FR 3004276 A1 20141010 FR 1353061 A 20130405 DESCRIPTION La présente invention se rapporte au domaine des systèmes de gestion de droits et plus particulièrement aux systèmes de gestion de droits faisant intervenir un protocole de type NFC (Near Field Contact). La démocratisation des téléphones portables conduit à prendre 5 en considération ce terminal mobile comme une interface d'utilisation potentielle pour des applications auxquelles il n'était pas destiné initialement. C'est ainsi que ce terminal mobile est actuellement utilisé comme un intermédiaire pour son utilisateur pour supporter certaines applications permettant l'enregistrement et la validation de titres autorisant 10 un ou plusieurs droits tel qu'un titre de transport au sein de tout ou partie d'un réseau transport. L'utilisation de terminaux mobiles, en l'occurrence de téléphones portables, pour stocker l'ensemble des informations et notamment des autorisations relatives à des droits à des titres de transport 15 peut présenter des problèmes de sécurité d'accès. En effet, un accès trop aisé à ces informations peut conduire à leur modification et donc à une obtention frauduleuse de droits à des titres de transport. La présente invention a pour but de pallier ces inconvénients en proposant un dispositif supprimant notamment ce problème de sécurité 20 d'accès aux données présentes dans le terminal mobile, tout en permettant de profiter des avantages qu'apporte un tel terminal comme intermédiaire pour un utilisateur. L'invention a ainsi pour objet un dispositif de gestion partagée de droits à un titre embarqué au niveau un terminal mobile comprenant au 25 moins : un premier moyen mémoire de type SIM (Subscriber Identity Module) sécurisé intégrant au moins une application de stockage d'au moins un identifiant et/ou d'au moins un droit à un titre et/ou d'au moins une information qui se trouvent 30 enregistrés dans ce premier moyen mémoire, une interface de lecture d'au moins un identifiant déclencheur extérieur au terminal mobile, une interface de communication avec au moins un serveur à distance, - 2 - caractérisé en ce que le dispositif de gestion comprend également : au moins une application de gestion enregistrée dans un second moyen mémoire définissant les règles de vérification/confirmation de la validité d'au moins un droit au titre, l'application de gestion étant programmée pour être activée à la lecture d'un identifiant déclencheur extérieur par une interface de lecture, au moins une unité de transmission depuis le terminal vers un serveur à distance d'au moins un identifiant d'un droit au titre validé. L'invention a aussi pour objet un système de gestion partagée de droits à un titre caractérisé en ce qu'il comprend : au moins un terminal mobile intégrant un dispositif de gestion partagée selon au moins une des revendications 1 ou 2, au moins un serveur à distance intégrant au moins une unité de gestion centralisée des droits au titre, au moins un réseau de communication entre le serveur et au moins un terminal mobile, au moins un identifiant déclencheur extérieur au terminal mobile. L'invention concerne également un procédé de gestion partagée de droits à un titre entre un terminal mobile intégrant au moins une application de gestion dédiée et un serveur à distance, le procédé comprenant - une étape de lecture par le terminal mobile d'au moins un identifiant déclencheur, une étape de vérification par l'application de gestion de l'existence d'un droit à un titre validable attribué au terminal mobile, une étape de validation d'un droit à un titre, caractérisé en ce que le procédé comprend notamment : une étape de communication par le terminal mobile des caractéristiques du droit au titre validé au serveur de gestion centralisée, une étape d'analyse par le serveur de gestion centralisée des caractéristiques du droit au titre validé, - 3 - une étape de détermination/calcul par le serveur de gestion centralisée par décrémentation du nombre de crédits pour droits au titre attribuables au terminal mobile, une étape de mise à jour de l'application de gestion du terminal mobile par le serveur de gestion centralisée. L'invention sera mieux comprise, grâce à la description ci-après, qui se rapporte à un mode de réalisation préféré, donné à titre d'exemple non limitatif, et expliqué avec référence aux dessins schématiques annexés, dans lesquels : la figure 1 est une représentation schématique d'un exemple de réalisation de système de gestion partagée de droits selon l'invention, la figure 2 est une représentation schématique de différents modes d'authentification de clients, la figure 3 est une représentation schématique de différents canaux de vente selon le mode d'authentification du client, la figure 4 est une représentation schématique d'un exemple du principe de validation et de contrôle du système de gestion de l'invention, la figure 5 est une représentation schématique d'un exemple d'étapes successives pour l'inscription et/ou l'enrôlement au système, la figure 6 est une représentation schématique d'un exemple des 4 étapes opérées comme prolongement de l'enrôlement, la figure 7 est une représentation schématique de la première étape du procédé d'enrôlement nominatif, la figure 8 est une représentation schématique de la seconde étape du procédé d'enrôlement nominatif, la figure 9 est une représentation schématique de la troisième étape du procédé d'enrôlement, la figure 10 est une représentation schématique d'une alternative de la troisième étape du procédé d'enrôlement, la figure 11 est une représentation schématique des étapes d'une mise à jour du profil client, la figure 12 est une représentation schématique de la quatrième étape du procédé d'enrôlement, - 4 - la figure 13 est une représentation schématique des étapes mises en oeuvre dans le cadre d'un scénario d'achat de titre par internet, la figure 14 est une représentation schématique des étapes mises en oeuvre dans le cadre d'un scénario d'achat de titre en mobilité, la figure 15 est une représentation schématique d'un changement d'état du statut de droit au transport, la figure 16 est une représentation schématique de la première étape validation correspondant à un traitement temps réel du droit au transport par la MIDlet, la figure 17 est une représentation schématique de la seconde étape validation correspondant à des écritures historiques de validation et acquittement différé de la validation au CT. La présente invention permet, à titre d'exemple non-limitatif, une gestion de titres d'accès à un réseau de transport en utilisant les propriétés techniques de terminaux mobiles 1 dont sont respectivement propriétaires chacun des utilisateurs du réseau de transport. Ces terminaux mobiles peuvent ainsi être des téléphones portables 1. Le système de gestion de l'invention profite des avantages techniques associés à la technologie GSM pour les intégrer au niveau d'un ensemble de gestion de titres, par exemple de transport. Le système de gestion de l'invention fonctionne grâce notamment à un dispositif de gestion partagée de droits à un titre embarqué au niveau d'un terminal mobile 1 comprenant au moins : un premier moyen mémoire la de type SIM (Subscriber Identity Module) sécurisé intégrant au moins une application de stockage 4a d'au moins un identifiant et/ou d'au moins un droit à un titre et/ou d'au moins une information qui se trouvent enregistrés dans ce premier moyen mémoire la, une interface de lecture lb d'au moins un identifiant déclencheur extérieur au terminal mobile 1, une interface de communication le avec au moins un serveur 6 à distance, caractérisé en ce que le dispositif de gestion comprend également : - au moins une application de gestion 4b enregistrée dans un second moyen mémoire 2 définissant les règles de - 5 - vérification/confirmation de la validité d'au moins un droit au titre, l'application de gestion 4b étant programmée pour être activée à la lecture d'un identifiant déclencheur extérieur 5a par une interface de lecture lb, - au moins une unité de transmission 3 depuis le terminal 1 vers un serveur 6 à distance d'au moins un identifiant d'un droit au titre validé 5b. Selon une particularité de réalisation, l'application de gestion 4b du dispositif intègre une unité de mise à jour 7 gérée par un serveur à 10 distance 6 en réponse à la transmission d'un ou de plusieurs identifiants de droit au titre validé 5b. Il convient de comprendre le dispositif de gestion de droit comme étant une partie du système de gestion de l'invention réalisant un ensemble élargi, le dispositif de gestion précédemment mentionné se 15 rapportant à un dispositif embarqué au niveau d'un terminal mobile 1. L'invention porte ainsi également sur un système de gestion partagée de droits à un titre caractérisé en ce qu'il comprend : au moins un terminal mobile 1 intégrant un dispositif de gestion partagée selon l'invention, 20 au moins un serveur à distance 6 intégrant au moins une unité de gestion centralisée 6a des droits au titre, au moins un réseau de communication entre le serveur 6 et au moins un terminal mobile 1, au moins un identifiant déclencheur extérieur 5a au terminal 25 mobile 1. Selon une particularité de réalisation, le système de gestion est caractérisé en ce qu'il comprend une communication privilégiée entre au moins un terminal mobile 1 et le serveur 6 de gestion centralisée pour permettre une synchronisation du serveur 6 de gestion centralisée avec au 30 moins un dispositif de gestion déporté partagé au niveau d'un terminal mobile 1 et une mise à jour du dispositif de gestion. Selon une autre particularité de réalisation, complémentaire avec la particularité précédente, le système de gestion est caractérisé en ce qu'il comprend également au moins un terminal de lecture 8 d'au moins 35 une donnée relative à un droit au titre enregistré dans une mémoire d'un terminal mobile 1 intégrant un dispositif de gestion partagée. Il convient de comprendre ce terminal de lecture 8 comme pouvant être, par exemple, un - 6 - appareil embarqué, mobile, permettant à un contrôleur de vérifier la validité des droits au titre utilisé par le porteur du terminal mobile 1. L'invention concerne également, de manière plus générale, un procédé de gestion partagée de droits à un titre entre un terminal mobile 1 5 intégrant au moins une application de gestion 4b dédiée et un serveur à distance 6, le procédé comprenant - une étape de lecture par le terminal mobile 1 d'au moins un identifiant déclencheur 5a, une étape de vérification par l'application de gestion 4b de 10 l'existence d'un droit à un titre validable attribué au terminal mobile 1, une étape de validation d'un droit à un titre, caractérisé en ce que le procédé comprend notamment : une étape de communication par le terminal mobile 1 des 15 caractéristiques du droit au titre validé au serveur 6 de gestion centralisée, une étape d'analyse par le serveur 6 de gestion centralisée des caractéristiques du droit au titre validé, une étape de détermination/calcul par le serveur 6 de gestion 20 centralisée par décrémentation du nombre de crédits pour droits au titre attribuables au terminal mobile 1, une étape de mise à jour de l'application de gestion 4b du terminal mobile 1 par le serveur 6 de gestion centralisée. Selon une particularité de mise en oeuvre, le procédé de gestion 25 partagée de droits à un titre est caractérisé en ce qu'il comprend, au préalable, une étape d'enregistrement au niveau du serveur 6 de gestion centralisé d'un nombre de crédits pour droits au titre attribuable à un terminal mobile 1 identifié déterminé Selon une autre particularité de mise en oeuvre du procédé, 30 complémentaire de la particularité précédemment mentionnée, celui-ci est caractérisé en ce que le procédé comprend : une étape de connexion d'un terminal mobile 1 avec un terminal 8 dédié à une vérification de validité de droit à un titre, 35 une étape de vérification de la validité d'un droit à un titre par la lecture par le terminal 