Brevet FR2836251A1 — publié le 20030822

DISPOSITIF ET PROCEDE DE SECURISATION DE DONNEES SENSIBLES, NOTAMMENT ENTRE DEUX PARTIES VIA UN ORGANISME TIERS L'invention concerne la gestion de données sensibles dans des systèmes d'échange de données. Un exemple de tels systèmes est basé sur la réalisation de contrats électroniques entre deux parties ou entités, par exemple un utilisateur et un fournisseur de services, à l'aide d'une entité tiers. Cette dernière agit alors en représentant de l'utilisateur, étant apte à négocier en son nom auprès des fournisseurs de services, tout en protégeant ses données personnelles. Dans ce cadre, il existe des comités en matière de standardisation des échanges entre les fournisseurs d'accès et les utilisateurs, parties respectives d'un contrat. L'organisation dénommée"XNS. org", dont le site Internet se situe à l'adresse http : //www. xns. org/. est un exemple d'un tel comité, qui spécifie le rôle d'une entité tiers en tant qu'intermédiaire de confiance sur le réseau Internet. Cette dernière garde en mémoire les données caractéristiques d'un contrat passé entre deux entités, comme un utilisateur et une entité commerciale par exemple. Ainsi, en cas de litige postérieur au contrat, comme le défaut de livraison d'un produit, le défaut de paiement, ou la diffusion abusive de données personnelles, l'intermédiaire de confiance apporte la preuve électronique du contrat passé. Le principe de fonctionnement d'une telle organisation est présenté schématiquement à la figure 1. L'intermédiaire de confiance 2 comporte deux interfaces : une dite"agent fournisseur de services"4 qui dialogue avec les fournisseurs de services FS, et une dite"agent personnel"6 qui dialogue avec les utilisateurs U. Ces deux agents 4 et 6 dialoguent entre eux par un lien dédié 8. Dans l'exemple illustré, l'utilisateur U est relié à l'agent personnel 6 par le réseau Internet 10, par exemple au moyen d'un ordinateur personnel PC 12. Un inconvénient de ce système est que l'organisme tiers de confiance 2 a besoin de connaître l'ensemble des données personnelles de l'utilisateur afin de réaliser les transactions à la place de ce dernier, et que ces données personnelles sont vulnérables de deux points de vue : - elles sont stockées dans un ordinateur qui n'est pas par nature sécurisé, et elles échappent au contrôle de leur propriétaire. Il en résulte que des utilisateurs sont réticents, à juste titre, de laisser toutes leurs données personnelles sur le site de l'organisme de confiance, certaines de ces données étant sensibles pour l'utilisateur U pour diverses raisons, s'agissant par exemple de son numéro de téléphone personnel, des éléments de son état civil, ses coordonnée bancaires, ses cartes de visite électroniques, son dossier médical, etc. Au vu de ce qui précède, l'invention prévoit des moyens techniques de sécurisation pouvant s'intégrer fonctionnellement dans un tel système. Ces moyens sont basés sur un support électronique personnel détenu par un utilisateur et pouvant dialoguer avec l'agent personnel ou autre organisme de confiance. Le support gère, sous le propre contrôle de son utilisateur détenteur, la divulgation de certaines données sensibles pour lesquelles cet utilisateur juge indésirable d'en laisser la gestion de la divulgation à son agent personnel. Les données sensibles ainsi protégées sont sélectionnées par l'utilisateur. Elle peuvent concerner tout élément d'information qu'il juge sensible, concernant sa vie privée, institutionnelle, etc. Plus particulièrement, l'invention prévoit, selon un premier aspect, un procédé de représentation d'une première entité par une entité tiers à laquelle s'adresse une deuxième entité pour requérir des données sensibles de la première entité, caractérisé en ce qu'il consiste à exercer un contrôle de la communication vers la deuxième entité d'une partie au moins des données sensibles au moyen d'un support électronique personnel détenu par la première entité. Selon un deuxième aspect, l'invention prévoit un support électronique personnel destiné au procédé selon le premier aspect, comprenant : - une zone mémoire destinée au stockage d'au moins une donnée