Brevet FR2783943A1 — publié le 20000331

1( Dispositif de contrôle d'accès des fonctionnalités d'un ordinateur La présente invention concerne un dispositif de contrôle d'accès des fonctionnalités d'un ordinateur.20 Elle concerne plus particulièrement un dispositif de contrôle d'accès des fonctionnalités d'un ordinateur du type constitué d'un lecteur de support de données d'authentification de l'identité de l'utilisateur, par25 comparaison du code d'identification de l'utilisateur porté par le support et celui mémorisé dans les mémoires du lecteur. Il est connu depuis longtemps d'utiliser un support de données, tel qu'une carte à puce, et un lecteur de support de données, tel qu'un lecteur de cartes à puces, intégré ou non à un ordinateur pour autoriser/interdire l'accès ou l'utilisation d'un ordinateur. Une première solution technique basée sur ce principe consiste à interdire l'alimentation électrique d'un ordinateur en présence d'un utilisateur non autorisé. Cette mise en route sécurisée de l'ordinateur s'effectue au moyen 2 d'un lecteur de cartes et d'un dispositif électronique de contrôle pouvant être intégré à l'ordinateur, d'une carte personnelle et d'un programme générant et vérifiant un code aléatoire inscrit à la fois en mémoire et sur la carte.5 Dans le cas d'un tel dispositif, on compare les codes d'identification stockés sur la carte elle-même et dans la mémoire du lecteur de cartes, on établit l'alimentation électrique de l'ordinateur ou on bloque le lecteur après un certain nombre d'essais infructueux. Un tel dispositif est notamment décrit dans le brevet FR-A-2.701.324. De manière analogue, le brevet EP-A-449.154 décrit un système de commande d'ordinateur inséré entre l'alimentation électrique et l'ordinateur et communiquant avec ce dernier au moyen d'une transmission de données. Ce système de commande peut comporter un lecteur de cartes magnétique et effectuer un test de légitimation avant d'autoriser l'allumage de l'ordinateur. Pour cela, le système de commande peut comporter soit des moyens de stockage et de comparaison, soit un processeur et une mémoire distincte20 assurant l'ensemble des fonctions du système de commande. Dans ces deux documents, on procède donc à un test de légitimation de l'utilisateur au moyen d'une carte et de son lecteur et on agit directement au niveau de25 l'alimentation électrique générale de l'ordinateur. Toutefois, le fait d'agir sur l'alimentation générale de l'ordinateur et de couper cette dernière sans prendre d'autres précautions engendre des complications au niveau notamment du système de gestion des fichiers. Cette action30 peut notamment provoquer la perte de fichiers. Par ailleurs, un tel dispositif peut engendrer des problèmes, lors de la mise en oeuvre de la garantie proposée de l'unité centrale de traitement et de la carte mère par le constructeur, ce constructeur pouvant refuser l'application35 de la garantie du fait de ces coupures impromptues de l'alimentation électrique desdits éléments. Enfin, on aboutit dans ce cas à un dispositif de contrôle d'accès tout ou rien dans lequel soit l'utilisateur est autorisé à D utiliser l'ensemble des fonctionnalités de l'ordinateur, soit il ne peut exploiter aucune des fonctionnalités de l'ordinateur. D'autres dispositifs consistent à autoriser ou interdire l'accès ou l'usage d'un ordinateur par un moyen logiciel. Tel est le cas du dispositif décrit dans le brevet EP-A- 464.103. Ce dispositif comporte une carte de commande d'accès et/ou d'accès d'utilisation d'un ordinateur et une unité de lecteur associée pouvant être intégrable à l'ordinateur. Ce dispositif permet de limiter l'emploi d'un ordinateur selon des dates, des durées ou des types d'utilisation prédéterminés inscrits sur la carte de commande. Pour ce faire, la carte comporte l'ensemble des15 informations sous forme de caractéristiques codées de référence ou d'usage. Ces caractéristiques sont testées de façon continue pendant l'utilisation de l'ordinateur au niveau de l'un de ses systèmes d'entrée ou sortie. Le fait de disposer d'un dispositif qui communique avec20) l'ordinateur permet à un éventuel pirate d'accéder aux données locales, de les copier, voire de les détruire. Les données locales ne sont pas protégées et le lecteur se trouve dans une situation d'esclave de logiciel et non de maître de ce logiciel.25 D'autres dispositifs proposent encore de protéger l'accès à un ordinateur en bloquant l'initialisation sur les lecteurs