8 dédié d'au moins une donnée - 7 - relative à un droit au titre enregistré dans une mémoire du terminal mobile 1. Selon un mode particulier de mise en oeuvre, le procédé de gestion comprend : une étape de décrémentation d'une valeur totale enregistrée dans un moyen mémoire par au moins une valeur unitaire, une étape de mise à jour de la valeur totale enregistrée par substitution de cette valeur totale enregistrée par la valeur totale décrémentée. Cette valeur unitaire correspond à au moins un droit au titre utilisé dans le cadre du système de gestion de l'invention. La valeur totale enregistrée dans le moyen mémoire correspond à un nombre maximal de droits au titre susceptibles d'être utilisés par un utilisateur du système. Cette valeur totale enregistrée peut également être incrémentée 15 lors d'une augmentation de nombre de droits au titre, par exemple dans le cadre d'un achat. Dans le cadre d'un abonnement permettant une utilisation illimité de droits au titre, cette valeur totale correspond à une valeur infinie Alternativement, dans le cadre de la mise en oeuvre par des outils 20 électroniques ne permettant pas la gestion d'une valeur infinie, cette valeur totale infinie peut être assimilée à une valeur finie très élevée, c'est-à-dire suffisamment élevée pour qu'un nombre important de décrémentation réduise peu la valeur absolue de cette valeur finie très élevée. Un exemple de valeur assimilable à une valeur infinie pourrait être une valeur de 25 plusieurs centaines de milliards de droits au titre. Le moyen mémoire enregistrant cette valeur totale peut être localisé au niveau d'un serveur à distance 6 ou au niveau d'un élément du terminal mobile 1. Selon une particularité de réalisation complémentaire, le 30 procédé de gestion partagée de droits à un titre est caractérisé en ce que les droits au titre et les crédits correspondant sont corrélés à une unité mémoire de type SIM (Subscriber Identity Module) identifié associée à la position géographique d'un terminal mobile 1. Selon un mode de réalisation préféré, le procédé de gestion 35 partagée de droits à un titre de l'invention est mis en oeuvre par le système de gestion et le dispositif de l'invention. - 8 - Un exemple détaillé de réalisation d'un service mettant en oeuvre un système et au moins un dispositif selon l'invention est décrit ci-après. 1. Objet La présente explication a pour objet de décrire les spécifications fonctionnelles générales du service NFC Billettique sur Smartphone. Celui-ci doit permettre : - l'architecture de la solution - l'enrôlement et la gestion du service, - l'achat de titres, - la validation de titres, - les éléments de suivi à ce service. 15 2 .Contexte du projet La ville de Strasbourg, pionnière depuis 2007 du paiement sur mobile avec le programme « Payez Mobile », mesure l'appétence des commerçants et 20 des clients à l'utilisation du téléphone mobile comme moyen de paiement. Labellisée « Territoire leader du mobile sans contact » depuis Janvier 2011, la ville désire continuer à capitaliser sur cette expérience en diversifiant son offre pour les services de proximités. 25 La CUS (Communauté Urbaine de Strasbourg) s'inscrit dans cette dynamique et souhaite développer un nouveau service sur le téléphone NFC (Near Field Communication), ce service ayant pour but. - de dématérialiser l'ensemble de ses titres de transport, en reportant l'intégralité des fonctionnalités des supports actuels, 30 - de proposer de nouvelles fonctionnalités comme l'achat de titre, la gestion d'un compte de titres de transport éventuellement partageable entre plusieurs ayants-droits. 3. Les profils clients 35 3.1 Le client NFC « anonyme cessible » & l'accès au service basique de la billettique NFC - 9 - Ce profil dispose seulement du service basique de la billettique NFC : - l'achat de titre en mobilité depuis le mobile NFC, les titres achetés restent centralisés sur un compte de titre, tant qu'un titre est valide le client peut obtenir sur son mobile un droit au transport, - la validation par le traitement par le mobile d'un droit au transport valide suite à la lecture de tags NFC aux points d'accès au réseau de transport CTS (Communauté de Transport Strasbourgeois) (à bord des bus ou sur les quais de tram), - la consultation de son usage de la billettique NFC depuis le mobile : intitulé du titre sélectionné, solde restant, information sur les dernières validations. Le service billettique n'est accessible que depuis le mobile NFC du client. Cessible ce profil ne permet pas l'accès aux titres de transport à tarification réduite pour des conditions autres que l'âge. Ce profil se prête bien à l'occasionnel. Le profil anonyme cessible est le point d'entrée à la billettique NFC. L'enrôlement au service de billettique NFC CTS est amorcé en tant que profil anonyme ; ce profil permet ainsi aux clients badgéo de tester le service NFC avant d'envisager une migration de leur profil nominatif badgéo. La carte BADGEO est une carte nominative sans contact, strictement personnelle, permettant de charger tous les titres de transport d'un réseau de transport. L'inscription au service est simple et rapide pour le client, une cardlet (application hébergée et exécutée dans la carte SIM) billettique est chargée dans la SIM, une MIDlet (application hébergée et exécutée par l'environnement du mobile) billettique est installée dans l'environnement mobile. Aucune saisie d'informations de profil (autre que l'année de naissance) n'est nécessaire : le client peut directement acheter et consommer des titres de transport. Un client anonyme peut voyager en groupe avec un unique support seulement s'il utilise un ticket de groupe (de type 24h trio). - 10 - Si le client anonyme achète plusieurs titres de transport, et si celui-ci ne dispose pas de la capacité de sélectionner un titre à utiliser parmi ceux achetés : alors des règles pour la création de l'offre billettique disponible à la vente, ou liées à l'ordre des achats, permettront de déterminer le titre sélectionné par défaut. Un client anonyme n'étant pas enregistré à un Compte Client, il ne peut bénéficier d'opération de maintenance : l'accès à ses titres de transport reste conditionné à la SIM utilisé lors de l'enrôlement au service : - pas de transfert en cas de changement de SIM (possibilité de changer de mobile NFC) - pas de récupération des titres achetés non utilisés en cas de perte du mobile. Remarque : les profils badgéo anonymes non cessibles ne sont pas éligibles à la billettique NFC : ces profils resteront cantonnés à la billettique badgéo. 3.2 Le client NFC « nominatif» & l'accès aux services premium de la billettique NFC Les clients nominatifs ont leur profil renseigné dans un compte client, ils ont accès aux services premium de la billettique NFC de la CTS : - L'accès à une tarification préférentielle En fonction du profil renseigné, le client peut être éligible à une tarification transport particulière : il pourra bénéficier de cette offre billettique pour ses achats de titre en mobilité ou par Internet. - La sélection du « best contrat »: Les clients nominatifs peuvent acheter plusieurs contrats de transport sur leur Compte de Titre : par exemple un abonnement et des tickets. Ces clients peuvent choisir en mobilité quel titre valide utiliser avant une validation. - Le voyage en groupe pour le porteur du mobile et des accompagnateurs : o Non supporté par badgéo, la billettique NFC permet de voyager en groupe avec des accompagnateurs. Si le titre de transport (ex : carnet de 10) sélectionné le permet, le porteur - 11 - du mobile NFC peut définir avant validation un nombre de voyageurs accompagnateurs. o Les accompagnateurs utilisent forcément des tickets à tarification identique ou non réduite pour les mêmes zones de réseau transport que le titre sélectionné pour le porteur. o Le porteur du mobile n'opère qu'une seule validation, qu'une seule lecture du tag NFC, pour tout le groupe. - L'achat de titre par internet pour soi ou pour un compte tiers o Via son compte client, le client premium pourra acheter des titres de transport par Internet, il aura accès à l'historique de tous ses achats de titre pour le service billettique NFC. o Les clients nominatifs peuvent désigner via leur compte client le compte d'un parrain afin de pouvoir recevoir les titres achetés par celui-ci ; ou acheter des titres de transport pour un filleul. - La maintenance du support billettique Les clients nominatifs pourront changer de support billettique tout en maintenant leurs titres de transport. Les clients devront s'inscrire par internet. Tout client NFC anonyme non cessible peut devenir client NFC nominatif, s'il crée un compte client et enregistre son profil par Internet. La création de compte n'est pas instantanée, mais nécessite une validation de dossier par un agent CTS. Les clients badgéo pourront demander une migration de leur compte par internet ou en agence CTS : la réalisation pourra nécessiter 24h afin consolider l'image carte des passes badgéo. Un client nominatif CTS ne pourra être à la fois client NFC et client badgéo. L'enrôlement est payant pour les nouveaux clients, gratuit pour les anciens clients badgéo. 4. Architecture du système billettique NFC 4.1 Les composants du système 4.1.1 Tags NFC - les points de validation - 12 - La valideurs billettiques de la CTS sont limités au protocole de communication sans contact non standard Bv0 Innovatron, ils ne pourront interagir avec les mobiles qu'en cas de future migration ou remplacement afin de supporter l'ISO/IEC 14443. En attendant pour la billettique NFC, les « points de validation » ne seront pas des terminaux billettiques comme pour les passes badgéo, mais de simples tags NFC 'passifs'. Ces tags valideurs seront alimentés et lus par les mobiles NFC des clients lors de l'accès au réseau de transport CTS. - Fonctions : o Le rôle des tags NFC est de fournir un identifiant du moyen de transport emprunté : le numéro d'un bus ou l'arrêt de tram. Cet identifiant sera remonté en central comme donnée de validation. o Le tag NFC comprend aussi une information de 'zone' du réseau de transport afin que le traitement billettique puisse supporter des tarifications différentes de l'urbain, pour l'accès à l'aéroport ou pour l'interurbain. - Sécurité : 2 solutions envisagées o La solution tag NFC pourrait offrir une sécurité limitée ne permettant par exemple que la simple lecture de données pour des tags basique (tag NFC de type '1' par exemple). Pour cette solution, les données de validation non acquittées sont vulnérables aux attaques de clonage ou d'émulation. o Une autre option à base de tag plus évolué pourrait permettre un horodatage certifié de la validation ; les tags devant alors disposer de la capacité à signer des données transmises par le mobile NFC (tag NFC de type '4' par exemple). L'heure de validation soumise à signature au tag est fournie par l'AM (Application Mobile (MIDlet / IHM mobile)) du mobile NFC ; cette signature permet au portable de contrôle de vérifier que le mobile NFC a bien communiqué avec un tag valideur authentique à l'heure déclarée. Cette solution permet de renforcer la sécurité dans le cas où lors d'un contrôle un client n'a pu faire acquitter ses dernières validations faute de connectivité. - 13 - Les 2 types de solution tag valideur pourraient cohabiter sur le réseau CTS. La solution retenue pour le traitement des tags de validations devra permettre une évolution du système, lorsque les tags seront remplacés par 5 des valideurs ISO dans un deuxième temps. 