Brevet FR2848364A1 — publié le 20040611

i PROCEDE DE PERSONNALISATION SECURISEE D'UN OBJET La présente invention se rapporte à un procédé de personnalisation sécurisée d'un objet. Plus généralement, la présente invention concerne un 5 procédé de communication sécurisée entre une pluralité d'ensembles sécurisés. Dans son exemple d'application plus particulièrement décrit ici, l'invention propose un procédé pour personnaliser de façon sécurisée un objet comportant un ensemble sécurisé constitué d'une unité de mémorisation et d'un microcircuit adapté à communiquer avec l'extérieur en utilisant une technologie sans contact. 10 Par personnalisation, on entend l'écriture, dans ou sur l'objet, par voie mécanique, électronique, optique, chimique ou par toute autre technique, de données personnelles propres à cet objet. A l'heure actuelle, lors de la personnalisation d'un objet, des authentifications peuvent être effectuées de façon séquentielle entre une 15 première entité et une deuxième entité participant au processus de personnalisation, ce qui conditionne le blocage du processus de personnalisation si le résultat de cette première authentification est négatif, ou le déclenchement d'une deuxième authentification entre la deuxième entité et une troisième entité participant également au processus de personnalisation, et ainsi 20 de suite. Typiquement, la deuxième entité est un module de sécurité matériel ou HSM (en anglais "Hardware Security Module"), tel qu'une carte PCI IBM 4758, et la troisième entité est une carte à microcircuit associée à un opérateur. Cependant, lors de ces authentifications séquentielles, on ne vérifie pas qu'on est bien en présence d'un triplet autorisé formé par les trois entités. Par 25 exemple on ne vérifie pas si l'opérateur associé à la troisième entité est bien autorisé à réaliser la personnalisation de la première entité. On vérifie uniquement que l'opérateur est bien autorisé à réaliser une opération de personnalisation sur un objet quelconque ou un type d'objet particulier, mais pas sur un objet ou lot d'objets précis. En outre, ces authentifications ne prennent en 30 général pas en compte plus de deux entités dans une procédure d'authentification en plus de l'objet à personnaliser. Par ailleurs, un centre de personnalisation d'objets tel qu'on l'envisage ici est un lieu présentant une sécurité réduite par rapport à un centre de personnalisation d'un fabricant de cartes habituel (par exemple, cartes bancaires). Les opérateurs sont plus nombreux, plus dispersés géographiquement et moins contrôlés. En effet, les objets à personnaliser sont par exemple (mais pas seulement) des documents officiels ou des documents de 5 voyage. Bien souvent, la personnalisation de ces documents, lorsqu'ils sont sous forme électronique, se fait de façon décentralisée et donc, pas nécessairement dans un centre d'un fabricant de cartes habituel, très sécurisé, mais plutôt, par exemple, dans des mairies ou des préfectures, qui n'ont pas les mêmes infrastructures de sécurité (par exemple, contrôle d'accès). Le risque de fraude accru lié notamment à cette réduction de la sécurité présente des inconvénients. La présente invention a pour but de remédier à ces inconvénients. Dans ce but, l'invention propose un procédé de personnalisation sécurisée d'un objet comportant un premier ensemble sécurisé constitué d'une 15 première unité de mémorisation et d'un premier microcircuit, remarquable en ce qu'il met en oeuvre n-1 ensembles sécurisés en plus du premier ensemble sécurisé, n étant un entier strictement supérieur à 2, chacun desdits ensembles sécurisés étant constitués d'une unité de mémorisation et d'un microcircuit, et formant avec l'objet un n-uplet autorisé, connu d'au moins un des ensembles 20 sécurisés, et en ce que le procédé comporte une pluralité d'étapes d'authentification entre les ensembles sécurisés pris deux à deux, préalablement à une étape de personnalisation consistant à écrire, dans ou sur l'objet, des données personnelles propres à cet objet. Ces étapes d'authentification entre les divers ensembles sécurisés 25 confèrent un caractère sécurisé au processus de personnalisation de l'objet, ce qui permet de décentraliser les diverses opérations à réaliser sur l'objet en vue de le personnaliser. On améliore ainsi la sécurité du processus de personnalisation, ce qui permet de réaliser la personnalisation dans un environnement moins sécurisé. L'invention offre ainsi les avantages d'un procédé à faible cot en raison d'un moindre investissement dans la sécurité de l'environnement dans lequel est effectuée la personnalisation. Ce procédé peut être adapté à tout schéma classique de gestion de clés du type Kerberos ou PKI (infrastructures de clés publiques, en anglais "Public Key Infrastructures"). Avantageusement, afin de réduire le risque de fraude, on prévoit que l'objet vérifie que les autres ensembles sécurisés sont bien autorisés à participer 5 à sa personnalisation. A cet effet, l'objet à personnaliser authentifie les n-1 ensembles sécurisés. Avantageusement, à l'issue de l'étape de personnalisation de l'objet, la première unité