serait établi.
L'invention s'appliquera aussi au cas où le premier objet portatif 21 communique25 avec le dispositif de traitement 1, non pas localement au moyen du lecteur d'objet portatif 6, mais à distance par l'intermédiaire d'une ligne téléinformatique ou téléphonique reliée à l'interface de transmission. Le procédé selon l'invention permet de libérer cette ligne une fois le transfert d'informations effectué entre le premier objet portatif et le dispositif de traitement, pour l'affecter à d'autres 30 tâches pendant que les deux objets portatifs 21,22 dialogueront entre eux.
Par ailleurs, I'invention s'applique, non seulement dans le cas d'un dialogue entre les objets portatifs alors que le dispositif de traitement 1 est hors ligne, mais aussi au cas où ce dernier est en ligne en vue d'un dialogue avec un 35 dispositif éloigné délivrant la prestation de service recherchée ou intervenant dans celle-ci.
~1~û223 En variante, la zone secrète`du module de transfert 8 eVou des deux objets portatifs est complétée ou remplacée par une zone dont le niveau de sécurité estinférieur à celui de la zone secrète. Plus précisément, cette zone est non seulement accessible aux moyens de traitement du module de transfert ou des s objets portatifs pour une lecture eVou une écriture d'informations, mais aussiaccessible en lecture -et pas en écriture- depuis l'extérieur du module ou des objets. Dans le présent exposé, on désigne par "zone protégée" soit une zone secrète inaccessible de l'extérieur, soit une zone seulement accessible en Iecture de l'extérieur. Dans une zone accessible en lecture de l'extérieur peuvent o notamment être stockés une clé publique d'un algorithme à clé publique, ou des données ou programmes divers. Dans une zone secrète sont notamment stockées des clés secrètes.
Le procédé, selon l'invention, suppose tout d'abord une phase de 15 personnalisation du module de transfert 8 du dispositif de traitement 1, et des deux objets portatifs 21,22 effectuée par l'organisme habilité. A titre d'exemple, la procédure suivante peut être mise en oeuvre. Dans la zone protégée respective 11,27 du module de transfert 8 et du premier objet portatif 21, on dispose une même clé protégée S qui permettra notamment à l'objet portatif 20 d'authentifier le module de transfert. Par ailleurs, on dispose dans la zone protégée 27 du premier objet portatif une clé protégée mère K et, dans la zone protégée 28 du second objet portatif, une clé protégée Kd diversifiée à partir de la clé K, ces deux clés permettant notamment au premier objet portatif d'authentifier le second. Par exemple, la clé diversifiée Kd est obtenue en 25 effectuant un calcul au moyen d'un algorithme cryptographique déterminé, prenant en compte la clé mère K et un paramètre de diversification caractéristique du second objet portatif.
Selon les besoins, la clé protégée S précitée pourrait aussi faire l'objet d'uneprocédure de diversification.
Dans les zones protégées 27,28 des deux objets portatifs, se trouvent encore respectivement deux programmes P1 et P2 liés à l'application considérée et définissant notamment des règles d'attribution de telle ou telle prestation de service.
L'invention trouve son application dans la mise en oeuvre d'une procédure liée au service considéré, qui exige la présence simultanée des deux objets portatifs 21,22. A cet effet, au moins certains droits inscrits sur l'objet portatif 21 vont être recopiés dans le module de transfert 8.
Dans une première étape, I'objet portatif 21 est inséré dans le lecteur d'objet pG,lalif 6, et il met en oeuvre avec le module de transfert 8 une procédure 5 mutuelle d'authentification de fa,con à vérifier que ceux-ci sont effectivement habilités à intervenir dans la délivrance du service considéré. Par exemple, I'objet portatif génère un nombre aléatoire E et l'envoie au module de transfert, lequel effectue un calcul basé sur sa clé protégée S et ce nombre aléatoire E, .et il envoie un résultat de calcul R à l'objet de portatif 21. Celui-ci effectue le même 10 calcul de son côté, basé sur sa clé protégée S et le même nombre aléatoire E
pour produire un résultat R', et compare les deux résultats R,R: en cas d'identité, I'objet portatif considère que le module de transfert est authentique.
Une procédure de ce genre est notamment décrite dans le brevet français 2.601.795 au nom de la Demanderesse.
La procédure décrite ci-dessus concerne l'authentification du module de transfert 8 par l'objet portatif 21. En sens inverse, le module de transfert 8 pourra authentifier l'objet portatif 21 selon une procédure analogue, la comparaison des résultats R,R' ayant lieu, cette fois-ci dans le module de transfert.
L'authentification mutuelle etant confirmée, le module de transfert 8 et l'objetportatif 21 peuvent échanger des informations, soit en clair, soit sous forme chiffrée en utilisant une clé de chiffrement Sc: dans ce deuxième cas, la clé dechiffrement peut être calculée par le module de transfert et l'objet portatif, de 25 façon connue en soi, à partir d'un algorithme F contenu dans la zone de mémoire protégée 11,27 de ceux-ci, de la clé protégée commune S, et d'un nombre aléatoire Ec généré par le module ou l'objet et transmis à l'autre de cesdeux dispositifs. Le chiffrement de l'information par l'un des dispositifs utilise la clé de chiffrement Sc et un algorithme de chiffrement G, I'autre dispositif 30 déchiffrant l'information reçue au moyen des mêmes paramètres ou d'une clé et d'un algorithme de chiffrement corrélés à ceux-ci.
De façon connue en soi, la procédure peut exiger du porteur de l'objet portatif 21 qu'il s'authentifie en présentant à cet objet un code confidentiel par le biais d'un 35 clavier du dispositif de traitement 1, code qui est comparé avec un code de référence contenu dans la zone de mémoire protégée 27 de l'objet.
- Une seconde étape du procédé selon l'invention consiste à transférer, de l'objet portatif 21 dans le module de transfert 8, tous les paramètres nécessaires à la délivrance du service considéré. En particulier, la clé protégée K et le progran""e P1 sont transférés dans la zone de mémoire protégée 11 du module 5 de transfert 8 et permettront à celui-ci d'effectuer, avec le second objet portatif 22, toute opération nécessitant l'usage de cette clé et de ce programme.
Il peut s'avérer nécessaire de limiter la période pendant laquelle le module de transfert 8 exercera les droits qui lui auront été transmis par le premier objetlO portatif 21. A cet effet, le module de transfert 8 incorporera, dans sa zone protégée 11, un programme agencé pour bloquer son fonctionnement lorsqu'une limite prédéterminée, transmise par le premier objet portatif 21, aura été atteinte.
Il peut s'agir notamment d'un temps de fonctionnement s'écoulant à partir du moment où le transfert des droits est intervenu, ou d'un nombre de transactions,15 la définition d'une transaction étant prédéterminée par le système et pouvantcorrespondre à une unité de prestation de service déterminée ou à une session, période s'écoulant entre le moment où le deuxième objet portatif 22 est introduit dans le dispositif de traitement 1 et celui où il en est retiré. Au terme de la période d'utilisation autorisée, le module de transfert se bloquera et ne pourra20 être remis en service que grâce à l'introduction, dans le lecteur 6, d'un objet portatif apte à le déverrouiller, tel que le premier objet portatif 21.
La figure 2 illustre une application possible de l'invention dans laquelle un message M, élaboré sur les moyens de saisie du dispositif de traitement 1, doit 25 être signé par le premier objet portatif 21, le message M et sa signature SG
devant être introduits dans le second objet portatif 22.
