FR 3060171 A1 20180615 FR 1662269 A 20161209 1 Procédé de sécurisation de saisie de données, terminal de communication et programme correspondant. 1. Domaine L'invention se rapporte au traitement de données transactionnelles. L'invention se rapporte plus particulièrement au traitement de données transactionnelles, données qui sont mises en oeuvre dans le cadre d'une opération de paiement. L'invention se rapporte encore plus particulièrement au traitement de données transactionnelles dans le cadre d'une transaction de paiement menée conjointement par un terminal de communication et/ou par un terminal de paiement connecté au terminal de communication. 2. Art antérieur Le paiement en situation de mobilité est un enjeu majeur de développement économique. Pour cette raison, de nombreux industriels proposent des solutions de paiement en mobilité qui sont supposées faciliter la vie de l'utilisateur. Par exemple, de nombreuses solutions existent pour permettre à l'utilisateur d'effectuer des paiements avec son smartphone. Ces solutions sont principalement de deux types : le premier est de permettre au smartphone de réaliser un paiement en ligne, via une application dédiée (ou non) et pour acheter un bien ou un service accessible lui-même par l'intermédiaire d'une application en ligne. Ces solutions se rapprochent, dans leur esprit, des solutions de paiement par carte bancaire accessibles en ligne à partir d'un ordinateur personnel et d'un navigateur internet. De nombreuses solutions de traitement de transactions de paiement ont été proposées dans ce cas de figure. Le deuxième type se rapporte au paiement, au sein d'un commerce physique, avec son smartphone : à l'aide d'une application dédiée, le smartphone simule le fonctionnement d'une carte bancaire, souvent une carte bancaire sans contact. À nouveau, on ne manque pas de solutions pour effectuer ce type de simulation et de paiement. En revanche, il existe une problématique quelque peu différente, dans laquelle le commerçant lui-même est en situation de mobilité, ou à tout le moins, une situation dans laquelle le commerçant ne dispose pas de terminal de paiement. Une telle situation se rencontre par exemple pour les commerçants ou les professionnels qui sont en déplacement constant pour leur activité professionnelle : médecins de campagne, professionnels libéraux, chauffeurs privés. Ces professionnels, que nous appelons par extension commerçants, ont besoin de recevoir des paiements de la part de leurs clients mais n'ont pas nécessairement la 3060171 2 volonté ou la possibilité de s'équiper d'un terminal de paiement autonome pour recevoir des paiements (par exemple à cause du prix de tels terminaux). Pour cette raison, des solutions alternatives ont été développées, tels que des lecteurs de cartes à connecter sur le smartphone. 5 Toutes ces solutions permettent donc au commerçant, à l'utilisateur de réceptionner ou d'effectuer un paiement par l'intermédiaire de son terminal mobile (le smartphone) qui fait alors office de terminal de paiement et/ou de caisse enregistreuse. Le problème tient en la relative absence de sécurisation des données de paiement, et notamment des données confidentielles fournies par l'utilisateur telles que le code PIN ("personnal identification 10 number"). En effet, le terminal de communication en lui-même n'est pas nécessairement sécurisé (à la différence d'un terminal de paiement « classique »). Il est donc possible (et probable), qu'un terminal de communication fasse l'objet d'une modification non autorisée, par exemple par un fraudeur, afin de récupérer les données de carte bancaires qui sont utilisées par le terminal de communication pour réaliser les transactions de paiement. Pour 15 effectuer une telle modification non autorisée du terminal de communication, le fraudeur peu par exemple proposer une application, sur un magasin d'applications, cette application ayant des fonctionnalités de base, non frauduleuses, et une fonctionnalité frauduleuse dont l'objectif est de récupérer les données de carte bancaires. Or, il est très difficile, voire impossible, d'assurer une sécurisation du terminal de 20 communication, et ce pour plusieurs raisons. La première tient à la grande diversité de terminaux de communication présents sur le marché : le nombre de modèles de terminaux est tel qu'il est en pratique impossible de maitriser les architectures matérielles et logicielles de tous ces terminaux. C'est particulièrement le cas des terminaux dits « chinois », à bas coûts, dont la conception est souvent une copie non optimisée de celle de terminaux 25 existants d'autres constructeurs (de type coréens ou américains) et qui notamment n'intègrent pas d'environnements d'exécution sécurisés, de mémoires sécurisées et de gestion fine d'éléments de sécurisation (« secure element ») (pour des raisons de prix et d'absence de maitrise technologique). La deuxième raison tient au fait que le terminal de communication est avant toute chose un terminal généraliste, multimédia : il n'a pas pour 30 objet de traiter les données de manière sécurisée. De ce fait, il n'existe aucune restriction quant à l'installation d'applications ou de contenus sur ce terminal. 3060171 3 Ainsi, le risque de vol de données de cartes bancaires est encore plus problématique lorsqu'il s'accompagne du vol du code PIN de ces cartes. En effet, comme exposé précédemment, des dispositifs existants, connectés au smartphone, gèrent un paiement soit en utilisant la bande magnétique soit la carte à puce ou encore une carte sans contact. En 5 règle générale, l'utilisation d'une bande magnétique entraine l'obligation d'effectuer une signature manuscrite pour valider le paiement. Dans ce cas, l'utilisateur utilise un stylet et/ou un doigt pour signer sur l'écran du terminal de communication du commerçant. L'utilisation d'une carte à puce ou d'une carte sans contact nécessite quant à elle l'utilisation d'un code PIN (code d'identification personnel, « personnel identification number ») pour valider la 10 transaction. Pour saisir ce PIN, l'utilisateur utilise un clavier virtuel affiché sur l'écran du terminal de communication pour entrer son PIN. Or, le vol de ce code PIN, conjointement au vol des données de la carte bancaire permet à un fraudeur de réaliser une copie intégrale de la carte de paiement de l'utilisateur (du client) à l'insu de celui-ci et/ou du commerçant. Or, l'affichage du clavier virtuel de saisie du code PIN est géré par une application (de paiement) 15 qui est installée sur le terminal de communication. Plusieurs possibilités de fraude existent ; l'objet de la présente n'est pas de les détailler. Quoi qu'il en soit, il est périlleux de saisir un code PIN sur une application de paiement exécutée sur un smartphone. Il existe donc des solutions qui consistent à se prémunir d'un vol par interception des données saisies. Il s'agit de présenter, à l'utilisateur, un clavier 20 aléatoire : les chiffres du clavier sont mélangés aléatoirement sur l'écran et l'utilisateur doit effectuer une saisie de son code PIN (ou de toute autre information confidentielle) sur ce clavier aléatoire. Bien que ces solutions aient été largement présentées et exposées, il subsiste cependant un problème important tenant au fait que l'utilisateur qui doit utiliser un tel clavier aléatoire est souvent pris au dépourvu et ne parvient pas nécessairement à utiliser 25 ce clavier. C'est une des raisons pour lesquelles ce type de clavier aléatoire est au final peu utilisé. Il déconcerte les utilisateurs qui sont donc plus ou moins mécontents et ne sont donc pas enclins à utiliser à nouveau ce type de clavier ou l'application qui met en oeuvre ce clavier. Il existe donc un besoin de proposer une solution qui permette de résoudre le problème susmentionné, au moins en partie. 30 3060171 4 3. Résumé La présente technique permet de solutionner, au moins en partie, ce problème lié à l'utilisation des claviers aléatoires. Plus particulièrement, il est proposé une Procédé d'affichage, au cours de la saisie sur le clavier aléatoire, d'un clavier de référence, sous la 5 forme d'une image, ce clavier de référence étant inactif. Ce clavier de référence, affiché à l'utilisateur comme un pense-bête, permet à l'utilisateur de se remémorer son code ou son mot de passe plus facilement, pour pouvoir ensuite saisir ce code ou ce mot de passe sur le clavier aléatoire. Plus particulièrement, il est décrit un procédé de sécurisation de saisie de données sensibles, procédé mise en oeuvre par 10 un terminal de communication comprenant un