FR 2542471 A1 19840914 FR 8403371 A 19840305 De nombreuses opérations connues commandées par ordina- teur sur des fichiers de données protégées nécessitent la vérification de l'identité d'un individu qui cherche à avoir accès à un fichier avant que les données (habituellement, sous une forme chiffrée)puissent être accédées (voir, par exemple, les brevets US no 3 938 091, N O 3 587 051, no 3 611 293 et N O 4 198 619) En outre, de nombreux sys- tèmes connus conçus pour assurer la sécurité des enregistre- ments,notammentceux utilisés en combinaison avec les cartes de crédit, nécessitent la vérification à la fois du droit d'usage de l'individu utilisateur et de l'authenticité des données contenues dans l'enregistrementpour assurer une pro- tection contre les utilisateurs non autorisés et contre les enregistrements contrefaits ou copiés Des systèmes de ce type sont décrits dans les brevets US N O 4 304 990, N O 4 328 414 et no 4 357 423. Un inconvénient lié aux systèmes de sécurité commandés par ordinateur de ces types est qu'il n'y a typiquement au- cune indication laissée dans le fichier en ce qui concerne l'identité de la personne qui a eu accès à un enregistrement protégé. Conformément au mode de réalisation préféré de la pré- sente invention, on crée un enregistrement dynamique des clés de commande de chiffrement utilisées pour avoir accès initia- lement et à toutes les occasions suivantes à des fichiers chiffrés protégés à la fois en tant qu'élément actif du sys- tème d'accès et en tant qu'enregistrement historique proté- gé à des fins d'analyse rétrospective de tous les accès aux fichiers chiffrés En outre, les substitutions de fichiers périmés sont empêchées une fois qu'un fichier est accédé, même pour affichage sans altération, de sorte que,lorsque le fi- chier accédé et que, par conséquent, sa sécurité a été com- promise, il peut être rendu à nouveau protégé contre une copie, une substitution et une réutilisation Des systèmes de ce type sont particulièrement utiles dans les opérations de banqueet de transfert de fonds dans lesquelles un accès initialement correct à un fichier de compte bancaire, par exemple, pour effectuer un retrait de fonds, doit être en- suite soigneusement contrôlé afin d'éviter des pratiques aussi désastreuses que la réalisation de multiples reproduc- tions de la même opération associée à la substitution du solde d'origine dans le fichier En outre, l'enregistrement historique des accès au fichier,produit par la présente invention,constitue un enregistrement d'analyse rétrospec- tive sous forme chiffrée de tels accès. D'autres caractéristiques de l'invention apparaîtront à la lecture de la description qui va suivre et à l'examen des dessins annexés dans lesquels: la Fig 1 est un schéma-bloc montrant une application de l'appareil de la présente invention; la Fig 2 est un organigramme illustrant le fonctionne- ment de l'appareil de la Fig 1; la Fig 3 est un schéma-bloc du mode de réalisation de la présente invention choisi à titre d'exemple; et la Fig 4 est un tableau qui illustre la formation et le fonctionnement du fichier de contrôle d'utilisation des clés selon la présente invention. Sur la Fig 1 à laquelle on se référera maintenant, on a représenté un schéma-bloc de la présente invention montrant l'addition d'un module 9 assurant la sécurité de l'accès à un système d'ordinateur typique qui comprend une unité de traitement centrale(UTC) 11, un contrôleur 13 de clavier et des moyens de mémoire 15, 17 pour mettre en mémoire les fi- chiers Les moyens de mémoire 15, 17 peuvent utiliser une forme classique quelconque de technologie d'appareils de mémoire,tels que les mémoires à semi-conducteur, les mé- moires magnétiques à tores, à cristal, à disque, à tambour ou à bande ou toute combinaison de tels appareils pour mettre en mémoire (mémoire 17) les