Dans une première étape 31, le premier objet portatif 21 est introduit dans le 30 lecteur d'objet portatif 6 du dispositif de traitement 1. A l'étape suivante 32, le premier objet portatif 21 authentifie le module de transfert 8 de la manière précédemment décrite. En cas d'authentification confirmée, le premier objet portatif 21 charge sa clé protégée K et son programme P1 dans la zone protégée 11 du module de transfert 8 (étape 33). Ensuite, le premier objet portatif 21 est 35 retiré du dispositif de traitement 1 (étape 34) et le second objet portatif 22 est introduit à sa place (étape 35).
l~ ` 2160223 L'authentification du second objet portatif 22 par le module de transfert met enjeu la clé K reçue par ce dernier et la clé Kd de l'objet portatif. Elle s'effectue de la façon indiquée précédemment. A cet effet, le module de transfert devra, à
réception d'un paramètre de diversification en provenance de l'objet portatif, 5 recalculer la clé diversifiée Kd de ce dernier à partir de sa clé mère K. Alors, sauf si le message M est déjà présent en mémoire du dispositif de traitement 1 r OU en mémoire du premier objet portatif 21, ce message est introduit dans le dispositif de traitement par le porteur du premier objet portatif 21, par exemple par les moyens de saisie de ce dispositif (étape 37). La mise en forme du message M peut faire intervenir les programmes P1 et P2.
A l'étape suivante 38, le module de transfert 8 calcule la signature SG du message M, signature qui lie de façon indissociable le contenu du message avec l'identité de l'émetteur de celui-ci, c'est-à-dire en l'espèce la clé protégée K du lS premier objet portatif 21. En pratique, le module de transfert incorpore dans sa zone de mémoire protégée 11 un algorithme de calcul de signature H qui s'y trouve à demeure ou qui a été transféré par le premier objet portatif 21.
L'algorithme H, prenant en compte le message M -de préférence une forme contractée de celui-ci- et la clé protégée K du premier objet portatif 21, produit 20 un résultat de calcul constituant ladite signature SG.
A l'étape 39, le message M et sa signature SG sont transférés dans la mémoire 26 du second objet portatif 22. Ce dernier est ensuite retiré du dispositif de traitement 1 (étape 40).
En conclusion, il apparaît donc que le procédé selon l'invention a permis de faire coopérer les deux objets portatifs 21,22 avec le dispositif de traitement 1 dansune procédure commune, et ce en n'utilisant que la seule ligne de transmission 7reliant le lecteur d'objet portatif 6 au microprocesseur 2 du dispositif de 30 traitement.
On notera que les algorithmes précités d'élaboration d'une clé diversifiée Kd oud'une clé de chiffrement Sc, de chiffrement d'une information, et de calcul de signature pourront être constitués par le même algorithme.
Bien que des algorithmes symétriques à clé protégée aient été présentés ci-dessus, on pourra naturellement mettre à profit des algorithmes dissymétriques àclé publique, de façon qu'au moins l'un des objets portatifs ou le module de ~ ` ~160223 transfert incorpore, au lieu d'ùne clé secrète, une clé publique. Par exemple, I'organisme dispose initialement dans le second objet portatif 22 une signature élaborée grâce à l'algorithme, en fonction d'une donnée d'identification de cet objet et d'une clé secrète, I'authentification de cet objet par le module de 5 transfert 8 faisant intervenir une clé publique correspondante pour vérifier cette signature, cette clé publique étant initialement dans la mémoire du premier objet portatif 21.
On peut citer, parmi différentes applications de l'invention, celle du domaine de 10 la santé, dans laquelle la clé protégée K définit les droits d'un médecin et la clé
protégée Kd ceux d'un patient, le procédé selon l'invention permettant au médecin d'introduire dans l'objet portatif 22 du patient un message constitué par une ordonnance de soins à laquelle est associée la signature du médecin, signature vérifiable par tout organisme possédant les clés publiques corrélées aux clés secrètes K, Kd.
Dans le cas où le dialogue avec le second objet portatif 22 nécessiterait l'intervention simultanée des droits de plusieurs premiers objets portatifs 21, on chargerait successivement, dans le module de transfert 8, les droits nécessaires20 de ces différents premiers objets 21, en introduisant tour à tour ces objets portatifs dans le lecteur 6. Ensuite, le dialogue entre le module de transfert 8 et le second objet portatif 22 serait établi.
L'invention s'appliquera aussi au cas où le premier objet portatif 21 communique25 avec le dispositif de traitement 1, non pas localement au moyen du lecteur d'objet portatif 6, mais à distance par l'intermédiaire d'une ligne téléinformatique ou téléphonique reliée à l'interface de transmission. Le procédé selon l'invention permet de libérer cette ligne une fois le transfert d'informations effectué entre le premier objet portatif et le dispositif de traitement, pour l'affecter à d'autres 30 tâches pendant que les deux objets portatifs 21,22 dialogueront entre eux.
Par ailleurs, I'invention s'applique, non seulement dans le cas d'un dialogue entre les objets portatifs alors que le dispositif de traitement 1 est hors ligne, mais aussi au cas où ce dernier est en ligne en vue d'un dialogue avec un 35 dispositif éloigné délivrant la prestation de service recherchée ou intervenant dans celle-ci.
Claims (10)
1. Procédé d'exécution, dans un dispositif de traitement de l'information, d'opérations confidentielles nécessitant la possession de droits détenus par un premier objet portatif, le dispositif de traitement de l'information comprenant des moyens de traitement de l'information et une mémoire pour exécuter des opérations non-confidentielles générales et incorporant un module de sécurité comprenant des moyens de traitement de l'information et une mémoire pour exécuter des opérations confidentielles spécifiques, ladite mémoire du module étant non volatile et accessible en lecture et écriture aux moyens de traitement du module mais au moins protégée en écriture depuis l'extérieur du module, ledit premier objet portatif comprenant des premiers moyens de traitement de l'information et une première mémoire objet pour exécuter des opérations confidentielles spécifiques, ladite première mémoire objet étant non volatile et accessible en lecture et écriture aux premiers moyens de traitement de l'objet mais au moins protégée en écriture depuis l'extérieur du premier objet portatif, lesdits droits étant stockés dans ladite première mémoire objet, le procédé caractérisé en ce qu'il comprend les étapes consistant à
permettre la communication entre ledit premier objet portatif et le dispositif de traitement de l'information;
copier lesdits droits de ladite première mémoire objet vers ladite mémoire du module sous le contrôle desdits moyens de traitement de l'information du module;
interrompre la communication entre le premier objet portatif et le dispositif de traitement de l'information;
utiliser le dispositif de traitement de l'information au lieu du premier objet portatif à l'intérieur d'une limite d'utilisation prédéterminée, pour exécuter lesdites opérations confidentielles nécessitant lesdits droits, en demandant au dispositif de traitement de l'information d'obtenir lesdits droits dudit module; et interdire le fonctionnement dudit module sous le contrôle desdits moyens de traitement de l'information lorsque ladite limite d'utilisation prédéterminée a été atteinte.
permettre la communication entre ledit premier objet portatif et le dispositif de traitement de l'information;
copier lesdits droits de ladite première mémoire objet vers ladite mémoire du module sous le contrôle desdits moyens de traitement de l'information du module;
interrompre la communication entre le premier objet portatif et le dispositif de traitement de l'information;
utiliser le dispositif de traitement de l'information au lieu du premier objet portatif à l'intérieur d'une limite d'utilisation prédéterminée, pour exécuter lesdites opérations confidentielles nécessitant lesdits droits, en demandant au dispositif de traitement de l'information d'obtenir lesdits droits dudit module; et interdire le fonctionnement dudit module sous le contrôle desdits moyens de traitement de l'information lorsque ladite limite d'utilisation prédéterminée a été atteinte.
