Brevet FR2817584A1 — publié le 20020607

Dispositif de sécurisation d'accès à un contenu situé l'intérieur d'une enceinte La présente invention concerne la sécurisation d'accès à contenu situé à l'intérieur d'une enceinte. Elle trouve une application générale dans la sécurisation biens, valeurs, services ou données, contenus dans \ enceinte telle qu'un coffre ou boîte. Elle trouve \ application particulière dans la sécurisation de valet contenues dans un horodateur, publiphone ou analogue. On connaît déjà des dispositifs de sécurisation d'accès à contenu situé à l'intérieur d'une enceinte. Par exemple, dans la demande WO-A-93/12510, l'accès contenu d'une borne d'un horodateur est sécurisé par lecteur de carte à puce. Un intervenant introduit une ca] à puce dans le lecteur. Après authentification de la cart puce, et avant ouverture de la porte interdisant l'accès contenu de la borne, la carte à puce lit et enregistre données d'un registre relatif au contenu de la borne. Api enregistrement, la carte à puce commande l'ouverture de porte, afin de permettre le déroulement de l'intervent : souhaitée. Un tel dispositif de sécurisation d'accès n'est pas toto : ment satisfaisant. En effet, le lecteur de carte à puce permet de reconnaît (d'authentifier) l'intervenant avant l'ouverture de la pori et d'assurer le transfert de données relatives au conte vers la carte à puce. Mais, en raison du placement du leste de carte à puce à l'extérieur de la borne, et de la dissoc : tion des étapes d'authentification de l'intervenant, transfert des données relatives au contenu de la borne, l'ouverture de la porte, et de l'accès au contenu de la borne, un tel lecteur ne permet pas de parer à la répudiation (c'est-à-dire la négation ou le démenti a posteriori) de l'accès au contenu de la borne de la part de l'intervenant. La présente invention remédie à cet inconvénient. Elle porte sur un dispositif de sécurisation d'accès à un contenu situé à l'intérieur d'une enceinte, ladite enceinte étant du type comprenant une enveloppe apte à interdire l'accès audit contenu, une porte apte à permettre l'accès à l'intérieur de ladite enveloppe, et des moyens de verrouillage/déverrouillage de la porte. Selon une définition générale de l'invention, l'enceinte comprend en outre une incerface de communication avec l'extérieur de l'enceinte, des moyens de traitement et des moyens de transfert du contenu et/ou de données relatives audit contenu ; lesdits moyens de traitement étant destinés à établir une fonction d'authentification avec des moyens d'authentification homologues d'une clé dotée d'au moins un droit d'accès, via l'interface de communication de l'enceinte et une interface de communication homologue de la clé ; en cas d'authentification positive et de vérification positive du droit d'accès, les moyens de traitement de l'enceinte étant aptes à commander les moyens de verrouillage/déverrouillage de la porte ; et en cas d'ouverture de la porte, les moyens de traitement de l'enceinte étant destinés à transférer le contenu et/ou les données relatives audit contenu émanant des moyens de transfert de l'enceinte vers la clé, via l'interface de communication de l'enceinte et l'interface de communication homologue de la clé. Ainsi, grâce au dispositif selon l'invention, l'intervenant qui est en charge d'effectuer le transfert du contenu ou de données relatives audit contenu de l'enceinte vers l'extérieur ne peut pas dissocier la nature de ses actions de la clé qui lui a été confiée pour accéder audit contenu. Il en résulte que le dispositif de sécurisation selon l'invention offre un service de non répudiation à l'égard de l'accès au contenu de l'enceinte vis-à-vis de l'intervenant qui ouvre la porte de l'enceinte. En d'autres termes, le dispositif selon l'invention offre le double avantage de se prémunir d'une éventuelle fraude (accès au contenu), réalisée par un individu malveillant (fonction de serrure) ainsi que de garantir que l'individu authentifié réalisant la fonction de"collecte"du contenu