4.1.2 Mobile NFC - le support billettique client. Le support billettique du client est son mobile NFC, celui-ci comprend 10 - Une application sécurité hébergée la carte SIM : la cardlet « Application Billettique Communautaire » (ABC : Application Billettique Communautaire, c'est à dire cardlet communautaire définie par l'AFIMB). - Une application propre à la CTS exécutée par l'environnement 15 mobile, la MIDlet « Application Mobile » (AM). Le mobile NFC doit supporter : - Le mode 'lecteur' NFC afin d'interagir avec les tags NFC valideurs. - Le mode 'émulation carte' 20 o afin que les portables de contrôles des agents CTS, équipés de lecteur sans contact ISO/IEC 14443 type B, puissent vérifier les données de l'ABC. o Ce mode sera aussi utilisé pour l'accès aux Parkings Relais : les portiques d'entrée effectuant une lecture du numéro de 25 série de l'ABC. 4.1.2.1 La cardlet sécurisée 'Application Billettique Communautaire' Le choix et le paramétrage de cette application par la CTS sont réalisés en 30 accord avec les travaux de l'AFIMB qui vise à définir des synergies pour la télébillettique NFC pour les transports urbains en France. Dans le jargon AFIMB, l'« Application Billettique Communautaire » (ABC) désigne non seulement une cardlet communautaire, mais aussi une application mobile communautaire : dans les spécifications CTS, ce terme 35 désigne seulement la cardlet communautaire. - 14 - L'ABC est une application sécurisée chargée dans une carte à puce : la SIM du client : - En février 2012, le choix arrêté par l'AFIMB est d'utiliser une instanciation « Triangle 2 » (T2, cf "Calypso Specification - Triangle 2 Specifications" du 15/09/2011 en version 2.4 (CNA)) comme ABC. - Cette application Java Card est instanciée à partir de l'applet Calypso chargé en SIM. La gestion de l'ABC doit être opérée par un « Trusted Service Manager (TSM), un tiers de confiance reconnu par les opérateurs mobiles et les opérateurs de transport : celui-ci est autorisé à charger le package applicatif de l'applet Calypso, puis à installer l'application avec l'AID T2, et enfin à personnaliser la structure de fichier T2 et le jeu de clés T2. o Les MNO (Mobile Network Operator) ne devraient émettre que des SIM 'vides' pour les services NFC : sans aucune application pré-chargée. Ainsi pour les services NFC, les applications seront chargées en SIM 'à la demande' en fonction des usages billettiques des clients. La gestion de la cardlet sera conforme aux règles émises par l'Association Française du Sans Contact Mobile (AFSCM : Association Française du Sans Contact Mobile, cf. «INTERFACE SPÉCIFICATION between Telecom Operators and NFC Service Providers » du 13/02/2012 en version 2.1 (AFSCM)). o Le modèle économique et l'organisation technique de la gestion de l'ABC ne sont pas encore déterminés La responsabilité du chargement de l'ABC pourrait dépendre du premier opérateur de transport sollicité par un client pour l'usage de l'ABC ; mais plus vraisemblablement la gestion de l'ABC par un TSM devrait s'organiser de manière communautaire au niveau national. o En attendant la maturation des travaux AFIMB, la CTS pourrait pallier à la gestion de l'ABC pour ses clients en contractualisant avec son propre service TSM. o Le MSISDN du client (son numéro de téléphone mobile) ou l'identifiant de session WAP du client devrait être utilisé comme identifiant technique au service TSM afin de requêter les opérations de chargement et de personnalisation. Cet - 15 - identifiant technique nécessaire aux opérations de configuration TSM / MNO ne sera transmis à la CTS. - L'ABC étant une cardlet communautaire utilisée par des opérateurs de transport ayant des Systèmes d'Information décentralisés, les opérations OTA (Over The Air) de maintenance qui peuvent lui être appliquées sont limitées : o L'application ABC ne peut être mise-à-jour. o La suppression de l'ABC ne peut être réalisée qu'à l'initiative d'une demande du client. o L'application ne doit pas être invalidée par tout opérateur de transport partenaire. - La présence et le fonctionnement de cette application seront transparents pour le client. Les données de l'ABC sont organisées selon 3 niveaux : - Les données 'communautaires' du profil client - elles sont personnalisées suite à l'installation de l'ABC lors de sa première utilisation : la seule donnée de profil client retenue par T2 est l'âge du client (le profil reste anonyme). - Les données de contrat ont été conçues pour stocker des titres de transport : pour la CTS, cette zone servira à héberger le « Droit au Transport » (DT) du client NFC (Near Field Communication). - Les données d'usage servent à mémoriser les évènements de validations transmis par les valideurs afin de permettre le contrôle de la validation des clients. De même pour la billettique NFC CTS, cette zone hébergera les données de validations, les contrôleurs pourront en vérifier le certificat d'acquittement de validation. La sécurité de l'ABC est définie par les spécifications Triangles 2 : - L'accès en écriture aux fichiers de contrats (Contracts T2) est conditionné par des clés partagées entre les différentes AOT partenaires : la session sécurisée Calypso avec une clef T2 de niveau 2 (`load') est requise. Les clés T2 sont paramétrées avec la restriction CAAD (définie par Calypso) permettant de garantir que les partenaires T2 partageant le jeu clés T2 ne puissent inscrire que des données qui leurs sont propres : des données préfixées par l'identifiant du réseau de transport. - 16 - - La mise-à-jour des données d'usage billettique (Usage T2) est libre, et peut donc être hors session Calypso - Mais chaque AOT dispose de ses propres clés de signatures afin d'authentifier ses données. Le numéro de série de l'ABC sert d'identifiant technique pour s'authentifier au compte de titre. L'unicité du numéro de série Calypso de l'instance Triangle 2 est garanti par Calypso (comme pour toute instance Calypso). L'ABC pourrait être partagée entre tous les opérateurs de transport français : l'AFIMB travaille à ce que l'ABC puisse répondre aux besoins des opérateurs de transport. - En attentant que s'organise au niveau national l'administration de l'ABC, la CTS va émettre via son service TSM l'ABC pour ses clients NFC. - L'application cardlet visant à être partagée entre plusieurs opérateurs de transport Avant l'installation de l'ABC, les MNO ont la responsabilité de confirmer 20 l'éligibilité des SIM des clients aux services NFC ; la CTS demandera que les MNO assurent aussi la vérification de la compatibilité des SIM avec l'applet Calypso. 4.1.2.2 L'« Application Mobile » billettique CTS 25 Contrairement à l'ABC, l'« Application Mobile » (AM) est propre à la CTS : cette application est en mobilité le support des interactions clients avec le service billettique NFC. L'AM est gratuite et identique pour les clients NFC anonymes et premium, 30 suivant l'environnement mobile l'application est téléchargée depuis une URL ou à partir d'un magasin d'application. Les opérations disponibles en mobilité sont : - l'enrôlement au service billettique NFC : 35 o L'AM permet aux clients (tous anonymes pour la première étape de la souscription) de requêter l'installation du service NFC de billettique auprès du TSM de la CTS, afin que celui- - 17 - ci installe et personnalise l'ABC (cf Service NFC billettique sur smartphone de la CTS - « Service TSM - Spécification Fonctionnelle » du 21/05/2012 en version 1.0 (CTS) §5.1). L'opération est réalisable rapidement et entièrement en mobilité. o Les clients nominatifs peuvent appairer leurs ABC avec leurs Comptes Clients afin de bénéficier des droits associés à leurs profils. - l'achat et le paiement de titre de transport : ces titres restent hébergés en central sur le compte de titre. - la consultation de l'historique des validations, et de l'état d'acquittement de ces dernières. - la consultation du titre couramment sélectionnée et le statut de validité du droit au transport correspondant - pour les clients premium (disposant d'un compte nominatif : la sélection du titre de transport à utiliser si le CT (Compte de Titre des clients au service NFC de billettique) en comprend plusieurs ; avec selon les titres la capacité de définir un groupe de voyageurs accompagnateurs afin de pourvoir voyager à plusieurs avec un même support billettique mobile NFC. - La désinstallation du service billettique NFC. Le TSM de la CTS peut être requêté via l'AM par le client afin d'opérer la suppression de l'ABC (cf. [2].§5.2). Le mobile NFC du client doit disposer de la connectivité réseau afin que l'AM puisse communiquer avec le CT du client. Afin d'optimiser les échanges réseaux, l'AM disposera d'un cache des données des titres du CT. L'AM CTS joue aussi un rôle de `proxy' afin de router les commandes APDU émises par le CT et son serveur de SAM (Secure Application Module) à destination de l'ABC : pour la mise-à-jour du droit au transport. Par contre l'AM sera autonome pour piloter l'écriture dans l'ABC du certificat d'activation transmis par le CT. Enfin l'AM CTS devra pouvoir être supporté par tous mobiles NFC lancés sous la marque `Cityzi' en France : l'AM devra donc être déclinées pour les différents environnements mobiles Java, Android & RIM conformément - 18 - aux guides de développements publiés par l'AFSCM (et surement pour d'autres OS à venir dont Windows Mobile). La compatibilité avec les différentes plateformes mobiles devra être éprouvée ; l'ergonomie devra s'adapter aux équipements mobiles (clavier / tactile / taille d'écran). Afin de pouvoir communiquer avec l'ABC, l'AM doit disposer de droits d'accès à la SIM pour sélectionner l'ABC et échanger avec elle des commandes APDU : selon l'environnement mobile, selon le MNO, différentes solutions sont envisagées par l'AFSCM : - une signature de l'AM par chaque MNO, dans ce cas le magasin d'application mobile doit décliner l'AM CTS avec des versions différentes par MNO. - la signature de l'AM par les gestionnaires de l'ABC, dans ce cas une requête TSM (Trusted Service Manager) au MNO est nécessaire afin de piloter l'écriture des règles d'accès à l'ABC par l'AM CTS (cf. [2].§5.1.5). 4.1.3 Compte de Titre Le Compte de Titre est le moteur du traitement de titre. Tous les clients du service billettique NFC disposent d'un CT, le compte est créé automatiquement lors de l'initialisation de l'AM sur le mobile. L'authentification d'un client à son CT est réalisée via son ABC. - Le Compte de Titre est la base de données centralisant en backoffice tous les titres billettiques (du carnet à l'abonnement) encore valides achetés par les clients (par Internet ou en mobilité). - En fonction du titre sélectionné, le CT opère le calcul du Droit au Transport utilisé en validation. Avant toute validation, le mobile NFC du client doit disposer d'un DT valide obtenu suite à une consultation du CT : le DT est traité par l'AM en validation lors de la lecture du tag NFC valideur. - Le CT est ainsi le point d'entrée des remontées de validation pour les mobiles NFC. Après toute validation, le CT est contacté « en différé » par le mobile NFC afin de transmettre les données de validation, et de requêter un certificat d'acquittement de la dernière validation. La consommation des titres de transport par les clients est - 19 - suivie par la base CT : le CT acquitte l'usage d'un DT et si nécessaire délivre un nouveau DT. - Afin de pouvoir générer des droits au transport, un CT doit être rattaché à un mobile NFC (AM / ABC). Restrictions concernant les clients anonymes : - Le CT des clients NFC anonymes ne pourra contenir plusieurs titres de transport valides (dont le solde de voyage restant est non nul) choisis parmi l'offre billettique pour les clients anonymes de la CTS sans justificatif autre que l'âge. Par contre les clients anonymes n'auront pas la possibilité de sélectionner le titre courant (ils ne pourront pas changer le Best Contract). - Les clients anonymes ne pouvant bénéficier de maintenance, un CT anonyme initialisé reste attaché à la même ABC. - L'accès au CT ne peut se faire que depuis le mobile NFC disposant de l'ABC associée. - Les clients anonymes ne pourront voyager en groupe (avec un seul support billettique), qu'en utilisant de un titre de voyage en groupe (trio 24h). Les clients premium (nominatifs) ont la possibilité d'héberger et de gérer plusieurs titres de transport sur leur CT : - Ils auront dont la possibilité de sélectionner en mobilité le titre à utiliser