2. Procédé pour exécuter des opérations confidentielles nécessitant la possession de droits détenus par un premier et un deuxième objet portatif, en utilisant un dispositif de traitement de l'information, le dispositif de traitement de l'information comprenant des moyens de traitement de l'information et une mémoire pour exécuter des opérations non-confidentielles générales et incorporant un module de sécurité comprenant des moyens de traitement de l'information et une mémoire pour exécuter des opérations confidentielles spécifiques, ladite mémoire du module étant non volatile et accessible en lecture et écriture aux moyens de traitement du module mais au moins protégée en écriture depuis l'extérieur du module, lesdits premier et deuxième objets portatifs comprenant respectivement des premiers et deuxièmes moyens de traitement de l'information et une première et deuxième mémoires objet pour exécuter des opérations confidentielles spécifiques, lesdites première et deuxième mémoires objet étant non volatiles et accessibles en lecture et écriture aux premiers et deuxièmes moyens de traitement objet mais au moins protégée en écriture depuis l'extérieur des premier et deuxième objets portatifs, lesdits droits étant stockés respectivement dans lesdites première et deuxième mémoires objet, le procédé caractérisé en ce qu'il comprend les étapes consistant à
permettre la communication entre ledit premier objet portatif et le dispositif de traitement de l'information;
copier lesdits droits de ladite première mémoire objet vers ladite mémoire du module sous le contrôle desdits moyens de traitement de l'information du module;
interrompre la communication entre le premier objet portatif et le dispositif de traitement de l'information; et utiliser le dispositif de traitement de l'information au lieu du premier objet portatif pour exécuter lesdites opérations confidentielles en coopérant avec ledit deuxième objet portatif et en demandant au dispositif de traitement de l'information d'obtenir lesdits droits dudit module et dudit deuxième objet portatif.
permettre la communication entre ledit premier objet portatif et le dispositif de traitement de l'information;
copier lesdits droits de ladite première mémoire objet vers ladite mémoire du module sous le contrôle desdits moyens de traitement de l'information du module;
interrompre la communication entre le premier objet portatif et le dispositif de traitement de l'information; et utiliser le dispositif de traitement de l'information au lieu du premier objet portatif pour exécuter lesdites opérations confidentielles en coopérant avec ledit deuxième objet portatif et en demandant au dispositif de traitement de l'information d'obtenir lesdits droits dudit module et dudit deuxième objet portatif.
3. Procédé selon la revendication 2, pour établir un dialogue entre le premier et le deuxième objet portatif, nécessitant l'utilisation desdits droits des premier et deuxième objets portatifs, caractérisé en ce que, dès que le deuxième objet portatif coopère avec le dispositif de traitement de l'information, le module et le deuxième objet portatif sont connectés en utilisant lesdits droits des premier et deuxième objets portatifs.
4. Procédé selon la revendication 3, caractérisé en ce que lesdits droits copiés, dudit premier objet portatif au module, comprennent une première clé objet, et lesdits droits dudit deuxième objet portatif comprennent une deuxième clé objet corrélée à la première clé objet, et ledit dialogue comprend la mise en oeuvre d'une procédure cryptographique mutuelle qui est basée sur lesdites deux clés objet et incluant:
calculer un premier résultat dans le module, basé sur la première clé objet;
envoyer ledit premier résultat au deuxième objet portatif;
calculer un deuxième résultat dans le deuxième objet portatif, basé sur la deuxième clé objet;
comparer dans le deuxième objet portatif les premier et deuxième résultats; et calculer un troisième résultat dans le deuxième objet portatif, basé sur la deuxième clé objet;
envoyer ledit troisième résultat au module;
calculer un quatrième résultat dans le module, basé sur la première clé objet;
comparer dans le module les troisième et quatrième résultats.
calculer un premier résultat dans le module, basé sur la première clé objet;
envoyer ledit premier résultat au deuxième objet portatif;
calculer un deuxième résultat dans le deuxième objet portatif, basé sur la deuxième clé objet;
comparer dans le deuxième objet portatif les premier et deuxième résultats; et calculer un troisième résultat dans le deuxième objet portatif, basé sur la deuxième clé objet;
envoyer ledit troisième résultat au module;
calculer un quatrième résultat dans le module, basé sur la première clé objet;
comparer dans le module les troisième et quatrième résultats.
5. Procédé selon la revendication 1 ou 2, caractérisé en ce que ladite première mémoire objet stocke une troisième clé objet, et ladite mémoire du module stocke une première clé module corrélée à la troisième clé objet, caractérisé en ce que ladite étape consistant à copier lesdits droits de ladite première mémoire objet vers ladite mémoire du module est exécutée seulement si une procédure cryptographique mutuelle basée sur la troisième clé objet et la première clé module est accomplie avec succès et incluant:
calculer un premier résultat dans le module, basé sur la première clé module;
envoyer ledit premier résultat au premier objet portatif;
calculer un deuxième résultat dans le premier objet portatif, basé sur la troisième clé objet;
comparer dans le premier objet portatif les premier et deuxième résultats; et calculer un troisième résultat dans le premier objet portatif, basé sur la troisième clé objet;
envoyer ledit troisième résultat au module;
calculer un quatrième résultat dans le module, basé sur la première clé objet;
comparer dans le module les troisième et quatrième résultats.
calculer un premier résultat dans le module, basé sur la première clé module;
envoyer ledit premier résultat au premier objet portatif;
calculer un deuxième résultat dans le premier objet portatif, basé sur la troisième clé objet;
comparer dans le premier objet portatif les premier et deuxième résultats; et calculer un troisième résultat dans le premier objet portatif, basé sur la troisième clé objet;
envoyer ledit troisième résultat au module;
calculer un quatrième résultat dans le module, basé sur la première clé objet;
comparer dans le module les troisième et quatrième résultats.
6. Procédé selon la revendication 1 ou 2, caractérisé en ce que la première mémoire objet stocke une clé et un algorithme de chiffrement alors que la mémoire du module stocke une clé et un algorithme de déchiffrement, respectivement corrélé à ladite clé et audit algorithme de chiffrement, comprenant les étapes de:
chiffrer lesdits droits du premier objet portatif avec ladite clé de chiffrement et ledit algorithme de chiffrement dans le premier objet portatif avant le transfert;
déchiffrer lesdits droits du premier objet portatif avec ladite clé de déchiffrement et ledit algorithme de déchiffrement, dans le module, après le transfert.
chiffrer lesdits droits du premier objet portatif avec ladite clé de chiffrement et ledit algorithme de chiffrement dans le premier objet portatif avant le transfert;
déchiffrer lesdits droits du premier objet portatif avec ladite clé de déchiffrement et ledit algorithme de déchiffrement, dans le module, après le transfert.