sensible dont l'émission est à gérer et/ou au stockage d'une condition d'émission par l'entité tiers d'au moins une donnée sensible stockée par celle- ci, et - des moyens de dialogue avec l'entité tiers. Selon un troisième aspect, l'invention prévoit un terminal communicant permettant à une première entité de communiquer avec une entité tiers qui le représente, caractérisé en ce qu'il met en oeuvre un support selon le deuxième aspect. Selon un quatrième aspect, l'invention prévoit une entité tiers de représentation d'une première entité, caractérisée en ce qu'elle comprend des moyens de dialogue avec un support électronique personnel selon le deuxième aspect, permettant de transmettre au moins une donnée appartenant à la première entité sous contrôle dudit support. L'invention et les avantages qui en découlent apparaîtront plus clairement à la lecture de la description qui suit d'un mode de réalisation préféré, donné purement à titre d'exemple non-limitatif, par référence aux dessins annexés dans lesquels : - la figure 1, déjà décrite, est un schéma simplifié montrant le fonctionnement d'un organisme tiers de confiance formant un lien entre fournisseurs de services et utilisateurs ; et - la figure 2 est un schéma qui reprend celui de la figure 1 en ajoutant les éléments permettant la mise en oeuvre de l'invention selon un mode de réalisation préféré. Les éléments de la figure 2 reprenant ceux de la figure 1 portent les mêmes références et ne seront pas décrits de nouveau par souci de concision. Conformément à l'invention, un utilisateur U de l'organisme tiers de confiance 2 dispose d'un support électronique personnel qui assure la gestion de ses données sensibles. Ces dernières sont les données pour lesquelles il souhaite conserver un droit de contrôle quant à leur divulgation par l'organisme de confiance 2 à un fournisseur de services par exemple. Ce dernier peut être une entreprise commerciale offrant des services en ligne ou souhaitant prospecter en ligne, un organisme institutionnel permettant des échanges à distance, etc.. Dans l'exemple, le support électronique personnel est une carte à puce 14 du type SIM ou USIM (acronyme anglais de" (universal) subscriber identification module") intégrée dans un terminal de téléphonie mobile 16 de l'utilisateur U, conférant ainsi une nouvelle fonction à cette carte. En effet, une carte à puce SIM comporte en elle-même suffisamment de ressources techniques de base pour réaliser cette fonction : microprocesseur 15, mémoires : vive du type"RAM"18, figée du type"ROM"20, programmable électriquement du type"EEPROM"22, interface de communication (par contacts), programmes de communication, moyens de chargement de données et de programmes, etc. La carte 14, qui constitue le support électronique personnel-intervient dans la gestion de deux manières possibles : - en stockant la ou les données sensibles DS dans sa propre mémoire (par exemple la mémoire EEPROM 22), ces données n'étant alors pas stockée auprès de l'agent personnel 6, et/ou - en exerçant une capacité d'inhibition de la divulgation de données sensibles stockées par l'agent personnel. Bien entendu, la carte 14 peut exercer sélectivement l'une ou l'autre de ces manières d'intervenir en fonction de la donnée sensible en question. La gestion au niveau de la carte 14 est réalisée par un logiciel applicatif, dit"application agent de sécurité"24, contenue dans le support (par exemple dans la mémoire EEPROM 22 de la carte 14). L'application sécurité assure notamment : i) le dialogue avec l'agent personnel 6, ii) la lecture de la mémoire 22 stockant les données sensible DS et/ou des critères CD pour l'inhibition de leur divulgation et iii) l'interfaçage avec l'utilisateur. L'agent personnel 6 possède de son côté un logiciel 26 de dialogue avec l'application agent de sécurité 24. Plusieurs cas de figure peuvent se présenter pour la transmission à un tiers d'une donnée sensible par l'agent personnel 6 sous le contrôle de la carte 14 : 1. Premier cas : l'agent personnel 6 ne possède pas la donnée sensible et cette donnée DS est stockée dans la carte 14. Deux possibilités sont alors prises en compte : - 1. 