Brevet FR2810483A1 — publié le 20011221

Filtrage d'unités de données dans une carte d'identité d'un terminal avec lecteur de carte à puce additionnelle La présente invention concerne le filtrage d'unités de données entre deux contrôleurs, et plus particulièrement entre deux cartes à puce dans un terminal. Le terminal est un terminal du type radiotéléphonique mobile dont l'une des cartes à puce est une carte d'identité et dont l'autre carte puce est une carte additionnelle introduite dans un lecteur équipant le terminal. Dans certaines configurations de terminal radiotéléphonique mobile, les unités de donnees de protocole applicatif échangées entre le terminal et la carte additionnelle passent à travers la carte d'identité SIM (Subscriber Identity Mobile). carte d'identité se comporte alors comme un relais et retransmet des unités entrantes constituant des commandes du terminal vers la carte additionnelle et unités sortantes constituant des réponses de la carte additionnelle vers le terminal. Les cartes additionnelles interagissent avec le terminal essentiellement à l'aide de réponses particulières dites commandes pro-actives. Actuellement, la carte d'identité contient des programmes pour authentifier des cartes additionnelles afin de sélectionner les cartes additionnelles autorisées à être utilisées dans le terminal. Cependant, aucun moyen n'est prévu dans la carte identité pour limiter des actions d'une carte additionnelle autorisée. Si par exemple, une carte additionnelle autorisée propose un service attrayant, elle peut dissimuler un programme qui effectue de nombreux appels correspondant à des numéros de téléphone non lisibles par la carte d'identité, qui sont extrêmement chers et qui bénéficient d'un reversement d'une partie des facturations téléphoniques par l'opérateur du réseau téléphonique correspondant terminal. Ces numéros de téléphone payants sont naturellement associés à des serveurs de l'émetteur de carte additionnelle. L'objectif de l'invention vise précisément à remédier à inconvénient en limitant les actions d'une carte additionnelle autorisée dans un terminal. A cette fin, un procédé pour filtrer des unités de données entre une carte à puce d'identité d'un terminal et une carte à puce additionnelle, la carte d'identité gérant des communications avec le terminal pour au moins une application implémentée dans la carte additionnelle, est caractérisé en ce que la carte d'identité filtre des unités de données entrantes produites par le terminal à destination de la carte additionnelle selon des premières règles de filtrage prédéterminées, et filtre des unités de données sortantes produites par la carte additionnelle ' destination du terminal selon des deuxièmes règles de filtrage prédéterminées. La carte identité constitue ainsi un pare-feu pour les unites de données échangées selon les deux sens de transmission entre le terminal et la carte additionnelle. carte d'identité intercepte toutes les unités données entrantes et sortantes échangées entre le terminal et la carte additionnelle et décide en fonction des premières et deuxièmes règles respectivement si chaque unité de données doit être retransmise. Selon d'autres caractéristiques l'invention, les règles prédéterminées peuvent comprendre les critères suivants - les premières règles de filtrage consistent à interdire de retransmettre les unités entrantes par la carte d'identité vers la carte additionnelle, ou les deuxièmes règles de filtrage consistent à interdire de retransmettre les unités sortantes par la carte d'identité vers le terminal ; - les premières règles comprennent une autorisation de retransmettre une unite entrante vers la carte additionnelle lorsqu'au moins l'un de paramètres prédéterminés contenus dans l'unité entrante appartient à un ensemble de paramètres préalablement mémorisés dans la carte identité, les paramètres prédéterminés étant une classe d'instruction, une instruction, et un paramètre relatif à l'instruction ; - les deuxièmes règles comprennent une autorisation de retransmettre une unite sortante vers le terminal, lorsqu'au moins l'un de mots d'état prédéterminés contenu dans la queue de l'unité sortante appartient à un ensemble mots d'état prémémorisés dans la carte d'identité - les deuxièmes règles comprennent une autorisation de retransmettre une unite sortante vers le terminal lorsque l'unité sortante contient une commande pro-active appartenant à un groupe de commandes pro-actives préalablement mémorisées dans la carte d'identité ; - les deuxièmes règles comprennent une autorisation de retransmettre une unité sortante contenant une commande pro-active d'appel vers le terminal, lorsque la commande pro-active contient une adresse commençant par préfixe