7. Un dispositif de traitement de l'information pour exécuter des opérations confidentielles nécessitant la possession de droits détenus par un premier objet portatif, le dispositif de traitement de l'information comprenant des moyens de traitement de l'information et une mémoire pour exécuter des opérations non-confidentielles générales, des moyens de lecture pour coopérer avec un objet portatif, et incorporant un module de sécurité
comprenant des moyens de traitement de l'information et une mémoire pour exécuter des opérations confidentielles spécifiques, ladite mémoire étant non volatile et accessible en lecture et écriture aux moyens de traitement du module mais au moins protégée en écriture depuis l'extérieur du module, ledit premier objet portatif comprenant des premiers moyens de traitement de l'information et une première mémoire objet pour exécuter des opérations confidentielles spécifiques, ladite première mémoire objet étant non volatile et accessible en lecture et écriture aux premiers moyens de traitement, mais au moins protégée en écriture depuis l'extérieur du premier objet portatif, lesdits droits étant stockés dans ladite première mémoire objet, le dispositif caractérisé en ce que les moyens de traitement de l'information comprennent:
des moyens pour déclencher et contrôler une communication ledit module et ledit premier objet portatif coopérant avec lesdits moyens de lecture;
des moyens pour copier lesdits droits de ladite première mémoire objet vers ladite mémoire du module sous le contrôle desdits moyens de traitement de l'information du module;
des moyens pour interrompre la communication entre le premier objet portatif et le dispositif de traitement de l'information;
des moyens pour exécuter, au lieu du premier objet portatif, à l'intérieur d'une limite d'utilisation prédéterminée, lesdites opérations confidentielles nécessitant lesdits droits, en tirant lesdits droits dudit module; et des moyens pour interdire le fonctionnement dudit module sous le contrôle desdits moyens de traitement de l'information lorsque ladite limite d'utilisation prédéterminée a été atteinte.
comprenant des moyens de traitement de l'information et une mémoire pour exécuter des opérations confidentielles spécifiques, ladite mémoire étant non volatile et accessible en lecture et écriture aux moyens de traitement du module mais au moins protégée en écriture depuis l'extérieur du module, ledit premier objet portatif comprenant des premiers moyens de traitement de l'information et une première mémoire objet pour exécuter des opérations confidentielles spécifiques, ladite première mémoire objet étant non volatile et accessible en lecture et écriture aux premiers moyens de traitement, mais au moins protégée en écriture depuis l'extérieur du premier objet portatif, lesdits droits étant stockés dans ladite première mémoire objet, le dispositif caractérisé en ce que les moyens de traitement de l'information comprennent:
des moyens pour déclencher et contrôler une communication ledit module et ledit premier objet portatif coopérant avec lesdits moyens de lecture;
des moyens pour copier lesdits droits de ladite première mémoire objet vers ladite mémoire du module sous le contrôle desdits moyens de traitement de l'information du module;
des moyens pour interrompre la communication entre le premier objet portatif et le dispositif de traitement de l'information;
des moyens pour exécuter, au lieu du premier objet portatif, à l'intérieur d'une limite d'utilisation prédéterminée, lesdites opérations confidentielles nécessitant lesdits droits, en tirant lesdits droits dudit module; et des moyens pour interdire le fonctionnement dudit module sous le contrôle desdits moyens de traitement de l'information lorsque ladite limite d'utilisation prédéterminée a été atteinte.
8. Le dispositif tel que revendiqué à la revendication 7, caractérisé en ce que lesdits moyens de traitement de l'information comprennent un programme contenu dans ladite mémoire du dispositif.
9. Un dispositif pour exécuter des opérations confidentielles nécessitant la possession de droits, détenus par un premier et un deuxième objet portatif, le dispositif de traitement de l'information comprenant des moyens de traitement de l'information et une mémoire pour exécuter des opérations non-confidentielles générales, des moyens de coopération pour coopérer avec un objet portatif, et incorporant un module de sécurité
comprenant des moyens de traitement de l'information et une mémoire pour exécuter des opérations confidentielles spécifiques, ladite mémoire du module étant non volatile et accessible en lecture et écriture aux moyens de traitement du module mais au moins protégée en écriture depuis l'extérieur du module, lesdits premier et deuxième objets portatifs comprenant respectivement des premiers et deuxièmes moyens de traitement de l'information et une première et deuxième mémoires objet pour exécuter des opérations confidentielles spécifiques, lesdites première et deuxième mémoires objet étant non volatiles et accessibles en lecture et écriture aux premiers et deuxièmes moyens de traitement mais au moins protégée en écriture depuis l'extérieur des premier et deuxième objets portatifs, lesdits droits étant stockés respectivement dans lesdites première et deuxième mémoires objet, le dispositif caractérisé en ce que les moyens de traitement de l'information comprennent:
des moyens pour mettre en communication ledit module et ledit premier objet portatif coopérant avec lesdits moyens de coopération;
des moyens pour copier lesdits droits de ladite première mémoire objet vers ladite mémoire du module sous le contrôle desdits moyens de traitement de l'information du module;
des moyens pour interrompre la communication entre le premier objet portatif et le dispositif de traitement de l'information;
des moyens pour exécuter, au lieu du premier objet portatif, lesdites opérations confidentielles en coopérant avec ledit deuxième objet portatif et en demandant lesdits droits audit module et audit deuxième objet portatif.
comprenant des moyens de traitement de l'information et une mémoire pour exécuter des opérations confidentielles spécifiques, ladite mémoire du module étant non volatile et accessible en lecture et écriture aux moyens de traitement du module mais au moins protégée en écriture depuis l'extérieur du module, lesdits premier et deuxième objets portatifs comprenant respectivement des premiers et deuxièmes moyens de traitement de l'information et une première et deuxième mémoires objet pour exécuter des opérations confidentielles spécifiques, lesdites première et deuxième mémoires objet étant non volatiles et accessibles en lecture et écriture aux premiers et deuxièmes moyens de traitement mais au moins protégée en écriture depuis l'extérieur des premier et deuxième objets portatifs, lesdits droits étant stockés respectivement dans lesdites première et deuxième mémoires objet, le dispositif caractérisé en ce que les moyens de traitement de l'information comprennent:
des moyens pour mettre en communication ledit module et ledit premier objet portatif coopérant avec lesdits moyens de coopération;
des moyens pour copier lesdits droits de ladite première mémoire objet vers ladite mémoire du module sous le contrôle desdits moyens de traitement de l'information du module;
des moyens pour interrompre la communication entre le premier objet portatif et le dispositif de traitement de l'information;
des moyens pour exécuter, au lieu du premier objet portatif, lesdites opérations confidentielles en coopérant avec ledit deuxième objet portatif et en demandant lesdits droits audit module et audit deuxième objet portatif.
10. Le dispositif selon la revendication 9, caractérisé en ce que lesdits moyens de traitement de l'information comprennent un programme contenu dans ladite mémoire.
