BRPI1105958B1

BRPI1105958B1 - Dispositivo com microcircuitos de controle de execução de pelo menos uma função interna protegida embarcada no mesmo e processo para tal

Info

Publication number: BRPI1105958B1
Application number: BRPI1105958-3A
Authority: BR
Inventors: Aurélien RABOISSON; Sylvestre Denis
Original assignee: Oberthur Technologies
Priority date: 2010-12-09
Filing date: 2011-12-08
Publication date: 2021-03-30
Also published as: FR2968799B1; JP2012123807A; CN102547682A; BRPI1105958A2; ES2432503T3; EP2463833A1; EP2463833B1; KR101885381B1; JP5926047B2; CN102547682B; KR20120064633A; US9811822B2; FR2968799A1; US20120149327A1

Abstract

dispositivo com microcircuitos de controle de execução de pelo menos uma função interna protegida embarcada no mesmo e processo para tal a invenção tem notadamente por objeto o controle de execução de funções internas e de aplicações protegidas embarcadas em um cartão com microcircuitos para terminal móvel. o controle de uma função interna protegida é diretamente efetuado no cartão com microcircuitos. depois de ter detectado (400) um comando de colocação em vigilância do cartão, a partir de uma informação recebida de um terminal móvel no qual é conectado o cartão, pelo menos uma indicação relativa à execução da função interna protegida é analisada (415). se a função interna protegida é suscetível de ser afetada pela execução do comando de colocação em vigilância, a execução do comando de colocação em vigilância é diferida (410).

Description

[0001] A presente invenção trata da execução de funções em cartões de microcircuitos e mais particularmente um processo e um dispositivo de controle de execução para funções internas e aplicações protegidas embarcadas em cartões com microcircuitos para terminais móveis, notadamente cartões de identificação.

[0002] O desenvolvimento dos terminais móveis tais como os telefones móveis acarretou o desenvolvimento de numerosas aplicações que não são necessariamente, em si mesmas, aplicações de telefonia. Dentre estas aplicações, existem notadamente aplicações de jogo, de gestão de informações pessoais, de gestão do tempo, de carteira eletrônica, de pagamento, etc.. Uma aplicação de pagamento ou de carteira eletrônica permite pagar um produto ou um serviço por intermédio de seu terminal móvel.

[0003] De acordo com sua natureza, o acesso a estas aplicações ou a algumas de suas funcionalidades pode ser controlado. Assim, por exemplo, as aplicações de pagamento, notadamente para o pagamento de somas substanciais, requerem geralmente uma identificação do usuário. Uma tal identificação pode ser realizada a partir de um cartão de identificação se o terminal móvel utilizado para executar a aplicação dele dispor.

[0004] Existem notadamente cartões de identificação conhecidos sob os nomes de cartões SIM (acrônimo de Subscriber ldentity Module em terminologia anglo- saxônica), cartões USIM (acrônimo de Universal Subscriber ldentity Module em terminologia anglo-saxônica), cartões UICC (acrônimo de UMTS lntegrated Circuit Card em terminologia anglo-saxônica, UMTS sendo a sigla de Universal Mobile Telecommunications System em terminologia anglo-saxônica) e cartões RUIM (acrônimo de Removable Universal Identity Module em terminologia anglo-saxônica).

[0005] Estes cartões compreendem geralmente meios de processamento de dados e meios de memorização de dados para o armazenamento das informações específicas para um usuário de uma rede de telefonia móvel. A presença de um tal cartão dentro de um terminal móvel, em particular de um telefone móvel, permite a este terminal, graças às informações contidas no cartão de identificação, se conectar à rede e trocar dados com outros terminais da rede, notadamente de maneira segura (o cartão contém por exemplo uma chave criptográfica permitindo se autenticar junto à rede e cifrar trocas de dados).

[0006] Os cartões de identificação formam um elemento tornado seguro dos terminais móveis permitindo uma autenticação dos usuários destes cartões graças a chaves de autenticação memorizadas, por exemplo, nos meios de memorização destes cartões.

[0007] Além disso, alguns terminais móveis dispõem de meios de comunicação sem fio de baixo alcance, por exemplo de tipo NFC (sigla de Near Field Communicação em terminologia anglo-saxônica). Os terminais móveis compreendem então uma antena de comunicação de campo próximo. Esta antena pode igualmente ser integrada amovível do terminal. Ela permite a troca de dados entre o terminal móvel e um equipamento externo tal como um terminal de pagamento.

[0008] Assim, é possível, com a ajuda de um terminal móvel, efetuar um pagamento por comunicação sem contato. Uma tal comunicação é, por exemplo, conforme a norma ISO 14 443 que visa um formato de cartão de identificação e um protocolo de comunicação associado.

[0009] Para utilizar este tipo de serviços ou para trocar informações, o usuário aproxima seu terminal móvel do terminal, de tal sorte que uma transação por comunicação em campo próximo possa ser realizada.

[0010] Ainda mais, uma seleção de aplicações bancárias pode ser ativada no cartão de identificação do terminal móvel utilizado, por exemplo pelo microcontrolador de um cartão SIM. A ativação desta seleção de aplicações é por exemplo comandada pelo terminal móvel conforme a norma ISO 7816 relativa aos cartões de identificação com contatos. O usuário pode então escolher uma das aplicações bancárias selecionadas.

[0011] Como indicado precedentemente e a fim de tornar segura uma operação efetuada pela aplicação escolhida, uma autenticação do usuário pode ser efetuada. Esta última ci pode notadamente consistir em demandar uma senha ao usuário, por exemplo seu código PIN (acrônimo de Personal Identificação Number em terminologia anglo-saxônica), via uma interface gráfica do terminal móvel. O código PIN utilizado aqui é geralmente diferente do código PIN utilizado para aceder às funções de telefonia. Depois que o usuário a tiver lançado, por exemplo com a ajuda de um teclado, real ou virtual (utilizando por exemplo uma tela de toque), esta senha é transmitida ao cartão de identificação, por exemplo segundo a norma ISO 7816, que o compara a um código armazenado em uma memória não volátil do cartão de identificação. Se esta senha e este código coincidem, a operação é autorizada, caso contrário, ela é rejeitada.

[0012] Por razões de segurança, a senha lançada pelo usuário tem geralmente uma duração limitada. Assim, se a operação visada não foi efetuada no retardo fixado, o código expira. Um tal retardo é geralmente predeterminado, seu valor é tipicamente de um minuto. Se o retardo expirou e o usuário deseja no entanto efetuar a operação visada, ele deve recuperar a senha.

[0013] Ainda que um tal sistema permita limitar os riscos de fraude, existe no entanto uma necessidade constante de melhorar a segurança ligada à execução de algumas operações efetuadas a partir de um terminal móvel, notadamente de transações.

