[go: up one dir, main page]
More Web Proxy on the site http://driver.im/

WO2009080999A2 - Procede d'authentification d'un utilisateur - Google Patents

Procede d'authentification d'un utilisateur Download PDF

Info

Publication number
WO2009080999A2
WO2009080999A2 PCT/FR2008/052280 FR2008052280W WO2009080999A2 WO 2009080999 A2 WO2009080999 A2 WO 2009080999A2 FR 2008052280 W FR2008052280 W FR 2008052280W WO 2009080999 A2 WO2009080999 A2 WO 2009080999A2
Authority
WO
WIPO (PCT)
Prior art keywords
user
browser
server
telephone
authentication
Prior art date
Application number
PCT/FR2008/052280
Other languages
English (en)
Other versions
WO2009080999A3 (fr
Inventor
Alain Leclercq
Yves Arnail
Bernard Delbourg
Original Assignee
Mediscs (Societe Par Actions Simplifiee)
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Priority claimed from FR0759714A external-priority patent/FR2958826A1/fr
Application filed by Mediscs (Societe Par Actions Simplifiee) filed Critical Mediscs (Societe Par Actions Simplifiee)
Priority to US12/746,388 priority Critical patent/US20100257366A1/en
Priority to EP08864309A priority patent/EP2220812A2/fr
Publication of WO2009080999A2 publication Critical patent/WO2009080999A2/fr
Publication of WO2009080999A3 publication Critical patent/WO2009080999A3/fr

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G06F21/34—User authentication involving the use of external additional devices, e.g. dongles or smart cards
    • G06F21/35—User authentication involving the use of external additional devices, e.g. dongles or smart cards communicating wirelessly
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G06F21/42—User authentication using separate channels for security data
    • G06F21/43—User authentication using separate channels for security data wireless channels
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0853—Network architectures or network communication protocols for network security for authentication of entities using an additional device, e.g. smartcard, SIM or a different communication terminal
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/12—Applying verification of the received information
    • H04L63/126—Applying verification of the received information the source of the received data
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/18—Network architectures or network communication protocols for network security using different networks or channels, e.g. using out of band channels
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H04W12/069—Authentication using certificates or pre-shared keys
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H04L63/0442—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload wherein the sending and receiving network entities apply asymmetric encryption, i.e. different keys for encryption and decryption

