Brevet FR2982397A1 — publié le 20130510

B11-4865FR 1 Procédé de signature électronique d'un ensemble de documents au sein d'un système informatique et système correspondant L'invention concerne la signature électronique d'un ensemble de documents à l'aide d'un système informatique comprenant un ordinateur, un lecteur sécurisé et une carte à puce contenant un code d'authentification, connu du signataire des documents, et permettant à ce dernier de signer électroniquement les documents. Actuellement, lors d'une demande de signature d'un document électronique par une carte à puce à travers un lecteur sécurisé, une commande spécifique invite le signataire à saisir, en premier lieu, un code d'authentification (PIN) sur le clavier du lecteur. Le code d'authentification, par exemple un code à six chiffres, est ensuite effacé de la mémoire du lecteur dès que celui-ci a été transmis à la carte à puce. Ce code d'authentification permet de déverrouiller l'accès au service cryptographique de signature de la carte à puce. Une fois que ce service a été accédé (signature du document) celui-ci se reverrouille afin d'éviter les signatures multiples à l'insu de l'utilisateur. De ce fait, dans une application de « parapheur électronique » dans laquelle le signataire doit signer un ensemble de documents, il doit à chaque demande de signature électronique d'un document, taper son code d'authentification sur le clavier du lecteur, ce qui rend la procédure de signature électronique d'un lot important de documents électroniques fastidieuse. Selon un mode de mise en oeuvre et de réalisation, il est proposé un procédé de signature électronique d'un ensemble de documents au sein d'un système informatique permettant de s'affranchir d'une telle contrainte de re-saisie du code d'authentification tout en augmentant la vitesse de traitement avec un degré de sécurité acceptable. Il est également proposé un procédé et un système offrant un tel avantage tout en ne nécessitant pas de modification technique dans le module logiciel médiateur (communément désigné par l'homme du métier sous l'acronyme anglo-saxon « middleware ») contenu dans une carte de l'ordinateur s'interfaçant entre un module logiciel applicatif et le module de contrôle (« driver » en langue anglaise) du lecteur. Selon un aspect, il est proposé un procédé de signature électronique d'un ensemble de documents au sein d'un système informatique comprenant un ordinateur, un lecteur sécurisé et une carte à puce contenant un code d'authentification. Selon cet aspect, le procédé comprend une ouverture de session de signature au cours de laquelle pour chaque document à signer électroniquement, l'ordinateur transmet une commande au lecteur (typiquement une demande visant à déclencher une procédure de vérification du code d'authentification) et en réponse à un signal d'autorisation exécute en coopération avec le lecteur et la carte à puce une opération de signature électronique dudit document, le lecteur, en réponse à la première commande, exécute en coopération avec la carte à puce une opération de vérification du code d'authentification communiqué au lecteur par le signataire et en cas de vérification positive, mémorise le code d'authentification communiqué dans une mémoire, et en réponse à chaque commande ultérieure, exécute en coopération avec la carte à puce ladite opération de vérification avec le code mémorisé, et en réponse à chaque commande (que cette commande soit la première ou tout autre commande ultérieure) envoie le signal d'autorisation à l'ordinateur en cas de vérification positive du code d'authentification. Ainsi, selon cet aspect, lors des commandes postérieures à la première commande, et respectivement associées à la signature des documents postérieurs au premier document signé, le code d'authentification n'est plus demandé à l'utilisateur mais « rejoué » par le lecteur sécurisé lui-même car ce code d'authentification a été mémorisé dans le lecteur lors de la réception de la première commande. Selon un mode de mise en oeuvre, en cas de vérification négative du code d'authentification en réponse à ladite première commande, a) le lecteur ne mémorise pas le code