pour le prochain voyage : le titre à utiliser pour générer le DT. - Sans sélection explicite du client, le titre de type abonnement urbain restera sélectionné par défaut. - Le client premium pourra paramétrer sur son CT, quel titre il souhaite avoir sélectionné par défaut. Les clients premium pourront aussi voyager en groupe avec des « accompagnateurs » en utilisant le seul mobile NFC du client CTS porteur. Trois manières permettent dans ce cas de gérer le voyage en groupe : - Soit le client porteur utilise un titre de groupe, comme le trio 24h pour trois personnes (le porteur et deux accompagnateurs). - Soit le client utilise plusieurs titres identiques pour le groupe, par exemple un carnet de ticket à tarification normale pour lequel il - 20 - reste cinq tickets peut être utilisé par le client porteur accompagné de quatre accompagnateurs. - Enfin le client porteur et ses accompagnateurs peuvent utiliser de deux types de titre différents : comme un abonnement longue durée ou un titre à tarification réduite pour le porteur, et un carnet de ticket à tarification pleine pour les accompagnateurs. Les titres utilisables pour les voyageurs accompagnateurs répondront à une tarification pleine, ces derniers n'ayant de profil renseigné Suite à un voyage en groupe, pour le voyage suivant, la sélection de titre se pourra se repositionner par défaut pour un déplacement du client porteur seul avec son titre par défaut (ex : son abonnement). Sécurité & authentification au CT, le CT n'est directement accessible par un client seulement via l'AM de son mobile NFC, 2 modes d'authentifications proposés : - Une authentification forte reposant sur le succès d'une session Calypso à distance avec l'ABC. Ce mode est nécessaire lors de l'initialisation de l'AM, et pour toute mise jour de DT (suite à l'achat d'un nouveau titre ou à la sélection d'un titre). o Ce schéma d'authentification sollicite un SAM Calypso côté serveur, et nécessite au moins trois échanges réseaux (3 aller-retour réseaux) entre le mobile et le serveur. o L'authentification est bout-en-bout entre l'ABC et le SAM Calypso. - Une authentification rapide reposant sur un mot de passe à usage unique entre l'AM et le CT ; ce mode pourrait optionnellement permettre de s'authentifier au CT pour les opérations ne nécessitant pas de mise à jour de DT : la consultation de titres sur le CT, la remontée de validation et l'obtention de certificat d'acquittement. o Le mot de passe est obtenu de manière transparente par l'AM suite à une authentification via l'ABC. Pour les opérations par Internet, le client accède à son CT de manière indirecte via une authentification login / mot de passe à son CC. 4.1.4 Compte Client - 21 - Le Compte Client permet d'enregistrer les informations de profil des clients nominatifs. Seuls les clients « premium » disposent d'un CC, le compte est créé par Internet par le client. Un règlement est demandé pour bénéficier des services premium. Les clients badgéo qui ont déjà réglé une cotisation pour le service badgéo, n'ont pas à repayer lorsqu'ils migrent vers la billettique NFC. - Le CC (Compte Client des clients nominatifs au service NFC de billettique) est la base de données centralisant les informations de profil pour les clients connus (non anonymes). Cette base est répliquée avec la base SGC des clients de la CTS : ainsi un client ne peut être référencé à la fois comme client NFC et client badgéo. - Un client nominatif ne peut s'enregistrer qu'auprès d'un seul CC. Pour tout client, le CC comprend sa photo et éventuellement des justificatifs ouvrant droit à tarification réduite. o la photo du client est accessible en central depuis le CC (le SGC CTS devra évoluer afin d'intégrer la photo client) o son âge est répliqué dans les données de profil de l'ABC, et peut donc être directement lu par le portable de contrôle. - En fonction des justificatifs clients, si le profil ouvre droits à tarification réduite, si le client est éligible à des tarifications particulières : le CT associé à son CC propose pour l'achat de titre une offre particulière. - Accessible uniquement par Internet, le CC permet aux clients de gérer les opérations de maintenance de leur service billettique NFC. 25 Le frontal internet permettant la gestion des comptes web (login mail / mot de passe) et des coordonnées des clients CTS est commun aux clients badgéo et au client NFC de la CTS. Un client badgéo ou NFC ne peut être enregistré qu'auprès d'un seul compte web CTS, et donc auprès d'un seul 30 CC pour les services NFC. Authentification au CC : - Le client utilise son login/mot de passe défini pour compte web CTS afin de s'authentifier à son CC par internet. 35 - Depuis son mobile NFC, un client authentifié à son CT anonyme peut renseigner le login / mot de passe afin d'appairer ses CT et CC. - 22 - Un CT associé à un CC suite à une authentification mobile ne peut plus redevenir anonyme ou être associé avec un CC différent. Le CC permet de gérer la 'maintenance' du service billettique NFC : - Le changement SIM et donc d'ABC : o En cas de perte de la SIM hébergeant l'ABC, si nécessaire, le client peut par Internet désactiver l'accès CT de l'ABC. o Le ré-appairage du CT avec une nouvelle ABC (sur une nouvelle SIM), permet au client de recouvrer ses Droits aux Transport. - La migration de service billettique pour les clients CTS : badgéo vers NFC ou vice versa. o En cas de migration vers le support badgéo, la désinstallation de l'ABC peut être pilotée par le client via l'AM. 4.1.5 Service internet billettique NFC Le frontal internet CTS est communautaire entre les clients badgéo et les clients NFC, ceux-ci peuvent créer un compte web avec un login / mot de 20 passe afin de s'authentifier aux services web CTS. - Les clients NFC anonymes peuvent créer leur compte client afin de bénéficier des services premium. - Les clients badgéo peuvent demander une migration billettique pour devenir client NFC nominatif 25 - Les clients NFC nominatifs peuvent gérer leur profil CC. - En cas de perte du mobile NFC, les clients nominatifs peuvent inhiber l'usage de leur ABC via le CC par Internet.. Les clients premium ont accès à la vente en ligne sur CT (sans chargement 30 de titre) - Ils peuvent acheter des titres de transport pour leur CT ou pour le CT d'un filleul. Ils peuvent aussi définir un compte CC parrain. - Ils peuvent consulter l'historique de leurs achats (y compris ceux à destination des filleuls). 35 4.1.6 Serveur de SAM - 23 - Un serveur de SAM est nécessaire afin de centraliser les opérations nécessitant l'emploi de SAM Calypso pour la billettique NFC : - L'authentification de l'AM via l'ABC au CT. - Le chargement à distance de DT dans l'ABC. - Le calcul de certificat de DT. - Le calcul de certificat d'acquittement de validation. En fonction de la modularité de système SRB de vente de titre de transport à distance pour passe badgéo, une synergie pourrait être possible, des 10 briques du système SRB pourraient être réutilisées pour la billettique NFC. Le serveur de SAM sera fournir par le SRB. 4.1.7 Portable de contrôle 15 Pour les clients NFC, l'opération de contrôle repose sur la vérification dans l'ABC de la présence d'une validation acquittée pour le voyage courant : - Suite à l'usage d'un DT en validation, un évènement de transport comprenant l'identifiant du tag NFC valideur et l'heure de validation fournie par le mobile est inscrit dans l'ABC (zone 'Usage 20 T2'). - Lorsque le mobile remonte ces données de validations au CT, il obtient un certificat d'acquittement de validation. C'est la vérification de ce certificat qui permet au portable de contrôle de confirmer que le client est en règle. 25 Le portable de contrôle utilisé par la CTS permet à ce jour de contrôler les clients Badgéo en lisant l'historique des dernières validations enregistrées dans la carte Badgéo. Ce portable de contrôle supporte déjà la lecture sans contact en ISO 144443 type B, ainsi le même équipement pourra gérer le 30 contrôle des clients NFC moyennant une adaptation logicielle. - Le portable de contrôle pourra ainsi lire les mobiles NFC des clients en mode émulation carte afin de vérifier le contenu de l'ABC : le certificat d'acquittement de validation hébergé en zone Usage T2 (Triangle 2, l'instanciation Calypso choisie pour l'ABC). 35 - Le portable de contrôle poursuivra de la même manière la vérification de passe badgéo et la remontée de données de contrôle au SBS. La partie logicielle du portable de contrôle nécessite d'être - 24 - complétée afin de vérifier les acquittements de validations de droits au transport des clients NFC et de gérer les remontées de contrôle SBS correspondantes. Suivant les scénarii de contrôle en mode dégradé, pour les clients en défaut de connectivité n'ayant pu acquitter leur validation, il pourrait être nécessaire de prévoir un SAM T2 dans les portables de contrôles afin de vérifier l'authenticité de l'ABC (cf. §0). 4.2 Interfaces du système billettique NFC 4.2.1 Modes d'authentification des clients Un schéma détaillant différents modes d'authentification de clients est présenté à la figure 2. 4.2.2 Canaux de vente Un schéma détaillant différents canaux de vente selon le mode d'authentification du client est présenté à la figure 3. 4.2.3 Validation & contrôle Un schéma détaillant un exemple du principe de validation et de contrôle du système de gestion est présenté à la figure 4 5 Scénarii d'enrôlement d'un client au service billettique NFC CTS 5.1 Vue d'ensemble de l'enrôlement L'inscription au service billettique NFC CTS est un préalable aux usages du service pour des opérations de vente ou validation Afin d'être éligible à la billettique NFC CTS, le client doit disposer d'un mobile NFC d'un SIM prévue pour recevoir des services NFC. Un schéma détaillant un exemple d'étapes successives pour l'inscription et/ou l'enrôlement au système est présenté à la figure 5. - 25 - L'enrôlement d'un client anonyme se fait en une simple opération depuis le mobile NFC, et permet un usage immédiat de la billettique CTS sur support mobile NFC. Durant cette opération un CT est créé, le mobile NFC est 5 apparié au CT. La configuration d'un profil nominatif ou sa migration depuis un support badgéo peuvent nécessiter jusqu'à 4 étapes opérées comme un prolongement de l'enrôlement anonyme. Ces étapes sont déterminées et ne 10 se recoupent pas. Un schéma détaillant un exemple des 4 étapes opérées comme prolongement de l'enrôlement est présenté à la figure 6. 