Brevet FR3007600A1 — publié le 20141226

L'invention concerne l'authentification d'un utilisateur pour l'accès à un ensemble de services fournis sur un réseau de communication privé, à partir d'un terminal de communication apte à se connecter à un réseau de téléphonie mobile. Une application particulière mais non exclusive de l'invention concerne le monde de l'entreprise dans lequel de plus de plus d'employés utilisent aujourd'hui leur terminaux personnels pour se connecter au réseau de communication privé de l'entreprise. Ce réseau privé peut être typiquement constitué d'un réseau privé basé sur le protocole IP (Internet Protocol), de type Internet, classiquement désigné par intranet, ce réseau privé pouvant être, le cas échéant, associé à un réseau de téléphonie mobile professionnel. La tendance actuelle des salariés d'une entreprise à utiliser de plus en plus leur terminal personnel pour se connecter au réseau de l'entreprise, est désignée par le sigle BYOD résultant de l'expression anglaise "Bring your own device", que l'on peut traduire par "Apportez votre équipement personnel". En d'autres termes, il s'agit d'une pratique qui consiste à utiliser ses équipements personnels (téléphone, ordinateur portable, tablette électronique, etc.) dans un contexte différent, par exemple dans le cadre professionnel. Cependant, cette pratique de plus en plus courante pose des problèmes de sécurité de l'information. En effet, à ce jour, le nombre d'utilisateurs d'appareils mobiles augmente énormément et le volume d'informations véhiculées s'amplifie. Ce qui induit le développement d'opérations frauduleuses, visant à récupérer les données personnelles et professionnelles (logiciel malveillant, vols des terminaux, écoutes téléphoniques...). Pour répondre à cette problématique de sécurité de l'information, des solutions existent pour authentifier des équipements personnels dans la sphère professionnelle. De telles solutions impliquent notamment l'installation dans le terminal personnel de l'utilisateur-employé d'une application d'authentification et de certificats de sécurité. Les solutions précitées, par le fait qu'elles nécessitent l'installation d'une application spécifique dans le terminal considéré, affectent donc l'intégrité du terminal avec les risques inhérents que cela comporte, par exemple le risque de pertes de 35 données personnelles de l'utilisateur lors de l'installation d'une application d'authentification. Par ailleurs, si l'utilisateur-employé dispose de plusieurs terminaux personnels (PC portable, tablette numérique, smartphone, ...) pouvant être utilisés à des fins professionnelles, le nombre d'opérations d'installation de l'application d'authentification est multiplié, pour chaque utilisateur, par le nombre de terminaux personnels distincts. D'autre part, cette approche implique une gestion complexe des mises à jour logicielles des applications d'authentification, et génère des coûts financiers importants pour l'entreprise. Selon une autre tendance actuelle, de plus en plus de terminaux de communication (plus de 100 millions en 2012), tels que tablettes tactiles et téléphones mobiles, sont équipés de manière native de la technologie NFC (near field communication). La technologie NFC ou "communication en champ proche" est une technologie de communication sans-fil à courte portée et haute fréquence, permettant l'échange d'informations entre des périphériques jusqu'à une distance d'environ 10 cm. Cette technologie équipant un terminal de communication permet à ce dernier de pouvoir échanger des informations avec une puce NFC passive, externe au terminal et appelée étiquette NFC (NFC tag en anglais). La présente invention vise à améliorer la situation exposée plus haut relative à la problématique de sécurité et coûts liée à la tendance actuelle des salariés d'une entreprise à utiliser de plus en plus leur terminal personnel pour se connecter au réseau de l'entreprise, en tirant partie de la technologie NFC qui équipe actuellement de manière croissante les terminaux de communication. L'invention s'applique cependant à toute situation selon laquelle des terminaux personnels d'utilisateurs sont utilisés dans un contexte différent de leur destination initiale, pour se connecter à un réseau de communication privé soumis à des droits d'accès spécifiques. A cet effet, selon un premier aspect, la présente invention concerne un procédé d'authentification d'un utilisateur pour l'accès à un ensemble de services fournis sur un réseau de communication privé, l'utilisateur disposant d'un premier terminal de communication apte à se connecter à un réseau de téléphonie mobile, le premier terminal étant doté de moyens de lecture sans fil de type NFC. Selon l'invention ce procédé comprend : a) - suite à une coopération entre le premier terminal et un dispositif de communication sans fil de type NFC, transmission du dispositif de communication sans fil vers le premier terminal, d'une adresse web d'accès à un serveur d'authentification sur le réseau de téléphonie mobile ; b) - création automatique dans le premier terminal, à partir de l'adresse web d'accès, d'une requête d'accès au serveur d'authentification, et transmission de la requête d'accès au serveur d'authentification ; c) - réception par le serveur d'authentification de la requête d'accès, et authentification de l'utilisateur à