Brevet FR3039738A1 — publié le 20170203

Arrière-plan de l'invention L'invention se rapporte au domaine général des éléments sécurisés dans lesquels peuvent être enregistrés des profils, en particulier les éléments sécurisés installés au sein de terminaux. L'invention s'applique en particulier et de façon non limitative aux éléments sécurisés de type eUICC (« embedded UICC (Universal Integrated Circuit Card) ») intégrés dans des terminaux. Les éléments sécurisés de type eUICC sont décrits dans la norme GSMA - SGP.02 - « Remote Provisioning Architecture for Embedded UICC Technical Specification » - Version 2.0. On peut noter que ces éléments permettent de remplacer une carte SIM (« Subscriber Identity Module ») traditionnelle par un microcircuit installé de manière permanente dans un terminal. En effet, les fonctions d'authentification auprès d'un opérateur de téléphonie mobile (« MNO : Mobile Network Operator ») sont mise en oeuvre de manière analogue par un eUICC et par une carte SIM. Les éléments eUICC diffèrent des éléments UICC traditionnels en ce qu'ils comportent des profils qui permettent l'authentification auprès d'opérateurs de téléphonie mobile différents. A titre indicatif, un dispositif équipé d'un élément sécurisé de ce type peut être commercialisé avec un profil appelé profil de provisionnement (« provisionning profile ») déjà enregistré dans l'élément sécurisé. Le profil de provisionnement permet de sélectionner ultérieurement un opérateur de téléphonie mobile et de télécharger un nouveau profil correspondant à cet opérateur de téléphonie mobile. Ce téléchargement est effectué à partir d'un serveur de domaine de sécurité (« SM-SR : Subscription Manager - Secure Routing »). Les éléments eUICC sont donc particulièrement adaptés pour la communication entre des dispositifs électroniques (« M2M : Machine To Machine ») dans lesquels il peut être préférable de fixer, par exemple par soudage, l'élément sécurisé. Les infrastructures nécessaires pour gérer des profils dans des éléments eUICC comprennent au moins un opérateur de téléphone mobile, un serveur de préparation de domaine de sécurité (« SM-DP : Subscription manager - Data Preparation ») qui chiffre les profils qui seront téléchargés par l'élément eUICC, un serveur de domaine de sécurité SM-SR, et enfin l'élément eUICC lui-même. 3039738 2 Dans la présente demande, la notion de « profil » doit être interprétée au sens large à savoir comme un ensemble d'au moins un fichier et/ou de données. Un profil au sens de l'invention peut notamment comprendre au moins un élément parmi : 5 - Un fichier standard tel que défini par les spécifications du 3GPP ou de l'ETSI pour les UICC et leurs applications et notamment par les normes 3GPP 31.102 et ETSI 102.221 ; - Un fichier propriétaire ; Un fichier de configuration d'un système d'exploitation ; 10 - Une application Java Card et des éléments de personnalisation associées ; - Des données telles que des clefs de protocole de transport, des paramètres d'algorithme d'authentification, ... Un élément eUICC comporte notamment un domaine de sécurité 15 privilégié (« ISD-P : Issuer Security Domain - Root ») configuré pour gérer les profils et un ou plusieurs domaines de sécurité (« ISD-P : Issuer Security Domain - Profile ») comprenant chacun un profil. Un domaine de sécurité comporte donc au moins les mêmes données qu'un profil (données et/ou application), et l'on peut noter qu'un 20 domaine de sécurité privilégié comporte également des clefs de chiffrage et des applications. Par abus de langage, dans la présente demande, l'expression domaine de sécurité privilégié vise à la fois la zone de mémoire qui comporte ces clefs et ces applications, ainsi que le module logiciel ayant des fonctions de gestion de domaine de sécurité qui est 25 obtenu à partir du domaine de sécurité privilégié. Il a été observé que le profil de provisionnement n'est plus utilisé une fois qu'un profil a été téléchargé et que ce profil téléchargé à été activé, puisque sa fonction principale est de permettre le téléchargement d'un profil. 30 D'autres profils téléchargés ultérieurement peuvent aussi avoir une utilité temporaire. Tel est le cas des profils limités pendant une durée (par exemple un temps de consommation limité), une période (validité du profile durant une période limitée) ou encore associés à des limites de données transférées (quota de données). Ces profils sont néanmoins tous 35 conservés par l'élément sécurisé eUICC. 