Une nouvelle approche de la carte à puce réseau
Contents
1. Protocoles de transmission Nous avons indiqu pr c demment qu une carte tait reli e au monde ext rieur gr ce une liaison s rie dont le d bit est Ethernet U compris entre 9600 bauds et 105900 MOJEM Board bauds Le standard ISO 7816 3 1 d finit Layer 2 Layer 2 Layer 2 deux protocoles de transmission entre la Data Link Layer ISO 7816 3 ISO 7816 3 carte et son lecteur e T 0 est un protocole orient caract res les octets sont transmis un par un les erreurs sont d tect es par un NETWORK bit de parit et corrig es par retrans mission Figure 2 Architecture de communication e T 1 est un protocole orient bloc les octets sont transmis dans des trames l int grit des donn es est v rifi e au moyen d un CRC la correction des erreurs est obtenue par retrans mission de l information Nous consid rerons que les protocoles 7816 3 sont identiques une couche OSI 2 dite couche de liaison de donn es parce qu ils sont responsables de la d tection et de la correction des erreurs En cons quence nous admettrons que le lien entre carte et lecteur est une liaison point a point sans erreurs puisque ces derni res sont corrig es par les protocoles 7816 Application Protocol data Unit APDU Les couches OSI 5 session et 7 application ont t combin es en une seule entit d finie par le standard ISO 7816 4 1 Une application log e dans une carte communique au moyen d APDUs qui sont tr2. ou la t l vision munie d un set top box Netgem Les organisateurs Psion Palm Pilot VII ou les mini portables Dans ce contexte la carte authentifie un utilisateur mobile qui acc de a une pluralit de terminaux qui devront si n cessaire tre configur s de mani re dynamique pour autoriser l acc s et l usage d un service particulier E Un aper u de la carte puce La carte puce microprocesseur SPOM Self Programmable One chip Microcomputer a t invent e la fin des ann es 70 par Michel Ugon 10 11 12 Le groupement des cartes bancaires CB cr e en 1985 16 a permis la diffusion de quelques 24 millions de cartes de paiement bancaires cash card L utilisation de ces ob jets c est depuis diversifi e porte monnaie lectronique pme electronic purse transport 2 cartes sans contacts contactless card GSM 3 4 cartes SIM Sant carte s same vitale r seaux informatiques cartes RSA On estime un march de un milliard de cartes puce pour l an 2000 Aujourd hui la technologie des cartes repose sur des processeurs 8 bits associ s des capacit s m moires de l ordre de quelques dizaine de Ko La taille des puces est limit e 25 mm2 par la flexibilit du support plastique PVC 16 Une nouvelle g n ration 85 TECHNOLOGIES de processeur RISC 32 bits est en cours de d finition et verra le jour au d but du prochain mill naire 23 Outre la s curit physique
3. associ des donn es SmartTP L entit SmartTP a pour mission de commuter les pdu depuis vers les agents Par convention elle est asso ci e une r f rence nulle Un jeton mis par SmartTP Null Token poss de une r f rence source gale z ro L aiguillage des pdu respecte quatre r gles SmartTP c t carte met toujours un pdu apr s la r ception d un pdu Cet l ment est un Null Token ou bien est produit par un agent a carte r pond toujours SmartTP c t terminal ignore les Null Token il ne produit aucun pdu lors de la r ception d un tel l ment SmartTP g n re un Null Token lors de la r ception d un pdu avec l indicateur Open non positionn et dont la r f rence de destination est inconnue tol rance aux pdu perdus SmartTP produit un jeton avec un indicateur Close positionn lors de la r ception d un pdu avec l indicateur Open positionn et dont la r f rence de destination est inconnue gestion des agents absents Les Agents Deux agents sont reli s au moyen d un session Un agent est identifi par un nombre de 16 bits compris en tre 0 et 65535 Le bit le plus significatif 015 indique si l agent est local log dans la m me smart layer ou dis 90 Une nouvelle approcne I de la carte puce r seau tant b15 0 Cette fonctionnalit sous entend que deux agents peuvent communiquer l int rieur d un m me syst me carte ou terminal ou entre
4. des droits en cons quence De mani re plus g n rale les applications r seaux authentification d un utilisateur mobile commerce lectronique qui mettent en uvre une carte r pondent a un mod le du type fat client 17 c est dire que chaque application requiert un logiciel sp cifique d di En quelques sorte elle est associ e un mode d emploi particulier nomm Application Protocol dans la terminologie Open Card Framework 6 qui s n conna t ses r gles d utilisation 24 25 Ce mod le engendre des difficult s de gestion lorsque une application peut tre mise en uvre depuis un parc de terminaux h t rog nes PC machine unix Application portable GSM borne internet Protocol E Une nouvelle approche On le constate l approche du fat client est un frein pour le d veloppement d applications r seaux ou un utili sateur nomade utilisent plusieurs terminaux PC portable GSM mobile station de travail fixe capables d acc der internet Par exemple si une application est un abonnement lectronique un journal il semble l gi time que le b n ficiaire puisse lire ce journal depuis son bureau son domicile dans un h tel ou a partir de son t l phone mobile Notre nouvelle approche de la carte r seau consiste l adapter chaque terminal au moyen d un protocole unique que nous souhaitons standardiser Ce protocole est plus particuli rement adapt au sup port des protocoles de type T