Definitions

  • the present invention is in the field of authentication of a user from a terminal, in particular from a cellular telephone.
  • the invention more particularly relates to a method of strong authentication of a user from a cell phone type terminal.
  • the present invention will find a very particular application in the context of the application for remote access and secured by a user from a mobile phone to a service hosted on a server, in particular through a portal viewed through a browser.
  • WAP Wireless Application Protocol
  • WAP is a communication network whose purpose is to allow access to the Internet using a mobile terminal, such as cell phone, PDA or the like.
  • the remote and secure access to a service is through a browser, displaying an access portal that the user views.
  • the secure aspect of this access requires the authentication of said user.
  • Two techniques are generally adopted to verify with certainty the identity of the person wishing to connect to said service.
  • a message can be sent on his phone through the short message service (or sms for "short service message").
  • This message contains connection information, including a code valid for one or more accesses.
  • the user enters the access code during an identification request at the time of his connection to the service and a session is then opened.
  • Such a code can be used in a unique or repeated manner.
  • a disadvantage is the total lack of security in the sms service. No protection is envisaged, leaving a third party free to intercept the code when it is transmitted or received.
  • TOKEN a generation of numbers synchronized with an authentication device.
  • an access key is generated and sent to the phone.
  • Time synchronization is performed before or at the time of the connection attempt.
  • the key is then exchanged with the remote service during an identification phase, manual or automatic. This key is only valid for a single use.
  • an exemplary protocol is described in WO 01/17310.
  • a user wishing to access a remote service connects to a portal through a computer via a browser. It identifies itself through a procedure for entering a login and / or a password.
  • a request is then sent to the remote server which identifies the telephone number corresponding to said user and sends, on the one hand, an authentication request to the browser integrating a first token and, on the other hand, a message to the telephone including a second token.
  • the user then enters the first token on his phone and sends back to the server a message automatically integrating the second token.
  • the server authenticates said user and gives him access to said service.
  • a first disadvantage lies in the multiplication of requests sent, increasing the underlying procedures and related costs. In particular, the user must once again identify himself beforehand to set up the authentication procedure.
  • WTLS secure protocols of each of these networks
  • SSL SSL
  • the object of the invention is to overcome the drawbacks of the state of the art by proposing to authenticate in a certain and strong way the user from his mobile phone.
  • the protocol according to the invention simplifies the then strong authentication process of said user. In addition, it allows the electronic signature of document type data, electronic mail or the like.
  • the subject of the present invention is a method of authenticating a user from a cellular telephone mobile terminal, in which:
  • said user visualizes, through a browser, a portal for accessing a service hosted on a server;
  • said user requests his authentication through the browser via said portal;
  • said portal initiates a pre-session so as to display through said browser, temporary access data independent of said user;
  • said telephone automatically sends a request to said server, including at least one authentication certificate specific to the user and said visualized data;
  • said request is encrypted using the public key of a certificate of said server and, in case of authentication of the user, access to the service is authorized through a secure session in the browser. According to other characteristics, after authentication of said user, said browser automatically displays said secure session.
  • each document to be signed is listed and said list is transmitted to said telephone; said telephone retrieves from said server all or part of the documents to be signed; and thanks to the key of one of the certificates it contains, said telephone electronically signs the documents chosen by the user and sends these signatures to said server.
  • said browser executes a separate computer terminal.
  • Such an authentication protocol offers a profoundly different alternative in that the user wishing to access a remote service via a portal viewed on a browser, has no need to identify himself on the browser. Indeed, the invention sends identification data to the browser regardless of the identity of the user. The latter will be automatically confirmed during the authentication by the phone.
  • Another advantage lies in the fact that the invention allows both the identification and authentication of the user from a single terminal, including a telephone, while limiting the number of connection and sends a request, considerably reducing the security risks.
  • the present invention allows the strong authentication of a user 1 wishing to connect securely to a remote service by means of a mobile terminal 2, in particular cell phone type 2, while the use of the remote service itself is made through a browser, in particular executed by means of another computer terminal 3, for example a computer.
  • said service is hosted on a server 4, more particularly on a web server connected to an Internet-type computer network.
  • This service is accessible online through a portal.
  • said portal is displayed on any type of terminal through a browser.
  • This terminal can be said computer 3 connected to said Internet network but also another fixed or mobile terminal.
  • the user 1 displays the data transmitted from the server 4 to the browser.
  • User 1 thus visualizes the access portal to said service. Through its navigation, it performs an authentication request via said portal, in particular through a dedicated web page for this purpose.
  • said portal initiates a pre-session. This last is unique and dynamically created with temporary access data.
  • Each request from a user 1 therefore corresponds to a single pre-session with unique access data, specific to each request.
  • said data is transferred from said server 4 through a first step I.
  • the connection between the computer 3 and said server 4 can then be secured.
  • This data may be in the form of an identifier 5, in particular one or more access codes or the like. They are displayed on the browser so that the user 1 displays them (step II).
  • the portal does not take into account the identity of the user 1: it automatically issues an identifier 5 without identifying the person wishing to access the service .
  • step III the user 1 entered on his phone 2 said data, in particular the identifier 5, in particular through an application dedicated to said service and included at said telephone 2.
  • each dedicated application contains the connection data of each service to which it is linked, for example the addresses (URL or the like) of said server 4.
  • This application can advantageously be coded in JAVA language, portable and compatible with many platforms heterogeneous.
  • This request 6 includes at least one authentication certificate 7 specific to the user 1.
  • the query 6 is encrypted with the public key contained in the certificate 8 of said server 4. The latter is known through said dedicated application.
  • the certificate 7 of the user 1 is also contained in said telephone 2 or through a complementary terminal.
  • said certificate 7 of the user 1 can be contained on the SIM card of the telephone 2 or on a cryptographic chip.
  • the request 6 can also include the data previously viewed and entered on the telephone 2, in particular the identifier 5. This data can also be used for encrypting the request 6, using the key of said server 4.
  • said server 4 Upon receipt of the request 6, said server 4 verifies the certificate 7. In case of authentication of the user 1, access to the service is authorized through a secure session. The latter can then be displayed automatically on said browser, as visible on step V.
  • the authentication of the user 1 by the server 4 may also include a step of approval of this authentication by the browser. This approval can be made by the user who confirms that the open session corresponds to his or her personal identity.
  • This approval can also take place via said telephone 2, in particular by information transmitted back from the request 6.
  • the communication protocol used for the transmission of said request 6 to the server 4 may include feedback information. , in particular to confirm the status of the transmission and if the request 6 is This means that, within this information, additional identification data can be transmitted back to the telephone 2. The user can then enter it through the browser to validate the secure session.
  • User 1 can then navigate as he sees fit on the access portal, certain to be connected to the real service.
  • the service is certain that the connected user 1 is the right one.
  • the user 1 can operate the electronic signature of documents contained via said portal on said server 4. For example, the user 1 can access an electronic mail and decide to send emails signed electronically.
  • said user 1 displays at least one document to be signed through the session displayed by said browser.
  • the electronic signature of this user 1 being contained on said telephone 2, each document to be signed is listed and said list is transmitted to said telephone 2.
  • said telephone 2 sends to said server 4 the certificates and electronic signature necessary for the signature of each document.
  • the authentication method according to the invention thus provides increased security during a remote connection to a service, through a cellular phone 2 and via a browser on a separate terminal, including a computer 3.
  • the invention is also based on a combination of the identification and authentication phases on said telephone 2, thus ensuring increased security.
  • the remote electronic signature via the cell phone 2 is made possible.
  • the advantage of the present invention lies in the strong authentication aspect and the high level of security offered through the interoperability between the mobile communication network and the Internet, without leaving any security flaw.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Signal Processing (AREA)
  • Theoretical Computer Science (AREA)
  • Computing Systems (AREA)
  • Software Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Telephonic Communication Services (AREA)
  • Mobile Radio Communication Systems (AREA)