d'authentification et renvoie une information de vérification négative à l'ordinateur, et b) l'ordinateur renvoie alors une nouvelle commande en réponse à laquelle le lecteur exécute en coopération avec la carte à puce une opération de vérification du code d'authentification nouvellement communiqué au lecteur par le signataire, et en cas de vérification positive, le lecteur mémorise le code d'authentification communiqué dans la mémoire et en cas de nouvelle vérification négative on répète les étapes a) et b) jusqu'à l'obtention d'une vérification positive d'un code d'authentification communiqué au lecteur par le signataire ou jusqu'à la satisfaction d'un critère d'arrêt (par exemple une saisie de trois codes faux). Selon un mode de mise en oeuvre, l'ordinateur transmet au lecteur le nombre de documents à signer, c'est-à-dire en fait le nombre de commandes qu'il est sensé recevoir, le lecteur stocke ce nombre, par exemple dans un registre, décrémente ce nombre après chaque commande reçue et après la dernière commande reçue, efface le code d'authentification mémorisé et ladite session est fermée. Pour des raisons de sécurité, il est également avantageux de fermer en outre la session en réponse à au moins un évènement particulier pris dans le groupe formé par les évènements suivants : la carte est retirée du lecteur, une commande courante n' est pas identique première commande reçue, une durée prédéterminée s'est écoulée sans réception d'une commande. Généralement, l'ordinateur comprend un module logiciel applicatif, une carte incorporant un module logiciel médiateur (middleware) et un module de contrôle (driver) du lecteur sécurisé. Il est alors particulièrement avantageux que l'exécution en coopération avec le lecteur et la carte à puce de l'opération de signature électronique de chaque document soit effectuée par le module logiciel applicatif et le module logiciel médiateur tandis que le contrôle de la session de signature est effectué par le module logiciel applicatif sans transiter par le module logiciel médiateur. En d'autres termes, toutes les commandes classiques relatives à la signature de documents transitent par le module logiciel médiateur tandis que toutes les commandes d'activation/désactivation de l'application de « parapheur électronique » sont directement transmises par le module logiciel applicatif vers le module de contrôle du lecteur sans passer par le module logiciel médiateur. Ceci permet d'éviter d'effectuer une modification technique dans les modèles logiciels médiateurs des cartes d'ordinateur existantes et déjà utilisées pour des signatures électroniques de documents et limite ainsi les coûts de support et d'intégration. Selon un autre aspect, il est proposé un système de signature électronique d'un ensemble de documents destinés à être signés électroniquement par un signataire, comprenant un ordinateur, un lecteur sécurisé et une carte à puce contenant un code d'authentification, l'ordinateur comprenant des moyens de commande aptes à ouvrir une session de signature et des premiers moyens de traitement aptes au cours de ladite session et pour chaque document à signer électroniquement, à transmettre une commande au lecteur et en réponse à un signal d'autorisation à exécuter en coopération avec le lecteur et la carte à puce une opération de signature électronique dudit document, le lecteur comprenant une mémoire et des deuxièmes moyens de traitement configurés pour au cours de ladite session, en réponse à la première commande, exécuter en coopération avec la carte à puce une opération de vérification du code d'authentification communiqué au lecteur par le signataire et, en cas de vérification positive, mémoriser le code d'authentification communiqué dans ladite mémoire, et en réponse à chaque commande ultérieure, exécuter en coopération avec la carte à puce ladite opération de vérification avec le code mémorisé, et en réponse à chaque commande envoyer le signal d'autorisation aux premiers moyens de traitement en cas de vérification positive. Selon un mode de réalisation, en cas de vérification négative du code d'authentification en réponse à ladite première commande, les deuxièmes moyens de traitement