de boot ou sur le bios et en isolant tout ou partie du contenu de tels lecteurs au niveau de la carte ou du30) lecteur. De tels dispositifs sont décrits dans les brevets FR-A-2.653.914 et WO-93.17388. Il en résulte une obligation d'adaptation de tels dispositifs lorsque, en particulier, le bios de l'ordinateur doit être modifié. Le but de la présente invention est donc de proposer un dispositif de contrôle d'accès des fonctionnalités d'un ordinateur dont la conception permet une gestion physique des accès au disque de boot, donc au démarrage du système 4 et aux disques de données, tels que disque dur, lecteur de CD ROM, lecteur de disquettes, lecteur zip et autres lecteurs et périphériques pris dans leur ensemble ou segmentés par groupes ou à l'unité.5 Un autre but de la présente invention est de proposer un dispositif de contrôle d'accès des fonctionnalités d'un ordinateur dont la conception permet la configuration de l'ordinateur par rapport à chaque type d'utilisateur sans10 aucune intervention de ce dernier. Un autre but de la présente invention est de proposer un dispositif de contrôle d'accès des fonctionnalités d'un ordinateur dont la conception permet de ne pas intervenir15 sur l'alimentation de la carte mère et de l'unité centrale de traitement. Un autre but de la présente invention est de proposer un dispositif de contrôle d'accès des fonctionnalités d'un20 ordinateur pouvant être adapté sur tous les ordinateurs du marché, à un emplacement pour un disque dur ou pour un lecteur de disquette, de manière à ne pas prendre la place d'une carte d'extension à enficher sur le bus de l'ordinateur.25 A cet effet, l'invention a pour objet un dispositif de contrôle d'accès des fonctionnalités d'un ordinateur, du type constitué d'un lecteur de support de données d'authentification de l'identité de l'utilisateur, par30 comparaison du code d'identification de l'utilisateur porté par le support et celui mémorisé dans les mémoires du lecteur, caractérisé en ce que le lecteur comporte en outre des moyens de comparaison des conditions d'accès aux périphériques de l'ordinateur mémorisés dans le lecteur35 avec les données portées par le support, lesdits moyens de comparaison étant couplés aux moyens de commande en alimentation desdits périphériques pour autoriser/interdire, de manière segmentée, l'alimentation desdits périphériques, l'unité centrale de calcul de l'ordinateur demeurant toujours alimentée. Un tel dispositif présente l'avantage d'offrir une souplesse d'utilisation et d'administration, de pouvoir définir des profils utilisateurs pour un même ordinateur qui s'auto-configure selon la personne authentifiée par la présence du support de données dans le lecteur en mettant telle ou telle composante de l'ordinateur hors tension et10 en le faisant sans outil logiciel mais physiquement par des moyens matériels. Ceci permet d'interdire l'introduction de virus dans les données stockées, leur piratage ou leur mise hors d'usage par leur effacement par exemple et élimine ainsi toute dépendance par rapport à un logiciel.15 Selon une forme de réalisation préférée de l'invention, les périphériques, dont les moyens de commande en alimentation sont couplés aux moyens de comparaison d'accès du lecteur de support de données, sont le lecteur de boot et les20 lecteurs de données, tels que disque dur, lecteur de disquettes, lecteur de CD ROM. Comme mentionné ci-dessus, la personnalisation d'usage de l'ordinateur est rendue facile par la segmentation des25 fonctions et des caractéristiques d'accès et de sécurité. Ainsi, selon chaque type d'utilisateur, il est possible d'autoriser/interdire l'utilisation du lecteur CD, du lecteur disquette et/ou d'un autre lecteur de données pour éviter le piratage et le copiage d'informations confidentielles vers un tel support. Dans un autre cas, pour un autre type d'utilisateur, il sera possible d'interdire le démarrage sur le disque boot mais de l'autoriser sur le lecteur CD qui devient alors lecteur boot et o les CD sont protégés contre l'écriture. Ce qui35 empêchera l'usage des logiciels qui se trouvent sur le disque boot ou ce qui empêchera l'écriture sur ce disque via Internet par exemple sans autorisation définie préalablement pour cet utilisateur de l'ordinateur. L'invention sera bien comprise à la lecture de la description suivante d'exemples de réalisation, en référence aux dessins annexes dans lesquels: la figure 1 représente une vue schématique de l'architecture