prédéterminé et/ou l'identificateur d'une application prédéterminée susceptible d'être implémentee dans la carte additionnelle, et/ou un identificateur de carte susceptible d'être mémorisé dans la carte additionnelle commençant par un préfixe prédéterminé. L'invention concerne également une carte d'identité dans un terminal équipé d'un lecteur de carte à puce additionnelle pour la mise en #uvre du procédé pour filtrer des unités de données selon l'invention. Le terminal peut être par exemple un terminal téléphonique fixe, tel qu'un terminal point- de-vente, ou bien un terminal radioteléphonique mobile. D'autres caractéristiques et avantages de la presente invention apparaîtront plus clairement à la lecture de la description suivante plusieurs réalisations préférées de l'invention référence dessins annexés correspondants dans lesquels - la figure 1 est un bloc-diagramme 'un système système de télécommunications connu dans le contexte d'un terminal radiotéléphonique mobile à lecture de carte à puce additionnelle ; - la figure 2 est un bloc-diagramme fonctionnel détaillé du terminal radiotéléphonique mobile muni d'une carte d'identité pour la mise ceuvre du procédé de filtrage d'unités de données de l'invention ; - la figure 3 comprend des diagrammes d'une unité de données entrante et d'une unité de données sortante ; - la figure 4 est un algorithme de filtrage d'unités de données selon l'invention ; et - la figure 5 est un algorithme de séquence autorisée d'unités de données entre le terminal et la carte additionnelle à travers la carte d'identité. On se réfère, à titre d'exemple, au contexte d' système de télécommunications du type réseau de radiotéléphonie cellulaire numérique RR, comme montré à figure 1. Un terminal radiotéléphonique mobile TE réseau de radiotéléphonie comprend une première carte à puce SIM constituant un module d'identité à microcontrôleur amovible du terminal, ainsi 'une deuxième carte à puce CA, dite carte à puce applicative additionnelle. La carte CA est logée de maniere amovible dans un lecteur additionnel de carte LE intégré dans le terminal, ou éventuellement distinct du terminal et relié à celui-ci. Dans la figure 1, le réseau de radiotéléphonie RR est schématisé de manière connue par un commutateur du service mobile MSC pour la zone de localisation où le terminal mobile TE se trouve à un instant donné, et une station de base BTS reliée au commutateur MSC par un contrôleur de station de base BSC et au terminal TE par voie radio. Les entités BSC et BTS constituent principalement un réseau fixe à travers lequel sont transmis notamment des messages de signalisation, de contrôle, de données et voix. L'entité principale du réseau RR susceptible d'interagir avec la carte SIM dans le terminal TE est le commutateur du service mobile MSC associé à un enregistreur de localisation des visiteurs VLR et relié à au moins un commutateur téléphonique à autonomie d'acheminement CAA du réseau téléphonique commuté RTC. Le réseau RR comprend également un enregistreur de localisation nominal HLR relié aux enregistreurs VLR. L'enregistreur HLR contient pour chaque terminal radiotéléphonique notamment l'identité internationale IMSI (International Mobile Subscriber Identity) de la carte à puce SIM (Subscriber Identity Mobile), dite carte d'identité, incluse dans le terminal TE, c'est-à-dire l'identité de l'abonné possesseur de la carte SIM, le profil d'abonnement de l'abonné et le numéro de l'enregistreur VLR auquel est rattaché momentanément le terminal mobile. Il est également prévu un serveur spécialisé SE appartenant au fournisseur de la carte additionnelle CA et offrant un ou des services en relation avec une ou des applications implémentées dans la carte CA. Le serveur SE est par exemple un serveur de services de messages courts (Short Message Service Center) qui est relié aux commutateurs MSC du réseau de radiotéléphonie RR à travers un réseau d'accès RA, par exemple un réseau numérique à integration de services RNIS. L'adresse AD du serveur SE est prémémorisée dans la mémoire non volatile de la carte additionnelle. Selon une autre variante, le serveur SE peut être un serveur relié aux contrôleurs de station de base BSC du réseau de radiotéléphonie RR travers le réseau Internet et un réseau à commutation par paquets avec gestion de la mobilité et accès par voie radio GPRS (General Packet Radio Service). Selon encore une autre variante, serveur SE est relié au réseau de radiotéléphonie à travers le réseau RTC et un réseau à haut débit RHD tel que le réseau internet, comme montré en traits pointillés à la figure 1. Le terminal radiotéléphonique mobile TE détaillé à la figure 2 comprend de manière connue une interface radio 30 avec le réseau