3039738 3 Aussi, chaque profil est associé à une paire de données bien connues de l'homme du métier sous les acronymes IMSI (« International Mobile Subscriber Identity ») et Ki (clé de chiffrement). Les opérateurs de réseau mobile ont à leur disposition un nombre limité de paires IMSI/Ki. 5 A chaque profil inutilisé et stocké dans un élément eUICC correspond donc une paire IMSI/Ki qui est inutilisée. Cela est désavantageux pour les opérateurs de téléphonie mobile qui souhaitent pouvoir réutiliser les paires IMSI/KI. Le stockage de profils inutilisés est par ailleurs problématique au 10 vu de la quantité de mémoire occupée dans un élément sécurisé eUICC par les profils inutilisés. Ce stockage pose également des problèmes de sécurité puisque des données secrètes propres à des opérateurs de téléphonie mobile sont stockées avec les profils. 15 Enfin, si un nombre élevé de profils sont mémorisés dans un élément sécurité eUICC, la gestion manuelle de ces profils peut être confuse. Cette confusion peut apparaître si un utilisateur utilise une interface pour sélectionner un profil à activer parmi tous les profils enregistrés dans l'élément sécurisé. 20 L'invention vise notamment à pallier certains de ces inconvénients, et en particulier à améliorer le traitement de profils inutilisés enregistrés dans les éléments sécurisés. 25 Objet et résumé de l'invention La présente invention répond à ce besoin en proposant un procédé de gestion d'un profil de communication mobile enregistré dans une mémoire non volatile d'un élément sécurisé et mis en oeuvre par ledit 30 élément sécurisé, caractérisé en ce qu'il comporte : - une lecture de l'état d'un indicateur enregistré dans ladite mémoire non volatile de l'élément sécurisé indiquant si ledit profil peut être supprimé, - une détermination de l'état actif ou inactif dudit profil, et - si ledit indicateur indique que le profil peut être supprimé et s'il est 35 déterminé que le profil est inactif, une suppression dudit profil. 3039738 4 Ce procédé permet donc d'autoriser la suppression d'un profil à l'initiative de l'élément sécurisé qui vérifie les deux conditions : l'indicateur indique que le profil peut être supprimé et le profil est inactif. En supprimant ce profil inactif, si ce profil est associé à une paire 5 IMSI/KI, on peut récupérer cette paire pour un autre élément sécurisé. On peut également libérer de l'espace mémoire et clarifier la gestion de nombreux profils par un utilisateur. En outre, on résout les problèmes de sécurité liés à la mémorisation d'informations secrètes dans les profils. 10 On peut noter que dans les solutions selon la technique antérieure pour les éléments eUICC, une suppression de profil n'est réalisée qu'après réception d'une instruction de suppression émise par un serveur de domaine de sécurité SM-SR : il n'y a pas de lecture d'un indicateur qui indique si le profil peut être supprimé puisque cet indicateur n'est pas 15 présent dans les éléments sécurisés selon la technique antérieure. Ici, l'indicateur est mémorisé dans la mémoire non volatile de l'élément sécurisé, et il y est toujours présent et lisible dès lors que le profil n'est pas supprimé. La mémoire non-volatile peut être une mémoire EEPROM 20 (« Electrically-erasable programmable read-only memory »), ou encore une mémoire FLASH. On peut également noter que dans les solutions selon la technique antérieure, la gestion des profils est réalisée par un serveur de domaine de sécurité qui ne peut réaliser des suppressions que si l'élément sécurisé 25 est connecté à un réseau pour la communication mobile. Au contraire, dans l'invention, même en cas d'interruption dans la connexion au réseau, il est possible pour l'élément sécurisé de vérifier que les conditions nécessaires à la suppression d'un profil sont telles que la suppression du profil peut être mise en oeuvre. Ceci permet d'éviter de conserver des 30 profils inutiles en cas d'interruption dans la connexion au réseau. On obtient donc une suppression mise en oeuvre automatiquement par l'élément sécurisé qui peut ne pas être connecté à un réseau de communication mobile. La suppression est ainsi initiée sans réception d'un message provenant de l'extérieur et en particulier d'un 35 serveur de domaine de sécurité, par exemple un message du type « delete ». 