processeur de traitement, un écran de saisie tactile sur lequel la saisie des données sensible est réalisée. Un tel procédé comprend : une étape d'affichage d'un clavier aléatoire pour la saisie du code confidentiel ; une étape de réception, par le processeur, d'un signal d'affichage d'un clavier de référence ; 15 une étape d'affichage du clavier de référence, ledit clavier de référence étant inactif. Selon une caractéristique particulière, l'étape d'affichage du clavier de référence est précédée d'une étape de masquage du clavier aléatoire. Selon une caractéristique particulière, l'étape de réception, par le processeur, du signal d'affichage d'un clavier de référence, est précédée d'une étape d'appui sur une touche 20 située à un emplacement prédéterminé du terminal de communication, entrainant la transmission du signal d'affichage du clavier de référence au processeur. Selon une caractéristique particulière, l'étape du clavier de référence prend fin lors de l'interruption du signal d'affichage. Selon une caractéristique particulière, l'interruption du signal d'affichage intervient 25 lors de l'interruption de l'appui sur ladite touche. Selon une caractéristique particulière, ledit clavier de référence est affiché sur ledit écran tactile dudit terminal de communication sous la forme d'une image représentative d'un clavier de référence. Selon une caractéristique particulière, la taille de l'image représentative du clavier de 30 référence est inférieure à la taille du clavier aléatoire. Selon une caractéristique particulière, ledit clavier aléatoire présente une forme différente dudit clavier de référence. 3060171 5 Selon un autre aspect, la technique se rapporte également à un terminal de communication comprenant des moyens de sécurisation de saisie de données sensibles et comprenant un processeur de traitement, un écran de saisie tactile sur lequel la saisie des données sensible est réalisée. Un tel terminal comprend : 5 des moyens d'affichage d'un clavier aléatoire pour la saisie du code confidentiel ; des moyens de réception, par le processeur, d'un signal d'affichage d'un clavier de référence ; des moyens d'affichage du clavier de référence, ledit clavier de référence étant inactif. 10 Selon une implémentation préférée, les différentes étapes des procédés selon l'invention sont mises en oeuvre par un ou plusieurs logiciels ou programmes d'ordinateur, comprenant des instructions logicielles destinées à être exécutées par un processeur de données selon l'invention et étant conçu pour commander l'exécution des différentes étapes des procédés. 15 En conséquence, l'invention vise aussi un programme, susceptible d'être exécuté par un ordinateur ou par un processeur de données, ce programme comportant des instructions pour commander l'exécution des étapes d'un procédé tel que mentionné ci-dessus. Ce programme peut utiliser n'importe quel langage de programmation, et être sous la forme de code source, code objet, ou de code intermédiaire entre code source et code objet, 20 tel que dans une forme partiellement compilée, ou dans n'importe quelle autre forme souhaitable. L'invention vise aussi un support d'informations lisible par un processeur de données, et comportant des instructions d'un programme tel que mentionné ci-dessus. Le support d'informations peut être n'importe quelle entité ou dispositif capable de 25 stocker le programme. Par exemple, le support peut comporter un moyen de stockage, tel qu'une ROM, par exemple un CD ROM ou une ROM de circuit microélectronique, ou encore un moyen d'enregistrement magnétique, par exemple une disquette (floppy disc) ou un disque dur. D'autre part, le support d'informations peut être un support transmissible tel qu'un 30 signal électrique ou optique, qui peut être acheminé via un câble électrique ou optique, par radio ou par d'autres moyens. Le programme selon l'invention peut être en particulier téléchargé sur un réseau de type Internet. 