de radiotéléphonie RR, comprenant principalement un duplexeur de voies de transmission et de réception, des circuits de transposition de fréquence, des convertisseurs analogique-numérique et numérique-analogique, un modulateur et un démodulateur, et circuit de codage et décodage de canal. Le terminal TE comprend également un circuit de codage et décodage de parole 31 relié à un microphone 310 et un haut parleur 311, un microprocesseur 32 associé à une mémoire non volatile de programmes EEPROM 33 et une mémoire de données RAM 34, et une interface entrée-sortie 35 desservant les cartes à puce SIM et CA, clavier 36 et un afficheur graphique 37. Le microprocesseur 32 est relié par un bus BU à l'interface au circuit 31, et aux mémoires 33 et 34 et par un autre bus BS à l'interface entrée-sortie 35. Le microprocesseur 32 gère tous les traitements des données bande de base que le terminal reçoit et transmet après transposition en fréquence, notamment relatifs aux couches de protocole 1, 2 et 3 du modèle ISO, et supervise des échanges de données entre le réseau RR à travers l'interface radio 30 et la carte SIM à travers l'interface entrée-sortie 35. La carte à puce SIM est reliée à l'interface entrée sortie 35 incluant au moins un lecteur de carte LE dans le terminal, et des prises périphériques du terminal mobile. Dans la carte à puce SIM est intégré un premier contrôleur comprenant principalement un microprocesseur 10, une mémoire 11 de type ROM incluant un système d'exploitation de la carte et des algorithmes de communication, d'authentification et d'application, une mémoire non volatile 12 de type EEPROM qui contient toutes les caractéristiques liées à l'abonné, notamment l'identité internationale de l'abonné IMSI, une mémoire 13 de type RAM destinée essentiellement au traitement de données à recevoir du microcontrôleur 32 inclus dans le terminal et la deuxième carte CA et à transmettre vers ceux-ci. Selon l'invention, plusieurs logiciels sont préalablement inclus dans les mémoires ROM 11 et EEPROM 12 pour gérer des applications dans des cartes additionnelles CA. En particulier, selon l'invention, un algorithme AL du procédé pour filtrer des unités de données de protocole applicatif APDU (Application Protocol Data Unit) suivant les deux sens de transmission, depuis le terminal TE vers la carte additionnelle CA et depuis la carte CA vers le reseau RR, montré à la figure 4, est implémenté dans les mémoires 11 et 12 lors de la fabrication de carte. Toutefois, en variante, des paramètres des ensembles de paramètres utilisés dans l'algorithme de filtrage peuvent être modifiés dynamiquement à distance, par exemple par l'intermédiaire de messages courts SMS (Short Message Service). Comme la carte SIM C1, la carte à puce additionnelle CA intègre un deuxième controleur comportant principalement un microprocesseur 20, une mémoire ROM 21 dans laquelle sont implémentes un système d'exploitation de la carte CA et ou plusieurs applications AP et des algorithmes d'authentification, une mémoire non volatile 12 de type EEPROM, et une mémoire RAM 13 qui traite des données à recevoir du microcontrôleur 32 et du processeur 10. La mémoire non volatile 22 contient en outre, selon l'invention, un identificateur de la carte CA constitué par un numéro de série NS déterminé par le fournisseur de la carte CA, l'identificateur AID au moins d'une application prédéterminée implémentée dans la carte et clé respective KA pour chaque application, et une adresse AD du fournisseur de la carte, c'est-à-dire le numéro téléphonique, ou bien l'adresse IP du serveur AD, et/ou une table d'adresses TAD. La carte CA est par exemple une carte bancaire, une carte de porte-monnaie électronique, ou une carte de jeux. Les mémoires ROM et EEPROM 11, 12, 21 et dans les cartes SIM et CA comprennent des logiciels de communication pour dialoguer d'une part avec le microprocesseur 32 du terminal TE, d'autre part entre les processeurs 10 et 20 à travers le terminal TE, c'est-à-dire à travers le microprocesseur et l'interface entrée-sortie 36. Pour dialoguer entre elles, la carte SIM et la carte additionnelle CA sont pro-actives afin de déclencher des actions dans le terminal mobile MS au moyen de commandes pré-formatées suivant le protocole "T = 0" de la norme ISO 7816-3 et encapsulées selon la recommandation GSM 11.14 (SIM Toolkit). Par exemple, le terminal TE interroge périodiquement pour recevoir des menus à afficher transmis par la carte. La recommandation précitée étend le jeu de commandes du système d'exploitation inclus dans la mémoire 11, 21 de la carte à puce SIM, CA pour mettre à disposition de l'autre carte CA, SIM des données transmises par la carte à puce CA, SIM. Comme on le verra dans la suite, le