FR 2471632 A1 19810619 FR 8026079 A 19801209 -1 - Les entreprises de vente au détail et les établissements bancaires subissent actuellement des pertes financières importantes dues à l'usage non autorisé de cartes de crédit dans la conduite des af- faires au niveau des consommateurs. Le problème de la détection des cartes de crédit contrefaites et des utilisateurs non autorisés de cartes valides avant l'exécution de transactions effectuées au moyen de cartes de crédit n'a pas été efficacement résolu jus- qu'à présent. Les établissements bancaires qui sont équipés d'un équipement bancaire qui fonctionne au moyen de cartes sont, en général, capables de détec- ter un essai d'utilisation non autorisé d'une carte de crédit du fait qu'un tel équipement est avantageusement connecté au processeur central et aux fichiers d'ordi- nateur de l'établissement de façon à commander directe- ment l'équipement à chaque étape d'une transaction effectuée au moyen d'une carte de crédit. Cependant, la grande majorité des transactions effectuées au moyen de cartes de crédit par les détaillants dans tous les pays du monde sont habituellement effectuées pour des montants inférieurs à des limites de crédit établies sans l'avantage d'un'contrôle direct et immédiat par l'ordinateur de chacune des étapes de la transaction. Au contraire, on utilise de simples techniques de con- tr8le de carte de crédit autonomes (c'est-à-dire sans contrôle immédiat de l'ordinateur central) qui sont basées sur une comparaison du numéro de la carte à une liste dressée de numéros de cartes non autorisées et sur une comparaison visuelle de la signature de l'uti- lisateur à une signature témoin. De telles listes de numéros de cartes non autorisées sont, en grande partie, inefficaces pour réduire les pertes résultant des ven- tes effectuées au moyen de cartes de crédit du fait du -2- retard qui se produit dans l'établissement et la distribution des listes et du fait que de telles listes n'identifient pas des cartes valides qui ont été repro- duites ou des cartes contrefaites qui portent des numé- ros fictifs. Même les transactions par nature plus sûres qui sont contrôlées au moyen d'un traitement par un ordinateur intéractif "en ligne" sont susceptibles d'être l'objet de violations de sécurité résultant de l'emploi de modes opératoires présentant une sécu- rité insuffisante utilisés lors de la délivrance ini- tiale des cartes. Un employé indélicat d'un établisse- ment délivrant des cartes peut compromettre la sécu- rité d'un système fonctionnant au moyen de cartes commandé par un ordinateur "en ligne" en provoquant la délivrance d'une carte avec un numéro de compte ou d'identification qui a déjà été attribué. Conformément à la présente invention, il est prévu un procédé et des moyens pour assurer la sécurité de transactions effectuées au moyen de cartes, à plusieurs niveaux d'interaction entre un établisse- ment délivrant des cartes, son personnel, ses clients et mômes ses fournisseurs de cartes vierges. La présen- te invention assure une sécurité accrue à l'encontre de la duplication et de la reproduction en de multiples exemplaires d'une carte valide et à l'encontre de cartes contrefaites portant des numéros fictifs en assurant la sécurité de la transaction interactive en- tre un individu et l'établissement qui délivre la carte lors de l'établissement du nouveau compte de l'individu ainsi qu'en assurant la sécurité de la transaction qui doit être effectuée au niveau de l'établissement lors de la délivrance de la carte à l'individu. En outre, la présente invention sert à 2471 632 -3- assurer la sécurité de la carte à l'encontre d'une reproduction dans le cas o chaque carte délivrée à une identification propre. De cette manière, l'indi- vidu peut être assuré que la sécurité de son intérac- tion avec l'établissement délivrant les cartes est assurée et que la sécurité des interactions de l'éta- blissement avec son personnel et avec ses fournisseurs de cartes est assurée. D'autres caractéristiques de l'invention apparaîtront à la lecture de la description qui va suivre et à l'examen des dessins annexés dans les- quels: - la figure 1 est une représentation du système utilisé pour délivrer une carte et pour utili- ser une carte délivrée dans une transaction à contr8- le de la carte "autonome"; - la figure 2 est un organigramme qui représente les informations fournies à l'appareil de la présente invention et celles produites par cet appareil; et - la figure 3 est un schéma-bloc de l'appareil de la présente invention servant à délivrer des cartes à des individus déterminés d'une manière qui assure le maintien d'un haut degré de sécurité à tous les niveaux d'interaction. Sur la figure 1 à laquelle on se référera maintenant, on a représenté, sous une forme schémati- que et imagée, le système de la présente invention qui opère sur le numéro d'identification personnel (NIP) d'un individu (choisi par l'individu et connu de lui seul) et sur une information d'identification fournie par un opérateur du système pour créer une carte de crédit 9 qui est propre à l'individu et dont la sécu- rité à l'encontre d'une préparation non autorisée ou d'une contrefaçon est assurée par plusieurs-niveaux d'interactions protégées. Lors de la transaction d'ouverture de compte initiale, un individu peut choisir un mot de code ou un ensemble de nombres ou une quelconque combinaison des deux quelconques qu'il peut conserver totalement secret et qu'il entre initialement, à l'étape 11, dans le système à l'aide de moyens quelconques, tels qu'un clavier, un appareil à cadran téléphonique ou analo- gue. En outre, un opérateur du système peut entrer un numéro de compte attribué (étape 13) (et, également il peut s'identifier en utilisant son propre mot ou numéro d'identification). Facultativement, le numéro d'identification de l'établissement (par exemple, le numéro d'acheminement et de transit d'une banque, etc) peut être également fourni, à-l'étape 15. Ainsi, le code d'indentification secret de l'individu (NIP) 11, plus la totalité ou une partie initiale du nouveau numéro de compte 13, plus toute information d'identi- fication désirée relative à l'établissement, est fourni à un dispositif de codage 17 qui sert à effectuer un chiffrement irréversible des données afin d'engen- drer un premier mode de code compilé ou DECALAGE I à la sortie 19 du dispositif de codage 17, Le dispositif de codage 17 peut comporter un circuit intégré de chiffrement de données classique défini par le "Natio- nal Bureau of Standards" des Etats Unis d'Amérique (Bureau National des normes des Etats Unis d'Amérique) et qui peut être obtenu dans le commerce de la socié- té Motorola, Inc., qui comporte de multiples entrées pour coder des signaux qui lui sont appliqués et que l'on peut faire fonctionner conformément à un algorithme irréversible connu (par exemple comme décrit dans le brevet des Etats Uhis d'Amérique No 3.938.091 et dans la demande de brevet des Etats Unis d'Amérique NO 879.784) de façon à produire un code DECALAGE I d'une longueur fixe quelle que soit la longueur des mots de code appliqués. Ce chiffrement initial peut être affecté sur un dispositif de chiffre- ment isolé pour produire la valeur DECALAGE I en vue de sa transmission par des moyens classiques aux moyens de codage suivants 23. Ainsi, le premier niveau d'interaction entre l'établissement et l'individu, qui produit la valeur DECALAGE I, a sa sécurité assurée par l'individu qui conserve le secret de son propre numéro NIP. Au niveau d'interaction suivant, l'établis- sement est capable d'assurer la sécurité des transac- tions à l'encontre d'une utilisation non autorisée du système par un employé indélicat. L'établissement peut effectuer un certain nombre de contrôles et d'investigations, comme décrit ci-après, relatives aux pouvoirs de l'opérateur du système, à l'état du numé- ro de compte attribué, etc..., avant d'appliquer pour codage aux moyens de codage 23, le nouveau numéro de compte, la valeur DECALAGE I et une clé d'identifica- tion secrète 21 qui est propre à l'établissement. Après achèvement de manière satisfaisante des con- trôles et investigations par l'établissement, les moyens de codage 23 (qui comprennent, par exemple, un circuit intégré du type défini par le "National Bureau of Standards"l, tel que ci-dessus mentionné) peuvent coder les données appliquées conformément à un algorithme du type décrit dans le brevet des Etats Unis d'Amérique précité No 3.938.091 ou dans la deman- de de brevet des Etats Unis d'Amérique précité N0 879.784, ou un algorithme analogue, pour produire un nouveau mot de code compilé DECALAGE II à la sor- tie 25 des moyens de codage 23. Ce mot DECALAGE II peut -6- être enregistré dans des fichiers, par exemple, dans la mémoire de l'ordinateur, reproduit sur des listes imprimées, ou analogues, en vue d'être utilisé ul- térieurement en relation avec les transactions dans lesquelles l'individu et sa carte 9 interviennent. Ain- si, le second niveau d'interaction qui produit la va- leur DECALAGE II nécessaire pour produire une carte 9 dont la sécurité est assurée et sous la protection et le contrôle de l'établissement qui peut effectuer de nombreuses vérifications et investigations que l'on décrira ci-après, et qui conserve également le secret de sa propre clé secrète. Dans de nombreuses applications, on peut utiliser directement la valeur DECALAGE II pour pré- parer une carte 9 en codant la carte magnétiquement, optiquement, mécaniquement, etc... d'une manière connue avec le numéro de compte et la valeur DECALAGE II. L'utilisation ultérieure de la carte 9 ainsi pro- duite en rapport avec une transaction protégée néces- siterait l'entrée du numéro NIP 11 de l'individu, au moment de la transaction, du numéro de compte 13 (en omettant le numéro d'identification d'un opérateur) du numéro d'identification 15 de la banque et de la clé secrète 21 de la banque, ces opérations étant toutes effectuées de la manière précédemment décrite pour produire une valeur DECALAGE II conformément aux mêmes algorithmes et systèmes de chiffrement que ceux utilisés lors de la transaction initiale d'ouverture de compte, cette valeur DECALAGE II pouvant être alors comparée d'une manière connue à la valeur DECALAGE II détectée sur la carte en tant que données de base pour déterminer si l'individu autorisé dont la carte ne comporte qu'un seul est en train d'essayer d'effectuer une transaction protégée. 247163e -7- Cependant, dans certaines applcations qui nécessitent un niveau supplémentaire d'interaction, la présente invention peut être utilisée pour garantir qu'aucune carte valide ne peut être reproduite. Ainsi, le fournisseur ou le distributeur effectif des cartes (c'est-àdire lorsqu'il est différent de l'entité qui engendre les valeurs DECALAGE I et DECALAGE II) peut introduire un niveau supplémentaire de secret et de sécurité lors de la fabrication de la carte 9. Chaque carte peut être fabriquée avec un numéro de série ou numéro de code qui lui est propre et est différent de celui de chacune des autres cartes. Ce numéro de code ou de série propre peut être "implanté" de manière permanente dans chaque carte, mécaniquement, optiquement, magnétiquement, ou d'une manière analogue, en vue d'être ultérieurement détecté par un transducteur 27 de lecture/écriture de cartes. Le numéro de série 29 de la carte ainsi détecté est appliqué à des moyens de codage 31 qui peuvent également contenir un circuit défini par le "National Bureau of Standards" du type précédemment décrit pour coder le numéro avec la valeur DECALAGE II et avec le numéro de compte d'une manière connue (par exemple conformément à l'algorithme de chiffrement décrit dans le brevet des Etats-Unis d'Amérique précité no 3.938.091 ou à celui décrit dans la demande de brevet des Etats- Unis d'Amérique précitée n0 879.784) pour produire un mot de code compilé ou valeur DECALAGE III à la sortie 33. Une carte complètement codée 9 peut être alors produite par le transducteur 27 de lecture/écriture de cartes qui peut produire mécaniquement, optiquement, magnétiquement, ou d'une manière analogue, sur cette dernière, d'une manière connue, un enregistrement (mais sans modifier le numéro de série de la carte) à partir de la valeur DECALAGE XII, du numéro de compte et de -8- données facultatives, telles que la date d'expiration, les limitations d'accès, les limites du crédit, etc. La