On entend ici par « support » tout type de carte, qu'il s'agisse d'une carte de paiement, par exemple à bande magnétique ou à circuit intégré, ou d'une carte de santé, ou d'un porte-monnaie électronique, ou encore d'une carte d'accès à une installation protégée, et analogue, dès lors que cette carte est associée à un identifiant primaire, généralement inscrit dessus.

L'identifiant primaire, ainsi que d'autres informations confidentielles, circulent sur un ou plusieurs réseaux, souvent non protégés, et sont de ce fait potentiellement accessibles à des tiers malintentionnés qui peuvent ensuite les réutiliser pour effectuer des transactions à leur profit.

De nombreuses méthodes ont été proposées pour tenter de remédier à cet inconvénient. L'invention vise plus particulièrement l'une de ces méthodes dans laquelle chaque support est associé à un dispositif électronique tel qu'un radiotéléphone localisable, également muni d'un identifiant auxiliaire, de sorte que l'on n'autorise une transaction qu'en cas d'identité entre le lieu de la transaction et la position du radiotéléphone associé au support servant à cette transaction, ou bien lorsque l'utilisateur du radiotéléphone, bien qu'éloigné du lieu de la transaction, donne son autorisation pour effectuer ladite transaction.

Cette méthode, qui est décrite dans la demande de brevet FR 2792143, apporte des solutions à de nombreuses situations, mais elle ne garantit pas toujours que le terminal utilisé par l'acheteur (un terminal d'acheteur ou directement un terminal marchand) n'a pas été déplacé depuis sa dernière localisation spatiale. En effet, comme le sait l'homme de l'art, lors d'une transaction sur Internet le terminal d'acheteur (ou marchand) est identifié par son

adresse, appelée URL. Or, d'une part, cette adresse URL peut tre transférée vers un autre terminal distant et, d'autre part, le terminal d'acheteur (ou marchand) peut tre déplacé. Dans un cas comme dans l'autre, il n'est pas possible de s'en apercevoir.

De plus, cette méthode ne permet pas d'assurer la confidentialité des données qui circulent dans le (s) réseau (x) mal protégés, de type Internet.

Enfin, cette méthode ne permet pas de protéger le propriétaire d'un support et d'un radiotéléphone associé lorsque ceux-ci ont été volés simultanément.

L'invention a donc pour but d'apporter une solution à tout ou partie des inconvénients précités.

Elle propose à cet effet un procédé de sécurisation de transactions dans lequel on prévoit les étapes mentionnées ci-après.

Dans une première étape a) l'acheteur établit une connexion avec un terminal marchand pour effectuer une transaction avec celui-ci, éventuellement via un terminal d'acheteur.

Dans une seconde étape b) l'acheteur sélectionne un ou plusieurs objets et/ou services proposés par le terminal marchand, éventuellement via le terminal d'acheteur. Un montant de transaction est alors associé à cette sélection.

Dans une troisième étape c) l'acheteur utilise son dispositif (par exemple son téléphone portable), qui est associé à sa carte de paiement (ou support) elle mme associée à un identifiant primaire, pour délivrer un identifiant secondaire représentatif de l'identifiant primaire de l'acheteur, et au format de celui-ci. Cet identifiant secondaire est communiqué au terminal marchand avec la sélection, éventuellement via le terminal d'acheteur.

Dans une quatrième étape d) on transmet à un terminal de paiement (appartenant à un centre de paiement tel qu'une banque ou à un tiers de confiance ou encore à un terminal dédié) l'identifiant secondaire, le montant de la transaction et un identifiant de compte marchand désignant un compte marchand associé au terminal marchand.

Et, dans une cinquième étape e) on procède dans le terminal de paiement à la détermination de l'identifiant primaire de l'acheteur à partir de son identifiant secondaire reçu, puis on débite le compte de l'acheteur, désigné par l'identifiant primaire, au profit du compte marchand désigné par l'identifiant marchand, reçu du terminal marchand.

Ainsi, d'une part, l'identifiant primaire de l'acheteur ne circule pas dans le réseau et, d'autre part, un support volé ne peut plus tre utilisé en l'absence du dispositif ; dans certains modes de réalisation, l'accès à la fonction de génération d'identifiant secondaire peut tre géré par un code confidentiel si bien qu'en cas de vol simultané du support et du dispositif aucun identifiant secondaire ne peut tre délivré.

Avantageusement, l'identifiant secondaire délivré peut tre représentatif à la fois de l'identifiant primaire de l'acheteur et d'au moins une (et de préférence au moins deux) information (s) complémentaire (s), telle que, par exemple le montant de la transaction, le jour de la transaction, l'heure de la transaction, la date de validité du support, un identifiant représentatif d'un terminal de paiement associé au support et la position du dispositif, lorsqu'il est au moins localisable.

Lorsque les informations complémentaires sont la date et l'heure de transaction, il est préférable qu'il s'agisse de celles fournies par le terminal marchand pendant l'étape b).

Dans une première variante de réalisation, on génère, à l'étape c), un identifiant secondaire par application à l'identifiant primaire d'une première fonction de transfert, et à l'étape e) on applique à l'identifiant secondaire reçu une seconde fonction de transfert, inverse de la première, pour déterminer l'identifiant primaire désignant le compte d'acheteur. L'identifiant primaire utilisé peut tre soit communiqué au dispositif par l'acheteur (par exemple par saisie), soit extrait d'une mémoire du dispositif.

