EP3560226A1 - Procédé d'obtention d'un profil d'accès à un réseau de télécommunications - Google Patents

Procédé d'obtention d'un profil d'accès à un réseau de télécommunications

Info

Publication number
EP3560226A1
EP3560226A1 EP17825898.4A EP17825898A EP3560226A1 EP 3560226 A1 EP3560226 A1 EP 3560226A1 EP 17825898 A EP17825898 A EP 17825898A EP 3560226 A1 EP3560226 A1 EP 3560226A1
Authority
EP
European Patent Office
Prior art keywords
network
profile
access
initial
new
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Withdrawn
Application number
EP17825898.4A
Other languages
German (de)
English (en)
Inventor
Saïd GHAROUT
Charles Hartmann
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Orange SA
Original Assignee
Orange SA
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Orange SA filed Critical Orange SA
Publication of EP3560226A1 publication Critical patent/EP3560226A1/fr
Withdrawn legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W8/00—Network data management
    • H04W8/18—Processing of user or subscriber data, e.g. subscribed services, user preferences or user profiles; Transfer of user or subscriber data
    • H04W8/20—Transfer of user or subscriber data
    • H04W8/205—Transfer to or from user equipment or user record carrier
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H04W12/069—Authentication using certificates or pre-shared keys
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W84/00—Network topologies
    • H04W84/02—Hierarchically pre-organised networks, e.g. paging networks, cellular networks, WLAN [Wireless Local Area Network] or WLL [Wireless Local Loop]
    • H04W84/04—Large scale networks; Deep hierarchical networks
    • H04W84/042—Public Land Mobile systems, e.g. cellular systems

Definitions

  • the invention relates to the field of telecommunications.
  • It relates more particularly to a method for obtaining a profile for accessing a mobile network from a mobile device.
  • a subscriber To access a mobile network, a subscriber must have on his mobile equipment a network access application and associated data. These elements are called “operator credentials”, or “operator profile”, or “network access profile”. They include data such as a subscriber identifier, generally referred to as “IMSI” (for "International Mobile Subscriber Identity”), and a secret key, denoted Kj key for 2G networks and K key for 3G and 4G networks. , whose knowledge is shared between the nominal mobile network, or "HPLMN" ("Home Public Land Mobile Network”), or subscriber's "home” network, and a subscriber card type security module, included in mobile equipment.
  • IMSI International Mobile Subscriber Identity
  • the subscriber is authenticated by the operator of the nominal network responsible for subscription when accessing the nominal network or a visited network.
  • the subscriber To access a mobile network, the subscriber must have an access profile associated with a subscription he has subscribed. Otherwise it does not get access to the network, except for emergency calls, according to the regulations of the country visited.
  • UICC type In the case of a removable conventional security module, UICC type, generally called “SIM” card (the “Subscriber Identity Module”), the profile of the operator is usually installed in the security module before acquisition mobile equipment by the subscriber.
  • SIM Subscriber Identity Module
  • embedded security module of "eUICC” type (for “embedded UICC”), or immovable SIM card
  • the profile can be installed before acquisition of the equipment by a user or later, once the equipment mobile in the possession of the user.
  • the user of the mobile equipment can control, via an interface of the mobile equipment after subscription of a subscription on a portal of the operator, or when subscribing in an operator's shop or a reseller, downloading the access profile prepared by the operator for that subscriber in the security module.
  • This mode of operation offers a certain flexibility during an initial subscription, or during a change of operator.
  • the access profile prepared by the operator at the time of the subscription is then sent to the security module through an Internet connection of the mobile equipment, or through the connectivity of an existing operator, when replacing a profile associated with a previous operator.
  • a local profile manager (LPA) installed on the mobile device retrieves the profile from the operator via the Internet connection and installs it on the eUICC card included in the equipment. .
  • LPA local profile manager
  • After installing the access profile on the security module it is activated.
  • the subscriber can then authenticate with the operator of the mobile network to access the network of this operator and associated services.
  • the security module is authenticated with a card certificate containing its physical identifier EID (for "eUICC Identifier"). This allows the operator to create an access profile that is only intended for this card, to the exclusion of any other, in the context of particularly secure procedures.
  • the profile corresponding to a subscription that has been subscribed beforehand to an identified operator must be installed on the security module before any access to the network. Either the profile is preinstalled, or you need existing cellular connectivity or Internet to install the profile.
  • One of the aims of the invention is to remedy the shortcomings / disadvantages of the state of the art and / or to make improvements thereto.
  • the invention proposes a method for obtaining a profile of access to a telecommunications network by mobile equipment, the method comprising:
  • said new access profile comprising a new subscriber identifier and a new secret key, said new profile being arranged to access said network.
  • the method provides the ability to obtain a mobile network access profile from an operator, without initially having existing connectivity with another operator, or Internet access to receive the profile of a mobile network. access.
  • the mobile equipment has initial operator data (or "credentials") which is an initial profile and which allow a first access to the operator's mobile network limited to obtaining a new profile associated with a subscription.