de mémorisation conserve une trace permettant d'identifier au moins un des ensembles sécurisés ayant participé au processus de 10 personnalisation parmi les n-1 ensembles sécurisés. Ainsi, l'invention garantit la traçabilité, dans l'objet personnalisé, des personnes ou matériels intervenus tout au long du processus de personnalisation de l'objet. Ces traces peuvent même figurer de façon visible sur l'objet lui-même. En outre, cette traçabilité peut être sécurisée par l'ajout d'un 15 code d'authentification à la trace, typiquement un certificat connu de l'homme du métier. Dans un mode particulier de réalisation, les n-1 ensembles sécurisés sont pris parmi: un ensemble sécurisé représentant un lot d'objets à personnaliser, 20 - un ensemble sécurisé comportant une entité électronique sécurisée associée à une machine adaptée à personnaliser les objets de ce lot, et - un ensemble sécurisé attaché à un opérateur habilité à utiliser cette machine. Cela permet de personnaliser de façon sécurisée tout objet faisant partie 25 d'un lot, tel qu'une carte d'identité prise parmi un lot initial de cartes à personnaliser, la personnalisation étant effectuée au moyen d'une machine habilitée identifiée par un module sécurisé machine associé, et o la machine est manipulée par un opérateur habilité identifié par exemple par une carte à microcircuit opérateur en sa possession, qui l'identifie de façon unique. On augmente ainsi la sécurité, puisqu'on établit à l'avance les opérateurs qui sont autorisés à travailler sur une machine, de même que les machines sur lesquelles le lot sera traité, etc., c'est-à-dire qu'on détermine à l'avance les intervenants au processus de personnalisation. En outre, cela confère une grande adaptabilité au système, qui peut être distribué et peut être étendu très facilement en augmentant le nombre d'ensembles sécurisés lots et d'ensembles sécurisés opérateurs. Avantageusement, le premier ensemble sécurisé est adapté à 5 communiquer avec l'extérieur en utilisant une technologie sans contact. Cette technologie est particulièrement adaptée aux documents de voyage et aux documents officiels, qui sont de plus en plus nombreux, dans leur version électronique, à mettre en òuvre cette technologie pour des raisons pratiques. On peut par exemple conserver le format d'origine d'un passeport et insérer dans 10 le papier du passeport un microcircuit utilisant une technologie de communication sans contact. Avantageusement, le procédé de personnalisation conforme à l'invention comporte une étape préliminaire d'authentification faisant intervenir les n-1 ensembles sécurisés précités. Cette étape préliminaire peut par exemple faire 15 intervenir les ensembles sécurisés lot, machine et opérateur. Cela permet d'améliorer le rendement du procédé en termes de temps de calcul et donc de rapidité d'exécution, en permettant d'éviter de procéder à ces authentifications pour chaque nouvel objet à personnaliser. Avantageusement, l'étape préliminaire d'authentification est effectuée 20 comme suit: - l'ensemble sécurisé opérateur authentifie l'ensemble sécurisé lot et l'ensemble sécurisé machine, - l'ensemble sécurisé machine authentifie l'ensemble sécurisé opérateur, et - l'ensemble sécurisé lot authentifie l'ensemble sécurisé opérateur. Du fait que l'opérateur est sur le même site que la machine, il est plus commode de faire réaliser l'authentification de l'ensemble sécurisé lot et de l'ensemble sécurisé machine par l'ensemble sécurisé opérateur, plutôt que de faire réaliser l'authentification de l'ensemble sécurisé machine et de l'ensemble 30 sécurisé opérateur par l'ensemble sécurisé lot, par exemple, sachant que l'ensemble sécurisé lot est généralement personnalisé sur un site distinct du site o se trouvent les machines et leurs opérateurs. En outre, l'ensemble sécurisé opérateur est mobile par comparaison avec l'ensemble sécurisé machine, qui est avantageusement indissociable de celle-ci (par exemple scellé au corps de la machine, et nécessaire au fonctionnement de celle-ci), ce qui facilite, d'un point de vue logistique, les procédures d'initialisation de l'ensemble sécurisé opérateur, lors de l'arrivée d'un nouveau lot par exemple. Avantageusement, au moins un microcircuit parmi les microcircuits des n1 ensembles sécurisés est adapté à communiquer avec l'extérieur en utilisant une technologie sans contact. Selon une caractéristique particulière, une unité de traitement logique assure la communication entre au moins deux ensembles sécurisés, lorsque 10 ceux-ci se trouvent tous simultanément dans son champ radiofréquence. La technologie sans contact permet une réalisation simple, relativement peu coteuse et un fonctionnement très pratique. En effet, au plan pratique, il est plus commode de placer une carte à microcircuit sur un lecteur que de l'y insérer. Avantageusement, au moins un des ensembles sécurisés, par exemple l'ensemble sécurisé lot, est adapté à accéder de façon sécurisée à une base de données ou "back-office" contenant les données personnelles mentionnées plus haut. L'ensemble sécurisé lot contient en effet des données spécifiques au lot, 