du lecteur sont en outre configurés pour a) ne pas mémoriser le code d'authentification et renvoyer une information de vérification négative à l'ordinateur, et les premiers moyens de traitement de l'ordinateur sont en outre configurés pour b) renvoyer alors une nouvelle commande en réponse à laquelle les deuxièmes moyens de traitement du lecteur sont en outre configurés pour exécuter en coopération avec la carte à puce une opération de vérification du code d'authentification nouvellement communiqué au lecteur par le signataire, et en cas de vérification positive, mémoriser le code d'authentification nouvellement communiqué dans la mémoire, et, en cas de nouvelle vérification négative, les deuxièmes moyens de traitement et les premiers moyens de traitement sont en outre configurés pour répéter les étapes a) et b) jusqu'à l'obtention d'une vérification positive d'un code d'authentification communiqué au lecteur par le signataire ou jusqu'à la satisfaction d'un critère d'arrêt. Selon un mode de réalisation, les moyens de commande sont en outre configurés pour transmettre au lecteur le nombre de documents à signer, les deuxièmes moyens de traitement étant configurés pour stocker ce nombre dans un moyen de mémoire, pour décrémenter ce nombre après chaque commande reçue, et après la dernière commande reçue, effacer le code d'authentification de la mémoire, les moyens de commande étant alors configurés pour transmettre une commande de demande de fermeture de ladite session, le lecteur comprenant des deuxièmes moyens de commande configurés pour fermer ladite session. Selon un mode de réalisation, le lecteur comprend en outre des deuxièmes moyens de commande configurés pour fermer la session en réponse à un signal de fermeture résultant d'au moins un évènement particulier pris dans le groupe formé par les évènements suivants : la carte est retirée du lecteur, une commande courante n'est pas identique à la première commande reçue, une durée prédéterminée s'est écoulée sans réception d'une commande. Selon un mode de réalisation, l'ordinateur comprend un module logiciel applicatif, une carte incorporant un module logiciel médiateur, et un module de contrôle du lecteur sécurisé, et les premiers moyens de traitement sont incorporés dans le module logiciel applicatif et le module logiciel médiateur, tandis que les moyens de commande sont incorporés dans le module logiciel applicatif et sont directement connectés au module de contrôle. Selon un autre aspect, il est proposé un lecteur appartenant au système tel que défini ci-avant. Selon un autre aspect, il est proposé un ordinateur appartenant au système tel que défini ci-avant. D'autres avantages et caractéristiques de l'invention apparaîtront à l'examen de la description détaillée de modes de mise en oeuvre et de réalisations, nullement limitatives, et des dessins annexés sur lesquels : la figure 1 illustre schématiquement un mode de réalisation d'un système selon l'invention, et, les figures 2 à 10 illustrent schématiquement des exemples de mises en oeuvre d'un procédé selon l'invention. Sur la figure 1, la référence SYS désigne un système informatique comprenant un ordinateur ORD relié à un lecteur sécurisé LCT capable de recevoir une carte à puce CP. Un tel système va pouvoir être utilisé, comme on va le voir ci-après, pour la signature électronique d'un ensemble ou lot de plusieurs documents par un même signataire, et ce d'une façon rapide et sécuri sée. L'ordinateur ORD comporte un module logiciel applicatif MDA stocké dans une mémoire programme de l'ordinateur, une carte contenant un module logiciel médiateur (middleware) permettant d'effectuer l'interfaçage entre le module logiciel applicatif et un module de contrôle DRV (driver) du lecteur sécurisé LCT. Le module logiciel médiateur MDM (middleware) est un module classique et connu en soi par l'homme du métier qui permet de créer un réseau d'échange d'informations entre différentes applications informatiques et permet d'assurer la communication entre les applications quelles que soient les caractéristiques matérielles et logicielles d'un système d'exploitation et/ou protocole réseau impliqué. L' ordinateur ORD