15 Pour devenir client nominatif du service NFC, un client anonyme doit enregistrer son profil par internet. Après validation du dossier par un agent CTS, le peut appairer son mobile avec son CC. 5.1.1 Enrôlement anonyme ou `étape l' de l'enrôlement nominatif 20 Configuration de l'ABC et de l'AM CTS en mobilité, de manière autonome ou avec l'assistance d'un conseiller en agence MNO Prérequis : - Le mobile NFC doit disposer de la connectivité data. 25 - La SIM mobile du client doit supporter l'ajout de services NFC, o elle peut être vierge d'application, dans ce cas l'ABC sera chargé et personnalisée en OTA o elle peut aussi déjà disposer de l'ABC, si le client a utilisé les services d'un autre opérateur de transport partenaire Triangle 30 2, dans ce cas l'ABC sera réutilisé pour la billettique NFC CTS. Le client doit préalablement disposer de l'Application Mobile CTS chargée et installée sur son mobile NFC : 35 - Un client autonome pourra gérer cette installation par une recherche sur le magasin d'application de son environnement mobile, ou via un lien de téléchargement renseigné sur le site internet de la CTS. - 26 - - Le client peut aussi être assisté dans une agence de son MNO ou par des agents de la CTS : dans ce cas une manière simple pour automatiser le téléchargement de l'AM CTS pourrait être la lecture d'un tag NFC présent en l'agence (cette solution a l'avantage de limiter les manipulations sur le mobile NFC du client). Le chargement de l'AM CTS est gratuit. Le premier lancement de l'AM CTS initialise le service billettique, l'AM sollicite si nécessaire une requête au TSM de la CTS afin de : - faire vérifier par le MNO du client l'éligibilité de sa SIM et de son mobile NFC, - charger, installer et personnaliser l'ABC (cardlet Triangle 2), - configurer dans la SIM l'accessibilité de l'AM CTS à l'ABC. Pour toute requête client en mobilité, le TSM de la CTS est en charge d'authentifier le client avec un identifiant technique reconnu par les MNO. Selon la méthode, le client peut être invité à renseigner son numéro de mobile MSISDN, dans ce cas le client pourrait avoir à répondre à un SMS du TSM, afin d'échanger une clef d'authentification. Avant toute opération le TSM questionne le MNO du client sur l'éligibilité aux services NFC de la SIM et du mobile du client ; dans la négative le processus est stoppé. Pour une installation et personnalisation de l'ABC, - le client est questionné sur son année de naissance, afin qu'elle puisse être personnalisée dans la zone de profil de l'ABC. - Le TSM opère en OTA le chargement, l'installation et la personnalisation de l'ABC. Si le MNO le requiert pour l'environnement mobile, le TSM fournit aux MNO les règles et certificats nécessaires pour configurer l'accessibilité de l'AM CTS à l'ABC. Enfin le client est notifié par le TSM de la bonne configuration du service NFC de billettique de la CTS. (Les opérations TSM pour la billettique CTS sont détaillées dans la note CTS de définition du service TSM.) - 27 - Si l'ABC est correctement configurée et que l'accessibilité de l'AM à l'ABC est autorisée, l'AM s'initialise en opérant une authentification de l'ABC au serveur CT : - Le numéro de série unique de l'ABC sert d'identifiant pour la base CT. Le serveur de SAM associé au serveur CT dispose de clés Triangle 2 afin d'authentifier l'ABC. Le serveur pilote à distance une authentification de l'ABC (une session Calypso limitée à la lecture du numéro de série & du profil de l'ABC). - Si le numéro d'ABC est inconnu de la base CT, un nouveau compte de titre en profil anonyme est créé en base CT, le numéro de série de l'ABC est associé au CT. En fin de processus le client est notifié de son enrôlement au service, il dispose d'un CT anonyme qu'il lui permet d'utiliser les services billettiques 15 NFC CTS de manière anonyme. Seule la possession d'une ABC, permet à un client de s'authentifier à son CT anonyme via l'AM CTS. - Le client peut rester anonyme, acheter et consommer des titres depuis son mobile NFC. - Sinon il peut poursuivre l'enrôlement nominatif afin de bénéficier 20 des services premium. Un schéma détaillant un exemple schématisé de la première étape du procédé d'enrôlement nominatif est présenté à la figure 7. 25 5.1.2 Etape 2 d'enrôlement nominatif - préinscription au CC par internet L'enregistrement d'un profil nominatif est amorcé sur internet par le client. S'il n'en a pas, le client créé en ligne un compte web CTS : il renseigne son login (son adresse mail), son mot de passe, et des données de profils. Le 30 compte web est commun au service de billettique badgéo en ligne et au service de billettique NFC nominatif. Authentifié sur son compte web, le client a la possibilité - de créer un nouveau compte client NFC nominatif, 35 - ou de migrer un compte client badgéo existant vers le service billettique NFC. La migration peut être opérée en ligne ou en agence CTS. - 28 - Le client est invité à télécharger sa photo et éventuellement des justificatifs ouvrant le droit à une tarification réduite. La photo et les justificatifs devront ensuite être validé par un agent CTS afin d'activer le compte client. Les nouveaux clients au service NFC nominatif sont invités à régler une cotisation d'accès au service premium. Les clients badgéo migrant vers le NFC sont exemptés de ce paiement, ils ont déjà financé l'achat de leur passe. Un schéma détaillant un exemple schématisé de la seconde étape du procédé d'enrôlement nominatif est présenté à la figure 8. Le client est en attente de validation de son CC, lors de sa préinscription sur Internet, il a renseigné ses login / mot passe d'identification au CC. Par internet, l'authentification d'un client à son CC nécessite l'usage de ses login / mot de passe. 5.1.3 Etape 3 d'enrôlement nominatif - Enregistrement d'un nouveau client en base CC La validation du dossier d'inscription du nouveau client nominatif CTS est réalisée en central par des agents CTS. Un schéma détaillant un exemple schématisé de la troisième étape du 25 procédé d'enrôlement nominatif est présenté à la figure 9. Le client est notifié de la validation de son dossier, son CC est bien créé. Les anciens titres de son CT anonyme n'ont pas encore été récupérés : un appairage du CC à l'ABC sera nécessaire. En attendant un CT provisoire est 30 créé afin de pouvoir acheter des titres par internet. 5.1.4 Etape 3bis d'enrôlement nominatif - Migration d'un client badgéo par internet ou en agence CTS 35 Si le client opère sa demande de migration par internet, le processus est similaire à l'enregistrement d'un nouveau client, hormis que ses anciens titres badgéo doivent être récupérés. Le délai de validation peut être plus - 29 - long jusqu'à 24h afin de récupérer l'image carte en soirée de son passe badgéo. Une fois le dossier validé, le passe badgéo est inscrit en liste d'opposition, il ne pourra plus être utilisé. Un schéma détaillant un exemple schématisé d'une alternative de la troisième étape du procédé d'enrôlement nominatif est présenté à la figure 10. Si la migration du client est prise en charge par un agent CTS en agence : - l'ancien passe badgéo du client est récupéré - la récupération de l'image carte peut alors être instantanément copiée, - et le passe directement inscrit en liste d'opposition. L'agent opère la mise-à-jour du profil du client et valide le CC, la procédure est rapide. Un schéma détaillant un exemple schématisé des étapes d'une mise à jour du profil client est présenté à la figure 11. De même le client doit encore appairer son CC avec son CT pour bénéficier de son profil en mobilité. 5.1.4 Etape 4 d'enrôlement nominatif - finalisation de l'association CT/CC Afin d'appairer le mobile NFC du client a son profil CC, la solution est que le client s'authentifie à son CC à travers l'Application Mobile : pour cela il doit jouer le login / mot de passe CC via l'AM. En étape 3 (ou 3 bis), le serveur CT a créé un CT provisoire accessible pour 30 l'instant que par internet, ce nouveau CT peut inclure : - des titres issus d'une migration badgéo - ou de nouveau titre acheté par internet. Après authentification CC via l'AM, les titres du CT provisoire sont fusionnés avec ceux du CT anonyme. Dorénavant lorsque le client achètera 35 des titres en mobilité, il aura accès à l'offre correspondant au profil de son CC. - 30 - Un schéma détaillant un exemple schématisé d'une alternative de la troisième étape du procédé d'enrôlement nominatif est présenté à la figure 12. Remarque : l'opération d'association du CT anonyme au CC, revient à associer l'ABC au CC. 5.2 Opérations de maintenance de profil 5.2.1 Abandon du service NFC à la demande du client 5.2.1.1 Suppression du service pour les clients anonymes Un client peut demander la désinstallation du service de billettique NFC de 15 la CTS en mobilité via l'AM : l'ABC est alors supprimée de la SIM par le TSM de la CTS (cf. §0). Ensuite le client doit manuellement supprimer l'AM CTS de son mobile. Les clients anonymes ne peuvent bénéficier d'une migration vers badgéo : 20 les éventuels titres restants sont perdus. 5.2.1.2 Migration des droits vers le support badgéo pour les clients nominatifs 25 Le client doit se rendre dans une agence CTS, - L'accès au CC est désactivé - Les titres de son CT sont transférés sur une carte badgéo remise au client. 30 5.2.2 Changement de mobile NFC - clients anonymes ou nominatifs Si le client conserve son ABC (sa SIM) mais change de mobile NFC alors (comme pour l'enrôlement anonyme étape 1) - il doit charger et installer l'AM CTS sur le nouveau mobile. 35 - Lors de la première exécution de l'AM, suite à la vérification d'éligibilité du mobile, l'AM contacte le serveur billettique afin d'authentifier l'ABC par une session Calypso à distance. - 31 - - L'ABC étant déjà connu du serveur, le client récupère l'accès à son CT même anonyme via son nouveau mobile NFC. 5.2.3 Changement de carte SIM - clients nominatifs (uniquement) En cas de perte de sa SIM ou de changement de MNO, le client obtient une nouvelle SIM NFC potentiellement sans instance ABC. Le nouvel identifiant d'ABC étant différent, le CC nécessite d'être associé avec la nouvelle ABC. - Le client n'a pas besoin de réinstaller l'AM CTS sur son mobile, celle-ci est réinitialisée pour la nouvelle SIM. Comme en étape 1 de l'enrôlement anonyme le client installe une nouvelle ABC dans sa SIM : cet ABC a un numéro de série forcément différent de l'ancienne. Un nouveau CT anonyme est donc créé pour le client. - Puis le client passe directement à l'étape 4 de l'enrôlement nominatif, il renseigne son login / mot de passe CC via l'AM afin d'actualiser l'association de son CC à la nouvelle ABC. 5.2.4 Désactivation / réactivation du service NFC - clients nominatifs 20 (uniquement) Un client nominatif peut momentanément inhiber l'usage de son équipement NFC, il peut en faire la requête par internet via son CC (cf §0). Un client nominatif peut réactiver l'usage de ses titres pour le même ou un 25 nouvel équipement NFC en opérant un appairage CT/CC via son AM (cf §0). 5.3 Méthode d'authentification « rapide » de l'AM au CT ? 30 Lors de l'enrôlement anonyme, le client s'authentifie de manière forte à son CT par une session Calypso sécurisée avec l'ABC. Une telle authentification nécessite : - Que l'AM établisse un canal logique de communication avec l'ABC afin d'échanger au minimum 3 commandes APDU. 35 - Et qu'en parallèle l'AM transmette au CT les échanges ABC qui ne peuvent être regroupé qu'en un minimum de 3 allers/retours - 32 - réseaux ; le CT sollicitant pour cela un SAM Calypso pour au minimum 4 commandes APDU. Cette authentification forte du client est nécessaire pour établir les associations CT/ABC, pour les actes d'achats de titre ou d'administration du CT, pour l'écriture de droit au transport dans l'ABC. En revanche pour les opérations de demande d'acquittement de validation, ou rafraichissement du cache CT sur l'AM, il pourrait être envisagé d'employé une méthode plus « légère » d'authentification au CT, par exemple par l'usage de jeton / mot de passe à usage unique transmis lors d'une précédente transaction par le CT à l'AM, mémorisé par l'AM, puis joué par l'AM pour se ré authentifier au CT à la prochaine transaction. 6 Scénarii d'usages liés à la vente de titre 6.1 Opérations de vente par Internet achat de titre pour soi ou autrui / mise en opposition de l'équipement NFC / définition du compte parrain Par internet, les clients nominatifs peuvent: - acheter des titres de transport pour eux ou leurs filleuls - renseigner l'identifiant CC de leur parrain - désactiver l'usage de leur ABC en cas de perte de leur SIM La désactivation de l'usage d'une ABC, peut être utile au client nominatif si 25 celui-ci a perdu son équipement NFC. Un nouvel appairage de l'ABC sur le même équipement ou un nouveau permet au client nominatif de recouvrer l'usage de ses titres de transport. Un schéma détaillant un exemple schématisé des étapes mises en oeuvre 30 dans le cadre d'un scénario d'achat de titre par internet est présenté à la figure 13. 6.2 Opérations de vente en mobilité achat de titre / requête client de désinstallation du service NFC de la CTS / appairage ABC/CC / sélection 35 de titre En mobilité : - 33 - - tous les clients NFC peuvent o acheter des titres de transport et obtenir un droit au transport pour le titre sélectionné, o demander la désinstallation du service NFC. 5 - Les clients nominatifs peuvent o associer leurs CT et CC; o paramétrer la sélection de titre si le CT en comprend plusieurs, et éventuellement définir des accompagnateurs pour 10 le voyage en groupe. Par défaut l'application mobile renseigne le client sur son aptitude à voyager pour le titre de transport couramment sélectionné. 