FR 2770071 A1 19990423 FR 9712974 A 19971016 SYSTEME D'IDENTIFICATION DE PERSONNES DESCRIPTION Domaine technique La présente invention concerne un système d'identification de personnes permettant, par exemple, un accès physique dans un lieu, ou un accès à un service ou à des informations. Etat de la technique antérieure Le domaine de l'invention est celui des serveurs et des cartes à microcircuits. Les serveurs actuels proposent l'accès à une ou plusieurs applications. Les services offerts par ces applications sont répartis en divers points de réseaux déterminés et éventuellement dans plusieurs serveurs. Le choix des services autorisés se fait à partir de caractéristiques inscrites dans une carte dédiée à une application. De tels serveurs présentent de nombreux inconvénients : - le changement des services offerts par une application particulière est très lourd - la sécurité de l'accès au serveur est plus ou moins assurée par la carte - en cas de vol ou de copie de carte, la sécurité disparait plus ou moins complètement, surtout si le code associé est aussi divulgué. Les cartes à microcircuits possèdent un maximum d'informations qui caractérisent l'application pour laquelle elles sont conçues. Mais leur contenu doit être sécurisé. De plus la sécurité de l'accès à l'information et des transactions doit être assuré par ces cartes. En outre, la multiplication des applications reposant sur des cartes conduit à entasser dans une même carte les applications les plus disparates. La technologie des cartes à contacts a montré ses limites dues à - l'usure des contacts - leur oxydation en cas d'une utilisation pas assez intensive - des résistances de contacts qui introduisent des affaiblissement de signaux - des courants de fonctionnement de plus en plus faibles, qui ne permettent par un courant de mouillage des contacts assurant un bon écoulement du courant et des impédances inter-contacts qui faiblissent sous certaines conditions climatiques et induisent des courants de fuite proches des courants de fonctionnement. La complexité croissante des cartes et des protocoles d'utilisation induit la nécessité d'échanges nombreux entre des entités parfois multiples. Ces échanges présentent plusieurs aspects négatifs - ils sont espionnables et il y a toujours une partie utilisable par un tiers puisqu'il y a une permanence d'informations utiles transmises (codées ou non) . Il n'est pas toujours nécessaire de retrouver l'information de base pour simuler une partie de I'échange ; - les erreurs de lecture et d'écriture dues à de mauvais contacts ou à des perturbations climatique ou électrique sont gênantes pour deux causes . elles sont difficiles à détecter et demandent de multiplier le même échange pour comparer les résultats et avoir une bonne chance de détenir la bonne information, . elles conduisent à des rejets ou des acceptations à tort. La tendance actuelle est de faire faire le plus de choses possible aux cartes. Pour leur donner la possibilité d'accéder à plusieurs applications, on multiplie les fichiers dans chaque carte. On obtient ainsi des cartes qui contiennent beaucoup d'informations. Mais, pour changer fondamentalement ces informations, il faut changer de carte, même si une seule application est touchée. La modification en ligne de ces informations conduit à des téléchargements avec tous les risques connus - mauvaise transmission - détournement de l'information ; - complexité d'une sécurisation de plus en plus illusoire. En cas de perte d'une carte multi-applications, il faut une procédure complexe de reconstitution de l'utilisation de la carte et on n' est jamais sûr que la carte soit reconstruite dans toute son intégrité. Il est très difficile de modifier les services offerts par une application parce qu'actuellement ces services sont souvent liés à un type de carte. La technologie actuelle dans les réseaux de publiphonie impose d'intervenir à tous les niveaux lors de l'introduction ou de la modification d'un service de télécommunication. En effet, quel que soit le service considéré, il faut introduire dans la carte le type de service que l'on veut offrir. Le publiphone doit être capable d'interpréter les nouvelles informations, voire d'offrir ce nouveau service. Enfin, le système de gestion des publiphones doit être modifié pour déployer et gérer ce service. Le plus souvent, un réseau de publiphonie est constitué d'un ensemble d'éléments qui concourent à la fourniture du service. I1 faut alors modifier tous ces éléments lors de l'introduction d'une nouvelle fonction. L'invention a pour objet de résoudre ces difficultés d'évolution en reportant toutes les évolutions au niveau d'une seule entité détenant toutes les données nécessaires à la fourniture du service. Exposé de l'invention La présente invention concerne un système d'identification de personnes, comprenant un réseau de télécommunication auquel est relié au moins un terminal apte à lire au moins une carte à microcircuit, permettant d'identifier un porteur et/ou un droit à un service, et un serveur, caractérisé en ce que la carte est une carte, dite à informations modifiables , contenant une information unique dont le contenu n' est connu que du serveur, et en ce que le serveur, dit universel , contient et gère les informations permettant de