comporte des premiers moyens de traitement, incorporés dans le module logiciel applicatif MDA et dans le module logiciel médiateur et permettant l'élaboration et la transmission de commandes liées à la procédure de signature proprement dite de chaque document. L'ordinateur ORD comporte par ailleurs des moyens de commande MCM incorporés dans le module logiciel applicatif MDA et directement connectés au module de contrôle DRV de façon à permettre la transmission de commandes spécifiques d'activation/désactivation de la session de signature du lot du document (contenu dans le parapheur électronique). De ce fait, puisque ces commandes particulières ne transitent pas par le module logiciel médiateur MDM (middleware) aucune modification de ce dernier n'est nécessaire et l'on peut utiliser des cartes incorporant un tel module logiciel classique. Le lecteur LCT est un lecteur sécurisé, par exemple un lecteur du type de celui vendu par la société XIRING sous la référence « Léo By Xiring® ». Ce lecteur comporte des deuxièmes moyens de traitement MT2 et des deuxièmes moyens de commande MCM2 réalisés essentiellement par exemple de façon logicielle au sein d'un microcontrôleur, un clavier CLV permettant au signataire d'entrer son code d'authentification nécessaire à la signature des documents, et un écran permettant d'afficher des messages pour le signataire. Le lecteur LCT comporte également une mémoire MM permettant, comme on le verra ci-après de mémoriser le code d'authentification saisi par le signataire sur le clavier, ainsi qu'un registre RG permettant comme on le verra ci-après de stocker un paramètre représentatif du nombre de documents à signer. Par rapport à un lecteur LCT classique sécurisé du type de celui mentionné ci-avant, les deuxièmes moyens de traitement MT2 et les deuxièmes moyens de commande résultent par exemple d'une mise à jour permettant la mise en oeuvre du procédé selon l'invention. Enfin, la carte à puce CP comporte, outre le code d'authentification, des moyens cryptographiques classiques et connus en soi de signature de documents. On se réfère maintenant plus particulièrement aux figures 2 et suivantes pour décrire des exemples de mise en oeuvre d'une procédure de signature électronique d'un parapheur électronique comportant un ensemble de documents à signer électroniquement par un même signataire. Dans une première phase, après que le signataire a accepté de signer un certain nombre de documents qui lui sont présentés sur son écran d'ordinateur, les moyens de commande MCM de l'ordinateur transmettent (étape 20 - figure 2) une commande spécifique CMDO dénommée ici Open MultiSign(Nb SPE) aux deuxièmes moyens de traitement MT2 du lecteur sécurisé. Cette commande spécifique CMDO comporte ici un paramètre Nb_SPE représentatif du nombre de documents à signer ou encore du nombre de codes d'authentification qu'il sera nécessaire de vérifier ou encore du nombre de commandes (SPE) de demandes de vérification de ce code d'authentification. Ce paramètre Nb_SPE est mémorisé (étape 21) dans le registre RG et les deuxièmes moyens de traitement MT2 du lecteur sécurisé renvoient une réponse (étape 23) indiquant que le lecteur est d'une part capable de supporter l'application parapheur électronique et d'autre part qu'il est prêt à effectuer cette application. Un exemple de commande CMDO est illustré sur la figure 7. Cette commande comporte dans l'exemple décrit ici un champ Data° contenant un identifiant P pour l'application parapheur, un champ Datai contenant l'identifiant de la commande de CMDO, deux champs Data2 et Data3 contenant le paramètre Nb_SPE. Le format utilisé pour le paramètre Nb SPE est ici binaire (hexadécimal) sur deux octets, les bits de poids faibles (LSB) étant contenus dans le champ Data2 tandis que les bits de poids forts (MSB) sont contenus dans le champ Data3. Enfin, la commande CMDO comporte un quatrième champ Data4 contenant une durée prédéterminée DS (par exemple 60 secondes) dont on reviendra ci-après sur la signification. Si l'on se réfère maintenant à la figure 3 qui illustre une autre phase de la signature électronique des documents contenus dans le parapheur électronique, on voit que