Applications Claiming Priority (2)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| FR9412100 | 1994-10-11 | ||
| FR9412100A FR2725537B1 (fr) | 1994-10-11 | 1994-10-11 | Procede de chargement d'une zone memoire protegee d'un dispositif de traitement de l'information et dispositif associe |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| CA2160223A1 CA2160223A1 (fr) | 1996-04-12 |
| CA2160223C true CA2160223C (fr) | 1999-10-05 |
Family
ID=9467737
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| CA002160223A Expired - Fee Related CA2160223C (fr) | 1994-10-11 | 1995-10-10 | Procede de chargement d'une zone memoire protegee d'un dispositif de traitement de l'information, et dispositif associe |
Country Status (14)
| Country | Link |
|---|---|
| US (1) | US5825875A (fr) |
| EP (1) | EP0707290B1 (fr) |
| JP (1) | JP3633686B2 (fr) |
| KR (1) | KR100214817B1 (fr) |
| CN (1) | CN1143223C (fr) |
| AT (1) | ATE245293T1 (fr) |
| AU (1) | AU690324B2 (fr) |
| BR (1) | BR9504355A (fr) |
| CA (1) | CA2160223C (fr) |
| DE (1) | DE69531278T2 (fr) |
| ES (1) | ES2202344T3 (fr) |
| FR (1) | FR2725537B1 (fr) |
| NO (1) | NO954028L (fr) |
| TW (1) | TW279213B (fr) |
Families Citing this family (121)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US6010074A (en) * | 1996-04-01 | 2000-01-04 | Cubic Corporation | Contactless proximity automated data collection system and method with collision resolution |
| EP0910841B1 (fr) * | 1996-06-19 | 2000-03-15 | Tresor TV Produktions GmbH | Systeme de transmission d'informations |
| DE19629856A1 (de) * | 1996-07-24 | 1998-01-29 | Ibm | Verfahren und System zum sicheren Übertragen und Speichern von schützbaren Informationen |
| DE19632197A1 (de) * | 1996-08-09 | 1998-02-12 | Bosch Gmbh Robert | Verfahren zur Programmierung eines elektrischen Gerätes, Chipkarte und Gerät |
| FR2753556B1 (fr) * | 1996-09-13 | 1998-11-13 | Schlumberger Ind Sa | Methode d'authentification de cartes |
| DE19650549A1 (de) * | 1996-12-05 | 1998-06-10 | Ods Gmbh & Co Kg | Verfahren zum gesicherten nachträglichen Programmieren einer Mikroprozessorkarte für eine zusätzliche Anwendung |
| US6575372B1 (en) | 1997-02-21 | 2003-06-10 | Mondex International Limited | Secure multi-application IC card system having selective loading and deleting capability |
| US6317832B1 (en) | 1997-02-21 | 2001-11-13 | Mondex International Limited | Secure multiple application card system and process |
| US6220510B1 (en) | 1997-05-15 | 2001-04-24 | Mondex International Limited | Multi-application IC card with delegation feature |
| US6101605A (en) * | 1997-05-15 | 2000-08-08 | Vlsi Technology, Inc. | Method and apparatus for performing a secure operation |
| US6385723B1 (en) * | 1997-05-15 | 2002-05-07 | Mondex International Limited | Key transformation unit for an IC card |
| US6328217B1 (en) | 1997-05-15 | 2001-12-11 | Mondex International Limited | Integrated circuit card with application history list |
| US6488211B1 (en) | 1997-05-15 | 2002-12-03 | Mondex International Limited | System and method for flexibly loading in IC card |
| US6164549A (en) | 1997-05-15 | 2000-12-26 | Mondex International Limited | IC card with shell feature |
| US6230267B1 (en) | 1997-05-15 | 2001-05-08 | Mondex International Limited | IC card transportation key set |
| CN1122213C (zh) * | 1997-05-29 | 2003-09-24 | 太阳微系统公司 | 给对象签名和签章的方法和设备 |
| FR2765709B1 (fr) * | 1997-07-04 | 2001-10-12 | Schlumberger Ind Sa | Methode de chargement de donnees dans une carte a microprocesseur |
| FR2766942B1 (fr) | 1997-07-31 | 1999-10-01 | Gemplus Card Int | Lecteur de carte a puce avec microcontroleur et composant de securite |
| EP1013029A1 (fr) * | 1997-09-09 | 2000-06-28 | Koninklijke KPN N.V. | Procede servant a charger des commandes dans le module de securite d'un terminal |
| JP3748155B2 (ja) * | 1997-11-14 | 2006-02-22 | 富士通株式会社 | 改ざん防止／検出機能を有するファイル管理システム |
| US6357665B1 (en) | 1998-01-22 | 2002-03-19 | Mondex International Limited | Configuration of IC card |
| US6736325B1 (en) | 1998-01-22 | 2004-05-18 | Mondex International Limited | Codelets |
| US6742120B1 (en) | 1998-02-03 | 2004-05-25 | Mondex International Limited | System and method for controlling access to computer code in an IC card |
| FR2777371B1 (fr) * | 1998-04-09 | 2001-10-26 | Innovatron Electronique | Procede pour modifier de maniere indivisible une pluralite d'emplacements de la memoire non volatile d'une carte a microcircuit |
| GB9816504D0 (en) * | 1998-07-30 | 1998-09-23 | Ncr Int Inc | Data processing and method |
| TW527604B (en) | 1998-10-05 | 2003-04-11 | Toshiba Corp | A memory systems |
| DE19850308B4 (de) * | 1998-10-30 | 2006-07-13 | T-Mobile Deutschland Gmbh | Verfahren zum Schutz von Chipkarten vor missbräuchlicher Verwendung in Fremdgeräten |
| KR100327234B1 (ko) * | 1998-11-18 | 2002-04-17 | 윤종용 | 휴대용 단말기의 데이터 저장 장치 및 방법 |
| JP3389186B2 (ja) * | 1999-04-27 | 2003-03-24 | 松下電器産業株式会社 | 半導体メモリカード及び読み出し装置 |
| JP4011792B2 (ja) | 1999-06-16 | 2007-11-21 | 株式会社東芝 | 記録方法、再生方法、記録装置、再生装置及び記録媒体 |
| FR2795905B1 (fr) * | 1999-06-30 | 2001-08-24 | Sagem | Telephone mobile avec une architecture a plusieurs supports a puce |
| US7131139B1 (en) * | 1999-09-28 | 2006-10-31 | Swatch Ag | Method for authorizing access to computer applications |
| GB9925227D0 (en) | 1999-10-25 | 1999-12-22 | Internet Limited | Data storage retrieval and access system |
| US6934817B2 (en) | 2000-03-31 | 2005-08-23 | Intel Corporation | Controlling access to multiple memory zones in an isolated execution environment |
| US7013481B1 (en) | 2000-03-31 | 2006-03-14 | Intel Corporation | Attestation key memory device and bus |
| US6760441B1 (en) | 2000-03-31 | 2004-07-06 | Intel Corporation | Generating a key hieararchy for use in an isolated execution environment |
| US6769058B1 (en) | 2000-03-31 | 2004-07-27 | Intel Corporation | Resetting a processor in an isolated execution environment |
| US6754815B1 (en) | 2000-03-31 | 2004-06-22 | Intel Corporation | Method and system for scrubbing an isolated area of memory after reset of a processor operating in isolated execution mode if a cleanup flag is set |
| US7013484B1 (en) | 2000-03-31 | 2006-03-14 | Intel Corporation | Managing a secure environment using a chipset in isolated execution mode |
| US7194634B2 (en) * | 2000-03-31 | 2007-03-20 | Intel Corporation | Attestation key memory device and bus |
| US7089418B1 (en) | 2000-03-31 | 2006-08-08 | Intel Corporation | Managing accesses in a processor for isolated execution |
