FR 2839406 A1 20031107 FR 0205514 A 20020502 transmission de ccux-ci a la couche superieure. PROCEDE DE TRANSMISSION DE COURRIERS ELECTRONIQUES La presente invention concerne le domaine du courrier electronique avec accuse de reception, et plus particulierement ltenvoi de courriers electroniques recommandes, permettant a l'expediteur d'obtenir la preuve de l'envoi de son courrier, ainsi que de la reception et liouverture du fichier electronique correspondent. On conna1t dans ltetat de la technique differentes solutions de courrier electronique securise. Le service PosteCS (marque deposee) divulque par exemple sur le site internet https://fr.postecs.com/ decrit une solution pour la transmission de documents numerique avec une tracabilite garantie et production d'avis de reception entre des systemes de courrier heterogenes, y compris ceux qui interagissent simplement avec les serveurs de courrier electronique dans Internet. En plus de posseder des fonctions de securite et de suivi que n'offre pas le courrier electronique, le service PosteCS permet de transmettre n'importe quel format de fichier pour un ensemble varie de systemes, de passerelles et de clients sans compromettre la fidelite du document. Le destinataire est avise de la taille du document avant de le telecharger, ce qui lui permet de le faire au moment qui lui convient le mieux et avec le meilleur equipement disponible. Cette solution n'est pas totalement satisfaisante, car elle ne permet pas de garantir l'identite des parties en cause dans l'echange du document numerique. La demande de brevet israelien IL119430 decrit un procede de transfert de courrier electronique comprenant des messages enregistres et securises utilisant des moyens de communication dans lesquels l'envoyeur recoit une preuve de la remise effective du message du courrier electronique au destinataire. Le destinataire peut soit accepter le message soit le refuser. Une pluralite de centres connectes en un reseau hierarchise de centres de dissemination a cles, utilise des certificate pour fournir les cles de codage public aux correspondents desirant effectuer des communications par courrier electronique securise. Le reseau peut egalement comprendre une pluralite d'intermediaires ou de bureaux de posse pouvant etre utilises pour un courrier recommande officiel. Le procede permet trots modes de transmission de courrier electronique: - un systeme de message securise sans rec,u de transmission; - un courrier recommande d'affaires dans lequel la transaction est directe entre les correspondents et un requ est renvoye a l'envoyeur; - et un courrier recommande officiel dans loquel un intermediaire participe a la transaction pour l'envoi du message de courrier electronique au second utilisateur et fournit un requ au premier utilisateur. La demande de brevet PCT decrit un systeme d'acheminement de documents electroniques, qui permet d'echanger des blocs comportant une signature numerique et un chiffrement a cle publique, sans necessiter de pre installer sur l'ordinateur destinataire des logiciels de protection a cle publique specialises. Un URL d' identification du bloc est envoye a l'ordinateur destinataire par courrier electronique. Une fois l'URL re,cu par Internet, des instructions informatiques vent ensuite transmises a l'ordinateur destinataire, sous forme d'un apples, par exemple, pour effectuer l 'extraction et le traitement du bloc. Ce traitement peut comprendre le decryptage d'une ou plusieurs parties du bloc et la verification d'une signature associee au bloc. Un autre brevet PCT W00191403 concerne un procede et un systeme destines a envoyer du courrier electronique securise consistent a recevoir un massage provenant d'un expediteur, a traiter le message dans une couche filtrante, et a recuperer des preferences de distribution du destinataire. Pour une distribution sur le web, on construit un message de format crypte standard que lion stocke en attente. On produit alors un message de courrier electronique qui contient un lien hypertexte avec le message stocke en attente. Sur requete, le message est recupere puis envoye au destinataire. On connalt egalement le brevet americain US64403600 qui concerne un systeme de manipulation de courrier electronique dans lequel des messages de courrier electronique vent entree, transportes et stockes, et qui comprend: - un organe d'archivage central de cles; - un moyen permettant de chiffrer un message a ['aide d'une cle associee au message; - un moyen permettant d'aj outer la cle dans l'organe d'archivage central de cles; et un moyen permettant d' effacer la cle d'un message loreque l'on souhaite que le message ne puisse plus etre rappele. Toutes ces solutions presentent le meme inconvenient de ne pas garantir a l'expediteur l'identite reelle du recipiendaire qui a recupere le courrier electronique. Le but de la presente invention est de remedier a cet inconvenient en proposant une solution amelioree, permettant de garantir des modalites similaires a celle d'un courrier recommande physique, avec des moyens informatiques simplex, ne necessitant pas de modification des