les premiers moyens de traitement de l'ordinateur transmettent via le module MDM (middleware), une première commande CMD1 (étape 30) intitulée ici « Secure PIN Entry (SPE)» qui indique au lecteur qu'il doit entamer une procédure de vérification du code d'authentification (PIN). A la réception de cette première commande CMD1, les deuxièmes moyens de traitement MT2 du lecteur sécurisé affichent sur l'écran du lecteur une demande de saisie du code d'authentification par le signataire. Celui-ci saisit alors son code d'authentification sur le clavier CLV du lecteur (étape 31). Dans l'exemple décrit ici, le code d'authentification est par exemple égal à 123456. Puis, dans l'étape 32, les deuxièmes moyens de traitement MT2 du lecteur mémorisent ce code d'authentification de signature dans la mémoire MM et exécutent, en coopération avec la carte à puce (étape 33) une opération de vérification de ce code d'authentification. La carte à puce renvoie une réponse 34 et cette réponse (étape 35) est renvoyée à l'ordinateur. Cette phase illustrée sur la figure 3, est la phase d'authentification de l'utilisateur signataire. Dans le cas où la vérification du code d'authentification est positive c'est-à-dire que celui-ci est correct (ce qui est supposé être le cas dans l'exemple décrit ici), la réponse renvoyée à l'étape 35 s'apparente à un signal d'autorisation et la signature du premier document peut débuter de façon classique et connue en soi. Ceci est illustré sur la figure 4. Cette phase de signature comporte d'abord une phase de paramétrage de la carte comportant un échange classique de commandes et de réponses (étapes 40 à 43) puis, les données numériques du document sont transmises pour signature par les moyens cryptographiques de signature de la carte et l'ordinateur reçoit en réponse via le lecteur une signature électronique (étapes 44 à 47). Pour la signature électronique du document suivant du lot de documents contenus dans le parapheur électronique, l'ordinateur renvoie une commande SPE CMDi (étape 50 - figure 5) analogue à la première commande CMD1. Mais, les deuxièmes moyens de traitement du lecteur sécurisé, ne demandent pas, en réponse à cette commande CMDi, de saisie sur le clavier du lecteur du code d'authentification et vont utiliser (étape 51) le code d'authentification mémorisé dans les moyens de mémoire à l'étape 32. La procédure de vérification du code d'authentification s'effectue d'une façon analogue à celle qui a été décrite en référence à la figure 3 aux étapes 33, 34 et 35 mais cette fois-ci avec le code d'authentification mémorisé. Le signataire n'a donc pas à re-saisir son code d'authentification sur le clavier. Ceci permet d' augmenter la vitesse de traitement des opérations d'authentification du signataire tout en conservant un niveau de sécurité acceptable car le code d'authentification est mémorisé à l'intérieur du lecteur sécurisé et non pas par exemple dans l'ordinateur. Pour le cas où la vérification du code d'authentification est positive, le processus de signature électronique de ce deuxième document est effectué aux étapes 55-63 d'une façon analogue à celle qui a été décrit en référence à la figure 4 pour le document précédent. Par ailleurs, le paramètre Nb SPE est décrémenté dans le lecteur (étape 54). Les opérations et étapes qui viennent d'être décrites ici dans la figure 5 sont répétées (étape 59) tant qu'il y a des documents à signer dans le parapheur électronique. Et, à chaque fois, l'utilisateur signataire n'a pas à re-saisir son code d'authentification car le lecteur utilise le code d'authentification mémorisé lors de la première signature électronique du premier document. Lorsque toutes les commandes SPE CMDi ont été transmises, il y a alors (figure 6) envoi d'une commande spécifique CMDF (étape 66 - figure 6) par les moyens de commande MCM de l'ordinateur de façon à demander une fermeture de la session de signature. Si toutes les signatures ont été correctement effectuées et que le compteur servant à décrémenter le paramètre Nb SPE atteint la valeur 0, les deuxièmes moyens de traitement du lecteur sécurisé effacent le code d'authentification mémorisé dans la mémoire MM et les