3060171 6 Alternativement, le support d'informations peut être un circuit intégré dans lequel le programme est incorporé, le circuit étant adapté pour exécuter ou pour être utilisé dans l'exécution du procédé en question. Selon un mode de réalisation, l'invention est mise en oeuvre au moyen de composants 5 logiciels et/ou matériels. Dans cette optique, le terme "module" peut correspondre dans ce document aussi bien à un composant logiciel, qu'à un composant matériel ou à un ensemble de composants matériels et logiciels. Un composant logiciel correspond à un ou plusieurs programmes d'ordinateur, un ou plusieurs sous-programmes d'un programme, ou de manière plus générale à tout élément 10 d'un programme ou d'un logiciel apte à mettre en oeuvre une fonction ou un ensemble de fonctions, selon ce qui est décrit ci-dessous pour le module concerné. Un tel composant logiciel est exécuté par un processeur de données d'une entité physique (terminal, serveur, passerelle, routeur, etc.) et est susceptible d'accéder aux ressources matérielles de cette entité physique (mémoires, supports d'enregistrement, bus de communication, cartes 15 électroniques d'entrées/sorties, interfaces utilisateur, etc.). De la même manière, un composant matériel correspond à tout élément d'un ensemble matériel (ou hardware) apte à mettre en oeuvre une fonction ou un ensemble de fonctions, selon ce qui est décrit ci-dessous pour le module concerné. Il peut s'agir d'un composant matériel programmable ou avec processeur intégré pour l'exécution de logiciel, 20 par exemple un circuit intégré, une carte à puce, une carte à mémoire, une carte électronique pour l'exécution d'un micrologiciel (firmware), etc. Chaque composante du système précédemment décrit met bien entendu en oeuvre ses propres modules logiciels. Les différents modes de réalisation mentionnés ci-dessus sont combinables entre eux 25 pour la mise en oeuvre de l'invention. 4. Dessins D'autres caractéristiques et avantages de l'invention apparaîtront plus clairement à la lecture de la description suivante d'un mode de réalisation préférentiel, donné à titre de simple exemple illustratif et non limitatif, et des dessins annexés, parmi lesquels : 30 la figure 1 présente un synoptique de la technique proposée, pour la saisie d'une donnée sensible ; la figure 2 présente la saisie dans le cadre d'une transaction ; 3060171 7 la figure 3 décrit un terminal de communication pour la mise en oeuvre de la méthode de traitement décrite. 5. Description 5.1. Rappels 5 Comme exposé précédemment, la présente technique permet d'apporter une solution au problème d'utilisation des claviers virtuels aléatoires utilisés dans les techniques antérieures. Plus particulièrement, il est proposé une Procédé d'affichage d'un clavier non aléatoire, de manière complémentaire à l'affichage du clavier aléatoire. Ce procédé permet à l'utilisateur déconcerté par l'affichage du clavier aléatoire, de 10 disposer d'un clavier, standard, auquel se référer. On note que le clavier standard est inactif. Il s'agit d'un clavier affiché à titre informatif, permettant à l'utilisateur de se remémorer son code, par exemple son code PIN. L'objectif est de pallier les problématiques posées par la Procédé de mémorisation mise en oeuvre par l'utilisateur. On rappelle qu'un clavier de référence est un clavier respectant les standards d'affichage des touches dans un pays 15 considéré. Un clavier aléatoire est un clavier comprenant un nombre de touches sensiblement identique au nombre de touches d'un clavier standard (de référence), mais dans lequel les touches ont été distribuée de manière pseudo-aléatoire ou aléatoire, selon un processus de tirage d'un ou plusieurs nombre et de répartition des touches en fonction de ce nombre ; un tel processus ne fait pas l'objet du présent document. Éventuellement, quelques 20 touches du clavier aléatoire peuvent être disposées de la même manière que le clavier de référence. Il peut s'agir, par exemple pour un pinpad, des touches correction, annulation et validation, qui sont généralement situées sur la rangée inférieure de touches du clavier. L'invention est intrinsèquement liée à un problème mis en évidence par les inventeurs, et qui trouve son origine dans les processus cognitifs et mémoriels mis en oeuvre 25 par les utilisateurs pour se remémorer les divers mots de passes et codes confidentiels qui sont devenus monnaie courante dans notre vie quotidienne. Ainsi, par exemple, la mémorisation des codes PIN, tels que les code de cartes bancaires, passe beaucoup par la mémorisation d'un geste, réalisé de manière plus ou moins automatique (en fonction des personnes). En ce sens, l'invention peut être qualifiée d'invention de problème. Plus 30 particulièrement, le problème mis à jour par les inventeurs, et qui intervient dans le rejet des utilisateurs vis à vis des claviers virtuels, est qu'une grande majorité des utilisateurs mémorise avant tout le geste, réalisé par la main, lors de la saisie du code PIN ou d'un mot de passe. Ce 3060171 8 geste, sorte de réflexe, est mis en oeuvre bien avant que l'utilisateur ne se remémore les caractères (chiffres, lettres) qui composent ce code PIN ou ce mot de passe. Dès lors, lorsqu'un clavier aléatoire est présenté à l'utilisateur, le premier réflexe de celui-ci est de débuter la frappe selon le schéma de frappe de réflexe correspondant à un clavier 5 traditionnel. Un tel reflexe provoque invariablement la saisie d'un code erroné, ce qui a pour conséquence de décontenancer l'utilisateur ou à tout le moins de le rendre peu satisfait. Or, comme cela a été exposé précédemment, l'utilisation d'un clavier aléatoire est nécessaire, et ce dans l'objectif de répondre à des impératifs de sécurité. La technique mise au point par les inventeurs consiste donc à apporter, à l'utilisateur, l'information lui 10 permettant d'intégrer plus rapidement le fait que le code PIN ou le mot de passe doit être saisi avec attention (c'est à dire en se remémorant les chiffres et/ou caractères qui le compose et non pas uniquement, par réflexe de saisie). Cet apport d'information est réalisé, d'une manière générale, en présentant un clavier non aléatoire (standard, appelé clavier de référence) à l'utilisateur. L'affichage de ce clavier standard permet à l'utilisateur de se 15 remémorer le code ou le mot de passe à saisir, en effectuant mentalement (ou physiquement) le geste qu'il aurait effectué sur ce clavier standard : l'utilisateur est ainsi plus à même de se souvenir des chiffres ou des lettres et de leur ordre. On présente, en relation avec la figure 1, le principe général de la Procédé proposée, Procédé implémentée par un processeur d'un terminal de communication au cours d'une 20 opération de sécurisation comprenant la saisie d'un code confidentiel, Procédé qui comprend : une étape d'affichage (10) d'un clavier aléatoire pour la saisie du code confidentiel ; une étape de réception (20), par le processeur, d'un signal d'affichage d'un clavier de référence ; 25 une étape d'affichage (30) du clavier de référence, ledit clavier de référence étant inactif. Selon une caractéristique complémentaire, dans un mode de réalisation, l'étape d'affichage du clavier de référence est précédée d'une étape de masquage (25) du clavier aléatoire. 30 Selon une caractéristique complémentaire, dans un mode de réalisation, l'étape de réception (20), par le processeur, du signal d'affichage d'un clavier de référence, est précédée d'une étape d'appui (15) sur une touche située à un emplacement prédéterminé du terminal 3060171 9 de communication, qui entraine la transmission du signal d'affichage du clavier de référence au processeur. Selon une caractéristique complémentaire, dans un mode de réalisation, l'étape d'affichage (30) du clavier de référence prend fin (35) lors de l'interruption du signal 5 d'affichage. Ainsi, comme explicité précédemment, en fonction des modes de réalisation, le clavier non aléatoire peut être affiché en substitution du clavier aléatoire (il vient prendre la place du clavier aléatoire sur l'affichage) ou en sus du clavier aléatoire (il s'ajoute au clavier aléatoire sur l'affichage). Ce clavier "aide-mémoire", est inactif. Il présente l'avantage, par 10 cette inactivité, d'assurer que même si l'utilisateur saisi son code ou mot de passe sur ce clavier, ses saisies ne peuvent être "interceptées" et fournir de l'information à l'éventuel attaquant. Dans un mode de réalisation de base, le clavier standard est affiché sous la forme d'une image, présentée à l'utilisateur à la demande de celui-ci. Plus particulièrement, pour 15 afficher cette image de clavier standard, l'utilisateur appuie sur une touche prédéterminée (ou sur un emplacement prédéterminé de l'écran), permettant d'afficher le clavier standard, qui vient occulter le clavier aléatoire. Dans ce mode de réalisation de base, la durée de l'affichage est réglable : par exemple, l'affichage peut être défini pour un temps donné (cinq secondes, dix secondes) ou alors dépendre d'une action de l'utilisateur (tant que l'utilisateur 20 souhaite voir le clavier de référence, celui-ci est affiché). Une autre caractéristique se rapporte à la taille du clavier de référence. L'affichage du clavier de référence est, selon une première variante, le même que celui du clavier aléatoire : la taille du clavier est identique, les touches sont identiques : seuls les emplacements des touches changent. 