  • the new profile is an operational and sustainable profile in that it allows the subscriber to access the operator's network and related services as a customer.
  • the method does not require modifying the existing network architecture and / or defining a specific interface for access to the mobile network. It is up to the operator to provide a dedicated configuration network (or "provisioning").
  • the method comprises, when no subscription has been previously subscribed by a user of the mobile equipment from an operator associated with the network entity:
  • said message comprising the address of a site of the operator, said site being dedicated to subscription subscriptions,
  • the user of the mobile equipment has not yet subscribed to the operator.
  • the first access to the network allows him to access a portal of the operator dedicated to taking subscription.
  • the method comprises, when no subscription has been previously subscribed by a user of the mobile equipment from an operator associated with the network entity:
  • This example is a variant of the previous example in the sense that the subscription subscription is done here by telephone.
  • the initial identifier comprises at least one representative field of access limited to obtaining a network access profile.
  • the initial identifier of the initial profile has a generic format, in the sense that it comprises one or more specific fields.
  • the initial identifier includes an MCC country code field equal to "000" not currently used in the ITU-T E212 identification plan (for "International Telecommunication Union - Telecommunications Sector"), or the combination of an assigned MCC country code field, for example "901", currently shared by transnational networks and an unassigned MNC national network code field, for example "00".
  • This initial generic identifier format allows the operator receiving the network attachment request to implement the appropriate processing corresponding to limited access to obtaining an operational access profile.
  • the initial identifier is read by means of the mobile equipment on a ticket provided by the operator, said ticket comprising an identifier of a security module included in the mobile equipment.
  • This example eliminates the installation of the initial profile that includes the initial identifier and the initial secret key at the time of manufacture of the security module by a module manufacturer. Moreover, the operator already knows this initial key or has the means to compute it from the initial identifier.
  • This embodiment is interesting in the sense that the operator is freed from a prior agreement with the manufacturer of security modules for the preliminary injection of initial data in the modules.
  • the operator provides this initial data.
  • the operator controls the association between an initial profile and a security module by associating the ticket with the identifier of the security module.
  • the operational network access profile generated after the first access to the network using the initial profile is sent only to the security module whose module identifier coincides with the identifier that appears on the ticket. This increases the security of the method of obtaining a network access profile.
  • the invention also relates to a method for providing mobile equipment with a profile of access to a telecommunications network by a network entity, the method comprising:
  • the invention also relates to mobile equipment comprising:
  • means for sending arranged to send a request for access to the network, said request comprising an initial subscriber identifier included in an initial profile
  • authentication means arranged to implement mutual authentication with the network entity by means of an initial secret key associated with the initial identifier
  • the invention also relates to a program for mobile equipment, comprising program code instructions for controlling the execution of the steps of the method of obtaining a network access profile as described above, when the program is executed on said equipment.
  • the invention also relates to a data carrier in which the above program is recorded.
  • the invention also relates to a device of a telecommunications network, arranged to provide a mobile equipment with a network access profile, said device comprising:
  • receiving means arranged to receive from the mobile equipment a request for access to the network, said request comprising an initial subscriber identifier included in an initial profile
  • authentication means arranged to implement mutual authentication of the mobile equipment by means of an initial secret key associated with the initial identifier
  • the invention also relates to a program for a network device, comprising program code instructions for controlling the execution of the steps of the method of providing a network access profile as described above, when the program is executed on said entity.
  • the invention also relates to a data carrier in which the above program is recorded.
  • the invention also relates to a system for distributing access profiles to a telecommunications network comprising:
  • At least one mobile device as described above.
  • FIG. 1 presents the steps of a method of obtaining a mobile network access profile, according to a first exemplary embodiment
  • FIG. 2 presents the steps of a method for obtaining an access profile to a mobile network, according to a second exemplary embodiment
  • FIG. 3 is a schematic representation of a mobile equipment capable of implementing the method of obtaining an access profile to a mobile network, according to an exemplary embodiment
  • FIG. 4 is a schematic representation of a network equipment capable of implementing the method of obtaining an access profile to a mobile network, according to an exemplary embodiment.
  • a user has a mobile equipment 10, such as a mobile terminal, a tablet, etc.
  • the mobile equipment 10 comprises a security module 101 or subscriber card, such as an "eUICC” card (for "embedded UICC”) intended to contain an operator profile, or access profile, to access a mobile network.
  • eUICC embedded UICC
  • the operator profile prepared by an operator for a subscriber when subscribing to a subscription with this operator, is intended to be used by this subscriber when accessing the network of this operator and associated services.
  • the network of the operator to which he subscribes is called the nominal network, or home network, or HPLMN (for Home Public Land Mobile Network).
  • the operator profile comprises operator data such as a subscriber identifier understandable by the network and generally denoted "IMSI” (for "International Mobile Subscriber Identity”), a secret key denoted “K” in the 3G and 4G networks, and "3 ⁇ 4" in the 2G networks, shared between the security module 101 and the operator network, an authentication algorithm, for example Milenage or Tuak, parameters and possible applications specific to the operator, for example a payment application. Subsequently, the secret key is called "K key", regardless of the type of mobile network involved.