deuxièmes moyens de commande MCM2 du lecteur sécurisé ferment la session de signature. Par contre, si pour une raison quelconque, une des signatures électroniques a échoué (document invalide par exemple), les moyens de commande MCM de l'ordinateur peuvent alors envoyer la commande CMDF de demande de fermeture de session, et la session va alors être fermée par les deuxièmes moyens de commande MCM2 du lecteur alors que le paramètre Nb SPE n'est pas égal à O. Pour des raisons de sécurité, il est prévu que les moyens de commande MCM2 du lecteur puissent fermer la session de signature électronique du parapheur en présence de certaines situations particulières. Ceci est illustré sur la figure 8. Plus précisément, c'est le cas lorsque la carte à puce est retirée du lecteur (étape 80), ou lorsqu'une commande CMDi est différente de la première commande CMD1 reçue et qui sert de commande de référence (étape 81), ou encore lorsque la durée entre deux commandes successives CMDi et CMDi-1 dépassent la durée prédéterminée DS (étape 82). Dans ces situations, les deuxièmes moyens de commande MCM2 du lecteur ferment la session (étape 83). On se réfère maintenant plus particulièrement à la figure 9 qui illustre le cas où lors de la première commande CMD1 envoyée par l'ordinateur, le code d'authentification saisi par le signataire sur le clavier du lecteur est faux. Dans une telle situation la session de signature n'est pas fermée car le module applicatif MDA ne peut pas « savoir » que le code d'authentification (code PIN) saisi est faux et ne peut donc pas envoyer une nouvelle commande de demande d'ouverture de session de signature. Par contre en cas de vérification négative (90) du code d'authentification en réponse à ladite première commande CMD1, les deuxièmes moyens de traitement MT2 du lecteur sont en outre configurés pour a) ne pas mémoriser le code d'authentification (pour ne pas rejouer automatiquement un code faux) et renvoyer (91) une information de vérification négative (référencée « wrong PIN ») à l'ordinateur. Les premiers moyens de traitement MT1 de l'ordinateur sont en outre configurés pour b) renvoyer alors (92) une nouvelle commande CMD2 en réponse à laquelle les deuxièmes moyens de traitement MT2 du lecteur sont en outre configurés pour exécuter en coopération avec la carte à puce une opération de vérification du code d'authentification nouvellement communiqué (93) au lecteur par le signataire, et en cas de vérification positive, mémoriser le code d'authentification nouvellement communiqué dans la mémoire, d'une façon analogue à ce qui a été décrit en référence à la figure 3. En cas de nouvelle vérification négative, les deuxièmes moyens de traitement MT2 du lecteur et les premiers moyens de traitement MT1 de l'ordinateur sont en outre configurés pour répéter les étapes a) et b) jusqu'à l'obtention d'une vérification positive d'un code d'authentification communiqué au lecteur par le signataire ou jusqu'à la satisfaction d'un critère d'arrêt, par exemple une saisie de trois codes faux. Lorsque qu'un code d'authentification a été effectivement mémorisé dans la mémoire du lecteur, le processus de signature se poursuit d'une façon analogue à ce qui été décrit en référence aux figures 4 et 5 notamment. On se réfère maintenant plus particulièrement à la figure 10, qui illustre le cas où pour une raison quelconque (parasite par exemple), le code d'authentification (code PIN) qui était mémorisé conduit lors de l'opération de vérification en coopération avec la carte à puce à une vérification négative, ce qui revient à dire que le code d'authentification mémorisé est considéré comme un code faux. Plus précisément, comme illustré sur la figure 10, à la réception 100 d'une commande CMDi, on effectue comme expliqué ci- avant, l'opération de vérification 101 du code mémorisé. Deux cas sont alors possibles (étape 102). Si la vérification est positive, le processus de signature se poursuit comme décrit précédemment (étape 103). En cas de vérification négative d'un code d'authentification mémorisé, il y a alors fermeture de la session de signature (étape 104) par les deuxièmes moyens de commande MCM2 du lecteur. Ceci permet d'éviter