[0014] A invenção permite resolver pelo menos um dos problemas expostos precedentemente.

[0015] A invenção tem assim por objeto um processo de controle de execução de pelo menos uma função interna protegida embarcada em um dispositivo com microcircuitos adaptado para ser utilizado em cooperação com um terminal móvel, este processo, conduzido no dito dispositivo com microcircuitos, compreendendo as etapas seguintes, - detecção de um comando de colocação em vigilância do dito dispositivo com microcircuitos, o dito comando de colocação em vigilância sendo detectado a partir de uma informação recebida de um terminal móvel no qual é conectado o dito dispositivo com microcircuitos; - análise de pelo menos uma indicação relativa à execução da dita pelo menos uma função interna protegida; e - se a dita pelo menos uma função interna protegida é suscetível de ser afetada pela execução do dito comando de colocação em vigilância, execução diferida do dito comando de colocação em vigilância.

[0016] O processo de acordo com a invenção permite assim proteger a integridade de um dispositivo com microcircuitos tal como um cartão com microcircuitos e assegurar a proteção de aplicações protegidas executadas por este dispositivo diferindo, se necessário, a execução de comandos de colocação em vigilância do dispositivo. Para estes fins, um comando de colocação em vigilância é diferido em função da execução de funções internas protegidas, por exemplo de funções de contagem podendo ser utilizadas para determinar a validade de uma senha ou de funções de gestão de memórias do dispositivo com microcircuitos.

[0017] De acordo com um modo de realização particular, o processo compreende ainda as etapas seguintes, - colocação em a um primeiro valor de uma variável de estado durante o lançamento da dita pelo menos uma função interna protegida; e, - colocação em um segundo valor da dita variável de estado quando a execução da dita pelo menos uma função interna protegida é terminada ou quando a dita função interna protegida é reinicializada; a dita etapa de análise compreendendo uma etapa de análise do valor da dita variável de estado.

[0018] De acordo com este modo de realização, uma variável de estado é utilizada como meio de troca de informações entre funções internas protegidas e um módulo de gestão de colocação em vigilância do dispositivo, este módulo podendo, em função do valor desta variável, ou seja, em função da execução de funções internas protegidas, diferir ou não a execução de um comando de colocação em vigilância.

[0019] De acordo com um outro modo de realização, a execução do dito comando de colocação em vigilância é diretamente controlada pela dita pelo menos uma função interna protegida. Não é então necessário utilizar variável de estado para estes fins.

[0020] De maneira vantajosa, o processo compreende ainda uma etapa de comparação de um nível de vigilância demandado associado à dita comando de colocação em vigilância com um estado de vigilância do dito dispositivo com microcircuitos. Assim, de acordo com os valores relativos dos níveis de vigilância demandado e real, pode ser determinado se é necessário ou não verificar se a execução de um comando de colocação em vigilância deve ser diferida ou não.

[0021] Sempre de acordo com um modo de realização particular o dito dispositivo com microcircuitos ou o dito terminal móvel sendo provido de meios de comunicação sem fio de baixo alcance e o dito dispositivo com microcircuito compreendendo uma aplicação protegida embarcada recorrendo aos ditos meios de comunicação sem fio de baixo alcance e à dita função interna protegida, o processo compreende ainda as etapas seguintes, - recepção de um dado de autenticação para a execução da dita aplicação protegida, o dito dado de autenticação sendo recebido do dito terminal móvel; - comparação do dito dado de autenticação recebido com pelo menos um dado armazenado no dito dispositivo com microcircuitos; - se o dito dado de autenticação recebido corresponde ao dito pelo menos um dado armazenado e se a dita aplicação protegida é solicitada, verificação da validade do dito dado de autenticação recebido segundo pelo menos um critério definido dinamicamente no dito dispositivo com microcircuitos; e, - se o dito dado de autenticação recebido é válido, execução da dita aplicação protegida.

[0022] O processo de acordo com a invenção permite assim determinar a validade de uma senha lançada por um usuário, sem recorrer a meios do terminal móvel em que é utilizado o dispositivo com microcircuitos. O processo de acordo com a invenção permite assim melhorar a segurança ligada à utilização de uma senha.

[0023] De maneira vantajosa, a dita função interna protegida é uma função de contagem, o processo compreendendo ainda, se o dito dado de autenticação recebido corresponde ao dito pelo menos um dado armazenado, uma etapa de solicitação à dita função de contagem para um retardo de uma duração predeterminada, a dita etapa de verificação compreendendo a verificação que o dito retardo não decorreu. A validade de uma senha é assim limitada no tempo, a contagem do tempo sendo efetuada de maneira segura no dispositivo com microcircuitos. A dita função de contagem é, de preferência, baseada sobre um relógio material do dito dispositivo com microcircuitos.

[0024] Sempre de acordo com um modo de realização particular, o processo compreende ainda as etapas seguintes, - recepção de pelo menos uma informação do dito terminal móvel ao qual é conectado o dito dispositivo com microcircuitos para informar que pelo menos um terminal de acesso sem contato é acessível via os ditos meios de comunicação sem fio de baixo alcance; - seleção de pelo menos a dita aplicação protegida embarcada no dito dispositivo com microcircuitos em resposta à dita pelo menos uma informação recebida e transmissão de pelo menos uma referência à dita pelo menos aplicação selecionada ao dito terminal móvel; e, - recepção de pelo menos um identificador de uma aplicação, o dito identificador correspondendo a uma referência à dita aplicação protegida embarcada.

[0025] O processo permite assim a condução simples e segura de aplicações tais como aplicações de pagamento.

[0026] A invenção tem igualmente por objeto um programa de computador compreendendo instruções adaptadas à condução de cada uma das etapas do processo descrito precedentemente quando o dito programa é executado sobre um computador.

[0027] A invenção tem também por objeto um dispositivo compreendendo meios tais como um microcontrolador adaptados à condução de cada uma das etapas do processo descrito precedentemente assim como um cartão de identificação de um assinante a uma rede de telefonia móvel compreendendo um tal dispositivo e um terminal móvel integrando um tal dispositivo.

[0028] De acordo com um modo de realização particular, o dispositivo compreende ainda pelo menos uma memória configurada para memorizar pelo menos um dado relativo à dita pelo menos uma função interna protegida. Sempre de acordo com um modo de realização particular, o microcontrolador é ainda configurado para executar um algoritmo de criptografia protegendo o dito pelo menos um dado relativo à dita pelo menos uma função interna protegida e/ou para executar um algoritmo de proteção material de pelo menos um componente do dito dispositivo a fim de melhorar a proteção da dita pelo menos uma função interna.

[0029] As vantagens obtidas por este programa de computador, este dispositivo e este cartão de identificação são similares àquelas mencionadas precedentemente.