| GB0010265D0 (en) * | 2000-04-28 | 2000-06-14 | Ncr Int Inc | Encrypting keypad module |
| JP4730927B2 (ja) * | 2000-05-16 | 2011-07-20 | 株式会社エスグランツ | 情報処理装置、及びコントロールモジュール |
| FR2809852B1 (fr) * | 2000-05-30 | 2002-11-29 | Dassault Automatismes | Terminal de paiement comprenant une carte memoire non volatile extractible |
| FR2810139B1 (fr) * | 2000-06-08 | 2002-08-23 | Bull Cp8 | Procede de securisation de la phase de pre-initialisation d'un systeme embarque a puce electronique, notamment d'une carte a puce, et systeme embarque mettant en oeuvre le procede |
| US6976162B1 (en) | 2000-06-28 | 2005-12-13 | Intel Corporation | Platform and method for establishing provable identities while maintaining privacy |
| BR0106966A (pt) | 2000-07-11 | 2002-05-14 | Kaba Schliesssysteme Ag | Processo para a inicialização de portadoras de dados móveis |
| US7793111B1 (en) | 2000-09-28 | 2010-09-07 | Intel Corporation | Mechanism to handle events in a machine with isolated execution |
| US7389427B1 (en) | 2000-09-28 | 2008-06-17 | Intel Corporation | Mechanism to secure computer output from software attack using isolated execution |
| ES2220671T3 (es) * | 2000-12-22 | 2004-12-16 | Nagravision Sa | Metodo de control de filtraje. |
| US7215781B2 (en) * | 2000-12-22 | 2007-05-08 | Intel Corporation | Creation and distribution of a secret value between two devices |
| US6907600B2 (en) | 2000-12-27 | 2005-06-14 | Intel Corporation | Virtual translation lookaside buffer |
| US7818808B1 (en) | 2000-12-27 | 2010-10-19 | Intel Corporation | Processor mode for limiting the operation of guest software running on a virtual machine supported by a virtual machine monitor |
| US7035963B2 (en) | 2000-12-27 | 2006-04-25 | Intel Corporation | Method for resolving address space conflicts between a virtual machine monitor and a guest operating system |
| US7225441B2 (en) * | 2000-12-27 | 2007-05-29 | Intel Corporation | Mechanism for providing power management through virtualization |
| EP1233383A1 (fr) * | 2001-02-14 | 2002-08-21 | Banksys S.A. | Procédé et dispositif de gestion d'applications de cartes à puce |
| US7272831B2 (en) | 2001-03-30 | 2007-09-18 | Intel Corporation | Method and apparatus for constructing host processor soft devices independent of the host processor operating system |
| US7191440B2 (en) | 2001-08-15 | 2007-03-13 | Intel Corporation | Tracking operating system process and thread execution and virtual machine execution in hardware or in a virtual machine monitor |
| US7024555B2 (en) | 2001-11-01 | 2006-04-04 | Intel Corporation | Apparatus and method for unilaterally loading a secure operating system within a multiprocessor environment |
| US7103771B2 (en) * | 2001-12-17 | 2006-09-05 | Intel Corporation | Connecting a virtual token to a physical token |
| US7308576B2 (en) | 2001-12-31 | 2007-12-11 | Intel Corporation | Authenticated code module |
| US7480806B2 (en) | 2002-02-22 | 2009-01-20 | Intel Corporation | Multi-token seal and unseal |
| US7631196B2 (en) | 2002-02-25 | 2009-12-08 | Intel Corporation | Method and apparatus for loading a trustable operating system |
| US7124273B2 (en) * | 2002-02-25 | 2006-10-17 | Intel Corporation | Method and apparatus for translating guest physical addresses in a virtual machine environment |
| US7028149B2 (en) | 2002-03-29 | 2006-04-11 | Intel Corporation | System and method for resetting a platform configuration register |
| US7069442B2 (en) | 2002-03-29 | 2006-06-27 | Intel Corporation | System and method for execution of a secured environment initialization instruction |
| US20030196100A1 (en) * | 2002-04-15 | 2003-10-16 | Grawrock David W. | Protection against memory attacks following reset |
| US7127548B2 (en) | 2002-04-16 | 2006-10-24 | Intel Corporation | Control register access virtualization performance improvement in the virtual-machine architecture |
| WO2003096288A1 (fr) * | 2002-05-08 | 2003-11-20 | Koninklijke Philips Electronics N.V. | Systeme et procede d'authentification |
| US7142674B2 (en) | 2002-06-18 | 2006-11-28 | Intel Corporation | Method of confirming a secure key exchange |
| US6996748B2 (en) | 2002-06-29 | 2006-02-07 | Intel Corporation | Handling faults associated with operation of guest software in the virtual-machine architecture |
| US7124327B2 (en) | 2002-06-29 | 2006-10-17 | Intel Corporation | Control over faults occurring during the operation of guest software in the virtual-machine architecture |
| US7296267B2 (en) | 2002-07-12 | 2007-11-13 | Intel Corporation | System and method for binding virtual machines to hardware contexts |
| US7770212B2 (en) * | 2002-08-15 | 2010-08-03 | Activcard | System and method for privilege delegation and control |
| US7165181B2 (en) | 2002-11-27 | 2007-01-16 | Intel Corporation | System and method for establishing trust without revealing identity |
| US7073042B2 (en) | 2002-12-12 | 2006-07-04 | Intel Corporation | Reclaiming existing fields in address translation data structures to extend control over memory accesses |
| US7900017B2 (en) | 2002-12-27 | 2011-03-01 | Intel Corporation | Mechanism for remapping post virtual machine memory pages |
| US20040128465A1 (en) * | 2002-12-30 | 2004-07-01 | Lee Micheil J. | Configurable memory bus width |
| US7653796B2 (en) * | 2003-02-20 | 2010-01-26 | Panasonic Corporation | Information recording medium and region management method for a plurality of recording regions each managed by independent file system |
| JP4300832B2 (ja) * | 2003-03-14 | 2009-07-22 | ソニー株式会社 | データ処理装置、その方法およびそのプログラム |
| US7296127B2 (en) * | 2003-03-31 | 2007-11-13 | Intel Corporation | NoDMA cache |
| US7415708B2 (en) | 2003-06-26 | 2008-08-19 | Intel Corporation | Virtual machine management using processor state information |
| WO2005022366A1 (fr) * | 2003-09-02 | 2005-03-10 | Sony Ercisson Mobile Communications Ab | Transfert de donnees de securite entre deux memoires |
| ATE355565T1 (de) * | 2003-09-02 | 2006-03-15 | Sony Ericsson Mobile Comm Ab | Übertragung von sicherheitsrelevanten daten zwischen zwei speichern |
| US7424709B2 (en) | 2003-09-15 | 2008-09-09 | Intel Corporation | Use of multiple virtual machine monitors to handle privileged events |
| US7287197B2 (en) * | 2003-09-15 | 2007-10-23 | Intel Corporation | Vectoring an interrupt or exception upon resuming operation of a virtual machine |
| US7739521B2 (en) | 2003-09-18 | 2010-06-15 | Intel Corporation | Method of obscuring cryptographic computations |
| US7610611B2 (en) | 2003-09-19 | 2009-10-27 | Moran Douglas R | Prioritized address decoder |