3039738 5 Selon un mode particulier de mise en oeuvre, le procédé comprend une étape préalable d'attribution audit indicateur d'un état indiquant que le profil peut être supprimé, ladite attribution étant mise en oeuvre pendant une phase de personnalisation de l'élément sécurisé comportant 5 un enregistrement dudit profil. Une phase de personnalisation est une phase bien connue de l'homme du métier dans laquelle on configure un élément sécurisé en enregistrant dans sa mémoire non volatile des données propres à l'élément sécurisé, en particulier un profil de communication mobile. 10 Ce mode particulier de mise en oeuvre permet de supprimer automatiquement un profil dès sa désactivation, puisque lors de l'enregistrement ou de l'installation de ce profil (au cours de la phase de personnalisation), l'indicateur est mis dans un état qui indique que le profil peut être supprimé. Ce mode particulier de mise en oeuvre est 15 particulièrement bien adapté pour les profils temporaires qui ne doivent être conservés que jusqu'à ce qu'ils soient remplacés. Selon un mode particulier de mise en oeuvre, lequel ladite phase de personnalisation est mise en oeuvre préalablement à une phase d'utilisation de l'élément sécurisé, et la phase de personnalisation 20 comporte une connexion à un lecteur alimentant électriquement l'élément sécurisé, une authentification et/ou une sécurisation cryptographique d'une session avec le lecteur, ledit enregistrement du profil et ladite attribution audit indicateur d'un état indiquant que le profil peut être supprimé au cours de cette session, une fermeture de ladite session, et 25 une déconnexion de la carte au lecteur. La phase d'utilisation de l'élément sécurisé comprend l'utilisation par un utilisateur final de l'élément sécurisé, après que le profil ait été attribué à cet utilisateur final et que l'élément sécurisé ait été remis à un utilisateur (par exemple dans un terminal). Selon un mode particulier 30 de mise en oeuvre, ladite phase de personnalisation est mise en oeuvre pendant une phase d'utilisation de l'élément sécurisé, et la phase de personnalisation comporte une authentification et/ou une sécurisation d'une session sur un canal de communication mobile, ledit enregistrement du profil au cours de cette session et ladite attribution audit indicateur 35 d'un état indiquant que le profil peut être supprimé, et une fermeture de ladite session. 3039738 6 Ici, la phase de personnalisation est faite à distance de manière « over the air » selon l'expression anglo-saxonne bien connue de l'homme du métier. Selon un mode particulier de mise en oeuvre, le profil de 5 communication mobile est un profil de provisionnement. Ce mode particulier de mise en oeuvre permet de supprimer automatiquement ce profil de provisionnement dès qu'un nouveau profil a été téléchargé et activé. Selon un mode particulier de mise en oeuvre, le procédé comporte 10 une étape préalable de comparaison par ledit élément sécurisé d'une variable de fonctionnement associée au moins audit profil à un seuil associé au moins audit profil, ledit et ladite variable de fonctionnement seuil étant mémorisés dans ladite mémoire non-volatile de l'élément sécurisé et, si ledit seuil est atteint par ladite variable de fonctionnement, 15 une attribution audit indicateur d'un état indiquant que le profil peut être supprimé. Dans ce mode particulier de mise en oeuvre, l'attribution à l'indicateur d'un état indiquant que le profil peut être supprimé est faite postérieurement à l'enregistrement du profil, et cette attribution est faite 20 alors que le profil et l'élément sécurisé ont déjà été utilisés. Aussi, la comparaison et l'attribution sont effectuées à l'initiative de l'élément sécurisé puisque la variable de fonctionnement lui est propre et elle peut être mesurée ou lue par l'élément sécurisé. En d'autres termes, la comparaison et l'attribution sont faites sans réception d'un message visant 25 à provoquer l'attribution provenant de l'extérieur. Aussi, la variable de fonctionnement associée à l'élément sécurisée peut être une variable de fonctionnement d'un terminal dans lequel est intégré l'élément sécurisé et avec lequel il est donc associé. Selon un mode particulier de mise en oeuvre, ladite variable est 30 une durée de fonctionnement en communication et ledit seuil est une durée maximale de fonctionnement en communication, ou ladite variable est une quantité de données et ledit seuil est une quantité maximale de données, ou ladite variable est une durée d'activation du profil et ledit seuil est une durée maximale d'activation du profil. 