5. et auront la puissance n cessaire pour offrir la s curit authentification chiffrement int grit et assurer l usage de tels objets En conclusion nous pr sentons Fig 7 bauche d une architecture de mise en uvre d objets virtuels elle comporte sch matiquement cinq l ments Un utilisateur mobile propri taire d objets virtuels qui dispose d une pluralit de terminaux internet Une carte puce internet qui se pr sente de mani re logique comme un serveur web et comporte un ou plusieurs smart proxy de confiance trusted proxy acc de diverses applications grace a un bus de communication internet Middleware IP qui utilise diff rentes m thodes de communication La carte est associ e une base de donn e qui abrite une partie des informations d tenues par son pro pri taires Les acc s ce serveur sont s curis s par la carte internet A partir des donn es fournies par sa base de donn e l utilisateur r alise l image d un objet virtuel stock sur un serveur sur le terminal internet Cet objet peut tre associ a divers aspects s curitaires authenti fication chiffrement int grit ll peut tre n cessaire de configurer le terminal avec des logiciels sp cifiques Object Viewer associ l usage de certain objets Dans ce cas la carte fait office de licence mobile d un tel logiciel E R f rences 1 International Organization for Standardization Identification Card
6. qui existent d j citons par exemple e S curit r seau et commerce lectronique mise en uvre de fonctions de s curit telles que authentifi cation signature confidentialit etc travers une connexion entre une carte et un serveur e Virtual Home l utilisateur nomade reconstitue t l charge tout ou partie de son environnement dans un LY terminal banalis non s r a l aide des droits d tenus par la carte Ly e Environnement Virtuel Distribu si les performances du r seau le permettent il n est pas n cessaire de t l charger la totalit d une application une utilisation a dis tance est possible d port d cran au moyen d une licence localis e dans la carte logiciels virtuels e Objets Virtuels les objets virtuels sont des objets digitaux que l on peut poss der sans support physique pe objets multim dia tels que CD films journaux Un droit contenu dans la carte permet la ee a jouissance de l objet sur tout terminal adapt Oa e Communaut Virtuelle un ensemble de services li s la connexion tit j simultan e et authentifi e d un ensemble de cartes capables de commu niquer entre elles messagerie forum administration de r seau ti m R seaux et carte proactives Le standard GSM 11 14 a introduit la notion de commandes proactives La carte supervise l ex cution de pro c dures sur le terminal Par exemple une carte SIM toolkit ex cute un jeu et utilise des commandes proact
7. r seau carte travers une couche d interface logicielle particuli re encore nomm e driver couches basses ainsi NDIS est une interface couche basse d velopp e par Microsoft De fait utiliser une carte r seau dans un syst me c est mettre en uvre un driver couches basses en terminologie ISO cette interface peut tre vue comme un SAP Service Access Point de niveau 2 SAP2 De fa on analogue une application utilise les couches TCP IP au moyen d une biblioth que r seau fournie par le syst me h te une application r seau sait mettre en uvre une telle biblioth que travers des SAP de niveaux 3 SAP3 ou 4 SAP4 Par exemple winsock dll est la biblioth que dynamique qui permet d utiliser TCP IP sur une machine windows En r sum un terminal offre trois points d acc s au r seau Fig 2 un point SAP2 au niveau de la carte r seau ou du modem un point SAP3 au niveau r seau IP un point SAP4 au niveau applicatif TCP Si une application utilise un service au point SAP2 elle devra fournir une couche IP ce qui veut dire en particulier poss der sa propre adresse IP Une application qui s interface au point SAP3 utilisera une adresse IP pr d finie Enfin une application ind pendante des aspects r seaux couche 3 et 4 utilisera le point SAP4 87 TECHNOLOGIES E L architecture de HOST SYSTEM SMART CARD communication d une Network Library Host Smart Layer HSL Card Smart Layer CSL ca rte i
8. serveur web 4 est une valeur courante un agent r seau devra donc s rialiser ces diff rentes sessions par exemple au moyen d un s maphore 92 Une nouvelle approcne I de la carte puce r seau Une session http Une session http Fig 5 se d roule en deux tapes dans un premier temps une Smart bayer HSE Card Smart tayer CSL requ te http est mise par le client et dans un deuxi me temps le serveur r pond par un ent te qui pr cise la nature du fichier suivi par le contenu du fichier proprement dit Une particularit d une carte internet est qu elle agenty ce Nae doit tre en mesure de fournir ent te pour tous les fichiers qu elle stocke Nous allons a pr sent donner plus de pr cisions sur le nae d roulement d une session http ISO 7816 4 PC SC ISO 7816 4 Le navigateur ouvre une connexion TCP avec un agent r seau une ses Layer 2 Layer 2 sion est ouverte avec un agent carte Data Link Layer ISO 7816 3 ISO 7816 3 T s 15361 d 2 open block O s 2 d 15361 La requ te http est transmise depuis INTERNET l agent r seau vers l agent serveur web Figure 6 La carte puce serveur proxy T s 15361 d 2 write block datal C s 2 d 15361 La derni re partie de la requ te est transmise T s 15361 d 2 write block data Le serveur carte transmet le fichier et son ent te C s 2 d 15361 write block data T s 15361 d 2 block C s 2 d 15361 write block data T s 1536