20 communes à tous les objets à personnaliser. Il peut être commode de mémoriser dans l'ensemble sécurisé lot la clé de déchiffrement des données personnelles contenues dans la base de données. L'ensemble sécurisé lot et/ou l'ensemble sécurisé machine peut être une carte à microcircuit. L'objet peut être un titre émis par l'Etat, tel qu'une carte d'identité, un passeport, un visa ou une carte grise (en anglais "vehicle registration papers"), ou un autre document à caractère officiel, tel qu'un acte notarié, ou encore un titre de transport, tel qu'une carte d'abonnement pour emprunter les transports en commun, ou un document de voyage, tel qu'un permis de conduire, ou un 30 ticket de péage ou autre justificatif d'un droit à transiter, du type des autorisations délivrées par exemple par la ville de Mexico aux automobilistes, pour entrer dans la ville. Grâce à la présente invention, la personnalisation de ces objets peut être décentralisée, par exemple effectuée dans des mairies ou des préfectures, sans qu'il soit besoin d'augmenter la sécurité de ces lieux. Dans le même but que celui indiqué plus haut, la présente invention propose, plus généralement, un procédé de communication sécurisée, 5 remarquable en ce qu'il met en oeuvre n ensembles sécurisés, n étant un entier au moins égal à 2, chacun des ensembles sécurisés étant constitué d'une unité de mémorisation et d'un microcircuit, et formant un n-uplet autorisé connu d'au moins un des ensembles sécurisés, et en ce que le procédé comporte une pluralité d'étapes d'authentification entre les ensembles sécurisés pris deux à 10 deux. Selon une caractéristique particulière, au moins une des unités de mémorisation conserve une trace permettant d'identifier au moins un des n ensembles sécurisés. Cette trace peut comporter un code d'authentification. Avantageusement, au moins un des ensembles sécurisés est adapté à communiquer avec l'extérieur en utilisant une technologie sans contact. Selon une caractéristique particulière, une unité de traitement logique assure la communication entre au moins deux ensembles sécurisés, lorsque ceux-ci se trouvent tous simultanément dans son champ radiofréquence. Au moins un des ensembles sécurisés peut être une carte à microcircuit. Le procédé de communication et ses caractéristiques particulières mentionnées ci-dessus présentent des avantages similaires à ceux du procédé de personnalisation. Ces avantages ne sont donc pas répétés ici. D'autres aspects et avantages de l'invention apparaîtront à la lecture de la 25 description détaillée qui suit d'un mode particulier de réalisation, donné à titre d'exemples non limitatifs. La description est faite en référence aux dessins qui l'accompagnent, dans lesquels: - la figure 1 est un synoptique des différents échanges entre les ensembles sécurisés participant au procédé de personnalisation conforme à la 30 présente invention, dans un mode particulier de réalisation; - la figure 2 représente de façon schématique différentes entités intervenant dans le procédé de personnalisation conforme à la présente invention, dans un mode particulier de réalisation; et - la figure 3 est un organigramme illustrant des étapes du procédé de personnalisation conforme à la présente invention, dans un mode particulier de réalisation. Conformément à la présente invention, dans l'exemple particulier 5 d'application qu'on a choisi de décrire en détail ici, on cherche à personnaliser de façon sécurisée un objet tel qu'un titre émis par l'Etat (carte d'identité, passeport, etc.), un autre document à caractère officiel (acte notarié par exemple), un titre de transport (carte d'abonnement pour emprunter les transports en commun, par exemple) un document de voyage (du type du "ticket 10 de passage" pour circuler en automobile à Mexico, mentionné en introduction). Les exemples précédents sont des applications privilégiées de l'invention, données à titre nullement limitatif. Ainsi, l'invention peut aussi bien s'appliquer à une carte bancaire, une carte SIM ou une carte mémoire. Pour cela, l'objet comporte un premier ensemble sécurisé El constitué 15 d'une première unité de mémorisation, telle qu'une mémoire non volatile, par exemple de type ROM ou EEPROM, et d'un premier microcircuit adapté à communiquer avec l'extérieur en utilisant une technologie sans contact. Comme le montre la figure 1, le procédé conforme à la présente invention fait également intervenir un deuxième ensemble sécurisé E2 constitué d'une 20 deuxième unité de mémorisation et d'un deuxième microcircuit, qui est, dans cet exemple, nullement limitatif, une carte à microcircuit lot, représentative d'un lot d'objets à personnaliser. Le procédé de personnalisation fait aussi intervenir un troisième ensemble sécurisé E3 constitué d'une troisième unité de mémorisation et d'un troisième microcircuit, qui est, dans cet exemple, un module sécurisé 25 machine, indissociable d'une machine adaptée à personnaliser les objets du lot défini par des données communes mémorisées dans la carte lot de l'ensemble sécurisé E2. Le module sécurisé peut par exemple être scellé au corps de la machine de