equipements informatiques des utilisateurs. A cet effet, l' invention concerne selon son acception la plus generale un procede de transmission de courriers electroniques comportant: À Une etape prealable d' inscription de l'expediteur, consistent a transmettre a l'operateur des informations d' identification de l'utilisateur comportant une adresse de courrier electronique et une adresse physique de l'utilisateur, et a generer en retour une cle d'activation electronique constituee par un couple unique comprenant un identifiant [login] et une cle; À Des etapes de generation diun courrier electronique consistent a fabriquer sur l'equipement informatique de l'expediteur un fichier numerique et a transmettre ce fichier numerique a un serveur informatique de l'operateur; À L'etape de generation du courrier electronique et ant suivie par une etape de notification de la disponibilite d'un nouveau courrier electronique et par une etape de transfert audit courrier sur ltequipement informatique du destinataire caracterise en ce qu'il comporte une etape additionnelle d' inscription du destinataire prealable a la reception d'un premier courrier par ledit destinataire, consistent a transmettre a ltoperateur des informations d'identification du destinataire comportant une adresse de courrier electronique et une adresse physique audit destinataire, et a generer en retour une cle d'activation electronique constituee par un couple unique comprenant un identifiant [login] et une cle. Avantageusement, les communications entre le serveur et l'equipement informatique d'un utilisateur vent realisees sous forme de chalnes d'appel d'une page numerique comprenant une cle de session presentant une duree de validite limitee. Selon une variante, la cle de session comprend l'identifiant de l'utilisateur, et en ce qu'une page appelee transmet systematiquement cette cle a la page suivante. Avantageusement, la cle de session comporte en outre une variable temporelle fonction de la date de creation de la cle. Selon un mode de mise en uvre particulier, le procede selon l' invention comporte une etape de verification par le serveur de l'operateur de la validite de la cle de session, et de rejet de la requete en cas de verification negative. Selon une variante particuliere, toute manipulation externe sur les parametres de validite de la cle de session est protegee par un cryptage qui as soc ie l es informat ions de cle de session et date de creation. L'invention sera mieux comprise a la lecture de la description qui suit, se referent aux dessins annexes relatifs a un mode de realisation non limitatif, ou la figure unique correspond au schema des echanges entre les equipements informatiques mis en uvre. L' invention telle que decrite en reference a la figure 1 met en muvre un equipement informatique (1) d'un emetteur de messages, par exemple un ordinateur avec un navigateur et des moyens d'acces au reseau internet. L'operateur met en uvre un serveur (2) relic a Internet. Le destinataire de courriers dispose egalement d'un equipement informatique (3). Les echanges entre les differents equipements (1 a 3) s'effectuent, entre correspondents identifies selon un mode securise tel que https (cryptage SSL). L'echange de courriers numeriques en recommande avec accuse de reception, entre deux correspondents identifies, se deroule en 4 etapes principales: - L'expediteur remet sur son compte chez ltoperateur du service, en mode securise, son courrier numerique destine a son correspondent. Lorequ'il confirme lienvoi, le serveur (2) genere un Certificat de dep8t; Simultanement, le serveur (2) transmet au destinataire une notification de mise en instance de courrier; - Pour prendre connaissance du courrier, le destinataire doit se connecter a son compte chez le serveur (2) et acceder a sa bolte de reception. I1 peut ainsi fire et/ou telecharger, en mode securise, les fichiers qui lui vent destines. - A ['issue de cette operation, le serveur (2) - en sa qualite de tiers de confiance - remet a ltexpediteur un accuse de reception horodate. Les documents remis par le serveur (2) portent une reference unique qui a valeur de preuve. La procedure d' identification de l'expediteur (fleches 5) ou du destinataire (fleche 8) prealable a toute autre operation consiste, d'une part, a faire correspondre l'identite d'une personne, ses coordonnees personnelles ou professionnelles ainsi que son adresse de courrier electronique, et d'autre part, a authentifier sa signature manuscrite afin de valider la valeur juridique de l' accuse de reception delivree par le serveur. C' est pourquoi, lors de toute inscription, l'identite, les coordonnees postales, l'adresse de courrier electronique et, le cas echeant, la raison sociale du correspondent doivent etre imperativement declinees sous une forme juridiquement probante. A l' issue de ['inscription sur le site, le serveur (2) envoi au nouvel inscrit un courrier electronique lui confirmant la prise en compte de sa demande et l'informe sur les demarches entamees. Le nouvel inscrit se volt remettre (par courrier ou par telecopie) un document lui indiquant son