terminal TE est considéré comme transparent à des échanges de données entre les cartes SIM et CA et entre la carte SIM et le monde extérieur aux cartes SIM et CA constitué en partie par le réseau RR, dans le cadre du procédé de filtrage selon l'invention. Typiquement, le contrôleur 10-13 dans la carte additionnelle CA communique avec le processeur 32 dans le terminal TE par l'intermédiaire d'échanges de commandes et réponses entre le contrôleur 10-13 dans la carte SIM et le contrôleur 20-23 dans la carte CA, alors relayés par des échanges de commandes et réponses entre le contrôleur de la carte SIM et le processeur dans le terminal TE. Tous les échanges typiquement pro-actifs entre le terminal et la carte CA sont ainsi effectués à travers la carte SIM qui apparaît, pour le terminal, comme l'exécutant de chaque application sélectionnée dans la carte Il est rappelé, comme montré à la figure 3, qu'une unité de données de protocole applicatif APDU selon la norme ISO 7816-4, constituant une commande, dite unité de données entrante UE, établie le terminal TE et destinée à la carte SIM ou bien la carte à puce additionnelle CA à travers la carte SIM, contient un en-tête EN ayant 4 octets : CLA, INS, P1 et P2. L'octet CLA désigne une classe de l'instruction contenue dans l'octet suivant. L'octet INS désigne un code d'instruction lié à une commande du système d'exploitation dans le processeur 10 de la carte SIM ou 20 de la carte CA, et deux octets P1 et P2 désignant des paramètres relatifs à l'instruction. Une unité UE peut en outre comprendre au moins l'un des champs successifs suivants après le paramètre P2 un champ LC contenant la longueur Lc du champ de données de la commande lorsqu'il existe exprimée en nombre d'octets, un champ de données DC de longueur variable, et un champ LE contenant la longueur Le exprimée en nombre d'octets, attendue dans un champ de données DR de la réponse à ladite commande, produite la carte SIM ou par la carte CA via la carte SIM. Une unité de données émise par la carte SIM vers la carte et destinée à relayer une unité entrante UE présente format analogue. Comme montré également à la figure 3, une unité de données protocole applicatif APDU constituant une réponse, dite unité de données sortante US, établie la carte à puce additionnelle CA et destinée à la carte SIM ou bien au terminal TE à travers la carte SIM présente au moins une queue à 2 octets d'état (Status Word) SW1 et SW2. Lorsque la carte CA reçoit une unité entrante ne contenant pas le champ de longueur attendue LE, elle renvoie une unité sortante ne comprenant qu'une queue SW1-SW2. Une unité sortante US peut contenir en plus un champ de données DR de longueur variable, précédant la queue Q, lorsque la carte CA reçoit une unité entrante comprenant un champ de longueur attendue LE. Le champ DR de l'unité de données sortantes US encapsule une commande pro-active produite par la carte CA à la suite d'une interrogation périodique (FETCH) du terminal via la carte SIM. Une commande pro-active contient un octet contenant une étiquette de commande pro-active CP, un octet LCH exprimant la longueur d'un champ de données de la commande en nombre d'octets, et un champ de données CH de longueur variable pouvant contenir un ou plusieurs paramètres en relation avec la commande pro-active, tels qu'une adresse AD, un identificateur d'application AID, un numéro de série de carte additionnelle NS, etc. En se référant à la figure 4, l'algorithme AL illustrant le procédé de filtrage de 'invention est initié par l'écriture en mémoire RAM13 de chaque unité de données APDU reçue par la carte SIM à une étape ESO. Puis à des étapes E1 et S1 le processeur 10 distingue une unité de données entrante UE transmise par le microprocesseur 32 du terminal TE et destinée à la carte additionnelle CA, d'une unité de données sortante US transmise par le processeur 20 de la carte additionnelle CA. Pour chaque type d'unité de données UE, US, le processeur 10 filtre l'unité reçue sur la base d'une liste de règles respectives d'interdiction Ip et de règles respectives d'autorisation Am. Cette liste de règles est parcourue pour chaque unité reçue. Pour des raisons de sécurité, une unité de données qui ne satisfait pas au moins une règle d'autorisation n'est pas retransmise par la carte SIM et les règles d'interdiction sont prioritaires sur les règles d'autorisation. Ainsi, lorsqu'une unité de données satisfait une ou plusieurs règles d'autorisation, elle n'est quand même pas retransmise par la carte SIM si elle ne satisfait qu'une règle d'interdiction, et la carte SIM termine la session en cours. Lorsqu'une unité satisfait au moins une règle d'autorisation sans satisfaire de règle d'interdiction, l'unité