Brevet FR2749680A1 — publié le 19971212

DISPOSITIF POUR LA SECURISATION DE TRANSACTIONS INFORMATISEES, NOTAMMENT POUR LE PAIEMENT ELECTRONIQUE. La présente invention concerne un dispositif pour la sécurisation de transactions informatisées, notamment pour le paiement électronique. Plus particulièrement, elle concerne la sécurisation de postes informatiques comprenant un terminal d'ordinateur connecté au réseau téléphonique, ou plus généralement à un réseau accessible par d'autres postes. On connaît dans l'état de la technique de nombreuses solutions pour la sécurisation de transactions informatisées. Certaines mettent en oeuvre des cartes à mémoires, d'autres sont basées sur des principes de cryptage, par exemple de type R.S.A., impliquant l'usage de clés publiques et de clés privées. Toutes ces solutions ont en commun l'inconvénient suivant : lorsque l'unité centrale est reliée à un réseau, il n'est jamais possible de garantir de manière absolue qu'un tiers ne puisse recueillir les informations secrètes saisies par l'utilisateur habilité. Ces informations secrètes sont par exemple le code de la carte à mémoire ou la clé privée dans une solution de cryptage. Le but de la présente invention est de remédier à cet inconvénient en proposant une solution améliorant la sécurité par rapport à ce type de fraudes. A cet effet, l'invention concerne plus particulièrement un dispositif pour la sécurisation de transactions informatisées, notamment pour le paiement électronique, caractérisé en ce qu'il est formé par un boîtier destiné à être branché entre le clavier et l'unité centrale, ce boîtier contenant un circuit électronique apte à vérifier l'autorisation d'accès et modifier l'état de la liaison entre le clavier et l'unité centrale entre un mode direct et un mode déconnecté, ce dernier mode étant activé lors de la séquence de vérification de l'autorisation d'accès. Un tel boîtier présente, outre l'avantage de l'amélioration sensible de la sécurité, l'intérêt d'un faible coût et d'une intégration facile dans un équipement préexistant. I1 peut être facilement connecté sur la prise du clavier et sur le port correspondant de l'unité centrale. Par ailleurs, il permet de gérer par l'intermédiaire de fichiers informatiques éventuellement téléchargeables, par exemple un "driver" de commande du boîtier, le paramètrages et le mode de fonctionnement de la sécurisation. Ce boîtier peut alors être un dispositif standard venant s'intégrer sans perturbation dans le poste de travail d'un opérateur. I1 intercepte les signaux échangés entre le clavier et l'unité centrale, et désactive provisoirement la liaison pendant la phase de saisie d'informations secrètes, suivant un ou plusieurs protocoles qui sont chargées dans la mémoire de l'ordinateur, ou qui sont transmises par le réseau auquel est connecté le poste de travail informatique. On réduit ainsi considérablement les possibilités pour un tiers d'accéder aux informations saisies par l'opérateur au moment de la phase critique d'entrée d'un code confidentiel. Selon une variante de réalisation, le boîtier incorpore un lecteur de carte à mémoire ou équivalent, une partie au moins des informations pour la vérification de l'autorisation d'accès étant enregistrée dans la carte à mémoire. Cette carte à mémoire peut être une carte bancaire, un porte-monnaie électronique, ou encore une carte de personnalisation du poste de travail, de contrôle d'accès ou d'accréditation. Elle peut encore être une carte d'autorisation d'accès à un réseau informatique ou téléphonique, ou à un programme, fichier, zone de fichier ou espace de mémoire de l'ordinateur. Selon un mode de réalisation avantageux, le lecteur de carte à mémoire comporte un moyen de détection de la présence de la carte assurant le passage de l'état de liaison entre le clavier et l'unité centrale en mode déconnecté, jusqu'à la fin du processus de vérification de l'autorisation d'accès. Selon une variante, le lecteur de carte à mémoire comporte un moyen de détection de la présence de la carte assurant le passage de l'état de liaison entre le clavier et l'unité centrale en mode direct en l'absence de carte à mémoire. Selon un deuxième mode de réalisation, le circuit de vérification du boîtier calcule une clé d'autorisation en fonction d'informations transmises d'une part par l'unité centrale, et d'autre part délivrées par le clavier pendant le mode déconnecté. Ce mode de réalisation est particulièrement adapté en relation avec des systèmes de cryptage tel que R.S.A. ou asynchrone à clés publiques et privées ou DES. Selon un mode de réalisation préféré, le circuit délivre à l'une centrale, en mode déconnecté, des séquences de signaux de services telles que de démarrage ou de réinitialisation, ou d'interruption, lorsque le clavier délivre une séquence de signal correspondant. Ce mode de réalisation permet de conserver, même en mode déconnecté, la possibilité d'adresser à l'unité centrale des instructions fondamentales telles que la réinitialisation par l'action simultanée sur les