personnalisation et comporter des éléments indispensables à son fonctionnement de sorte qu'on ne puisse pas retirer ce module ou le mettre hors 30 service sans entraver l'utilisation de la machine de personnalisation. Le module sécurisé machine peut par exemple contenir des moyens d'autotest, voire une licence d'utilisation. Le module sécurisé machine permet ainsi à la machine d'effectuer des opérations d'auto-test, qui ne font pas l'objet de l'invention et ne seront donc pas décrites ici. Dans le mode particulier de réalisation de la figure 1, le procédé de 5 personnalisation fait en outre intervenir un quatrième ensemble sécurisé E4, constitué d'une quatrième unité de mémorisation et d'un quatrième microcircuit, qui est, dans cet exemple, une carte à microcircuit opérateur, attachée à un opérateur habilité à utiliser la machine spécifiée par le module sécurisé machine de l'ensemble sécurisé E3. Dans l'exemple décrit ici, les ensembles sécurisés El, E2, et E4 communiquent avec l'extérieur (et notamment avec un ou plusieurs des autres ensembles sécurisés) en utilisant une technologie sans contact, par exemple du type utilisant un couplage inductif. Une unité de traitement logique UTL 10 assure la communication entre les 15 ensembles sécurisés El, E2, et E4, lorsque ceux-ci se trouvent tous simultanément dans son champ radiofréquence, lequel est matérialisé sur le dessin par un cercle en tirets. L'UTL est en effet pourvue d'un lecteur sans contact de structure connue en soi, utilisé de façon non conventionnelle, dans un environnement à plusieurs microcircuits. L'UTL 10 est utilisée de façon non 20 conventionnelle au sens o c'est pour faire communiquer entre eux les différents ensembles sécurisés qu'on les place simultanément dans le champ de l'UTL, contrairement à une utilisation classique, o, lorsque plusieurs microcircuits se trouvent dans le champ de l'UTL, on en sélectionne un seul pour communiquer avec l'UTL. L'UTL 10 peut être un simple ordinateur personnel (PC) classique. Le module sécurisé machine communique également avec les autres ensembles sécurisés par l'intermédiaire de l'UTL 10. Pour cela, le module sécurisé est connecté à l'UTL 10 par une liaison filaire classique. Typiquement, l'UTL 10 fait partie de la machine de personnalisation. L'UTL 10 et les quatre ensembles sécurisés, représentés sous forme de 30 trois cartes à puce El, E2, E4 et d'un module sécurisé E3, sont également illustrés sur la figure 2, qui montre qu'une base de données ou "backoffice" est connectée à l'UTL 10 d'une machine de personnalisation 20. La base de données contient les données personnelles à écrire dans ou sur l'objet à personnaliser. Ces données sont de préférence mémorisées sous forme chiffrée pour des raisons de sécurité. Un des quatre ensembles sécurisés, par exemple la carte à microcircuit lot, est adaptée à accéder de façon sécurisée à cette base de données, par exemple moyennant une procédure d'authentification de la carte auprès de la base de données et la création d'une clé de session. En variante, en lieu et place d'une interface sans contact pour l'UTL, ou en association avec l'interface sans contact, il est possible d'utiliser un autre type d'interface, comme un bus USB. Le module sécurisé machine peut être également amovible par rapport au corps de la machine de personnalisation. A 10 titre d'exemple nullement limitatif, l'objet à personnaliser et le module sécurisé machine peuvent utiliser une technologie sans contact, et la carte lot ainsi que la carte opérateur peuvent utiliser des clés USB insérées dans l'UTL. Plus généralement, toute interface de communication autorisant la sélection de plusieurs cartes, telle qu'une interface conforme à la norme BlueTooth ou encore 15 WiFi, peut être utilisée. Comme le montre l'organigramme de la figure 3, préalablement au déroulement du procédé de personnalisation proprement dit, des opérations de personnalisation des diverses cartes appelées à intervenir dans la personnalisation de l'objet sont effectuées. Ces opérations de personnalisation 20 sont effectuées dans un lieu sécurisé. Ainsi, lors d'une étape de personnalisation 30 du module sécurisé machine, le module sécurisé machine est, préalablement à la mise en oeuvre du procédé de personnalisation de l'objet, lui-même personnalisé lors de la fabrication de la machine. La personnalisation du module sécurisé machine 25 consiste notamment à y mémoriser une donnée secrète qui est par exemple une clé secrète maître MSKm (en anglais "Master Secret Key') identique pour un ensemble de machines donné, Il peut s'agir, par exemple, de toutes les machines d'un même site, d'une même région ou d'un type particulier. La personnalisation du module sécurisé machine consiste en outre à y mémoriser 30 des informations spécifiques à la machine à laquelle il sera associé, telles que son numéro de série, son type, ou encore sa date de mise en service. Enfin, lors de l'étape de personnalisation 30 du module sécurisé machine, on y mémorise une clé secrète maître MSKop commune à au moins un certain nombre d'opérateurs. Cette clé maître peut être par exemple commune à tous