9. 1 d 2 block Le serveur carte met fin la session C s 2 d 15361 write close data m Un serveur proxy dans une carte a puce Pocket Network Authentication gs Virtual Computer Privacy Object Dans la technologie TCP IP on nomme proxy une Trusted Integrity i entit logicielle qui r alise d une part un serveur TCP IP Pro A A E Internet RDS et d autre part un client TCP cr de mani re dynami Terminal en gt que et qui r alise une connexion avec un autre serveur TCP distant Le client se connecte avec un serveur distant pr d termin ou d duit de mani re dynamique en fonction des informations chang es sur la connexion tablie avec le serveur Un proxy r alise usuellement des fonctions de filtre translation de proto Ai i Terminal cole et ou de s curit Par exemple un proxy http as Configuration sure g n ralement la connexion d un navigateur un Figure 7 Architecture de mise en uvre serveur web dans une entreprise pare feu firewall ou d objets virtuels r alise des op rations de s curit n cessaires authen tification B confidentialit B int grit l tablissement d un tunnel s curis travers internet Secure Socket Layer SSL est bon exemple d une tel filtre Un proxy log dans une carte puce Smart Proxy associe une url donn e une proc dure particuli re qui implique la connexion un autre serveur externe La proc dure de connexion est r alis e par l
10. CP IP Ces nouveaux concepts s appuient largement sur la technologie Java Card introduite en 1997 19 qui permet de d finir des architectures s curis es et ouvertes la carte n est plus d di e a une application sp cifique Notre technologie constitue une r volution de l ergonomie de la carte et de son usage a travers le r seau internet e Le terminal internet est banalis par un protocole d adaptation unique utilisateur nomade peut mettre en uvre les droits associ s sa carte sur un terminal quelconque e La carte r alise les protocoles internet ce n est plus un l ment tranger au r seau mais un nouvel objet de la communaut internet La convergence du monde de la t l phonie traditionnelle et de celui des r seaux 18 la disponibilit de ter minaux bon march type internet multim dia sont autant de facteurs qui encouragent l apparition d objets vir tuels que l on pourra poss der travers le r seau en l absence de support physiques logiciels multim dia Notre approche r volutionnaire de la carte puce r seau pi ce essentielle de la s curit requise par la notion de propri t est un premier pas vers ce type de mod le La carte puce est une tranche de silicium qui embarque une unit centrale 16 et de la m moire ROM RAM E2PROM elle est capable de stocker une quantit mo deste de donn es et de code de l ordre de 64 ko Le seul lien avec le monde ext rieur est une liaiso
11. S En Pile protocolaire de communication La pile de communication utilis e par une carte r seau comporte cing tages Fig 3 Une couche physique OSI 1 qui assure l change de bits d information ISO 7816 2 amp 7816 3 Une couche liaison de donn e OSI 2 qui supporte les protocoles de transmission ISO 7816 3 Une entit AMUX qui route les APDUs depuis vers une couche SmartTP Une couche SmartTP qui assure l interface avec les agents Des agents qui traitent des donn es applicatives transport es par des SmartTP pdu La coop ration de deux piles sym triques une localis e dans une carte et l autre dans le terminal associ permet a un agent carte de traiter des protocoles http 1 1 14 transport s par le r seau internet L interface AMUX Nous avons d fini deux APDUs sp cifiques SmartTP_Write et SmartTP_Read pour assurer le transport des SmartTP pdu au moyen du protocole de transmission T 0 Conform ment aux principes de OSI l interface logique avec l entit SmartTP est un ensemble de quatre primitives AMUX request AMUX indication AMUX response AMUX confirm SmartTP pdu Le protocole SmartTP est similaire un protocole TCP light Le protocole TCP 9 d finit la notion de num ro de port pour identifier les entit s logicielles qui sont reli es par une connexion TCP Une session TCP est g r e au moyen de six flags URG ACK PSH RST SYN FIN qui sont utilis s pour louverture et la fermetur
12. Une nouvelle approcne I de la carte puce r seau Une nouvelle approche de la carte a puce reseau Bull CP8 R amp D 68 Route de Versailles 78431 Louveciennes Cedex aS Ci M Pascal URIEN P Urien frlv bull fr Els a M Hayder SALEH H Saleh frlv bull fr Doctorant laboratoire Prisme Versailles Nous avons d fini et r alis un concept de carte a puce internet Une carte a puce internet est un dispositif capable de se comporter comme un n ud du r seau internet et qui im pl mente des applications serveurs ou clientes sp cifi es par des standards internet tels que RFC 2068 http 1 1 Une carte puce est une fine tranche de silicium qui comporte un CPU et de la m moire et dont le seul lien avec le monde ext rieur est une liaison s rie Une nouvelle architecture de communication a t tudi e pour l ensemble terminal carte cette pile protocolaire permet la carte de partager les ressources r seaux disponi bles sur le terminal Nous avons d montr la faisabilit de ce concept sur une carte Java associ e un terminal win32 Notre premi re carte internet r alise un serveur web et un proxy qui renforcent la s curit des acc s web E Introduction Depuis plusieurs ann es Bull CP8 m ne des recherches sur une carte puce sp cifiquement d di es au r seau internet L id e de base est de re consid rer la carte comme un pocket network computer capable 8B cont d utiliser les ressources du