ne puisse démentir un éventuel accès à ce contenu. En pratique, les moyens de traitement de l'enceinte sont destinés à transférer le contenu et/ou les données relatives audit contenu émanant des moyens de transfert de l'enceinte vers des moyens de mémorisation de la clé. Ainsi, grâce à l'invention, les fonctions de serrure et de mémorisation sont cumulées avec la singularité de ne mémoriser les informations qu'uniquement dans la clé qui a permis d'ouvrir la serrure (moyens de verrouillage/déverrouillage). De préférence, la fonction d'authentification est du type actif. Selon un autre aspect de l'invention, l'interface de communication de l'enceinte est du type appartenant au groupe formé par la technologie sans contact, avec contact ou mixte. La présente invention a également pour objet une clé destinée à coopérer avec un dispositif de sécurisation d'accès à un contenu situé à l'intérieur d'une enceinte de type comprenant une enveloppe apte à interdire l'accès audit contenu, une porte apte à permettre l'accès à l'intérieur de ladite enveloppe, et des moyens de verrouillage/déverrouillage de la porte. Selon une autre caractéristique importante de l'invention, la clé est dotée d'au moins un droit d'accès et comprend une interface de communication destinée à communiquer avec une interface de communication homologue de l'enceinte, des moyens de traitement et des moyens de mémorisation ; lesdits moyens de traitement de la clé étant destinés à établir une fonction d'authentification avec les moyens d'authentification homologues des moyens de traitement de l'enceinte, via l'interface de communication de la clé et l'interface de communication homologue de l'enceinte, et - en cas d'authentification positive et de vérification positive du droit d'accès, les moyens de verrouillage/déverrouillage étant destinés à être commandés afin d'ouvrir la porte ; et en cas d'ouverture de la porte de l'enceinte, les moyens de traitement de la clé étant destinés à transférer le contenu et/ou les données relatives audit contenu émanant des moyens de transfert de l'enceinte vers les moyens de mémorisation de la clé, via l'interface de communication de l'enceinte et l'interface de communication homologue de la clé. En pratique, l'interface de communication de la clé est du type appartenant au groupe formé par la technologie sans contact, avec contact, ou mixte. Selon un autre aspect de l'invention, des échanges d'informations sont réalisés entre l'interface de communication de l'enceinte et l'interface de communication de la clé pendant tout ou partie de la collecte jusqu'au verrouillage de la porte, ces échanges étant aptes à informer sur l'usage de la clé avec l'enceinte et/ou à inhiber/désinhiber le droit d'accès de la clé et/ou les moyens d'authentification de la clé en fonction de l'usage de la clé avec l'enceinte. Dans le cas d'un déroulement anormal du processus de collecte, tel que le non verrouillage de la porte, les moyens de traitement de l'enceinte sont aptes à inhiber le droit d'accès et/ou les moyens d'authentification de la clé. Une telle inhibition du droit d'accès (tout ou partie des droits en cas de pluralité des droits d'accès) de la clé en cas de déroulement anormal du processus de collecte permet de limiter les opérations douteuses, volontaires ou non, de la part de l'intervenant qui, par exemple, retire sa clé de l'interface de communication de l'enceinte sans refermer et verrouiller la porte, afin de laisser l'enceinte ouverte et permettre ainsi de repasser ultérieurement prendre le contenu sans laisser de trace. Une telle opération a pour effet d'inhiber les droits de collecte de la clé qui ne peut plus alors servir pour les autres horodateurs et donc interdire la collecte dans lesdits autres horodateurs. Dans le cas d'un déroulement normal du processus de collecte, les moyens de traitement de l'enceinte peuvent également inhiber le droit d'accès de la clé après authentification et vérification du droit d'accès et avant ouverture (déverrouillage) de la