FR 3051059 A1 20171110 FR 1654140 A 20160509 1 Procédé et dispositif d'installation sous double contrôle d'une règle de configuration d'une carte SIM embarquée 1. Domaine de l'invention La demande d'invention se situe dans le domaine des terminaux de communication mobile, et plus particulièrement des cartes SIM dites embarquées (eUICC, ou eSIM). Une carte SIM embarquée permet à un terminal mobile de fonctionner avec des abonnements auprès de plusieurs opérateurs avec une seule et même carte SIM généralement non amovible. 2. Etat de la technique antérieure On appelle un profil opérateur un ensemble de fichiers installés au sein de la carte eSIM. Cet ensemble de fichiers a pour rôle, s'il est activé, d'assurer l'exécution d'un environnement de fonctionnement du terminal tout en restant sous le contrôle de l'opérateur associé au profil. C'est le même environnement que celui que fournirait une carte SIM classique, mono-opérateur, fournie par cet opérateur. A chaque profil opérateur est associé un ensemble de règles (Policy Rules en anglais) destinées à gérer le cycle de vie du profil opérateur. Des exemples de règles sont: - interdiction de désactivation du profil opérateur ; - interdiction de suppression du profil opérateur ; - en cas de désactivation, alors suppression du profil opérateur. Par analogie, dans l'environnement fourni par une carte SIM classique mono- opérateur, il existe la règle dite "SIM lock" que l'opérateur peut choisir d'appliquer afin d'empêcher le fonctionnement du terminal avec une carte SIM d'un opérateur différent. On comprend que le module SIM lock doit être intégré au terminal et non à la carte SIM. Par contre, comme une carte eSIM n'est pas destinée à être remplacée ou retirée du terminal par l'utilisateur, particulièrement lorsqu'elle est soudée, les règles peuvent 3051059 2 être stockées dans la carte eSIM, avec les profils opérateur. Lorsque l'utilisateur du terminal embarquant une carte eSIM souhaite effectuer une action sur un de ses profils opérateur, par exemple le désactiver pendant une période déterminée afin d'éviter une facturation excessive de la part de l'opérateur 5 associé, un mécanisme de contrôle appelé Policy Enforcement vérifie si une telle action est autorisée, c'est-à-dire si elle n'est pas contraire aux règles (Policy Rules) gouvernant ce profil opérateur. C'est généralement au moment où l'utilisateur souscrit à un abonnement auprès d'un opérateur que sont installés le ou les profils et les règles associés, en fonction des termes du contrat entre l'opérateur et l'utilisateur (ou entre 10 l'opérateur et l'abonné si l'abonné n'est pas l'utilisateur). Ni le fabricant du terminal, ni le fabricant de la carte eSIM ne sont impliqués directement dans cette installation des profils et des règles permettant de modifier les profils. Comme seul l'opérateur peut exercer un contrôle sur les profils et sur les règles, comme cela est vérifié dans le cadre des produits avec carte eSIM répondant aux spécifications M2M (machine à 15 machine) définies à la GSMA (association GSM), cela ne permet pas, par exemple, aux fabricants de vérifier le respect de leurs accords commerciaux avec les opérateurs, ou le respect de réglementations locales lorsque la responsabilité du fabricant est engagée. 20 Un des buts de l'invention est de remédier à ces inconvénients de l'état de la technique. 3. Exposé de l'invention 25 L'invention vient améliorer la situation à l'aide d'un procédé d'installation d'une règle d'exécution d'un environnement de fonctionnement pour un terminal de communication dans un réseau mobile d'un opérateur, le dit environnement étant appelé profil opérateur, le profil opérateur étant mémorisé dans un module d'abonné embarqué dans le terminal, le procédé comprenant les étapes suivantes mises en 30 oeuvre par le module d'abonné : 3051059 3 - obtention d'un premier jeton signé par l'opérateur et comprenant une information relative à l'identification de la règle ; - obtention d'un second jeton signé