Brevet FR2654236A1 — publié le 19910510

La présente invention se rapporte à un procédé de protection contre l'utilisation frauduleuse de cartes à microprocesseur, et à un dispositif de mise en oeuvre de ce procédé. Certains réseaux de télévision i péage nécessitent l'utilisation de cartes à microprocesseur en tant que moyens de paiement pour les prestations servies. Ces cartes peuvent être perdues par leurs possesseurs légitimes, ou elles peuvent leur être volées En général, ces cartes ont une durée de validité de quelques mois, afin de limiter ces risques, ainsi que les risques de contrefaçon. Toutefois, en cas de perte ou de vol, la personne ayant récupéré une carte peut l'utiliser frauduleusement, et à la fin de la durée de validité peut, si elle a suffisamment de connaissances techniques, arriver à simuler le signal envoyé par le lecteur de cartes pour faire savoir à l'émetteur de programmes que la carte utilisée est encore valable. La présente invention a pour objet un procédé permettant d'empêcher une personne non autorisée d'utiliser dans un système, en particulier de surveillance ou de distribution de biens ou de prestations, une carte à microprocesseur après la fin de la période de validité de cette carte La présente invention a également pour objet un dispositif de mise en oeuvre de ce procédé. Le procédé de la présente invention consiste à attribuer une identité à chaque utilisateur et à la mémoriser dans les cartes qui lui sont délivrées et à vérifier à la fin de la période de validité d'une carte à microprocesseur, lors de son renouvellement que la nouvelle carte a la même identité que la carte précédente. Selon un aspect du procédé de l'invention, on réserve dans les cartes au moins un champ dans lequel on mémorise des données uniques relatives à l'identité (le l'utilisateur et on vérifie dans la carte que lorsque l'utilisateur met en service une nouvelle carte, ledit champ de la nouvêlle carte est le même que celui de l'ancienne carte. Le dispositif de l'invention est un réseau, en particulier de distribution de biens ou de services, comprenant au moins un centre de gestion ou émetteur et au moins un terminal, dans lequel le terminal comporte dl(, moyens permettant de mémoriser le contenu crypté d'un champ donné d'une première carte à microprocesseur utilisée dans un terminal donné, et des moyens pour envoyer vers une seconde carte ledit contenu mémorisé. La présente invention sera mieux comprise à la lecture de la description détaillée d'un mode de réalisation, pris comme exemple non limitatif et illustré par le dessin annexé sur lequel: la figure 1 est un bloc-diagramme simplifié d'un réseau conforme à l'invention, et la figure 2 est un diagramme de champ d'identification d'une carte à microprocesseur utilisée dans le réseau de la figure 1. L'invention est décrite ci-dessous on référence à un réseau de télévision à péage, mais il est l)ien entendu qu'elle n'est pas limitée à une telle application, (t qu'elle peut être mise en oeuvre dans tout réseau tel qu'uni r Aseau de surveillance de biens et/ou de personnes ou un réseau de distribution de biens ou de services (réseau de distributeurs de billes de banque ou de spectacles, d'essence, de caiqssesq enregistreuses de magasins) Un tel réseau comporte a, mtoins un centre de gestion (ou serveur) ou un émetteur, et au moins un terminal approprié pouvant être proche ou distant le dessin, un seul récepteur, référencé 3, *ité représenté. Ce récepteur 3 comporte un dispositif d'affichage 3 ', qui peut être l'écran de ce récepteur On n'n représenté dans le récepteur 3 que le seul dispositif nécessaire à l'exposé de l'invention, à savoir un lecteur 4 de cartes à microprocesseur (connues sous l'appellation de "smart card") Ces cartes peuvent comporter, en plus de leurs circuits habituels, des jonctions fusibles ("jetons") qui représentent un ( r,édit d'émissions, et qui sont grillées au fur et à mesure de l'utilisation de carte. On a représenté en figure 1 une première carte 5 (en traits pleins) qui représente la carte dlont la période de validité vient de s'achever, et une deuxième carte 6 (en traits interrompus) qui représente la nouvelle carto correspondant à la période de validité suivante. Les cartes 5,6 comportent de façon habituelle, dans leur section de mémoire inhibée en lecture et en écriture, plusieurs champs de données secrètes C(s données secrètes sont par exemple le numéro d'identification de la carte, le numéro de compte en banque de l'utilisateur son crédit permis, un algorithme de décryptage Une de ces sections est représentée en figure 2, et référencée 7 pour la carte 5 et 7 ' po I r la carte 6 Cette section 7 ( 7 ') est réservée à des données ld'identification de la carte Cette section 7 ( 7 ') comporte deux nhamps 8,9 (pour la carte 5) et 8 ',9 ' (pour la carte 6) Ie (champ 8 ( 8 ') comprend des données représentant des paramètres (le validité (période de validité) ou de personnalisation de l'abonnement pour lequel est émise la carte (genre d'émission, dure) Le champ 9,9 ' contient un code