les opérateurs d'un même site, d'une même région ou d'un type particulier. Lors des échanges de données qui auront lieu avec l'extérieur, notamment lors des diverses authentifications, qu'il s'agisse de l'objet à 5 personnaliser ou des autres cartes (opérateur ou lot), la clé qui sera utilisée ne sera pas la clé maître MSKm mais une version diversifiée au moyen d'informations de diversification constituées par exemple par le numéro de série de la machine utilisée pour la personnalisation de l'objet. Une étape de personnalisation 32 de la carte opérateur consiste à y 10 mémoriser une clé secrète maître MSKop, identique pour tous les opérateurs d'un même client, ainsi que, éventuellement, un numéro d'opérateur, ses nom et prénom, une photographie d'identité et d'autres informations personnelles le concernant, telles que ses empreintes digitales. La clé qui sera utilisée lors des échanges entre les diverses cartes et l'objet sera une version de la clé MSKoP 15 diversifiée au moyen d'informations de diversification constituées par exemple par le numéro unique identifiant chaque opérateur. Lors de l'étape de personnalisation 32 de la carte opérateur, on mémorise en outre dans la carte opérateur la clé MSKm commune à au moins un certain nombre de machines, par exemple, à toutes les machines d'une administration donnée d'une région, 20 d'un site ou d'un type particulier. Une étape 34 de pré-personnalisation des objets à personnaliser consiste à inscrire dans ou sur l'objet toutes les données communes à tous les objets d'un lot, par exemple liées au système d'exploitation et aux clés permettant l'accès sécurisé aux objets ou au type d'objet. Durant cette étape, de façon 25 connue de l'homme du métier, on mémorise dans chaque objet à personnaliser la clé maître MSK10t identique pour tous les objets à personnaliser d'un même lot. Selon l'invention, on mémorise dans chaque objet en outre les clés maîtres secrètes MSKop et MSKm respectivement des opérateurs et des machines appelés à intervenir lors de la personnalisation du lot d'objets. Typiquement, il 30 s'agit de la clé maître associée aux opérateurs des sites ou des régions dans lesquelles il est prévu de personnaliser les objets. Durant cette étape, on personnalise également la carte lot, de façon connue. Cette personnalisation consiste notamment à mémoriser dans la carte lot la clé secrète maître MSK1ot. il La version de la clé MSK10t qui sera utilisée lors des échanges entre les diverses cartes et l'objet sera une version diversifiée au moyen d'informations de diversification constituées par exemple par un numéro unique d'objet. Les étapes 30, 32 et 34 peuvent être effectuées dans un ordre indifférent. 5 Une étape 36 d'initialisation du procédé est ensuite effectuée. Lors de cette initialisation, une autorité habilitée, par exemple une personne hiérarchiquement supérieure aux opérateurs, mémorise dans chaque carte opérateur la liste Lm des numéros de série des machines sur lesquelles l'opérateur est autorisé à travailler et mémorise dans le module sécurisé 10 machine, la liste L0p des numéros des opérateurs autorisés à travailler sur cette machine. Cette étape doit être tout particulièrement sécurisée par rapport aux étapes de personnalisation de l'objet. Elle peut être réalisée par des aménagements ou une organisation adaptée, par exemple dans un petit local blindé, communiquant avec les modules sécurisés des machines de 15 personnalisation, et dont l'accès est très contrôlé, par exemple par des identifications biométriques, un code d'accès et un sas ne laissant passer qu'une personne. Cette étape peut avoir lieu lors de la mise en route de la machine chez le client, puis périodiquement, par exemple au début de chaque journée par le chef d'équipe, en fonction de la répartition exacte des opérateurs par 20 machine, des opérateurs présents, et des machines en service. Puis, lors d'une étape 38 de lancement d'un nouveau lot, la ou les carte(s) opérateur(s) et lot sont programmées pour la personnalisation du lot, également par une autorité habilitée dans des conditions de sécurité similaires à celles de l'étape 36. L'autorité habilitée détermine les opérateurs qui travailleront sur ce lot 25 en fonction de la planification de la production. La clé MSKIt est installée dans la mémoire des cartes des opérateurs qui travailleront sur ce lot. Cette procédure d'installation est matérialisée par des flèches en tirets sur la figure 1. L'ordre dans lequel sont réalisées les étapes 36 et 38 sur la figure 3 n'est nullement limitatif. Les étapes 36 et 38 peuvent être réalisées dans un ordre 30 indifférent. Ensuite, au démarrage d'un nouveau lot d'objets, lors d'une étape 40 d'authentification préalable, les modules sécurisés machine et les cartes opérateur et lot s'authentifient de façon réciproque ou non en utilisant les versions diversifiées des clés secrètes MSKi correspondantes et les listes Li. Pour cela, au moins une des cartes, par exemple la carte opérateur, connaît le triplet (module sécurisé machine, carte opérateur, carte lot) autorisé à participer à la personnalisation d'un objet. Cette connaissance