13. a carte et peut comporter des m canismes d authentification Par exemple Url http 127 0 0 1 8080 eMail d signe un fichier eMail localis dans une carte puce internet Le fichier eMail est en fait associ une proc dure de connexion sur un serveur distant dont la carte conna t le login et le mot de passe Ce m canisme permet de se connecter de nombreux services gratuits disponibles sur internet Nous appelons Fichier Virtuel un objet identifi par une url carte mais log sur un serveur web externe De mani re plus g n rale un proxy carte puce est un l ment cl pour une nouvelle g n ration d application qui utiliseront ce disposi tif comme une passerelle de s curit trusted proxy La carte agit comme un filtre actif entre l utilisateur et le r seau elle traite ou m morise selon des r gles pr d termin es les donn es entrantes ou sortantes Une appli cation proxy carte met en uvre deux sessions simultan es et traitent les donn es re ues par deux agents r seaux un serveur TCP et un client TCP 93 TECHNOLOGIES MA E Conclusion Nous avons impl ment le concept de la carte a puce internet sur un carte Java Odyssey 1 2 dont la taille m moire utilisateur est de 7 ko Le code Java qui r alise un serveur web un smart proxy et un syst me de ges tion de fichier est d environ 3 5 ko La m moire allou e aux fichiers est donc de 3 5 ko Des fichiers classiques pages html images applets ont t
14. ansport es par la ligne s rie Une APDU contient un message de commande ou un message de r ponse qui est envoy ou recu vers depuis le lecteur Le dialogue se d roule selon un paradigme du type question r ponse Le terminal met une question command a laquelle la carte r pond response de fait la norme 7616 4 fixe les r gles du dialo gue entre la carte et le terminal de mani re analogue a une couche session Une commande APDU comprend au minimum 4 octets nomm s CLA INS P1 P2 Les deux premiers octets CLAss INStruction indiquent la nature de la commande par exemple lecture criture Les deux suivants P1 P2 d finissent des param tres additifs de la commande par exemple une adresse m moire La r ponse comporte des octets de donn e optionnels et se termine par deux octets SW1 SW2 qui notifient le status de l op ration succ s ou chec Ainsi le status 90 00 signifie qu une op ration s est d roul e sans probl mes Il existe quatre types d APDUSs selon que la commande ou la r ponse soit associ e des donn es Echange de donn es asynchrone La norme ETSI GSM 11 11 3 carte SIM a notifi un m canisme pour d finir la longueur d une r ponse qui n est pas connue priori La r ponse la commande est d termin e par l interpr tation des octets de status SW1 sera gal 9F et SW2 indiquera dans ce cas la taille des donn es attendues Par exemple la suite d un ordre entrant la carte r pond par deux o
15. ce Dedicated to Public Cryptology Contemporary Cryptology The Science of Information Integrity ed Gustavus J Simmons IEEE Press 1992 pp 561 613 13 R Merckling A Anderson Smart Card Introduction Request For Comment RFC 57 March 1994 14 T Berners Lee amp All Hypertext Transfer Protocol HTTP 1 1 Request For Comment RFC 2068 January 1997 15 Robert W Baldwin C Victor Chang Locking the e safe IEEE Spectrum February 1997 pp 40 46 16 Carol Hovenga Fancher In Your Pocket Smartcards IEEE Spectrum February 1997 pp 47 53 17 MichaelC McChesney Banking in cyberspace an investment in itself IEEE Spectrum February 1997 pp 54 59 18 Group D S 206 SIMS Future Organisation of the Computer and Communications Industries http www sims berkeley edu courses is206 f97 GroupD dfutre html 1997 94 19 20 21 22 23 24 25 26 27 28 Une nouvelle approche de la carte puce r seau Constantinos Markantonakis The Case for a Secure Multi Application Smart Card Operating System Information Security Workshop 97 ISW 97 September 1997 Ishikawa in Japan Springer Verlag LNCS 1396 Berlin 1997 pp 188 197 Roger Dettmer Getting Smarter IEEE Review pp 123 126 May 1998 Ton Verschuren Smart access strong authentication on the web Computer Networks and ISDN Systems 30 1998 pp 1511 1519 ISI IBM Smart Card Identification Protocol http www isci