Dans une seconde variante, on prévoit une étape préliminaire dans laquelle le terminal de paiement transmet à chaque dispositif associé à un support au moins un (et de préférence plusieurs, comme par exemple trois) identifiant (s) tertiaire (s) d'acheteur représentatif (s) de l'identifiant primaire

associé à ce support, de sorte qu'à l'étape c) le dispositif délivre un identifiant secondaire représentatif de l'un des identifiants tertiaires fournis par le terminal de paiement. Dans ce cas, il est particulièrement avantageux, pour des raisons de sécurité, de prévoir une sixième étape f) au cours de laquelle, après chaque utilisation d'un identifiant tertiaire par un dispositif, le terminal de paiement génère un nouvel identifiant tertiaire et transmet celui-ci au dispositif concerné, lorsqu'il est communiquant, pour qu'il remplace l'identifiant tertiaire qu'il vient d'utiliser par le nouvel identifiant tertiaire. De plus, il est préférable de prévoir une table de correspondance entre des identifiants tertiaires et des identifiants primaires de sorte qu'à l'étape e), à réception d'un identifiant secondaire, le terminal de paiement détermine l'identifiant tertiaire représenté par l'identifiant secondaire reçu, puis l'identifiant primaire associé à cet identifiant tertiaire par interrogation de la table de correspondance.

Dans une troisième variante, lorsque l'on utilise des informations complémentaires pour générer l'identifiant secondaire, on peut appliquer tout d'abord une troisième fonction de transfert aux informations complémentaires pour générer une clé, puis transformer l'identifiant primaire ou tertiaire en un identifiant secondaire à l'aide de cette clé. A l'étape e), il faut alors appliquer à l'identifiant secondaire reçu la seconde fonction de transfert, inverse de la première, pour déterminer l'identifiant primaire désignant le compte d'acheteur et ladite clé, puis appliquer à cette clé une quatrième fonction de transfert, inverse de la troisième, pour déterminer les informations complémentaires.

Préférentiellement, avant de débiter le compte d'acheteur désigné par l'identifiant primaire, on compare à l'étape e) les informations complémentaires au montant de transaction et/ou à l'heure de transaction et/ou la date de transaction, fournies par le terminal marchand en complément de l'identifiant secondaire, puis on procède au débit du compte d'acheteur lorsque les informations sont cohérentes (ou se recoupent).

Dans une quatrième variante, lorsque l'on utilise des informations complémentaires pour générer l'identifiant secondaire, on peut appliquer à l'étape c) une troisième fonction de transfert aux informations complémentaires

pour générer une clé, puis transformer l'identifiant primaire ou tertiaire en un identifiant secondaire à l'aide de cette clé. A l'étape e), on applique alors aux informations complémentaires reçues la troisième fonction de transfert de manière à générer une clé, puis on extrait de l'identifiant secondaire reçu sa clé de manière à la comparer à la clé générée, et l'on procède au débit du compte d'acheteur lorsque les clés sont cohérentes.

Bien entendu, l'identifiant tertiaire fourni par un terminal de paiement peut tre directement un identifiant secondaire. Dans ce cas, à réception d'un identifiant secondaire, le terminal de paiement détermine directement l'identifiant primaire associé par interrogation d'une table de correspondance entre des identifiants secondaires et des identifiants primaires.

Selon une autre caractéristique de l'invention, lors de l'étape e), à réception d'un identifiant secondaire, on détermine dans une base de données l'identifiant du dispositif qui est associé au support désigné, puis on établit une connexion entre le terminal de paiement et le dispositif désigné pour lui demander de communiquer sa position, lorsqu'il est communiquant et localisable.

En variante l'identifiant secondaire délivré à l'étape c) peut tre également représentatif de la position du dispositif. Dans ce cas, à réception d'un identifiant secondaire, on détermine à l'étape e), dans la base de données, l'identifiant auxiliaire du dispositif associé au support désigné, puis on établit une connexion entre le terminal de paiement et le dispositif désigné pour lui demander de communiquer sa position, lorsqu'il est communiquant et localisable. Ensuite, on compare la position extraite de l'identifiant secondaire à la position communiquée, et l'on procède au débit du compte d'acheteur en cas d'identité.

Afin de renforcer encore plus la sécurité, on peut également demander au dispositif dont est issu un identifiant secondaire de communiquer une nouvelle fois cet identifiant secondaire, de manière à comparer ces deux identifiants secondaires et ne procéder au débit qu'en cas d'identité.

L'invention propose également une installation de sécurisation permettant de mettre en oeuvre le procédé présenté ci-dessus. Cette installation se caractérise notamment par le fait que :

* chaque dispositif comporte des premiers moyens de transformation capables de délivrer un identifiant secondaire représentatif d'un identifiant primaire, et au format de celui-ci, * elle comprend au moins un terminal de paiement comportant des seconds moyens de transformation capables de déterminer l'identifiant primaire qui est représenté par un identifiant secondaire, et des moyens de saisie permettant à un acheteur de sélectionner des objets et/ou des services proposés par un terminal marchand, associés à un montant de transaction, ainsi qu'à saisir un identifiant secondaire délivré par le dispositif associé à son support, et * chaque terminal marchand est capable de transmettre à un terminal de paiement l'identifiant secondaire saisi, le montant de la transaction et un identifiant de compte marchand désignant un compte marchand associé à ce terminal marchand.