Abstract

L'invention concerne un procédé d'authentification d'un utilisateur (1) à partir d'un terminal mobile de type téléphone cellulaire (2), dans lequelledit utilisateur (1) visualise au travers d'un navigateur un portail d'accès à un servicehébergé sur un serveur (4); ledit utilisateur (1) demande son authentification au travers du navigateur via ledit portail; ledit portail initie une présession de manière à afficher au travers dudit navigateur, des données (5) temporaires l'accèsindépendantes dudit utilisateur (1); ledit utilisateur (1) saisie sur son téléphone (2) les données visualisées; ledit téléphone (2) envoie automatiquement une requête (6) audit serveur (4), incluant au moins un certificat d'authentification (7) propre à l'utilisateur (1) et lesdites données visualisées (5); ladite requête (6) est chiffrée à l'aide de la clef publique d'un certificat (8) dudit serveur (4) et, en cas d'authentification de l'utilisateur (1), l'accès au service est autorisé au travers d'une session sécurisée dans le navigateur.

Description

PROCEDE D' AUTHENTIFICATION D'UN UTILISATEUR
La présente invention entre dans le domaine de l'authentification d'un utilisateur depuis un terminal, en particulier depuis un téléphone cellulaire .
L'invention concerne plus particulièrement un procédé d' authentification forte d'un utilisateur depuis un terminal de type téléphone cellulaire .
La présente invention trouvera une application toute particulière dans le cadre de la demande d' accès distant et sécurisé par un utilisateur depuis un téléphone portable à un service hébergé sur un serveur, notamment au travers d'un portail visualisé au travers d'un navigateur.
Elle s'inscrit dans le cadre d'une connexion par le biais d'un réseau informatique et de télécommunication de type Internet, notamment au travers du « WAP » (pour « Wireless Application Protocole ») . Le WAP est un réseau de communication dont le but est de permettre d'accéder à Internet à l'aide d'un terminal mobile , de type téléphone cellulaire , PDA ou analogue .
De manière connue, l'accès distant et sécurisé à un service s'effectue au travers d'un navigateur, affichant un portail d'accès que l'utilisateur visualise. L'aspect sécurisé de cet accès nécessite l'authentification dudit utilisateur. Deux techniques sont généralement adoptées pour vérifier de manière certaine l'identité de la personne désireuse de se connecter audit service .
D'une part, sur demande de l'utilisateur, un message peut être envoyé sur son téléphone au travers du service de messages courts (ou sms pour « short service message ») . Ce message contient des informations de connexion, notamment un code valide pour un ou plusieurs accès . En possession dudit code d'accès, l'utilisateur saisit ce dernier lors d'une demande d' identification au moment de sa connexion au service et une session est alors ouverte. Un tel code peut être utilisé de manière unique ou répétée .
Un inconvénient réside dans l'absence totale de sécurité au niveau du service sms. Aucune protection n'est envisagée laissant toute liberté à un tiers pour intercepter le code lors de sa transmission ou de sa réception.
Une autre solution repose sur le principe « TOKEN », à savoir une génération de nombres synchronisés avec un dispositif d' authentification. Toujours sur demande dudit utilisateur, une clef d' accès est générée et envoyées sur le téléphone . Une synchronisation horaire est effectuée avant ou au moment de la tentative de connexion. La clef est alors échangée avec le service distant lors d'une phase d'identification, manuelle ou automatique. Cette clef est seulement valable pour un usage unique .
Dans ce cadre, un exemple de protocole est décrit dans le document WO 01/17310. Un utilisateur désireux d'accéder à un service distant se connecte à un portail au travers d'un ordinateur via un navigateur. Il s'identifie au travers d'une procédure de saisie d'un login et/ou d'un mot de passe. Une requête est alors envoyée au serveur distant qui identifie le numéro de téléphone correspondant audit utilisateur et envoie, d'une part, une requête d' authentification vers le navigateur intégrant un premier token et, d'autre part, un message vers le téléphone incluant un second token. L'utilisateur saisie alors le premier token sur son téléphone et renvoie vers le serveur un message intégrant automatiquement le second token. Par comparaison, le serveur authentifie ledit utilisateur et lui donne accès audit service . Un premier inconvénient réside dans la multiplication des requêtes envoyées, augmentant les procédures sous jacentes et coûts y relatifs. En particulier, l'utilisateur doit encore une fois s'identifier au préalable pour la mise en place de la procédure d' authentification .
Dans le cadre de la technologie de « TOKEN », on connait aussi le protocole OTP pour « One Time Pad », aussi appelé « masque jetable », utilisant une liste de mots de passe dynamiques à usage unique. Les listes d'OTP sont partagées par les deux protagonistes de la connexion sécurisée à établir . Les codes sont consommés dans l'ordre prévu. À chaque émission d'un mot de passe d'une liste A, il est vérifié puis rayé dans une liste B.
Quoi qu'il en soit, la transmission de données s'effectue généralement au travers du réseau WAP vers Internet. Un problème réside dans le fait que les protocoles sécurisés de l'un et l'autre de ces réseaux sont différents : WTLS et SSL. La passerelle est alors obligée de décrypter les données en WTLS pour les chiffrer de nouveau sous SSL .