partir d'au moins un identifiant du premier terminal contenu dans la requête d'accès, et, si l'authentification de l'utilisateur est réussie : d) - validation de l'accès de l'utilisateur à l'ensemble de services ; e) - envoi au premier terminal et/ou à au moins un second terminal, d'une notification d'accès à l'ensemble de services. Ainsi, grâce au procédé d'authentification selon l'invention, un utilisateur disposant d'un terminal de communication ("premier terminal") mobile, par exemple un téléphone mobile de type smartphone (littéralement "téléphone intelligent" en français) équipé de la technologie NFC, pourra se connecter et accéder à des services fournis via un réseau privé - par exemple un intranet d'entreprise -, sans qu'il soit nécessaire d'installer une application d'authentification spécifique dans le terminal. Il s'agit d'un processus d'authentification simple et peu coûteux, puisqu'il suffit que le terminal puisse lire automatiquement une adresse web (URL - Uniform Resource Locator) fournie par le dispositif de communication sans fil de type NFC (par exemple une étiquette NFC), pour qu'il puisse se connecter (via un navigateur par exemple) à un serveur d'authentification. La connexion du premier terminal au serveur d'authentification utilise simplement le réseau mobile correspondant aux informations stockées dans la carte SIM (Subscriber Identity Module) du terminal. Selon un mode de réalisation de l'invention, l'étape c) d'authentification de l'utilisateur comprend la consultation dans une base de données d'un profil d'utilisateur sélectionné à partir de l'identifiant du premier terminal, ce profil d'utilisateur comprenant des informations identifiant au moins un terminal associé à l'utilisateur, et pour chaque terminal associé à l'utilisateur au moins un identifiant d'un service auquel l'utilisateur est autorisé. En pratique l'identifiant du premier terminal utilisé pour sélectionner un profil d'utilisateur est le numéro de téléphone correspondant à la carte SIM du premier terminal. Ce numéro obtenu classiquement par un équipement dans le réseau mobile permet alors de sélectionner simplement dans le serveur d'authentification le profil de l'utilisateur - abonné au service de téléphonie mobile -correspondant au numéro de terminal mobile émetteur de la requête d'accès. Un tel profil d'utilisateur est avantageux car il permet pour chaque utilisateur répertorié dans la base de données de profils, de définir des équipements d'accès (terminaux de différentes natures) et des services de communications correspondants. Selon un mode de réalisation de l'invention, l'étape (d de validation de l'accès de l'utilisateur à l'ensemble de services, comprend l'envoi à un serveur d'une plateforme de service sur le réseau de communication privé, d'une requête d'autorisation d'accès de l'utilisateur, cette requête d'autorisation d'accès incluant au moins un identifiant de terminal de l'utilisateur et au moins un identifiant d'un service autorisé pour chaque terminal identifié. Dans ce mode de réalisation, le réseau mobile est seulement chargé de l'authentification de l'utilisateur et une fois ce dernier valablement authentifié, il transmet ensuite une requête d'autorisation d'accès à un équipement serveur du réseau de communication privé, lequel est chargé de fournir les services validés pour l'utilisateur. Par conséquent, ce mode de réalisation implique un coût minimal en termes d'équipements spécifiques à installer dans le réseau mobile. Selon un mode de réalisation de l'invention, l'étape e) d'envoi au premier terminal et/ou à au moins un second terminal de l'utilisateur, d'une notification d'accès à au moins un service, est précédée d'une étape d'adaptation de la notification d'accès en fonction de chaque terminal de l'utilisateur destinataire de la notification d'accès. Grâce à cette caractéristique, la notification est adaptée en fonctions des capacités du ou des terminaux destinataires de la notification. Par exemple un SMS pour un téléphone mobile simple, une page web pour une tablette numérique, etc. Selon une caractéristique de réalisation de l'invention, suite à la création de la requête d'accès dans le premier terminal, préalablement à sa transmission au serveur d'authentification, la requête d'accès est transmise à un équipement sur le réseau de téléphonie mobile, dans lequel l'identifiant du premier terminal est ajouté à la requête d'accès. Cette caractéristique permet "d'enrichir" la requête d'accès de manière automatique avec un identifiant du premier terminal, par exemple avec un numéro permettant d'identifier de manière unique le premier terminal, tel que le numéro IMSI (International Mobile Subscriber Identity) ou le numéro 1M El (International Mobile Equipment Identity), ou encore un identifiant tel que le CID (Cell ID). Un tel identifiant est obtenu classiquement par un équipement d'accès au réseau mobile en mode connexion de données, en relation avec des équipements tels que par exemple, un équipement MSC (Mobile service Switching Center) et/ou un équipement SGSN (Serving GPRS Support Node). Selon une première mise en oeuvre de l'invention, le dispositif de communication sans fil est une étiquette NFC, cette étiquette étant située à proximité d'un second terminal, ou apposée sur un second terminal, ou incorporée dans un second terminal, dans un environnement