Ainsi, le terminal de paiement peut débiter le compte d'acheteur qui est désigné par l'identifiant primaire, déterminé par ses seconds moyens de transformation, au profit du compte marchand qui est désigné par l'identifiant de compte marchand reçu.

L'invention propose en outre un dispositif destiné à tre utilisé dans l'installation et le procédé présenté ci-avant. Ce dispositif est particulièrement intéressant lorsqu'il est agencé pour ne délivrer un identifiant secondaire qu'en cas de communication d'un code confidentiel par l'acheteur. II peut tre réalisé de manière à assurer la fonction de terminal d'acheteur. De préférence, le dispositif est de type communiquant, en particulier de type radiotéléphone, et encore plus préférentiellement il fonctionne selon un mode choisi dans un groupe comprenant le GSM et l'UMTS. Il peut par ailleurs tre muni d'une carte SIM, qui peut avantageusement stocker l'identifiant primaire.

L'installation, le dispositif et le procédé selon l'invention sont tout particulièrement adaptés aux transactions s'effectuant via un réseau de communication public de type Internet ; les terminaux marchands constituants alors des sites « web ».

D'autres caractéristiques et avantages de l'invention apparaîtront à l'examen de la description détaillée ci-après, et des dessins annexés, sur lesquels : - la figure 1 illustre schématiquement une partie d'une installation selon

l'invention, dans un premier mode de réalisation, -la figure 2 illustre schématiquement un mode de génération d'un identifiant secondaire d'acheteur, -la figure 3 illustre schématiquement une partie d'une installation selon l'invention, dans un second mode de réalisation, et -la figure 4 illustre schématiquement une partie d'une installation selon l'invention, dans un troisième mode de réalisation.

Les dessins annexés sont, pour l'essentiel, de caractère certain. En conséquence, ils pourront non seulement servir à compléter l'invention, mais aussi contribuer à sa définition, le cas échéant.

Dans la description qui suit, on se réfère à une installation permettant à des acheteurs d'effectuer des transactions, à partir de terminaux d'acheteurs 1, avec des terminaux marchands 2, via un réseau tel que le réseau public Internet.

Bien entendu, le réseau pourrait tre d'un autre type, et notamment de type privé, comme par exemple un réseau Intranet. Bien entendu, la transaction pourrait tre initié directement sur un terminal marchand muni de moyens de saisie/sélection.

Par ailleurs, dans ce qui suit, on considère que les terminaux d'acheteurs 1 sont des terminaux fixes, tels que des ordinateurs individuels (ou PC). Mais, il pourrait s'agir de tout autre type de terminal susceptible d'tre raccordé à un réseau pour échanger des informations en vue d'une transaction. Par conséquent, les terminaux d'acheteurs 1 pourraient tre portables, comme c'est le cas par exemple des téléphones portables fonctionnant selon le protocole WAP (pour « Wireless Application Protocol »), ou tout autre type de protocole permettant une connexion à un réseau (comme par exemple le protocole UMTS), ou des ordinateurs individuels portables propres à se connecter à un réseau choisi.

On se réfère tout d'abord à la figure 1 pour décrire un premier mode de réalisation d'une installation selon l'invention.

Cette installation comporte une multiplicité de terminaux d'acheteurs 1 raccordés au réseau Internet (ou susceptibles d'y tre raccordés), un ou plusieurs terminaux marchands 2 (définissant des sites Internet (ou sites « Web »)), et un ou

plusieurs terminaux de paiement 3 également raccordés au réseau, ou bien raccordés aux terminaux marchands via un réseau privé.

On entend ici par « terminal de paiement » 3 tout type de terminal destiné à assurer des mouvements entre des comptes bancaires d'acheteurs et des comptes bancaires marchands. Par conséquent, il pourra s'agir soit d'un terminal de paiement bancaire ou interbancaire, soit d'un terminal de paiement d'un tiers de confiance servant d'intermédiaire de transaction entre des acheteurs ou des sites marchands et des banques, soit encore un terminal d'une société de crédit.

Dans l'exemple illustré sur la figure 1, on considère que les terminaux de paiement 3 sont des terminaux bancaires assurant toutes les fonctions transactionnelles, à savoir la vérification et le débit du compte d'acheteur, la vérification et le crédit du compte marchand, et éventuellement l'authentification de la carte de paiement, c'est-à-dire de son code PIN et/ou du fait qu'il s'agit effectivement d'une carte de paiement (cela concerne plus particulièrement les cas où le dispositif électronique sert également de terminal d'acheteur à lecteur de carte de paiement ou TPE).