1. L'utilisateur U accepte de transmettre la donnée sensible systématiquement. L'application agent de sécurité 24 dans la carte est alors paramétrée pour extraire la donnée de la mémoire 22 en carte et la transmettre automatiquement à l'agent personnel 6 systématiquement à chaque requête de ce dernier, sans demande d'autorisation de l'utilisateur en personne. L'utilisateur garde néanmoins le droit de rendre cette donnée hors d'accès par l'agent personnel 6, soit en l'effaçant de la mémoire 22, soit en retirant la carte 14 de son terminal 16 ; - 1. 2. L'utilisateur U n'accepte pas de transmettre la donnée sensible systématiquement. En réponse à une requête de l'agent personnel, l'application agent de sécurité 24 présente à l'utilisateur une demande d'autorisation de transmission (avec indication de la donnée et sa condition de divulgation). Si l'utilisateur exprime son acceptation, l'application agent de sécurité 24 extrait en réponse la donnée sensible en question de la mémoire 22 et la transmet à l'agent personnel 6. Si l'utilisateur refuse, l'application agent de sécurité 24 bloque la donnée sensible dans sa mémoire 22. 2. Second cas : l'agent personnel 6 possède la donnée sensible, mais en association avec une indication de ne la divulguer à un tiers qu'avec l'accord préalable de l'utilisateur à chaque requête. Deux possibilités sont alors prises en compte : - 2. 1. L'application agent de sécurité 24 dans la carte 14 comporte une indication de la condition de divulgation. L'agent personnel 6 indique à la carte, avec sa requête, la condition de divulgation (par exemple le nom du tiers demandeur). L'application agent de sécurité 24 détermine d'abord si elle est à même de porter un jugement sur la condition transmise par l'agent. Si la réponse est négative, elle passe à la possibilité présentée à la section 2.2 plus bas ; si la réponse est positive, elle compare la condition indiquée par l'agent avec celle (s) enregistrée (s) pour cette donnée. S'il y a concordance, l'application agent de sécurité 24 émet un signal de validation à l'agent personnel 6, permettant à ce dernier de divulguer la donnée aux tiers demandeur (par exemple un fournisseur de services FS). S'il n'y a pas concordance, l'application sécurité 24 émet un signal d'inhibition à l'agent personnel 6, empêchant ce dernier d'extraire la donnée de sa mémoire. - 2. 2. L'application agent de sécurité 24 dans la carte 14 n'a pas enregistré de conditions pour divulguer la donnée sensible, ou est confrontée à une indication de condition d'un type non répertorié parmi ses conditions possibles (par exemple le nom d'un nouveau tiers). En réponse à une requête provenant de l'agent personnel 6, l'application agent de sécurité 24 présente à l'utilisateur U une demande d'autorisation de divulgation (avec indication de la donnée et sa condition de divulgation). Si l'utilisateur exprime son acceptation, l'application sécurité 24 émet un signal de validation à l'agent personnel 6, permettant à ce dernier de divulguer la donnée aux tiers demandeurs. S'il exprime son refus, l'application agent de sécurité émet un signal d'inhibition à l'agent personnel, empêchant ce dernier d'extraire la donnée de sa mémoire. Dans le mode de réalisation, l'application agent de sécurité 24 se présente sous la forme d'un Applet (dit"Applet agent de sécurité") chargé dans la carte 14 soit en personnalisation, soit en postpersonnalisation. L'Applet agent de sécurité 24 gère également l'interface avec l'utilisateur U sur le terminal de téléphonie mobile 16, notamment pour lui communiquer une demande d'autorisation de transmettre une donnée sensible ou pour accepter un signal de validation ou d'inhibition de son accès par l'agent personnel 6. Cette interface utilise avantageusement l'affichage 16a du terminal mobile pour présenter les conditions et le clavier 16b pour recevoir une réponse de l'utilisateur U. La communication entre l'Applet agent de sécurité 24 et l'agent personnel 6 s'effectue sur le canal sans fil"wireless"utilisé par le terminal de téléphonie mobile 16, par exemple selon le protocole GSM. Dans l'exemple, cette communication passe par un opérateur de réseau de téléphonie mobile 