Brevet FR2740885A1 — publié le 19970509

PROCEDE ET APPAREIL POUR LA GESTION ET L'EXECUTION DES APPLICATIONS DE SECURITE La présente invention concerne un procédé et un appareil pour la gestion et l'exécution des applications de sécurité au sein d'un équipement électronique interactif munis dudit appareil. Ledit appareil périphérique comporte les moyens sécurisés de stockage, gestion et exécution de multiples applications de sécurité et au moins un coupleur de carte à microcircuit. Par coupleur de carte à microcircuit on entend les moyens mettant en oeuvre l'interface électrique avec la carte et les protocoles de communications en conformité avec les standards de l'art. Ce terme couvre les cartes à contacts et les cartes sans contact. Par équipement interactif on entend tout poste de travail de type terminal d'ordinateur, station de travail, ordinateur personnel, terminal multimédia. Par application de sécurité ou SAM on entend un objet logiciel comportant un code exécutable et toutes les ressources spécifiques nécessaires à son fonctionnement, résidant et s'exécutant dans la mémoire d'un microcircuit sécurisé munis d'un système d'exploitation sécurisé aussi. Un exemple typique de SAM est le porte-monnaie électronique disponible sur carte à microcircuit. Par dispositif périphérique de pointage on entend le dispositif actionné manuellement par son utilisateur pour agir sur des objets visuels, destiné à être utilisé avec un équipement électronique hôte interactif comportant un écran et une interface utilisateur graphique comprenant lesdits objets visuels. Exemples de dispositifs périphériques de pointage: - la souris opto-mécanique à bille; - la souris optique nécessitant un tapis spécial; - la boule ou track-ball; - les numériseurs à stylet ou à curseur; - les pointeurs tactiles; - les manches oujoystics; - les télécommandes à levier pour CD-I. A l'exception de certaines manches, les messages échangés entre un dispositifs périphériques et son équipement hôte sont des trames définies dans le cadre d'un protocole de communication. Par trame on entend une suite d'éléments binaires ou bits représentant un ensemble cohérent d'informations codées. La demande de brevet français n" 9509952 décrit un dispositif périphérique de pointage comportant des coupleurs de cartes à microcircuit ayant des fonctions de terminal financier personnel. Aussi, une multitude de terminaux de carte à microcircuit sont disponibles sur le marché, dont certains comportent deux coupleurs, le deuxième coupleur ayant le connecteur de carte avec accessibilité réduite. Il existe aussi des terminaux avec un seul coup leur de carte à microcircuit et qui comportent en option des moyens sécurisés résidents. Ces moyens sont des microcircuits équivalents à ceux utilisés sur les cartes à puce. Tous ceux terminaux nécessitent un port de communication dédié ou partagé. Il existe aussi des systèmes d'exploitation pour les cartes à microcircuit (exemple STARCOS de Gieseke & Devrient I DAO) permettant plusieurs applications sécurisées sur une même carte, connue dans l'art comme une carte multi-applications. L'avancement des technologies favorise le développement du marché des cartes multi-applications, freinant ainsi la multiplication des cartes à puce sur un même utilisateur. Dans ce cas le microcircuit est un microcontrôleur et il est généralement disponible aussi dans un boîtier classique DIL, SO, etc. Les applications sécurisées les plus répandues sont dans la monétique (carte bancaire, porte-monnaie électronique) et dans la téléphonie mobile (SIM en GSM, etc.). Les applications de sécurité sont indépendantes entre elles et chacune peut accéder aux fonctions cryptographiques du système d'exploitation. Des applications similaires existent pour le contrôle d'accès. Aussi, une application peut être chargée sur un carte à microcircuit d'une manière similaire aux chargement des logiciels sur un ordinateur. Par ailleurs, le chargement même d'une SAM peut être réalisé à un haut degré de sécurité. La protection des logiciels contre l'utilisation illicite est réalisée notamment avec des clés physiques qui se branchent sur les ports de communications du poste de travail. Ces clés ou dongles se présentent habituellement sous la forme de boîtiers avec double connecteurs pour permettre le branchement d'autres équipements. Les connecteurs des postes de travail sont situé d'habitude derrière l'équipement, dont une accessibilité généralement réduite nécessitant le déplacement du matériel au moment de l'installation de la clé. Aussi, il est fréquent que plus d'un dongle soit connecté sur un même port, ceci nécessitant souvent des précautions et des matériaux supplémentaires pour éviter les sollicitations mécaniques excessives dans les connecteurs de l'équipement hôte. Aussi, le traitement des incidents causés par les dongles défaillants est généralement lent. Un premier but de la présente invention est de remédier à ces inconvénients et proposer un procédé pour la gestion et l'exécution des applications de sécurité au sein d'un équipement électronique interactif munis d'un appareil périphérique comportant les moyens sécurisés de stockage, gestion et exécution desdites applications de sécurité et des moyens de pointage. Suivant l'invention, le procédé comprend un protocole de communication étendu du protocole de communication spécifique aux moyens de pointage dudit appareil périphérique. Ce protocole