16. ctets de status 9F xx ou xx est la longueur de la r ponse Le terminal met alors une commande GET RESPONSE A0 CO 00 00 xx pour recueillir l information Un m canisme simi laire peut tre utilis pour changer des donn es entre une carte et un terminal Le terminal envoie des donn es vers la carte au moyen d une commande d criture La carte r pond par un 9F xx le terminal utilise alors une commande de lecture pour obtenir l information disponible sur la carte Utilisation des APDUs C t carte une entit parfois appel e APDU Manager analyse le flux des APDUs entrantes et r alisent les op rations n cessaires Par exemple dans une carte multi applications une APDU SELECT est utilis e pour s lectionner une application particuli re un programme crit en java ou encore un cardlet Cette op ration tant r alis e toutes les APDUs re ues sont rout es vers l application en cours Dans un terminal un logiciel particulier g re le lecteur de cartes En 1996 un ensemble d industriels de la carte puce et de syst mes informatiques ont adopt le standard PC SC 5 qui permet l int gration de lecteurs et de cartes dans les machines informatiques 88 Une nouvelle approcne de la carte puce r seau Une application met re oit des APDUs vers depuis un lecteur l aide d APls Application Programmatic Inter face d livr es par le syst me d exploitation D autres architectures sont galement en cours de d finiti
17. e d une connexion et pour le contr le de flux Parce que SmartTP re oit des donn es sans erreurs et dans l ordre d mission nous avons import de TCP seulement les notions de flag et de ports Un pdu SmartTP est divis en quatre sections Source Reference est un champ de deux octets qui pr cise la r f rence de l agent qui a mis le pdu Destination Reference indique la r f rence de l agent qui est adress le pau Flag est un ensemble de 8 bits Data est un champ optionnel de 0 256 octets qui contient l information chang e par les agents Flag est un ensemble de huit indicateurs ou encore bits dont trois ont une signification particuli re Open cet indicateur signifie que le pdu est associ une ouverture de session entre l agent source et destination Close cet indicateur signifie que le pdu associ est le dernier d une session Block l agent qui a mis le pdu suspend toute op ration et restera dans un tat d attente inactive jusqu la r ception d un nouveau pdu D autres indicateurs sont utiles pour de nombreux agents par exemple cinq indicateurs Open Close Block Read Write sont suffisant pour reproduire le paradigme OPEN READ WRITE CLOSE qui est utilis dans les syst mes Unix pour la manipulation des fichiers Un jeton token est un SmartTP pdu qui ne comporte pas de donn es et dont la taille est donc gale 5 octets Au contraire un Data pdu est un SmartTP pdu
18. e sens que pour un client TCP Un SmartTP pdu dont l indicateur Open est positionn a t re u Les donn es associ es sp cifient le port et l adresse d un serveur web distant Une connexion TCP est en cours d ouverture e WAIT_ AND _BLOCK l agent attend la r ception d un SmartTP pdu toutes les op rations r seaux sont ge l es e TCP_TRANSMIT des donn es sont en cours d mission sur le r seau internet e TCP_RECEIVE l agent est attente de r ception d information depuis le r seau internet e LEAVE si une erreur r seau s est produite un Token Close est mis dans le cas contraire l agent ferme la connexion TCP E La carte puce serveur web Un serveur web est un protocole d finit par un standard RFC Hyper Text Transfert Protocol RFC 2068 HTTP 1 1 Son impl mentation dans une carte puce se traduit par le fait que les donn es http chang es 127 0 0 1 Loopback Smart Layer HSL Card Smart Layer CSL travers le web par des paquets TCP IP sont Address transport es entre la carte et le terminal par des SmartTP pdu D un point de vue logique une session est ouverte entre un client le navigateur et un serveur web log dans la SmartTP SmartTP Address L ensemble internet terminal carte consti AMUX tue un m dia qui v hicule les donn es appli 18078164 POISE ISO 7816 4 catives http Une carte puce traditionnelle est APDU centric une ressource de la carte ee ee ugyer2 est acces
19. es client et serveur dont la valeur est pseudo unique c est a dire unique durant un intervalle de temps suffisant Un SmartTP pdu dont l indicateur Close est positionn est la marque d une fin de session Un client notifie a l entit SmartTP la fin d une session au moyen d une primitive ReleaseReference qui entra ne l abandon de la r f rence ph m re Etats et r gles associ s un Agent a Te ur Sch matiquement un agent poss de trois tats TCP Server R Connection established Rx Close pdu e D connect aucune session n est en cours avec un autre noms lune une Write agent p pi TCP CONNECT TCP RECEIVE e En Attente et Connect une session est ouverte avec un au Tee tre agent Tob client established e Bloqu l agent est en attente d un SmartTP pdu et suspend fix Dota LE Te fu Token toutes autres op rations r seaux en particulier PE ds Un agent respecte quatre r gles e Un agent ignore il ne g n re pas de pdu tout SmartTP pdu Rx Close pdu dont l indicateur Open n est pas positionn et qui n est pas as Rx Close pdu soci une session active tol rance aux pdu perdus Network error e Un agent ne r pond jamais il ne produit pas de pdu a un pdu ER Sree lose dont l indicateur Close est positionn Si n cessaire un jeton ie aT est g n r par l entit SmartTP e Lorsqu un agent re oit un SmartTP pdu dont la r f rence de source est nulle et avec l indicateur Close p