données dont l'accès doit être contrôlé et pour mettre en mémoire (mémoire 15) les informations d'autorisation d'accès au sujet des individus et entités qui peuvent avoir accès aux données mémorisées 17 Le clavier 13 permet un accès, au moyen d'une entrée ma- nuelle, au système d'ordinateur d'une manière classique et 2542471 1 il est représentatif d'autres systèmes d'accès à un ordi- nateur, tel que celui par un autre système d'ordinateur et analogue. Conformément à la présente invention, on modifie un tel système d'ordinateur typique de façon à y incorporer un module 9 assurant la sécurité de l'accès qui fonctionne en combinaison avec le système d'ordinateur pour rechiffrer pro- gressivement les données contenues dans les moyens de mémoire 17 chaque fois qu'un fichier est accédé et,facultativement, pour mettre à jour les informations d'autorisation d'accès contenues dans les moyens de mémoire 15 en réponse à des auto- risations accordées et pour engendrer des fichiers histo- riques sous une forme chiffrée des clés de chiffrement uti- lisées pour déchiffrer et rechiffrer chaque fichier accédé dans les moyens de mémoire 17 En outre, le module 9 fonc- tionne dans un mode de réinitialisation commandé pour re- construire tous les fichiers contenus dans les moyens de mé- moire 17 avec une nouvelle clé de chiffrement normalisée après que de nombreux accès aux fichiers contenus dans la mé- moire 17 ont été autorisés Le nombre d'accès qui doivent être effectués avant qu'une réinitalisation soit nécessaire est déterminé par la capacité de la mémoire du module 9. Sur les Fig 2 et 3 auxquelles on se référera également maintenant, tout en continuant de se référer à la Fig 1, on a représenté respectivement un organigramme et un schéma- bloc illustrant le fonctionnement du système de la Fig 1 sous la commande d'une unité de traitement centrale 11 En fonctionnement, une personne ou entité, R, demandant l'ac- cès à un fichier particulier peut entrer des numéros d'iden- tification personnels, des informations relatives au fichier particulier et analogues, au moyen du clavier 13 Facultati- vement, une routine 21 de vérification d'identité person- nelle peut être effectué d'une manière classique (comme dé- crit, par exemple, dans le brevet US N O 3 938 091 ou dans le brevet US no 4 198 619) et une recherche peut être effec- tuée dans les fichiers d'autorisation d'accès pour détermi- ner s'il existe une autorisation d'accès au fichier demandé. 2542471 i Tous ces fichiers contenus dans les moyens de mémoire 17 sont initialement chiffrés avec un code-clé initial KO, d'une ma- nière classique (par exemple, en utilisant le module de Chif- frement de Données Normalisé qui peut être obtenu du Bureau National des Normes des EUA) en chiffrant les données du fi- chier dans le module de chiffrement 21 au moyen du code-clé, KO, fourni par le générateur 23 de codes-clés. L'autorisation ayant été établie, à l'étape 25, le fi- chier particulier N O X peut être accédé mais le déchiffrement du fichier N O X nécessite l'emploi du code-clé correct A cette fin, une recherche est effectuée dans le fichier de contrôle d'utilisation des clés (FCUC) 19,que l'on décrira -plus en détail ultérieurement, pour déterminer si le dossier n O X a été précédemment accédé Les conditions d'accès anté- rieur,à savoir que le fichier a ou non déjà fait l'objet d'un accès,sont toutes deux possibles S'il n'y a pas eu d'accès antérieur, le fichier N O X n'apparait pas dans le fichier de contrôle d'utilisation des clés, ce qui constitue une indication qu'il se trouve dans la mémoire 17,chiffré avec le code-clé initial K Le générateur 23 de clés est capable d'engendrer une séquence de codes-clés différents Ko, K 1, K 2, K 3, Kn et il est alors réglé pour fournir le code-clé K O au module de déchiffrement 27 {qui peut être un module