lié au réseau de communication privé. Dans cette première mise en oeuvre, l'étiquette NFC est associée à un terminal de communication dans un environnement lié au réseau de communication privé, par exemple un bureau d'une entreprise. L'étiquette peut être par exemple collée sur le terminal lui-même ou bien sur le bureau sur lequel est posé le terminal. Ainsi dans cet exemple, l'utilisateur doit d'abord être autorisé à pénétrer dans les locaux de l'entreprise avant de pouvoir faire communiquer son téléphone mobile avec l'étiquette NFC, pour accéder aux services fournis sur le réseau d'entreprise. Selon une seconde mis en oeuvre de l'invention de l'invention, le dispositif de communication sans fil est un objet portatif incorporant une puce NFC, fourni au préalable à l'utilisateur. Dans cet exemple de mise en oeuvre, l'étiquette NFC peut être par exemple incorporée dans un badge professionnel ou fournie sous la forme d'un porte-clés par exemple, et l'utilisateur peut alors se connecter à distance (sans être physiquement présent dans un local de l'entreprise) par l'intermédiaire du réseau mobile. Selon des modes de réalisation particuliers de l'invention, à l'étape b), la requête d'accès inclut outre une adresse web d'accès au serveur d'authentification, un élément de données parmi l'ensemble d'éléments de données suivant : - une signature numérique stockée dans le premier terminal de l'utilisateur ; - outre l'élément précédent, un certificat de sécurité stocké dans le dispositif de communication sans fil ; - outre l'élément précédent, un certificat de sécurité stocké dans le premier terminal ; - outre l'élément précédent, un identifiant personnel d'identification saisi par l'utilisateur avec le premier terminal. Grâce à ces dispositions, on peut améliorer de manière graduelle la sécurité d'authentification en fonction des besoins, par la mise en oeuvre de signatures numériques et/ou de certificats de sécurité dans l'échange d'informations entre l'étiquette NFC et le premier terminal et/ou dans l'envoi de la requête d'accès par le premier terminal vers le serveur d'authentification. Selon une caractéristique particulière de réalisation, à l'étape c), la requête d'accès reçue par le serveur d'authentification contient une information temporelle relative à l'envoi de la requête d'accès par le premier terminal, et/ou une information de localisation géographique du premier terminal, ces informations étant utilisées lors de l'authentification de l'utilisateur du premier terminal. Ces informations sont typiquement ajoutées à la requête d'accès lors de la réception de la requête dans un équipement d'accès du réseau mobile, et sont ensuite utilisées comme critères d'authentification supplémentaires de l'utilisateur du premier terminal, par le serveur d'authentification, pour accroitre la sécurité d'accès au réseau privé. Selon un deuxième aspect, l'invention concerne un serveur d'authentification sur un réseau de téléphonie mobile, pour la mise en oeuvre d'un procédé d'authentification tel que succinctement exposé supra, ce serveur comprenant : - un module de réception d'une requête d'accès contenant un identifiant d'un terminal d'utilisateur dans le réseau de téléphonie mobile ; - un module d'authentification d'un utilisateur à partir de l'identifiant du terminal contenu dans la requête d'accès ; - un module de détermination d'un ensemble de services auquel l'utilisateur est autorisé, lorsque l'authentification de l'utilisateur est réussie ; - un module de transmission d'une requête d'autorisation d'accès de l'utilisateur authentifié à l'ensemble de services, à destination d'un serveur d'une plateforme de service sur un réseau de communication privé. En particulier, selon un mode de réalisation, le serveur précité comprend des moyens d'accès à une base de données de profils d'utilisateurs, dans laquelle chaque profil d'utilisateur comprend au moins un identifiant d'un terminal associé à un utilisateur, et dans laquelle, pour chaque terminal identifié dans le profil, est associé au moins un service auquel l'utilisateur est autorisé. Selon un troisième aspect, l'invention concerne un serveur d'une plateforme de service sur un réseau de communication, pour la mise en oeuvre d'un procédé d'authentification tel que brièvement exposé plus haut. Selon l'invention, ce serveur comprend : - un module de réception d'une requête d'autorisation d'accès d'un utilisateur authentifié à un ensemble de services fournis via le réseau de communication, la requête d'autorisation d'accès incluant au moins un identifiant de terminal d'utilisateur et au moins un identifiant de service autorisé pour chaque terminal identifié ; - un module de création d'une notification d'accès de l'utilisateur à au moins un service, pour chaque terminal identifié dans la requête d'autorisation d'accès, la notification d'accès étant adaptée au type de terminal identifié ; - un module d'envoi d'une notification d'accès à chaque terminal identifié dans la requête d'autorisation d'accès. Enfin selon un dernier aspect, la présente invention concerne un programme d'ordinateur (ou ensemble de modules logiciels) stocké sur un support d'informations pour la mise en oeuvre de tout ou partie des étapes d'un procédé d'authentification selon l'invention, tel que brièvement exposé plus haut. Ce programme peut être en particulier