rendre le service auquel cette carte ouvre des droits. Avantageusement le serveur propose les fonctions suivantes - identification du porteur - gestion des codes confidentiels du porteur - association des cartes ou terminaux avec les applications ; - affectation des droits et services - création d'applications ou de services - gestion de la sécurité. Avantageusement le serveur dispose d'une table par porteur de carte comprenant pour chaque application les caractéristiques suivantes : identifiant, code confidentiel, nombre d'introductions, butée d'introductions, droits, services. Avantageusement la carte est utilisable une seule fois. L'information unique peut être changée à chaque échange sous contrôle du serveur à l'aide d'un code confidentiel. Avantageusement le champ principal de la carte, de longueur quelconque, contient un nombre aléatoire, attribué par un serveur, ce nombre étant unique durant toute son utilisation et inconnu du porteur. Il sert à identifier le porteur durant le temps accordé par le serveur. La carte contient au moins un champ ré-inscripzible ou non, sous contrôle du serveur, à savoir - éventuellement une zone de contrôle de bonne lecture - au moins un champ de type numérique ou alphanumérique qui identifie le porteur pour l'application concernée - éventuellement un ou plusieurs champs permettant d'identifier explicitement les applications concernées - éventuellement un champ donnant le numéro de la carte - éventuellement un champ code secret pour une application carte virtuelle - éventuellement une zone de messages libres pour inscrire des informations temporaires. Avantageusement la carte peut etre une carte sans contact. Avantageusement un mécanisme d'authentification entre la carte et le serveur permet de renforcer la sécurité. La création, la modification ou l'évolution du service sont réalisées en intervenant uniquement au niveau du serveur. Les avantages apportés par l'invention sont les suivants - le coût de la carte est diminué car elle contient une seule information - en cas de perte, la carte n' est pas réutilisable. En effet, elle ne contient aucun élément utilisable par un tiers. L'historique de la carte n'est pas perdu. On peut obtenir une nouvelle carte avec un nouveau nombre aléatoire et le contexte est rétabli en même temps que la sécurité - les droits, les services et la sécurité sont immédiatement modifiables par le serveur - personne ne connait l'information utilisée à un instant donné par le serveur - le coût des évolutions des services est minimisé. Il suffit d'introduire les modifications au niveau du serveur. Certaines modifications sont rendues possibles, alors qu'actuellement elles sont quasi impossibles en raison de l'effet de parc des cartes existantes. De même, l'introduction d'un service devient beaucoup plus rapide - le niveau de sécurité peut être modulé en fonction des besoins de l'application. La notion de clone disparaît car l'information contenue dans la carte est renouvelable à chaque utilisation - l'introduction ou la suppression de droit se fait au niveau du serveur en une seule manipulation simple. Cette fonction renforce la sécurité. Le domaine d'application de l'invention est celui de l'accès contrôlé à des applications, le paiement par carte à microcircuits et toutes les applications habituelles des cartes permettant d'identifier un individu. Dans une application à la publiphonie, le fonctionnement actuel du réseau de publiphonie n'est pas modifié. Seul un nouveau type de serveur est introduit. Plusieurs possibilités peuvent être envisagées. Une des possibilités immédiates est l'introduction de la fonction télécartes dans le serveur. Le crédit utilisable dans cette fonction peut provenir soit de la banque, soit d'un débit sur le compte opérateur, le tout sur un ordre via une carte à informations modifiables, la meme carte pouvant servir à utiliser ce crédit. Les possibilités d'introduction de nouveaux services sont considérablement accrues et simplifiées. Brève description des dessins - La figure 1 illustre le système de l'invention ; - la figure 2 illustre le système de l'invention dans une application à la publiphonie. Exposé détaillé de modes de réalisation La présente invention porte sur la création d'un nouveau type de cartes à mémoire, appelées Cartes à Informations Modifiables , contenant des informations dont la durée de validité est contrôlée par un serveur dit universel . Ce serveur permet de reconnaître le porteur de tous types de cartes, de ltorienter vers l'application désirée et de lui offrir les services proposés par cette application. Ce serveur permet en outre de modifier facilement les services offerts et d'en créer de nouveaux sans que la carte ne soit modifiée. La carte à informations modifiables associée au serveur universel a pour vocation d'assurer une sécurité modulable, qui ne dépend pas de la connaissance du contenu de la carte et est donc imperméable au vol ou à la copie. Le serveur universel Le serveur universel consiste à permettre l'accès à un service à partir d'une carte contenant une information unique et utilisable éventuellement une seule fois. Lorsque la carte est présentée à un terminal, celui-ci transmet, via un réseau de télécommunication, le contenu de cette carte au serveur. Ce serveur contient