permet l'utilisation d'un seul port série pour la communication entre des logiciels applicatifs et les moyens de pointage et les moyens sécurisés réunis dans l'appareil périphérique selon l'invention. Ainsi, selon une forme avantageuse de ce protocole, les données et les commandes sont transmise sous la forme de trames comprenant un ensemble de champs constitué chacun d'une séquence codée comportant un nombre prédéterminé de bits, chaque trame comprenant un champ d'identification et au moins un des champs suivants: - champ de l'information de pointage, - champ de l'information relative aux moyens sécurisés. Le champ l'information relative aux moyens sécurisés comporte obligatoirement un champ de contrôle qui précise le type d'information suivi des champs optionnels donnant la longueur du message d'application de sécurité, et un champ de contrôle d'intégrité dudit message. Ainsi, les logiciels qui mettent en oeuvre le procédé selon l'invention n'ont plus besoin de clés de protection encombrant ordinairement les ordinateurs. Caractéristique à cette invention, les clés physiques de protection sont ainsi dématérialisées, chacun des logiciels installés sur un ordinateur, ayant associée une application de sécurité installée dans l'appareil périphérique. Le procédé fait appel à une carte à microcircuit de distribution des applications de sécurité qui comporte un compteur de licences pour le contrôle des transferts multiples d'une même application de sécurité dans la limite d'un nombre prédéfini d'installations. Selon un autre aspect, le procédé selon l'invention permet le transfert des application de sécurité entre des moyens sécurisés locaux ou distants, garantissant la seule validité des applications de sécurité dans les moyens récepteurs et l'éventuelle vérification du code personnel son initiateur uniquement au niveau de l'appareil périphérique. Aussi, le procédé selon l'invention concerne le driver de l'appareil périphérique, qui fournit l'information de pointage à un logiciel applicatif et en même temps assure la transmission des messages vers le même ou un autre logiciel applicatif simultanément actif et son application de sécurité. L'invention vise aussi un appareil périphérique unique comportant les moyens requis pour la mise en oeuvre du procédé selon l'invention. L'appareil périphérique intègre les fonction de pointage et de terminal pour les cartes à microcircuit. Spécifiquement à cette invention, il comprend des moyens sécurisés de stockage, gestion et exécution des applications de sécurité. Cet appareil bénéficie de l'accessibilité, la manoeuvrabilité et la facilité d'installation spécifiques au dispositifs périphériques de pointage et nécessite un seul port de communication série. Pratiquement, L'appareil selon l'invention regroupe plusieurs objets jusqu'ici distincts un dispositif de pointage, un terminal de cartes à microcircuit et une pluralité de clés de protection (dongles). L'appareil comporte des moyens qui mettent en oeuvre un protocole de communication étendu du protocole spécifique à ses moyens de pointage. Selon une version préférée de l'invention, l'appareil transmet les messages émis par les moyens sécurisés sous la forme de trames dont le premier champ est la trame spécifique de pointage modifié suivie dudit message complet ou repartit sur plusieurs trames du même type. Aussi, les trames de pointage et les trames étendues peuvent être alternées. Selon une forme de réalisation avantageuse, les moyens sécurisés de stockage et exécution desdites applications de sécurité sont regroupés dans une carte à microcircuit miniature amovible. Ainsi, la gestion et la disponibilité desdits moyens de stockage et exécution des applications de sécurité sont rendues indépendantes de la maintenance de l'appareil. Selon un autre aspect, L'appareil comporte des moyens permettant le transfert des applications de sécurité entre les moyens sécurisés de stockage, gestion et exécution desdites applications de sécurité et la carte de distribution des applications de sécurité, et réciproquement, en coopération avec l'équipement interactif auquel il est connecté ou indépendamment de celui-ci. Selon un autre aspect, L'appareil comporte des moyens de saisie d'un code identifiant numérique ou manuscrit et de transmission dudit code à l'application de sécurité ayant fait la requête, sans que ce code transite par l'équipement hôte. L'appareil selon l'invention comportant des moyens d'affichage propres permet à son utilisateur de contrôler le résultats des opérations impliquant les applications de sécurité indépendamment de l'équipement hôte. Cette caractéristique est particulièrement adaptée pour un appareil selon l'invention utilisé en tant que télécommande d'un terminal multimédia. Selon un autre aspect, L'appareil est caractérisé en ce que les moyens de pointage et les moyens de communication avec les moyens sécurisés sont autonomes et fonctionnent simultanément. Aussi, les moyens de contrôle, traitement et communication de l'appareil peuvent être regroupés au sein d'un même circuit intégré. Selon une forme de réalisation avantageuse, les moyens mettant en oeuvre le protocole étendu, ainsi que les autres moyens relatifs au fonctionnement des moyens sécurisé sont regroupés au sein d'un premier microcontrôleur et les moyens de pointage et des moyens de communication sont regroupés au sein d'un deuxième microcontrôleur. Les moyens de contrôle du