incorporé en partie dans un serveur sur un réseau de téléphonie mobile, selon l'invention, et en partie dans un serveur d'une plateforme de service, selon l'invention, sur un réseau de communication privé, par exemple un intranet d'entreprise. Par ailleurs, un tel programme d'ordinateur selon l'invention, peut utiliser n'importe quel langage de programmation, et comprendre des programmes sous forme de code source, code objet, ou de code intermédiaire entre code source et code objet, tel que dans une forme partiellement compilée, ou dans n'importe quelle autre forme souhaitable. L'invention vise aussi par conséquent un support d'enregistrement d'informations lisible par un ordinateur, et comportant des instructions de programme d'ordinateur. Un tel support d'enregistrement peut être constitué par n'importe quelle entité ou dispositif capable de stocker un tel programme. Par exemple, le support peut comporter un moyen de stockage, tel qu'une ROM, par exemple un CD ROM ou une ROM de circuit microélectronique, ou encore un moyen d'enregistrement amovible tel qu'une clé USB ou un moyen d'enregistrement magnétique, tel qu'un disque dur. D'autre part, un module logiciel selon l'invention peut être en particulier téléchargé sur un réseau de type Internet. Les avantages procurés par les serveurs précités, selon l'invention, et un programme d'ordinateur selon l'invention, tels que brièvement exposés plus haut, sont identiques ou contribuent à ceux déjà mentionnés en relation avec le procédé de d'authentification, selon l'invention, et ne seront par conséquent pas rappelés ici. D'autres caractéristiques et avantages de la présente invention ressortiront de la description détaillée qui suit, laquelle fait référence aux dessins annexés dans lesquels : - la figure 1 illustre un exemple de système de communication dans lequel la présente invention peut être mise en oeuvre ; - les figures 2 et 3 illustrent respectivement l'architecture matérielle d'un serveur d'authentification et d'un serveur d'une plateforme de services, selon l'invention ; - la figure 4 représente sous forme d'organigramme les principales étapes d'un procédé, selon l'invention, d'authentification d'un utilisateur pour l'accès à un ensemble de services fournis sur un réseau de communication privé, mis en oeuvre dans le système de communication de la figure 1. La figure 1 illustre un exemple de système de communication dans lequel la présente invention peut être mise en oeuvre. Selon l'exemple considéré, l'invention est mise en oeuvre dans une entreprise afin de permettre à un utilisateur, employé de l'entreprise, de se connecter au réseau de communication interne de l'entreprise, en utilisant un terminal portable apte à établir des communications sur un réseau de téléphonie mobile, par exemple un téléphone mobile de type "téléphone intelligent" (smartphone en anglais). Le réseau mobile considéré W_NW peut être un réseau mobile de seconde, troisième ou quatrième génération (2G, 3G, 4G). Le réseau de communication interne (P_NW) de l'entreprise est dans cet exemple un "intranet", c'est-à-dire un réseau informatique utilisé à l'intérieur de l'entreprise et reposant sur les mêmes protocoles que l'Internet. Le terminal portable TER1 de l'utilisateur peut être un terminal personnel - c'est-à-dire un terminal propre à l'utilisateur et équipé pour se connecter à un réseau mobile publique d'un opérateur de téléphonie -, ou bien un terminal professionnel, c'est-à-dire fourni par l'entreprise et destiné à communiquer sur un réseau mobile professionnel. En termes de matériel, le terminal portable de l'utilisateur peut être outre un smartphone, un PC (personal computer) portable, ou une tablette numérique, etc. Comme représenté sur la figure 1, dans cet exemple, l'utilisateur dispose, dans un local (bureau) de l'entreprise, d'un terminal informatique TER2 tel qu'un PC, connecté au réseau d'entreprise (P_NW), ainsi que d'une tablette numérique TER3 apte à être connectée au réseau d'entreprise, par exemple par une connexion sans fil (Wi-Fi). Le terminal portable TER1 de l'utilisateur est équipé de manière native d'une application de lecture de dispositifs NFC tels qu'une l'étiquette NFC. Comme représenté sur la figure 1, à proximité du terminal TER1 se trouve une étiquette NFC (TG) sur laquelle des données d'accès au réseau de l'entreprise sont stockées. L'étiquette NFC, TG, peut être située de manière fixe dans le bureau de l'utilisateur, par exemple directement apposée (collée par exemple) sur le PC TER2, ou fixé sur un élément mobilier dans le local de l'entreprise. En variante, l'étiquette NFC peut être apportée dans les locaux de l'entreprise par l'utilisateur lui-même. Dans ce cas, l'étiquette NFC peut alors revêtir la forme d'un porte-clés ou être incorporée dans un badge professionnel, par exemple. Le réseau mobile W_NW comporte classiquement au moins un équipement d'accès W_SVR mis en oeuvre par le fournisseur du service data (connexion en mode données) du réseau mobile (WISP - Wireless Internet Service Provider). Un tel équipement d'accès W_SVR coopère classiquement en particulier avec un MSC (Mobile service Switching Center) ayant accès à une base de données HLR (Home Location Register) comportant les informations relatives à tout utilisateur autorisé à utiliser le réseau mobile W_NW, ainsi qu'a une base de données