et gère les informations permettant de rendre le service auquel la carte ouvre des droits. L'information unique reçue de la carte permet d'identifier un porteur ou un droit à un service. Un mécanisme d'authentification entre la carte et le serveur renforce la sécurité. Lorsque le serveur a identifié et authentifié le porteur ou le droit au service, le réseau de télécommunication et le terminal rendent le service demandé. Comme l'ensemble du service est rendu à partir des informations contenues dans le serveur, la création, la modification ou l'évolution du (ou des) service(s) sont réalisées en intervenant uniquement au niveau du serveur. Le serveur identifie le porteur d'une carte et l'application correspondant au terminal ou au type de carte. Il modifie éventuellement le contenu de la carte. Il affecte le service demandé par le porteur en fonction de ses droits. Il peut éventuellement assurer la mise en place, en temps réel, d'une nouvelle application ou d'un nouveau service sans que la carte concernée ne soit modifiée. En cas de besoin, le serveur peut donner accès à des serveurs spécialisés. Le serveur propose les fonctions suivantes - identification du porteur - gestion des codes confidentiels du porteur - association cartes ou terminaux avec les applications - affectation des droits et services - création d'applications ou de services - gestion de la sécurité. Cette structure très simple permet une grande richesse de possibilités. Pour assurer ces fonctions, le serveur universel dispose principalement d'une table, par porteur de carte, dont la structure est donnée ciaprès Identité du porteur Types de carte Application I Application 2 Application n Carte type 1 Identifiant Identifiant Identifiant Code confidentiel Code confidentiel Code confidentiel Nombre d'introductions Nombre d'introductions Nombre d'introductions Butée d'introductions Butée Butée d'introductions Butée d'introductions Droits Droits Droits Services Services Services Carte type 2 Identifiant Identifiant Identifiant Code confidentiel I Code confidentiel Code confidentiel Nombre d'introductions i Nombre d'introductions Nombre d'introductions Butée d'introductions Butée d'introductions Butée d'introductions Droits Droits Droits Services Services Services Carte type x Identifiant Identifiant Identifiant Code confidentiel Code confidentiel Code confidentiel Nombre d'introductions ! Nombre d'introductions Nombre d'introductions Butée d'introductions i Butée d'introductions Butée d'introductions Droits Droits Droits Services Services Services avec Identifiant : Identifiant du porteur pour ce type de carte et cette application Code confidentiel : Code confidentiel associé à la carte pour cette application Nombre d'introductions : Nombre d'introductions depuis le dernier changement de numéro (carte à informations modifiables) Butée d'introductions : Nombre maximum d' introductions entre deux changements de numéro (carte à informations modifiables) Droits : Droits du porteur pour cette application Services : Services offerts par l'application pour ce type de carte En fonctionnement un terminal est relié à une application identifiable par le serveur. Quand le client entre sa carte dans le terminal, il est mis en liaison avec le serveur. Ce dernier identifie le porteur soit par les moyens habituels, soit par la procédure propre à une carte à informations modifiables. Si la gestion de la sécurité lui est confiée, le serveur assure cette fonction. C'est le cas avec une carte où il change le numéro du porteur, si la butée du nombre d'insertions est atteinte. Il aiguille ensuite la liaison vers l'application concernée. Pour changer les droits on modifie le champ droits correspondant. Pour créer un nouveau service on crée les fonctions de ce service soit dans le serveur universel, soit dans un serveur particulier. Il faut alors introduire les informations correspondant à ce service dans le champ services . Quand une application est créée, on peut lui affecter n'importe quel type de carte en créant un nouvel ensemble application n + 1. La figure 1 illustre le système de l'invention, avec la structure complète de la chaîne du serveur universel. La carte à informations modifiables La carte à informations modifiables contient un champ dont le contenu n'est connu que par le serveur. Ce champ peut être changé à chaque échange sous contrôle du serveur, à l'aide d'un code confidentiel. S'il y a une forte probabilité de fraude, le serveur peut introduire un processus de changement automatique de code connu seulement par l'utilisateur qui en a décidé les modalités. Un nuage de points peut permettre de contrôler la bonne lecture de la carte afin de s'assurer que le champ est correctement lu. Une carte à informations modifiables contient au moins un champ, ré-inscriptible ou non, sous contrôle du serveur. Les champs sont typiquement - une zone de contrôle de bonne lecture - au moins un champ de type numérique ou alphanumérique qui identifie le porteur pour l'application concernée (seul ce champ est indispensable) - des champs permettant d'identIfier explicitement les applications concernées - un champ donnant le numéro de la carte - un champ code secret pour une application carte virtuelle - une zone de messages libres pour inscrire des informations