premier microcontrôleur permettent la connexion exclusive de son émetteur soit à ligne de sortie, soit au récepteur du second microcontrôleur. Les caractéristiques et avantages ci-dessus ainsi que d'autres caractéristiques et avantages de l'invention seront mieux compris à la lecture de l'exposé détaillé suivant, donné à titre d'exemple non limitatif et illustré par les figures annexes: - la figure 1 est un organigramme d'une séquence d'interrogation d'une application SAM par un applicatif s'exécutant sur un équipement hôte mise en oeuvre dans le procédé selon l'invention, - la figure 2 est un organigramme d'une séquence d'installation d'une application SAM dans le procédé selon l'invention, - la figure 3 est un organigramme d'une séquence de déinstallation d'une application SAM dans le procédé selon l'invention, - la figure 4 est un schéma-bloc simplifié d'un appareil mis en oeuvre dans le procédé selon l'invention, - la figure 5 est un schéma simplifié d'un module de traitement et communication d'un appareil selon l'invention comportant deux microcontrôleurs, - la figure 6 illustre la structure d'une trame étendue selon le procédé selon l'invention, - la figure 7 illustre la structure du champ de contrôle (OPC) d'une trame étendue selon le procédé selon l'invention, - la figure 8 illustre la structure d'une trame typique émise par une souris conventionnelle, - la figure 9 illustre la structure d'une trame transmise par un appareil selon l'invention et comprenant l'information de pointage et le message produit par une application de sécurité, - la figure 10 illustre la structure d'une première trame transmise par un appareil selon l'invention et comprenant l'information de pointage et un premier segment d'un message produit par une application de sécurité, - la figure 11 illustre la structure d'une dernière trame transmise par un appareil selon l'invention et comprenant l'information de pointage et le segment final d'un message produit par une application de sécurité. On va maintenant décrire une forme préférée de réalisation d'un procédé et d'un dispositif périphérique pour la gestion et l'exécution des applications de sécurité selon l'invention en référence aux figures 1 à 11. Un appareil selon l'invention intègre les fonctions de base suivantes : pointage, coupleur de cartes à microcircuits, saisie et validation du code personnel ou PIN, gestionnaire des applications de sécurité. L'appareil remplace le dispositif de pointage sur un équipement hôte et son pilote ou driver reprend toutes les fonctions du pilote du dispositif de pointage dont ledit appareil intègre la fonction. Selon une forme avantageuse de l'appareil, il intègre la fonction d'une souris ou d'une track-ball, les plus répandus des dispositifs de pointage. Le protocole de communication entre l'appareil et son driver selon l'invention est une extension du protocole du dispositif de pointage. Le procédé selon l'invention exploite ledit protocole étendu pour la gestion et exécution des applications de sécurité. Ce protocole utilise une même voie de communication série pour véhiculer l'information de pointage et les messages de sécurité. Ainsi, la fonction de pointage et la fonction de terminal de carte à microcircuit sont disponibles quasi simultanément et indépendamment une de l'autre. Dans le cadre dudit protocole de communication, les informations et les commandes sont transmise sous la forme de trames comprenant un ensemble de champs constitué chacun d'une séquence codée comportant un nombre prédéterminé de bits, comme illustré dans la figure 6. Ainsi, une trame comporte obligatoirement un champ d'identification (FID) et au moins un des champs suivants - champ de l'information de pointage, - champ de l'information relative à une application de sécurité. Le champ d'identification (FID) initialise les moyens de réception pour l'analyse de son contenu. Pour les dispositifs périphériques de pointage et un mode de fonctionnement donné, leurs trames ont une longueur fixe. Dans une telle trame, le bit de poids fort est réservé à l'identification de son début. Le protocole mis en oeuvre selon l'invention utilise la même méthode pour préservé la compatibilité avec les dispositifs de pointage classiques et place toujours l'information de pointage en début de trame étendue. Ainsi, ils n'est pas restrictif de considérer la trame de pointage comme une part du champ d'identification (FID) de la trame étendue dont la figure 6 en est une illustration.Par exemple, la présence du champ de l'information relative à une application de sécurité peut être indiquée selon le même principe par une valeur particulière d'un groupe de bits du premier octet de la trame. Ainsi, le champ de l'information relative à une application de sécurité comporte tous ou une part des champs suivants dans l'ordre de citation, à partir d'une position déterminée par ladite valeur particulière d'un groupe de bits du champ d'identification (FID): - champ de contrôle (OPC), - champ donnant la longueur du message d'application de sécurité (DLEN), - champ qui comprend tout ou une part du message d'application de sécurité proprement-dit (CLG) ou (RPL), - champ de contrôle de l'intégrité dudit message (CRC). Les trames étendue ont longueur variable selon le champ de contrôle (OPC). Si la trame comporte un message (CLG) destiné à une application de sécurité ou un message (RPL) destiné à un applicatif, le champ (OPC) est suivi