Brevet FR2809516A1 — publié le 20011130

L'invention concerne les systèmes permettant de réaliser des transactions entre des bornes et des objets portatifs tels que des badges ou cartes microcircuit. Elle vise plus particulièrement le cas où les objets portatifs sont des ob jets portatifs mixtes, capables de communiquer avec des bornes soit par l'intermédiaire de contacts, c'est-à-dire par la voie galvanique, soit sans contact, simplement en approchant l'objet portatif de la borne de manière à permettre un couplage mutuel non galvanique, typiquement par une technique connue sous le nom de "procédé par induction". Le WO-A-98/26 371 décrit un tel "système d'échange de données à com munication par contacts ou sans contact entre une borne et des objets portatifs", et l'on pourra se référer à ce document pour plus de détails sur les techniques employées, tant pour la borne que pour l'objet portatif. L'invention vise la protection contre un certain type de fraudes et de mal veillances auquel pourraient être exposés les dispositifs autorisant une communication sans contact par champ électromagnétique. Plus précisément, ce type de système est vulnérable au "vol à la tire élec tronique", où un fraudeur "pickpocket électronique" approche de l'objet portatif à l'insu de son porteur un terminal portable contrefait pour établir frauduleusement un lien de communication avec l'objet portatif et, par exemple dans le cas d'un porte-monnaie électronique, prélever indûment unités monétaires dans la mémoire de la carte. Certains prescripteurs tels que les groupements de banques sont d'ail leurs réticents à la généralisation des transactions sans contact en raison notamment de tels risques de fraudes nouvelles. Le WO-A-99122 334 enseigne des moyens permettant d'empêcher une telle fraude à l'insu de l'utilisateur. II prévoit à cet effet des moyens validation impliquant une action prédéterminée extérieure de confirmation exercée avec l'objet portatif par son porteur. Par exemple, un détecteur de lumière inhibe le fonctionnement de l'objet portatif lorsque celui-ci se trou- dans la poche de son titulaire, la confirmation étant réalisée en expo sant la carte à la lumière. II peut s'agir également d'un bouton situé sur l'objet portatif, dont l'appui matérialise l'accord du porteur à la transaction sans contact, ou tout autre moyen impliquant un geste volontaire de la part de ce dernier. ' La protection conférée par ce moyen est particulièrement efficace. Toutefois, elle impose qu'aussi bien les cartes que les terminaux soient pourvus de moyens matériels appropriés (photodétecteur, bouton, zone réfléchissante etc.), empêchant par là même une généralisation rapide en raison des modifications à apporter au parc existant de bornes et d'ob jets portatifs. Le but de l'invention est de proposer une technique de protection contre les risques précités de vols à la tire électronique, qui ne nécessite pas ou peu de modifications matérielles sur les éléments existants. En effet, com me on le verra, l'invention peut être implémentée par reprogrammation des bornes des objets portatifs, donc essentiellement par des moyens logiciels dont la généralisation pourra être réalisée de manière beaucoup plus simple et rapide, par exemple à l'occasion du téléchargement d'une nouvelle version du logiciel d'exploitation des bornes et des objets porta tifs, donc mis en ceuvre sans développement matériel. L'invention, comme on l'a expliqué plus haut, s'applique aux systemes comportant des cartes mixtes susceptibles d'opérer aussi bien par voie galvanique que par voie sans contact. Un tel système, décrit par exemple dans le WO-A-98126 371 précité, comporte - des bornes d'un premier type, comportant une pluralité de contacts électriques pour la communication par voie galvanique avec des objets portatifs, - des bornes d'un second type, émettant un champ électromagnétique modulé par des données, pour la communication sans contact avec des objets portatifs, - des objets portatifs comprenant chacun : une pluralité de contacts électriques homologues des contacts des bornes du premier type pour la communication avec celles-ci ; une bobine, pour la communication sans contact avec des bornes du second type ; une mémoire de don nées, notamment une mémoire de données monétaires ; des moyens d'échanges de données avec l'extérieur, interposés entre, d'u ne part, lesdits contacts électriques et ladite bobine et, d'autre part, la mémoire. Ce système comprend en outre des moyens inhibiteurs aptes à interdire sélectivement en fonction de critères prédéterminés, l'écriture dans mémoire des objets portatifs en réponse à des données reçues de l'exte- rieur par les moyens d'échange de ces objets portatifs. De façon caractéristique de l'invention, les objets portatifs comprennent en outre des moyens détecteurs, aptes à déterminer celui des modes communication utilisée, avec ou sans contact, en cas de réception de données reçues de l'extérieur