temporaires. Caractéristiques de ces différents champs et zones o Zone de contrôle de bonne lecture (ZCBL) Cette zone est utilisée en lecture seulement. Cette zone construite à l'aide d'un nuage de bits est conçue de façon à ce que les différents bits, par leur emplacement et leur valeur, permettent de garantir au mieux une bonne lecture. Si ces bits sont bien lus, il y a de grandes chances pour que le reste soit correctement lu. Cette zone peut être constituée d'un simple champ de 32 bits. Le champ 1010110011001110001 1100011110000 A | C C E 3 8 j F O est un bon exemple. Il peut s'agir de tous les premiers bits de tous les champs qui sont forcés à une valeur prédéterminée. On peut envisager que ce soit des bits répartis en nuage sur toute l'étendue de la mémoire. Cette zone est lue par le terminal et transmise au serveur qui la compare à l'information correspondante qu'il a en mémoire. S'il n'y a pas concordance entre la zone et l'information, le message réintroduisez votre carte est transmis au client. Après deux réintroductions sans succès, la carte est réputée mauvaise et le serveur tente d'inscrire une suite de A (hexadécimal) sur toute la carte. On obtient le motif 1010 1010 1010 1010 1010. 11010 A A A A A A Il ne reste plus au possesseur de la carte qu'à recommencer la procédure d'initialisation de sa carte. Champ qui identifie le porteur pour l'application concernée Ce champ est utilisé en lecture et écriture. C'est le seul qui soit indispensable. De type numérique ou alphanumérique, et de longueur quelconque, il contient le nombre aléatoire déterminé par le serveur universel. Champs identifiant explicitement les applications con cernées Ces champs sont, en principe, utilisés en lecture seulement. Ces champs, spécifiques aux applications concernées, permettent d'aiguiller vers une application donnée, si le terminal peut être utilisé par plusieurs applications. Champ donnant le numéro de la carte Ce champ est utilisable en lecture seulement. Ce champ, classique, permet de repérer le support physique de la carte. Champ code secret pour une application carte virtuelle Ce champ est utilisable en lecture seulement. C'est un champ à usage particulier. Zone de messages libres pour inscrire des informations temporaires Cette zone est utilisable en lecture et écriture. Cette zone peut contenir les informations utiles au porteur de la carte. Elle est optionnelle et accessible librement. La carte peut être une carte sans contact qui permet de limiter encore les problèmes de lecture et écriture, la technologie de telles cartes sans contact étant, de plus, parfaitement adaptée à un échange de champs, comme cela est nécessaire ici. Dans un exemple de réalisation le champ principal de la carte, de longueur quelconque, contient un nombre aléatoire, attribué par le serveur. Ce nombre est unique durant toute son utilisation. Il est inconnu du porteur. Il sert à identifier le porteur durant le temps accordé par le serveur. A l'introduction de la carte, le serveur reçoit ce nombre et identifie le porteur actuel de ce nombre. Trois cas peuvent se produire - le serveur accorde l'accès au service après cette simple identification et ne fait rien d'autre - le serveur décide le changement de ce nombre et le fait sous contrôle du code confidentiel du porteur - le serveur demande le changement de ce nombre et enclenche en plus un changement de code dont la procédure est connue du porteur. Dans un exemple d'application du système de l'invention au publiphone, on a les étapes suivantes - le porteur introduit sa carte dans un publiphone. Le serveur sait qu'il lui reste un compte de, par exemple, 45 unités Il accorde la communication - c'est, par exemple, la troisième introduction de la carte avec ce nombre. Le serveur calcule qu'après ces trois introductions il faut changer ce nombre. Il en choisit un nouveau, demande le code courant, et écrit ce numéro dans la carte et le relit (avec éventuellement un champ qui permet de fiabiliser la lecture) - le code confidentiel peut être fiabilisé par une procédure automatique, mise en oeuvre par le serveur. Par exemple le code de base est JPM. On peut décider qu'on ajoute le mois et l'année comme suit J02P97M où 02 est le mois et 97 l'année. Le processus peut être varié à l'infini et défini par le porteur. Ainsi en cas de copie de ce qui se passe en ligne et sans codage (on peut bien sûr en introduire un), l'utilisation de la carte est presque impossible si on change le numéro à chaque introduction. Exemples de fonctionnement de la carte Dans un exemple de fonctionnement la table correspondant à Jean-Pierre Mounier du CNET de Caen a le contenu suivant Types de carte Application 1 Application 2 Application n Exemple Banque I Exemple Banque 2 Exemple : Publiphone Carte type 1 Numéro carte courant | Interdit Numéro carte courant Code confidentiel Code confidentiel Carte à Nombre d'introductions . ~ Nombre d'introductions informations Butée d'introductions Butée d'introductions modifiables Droits Droits Services Services Carte type 2 Identifiant Identifiant Identifiant Code confidentiel Code confidentiel Code confidentiel Carte bleue Droits Droits Droits Services Services Services Carte type x Identifiant Code confidentiel Cartes Droits France Telecom Services Fonctionnement: avec