20. ives pour afficher des caract res ou lire des donn es depuis le clavier du t l phone mobile Les cartes actuelles sont mises en uvre d une mani re passive le terminal contr le toutes les actions men es par la carte La proactivit pour une carte internet signifie qu un tel dispositif est capable d acc der au web de sa propre initiative il r alise des op rations qui ne sont pas pr d finies par le terminal en d autres termes la carte se comporte comme un client TCP E L architecture TCP IP La carte ne poss de pas de ressources physiques permettant d acc der au r seau carte ethernet modem l id e de base est l utilisation depuis la carte des interfaces logicielles de communication disponibles sur le sys t me h te De fait la m me d marche est mise en uvre lorsqu un navigateur surfe sur le web l application le navigateur est capable d utiliser les ressources r seaux du syst me h te sur lequel elle s ex cute L utilisation du r seau par une application r seau se r sume la mise en uvre de couches logicielles fournies par le syst me h te dont l application conna t un point ou une m thode d acc s Dans l architecture TCP IP une application r seau telle que un navigateur web par exemple s appuie sur un mod le qui comporte les 4 premi res couches du mod le OSI 8 Les couches 1 et 2 repr sentent par exemple la carte physique ethernet ou un modem La machine voit utilise une ressource
21. n s rie dont la vitesse est comprise entre 9600 et 105900 bauds La puce ne comporte qu un seule patte d entr e sortie Fig 1 ce qui implique que seuls des protocoles d change de donn es half duplex altern s peuvent tre mis en uvre La diff rence essentielle entre un syst me informatique ordinaire et une carte est justement que cette derni re ne poss de aucun p riph rique classique d entr e sortie 26 comme par exemple un clavier une souris un cran ou une carte de communication ethernet Un SPOM a donc besoin de ressources externes pour fonc tionner certaines sont assur es par un lecteur de carte alimentation en nergie et en horloge et d autres fonc tions d entr e sortie telles que clavier ou cran sont localis es sur le terminal Aujourd hui l interface utilisateur la plus largement r pandue est un navigateur web la disponibilit d un tel logiciel suppose que le terminal poss de une pile protocolaire TCP IP et soit configur pour acc der internet Notre approche permet une carte puce 86 Une nouvelle approcne I de la carte puce r seau de partager les ressources r seaux disponibles sur le terminal pile TCP IP ou carte r seau qui par ailleurs ne rajoutent aucune fonction de s curit Une carte puce internet peut donc acc der de mani re s curis e des quantit s de donn es quasi illimit es nous pensons qu elle sera le moteur de nouveaux services tout en s adaptant ceux
22. on pour des plates formes diverses citons par exemple MUSCLE 7 OCF 6 Nous appellerons AMUX APDU multi plexeur la couche logicielle log e sur le terminal ou la carte qui r alise la commutation des APDUs vers les ap plications utilisatrices IP Header TCP Header iia Arc h itectu re d A u ne ca rte puce Application data Terminal gorani Data Card r seau L architecture que nous proposons est illustr e par la figure 2 Nous avons introduit une nouvelle couche Smart Layer qui utilise les services de l entit AMUX II mm ES existe une instance de cette couche c t terminal Host Smart Layer B HSL et une autre c t carte Card FT 4 Smart Layer CSL HSL acc de aux ressources r seaux SAPx qui sont disponibles sur le terminal et E Samur galement aux APIs associ es au lecteur de carte Elle PEE peut mettre ou recevoir des paquets vers depuis le SmartTP_Read r seau Elle tablit un chemin logique entre des applica DEA E tions r seaux telles que navigateur web ou courrier A eee lectronique et une carte puce ins r e dans le lecteur pe aa CSL voit le r seau gr ce aux informations qui sont chang es avec HSL Une couche Smart Layer com APDU porte deux sous ensembles pou Mux ou Mu e Des Smart Agents bytes e Une entit Smart Transfert Protocol SmartTP 1 0Protocot 1 0 Protocol stream qui se comporte comme un commutateur de pa quets lt gt Un Agen
23. ositionn il referme toutes ses sessions actives e Un agent r pond toujours un SmartTP pdu dont l indicateur Block est positionn si n cessaire il produit un jeton Figure 4 Agent R seau Les agents r seaux Un agent r seau est la cl de vo te d une carte puce r seau Il se comporte comme un proxy entre une connexion TCP IP et un autre agent r seau En raison des propri t s intrins ques du protocole TCP il est n ces saire de d finir deux sortes d agents r seaux les agents TCP serveur et les agents TCP client Un agent TCP serveur transforme une connexion entrante TCP en un pdu d ouverture de session Open un agent TCP client transforme un pdu d ouverture de session Open en une connexion TCP vers un serveur web distant Lors qu une connexion TCP a t tablie et qu une session inter agent lui a t associ e un tunnel est ouvert entre un agent carte et le web par le biais des services d un agent r seau Nous allons pr sent d crire l agent r seau que nous avons r alis Ce dernier comporte six tats et est organis autour d un pivot central WAIT_AND_ BLOCK pour lequel aucune op ration n est men e L agent est en attente d un SmartTP pdu qui d terminera son prochain tat lecture ou criture r seau 91 TECHNOLOGIES D e IDDLE dans cet tat un serveur TCP est en attente d une connexion ou bien un agent client attend un SmartTP pdu Open e TCP_CONNECT cet tat n a d
