Brevet FR2919742A1 — publié le 20090206

- 1 - La présente invention concerne un procédé technique de sécurisation. permettant de certifier les actions utilisateur lors de transactions sur terminaux mobiles. Généralement la sécurisation des transactions s'effectue au niveau des communications par cryptage. Sur les terminaux mobiles, se pose la problématique de l'authenticité des applications, à la manière des virus informatiques, certaines applications malignes sont capables d'agir en lieu et place de l'utilisateur. Cette invention pallie à cette faille de sécurité en permettant de certifier les actions humaines des actions de la machine, en les différenciant à l'aide de tests adéquates, afin de parer à des attaques de virus, phishing, usurpation, sur terminaux mobiles. Les tests selon l'invention sont basés sur une image à interpréter sur les terminaux mobiles, avec une complexité suffisante pour la rendre interprétable uniquement par l'homme. Ce test de sécurité permet de certifier que l'action effectuée sur le terminal mobile est humaine. Le procédé technique selon l'invention concerne les transactions sur terminaux mobiles s'effectuant entre un émetteur(B), un receveur(A) sous le contrôle d'un intermédiaire(C). L'intermédiaire(C) met en relation l'émetteur(B) avec le receveur(A), et se charge de la certification des actions utilisateur. Afin de certifier les actions humaines des actions de la machine, l'intermédiaire(C) génère des tests de sécurité ad hoc, sous forme d'images non interprétables et non modifiables par une machine. Le niveau de complexité de l'image générée doit être suffisant pour la rendre non interprétable et non modifiable par la machine mais intelligible par l'homme. L'intermédiaire(C) envoie au receveur(A) (respectivement à l'émetteur(B)) l'image générée pour le test de sécurité(4) selon l'invention (respectivement (8) pour l'émetteur). Le receveur effectue le test(5) (respectivement le test(9) pour l'émetteur). Si l'image a été correctement interprétée par le receveur (respectivement l'émetteur), le résultat du test est positif, la transaction est validée par 1'intermédiaire(6) (respectivement (10)). Suite à cette confirmation le receveur et/ou l'émetteur en est informé par des moyens de communication natifs du terminal mobile: wap, http, https, sockets, navigateur, messagerie, bluetooth, wifi, Infrarouge, NFC. Selon des modes particuliers de transactions: - L'image générée pour le test de sécurité peut contenir 50 d'autres informations propres à la transaction en plus des informations à interpréter. - Émetteur et receveur peuvent être face à face pour effectuer la transaction, dans ce cas les échanges de données entre - 2 - eux se font par voix, bluetooth, wifi, infrarouge ou NFC. Les communications à l'intermédiaire se font par wap, http, https, sockets. Dans ce cas, seul l'intermédiaire connait les identifiants de l'émetteur et du receveur. - Émetteur et receveur peuvent être éloignés pour effectuer la transaction, dans ce cas les échanges de données entre eux se font par messagerie: SMS, MMS, e-mail. Les communications à l'intermédiaire se font par wap, http, https, sockets. 10 - Receveur et intermédiaire peuvent être la même entité. - Émetteur et intermédiaire peuvent être la même entité. 15 - Le receveur et l'émetteur peuvent utiliser tous deux des terminaux mobiles. - Le receveur peut utiliser un terminal mobile et l'émetteur un terminal fixe. 20 - L'émetteur peut utiliser un terminal mobile et le receveur un terminal fixe. 25 A titre d'exemple non limitatif, le schéma en annexe illustre l'invention dans le cas où les trois acteurs de la transaction, émetteur receveur et intermédiaire, sont distincts. 30 Étape (1): Receveur et émetteur lance leur application de transaction. Étape (2): L'émetteur se met en attente de la certification du 35 receveur. Étape (3): Le receveur formule sa requête et la transmet à l'intermédiaire. 