une carte de type 1 pour l'application 1 C'est une carte à informations modifiables qui ne contient, dans ce cas là, que trois champs - un champ Chl de contrôle de bonne lecture - un champ Ch2 numérique pour l'application 1 - un champ Ch3 numérique pour l'application n. Pour l'application 1 le porteur a le droit de consulter son compte et doit présenter son code à chaque utilisation. Le serveur identifie un terminal bancaire. C'est donc l'application 1 qui est concernée. Il lit le champ Chl et le numéro contenu dans le champ Ch2. Le contenu du champ Chl lui indique que la lecture est correcte et le champ Ch2 lui donne le numéro actuel du porteur. Eventuellement, le serveur procède au changement de numéro en gestion de la sécurité. Enfin il demande l'accès à la lecture du compte du porteur au serveur bancaire. Fonctionnement avec un carte de type 1 pour l'application n C'est une carte à informations modifiables qui ne contient, dans ce cas là, que trois champs - un champ Chl de contrôle de bonne lecture ; - un champ Ch2 numérique pour l'application 1 - un champ Ch3 numérique pour l'application n. Pour l'application n le porteur a le droit de téléphoner si son avoir d'unités téléphoniques est supérieur à cinq, sinon il doit créditer cet avoir d'au moins cinquante unités, le montant de ces unités sera prélevé sur son compte téléphonique. Le montant de la communication vient décrémenter son avoir. Le serveur identifie un publiphone C'est donc l'application n qui est concernée. Il lit le champ Chl et le numéro contenu dans le champ Ch3. Le contenu du champ Chl lui indique que la lecture est correcte et le champ Ch3 lui donne le numéro actuel du porteur. Eventuellement, le serveur procède au changement de numéro en gestion de la sécurité. Le serveur contrôle le montant de l'avoir. Si cet avoir est correct, il donne la communication. Sinon il envoie le message créditez votre avoir s'il vous plaît puis montant du versement , le client indique au clavier le nombre d'unités (ou la somme) désiré. Enfin, après avoir crédité l'avoir, le serveur accorde la communication. On décrit ainsi, en fait, une télécarte rechargeable via le serveur de l'invention. Application à la publiphonie Comme illustré sur la figure 2, le fonctionnement actuel du réseau de publiphonie n' est pas modifié. Seul le nouveau serveur est introduit. Plusieurs possibilités peuvent être envisagées. Une des possibilités immédiates est l'introduction de la fonction télécartes dans le serveur universel. Le crédit utilisable dans cette fonction peut provenir soit de la banque, soit d'un débit sur le compte, le tout sur un ordre via une carte à informations modifiables, la même carte pouvant servir à utiliser ce crédit. Les responsabilités d'introduction de nouveaux services sont considérablement accrues et simplifiées. Modes particuliers de réalisation de la carte O Cartes virtuelles sécurisées La carte contient deux champs - un champ Chl ACCE38F0 par exemple qui permet de contrôler que la carte est lue correctement - un champ Ch2 de x bits qui contient un numéro quelconque. Ces deux champs sont transmis au serveur. Si le champ Chl est correct, c'est que la carte est correctement lue. Le champ Ch2 permet d'identifier le porteur de la carte en le cherchant dans la liste des numéros en cours d'attribution et de lui donner le service qu'il demande s'il y a droit. Périodiquement, le serveur change le champ Ch2 dans la carte et dans sa table. Le champ Ch2 n'est connu de personne. Il ne peut être utilisé que dans le type de terminal pour lequel il est attendu par le serveur. Un champ Ch3 peut être introduit pour contenir le code confidentiel pour une utilisation possible de la carte en mode carte virtuelle automatisée avec une lecture fiabilisée. Cartes à informations modifiables multi-applications complexes Cette carte contient neuf champs - un champ contient ACCE38F0 par exemple, ce qui permet de contrôler si la carte est lue correctement - sept champs numéros - un cnamp aide-mémoire. Une image à un instant t d'une carte à informations modifiables complexe peut être la suivante 32 bits Exemples Champ de contrôle de bonne lecture Application 1 Application 2 Application 3 Application 4 Application 5 Application 6 Application 7 Hexadécimal ACCE38FO = 294 967 295 2x5x7=70 = 294 967 295 3x3x3=27 = 294 967 295 13x17=221 = 294 967 295 11x17=187 = 294 967 295 = 967 295 2x5x23=230 N Date/heure Aide Numéro de vol Mémoire Porte embarquement Numéro de place Code bagage Etat de santé France Telecom Banque I Banque 2 Bus Péage Parking Aéroport Cette carte peut contenir, dans la forme qui lui est donnée ici, sept applications différentes. Le serveur admises avant le changement de numéro) . Il faut donc changer le numéro de la carte pour cette application. Le terminal choisit le numéro 04004. Le serveur envoie au terminal le message entrez votre code s'il vous plaît . Jean-Pierre Mounier frappe 1943 sur le terminal. Le code est contrôlé comme bon. Le serveur envoie 04004, au terminal qui inscrit ce numéro en lieu et place du 00070. Le terminal relit la carte et le serveur cqntrôle le premier champ de la ligne application 1. Il ne reste au serveur qu'à donner accès au service désiré par Jean-Pierre Mounier, si ce service lui est offert. A la prochaine introduction le serveur lira 04004. C'est maintenant le numéro de Jean-Pierre Mounier dans cette application. 