De plus, il n'existe aucun moyen de s'assurer que la connexion s'effectue sur le serveur original, laissant ouverte la possibilité de tromper l'utilisateur au travers d'un serveur factice .
D'autres solutions sont envisagées, mais n'apportent pas entière satisfaction. En effet, l'utilisateur est toujours obligé de s'identifier en envoyant une demande d'accès, au travers d'une clef ou d'un code de connexion avant de pouvoir accéder audit service .
De plus, aucune solution ne permet la signature électronique de document après authentification . L'invention a pour but de pallier les inconvénients de l'état de la technique en proposant d' authentifier de manière certaine et forte l'utilisateur depuis son téléphone portable.
Outre le niveau élevé de sécurité, le protocole selon l'invention simplifie la démarche d' authentification alors forte dudit utilisateur. De plus, elle autorise la signature électronique de données de type document, courrier électronique ou analogue .
Pour ce faire, la présente invention a pour objet un procédé d' authentification d'un utilisateur à partir d'un terminal mobile de type téléphone cellulaire, dans lequel :
ledit utilisateur visualise au travers d'un navigateur un portail d'accès à un service hébergé sur un serveur ;
- ledit utilisateur demande son authentification au travers du navigateur via ledit portail ;
ledit portail initie une présession de manière à afficher au travers dudit navigateur, des données temporaires d'accès indépendante dudit utilisateur ;
- ledit utilisateur saisie sur son téléphone les données visualisées ;
ledit téléphone envoie automatiquement une requête audit serveur, incluant au moins un certificat d' authentification propre à l'utilisateur et lesdites données visualisées ;
ladite requête est chiffrée à l'aide de la clef publique d'un certificat dudit serveur et, en cas d' authentification de l'utilisateur, l'accès au service est autorisé au travers d'une session sécurisée dans le navigateur. Selon d'autres caractéristiques, après authentification dudit utilisateur, ledit navigateur affiche automatiquement ladite session sécurisée.
Avantageusement, au travers de la session affichée par ledit navigateur, est visualisé par l'utilisateur au moins un document à signer ; chaque document à signer est listé et ladite liste est transmise vers ledit téléphone ; ledit téléphone récupère dudit serveur tout ou partie des documents à signer ; et grâce à la clef d'un des certificats qu'il contient, ledit téléphone signe électroniquement les documents choisis par l'utilisateur et renvoie ces signatures vers ledit serveur .
De plus, ledit navigateur s'exécute un terminal distinct de type ordinateur .
Un tel protocole d' authentification offre une alternative profondément différente en ce que l'utilisateur souhaitant accéder à un service distant via un portail visualisé sur un navigateur, n'a aucunement besoin de s'identifier sur le navigateur. En effet, l'invention envoie des données d' identification vers le navigateur sans tenir compte de l'identité de l'utilisateur. Cette dernière sera automatiquement confirmée lors de l' authentification par le téléphone .
Par conséquent, un autre avantage réside dans le fait l'invention permet à la fois l'identification et 1' authentification de l'utilisateur à partir d'un seul terminal, notamment un téléphone, tout en limitant le nombre de connexion et d' envoie de requête, diminuant considérablement les risques de sécurités .
D'autres caractéristiques et avantages de l'invention ressortiront de la description détaillée qui va suivre des modes de réalisation non limitatifs de l'invention, en référence à la figure annexée, représentant schématiquement l'architecture et le déroulement des étapes d'un mode de réalisation dudit protocole d'authentification.
La présente invention permet l' authentification forte d'un utilisateur 1 désireux de se connecter de manière sécurisée à un service distant au moyen d'un terminal mobile 2, notamment du type téléphone cellulaire 2, alors que l'utilisation du service distant proprement dit est faite au travers d'un navigateur, notamment exécuté au moyen d'un autre terminal informatique 3 , par exemple un ordinateur .
Il convient de bien différencier, d'une part, le terminal informatique 3 au travers duquel l'utilisateur 1 accède audit service et navigue et, d'autre part, le téléphone cellulaire 2 depuis lequel il est authentifié, ledit ordinateur 3 et ledit téléphone 2 étant distincts .
Par ailleurs, on notera que ledit service est hébergé sur un serveur 4 , plus particulièrement sur un serveur de type web connecté à un réseau informatique de type Internet. Ce service est accessible en ligne au travers d'un portail.
De manière connue, ledit portail est affiché sur tout type de terminal au travers d'un navigateur. Ce terminal peut être ledit ordinateur 3 connecté audit réseau Internet mais aussi un autre terminal fixe ou mobile. Ainsi, l'utilisateur 1 visualise les données transmises depuis le serveur 4 vers le navigateur .
L'utilisateur 1 visualise donc le portail d'accès audit service. Au travers de sa navigation, il effectue une demande d'authentification via ledit portail, notamment au travers d'une page web dédiée à cet effet.
Dès lors, ledit portail initie une présession. Cette dernière est unique et créée dynamiquement avec des données temporaires d'accès. A chaque demande d'un utilisateur 1 correspond donc une unique présession avec des données d'accès uniques, propres à chaque demande .