[0030] Outras vantagens, finalidades e características da presente invenção vão ressaltar da descrição detalhada que se segue, dada a título de exemplo não limitativo, em face dos desenhos anexos nos quais:

[0031] - a figura 1 representa esquematicamente um terminal móvel e um cartão com microcircuito associado permitindo a condução da invenção;

[0032] - a figura 2 ilustra algumas etapas conduzidas em um terminal móvel conforme a invenção;

[0033] - a figura 3 ilustra algumas etapas conduzidas em um cartão com microcircuito conforme a invenção; e,

[0034] - a figura 4 ilustra algumas etapas de um exemplo de algoritmo de um módulo de gestão de colocação em vigilância, conforme a invenção.

[0035] Foi observado que a segurança ligada à execução de algumas operações efetuadas por um terminal móvel em conjunção com um cartão com microcircuitos apresenta fraquezas em que uma parte do mecanismo de segurança é conduzida no terminal móvel e que este último não pode ser considerado como uma zona de execução segura.

[0036] Em particular, foi observado que em razão das especificações das operadoras móveis e bancárias, os terminais móveis conduzem aplicações intermediárias. Estas últimas são notadamente utilizadas para calcular o retardo de expiração de uma senha lançada por um usuário. Elas podem ser implementadas sob forma de midlet, ou seja, de um conjunto de API (sigla de Application Program Interface em terminologia anglo-saxônica) Java definindo a maneira pela qual aplicações executadas em um cartão inserido em um terminal móvel se conectam à interface de terminal. Da mesma forma, uma senha pode ser válida para um número de utilizações dado.

[0037] Em outros termos, aplicações protegidas que devem ser executadas por intermédio de um terminal móvel têm uma segurança relativa. A título de ilustração, o comando de invalidação de uma senha no final de um retardo de expiração é uma função condução sobre um terminal móvel e cujo resultado é tipicamente transmitido de maneira não segura a um cartão com microcircuitos, por exemplo um cartão SIM. Os midlets que executam estas funções não são certificados, notadamente por autoridades bancárias. Estas funções podem então ser o alvo de ataques fraudulentos e seus resultados podem ser interceptados.

[0038] Além disso, midlets podem ser falhos, o que pode levar a que uma senha seja válida durante um período considerável. Assim, por exemplo, quando um usuário deve lançar uma senha para efetuar transações superiores a uma soma dada, ele pode efetuar transações superiores a esta soma sem se ter conta se o mecanismo de expiração da senha é falho.

[0039] Adicionalmente, é observado que os cartões com microcircuitos são geralmente providos de um modo, chamado modo vigilância, permitindo inibir, parcialmente ou totalmente, funções destes cartões. Um tal modo tem por objeto reduzir o consumo elétrico do cartão com microcircuitos a fim de preservar a carga da bateria do terminal móvel no qual é utilizada o cartão com microcircuitos (um cartão com microcircuitos sendo tipicamente alimentado eletricamente pelo terminal móvel ao qual ele é conectado). Assim, em outros termos, existe um estado ativo no qual um cartão com microcircuitos pode ser utilizado «normalmente», um ou vários estados de vigilância de acordo com os quais apenas algumas funções do cartão podem ser utilizadas e um estado parado no qual nenhuma função pode ser utilizada. Para passar para um estado ativo ou de vigilância a partir do estado parado, é preciso geralmente iniciar o cartão, o que leva um tempo geralmente não desprezível. O estado de um cartão com microcircuitos é, de acordo com as normas correntes, controlado pelo terminal móvel no qual o cartão é utilizado. Assim, por exemplo, a função de um terminal móvel para colocar em vigilância um cartão com microcircuitos, mais precisamente para parar seu relógio interno está de acordo com a norma ISO 7816, «clockstop» que tem por efeito de parar o sinal de relógio transmitido pelo terminal móvel ao cartão com microcircuitos. Quando o cartão com microcircuitos detecta a parada do sinal de relógio, ele se põe em vigilância.

[0040] A invenção visa a execução de funções internas protegidas, notadamente de funções de segurança, por exemplo funções de cálculo de um retardo de expiração de uma senha ou, mais geralmente, de um dado de autenticação lançado por um usuário, em um cartão com microcircuitos, por exemplo um cartão SIM, UICC, UMTS ou RUIM, configurado para ser utilizado em cooperação com um terminal móvel. Assim, conforme a invenção, a validade de um dado de autenticação de um usuário é efetuada de acordo com um critério definido dinamicamente no cartão de identificação. Este critério é tipicamente uma duração de validade e/ou um número de utilizações. A invenção visa igualmente a execução de outras funções protegidas tais como funções de gestão de memória.

[0041] A figura 1 representa um terminal móvel 100 apto a realizar a invenção. Como ilustrado, o terminal móvel 100 compreende um módulo 105 de telefonia móvel, vantajosamente ligado a um alto-falante 110 e a um microfone 115. O módulo de telefonia móvel é ligado a uma antena (não representada) do terminal móvel 100 para comunicar com a rede de telefonia móvel O terminal móvel 100 compreende igualmente uma unidade central de processamento 120, também chamada CPU (sigla de Central Processing Unit em terminologia anglo-saxônica) e, de preferência, uma tela 125.

[0042] O terminal móvel 100 compreende ainda um módulo 130 de comunicação de baixo alcance, vantajosamente um módulo de comunicação sem fio de baixo alcance. O módulo 130 é por exemplo do tipo NFC. O módulo 130 pode ser diretamente implantado no terminal móvel 100, por exemplo sob forma de circuito integrado e de antena, ou inserido no terminal móvel 100, por exemplo, sob forma de cartão com microcircuitos compreendendo uma antena integrada.

[0043] O terminal móvel compreende igualmente um dispositivo de lançamento 135, tal como um teclado ou um dispositivo equivalente, para lançar caracteres, valores e/ou comandos. O dispositivo de lançamento 135 forma, em cooperação com a tela 125, uma interface de usuário. O dispositivo de lançamento 135 pode igualmente ser integrado à tela 125 sob forma de tela de toque.

[0044] O terminal móvel 100 compreende também um módulo memória 140 adaptado para memorizar pelo menos aplicações e/ou interfaces lógicas 145 utilizadas entre o terminal móvel 100 e alguns destes componentes, fixos ou amovíveis, tais como o módulo 130 e um cartão com microcircuitos conectado a este terminal móvel, por exemplo o cartão de identificação 150.

[0045] O cartão de identificação 150 é aqui um cartão SIM provido de um microcontrolador 155, de uma primeira memória 160 e de uma segunda memória 170. A primeira memória 160 é aqui utilizada para armazenar aplicações tais como aplicações do usuário, de sua operadora e aplicações bancárias. Uma parte 165 desta memória é ainda utilizada para armazenar informações, parâmetros e/ou informações do usuário para lhe permitir ter acesso a uma rede de telefonia móvel, em particular um código de tipo PIN. A primeira memória 160 é tipicamente uma memória de tipo flash. A segunda memória 170 é aqui uma memória de tipo ROM (acrônimo de Read Only Memory em terminologia anglo-saxônica). Ela é notadamente utilizada para armazenar o sistema de exploração do cartão de identificação assim como funções de interface.