40 Étape (4): L'intermédiaire envoie le test de sécurité propre à l'invention, que doit effectuer le receveur. Le test est généré à partir d'une image de fond complexe sur laquelle sont superposées les informations relatives à la transaction: requête du receveur et identifiant aléatoire qui constitue 45 l'information à interpréter. Étape (5): Le receveur vérifie sa requête affichée sur l'image, la confirme en effectuant le test et envoie la réponse à l'intermédiaire. 50 Étape (6): Si le résultat du test est positif, l'intermédiaire envoie la confirmation au receveur qui transmet ses coordonnées de transaction à l'émetteur.5 - 3 - Étape (7): L'émetteur transmet à l'intermédiaire les coordonnées complètes de transaction. Étape (8): L'intermédiaire envoie le test de sécurité propre à l'invention, que doit effectuer l'émetteur. Le test est généré à partir d'une image de fond complexe sur laquelle sont superposées les informations relative à la transaction: la requête du receveur et un nouvel identifiant aléatoire qui constitue l'information à interpréter. Etape (9): L'émetteur vérifie la requête du receveur, l'accepte en effectuant le test selon l'invention et envoie la réponse à l'intermédiaire. Étape (10): Si le résultat du test est positif, la transaction est validée par l'intermédiaire qui en informe l'émetteur. Étape (11): L'émetteur informe le receveur que la transaction est validée. Étape (12): Le receveur vérifie par le navigateur natif du terminal mobile la validité de la transaction auprès de l'intermédiaire .20 REVENDICATIONS 1)Procédé de sécurisation de transactions sur terminaux mobiles s'effectuant entre un émetteur et un receveur sous le contrôle d'un intermédiaire caractérisé en ce que l'intermédiaire met en relation ledit émetteur avec ledit receveur et se charge de la certification des actions utilisateur en générant des tests de sécurité ad hoc sous forme d'images non interprétables et non modifiables par une machine mais intelligibles par l'homme. 2)Procédé de sécurisation selon la revendication 1 caractérisé en ce que l'intermédiaire certifie l'action humaine de l'émetteur par le biais des étapes suivantes : - envoi par l'intermédiaire dudit test de sécurité à l'émetteur - réception de cette image puis vérification par l'émetteur de la requête affichée sur l'image, suivies de l'exécution du test par l'émetteur et envoi de la réponse à ce test à 20 l'intermédiaire -vérification du résultat du test par l'intermédiaire - certification de l'action humaine de l'émetteur par l'intermédiaire si le test est positif. 25 3)Procédé de sécurisation selon la revendication 1 caractérisé en ce que l'intermédiaire certifie l'action humaine du receveur par le biais des étapes suivantes : - envoi par l'intermédiaire dudit test de sécurité au receveur - réception de cette image puis vérification par le receveur 30 de la requête affichée sur l'image, suivies de l'exécution du test par le receveur et envoi de la réponse à ce test à l'intermédiaire - vérification du résultat du test par l'intermédiaire - certification de l'action humaine du receveur par 35 l'intermédiaire si le test est positif. 4)Procédé technique de securisation selon la revendication 1 caractérisé en ce que l'intermédiaire certifie l'action humaine du receveur et de l'émetteur. 5)Procédé technique de sécurisation selon la revendication 2 caractérisé en ce que l'intermédiaire est assimilé au receveur. 40 45 6)Procédé technique de sécurisation selon la- 5 - revendication 3 caractérisé en ce que l'intermédiaire est assimilé à l'émetteur, 7)Procédé technique de sécurisation selon la 5 revendication 4 caractérisé en ce que le receveur et l'émetteur utilisent tous deux des terminaux mobiles. 8)Procédé technique de sécurisation selon la revendication 2 caractérisé en ce que le receveur utilise un 10 terminal fixe et l'émetteur un terminal mobile. 9)Procédé technique de sécurisation selon la revendication 3 caractérisé en ce que le receveur utilise un terminal mobile et l'émetteur un terminal fixe. 15