d'un dispositif de contrôle d'accès conforme à l'invention et la figure 2 représente un organigramme du fonctionnement d'un ordinateur équipé d'un tel dispositif de contrôle. Le dispositif de contrôle d'accès des fonctionnalités d'un ordinateur, objet de l'invention, est constitué principalement d'un lecteur de support de données d'authentification de l'identité de l'utilisateur dont l'architecture générale est représentée à l'intérieur du cadre en pointillé à la figure 1. Ce lecteur de support de20 données est de préférence inséré à l'intérieur de l'ordinateur à un emplacement du disque dur ou d'un lecteur de données, tel qu'un lecteur de disquette ou de CD ROM, de façon à permettre l'insertion du support de données d'authentification à partir de la façade de l'ordinateur.25 Une telle conception permet également de ne pas prendre la place d'une carte d'extension à enficher sur le bus de l'ordinateur car les ordinateurs manquent souvent de ce type d'emplacements. Pour clarifier la description, le terme "support de données" mentionné ci-dessus sera remplacé par "carte à puce". Toutefois, l'invention n'est en aucun cas limitée à un tel mode de réalisation de support de données et inclut au contraire l'ensemble des moyens d'authentification d'un35 utilisateur équivalents à ceux d'une carte à puce et d'un lecteur de cartes. Ce lecteur de cartes à puce comporte, de manière en soi 7 connue, des moyens de comparaison du code d'identification de l'utilisateur porté par la carte et celui mémorisé dans les mémoires du lecteur. Ces moyens de comparaison sont de préférence constitués par un micro- contrôleur incorpore 5 dans le lecteur comme le montre la figure 1. Ce lecteur comporte en outre des moyens de comparaison des conditions d'accès aux périphériques de l'ordinateur mémorisés dans le lecteur avec les données portées par la carte. Ces moyens de comparaison peuvent être à nouveau constitués par le10 micro-contrôleur et des mémoires appropriées. Dans l'exemple représenté, la mémoire du lecteur est une mémoire EEPROM 2Ko x 8. Ces moyens de comparaison sont couplés aux moyens de commande en alimentation desdits périphériques pour autoriser/interdire de manière segmentée l'alimentation desdits périphériques, l'unité centrale de calcul de l'ordinateur demeurant toujours alimentée. Un exemple d'une telle architecture est représenté à la figure 1. Dans20 l'exemple représenté, le lecteur de boot comporte une ligne d'alimentation particulière équipée d'un interrupteur commandé par le micro-contrôleur. Il en est de même de la ligne d'alimentation en fonctionnement des lecteurs de données, tels que disque dur, CD ROM, etc. et autres25 lecteurs de données de disquette. Seule l'alimentation 5 volts desdits lecteurs est coupée. Les alimentations 12 volts sont distribuées à partir du connecteur d'entrée et ne font que transiter par le dispositif d'accès sans être commutées. Grâce à cette configuration, l'alimentation du30 lecteur de boot peut être autorisée, alors que l'alimentation des autres lecteurs est interdite ou inversement en fonction des données stockées sur la carte de l'utilisateur. Bien évidemment, d'autres lignes d'alimentation peuvent être réalisées pour permettre une35 sélection encore plus fine de la configuration de l'ordinateur. Le lecteur de cartes à puce est de préférence alimenté à 8 partir de l'alimentation interne de l'ordinateur. Ce lecteur comporte encore des moyens de détection de la carte à l'intérieur du lecteur. Ces moyens sont représentés 5 par la ligne "présence" entre connecteur de carte et micro contrôleur à la figure 1. Ces moyens de détection asservissent le fonctionnement des moyens de commande en alimentation des périphériques pour délivrer une énergie à ces derniers à la présence de ladite carte ou à la présence10 de la carte et pendant un temps paramétrable après retrait de la carte. En d'autres termes, l'alimentation des périphériques n'est possible que si la carte est présente dans le lecteur. Cette alimentation est interrompue soit au moment du retrait de la carte, soit après écoulement d'une15 période de temps prédéterminée après le retrait de la carte. Ce temps supplémentaire permet à l'utilisateur d'effectuer les procédures d'arrêt de l'utilisateur ou éventuellement de réinsérer la carte si celle-ci a été enlevée. Enfin, le lecteur peut comporter des moyens, tels qu'une gâche électrique, de verrouillage du boîtier du lecteur de cartes à puce et/ou du