40004=2x2x7xllx13 et 2+2+7+11+13=35 et 5+3=8. Il n'y a pas lieu de changer le numéro et le service est offert immédiatement à Jean-Pierre Mounier. Pour l'application 7 (celle des aéroports), le terminal de l'aéroport a affecté le numéro 00230 à Jean-Pierre Mounier pour le vol 0045 vers le Maroc le 6 novembre 1996 à 9h30, avec la place A5. En introduisant sa carte dans le lecteur de poche, il a toutes les informations plus le numéro de la porte d'enregistrement. Ses bagages pourront être retrouvés à l'aide de la copie des codes barres qui donnent leur numéro d'enregistrement et en cas de malaise l'hôtesse de l'air n'aura qu'a lire cette carte pour savoir qu'il est diabétique et qu'un simple morceau de sucre le tirera du coma. Fonctionnement du serveur avec une carte à informations modifiables A l'achat de la carte à informations modifiables, le client choisit un code de quatre chiffres qui lui convient, par exemple 1943. Depuis le terminal de l'application, le gestionnaire du serveur ou de l'application - introduit la carte - tape le nom de l'utilisateur et autres informations d'identité ; - donne le code confidentiel choisi par l'utilisateur ; - indique les droits acquis par le client. Le serveur - choisit un numéro de porteur inutilisé dans l'application et l'affecte au client - inscrit dans la carte une zone de contrôle de bonne lecture (ACCE38F0 est un bon exemple), * le numéro choisi - fait relire le tout par le terminal et le contrôle ; - décompose le numéro en nombres premiers, fait la somme des nombres premiers puis la somme des chiffres du nombre obtenu. le chiffre obtenu donne le nombre d'introductions de la carte avant que le serveur ne change de numéro sous contrôle du code secret. Dans un premier exemple - le numéro est 1650=2x3x5x5xll ; - 2+3+5+5+11=26 et 2+6=8. La carte contient ACCE38F0 000001650 Le serveur contient Nom - Prénom Mounier Jean-Pierre Application France Telecom Numéro 000001650 Code confidentiel 1943 Butée d'introductions 8 Nombre d'introduction O Droits 1000 unités gratuites Services numérotation abrégée, conférence à trois Le client a sa carte, il est maintenant connu du serveur. On a les étapes suivantes O De une à sept introductions de la carte : on lit ACCE38F0 . C'est une carte à informations modifiables et elle est bien lue - numéro lu = numéro serveur c' est bien Jean Pierre Mounier qui téléphone. Il a consommé moins de 1000 unités, il ne paye pas - nombre d'introductions = nombre d'introductions + 1. o A la huitième introduction de la carte : on lit ACCE38F0 . C'est une carte à informations modifiables et elle est bien lue. On a les étapes suivantes - numéro lu = numéro serveur. C'est bien Jean Pierre Mounier qui téléphone. Il a consommé moins de 1000 unités, il ne paye pas - nombre introduit = butée introduite = > il faut changer le numéro - le serveur tire un numéro 589050=2x3x5x5x5x5x7xll, 2+3+5+5+5+5+7+11 = 43 et 4+3=7. La carte contient ACCE38F0 000589050 Le serveur contient Nom - Prénom | Mounier Jean-Pierre Application France Telecom Numéro 000589050 Code confidentiel 1943 Butée d'introductions 7 Nombre d'introduction 0 Droits 987 unités gratuites Services numérotation abrégée, conférence à trois Dans un second exemple Un lot de cartes a disparu. Toutes les butées d'introduction passent à 1 et les nombres d'introductions à 0. Tous les utilisateurs doivent présenter leur code. Dans un troisième exemple Une carte est perdue et son possesseur veut changer de code confidentiel. On lui fait simpiement une nouvelle carte. Rien n'empêche d'inscrire le numéro de façon brouillée, mais c'est inutile puisqu'il n'y a aucun lien entre le numéro, l'application, le possesseur de la carte, le code.... Même le nombre d'introductions est en général ignoré par l'utilisateur. La possession du numéro ne suffit pas, il faut utiliser un terminal de l'application. Le premier champ peut etre utilisé pour identifier l'application. Carte à informations modifiables et sécurité modulable la carte contient au moins un champ de contrôle de bonne lecture et un champ numéro. Si on veut ajouter une sécurité il suffit d'ajouter une demande de code secret dans le serveur. cette demande peut être modulée en fonction du nombre d' introductions. Pour ajouter une application, il faut ajouter un champ dans la carte. Les champs numéros sont gérés dynamiquement par le serveur. On peut faire éventuellement gérer le champ contrôle de bonne lecture par le serveur. La longueur des champs n'est donnée qu'à titre d'exemple. Rien n'interdit d'avoir un champ unique pour toute la mémoire disponible. 