Un acheteur qui souhaite effectuer une transaction, ici sur Internet, commence par connecter son terminal d'acheteur 1 au réseau, puis tente d'établir une connexion entre son terminal d'acheteur 1 et un site marchand 2 choisi qui propose à la vente une multiplicité de produits et/ou services. Une fois cette connexion établie, l'acheteur peut consulter sur l'écran de son terminal d'acheteur 1 les produits et/ou services proposés par le site marchand 2, puis sélectionner un ou plusieurs produits et/ou services. Lorsque sa sélection est terminée, une page de paiement 4 s'affiche sur son écran. Cette page comporte un certain nombre de zones d'informations qui doivent tre remplies par l'acheteur. Généralement, l'acheteur doit fournir son nom, son adresse, un numéro de carte de paiement (composé d'un identifiant de banque ou de centre de paiement IIN et d'un identifiant de compte), et la date de validité de sa carte de paiement (ou support).

La page de paiement 4 comporte également une zone réservée au montant cumulé des objets et/ou services sélectionnés, qui doit faire l'objet de la transaction entre le compte de l'acheteur qui est désigné par son numéro de carte

et un compte marchand associé au site marchand concerné.

Selon l'invention, chaque acheteur dispose non seulement d'une carte de paiement 5 (ou plus généralement d'un support associé à un numéro de carte, appelé ci-après « identifiant primaire d'acheteur » IPA), mais également d'un dispositif électronique 6, associé à sa carte de paiement 5 et par conséquent à son identifiant primaire IPA. Dans ce qui suit, on désigne par identifiant primaire IPA une succession de données alphanumériques comprenant un identifiant de site de paiement IIN, un identifiant de compte d'acheteur COMPTE, un code de validité de support de transaction CV et un code complémentaire CC. Le nombre de données d'un IPA définit son format. Bien entendu, on pourrait prévoir une autre définition d'IPA, par exemple ne comportant qu'un identifiant de compte.

Chaque dispositif 6 comporte un module de transformation capable de délivrer un identifiant secondaire ISA représentatif, au moins, d'un identifiant primaire IPA, et au format de celui-ci (et comportant par conséquent le mme nombre de données). Bien entendu, le format de l'identifiant primaire IPA ou secondaire ISA vérifie les normes internationales régissant les identifications de carte de paiement 5. Par ailleurs, on entend par « délivrer » le fait de fournir un identifiant secondaire ISA sur une sortie, par exemple un écran, après l'avoir calculé ou bien choisi parmi plusieurs, comme on le verra plus loin.

Le module de transformation, qui peut tre réalisé sous la forme d'un module logiciel ( « software ») ou d'un circuit électronique ( « hardware ») ou encore d'une combinaison d'un module logiciel et d'un circuit électronique, délivre donc un identifiant primaire fictif, appelé identifiant secondaire ISA que le site marchand 2 ne peut différencier d'un identifiant primaire véritable.

Le dispositif électronique 6 est, de préférence, équipé d'un système de localisation. Il s'agit préférentiellement d'un radiotéléphone, notamment de type GSM, ou de type UMTS. Mais, il pourrait également s'agir d'un boîtier électronique de poche équipé d'un système de positionnement ou localisation. Il pourrait également s'agir d'un module dédié, intégré dans un radiotéléphone fonctionnant selon un protocole de type WAP ou UMTS, par exemple, et de ce fait assurant également la fonction de terminal d'acheteur 1. Un tel module peut tre réalisé

sous la forme d'un module logiciel ( « software ») ou d'un module-circuit ( « hardware »), ou encore d'une combinaison logiciel/circuit, par exemple, implanté dans une carte SIM de GSM 6. La carte SIM peut stocker un code confidentiel.

Ainsi, le dispositif ne peut délivrer un identifiant secondaire que si l'acheteur lui fournit un code confidentiel, par exemple un code PIN, identique au code stocké dans la carte SIM.

Egalement de préférence, un tel dispositif 6 est capable d'tre localisé par un organisme habilité à cet effet, comme par exemple le gestionnaire du réseau de communication auquel l'acheteur est abonné, mais également de déterminer lui- mme sa position pour des raisons qui seront expliquées plus loin.

De façon particulièrement avantageuse, on stocke dans une base de données (non représentée), accessible aux terminaux de paiement 3, tous les identifiants primaires IPA, abonnés au service de sécurisation offert par l'invention, en correspondance des identifiants de dispositif associés. On entend ici par « identifiant de dispositif » aussi bien un numéro de téléphone qu'un code alphanumérique désignant un numéro de téléphone dans un annuaire.

Dans ce qui suit, on considère que les dispositifs 6 sont de type communiquant, comme par exemple des radiotéléphones, et de plus localisables comme ceux de type GSM. On considère par ailleurs qu'ils sont indépendants des terminaux d'acheteurs 1. Bien entendu, différents types de dispositifs pourraient coexister dans une mme installation, par exemple des boîtiers électroniques dédiés, des radiotéléphones équipés d'un module de transformation dédié et des radiotéléphones équipés d'un module de transformation dédié et formant terminal d'acheteur.