  • a mobile telecommunications network such as a 3G or 4G network, is schematized in FIG. 1 by a network entity 11.
  • a subscriber To access a mobile network, a subscriber must have operator data, or "credentials operators" which include a subscriber identifier, a secret key K shared with the subscriber's nominal network, ie - say the network to which the subscription was subscribed, and parameters specific to the authentication algorithm used to access the network.
  • the method for obtaining a mobile network access profile is described here in the context of a 4G LTE (Long Term Evolution) network, LTE-Advanced, or LTE-Advanced network. Pro.
  • the invention is however not limited to this type of network and applies also to other types of mobile networks such as for example a network "GPRS” (General Packet Radio Service “), or” UMTS “(English” Uni versai Mobile Telecommunications System “).
  • GPRS General Packet Radio Service
  • UMTS Universal Mobile Telecommunications System
  • the user has his mobile equipment 10 but that he does not yet have a network access profile associated with a subscription of a particular operator installed on his security module 101 allowing him to access this operator's mobile network and associated services.
  • the particular operator is the one that is associated with the network schematized by the network entity 11.
  • the user has subscribed to the operator by going, for example, to an agency of this type. operator.
  • the operator has generated an associated network access profile which, for the time being, is not installed in the security module 101.
  • the mobile equipment 10 does not have any alternative connectivity. that is, it does not have an active subscription with another operator, or Internet connectivity to install a profile corresponding to a subscription it has subscribed.
  • MNC Mobile Network Code
  • MSISDN Mobile Station ISDN
  • the security module 101 comprises an initial profile comprising an initial IMSI subscriber identifier. init , for example of type IMSI, an initial secret key denoted K init of an authentication algorithm and parameters of the authentication algorithm.
  • the initial profile was installed in the security module 101 during its manufacture. For example, an agreement has been made between a manufacturer of security modules at the origin of the module 101 and one or even several mobile network operators, including the operator who manages the network entity 11, so that the initial identifier IMSI init included in the initial profile installed by the manufacturer is considered as a partner identifier of the operator (s).
  • This initial profile is intended to obtain a first restricted connectivity to the operator.
  • “Restricted” means that this connectivity only makes it possible to obtain a second network access profile for the operator.
  • This restricted access corresponds to access to a configuration network (we speak of "provisioning” in English), or subscription management.
  • the second access profile is a perennial and classic access profile in the sense that it provides access to the operator's network and associated services, such as mobile Internet access, voice access, access SMS / MMS (for "Short / Multimedia Message Service”), etc., as a customer of this operator. It corresponds to the subscription subscribed by the user.
  • the initial profile is a generic profile in the sense that it is not associated with any particular operator.
  • Such a value is intended to allow the network operator receiving a network attachment request that includes such an identifier to process the access request as a request to obtain an access profile associated with a request. sustainable subscription and limit this access to a configuration network dedicated to obtaining and activating the perennial access profile.
  • the user tries to access the mobile network. For example, it turns on its mobile equipment 10.
  • the mobile equipment 10 then sends a request for attachment to the network on the radio channel.
  • the attachment request comprises an identifier of the user equipment 10, in this case the initial identifier IMSI init stored in the security module 101.
  • the attachment request is received by the network entity 11 in a reception step El i.
  • the network entity 11 analyzes the initial identifier IMSI init received. It identifies that it is an initial identifier associated with an initial profile because of the value of the specific MCC country code, or the combination of MCC country code and specific MNC national network code.
  • the network entity 11 obtains the initial secret key K init associated with the initial identifier IMSI in i t .
  • the network entity 11 calculates the initial secret key K init by applying a key derivation algorithm "KDF" (for "Key Derivation Function") to a master key “MK” (for "Master Key ”) And the initial identifier IMSI init received in the attachment request.
  • KDF KDF (MK, IMSI in i t ).
  • the key derivation algorithm KDF is the algorithm "AES” (for "Advanced Encryption Standard”).
  • the KDF key derivation algorithm is the PBKDF2 algorithm as defined in RFC2898 ("Request For Comment").
  • key derivation algorithm KDF is a function hash with secret key type authentication message "HMAC" (for "Keyed-Hashed Message Authentication Code").
  • a partner database stores the initial keys, in association with the initial identifiers and / or operator parameters.
  • the network entity 11 accesses the partner database in order to recover the initial secret key K init associated with the initial identifier IMSI init .
  • a subsequent authentication phase P14 the attachment procedure to the network continues and authentication between the mobile equipment 10, more precisely the security module 101, and the network entity 11 is implemented according to the registration procedure as described, for example, in the specification 3GPP TS 23.401.
  • the mobile equipment 10 is authenticated and encryption keys of the radio channel and integrity control, noted respectively CK and IK, and specific to the mobile equipment 11 were derived from the secret key initial K at .