se traduit par la présence, dans la mémoire de la carte opérateur, de listes d'éléments (machine(s), lot(s)) autorisés. Dans l'exemple particulier décrit ici, il s'agit de la liste Lm des machines autorisées. La liste des lots autorisés est déterminée implicitement par la liste des clés MSKI0t mémorisée dans la carte opérateur. En effet, la carte lot d'un lot donné ne pourra 10 authentifier la carte opérateur que si celle-ci contient la clé MSKf0t correspondant à ce lot. En variante, cette connaissance se traduit par la présence, dans la mémoire de la carte opérateur, d'une énumération explicite de tous les triplets possibles d'éléments autorisés. Au cas o la carte opérateur ne dispose pas d'une telle énumération explicite, mais uniquement d'une liste d'éléments 15 autorisés, elle comporte des moyens adaptés à former à partir de cette liste toutes les combinaisons possibles d'éléments autorisés. En ce qui concerne l'authentification proprement dite, l'invention peut utiliser indifféremment tout type de schéma d'authentification et d'algorithme de cryptographie connus de l'homme du métier. Tant qu'on travaille sur un même lot et que c'est toujours le même triplet qui participe à la personnalisation, il n'est pas nécessaire de recommencer la série d'authentifications visant à vérifier qu'on est bien en présence du triplet autorisé. Dans l'exemple particulier décrit ici, les authentifications préalables entre 25 les diverses cartes sont lessuivantes: - la carte opérateur authentifie le module sécurisé machine, le module sécurisé machine authentifie la carte opérateur, - la carte lot authentifie la carte opérateur, et - la carte opérateur authentifie la carte lot. Quant à l'objet à personnaliser, il est autorisé à travailler avec une seule carte lot, mais peut être autorisé à travailler avec plusieurs opérateurs et/ou plusieurs machines. L'objet contient à cet effet en mémoire une liste, stockée lors de la pré-personnalisation de l'objet, avec la carte lot, les cartes opérateurs et les machines autorisées, éléments à partir desquels l'objet est adapté à en déduire toutes les combinaisons possibles d'éléments autorisés. Dans l'exemple particulier décrit ici, ces listes sont déterminées implicitement par la présence des clés MSKm et MSKop dans la mémoire de l'objet à personnaliser. En effet, 5 ces clés maîtres étant limitées à un site ou à une région ou un type particulier d'opérateur ou de machine, elles peuvent correspondre à un nombre de machines et d'opérateurs suffisamment limité pour garantir, en combinaison avec l'étape d'authentification préliminaire 40, la sécurité du processus de personnalisation. En variante, l'objet contient une énumération explicite de toutes 10 les combinaisons possibles de triplets (carte lot, module sécurisé machine, carte opérateur) autorisés. Il est à noter que l'UTL 10 est transparente vis-à-vis de ces échanges entre cartes. Ces authentifications peuvent aussi être suivies par la génération d'une 15 clé de session, de façon connue en soi, pour chiffrer les messages échangés ultérieurement entre les différents ensembles sécurisés. En cas de changement d'opérateur ou de lot, l'étape 40 d'authentification entre les intervenants au processus de personnalisation est réitérée. Il convient de vérifier que le nouvel ensemble sécurisé est bien autorisé et que les 20 ensembles sécurisés intervenant dans le processus de personnalisation forment toujours un triplet autorisé. L'étape suivante 42 est une étape d'authentification, réciproque ou non, entre l'objet et, respectivement, la carte lot, le module sécurisé machine et la carte opérateur. Ainsi, pour chaque objet à personnaliser: - la carte lot authentifie l'objet, et - l'objet authentifie le module sécurisé machine et les cartes opérateur et lot, ce qui permet à l'objet de récupérer les informations identifiant la machine, l'opérateur et le lot, pour traçabilité de la personnalisation. 30 Une ou plusieurs des cartes, par exemple la carte lot, sont adaptées à accéder de façon sécurisée à la base de données, illustrée sur la figure 2, contenant les données personnelles relatives à l'objet. Cet accès se fait par exemple au moyen d'une clé de session, ou par le biais d'un autre mécanisme cryptographique mettant en oeuvre par exemple la clé MSK1,t. Le tableau ci-dessous envisage toutes les situations possibles de tentative de fraude en utilisant une ou plusieurs fausses cartes, voire un faux 5 objet (ces faux étant supposés ne pas posséder les clés secrètes MSKi) et indique le ou les ensemble(s) sécurisé(s) qui, à la suite de l'authentification, détectera la présence d'un élément non autorisé et bloquera le processus de personnalisation. Une carte ou un objet authentique est désigné par la lettre V (vrai) et un faux, par la lettre F (faux). Carte Carte Carte Objet Commentaires Machine opérateur lot V V V V Déroulement normal de la procédure V V V F La carte lot bloque la procédure V V F V La carte opérateur et l'objet bloquent la procédure V V F F La carte opérateur bloque la procédure V F V V Le module sécurisé machine, la carte lot et l'objet bloquent la procédure V