identifiant ainsi que son code d'acces et reprenant les informations fournies lors de ['inscription. Il doit alors, signer ce document le retourner au serveur (2) accompagne des pieces justificatives appropriees. A la reception du dossier, le serveur verifie les informations, valide le compte et transmet par courrier electronique au nouvel inscrit une cle d'activation qu'il doit saisir lors de sa premiere connexion afin d'activer son compte. Des lors, la procedure d'identification a about). Optionnellement, le procede comprend une procedure de validation acceleree. Wile permet d'accelerer la procedure d' identification des correspondents ayant dea procede a leur inscription ou ayant ete invites a s'inscrTre par un utilisateur reference, par exemple sous la forme d'une notification d'un courrier numerique en instance, destine a un destinataire non encore inscrit. Pour en beneficier, le correspondent doit disposer d'un numero de telecopie a son nom ou au nom de son entreprise, selon s'il est inscrit comme particulier ou professionnel. I1 peut alors transmettre les justificatifs requis par telecopie et acceder ainsi plus rapidement aux services de lioperateur. Dans ce contexte, la procedure d' identification des correspondents permet: - d'associer l'identite de la personne (physique ou morale), ses coordonnees reelles et son adresse email, - d'authentifier sa signature manuscrite apposee sur le document qu'il retourne a l'operateur avec celle figurant sur la copie de sa piece d'identite. Ce dernier point renforce done l'effet de non-repudiation de 1'AR emis par l'operateur. A l'instar des cartes bancaires ou de credit, les informations confidentielles (identifiant et le code d'acces associe) vent remises par l'operateur, en echange de la signature manuscrite du correspondent pour authentification. De plus, lors de la premiere connexion a son compte celui-ci doit imperativement modifier son code d'acces. Ces informations doivent etre conservees de maniere confidentielle: elles permettent diidentifier le correspondent et constituent une preuve de signature lors de la remise et du retrait du courrier sur le site de l'operateur. Outre l'unicite de l'identifiant et du code d'acces confidential, la connexion du correspondent a son compte s'etablit au moyen du protocole SSL (Secure Socket Layer). La connexion en mode httpS (hthp securise) est conforme au regime legal en vigueur relatif a la cryptographic. Wile permet le chiffrement des connexions qui vent ainsi protegees contre les atteintes a l'integrite et a la confidentialite. Parallelement, le serveur offre les services tels que: - le suivi, en temps reel, du courrier (notifications de mises en instance et de retrait) , - l' assurance quant a la securite, la confidentialite et l'integrite de l'envoi, - la reconnaissance juridique des actes, par la remise des preuves horodatees (Certificat de depot et Accuse de Reception), - la gestion complete de la correspondence directement sur le site (telechargement, impression, tri, archivage, conservation...). Pour envoyer un courrier a un destinataire non identifie, il faut tout d'abord proceder a son inscription sur le site. A l' issue de cette operation, l'envoi du courrier peut s'effectuer immediatement, au meme titre que vers un destinataire identifie. Le destinataire, pour sa part, est notifie par courrier electronique de son inscription a l'operateur et de la mise en instance d'un courrier a son attention. Toutefois, il devra completer la procedure diidentification avant d' acceder a son courrier. Lors de la saisie de l'adresse de courrier electronique du destinataire, sur le formulaire d'envoi, lioperateur indique immediatement si ce dernier est identifie ou non. S'il est identifie, son nom et ses coordonnees s'affichent automatiquement. Dans le cas contraire, le serveur (2) propose de proceder a son inscription en vue de son identification. Parallelement, l'operateur met a disposition un Annuaire public, accessible a tous, permettant d'effectuer des recherches exclusivement par adresse de courrier electronique. Toutefois, avec l'Annuaire, la reponse porte uniquement sur le fait que l'adresse de courrier electronique est identifiee ou non, aucun detail sur l'identite ou les coordonnees du correspondent n'est devoile. I1 est egalement possible de constituer des groupes de correspondents a partir du Repertoire: cela peut etre utile dans le cadre d'un travail collaboratif ou d'un dossier impliquant de nombreux intervenants. Dans ce cas, il suffit de selectionner le groupe en question a chaque fois que lion souhaite transmettre un meme courrier vers ce groupe de destinataires. L'invention permet d'envoyer des courriers comportant en outre une signature electronique. La signature electronique permet au destinataire de controler la validite et l'authenticite d'un message signe numeriquement par l'auteur (liemetteur). Cette verification s'effectue, d'une part, par le decryptage du contenu transmis, et d'autre part, par une demande de renseignements aupres d'une autorite de certification. Le code d'acces initialement fourni par emailAR, dans le cadre