35 Ce mode particulier de mise en oeuvre s'applique en particulier aux profils de communication mobile limités en ce qui concerne une durée 3039738 7 d'appel ou une quantité de données échangées avec l'extérieur, ou encore une durée pendant laquelle le profil est activé. Ces variables peuvent être suivies par l'élément sécurisé qui est utilisé pour lors de communications avec l'extérieur. 5 Selon un mode particulier de mise en oeuvre, ledit profil est enregistré dans un domaine de sécurité comprenant en outre ledit indicateur, et la suppression dudit profil comporte une suppression du domaine de sécurité comprenant ledit profil. Selon un mode particulier de mise en oeuvre, ladite lecture de 10 l'état de l'indicateur, ladite détermination de l'état du profil et ladite suppression sont mises en oeuvre en utilisant un domaine de sécurité privilégié, par exemple de type ISD-R. Selon un mode particulier de mise en oeuvre, ledit élément sécurisé est un élément eUICC selon la norme GSMA - SGP.02 - « Remote 15 Provisioning Architecture for Embedded UICC Technical Specification » - Version 2.0. Il est également proposé un programme d'ordinateur comportant des instructions pour l'exécution des étapes d'un procédé tel que défini ci-avant lorsque ledit programme est exécuté par un processeur. 20 Il est également proposé un support d'enregistrement lisible par un processeur sur lequel est enregistré un programme d'ordinateur comprenant des instructions pour l'exécution des étapes d'un procédé tel que défini ci-avant. On peut noter que les programmes d'ordinateur mentionnés dans 25 le présent exposé peuvent utiliser n'importe quel langage de programmation, et être sous la forme de code source, code objet, ou de code intermédiaire entre code source et code objet, tel que dans une forme partiellement compilée, ou dans n'importe quelle autre forme souhaitable. 30 De plus, les supports d'enregistrement (ou d'information) mentionnés dans le présent exposé peuvent être n'importe quelle entité ou dispositif capable de stocker le programme. Par exemple, le support peut comporter un moyen de stockage, tel qu'une ROM, par exemple un CD ROM ou une ROM de circuit microélectronique telle qu'une EEPROM, 35 ou encore un moyen d'enregistrement magnétique, par exemple une disquette (floppy disc) ou un disque dur. 3039738 8 D'autre part, les supports d'enregistrement peuvent correspondre à un support transmissible tel qu'un signal électrique ou optique, qui peut être acheminé via un câble électrique ou optique, par radio ou par d'autres moyens. Le programme selon l'invention peut être en particulier 5 téléchargé sur un réseau de type Internet. Alternativement, les supports d'enregistrement peuvent correspondre à un circuit intégré dans lequel le programme est incorporé, le circuit étant adapté pour exécuter ou pour être utilisé dans l'exécution du procédé en question. 10 Il est également proposé un élément sécurisé comprenant une mémoire non volatile dans laquelle est enregistré un profil de communication mobile, caractérisé en ce qu'un indicateur indiquant si ledit profil peut être supprimé est enregistré dans ladite mémoire non volatile de l'élément sécurisé, et ledit élément sécurisé comporte un module de 15 lecture dudit indicateur, un module de détermination de l'état actif ou inactif dudit profil, et un module de suppression dudit profil si ledit module de lecture indique que le profil peut être supprimé et si ledit module de détermination indique que le profil est inactif. Cet élément sécurisé peut être configuré pour la mise en oeuvre 20 de chacun des modes de mise en oeuvre du procédé tel que défini ci-avant. Il est également proposé un terminal comprenant ledit élément sécurisé. 