[0046] De acordo com um modo de realização particular, o módulo 130 de comunicação de baixo alcance pode ser integrado, parcialmente ou totalmente, ao cartão de identificação 150.

[0047] O cartão de identificação 150 é, de preferência, amovível e seguro.

[0048] A invenção visa um mecanismo levado diretamente em um cartão com microcircuito, ou seja, de maneira geral, um dispositivo com microcircuitos, por exemplo no cartão SIM 150, para controlar a execução de funções internas protegidas, relativamente ao estado do cartão, notadamente de funções internas solicitadas por aplicações protegidas. O dispositivo com microcircuitos, compreendendo por exemplo o microcontrolador 155 e as memórias 160 e 170, pode ser integrado ao terminal móvel.

[0049] De acordo com um modo de realização particular, a invenção tem por objeto um mecanismo para gerir dinamicamente a validade de uma senha lançada por um usuário com a ajuda de meios de lançamento tais como o teclado 135. Este mecanismo pode notadamente consistir em controlar a duração de validade da senha e/ou em testar o número de execuções de uma aplicação protegidas utilizando uma mesma senha lançada. Um tal mecanismo interno ao cartão com microcircuitos é menos sensível aos ataques que um mecanismo similar levado em um terminal móvel porque o ambiente de um cartão com microcircuitos é geralmente mais seguro que o ambiente do terminal móvel. Além disso, um tal mecanismo pode mais facilmente ser certificado, por exemplo por uma autoridade bancária.

[0050] De maneira vantajosa, este mecanismo utiliza uma função interna do cartão com microcircuitos, geralmente chamada timer em terminologia anglo- saxônica. Um timer é tipicamente definido como sendo uma função, material ou software, encarregados de gerar uma interrupção após um número de avisos de relógio para ativar ou executar uma outra função, tipicamente do código lógico. Este número de avisos de relógio e o relógio que deve ser utilizado (por exemplo o relógio do cartão com microcircuitos) são geralmente fornecidos à função como parâmetros.

[0051] Conforme a invenção, uma interface (API) é, por exemplo, acrescentada ao sistema de exploração utilizado dentro do cartão com microcircuitos para oferecer funções internas de controle de validade de uma senha recebida do terminal móvel ao qual é conectado o cartão. Estas funções permitem notadamente contar uma duração predefinida de validade de uma senha. A interface acrescentada aqui consiste por exemplo em um serviço fornecido pelo sistema de exploração do cartão SIM a uma aplicação bancária, por exemplo uma aplicação de tipo cardlet. Um tal serviço é por exemplo solicitado desde que uma senha recebida é considerada como correta, ou seja, quando ela corresponde a um dado de autenticação previamente memorizado.

[0052] Para controlar uma duração predefinida de validade de uma senha, o relógio material do cartão com microcircuitos é, de preferência utilizado. A função timer utilizando um tal relógio, também chamada hardware timer em terminologia anglo-saxônica, pode ser considerada como uma extensão material do sistema de exploração do cartão com microcircuitos, o sistema de exploração sendo geralmente lógico. Esta função hardware timer, geralmente existente dentro dos cartões SIM, mais precisamente dentro do microcontrolador, oferece vantagem de ser correntemente certificada, pelos fabricantes, de acordo com os critérios comuns conhecidos sob o nome de EAL4+.

[0053] Em variante, uma função lógica timer (chamada software timer em terminologia anglo-saxônica) pode ser utilizada. O relógio utilizado para estes fins pode ser gerado a partir do relógio material do cartão com microcircuitos ou a partir de um relógio do terminal móvel. Uma função lógica timer não é geralmente certificada pelos fabricantes.

[0054] De acordo com um modo de realização preferido, o cartão com microcircuitos compreende pelo menos dois níveis de vigilância. Um primeiro nível corresponde a uma vigilância total de acordo com a qual o conjunto de seus componentes está em vigilância (trata-se então de um modo de vigilância padrão). Um segundo nível corresponde a uma vigilância parcial de acordo com a qual algumas funções estão ativas. Assim, por exemplo, a função de contagem de uma duração predefinida de validade de uma senha pode permanecer ativa neste nível de vigilância. Em outros termos, no modo de vigilância parcial, a função timer (software timer ou hardware timer) aqui está ativa.

[0055] A figura 2 ilustra algumas etapas conduzidas em um terminal móvel conforme a invenção.

[0056] Uma primeira etapa (etapa 200) tem por objeto a detecção de um terminal, por exemplo um terminal de pagamento de um objeto ou de um serviço, tal como o acesso a um museu. De acordo com a configuração do módulo de comunicação sem fio de baixo alcance utilizado, esta etapa pode ser realizada automaticamente por detecção de um sinal ou em resposta a um comando do usuário realizado via uma interface do terminal móvel utilizado.

[0057] Em uma etapa seguinte (etapa 205), um canal de comunicação é estabelecido entre o terminal móvel e o terminal previamente detectado. Este canal de comunicação é aqui estabelecido de acordo com um protocolo padrão, por exemplo um protocolo conforme a norma ISO 14 443. Paralelamente, de maneira simultânea ou precedentemente, um canal de comunicação é estabelecido entre o terminal móvel utilizado e um cartão com microcircuitos contida neste último (etapa 210). Novamente, este canal de comunicação é de preferência estabelecido de acordo com um protocolo padrão, por exemplo um protocolo conforme a norma ISO 7816.

[0058] Em seguida, uma informação relativa ao terminal detectado é transmitida ao cartão com microcircuitos para lhe permitir selecionar aplicações contidas nesta último e podendo ser executadas. A seleção de aplicações é, de preferência, baseada sobre o tipo de terminal detectado. Uma referência a estas aplicações selecionadas é transmitida ao terminal móvel, por exemplo sob forma de lista (etapa 215). Trata-se, por exemplo, de aplicações bancárias.

[0059] A lista das aplicações selecionadas pode ser exibida sobre o terminal móvel a fim de permitir ao usuário escolher nela uma (etapa 220). Uma referência da aplicação escolhida é então transmitida ao cartão com microcircuitos que, se for o caso, indica ao terminal móvel que uma senha deve ser lançada pelo usuário. Neste caso, o usuário lança uma senha com a ajuda, por exemplo, de um teclado ou de um dispositivo similar ligado ao terminal móvel (etapa 225). Esta senha é então transmitida ao cartão com microcircuitos, por exemplo de acordo com a norma ISO 7816, que a verifica e começa a execução da aplicação escolhida, ou seja, de funções desta aplicação. Estas funções podem ser identificadas pela aplicação escolhida em si ou ser selecionadas pelo usuário. Pode notadamente se tratar de uma ordem de pagamento cujo montante pode ser lançado pelo usuário ou transmitido pelo terminal durante o estabelecimento da comunicação entre o terminal móvel e o terminal.