de données est relayée par la carte SIM et la session en cours continue pour examiner la prochaine unité de donnée reçue. Certaines des règles d'interdiction et d'autorisation, dites règles principales, sont chacune composées de règles élémentaires reliées par des opérateurs logiques ET. Une règle de filtrage principale est satisfaite lorsque toutes les règles de filtrage élémentaires composant la règle de filtrage principale sont satisfaites. Par exemple, des règles principales d'interdiction I1 et 12 sont composées respectivement de deux et une règles élémentaires imn, soit I1 = i11 ET i12 12 - l21 et règles principales d'autorisation A1, A2 et A3 sont composées respectivement de trois, une et quatre règles élémentaires apq, soit A1 = a11 ET a12 ET a13 A2 - a21 A3 - a31 ET a32 ET a33 ET a34. Comme cela apparaît à la figure 4, pour chaque type d'unité de données UE, us, des règles respectives principales et élementaires d'interdiction et d'autorisation sont appliquées qui sont a priori différentes de celles appliquées pour l'autre type d'unité de données. La nature règles de filtrage varie suivant la finesse du contrôle désire. Dans la suite de la description, des règles de filtrage élémentaires filtrant de plus en plus finement les unités de données sont données à titre d'exemple à des étapes E2 à E6 relatives aux unités de données entrantes UE, bien que les unités de données sortantes US soient filtrées par des règles respectives S2 à S6 qui peuvent être pour partie similaires et pour partie identiques à celles précisées ci-après. procédé peut ne comprendre dans l'une des colonnes de la figure 4 que l'une ou quelques-unes des étapes E2 à E6, S2 à S6, et l'ordre de ces étapes peut être différent de celui illustré. A une étape finale E7, lorsqu'une unité de données entrante UE a été reconnue comme autorisée aux étapes précédentes, celle-ci est retransmise la carte SIM à la carte additionnelle. De même, à étape finale S7, lorsqu'une unité de données sortante US a été reconnue par la carte SIM comme autorisée aux étapes précédentes, celle-ci est retransmise par la carte SIM vers le terminal TE. A l'étape E2, les unités entrantes reçues destinées à la carte CA sont, selon une première possibilité, appliquées à la règle a11 = UE et toutes autorisées pour être traitées par des règles particulières aux étapes suivantes E3 à E6, ou bien sont, selon une deuxième possibilité, appliquées à la règle i11 = UE et ont leur retransmission interdite vers la carte CA. Pour cette deuxième possibilité, la carte SIM ne retransmet aucune unité de données entrante UE à la carte additionnelle CA, et procédé est terminé à une étape finale F ; dans cas, la carte SIM peut n'être alors qu'un simple relais d'unités sortantes US produites par la carte additionnelle CA dans laquelle la carte SIM puise des données pour certaines applications sans sollicitation directe de la carte CA par le terminal TE, ou plus généralement par le monde extérieur à la carte SIM matérialisé par le réseau RR et le réseau RTC. Aux étapes suivantes E3 et E4, l'octet de classe CLA et l'octet d'instruction INS dans une unité données entrante reçue UE sont prélevés et comparés respectivement à des octets prédéterminés de classe désignés dans leur ensemble par CLAa et des octets prédéterminés d'instruction désignés dans leur ensemble par INSa. Ces ensembles CLAa et INSa sont préalablement mémorisés en mémoire non volatile 12 définissent des groupes d'unités entrantes UE autorisées à être traitées par la carte additionnelle CA, telles que des commandes administratives des commandes de sécurité. En variante, les ensembles CLAa et INSa sont remplacés par un ensemble de couples [CLAa, INSa] qui sont comparés au couple [CLA, INS] contenu dans l'unité reçue UE. Si la classe CLA et l'instruction INS sont pas retrouvées dans les ensembles CLAa et INSa, le procédé est terminé à l'étape F. Par exemple, les étapes E3 et E4 sont exprimées par la règle a21 = (CLA = AF) pour n'autoriser que les unités entrantes contenant un premier octet AF en code hexadécimal, ou bien par la règle a22 = INS = 01) pour n'autoriser que les unités entrantes contenant un deuxième octet 01, ou bien par la règle A2 = a21 ET a22, ou bien encore par la règle d'interdiction i21 = (CLA = code de commande administrative propriétaire) pour interdire de retransmettre des unités UE propres au fournisseur de la carte CA. Par analogie aux étapes E3 et E4, des étapes S31 et S32 succèdent à une étape S2 pour autoriser ou interdire des unités de données sortantes US a être traitées par le terminal TE, et prélèvent octets d'état SW1 et SW2 de la queue d'une unité sortante US produite par la carte additionnelle CA et reçue par la carte SIM. Les octets SW1 