par un tiers autre que l'opérateur et comprenant un premier moyen de vérification de l'authenticité du premier jeton ; 5 - vérification de l'authenticité du premier jeton à l'aide du premier moyen de vérification ; - vérification de l'authenticité du second jeton à l'aide d'un second moyen de vérification ; - installation de la règle dans le module d'abonné si les authenticités des premier 10 et second jetons sont vérifiées. Grâce aux jetons, une règle (Policy Rule) n'est installée dans le module abonné, c'est-à-dire dans la carte SIM ou eSIM, que si l'installation est autorisée à la fois par l'opérateur et par une entité tierce telle autre que l'opérateur, et pas uniquement 15 autorisée par l'opérateur associé au profil comme c'est le cas dans la technique antérieure. Le contrôle de l'installation de la règle, grâce à la vérification de l'authenticité des jetons, peut donc être assuré conjointement par l'opérateur et par le tiers, qui auront préalablement passé un accord afin de produire les jetons authentifiables nécessaires. La règle fait partie d'une liste de règles connues du 20 module d'abonné. L'identifiant de la règle permet au module d'abonné de trouver la règle dans la liste et de l'installer. Les jetons (Token en anglais) sont des fichiers numériques transmis au module d'abonné du terminal à l'initiative de l'opérateur, par exemple au moment de l'installation du profil. Les jetons peuvent être émis par une entité de l'opérateur 25 chargée de la préparation des données de gestion de l'abonnement, appelée SMDP ("Subscription Manager Data Preparation" en anglais), et/ou par une plateforme de l'opérateur dite OTA (par ondes radio, "over the air" en anglais) si par exemple l'installation du profil et des règles sont décorrélées dans le temps. Ainsi, la règle est installée et prête à être utilisée en anticipation d'une action de 30 l'utilisateur sur le profil. Ainsi, si, par exemple, les profils de deux opérateurs différents 3051059 4 sont installés sur la carte eSIM du terminal, le profil actif étant celui correspondant à un abonnement professionnel, le profil inactif correspondant à un abonnement privé, l'utilisateur peut basculer de son abonnement professionnel à son abonnement privé à la fin de sa journée de travail, sans nécessiter le moindre échange de messages entre 5 son terminal et chacun des opérateurs pour obtenir des autorisations pour la désactivation du premier profil et l'activation du second profil. Le terminal se base uniquement sur les règles installées grâce au procédé selon l'invention, qui suffisent à déterminer et autoriser toutes les actions possibles sur les profils installés. 10 Il est à noter que dans ce document, le terme "installation" ou "installer" appliqué à une règle prend le sens donné en anglais par le terme "set up". L'installation d'une règle peut par exemple simplement être son activation, sachant que les règles, ou "Policy Rules", font partie d'une liste connue entre opérateurs et fabricants de terminaux et de carte SIM, et éventuellement standardisée, où elles sont identifiables 15 par un identifiant alphanumérique. Cette liste peut par exemple être chargée dans une mémoire du terminal ou de la carte d'abonné. Selon un aspect de l'invention, le second moyen de vérification est installé par le tiers, préalablement à l'étape d'obtention des jetons. 20 Grâce à cet aspect, le tiers contrôle le moyen permettant de vérifier l'authenticité du jeton censé être signé par l'opérateur. Ainsi, le contrôle de l'installation de la règle est double, par l'opérateur au travers du premier jeton, et par le tiers au travers de la vérification de l'authenticité du premier jeton. Ceci permet une plus grande sécurité contre une falsification éventuelle des 25 jetons, ainsi qu'une plus grande flexibilité dans la mise en place des règles. Le jeton associé au tiers peut en effet être obtenu préalablement lors de la conclusion d'un contrat entre l'opérateur et le tiers, qui peut s'appliquer soit globalement sur un ensemble de terminaux, soit sur des terminaux identifiés individuellement. 