De nombreux algorithmes peuvent tre utilisés pour générer un identifiant secondaire ISA. Dans un premier mode de réalisation, l'identifiant secondaire ISA comporte, tout comme l'identifiant primaire IPA associé au support 5 (ou carte de paiement), l'identifiant IIN véritable (non crypté) de la banque ayant émis le support 5 suivi d'un identifiant de compte fictif COMPTE2 représentatif de l'identifiant de compte véritable COMPTE, de la date de validité CV du support 5, et enfin d'un code complémentaire de contrôle CC. Dans un second mode de réalisation,

l'identifiant secondaire ISA comporte l'identifiant de la banque IIN suivi d'un identifiant de compte fictif COMPTE2 généré à partir de l'identifiant de compte véritable COMPTE et d'une ou plusieurs informations complémentaires, telle que la date de la transaction D, l'heure de la transaction H, le montant de la transaction M, la date de validité du support CV, ou encore un code secret spécifique propre au GSM de l'acheteur, puis de la date de validité du support CV et enfin d'un code de contrôle CC. Bien entendu, l'identifiant de compte fictif COMPTE2 peut tre établi à partir de plusieurs informations complémentaires.

En variante, on peut remplacer les données de date de validité du support CV par d'autres données, dès lors que ces données peuvent tre assimilées à une date de validité.

La création d'un tel identifiant de compte fictif COMPTE2, et par conséquent d'un identifiant secondaire ISA, s'effectue à l'aide d'une première fonction de transfert qui est connue du module de transformation du dispositif 6 et du terminal de paiement 3.

Lorsque l'identifiant de compte fictif COMPTE2 est généré à partir de la date D et de l'heure H de la transaction, il est préférable d'utiliser la date et l'heure de transaction définies par l'horloge interne du terminal marchand 2 du site marchand auquel le terminal d'acheteur 1 est connecté. Dans ce cas, ces informations complémentaires s'affichent sur la page d'écran de paiement du terminal d'acheteur 1 lorsque ledit acheteur a indiqué au terminal marchand qu'il a terminé sa sélection. De la sorte, il suffit que le site marchand communique l'identifiant secondaire ISA au terminal de paiement 3, avec les date D et heure H de transaction qu'il a préalablement définies, pour éviter tout risque de rejet d'un ISA en cas de désynchronisation des horloges internes du site marchand et du terminal d'acheteur (ou de son dispositif).

La génération d'un ISA à l'aide d'informations complémentaires peut s'effectuer avec des clés de cryptage confidentielles et/ou calculées. Par exemple, on peut utiliser une première clé confidentielle (connue du dispositif 6 et du terminal de paiement 3) pour délivrer un résultat crypté représentatif de l'ensemble des informations complémentaires et utilisé par la première fonction de transfert en

tant que seconde clé pour crypter l'identifiant primaire IPA (en fait l'identifiant de compte véritable COMPTE associé à la carte de paiement 5). Comme mentionné précédemment, le résultat de cette double opération est alors complété, à gauche, par l'identifiant IIN de la banque émettrice de la carte de paiement, puis à droite par une date de validité fictive (cryptée) ou réelle CV et le chiffre de contrôle CC.

Dans le second mode de réalisation présenté ci-avant, l'acheteur doit communiquer à son GSM toutes les informations complémentaires nécessaires à l'élaboration de l'identifiant secondaire ISA, lesquelles sont affichées sur la page d'écran de paiement. Cela peut s'effectuer par une saisie manuelle, ou par une communication vocale, lorsque le dispositif est équipé d'un module de reconnaissance vocale, ou par voie d'onde par exemple infra-rouge ou radio de type « bluetooth ». Bien entendu, lorsque le terminal d'acheteur 1 et le dispositif 6 forment un mme élément, on peut envisager une implémentation dans laquelle le module de transformation extrait lui-mme les informations complémentaires affichées sur la page de paiement.

Par ailleurs, selon les variantes, l'identifiant primaire IPA qui est associé à la carte de paiement 5 est soit communiqué par l'acheteur lui-mme au dispositif 6 associé à ladite carte 5, soit extrait par ce dispositif 6 d'une mémoire interne, de préférence à accès contrôlé par un code secret que doit composer l'acheteur pour autoriser son dispositif à générer un identifiant secondaire ISA.

Une fois l'identifiant secondaire ISA généré, celui-ci est affiché sur l'écran du dispositif 6, ici le GSM, et l'utilisateur n'a plus qu'à le saisir dans la zone de la page de paiement prévue à cet effet. Bien entendu, lorsque le terminal d'acheteur 1 et le dispositif 6 forment un mme élément, on peut envisager une implémentation dans laquelle le module de transformation remplit lui-mme la zone de l'ISA après l'avoir généré. Puis, une fois que toutes les zones de transaction ont été remplies, le terminal d'acheteur 1 transmet la commande au terminal marchand 2 du site marchand.

L'identifiant secondaire ISA reçu par le site marchand est considéré comme un identifiant primaire IPA. II l'analyse donc de la mme façon pour en extraire l'identifiant IIN du terminal de paiement en vue d'établir une connexion

avec celui-ci.

Une fois cette connexion établie, le terminal marchand 2 communique au terminal de paiement 3, désigné par l'IIN, un identifiant de compte marchand, l'identifiant secondaire ISA complet ou seulement une partie de celui-ci, comme par exemple l'identifiant de compte d'acheteur fictif COMPTE2, et le montant de la transaction, ainsi qu'éventuellement des informations complémentaires comme par exemple la date et l'heure de la transaction et/ou la date de validité du support 5 (ou carte de paiement de l'acheteur).