par un champ (DLEN) donnant la longueur dudit message (CLG) ou (RPL). La longueur du champ (DLEN) est une fonction de la longueur maximale admise pour les messages (CLG) et (RPL). Les moyens de contrôle et traitement de l'appareil selon l'invention ignorent la signification desdits messages (CLG) et (RPL). Le champ optionnel (CRC) permet l'éventuel contrôle de l'intégrité desdits messages (CLG) ou (RPL). Une trame étendue est complètement définie par son champ de contrôle (OPC) qui comprend au moins les informations suivantes (figure 7): - le code (OPC.C) de l'opération concernant une ou plusieurs applications de sécurité, - I'adresse de application de sécurité concernée par la trame (OPC.A), - le nombre (OPC.S) d'octets du champ de l'information relative à une application de sécurité transmis par trame étendue, ce nombre (OPC.S) étant au moins égal à la longueur du champ (OPC). L'adresse (OPC.A) prend aussi en compte le coupleur par lequel on accède à l'application de sécurité. Les messages longs sont transmis par segments de longueur constante (OPC.S) à l'exception d'un dernier segment, repartis sur plusieurs trames étendues plus courtes. Cette méthode permet d'assurer l'uniformité de la fréquence d'acquisition de l'information de pointage. Selon une forme de réalisation de l'invention et illustré dans la figure 4, L'appareil comporte deux coupleurs pour cartes à microcircuit. Une carte représente les moyens de stockage, gestion et exécution des applications de sécurité (27) et elle sera désignée carte collectrice ou SAMC. Dans le procédé selon l'invention, chaque logiciel applicatif nécessitant protection contre la fraude est livré avec une carte (30) qui comporte une application de sécurité de distribution qui remplace la clé ordinaire de protection. La carte (30) sera désignée en ce qui suit comme carte de distribution ou SAMD. Dans ce contexte, la figure 1 est un organigramme d'une séquence simplifiée d'interrogation d'une application de sécurité SAM résidant dans la carte collectrice (27) d'un appareil périphérique par un applicatif s'exécutant localement ou accédant à l'équipement hôte ayant branché ledit appareil. Dans cet exemple, la SAM a le rôle d'une clé de protection de cet applicatif La première étape du challenge de la SAM (1) consiste à générer un code aléatoire (RNDC) qui est ensuite mémorisé. Dans l'étape (2), ce code (RNDC) est crypté selon un procédé à clé symétrique bien connu dans l'art. Cette clé de cryptage est connue par l'applicatif et par sa SAM. Le résultat de l'étape (2) est un autre code représentant le challenge (CLG) à transmettre à la SAM.Dans l'étape (3), I'applicatif vérifie si il peut transmettre ce challenge (CLG) au pilote de l'appareil. Dans l'étape (4), le message challenge (CLG) est transféré à ce pilote qui le transmet selon un protocole étendu du protocole de communication spécifique aux moyens de pointage dudit appareil périphérique à la SAM de destination. Dans l'étape (5), I'applicatif attend pour un temps prédéfini la réplique de la SAM. La SAM utilise un algorithme pour décrypter le challenge (CLG). Si la SAM est authentique, la clé de décryptage est la même et retrouve le code aléatoire initial en clair. Sa réplique (RPL) est transmise au pilote de l'appareil pour être lue dans l'étape (6) par l'applicatif. L'étape suivante (7) consiste à comparer le code initial (RNDC) avec la réplique (RPL). Si ils sont identiques, il n'y a pas de fraude. Une telle séquence de challenge de SAM s'intègre dans l'applicatif à protéger. Si la séquence de la figure 1 a un seul message de retour en cas de succès (8), les messages d'erreurs (9) sont plus nombreux dans la pratique et reflètent les situations d'échec possibles dans toutes ses étapes. La séquence simplifiée d'installation d'une application de sécurité ou SAM dans le procédé selon l'invention est présentée dans la figure 2. Une carte de distribution (30) d'applications de sécurité peut servir pour plusieurs installations d'une même application de sécurité. Ladite carte comporte pour chaque application de sécurité un compteur de licences (LCNT) initialisé au nombre d'installation permise pour ladite application. Le programme d'installation de I'applicatif demande dans l'étape (10) la carte de distribution (30) dans le connecteur (29) de l'appareil.La procédure est interrompue si: - le test (11) ne reconnaît pas la carte de distribution (30) ou le compteur du nombre de licences à installer LCNT est nul, - le test (12) ne trouve pas assez de mémoire dans la carte collectrice (27) ou cette carte ne supporte pas la SAM à installer, - le test (14) ne valide pas la copie. Si le conditions (11) et (12) sont réunies, l'étape (13) transfère la SAM de la carte de distribution (30) à la carte collectrice (27). Les moyens (24) déclenchent ce transfert qui ensuite se déroule entre les deux cartes selon un quelconque procédé de transfert de données sécurisé Pendant ce transfert, les moyens (24) agissent uniquement comme canal de liaison entre les deux cartes. Le système d'exploitation de la carte collectrice (27) amène la SAM à sa forme exécutable. Ensuite, la carte (27) effectue le test (14) qui comprend la validation du transfert proprement-dit et ensuite la vérification du fonctionnement correct de la SAM. Cette vérification consiste à simuler l'interrogation de la SAM et à vérifier son comportement. La carte collectrice (27) efface de sa mémoire la SAM