30 Selon un aspect de l'invention, le tiers autre que l'opérateur est un fabricant du 3051059 5 terminal. Grâce à cet aspect, le contrôle de la règle peut être effectué conjointement par l'opérateur et par le fabricant du terminal. Il est aisé pour le fabricant d'installer "en usine" le second moyen de vérification directement dans le module d'abonné. 5 Selon un aspect de l'invention, le tiers autre que l'opérateur est un fabricant du module d'abonné du terminal. Grâce à cet aspect, le contrôle de la règle peut être effectué conjointement par l'opérateur et par le fabricant du module d'abonné du terminal, ce dernier pouvant être 10 différent du fabricant du terminal. Il est aussi aisé pour le fabricant du module d'abonné d'installer "en usine" le second moyen de vérification directement dans le module d'abonné avant sa livraison au fabricant, ou à un opérateur si c'est celui-ci qui installe le module d'abonné dans le terminal. 15 Selon un aspect de l'invention, les jetons sont émis par l'opérateur. Du lien contractuel unissant l'opérateur et l'abonné découle un lien électronique entre le réseau de l'opérateur et le terminal de l'abonné. La transmission des jetons (Token en anglais) par l'opérateur est plus aisée que par un tiers sans lien contractuel avec l'abonné. Pour garantir le contrôle conjoint, il suffit qu'un lien contractuel existe 20 entre l'opérateur et le tiers, avant l'émission des jetons. Ces jetons, qui sont des fichiers numériques, peuvent être émis vers le module d'abonné du terminal, simultanément ou non, par une entité de l'opérateur chargée de la préparation des données de gestion de l'abonnement, appelée SMDP ("Subscription Manager Data Preparation" en anglais), et/ou par une plateforme de l'opérateur dite 25 OTA (par ondes radio, "over the air" en anglais) si par exemple l'installation du profil et des règles sont décorrélées dans le temps. Selon un aspect de l'invention, au moins un jeton comprend en outre des informations relatives à des limites dans l'application de la règle au profil opérateur. 30 Grâce à cet aspect, l'opérateur ou le fabricant, par exemple, peuvent contrôler 3051059 6 plus finement la règle, par exemple en ne permettant son utilisation avec le profil que pendant une période de temps déterminée, ou qu'en association avec un autre opérateur partenaire, s'il s'agit de basculer d'un profil à un autre. Ceci permet par exemple d'éviter qu'un des deux acteurs (l'opérateur ou le fabricant) puisse modifier ou 5 ajouter une règle au-delà de la durée des accords entre opérateur et fabricant. Selon un aspect de l'invention, le premier moyen de vérification est un condensé résultant d'une fonction de hashage appliquée sur une clé correspondant à l'opérateur. 10 Grâce à cet aspect, le premier moyen de vérification est de taille réduite dans le second jeton, et est simple à mettre en oeuvre dans le module d'abonné. Les différents aspects du procédé d'installation d'un règle qui viennent d'être décrits peuvent être mis en oeuvre indépendamment les uns des autres ou en 15 combinaison les uns avec les autres. L'invention concerne aussi un dispositif d'installation d'une règle d'exécution d'un environnement de fonctionnement pour un terminal de communication dans un réseau mobile d'un opérateur, le dit environnement étant appelé profil opérateur, le 20 profil opérateur étant mémorisé dans un module d'abonné embarqué dans le terminal, le dispositif comprenant les modules suivants : - module d'obtention de deux jetons, un premier jeton étant signé par l'opérateur et comprenant une information relative à l'identification de la règle, un second jeton étant signé par un tiers autre que l'opérateur et comprenant un premier moyen de 25 vérification de l'authenticité du premier jeton ; - module de vérification de l'authenticité du premier jeton à l'aide du premier moyen de vérification, et de l'authenticité du second jeton à l'aide d'un second moyen de vérification ; - module d'installation de la règle dans le module d'abonné si les authenticités des 30 premier et second jetons sont vérifiées. 