Comme visible sur la figure, lesdites données sont transférées depuis ledit serveur 4 au travers d'une première étape I. La connexion entre l'ordinateur 3 et ledit serveur 4 peut alors être sécurisée .
Ces données peuvent se présenter sous la forme d' un identifiant 5, notamment un ou plusieurs codes d'accès ou analogue. Elles sont affichées sur le navigateur afin que l'utilisateur 1 les visualise (étape II) .
On notera que ces données temporaires sont indépendantes dudit utilisateur 1. En d' autres termes , le portail ne tient aucunement compte de l'identité de l'utilisateur 1 : il émet automatiquement un identifiant 5 sans identifier la personne désireuse d'accéder au service.
Une fois visualisées, au cours de l'étape III, l'utilisateur 1 saisie sur son téléphone 2 lesdites données, en particulier l'identifiant 5, notamment au travers d'une application dédiée audit service et incluse au niveau dudit téléphone 2.
A ce titre, chaque application dédiée contient les données de connexion de chaque service auquel elle est liée, par exemple les adresses (URL ou analogue) dudit serveur 4. Cette application peut avantageusement être codée en langage JAVA, portable et compatible avec des nombreuses plateformes hétérogènes .
Ensuite, ledit téléphone 2 envoie automatiquement une requête 6 audit serveur 4, étape IV. Cette requête 6 inclut au moins un certificat d' authentification 7 propre à l'utilisateur 1. La requête 6 est cryptée avec la clef publique contenue dans le certificat 8 dudit serveur 4. Ce dernier est connu au travers de ladite application dédiée. Le certificat 7 de l'utilisateur 1 est également contenu dans ledit téléphone 2 ou au travers d'un terminal complémentaire. Par exemple, ledit certificat 7 de l'utilisateur 1 peut être contenu sur la carte SIM du téléphone 2 ou sur une puce cryptographique .
La requête 6 peut aussi inclure les données précédemment visualisées et saisies sur le téléphone 2 , en particulier l'identifiant 5. Ces données peuvent aussi servir au cryptage de la requête 6, à l'aide de la clef dudit serveur 4.
Dès lors, seul ledit serveur 4, possédant la clef privée de son propre certificat 7, est à même de décrypter la requête 6 qu'il reçoit.
A réception de la requête 6 , ledit serveur 4 vérifie le certificat 7. En cas d' authentification de l'utilisateur 1, l'accès au service est autorisé au travers d'une session sécurisée. Cette dernière peut alors être affichée automatiquement sur ledit navigateur, comme visible sur l'étape V.
On notera que l' authentification de l'utilisateur 1 par le serveur 4 peut aussi comprendre une étape d' approbation de cette authentification par le navigateur. C'est approbation peut s'effectuer par l'utilisateur qui confirme que la session ouverte correspond bien à son identité personnelle .
Cette approbation peut aussi avoir lieu au travers dudit téléphone 2 , notamment par des informations transmises en retour de la requête 6. En effet, le protocole de communication utilisé pour la transmission de ladite requête 6 vers le serveur 4 , peut inclure des informations en retour , notamment pour confirmer l'état de la transmission et si la requête 6 est bien parvenue audit serveur 4. Dès lors , au sein de ces informations , des données d' identification supplémentaire peuvent être transmise en retour au téléphone 2. L'utilisateur pourra alors les saisir au travers dudit navigateur afin de valider la session sécurisée.
L'utilisateur 1 peut dès lors naviguer comme bon lui semble sur le portail d'accès, certain d'être connecté au véritable service. De l'autre côté, le service est certain que l'utilisateur 1 connecté est le bon.
Au cours de cette navigation, du fait de la présence de certificats, l'utilisateur 1 peut opérer la signature électronique de documents contenus via ledit portail sur ledit serveur 4. Par exemple, l'utilisateur 1 peut accéder à une messagerie électronique et décider d'envoyer des mails signés électroniquement .
Pour ce faire, ledit utilisateur 1 visualise au moins un document à signer au travers de la session affichée par ledit navigateur. La signature électronique de cet utilisateur 1 étant contenue sur ledit téléphone 2 , chaque document à signer est listé et ladite liste est transmise vers ledit téléphone 2. Après réception, ledit téléphone 2 envoie audit serveur 4 les certificats et signature électronique nécessaires à la signature de chaque document.
Le procédé d' authentification selon l'invention offre donc une sécurité accrue au cours d'une connexion distante à un service, au travers d'un téléphone cellulaire 2 et via un navigateur sur un terminal distinct, notamment un ordinateur 3.
L'invention repose aussi sur une combinaison des phases d'identification et d' authentification sur ledit téléphone 2, assurant de ce fait une sécurité accrue . De plus, la signature électronique à distance via le téléphone cellulaire 2 est rendu possible.
L'avantage de la présente invention réside dans l'aspect fort d'authentification et du niveau de sécurité élevé offert au travers de l'interopérabilité entre le réseau de communication mobile et le réseau Internet, sans laisser de faille de sécurité .
Bien entendu, l'invention n'est pas limitée aux exemples illustrés et décrits précédemment qui peuvent présenter des variantes et modifications sans pour autant sortir du cadre de 1 ' invention .