invalide. L'installation d'une SAM est équivalente à un transfert de valeur selon un mécanisme transactionnel similaire à celui utilisé dans les systèmes portemonnaie électronique. Ce mécanisme transactionnel assure dans l'étape (15) que le compteur de licences (LCNT) soit diminué d'une unité uniquement si la SAM est validée par la les moyens de sécurisés de stockage, gestion et exécution (27). L'organigramme simplifié de déinstallation d'une application SAM dans le procédé selon l'invention est présenté dans la figure 3. Le programme de déinstallation de l'applicatif protégé par une SAM demande dans l'étape (16) l'insertion de la carte de distribution (30) ou équivalente dans le connecteur (29) de l'appareil. Le test (17) vérifie si la SAM à déinstaller accepte la carte introduite dans le connecteur (29). Si la carte (30) est la carte d'origine, le code de la SAM y est toujours présent et l'étape (19) augmentera d'une unité le compteur de licences (LCNT). Si la carte (30) n'est pas celle d'origine, le code de la SAM est transféré de la carte collectrice (27) dans l'étape (21) à la condition (20) de mémoire suffisante, dans des conditions similaires à l'étape (13) du processus d'installation décrit cidessus. Toujours dans l'étape (21), le système d'exploitation de la carte (30) crée un compteur de licences (LCNT) initialisé à zéro. Dans le cas de transfert de code de SAM, la carte (30) vérifie dans l'étape (22) la validité de la copie, comme dans l'étape (14) de l'organigramme d'installation de SAM. Par un mécanisme transactionnel comme celui de l'installation d'une SAM, I'opération de déinstallation assure que seulement en cas de succès la carte (30) comporte une SAM valide et un compteur de licences (LCNT) incrémenté d'une unité et que la carte (27) efface la SAM en question de sa mémoire dans l'étape (23).Le procédé permet ainsi à toute carte (30) ayant reçu par déinstallation une application de sécurité d'être équivalente à une carte de distribution d'origine. Les opérations d'installation et de déinstallation d'une application de sécurité décrites ci-dessus sont en effet des opérations de transfert sécurisé de licence. Ces opérations de transfert sont effectuées uniquement entre des moyens sécurisés de stockage, gestion et exécution des applications de sécurité, lesdits moyens étant matérialisés par des cartes à microcircuit munis d'un système d'exploitation adéquat. Ainsi, dans l'esprit de l'invention, une application de sécurité est transférée entre deux cartes distante qui communiquent entre elles par des moyens interposés assurant le transport et l'intégrité de leurs messages, via des réseaux de communication.Aussi, une procédure de transfert de SAM en tant que licence d'utilisation flottante d'un équipement hôte à un autre en utilisant les réseaux de communications est similaire à la procédure de déinstallation de SAM décrite ci-dessus. Dans ce cas, la carte SAMD est remplacée par la carte collectrice SAMC de destination. La figure 4 est le schéma-bloc simplifié d'un appareil dont le module (24) regroupe les moyens de contrôle, traitement et communication pour la mise en oeuvre de la fonction de pointage et la fonction de terminal de cartes à microcircuit. L'appareil communique avec l'équipement hôte par des moyens de communication série bidirectionnelle et ils n'est pas important le type de liaison galvanique, infrarouge, radio - ou le codage implémenté sur la l'interface (25). Les moyens d'alimentation (31) sont soit autonomes et comportes des piles ou batteries ou l'énergie est fournie par un câble qui sert aussi les moyens de communication. Dans une version de l'appareil sou la forme d'une souris ou une track-ball, les moyens spécifiques optoélectronique et/ou mécaniques sont regroupés dans le module (34) pour la coordonnée X et le module (33) pour la coordonnée Y. Le module (32) regroupe les boutons de l'appareil. L'appareil comporte un coupleur de carte à microcircuit dont le connecteur (29) est de préférence destiné à recevoir une carte (30) de format ISO 7816. La carte (30) est un moyen de distribution, de stockage et de transport pour les applications de sécurité. L'appareil comprend des moyens sécurisés de stockage, gestion et exécution desdites applications de sécurité (27) insérés dans le connecteur (28). Les moyens (27) sont regroupé dans un microcontrôleur sécurisé munis d'un système d'exploitation multi-applications, de préférence dans une version carte miniature (mini SIM), pour l'aisance de la manipulation. Le module (24) comporte des moyens qui mettent en oeuvre un protocole étendu du protocole de communication spécifique aux moyens de pointage. Lesdits moyens transmettent, reçoivent et interprètent les informations sous la forme de trames comprenant un ensemble de champs constitué chacun d'une séquence codée comportant un nombre prédéterminé de bits, chaque trame comprenant un champ d'identification (FID), comme décrit ci-dessus. Ainsi, le driver de l'appareil peut transmettre dans une même trame une commande aux moyens de pointage et un message à une application de sécurité et réciproquement, l'appareil transmet des trames combinant information de pointage et de sécurité. Le module (24) comporte des moyens de contrôle du protocole qui analysent les trames reçus par l'interface série (25), des moyens d'exécution des commandes reconnues et des moyens de transmission sans modification des champs destinés aux