[0060] Durante a execução destas funções (etapa 230), o terminal móvel é geralmente solicitado como interface entre o cartão com microcircuitos e o módulo de comunicação sem fio de baixo alcance do terminal móvel.

[0061] Como ilustrado, o processo pode ser repetido enquanto não se põe um fim nele (de maneira automática ou pelo usuário).

[0062] A figura 3 ilustra algumas etapas executadas em um cartão com microcircuitos, por exemplo um cartão SIM, conforme a invenção.

[0063] Uma primeira etapa (etapa 300) visa aqui a seleção de aplicações contidas no cartão de identificação. Como descrito precedentemente, uma tal seleção é, de preferência, efetuada de acordo com características de um terminal com o qual o terminal móvel compreendendo o cartão com microcircuitos estabeleceu um canal de comunicação. Tais características podem assim visar indicações relativas ao pagamento de uma soma ou à recarga de um carteira eletrônica ou de uma avaliação de comunicação.

[0064] Referências às aplicações selecionadas são então transmitidas ao terminal móvel, por exemplo sob forma de uma lista. Quando uma tal lista é recebida pelo terminal móvel, ela é de preferência exibida de tal sorte que o usuário possa escolher uma delas. Quando uma aplicação foi escolhida, uma referência a esta última é transmitida ao cartão com microcircuitos, mais precisamente ao microcontrolador do cartão com microcircuitos, para lhe permitir começar a aplicação correspondente (etapa 305).

[0065] Alternativamente, se uma única aplicação é suscetível de ser executada ou em função de parâmetro de configuração, uma aplicação pode ser diretamente começada sem que ela tenha sido explicitamente escolhida pelo usuário.

[0066] Durante o lançamento de uma aplicação, um teste é efetuado para determinar se a aplicação está protegida, ou seja, se a execução desta aplicação ou de algumas de suas funções requer a autenticação do usuário (etapa 310). Na negativa, a aplicação é executada de maneira clássica pelo microcontrolador do cartão com microcircuitos.

[0067] No caso contrário, se a aplicação está protegida, uma instrução é aqui transmitida ao terminal móvel a fim de obter uma senha permitindo desbloquear a aplicação por autenticação. Esta última é, de preferência, lançada pelo usuário, com a ajuda de um teclado ou de um dispositivo similar ligado e ao terminal móvel e depois transmitido ao cartão com microcircuitos.

[0068] É observado aqui que dados ligados à ou às funções protegidas, memorizados em memórias do cartão com microcircuitos, por exemplo a memória 160 e/ou a memória 170 descritas com referência à figura 1, podem ser protegidos com a ajuda de algoritmos de criptografia respeitando a norma FIPS (acrônimo de Federal Informação Processing Standards em terminologia anglo-saxônica).

[0069] De maneira similar, componentes do cartão com microcircuitos tais como o microcontrolador 155 e as memórias 160 e 170 descritas com referência à figura 1, nas quais são memorizados dados relativos à ou às funções protegidas, podem ser protegidos materialmente contra ataques ditos não invasivos (por exemplo ataques por análise de tempo, análise de consumo, análise electromagnética e/ou ataques de relógios), invasivos ou semi-invasivos.

[0070] Após ter obtido uma senha (etapa 315), um teste é efetuado para determinar se a senha recebida é correta (etapa 320). Para estes fins, o microcontrolador do cartão com microcircuitos, ou um módulo ligado a este microcontrolador, compara a senha recebida a um dado previamente memorizado. Uma tal comparação pode notadamente ser realizada de acordo com algoritmos de autenticação e de criptografia padrão.

[0071] Alternativamente, outros modos de autenticação tais como o reconhecimento de impressões digitais podem ser utilizados.

[0072] Se a senha não é correta, põe-se fim ao procedimento ou uma instrução é transmitida ao terminal móvel para convidar o usuário a relançar uma senha (como indicado pela utilização de uma seta em traço pontilhado).

[0073] Ao contrário, se a senha é correta, uma função de contagem do tempo, ou seja, uma função interna protegida, é ativada (etapa 325). Como descrito precedentemente, esta função tem por objeto identificar um intervalo de tempo no qual a senha recebida é considerada como válida. A duração deste intervalo de tempo é, de preferência, predeterminada. A função de contagem é baseada sobre um relógio do cartão com microcircuitos ou, alternativamente, sobre um relógio do terminal móvel.

[0074] Alternativamente, a função de contagem pode ser começada antes de verificar a senha, a função de contagem sendo parada se a senha não estiver correta.

[0075] A função de contagem é tipicamente baseada sobre a função timer (de preferência a função hardware timer) descrita precedentemente. Esta última é chamada com, como parâmetros, a duração de validade da senha e o relógio que deve ser utilizado. Na expiração do timer, ou seja, no fim da execução da função timer, uma interrupção é gerada. Ela indica à função de contagem que esta última está é terminada. A função de contagem pode igualmente ser assimilada à função timer.

[0076] De acordo com um modo de realização particular, uma primeira indicação é transmitida ao sistema de exploração do cartão com microcircuitos, ou mais geralmente a um módulo de gestão de colocação em vigilância, quando a função de contagem é ativada. Da mesma forma, uma segunda indicação é transmitida ao sistema de exploração do cartão de identificação, ou mais geralmente a um módulo de gestão de colocação em vigilância, quando a função de contagem é reinicializada ou quando a contagem está terminada. Assim, conhecendo o estado da função de contagem, o sistema de exploração, ou mais geralmente um módulo de gestão de colocação em vigilância, pode interditar o estado de vigilância total do cartão de identificação quando a função de contagem está ativa. Em outros termos, apenas um estado ativo ou um estado de vigilância parcial de acordo com o qual o relógio do cartão com microcircuitos está ativo pode ser utilizado quando a função de contagem está ativa (quando o relógio do cartão de identificação é utilizado). Se a função de contagem é baseada sobre um relógio do terminal móvel, o estado de vigilância parcial é um estado de acordo com o qual a função de contagem é operacional sem que o relógio do cartão de identificação esteja necessariamente ativo.

[0077] Alternativamente, pode-se interditar mudar o estado do cartão de identificação quando a função de contagem é ativa. Assim, de maneira vantajosa, uma variável de estado, de preferência memorizada em uma memória volátil, por exemplo a variável de estado PIN_OK, é colocada em um primeiro valor quando a função de contagem é ativada (por exemplo, PIN_OK=1). Esta variável de estado é colocação a um segundo valor quando a função de contagem é reinicializada ou que a contagem é terminada (por exemplo, PIN_OK=0). Alternativamente, esta variável de estado pode ser diretamente colocado neste segundo valor quando a função timer emite uma interrupção (quando o timer expira), a função de contagem sendo então desativada quando a variável de estado é colocada neste segundo valor. Neste caso, a interrupção gerada pela função timer dispara uma função, de preferência lógica, de atualização da variável de estado PIN_OK.