Claims

REVENDICATIONS
1. Procédé d' authentification d'un utilisateur (1) à partir d'un terminal mobile de type téléphone cellulaire (2), dans lequel :
- ledit utilisateur (1) visualise au travers d'un navigateur un portail d'accès à un service hébergé sur un serveur (4) ;
- ledit utilisateur (1) demande son authentification au travers du navigateur via ledit portail ;
- ledit portail initie une présession de manière à afficher au travers dudit navigateur, des données (5) temporaires d'accès indépendantes dudit utilisateur (1) ;
- ledit utilisateur (1) saisie sur son téléphone (2) les données visualisées ;
- ledit téléphone (2) envoie automatiquement une requête (6) audit serveur (4) , incluant au moins un certificat d' authentification (7) propre à l'utilisateur (1) et lesdites données visualisées (5) ;
- ladite requête (6) est chiffrée à l'aide de la clef publique d'un certificat (8) dudit serveur (4) et, en cas d' authentification de l'utilisateur (1), l'accès au service est autorisé au travers d'une session sécurisée dans le navigateur.
2. Procédé selon la revendication 1 , caractérisé en ce qu'après authentification dudit utilisateur (1), ledit navigateur affiche automatiquement ladite session sécurisée.
3. Procédé selon la revendication 2 , caractérisé en ce que : - au travers de la session affichée par ledit navigateur, est visualisé par l'utilisateur (1) au moins un document à signer ;
- chaque document à signer est listé et ladite liste est transmise vers ledit téléphone (2) ;
- ledit téléphone (2) récupère dudit serveur (4) tout ou partie des documents à signer ; et
- grâce à la clef d'un des certificats qu'il contient, ledit téléphone (2) signe électroniquement les documents choisis par l'utilisateur (1) et renvoie ces signatures vers ledit serveur (4) .
4. Procédé selon l'une quelconque des revendications précédentes, caractérisé en ce que ledit navigateur s'exécute sur un terminal distinct de type ordinateur (3) .
PCT/FR2008/052280 2007-12-11 2008-12-11 Procede d'authentification d'un utilisateur WO2009080999A2 (fr)

Priority Applications (2)

Application Number Priority Date Filing Date Title
US12/746,388 US20100257366A1 (en) 2007-12-11 2008-12-11 Method of authenticating a user
EP08864309A EP2220812A2 (fr) 2007-12-11 2008-12-11 Procedé d'authentification d'un utilisateur

Applications Claiming Priority (4)

Application Number Priority Date Filing Date Title
FR0759714 2007-12-11
FR0759714A FR2958826A1 (fr) 2007-12-11 2007-12-11 Procede d'authentification d'un utilisateur.
FR0850367A FR2958821A1 (fr) 2007-12-11 2008-01-21 Procede d'authentification d'un utilisateur
FR0850367 2008-01-21