boîtier de l'ordinateur, ces moyens de verrouillage étant activables ou désactivables par25 introduction d'une carte à puce spécifique. De tels moyens permettent de renforcer l'inviolabilité du dispositif. Le lecteur comporte encore des moyens de cryptage des données échangées entre la carte et le lecteur de cartes. Les cartes à puce utilisées dans le lecteur peuvent être des cartes à mémoire simple dites cartes à jeton de type télécom. A titre d'exemple, on pourra citer les cartes GPM 256 de Gemplus, F256 de Schlumberger. Ces cartes sont organisées en deux zones: une zone d'identification de 96 bits programmée en usine et non modifiable par la suite, une zone jeton de 160 bits. La carte à puce comporte des mémoires dans lesquelles sont mémorisées des données relatives au moins au fabricant de la carte, à 9 l'application de la carte, au client acheteur du lecteur de cartes et à l'identité du porteur de la carte. Chaque donnée sera fournie sous forme d'un code. Les données relatives au client ou au site seront identiques pour5 toutes les cartes d'un même client. L'identification du porteur de la carte sera organisée sous forme de deux champs: l'un relatif au numéro du groupe de rattachement du porteur, l'autre au numéro du porteur dans le groupe. Cette structure permet de gérer les autorisations à10 différents niveaux, à savoir pour toutes les personnes de l'établissement, ou seulement pour les personnes appartenant à un groupe ou encore individu par individu. Le numéro d'identification du fabricant est écrit dans la zone d'identification garantissant ainsi que les cartes15 provenant d'applications différentes ne fonctionnent pas sur le dispositif. Le numéro client et l'identification du porteur sont quant à eux inscrits en zone jeton au moment de la fourniture de la carte. Les cartes utilisées répondent de préférence au standard ISO 7816.20 De manière analogue, le lecteur comporte des mémoires, généralement des EEPROM, dans lesquelles sont mémorisées des informations relatives à l'application de la carte, au client acheteur du lecteur de cartes, aux utilisateurs25 autorisés sur ce lecteur, à leurs droits d'accès aux périphériques et aux cartes invalidées. En conclusion, les variables échangées entre la carte et le lecteur de cartes sont: insertion/retrait de la carte,30) identification du fabricant, numéro de client ou du site, numéro de groupe, numéro du porteur. Les données relatives à la liste des utilisateurs autorisés sur un lecteur et leurs droits d'accès sont enregistrées en mémoire reprogrammable soit au moment de l'achat, soit par le35 client à l'aide par exemple d'un logiciel de paramétrage et d'administration de l'ordinateur apte à être couplé par câble au lecteur de cartes à puce en vue d'une telle reprogrammation. Il en est de même de la liste des cartes Io invalidées. Cette liste contient la liste des cartes n'ayant plus l'accès au dispositif et concerne notamment les cartes perdues, les porteurs exclus d'un groupe ayant accès normalement au dispositif, etc. Bien évidemment, le 5 type de données cité ci-dessus peut être modifié ou complété sans sortir du cadre de l'invention. Le fonctionnement du dispositif de contrôle d'accès décrit ci-dessus est le suivant: la carte est insérée dans le10) lecteur de cartes à puce après mise sous tension de l'ordinateur. Bien évidemment, la carte à puce doit être valide, c'est-à-dire qu'elle doit pouvoir être lue. Le micro-contrôleur vérifie ensuite le code application de la carte à puce, le code d'identification du fabricant, le15 numéro client de la carte à puce et les numéros de groupe et de porteur, par comparaison à ceux configurés dans les mémoires du lecteur. Si l'une des conditions de la comparaison ci-dessus n'est pas correcte, la carte doit être rejetée. Le porteur doit ensuite être autorisé localement à utiliser l'ordinateur. Le lecteur va donc alors vérifier que l'accès est autorisé au porteur de la carte, à savoir que son identification ne correspond pas à une carte invalidée, que son identification complète est contenue dans la liste des cartes autorisées ou que son25 numéro de groupe correspond à un groupe autorisé. L'autorisation du lecteur de boot et des lecteurs de données dépend ensuite des droits d'accès du porteur. L'alimentation n'est délivrée que si le porteur y est30) autorisé. Cette alimentation sera délivrée tant que la carte sera insérée dans le lecteur. Après retrait de la carte, l'utilisateur disposera d'un