CDN du même type que le module de chiffrement 21 ou peut être ce même module) Le fichier demandé no X peut, par conséquent, être déchiffré d'une manière classique à l'aide du code-clé Ko pour fournir les données accédées en texte en clair Les données sont alors retournées dans la mé- moire avec ou sans de nouvelles modifications des données 31 qui reflètent une transaction orientée vers les données, telle qu'une vente, un dépôt, un retrait ou analogue et ces données sont remises en mémoire en utilisant un nouveau code- clé Kl Ceci est fait en modifiant, à l'étape 38, le réglage du générateur 23 de codes-clés pour qu'il fournisse les don- nées 33 avec ou sans modifications afin qu'elles soient chif- frées dans le module 21 avec le code-clé K En outre, le fichier 19 de contrôle d'utilisation des clés est mis à jour 2542471 * pour contenir l'indication que le fichier N O X a été accédé et se trouve maintenant en mémoire sous une forme nouvelle- ment chiffrée avec le nouveau code-clé K 1 de la séquence. En outre, les fichiers 15 d'autorisation d'accès peuvent être facultativement mis à jour pour empêcher tout nouvel accès de l'utilisateur R au fichier N O X, par exemple, pour empê- cher l'accès de R jusqu'à une "nouvelle date" ou jusqu'à ce que le fichier ait été accédé par un autre utilisateur ou autre condition analogue L'accès suivant au fichier N O X pour l'utilisateur R, s'il est continuellement autorisé, ou par tout autre utilisateur doit être effectué au moyen d'un déchiffrement avec le code-clé K 1. Si le fichier no X a été précédemment accédé, le fichier de contrôle d'utilisation des clés (FCUC) 19 contient l'en- trée du fichier N O X indiquant qu'il a été précédemment accé- dé et retourné à la mémoire chiffré avec un nouveau code-clé K 1 K 2, Kn' selon le nombre d'accès précédents au fichier no X Ainsi, comme représenté dans la table de la Fig 4 qui représente les entrées typiques du fichier 19 de contrôle d'utilisation des clés, si le fichier N O X est le fichier n O 00100, les accès précédents à ce fichier ont eu pour ré- sultat qu'il a été remis en mémoire sous une forme chiffrée au moyen du code-clé K 2 (élément 37) La recherche effectuée dans le fichier 19 de contrôle d'utilisation des clés in- dique ainsi que le fichier N O 00100 a été précédemment accé- dé deux fois et doit maintenant être déchiffré avec le code- clé K 2 Si l'autorisation de l'utilisateur demandeur est en- core valide, à la suite de l'étape 39, le générateur 23 de codes-clés est réglé de manière à fournir le code-clé K 2 au module de déchiffrement 27 afin de fournir,à l'étape 2-9, les données de ce fichier en texte en clair La remise en mé- moire des données de ce fichier sous une forme modifiée ou non modifiée est effectuée en modifiant le réglage du géné- rateur 23 de codes-clés pour qu'il fournisse le code-clé K 3 (élément 41 sur la Fig 4) au module de chiffrement 21 afin de chiffrer les données retournées avec le nouveau code-clé K 3 Toutes les sorties de données de la mémoire 17 peuvent être effectuées avec lecture destructive des informations dans le fichier adressé de sorte que les données qui y sont ré-enregistrées peuvent être écrites sous la forme nouvelle- ment chiffrée Après de nombreux accès aux fichiers contenus dans la mémoire 17, le fichier 19 de contrôle d'utilisation des clés comprendra typiquement des indications semblables à celles indiquées sur la Fig 4 Un tel fichier peut facil- tativement comporter des codes pour identifier les utilisa- teurs particuliers qui ont eu accès à chaque fichier Le fi- chier 19 fournit ainsi un enregistrement d'analyse rétrospec- tive des accès aux fichiers contenus dans la mémoire 17 En outre, le fichier 19 de contrôle d'utilisation des clés est sous une forme chiffrée étant donné qu'il ne révèle ni les données contenues dans la mémoire 