de la procedure d'identification, doit etre change lors de la premiere connexion au compte. Par la suite, le correspondent peut, a tout moment, modifier son code d'acces en se rendant a la rubrique Compte / Modification du code d'acces. Cette information etant confidentielle il est fortement conseille de ne pas la communiquer a des tiers. Comme pour les cartes bancaires ou de credit, elle correspond a une signature. En cas d'oubli ou de perte, l'acces au compte ne pourra sieffectuer qu'a l' issue d'une procedure specifique. Le serveur offre une fonction d'archivage portent sur les > et >. Aussi, elle permet de conserver dans les boltes de > ou > uniquement les correspondences recenses ou necessitant une attention particuliere. Au sein, de la rubrique > les courriers peuvent etre tries selon de nombreux criteres tels que la reference, l'adresse de courrier electronique, la date, le status... afin de faciliter la navigation. La fonction de suppression est exclusivement reservee a l'expediteur d'un courrier et ce independamment du fait que le courrier soit archive ou non. Loreque la suppression porte sur un courrier deja ouvert par le destinataire, ce dernier dispose d'un delai d'un mods pour consulter le message ou telecharger les eventuels fichiers joints. Au-dela, il ne peut plus acceder au contenu mais uniquement a la trace de la correspondence. Dans le cas d'un courrier non encore ouvert par le destinataire, la suppression a un effet immediat. Autrement dit, le courrier est automatiquement retire de la Bolte de Reception du destinataire, et celuici ne peut meme plus acceder a la trace du courrier. Par ailleurs, un destinataire peut, stil le souhaite, rejeter un courrier avant son ouverture. Dans ce cas, il ne pourra pas acceder au contenu du courrier mais uniquement a la trace et l'expediteur, quant a lui, sera notifie du rej et. Les correspondents peuvent a tout moment changer d'adresse de courrier electronique a partir de la rubrique Compte/Modification de l'adresse de courrier electronique. Une nouvelle > est alors generee et notifiee a la nouvelle adresse email du correspondent. Cette modification ne devient effective quta ['issue de la saisie de cette cle dans la rubrique Compte/Saisie de la cle d' activation. Il est important de noter que l'adresse de courrier electronique faisant egalement office diidentifiant, le correspondent doit, par la suite, se connecter a son compte avec son nouvel identifiant. Les informations fournies par l'Annuaire varient selon que le demandeur y accede a partir de son compte personnel ou a partir de la partie publique du site. Dans le premier cas, il peut rechercher un correspondent par son adresse de courrier electronique ou par son nom et prenom. Si le correspondent est identifie, il peut acceder a l' ensemble des informations le concernant, notamment ses coordonnees postales (en vue d'eviter la confusion liee a d'eventuels homonymes). Dans le second cas - la consultation ouverte c > -, la recherche porte uniquement sur l'adresse de courrier electronique et ne donne lieu quta une simple confirmation d' inscription ou non (afin d'eviter toute exploitation abusive de la base de donnees et assurer la protection de la vie privee des correspondents identifies). Lors de l'envoi d'un nouveau courrier, le correspondent doit preciser le delai de conservation pour lequel il souhaite opter, a savoir 6, 18, ou 36 mois. Durant la periode choisie, l'integralite du courrier (texte et pieces jointes) est consultable, a tout moment, et disponible pour etre produite par ltoperateur en cas de litige. En fonction de ['option de conservation choisie, un tarif specifique - tel que defini dans la rubrique Tarifs est applique a l'envoi du courrier. Dans le cas de perte du code d'acces, le correspondent doit tout d'abord cliquer sur le lien Code d'acces oublie ? et saisir son identifiant (qui correspond a l'adresse de courrier electronique sur lequel il recoit ses notifications) ainsi que son numero de telecopie (uniquement pour les correspondents ayant initialement opte pour la Validation acceleree). Le serveur (2) lui communique alors, d'une part, un code d'acces temporaire (par courrier postal ou telecopie) et, d'autre part, une nouvelle cle d'activation (par courrier electronique). Loreque le correspondent est en possession de ces deux informations, il peut se connecter a son compte avec le code d'acces temporaire fourni par le serveur, remplacer imperativement ce dernier par un nouveau code d'acces personnel et saisir sa cle d' activation afin de revalider son compte. Il est important de preciser qu'une nouvelle procedure diidentification est necessaire lorsque le numero de telecopie communique a cette occasion ne correspond pas a celui initialement fourni. Quant a l'adresse de courrier electronique, le correspondent doit simplement s' assurer que celle qui est associee a son compte chez le servour est bien active et accessible: elle sera utilisee de maniere continue pour lienvoi des notifications (mise en instance, ouverture, rejet de courrier...). Le serveur est un service Web qui ne necessite aucune configuration