Le terminal de paiement 3 comporte également un module de transformation capable d'appliquer une seconde fonction de transfert, inverse de la première fonction de transfert du module de transformation du dispositif 6, destiné à extraire de l'identifiant secondaire ISA, reçu du site marchand, l'identifiant primaire IPA qui lui est associé, ainsi qu'éventuellement ces données complémentaires. Bien entendu, lorsque le cryptage de l'IPA a été effectué à l'aide de clés, on les utilise pour déterminer l'IPA et les éventuelles informations complémentaires.

En variante, le module de transformation du terminal de paiement 3 est agencé pour appliquer aux informations complémentaires reçues la mme fonction de transfert que celle utilisée par le module de traitement du dispositif de manière à générer une clé. Puis, le terminal de paiement 3 compare cette clé à celle extraite de l'identifiant secondaire ISA reçu, et procède au débit du compte d'acheteur lorsque ces deux clés sont cohérentes.

Une fois en possession de l'identifiant primaire IPA et de l'identifiant de compte marchand, le terminal de paiement vérifie si ces identifiants correspondent effectivement à des comptes d'acheteur et marchand répertoriés. Si tel est le cas et qu'il n'y a pas d'information complémentaire dans l'ISA, le terminal de paiement 3 procède à la transaction en débitant le compte d'acheteur au profit du compte marchand transmis par le site marchand en mme temps que les informations de transaction. On peut envisager une étape complémentaire visant à vérifier si le compte d'acheteur est solvable. Puis, le terminal de paiement envoie au site marchand 2 une information indiquant si la transaction a été effectuée ou rejetée.

A réception de cette information, le site marchand adresse au terminal d'acheteur 1 soit un accusé de transaction (de type facture) qui peut tre édité sur une imprimante à laquelle il est connecté, soit un message de rejet de transaction.

En revanche, lorsque l'identifiant secondaire ISA a été généré à partir de l'identifiant primaire IPA et d'informations complémentaires du type de celles mentionnées précédemment, le terminal de paiement 3, une fois qu'il les a extraites avec son module de transformation inverse, procède à leur comparaison avec les informations complémentaires qu'il a reçues du site marchand en accompagnement de l'ISA.

Cela est plus particulièrement valable pour les date, heure et montant de transaction, ainsi que pour la date de validité du support. Mais lorsque l'une des informations complémentaires est la position du dispositif 6 de l'acheteur (ici communiquant et localisable), un autre type de traitement doit tre effectué. Un premier traitement consiste à interroger la base de données mentionnée précédemment pour en extraire l'identifiant, par exemple téléphonique, du dispositif 6 qui est associé à la carte de paiement 5 désignée par l'identifiant primaire IPA extrait de l'identifiant secondaire ISA reçu. Une fois en possession de l'identifiant du dispositif portable, le terminal de paiement 3 peut lancer une demande de localisation du dispositif 6 auprès du gestionnaire du réseau auquel l'acheteur est abonné, puis comparer la position extraite de l'identifiant secondaire ISA à celle qui lui est communiquée par ledit gestionnaire de réseau, de façon confidentielle. La transaction n'est alors autorisée qu'en cas d'identité des localisations.

Un second traitement consiste à établir une connexion entre le terminal de paiement et le dispositif 6, bien entendu après en avoir obtenu l'identifiant, pour lui demander de transmettre sa position, puis comparer celle-ci à celle préalablement extraire de l'ISA. En variante, le terminal de paiement 3 peut demander au dispositif de lui retransmettre l'identifiant secondaire ISA afin de le comparer de celui reçu du site marchand 2.

Si toutes les informations complémentaires (préalablement cryptées et non cryptées) sont cohérentes (ou se recoupent) et que les identifiants de compte correspondent effectivement à des comptes d'acheteur et marchand répertoriés,

alors le terminal de paiement 3 procède à la transaction et adresse au site marchand un compte rendu de transaction comme mentionné précédemment. Il n'est pas nécessaire par exemple que la position du dispositif extraite de l'identifiant secondaire d'acheteur soit exactement identique à sa position lorsque le terminal de paiement recherche sa position, dans la mesure où le dispositif peut s'tre déplacé entre temps ou avoir changé de cellule de détection radio. C'est pourquoi la cohérence entre informations est suffisante.

Comme mentionné précédemment, et comme illustré sur la figure 3, le terminal de paiement 3 peut appartenir à un tiers de confiance servant d'intermédiaire entre l'acheteur et le terminal 7 de la banque auprès de laquelle l'acheteur possède un compte d'acheteur. Dans ce cas, l'identifiant secondaire ISA désigne le terminal 3 du tiers de confiance. Cette désignation peut s'effectuer par l'identifiant IIN2 du terminal du tiers de confiance. Deux variantes peuvent alors tre envisagées. Une première variante (illustrée sur la figure 3) consiste en la détermination, par le terminal 3 du tiers de confiance, de l'identifiant IIN du terminal bancaire 7 et de l'identifiant de compte d'acheteur COMPTE2, ainsi qu'éventuellement les informations complémentaires, contenus dans l'ISA reçu du site marchand 2. Les comparaisons s'effectuent alors, de préférence, dans le terminal 3 du tiers de confiance. Puis, ce terminal 3 du tiers de confiance transmet au terminal bancaire 7 de l'acheteur l'identifiant de compte marchand, l'identifiant de compte d'acheteur COMPTE et le montant de la transaction, de sorte qu'il procède à la transaction après les éventuelles vérifications mentionnées précédemment.