porte tandis que, après fermeture (verrouillage) de la porte, les moyens de traitement de l'enceinte sont destinés à désinhiber ledit droit d'accès de la clé. L'inhibition/désinhibition des droits d'accès de la clé, notamment en relation avec l'ouverture/fermeture de la porte permet à un tiers, administrateur de la clé par exemple, de contrôler a posteriori l'usage de la clé par un intervenant choisi. D'autres caractéristiques et avantages de l'invention apparaîtront à la lumière de la description détaillée ciaprès et des dessins dans lesquels : la figure 1 illustre schématiquement les moyens constitutifs du dispositif de sécurisation d'accès à un contenu selon l'invention ; et la figure 2 est un organigramme illustrant le fonctionnement du dispositif selon l'invention. En référence à la figure 1, un contenu C est situé à l'intérieur d'une enceinte V comportant une enveloppe E apte à interdire l'accès audit contenu C. Une porte P (de préférence unique) permet l'accès (de préférence unique) à l'intérieur de l'enveloppe E. Des moyens de verrouillage/déverrouillage SDV sont associés à la porte P pour permettre l'ouverture et la fermeture sécurisées de la porte. 1 L'enceinte V est une enceinte close correspondant, par exemple, à une tirelire ou un coffre d'un horodateur, et le contenu C est représentatif de valeurs sous forme de pièces. L'enceinte peut être également celle d'un distributeur de titres, d'un distributeur de boissons, etc. Les moyens de verrouillage/déverrouillage SDV sont commandés par des moyens de traitement et de commande OCV. Les moyens de verrouillage/déverrouillage peuvent être du type mécanique, logique ou analogique. Par exemple, les moyens de traitement et de commande OCV sont du type microprocesseur ou microcontrôleur. De préférence, une mémoire OCV mémorise des données relatives au suivi du contenu C. Cette mémoire OMV est notamment utile pour contenir des données relatives aux transactions réalisées sur un horodateur. Les données contenues dans cette mémoire peuvent être transférées dans une clé que l'on décrira plus en détail ci- après. Par exemple, la mémoire OMV est du type EEPROM. En variante, cette mémoire OMV peut être remplacée par un moyen de transfert de données et/ou de contenu. Selon l'invention, l'enceinte V comprend en outre une interface de communication ICV avec l'extérieur de l'enceinte. L'interface de communication ICV de l'enceinte appartient au groupe formé par la technologie sans contact, avec contact ou mixte. Par exemple, l'interface de communication de l'enceinte est sans contact électrique, dit de proximité, correspondant à un échange de données avec une clé située à une distance de l'ordre de quelques millimètres. La fonction d'authentification est par exemple du type actif. Elle comprend un échange de données entre la clé et l'enceinte selon un protocole de communication comprenant des communications cryptées et/ou bruitées. Le chiffrement/déchiffrement des communications utilisent par exemple des fonctions de cryptographie classiques de type triple DES (pour"DATA ENCRYPTION SYSTEM"). Des moyens de traitement de l'enceinte IDV sont aptes à établir une fonction d'authentification avec des moyens d'authentification homologues de la clé K, via l'interface de communication ICV d'enceinte et l'interface de communication ICK homologue de la clé K. De son côté, la clé K comprend une interface de communication ICK apte à communiquer avec l'interface de communication ICV homologue de l'enceinte. De plus, la clé K est dotée d'au moins un droit d'accès. Par exemple, le droit d'accès est un droit de collecte du contenu. D'autres droits d'accès peuvent être utilisés. Des moyens de traitement de la clé IDK sont aptes à piloter l'échange des données via l'interface de communication ICK. Ces moyens de traitement IDK sont en outre capables de piloter l'écriture/lecture dans les moyens de mémorisation OMK. Les moyens de mémorisation OMK peuvent par exemple mémoriser des données relatives au suivi du contenu C. Par exemple, les