VLR ( Visitor Location Register) contenant diverses informations sur les utilisateurs du réseau, en particulier une information (LAI - Location Area Code) relative à la zone dans laquelle se trouve le terminal mobile de l'utilisateur lors d'une connexion au réseau. Le réseau mobile W_NW comprend par ailleurs un serveur d'authentification AUTH selon l'invention, destiné à authentifier un utilisateur pour l'accès aux services fournis par une plateforme de service 10 sur le réseau privé de l'entreprise P_NW. Dans le mode de réalisation décrit ici, le serveur d'authentification dispose de l'architecture matérielle d'un ordinateur, tel qu'illustrée à la figure 2. Le serveur d'authentification comporte notamment un processeur 2A, une mémoire morte 2B, une mémoire vive 2C, une mémoire non volatile 2D (disque dur par exemple) et des moyens de communication 2E avec, notamment, les entités du réseau mobile W_NW, notamment le serveur W_SVR, et avec la plateforme de service 10 du réseau d'entreprise P_NW. Ces moyens de communication 2E intègrent par exemple une carte réseau, connue en soi et non détaillée ici. La mémoire morte 2B du serveur d'authentification AUTH constitue un support d'enregistrement conforme à l'invention, lisible par le processeur 2A et sur lequel est enregistré un programme d'ordinateur conforme à l'invention, comportant des instructions pour l'exécution des étapes d'un procédé d'authentification conforme à l'invention, les étapes de ce procédé étant décrites ultérieurement en référence à la figure 4. Ce programme d'ordinateur définit de façon correspondante des modules fonctionnels du serveur d'authentification aptes à mettre en oeuvre ces étapes, et en particulier : un module de réception d'une requête d'accès contenant un identifiant d'un terminal d'utilisateur dans le réseau de téléphonie mobile ; un module d'authentification d'un utilisateur à partir de l'identifiant du terminal contenu dans la requête d'accès ; un module de détermination d'un ensemble de services auquel l'utilisateur est autorisé, lorsque l'authentification de l'utilisateur est réussie ; un module de transmission d'une requête d'autorisation d'accès, de l'utilisateur authentifié, à l'ensemble de services, à destination d'un serveur de communication sur un réseau de communication privé, tel que la plateforme de service 10. Le serveur d'authentification comprend enfin, dans le mode de réalisation décrit, un module d'accès à une base de données de profils d'utilisateurs, dans laquelle chaque profil d'utilisateur comprend au moins un identifiant d'un terminal associé à un utilisateur, et dans laquelle, pour chaque terminal identifié dans le profil, est associé au moins un service auquel l'utilisateur est autorisé. Il convient de noter ici que dans le mode de réalisation décrit ici, le serveur d'authentification AUTH supporte le langage HTML (HyperText Markup Language) et les protocoles HTTP/HTTPs (HyperText Transfer Protocol / Secure) afin, d'une part, de pouvoir recevoir et traiter une requête d'accès transmise par le terminal TER1 de l'utilisateur, et d'autre part, transmettre une requête d'autorisation d'accès de l'utilisateur authentifié à un ensemble de services, à destination d'un serveur de la plateforme de service 10 du réseau privé P_NW. Le serveur de la plateforme de service 10, dans le mode de réalisation décrit, est constitué selon l'architecture matérielle d'un ordinateur, illustrée schématiquement à la figure 3. Le serveur 10 comporte notamment un processeur 3A, une mémoire morte 3B, une mémoire vive 30, une mémoire non volatile 3D (disque dur par exemple) et des moyens de communication 3E avec notamment, le serveur d'authentification AUTH du réseau mobile W_NW, et avec des terminaux d'utilisateurs directement connectés au réseau privé P_NW, tels que les terminaux TER2 et TER3, ou bien, par l'intermédiaire d'un passerelle d'interconnexion (non représentée sur la figure 1), avec des terminaux d'utilisateur connectés au réseau mobile W_NW, tels que le terminal TER1. Ces moyens de communication 3E intègrent par exemple une carte réseau, connue en soi et non détaillée ici. La mémoire morte 3B du serveur de la plateforme de service constitue un support d'enregistrement conforme à l'invention, lisible par le processeur 3A et sur lequel est enregistré un programme d'ordinateur conforme à l'invention, comportant des instructions pour l'exécution des étapes d'un procédé d'authentification conforme à l'invention, qui concernent la plateforme de service 10. Ces étapes seront décrites ultérieurement en référence à la figure 4. Ce programme d'ordinateur définit de façon correspondante des modules fonctionnels du serveur 10 aptes à mettre en oeuvre les étapes précitées, et en particulier : un module de réception d'une requête d'autorisation d'accès d'un utilisateur authentifié à un ensemble de services fournis par la plateforme de service, la requête d'autorisation d'accès incluant au moins un identifiant de terminal d'utilisateur et au moins un identifiant de service autorisé pour chaque terminal identifié ; un module de création d'une notification d'accès de l'utilisateur à au moins un service, pour chaque terminal identifié dans la requête d'autorisation d'accès, cette notification d'accès étant adaptée au type de terminal identifié ; un module d'envoi d'une notification d'accès à chaque