17 ni les codes-clés ef- fectifs Ki-Kn (qui ne sont engendrés que par le générateur 23) requis pour déchiffrer les données de la mémoire 17 En outre, les codes-clés Ko Kn qui servent de codes de pro- tection des fichiers peuvent être engendrés intérieurement d'une manière classique, par exemple par un générateur 23 de nombres aléatoires,et n'ont pas, par conséquent, besoin -d'être connus de quiconque. Après de nombreux accès aux données contenues dans la mémoire 17 qui s'approchent de la limite de la séquence de codes-clés pour un fichier particulier quelconque, ou sur une base périodique, la totalité des fichiers contenus dans la mémoire 17 peuvent être rechiffrés au moyen d'un nouveau code-clé initial K O ' d'une séquence de nouveaux codes-clés K 01 'K ' K n' en utilisant l'appareil représenté sur la Fig 3 sous lacommande de 1 ' unité de traitement centrale 11 Cependant, étant donné que les fichiers contenus dans la mémoire 17 ont été chiffrés avec différents codes-clés, le fichier 19 de contrôle d'utilisation des clés doit être consulté pour déterminer quel code-clé doit être utilisé pour déchiffrer les données de chaque fichier en vue de leur rechiffrement avec un nouveau code-clé initial K O Après achèvement de ce mode de fonctionnement de réinitialisation, le fichier 19 de contrôle d'utilisation des clés pour la sé- -2542471 quence de codes-clés K( KI peut être retiré pour servir d'enregistrement historique de l'accès aux données contenues dans la mémoire 17 sans compromettre la sécurité du système ni des données contenues dans la mémoire 17 sous une forme chiffrée au moyen de nouveaux codes de chiffrement. REVENDICATIONS 1 Procédé pour commander l'accès à des fichiers de données mis en mémoire, caractérisé en ce qu'il consiste à chiffrer ( 21) les données de fichier sous forme d'une combinaison lo- gique choisie desdites données avec un code-clé de chiffre- ment initial (K 0) d'une série de tels codes-clés (K -Kn) pour produire des données de fichier sous une forme chiffrée en vue de leur mise en mémoire dans des emplacements d'a- dresse de fichier choisis; à établir un enregistrement ( 19) des accès à chaque emplacement d'adresse de fichier et de celui de la série de codes-clés de chiffrement au moyen du- quel les données de fichier qui se trouvent à l'emplacement d'adresse ont été chiffrées; à traiter une demande ( 13)d'ac- cès aux données dé fichier situées à un emplacement d'a- dresse de fichier choisi en déterminant, à partir de l'enre- gistrement, le nombre d'accès antérieurs à cet emplacement et le code-clé de chiffrement qui y est associé; à déchiffrer ( 27) les données de fichier qui se trouvent à l'emplacement d'adresse de fichier choisi en utilisant le code-clé de chiffrement associé; à rechiffrer ( 21) les données de fichier pour ledit emplacement d'adresse de fichier choisi en utili- sant un nouveau code-clé de ladite série de codes-clés de chiffrement dans ladite combinaison logique choisie; à mettre les données de fichier nouvellement rechiffrées en mémoire dans l'emplacement d'adresse de fichier accédé; et à modifier l'enregistrement ( 19) pour indiquer un accès supplémentaire à l'emplacement d'adresse de fichier choisi et le nouveau code-clé de chiffrement qui lui est associé. 2 Procédé selon la revendication 1,caractérisé ence que les données de fichier qui se trouvent àl'emplacement d'adresse -de fichier choisi sont déchiffrées ( 27)en utilisant le code- clé de chiffrement initial (K) en réponse àla détermination, à partir de l'enregistrement( 19),que l'emplacement d'adresse du fichier choisi n'a pas été'précédemment accédé. 3 Procédé selon la revendication 1, caractérisé en ce qu'il comporte un fichier ( 15) des autorisations d'accès des utilisateurs et en ce qu'avant d'accéder à un emplace- ment d'adresse de fichier choisi, l'état d'autorisation d'un utilisateur à avoir accès à l'emplacement d'adresse de fi- chier choisi est déterminé à partir du fichier. 