temps paramétrable, 10 secondes par exemple, pour la remplacer avant que les alimentations des disques soient coupées.35 Le fonctionnement ci-dessus est illustré par l'organigramme de la figure 2. I! Afin de pouvoir visualiser les différentes autorisations, il peut être prévu en façade du lecteur des leds ou voyants lumineux qui permettent de visualiser ces autorisations. Il est à noter également qu'une extension peut être prévue avec clavier et écran pour faciliter la convivialité de la visualisation des différents paramètres et fonctions prévus. Elle facilitera l'administration du lecteur, la gestion des utilisateurs et des fonctionnalités, et 0 permettra la saisie localisée de code confidentiel. REVENDICATIONS 1. Dispositif de contrôle d'accès des fonctionnalités d'un ordinateur, du type constitué d'un lecteur de support de données, tel qu'un lecteur de cartes à puce, d'authentification de l'identité de l'utilisateur, par comparaison du code d'identification de l'utilisateur porté par le support de données et celui mémorisé dans les mémoires du lecteur,10 caractérisé en ce que le lecteur comporte en outre des moyens de comparaison des conditions d'accès aux périphériques de l'ordinateur mémorisés dans le lecteur avec les données portées par le support de données, lesdits moyens de comparaison étant couplés aux moyens de commande15 en alimentation desdits périphériques pour autoriser/interdire, de manière segmentée, l'alimentation desdits périphériques, l'unité centrale de calcul de l'ordinateur demeurant toujours alimentée. 2. Dispositif selon la revendication 1, caractérisé en ce que les périphériques, dont les moyens de commande en alimentation sont couplés aux moyens de comparaison d'accès du lecteur de support de données, sont le lecteur de boot et les lecteurs de données, tels que25 disque dur, lecteur de disquettes, lecteur de CD ROM. 3. Dispositif selon l'une des revendications 1 et 2, caractérisé en ce que le lecteur de support de données, tel qu'un lecteur de cartes à puce, est inséré à l'intérieur de30 l'ordinateur à un emplacement du disque dur ou d'un lecteur de données, tel qu'un lecteur de disquette ou de CD ROM, de façon à permettre l'insertion de la carte d'authentification à partir de la façade de l'ordinateur. 4. Dispositif selon l'une des revendications l à 3, caractérisé en ce que le lecteur de supports de données est alimenté à partir de l'alimentation interne de l'ordinateur. 5. Dispositif selon l'une des revendications 1 à 4, caractérisé en ce que le lecteur comporte un logiciel de paramétrage et d'administration de l'ordinateur apte à être couplé par câble au lecteur de supports de données de manière à reprogrammer les mémoires dudit lecteur. 6. Dispositif selon l'une des revendications 1 à 5, caractérisé en ce qu'il comporte des moyens de détection du support de données à l'intérieur du lecteur, lesdits moyens de détection asservissant le fonctionnement des moyens de commande en alimentation des périphériques pour délivrer une énergie à ces derniers à la présence du support de données ou à la présence du support de données et pendant15 un temps paramétrable après retrait du support de données. 7. Dispositif selon l'une des revendications 1 à 6, caractérisé en ce qu'il comporte des moyens, tels qu'une gâche électrique, de verrouillage du boîtier du lecteur de20 supports de données et/ou du boîtier de l'ordinateur, lesdits moyens de verrouillage étant activables ou désactivables par introduction d'un support de données spécifique. 8. Dispositif selon l'une des revendications 1 à 7, caractérisé en ce que le support de données comporte des mémoires dans lesquelles sont mémorisées des données relatives au moins au fabricant du support de données, à l'application du support de données, au client acheteur du30 lecteur de support de données et à l'identité du porteur du support de données. 9. Dispositif selon l'une des revendications 1 à 8, caractérisé en ce que le lecteur comporte des mémoires dans lesquelles sont mémorisées des informations relatives à l'application du support de données, au client acheteur du lecteur de supports de données, aux utilisateurs autorisés sur ce lecteur, à leurs droits d'accès aux périphériques et aux supports de données invalidés. 10. Dispositif selon l'une des revendications 1 à 9, caractérisé en ce que le lecteur comporte des moyens de cryptage des données échangées entre le support de données et le lecteur de support de données.