28 et les communications se font avantageusement par messages SMS (de l'acronyme anglais"short message service"), EMS (de l'acronyme anglais"enhanced messaging service") ou MMS (de l'acronyme anglais"multimedia messaging service"). De son côté, l'Applet agent de sécurité 24 peut répondre à l'agent personnel 6, via le logiciel de dialogue 26, également par messages SMS, ces derniers servant à transmettre une donnée sensible, un signal de validation ou un signal d'inhibition. Il existe de nombreux protocoles possibles pour coder les commandes et les signaux échangés entre l'Applet agent de sécurité 24 et le logiciel de dialogue 26 de l'agent personnel 6. A titre indicatif, chaque type de donnée sensible peut être libellé par un code selon un arrangement préétabli entre l'Applet agent de sécurité 24 et le logiciel de dialogue 26 de l'agent personnel 6 (par exemple : code 012 = No. de sécurité social). De même, les fournisseurs de services FS demandeurs d'une donnée sensible peuvent être codés par catégorie (par exemple : code C08 = organisme commercial de services d'assurance) et nommément (par exemple : code A19 = La Picarde S. A. ). Un exemple de contenu de SMS venant de l'agent personnel 6 à l'Applet agent de sécurité 24 serait alors C08 + A19 + 012. L'Applet agent de sécurité 24 pourra déduire à partir de ce message dans lequel de ces cas de figure (cf. sections 1.1, 1.2, 2.1, 2.2 supra) il se trouve. Il pourra ainsi, par exemple, faire afficher le message suivant sur l'écran 16a du terminal de téléphone mobile"Demande No. Sécurité Soc. de Co. Assurances La Picarde. Accept. : 1. Refus 2."Selon que l'utilisateur tape sur la touche 1 ou 2, cette donnée sera libérée ou bloquée pour divulgation auprès de ce tiers. Au besoin, le dialogue entre la carte 14 et l'agent personnel 6 peut être sécurisé par tout moyen connu (cryptage,...). L'invention permet de nombreuses variantes, notamment au niveau : du destinataire des données sensibles (ou signaux d'inhibition/validation) émises par le support, ce destinataire pouvant être tout système de gestion centralisée privée ou public ; - du support électronique personnel détenu par l'utilisateur, ce support pouvant être une carte à puce de tout type, un jeton électronique, un badge électronique, ou tout autre objet électronique personnel permettant de communiquer via une plateforme ou par lui-même, du terminal côté utilisateur, ce terminal pouvant être tout téléphone mobile, poste de téléphone fixe, assistant numérique personnel communicant, ordinateur personnel,..., de la liaison reliant le support matériel détenu par l'utilisateur ou son terminal avec le destinataire des données sensibles, cette liaison pouvant être basée sur tout protocole de communication sans fil"wireless"ou filaire, - du protocole de commandes, d'identification des données sensibles et des signaux de d'inhibition/validation, de communication avec le l'utilisateur, des applications institutionnelles et commerciales, - etc. A titre illustratif, l'Applet agent de sécurité 24 (ou analogue) peut être prévu pour transmettre une donnée sécurisée non pas en retour à l'agent personnel 6 (ou analogue) ayant émis la requête, mais directement au destinataire final (par exemple le fournisseur de services FS), en appelant le numéro de connexion de ce dernier. Le support matériel 14,16 détenu par l'utilisateur peut aussi permettre une mise à jour ou un chargement contrôlé des données sensibles depuis l'agent personnel 6 (ou tout autre tiers autorisé). L'Applet agent de sécurité 24 assurera alors la validation du chargement ou de la modification sous contrôle de l'utilisateur, soit en lui présentant la demande de chargement ou de mise à jour avec possibilités d'accepter ou de refuser, soit en exécutant un filtrage automatique sur la base de critères fixés au préalable par l'utilisateur. L'invention est apte aux transactions financières, notamment pour le traitement du paiement électronique dans un contexte de commerce électronique. Par exemple, les coordonnées bancaires seront stockées au sein de la carte à puce du support électronique personnel et utilisées de la manière décrite ci-dessus à la section 1.2. REVENDICATIONS 1. Procédé de représentation d'une première entité (U) par une entité tiers (2) à laquelle s'adresse une deuxième entité (FS) pour requérir des données sensibles (DS) de la première entité, caractérisé en ce qu'il consiste à exercer un contrôle de la communication vers la deuxième entité d'une partie au moins des données sensibles (DS) au moyen d'un support électronique personnel (14) détenu par la première entité (U). 