3051059 7 Ce dispositif, apte à mettre en oeuvre dans tous ses modes de réalisation le procédé d'installation d'une règle qui vient d'être décrit, peut par exemple être compris dans un module d'abonné tel qu'une carte eSIM, avec des modules ISD-R et Policy Enforcement (polEnf) qui sont modifiés par rapport aux normes GSMA. 5 L'invention concerne également un modulé d'abonné d'un terminal de communication dans un réseau mobile d'un opérateur comprenant au moins un module de profil opérateur et un dispositif tel que celui qui vient d'être décrit. Ce module d'abonné peut par exemple être une carte eSIM modifiée par 10 rapport aux normes GSMA. L'invention concerne de plus un terminal de communication dans un réseau mobile d'un opérateur comprenant module d'abonné tel que celui qui vient d'être décrit. 15 L'invention concerne enfin un programme d'ordinateur comprenant des instructions pour la mise en oeuvre des étapes du procédé d'installation d'une règle qui vient d'être décrit, lorsque ce programme est exécuté par un processeur. Ce programme peut utiliser n'importe quel langage de programmation, et être sous la forme de code source, code objet, ou de code intermédiaire entre code source 20 et code objet, tel que dans une forme partiellement compilée, ou dans n'importe quelle autre forme souhaitable. L'invention vise aussi un support d'informations lisible par un terminal mobile, et comportant des instructions d'un programme d'ordinateur tel que mentionné ci-dessus. Le support d'informations peut être n'importe quelle entité ou dispositif capable 25 de stocker le programme. Par exemple, le support peut comporter un moyen de stockage, tel qu'une ROM, par exemple un CD ROM ou une ROM de circuit microélectronique, ou encore un moyen d'enregistrement magnétique, par exemple une disquette (floppy disc) ou un disque dur. D'autre part, le support d'informations peut être un support transmissible tel 30 qu'un signal électrique ou optique, qui peut être acheminé via un câble électrique ou 3051059 8 optique, par radio ou par d'autres moyens. Le programme selon l'invention peut être en particulier téléchargé sur un réseau de type Internet. Alternativement, le support d'informations peut être un circuit intégré dans lequel le programme est incorporé, le circuit étant adapté pour exécuter ou pour être 5 utilisé dans l'exécution des procédés en question. 4. Présentation des figures D'autres avantages et caractéristiques de l'invention apparaitront plus 10 clairement à la lecture de la description suivante de modes de réalisation particuliers de l'invention, donnés à titre de simples exemples illustratifs et non limitatifs, et des dessins annexés, parmi lesquels : la figure 1 présente un exemple de mise en oeuvre du procédé d'installation d'une règle, selon un aspect de l'invention, 15 la figure 2 présente un exemple de structure d'un dispositif mettant en oeuvre le procédé d'installation d'une règle, selon un aspect de l'invention. 5. Description détaillée d'au moins un mode de réalisation de l'invention 20 Dans la suite de la description, on présente des exemples de plusieurs modes de réalisation de l'invention s'appliquant à une carte eSIM telle qu'en cours de normalisation dans le cadre de l'association GSMA, mais l'invention s'applique également à d'autres types de module d'abonné. Aussi, l'invention est illustrée à l'aide d'un exemple qui est la désactivation d'un 25 profil activé, mais l'invention s'applique à d'autres exemples, comme l'activation d'un profil désactivé, la suppression d'un profil activé ou non, etc. La figure 1 présente un exemple de mise en oeuvre du procédé d'installation d'une règle, selon un aspect de l'invention. 