Publications (2)

Publication Number Publication Date
WO2009080999A2 true WO2009080999A2 (fr) 2009-07-02
WO2009080999A3 WO2009080999A3 (fr) 2009-08-20

Family

ID=40756506

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/FR2008/052280 WO2009080999A2 (fr) 2007-12-11 2008-12-11 Procede d'authentification d'un utilisateur

Country Status (4)

Country Link
US (1) US20100257366A1 (fr)
EP (1) EP2220812A2 (fr)
FR (1) FR2958821A1 (fr)
WO (1) WO2009080999A2 (fr)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2014087179A1 (fr) * 2012-12-07 2014-06-12 Microsec Szamitastechnikai Fejlesztö Zrt. Procédé et système pour authentifier un utilisateur à l'aide d'un dispositif mobile et au moyen de certificats
US11683325B2 (en) 2020-08-11 2023-06-20 Capital One Services, Llc Systems and methods for verified messaging via short-range transceiver

Families Citing this family (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8627422B2 (en) * 2010-11-06 2014-01-07 Qualcomm Incorporated Authentication in secure user plane location (SUPL) systems
GB2481663B (en) * 2010-11-25 2012-06-13 Richard H Harris Handling encoded information
US8738027B2 (en) 2011-02-07 2014-05-27 Qualcomm Incorporated Methods and apparatus for identifying and authorizing location servers and location services
US10009319B2 (en) 2011-02-07 2018-06-26 Qualcomm Incorporated Methods, apparatuses and articles for identifying and authorizing location servers and location services using a proxy location server
US8935777B2 (en) * 2012-02-17 2015-01-13 Ebay Inc. Login using QR code
FI20135275A (fi) * 2013-03-22 2014-09-23 Meontrust Oy Tapahtumien auktorisointimenetelmä ja -järjestelmä

Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20030097444A1 (en) * 2001-11-08 2003-05-22 Santanu Dutta Method and apparatus for authorizing internet transactions using the public land mobile network (PLMN)

Family Cites Families (18)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5884158A (en) * 1996-10-15 1999-03-16 Pitney Bowes Inc. Cellular telephone authentication system using a digital certificate
JP3905961B2 (ja) * 1997-11-11 2007-04-18 インターナショナル・ビジネス・マシーンズ・コーポレーション 臨時署名認証の方法及びそのシステム
WO2001017310A1 (fr) * 1999-08-31 2001-03-08 Telefonaktiebolaget L M Ericsson (Publ) Système de sécurité gsm pour réseaux de données en paquet
US6834112B1 (en) * 2000-04-21 2004-12-21 Intel Corporation Secure distribution of private keys to multiple clients
US7207060B2 (en) * 2001-10-18 2007-04-17 Nokia Corporation Method, system and computer program product for secure ticketing in a communications device
GB2384402B (en) * 2002-01-17 2004-12-22 Toshiba Res Europ Ltd Data transmission links
US7366905B2 (en) * 2002-02-28 2008-04-29 Nokia Corporation Method and system for user generated keys and certificates
CA2552264A1 (fr) * 2003-07-02 2005-01-13 Mobipay International, S.A. Systeme de transactions et de paiements par telephone mobile numerique
US9282455B2 (en) * 2004-10-01 2016-03-08 Intel Corporation System and method for user certificate initiation, distribution, and provisioning in converged WLAN-WWAN interworking networks
JP4555046B2 (ja) * 2004-10-15 2010-09-29 ヒタチグローバルストレージテクノロジーズネザーランドビーブイ データ転送システム及びデータ転送方法
US20060206710A1 (en) * 2005-03-11 2006-09-14 Christian Gehrmann Network assisted terminal to SIM/UICC key establishment
US7661146B2 (en) * 2005-07-01 2010-02-09 Privamed, Inc. Method and system for providing a secure multi-user portable database
CA2616072A1 (fr) * 2005-07-20 2007-01-25 Verimatrix, Inc. Systeme d'authentification d'utilisateur reseau, et procede correspondant
US7958370B2 (en) * 2005-09-29 2011-06-07 Hitachi Global Storage Technologies, Netherlands, B.V. System and device for managing control data
US20100242102A1 (en) * 2006-06-27 2010-09-23 Microsoft Corporation Biometric credential verification framework
US8225096B2 (en) * 2006-10-27 2012-07-17 International Business Machines Corporation System, apparatus, method, and program product for authenticating communication partner using electronic certificate containing personal information
WO2008072211A2 (fr) * 2006-12-14 2008-06-19 Iwics Inc Hiérarchie de gestion de réseau distribué dans un réseau de communications multi-station
US8406428B2 (en) * 2008-12-11 2013-03-26 International Business Machines Corporation Secure method and apparatus to verify personal identity over a network