[0078] Em seguida, quando um comando que visa uma função da aplicação protegida executada é processado pelo microcontrolador do cartão com microcircuitos, um teste é efetuado para determinar se a senha recebida é válida (etapa 335). É observado aqui que um comando que visa uma função da aplicação protegida executada pode estar diretamente ligado a esta última (ele é, neste caso, automaticamente recebido) pode resultar de uma escolha do usuário o comando é então recebido via a unidade central de processamento 120 por intermédio de uma instrução emitida do terminal móvel, como ilustrado pela seta em traço pontilhado) ou pode provir do terminal ao qual é conectado o terminal móvel (o comando é então recebido via o módulo 130, como ilustrado pela seta em traço pontilhado).

[0079] Para determinar se uma senha é válida, o microcontrolador do cartão com microcircuitos faz aqui solicitação à função de contagem do tempo iniciada precedentemente. Assim, se o retardo decorreu, a senha é considerada como não válida. Além disso, de acordo com um modo de realização particular, o número de execuções da aplicação protegida (ou de funções desta aplicação) desde o lançamento da senha pode ser comparado a um número de utilizações predeterminado. É assim possível limitar a utilização de uma senha a um único comando, dois comandos, etc..

[0080] Se a senha não é válida, uma instrução é transmitida ao terminal móvel para convidar o usuário a relançar uma senha (o algoritmo retorna à etapa 315 descrita precedentemente).

[0081] Se, ao contrário, a senha é considerada como válida, o comando considerado é processado e a função correspondente é executada (etapa 340). Como indicado precedentemente, a execução desta função pode recorrer ao terminal móvel, notadamente para solicitar o módulo de comunicação sem fio de baixo alcance utilizado. De acordo com um modo de realização particular segundo o qual uma senha não pode ser utilizada senão para a execução de uma única função, a função de contagem do tempo é reinicializada (para parar a mesma). Desta forma, se um novo comando protegido deve ser executado, a senha será considerada como não válida sem que seja necessário comparar o número de comandos executados desde a recepção desta senha a um número de utilizações predeterminado.

[0082] É observado aqui que aplicações podem ser protegidas pelo fato de que a execução de algumas de suas funções é submetida a algumas restrições, notadamente a autenticação do usuário, como descrito precedentemente. Entretanto, uma aplicação pode igualmente ser protegida de maneira global, ou seja, quando a execução da aplicação foi autorizada (após autenticação do usuário), não há necessidade de autenticar o usuário para executar suas funções. No entanto, quando esta aplicação recorre a uma outra aplicação protegida, pode ser necessário re-autenticar o usuário para executar esta outra aplicação.

[0083] Quando o cartão com microcircuitos detecta um comando de colocação em vigilância e se o nível de colocação em vigilância é tal que ele é suscetível de afetar a execução da aplicação protegida, notadamente a função interna de contagem, um teste é efetuado para determinar se o comando de colocação em vigilância pode ser executado ou se sua execução deve ser diferida. Para estes fins, um módulo de gestão de colocação em vigilância é, de preferência, levado no cartão com microcircuitos. Pode se tratar de um módulo material ou de um módulo lógico. Ele pode notadamente ser integrado ao sistema de exploração do cartão com microcircuitos. Se uma variável de estado, por exemplo a variável de estado PIN_OK, de preferência memorizada em memória volátil, é utilizada, o módulo de gestão de colocação em vigilância determina o valor da variável de estado e, em função deste valor, autoriza ou não a colocação no estado de vigilância demandado.

[0084] A figura 4 ilustra algumas etapas de um exemplo de algoritmo de um módulo de gestão de colocação em vigilância, conforme a invenção. Como ilustrado, uma primeira etapa (etapa 400) tem por objeto a detecção de um comando de colocação em vigilância do cartão com microcircuitos compreendendo este módulo. Conforme a norma ISO 7816, este comando é detectado a partir do sinal de relógio proveniente do terminal móvel no qual o cartão com microcircuito é utilizado, quando o sinal de relógio é parado.

[0085] Em uma etapa seguinte, o módulo de gestão de colocação em vigilância determina se o estado de vigilância demandado, associado ao comando de colocação em vigilância, é inferior ao estado de vigilância atual (etapa 405), ou seja, se o estado de vigilância demandado visa a ativação de algumas funções do cartão com microcircuitos (o estado de vigilância demandado é, neste caso, inferior ou igual ao estado de vigilância atual) ou se, ao contrário, o estado de vigilância demandado visa a inibição de algumas funções do cartão com microcircuitos (p estado de vigilância demandado é, neste caso, superior ao estado de vigilância atual).

[0086] Se o estado de vigilância demandado é inferior ou igual ao estado de vigilância atual, o comando de colocação em vigilância recebido é executado (etapa 410).

[0087] Ao contrário, se o estado de vigilância demandado é superior ao estado de vigilância atual, um teste é efetuado para determinar o valor da variável de estado utilizada para indicar que funções internas protegidas são suscetíveis de ser afetadas por uma colocação em vigilância de um nível superior ao estado de vigilância atual (etapa 415). De acordo com o exemplo dado precedentemente, esta etapa visa aqui determinar p valor da variável de estado PIN_OK.

[0088] Se o valor da variável de estado utilizada indica que funções internas protegidas não são suscetíveis de ser afetadas por uma colocação em vigilância de um nível superior ao estado de vigilância atual, o comando de colocação em vigilância recebido é executado (etapa 410).

[0089] Ao contrário, se o valor da variável de estado utilizada indica que funções internas protegidas são suscetíveis de ser afetadas por uma colocação em vigilância de um nível superior ao estado de vigilância atual, um outro teste é efetuado para determinar se o nível de vigilância demandado afeta a execução de uma função interna protegida (etapa 420), por exemplo se o estado de vigilância demandado tem por objeto inibir a função de contagem ou a função timer (se elas são diferentes). Na afirmativa, as duas últimas etapas (etapas 415 e 420) são repetidas para diferir a execução do comando de colocação em vigilância detectada.

[0090] Em variante, a interrupção gerada pela função timer pode ser utilizada para disparar uma função, de preferência lógica, de atualização da variável de estado PIN_OK, esta função de atualização compreendendo uma função de gestão de vigilância. Assim, se um comando de colocação em vigilância foi previamente detectado, ou seja, se uma vigilância está em espera, o cartão com microcircuitos é colocado em vigilância durante esta interrupção, em seguida à atualização da variável de estado PIN_OK.