terminal identifié dans la requête d'autorisation d'accès. Le serveur 10 de la plateforme de service supporte en particulier le langage HTML (HyperText Markup Language) et les protocoles HTTP/HTTPs (HyperText Transfer Protocol / Secure) afin de pouvoir, notamment, recevoir et traiter une requête d'autorisation d'accès envoyée par le serveur d'authentification AUTH et transmettre à des terminaux d'utilisateur des notification d'accès à des services déterminés. En relation avec la figure 4, on va décrire à présent les principales étapes d'un procédé, selon l'invention, d'authentification d'un utilisateur pour l'accès à un ensemble de services fournis sur un réseau de communication privé, mis en oeuvre dans le système de communication de la figure 1. Comme représenté à la figure 4, le procédé d'authentifications selon l'invention, débute par la lecture automatique (S400) par le terminal mobile TER1 des informations stockées sur l'étiquette NFC (TAG). De cette coopération (S400) entre le premier terminal TER1 et l'étiquette TAG, résulte la transmission (S401) de l'étiquette NFC vers le premier terminal TER1, d'une adresse web d'accès pointant sur une ressource localisée dans le serveur d'authentification (AUTH) sur le réseau mobile (W_NW). Cette adresse web - notée URL(auth) sur la figure 4 - est utilisée par le terminal TER1 lors de l'étape S402 pour créer de manière automatique dans le terminal TER1 une requête d'accès au serveur d'authentification AUTH. En effet, actuellement la technologie NFC équipant nativement la plupart des terminaux de type smartphone permet le lancement automatique d'une requête HTTP pointant sur une adresse web (URL) obtenue par lecture à partir d'un dispositif NFC, tel qu'une étiquette NFC, situé dans la zone de lecture NFC du terminal considéré. La requête selon le protocole HTTP précitée constitue ainsi une requête d'accès (RQ_ACC) envoyée, à l'étape S403, à destination du serveur d'authentification 5 AUTH. Comme indiqué plus haut dans la description, suite à la coopération entre terminal TER 1 et l'étiquette NFC TAG, la requête d'accès peut outre l'adresse web URL(auth) être enrichie par une signature numérique stockée dans le terminal TER1, par exemple dans une mémoire du terminal ou dans la carte SIM du terminal. La 10 requête d'accès peut être également enrichie avec un certificat de sécurité stocké dans l'étiquette NFC et/ou avec un certificat de sécurité stocké dans le terminal TER1et/ou un identifiant personnel d'identification (PIN) saisi par l'utilisateur du terminal TER1. On peut ainsi, selon les objectifs de sécurité visés, améliorer de manière graduelle la sécurité d'authentification, par la mise en oeuvre de signatures numériques 15 et/ou de certificats de sécurité adjoints à la requête d'accès. Par exemple avec la présence d'un certificat de sécurité dans l'étiquette NFC et dans le terminal TER1 (double certification), on prévient le risque d'authentification d'une personne malveillante ayant dérobé à l'utilisateur à la fois son terminal mobile (TER1) et son étiquette NFC, dans le mode de réalisation ou celle-ci est fournie à l'utilisateur (badge, 20 porte-clés ...). De retour à la figure 4, la requête d'accès (RQ_ACC) transmise (S403) à destination du serveur d'authentification AUTH, est d'abord reçue, de manière classique, par l'équipement d'accès W_SVR (fig. 1) du réseau mobile, lequel coopère typiquement avec notamment un équipement MSC (Mobile service Switching Center) 25 et/ou un équipement SGSN (Serving GPRS Support Node), et ajoute automatiquement (étape S404) à la requête d'accès l'identifiant du terminal TER1, en pratique un numéro associé à ce terminal (dit "numéro de téléphone" pour simplifier), et des informations relatives à l'utilisateur dont l'identifiant d'abonné correspond au numéro du téléphone, ainsi que des informations de localisation du terminal TER1. Ces informations peuvent 30 être obtenues comme mentionné précédemment, à partir des bases de données HLR et VLR associées à l'équipement MSC et/ou l'équipement SGSN. Ensuite, la requête d'accès, ainsi "enrichie" (RQ_ACC_ID) avec les informations précitées obtenues par l'équipement W_SVR, est transmise au serveur d'authentification AUTH (étape S405). Après réception de la requête d'accès RQ_ACC_ID, le serveur d'authentification AUTH procède à l'opération d'authentification proprement dite, à l'étape S406. Cette opération d'authentification utilise notamment l'identifiant du premier terminal contenu dans la requête d'accès. Plus précisément, le serveur AUTH consulte une base de données de profils d'utilisateur et sélectionne celui correspondant à l'identifiant du terminal TER1 (par ex. le numéro de téléphone). Chaque profil d'utilisateur de la base de données de profils, comprend des informations identifiant au moins un terminal associé à l'utilisateur. Ainsi, dans l'exemple décrit, l'utilisateur dispose de trois terminaux, un terminal mobile TER1 à l'origine de la requête d'accès, un PC portable TER2 et une tablette tactile TER3. Le terminal TER1 est identifié par son numéro de téléphone, tandis que les terminaux TER2 et TER3 peuvent, par exemple, être identifiés par une adresse IP (Internet Protocol), étant donné qu'ils peuvent être directement connectés au réseau d'entreprise P_NW. Dans le profil de l'utilisateur, on peut prévoir que chaque terminal identifié