applications SAM présentes dans l'appareil. Lesdits moyens de contrôle du protocole identifient les champs des trames et traitent séparément l'information de pointage et l'information de sécurité. Ainsi, les messages émis par une SAM sont retransmis par simple réplication à une SAM présente dans l'autre carte installé dans l'appareil, ou sont intégrés dans une ou plusieurs trames selon ledit protocole étendu. Aussi, le protocole étendu permet l'échange de messages entre deux applications SAM distantes, tous les moyens matériels et logiciels s'interposant étant transparents pour la transaction. Les figures 8 à 11 illustrent une implémentation particulière des la structure des trames étendues décrites ci-dessus à l'aide des figure 6 et 7. La figure 8 présente la trame émise par une souris conventionnelle. Cette trame comporte trois octets, dont les bits de poids fort ne sont pas utilisés. Ces bits sont utilisés pour indiquer les trames étendues. En partant de cette trame, la figure 9 illustre la structure d'une trame étendue dont le champ d'identification (FID) reprend la trame de pointage et positionne à 1 le bit de poids fort de son premier octet. Ainsi, le pilote de l'appareil détecte la trame étendue et analyse le quatrième octet qui correspond au champ de contrôle (OPC) de l'information de sécurité.Le cinquième octet (DLEN = m) indique la longueur en octets de la réplique (RPL) d'une application SAM, seul ou en association avec un autre champ binaire disponible dans les octets précédents, par exemple les bits de poids fort des octets 2 et 3. Le champ de contrôle (CRC) comporte (n) octets. Les figures 10 et 11 illustrent la structure de la première, respectivement la cinquième trame des trames étendues qui transmettent la réplique d'une application de sécurité en plusieurs segments consécutifs pour le paramètre OPC.S = 8, une réplique (RPL) de 32 octets et un (CRC) sur 16 bits. Le champ (OPC.S) indique au driver de l'appareil le nombre d'octets du champ de l'information relative à une application de sécurité ajoutés à la trame de pointage, à l'exception d'une dernière trame. Aussi, les trames de pointage et les trames étendues peuvent être alternées. On observera que les mêmes moyens mettant en oeuvre l'échange de messages entre deux applications de sécurité permettent le transfert d'application de sécurité d'un moyen sécurisé à un autre, chacun desdits moyens sécurisée comprenant un système d'exploitation mettant en oeuvre des moyens de transfert d'application de sécurité. Le code de l'application est transféré dans une ou plusieurs trames étendue. Dans une version préférée, I'insertion de la carte de distribution d'application de sécurité (30) dans le connecteur (29) peut déclencher le transfert de son application sur la carte collectrice (27) de l'appareil. Ce transfert est aussi exécuté sous le contrôle d'un applicatif local ou distant et en coopération avec les moyens de l'équipement interactif. La commande de transfert est codée dans le champ de contrôle (OPC) d'une trame étendue. L'appareil comporte aussi un clavier (28) et des moyens de saisie d'un code identifiant numérique et de transmission dudit code à l'application de sécurité ayant fait la requête, sans que ce code transite par l'équipement hôte. Le même clavier ainsi que les moyens d'affichage (49) servent pour le contrôle du fonctionnement autonome de l'appareil. Les moyens qui mettent en oeuvre le protocole étendu de communication coopèrent avec les moyens de pointage et les moyens de communication avec les moyens sécurisés. Les moyens de communication avec les moyens sécurisés peuvent comporter des circuits électroniques spécialisés pour les protocoles de communication avec les microcontrôleurs sécurisés. Cette structure assure l'autonomie desdits moyens qui peuvent fonctionner simultanément. La figure 5 présente une version d'implémentation des moyens de traitement et communication (24) figure 4 avec deux microcontrôleurs qui comportent chacun des moyens de communication série: - un microcontrôleur (35) dédié à la fonction terminal de carte à microcircuit et - un microcontrôleur (36) dédié au fonctions de pointage. Le microcontrôleur (35) regroupe les moyens de contrôle et communication avec l'équipement hôte et avec les moyens sécurises. Ainsi, les trames étendus du protocole de communication de l'appareil sont à la charge des moyens regroupé au sein du microcontrôleur (35) et les trames de pointage sont à la charge de l'autre microcontrôleur (36). Le microcontrôleur (35) comporte les signaux de contrôle des flux de communication qui permettent à chacun des microcontrôleurs de communiquer avec l'équipement hôte et de communiquer entre eux avec les mêmes moyens de communication série: - le signal (40) contrôle le sélecteur formé par les portes (46) pour connecter le récepteur (39) soit à la ligne d'entrée (38), soit à l'émetteur (45) du microcontrôleur (36), et - le signal (41) contrôle le sélecteur formé par les portes (47) pour connecter à la ligne de sortie (37) soit l'émetteur (42), soit l'émetteur (45) du microcontrôleur (36). La porte (43) coupe le récepteur (44) du microcontrôleur (36) quand le microcontrôleur (35) est en communication avec l'équipement hôte. L'invention n'est pas limitée aux exemples décrits et de nombreux aménagements peuvent être apportés à ces exemples sans sortir du cadre de l'invention. L'homme de l'art observera qu'un appareil selon l'invention