30 Lors d'une étape U1, un terminal mobile d'utilisateur UE reçoit un 3051059 9 environnement P1 de fonctionnement dans un réseau mobile d'un opérateur Opl . Cet environnement de fonctionnement, appelé profil, est un ensemble de données et d'applications à installer sur un module d'abonné et permettant la fourniture de services par un opérateur de réseau mobile dans le cadre d'un contrat d'abonnement entre cet 5 opérateur et le propriétaire du terminal mobile. Le module d'abonné est par exemple une carte eSIM, dont la particularité est de permettre l'installation de profils de plusieurs opérateurs différents. Lors d'une étape U2, le profil P1 est installé par le terminal UE, c'est-à-dire mémorisé dans un compartiment spécial de la carte eSIM, par exemple le module 10 appelé ISD-P (lssuer Security Domain - Profile) et chargé d'instancier, dans la carte eSIM, une représentation de l'opérateur, par exemple un équipement de l'opérateur chargé de la préparation des données de gestion de l'abonnement, appelé SMDP. Les étapes U1 et U2 sont préalables aux étapes suivantes, et peuvent prendre différentes formes, ou être combinées, le résultat principal étant d'une part, la 15 mémorisation du profil P1 dans la carte eSIM du terminal UE, et d'autre part, l'activation du profil Pl. Lors d'une étape U3, suite à, ou en anticipation de, un souhait ou une requête de l'utilisateur de désactiver le profil Pi, le terminal UE reçoit de la part de l'opérateur 20 Opl un jeton tokDM, dit "jeton fabricant". Un fabricant de terminal ou de carte SIM n'ayant en général pas de relation directe avec l'utilisateur, ni de lien de communication avec son terminal UE, le jeton tokDM est transmis au terminal UE par l'opérateur Opl , par exemple par l'équipement SMDP. La façon dont l'opérateur Opl a généré ou obtenu le jeton tokDM est décrite plus bas (étapes 02 à 04). 25 Lors d'une étape U4, suite à, ou en anticipation de, un souhait ou une requête de l'utilisateur de désactiver le profil Pi, le terminal UE reçoit de la part de l'opérateur Opl un jeton tokOpl , dit "jeton opérateur". L'ordre d'obtention des jetons par le terminal est sans importance, et les étapes U3 et U4 peuvent donc être inversées dans le temps. 30 3051059 10 Les jetons tokDM et tokOpl peuvent prendre la forme d'un message comprenant un fichier. Le jeton opérateur tokOpl comprend une signature de l'opérateur Opl , un identifiant d'au moins une règle F11 applicable au profil Pi, et optionnellement un 5 identifiant du profil P1 (mais pas obligatoirement car une vérification de la signature permet normalement d'identifier P1). Eventuellement, le jeton opérateur tokOpl peut comprendre un ou plusieurs autres champs précisant des conditions restreignant l'application de la règle. Des exemples de telles conditions sont: durée de vie de la règle, opérateur partenaire associé, etc. 10 La règle F11 fait partie d'un ensemble de règles déterminées et connues du terminal, par exemple par le biais d'une bibliothèque de règles préalablement mémorisées dans la carte eSIM. Le jeton fabricant tokDM comprend une signature du fabricant DM du terminal UE, ainsi qu'un moyen de vérifier l'authenticité du jeton opérateur. 15 Le moyen de vérifier l'authenticité du jeton fabricant est existant dans le terminal, de préférence préalablement à l'installation du profil Opl . Ce moyen de vérification de l'authenticité du jeton fabricant tokDM peut par exemple être un mécanisme à clés publique et privée préinstallé "à l'usine" par le fabricant DM dans un module de la carte eSIM du terminal UE. Avantageusement, ce module de vérification 20 peut être le module polEnf de la carte eSIM, dit module "Policy Enforcement" (application de la politique). Ce module, en effet, est un composant neutre dans la carte eSIM, par rapport à tous les opérateurs susceptibles d'y installer un profil qui leur est associé. Le moyen de vérifier l'authenticité du jeton opérateur tokOpl est, quant à lui, 25 compris dans le jeton fabricant. Par exemple ce moyen peut être une clé publique de l'opérateur Opl , un certificat de l'opérateur Opl , ou un "hash" de la clé publique de l'opérateur Opl . Avantageusement, le