  • the registration procedure described in the specification 3GPP TS 23.401 specifies a mutual authentication between the mobile equipment 10 and the network entity 11. In the case of a 2G network, authentication is one-sided in the sense that only l mobile equipment 10 is authenticated by the network entity 11.
  • the network entity 11 proceeds to send the network access profile of the operator associated with the subscription subscribed by the user.
  • the access profile prepared by the operator at the time of subscription, includes subscriber-specific data as a customer for access to the operator's network and associated services from the mobile device 10.
  • the access profile comprises a new subscriber's own IMSI identifier, a new associated secret key K, operator parameters specific to the authentication algorithm and any operator applications.
  • the access profile is sent by the network entity 11 using the encrypted channel of the radio channel. This profile replaces the initial profile on the security module 101.
  • the network access profile is received and automatically activated in a next step E16 of reception and activation.
  • the network entity 11 sends the access profile and then an explicit activation command for said profile to the mobile equipment 10.
  • the user controls the access profile. activation of the access profile once it has been received.
  • the initial identifier IMSI init and the initial secret key ⁇ ⁇ , stored on the security module 101 are deleted and replaced by the new identifier IMSI and the new secret key K. This embodiment corresponds to a case where the security relies entirely on the security of the radio channel inherent in the encryption of the radio channel from the encryption key CK generated during the authentication phase P14 to encrypt the voice or the data.
  • the described exemplary embodiment fits perfectly into an existing mobile network architecture. Indeed, it does not require modification at the interface with the mobile network. For example, it does not require modifying the network attachment procedure.
  • the network entity 11 erases the initial identifier IMSIj n i t and optionally the initial secret key K init associated in its partner database.
  • the initial data is transferred to a second database that includes the original data already in use; this second database is consulted by the operator when receiving new requests for attachment to the network. For security reasons, it is considered that such initial access data can only be used once. An attempt to access the network from initial data already in use is detected by the operator. The operator can thus guard against any attacks during which cards containing identifiers and initial secret keys would be cloned and used to obtain perennial access profiles.
  • a subsequent network access phase (not shown in FIG. 1), during which the user wishes to access the mobile network of the operator, the mobile equipment 10 sends a second attachment request to the network.
  • This second attachment request includes the new IMSI identifier that appears in the operational profile obtained during the implementation of the preceding steps.
  • the network entity 11 sends the user a "URL" (of the "Uniform Resource Locator") of access to an operator portal reserved for subscription subscriptions.
  • This sending is done via a network access point, or APN ("Access Point Name"), dedicated to the operator and offering limited connectivity, but allowing access to subscription subscriptions.
  • APN Access Point Name
  • the sending can be done by means of an SMS.
  • the subscriber is called by the operator. The subscriber provides the information necessary for the subscription.
  • An access profile is then generated by the operator and transmitted to the equipment mobile on the encrypted channel of the radio channel, in accordance with the step E15 of sending the profile. This access profile replaces the initial profile on the security module 101.
  • the security module is an eUICC module "M2M" (for "Machine To Machine”).
  • M2M for "Machine To Machine”
  • the M2M device does not have a user interface, it is necessary that an M2M subscription has been subscribed by an M2M equipment manager for the mobile equipment 10, prior to accessing the network intended for get the subscription profile.
  • the network access profile is sent by the network entity 11 via the encrypted radio channel, the data streams being protected in integrity or in an applicative manner.
  • the method is not limited to an eUICC type security module and in another exemplary embodiment, the security module is a conventional UICC SIM card type security module.
  • the method is identical to that described above and also applies to mobile equipment type customer equipment and M2M equipment.
  • the initial identifier IMSI init or the initial secret key K init or the means of generating it are already present in the security module 101 when the user acquires his mobile terminal 10
  • the initial identifier IMSLji t or even the initial secret key K init have indeed been installed by the manufacturer during the manufacture of the security module 101.
  • none of these data ie the initial identifier IMSI init and the initial secret key K init , is present in the security module 101 at the time of acquisition of the mobile equipment 10 by the user.
  • the operator when subscribing to the operator or when acquiring the mobile equipment 10 by the user, the operator generates an initial identifier IMSLji t and an associated initial secret key K init .
  • the operator also generates a ticket of QR Code type (for "Quick Response Code") which comprises the initial identifier IMSI init , the initial secret key K init , an identifier of the network of the operator of type "HPLMN" (for "Home Public Land Network” and possible operator parameters.
  • the ticket generated also comprises a physical identifier ID of the security module 101, which it stores in association with the initial identifier IMSI init and the initial secret key K init that it has generated.
  • the physical identifier ID of the security module 101 is of type ICCID (for "Integrated Circuit Card ID") in the case of a module of the UICC type, and EID (for "eUICC Identifier") in the case of a module security type eUICC.
  • the ticket generated is for example glued on the packaging of the mobile equipment 10, or sent to the user, or bought in a supermarket.