peut être décliné en partant d'un quelconque dispositif de pointage - souris, track-ball, tablette tactile, tablette numériseur a stylet ou à curseur - selon des critères ergonomiques, économiques et de fonctions définies. Le procédé et l'appareil selon sont destinés aux applications de protection des logiciels éliminant les clés classiques et de gestion des licences d'utilisation des logiciels notamment sur les équipement électroniques interactifs. On peut aussi envisager l'application de l'invention à la gestion sécurisée des licences d'exploitation des logiciels acquis directement par les réseaux en ligne. L'invention ouvre en même temps une possibilité de standardisation dans la protection des logiciels. Autres domaines d'application sont la monétique, le contrôle d'accès et la gestion des clés cryptographiques, en environnement professionnel ou domotique. Revendications 1. Procédé pour la gestion et l'exécution des applications de sécurité au sein d'un équipement électronique interactif munis d'un appareil périphérique, ledit équipement électronique comportant un écran et des moyens permettant l'exécution locale ou distante des logiciels applicatifs et ayant une interface utilisateur graphique comprenant des objets visuels sur lesquels un utilisateur agit manuellement par le biais dudit appareil périphérique caractérisé en ce que ledit procédé comprend un protocole de communication entre une partie au moins des logiciels applicatifs et des moyens sécurisés de stockage, de gestion et d'exécution d'une application de sécurité coopérant avec au moins un coupleur destiné à recevoir notamment une carte à microcircuit comportant une application de distribution des applications de sécurité, ce protocole étant une extension du protocole de communication spécifique aux moyens de pointage dudit appareil périphérique. 2. Procédé selon la revendication 1, caractérisé en ce que les informations et les commandes sont transmise dans le cadre dudit protocole de communication sous la forme de trames comprenant un ensemble de champs constitué chacun d'une séquence codée comportant un nombre prédéterminé de bits, chaque trame comprenant un champ d'identification (FID) et au moins un des champs suivants - champ de l'information de pointage, - champ de l'information relative aux moyens sécurisés. 3. Procédé selon la revendication 2, caractérisé en ce que le champ de l'information relative aux moyens sécurisés comporte tous ou une part des champs suivants dans l'ordre de citation - champ de contrôle (OPC), - champ donnant la longueur du message d'application de sécurité (DLEN), - champ qui comprend tout ou une part du message d'application de sécurité proprement-dit (CLG) ou (RPL), - champ de contrôle de l'intégrité dudit message (CRC). 4. Procédé selon la revendication 3, caractérisé en ce que le champ de contrôle (OPC) comprend au moins les informations suivantes - le code (OPC.C) de l'opération concernant une ou plusieurs applications de sécurité, - l'adresse de l'application de sécurité concernée par la trame (OPC.A), - le nombre (OPC.S) d'octets du champ de l'information relative à une application de sécurité transmis par trame étendue, ce nombre (OPC.S) étant au moins égal à la longueur du champ (OPC). 5. Procédé selon les revendications 1 à 4 caractérisé en ce que l'application de distribution des applications de sécurité (30) comporte un compteur de licences (LCNT) pour le contrôle des transferts multiples d'une même application de sécurité dans la limite d'un nombre prédéfini d'installations ou licences. 6. Procédé selon les revendications 1 et 5 caractérisé en ce que l'opération de transfert d'application de sécurité entre des moyens sécurisés locaux ou distants comporte toutes ou une part des étapes suivantes - identification de l'initiateur du transfert, - authentification réciproque des moyens sécurisés participants, - copie sécurisée du code de l'application sur les moyens de destination, - validation de la copie, - invalidation de l'application de sécurité dans les moyens source. 7. Procédé selon la revendication 6 caractérisé en ce que l'étape d'identification de l'initiateur du transfert consiste en ce qu'une application de sécurité installée dans un desdits moyens sécurisés de stockage, gestion et exécution des applications de sécurité (27) ou l'application de distribution des applications de sécurité (30), identifie l'initiateur du transfert par un code personnel saisi exclusivement avec les moyens dudit dispositif périphérique et sans que ce code transite par ledit équipement électronique interactif. 8. Procédé selon la revendication 6 caractérisé en ce que l'étape d'invalidation de l'application de sécurité dans les moyens source consiste dans l'effacement de son code et la libération de ses ressources à l'exception de l'application de distribution des applications de sécurité (30) dont seul le compteur de transferts (LCNT) est décrémenté d'une unité. 9. Procédé selon l'une quelconque des revendications précédentes caractérisé en ce que le driver de l'appareil périphérique, fournit l'information de pointage à un logiciel applicatif et en même temps assure la transmission des messages vers le même ou un autre logiciel applicatif simultanément actif et son application de sécurité. 