de bloquer la carte si subitement le code PIN mémorisé et rejoué est considéré comme faux alors que les codes PIN précédemment utilisés étaient considérés comme corrects. REVENDICATIONS1. Procédé de signature électronique d'un ensemble de documents au sein d'un système comprenant un ordinateur, un lecteur sécurisé et une carte à puce contenant un code d'authentification, le procédé comprenant une ouverture d'une session de signature au cours de laquelle - pour chaque document à signer électroniquement, l'ordinateur transmet une commande (CMDi) au lecteur et en réponse à un signal d'autorisation exécute en coopération avec le lecteur et la carte à puce une opération de signature électronique (40-47) dudit document, - le lecteur en réponse à la première commande (CMD1), exécute en coopération avec la carte à puce une opération de vérification du code d'authentification communiqué au lecteur par le signataire et en cas de vérification positive, mémorise le code d'authentification communiqué dans une mémoire, et en réponse à chaque commande ultérieure (CMDi), exécute en coopération avec la carte à puce ladite opération de vérification avec le code mémorisé, et en réponse à chaque commande envoie (35) le signal d'autorisation à l'ordinateur en cas de vérification positive. 2. Procédé selon la revendication 1, dans lequel, en cas de vérification négative du code d'authentification en réponse à ladite première commande, a) le lecteur ne mémorise pas le code d'authentification et renvoie une information de vérification négative à l'ordinateur, et b) l'ordinateur renvoie alors une nouvelle commande en réponse à laquelle le lecteur exécute en coopération avec la carte à puce une opération de vérification du code d'authentification nouvellement communiqué au lecteur par le signataire, et en cas de vérification positive, le lecteur mémorise le code d'authentification communiqué dans la mémoire et en cas de nouvelle vérification négative on répète les étapes a) et b) jusqu'à l'obtention d'une vérification positive d'un code d'authentification communiqué au lecteur par le signataire ou jusqu'à la satisfaction d'un critère d'arrêt. 3. Procédé selon l'une des revendications précédentes, comprenant en outre une fermeture (104) de la session en cas d'une vérification négative d'un code d'authentification mémorisé. 4. Procédé selon l'une des revendications précédentes, dans lequel l'ordinateur transmet au lecteur le nombre (Nb SPE) de documents à signer, le lecteur stocke (21) ce nombre, décrémente (54) ce nombre après chaque commande reçue, et après la dernière commande reçue, efface (67) le code d'authentification mémorisé, et ladite session est fermée. 5. Procédé selon l'une des revendications précédentes, comprenant en outre une fermeture (84) de la session en réponse à au moins un évènement particulier pris dans le groupe formé par les évènements suivants : la carte est retirée du lecteur, une commande courante n'est pas identique à la première commande reçue, une durée prédéterminée s'est écoulée sans réception d'une commande. 6. Procédé selon l'une des revendications précédentes, dans lequel, l'ordinateur comprenant un module logiciel applicatif (MDA), une carte incorporant un module logiciel médiateur (MDM), et un module de contrôle (DRV) du lecteur sécurisé, l'exécution en coopération avec le lecteur et la carte à puce de l'opération de signature électronique de chaque document est effectué par le module logiciel applicatif et le module logiciel médiateur, et le contrôle de la session de signature est effectué par le module logiciel applicatif sans transiter par le module logiciel médiateur. 