25 Brève description des dessins D'autres caractéristiques et avantages de la présente invention ressortiront de la description faite ci-dessous, en référence aux dessins 30 annexés qui en illustrent un exemple dépourvu de tout caractère limitatif. Sur les figures : - la figure 1 représente de façon schématique différentes étapes d'un procédé selon un mode de mise en oeuvre de l'invention, - la figure 2 représente de façon schématique un terminal équipé d'un 35 élément sécurisé selon un mode de réalisation de l'invention, et - la figure 3 est un exemple d'un mode de mise en oeuvre de l'invention. 3039738 9 Description détaillée d'un mode de réalisation 5 On va maintenant décrire un exemple de réalisation de l'invention dans lequel un procédé de gestion d'un profil de communication mobile enregistré dans une mémoire non volatile d'un élément sécurisé, ce procédé étant mis en oeuvre par l'élément sécurisé. Dans cet exemple 10 l'élément sécurisé est de type eUICC. Il convient de noter que l'invention s'applique à tout élément de sécurité, y compris des éléments sécurisés autres que des éléments eUICC mais qui permettent également le stockage de profils de manière sécurisée. 15 Sur la figure 1, on a représenté de manière schématique des étapes d'un procédé de gestion d'un profil enregistré dans un élément sécurisé de type eUICC. Ce procédé peut être mis en oeuvre à tout instant pendant le fonctionnement de l'élément sécurisé. Ce procédé comporte une lecture S11 d'un indicateur enregistré 20 dans une mémoire non volatile de l'élément sécurisé, plus précisément avec ledit profil. Cet indicateur présente deux états, un état qui indique que le profil peut être supprimé (état « 1 ») et un état qui indique que le profil ne peut pas être supprimé (état « 0 »). Un indicateur indiquant que le profil peut être supprimé vise une 25 suppression sans réception d'un message de type « delete » provenant d'un serveur de domaine de sécurité. Aussi, un indicateur indiquant que le profil ne peut pas être supprimé n'empêche pas, comme on le conçoit, une suppression du profil selon la technique antérieure sur la base d'un message de type « delete » reçu de l'extérieur et en particulier un 30 message de type « delete » envoyé par un serveur de domaine de sécurité. Le procédé comporte en outre une étape S12 dans laquelle on détermine si le profil est actif ou inactif. Ceci peut être fait au moyen d'un domaine de sécurité privilégié 35 de type ISD-R qui gère au moyen de commandes (« ENABLE/DISABLE ») 3039738 10 l'activité d'un profil et qui de ce fait a l'information relative à l'activité ou l'inactivité du profil. Si ledit indicateur indique que le profil peut être supprimé et s'il est déterminé que le profil est inactif, le profil est supprimé (étapeS20). 5 Cette suppression est mise en oeuvre par le domaine de sécurité privilégié ISD-R (commande « DELETE »). Sur la figure 2, on a représenté schématiquement un terminal 1 équipé d'un élément sécurisé 2 selon un mode de réalisation de l'invention. Cet élément sécurisé 2 peut mettre en oeuvre le procédé décrit 10 en référence à la figure 1. L'élément sécurisé 2 comporte une mémoire non volatile 3 dans laquelle on a mémorisé un programme d'ordinateur PRG qui comporte des instructions pour l'exécution des étapes du procédé décrit en référence à la figure 1. 15 Plus précisément, le programme PRG comporte une instruction fi de lecture de l'indicateur d'un profil pour la mise en oeuvre de l'étapeSll, une instruction 12 de détermination de l'activité d'un profil pour la mise en oeuvre de l'étapeSl2, et une instruction de suppression 13 pour la mise en oeuvre de l'étapeS20. 20 Plusieurs profils de communication mobile sont enregistrés dans la mémoire 3. Plus précisément, la mémoire 3 comprenant, dans cet exemple, trois domaines de sécurité : premier domaine de sécurité DS1 contenant un premier profil P1, un deuxième domaine de sécurité DS2 contenant un deuxième profil P2, et un troisième domaine de sécurité DS3 25 contenant un troisième profil P3. Le premier domaine de sécurité DS1, le deuxième domaine de sécurité DS2, et le troisième domaine de sécurité DS3 sont du type ISD-P. Dans l'exemple illustré sur la figure, seul le premier profil P1 est actif et cela est représenté sur la figure par un trait fort qui relie le 30 premier domaine de sécurité DS1 à un domaine de sécurité privilégié DSP du type ISD-R. Le deuxième profil P2 et le troisième profil P3 sont inactifs et cela est représenté sur