25 Selon une deuxième variante, l'affichage du clavier de référence est différent de l'affichage du clavier aléatoire : le clavier de référence est affiché avec une taille réduite (par rapport à celle du clavier aléatoire). Cela peut être dû à deux facteurs : le premier facteur tient au fait qu'en plus du clavier de référence, un message d'information est présenté à l'utilisateur, ce message délivrant à l'utilisateur l'information selon laquelle le clavier de 30 référence est inactif et qu'il permet uniquement de se remémorer le code confidentiel ; ainsi, cette variante peut être mise en oeuvre sur un écran tactile de taille réduite. Le deuxième facteur tient au fait que le clavier de référence et le clavier aléatoire peuvent être affichés 3060171 10 conjointement. Or on souhaite faire comprendre à l'utilisateur que le clavier de référence est inactif. Ainsi, le clavier de référence est affiché en taille réduite par rapport au clavier aléatoire, en haut à gauche, ou au centre ou à droite du clavier aléatoire. Dans ce dernier cas, l'utilisateur peut requérir l'affichage de ce clavier de référence, mais ce n'est pas une 5 obligation. Lorsque la taille de l'écran le permet, le clavier de référence peut être affiché directement, sans requête de l'utilisateur. Une autre caractéristique se rapporte à l'occultation du clavier aléatoire par le clavier de référence. En effet, on souhaite activer le processus de mémorisation de l'utilisateur et donc permettre une saisie plus simple du code confidentiel ou du mot de passe. Pour ce faire, 10 on va faciliter le processus de création d'une schéma mental de frappe du code ou du mot de passe en faisant varier, avec le temps, l'occultation du clavier aléatoire par le clavier de référence. Cette caractéristique s'applique bien entendu au cas où l'image du clavier de référence occulte le clavier aléatoire. Selon cette caractéristique, le pourcentage d'occultation varie en fonction du temps : par exemple sur une période de 10 secondes 15 d'affichage de l'image du clavier de référence, une fonction de transfert (par exemple de type sigmoïde ou encore une fonction affine) est utilisée pour faire varier le pourcentage d'occultation d'une valeur 100% à par exemple 0%. L'utilisateur peut alors, progressivement, mémoriser le schéma mental qu'il doit accomplir sur le clavier aléatoire à partir du schéma mental qu'il connait, du clavier de référence. 20 Encore une autre caractéristique se rapporte au clavier aléatoire lui-même : afin de sécuriser encore plus le processus de saisie du code, et ce lorsque l'affichage du clavier de référence occulte le clavier aléatoire, le procédé comprend, au moment de la réapparition du clavier aléatoire, une étape de calcul (ou de détermination), d'un nouveau clavier aléatoire, différent du clavier aléatoire qui était affiché avant l'occultation. 25 Une autre caractéristique se rapporte au clavier aléatoire lui-même : selon la présente, ce clavier aléatoire présente une forme différente de celle du clavier de référence. Ainsi, dans un mode de réalisation, tandis que le clavier de référence est de forme globalement rectangle (particulièrement pour un pinpad), le clavier aléatoire, quant à lui présente plutôt une forme circulaire, proche de celle d'un cadran, dans lequel les touches 30 numériques sont distribuées aléatoirement. Ceci présente l'avantage, pour l'utilisateur, de ne pas pouvoir confondre le clavier de référence et la clavier aléatoire. 5.2. Description d'un mode de réalisation 3060171 11 Le mode de réalisation présentement décrit s'adresse aux cas dans lesquels l'utilisateur saisit, sur un terminal de communication comprenant un écran tactile, un code d'authentification personnel (code PIN) pour la validation d'une transaction de paiement, cette transaction étant au moins en partie mise en oeuvre par le terminal de communication. 