15 L'ABC visant à être partager par plusieurs opérateurs de transport : seul le client est légitime pour demander la désinstallation de l'ABC de sa carte SIM. En cas de suppression du service : - un client nominatif peut demander en agence CTS, une migration de ses titres de transport vers un support carte badgéo. 20 - Un client nominatif perd ses titres de transport restants Un schéma détaillant un exemple schématisé des étapes mises en oeuvre dans le cadre d'un scénario d'achat de titre en mobilité est présenté à la figure 14. 25 7 Scénarii d'usages liés à la validation Pour la billettique NFC CTS, la validation consiste en l'acte de lecture de tag à procéder lors de l'accès à tout moyen de transport. La validation est 30 répétée à toute correspondance. Pour le voyage en groupe, une seule validation est nécessaire quel que soit le nombre de personnes. Que le client soit anonyme ou nominatif, la procédure de validation du droit au transport est la même. 35 La lecture d'un tag NFC de point de validation CTS démarre ou réveille automatiquement l'AM, afin que celle-ci passe au premier plan sur l'écran du mobile NFC. -34- 7.1 La validation du droit au transport Prérequis : o Le client doit au préalable avoir acheté un ou des titres de transport sur son CT via son mobile NFC ou par internet avec son CC si le client est nominatif o Il doit aussi obtenir un Droit au Transport valide pour le titre sélectionné. Calcul du droit au transport (initié par l'AM via le mobile NFC uniquement) : - Le client se connecte à son CT via l'AM. - Le client renseigne ses choix concernant le titre de transport à utiliser et le nombre de voyageurs. o Par défaut le porteur du mobile voyage seul et son titre prioritaire est présélectionné sur le CT. o Sinon le client doit sélectionner explicitement le ou les titres à utiliser et saisir le nombre d'accompagnateur. Voyage en groupe : - Un client anonyme peut voyager en groupe s'il sélectionne un titre de groupe. ou - Un client nominatif peut rajouter des accompagnateurs à sa sélection, les accompagnateurs utilisent des tickets simples pour la même zone que le porteur. En fonction de la sélection, le CT détermine un droit au transport : - Ce droit renseigne sur le nombre de personne autorisé à voyager - Ce droit comprend une date pour l'acte de le' validation - Un délai temporel de validité suite à la dernière validation Sélection par défaut d'un titre du CT : - Si le CT ne comprend qu'un seul titre, celui-ci est forcément sélectionné par défaut - En cas de titres multiples, - 35 - o les abonnements à tarification réduite sont prioritaires à la sélection par défaut par rapport au carnet de ticket. o Les tickets urbains sont prioritaires par rapport aux interurbains pour la sélection par défaut. o Le voyage en solo est prioritaire par rapport à celui en groupe. Un CT sans titre valide ne peut générer de DT. L'application mobile renseigne le client sur son aptitude à voyager pour le titre de transport sélectionné et pour les éventuels accompagnateurs définis. 7.2 Données traitées en validation Droit au Transport 7.2.1 Structure du Droit au transport Le droit au transport est obtenu lors d'une synchronisation du mobile NFC avec le CT, si un titre de transport valide est sélectionné sur le CT. Les données du DT comprennent : une date de validité, un nombre de voyageurs autorisés, un nombre de voyages autorisés sans nouvel appel au 20 CT pour un re-calcul de DT, et une signature. Toutes les données du DT sont mémorisées de manière sécurisée dans la cardlet T2 du mobile. Afin d'optimiser l'affichage, lors d'opérations de consultation du DT, la MIDlet billettique peut disposer d'un 'cache' des données DT, réactualisé 5 après toutes modifications du DT en cardlet T2. En cas d'évolution de l'encodage DT, il n'est a priori pas nécessaire de prévoir un identifiant de version dans les données DT, car la MIDlet billettique serait aussi mise-à-jour lors de cette évolution de DT. - 36 - Illeretel Si clectionne sui le DT coulis' end une limite de valida,. - la il de de validité du DT ne con espond pas forcément à la date de validité du titre sélectionné - la date de validité du. DT ne peut etre postérieure à la date de validité du titre sélectionné Pour certains titi cr, dont la validité temporelle est limitée à une hem e pl edee - ce champ indique jusqu'à (pelle heure est valide le DT st la date de validité du DT correspond à la date courante - ce champ reste nul pour les titres dont l'unité temporelle est le jour. Booléen oui / non - Indique au portable de contrôle la nécessité de vérifier Page du porteur dans ce cas le portable de contrôle lit l'année de naissant e dans le mrofil de l'.2 Une `flat liste' 1 zones supportées parnni les lett' em: eer - t:'ommunauté Urbaine de Strasbourg et Kehl : BUS / TRAM TER - TRAM f TER Entzheim aéroport et COITC spondance CUS&K - Département : BUS TRAIs! i CAR (hors train TER) Dans un DT plusieurs zones L'lreru-e de validité dn DT Eng de contrôle 1 age 'aven de transport ou zones du réseau autorisées afin de justifier un voyage en Ci oupe - Pour tout profil, les vol agent s peuvent utiliser sua même titre de si olive - tir e Mo) - Four les profils prenuum, ^:les accompagnateurs peuvent utiliser des tickets différents du titre sélectimmé pour le porteur. Le nombre de voyageur autoriséts) Dans le champ "C on ctT2Data 42 octets pi (posé pai la structure du fichier 'T2 C^ compteur e-t au nunumun émis a la valeur 1 par 1 'T - il est ^Iési émenté de '1 lors de la D" validation d un voyage - il d est pas modifié en cas de validation aux. amure de corespondlance pendant 1 heure Si le tirs e ,:electunind sur le CT est nye carnet de 'c Let' le munto e rie voyac autêtre pourrait ètre plafonné pat le 'motte -.le tu Lo s restants. Une srrnatui e des données du DT : - géné, te par le CT - pouvant ètre vérifié lors d'opération de contrôle. Cette signature garantit l'unicité du DT, honnis la valeur du nombre de voyages autorisées, elle prend en c:onpte toutes les autres dominées du DT, ainsi que : - Le numéro de série de la cardlet T2 - L'identifiant de réseau de transport de la CTS (Si le compteur d'usage faisait partie de la signature, celle-ci perdrait sa validité lors de la décrémentation du compteur). Le nombre de -voyages) antoriséts sans nouveau calcul du CT Dans le compteur alloué par la CTS dam. 1 fichier 'T2 Counters A'. - Ce compteur peut être +lécrémenté saisi clef par la 1):11Dlet - Son incrémentainn nec e,,,te lui SALI du CT, et peut dons, et, e i éahsée que lors de l'écriture d'uni-vira-eau DT par le CT. Le certificat de DT Dans le champ "ContradT2AuthenticatorVahme" de 4 octets proposé par la structure du fichier 12 Contracte. La CP; peut allouer de nsanlrére rlynannque ul enregisi cillent du fichier 'T2 Tontrads' : cet enreputrement est préfixé avec un champ 'Contras tT2Provid correspondant l'identifiant CTS. Données du Droit au transpo La date de validité du DT Stockage en cardlet Dans le champ 'Conti a ctT2LinutDa teReverse de 14 octet. dont l' em ,..dac est défini pour la structure chu Mille, Ume-, - Si la as die 1-2 est pas tarée avec d mi es 1 eseauz pal renaudes, en cas d'expia atun de cette date lei partenaires sont autanses a eciaser les données CTS de la cardlet T2. Dans le champ 'ContractT2Data' de 42 octets proposé par la structure du fichier "T2 Contracte. - Au moins 11 bits sont nécessaires afin de coder l'heure de validité en fonction du nombre de minutes écoulées depuis le début four. Dans lamp "ConttactT2Data 42 octets proposé par la structure du fichier 12 Contracte. - 1 bit est nécessaire afin de coder l'état booléen Dans le cha q titras iT2Data" de 42 miel: proposé par la sin.: tui e du mime) 'T2 Contracte. - 1 bit par zone de rés:eau à identifier est nécessaire -37- Support des Parkings Relais : - L'accès aux parkings est contrôlé par un valideur opérant une barrière mécanique. Les valideurs de parkings relais supportent l'ISO 14443 : les mobiles NFC des clients peuvent donc être lus en mode émulation carte par ces valideurs. - Lors de l'accès d'un client badgéo à un parking relais, une vérification online du numéro de série du passe est opérée : le passe doit avoir été déclaré pour l'accès au parking. L'accessibilité des clients NFC peut être gérée de la même manière, le numéro de série de l'ABC est lu et vérifié par le valideur d'entrée. Dans ce cas, il n'est pas nécessaire que la structure DT intègre l'encodage de zones réseaux parking accessibles. 7.2.2 Traitement de titre et construction d'un Droit au Transport Les titres billettiques de la CTS sont conçus à partir de différents paramètres de 'validité spatiale', de 'validité temporelle' et d"autorisations de voyage'. Pour les clients NFC, les titres de transport gérés au niveau du CT disposent des mêmes droits que les titres chargés dans les passes des clients badgéo. Par contre les DT générés pour un titre ne reprennent pas forcément les paramètres du titre à l'identique. Le DT indique si le titre de transport utilisé intègre une restriction sur l'âge du porteur. - Validité spatiale Pour la première version des données DT, seule la zone autorisée du titre est reprise (limitée à 3 zones). L'encodage de zone est présent de manière 30 similaire dans les tags NFC de validation. Les modes de transport autorisés ne sont pas vérifiés à la validation. Les interdictions de lignes ne sont pas supportées. Les autorisations de parking sont contrôlées en ligne pour les numéros de série des ABC. 35 - Validité temporelle Le DT n'intègre pas de date de début de validité, car il ne peut être calculé pour un titre que si la date courant est valide. De la même manière le cumul - 38 - de période ou le basculement en fonction du jour ne sont pas gérés au niveau du DT. Pour les titres de type abonnement, la date de fin de validité du titre plafonne la date de fin de validité du DT associé. Si le titre a des restrictions d'usage en fonction du jour, alors la date de validité du DT est plafonnée par le dernier jour autorisé précédent le prochain jour interdit. Un nouveau DT pourra être calculé lors du premier jour suivant la fin d'interdiction. Si la période de validité est définie de manière glissante à la première validation, alors le premier DT calculé pour le titre avant toute validation est limité avec un nombre de voyage autorisé à 1. Suite à la première validation la date de fin de validité est définie, pour le même titre, le nombre de voyage autorisé peut alors être paramétré supérieur à 1. La fin de validité peut être arrêtée si nécessaire à l'heure près. - Voyages autorisés Le nombre de voyages autorisés d'un DT correspond au nombre de voyages autorisés avant un nouveau calcul du DT, ainsi ce nombre peut être 20 inférieur au nombre de voyages autorisés par le titre de transport correspondant. Pour cette première spécification du DT, la correspondance n'est pas gérée de manière différenciée suivant les titres de transport. Elle est autorisée sur une période d'une heure de manière globale pour tous les titres : le DT 25 n'intègre pas de paramètre spécifique à la correspondance. Lors d'une validation, le nombre de voyages autorisés n'est pas décrémenté, si pour le même DT (pour le même titre) une précédente validation a eu lieu une heure avant. 