7. Système de signature électronique d'un ensemble de documents destinés à être signés électroniquement par un signataire, comprenant un ordinateur (ORD), un lecteur sécurisé (LCT) et une carte à puce (CP) contenant un code d'authentification, l'ordinateur (ORD) comprenant des moyens de commande (MCM) aptes à ouvrir une session de signature et des premiers moyens de traitement (MT1) aptes au cours de ladite session et pour chaque document à signer électroniquement, à transmettre une commande au lecteur et en réponse à un signal d'autorisation à exécuter en coopération avec le lecteur et la carte à puce une opération de signature électronique dudit 2 982 3 97 16 document, le lecteur (LCT) comprenant une mémoire (MM) et des deuxièmes moyens de traitement (MT2) configurés pour au cours de ladite session, en réponse à la première commande, exécuter en coopération avec la carte à puce une opération de vérification du code 5 d'authentification communiqué au lecteur par le signataire et, en cas de vérification positive, mémoriser le code d'authentification communiqué dans ladite mémoire, et en réponse à chaque commande ultérieure, exécuter en coopération avec la carte à puce ladite opération de vérification avec le code mémorisé, et en réponse à 10 chaque commande envoyer le signal d'autorisation aux premiers moyens de traitement en cas de vérification positive. 8. Système selon la revendication 7, dans lequel, en cas de vérification négative du code d'authentification en réponse à ladite première commande, les deuxièmes moyens de traitement (MT2) du 15 lecteur sont en outre configurés pour a) ne pas mémoriser le code d'authentification et renvoyer une information de vérification négative à l'ordinateur, et les premiers moyens de traitement (MT1) de l'ordinateur sont en outre configurés pour b) renvoyer alors une nouvelle commande en réponse à laquelle les deuxièmes moyens de 20 traitement (MT2) du lecteur sont en outre configurés pour exécuter en coopération avec la carte à puce une opération de vérification du code d'authentification nouvellement communiqué au lecteur par le signataire, et en cas de vérification positive, mémoriser le code d'authentification nouvellement communiqué dans la mémoire, et, en 25 cas de nouvelle vérification négative, les deuxièmes moyens de traitement (MT2) et les premiers moyens de traitement (MT1) sont en outre configurés pour répéter les étapes a) et b) jusqu'à l'obtention d'une vérification positive d'un code d'authentification communiqué au lecteur par le signataire ou jusqu'à la satisfaction d'un critère 30 d' arrêt. 9. Système selon la revendication 7 ou 8, dans lequel le lecteur comprend des deuxièmes moyens de commande (MCM2) configurés pour fermer la session de signature en cas d'une vérification négative d'un code d'authentification mémorisé. 10. Système selon l'une des revendications 7 à 9, dans lequel les moyens de commande (MCM) sont en outre configurés pour transmettre au lecteur le nombre de documents à signer, les deuxièmes moyens de traitement (MT2) étant configurés pour stocker ce nombre dans un moyen de mémoire (RG), pour décrémenter ce nombre après chaque commande reçue, et après la dernière commande reçue, effacer le code d'authentification de la mémoire (MM), les moyens de commande (MCM) étant alors configurés pour transmettre une commande (CMDF) de demande de fermeture de ladite session, le lecteur comprenant des deuxièmes moyens de commande (MCM2) configurés pour fermer ladite session. 11. Système selon l'une des revendications 7 à 10, dans lequel le lecteur comprend en outre des deuxièmes moyens de commande (MCM2) configurés pour fermer la session en réponse à un signal de fermeture résultant d'au moins un évènement particulier pris dans le groupe formé par les évènements suivants : la carte est retirée du lecteur, une commande courante n'est pas identique à la première commande reçue, l'opération de vérification du code d'authentification conduit à une vérification négative, une durée prédéterminée s'est écoulée sans réception d'une commande. 12. Système selon l'une des revendications 7 à 11, dans lequel l'ordinateur comprend un module logiciel applicatif (MDA), une carte incorporant un module logiciel médiateur (MDM), et un module de contrôle (DRV) du lecteur sécurisé, et les premiers moyens de traitement (MT1) sont incorporés dans le module logiciel applicatif et le module logiciel médiateur, tandis que les moyens de commande (MCM) sont incorporés dans le module logiciel applicatif et sont directement connectés au module de contrôle. 13. Lecteur appartenant au système selon l'une des revendications 7 à 12. 14. Ordinateur appartenant au système selon l'une des revendications 7 à 12.