5 La technique est plus particulièrement mise en oeuvre au moment de la saisie du code PIN, lors d'une transaction financière impliquant, pour un utilisateur, la saisie d'un tel code PIN pour valider cette transaction, et est décrite en relation avec la figure 2. Cette saisie se déroule comme suit : une étape d'affichage (1) d'un clavier aléatoire, clavier du type comprenant quinze 10 touches (dix touches numériques, une touche de correction, une touche d'annulation et une touche de validation, * et #) ; dans ce mode de réalisation, le clavier comprend également d'une touche d'activation (U) d'affichage du clavier de référence ; pour se souvenir de son code l'utilisateur appuie (2)(App), sur la touche d'activation (U) d'affichage du clavier de référence, qui provoque l'apparition de l'image du clavier 15 de référence en occultant le clavier aléatoire ; l'utilisateur se souvient alors mentalement de son code (3) ; l'image du clavier de référence reste affichée tout au long de l'appui sur la touche d'activation (U) ; lorsque l'utilisateur relâche (4)((Relc) la touche d'activation, le clavier aléatoire réa ppa rait ; 20 l'utilisateur peut alors saisir (5) le code PIN dont il s'est souvenu avec l'apparition du clavier de référence. La touche d'activation peut être une touche affichée sur l'écran tactile du terminal de communication ou bien une touche physique du terminal de communication (par exemple touche "home" par exemple) ; 25 Ainsi, dans ce mode de réalisation, le clavier de référence ne reste affiché que le temps de l'appui réalisé par l'utilisateur. Cet affichage (temporaire) a pour effet de contraindre l'utilisateur à maintenir l'appui sur le bouton d'activation pour continuer à pouvoir visualiser l'image du clavier de référence. L'objectif de cette contrainte est d'éviter que le clavier de référence n'induise l'utilisateur en erreur en lui faisant croire qu'il est 30 possible de saisir son code PIN sur ce clavier de référence. Le fait qu'il conserve un doigt appuyé sur le bouton d'activation empêche, presque mécaniquement, d'effectuer une saisie de code. 3060171 12 Lors de l'affichage du clavier de référence, l'utilisateur peut se remémorer son code, à l'aide du geste mental de saisie du code sur le clavier standard : on suppose alors que l'utilisateur se souvient des chiffres qui composent son code lors de la visualisation du clavier de référence et qu'il est ainsi ce code en mémoire lorsqu'il relâche le bouton d'activation et 5 que le clavier aléatoire est à nouveau présenté. Dans ce mode de réalisation, il n'y a pas de limitation au nombre de fois où l'opération d'affichage du clavier de référence peut être effectué. Cependant, en fonction des conditions de mises en oeuvre opérationnelles, le nombre d'itération du processus peut être limité, notamment de par la nécessité de mettre en oeuvre une transaction dans un temps imparti. 10 Ainsi, dans ce mode de réalisation, l'utilisateur se voit présenter, à sa demande, une image d'un clavier numérique standard, de référence, qui vient masque le clavier aléatoire. 5.3. Autres caractéristiques et avantages On décrit, en relation avec la figure 3, un terminal de communication mis en oeuvre pour gérer, la saisie de données sensibles, selon le procédé décrit préalablement. 15 Par exemple, le terminal de communication comprend une mémoire 31 comprenant par exemple une mémoire tampon, un processeur de traitement général 32, équipée par exemple d'un microprocesseur, et pilotée par un programme d'ordinateur 33, et/ou une mémoire sécurisée 34, un processeur de traitement sécurisé 35, pilotée par un programme d'ordinateur 36, ces unités de traitement mettant en oeuvre des procédés de traitement et de saisie de données 20 tels que décrits précédemment pour effectuer un affichage d'un clavier de référence (standard), par exemple sous la forme d'une image, afin de permettre à l'utilisateur de se remémorer son code. À l'initialisation, les instructions de code du programme d'ordinateur 36 sont par exemple chargées dans une mémoire avant d'être exécutées par le processeur de traitement sécurisé 35. 