[0091] Ao contrário, se o nível de vigilância demandado não afeta a execução de uma função interna protegida, o comando de colocação em vigilância detectado é executado (etapa 410).

[0092] O valor da variável de estado utilizada pode ser memorizado em uma memória volátil ou não volátil de acordo com os níveis de vigilância dos cartões com microcircuitos de tal sorte que este valor seja acessível no estado de vigilância o mais elevado de acordo com o qual uma função interna protegida pode ser executada. É observado aqui que pode ser possível modificar o estado de vigilância (passar para um estado de vigilância de um nível inferior) para mudar o valor de uma variável de estado.

[0093] De acordo com um modo de realização particular, a execução dos comandos de colocação em vigilância pode ser controlada pelas funções internas protegidas que gerem as variáveis de estado relativas a estas últimas ou pelas aplicações protegidas que recorrem a estas funções internas protegidas. De acordo com este modo de realização, as funções internas protegidas ou as aplicações protegidas, após ter recebido uma indicação de acordo com a qual um comando de colocação em vigilância foi detectado, indicam ao módulo de gestão de colocação em vigilância o instante no qual os comandos de colocação em vigilância podem ser executados.

[0094] De acordo com um outro modo de realização, uma função interna protegida embarcada em um cartão com microcircuitos é relativa a uma função de gestão da memória do cartão. Pode notadamente se tratar de uma função chamada «wear leveling».

[0095] É lembrado aqui que as memórias utilizadas nos cartões com microcircuitos compreendem geralmente memórias de tipo EEPROM (sigla de Electrically-Erasable Programmable Read-Only Memory em terminologia anglo- saxônica) que têm tipicamente um número limite de ciclos de escritas, por exemplo 20 ou 100 milhões de escritas. Ora, algumas zonas de memórias são geralmente acessadas, em escrita, mais frequentemente que outras. Assim, para evitar uma perempção prematura de um cartão com microcircuitos (ligada à impossibilidade de escrever em algumas zonas de memória), uma função de deslocamento de dados entre zonas de memória é executada a fim de repartir tão uniformemente quanto possível as operações de escritas. Esta função de gestão da memória é comunmente chamada wear leveling.

[0096] Uma tal função interna pode ser condução paralelamente à execução de aplicações chamadas por um usuário, podendo conduzir a uma baixa de desempenho dos cartões com microcircuitos. Elas podem igualmente ser empregadas quando os cartões com microcircuitos são inutilizados. Neste caso, a colocação em vigilância posterior de certos componentes dos cartões com microcircuitos, notadamente componentes encarregados das operações de leitura e de escrita pode conduzir, por exemplo, a perdas de dados. É pois necessário prever um mecanismo de prevenção de perda de dados em caso de colocação em vigilância dos cartões com microcircuitos.

[0097] Este problema é vantajosamente resolvido pela invenção. De acordo com um modo de realização particular, uma primeira indicação é transmitida ao sistema de exploração do cartão de identificação, ou mais geralmente a um módulo de gestão de colocação em vigilância, quando a função de wear leveling é ativada. Da mesma forma, uma segunda indicação é transmitida ao sistema de exploração do cartão de identificação, ou mais geralmente a um módulo de gestão de colocação em vigilância, quando a execução da função de wear leveling é terminada. Assim, conhecendo o estado da função de wear leveling, o sistema de exploração, ou mais geralmente a um módulo de gestão de colocação em vigilância, pode interditar o estado de vigilância total do cartão com microcircuitos quando a função de wear leveling está ativa. Alternativamente, ele pode ser interditado de mudar o estado do cartão com microcircuitos quando a função de wear leveling está ativa. Para este fins, uma variável de estado, por exemplo a variável de estado WL_OK, é colocada em a um primeiro valor quando a função de wear leveling está ativada (par exemplo, WL_OK=1). Esta variável de estado é colocada em um segundo valor quando a execução da função de wear leveling é terminada (por exemplo, WL_OK=0).

[0098] O módulo de gestão de colocação em vigilância é então similar àquele descrito com referência à figura 4, a variável de estado PIN OK sendo substituída pela variável de estado WL_OK. De maneira vantajosa, uma mesma variável de estado, por exemplo VEILLE OK, é utilizada para controlar a execução de funções internas protegidas a fim que comandos de colocação em vigilância sejam, se for o caso, diferidas.

[0099] Como descrito precedentemente, os algoritmos descritos acima, notadamente os algoritmos descritos com referência às figuras 3 e 4, são vantajosamente levados em um cartão com microcircuitos, por exemplo um cartão de identificação de um assinante a uma rede de telefonia móvel tal como um cartão SIM.

[00100] Naturalmente, para satisfazer necessidades específicas, uma pessoa competente no domínio da invenção poderá aplicar modificações na descrição precedente.

Claims

1. Processo de controle de execução de pelo menos uma função interna protegida embarcada em um dispositivo com microcircuitos (150) adaptado para ser utilizado em cooperação com um terminal móvel (100), o processo caracterizado pelo fato de ser conduzido no dito dispositivo com microcircuitos e em que ele compreende as etapas seguintes: receber um dado de autenticação para a execução de uma aplicação protegida embarcada que é embarcada no dispositivo com microcircuitos, o item de dado de autenticação sendo recebido a partir do terminal móvel, e executando a aplicação protegida quando o item de dado de autenticação é válido; detectar (400) um comando de colocação em vigilância o dito dispositivo com microcircuitos, o dito comando de colocação em vigilância sendo detectado a partir de uma informação recebida de um terminal móvel no qual é conectado o dito dispositivo com microcircuitos; analisar (415), pelo dispositivo com microcircuitos, pelo menos uma indicação para determinar se a pelo menos uma função interna protegida, relativa ao acesso à aplicação protegida embarcada, sendo executada, é suscetível de ser afetada pela execução do comando de colocação em vigilância; e adiar a execução (410), pelo dispositivo com microcircuitos, do dito comando de colocação em vigilância, com base na determinação de que a pelo menos uma função interna protegida sendo executada é suscetível de ser afetada pelo comando de colocação em vigilância.

2. Processo de acordo com a reivindicação 1, caracterizado pelo fato de que compreende ainda as etapas seguintes: colocar em um primeiro valor (325) uma variável de estado durante o lançamento da dita pelo menos uma função interna protegida; e colocar em um segundo valor (325) a dita variável de estado quando a execução da dita pelo menos uma função interna protegida é terminada ou quando a dita função interna protegida é reinicializada; a dita etapa de analisar compreende uma etapa de analisar o valor da dita variável de estado.

3. Processo de acordo com a reivindicação 1, caracterizado pelo fato de que a execução do dito comando de colocação em vigilância é controlada pela dita pelo menos uma função interna protegida.