touches "CTR" "ALT" et "DEL" par exemple, et l'interruption de l'exécution d'un programme par l'action sur les touches "ESC" ou "Ctrl" et "B". Selon un mode de réalisation particulier, le passage d'un état de liaison à l'autre état de la liaison entre le clavier et l'unité centrale est commandé par un signal de service transmis par l'unité centrale au clavier, en particulier par une séquence predéterminée de signaux d'activation du bruiteur intégré dans le clavier. Ces signaux font partie des protocoles standard utilisés en informatique, et permettent de générer sans modification matérielle, mais seulement par modification logicielle, des données disponibles sur le port "clavier" de l'unité centrale, données qui sont aptes à être exploitées par le calculateur du boîtier pour commander le passage dans l'un ou l'autre des modes de liaison avec le clavier. Avantageusement, le boîtier interposé entre le clavier et l'unité centrale comporte un moyen d'impression d'un certificat d'authentification ou d'autorisation. L'invention sera mieux comprise à la lecture de la description qui suit, faisant référence aux figures annexées relatives à des exemples non limitatifs de réalisation où - La figure 1 représente une vue schématique d'une installation selon l'invention ; - la figure 2 représente le schéma de principe d'un exemple de réalisation du dispositif selon l'invention. La figure 1 représente une vue schématique d'une station de travail comportant une unité centrale (1) et un clavier (2). L'unité centrale (1) est par ailleurs relié au réseau téléphonique par l'intermédiaire d'un modem (modulateur-démodulateur) (3) ou d'une interface pour l'accès à un réseau numérique RNIS, par exemple NUMERIS (marque déposée). L'unité centrale (1) peut en outre être connectée à un boîtier (4) de raccordement à un réseau informatique sur lequel sont connectés l'ensemble des postes de travail ou un serveur local. Le boîtier (5) est interposé entre l'unité centrale (1) et le clavier (2). I1 est connecté d'une part au port clavier de l'unité centrale, et d'autre part sur la prise de raccordement du clavier. Ce boîtier (5) ne modifie pas, au repos, la liaison entre le clavier et l'unité centrale (1). I1 se comporte comme une liaison continue. Par contre, pendant les phases de vérification ou d'authentification, il crée une interruption physique entre le clavier et l'unité centrale de manière à ce qu'aucun signal électrique provenant du clavier (2) n'aboutisse à l'ordinateur. Pendant les phases de vérification ou d'authentification, le calculateur intégré dans le boîtier (5) exécute localement les procédures informatiques de certification et d'autorisation, en fonction des signaux qui proviennent de l'unité centrale (1) et/ou du clavier (2), sans que les informations traitées localement ou provenant du clavier (2) ne soient accessibles sur la sortie du boîtier (5). La figure 2 représente le schéma de principe d'un dispositif selon l'invention. Le circuit reçoit des signaux Srcl provenant du clavier, des signaux Sruc provenant de l'unité centrale et délivre des signaux Secl vers le clavier et des signaux Seuc vers l'unité centrale. La liaison entre le clavier et l'unité centrale est interrompue physiquement et est rétablie physiquement ou électroniquement sous le contrôle d'un calculateur (10) par l'intermédiaire d'un coupleur (11). Le coupleur (11) est réalisé selon un circuit quelconque connu dans l'état de la technique. I1 peut s'agir d'un coupleur optoélectronique, d'un ensemble de relais à semi-conducteurs, ou encore d'une interface formée par un circuit intégré spécialisé. Dans le mode déconnecté, aucun signal électrique Srcl disponible à l'entrée du coupleur (11) n'est accessible ou détectable à la sortie Seuc du coupleur. Les signaux Srcl et Sruc sont par ailleurs transmis au calculateur (10) qui reçoit également des informations provenant d'une mémoire (12) et d'un lecteur de carte (13) muni d'un détecteur (14) délivrant un signal de présence de carte. Les fonctions du calculateur (10) sont détaillées ci-après. Au repos, lorsque le détecteur (14) ne détecte pas la présence d'une carte, ou en cas de dysfonctionnement du calculateur (10), le coupleur (11) est mis automatiquement en mode de connexion dans lequel les signaux Srcl provenant du clavier sont directement transmis à l'unité centrale. Lorsque le calculateur (10) reconnaît des signaux de service dont les paramètres sont enregistrés dans la mémoire (12), des signaux identiques sont générés par le calculateur (10) et injectés sur la sortie de signaux Seuc. Ces signaux sont par exemple les signaux correspondant aux combinaisons de touches employées pour procéder à l'interruption de l'exécution d'un programme ou pour le redémarrage de l'ordinateur. Lorsqu'une carte est introduite dans le lecteur (13), le détecteur (14) délivre un signal qui est exploité par le calculateur (10) pour démarrer un protocole de vérification. Lorsque le protocole arrive à l'étape de saisie d'informations confidentielles, le calculateur (10) commande le basculement du coupleur (11) dans le mode déconnecté. Les informations saisies à laide du clavier génère alors des signaux qui ne sont accessibleS que par le calculateur. Le calculateur (10) peut délivrer sur la sortie Seuc des signaux différents, par exemple des "*" pour que l'unité centrale puisse commander l'affichage non pas des caractères saisis sur le clavier, mais des caractères ne permettant pas de reconstituer les informations saisies. L'activation du protocole de vérification peut également être commandée par la détection d'une séquence particulière de signaux délivrés par l'unité centrale sur le port clavier. Il peut s'agir d'une séquence prédéterminée de signaux d'activation du bruiteur incorporé dans le clavier. Lorsque le calculateur détecte ladite séquence, il exécute un protocole de vérification stocké dans la mémoire (12) par exemple, ou encore dans l'ordinateur. Lorsque le protocole arrive à l'étape de saisie d'informations confidentielles, le calculateur (10) commande le basculement du coupleur (11) dans le mode déconnecté, comme dans le cas d'une certification à l'aide d'une carte. L'invention est décrite dans ce qui précède à titre d'exemple non limitatif. L'Homme de Métier pourra réaliser différentes variantes sans pour autant sortir du cadre de l'invention. En particulier, il sera possible d'ajouter au boîtier une mémoire vive tampon ("BUFFER") assurant par ailleurs une déconnexion du clavier. REVENDICATIONS 1 - Dispositif pour la sécurisation de transactions informatisées, notamment pour le paiement électronique, caractérisé en ce qu'il est formé par un boîtier destiné à être branché entre le clavier et l'unité centrale (1), ce boîtier contenant un circuit électronique apte à vérifier l'autorisation d'accès et modifier l'état de la liaison entre le clavier et l'unité centrale (1) entre un mode direct et un mode déconnecté, ce dernier mode étant activé lors de la séquence de vérification de l'autorisation d'accès. 2 - Dispositif pour la sécurisation de transactions informatisées, notamment pour le paiement électronique, selon la revendication 1 caractérisé en ce que le boîtier incorpore un lecteur de carte à mémoire (13) ou équivalent, une partie au moins des informations pour la vérification de l'autorisation d'accès étant enregistrée dans la carte à mémoire. 3 - Dispositif pour la sécurisation de transactions informatisées, notamment pour le paiement électronique, selon la revendication 2 caractérisé en ce que le lecteur de carte à mémoire (13) comporte un moyen de détection de la présence de la carte assurant le passage de l'état de liaison entre le clavier et l'unité centrale (1) en mode déconnecté, jusqu'à la fin du processus de vérification de l'autorisation d'accès. 4 - Dispositif pour la sécurisation de transactions informatisées, notamment pour le paiement électronique, selon l'une quelconque des revendications précédentes caractérisé en ce que qu'il comporte en outre un lecteur de carte à mémoire (13) comportant un moyen de détection (14) de la présence de la carte assurant le passage de l'état de liaison entre le clavier et l'unité centrale (1) en mode direct en l'absence de carte à mémoire. 5 - Dispositif pour la sécurisation de transactions informatisées, notamment pour le paiement électronique, selon la revendication 1 caractérisé en ce que le circuit de vérification du boîtier calcule une clé d'autorisation en fonction d'informations transmises d'une part par l'unité centrale (1), et d'autre part délivréEs par le clavier pendant le mode déconnecté. 6 - Dispositif pour la sécurisation de transactions informatisées, notamment pour le paiement électronique, selon l'une quelconque des revendications précédentes caractérisé en ce que le circuit délivre à l'une centrale, en mode déconnecté, des séquences de signaux de services telles que de démarrage ou de réinitialisation, ou d'interruption, lorsque le clavier délivre une séquence de signal correspondant. 7 - Dispositif pour la sécurisation de transactions informatisées, notamment pour le paiement électronique, selon l'une quelconque des revendications précédentes caractérisé en ce que le passage d'un état de liaison à l'autre état de la liaison entre le clavier et l'unité centrale (1) est commandé par un signal de service transmis par l'unité centrale (1) au clavier. 8 - Dispositif pour la sécurisation de transactions informatisées, notamment pour le paiement électronique, selon la revendication 7 caractérisé en ce que le passage d'un état de liaison à l'autre état de la liaison entre le clavier et l'unité centrale (1) est commandé par unE séquence prédéterminée de signaux d'activation du bruiteur intégré dans le clavier. 9 - Dispositif pour la sécurisation de transactions informatisées, notamment pour le paiement électronique, selon l'une quelconque des revendications précédentes caractérisé en ce que le boîtier interposé entre le clavier et l'unité centrale (1) comporte un moyen d'impression d'un certificat d'authentification ou d'autorisation.