  • the user When the user wishes to access the network to obtain a network access profile, he flashes the ticket by means of his mobile equipment 10 in order to read the ticket data whose initial identifier IMSI init , the initial secret key ⁇ ⁇ ,.
  • the data read on the ticket are transmitted by a local profile manager of the type "LPA" (for "Local Profile Assistant") of the mobile equipment 10 to the security module 101.
  • LPA Local Profile Assistant
  • the local profile manager of the mobile equipment 10 retrieves the network access profile from the network entity 11 by providing the identifier ID of the security module.
  • the operator has added in the ticket information such as an address or a name of the profile server to contact.
  • SM-DP + for "Subscription Manager - Data Preparation"
  • a security module eUICC type "consumer device” respecting the implementation described in the GSMA specification SGP.22.
  • the use of a ticket to obtain the initial data and the network access profile is interesting in the sense that the operator is freed from prior agreement with the manufacturer of security modules for the prior injection of initial data in the security module. Note that in this case, the initial identifiers do not need to respect a specific format; they are specific to the operators.
  • an initial profile is also used to access the network to obtain a perennial access profile associated with a subscription.
  • the sending of the network access profile to the mobile equipment 10 is secured by predefined procedures based on a certificate specific to the security module.
  • the installation of the perennial access profile on the security module 101 is then performed by means of secure procedures based on this certificate, regardless of the security inherent in the encryption of the radio channel.
  • the security module 101 of the mobile equipment 10 is a client module, or "consumer device” type eUICC. It comprises an initial profile comprising an initial subscriber identifier IMSI init and an initial secret key K init .
  • the way to obtain this profile is identical to that described previously and is done for example following an agreement between a manufacturer of security modules and one or more operators.
  • the type of profile is also identical to that described above.
  • an initial step E20 the user turns on his mobile equipment to access the network.
  • the equipment issues a network attachment request that includes the initial subscriber identifier IMSI init .
  • the request is received in a receiving step E21.
  • the network entity 11 analyzes the initial identifier IMSI init . It identifies that it is an initial identifier associated with an initial profile, because of the value of the specific MCC country code, or the combination of MCC country code and specific MNC national network code.
  • the network entity 11 obtains the initial secret key K init associated with the initial identifier IMSI init .
  • the network entity 11 calculates the initial secret key K init by applying a key derivation algorithm KDF to a master key MK and to the initial identifier IMSI init .
  • the network entity 11 extracts from a partner database to which it has access the initial secret key K init stored in association with the initial identifier IMSI init .
  • a subsequent authentication phase P24 the attachment procedure continues and an authentication phase between the mobile equipment 10, more precisely the security module 101, and the network entity 11 is implemented in a known manner. in accordance with the registration procedure as described, for example, in the specification 3GPP TS 23.401.
  • the mobile equipment 10 is authenticated by the network entity 11 and encryption keys of the radio channel and integrity control, denoted CK and IK, were derived from the initial secret key K init .
  • the network entity 11 requests the mobile device 10 to send the certificate of the security module 101.
  • the network entity 11 sends the mobile equipment 10 a request GET DATA as defined for example by the GlobalPlatform association.
  • the request is received by the mobile equipment 10 in a receiving step E26.
  • the mobile equipment 10 sends the certificate of the security module 101.
  • the certificate is of the form: CERT.EUICC.ECDSA.
  • the certificate of the security module 101 is received by the network entity 11 in a reception step E28.
  • the network entity 11 proceeds, in a profile sending and activating step E29, sending the access profile to the security module 101 via the mobile equipment 10 in accordance with the GSMA specification SGP.22 which describes an architecture for the provision to profile distance to a security module (or "RSP" for "Remote SIM Provisioning").
  • the network access profile is received by the security module 101 and automatically activated. It replaces the initial profile used for the first access to the network. For example, in the case of an eUICC module, the initial profile is disabled and the received access profile becomes the active profile.
  • the network entity 11 sends an explicit activation command to the security module 101 via the mobile equipment 10. In another variant embodiment, it is the user of the mobile equipment 10 which explicitly activates its network access profile.
  • the initial data IMSI init and K init are transferred to the second database which includes the initial data already in use to check that this initial data is only used once.
  • the network entity 11 prior to the step E29 of sending the access profile, sends to the mobile equipment 10 a URL which includes a link to a portal of the operator dedicated to the subscription of the user. subscriptions to this operator.
  • the URL is sent by SMS.
  • the user selects the link and subscribes to a subscription.
  • the operator generates the subscription from the information provided by the user and sends in step E29 the generated profile as described above.
  • the operator instead of sending a link to a subscription site, the operator calls the subscriber to subscribe by phone.
  • the user has an application on his mobile equipment to make the subscription.
  • the security module is an eUICC M2M module.
  • the security module is an eUICC M2M module.
  • the network access profile is sent by the network entity 11 in accordance with the GSMA specification SGP.02, specific to the M2M equipment.
  • the certificate of the security module is of the form: CERT.EUICC.ECKA.