| US7177967B2 (en) | 2003-09-30 | 2007-02-13 | Intel Corporation | Chipset support for managing hardware interrupts in a virtual machine system |
| US7237051B2 (en) | 2003-09-30 | 2007-06-26 | Intel Corporation | Mechanism to control hardware interrupt acknowledgement in a virtual machine system |
| US20050080934A1 (en) | 2003-09-30 | 2005-04-14 | Cota-Robles Erik C. | Invalidating translation lookaside buffer entries in a virtual machine (VM) system |
| US7366305B2 (en) | 2003-09-30 | 2008-04-29 | Intel Corporation | Platform and method for establishing trust without revealing identity |
| US7636844B2 (en) | 2003-11-17 | 2009-12-22 | Intel Corporation | Method and system to provide a trusted channel within a computer system for a SIM device |
| US8156343B2 (en) | 2003-11-26 | 2012-04-10 | Intel Corporation | Accessing private data about the state of a data processing machine from storage that is publicly accessible |
| US8037314B2 (en) | 2003-12-22 | 2011-10-11 | Intel Corporation | Replacing blinded authentication authority |
| US7802085B2 (en) | 2004-02-18 | 2010-09-21 | Intel Corporation | Apparatus and method for distributing private keys to an entity with minimal secret, unique information |
| KR101043336B1 (ko) * | 2004-03-29 | 2011-06-22 | 삼성전자주식회사 | 디바이스와 휴대형 저장장치간의 디지털 권리객체에 관한정보의 획득 및 제거를 위한 방법 및 장치 |
| US7356735B2 (en) | 2004-03-30 | 2008-04-08 | Intel Corporation | Providing support for single stepping a virtual machine in a virtual machine environment |
| US7620949B2 (en) | 2004-03-31 | 2009-11-17 | Intel Corporation | Method and apparatus for facilitating recognition of an open event window during operation of guest software in a virtual machine environment |
| US7490070B2 (en) | 2004-06-10 | 2009-02-10 | Intel Corporation | Apparatus and method for proving the denial of a direct proof signature |
| US7305592B2 (en) | 2004-06-30 | 2007-12-04 | Intel Corporation | Support for nested fault in a virtual machine environment |
| US7840962B2 (en) | 2004-09-30 | 2010-11-23 | Intel Corporation | System and method for controlling switching between VMM and VM using enabling value of VMM timer indicator and VMM timer value having a specified time |
| US8146078B2 (en) | 2004-10-29 | 2012-03-27 | Intel Corporation | Timer offsetting mechanism in a virtual machine environment |
| US8924728B2 (en) | 2004-11-30 | 2014-12-30 | Intel Corporation | Apparatus and method for establishing a secure session with a device without exposing privacy-sensitive information |
| US8533777B2 (en) | 2004-12-29 | 2013-09-10 | Intel Corporation | Mechanism to determine trust of out-of-band management agents |
| US7395405B2 (en) | 2005-01-28 | 2008-07-01 | Intel Corporation | Method and apparatus for supporting address translation in a virtual machine environment |
| US8014530B2 (en) | 2006-03-22 | 2011-09-06 | Intel Corporation | Method and apparatus for authenticated, recoverable key distribution with no database secrets |
| DE102006037879A1 (de) | 2006-08-11 | 2008-02-14 | Bundesdruckerei Gmbh | Lesegerät für ein Dokument, Verfahren zum Lesen eines Datenobjekts und Computerprogrammprodukt |
| CN101165698B (zh) * | 2006-10-17 | 2011-07-27 | 华为技术有限公司 | 一种导出许可的方法及系统 |
| DE102008000067C5 (de) * | 2008-01-16 | 2012-10-25 | Bundesdruckerei Gmbh | Verfahren zum Lesen von Attributen aus einem ID-Token |
| DE102008040416A1 (de) * | 2008-07-15 | 2010-01-21 | Bundesdruckerei Gmbh | Verfahren zum Lesen von Attributen aus einem ID-Token |
| WO2010031698A2 (fr) * | 2008-09-22 | 2010-03-25 | Bundesdruckerei Gmbh | Procédé de mémorisation de données, produit programme d'ordinateur, jeton d'identification et système informatique |
| DE102009027681A1 (de) | 2009-07-14 | 2011-01-20 | Bundesdruckerei Gmbh | Verfahren und Lesen von Attributen aus einem ID-Token |
| DE102009027682A1 (de) * | 2009-07-14 | 2011-01-20 | Bundesdruckerei Gmbh | Verfahren zur Erzeugung eines Soft-Tokens |
| ES2806261T3 (es) | 2010-11-19 | 2021-02-17 | Nagravision Sa | Método para detectar software clonado |
| US8898769B2 (en) | 2012-11-16 | 2014-11-25 | At&T Intellectual Property I, Lp | Methods for provisioning universal integrated circuit cards |
| US9036820B2 (en) | 2013-09-11 | 2015-05-19 | At&T Intellectual Property I, Lp | System and methods for UICC-based secure communication |
| US9240994B2 (en) * | 2013-10-28 | 2016-01-19 | At&T Intellectual Property I, Lp | Apparatus and method for securely managing the accessibility to content and applications |
| WO2017059396A1 (fr) * | 2015-09-30 | 2017-04-06 | Clark Jonathan A | Système et procédé pour émettre des informations confidentielles sur un réseau |
| US10594478B2 (en) | 2016-11-18 | 2020-03-17 | International Business Machines Corporation | Authenticated copying of encryption keys between secure zones |
| FR3068168A1 (fr) * | 2017-06-22 | 2018-12-28 | Benito Pennella | Memoire permanente comportant un dispositif de securite |
Family Cites Families (18)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| FR2394131A1 (fr) * | 1977-06-07 | 1979-01-05 | Cii Honeywell Bull | Systeme de traitement d'informations protegeant le secret d'informations confidentielles |
| FR2401459A1 (fr) | 1977-08-26 | 1979-03-23 | Cii Honeywell Bull | Support d'information portatif muni d'un microprocesseur et d'une memoire morte programmable |
| FR2461301A1 (fr) | 1978-04-25 | 1981-01-30 | Cii Honeywell Bull | Microprocesseur autoprogrammable |
| US4558175A (en) * | 1982-08-02 | 1985-12-10 | Leonard J. Genest | Security system and method for securely communicating therein |
| US4731841A (en) * | 1986-06-16 | 1988-03-15 | Applied Information Technologies Research Center | Field initialized authentication system for protective security of electronic information networks |
| FR2601795B1 (fr) | 1986-07-17 | 1988-10-07 | Bull Cp8 | Procede pour diversifier une cle de base et pour authentifier une cle ainsi diversifiee comme ayant ete elaboree a partir d'une cle de base predeterminee, et systeme pour la mise en oeuvre |
| US4802218A (en) * | 1986-11-26 | 1989-01-31 | Wright Technologies, L.P. | Automated transaction system |
| ATE160039T1 (de) * | 1986-09-02 | 1997-11-15 | Pitney Bowes Inc | Automatisiertes transaktionssystem mit einsteckbaren karten zum fernladen von gebühren oder dienstprogammdaten |
| JP2731945B2 (ja) * | 1989-06-05 | 1998-03-25 | エヌ・ティ・ティ・データ通信株式会社 | 個別鍵による認証が可能なｉｃカード |
| DK279089D0 (da) * | 1989-06-07 | 1989-06-07 | Kommunedata I S | Fremgangsmaade til overfoersel af data, et elektronisk dokument eller lignende, system til udoevelse af fremgangsmaaden samt et kort til brug ved udoevelse af fremgangsmaaden |