4 Procédé selon la revendication 3, caractérisé en ce que l'autorisation d'accès d'un utilisateur pour avoir ultérieu- rement accès à l'emplacement d'adresse de fichier choisi est sélectivement modifiée ( 39) en réponse au rechiffrement des données de fichier en vue de leur mise en mémoire à l'empla- cement d'adresse de fichier choisi. 5 Procédé selon la revendication 1, caractérisé en ce qu'il comporte l'étape qui consiste à ré-initialiser toutes les données de fichier en déchiffrant ( 27) les données de fichier qui se trouvent à chaque emplacement d'adresse de fichier choisi en utilisant le code-clé de chiffrement de ces données déterminé à partir de l'enregistrement ( 19); et à rechiffrer ( 21) les données de fichier à chacun de ces em- placements d'adresse de fichier en utilisant un nouveau code- clé initial (KO 0) choisi parmi une série de tels codes-clés (Ko' Kn'). 6 Procédé selon la revendication 5, caractérisé en ce que les données de fichier à tout emplacement d'adresse de fi- chier qui n'est pas indiqué dans l'enregistrement ( 19) comme ayant été précédemment accédé sont déchiffrées en utilisant le code-clé de chiffrement initial. 7 Un appareil utilisable conformément au procédé de la revendication 1 pour assurer la sécurité de données à l'en- contre d'un accès non autorisé, dans lequel les données de fichier sont mises en mémoire sous une forme chiffrée dans des moyens de mémoire ( 17) ayant des emplacements d'adresse de fichier sélectionnables et dans lequel des moyens de chiffre- ment( 21)chiffrent les données de fichier en réponse à des si- gnaux de clé de chiffrement; caractérisé en ce que les moyens de chiffrement produisent les données de fichier chiffrées à un emplacement d'adresse de fichier choisi sous forme de la combinaison de codage logique des données de fichier et d'un signal de clé de chiffrement qui y est appliqué par des moyens ( 23) générateurs de signaux de clé de chiffrement; en ce que des moyens d'enregistrement( 19) produisent une indi- cation d'emplacements d'adresse de fichier choisis et de si- gnaux de code-clé associés au chiffrement des données de fi- chier qui y sont mis en mémoire; en ce qu'un premier circuit ( 38) fonctionne en réponse à l'identification d'un emplace- ment d'adresse de fichier choisi pour déterminer, à partir des moyens d'enregistrement, le signal de clé de chiffrement qui y est associé afin de régler les moyens générateurs ( 23) pour qu'ils fournissent le signal de clé de chiffrement asso- cié; en ce que des moyens de déchiffrement ( 27) sont dispo- sés de façon à recevoir les signaux de clé de chiffrement des moyens générateurs et les données de fichier chiffrées des moyens de mémoire ( 17) et fonctionnent conformément à ladite combinaison de codage logique pour déchiffrer les données de fichier qui se trouvent audit emplacement d'adresse de fi- chier choisi; et en ce qu'un second circuit ( 38) est actionné après déchiffrement des données de fichier pour modifier le réglage des moyens générateurs afin qu'ils fournissent un nouveau signal de clé de chiffrement utilisé pour remettre en mémoire à l'emplacement d'adresse de fichier choisi les données de fichier nouvellement chiffrées avec le nouveau si- gnal de clé de chiffrement et pour modifier les moyens d'en- registrement afin de produire une indication du nouveau si- gnal de clé de chiffrement associé aux données de fichier qui se trouvent dans l'emplacement d'adresse de fichier choisi. 8 Appareil selon la revendication 7, caractérisé en ce que le premier circuit ( 38) fonctionne en réponse à l'indication par les moyens d'enregistrement ( 19) qu'un emplacement d'a- dresse de fichier choisi n'a pas été précédemment accédé pour régler les moyens générateurs ( 23) de façon qu'ils fournissent le signal de clé de chiffrement initial (Ko) aux moyens de dé- chiffrement ( 27). 