et SW2 sont comparés respectivement à des octets prédéterminés désignés dans leurs ensembles par SW1a et SW2a, "-mémorisés dans la mémoire non volatile 12. De manière analogue aux règles sur champs INS et CLA, le champ de données DR dans unité sortante US qui encapsule une commande pro-active produite par la carte additionnelle CA est lu et comparé à ceux contenus dans un groupe de commandes pro-actives prédéterminées GCP à l'étape S4, succédant aux étapes S31 et S32. L'ensemble GCP distingue plusieurs types de commandes pro-actives de manière à édicter des règles d'autorisation et règles d'interdiction sur chacune de ces commandes pro-actives, ou à classer les commandes pro-actives en groupe et à les filtrer à l'aide de ces groupes. Un exemple de groupe de commandes pro-actives prédéterminées GPC est l'ensemble des commandes actives destinées à modifier l'état du terminal d'usager TE, telles que : DISPLAY TEXT pour afficher un texte et/ou un icône sur l'afficheur 37, SET UP MENU pour transférer un menu de sélections et l'afficher, SET UP IDLE TEXT pour afficher par exemple une page d'accueil relative à la carte additionnelle CA, PLAY TONE pour diffuser une tonalité particulière via le haut-parleur 311. Par exemple, l'étape S4 est exprimée par la règle élémentaire d'autorisation a31 = (CP = DISPLAY TEXT), ou a32 = (CP = Sortie Terminal). Après les étapes E3 et E4, les octets de paramètre P1 et P2 dans l'unité de données reçue UE sont lus et comparés respectivement à des ensembles de paramètres prédéterminés P1a et P2a préalablement mémorisés en mémoire non volatile 12, à des étapes E51 et E52. Ces ensembles de paramètres limitent les paramètres en relation avec les instructions autorisées à l'étape E4. Par analogie avec les étapes E51 et E52, une étape S5 affine encore le filtrage des commandes actives dans les unités de données sortantes US, certains paramètres prédéterminés PCP dans des commandes pro-actives sélectionnées. Par exemple, la commande pro-active d'établissement d'appel SET-UP CALL n'est autorisée que pour un seul numéro de téléphone bien déterminé, par exemple celui AD du serveur SE du fournisseur d'une application présente dans la carte additionnelle CA, ce qui se traduit par la règle principale suivante A4 = (CP = SET UP CALL) ET (AD = 04 42 36 00). De manière à représenter n'importe quel chiffre dans un numéro de téléphone, la syntaxe des règles élémentaires est enrichie en utilisant le caractère Par exemple, si tous les numéros de téléphone commençant par le préfixe 08 36 doivent être interdits, la règle principale suivante est utilisée: 14 = (CP = SET UP CALL) ET (AD = 08 36 ** **). De manière à n'autoriser l'utilisation de cartes additionnelles prédéterminées pour des applications prédéterminées susceptibles d'être implémentées dans ces cartes, une règle de filtrage élémentaire filtre les commandes pro-actives SET-UP CALL incluant un identificateur d'application AID prédéterminé ou appartenant à un ensemble d'identificateurs d'application prédéterminée, et/ou incluant un numéro de série de carte additionnelle NS appartenant à un ensemble de numéros de série commençant un préfixe prédéterminé. Par exemple, la règle principale pour autoriser la retransmission d'une unité de données sortantes US contenant une commande pro-active CP de type SET UP CALL produite par la carte CA vers le terminal est l'une des deux suivantes A5 = (CP = SET UP CALL) ET (AD = 04 42 36 50 00) ET (AID = 4567890) A6 = (CP = SET UP CALL) ET (AD = 04 42 36 50 00) ET (NS = 1234567***). Pour exprimer l'autorisation et/ou l'interdiction de séquences de commandes pro actives, le procédé de filtrage dans la carte SIM introduit des règles basées sur des sessions de commande- réponse, c'est-à-dire sur des sessions d'unités UE et US et par exemple sur l'état des unités réponse US, comme indiqué à l'étape S6. Par exemple, une unité sortante incluant la commande pro-active d'établissement d'appel SET-UP CALL est autorisée par la carte SIM à être retransmise de la carte additionnelle CA vers le terminal TE lorsqu'elle a été précédée par une unité sortante incluant la commande pro-active GET INPUT. Le déroulement de cette séquence avec deux commandes pro-actives GET INPUT et SET UP CALL est montré à la figure 5. Initialement, à l'étape S60, deux variables d'état STATE1 et STATE2 sont remises à la valeur nulle NULL dans la mémoire 12 de la carte SIM. Au début de la séquence à l'étape S61, la carte CA établit et transmet une première unité de données sortante US contenant la commande pro-active de demande de données GET INPUT et un paramètre constitué par un nombre de touches de clavier NBT. Le nombre NBT correspond au nombre de chiffres d'une adresse de serveur AD, ou d'un