de l'utilisateur soit associé à au moins un identifiant d'un service auquel l'utilisateur est autorisé. Par exemple, si un terminal identifié dans le profil de l'utilisateur est un téléphone fixe, le service autorisé peut être, par exemple, seulement la communication audio VolP (voix sur IP) et la conférence téléphonique. Si le terminal est un PC portable (TER2), les services autorisés sont par exemple l'accès au portail de l'intranet de l'entreprise, la messagerie instantanée, la vidéoconférence, etc. Par ailleurs, les critères d'authentification mis en oeuvre par le serveur d'authentification AUTH peuvent aussi inclure d'autres informations contenues dans la requête d'accès et obtenues à l'étape S404 de traitement de la requête dans le serveur W_SVR (équipement MSC ou SGSN et bases de données HLR, VLR), par exemple des informations temporelles (date de l'envoi de la requête) et des informations de localisation géographique du terminal TER1. On peut par exemple prévoir que si le terminal TER1 est localisé hors des locaux de l'entreprise lors de l'envoi de la requête d'accès, ou si la requête d'accès est envoyée pendant la fermeture des locaux de l'entreprise (la nuit ou le week-end par exemple), l'accès aux services ne soit pas validé pour les terminaux (TER2-3) situés dans les locaux de l'entreprise. Si la demande d'accès de l'utilisateur est validée lors de l'étape S406, au moins un service est autorisé pour au moins un terminal de l'utilisateur. En d'autres termes, un ensemble de services fournis par la plateforme de services PF_SV est validé pour l'utilisateur, le nombre de services de cet ensemble étant variable, en fonction de l'utilisateur et des informations contenues dans la requête d'accès. En revanche, si la demande d'accès n'est pas validée, un message (non représenté sur la figure 4) indiquant que l'authentification de l'utilisateur n'a pas abouti, est envoyé au terminal TER1 par le serveur d'authentification. Le serveur d'authentification transmet alors, à l'étape S407, à destination du serveur de la plateforme de service PF_SV, une requête d'autorisation d'accès (RQ_AUT_ACC) de l'utilisateur. La requête d'autorisation d'accès utilise le protocole HTTP dans l'exemple décrit, et inclut au moins un identifiant de terminal de l'utilisateur et au moins un identifiant d'un service autorisé pour chaque terminal identifié (TER1-3). Cependant, selon d'autres modes de réalisation, on peut prévoir d'utiliser un protocole de nature propriétaire entre le serveur d'authentification AUTH et la plateforme de service PF_SV. La requête d'autorisation d'accès (RQ_AUT_ACC) est reçue par la plateforme de service (PF_SV) et le ou les services autorisés pour l'utilisateur sont alors activés, à l'étape S408. L'étape S409 qui suit consiste en la génération d'une notification d'accès destinée à être transmise à chacun des terminaux de l'utilisateur pour lesquels au moins un service a été activé, afin d'informer l'utilisateur que l'accès aux services a été validé pour chaque terminal recevant une telle notification. Dans le mode de réalisation décrit ici, cette notification d'accès est adaptée en fonction de chaque terminal (TER1- 3) de l'utilisateur. Par exemple, pour le terminal mobile TER1, cette notification d'accès (NOTIF_TER1) pourra revêtir la forme d'un SMS transmis à l'étape S411. Pour le PC portable TER2 et la tablette TER3, cette notification d'accès (NOTIF_TER2-3) pourra consister en l'envoi d'une page web destinée à être lue par un navigateur web équipant chacun de ces deux terminaux.30 REVENDICATIONS1. Procédé d'authentification d'un utilisateur pour l'accès à un ensemble de services fournis sur un réseau de communication privé (P_NW), l'utilisateur disposant d'un premier terminal de communication (TER1) apte à se connecter à un réseau de téléphonie mobile (W_NW), ledit premier terminal étant doté de moyens de lecture sans fil de type NFC, le procédé étant caractérisé en ce qu'il comprend : a) - suite à une coopération (S400) entre le premier terminal (TER1) et un dispositif (TAG) de communication sans fil de type NFC, transmission (S401) du dispositif de communication sans fil vers le premier terminal (TER1), d'une adresse web d'accès à un serveur d'authentification (AUTH) sur le réseau de téléphonie mobile (W_NW) ; b) - création automatique (S402) dans le premier terminal (TER1), à partir de l'adresse web d'accès, d'une requête d'accès au serveur d'authentification (AUTH), et transmission (S403, S404, S405)) de la requête d'accès au serveur d'authentification ; c) - réception par le serveur d'authentification (AUTH) de la requête d'accès, et authentification (S406) de l'utilisateur à partir d'au moins un identifiant du premier terminal contenu dans la requête d'accès, et, si l'authentification de l'utilisateur est réussie : d) - validation (S407, S408, S409) de l'accès de l'utilisateur à l'ensemble de services ; e) - envoi (S410, S411) au premier terminal et/ou à au moins un second terminal, d'une notification d'accès à l'ensemble de services. 2. Procédé selon la revendication 1, dans lequel l'étape c) d'authentification (S406) de l'utilisateur comprend la consultation dans une base de données d'un profil d'utilisateur sélectionné à partir de l'identifiant du premier terminal, ledit profil d'utilisateur comprenant des informations identifiant au moins un terminal associé à l'utilisateur, et pour chaque terminal associé à l'utilisateur au moins un identifiant d'un service auquel l'utilisateur est autorisé. 