2. Procédé selon la revendication 1, caractérisé en ce que ledit contrôle est réalisé par stockage sécurisé d'une partie au moins des données sensibles (DS) dans le support électronique personnel (14), hors de l'entité tiers (2). 3. Procédé selon la revendication 2, caractérisé en ce que au moins une donnée sensible (DS) stockée dans le support électronique personnel (14) est transmise à la deuxième entité requérante (FS) par le biais de l'entité tiers (2). 4. Procédé selon la revendication 2 ou 3, caractérisé en ce que au moins une donnée stockée dans le support électronique personnel (14) est transmise sur requête à l'entité tiers (2) et sur accord de la première entité (U). 5. Procédé selon l'une quelconque des revendications 2 à 4, caractérisé en ce que le support électronique personnel (14) prend automatiquement une décision de transmettre ou pas une donnée stockée en fonction de critères préétablis par la première entité (U). 6. Procédé selon l'une quelconque des revendications 2 à 5, caractérisé en ce que le support électronique personnel (14) présente ladite requête à la première entité (U) et transmet une donnée stockée après accord de la première entité en réponse à cette requête. 7. Procédé selon l'une des revendications 1 à 6, caractérisé en ce que des données stockées sont transmises à l'entité tiers (2) en vue de la réalisation d'une transaction financière dans le cadre d'une opération électronique. 8. Procédé selon l'une quelconque des revendications 1 à 7, caractérisé en ce que ledit contrôle est réalisé par blocage ou déblocage sélectif d'au moins une partie de données sensibles (DS) stockées dans l'entité tiers (2) par un signal depuis le support électronique personnel (14). 9. Procédé selon l'une quelconque des revendications 1 à 8, caractérisé en ce que la communication entre le support électronique personnel (14) et l'entité tiers est réalisée par une liaison sans fil. 10. Procédé selon la revendication 9, caractérisé en ce que la communication entre le support électronique personnel (14) et l'entité tiers est réalisée par un opérateur de téléphonie mobile (28). 11. Procédé selon l'une quelconque des revendications 1 à 10, caractérisé en ce que ledit support électronique personnel est sous forme d'une carte à puce (14). 12. Procédé selon la revendication 11, caractérisé en ce que ledit support électronique personnel est intégré dans une carte à puce (14) servant au fonctionnement d'un terminal de téléphonie mobile (16). 13. Support électronique personnel (14) destinée au procédé selon l'une quelconque des revendications 1 à 12, comprenant : - une zone mémoire (22) destiné au stockage d'au moins une donnée sensible dont l'émission est à gérer et/ou au stockage d'une condition d'émission par l'entité tiers (2) d'au moins une donnée sensible stockée par celle-ci, et - des moyens (16,24) de dialogue avec l'entité tiers. 14. Support selon la revendication 13, caractérisé en ce qu'il se présente sous la forme d'une carte à puce (14). 15. Support selon la revendication 14, caractérisé en ce qu'il se présente sous la forme d'une carte à puce (14) servant au fonctionnement d'un terminal de téléphonie mobile (16). 16. Terminal communicant (16) permettant à une première entité (U) de communiquer avec une entité tiers (2) qui le représente, caractérisé en ce qu'il met en oeuvre un support selon l'une quelconque des revendications 13 à 15. 17. Entité tiers (2) de représentation d'une première entité (U), caractérisée en ce qu'elle comprend des moyens (26) de dialogue avec un support électronique personnel (14) selon l'une quelconque des revendications 13 à 15, permettant de transmettre au moins une donnée appartenant à la première entité sous contrôle dudit support.