numéro d'appel prédéterminé, contenu dans la table d'adresses TAD préalablement écrite en mémoire 22. A la réception de l'unité US, après avoir vérifié que celle-ci contient la commande pro-active GET INPUT, la carte SIM applique la règle d'autorisation principale suivante A7 à l'étape S62 A7 = (CP = GET INPUT); STATE1 = CP1 ; STATE2 = NBT pour mettre la variable STATE1 à l'état CP1 indiquant qu'une première commande pro-active GET INPUT a été reçue, et la variable STATE2 à égalité avec nombre NBT sera à comparer par la suite. La carte SIM retransmet ensuite l'unité US[GET INPUT, NBT] au terminal TE. A réception de l'unité US[GET INPUT, NBT], le terminal TE invite l'usager à composer une adresse AD, par exemple une adresse IP ou un numéro d'appel téléphonique, à l'étape S63. Le terminal ne transmet l'adresse composée AD en tant que données dans une unité entrante UE à la carte SIM que lorsque le terminal a saisi NBT caractères, c'est-à-dire l'usager a sollicité NBT touches sur le clavier 36 du terminal. L'unité entrante UE[AD] est traitée selon les étapes E2 à E6 dans la carte SIM pour être autorisée à être retransmise vers la carte additionnelle CA à l'étape S64, après avoir inscrit l'adresse AD dans la variable STATE2 si préalablement la variable STATE2 = NBT est égale au nombre de caractères contenus dans l'adresse reçue AD. Sinon l'unité UE est invalidée par exemple en transmettant une unité de données sortante contenant la commande pro-active SET UP IDLE TEXT par exemple. La carte CA compare à l'étape S65 l'adresse AD extraite de l'unité entrante reçue UE avec les adresses dans la table TAD. Si aucune adresse AD n'est trouvée dans la table, l'adresse AD est invalidée, par exemple en transmettant une unité de données sortante contenant la commande pro-active SET UP IDLE TEXT. Si l'adresse extraite AD est reconnue dans table TAD, la carte CA établit et transmet une deuxième unité de données sortante US contenant la commande pro-active SET UP CALL et l'adresse AD en tant paramètre, vers la carte SIM. Dans la carte SIM à l'étape suivante S66, ' la variable d'état STATE1 est à l'état CP1 elle applique à toute commande SET UP CALL la deuxième règle d'autorisation principale suivante Ag = (STATE1 = CP1) ET (CP=SET UP CALL) ET (STATE2 = AD) ; STATE1=NULL ; STATE2=NULL. La règle Ag compare la deuxième variable état STATE2 à l'adresse AD contenue dans l'unité reçue US. Si STATE2 et l'adresse AD sont identiques, carte SIM retransmet l'unité de données sortante US [ UP CALL, AD] au terminal TE qui procède ensuite à l'appel avec l'adresse AD à l'étape S67. Le procédé revient à l'étape initiale S60 pour mettre la valeur NULL les variables STATE1 et STATE2. Si la variable STATE2 est différente de l'adresse AD à l'étape S66, l'unité sortante reçue US n'est pas retransmise vers le terminal TE et la carte SIM transmet par exemple une unité sortante avec la commande pro-active SET UP IDLE TEXT. De manière plus générale, l'invention prévoit à l'étape S6 d'autoriser la retransmission d'une unité sortante établie par la carte SIM lorsque celle-ci est précédée par une ou plusieurs unités sortantes successives correspondant à des commandes pro-actives prédéterminées. De même, à l'étape E6, une unité entrante UE établie par le terminal est retransmise par la carte SIM vers la carte additionnelle CA lorsque l'unité entrante est précédée par ou plusieurs unités entrantes successives prédéterminées. Ces deux successions peuvent être combinées aux étapes E6 et S6 pour que la carte d'identité SIM présente des deuxièmes règles comprenant une autorisation de retransmettre une unité sortante prédéterminée US vers le terminal TE seulement lorsque l'unité sortante est précédée par au moins une retransmission d'une unité entrante prédéterminée UE vers la carte additionnelle CA et/ou une retransmission d'une unité sortante prédéterminée US vers le terminal TE, ou bien des premières règles comprenant une autorisation de retransmettre une unité entrante prédéterminée UE vers carte additionnelle CA seulement lorsque l'unité entrante est précédée par au moins une retransmission d'une unité sortante prédéterminée US vers le terminal TE et/ou une retransmission d'une unité entrante prédéterminée UE vers la carte additionnelle Dans tous ces cas, la mémoire non volatile 12 de la carte SIM mémorise les caractéristiques des unités successives, et plus généralement des successions d'unités UE-US qui sont autorisées. Pour réaliser l'étape E6, S6, des variables d'état, telles que STATE1 et STATE2, sont définies préalablement et modifiées dans la mémoire non volatile 12 de la carte SIM, en fonction du traitement de paramètres respectifs PCP extraits des commandes pro-actives dans les unités de