  • the second exemplary embodiment has been described in the case of a security module 101 of eUICC type for a client module or "consumer device" and for an M2M module.
  • the invention is not limited to these examples.
  • the invention also applies to a conventional security module UICC SIM card type.
  • the sending of the access profile differs slightly from that described with reference to FIG. 2.
  • a subscription has been subscribed by the user and that a profile has been generated by the operator. It is assumed that this profile is stored by the operator and accessible by the network entity 11 and that this profile is encrypted by the operator by means of a random encryption key K rand profiles.
  • the network entity 11 sends in the information request step E25 a GET DATA request intended to obtain the certificate of the security module 101.
  • the mobile equipment 10 sends in response in the step E27 the certificate of the security module. security 101.
  • the network entity 11 retrieves the public key Pkuicc from the certified security module 101 that appears in the certificate of the security module 101.
  • the network entity 11 sends the random encryption key profiles K rand , encrypted by means of the public key Pkuicc-
  • the network entity 11 sends the encrypted access profile .
  • the mobile equipment 10, more precisely the security module 101 decrypts the random encryption key of K rand profiles by means of its private key associated with the certified public key and decrypts the profile by means of the random encryption key K profiles. rand . This mode of obtaining the profile conforms to the GlobalPlatform model "PushModel".
  • conforming to the GlobalPlatform model SCP 11 for "Secure Channel Protocol"
  • the network entity 11 once the network entity 11 has received the certificate of the public key of the security module 101, the network entity 11 and the mobile equipment 10, more precisely the security module 101 calculate a common session key K sess according to a known protocol, for example Diffie-Hellmann.
  • the session key K sess generated is then used by the network entity 11 to encrypt the access profile and send it to the security module 101 via the mobile equipment 10.
  • the session key K sess is used to encrypt the random encryption key K rand profiles.
  • the initial key K init and the physical identifier ID of the security module 101 are inserted by the operator in a ticket which is flashed. by the mobile equipment 10, the operator uses the physical identifier ID to secure the installation of the network access operational profile.
  • the operator thus controls that the network access profile generated after the first access to the network by means of the initial profile is sent only to the security module 101 whose module identifier which appears in the module's certificate. security coincides with the one he has memorized in association with the original data and entered in the ticket he has generated.
  • the network entity 11 requests the mobile equipment 10 during the information request step E25, the physical identifier ID of the security module 101. It sends for this purpose a GET DATA request such as as defined for example by the GlobalPlatform association. It receives the physical identifier of the security module 101 in the response step E27. The network entity 11 then checks that the physical identifier it has received is the same as the identifier ID that it has registered and inserted in the ticket before proceeding to send the access profile during the the step E29 of sending the profile. This provides additional security for the operator. In this way, the operator secures upstream the subsequent installation of the network access profile by inserting in the ticket the physical identifier ID of the security module 101.
  • a ticket that includes the initial data IMSI init , K init , the physical identifier ID of the security module 101 and an IP address of a server of the operator that generates and / or makes available Network access profiles that it generates after subscriptions subscription is created.
  • the ticket is then read by the mobile equipment 10.
  • the local LPA profile manager of the mobile equipment 10 retrieves from the network entity 11 the network access profile via the limited connectivity provided by the initial profile.
  • the information requesting steps E25, receiving E26, receiving E27 and receiving E28 are not implemented. This simplifies the process of obtaining a network access profile.
  • a mobile device 10 is for example a user equipment such as a mobile terminal, a tablet.
  • the mobile device 10 is an M2M device. Note that in this case it does not have a user interface. In this case, it is associated with an M2M equipment fleet manager.
  • the mobile equipment 10 conventionally comprises a radio interface arranged to interface with a mobile communication network, a processor, a set of memories (these elements are not represented in FIG. 3) and a security module 101, for example an eUICC card.
  • the security module 101 is designed to store and process sensitive data, such as keys and cryptographic algorithms. Such data and algorithms are intended to be used when accessing the mobile network.
  • sensitive data such as keys and cryptographic algorithms. Such data and algorithms are intended to be used when accessing the mobile network.
  • the interactions between the mobile terminal 10 and the security module 101 are very close and known. For reasons of readability, only the elements which form part of the security module 101 are described below and only appear in FIG.
  • the mobile equipment 10 comprises in the security module 101:
  • a processing unit or processor 1011 or “CPU” (of the “Central Processing Unit”), intended to load instructions in memory, to execute them, to perform operations;
  • the storage memory 1103 is arranged to store a software module for obtaining a mobile network access profile that includes code instructions for implementing the steps of the method for obtaining a profile. network access as described above and which are implemented by the security module 101.
  • the storage memory 1013 is also arranged to store in a secure area an IMSI type subscriber identifier and a secret key K.
  • the subscriber identifier may be an initial identifier IMSI init and the secret key an initial secret key K init intended to be used only for limited access to the operator's network and intended to obtain an access profile. perennial to the network of this operator. This initial data is intended to be replaced by a perennial identifier and secret key, obtained following a subscription subscription to the operator.