Patent Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20030097444A1 (en) * 2001-11-08 2003-05-22 Santanu Dutta Method and apparatus for authorizing internet transactions using the public land mobile network (PLMN)

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
MICHIRU TANAKA ET AL: "A Method and Its Usability for User Authentication by Utilizing a Matrix Code Reader on Mobile Phones" INFORMATION SECURITY APPLICATIONS; [LECTURE NOTES IN COMPUTER SCIENCE; LNCS], SPRINGER, vol. 4298, 28 août 2006 (2006-08-28), pages 225-236, XP019077665 ISBN: 978-3-540-71092-9 *
STALLINGS W: "Cryptography and Network Security: Principles and Practice. Second Edition" PRENTICE HALL, 1998, pages 309-311, XP002490389 NJ, US ISBN: 0-13-869017-0 *

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2014087179A1 (fr) * 2012-12-07 2014-06-12 Microsec Szamitastechnikai Fejlesztö Zrt. Procédé et système pour authentifier un utilisateur à l'aide d'un dispositif mobile et au moyen de certificats
US11683325B2 (en) 2020-08-11 2023-06-20 Capital One Services, Llc Systems and methods for verified messaging via short-range transceiver

Also Published As

Publication number Publication date
WO2009080999A3 (fr) 2009-08-20
US20100257366A1 (en) 2010-10-07
EP2220812A2 (fr) 2010-08-25
FR2958821A1 (fr) 2011-10-14

Similar Documents

Publication Publication Date Title
EP2859489B1 (fr) Sécurité d'authentification 2chk améliorée comportant des transactions d'interrogation
EP2220812A2 (fr) Procedé d'authentification d'un utilisateur
EP3391614B1 (fr) Procédé de transmission d'une information numérique
FR3041195A1 (fr) Procede d'acces a un service en ligne au moyen d'un microcircuit securise et de jetons de securite restreignant l'utilisation de ces jetons a leur detenteur legitime
EP1549011A1 (fr) Procédé et système de communication entre un terminal et au moins un équipment communicant
FR2825869A1 (fr) Procede d'authentification entre un objet de telecommunication portable et une borne d'acces public
FR2944667A1 (fr) Procede pour authentifier un terminal mobile client aupres d'un serveur distant
EP2617155B1 (fr) Enregistrement securise a un service fourni par un serveur web
EP2912818B1 (fr) Procede d'authentification mutuelle entre un terminal et un serveur distant par l'intermediaire d'un portail d'un tiers
EP2822285A1 (fr) Appariement de dispositifs au travers de réseaux distincts
EP3219077B1 (fr) Procédé et système de gestion d'identités d'utilisateurs destiné à être mis en oeuvre lors d'une communication entre deux navigateurs web
EP2056565A1 (fr) Procédé d'authentification d'un utilisateur accédant à un serveur distant à partir d'un ordinateur
EP3668047A1 (fr) Procédé d'ouverture d'une session sécurisée sur un terminal informatique
EP1400090B1 (fr) Procede et dispositif de securisation des communications dans un reseau informatique
EP2159763A1 (fr) Système et procédé pour délivrer un bien ou un service à un utilisateur
FR2958826A1 (fr) Procede d'authentification d'un utilisateur.
WO2012022856A1 (fr) Procédé d'authentification d' un utilisateur du réseau internet
WO2024180049A1 (fr) Procede de delivrance d'une autorisation d'acces pour un individu et procede de verification
EP2630746B1 (fr) Procede et systeme d'authentification
EP1992104B1 (fr) Authentification d'un dispositif informatique au niveau utilisateur
WO2007101941A1 (fr) Procede pour l' appairage securise de deux systemes prealablement a leur mise en communication
EP2339775A1 (fr) Procédé et dispositif de chiffrement distribué basé sur un serveur de clés
FR3099974A1 (fr) Procédé de transmission d’une information numérique
FR2855926A1 (fr) PROCEDE D'ACCES A UN RESEAU OU A UN SERVICE EN UTILISANT UN PROTOCOLE DE LA FAMILLE DE PROTOCOLES PPPoX, ET ARCHITECTURE METTANT EN OEUVRE UN TEL PROCEDE
FR3022375A1 (fr) Procede et dispositif de securisation d'un systeme protege par mot de passe

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 08864309

Country of ref document: EP

Kind code of ref document: A2

DPE1 Request for preliminary examination filed after expiration of 19th month from priority date (pct application filed from 20040101)
WWE Wipo information: entry into national phase

Ref document number: 2008864309

Country of ref document: EP

WWE Wipo information: entry into national phase

Ref document number: 12746388

Country of ref document: US

NENP Non-entry into the national phase

Ref country code: DE