d'identification de la carte ot/ou du porteur. En outre, la section 7,7 ' contient un champ 10,10 ' qui contient, dans le présent exemple, un seul bit Ce champ 10,10 ' n'est pas nécessairement contigu aux champs 8,9 ou 8 ',9 ' Le bit du champ 10,10 est initialement un zéro I 'émetteur 2 vérifie que lorsqu'une nouvelle carte 6 est introduite dans le lecteur 4 au début d'une nouvelle période de validité, le bit du champ 10 ' est bien un zéro Si tel est le cas, l'émotteur 2 demande à l'utilisateur (affichage en 3 ') d'introduire dlans le lecteur 4 l'ancienne carte 5 pour avoir connaissance d Io son champ 9 et le mémoriser, puis demande à l'utilisateur de réintroduire dans le lecteur 4 la carte 6, et envoie à la carte F, le champ 9 Si la carte 6 constate qu'il y a identité entre *s- deux champs, la carte 6 autorise le décodeur du lecteur 4 à commander l'inscription d'un " 1 " dans 10 ' et pet, alors fonctionner normalement, c'est-à-dire qu'elle délivre Ie mot de contrôle au récepteur 3 pour lui permettre de désembronuiller les programmes embrouillés, pendant toute la durée de validité de la carte 6. Sinon, le lecteur commande l'affichage eri 3 ' d'un message de carte non valable, et la carte ne peut pas envoyer le mot de contrôle et peut être inhibée de façon définitive Ainsi, selon la présente invention l'identité encryptée de l'ancienne carte 5 est provisoirement mémorisée dans le lecteur 4 (o elle est accessible de l'extérieur, mais du fait qu'elle est encryptée selon le concept de connaissance nulle "zérn knowledge", on ne peut pas retrouver cette identité), puis invoyée à la nouvelle carte 6 L'identité de la nouvelle carte ne peut être transférée vers le lecteur 4 que si cette carte é té validée, donc reconnue bonne. On notera que si l'utilisateur offcrtue le changement de carte en cours de fonctionnement cldu récepteur 3, celui-ci garde en mémoire la valeur du champ 9 de la carte 5, et lorsque l'utilisateur enlève la carte 5 pour la remplacer par la carte 6, cette carte 6 est initialisée (inscription d'un " 1 " dans le champ 10 ') automatiquement si elle est valide, c'està-dire si le contenu de son champ 9 ' est identique ai contenu du champ 9 de la carte 5. Selon une variante, on peut prévoir un champ supplémentaire dans la section 7,7 ' comportant un numéro de code connu du seul utilisateur légitime qu'il doit composer avant l'initialisation d'une nouvelle carte. Ainsi, selon la présente invention, l'autorisation de mise en service d'une carte est indépendanto de l'obtention du mot de contrôle, dans le cas d'un réseau do télévision à péage. REVENDICATIONS 1 Procédé permettant d'empêcher une personne non autorisée d'utiliser dans un système de distribution de biens ou de prestations, ce système comportant ail moins un centre de gestion et au moins un terminal relié à ee centre, une carte à microprocesseur après la fin de la période de validité de cette carte, caractérisé par le fait qu'il consiste à attribuer une identité à chaque utilisateur et à la mémoriser dans les cartes qui lui sont délivrées, et à vérifier à la fin de la période de validité d'une carte, lors de son renouvellement, que la nouvelle carte a la même identité que la carte précédente. 2 Procédé selon la revendication 1, caractérisé par le fait que l'on réserve dans les cartes au moins un champ dans lequel on mémorise des données uniques relatives à l'identité de l'utilisateur et que l'on vérifie dans a In carte que lorsque l'utilisateur met en service une nouvelle carte, ledit champ de la nouvelle carte est le même que celui de l'ancienne. 3 Procédé selon l'une des revendications 1 ou 2, caractérisé par le fait que lors du renouvellement d'une carte, on vérifie que la nouvelle carte n'est pas une carte déjà initialisée. 4 Procédé selon la revendication 3, caractérisé par le fait que l'initialisation d'une cearte consiste, après vérification de la possession par l'utilisateur d'une carte précédente et d'une nouvelle carte de même identité, à modifier de façon irréversible une donnée secrète do la nouvelle carte. Procédé selon l'une des revendications précédentes, caractérisé par le fait que lors de la mise en service d'une nouvelle carte, I'utilisateur doit composer utn numéro de code secret. 6 Dispositif de protection contre l'utilisation par des personnes non autorisées de cartes A microprocesseur dans un réseau de contrôle ou de distribution de biens ou de services, comprenant au moins un centre de gestion ( 2) ou émetteur et au moins un terminal ( 3), caractérisé par le fait que le terminal comporte des moyens permettant de mémoriser le contenu crypté d'un champ donné ( 9) cl 'une première carte à microprocesseur ( 5) utilisée dans un terminal donné ( 3), et des moyens pour envoyer vers une seconde carte ledit contenu mémorisé. 7 Dispositif selon la revendication 6, caractérisé par le fait que chaque terminal comporte c 11 e moyens commandés par la carte pour envoyer à la carte itno tension d'écriture d'une information d'initialisation de cette Parte dans un champ ( 10 ') de la mémoire de cette carte.