  • Mobile equipment 10 also includes:
  • a sending module 1014 arranged to send a request for access to the network, said request comprising an initial subscriber identifier IMSI init included in an initial profile.
  • the sending module 1014 is arranged to implement the steps E10 and E20 of the methods for obtaining a network access profile described above;
  • an authentication module 1015 arranged to implement mutual authentication with the network entity 11 by means of the initial secret key K init associated with the initial identifier IMSI init .
  • the authentication module 1015 is arranged to implement the phases P14 and P24 of the methods for obtaining a network access profile as described above; -
  • a receiving module 1016 arranged to receive from the network entity 11 a new network access profile, said new access profile comprising a new subscriber identifier and a new secret key.
  • the new identifier and the new secret key are arranged to access the network and the associated services of the operator as a client.
  • the reception module 1016 is arranged to implement the steps E1 and E30 of the methods for obtaining a network access profile as described above.
  • the sending module 1014, the authentication module 1015 and the receiving module 1016 are preferably software modules comprising software instructions for implementing the steps of the methods for obtaining a network access profile. as previously described.
  • the invention therefore also relates to:
  • the invention is not limited to a user equipment of this type and in another embodiment, the mobile equipment 10 comprises a secure software area arranged to process the sensitive network access data.
  • a network device 11, according to an exemplary embodiment will now be described in relation to FIG. 4.
  • the network device 11 is arranged to receive from mobile equipment network attachment requests which comprise an initial identifier IMSI init , to implement mutual authentication with the mobile equipment on the basis of the initial identifier IMSIi n i t and a secret key associated K init , to generate a new operational and perennial access profile to the network and associated services for the user of the mobile equipment 11, said new profile comprising a new subscriber identifier and a new secret key, and to send the new profile to the mobile device.
  • the network device 11 is formed of one or more computer equipment, such as computers.
  • the network device 11 comprises:
  • a processing unit or processor 111 intended to load instructions in memory, to execute them, to perform operations
  • the storage memory 113 is arranged to store a software module for providing an access profile to a mobile network which comprises code instructions for implementing the steps of the method for obtaining a profile of a mobile network. network access which are implemented by the network device 11;
  • access interfaces 114 to databases, such as a partner database comprising initial identifiers and associated initial secret keys and a database of subscriber identifiers and associated secret keys.
  • databases such as a partner database comprising initial identifiers and associated initial secret keys and a database of subscriber identifiers and associated secret keys.
  • the network device 11 also comprises:
  • reception module 115 arranged to receive from a mobile equipment a network access request, said request comprising an initial subscriber identifier IMSI init included in an initial profile.
  • the reception module 116 is arranged to implement the steps El i and E21 of the methods for obtaining a mobile network access profile as described above;
  • a mutual authentication module 116 arranged to implement mutual authentication with the mobile equipment by means of an initial secret key K init associated with the initial identifier.
  • the mutual authentication module 116 is arranged to implement the phases P14 and P24 of the methods for obtaining a mobile network access profile as described above;
  • the module 117 for sending a new profile is arranged to implement steps E15 and E29 of the methods for obtaining a mobile network access profile as described above.
  • the module 117 for sending a new access profile interfaces with a profile generation module (not shown in FIG. 4), designed to generate the new network subscription profiles.
  • the profile generation module provides an interface that can be accessed by the user to provide his subscription data.
  • the receiving modules 115, 116 for authentication and 117 for sending a new profile are preferably software modules comprising software instructions for implementing the steps of the methods for obtaining an access profile to a new profile. network as described above and which are implemented by the network device 11.
  • the invention therefore also relates to: a computer program comprising instructions for implementing the method for obtaining a network access profile as described above when this program is executed by a processor of the network device 11,
  • the invention also relates to a system for distributing access profiles to a telecommunications network comprising:
  • At least one mobile device as described above.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • Databases & Information Systems (AREA)
  • Mobile Radio Communication Systems (AREA)

Abstract

Procédé d'obtention d'un profil d'accès à un réseau mobile de télécommunications L'invention concerne un procédé d'obtention d'un profil d'accès à un réseau de télécommunications par un équipement mobile (10), le procédé comprenant : - envoi (E10) par l'équipement mobile à une entité réseau (11) d'une requête d'accès audit réseau, ladite requête comprenant un identifiant initial d'abonné (IMSIinit) compris dans un profil initial, - authentification mutuelle (P14) entre l'équipement mobile et l'entité réseau au moyen d'une clé secrète initiale (Kinit) associée à l'identifiant initial, - réception (E16) en provenance l'entité réseau d'un nouveau profil d'accès audit réseau, ledit nouveau profil d'accès comprenant un nouvel identifiant d'abonné et une nouvelle clé secrète, ledit nouveau profil étant agencé pour accéder audit réseau.

Description

Procédé d'obtention d'un profil d'accès à un réseau de télécommunications
L'invention se rapporte au domaine des télécommunications.