module de vérification de l'authenticité du jeton opérateur tokOpl peut aussi être le module polEnf de la carte eSIM. 30 Lors d'une étape U5, l'authenticité des jetons est vérifiée, par exemple par le 3051059 11 module polEnf de la carte eSIM du terminal UE. L'authenticité du jeton tokOpl est effectuée à l'aide du moyen de vérification compris dans le jeton tokDM. Par exemple, dans une mise en oeuvre d'un mécanisme de vérification d'authenticité facile à mettre en oeuvre, le jeton tokOpl est signé en 5 utilisant une clé symétrique calculée par l'opérateur Opl , selon un mécanisme connu sous le nom de MAC ou HMAC. Cette clé est communiquée par l'opérateur au module polEnf au moment de l'installation ou de l'activation du profil Pi. Enfin, la fonction hash à utiliser pour la clé (par exemple SHA256) est communiquée au module polEnf d'une manière similaire, et le condensé résultant de l'application de la fonction hash sur cette 10 clé est communiqué au fabricant DM, dans le cadre d'un accord conclu entre l'opérateur et le fabricant. Le jeton tokDM comprend le condensé, c'est-à-dire le moyen de vérification, qui permettra au module polEnf de vérifier l'authenticité du jeton tokOpl en comparant le condensé compris dans le jeton tokDM avec le condensé obtenu par l'application de la fonction hash sur la clé utilisée pour signer le jeton tokOpl , cette clé 15 ayant été communiqué préalablement par l'opérateur au module polEnf. L'authenticité du jeton tokDM, quant à elle, peut par exemple être vérifiée à l'aide d'une signature par clé privée associée à une clé publique connue par le module polEnf comme étant celle du fabricant DM. Si l'authenticité des deux jetons est bien vérifiée, cela signifie que la règle 20 identifiée dans le jeton tokOpl concerne bien l'opérateur identifié dans le jeton tokDM, c'est-à-dire qu'il existe bien une correspondance entre les deux jetons. Lors d'une étape U6, la règle R-1 est installée, par exemple par le module polEnf, et prête à être utilisée. 25 Lors d'une étape non illustrée, subséquente à l'installation de la règle Ri, la règle est utilisée. Par exemple le terminal UE effectue, tel que requis par l'utilisateur, la désactivation du profil Pi, si cette modification est autorisée par la règle Ri. Ainsi, grâce au procédé d'installation selon l'invention, la modification n'est possible que si elle est conjointement autorisée par l'opérateur Opl et par le fabricant DM. 30 Si la règle R-1 est, par exemple, qu'un profil de l'opérateur Opl sur un terminal 3051059 12 fabriqué par DM ne peut être désactivé que s'il est supprimé complètement, alors le terminal UE effectue, de plus, la suppression du profil P1. L'invention concerne en outre un procédé de transmission, par un opérateur, 5 d'un jeton signé par le fabricant d'un terminal mobile. Ce procédé est également illustré par la figure 1. Lors d'une étape 01, l'équipement SMDP de l'opérateur Op1 émet vers le terminal UE le profil P1. Lors d'une étape 02, un équipement de l'opérateur Op1, par exemple 10 l'équipement SMDP, émet une requête de jeton vers un équipement du fabricant DM ayant fabriqué le terminal UE. La requête comprend au moins un identifiant de l'opérateur Op1, et peut comprendre un ou plusieurs identifiants de règles, et un ou plusieurs identifiants de profils. Lors d'une étape 03, l'équipement de l'opérateur Op1 reçoit en réponse un 15 jeton tokDM0p1. Ce jeton peut être fonction du type de contrôle autorisé et délégué par le fabricant DM à l'opérateur Op1. Le jeton peut comprendre, en plus d'une ou plusieurs règles applicables au profil, des conditions restreignant leur application. Optionnellement, le jeton tokDM0p1 généré par le fabricant DM peut lui-même être basé sur un jeton tokCM généré par le fabricant CM de la carte eSIM, en utilisant un 20 mécanisme de clés publique et privée par exemple. Il est à noter que l'étape 01, qui est la fourniture du profil au terminal, peut avoir lieu après l'étape 03, auquel cas la fourniture du