3. Procédé selon l'une des revendications 1 et 2, dans lequel l'étape (d de validation de l'accès de l'utilisateur à l'ensemble de services, comprend l'envoi (S407) à un serveur d'une plateforme de service (PF_SV) sur le réseau de communicationprivé, d'une requête d'autorisation d'accès de l'utilisateur, ladite requête d'autorisation d'accès incluant au moins un identifiant de terminal de l'utilisateur et au moins un identifiant d'un service autorisé pour chaque terminal identifié (TER1-3). 4. Procédé selon l'une quelconque des revendications 1 à 3, dans lequel l'étape e) d'envoi (S410, S411) au premier terminal et/ou à au moins un second terminal de l'utilisateur, d'une notification d'accès à au moins un service, est précédée d'une étape d'adaptation (S409) de ladite notification d'accès en fonction de chaque terminal (TER1-3) de l'utilisateur destinataire de la notification d'accès. 5. Procédé selon l'une quelconque des revendications 1 à 4, dans lequel, suite à la création (S402) de la requête d'accès dans le premier terminal, préalablement à sa transmission au serveur d'authentification, ladite requête d'accès est transmise (S403) à un équipement (W_SVR) sur le réseau de téléphonie mobile, dans lequel l'identifiant du premier terminal est ajouté (S404) à ladite requête d'accès. 6. Procédé selon l'une quelconque des revendications 1 à 5, dans lequel le dispositif de communication sans fil est une étiquette NFC, ladite étiquette étant située à proximité d'un second terminal, ou apposée sur un second terminal, ou incorporée dans un second terminal, dans un environnement lié au réseau de communication privé. 7. Procédé selon l'une quelconque des revendications 1 à 5, dans lequel le dispositif de communication sans fil est un objet portatif incorporant une puce NFC, fourni au préalable à l'utilisateur. 8. Procédé selon l'une quelconque des revendications 1 à 7, dans lequel à l'étape b), ladite requête d'accès inclut outre ladite adresse web d'accès au serveur d'authentification, un élément de données parmi l'ensemble d'éléments de données suivant : - une signature numérique stockée dans le premier terminal de l'utilisateur ; - outre l'élément précédent, un certificat de sécurité stocké dans le dispositif de communication sans fil ; - outre l'élément précédent, un certificat de sécurité stocké dans le premier terminal ;- outre l'élément précédent, un identifiant personnel d'identification saisi par l'utilisateur avec le premier terminal. 9. Procédé selon l'une quelconque des revendications précédentes, dans lequel, à l'étape c), la requête d'accès reçue par le serveur d'authentification contient une information temporelle relative à l'envoi de la requête d'accès par le premier terminal, et/ou une information de localisation géographique du premier terminal, ces informations étant utilisées lors de l'authentification de l'utilisateur du premier terminal. 10. Serveur d'authentification sur un réseau de téléphonie mobile, pour la mise en oeuvre d'un procédé d'authentification selon l'une quelconque des revendications 1 à 9, ledit serveur comprenant : - un module de réception d'une requête d'accès contenant un identifiant d'un terminal d'utilisateur dans le réseau de téléphonie mobile ; - un module d'authentification d'un utilisateur à partir de l'identifiant du terminal contenu dans la requête d'accès ; - un module de détermination d'un ensemble de services auquel l'utilisateur est autorisé, lorsque l'authentification de l'utilisateur est réussie ; - un module de transmission d'une requête d'autorisation d'accès de l'utilisateur authentifié à l'ensemble de services, à destination d'un serveur d'une plateforme de service sur un réseau de communication privé. 11. Serveur selon la revendication 10, comprenant un module d'accès à une base de données de profils d'utilisateurs, dans laquelle chaque profil d'utilisateur comprend au moins un identifiant d'un terminal associé à un utilisateur, et dans laquelle, pour chaque terminal identifié dans le profil, est associée au moins un service auquel l'utilisateur est autorisé. 12. Serveur d'une plateforme de service sur un réseau de communication, pour la mise en oeuvre d'un procédé d'authentification selon l'une quelconque des revendications 1 à 9, ledit serveur de communication comprenant : - un module de réception d'une requête d'autorisation d'accès d'un utilisateur authentifié à un ensemble de services fournis via le réseau de communication, la requête d'autorisation d'accès incluant au moins un identifiant de terminal d'utilisateur et au moins un identifiant de service autorisé pour chaque terminal identifié ;- un module de création d'une notification d'accès de l'utilisateur à au moins un service, pour chaque terminal identifié dans la requête d'autorisation d'accès, ladite notification d'accès étant adaptée au type de terminal identifié ; - un module d'envoi d'une notification d'accès à chaque terminal identifié dans la requête d'autorisation d'accès. 13. Programme d'ordinateur stocké sur un support d'informations pour la mise en oeuvre de tout ou partie des étapes d'un procédé selon l'une quelconque des revendications 1 à 9, lorsque le programme est exécutée par un processeur. 15