particuliere du posse de travail, ni ['installation ou le telechargement diun quelconque logiciel. La description qui suit concerne un mode de mise en muvre ameliore. Une fois l'utilisateur connecte sur le site du serveur (2), toutes ses operations seront liees a son compte. Pour cela on utilise une reference qui identifie de maniere absolue l'utilisateur, c' est la cle de session. La navigation de l'utilisateur sur le site consiste en l'appel de pages au format HTML correspondent aux differentes fonctions et services proposes par le site. A chaque fois qu'une page est appelee, le serveur du site execute les instructions du fichier lui correspondent en fonction de parametres specifies dans la chalne d'appel de la page. Exemple de chalne d'appel diune page: http://www.emailar. fr/emailar2/message.asp?langue=F R& login=IPCQPFLJBBGCFEK& timeOut=GJTKSAOJIHGC&disclose=0&d iscDest=0&step=2 Les parametres vent declares dans la partie qui suit le caractere > et vent separes par le caractere >. La cle de session est le parametre _login, la page courante le transmet systematiquement a la page suivante quielle appelle. Cette solution est suffisante pour la gestion de l 'ensemble des fonctionnalites utilisateur, et evite les methodes invasives telles que les cookies. Deux mecanismes de securite vent mis en uvre pour empecher l'utilisation frauduleuse de la chalne d'appel par une fierce personne. En effet, la chalne d'appel etant accessible sur la plupart des navigateurs, il est possible, apres en avoir pris connaissance, de la saisir de maniere anonyme sur n'importe quel posse pour usurper l'identite du referent de la cle de session. Une duree de vie d'une minute de la cle de session interdit toute utilisation ulterieure de la cha1ne d'appel. Le servaur verifie la validite de cle de session grace au parametre _timeOut qui contient la date de creation de la cle, il en deduit une duree (toutes les mesures temporelles ayant pour reference l'horloge du serveur), et genere une erreur si celle-ci est negative ou excede une minute. Par ailleurs toute manipulation externe sur les parametres _login et/ou _timeOut est protegee par un cryptage qui associe les deux informations (cle de session et date de creation). Ainsi en plus de cacher les informations, toute modification de tout ou partie de la valeur des parametres detruit leur coherence, et rend impropre leur utilisation. REVENDICATIONS 1 - Procede de transmission de courriers electroniques comportant: À Une etape prealable d' inscription de ltexpediteur, consistent a transmettre a l'operateur des informations d'identification de l'utilisateur comportant une adresse de courrier electronique et une adresse physique de l'utilisateur, et a generer en retour une cle d'activation electronique constituee par un couple unique comprenant un identifiant [login] et une cle; À Des etapes de generation d'un courrier electronique consistent a fabriquer sur l'equipement informatique de l'expediteur un fichier numerique et a transmettre ce fichier numerique a un serveur informatique de l'operateur; À L'etape de generation du courrier el e ct roni que etant suivi e par une et ape de notification de la disponibilite diun nouveau courrier electronique et par une etape de transfert audit courrier sur liequipement informatique du destinataire caracterise en ce qu'il comporte une etape additionnelle d' inscription du destinataire prealable a la reception d'un premier courrier par ledit destinataire, consistent a transmettre a l'operateur des informations d/identification du destinataire comportant une adresse de courrier electronique et une adresse physique audit destinataire, et a generer en retour une cle d'activation electronique constituee par un couple unique comprenant un identifiant [login] et une cle. 2 - Procede de transmission de courriers electroniques selon la revendication 1, caracterise en ce que les communications entre le serveur et l'equipement informatique d'un utilisateur vent realisees sous forme de chalnes d'appel d'une page numerique comprenant une cle de session presentant une duree de validite limitee. 3 - Procede de transmission de courriers electroniques selon la revendication 2, caracterise en ce que la cle de session comprend l'identifiant de l'utilisateur, et en ce qu'une page appelee transmet systematiquement cette cle a la page suivante. 4 - Procede de transmission de courriers electroniques selon la revendication 2 ou 3, caracterise en ce que la cle de session comporte en out re une variable temporelle fonction de la date de creation de la cle. - Procede de transmission de courriers electroniques selon la revendication 2, 3 ou 4, caracterise en ce qu'il comporte une etape de verification par le serveur de l'operateur de la validite de la cle de session, et de rejet de la requete en cas de verification negative. 6 - Procede de transmission de courriers electroniques selon la revendication 2, 3 ou 4, caracterise en ce que toute manipulation externe sur les parametres de validite de la cle de session est protegee par un cryptage qui associe les informations de cle de session et date de