4. Processo de acordo com qualquer uma das reivindicações 1 a 3, caracterizado pelo fato de que compreende ainda uma etapa de comparar (405) um nível de vigilância demandado associado ao dito comando de colocação em vigilância com um estado de vigilância do dito dispositivo com microcircuitos.

5. Processo de acordo com qualquer uma das reivindicações 1 a 4, caracterizado pelo fato de que o dito dispositivo com microcircuitos ou o dito terminal móvel é provido de meios de comunicação sem fio de baixo alcance (130), o dito dispositivo com microcircuito compreendendo uma aplicação protegida embarcada recorrendo aos ditos meios de comunicação sem fio de baixo alcance e à dita função interna protegida, este processo compreendendo ainda as etapas seguintes: receber (315) um dado de autenticação para a execução da dita aplicação protegida, o dito dado de autenticação sendo recebido do dito terminal móvel; comparar (320) o dito dado de autenticação recebido com pelo menos um dado armazenado no dito dispositivo com microcircuitos; se o dito dado de autenticação recebido corresponde ao dito pelo menos um dado armazenado e se a dita aplicação protegida é solicitada, verificar (335) a validade do dito dado de autenticação recebido segundo pelo menos um critério definido dinamicamente no dito dispositivo com microcircuitos; e, se o dito dado de autenticação recebido é válido, executar (340) a dita aplicação protegida.

6. Processo de acordo com a reivindicação 5, caracterizado pelo fato de que a dita função interna protegida é uma função de contagem, o processo compreendendo ainda, se o dito dado de autenticação recebido corresponde ao dito pelo menos um dado armazenado, uma etapa de solicitar (325) à dita função de contagem um retardo de uma duração predeterminada, a dita etapa de verificar compreendendo verificar que o dito retardo não decorreu.

7. Processo de acordo com a reivindicação 6, caracterizado pelo fato de que a dita função de contagem é baseada em um relógio material do dito dispositivo com microcircuitos.

8. Processo de acordo com qualquer uma das reivindicações 5 a 7, caracterizado pelo fato de que compreende ainda as etapas seguintes: receber pelo menos uma informação do dito terminal móvel ao qual é conectado o dito dispositivo com microcircuitos para informar que pelo menos um terminal de acesso sem contato é acessível via os ditos meios de comunicação sem fio de baixo alcance; selecionar (300) pelo menos a dita aplicação protegida embarcada no dito dispositivo com microcircuitos em resposta à dita pelo menos uma informação recebida e transmitir pelo menos uma referência à dita pelo menos aplicação selecionada no dito terminal móvel; e, receber pelo menos um identificador de uma aplicação, o dito identificador correspondendo a uma referência à dita aplicação protegida embarcada.

9. Processo de acordo com a reivindicação 1, caracterizado pelo fato de que o dito dispositivo com microcircuitos é um cartão com microcircuitos.

10. Dispositivo com microcircuitos para controlar a execução de pelo menos uma função interna protegida embarcada no dito dispositivo com microcircuitos (150), o dito dispositivo com microcircuitos sendo adaptado para ser utilizado em cooperação com um terminal móvel (100), o dispositivo caracterizado pelo fato de que compreende um microcontrolador configurado para conduzir as etapas seguintes: receber um dado de autenticação para a execução de uma aplicação protegida embarcada que é embarcada no dispositivo com microcircuitos, o item de dado de autenticação sendo recebido a partir do terminal móvel, e executando a aplicação protegida quando o item de dado de autenticação é válido; detectar (400) um comando de colocação em vigilância do dito dispositivo com microcircuitos, o dito comando de colocação em vigilância sendo detectado a partir de uma informação recebida de um terminal móvel no qual é conectado o dito dispositivo com microcircuitos; analisar (415) pelo menos uma indicação para determinar se a pelo menos uma função interna protegida, relativa ao acesso à aplicação protegida embarcada, sendo executada, é suscetível de ser afetada pela execução do comando de colocação em vigilância; e, adiar a execução (410) do dito comando de colocação em vigilância, com base na determinação de que a pelo menos uma função interna protegida sendo executada é suscetível de ser afetada pelo comando de colocação em vigilância.

11. Dispositivo de acordo com a reivindicação 10, caracterizado pelo fato de que compreende ainda pelo menos uma memória configurada para memorizar pelo menos um dado relativo à dita pelo menos uma função interna protegida.

12. Dispositivo de acordo com a reivindicação 11, caracterizado pelo fato de que o dito microcontrolador é ainda configurado para executar um algoritmo de criptografia protegendo o dito pelo menos um dado relativo à dita pelo menos uma função interna protegida.

13. Dispositivo de acordo com qualquer uma das reivindicações 10 a 12, caracterizado pelo fato de que o dito microcontrolador é ainda configurado para executar um algoritmo de proteção material de pelo menos um componente do dito dispositivo.

14. Processo de acordo com a reivindicação 2, caracterizado pelo fato de que compreende adicionalmente uma etapa de comparar um nível de vigilância demandado associado ao dito comando de colocação em vigilância com um estado de vigilância do dito dispositivo com microcircuitos.

15. Processo de acordo com a reivindicação 2, caracterizado pelo fato de que o dito dispositivo com microcircuitos ou o dito terminal móvel é provido de meios de comunicação sem fio de baixo alcance (130), o dito dispositivo com microcircuito compreendendo uma aplicação protegida embarcada configurada para usar os ditos meios de comunicação sem fio de baixo alcance e a dita função interna protegida, este processo compreendendo ainda as etapas seguintes: receber um dado de autenticação para a execução da dita aplicação protegida, o dito dado de autenticação sendo recebido do dito terminal móvel; comparar o dito dado de autenticação recebido com pelo menos um dado armazenado no dito dispositivo com microcircuitos; se o dito dado de autenticação recebido corresponde ao dito pelo menos um dado armazenado e se a dita aplicação protegida é solicitada, verificar a validade do dito dado de autenticação recebido segundo pelo menos um critério definido dinamicamente no dito dispositivo com microcircuitos; e, se o dito dado de autenticação recebido é válido, executar a dita aplicação protegida.

16. Processo de acordo com a reivindicação 6, caracterizado pelo fato de que compreende ainda as etapas seguintes: receber pelo menos uma informação do dito terminal móvel ao qual é conectado o dito dispositivo com microcircuitos para informar que pelo menos um terminal de acesso sem contato é acessível via os ditos meios de comunicação sem fio de baixo alcance; selecionar pelo menos a dita aplicação protegida embarcada no dito dispositivo com microcircuitos em resposta à dita pelo menos uma informação recebida e transmitir pelo menos uma referência à dita pelo menos aplicação selecionada no dito terminal móvel; e, receber pelo menos um identificador de uma aplicação, o dito identificador correspondendo a uma referência à dita aplicação protegida embarcada.