la figure par des traits discontinus qui relient le deuxième domaine de sécurité DS2 au domaine de sécurité privilégié DSP et le troisième domaine de sécurité DS3 au domaine de sécurité privilégié 35 DSP. 3039738 11 Dans chaque domaine de sécurité DS1, DS2 ou DS3, un indicateur (référencé ID1, ID2, ID3 sur la figure) est enregistré pour afficher une valeur « 0 » ou « 1 ». L'état « 1 » de cet indicateur indique que le profil associé à l'indicateur (c'est-à-dire stocké dans le même domaine de 5 sécurité) peut être supprimé. L'état « 0 » de cet indicateur indique que le profil associé à l'indicateur (stocké dans le même domaine de sécurité) ne peut pas être supprimé. Sur la figure 2, on a également représenté de manière schématique le contexte dans lequel l'invention est mise en oeuvre. Le 10 terminal 1 et son élément sécurisé 2 sont ici en communication avec un serveur de domaine de sécurité 4 de type SM-SR/ SM-DP, et ce serveur de domaine de sécurité 4 est lui-même en communication avec un opérateur de téléphonie mobile 5. Le premier profil P1 est, dans cet exemple, le profil associé à cet 15 opérateur de téléphonie mobile 5. Ce premier profil Pl, qui est actif, est un profil non supprimable puisque l'indicateur ID1 qui lui est associé se lit « () ». Le deuxième profil P2 n'est pas actif et il est également non supprimable puisque l'indicateur ID2 qui lui est associé se lit « 0 ». 20 Ce n'est pas le cas du troisième profil P3 qui n'est pas actif et qui est supprimable puisque l'indicateur ID3 qui lui est associé se lit « 1 ». De ce fait, la mise en oeuvre du procédé selon l'invention par l'exécution des instructions fi à 13 va conduire à la suppression du troisième profil P3, en supprimant tout le troisième domaine de sécurité DS3. 25 On peut noter que les expressions « supprimable/non supprimable » utilisées dans les paragraphes ci-avant doivent être comprises ici comme visant une suppression au sens de l'invention dans laquelle les deux conditions sont vérifiées (indicateur et activité). Comme on le conçoit, une suppression selon la technique antérieure ordonnée par 30 un opérateur de téléphonie mobile ou un serveur de domaine de sécurité est toujours possible pour n'importe quel profil. Un profil supprimable vise un profil pouvant être supprimé par l'élément sécurisé sans réception d'un message de type « delete » provenant d'un serveur de domaine de sécurité. Aussi, un profil non 35 supprimable peut toutefois être supprimé, comme on le conçoit, lors d'une suppression du profil selon la technique antérieure sur la base d'un 3039738 12 message reçu de l'extérieur et en particulier un message de type « delete » envoyé par un serveur de domaine de sécurité. La figure 3 est un exemple de mise en oeuvre d'un procédé de gestion de profil pouvant être réalisé avec un élément sécurisé tel que 5 décrit en référence à la figure 2. Sur cette figure, on a représenté les différentes étapes de ce procédé ainsi que les éléments associés à chacune de ces étapes : l'élément sécurisé 2, le terminal 1, le serveur de domaine de sécurité 4 et enfin l'opérateur de téléphonie mobile 5. 10 Aussi, l'exemple illustré sur cette figure correspond à la gestion d'un profil de provisionnement, ici un profil de provisionnement initial enregistré lors de la fabrication et de la configuration de l'élément sécurisé. Dans une première étape A1, un profil de provisionnement est 15 enregistré avec un indicateur dans un domaine de sécurité d'une mémoire de l'élément sécurisé 2. Au cours de cette même étape Al, on attribue à cet indicateur l'état « 1 » : ce profil de provisionnement peut être supprimé, et il le sera si ce profil est désactivé et qu'un autre profil est activé. Ce profil est le seul profil disponible et il est actif à ce stade. 20 Au cours d'une étape ultérieure A2, le profil de provisionnement est utilisé pour indiquer au terminal 1 qu'un autre profil associé à l'opérateur de téléphonie 5 est demandé. On peut noter que l'attribution de l'état « 1 » audit indicateur qui est fait au cours de l'étape Al est forcément mise en oeuvre avant le 25 début de l'étape A2. Le terminal reçoit à l'étape B2 la demande de l'autre profil et transmet cette requête au serveur de domaine de sécurité 4. Cette demande est reçue puis transmise à l'opérateur de téléphonie mobile 5 (étape C2). L'opérateur de téléphonie mobile reçoit cette demande à 30 l'étape D2. Au cours d'une étape D3, l'opérateur de téléphonie mobile transmet des données comprenant l'autre profil demandé au serveur de domaine de sécurité 4. Cette étape est retransmise (étape C3) par le serveur de domaine de sécurité vers le terminal 1 qui lui-même la 35 retransmet (étape B3) vers l'élément de sécurité 2 qui l'enregistre au cours de l'étape A3. 