moyens de traitement de la clé sont du type microprocesseur ou microcontrôleur. La mémoire OMK est par exemple du type EEPROM. La clé K peut être du format d'une carte à mémoire ou analogue. Elle est réalisée en technologie avec ou sans contact ou bien encore mixte. L'alimentation en énergie est fournie prioritairement par l'enceinte mais elle peut être fournie par la clé (alimentation interne de la clé) en cas de panne l'enceinte. En référence à la figure 2, le fonctionnement du dispositif de sécurisation selon l'invention dans le cadre d'une collecte du contenu C et/ou de données relatives audit contenu est le suivant. Selon l'étape El, l'intervenant présente sa clé K devant l'interface de communication ICV de l'enceinte V. Selon l'étape E2, la fonction d'authentification de la clé K est mise en place à l'aide des moyens de traitement IDV de l'enceinte et des moyens de traitement IDK de la clé K. En cas d'authentification positive et de vérification positive du droit d'accès (étape E3), la collecte peut commencer selon un protocole prédéterminé comprenant des échanges entre l'interface de communication de la clé et l'interface de communication de l'enceinte jusqu'au moment du verrouillage de la porte. Avantageusement, ces échanges sont aptes à informer sur l'usage de la clé avec l'enceinte, et/ou à inhiber/dés inhiber le droit d'accès et/ou les moyens d'authentification de la clé en fonction de l'usage de la clé avec l'enceinte. Dans le cas d'un déroulement anormal du processus de collecte, tel que le non verrouillage de la porte, les moyens de traitement de l'enceinte peuvent inhiber le droit d'accès et/ou les moyens d'authentification de la clé. Dans le cas d'un déroulement anormal du processus de collecte, les moyens de traitement de l'enceinte peuvent également inhiber/désinhiber le droit d'accès et/ou les moyens d'authentification de la clé. En pratique, cette inhibition peut intervenir avant l'ouverture de la porte, et être annulée par une désinhibition réciproque en cas de fermeture normale de la porte. Selon l'étape E4, les moyens de traitement et de commande de l'enceinte OCV commandent le déverrouillage (ouverture) de la porte P. En cas d'ouverture de la porte (étape E5), les moyens de traitement de l'enceinte IDV et/ou OCV sont aptes à transférer le contenu C et/ou les données relatives audit contenu C émanant des moyens de transfert (mémorisation) de l'enceinte OMV vers la clé K de l'enceinte, via l'interface de communication ICV de l'enceinte et l'interface de communication ICK homologue de la clé K. En pratique, le transfert du contenu C émanant des moyens de transfert de l'enceinte OMV est effectué dans les moyens de mémorisation homologues OMK de la clé K. Les données ainsi transférées sont préalablement introduites dans les moyens de transfert OMV par un système interne qui régit l'enceinte. Après le transfert des données, l'utilisateur retire sa clé de l'interface de communication de l'enceinte pendant ou après le verrouillage de la porte P. De préférence, les communications entre l'enceinte et la clé sont réalisées sans contact électrique, c'est-à-dire par induction. Une telle fonction d'introduction de la clé dans la serrure par proximité confère une protection supplémentaire vis-à-vis de l'espionnage frauduleux dans la mesure où l'induction est réalisée à l'intérieur de l'enceinte. Les communications entre l'enceinte et la clé peuvent être cryptées et/ou bruitées par des codes de cession (codes générés de façon aléatoire, valides uniquement pendant une ouverture tant que la clé est présente dans l'interface de communication de l'enceinte ICV). Ainsi, non seulement lors de l'ouverture de la porte permettant l'accès au contenu de l'enceinte mais également tout le temps de la collecte, s'opèrent des échanges d'informations entre l'interface de communication de l'enceinte et l'interface de communication de la clé. Il en résulte qu'il est possible de modifier les droits d'accès de la clé en cas de déroulement anormal du processus