30 7.2.3 Calcul du Droit au Transport en fonction de l'offre billettique CTS exemples : - 39 - Ti Données du Droit au Transport correspondan Nombre de de nire voyages autorisés Nombre de ticket restant -: L11 de T E Hag de Zone ou Date & de validité 11f heure I du c oui al 1 r la .,élection fila c i :,. - ;:::-- haat:1 - i c -c. al.....: regulici Au N'ombres de Er i voyageurs autorisés Si profil premuium : n en fonction du nombre de ticket restant controle d'âge réseau autorisé _ El 1 J -. i ail inple - I I - tarif normal - à l'unité I par 10 rar 30 loi s de du -411, a : pai.: le I)T) urbain IZI. Ticket aller simple - CUS&K - tarif réduit (juniorlsénior) - par 10 Si profil D D premitun : n en fonction du nombre de ticket restant El Ticket aller simple - CUS&K - tarif réduit (famille nombreuse) - )ar 10 n en fonction du nombre de ticket restant D D IZI. IZI. Ticket aller-retour - CUS&K urbain CTS Limité au jour - 1 pour autoriser l'aller D D - à l'unfté courant lors de - 1 la sélection du en, oi e pour titre, antom el le La date de fin de validité ne peut renne le jour de l'aller plus are repoussée lors que 1 aller a été validé 13. Tickets douzepass - CUS&K - urbain CTS Limité au jour Nombre de D D (invalides) courant lors de ticket restant - par 12 la sélection du titre (ou plus, à définir) El. Tickets TRAM TER Eutzheim Liaison aéroport aéroport - à l'unité ou carnet de 10 Si profil El D premiuin : n en fonction du nombre de ticket restant Er Er 24h individuel alsa - CUS&K urbain CTS - Limité au jour courant lm s de la séle Min du Me - 1 d. abord pour autonser le e Ir met 1 D D - Un fois le 1" fi aler effectué la date et Plieur e de validité sont définies sur 24h glissantes - une mande valeur ensuite afin d'autoriser tous les trajets sur 24h glissantes D D D E. Er 2-1h trio - C US&K 3 quel que sort El Tickets combiné bus-TRAM-CAR - i ei, eau la- le profil - unitaire ou carnet de 10 voyages J tout public limerai ra Limité au jour Nombre de Si profil in hors courant lors de ticket restant premium : n en TER urbain la sélection du fonction du titre (ou plus, à définir) nombre de ticket restant El El. Tickets combiné bus-TRAM-CAR - réseau 67 - unitaire ou carnet de 10 voyages J jeunes Abonnements CUS&K urbain CTS Limité à la date de fin de validité de l'abonnement Grande valeur 1 + n D - mensuels ou annuels hiterurba (il n' est pas à définir accompagnateur o El - 4-18 i 19-25 J 26-64 I 65+ ans in hors nécessaire de s (si présence - avec ou sans quotient familial TER urbain gérer la date de d'un carnet) sélectionnable s i début de l'abonnement car le titre n'est P°' la date courante est antérieure au contrat). Abonnements combiné busitram/car reseau 67 - mensuels ou annuels - tout public ou jeunes - avec ou sans quotient familial - 40 - Les titres Parking Relais (les tickets P+R - Automobiles / cars / camping cars) et l'abonnement annuel PMR ne sont pas pris en compte par les attributs du DT, mais seront gérés par une présentation des mobiles NFC sur les valideurs des portiques d'entrée des parkings. Ces valideurs compatibles ISO/IEC 14443 type B seront en mesure de communiquer avec les mobiles NFC fonctionnant en mode émulation carte. L'accès sera accordé suite à un contrôle online du numéro de série de l'ABC. Les abonnements impersonnels mensuel & annuel (entreprise ou non) pourront être gérés de la même manière que les abonnements nominatifs. Par exemple pour un abonnement entreprise, un mobile NFC d'astreinte pourrait être échangé entre différents employés ; le nom de l'entreprise pourra être renseigné en CC. Les titres de transport de l'offre billettique de la CTS, dont la prise en compte pour le service NFC n'est pas prévue, sont : - les titres congrès : les tickets congrès - séjour en groupe (groupe d'au moins 15 personnes) - les titres départementaux avec train TER hors CUS : les tickets ALSA+ 24H départemental / ALSA+ CUS journée groupe départemental, et les abonnements mensuel ou hebdomadaire combiné Alsa + - les titres régionaux : les tickets ALSA+ 24H régional / ALSA+ CUS journée groupe régional - les titres transfrontaliers (bus de la TGO (Tarifverbund Ortenau GmbH)): les tickets EUROPASS 24H / EUROPASS 24H MINI, et les Abonnements Europass mensuel / Europass mensuel MINI - les titres avec auto-partage : l'abonnement annuel bus/tram + Auto'trement 7.2.4 Tag NFC valideur Les données du tag NFC valideur comprennent - L'identifiant du moyen de transport (sur 4 octets) : o soit le numéro du bus (sur 4 chiffres décimal) o l'arrêt du TRAM (sur 4 lettres ASCII) - 41 - - La zone réseau du moyen de transport (CUS&K / aéroport Entzheim / département 67) o Pour le TRAM, la zone correspondra au lieu de l'arrêt. o Pour les bus circulant à la fois dans Strasbourg et le département 67 plusieurs tags NFC pourraient être présents à l'entrée. Le client choisirait le tag à lire en fonction de la zone sur laquelle il souhaite voyager (urbain / interurbain). - Un flag de la capacité du tag NFC à signer des données (actif pour les tags NFC de type 4). Les tags NFC disposant de la capacité de signature pourront signer des données transmises par la MIDlet billettique fin de certifier l'horodatage des validations non acquittées. 7.2.5 Historique des validations La solution billettique NFC doit permettre au client de réaliser au plus 2 validations non acquittées. Pour cela, le journal de validation doit être dimensionné pour mémoriser de manière sécurisée dans la cardlet T2 les 3 dernières validations. - Une validation acquittée ne peut être supprimée du JV de manière autonome par la MIDlet billettique seulement si le voyage est expiré (délais de validité d'une heure après la le' validation du voyage). - Lors de l'acquittement d'une validation de correspondance par le CT, la MIDlet billettique peut écraser la première validation du voyage forcément déjà acquittée. Par exemple pour un voyage d'l heure : - La le' validation pourrait être acquittée et occuper la le' entrée du JV. - Une 2eme validation de correspondance non acquittée pourrait occuper la 2eme entrée du JV. - La 3enle entrée du JV étant libre, le client a alors la possibilité : o Si le délai d'une heure suivant la le' validation n'est pas encore expiré, d'effectuer une 3enle validation de correspondance pour le même voyage sans débit du compteur du nombre de validation autorisée. - 42 - o Sinon d'effectuer une nouvelle validation pour un nouveau voyage avec débit du compteur du nombre de validation autorisée. - Lors du prochain acquittement, le JV est remis à zéro, une seule validation acquittée pourrait restée en JV si le voyage correspondant est encore valide. - 43 - lutées du Journal de Propriétés l'ans k s Muni) - I_ sagel2MasableDate- de 14 oc 'dation Ce champ est 'dermique a la date -le dont I el c. , o Lige e s 1 defini pour la ::i tm. I ure -11 e . alidik pour le DT fichier 'T2 us: 5.,» - iç't la cal tIlet T2 est partac!ee avec d'autres réseaux partenaires, en cas d'expiration de cette tale : les partenaires sont autorisés a' écraser les données CTS de la cardlet T2. La nTS peut allouer de maniere dynamique un eru sgri) entent du fichier 'T2 Usage' : cet en, c grstrement est préfixé avec un champ T1-,:,géT2Fro iller' correspondant. l'identifiant CTS. Pointées 1 La date de alidife du DT validé coemnames aux validations du 1 3V ti ;quittement rature des données cle la i_alidaooit acquittée (en tère position de la IV) Dans le champ 'Usag,eT2AuthenticatorValue' de 4 )osé par la structure du fichier 72 Usage'. validations i le certificat est présent, la 1ère validation est à l'état acquittée. Données de la La date de la validation Données fournies par la lrwrlDlet 0; billettique lors de la validation (date & heure du mobile NFC). Dans le champ rUsageT2Datar de 39 octets proposé par la structure du fichier 72 Usage'. fère validation L'heure de la validationcouuante du JV L'heu e de la Ière validation du - En cas de validation de correspondance, la valeur est antérieure d'au plus 1 heure à l'heure courante de validation. vay°age - Si la validation courante est la 1è" du voyage, alors la valeur est équivalente à theme de validation, champ permet - de ne laisser que la demiére validation acquittée en IV. - De supporter de nombreuses correspondances pour un même voyage. I L'identifiant du a?- NEC valideur mero aulique pennektant d'identifié ulo 'en de transport ii Zone du réseau cle h ansport Renseigner la zone du tag NFC out les zones utor' ' s par le DT (à d ' ' ' . el lificat {1'hm ôtlaiage cle la Fourni par le tag Na ti iii{leur si cel ii-ci dispose de la capacité de signature. Hash prenant en compte : validation (optioratel) - la date Sz, l'heure de la validation . . ; , - l'identifiant du tag NFC valideur ; - et le munéro de série de la cardlet T2 . . ise renforcer la sécurité lors d'opération de contrôle en mode dé de validations non acquittées. Données de la 1 La date de la validation Idem à la 1e" entrée IV Dans le champ 'UsageT2Datar de 39 octets proposé par la structure du fichier 72 Usage'. ;... 2è" validation 1 L'heure de la validation couvrante du JV L'heure de la Iere validation1 du voyage L' identifiant du licteur Zone du réseau de transport Certificat hot. o data s,e de la validation ptiomtel) Dooriees de la I La de lidation IrgiHm à la Iere erttr'ee.IT Dans le champ 'UsageT2Data de 9 octets propose par la structure du fichier 72 Usage'. .3è"' validation I L du ei L'heure de la 1è" validation du voyage L'identifiant du tag NFC -valident Zone lu réseau de transport '.'cl arc ai- .1 horo data ge de la validation I optimutel) 5 -44- 7.2.6 Statut DT (logique interne à la MIDlet) 7.2.6.1 Etats du statut DT & aptitude du client à la validation La représentation du statut de DT selon ces 3 trois états : vert, orange & rouge permet de spécifier simplement le comportement de la MIDlet billettique en usage de validation. La logique des états du statut de validation n'a pas à être directement perçue par le client, par contre le client : - doit être renseigné sur son aptitude à accéder au réseau de transport, à effectuer une validation billettique, - et si nécessaire être alerté sur les défauts de son état billettique : problèmes de connectivité ou de validité de titre sélectionné. 7.2.6.1 Changement d'état du statut de Droit au Transport En fonction de la date et de l'heure courantes, - la MIDlet billettique est à même d'évaluer en local la validité du droit au transport courant. - En cas de DT expiré, suivant le type de titre sélectionné, la MIDlet billettique pourrait essayer d'interroger automatiquement le CT afin d'obtenir un nouveau DT pour le titre couramment sélectionné (à définir par la CTS). Aptitude à la validation Message d'alerte (en bas de fenêtre) re pi-ochaizre validation encore 3C 1 le client dispose d'un DT valide mais sa deinière validation requiert toujours ] ] un acquittement après 10 ] minutes Nouvelle validation non permise 1 de, k - ]srledion ou achat d un nou -eau titi e nécessaire Barele-au T.-de se conne( ,cite ne( ess aire, synchronisation au compte de titre nécessaire ]]] Ftat du statut DT Aptitude à la validation Perception client via la MIDlet billettique Conditions le client dispose d Un _Dl sa prochaine validation ] valide et d'aucune se, a accepter ] validation eu attente cquittement ] Lande,)u ] 111e, te ef conne( M te difficile, risque d information ] billettique non a eittro Nouvel: Y.- possible le titre couramment sele]:lionne autorise 1 .-]]:]. es au rsr au le h alrpo, t pi ^111 k porteur et eveneuelleinent .7-i e ompagnateur(s) A l'état A Fer» soit le client ne dispose k client ne peut plus I plus de DT valide :Ide' en attendant une iriulau de son DT :électron ou achat d'un ] nouveau titre) oit 2 validations sont en I le client ne peut plus attente acquittement ] valide], en attendant les ittements de ses deux lentes validations A l'état rouge - 45 - - En cas de nombre de voyage autorisé nul, le dernier acquittement de validation pourrait commander le calcul d'un nouveau DT. - L'absence de titre valide sur le CT stoppe les demandes de DT de la MIDlet billettique. En fonction du nombre de validation non acquittée et de la validité du DT courant, le MIDlet détermine le statut DT, et par conséquence l'aptitude du client à valider. La tolérance d'usage de la solution billettique en validation est limitée à une seule validation en attente d'acquittement. Un schéma détaillant un changement d'état du statut de droit au transport est présenté à la figure 15. 