16 bits Champ de contrôle de bonne lecture Application 1 Application 2 Application n Hexadécimal = = = 294 967 295 Rien n'empêche, si le besoin s'en fait sentir, de sécuriser la liaison carte/terminal/serveur par les moyens habituels (cryptage, codage, clés, ..) mais la sécurité intrinsèque due à la décorrellation du numéro avec le porteur et la possibilité du changement immédiat du couple numéro/porteur semble suffisante. O Calculs sur les numéros et les nombres d'introductions avant changement de numéro Pour attribuer un numéro on prend le numéro qui suit le dernier attribué. Quand la capacité maximale du champ est atteinte, on cherche le premier trou , c'est-à-dire le premier numéro non affecté, dans la liste des numéros attribués. Ce numéro est décomposé en facteurs premiers. La somme de ces facteurs premiers donne un nombre. La somme des chiffres de ce nombre donne un autre nombre. On répète l'opération jusqu'à ce que le résultat soit inférieur ou égal à neuf. On obtient ainsi le nombre maximal d'introductions avant changement de numéro dans la carte. Par exemple numéro = 0 178 082 905 = 5x7x7xllx13x13x17x23 5+7+7+11+13+13+17+23 = 113 et 1+1+3 = 5 Un changement de numéro se fait en prenant le numéro suivant (voir plus haut) et en supprimant le numéro en cours, ce qui fait un trou dans la liste des numéros en cours. C'est une méthode suffisamment aléatoire pour les besoins considérés ici. Rien n'empêche d'utiliser une autre méthode et même de conserver le numéro courant, la sécurité pouvant être assurée par ailleurs. O Utilisation des codes confidentiels Chaque application peut avoir un code confidentiel propre pour une carte donnée. On peut reprendre un exemple précédent Numéros Codes confidentiels Nombre introduit avant changement Champ de contrôle de bonne lecture Application I Application 2 Application 3 Application 4 Application 5 Application 6 Application 7 Hexadécimal ACCE38F0 = 294 967 295 1943 2x5x7=70 = 294 967 295 3333 3x3x3=27 = 294 967 295 = 294 967 295 Bonjour 13x17=221 = 294 967 295 okl 1lx17--187 = 294 967 295 = c'est moi 2x5x23=230 Les codes confidentiels contenus dans le serveur sont donnés dans la troisième colonne. On voit que les applications 4, 5 et 7 ont des terminaux qui sont capables de fournir des codes alphanumériques. Ces codes peuvent servir à tout moment. Par exemple - à chaque introduction de la carte ; - quand la butée d'introductions est atteinte - quand un événement demande une authentification particulière - quand le client ou le gestionnaire du serveur ou de l'application veulent sécuriser la transaction. Ces codes peuvent être changés à l'initiative des mêmes intervenants ou périodiquement suivant un protocole défini à l'avance avec l'utilisateur. Leur utilisation prend ici une souplesse jusqu'alors inconnue. Toutes les transactions peuvent être sécurisées par les moyens habituels. Tqplantation physique de la carte à infonnations modifiables L'implantation idéale est celle d'une carte sans contact. Les intérêts des cartes sans contact sont - l'absence de contact réduit les problèmes de lecture et d'écriture à néant - cette absence de contact élimine les problèmes d'usure tant sur la carte que sur le terminal (surtout sur ce dernier) - le coût de la carte sans contact est très faible - les transactions prévues sont exactement du genre idéal pour la carte sans contact une lecture en bloc, une écriture d'un bloc, une relecture d'un bloc. Les fraudes semblent a priori plus difficiles (le champ magnétique est très localisé, l'introduction dans le lecteur d'une antenne loin d'un module externe donnerait un affaiblissement incompatible avec un fonctionnement acceptable de la transaction ....). L'association carte à informations modifiables/carte sans contact et serveur identité/ services cumule tous les avantages techniques et de coût. Avantages du système de l'invention 1/ Pour la carte à informations modifiables o La carte ne contient plus aucune information utilisable sans le serveur associé : les fraudes par clonage de télécarte sont automatiquement éliminées. La fonction télécarte est assurée dans le serveur et la télécarte ainsi définie peut être rechargée directement de serveur à serveur, sous contrôle du possesseur de la carte, sans qu'il y ait besoin d'introduire une nouvelle carte, par exemple bancaire. Les messages qui circulent entre la carte et le serveur ne peuvent pas être utilisés par un tiers qui les copierait : les messages ne contiennent aucune information concernant l'identité du porteur de la carte. De plus la copie du numéro transmis ne peut servir plus d'une fois si le serveur est programmé pour une demande de code à chaque transmission. Pour parer à une saisie frauduleuse du code confidentiel, une sécurité supplémentaire peut être mise très facilement en oeuvre au sein du serveur par une modification dynamique des codes et ce en dehors de tout cryptage. O Le support idéal pour cette carte est une carte sans contact : les cartes actuelles, à contacts, présentent des inconvénients majeurs dus aux mauvais contacts ou aux impédances parasites entre contacts. En particulier, on constate de nombreuses erreurs de lectures qui, suivant le type de carte, ont des conséquences plus ou moins graves, allant du rejet à tort de la carte à la destruction de son pouvoir financier. L'utilisation d'une carte sans contact avec une seule lecture et une seule écriture permet d'éliminer les problèmes de mauvaise lecture. O La perte de la carte ne provoque pas la perte du contexte de cette carte : dans le cas d'une utilisation de la carte en multiplication, le contexte de chaque application (évolution des droits, des avoirs, des utilisations, ...) est contenu dans le serveur et plus dans la carte. Actuellement, la perte d'une carte multiplication peut conduire à l'impossibilité de restituer une carte ayant les mêmes caractéristiques puisque le contexte est perdu en même temps que la carte. Une carte copiée sur une carte réelle n'a aucune utilisation possible .: en effet le contenu de la carte devient obsolète avant la fabrication de la carte. Une carte vierge n'a aucune utilisation possible puisque le champ utile n'est pas rempli par le serveur. O Le coût de la fabrication est faible : il s'agit d'une carte à mémoire et non d'une carte à microprocesseur. Si on l'implante dans une carte sans contact les coûts sont minimisés pour l'encartage et pour la personnalisation. L'entretien des terminaux est réduit puisque l'état des contacts des lecteurs n'est plus à prendre en compte. 