24. qui s appuie sur le fait qu il est impossible de lire le code ou les donn es stock es dans la puce la carte fournit de mani re traditionnelle deux types de services des algorithmes de chiffrement et le stockage des cl s associ es ces algorithmes permettent de r aliser des op rations d authentification de signature de chiffrement des donn es enregistr es sous forme de fichiers prot g s en lecture criture par diff rentes m thodes d authentifications E L approche classique carte a puce r seaux Cette vision traditionnelle de la carte se retrouve dans les applications r seaux peut tre parce que les cartes ne sont pas con ues la base pour de tel environnement La carte est un l ment de s curit rapport non sp cifique aux r seaux internet en particulier Les fonctions classiques de s curit dans un contexte r seau sont l identification login l authentification mot de passe secret partag la confidentialit chiffrement l int grit des donn es empreinte de donn es digest et la non r pudiation cl s publiques Par exemple la carte est ins r e dans une architecture s curis e par Secure Socket Layer SSL gr ce des modifications logicielles DLLs du syst me h te qui comporte un navigateur et galement du serveur 21 22 ISI IBM SmartCard Identification Protocol Elle permet d authentifier signature un utilisateur nomade tudiant et de lui affecter
25. s Integrated Circuit s Cards with Contacts ISO 7816 2 International Organization for Standardization Contactless integrated circuit s cards Proximity Cards ISO 14443 3 European Telecommunications Standards Institute Digital cellular telecommunications system Phase 2 Specification of the Subscri ber Identity Module Mobile Equipment SIM ME interface ETS GSM 11 11 4 European Telecommunications Standards Institute Digital cellular telecommunications system Phase 2 Specification of the SIM Application Toolkit for the Subscriber Identity Module Mobile Equipment SIM ME interface ETSI GSM 11 14 5 Interoperability Specification for CCs and Personal Computer Systems PC SC 1996 CP8 Transac HP Microsoft Schlumberger Siemens Nixdorf 6 OpenCard Framework OCF http www opencard org 7 Movement for the Use of Smart Cards in a Linux Environment MUSCLE http www linuxnet com smartcard index html 8 International Organization for Standardization Information Processing Systems Open Systems Interconnection Basic Reference Model ISO 7498 9 J Postel Transmission Control Protocol Request For Comment RFC 793 September 1981 10 Le mus e de la carte http Avww cardshow com museum exposition html 11 F Guez C Robbert A Lauret Les cartes a microcircuit MASSON 1988 12 Louis Claude Guillou Michel Ugon and Jean Jacques Quisquater The Smart Card A Standardized Security Devi
26. sible grace un jeu d APDUs Une carte r seau est URL centric c est a dire que les ressources offertes sont mises en nu uvre partir d URLS Consid rons pr INTERNET APDU sent un terminal qui comporte une pile TCP IP et un navigateur web L Url http 127 0 0 1 8080 dans laquelle 127 0 0 1 Figure 5 La Carte Puce Serveur Web est l adresse de boucle du terminal est 8080 le port TCP associ un agent r seau lui m me connect un agent carte serveur web permet d acc der un index de la carte une page html nomm e par exemple index html Cette derni re comporte des hyperliens qui d signent des ressources externes ou inter nes Nous appelons Terminal Virtuel le fait qu travers son serveur web la carte pr sente au terminal une re pr sentation virtuelle de ses ressources Une ressource carte peut tre une entit cryptographique algorithme divers un objet multim dia page html son image ou un logiciel applet java Une carte internet est un dispositif ouvert qui peut tre utilis sans connaissance pr alable zero knownledge device Un terminal TCP IP poss de deux adresses IP remarquables une adresse dite de boucle 127 0 0 1 et une adresse internet v ritable en cons quence une carte internet peut tre acc d e de mani re locale a partir de son terminal ou a distance depuis un point quelconque du web De mani re pratique un navigateur ouvre simultan ment plusieurs sessions TCP avec un
27. stock s dans la carte ainsi que des fichiers virtuels Il est possible de prot ger certain fichiers par un verrou chaque fois que le navigateur essaye d acc der a un fichier verrouill le serveur de la carte r pond par un formulaire qui demande l utilisateur de fournir un mot de passe Un smart proxy asso cie un fichier virtuel nomm eMail une proc dure de connexion un serveur de courrier gratuit auquel la carte fournit un login et un mot de passe encapsul s dans un formulaire http POST Le r sultat est que le porteur de la carte peut lire son courrier lectronique sans conna tre aucune information sur le serveur qui l abrite La couche HSL a t crite pour un ordinateur personnel quip d un syst me d exploitation win32 La taille du logiciel est modeste de l ordre de 100 ko Les performances en termes de d bits sont comprises entre 80 et 200 oc tets seconde en fonction du type de lecteur de carte utilis soit une fourchette moiti de 40 100 octets s pour les applications smart proxy Nous avons donc d montr qu il est possible de r aliser des cartes internet partir de cartes Java existantes capables de s adapter a des services d j pr sent sur le web Nous pensons que cette nouvelle technologie est une premi re tape vers la d finition d applications r seaux qui mettrons en uvre des objets virtuels Les puces disponibles au d but du prochain mill naire seront base de processeur RISC 32 bits