de collecte. Ainsi par exemple, le droit de collecte de la clé peut être inhibé si la clé est retirée et que la porte n'est pas refermée (autorisant donc un accès libre au contenu de l'enceinte). Le droit d'accès de la clé étant inhibé, il n'est alors plus possible à l'intervenant de poursuivre sa tournée sur d'autres horodateurs puisqu'il ne pourra alors plus déverrouiller lesdits horodateurs. L'inhibition du droit de collecte permet par ailleurs de suivre la trace de l'intervenant puisque les horodateurs conservent les codes d'authentification des clés qui leur sont présentées. Par exemple, la validation ou non de la fonction de commande d'ouverture de la porte est réalisée à l'issue d'une comparaison d'états internes entre la clé et l'enceinte. Selon l'étape E7, après fermeture normale (verrouillage) de la porte, le ou les droits d'accès de la clé K peuvent être désinhibés (passage d'un drapeau du microprocesseur de la clé à l'état bas correspondant à la désinhibition de la clé) selon un protocole choisi entre la clé et l'enceinte. Une telle information sur l'usage de la clé accompagnée ou non de l'inhibition/désinhibition du ou des droits d'accès de la clé, notamment en synchronisation avec l'ouverture/ferme- ture de la porte permet de tracer des éventuelles opérations malveillantes d'un intervenant. La présente invention trouve une application dans la collecte de l'argent au sein d'un distributeur quelconque (horodateur, distributeur de titres, distributeur de boissons, etc.). Elle peut également s'appliquer au contrôle d'accès ou de rondes en attestant dans la clé électronique que les différents passages ont été faits (mémorisation des données telles que la date, l'heure, etc. ). Revendications 1. Dispositif de sécurisation d'accès à un contenu (C) situé à l'intérieur d'une enceinte (V), ladite enceinte étant du type comprenant une enveloppe (E) apte à interdire l'accès audit contenu, une porte (P) apte à permettre l'accès à l'intérieur de ladite enveloppe (E), et des moyens de verrouillage/déverrouillage (SDV) de la porte (P), caractérisé en ce que l'enceinte comprend en outre une interface de communication (ICV) avec l'extérieur de l'enceinte, des moyens de traitement (IDV, OCV) et des moyens de transfert (OMV) du contenu et/ou de données relatives audit contenu (C), lesdits moyens de traitement (IDV, OCV) étant destinés à établir une fonction d'authentification avec des moyens d'authentification (IDK) homologues d'une clé (K) dotée d'au moins un droit d'accès, via l'interface de communication (ICV) de l'enceinte et une interface de communication (ICK) homologue de la clé (K), en cas d'authentification positive et de vérification positive du droit d'accès, les moyens de traitement de l'enceinte (IDV, OCV) étant aptes à commander les moyens de verrouillage/déverrouillage (SDV) afin d'ouvrir la porte (P), et en cas d'ouverture de la porte, les moyens de traitement de l'enceinte (IDV, OCV) étant destinés à transférer le contenu et/ou les données relatives audit contenu émanant des moyens de transfert de l'enceinte (OMV) vers la clé de l'enceinte, via l'interface de communication (ICV) de l'enceinte et l'interface de communication (ICK) homologue de la clé (K). 2. Dispositif selon la revendication 1, caractérisé en ce que les moyens de traitement de l'enceinte (IDV, OCV) sont destinés à transférer le contenu et/ou les données relatives audit contenu émanant des moyens de transfert de l'enceinte (OMV) vers des moyens de mémorisation (OMK) homologues de la clé. 3. Dispositif selon la revendication 1 ou la revendication 2, caractérisé en ce que la fonction d'authentification est active. 4. Dispositif selon l'une des revendications précédentes, caractérisé en ce que l'interface de communication (ICV) de l'enceinte est du type appartenant au groupe formé par la technologie sans contact, avec contact ou mixte. 