jeton du fabricant à l'opérateur anticipe une action subséquente sur le profil de la part de l'utilisateur. Lors d'une étape 04, l'équipement SMDP de l'opérateur Op1 émet un jeton 25 tokDM qui est basé sur le jeton tokDM0p1. Si la requête de jeton est spécifique à une règle et à un profil, le jeton tokDM peut être le même que le jeton tokDMOP1, mais dans le cas général, la requête de jeton, ainsi que la réponse, concerne un ensemble de règles et un ensemble de profils. Lors d'une étape 05 l'équipement SMDP de l'opérateur Op1 émet, en plus du 30 jeton tokDM, un jeton tok0p1 qui est spécifique à une règle et à un profil. 3051059 13 En relation avec la figure 2, on présente maintenant un exemple de structure d'un dispositif mettant en oeuvre le procédé d'installation d'une règle, dont différents modes de réalisation viennent d'être décrits. 5 Un tel dispositif 100 peut être mis en oeuvre dans le module d'abonné du terminal UE. Ce module d'abonné peut être une carte eSIM, embarquée ou non de manière fixe dans le terminal, par exemple soudée. Par exemple, le dispositif 100 est équipée d'un microprocesseur 1..1P, et est pilotée par un programme d'ordinateur 110, stocké dans une mémoire 120 et mettant 10 en oeuvre le procédé d'installation d'une règle selon l'invention. A l'initialisation, les instructions de code du programme d'ordinateur 110 sont par exemple chargées dans une mémoire RAM, avant d'être exécutées par le processeur de la carte eSIM. Un tel dispositif 100 comprend les modules matériels ou logiciels suivants : - un module ISD-R, apte à obtenir des jetons tok0p1 et tokDM signés 15 respectivement par un opérateur et par un tiers, et à recevoir un ou des profils opérateur P1 et à en gérer l'installation dans un module ISD-P de la carte eSIM ; - un module polEnf, apte à vérifier l'authenticité des jetons tokDM et tok0p1, et à installer dans la carte eSIM une règle comprise dans un 20 des jetons signés. La carte eSIM comprend également un ou plusieurs modules ISD-P, chaque module ISD-P étant apte à héberger le profil d'un opérateur pour l'abonné du terminal, et à agir en tant que représentant de cet opérateur sur le terminal. Avantageusement, le module polEnf peut mettre à jour, pour chacun des profils 25 hébergés, une liste de règles installées. La carte eSIM elle-même est comprise dans un terminal UE qui comprend en outre un module LUI (Local User Interface, ou interface locale d'utilisateur) permettant à l'utilisateur d'agir sur le ou les profils opérateurs installés sur la carte eSIM dans le ou les modules ISD-P, par l'intermédiaire du module ISD-R, tout en respect de la ou des 30 règles installées grâce au procédé d'installation selon l'invention. 3051059 14 Cette figure 2 illustre seulement une manière particulière, parmi plusieurs possibles, de réaliser l'algorithme détaillé ci-dessus, en relation avec la figure 1. En effet, la technique de l'invention se réalise indifféremment sur une carte eSIM 5 reprogrammable (un processeur DSP ou un microcontrôleur) exécutant un programme comprenant une séquence d'instructions, ou sur une machine de calcul dédiée (par exemple un ensemble de portes logiques comme un FPGA ou un ASIC, ou tout autre module matériel). Dans le cas où l'invention est implantée sur une machine de calcul 10 reprogrammable, le programme correspondant (c'est-à-dire la séquence d'instructions) pourra être stocké dans un médium de stockage amovible (tel que par exemple une disquette, un CD-ROM ou un DVD-ROM) ou non, ce médium de stockage étant lisible partiellement ou totalement par un ordinateur ou un processeur. 