valeur DECALAGE III, qui peut être d'une longueur fixe et qui est propre à une carte particulière, à un individu particulier et à une banque particulière peut être enregistrée sur la carte 9 dans un emplacement qui précède le numéro de compte en vue d'être ensuite détectée et comparée au cours de l'exécution d'une transaction protégée. Le déplacement d'une carte 9 dans le transducteur 27 de lecture/écriture de cartes suffit pour détecter le numéro de série 29 de la carte et un autre déplacement (par exemple dans le sens opposé) de la carte suffit pour effectuer sur la carte les enregistrements précités qui sont propres à l'in- dividu et à l'établissement. Pendant l'exécution d'une transaction protégée ultérieure effectuée à l'aide de la carte 9, l'individu autorisé peut introduire son numéro NIP. Il et le numéro de compte qui lui a été attribué, et présenter sa carte 9 en vue de la détection de son numéro de série et de la valeur DECALAGE III que porte la carte. Essentiellement, le même chiffrement de codes appliqués (en dehors du code d'identification d'un opérateur du système appliqué pendant l'ouverture de compte initial) peut être effectué pour produire une valeur DECALAGE III en vue de sa comparaison avec la valeur DECALAGE III détectée sur la carte 9. A la suite de la détection de l'égalité de la valeur DECALAGE III nouvellement engen- drée avec la valeur DECALAGE III lue sur la carte,Ja transaction peut être achevée en ce qui concerne l'individu dont le numéro NIP 11 a été entré. D'autres comparaisons de codes ultérieures mettant en jeu une carte enregistrée 9 peuvent être également effectuées sans utiliser une telle pleine capacité de contrôle "en ligne", par exemple dans des circonstances dans lesquel- -9- les le numéro de série de la carte 9 y est "implanté" par des moyens secrets (comme ceci est le cas dans certains systèmes bancaires européens) . Dans de telles circonstances, la valeur DECALAGE II peut être enre- gistrée sur la carte pour permettre l'exécution d'un codage en autonome effectué uniquement avec des moyens similaires aux moyens de codage 31 à la suite de l'entrée du numéro de compte par l'indMidu et de la détection de la valeur DECALAGE II et du numéro de série de la carte sur la carte. La valeur DECALAGE III ainsi produite doit produire une comparaison favorable avec la valeur DECALAGE III lue sur la carte 9 pour signaler une transaction autorisée. Sur la Figure 2 à laquelle on se référera maintenant, on a représenté un organigramme de la présente invention qui illustre son-développement logique pour assurer la protection de l'établissement au second niveau précité d'interaction. On notera que plusieurs vérifications et investigatiorn peuvent être effectuées relativement au personnel d'exécution de l'établissement avant la génération de la valeur DECALAGE Il. Par exem- ple, l'établissement peut contrôler le numéro d'identifi- cation 16 de l'opérateur du système en le comparant aux informations de son fichier pour assurer que seul son personnel autorisé peut faire fonctionner le système. Après achèvement satisfaisant du premier contrôle, les pouvoirs de l'opérateur à attribuer un numéro de compte 18 peuvent être contrôlés par comparaison avec les informations du fichier, Après achèvement satisfaisant de ce contrôle, l'information du numéro de compte peut être contrôlée, à l'étape 20, pour déterminer, par exemple, si le numéro de compte attribué est l'un de ceux que l'établissement a précédemment prévu comme devant être attribués. En outre, l'établissement peut -10contrôler.le fichier afin d'assurer qu'un numéro de compte valide précédemment attribué n'est pas également réattribué à un autre individu. De nombreuses autres vérifications et investigations peuvent être effectuées par l'établissement, en conformité avec les objectifs de sécurité qu'il s'efforce de réaliser et avant le chiffrement dans les moyens de codage 23 de la valeur DECALAGE I 19, de lablé secrette 21 et du numéro de compte, comme précédemment décrit, afin d'engendrer la valeur DECALAGE II. Sur la Figure 3 à laquelle on se référera maintenant, on a représenté un schéma-bloc