3039738 13 L'élément de sécurité émet ensuite (étape A4) une confirmation d'enregistrement à destination de l'opérateur de téléphonie mobile, et cette confirmation est retransmise par le terminal (étape B4), par le serveur de domaine de sécurité (étape C4), pour être reçue par 5 l'opérateur de téléphonie mobile (étape D4). Ensuite, le serveur de domaine de sécurité déclenche l'activation du profil ayant été enregistré au cours d'une étape C5, et à l'étape A5, l'élément sécurisé reçoit cette instruction d'activation. Le profil qui vient d'être enregistré est activé par le domaine de 10 sécurité privilégié de l'élément sécurisé au cours de l'étape A6, et cette étape comprend la désactivation du profil de provisionnement. Au cours de l'étape A7, l'élément sécurisé transmet une indication selon laquelle le profil de provisionnement a été désactivé et l'autre profil a été activé. Le serveur de sécurité reçoit cette indication à l'étape C7 et 15 cette indication est transmise à l'opérateur de téléphonie mobile qui la reçoit à l'étape D7. L'élément sécurisé peut ensuite envoyer au terminal une commande de rafraichissement (étape A8). A l'étape B8, le terminal traite cette commande de rafraichissement et peut se connecter à l'opérateur de 20 téléphonie mobile 5. Les étapes suivantes A9, A10 et All sont analogues aux étapes S11, S12 et S20 décrites en se référant à la figure 1. Ces étapes comprennent la lecture de l'indicateur du profil de provisionnement (étape A9), la détermination de l'état inactif du profil de provisionnement (étape 25 A10) et enfin la suppression du profil de provisionnement (étape A11). A l'étape Al2, l'élément sécurisé transmet une confirmation de suppression du profil de provisionnement au serveur de domaine de sécurité qui la reçoit et retransmet (étape C12) à l'opérateur de téléphonie mobile (étape D12). 30 L'opérateur de téléphonie mobile peut alors réutiliser certaines des informations liées au profil, et en particulier la paire de données IMSI/KI. L'invention n'est nullement limitée à la suppression d'un profil de provisionnement. Il est également possible d'enregistrer des profils avec un indicateur ayant un état indiquant que le profil ne peut pas être 35 supprimé, et de changer l'état de cet indicateur ultérieurement pour indiquer que le profil est supprimable. 3039738 14 Un tel changement d'état peut être réalisé à l'initiative de l'élément sécurisé et cela peut comporter une comparaison entre une variable de fonctionnement associée à l'élément sécurisé et un seuil mémorisé dans la mémoire non-volatile de l'élément sécurisé. Si le seuil 5 est atteint par ladite variable de fonctionnement, alors on attribue audit indicateur un état indiquant que le profil peut être supprimé. La variable peut être une durée de fonctionnement en communication et ledit seuil est une durée maximale de fonctionnement en communication (par exemple quelques heures), ou ladite variable est 10 une quantité de données et ledit seuil est une quantité maximale de données (par exemple quelques giga-octets de données), ou ladite variable de fonctionnement est une durée d'activation du profil et ledit seuil est une durée maximale d'activation du profil (par exemple quelques jours). 15 REVENDICATIONS1. Procédé de gestion d'un profil de communication mobile (P1, P2, P3) enregistré dans une mémoire non volatile d'un élément sécurisé (2) et mis en oeuvre par ledit élément sécurisé, caractérisé en ce qu'il comporte : - une lecture (S11) de l'état d'un indicateur (ID1, ID2, ID3) enregistré dans ladite mémoire non volatile de l'élément sécurisé indiquant si ledit profil peut être supprimé, - une détermination (S12) de l'état actif ou inactif dudit profil, et - si ledit indicateur indique que le profil peut être supprimé et s'il est déterminé que le profil est inactif, une suppression (S22) dudit profil. 