par les moyens d'échange, et à délivrer en conséquence aux moyens inhibiteurs un indicateur de mode formant l'un desdits critères prédéterminés d'inhibition sélective. Les moyens inhibiteurs peuvent être disposés aussi bien dans les bornes que dans les objets portatifs. Très avantageusement, les moyens inhibiteurs sont des moyens aptes à opérer en réponse à l'indicateur de mode pour n'autoriser l'écriture que si le mode choisi est le mode à contact galvanique ou, en mode sans con tact, si les données reçues de l'extérieur contiennent un identifiant d'opé rateur ou de nature d'opération, notamment d'opérateur de transport d'opération paiement de transport, conforme à un identifiant de consi gne correspondant, ou à une liste d'identifiants de consigne correspon dants, qui peut en particulier être conservé(e) dans la mémoire des objets portatifs. Les moyens inhibiteurs peuvent aussi être des moyens aptes à opérer en réponse à l'indicateur de mode pour n'autoriser l'écriture que si le mode choisi est mode à contact galvanique ou, en mode sans contact, si les données reçues de l'extérieur indiquent un montant de transaction infé rieur à une limite prédéterminée, qui peut en particulier être conservée dans la mémoire des objets portatifs. Dans l'un ou l'autre cas, il est avantageusement prévu des moyens commande des moyens inhibiteurs, aptes à forcer l'écriture sur une action prédéterminée extérieure de confirmation exercée par le porteur de l'objet portatif. De préférence, le système comprend en outre des moyens pour mémori ser, après écriture dans la mémoire, l'indicateur de mode dans un histori que de transactions. On va maintenant décrire, à titre d'exemple, diverses mises en oeuvre possibles de la présente invention. Essentiellement, l'objet portatif (que l'on désignera simplement par la suite sous le terme de "carte", bien que ce terme ne soit en aucune façon limitatif), est pourvu de moyens permettant de déterminer quand la carte est opérée en mode par contacts ou en mode sans contact, et inhiber telle ou telle fonction si l'opération est en mode sans contact. Plus précisément, cette inhibition est une limitation de l'accès en écriture sans contact à la mémoire de la carte pour des transactions avec certains interlocuteurs, par exemple les opérateurs de systèmes de transport, du moins au-dessus d'un seuil de montant de transaction. On prendra l'exemple d'un système de porte-monnaie électronique (PME) avec et sans contact, d'un type connu tel que "Geldkarte", "Proton", "PCOS", "Minipay" ou "Modeus". Les transactions par contacts sont régies par la norme ISO 7816-1 -3, et les communications sans contact, par le projet de norme ISO 14443-1 à -4. Ces normes sont en pratique très semblables sur les aspects fonc tionnels, c'est-à-dire que, à l'exception des couches de communication spécifique au mode de communication considéré (avec ou sans contact), informations échangées entre les objets portatifs et les bornes sont pour l'essentiel identiques. Dans le cas de la présente invention, il est au contraire proposé, tout en restant dans le cadre des normes précitées, d'opérer une discrimination entre les deux types de communication et de prendre des actions diffé rentes selon que la transaction serait effectuée par contacts ou sans con tact. Plus précisément, on peut ainsi réserver les transactions sans contact, comme indiqué plus haut, à certains opérateurs, tels que les opérateurs transport, ou certains commerçants soumis à un régime de contrôle strict. Cette manière de procéder implique que le débit de la carte PME chez un commerçant non autorisé devra a contrario se faire par contacts. Mais on peut néanmoins autoriser dans ce cas des transactions sans contact en prevoyant un autre critère lié au montant de la transaction, de manière à quand même autoriser des débits rapides, sans contact, pour des trans- actions fréquentes de faible montant tels que des débits effectués dans des bureaux de tabac, boulangeries, etc. En complément, la transaction sans contact peut être permise chez un commerçant non autorise même au-dessus du montant limite, en impo sant alors un "geste volontaire" par un moyen matériel additionnel tel que celui décrit dans le WO 99I22 334 précité : présentation de la carte à la lumière, échange optoelectronique entre carte et terminal, appui sur un bouton, etc. La mise en oeuvre de l'invention sélectivement en fonction du type de borne implique que la borne (plus précisément, un module sécurisé au sein de celle-ci) communique à la carte dans une étape préliminaire de la transaction, une information, contenue dans ce module, qui caractérise le fait que la borne est autorisée à participer à une transaction sans contact. Bien entendu, un certificat cryptographique empêche l'altération de l'in formation caractérisant le fait que la borne est autorisée à participer à une transaction sans contact. Cette information est transmise à la carte qui, en fonction de