données à retransmettre UE et US. Une règle pour la mise en ceuvre de l'étape E6, S6 effectue une modification des états qui sont, par exemple comme indiqué ci-dessus dans les règles A7 et A8, composées de règles élémentaires séparées par des points-virgules. La valeur d'une variable d'état est ainsi utilisée comme règle élémentaire. REVENDICATIONS 1 - Procédé pour filtrer des unités de données (APDU) entre une carte à puce d'identité (SIM) d'un terminal (TE) et une carte à puce additionnelle (CA), la carte d'identité (SIM) gérant des communications avec le terminal (TE) pour au moins application implémentée dans la carte additionnelle (CA), caractérisé en ce que la carte d'identité (SIM) filtre des unités de données entrantes (UE) produites par le terminal à destination la carte additionnelle (CA) selon des premières règles de filtrage prédéterminées (E2 à E6), et filtre des unités de données sortantes (US) produites par la carte additionnelle (CA) à destination du terminal (TE) selon des deuxièmes règles de filtrage prédéterminées (S2 à S6). 2 - Procédé conforme à la revendication 1, selon lequel les premières règles de filtrage (E2) consistent à interdire de retransmettre les unités entrantes (UE) par la carte d'identité (SIM) vers la carte additionnelle (CA), ou les deuxièmes règles de filtrage (S2) consistent à interdire de retransmettre les unités sortantes (US) par la carte d'identité (SIM) vers le terminal (TE). 3 - Procédé conforme à la revendication 1 ou 2, selon lequel les premières règles (E3 à E52) comprennent une autorisation de retransmettre une unité entrante (UE) vers la carte additionnelle (CA) lorsqu'au moins l'un de paramètres prédéterminés (CLA, INS, P1, P2) contenus dans l'unité entrante appartient à un ensemble de paramètres (CLAa, INSa, P1a, P2a) préalablement mémorisés dans la carte d'identité (CA), les paramètres prédéterminés étant classe d'instruction, une instruction, et un paramètre relatif à l'instruction. 4 - Procédé conforme à l'une quelconque des revendications 1 à 3, selon lequel les deuxièmes regles (S31, S32) comprennent une autorisation de retransmettre une unité sortante (US) vers le terminal (TE), lorsqu'au moins l'un de mots d'état prédéterminés (SW1, SW2) contenus dans la queue de l'unité sortante appartient à un ensemble mots d'état (SW1a, SW1b) préalablement mémorisés dans la carte d'identité (SIM). 5 - Procédé conforme à l'une quelconque des revendications 1 à 4, selon lequel les deuxièmes règles (S4) comprennent une autorisation de retransmettre une unité sortante (US) vers le terminal (TE) lorsque l'unité sortante contient une commande pro-active appartenant à un groupe (GCP) de commandes pro-actives préalablement mémorisées dans la carte d'identité (SIM). 6 - Procédé conforme à l'une quelconque des revendications 1 à 5, selon lequel les deuxièmes règles (S5) comprennent une autorisation de retransmettre une unité sortante (US) contenant une commande pro-active d'appel vers le terminal (TE), lorsque la commande pro-active contient une adresse (AD) commençant par un préfixe prédétermine et/ou l'identificateur d'une application (AID) prédéterminée susceptible d'être implémentée dans la carte additionnelle (CA), et/ou un identificateur de carte (NS) susceptible d'être mémorisé dans la carte additionnelle commençant par un préfixe prédéterminé. 7 - Procédé conforme à l'une quelconque des revendications 1 à 6, selon lequel les premières règles (S6) comprennent une autorisation de retransmettre une unité entrante prédéterminée (UE) vers la carte additionnelle (CA) seulement lorsque l'unité entrante est précédée par au moins une retransmission d'une unité sortante prédéterminée (US) vers le terminal (TE) et/ou une retransmission d'une unité entrante prédéterminée (UE) vers la carte additionnelle (CA). 8 - Procédé conforme à l'une quelconque des revendications 1 à 7, selon lequel les deuxièmes règles (S6) comprennent une autorisation de retransmettre une unité sortante prédéterminée (US) vers le terminal (TE) seulement lorsque l'unité sortante est précédée par au moins une retransmission d'une unité entrante prédéterminée (UE) vers carte additionnelle (CA) et/ou une retransmission d'une unité sortante prédéterminée (US) vers le terminal (TE). 9 - Procédé conforme à la revendication ou 8, selon lequel la carte d'identité (SIM) modifie des variables d'état (STATE1, STATE2) en fonction du traitement de paramètres respectifs (PCP) extraits des unités de données à retransmettre (UE, US). 10 - Carte d'identité (SIM) dans un terminal (TE) équipé d'un lecteur (LE) de carte à puce additionnelle (CA) pour la mise en oeuvre du procédé pour filtrer des unités de données conforme à l'une quelconque des revendications 1 à 9.