9 Appareil selon la revendication 7, caractérisé en ce qu'il comporte des moyens ( 15) d'enregistrement d'accès pour mettre en mémoire des données représentatives de l'autorisa- tion donnée à des utilisateurs d'accéder sélectivement aux données de fichier contenues dans les moyens de mémoire ( 17); il et des moyens d'interdiction qui sont disposés de manière à recevoir les données d'identification d'un utilisateur et qui sont couplés auxdits circuits ( 38) pour empêcher les moyens générateurs ( 23) de fournir un signal de clé de chif- frement aux moyens de déchiffrement ( 27) pour un utilisateur identifié non autorisé. Appareil selon la revendication 9, caractérisé en ce que le second circuit ( 39) fonctionne en réponse à la remise en mémoire à l'emplacement d'adresse de fichier choisi des don- nées de fichier nouvellement chiffrées avec un nouveau signal de clé de chiffrement pour modifier l'autorisationde l'utilisa- teur identifié d'accéder audit emplacement d'adresse de fi- chier choisi dans les moyens ( 15) d'enregistrement d'accès. 11 Appareil selon la revendication 7, caractérisé en ce qu'il comporte des moyens d'initialisation couplés aux moyens générateurs ( 23), aux moyens de chiffrement ( 21), aux moyens dé déchiffrement ( 27) et aux moyens d'enregistrement ( 19) pour régler les moyens générateurs de façon à déchiffrer sé- lectivement les données de fichier dans chaque emplacement d'adresse de fichier en utilisant les signaux de clé de chif- frement fournis par les moyens générateurs et établis à par- tir des moyens d'enregistrement ( 19) pour chacun de ces em- placements d'adresse de fichier et pour rechiffrer les don- nées de fichier déchiffrées pour chaque emplacement d'adresse de fichier en utilisant un nouveau signal de clé de chiffre- ment initial (K O ') pour la remise en mémoire à l'emplacement d'adresse de fichier respectif. 12 Appareil selon la revendication 11, caractérisé en ce que les moyens d'initialisation fonctionnent en réponse à une indication des moyens d'enregistrement qu'aucun accès précédent n'a été effectué à un emplacement d'adresse de fichier choisi pour déchiffrer les données de fichier qui s'y trouvent en utilisant un signal de clé de chiffrement initial et pour rechiffrer les données de fichier déchif- frées en utilisant un nouveau signal de clé de chiffrement initial en vue de la remise en mémoire des données de fi- chier nouvellement chiffrées à l'emplacement d'adresse de fichier respectif. 13 Procédé selon la revendication 1 pour produire un enre- gistrement des accès à des fichiers, caractérisé en ce que les données de fichier qui sont chiffrées sous la forme de la combinaison logique des données de fichier et de signaux de clé de chiffrement choisis parmi une série de tels signaux sont mises en mémoire à des emplacements d'adresse de fichier choisis; en ce que les données de fichier qui se trouvent à un emplacement d'adresse de fichier choisi sont déchiffrées au moyen du signal de clé de chiffrement qui leur est associé conformément à ladite combinaison logique; en ce que les don- nées de fichier déchiffrées sont rechiffrées sous forme d'une combinaison logique de ces données avec un nouveau signal de clé de chiffrement en vue de leur remise en mémoire à l'em- placement d'adressede fichier correspondant; et en ce qu'un enregistrement des accès aux fichiers est produit sous forme de la compilation d'au moins le nombre de fois que chaque emplacement d'adresse de fichier choisi a été déchiffré et des informations indicatives des signaux de clé de chiffre- ment avec lesquels les données de fichier qui se trouvent à chaque emplacement d'adresse de fichier choisi y ont été re- chiffrées et remises en mémoire.