10. Appareil périphérique pour la mise en oeuvre du procédé selon l'une au moins des revendications précédentes, destiné à coopérer avec un équipement électronique interactif comportant un écran et des moyens d'exécution permettant l'exécution locale ou distante des logiciels applicatifs et ayant une interface utilisateur graphique comprenant des objets visuels sur lesquels un utilisateur agit manuellement par le biais dudit appareil périphérique qui comporte des moyens de pointage et au moins un coupleur de carte à microcircuit, l'appareil périphérique comportant des moyens de communication série bidirectionnelle et des moyens d'alimentation autonome ou fournie par une source extérieure, caractérisé en ce que ledite appareil périphérique comprend en outre des moyens sécurisés de stockage, gestion et exécution d'au moins une application de sécurité. 11. Appareil selon la revendication 10, caractérisé en ce qu'il comporte les moyens de communication pour la transmission des informations entre les logiciels applicatifs s'exécutant sur ledit équipement interactif et les applications sécurisées installées dans ledit appareil et lesdits moyens mettent en oeuvre un protocole étendu du protocole de communication spécifique aux moyens de pointage dudit appareil périphérique. 12. Appareil selon la revendication 11, caractérisé en ce que lesdits moyens de communication transmettent les informations sous la forme de trames comprenant un ensemble de champs constitué chacun d'une séquence codée comportant un nombre prédéterminé de bits, chaque trame comprenant un champ d'identification et au moins un des champs suivants - champ de l'information de pointage, - champ de l'information relative aux moyens sécurisés. 13. Appareil selon la revendication 12, caractérisé en ce que le champ de l'information relative aux moyens sécurisés comporte tous ou une part des champs suivants dans l'ordre - champ de contrôle (OPC), - champ donnant la longueur du message d'application de sécurité (DLEN), - champ qui comprend tout ou une part du message d'application de sécurité proprement-dit (CLG) ou (RPL), - champ de contrôle de l'intégrité dudit message (CRC). 14. Appareil selon la revendication 13, caractérisé en ce que le champ de contrôle (OPC) comprend au moins les informations suivantes - l'adresse de application de sécurité concernée par la trame (OPC.A), - le code (OPC.C) de l'opération concernant une ou plusieurs applications de sécurité, - le nombre (OPC.S) d'octets du champ de l'information relative aux moyens sécurisés transmis par trame étendue, ce nombre (OPC.S) étant au moins égal à la longueur du champ (OPC). 15. Appareil selon l'une quelconque des revendications 10 à 14 caractérisé en ce qu'il comporte des moyens permettant le transfert des applications de sécurité entre lesdits moyens sécurisés de stockage, gestion et exécution desdites applications de sécurité (27) et une carte à microcircuit comportant une application de distribution des applications de sécurité (30), et réciproquement, en coopération avec l'équipement interactif auquel il est connecté ou indépendamment de celui-ci. 16. Appareil selon les revendications 10 à 15, caractérisé en ce qu'il comporte des moyens de saisie d'un code identifiant numérique ou manuscrit et de transmission dudit code à l'application de sécurité ayant fait la requête, sans que ce code transite par l'équipement hôte. 17. Appareil selon la revendication 16 caractérisé en ce qu'il comporte des moyens d'affichage. 18. Appareil selon l'une des revendications 10 à 17 caractérisé en ce que les moyens de pointage et les moyens de communication avec les moyens sécurisés (27) sont autonomes et fonctionnent simultanément. 19. Appareil selon l'une des revendications 10 à 18 caractérisé en ce que les moyens de contrôle, traitement et communication (24) sont regroupés au sein d'un circuit intégré unique. 20. Appareil selon l'une des revendications 10 à 18 caractérisé en ce que les moyens mettant en oeuvre le protocole étendu, ainsi que les autres moyens relatifs au fonctionnement des moyens sécurisés sont regroupés au sein d'un premier microcontrôleur (35) et les moyens de pointage et des moyens de communication sont regroupés au sein d'un deuxième microcontrôleur (36). 21. Appareil selon la revendication 20 dans lequel les moyens de communication des microcontrôleurs (35) et (36) comprennent chacun un récepteur et un émetteur, caractérisé en ce qu'il comporte des moyens de connexion desdits récepteurs et émetteurs et des moyens de contrôle desdits moyens de connexion compris dans le microcontrôleur (35) qui permettent à chacun des microcontrôleurs de communiquer avec l'équipement hôte et de communiquer entre eux. 22. Appareil selon la revendication 21 caractérisé en ce que les moyens de contrôle du microcontrôleur (35) permettent la connexion exclusive de l'émetteur (42) soit à ligne de sortie (37), soit au récepteur (44) du microcontrôleur (36). 23. Application du procédé selon les revendications 1 à 9 à la protection des logiciels applicatifs, caractérisé en ce qu'à chaque logiciel applicatif protégé est associée une application de sécurité unique installée dans ledit appareil périphérique, l'applicatif et son application de sécurité connaissant chacun une même information secrète sous la forme d'une ou plusieurs clés et mettant en oeuvre un même algorithme cryptographique, le challenge consistant en ce que l'applîcatif - génère un code aléatoire, - crypte ce code, - transmet le résultat à l'application de sécurité et - vérifie si la réplique est identique au code initial.