5. Dispositif selon l'une des revendications 1 à 4, caractérisé en ce que des échanges d'informations sont réalisés entre l'interface de communication de l'enceinte et l'interface de communication de la clé jusqu'au moment du verrouillage de la porte, ces échanges étant aptes à informer sur l'usage de la clé avec l'enceinte et/ou à inhiber/désinhiber le droit d'accès de la clé et/ou les moyens d'authentification de la clé en fonction de l'usage de la clé avec l'enceinte. 6. Dispositif selon la revendication 5, caractérisé en ce que dans le cas d'un déroulement anormal du processus de collecte, les moyens de traitement de l'enceinte sont aptes à inhiber le droit d'accès et/ou des moyens d'authentification de la clé. 7. Dispositif selon la revendication 5, caractérisé en ce qu'après vérification du droit d'accès et avant ouverture de la porte, les moyens de traitement de l'enceinte (IDV, OCV) sont aptes à inhiber le droits d'accès de la clé tandis qu'après fermeture normale de la porte, les moyens de traitement de l'enceinte (IDV, OCV) sont aptes à désinhiber le droit d'accès de la clé. 8. Clé destinée à coopérer avec un dispositif de sécurisation d'accès à un contenu (C) situé à l'intérieur d'une enceinte (V) du type comprenant une enveloppe (E) apte à interdire l'accès audit contenu, une porte (P) apte à permettre l'accès à l'intérieur de ladite enveloppe (E), des moyens de traitement (IDV) et des moyens de verrouillage/déverrouillage (SDV) de la porte (P), caractérisée en ce que la clé (K) est dotée d'au moins un droit d'accès et comprend une interface de communication (ICK) destinée à communiquer avec une interface de communiation (ICV) homologue de l'enceinte, des moyens de traitement (IDK) et des moyens de mémorisation (OMK), lesdits moyens de traitement (IDK) de la clé étant destinés à établir une fonction d'authentification avec des moyens d'authentification (IDV) homologues des moyens de traitement de l'enceinte, via l'interface de communication (ICK) de la clé (K) et l'interface de communication (ICV) homologue de l'enceinte (V), en cas d'authentification positive et de vérification positive du droit d'accès, les moyens de verrouillage/déverrouillage étant destinés à être commandés afin d'ouvrir la porte (P) ; et en cas d'ouverture de la porte de l'enceinte, les moyens de traitement (IDK) de la clé étant destinés à transférer le contenu et/ou les données relatives audit contenu émanant des moyens de transfert de l'enceinte (OMV) vers les moyens de mémorisation de la clé, via l'interface de communication (ICV) de l'enceinte et l'interface de communication (ICK) homologue de la clé (K). 9. Clé selon la revendication 8, caractérisée en ce que des échanges d'informations sont réalisés entre l'interface de communication de l'enceinte et l'interface de communication de la clé pendant tout ou partie de la collecte jusqu'au moment du verrouillage de la porte, ces échanges étant aptes à informer sur l'usage de la clé et/ou à inhiber/désinhiber le droit d'accès de la clé et/ou les moyens d'authentification de la clé en fonction de l'usage de la clé avec l'enceinte. 10. Clé selon la revendication 9, caractérisée en ce qu'en cas de déroulement anormal de la collecte, le droit d'accès et/ou les moyens d'authentification de la clé, sont susceptibles d'être inhibés. 11. Clé selon la revendication 10, caractérisée en ce qu'après authentification de la clé et vérification du droit d'accès et avant déverrouillage de la porte, les moyens de traitement de l'enceinte (IDV, OCV) sont destinés à inhiber le droit d'accès de la clé tandis qu'après verrouillage normal de la porte (P), les moyens de traitement (IDV, OCV) de l'enceinte sont destinés à désinhiber le droit d'accès de la clé. 12. Clé selon la revendication 9, caractérisée en ce que la fonction d'authentification est active. 13. Clé selon l'une des revendications 9 à 12, caractérisée en ce que l'interface de communication (ICK) de la clé est du type appartenant au groupé formé par la technologie sans contact, avec contact, ou mixte. 14. Clé selon l'une des revendications 9 à 13, caractérisée en ce qu'elle est au format d'une carte à mémoire ou analogue.