F V F Le module sécurisé machine et la carte lot bloquent la procédure V F F V Le module sécurisé machine et l'objet bloquent la procédure V F F F Le module sécurisé machine bloque la procédure F V V V La carte opérateur et l'objet bloquent la procédure F V V F Les cartes opérateur et lot bloquent la procédure F V F V La carte opérateur et l'objet bloquent la procédure F V F F La carte opérateur bloque la procédure F F V V La carte lot et l'objet bloquent la procédure F F V F La carte lot bloque la procédure F F F V L'objet bloque la procédure F F F F La trace mémorisée sera invalide Dans le dernier cas, o le module sécurisé machine, les cartes opérateur et lot ainsi que l'objet sont faux, la trace mémorisée dans l'objet personnalisé ne correspondra à aucune machine répertoriée, ni aucun opérateur enregistré, ni 5 aucun lot existant; ainsi, même si la personnalisation de l'objet aura pu être effectuée par le fraudeur, on sera en mesure de reconnaître que cet objet personnalisé est un faux. Cette trace peut être sécurisée par l'utilisation d'un code d'authentification, obtenu par exemple par l'emploi d'une fonction de hâchage, telle que SHA-1 ou MD5, bien connues de l'homme du métier, et 10 l'utilisation d'un algorithme de cryptographie (par exemple du type DES) faisant intervenir une des clés MSK1 diversifiées. A contrario, la vérification du code d'authentification garantit que les ensembles sécurisés ayant participé au processus de personnalisation sont vrais. En revenant à la figure 3, après que les étapes d'authentification du 15 module sécurisé machine et des cartes opérateur et lot auprès de l'objet ont eu lieu, l'étape 44 de personnalisation proprement dite peut être effectuée. Durant cette étape, des informations personnelles propres au futur utilisateur de l'objet sont inscrites dans ou sur l'objet, par voie mécanique (par impression, gravure, embossage, etc.), électronique, optique, chimique ou par toute autre technique. 20 Ces données proviennent de la base de données (illustrée sur la figure 2 précédemment décrite) et y sont mémorisées. Dans une variante de réalisation, le nombre total d'ensembles sécurisés peut être limité à trois, l'objet y compris, en regroupant en une même carte la carte lot et la carte opérateur, ou en regroupant le module sécurisé machine et la 25 carte opérateur. Le contexte de la personnalisation d'objets n'est qu'un exemple parmi d'autres applications possibles de la présente invention, laquelle, de façon plus générale, concerne un procédé de communication entre un nombre n d'ensembles sécurisés, n étant au moins égal à 2, qui sont chacun constitués d'une unité de mémorisation et d'un microcircuit et qui forment un n-uplet autorisé connu d'au moins un des ensembles sécurisés. Ce procédé comporte un certain nombre d'étapes d'authentification entre les ensembles sécurisés pris deux à deux. Par exemple, dans le domaine des transactions bancaires, étant donné un magasin délivrant des points de fidélité à ses clients sur leur carte de fidélité lors de chaque achat, supposé réalisé par carte bancaire, l'invention permet d'éviter l'obtention frauduleuse de points de fidélité, ou leur attribution à un autre client que celui qui a effectué l'achat donnant droit à ces points de fidélité, ou encore 10 éviter qu'un client récupère des points de fidélité correspondant à un autre magasin. Pour cela, on considère trois ensembles sécurisés respectivement constitués par trois cartes à microcircuit: la carte de fidélité, la carte bancaire de paiement et une carte associée à un vendeur du magasin attribuant les point de 15 fidélité. Lors de l'achat, la carte de fidélité, qui connaît le triplet (carte de fidélité, carte de paiement, carte du vendeur) autorisé, authentifie la carte de paiement et la carte du vendeur. L'opération d'attribution des points de fidélité peut éventuellement faire intervenir en outre un quatrième ensemble sécurisé, 20 associé au magasin: il peut par exemple s'agir d'une quatrième carte à microcircuit indissociable de la caisse auprès de laquelle le client règle son achat. Dans ce cas, lors de la transaction d'achat, la carte de fidélité authentifie en outre la carte du magasin. Si toutes les authentifications, réalisées de façon similaire à ce qui a été 25 décrit plus haut en liaison avec le procédé de personnalisation, sont réussies, les points de fidélité sont mémorisés sur la carte de fidélité. Le procédé de communication conforme à la présente invention s'applique bien entendu à un grand nombre d'autres domaines non énumérés ici. REVENDICATIONS 1. Procédé de personnalisation sécurisée d'un objet comportant un premier ensemble sécurisé (El) constitué de premiers moyens de mémorisation 5 et d'un premier microcircuit, caractérisé en ce qu'il met en oeuvre n-1 ensembles sécurisés (E2, E3) en plus dudit premier ensemble sécurisé, n étant un entier strictement supérieur à 2, chacun desdits ensembles sécurisés étant constitués de moyens de mémorisation et d'un microcircuit, et formant avec ledit objet un nuplet autorisé, connu d'au moins un desdits ensembles sécurisés, et en ce que 10 ledit procédé comporte une pluralité d'étapes d'authentification entre les ensembles sécurisés pris deux à deux, préalablement à une étape de personnalisation consistant à écrire, dans ou sur l'objet, des données personnelles propres audit objet. 