d'une.appareil utilisé pour effectuer les opérations décrites en se référant aux Figures 1 et 2. Le niveau initial d'inter- action avec un individu qui est sur le point d'ouvrit un compte peut être effectué par un module de chiffre- ment 11, 13, 15, 17 ayant un clavier sur lequel l'indi- vidu peut entrer secrètement son numéro NIP et un autre davier sur lequel un opérateur ou caissier peut entrer un numéro de compte. Le module peut également contenir un numéro d'identification de banque (par exemple, un numéro d'acheminement et de transit) destiné à être codé avec les informations fournies au moyen des claviers. De tels modules et leur fonctionnement ont été décrits dans la litérature (voir par exemple, le brevet des Etats-Unis d'Amérique n0 3.938.091 et la demande de-brevet des Etats-Unis d'Amérique no 879.784). En utilisant un algorithme de chiffrement irréversible du type décrit, le module produit une valeur DECALAGE I, d'une longueur de mot fixe quelle que soit la longueur du numéro NIP, du numéro de compte et du numéro d'iden- tification de banque et préserve, par conséquent, la sécurité du numéro NIP pour le numéro de compte attri- bué. La valeur DECALAGE I peut être, sans inconvénient, -11- transmise sans protection à la station suivante dans laquelle un opérateur autorisé à délivrer des cartes peut compléter l'ouverture initiale d'un compte par un individu. En utilisant un clavier, muni d'un dispositif d'affichage 24, connecté à un processeur comportant des fichiers 26 en mémoire dans une configuration clas- sique, un opérateur peut entrer son numéro d'identifi- cation, la valeur DECALAGE I et le numéro de compte pour commander le processeur 26 afin qu'il effectue les contrôles et investigations initiales et le chif- frement ultérieur dans le module de codage 23, comme on l'a décrit ci-dessus en se référant à la Figure 2. On peut préserver le secret de la clé 21 de la banque en la conservant d'une manière non permanente dans les modules de codage 23e 31. Ensuite, le processeur 26 peut commander le transducteur 27 de lecture/écriture de cartes pour qu'il détecte le numéro de série enre- gistré secrètement et de manière permanente sur la carte et commande le module 23, 31 (ces modules peuvent être constitués par un unique module utilisé eu temps - partagé) afin que ce dernier produise et enregistre la valeur DECALAGE III à partir de la valeur DECALAGE Il et du numéro de série de la carte qui a été détecté De cette manière, l'établissement peut achever l'attri- bution d'une carte enregistrée 9 à un individu en utili- sant l'appareil à divers emplacements sans compromettre la sécurité de la carte à l'encontre d'une reproduction ou d'une contrefaçon, que le présent système offre à l'individu, à l'établissement et même à l'entité qui délivre la carte. -12- REVENDICATIONS 1 - Procédé de codage d'une carte en vue de son attribution par une entité à un individu, carac- térisé en ce qu'il consiste à combiner, conformément à une première combinaison de codage logique, un code secret (NIP 11) qui n'est connu que de l'individu et un code d'indentification (13) attribué à l'individu pour produire un premier code de décalage (DECALAGE I) et à combiner, conformément à une seconde combinai- son de codage logique, un code secret (21) qui n'est connu que de l'entité et le premier code de décalage pour produire un second code de décalage (DECALAGE II) et à coder la carte (9) avec un code qui est représen- tatif du second code de décalage. 2 - Procédé selon la revendication 1, carac- térisé en ce qu'au cours de l'étape de combinaison initiale, la première combinaison de codage logique est déterminée en réponse à un code d'identification (15) qui est indicatif de l'entité. 3 - Procédé selon la revendication 1, carac- térisé en ce que l'étape de combinaison initiale comporte l'étape qui consiste à chiffrer d'une manière irréversible le code secret (11) et le code d'identi- fication (13) pour produire le premier code de décala- ge qui a une longueur de code fixe quelle que soit la longueur du code secret et celle du code d'identifi- cation. 