| US4926280A (en) * | 1989-11-06 | 1990-05-15 | Ncr Corporation | Capacitor protection circuit for protecting storage capacitors in an electronic power supply |
| US5623547A (en) * | 1990-04-12 | 1997-04-22 | Jonhig Limited | Value transfer system |
| US5036461A (en) * | 1990-05-16 | 1991-07-30 | Elliott John C | Two-way authentication system between user's smart card and issuer-specific plug-in application modules in multi-issued transaction device |
| JPH04143881A (ja) * | 1990-10-05 | 1992-05-18 | Toshiba Corp | 相互認証方式 |
| JP2901767B2 (ja) * | 1991-02-08 | 1999-06-07 | 株式会社東芝 | 暗号通信システム及び携帯可能電子装置 |
| FR2702066B1 (fr) * | 1993-02-25 | 1995-10-27 | Campana Mireille | Procede de gestion de cles secretes entre deux cartes a memoire. |
| US5461217A (en) * | 1994-02-08 | 1995-10-24 | At&T Ipm Corp. | Secure money transfer techniques using smart cards |
| US5577121A (en) * | 1994-06-09 | 1996-11-19 | Electronic Payment Services, Inc. | Transaction system for integrated circuit cards |
-
1994
- 1994-10-11 FR FR9412100A patent/FR2725537B1/fr not_active Expired - Fee Related
-
1995
- 1995-09-21 DE DE69531278T patent/DE69531278T2/de not_active Expired - Lifetime
- 1995-09-21 EP EP95402124A patent/EP0707290B1/fr not_active Expired - Lifetime
- 1995-09-21 ES ES95402124T patent/ES2202344T3/es not_active Expired - Lifetime
- 1995-09-21 AT AT95402124T patent/ATE245293T1/de not_active IP Right Cessation
- 1995-10-09 JP JP26152295A patent/JP3633686B2/ja not_active Expired - Fee Related
- 1995-10-10 CN CNB951199196A patent/CN1143223C/zh not_active Expired - Fee Related
- 1995-10-10 CA CA002160223A patent/CA2160223C/fr not_active Expired - Fee Related
- 1995-10-10 NO NO954028A patent/NO954028L/no not_active Application Discontinuation
- 1995-10-10 BR BR9504355A patent/BR9504355A/pt active Search and Examination
- 1995-10-11 AU AU33187/95A patent/AU690324B2/en not_active Ceased
- 1995-10-11 KR KR1019950035505A patent/KR100214817B1/ko not_active IP Right Cessation
- 1995-10-11 TW TW084110644A patent/TW279213B/zh not_active IP Right Cessation
- 1995-10-11 US US08/540,787 patent/US5825875A/en not_active Expired - Lifetime
Also Published As
| Publication number | Publication date |
|---|---|
| EP0707290A1 (fr) | 1996-04-17 |
| AU3318795A (en) | 1996-05-16 |
| JP3633686B2 (ja) | 2005-03-30 |
| NO954028D0 (no) | 1995-10-10 |
| CN1153949A (zh) | 1997-07-09 |
| KR960015239A (ko) | 1996-05-22 |
| EP0707290B1 (fr) | 2003-07-16 |
| US5825875A (en) | 1998-10-20 |
| DE69531278D1 (de) | 2003-08-21 |
| TW279213B (fr) | 1996-06-21 |
| ATE245293T1 (de) | 2003-08-15 |
| CN1143223C (zh) | 2004-03-24 |
| FR2725537A1 (fr) | 1996-04-12 |
| BR9504355A (pt) | 1996-10-08 |
| JPH08212066A (ja) | 1996-08-20 |
| ES2202344T3 (es) | 2004-04-01 |
| KR100214817B1 (ko) | 1999-08-02 |
| FR2725537B1 (fr) | 1996-11-22 |
| DE69531278T2 (de) | 2004-03-25 |
| NO954028L (no) | 1996-04-12 |
| AU690324B2 (en) | 1998-04-23 |
| CA2160223A1 (fr) | 1996-04-12 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| CA2160223C (fr) | Procede de chargement d'une zone memoire protegee d'un dispositif de traitement de l'information, et dispositif associe | |
| EP0089876B1 (fr) | Procédé et dispositif de protection d'un logiciel livré par un fournisseur à un utilisateur | |
| EP1004100B1 (fr) | Dispositif portable electronique pour systeme de communication securisee, et procede d'initialisation de ses parametres | |
| EP1766588B1 (fr) | Composant pour module de sécurité | |
| CA2051365C (fr) | Procede de gestion d'un programme d'application charge dans un support a microcircuit | |
| FR2779018A1 (fr) | Terminal et systeme pour la mise en oeuvre de transactions electroniques securisees | |
| FR2802666A1 (fr) | Systeme informatique pour application a acces par accreditation | |
| WO1999053401A2 (fr) | Carte a puce comprenant des moyens pour gerer une memoire virtuelle, procede et protocole de communication associes | |
| EP0606792B1 (fr) | Procédé d'authentification d'un ensemble informatique par un autre ensemble informatique | |
| WO1999066387A1 (fr) | Procede de controle de l'execution d'un produit logiciel | |
| WO2016207715A1 (fr) | Gestion securisee de jetons électroniques dans un telephone mobile. | |
| WO2001086601A1 (fr) | Procede pour authentifier un objet portatif, objet portatif correspondant, et appareil pour mettre en oeuvre le procede | |
| WO2002001432A1 (fr) | Procede de distribution commerciale en ligne de biens numeriques par l'intermediaire d'un reseau de communication et dispositif electronique d'achat de biens numeriques distribues par ce procede | |
| FR2788154A1 (fr) | Supports et systemes d'echange de donnees securises notamment pour paiements et telepaiements | |
| CH716285A2 (fr) | Procédé de contrôle de données biométriques d'un individu, avec inscription, dans une blockchain, d'un résultat d'analyse. | |
| FR2730076A1 (fr) | Procede d'authentification par un serveur du porteur d'un objet portatif a microprocesseur, serveur et objet portatif correspondants | |
| WO2005050419A1 (fr) | Procede de securisation d'une image d'une donnee biometrique d'authentification et procede d'authentification d'un utilisateur a partir d'une image d'une donnee biometrique d'authentification | |
| EP3291188A1 (fr) | Procédé de contrôle d'un dispositif électronique et dispositif électronique correspondant | |
| FR3073998B1 (fr) | Procede numerique de controle d'acces a un objet, une ressource ou service par un utilisateur | |
| EP3923169A1 (fr) | Démarrage sécurisé d'un circuit électronique | |
| CH716287A2 (fr) | Procédé de traitement de données biométriques d'un individu, avec phases de calibrage et de contrôle et inscription, dans une blockchain, d'un résultat d'analyse. | |
| FR2790854A1 (fr) | Supports et systemes d'echange de donnees securises notamment pour paiement et telepaiements | |
| CH716293A2 (fr) | Procédé de signature décentralisée, sous contrôle biométrique et sous condition d'identification personnelle, d'une transaction destinée à une blockchain. | |
| CH716288A2 (fr) | Procédé de traitement de données biométriques d'un individu, avec phases de calibrage et de contrôle et inscription, dans une blockchain, sous condition de géolocalisation, d'un résultat d'analyse. | |
| FR2796742A1 (fr) | Supports et systemes d'echange de donnees securises notamment pour paiements et telepaiements |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| EEER | Examination request | ||
| MKLA | Lapsed |
Effective date: 20151013 |