Une seconde variante consiste en la détermination, par le terminal 3 du tiers de confiance, du seul identifiant IIN du terminal bancaire 7 contenu dans l'ISA reçu du site marchand 2. Le terminal 3 du tiers de confiance transmet alors au terminal bancaire 7 de l'acheteur l'ISA, le montant de la transaction et l'identifiant de compte marchand, ainsi qu'éventuellement les autres informations complémentaires transmises par le terminal marchand 2, de sorte que le terminal détermine lui-mme l'identifiant de compte d'acheteur COMPTE et les informations complémentaires, puis procède à la transaction après les éventuelles vérifications

mentionnées précédemment.

L'échange de données entre le terminal du tiers de confiance et le terminal bancaire s'effectue de préférence via un réseau protégé, notamment dans le cas de la première variante.

D'autres variantes peuvent tre envisagées pour l'invention. Notamment, l'identifiant du compte d'acheteur COMPTE peut ne pas tre modifié par le dispositif 6. II est simplement complété par le résultat d'un algorithme utilisant comme entrée les informations complémentaires.

Dans une autre variante, illustrée sur la figure 4, ce sont les terminaux de paiement 3, ou bien seulement un terminal principal de l'installation, raccordé aux terminaux bancaires et de tiers de confiance, qui calculent un ou plusieurs identifiants tertiaires ITA, représentatif d'un mme identifiant primaire IPA, pour chaque carte de paiement 5 (ou support) associée à un dispositif 6. Ces identifiants tertiaires ITA sont stockés dans une table en correspondance d'identifiants primaires PA. La table est de préférence stockée dans une mémoire du terminal.

Le terminal de paiement 3 communique à chaque dispositif 6 le ou les identifiants tertiaires ITA qu'il a calculés à son attention, de sorte qu'il les stocke dans une mémoire à accès sécurisé, par exemple par un code confidentiel.

Préférentiellement, le terminal de paiement 3 transmet trois identifiants tertiaires différents. Lorsque le dispositif 6 est un radiotéléphone communiquant, la transmission est directe. En revanche, lorsque le dispositif 6 n'est pas communiquant, les ITA sont communiqués au possesseur de la carte de paiement 5 (ou support) par une voie confidentielle, lequel les communique ensuite à son dispositif 6.

Tout comme pour les modes de fonctionnement décrits précédemment, l'acheteur demande à son dispositif 6 de lui délivrer un identifiant secondaire ISA.

Deux variantes peuvent alors tre envisagées. Dans une première variante, le dispositif 6 choisit l'un des identifiants tertiaires ITA, stockés dans sa mémoire (par exemple dans la carte SIM), et le délivre sur son écran. L'ITA constitue donc

directement un identifiant secondaire ISA. Dans une seconde variante, le dispositif 6 choisit l'un des identifiants tertiaires ITA, stockés dans sa mémoire (par exemple dans la carte SIM), pour lui appliquer la première fonction de transfert et délivrer un identifiant secondaire ISA. Bien entendu, comme indiqué pour les modes de réalisation précédents, l'identifiant secondaire peut tre élaboré également à partir d'informations complémentaires comme le montant de la transaction, la date et l'heure de la transaction (fournies de préférence par le site marchand), la date de validité de la carte de paiement, et/ou la position du dispositif 6.

A réception de l'identifiant secondaire ISA, le terminal de paiement 3 extrait tout d'abord l'identifiant tertiaire ITA de l'identifiant secondaire ISA reçu, puis, interroge la table de correspondance pour déterminer l'identifiant primaire IPA associé à cet identifiant tertiaire ITA extrait. Il peut ensuite procéder à la transaction après les éventuelles comparaisons et vérification mentionnées précédemment, notamment lorsque l'identifiant secondaire ISA comporte des informations complémentaires.

Dans ces variantes de réalisation, il est particulièrement avantageux que chaque utilisation d'un identifiant tertiaire ITA entraîne la génération d'un nouvel identifiant tertiaire par le terminal de paiement, puis le remplacement de l'identifiant qui vient d'tre utilisé par ce nouvel identifiant, à la fois dans la table de correspondance et dans la mémoire du dispositif 6. Cela renforce encore la sécurisation des transactions, étant donné qu'un identifiant tertiaire ITA n'est utilisé qu'une seule et unique fois.

L'installation peut également tre utilisée pour détecter les supports volés.

II est en effet possible, lorsque la comparaison des identifiants et/ou informations complémentaires aboutit à une incohérence, de faire émettre par le terminal de paiement un message destiné à avertir un terminal auxiliaire de surveillance que le support est utilisé de façon illégale. Le message peut éventuellement comporter la position du dispositif utilisé par l'acheteur.

On peut également, lorsque le dispositif électronique sert également de terminal d'acheteur à lecteur de carte de paiement intégré, utiliser l'installation, par exemple un terminal de paiement, pour vérifier l'authenticité de la carte, et

notamment le fait qu'il s'agit véritablement d'une carte de paiement et son code PIN, saisi par l'acheteur.