cette infor mation et du fait que transaction s'effectue par contacts, inhibera ou autorisera sélectivement transaction. La carte, quant à elle, determine le type de mode de communication utili sé (avec ou sans contact) par divers moyens décrits notamment dans le WO-A-98126 371 précite, par exemple en examinant la source d'horloge appliquée au processeur, la source d'alimentation et/ou la source des in formations traitées. Dans une variante de mise en oeuvre, ce peut être la carte qui communi que au module le fait elle opère en mode par contacts ou sans contact, le module sécurisé de la borne prenant la décision d'inhiber ou non la transaction avec la Dans une autre variante la carte peut contenir une information spécifique autorisant ou interdisant l'ecriture dans la mémoire (le débit du PME) lors d'une transaction sans contact avec telle ou telle classe de bornes. Un résultat équivalent peut être obtenu en prévoyant la sélection par la carte d'une clé ou d'un protocole cryptographique différent selon que la transaction est effectuée contacts ou sans contact. Enfin, si la transaction est autorisée, on peut avantageûsement mémori- ser, au cours de la transaction ou après celle-ci, une information permet tant de savoir selon quel mode, avec ou sans contact, à été opérée cette transaction. Cette information peut être utilement archivée dans l'histori que des transactions conservé par la carte et/ou la borne, afin de pouvoir garder une trace permettant en cas de contestation d'une transaction de retrouver après coup de quelle manière cette dernière a été réalisée. REVENDICATIONS 1. Un système pour opérer des transactions entre des bornes et ob jets portatifs, du type comprenant - des bornes d'un premier type, comportant une pluralité de contacts électriques pour la communication par voie galvanique avec objets portatifs, - des bornes d'un second type, émettant un champ électromagnétique modulé par des données, pour la communication sans contact avec des objets portatifs, - des objets portatifs comprenant chacun - une pluralité de contacts électriques homologues des contacts des bornes du premier type pour la communication avec celles-ci, - une bobine, pour la communication sans contact avec des bornes du second type, - une mémoire de données, notamment une mémoire de données monétaires, et - moyens d'échanges de données avec l'extérieur, interposés entre, d'une part, lesdits contacts électriques et ladite bobine et, d'autre part, la mémoire, ce systeme comprenant en outre - des moyens inhibiteurs aptes à interdire sélectivement, en fonction de criteres prédéterminés, l'écriture dans la mémoire des objets portatifs en réponse à des données reçues de l'extérieur par les moyens d'échange de ces objets portatifs, caracterisé en ce que les objets portatifs comprennent en outre - moyens détecteurs, aptes à déterminer celui des modes de communication utilisée, avec ou sans contact, en cas récep tion de données reçues de l'extérieur par les moyens d'échan- et à délivrer en conséquence aux moyens inhibiteurs un in dicateur de mode formant l'un desdits critères prédeterminés d'inhibition sélective. 2. Le système de la revendication 1, dans lequel les moyens inhibiteurs sont disposés dans les bornes. 3. Le systeme de la revendication 1, dans lequel les moyens inhibiteurs sont disposés dans les objets portatifs. 4. Le systeme de la revendication 1, dans lequel les moyens inhibiteurs sont des moyens aptes à opérer en réponse à l'indicateur de mode pour n'autoriser l'écriture que si le mode choisi est le mode à contact galvani que ou, en mode sans contact, si les données reçues de l'extérieur tiennent un identifiant d'opérateur ou de nature d'opération, notamment d'opérateur de transport ou d'opération de paiement de transport, con forme à un identifiant de consigne correspondant, ou à une liste d'identi- fiants de consigne correspondants. 5. Le système de la revendication 4, dans lequel l'identifiant de consigne, ou la liste d'identifiants de consigne, est conservé(e) dans la mémoire des objets portatifs. 6. Le système de la revendication 1, dans lequel les moyens inhibiteurs sont des moyens aptes à opérer en réponse à l'indicateur de mode pour n'autoriser l'écriture que si le mode choisi est le mode à contact galvani que ou, en mode sans contact, si les données reçues de l'extérieur indi quent un montant de transaction inférieur à une limite prédéterminée. 7. Le système de la revendication 6, dans lequel ladite limite prédétermi née est conservée dans la mémoire des objets portatifs. 8. Le système de la revendication 4 ou 6, comportant en outre des moyens de commande des moyens inhibiteurs, aptes à forcer l'écriture sur une action prédéterminée extérieure de confirmation exercée par le porteur l'objet portatif. 9. Le système de la revendication 1, comprenant en outre des moyens pour memoriser, après écriture dans la mémoire, ledit indicateur de mode dans historique de transactions.