2. Procédé selon la revendication 1, caractérisé en ce que l'objet à 15 personnaliser authentifie lesdits n-1 ensembles sécurisés. 3. Procédé selon la revendication 1 ou 2, caractérisé en ce que, à l'issue de l'étape de personnalisation dudit objet, les premiers moyens de mémorisation conservent une trace permettant d'identifier au moins un des ensembles sécurisés ayant participé au processus de personnalisation parmi lesdits n-i 20 ensembles sécurisés. 4. Procédé selon la revendication précédente, caractérisé en ce que ladite trace comporte un code d'authentification. 5. Procédé selon l'une quelconque des revendications précédentes, caractérisé en ce que les n-1 ensembles sécurisés sont pris parmi: - un ensemble sécurisé représentant un lot d'objets à personnaliser, - un ensemble sécurisé comportant une entité électronique sécurisée associée à une machine adaptée à personnaliser les objets dudit lot, et - un ensemble sécurisé attaché à un opérateur habilité à utiliser ladite machine. 6. Procédé selon l'une quelconque des revendications précédentes, caractérisé en ce que le premier ensemble sécurisé (El) est adapté à communiquer avec l'extérieur en utilisant une technologie sans contact. 7. Procédé selon l'une quelconque des revendications précédentes, caractérisé en ce qu'il comporte une étape préliminaire d'authentification faisant intervenir lesdits n-1 ensembles sécurisés. 8. Procédé selon les revendications 5 et 7, caractérisé en ce que l'étape préliminaire d'authentification est effectuée comme suit: - l'ensemble sécurisé opérateur authentifie l'ensemble sécurisé lot et l'ensemble sécurisé machine, - l'ensemble sécurisé machine authentifie l'ensemble sécurisé opérateur, et - l'ensemble sécurisé lot authentifie l'ensemble sécurisé opérateur. 9. Procédé selon l'une quelconque des revendications précédentes, caractérisé en ce qu'au moins un microcircuit parmi les microcircuits des n-1 ensembles sécurisés est adapté à communiquer avec l'extérieur en utilisant une technologie sans contact. 10. Procédé selon l'une quelconque des revendications précédentes, caractérisé en ce qu'au moins un desdits ensembles sécurisés est adapté à accéder de façon sécurisée à une base de données contenant lesdites données personnelles. 11. Procédé selon les revendications 5 et 10, caractérisé en ce qu'au 20 moins un desdits ensembles sécurisés adapté à accéder de façon sécurisée à ladite base de données est l'ensemble sécurisé lot. 12. Procédé selon les revendications 6 et 9, caractérisé en ce qu'une unité de traitement logique (10) assure la communication entre au moins deux ensembles sécurisés, lorsque ceux-ci se trouvent tous simultanément dans son 25 champ radiofréquence. 13. Procédé selon l'une quelconque des revendications 5 à 12, caractérisé en ce que l'ensemble sécurisé machine est scellé au corps de la machine. 14. Procédé selon la revendication précédente, caractérisé en ce que 30 l'ensemble sécurisé machine est nécessaire au fonctionnement de la machine. 15. Procédé selon la revendication 5 ou 8, caractérisé en ce que l'ensemble sécurisé lot est une carte à microcircuit. 16. Procédé selon la revendication 5 ou 8, caractérisé en ce que l'ensemble sécurisé machine est une carte à microcircuit. 17. Procédé selon l'une quelconque des revendications précédentes, caractérisé en ce que l'objet est un titre émis par l'Etat ou un autre document à caractère officiel ou un titre de transport ou un document de voyage. 18. Procédé de communication sécurisée, caractérisé en ce qu'il met en oeuvre n ensembles sécurisés, n étant un entier au moins égal à 2, chacun desdits ensembles sécurisés étant constitué de moyens de mémorisation et d'un microcircuit, et formant un n-uplet autorisé connu d'au moins un desdits 10 ensembles sécurisés, et en ce que ledit procédé comporte une pluralité d'étapes d'authentification entre les ensembles sécurisés pris deux à deux. 19. Procédé de communication selon la revendication précédente, caractérisé en ce qu'au moins un desdits moyens de mémorisation conserve une trace permettant d'identifier au moins un desdits n ensembles sécurisés. 20. Procédé de communication selon la revendication 18 ou 19, caractérisé en ce que ladite trace comporte un code d'authentification. 21. Procédé de communication selon la revendication 18, 19 ou 20, caractérisé en ce qu'au moins un desdits ensembles sécurisés est adapté à communiquer avec l'extérieur en utilisant une technologie sans contact. 22. Procédé de communication selon la revendication précédente, caractérisé en ce qu'une unité de traitement logique assure la communication entre au moins deux ensembles sécurisés, lorsque ceux-ci se trouvent tous simultanément dans son champ radiofréquence. 23. Procédé de communication selon l'une quelconque des revendications 25 18 à 22, caractérisé en ce qu'au moins un desdits ensembles sécurisés est une carte à microcircuit.