On peut également envisager, lorsque l'acheteur dispose d'un terminal équipé d'une messagerie électronique, de type e-mail, que le terminal marchand et/ou le terminal de paiement adresse (nt) automatiquement au terminal de l'acheteur un message électronique de compte-rendu de transaction une fois celle- ci terminée. On peut envisager, de mme, que le terminal de l'acheteur adresse automatiquement au terminal marchand et/ou au terminal de paiement un message électronique de compte-rendu de transaction une fois celle-ci terminée.

Cela permet de disposer d'une preuve de transaction retraçant tout l'historique, ainsi qu'éventuellement l'objet, de celle-ci.

L'invention porte également sur un procédé de sécurisation qui peut tre mis en oeuvre dans une installation du type de celle qui vient d'tre décrite, en référence aux figures 1 à 4.

Ce procédé de sécurisation comporte au moins les étapes résumées ci- après, mais, plus généralement, toutes les étapes qui ressortent de la description de l'installation.

Dans une première étape, l'acheteur établit une connexion entre son terminal d'acheteur et un terminal marchand avec lequel il souhaite effectuer une transaction.

Dans une seconde étape, l'acheteur sélectionne sur son terminal d'acheteur 1 l'un au moins des objets et/ou services qui lui sont proposés par le terminal marchand 2 du site marchand. Une fois la sélection effectuée, le terminal marchand 2 associe un montant de transaction aux objets et/ou services sélectionnés.

Dans une troisième étape, l'acheteur utilise alors son dispositif électronique 6, par exemple son GSM, pour obtenir un identifiant secondaire ISA représentatif de l'identifiant primaire IPA qui est associé à sa carte de paiement 5 (ou support), et au format de cet identifiant. Puis, l'acheteur transmet au terminal marchand 2, via son terminal d'acheteur 1, la sélection et l'identifiant secondaire

ISA qui vient de lui tre délivré par son dispositif (ainsi qu'éventuellement des informations complémentaires).

Dans une quatrième étape, on transmet au terminal de paiement 3 l'identifiant secondaire ISA, le montant de la transaction et un identifiant de compte marchand qui désigne un compte marchand associé au terminal marchand 2 (ainsi qu'éventuellement les informations complémentaires).

Enfin, dans une cinquième étape, le terminal de paiement 3 détermine l'identifiant primaire IPA qui est représenté par l'identifiant secondaire ISA qu'il vient de recevoir, puis il débite le compte d'acheteur désigné par cet identifiant primaire IPA au profit du compte marchand qui est désigné par l'identifiant de compte marchand qu'il a reçu.

Comme mentionné ci-avant, tout ce qui a été indiqué dans la partie décrivant l'installation selon l'invention s'applique également au procédé selon l'invention. Ainsi, lors de la troisième étape, on peut communiquer au dispositif une ou plusieurs informations complémentaires de sorte que l'identifiant secondaire ISA délivré soit représentatif à la fois de l'identifiant primaire IPA et des informations complémentaires.

Par ailleurs, lors de cette troisième étape, la génération de l'identifiant secondaire ISA s'effectue de préférence à l'aide d'une première fonction de transfert (ou de clés de cryptage), et lors de la cinquième étape, la détermination de l'identifiant primaire IPA s'effectue, de préférence, par application d'une seconde fonction de transfert, inverse de la première, à l'identifiant secondaire ISA reçu du site marchand.

On pourra également prévoir, initialement, une étape préliminaire dans laquelle on (de préférence le terminal de paiement 3) génère un ou plusieurs identifiants tertiaires ITA représentatifs de l'identifiant primaire IPA associé à chaque carte de paiement 5 (ou support), puis communique ces identifiants tertiaires ITA au dispositif 6 associé à la carte de paiement. Dans ce cas, lors de la troisième étape, le dispositif 6 délivre un identifiant secondaire ISA qui est représentatif de l'un des identifiants tertiaires ITA qui ont été fournis par le terminal

de paiement 3. II va de soi que dans cette configuration on détermine, lors de la cinquième étape, l'identifiant primaire IPA qui est associé à l'identifiant tertiaire ITA extrait de l'identifiant secondaire ISA reçu du site marchand 2.

Il est également particulièrement avantageux de prévoir une sixième étape dans laquelle le terminal de paiement génère un nouvel identifiant tertiaire ITA chaque fois que l'un de ceux qui ont été précédemment générés a été utilisé, de sorte qu'il soit remplacé dans la mémoire du dispositif électronique concerné et dans la table de correspondance.

Dans ce qui précède, on a décrit une installation, un dispositif et un procédé dans lesquels la transaction entre un acheteur et un terminal marchand s'effectue via un terminal d'acheteur, indépendant du dispositif électronique ou combiné à celui-ci en un unique ensemble. Mais, l'invention concerne également les transactions qui s'effectuent directement dans le terminal marchand, sans utiliser un terminal d'acheteur. Dans ce cas, il est clair que le terminal marchand comporte des moyens de saisie (ou d'enregistrement, ou encore de synthèse vocale) pour permettre à l'acheteur d'effectuer sa sélection et éventuellement de fournir son identifiant secondaire et ses coordonnées personnelles.

L'invention ne se limite pas aux modes de réalisation d'installation et de procédé décrits ci-avant, seulement à titre d'exemple, mais elle englobe toutes les variantes que pourra envisager l'homme de l'art dans le cadre des revendications ci-après.