28. t est une entit logicielle autonome ELA stream qui peut tre r alis e sous diverses formes en fonction y du syst me h te par exemple une DLL Dynamic Link Figure 3 Pile protocolaire pour carte r seau Library dans un ordinateur personnel ou un Cardlet dans une carte puce Java Il est possible d envisager le chargement dynamique d agents en fonction des besoins du syst me Un agent est identifi par une r f rence un nombre de 16 bits qui peut tre fixe well known value ou ph m re C t terminal des agents r seaux sont capables d utiliser les ressources r seaux du terminal et fournissent un acc s internet aux agents cartes On distingue trois types d agents r seaux qui se diff rencient en fonction du SAP auquel ils ont acc s e Les Agents r seaux applicatifs qui sont reli s un SAP de niveau 4 et donc utilisent la totalit de la pile TCP IP du terminal e Les agents r seaux raw dans ce cas une prise SAP3 est disponible et l agent partage la couche IP du ter minal e Les agents r seaux paquets qui ont acc s une prise SAP2 par exemple et sont capables d mettre ou de recevoir des trames par exemple des trames ethernet Les agents changent des donn es au moyen de paquets que nous nommerons pdu protocol data unit SmartTP pdu en abr g L entit SmartTP se comporte comme un commutateur qui g re le flux des SmartTP pdu chang entre la couche AMUX et les agents 89 TECHNOLOGIE
29. t surfet nl Jim Walejko SmartCard Architecture NTU CA714 CA Graduate Computer Architecture http www cs berkely edu neefe ntu fa98 jim project html 1998 Naomaru Itoi Peter Honeyman Smartcard Integration with Kerberos V5 Proceedings of USENIX Workshop on Smartcard Technolo gy Chicago May 1999 pp 51 62 Naomaru Itoi Peter Honeyman Jim Rees SCFS A UNIX Filesystem for Smartcards Proceedings of USENIX Workshop on Smart Card Technology Chicago May 1999 pp 107 118 Bruce Schneier Adam Shostack Breaking Up Is Hard to Do Modeling Security Threats for Smart Cards Proceedings of USENIX Workshop on Smart Card Technology Chicago May 1999 pp 175 185 ACTIV CARD ActivCard Synchronous Authentification A white paper http www activecard com pressrom whitepapers des html Microsoft SmartCard White paper http www microsoft com windowsce smartcard 1999 95 TECHNOLOGIES D
30. terminal auquel elle est reli e clavier cran Smart Gare a souris navigateur acc s internet La carte se comporte comme un n ud v ritable du r seau internet elle r alise des applications conformes aux standards internet RFC Request For Comment http courrier lectroni Figure 1 Une carte puce que Par exemple elle comporte un serveur web accessible depuis un navigateur log sur le terminal elle est en mesure de g rer plusieurs ses sions TCP simultan es client ou serveur ce qui lui permet de r aliser un proxy qui agit comme une passerelle de s curit entre le navigateur et un serveur web distant Nous rentrons dans l re de l ubiquitous computing 18 omnipr sence des ordinateurs Ce qui signifie que de plus en plus d objets courants int grent un micropro cesseur et ont la capacit de se connecter internet selon Frost amp Sullivan 40 des dispositifs connect s internet en 2001 ne seront pas des ordinateurs personnels Les terminaux internet multim dia par nature puis que incorporant un navigateur tentent de se banaliser Un utilisateur parfois mobile utilisera plusieurs types de terminaux reli s internet dont il ne sera pas toujours le propri taire par exemple Le t l phone mobile le r seau GPRS permettra l acc s internet depuis un mobile en France vers le d but 2000 mais des solutions propri taires existent d j Nokia Les consoles de jeux Dreamcast de Sega
31. un terminal et une carte Six propri t s particuli res caract risent un agent Terminal un agent log dans le terminal Carte un agent qui r side dans une carte Local un agent qui n acc de pas une ressource r seau R seau un agent qui acc de des ressources r seaux Serveur un agent qui re oit une demande d ouverture de session un SmartTP pdu avec l indicateur Open positionn Client un agent qui initialise l ouverture d une session mission d un SmartTP pdu avec l indicateur Open positionn C t terminal les agents r seaux sont capables d acc der au web utilisation de librairies r seau Ce sont les composants cl s de notre architecture d un point de vue TCP ils se comportent comme des clients ou des serveurs et offrent aux agents cartes auxquels ils sont connect s un point d acc s au r seau Les Sessions Une session est un lien logique entre deux agents identifi s par une r f rence Un agent client met un SmartTP pdu dont l indicateur Open est positionn La r f rence d un client est ph m re elle est allou e par l entit SmartTP au moyen d une primitive GiveReference par exemple a l aide d un algorithme du type LRU Last Recently Used Un agent serveur re oit un SmartTP pdu avec l indicateur Open positionn La r f rence d un serveur est fixe et connue par convention well known value Une session est identifi e par le couple des r f renc
Download Pdf Manuals
Related Search