2. Procédé selon la revendication 1, comprenant une étape préalable d'attribution audit indicateur d'un état indiquant que le profil peut être supprimé, ladite attribution étant mise en oeuvre pendant une phase de personnalisation de l'élément sécurisé comportant un enregistrement dudit profil. 3. Procédé selon la revendication 2, dans lequel ladite phase de personnalisation est mise en oeuvre préalablement à une phase d'utilisation de l'élément sécurisé, et la phase de personnalisation comporte une connexion à un lecteur alimentant électriquement l'élément sécurisé, une authentification et/ou une sécurisation cryptographique d'une session avec le lecteur, ledit enregistrement du profil et ladite attribution audit indicateur d'un état indiquant que le profil peut être supprimé au cours de cette session, une fermeture de ladite session, et une déconnexion de la carte au lecteur. 4. Procédé selon la revendication 2, dans lequel ladite phase de personnalisation est mise en oeuvre pendant une phase d'utilisation de l'élément sécurisé, et la phase de personnalisation comporte une authentification et/ou une sécurisation d'une session sur un canal de communication mobile, ledit enregistrement du profil au cours de cette session et ladite attribution audit indicateur d'un état indiquant que le profil peut être supprimé, et une fermeture de ladite session. 3039738 16 5. Procédé selon l'une des revendications 2 à 4, dans lequel le profil de communication mobile est un profil de provisionnement. 6. Procédé selon la revendication 1, comportant une étape préalable de comparaison par ledit élément sécurisé d'une variable de 5 fonctionnement associée au moins audit profil à un seuil associé au moins audit profil, ledit seuil et ladite variable de fonctionnement étant mémorisés dans ladite mémoire non-volatile de l'élément sécurisé et, si ledit seuil est atteint par ladite variable de fonctionnement, une attribution audit indicateur d'un état indiquant que le profil peut être supprimé. 10 7. Procédé selon la revendication 6, dans lequel ladite variable est une durée de fonctionnement en communication et ledit seuil est une durée maximale de fonctionnement en communication, ou ladite variable est une quantité de données et ledit seuil est une quantité maximale de données, ou ladite variable est une durée d'activation du profil et ledit 15 seuil est une durée maximale d'activation du profil. 8. Procédé selon l'une quelconque des revendications 1 à 7, dans lequel ledit profil est enregistré dans un domaine de sécurité (DS1, DS2, DS3) comprenant en outre ledit indicateur (ID1, ID2, ID3), et la suppression dudit profil comporte une suppression du domaine de sécurité 20 comprenant ledit profil. 9. Procédé selon l'une quelconque des revendications 1 à 8, dans lequel ladite lecture de l'état de l'indicateur, ladite détermination de l'état du profil et ladite suppression sont mises en oeuvre en utilisant un domaine de sécurité privilégié (DSP). 25 10. Procédé selon l'une quelconque des revendications 1 à 9, dans lequel ledit élément sécurisé est un élément eUICC selon la norme GSMA - SGP.02 - « Remote Provisioning Architecture for Embedded UICC Technical Specification » - Version 2.0. 11. Programme d'ordinateur comportant des instructions (I1, 12, 30 13) pour l'exécution des étapes d'un procédé selon l'une des revendications 1 à 10 lorsque ledit programme est exécuté par un processeur. 12. Support d'enregistrement lisible par un processeur sur lequel est enregistré un programme d'ordinateur comprenant des instructions 35 pour l'exécution des étapes d'un procédé selon l'une quelconque des revendications 1 à 10. 3039738 17 13. Elément sécurisé comprenant une mémoire non volatile dans laquelle est enregistré un profil de communication mobile (P1, P2, P3), caractérisé en ce qu'un indicateur indiquant si ledit profil peut être supprimé est enregistré dans ladite mémoire non volatile de l'élément 5 sécurisé, et ledit élément sécurisé comporte un module de lecture dudit indicateur, un module de détermination de l'état actif ou inactif dudit profil, et un module de suppression dudit profil si ledit module de lecture indique que le profil peut être supprimé et si ledit module de détermination indique que le profil est inactif. 10 14. Terminal comprenant ledit élément sécurisé selon la revendication 13.