RW Conseil Les technologies de la sécurité au service de lutilisateur 1 Introduction aux systèmes à base de cartes multiapplicatives

11février Ordre du jour Un peu dhistoire Caractéristiques dune carte à puce Caractéristiques dune carte multiapplicative Comment gérer les cartes

11février Un peu dhistoire 1/3 La carte à puce est une invention française, brevetée par Roland Moreno en 1974 Linnovation consiste à loger dans lépaisseur dune carte la « puce » dun circuit intégré et un connecteur extra plat permettant de le raccorder facilement à des circuits extérieurs

11février Un peu dhistoire 2/3 Diversification de la simple carte à puce à lobjet portable sécurisé: –Porte-clé –Jeton USB –… Contient un microcontrôleur sans être au format « carte bancaire »

11février Un peu dhistoire 3/3 les succès de la carte à puce –Télécarte: France, Allemagne…puis le monde –SIM (GSM) –Banque (CB, EMV, Moneo) –Adoption par la communauté informatique Sun (Javacard) Microsoft (PC/SC)

11février Caractéristiques de la carte 1/2 Carte à mémoire –La télécarte Carte à microprocesseur –CB, Vitale,… Carte à contact –Insertion de la carte dans un lecteur Carte sans contact –Échange « radio »

11février Caractéristiques de la carte 2/2 Microcontrôleur –Coprocesseur cryptographique ROM –Contient le système dexploitation, les applications « stables » EEPROM –Contient les données applicatives, et les applications « dynamiques » –De quelques centaine doctets à 32ko

11février Intérêts de la carte à puce Portable Sécurisée (protections physiques et logiques des données) Permet de distribuer les systèmes dinformation

11février Exemple: Gestion des prêts inter bibliothèques Un étudiant a la possibilité demprunter au maximum 3 livres dans toutes les bibliothèques de la ville Comment sassurer dans chaque bibliothèque, que cette règle est respectée?

11février Exemple: Gestion des prêts inter bibliothèques – solution 1 Bibliothèque 1Bibliothèque 2 Jean Dupont Livre A, date A Livre B, date B Nécessite un service dinformation commun entre les deux bibliothèques

11février Exemple: Gestion des prêts inter bibliothèques – solution 2 Jean Dupont Livre A, date A Livre B, date B Bibliothèque 1 Jean Dupont Livre A, date A Livre B, date B Livre C, date C Jean emprunte un livre (C) Bibliothèque 2 Jean Dupont Livre A, date A Livre B, date B Livre C, date C Jean se voit refuser tout nouvel emprunt Chaque bibliothèque est autonome

11février Caractéristiques dune carte multiapplicative 1/3 Doté dun système dexploitation garantissant létanchéité entre les applications Architecture et outils de développement «standards» Autorise une gestion dynamique et sécurisée dapplications Javacard et Multos sont les environnements aujourdhui disponibles

11février Caractéristiques dune carte multiapplicative 2/3 JavaCard –Initiée en 1995 par Schlumberger et SUN –Les spécifications sont aujourdhui gérées par SUN –Fortement promue par Visa International –Sous-ensemble de Global Platform (Spécifications dun système de gestion de cartes multiapplicatives –Lutilisation dune JavaCard est libre Multos –Issue du porte-monnaie électronique « Mondex », développé par la NatWest, acquis par Mastercard International –Les spécifications sont gérées par MAOSCO, consortium composé dinstitutions financières (MCI, Europay,Discover) et dindustriels (G&D, Schlumberger, Infineon, Keycorp, …) –Lutilisation dune carte Multos requiert un lien permanent avec MAOSCO (Multos Key Management Authority)

11février Caractéristiques dune carte multiapplicative 3/3 Gestion du code PIN –1 code PIN pour la carte? –1 code PIN par application? –Qui est habilité à débloquer les codes pin? Représentation sur la carte des différents fournisseurs de services? Synchroniser les dates dexpiration des différentes applications?

11février Les « fausses » cartes multiapplicatives Plusieurs applications « tournent » sur la carte, mais: –Elles sont figées –Le développement est verrouillé (par le fournisseur du système) –les outils de développement sont propriétaires Exemple: loffre Monécarte

11février Avantages des cartes multiapplicatives Différencier, en fonction de leur profil, les services offerts aux porteurs Adapter dans le temps les services offerts aux porteurs Permettre à des tiers doffrir de nouveaux services

11février Plus quune carte… Un système dinformation Pourquoi mettre en place un système dinformation dédié? Il est nécessaire de sassurer que la politique de sécurité défini par l émetteur est effectivement respectée.

11février Cycle de vie dune carte Fabrication du module Enablement de la carte Expiration carte Utilisation des appli. Fabrication de la carte Perso. physique Fabrication du chip Suppress. Appli. Chargem t applications et données Clés de transport Enablement Emetteur de carte KMA Droit de chargem t Droit de suppression

11février Rôles et interfaces (Global Platform) « Fabrication » Commande des chips Fournit des chips initialisés Fabricant carte Global Platform Dévelop. OS Fournit les spécifications de la plate- forme Fabricant chip Fournit le code ROM pour masquage Spécifie lapplication Fournit le code applicatif Propriét. Appli. KMA Fabricant Fournit les clés de transport initiales Fournit les spécifications des API Dévelop. Appli. Card Enabler KMA Platform Fournit les clés de transport initiales

11février Rôles et interfaces (Global Platform) « Exploitation » Porteur Fabricant cartes Commande des cartes Livre les cartes Fournit une carte Serveur dappli. Fournit les fichiers dapplications, clés Fournit les détails des chargements et suppressions KMA Appli. Demande des clés dapplication Fournit des clés dapplication Demande le charg t ou la suppr. dune application Charge ou supprime une application Emetteur cartes Fournit cartes, données platform et clés cartes Card Enabler Livre les cartes « enabled » Donne les droits de charg t & suppression sur certaines cartes Demande les droits de charg t & suppression sur certaines cartes Fournis. Appli. Demande les données et clés denablement Fournit les données et clés denablement KMA Platform Demande les données et clés denablement