7.3 Accès au réseau de transport par la validation 7.3.1 Obtention de l'autorisation d'accès au réseau En cas de succès de validation, le client est notifié, l'Application Mobile 20 affiche le numéro de moyen de transport, le nombre de voyageur et les zones du réseau autorisées par le DT. Lors de l'accès au bus, le client présentera l'écran de son portable au conducteur, afin que celui-ci puisse vérifier les informations de validations. 25 Dans le cas où un bus couvre plusieurs zones de transport, plusieurs tags NFC seront proposés lors l'accès : par exemple un tag de validation pour un trajet limité à la zone urbaine, et un autre tag permettant l'interurbain. Le client devra cibler le tag correspondant à son trajet. En cas de futur migration des valideurs billettiques pour supporter 30 l'ISO/IEC 14443, un même valideur pourra gérer plusieurs zones de réseaux en adaptant l'autorisation de DT en fonction de la localisation du bus. Pour les tags NFC disposant de la faculté à signer les données de validation, 35 le risque d'« arrachement » du mobile client pendant la transaction existe : si le mobile n'obtient pas la signature du tag, le client est invité à recommencer la validation. - 46 - Un schéma détaillant un exemple schématisé de la première étape validation correspondant à un traitement temps réel du droit au transport par la MIDlet est présenté à la figure 16. 7.3.2 Acquittement de la validation Un schéma détaillant un exemple schématisé de la seconde étape validation correspondant à des écritures historiques de validation et acquittement 10 différé de la validation au CT est présenté à la figure 17. En première étape de la validation, l'AM a pu récupérer l'identifiant du lieu de validation : cet identifiant est alors présenté sur l'écran du mobile avec que le chauffeur de bus puisse éventuellement contrôler la validation. 15 L'identifiant de validation est aussi mémorisé dans l'ABC dans le fichier `T2 Usage'. Une fois la validation acquittée l'AM peut récupérer auprès du CT, le nom complet du lieu de validation afin de pouvoir le présenter au client lorsque celui-ci souhaitera vérifier son historique de validation. 20 7.3.3 Traitement de titre par le serveur CT Le serveur CT analyse les remontées ABC de validation : - Il met à jour le solde du titre sélectionné (des titres en cas de voyage 25 en groupe avec accompagnateur(s)). - Le recoupement entre le titre sélectionné et les données ABC de validation, permet au CT de reconstituer les données de validation de manière exhaustive afin de les transmettre au SRB. 30 7.3.4 Opération de contrôle Le mobile NFC du client est présenté au portable de contrôle afin de lire le contenu de l'application T2 en mode émulation carte. La présence d'un SAM dans le portable contrôle permet : 35 - d'authentifier l'application T2 et les données de DT par une session Calypso, - 47 - - de contrôler le certificat CT de la dernière validation du JV si elle est acquittée. 7.3.4.1 Cas nominal - vérification d'un certificat d'acquittement émis par le 5 CT Suite à une validation, dès que la connectivité réseau le permet, la MIDlet billettique demande l'acquittement de la dernière validation. Dans ce cas, la vérification par le portable de contrôle du certificat 10 d'acquittement permet de confirmer le bon usage billettique du client : - L'identifiant de tag de l'entrée JV doit correspondre au moyen de transport utilisé. - La durée du voyage ne doit pas être expirée. - Le certificat d'acquittement doit être valide. 15 - La date de validation doit être correcte. - Les heures de validation & d'acquittements ne doivent pas être trop récentes selon l'appréciation du contrôleur. Afin que le certificat d'activation ne puisse être cloné entre 2 voyageurs 20 voyageant ensemble, il est préférable de vérifier l'authenticité de l'ABC par session Calypso via un SAM du portable de contrôle. Le portable de contrôle doit aussi vérifier les données de DT : - La date de validité de DT doit être correcte 25 - Si le flag de vérification de l'âge est actif, le profil de l'ABC doit être lu afin de récupérer l'année de naissance du porteur : le contrôleur CTS devra évaluer si le client fait bien partie de la catégorie junior ou senior. - Enfin en cas de voyage en groupe, le nombre de voyageurs autorisés 30 doit correspondre au nombre de personnes contrôlées. Les données de DT étant inscrites en zone protégée de l'ABC, le contrôle de l'authenticité de l'ABC a aussi permis de vérifier l'authenticité des données DT. 35 Remarque concernant l'intérêt du certificat DT : la vérification du certificat de DT par le portable de contrôle ne renforce pas la sécurité de la solution : cette vérification sert à authentifier le SAM émetteur des données DT. Hors - 48 - pour la billettique NFC CTS, tous les SAM T2 d'écriture de DT étant centralisé au niveau du serveur CT avec une forte protection des accès physique, le risque de perte d'un SAM T2 d'écriture de DT peut être considéré comme minime Le contrôle du certificat CT de l'acquittement de validation et la vérification de l'authenticité de l'ABC permettent de contrer le risque de fraude. 7.3.4.2 Mode dégradé - absence de certificat CT Si lors d'un contrôle la dernière validation n'a pu être acquittée faute de connectivité, dans ce cas le portable de contrôle ne peut vérifier le certificat CT d'acquittement de validation, l'usage billettique du client est plus difficile à justifier. Le portable de contrôle peut vérifier - la validité des date & heure et du numéro de moyen de transport pour la validation non acquittée - l'authenticité de l'ABC et des données de DT via une session Calypso avec l'ABC Un voyageur malveillant pourrait tenter de copier tous les identifiants de tag NFC CTS afin d'émuler à la demande des données de validation non 25 acquittées en fonction de la date et du moyen de transport. - Afin de contrer l'usage de données clonées d'un tag valideur, une parade peut être d'employé des tags NFC valideurs capables de signer les données d'horodatage de validation transmis par l'Application Mobile. 30 7.3.4.3 IHM du portable de contrôle Le portable de contrôle reportera sur son écran les résultats de la lecture - de l'acquittement de validation à la lecture du journal de validation 35 de l'ABC - de l'authenticité de l'ABC, ainsi que l'âge du titulaire du mobile NFC. - 49 - L'écran du portable de contrôle affichera les données : - de la dernière validation du JV o la référence du tag de la validation o la date et l'heure de validation o la zone du réseau de transport o la validité du certificat d'acquittement - et celle du DT courant o le nombre de personnes pour lequel le DT est valide o l'âge du titulaire du mobile NFC si requis pour le titre de transport utilisé o l'authenticité de l'ABC Bien entendu, l'invention n'est pas limitée au mode de réalisation décrit et représenté aux dessins annexés. Des modifications restent possibles, notamment du point de vue de la constitution des divers éléments ou par substitution d'équivalents techniques, sans sortir pour autant du domaine de protection de l'invention. REVENDICATIONS1. Dispositif de gestion partagée de droits à un titre embarqué au niveau d'un terminal mobile comprenant au moins : - un premier moyen mémoire de type SIM (Subscriber Identity Module) sécurisé intégrant au moins une application de stockage d'au moins un identifiant et/ou d'au moins un droit à un titre et/ou d'au moins une information qui se trouvent enregistrés dans ce premier moyen mémoire, - une interface de lecture d'au moins un identifiant déclencheur extérieur au terminal mobile, - une interface de communication avec au moins un serveur à distance, - caractérisé en ce que le dispositif de gestion comprend également : - au moins une application de gestion enregistrée dans un second moyen mémoire définissant les règles de vérification/confirmation de la validité d'au moins un droit au titre, l'application de gestion étant programmée pour être activée à la lecture d'un identifiant déclencheur extérieur par une interface de lecture, - au moins une unité de transmission depuis le terminal vers un 20 serveur à distance d'au moins un identifiant d'un droit au titre validé. 2. Dispositif de gestion partagée de droits à un titre selon la revendication 1, caractérisé en ce que l'application de gestion du dispositif intègre une unité de mise à jour gérée par un serveur à distance en réponse à la transmission d'un ou de plusieurs identifiants de droit au titre validé. 25 3. Système de gestion partagée de droits à un titre caractérisé en ce qu'il comprend : - au moins un terminal mobile intégrant un dispositif de gestion partagée selon au moins une des revendications 1 ou 2, - au moins un serveur à distance intégrant au moins une unité 30 de gestion centralisée des droits au titre, - au moins un réseau de communication entre le serveur et au moins un terminal mobile, - au moins un identifiant déclencheur extérieur au terminal mobile.-51- 4. Système de gestion partagée de droits à un titre selon la revendication 3, caractérisé en ce que le système comprend une communication privilégiée entre au moins un terminal mobile et le serveur de gestion centralisée pour permettre une synchronisation du serveur de gestion centralisée avec au moins un dispositif de gestion déporté partagé au niveau d'un terminal mobile et une mise à jour du dispositif de gestion. 5. Système de gestion partagée de droits à un titre selon une des revendications 3 ou 4, caractérisé en ce que le système comprend également au moins un terminal de lecture d'au moins une donnée relative à un droit au titre enregistré dans une mémoire d'un terminal mobile intégrant un dispositif de gestion partagée. 6. Procédé de gestion partagée de droits à un titre entre un terminal mobile intégrant au moins une application de gestion dédiée et un serveur à distance, le procédé comprenant - - une étape de lecture par le terminal mobile d'au moins un identifiant déclencheur, - une étape de vérification par l'application de gestion de l'existence d'un droit à un titre validable attribué au terminal mobile, - une étape de validation d'un droit à un titre, caractérisé en ce que le procédé comprend notamment : - une étape de communication par le terminal mobile des caractéristiques du droit au titre validé au serveur de gestion centralisée, - une étape d'analyse par le serveur de gestion centralisée des caractéristiques du droit au titre validé, - une étape de détermination/calcul par le serveur de gestion centralisée par décrémentation du nombre de crédits pour droits au titre attribuables au terminal mobile, - une étape de mise à jour de l'application de gestion du terminal mobile par le serveur de gestion centralisée. 7. Procédé de gestion partagée de droits à un titre selon la revendication 6, caractérisé en ce que le procédé comprend, au préalable, une étape d'enregistrement au niveau du serveur de gestion centralisé d'un nombre de crédits pour droits au titre attribuable à un terminal mobile identifié déterminé 8. Procédé de gestion partagée de droits à un titre selon une des revendications 6 ou 7, caractérisé en ce que le procédé comprend :-52- - une étape de connexion d'un terminal mobile avec un terminal dédié à une vérification de validité de droit à un titre, - une étape de vérification de la validité d'un droit à un titre par la lecture par le terminal dédié d'au moins une donnée relative à un droit au 5 titre enregistré dans une mémoire du terminal mobile. 9. Procédé de gestion partagée de droits à un titre selon une des revendications 6 à 8, caractérisé en ce que le procédé met en oeuvre au moins un système selon une des revendications 3 à 5 et/ou un dispositif de gestion partagée selon une des revendications 1 à 2. 10 10. Procédé de gestion partagée de droits à un titre selon une des revendications 6 à 9, caractérisé en ce que les droits au titre et les crédits correspondant sont corrélés à une unité mémoire de type SIM (Subscriber Identity Module) identifié associée à la position géographique d'un terminal mobile.