15 Les exemples de réalisation de l'invention qui viennent d'être présentés ne sont que quelques-uns des modes de réalisation envisageables. Ils montrent que l'invention permet un contrôle conjoint par un opérateur et par un tiers, par exemple le fabricant du terminal ou le fabricant de la carte eSIM, de toute action de l'utilisateur d'un terminal sur un profil opérateur qui est installé ou à installer, et ceci même si la carte eSIM 20 héberge des profils de plusieurs opérateurs à la fois. REVENDICATIONS1. Procédé d'installation d'une règle d'exécution d'un environnement de fonctionnement pour un terminal (UE) de communication dans un réseau mobile d'un opérateur (0p1), le dit environnement (P1) étant appelé profil opérateur, le profil opérateur étant mémorisé dans un module d'abonné (eSIM) embarqué dans le terminal, le procédé comprenant les étapes suivantes mises en oeuvre par le module d'abonné : - obtention (U4) d'un premier jeton (tok0p1) signé par l'opérateur et comprenant une information relative à l'identification de la règle ; - obtention (U3) d'un second jeton (tokDM) signé par un tiers (DM ; CM) autre que l'opérateur et comprenant un premier moyen de vérification de l'authenticité du premier jeton ; - vérification (U5) de l'authenticité du premier jeton à l'aide du premier moyen de vérification ; - vérification (U5) de l'authenticité du second jeton à l'aide d'un second moyen de vérification ; - installation (U6) de la règle dans le module d'abonné si les authenticités des premier et second jetons sont vérifiées. 2. Procédé de contrôle selon la revendication 1, où le second moyen de vérification est installé par le tiers (DM ; CM), préalablement à au moins une des étapes (U3 ; U4) d'obtention des jetons (tokDM ; tok0p1). 3. Procédé de contrôle selon l'une des revendications 1 ou 2, où le tiers autre que l'opérateur (0p1) est un fabricant (DM) du terminal (UE). 4. Procédé de contrôle selon l'une des revendications 1 ou 2, où le tiers autre que l'opérateur (0p1) est un fabricant (CM) du module d'abonné (eSIM) du terminal (UE). 5. Procédé de contrôle selon l'une des revendications précédentes, où les jetons 3051059 16 (tokDM ; tok0p1) sont émis par l'opérateur (0p1). 6. Procédé de contrôle selon l'une des revendications précédentes, où au moins un jeton (tokDM ; tok0p1) comprend en outre des informations relatives à des limites dans 5 l'application de la règle au profil opérateur (P1). 7. Procédé de contrôle selon l'une des revendications précédentes, où le premier moyen de vérification est un condensé résultant d'une fonction de hashage appliquée sur une clé correspondant à l'opérateur (0p1). 10 8. Dispositif d'installation d'une règle d'exécution d'un environnement de fonctionnement pour un terminal (UE) de communication dans un réseau mobile d'un opérateur (0p1), le dit environnement (P1) étant appelé profil opérateur, le profil opérateur étant mémorisé dans un module d'abonné (eSIM) embarqué dans le terminal, 15 le dispositif comprenant les modules suivants : - module d'obtention (ISD-R) de deux jetons, un premier jeton (tok0p1) étant signé par l'opérateur et comprenant une information relative à l'identification de la règle, un second jeton (tokDM) étant signé par un tiers (DM ; CM) autre que l'opérateur et comprenant un premier moyen de vérification de l'authenticité du premier 20 jeton ; - module de vérification (polEnf) de l'authenticité du premier jeton à l'aide du premier moyen de vérification, et de l'authenticité du second jeton à l'aide d'un second moyen de vérification ; - module d'installation (polEnf) de la règle dans le module d'abonné si les 25 authenticités des premier et second jetons sont vérifiées. 9. Module d'abonné d'un terminal (UE) de communication dans un réseau mobile d'un opérateur (0p1) comprenant au moins un module de profil opérateur (ISD-P) et un dispositif conforme à la revendication 8. 30 3051059 17 10. Terminal (UE) de communication dans un réseau mobile d'un opérateur (0p1) comprenant module d'abonné (eSIM) conforme à la revendication 9. 11. Programme d'ordinateur, caractérisé en ce qu'il comprend des instructions pour 5 la mise en oeuvre des étapes du procédé d'installation d'une règle selon la revendication 1, lorsque ce procédé est exécuté par un processeur. 12. Support d'enregistrement lisible par un module d'abonné sur lequel est enregistré le programme selon la revendication 11. 10