25 Le processeur de traitement 35 reçoit en entrée au moins une donnée représentative d'une nécessité de saisie d'une donnée sensible. Le processeur de traitement sécurisé 35 met en oeuvre les étapes du procédé de traitement, selon les instructions du programme d'ordinateur 36 pour afficher un clavier aléatoire et permettre l'affichage d'une image représentative d'un clavier standard (de référence)) auquel l'utilisateur peut se rattacher pour se souvenir de son code. 30 Pour cela, le terminal de communication comprend, outre la mémoire 34, des moyens de communications, tels que des modules de communication réseau, des moyens de transmission de 3060171 13 donnée et des circuits de transmission de données entre les divers composants du terminal de communication. Les moyens précédemment décrits peuvent se présenter sous la forme d'un processeur particulier implémenté au sein d'un terminal, tel qu'un terminal de paiement. Selon un mode de 5 réalisation particulier, le terminal de communication met en oeuvre une application particulière qui est en charge de la réalisation des opérations précédemment décrites, cette application étant par exemple fournie par le fabricant du processeur en question afin de permettre l'utilisation dudit processeur. Pour ce faire, le processeur comprend des moyens d'identification uniques. Ces moyens d'identification uniques permettent d'assurer l'authenticité du processeur. 10 REVENDICATIONS1. Procédé de sécurisation de saisie de données sensibles, procédé mise en oeuvre par un terminal de communication comprenant un processeur de traitement, un écran de saisie tactile sur lequel la saisie des données sensible est réalisée, procédé caractérisé en ce qu'il comprend : une étape d'affichage (10) d'un clavier aléatoire pour la saisie du code confidentiel ; - une étape de réception (20), par le processeur, d'un signal d'affichage d'un clavier de référence ; - une étape d'affichage (30) du clavier de référence, ledit clavier de référence étant inactif. 2. Procédé selon la revendication 1, caractérisé en ce que l'étape d'affichage du clavier de référence est précédée d'une étape de masquage (25) du clavier aléatoire. 15 3. Procédé selon la revendication 1, caractérisé en ce que l'étape de réception (20), par le processeur, du signal d'affichage d'un clavier de référence, est précédée d'une étape d'appui (15) sur une touche située à un emplacement prédéterminé du terminal de communication, entrainant la transmission du signal d'affichage du clavier de 20 référence au processeur. 4. Procédé selon la revendication 1, caractérisé en ce que l'étape (30) du clavier de référence prend fin (35) lors de l'interruption du signal d'affichage. 25 5. Procédé selon la revendication 3, caractérisé en ce que l'interruption du signal d'affichage intervient lors de l'interruption de l'appui sur ladite touche. 6. Procédé selon l'une quelconque des revendications 1 à 5, caractérisé en ce que ledit clavier de référence est affiché sur ledit écran tactile dudit terminal de 30 communication sous la forme d'une image représentative d'un clavier de référence. 3060171 2 7. Procédé selon la revendication 6, caractérisé en ce que la taille de l'image représentative du clavier de référence est inférieure à la taille du clavier aléatoire. 8. Procédé selon l'une quelconque des revendications 1 à 7, caractérisé en ce que ledit 5 clavier aléatoire présente une forme différente dudit clavier de référence. 9. Terminal de communication comprenant des moyens de sécurisation de saisie de données sensibles et comprenant un processeur de traitement, un écran de saisie tactile sur lequel la saisie des données sensible est réalisée, terminal caractérisé en ce 10 qu'il comprend : des moyens d'affichage d'un clavier aléatoire pour la saisie du code confidentiel ; - des moyens de réception, par le processeur, d'un signal d'affichage d'un clavier de référence ; des moyens d'affichage du clavier de référence, ledit clavier de référence étant inactif. 10. Produit programme d'ordinateur téléchargeable depuis un réseau de communication et/ou stocké sur un support lisible par ordinateur et/ou exécutable par un microprocesseur, caractérisé en ce qu'il comprend des instructions de code de programme pour l'exécution d'un procédé de traitement selon la revendication 1 à 8, lorsqu'il est exécuté par un processeur.