2/ Pour le serveur de l'invention O Le niveau de sécurité devient modulable : la fonction de sécurité est en grande partie assurée par le serveur qui décide, par exemple, s'il faut demander la présentation d'un code à chaque utilisation de la carte. Le serveur peut aussi gérer des codes confidentiels évolutifs. Il est également possible de sécuriser les messages, très courts et non répétitifs, échangés entre la carte et le serveur. L'application concernée par la carte peut être complètement modifiée sans qu'il soit nécessaire de changer la carte : en particulier on peut faire évoluer les droits du porteur sans rien modifier dans la carte. o Il est très facile d'introduire un nouveau service : il suffit de créer le nouveau service et d'introduire l'accès à ce nouveau service dans le serveur pour que le porteur de la carte puisse en bénéficier sans qu'on lui change sa carte, d'où un gain de temps et d'argent considérable. Dans le cas d'une carte classique il faut caractériser le nouveau service dans la carte, alors que dans le système de l'invention il suffit d'intervenir dans les tables du serveur. O Il est très facile de suivre l'évolution de l'utilisation de la carte : on peut alors cibler certains services pour le porteur de la carte. On peut par exemple faire des offres promotionnelles ciblées à partir du type de consommation du porteur. L'invention va à contre-courant de certaines tendances actuelles dans le domaine des cartes. Les encarteurs poussent à la fabrication de cartes de plus en plus complexes, de plus en plus chères. Dans le cadre de l'invention, c'est le serveur qui encaisse la charge de la complexité. Il semble plus facile de faire un ou quelques serveurs que des millions de cartes. La carte n'a plus de valeur fiduciaire intrinsèque. Les transactions financières n'ont lieu qu'entre serveurs et bénéficient des protections liées à ces échanges. REVENDICATIONS 1. Système d'identification de personnes comprenant un réseau de télécommunication auquel est relié au moins un terminal apte à lire au moins une carte à microcircuits permettant d'identifier un porteur et/ou un droit à un service, et un serveur, caractérisé en ce que la carte est une carte à informations modifiables contenant une information unique dont le contenu n'est connu que du serveur, et en ce que le serveur contient et gère les informations permettant de rendre le service auquel cette carte ouvre des droites. 2. Système selon la revendication 1, dans lequel le serveur propose les fonctions suivantes - identification du porteur - gestion des codes confidentiels du porteur - association des cartes ou terminaux avec les applications - affectation des droits et services - création d'applications ou de services - gestion de la sécurité. 3. Système selon la revendication 1, dans lequel le serveur dispose d'une table par porteur de carte comprenant pour chaque application les caractéristiques suivantes : identifiant, code confidentiel, nombre d'introductions, butée d'introduction, droits, services. 4. Système selon la revendication 1, dans lequel la carte est utilisable une seule fois. 5. Système selon la revendication 1, dans lequel l'information unique peut être changée à chaque échange sous contrôle du serveur à l'aide d'un code confidentiel. 6. Système selon la revendication 1, dans lequel le champ principal de la carte, de longueur quelconque, contient un nombre aléatoire, attribuée par un serveur, ce nombre étant unique durant toute son utilisation, inconnu du porteur et servant à identifier le porteur durant le temps accordé par le serveur. 7. Système selon la revendication 1, dans lequel la carte contient au moins un champ, sous contrôle du serveur, à savoir - éventuellement une zone de contrôle de bonne lecture - au moins un champ de type numérique ou alphanumérique qui identifie le porteur pour l'application concernée - éventuellement un ou plusieurs champs permettant d'identifier explicitement les applications concernées - éventuellement un champ donnant le numéro de la carte - éventuellement un champ code secret pour une application carte virtuelle - éventuellement une zone de messages libres pour inscrire des informations temporaires. 8. Système selon la revendication 1, dans lequel la carte est une carte sans contact. 9. Système selon la revendication 1 comprenant un mécanisme d'authentification entre la carte et le serveur. 10. Système selon la revendication 1, dans lequel la création, la modification ou l'évolution du service sont réalisées en intervenant uniquement au niveau du serveur. 11. Utilisation du système selon l'une quelconque des revendications 1 à 10, dans le domaine de la publiphonie.