4 - Procédé selon la revendication 1, carac- térisé en ce qu'au cours de l'étape de combinaison ultérieure, la seconde combinaison de codage est dé- terminée en réponse au code d'identification précité (13). - 5 - Procédé selon la revendication 1 pour coder chacune d'une série de cartes, dont chacune com- -13- porte un code de carte qui lui est.-propre, ce procéd-ééta caractérisé en ce que le code de carte est détecté sur la carte particulière (9) attribuée à l'individu, en ce que le code de carte détecté est combiné au se- cond code de décalage (DECALAGE II), conformément à une troisième combinaison de codage logique, pour produire un troisième code de décalage (DECALAGE III) et en ce qu'au cours de l'étape de codage de la carte, la carte est codée avec un code détectable qui est représentatif du troisième code de décalage. 6 - Appareil pour coder une carte en vue de son attribution parune entité à un individu, caracté- risé en ce qu'il comporte des premier et second dispo- sitifs de codage, chacun conçu pour produire un signal de code de décalage sous forme d'une combinaison lo- gique des signaux de code qui lui sont appliqués, des moyens connectés au premier dispositif de codage pour lui appliquer un signal de code secret (11) qui n'est connu que de l'individu et un signal de code d'identi- fication (13) attribué à l'individu afin de produire un premier signal de code de décalage sous forme d'une première combinaison logique des signaux de code appliqués, des moyens connectés au second dispositif de codage pour lui appliquer le premier signal de code de décalage et un signal de code secret (21) qui n'est connu que de l'entité afin de produire un second signal de code de décalage sous forme d'une seconde combinaison logique des signaux de code appli- qués, des moyens transducteurs (27) susceptibles de fonctionner d'une manière interactive avec une carte (9) pour enregistrer sur cette dernière un code dé- tectable qui est représentatif des signaux de code appliqués et un circuit (26) connecté aux moyens transducteurs pour leur appliquer un signal de code -14- qui est indicatif du second signal de code de décalage. 7 - Appareil selon la revendication 6, caractérisé en ce que les premiers moyens de codage produisent le premier signal de code de décalage à partir des signaux de code appliqués sous forme d'une combinaison logique de ces signaux qui est représenta- tive d'un code de commande appliqué et en ce que des moyens sont connectés au premier dispositif de codage pour lui appliquer un signal de code de commande qui est indicatif de l'entité. 8 - Appareil selon la revendication 6, caractérisé en ce que le premier dispositif de codage produit le premier signal de code de décalage qui a une longueur de code fixe quelle que soit la longueur du signal de code secret et celle du signal de code d'identification appliqués, sous forme d'une combinai- son logique irréversible de ces signaux appliqués en vue de sa transmission au second dispositif de codage. 9 - Appareil selon la revendication 6, caractérisé en ce que le second dispositif de codage est connecté de façon à recevoir le signal de code d'identification afin de produire le second signal de décalage sous forme d'une combinaison logique du premier signal de code de décalage, du signal de code secret et du signal de code d'identification. - Appareil selon la revendication 6 pour coder chacune des cartes d'une série de cartes dont chacune comporte un code de carte qui lui est propre, cet appareil étant caractérisé en ce que les moyens transducteurs (27) fonctionnent en réponse au code de carte pour produire un signal de code de carte re- présentatif et en ce que le circuit comporte un troi- sième dispositif de codage connecté pour recevoir le signal de code de carte et le second code de décalage -15- afin de produire, sous forme d'une combinaison logique du signal de code de carte reçu et du second signal de code de décalage, un troisième signal de code de décalage en vue de son application aux moyens trans- ducteurs pour enregistrer sur la carte délivrée audit individu un code détectable qui est représenta-i tif du troisième signal de code de décalage.