Elle concerne plus particulièrement un procédé d'obtention d'un profil pour accéder à un réseau mobile à partir d'un équipement mobile.
Pour accéder à un réseau mobile, un abonné doit disposer sur son équipement mobile d'une application d'accès au réseau et de données associées. Ces éléments sont appelés « credentials opérateur », ou « profil opérateur », ou « profil d' accès au réseau ». Ils comprennent des données telles qu'un identifiant d'abonné, désigné généralement par « IMSI » (pour « International Mobile Subscriber Identity »), et une clé secrète, notée clé Kj pour les réseaux 2G et clé K pour les réseaux 3G et 4G, dont la connaissance est partagée entre le réseau mobile nominal, ou « HPLMN » (pour « Home Public Land Mobile Network »), ou réseau « home » de l'abonné, et un module de sécurité de type carte d'abonné, compris dans l'équipement mobile.
A partir de la clé K/Kj commune, de paramètres opérateurs, d'un algorithme d' authentification, par exemple Milenage, et d'une architecture de sécurité définie par l'organisme 3GPP, l'abonné est authentifié par l'opérateur du réseau nominal responsable de abonnement lors de son accès au réseau nominal ou à un réseau visité.
Ainsi, pour accéder à un réseau mobile, l'abonné doit disposer d'un profil d'accès associé à un abonnement qu'il a souscrit. A défaut il n'obtient pas l'accès au réseau, hormis pour des appels d'urgence, selon la réglementation du pays visité.
Dans le cas d'un module de sécurité classique amovible, de type UICC, appelé généralement carte « SIM » (de l'anglais « Subscriber Identity Module »), le profil de l'opérateur est habituellement installé dans le module de sécurité avant acquisition de l'équipement mobile par l'abonné. Dans le cas d'un module de sécurité embarqué de type « eUICC » (pour « embedded UICC »), ou carte SIM inamovible, le profil peut être installé avant acquisition de l'équipement par un utilisateur ou ultérieurement, une fois l'équipement mobile en possession de l'utilisateur. Dans ce dernier cas, l'utilisateur de l'équipement mobile peut commander, via une interface de l'équipement mobile après souscription d'un abonnement sur un portail de l'opérateur, ou lors de la souscription dans une boutique de l'opérateur ou d'un revendeur, le téléchargement du profil d'accès préparé par l'opérateur pour cet abonné dans le module de sécurité. Ce mode de fonctionnement offre une certaine souplesse lors d'une souscription initiale, ou lors d'un changement d'opérateur. Le profil d'accès préparé par l'opérateur au moment de l'abonnement est alors envoyé vers le module de sécurité à travers une liaison Internet de l'équipement mobile, ou à travers la connectivité d'un opérateur existant, lors du remplacement d'un profil associé à un précédent opérateur. Plus précisément, un gestionnaire local de profil, ou LPA (pour « Local Profile Assistant ») installé sur l'équipement mobile récupère auprès de l'opérateur le profil via la connexion Internet et l'installe sur la carte eUICC comprise dans l'équipement. Après installation du profil d'accès sur le module de sécurité, celui-ci est activé. L'abonné peut alors s'authentifier auprès de l'opérateur du réseau mobile pour accéder au réseau de cet opérateur et aux services associés. A noter que le module de sécurité est authentifié grâce à un certificat de carte contenant son identifiant physique EID (pour « eUICC Identifier »). Cela permet à l'opérateur de créer un profil d'accès qui est uniquement destiné à cette carte, à l'exclusion de toute autre, dans le cadre de procédures particulièrement sécurisées.
Dans les deux cas, c'est-à-dire dans le cas d'un module de sécurité classique de type carte SIM ou dans le cas d'un module de type carte eUICC, le profil correspondant à un abonnement qui a été souscrit préalablement auprès d'un opérateur identifié doit être installé sur le module de sécurité avant tout accès au réseau. Soit le profil est préalablement installé, soit il faut disposer d'une connectivité cellulaire existante ou Internet pour permettre l'installation du profil.
Actuellement aucune procédure n'est définie pour permettre d'accéder à n'importe quel réseau mobile et aux services associés sans possession préalable d'un profil d'accès créé pour abonné.
Un des buts de l'invention est de remédier à des insuffisances/inconvénients de l'état de la technique et/ou d'y apporter des améliorations.
A cette fin, l'invention propose un procédé d'obtention d'un profil d'accès à un réseau de télécommunications par un équipement mobile, le procédé comprenant :
- envoi par l'équipement mobile à une entité réseau d'une requête d'accès audit réseau, ladite requête comprenant un identifiant initial d'abonné compris dans un profil initial,
- authentification mutuelle entre l'équipement mobile et l'entité réseau au moyen d'une clé secrète initiale associée à l'identifiant initial,
- réception en provenance l'entité réseau d'un nouveau profil d'accès audit réseau, ledit nouveau profil d'accès comprenant un nouvel identifiant d'abonné et une nouvelle clé secrète, ledit nouveau profil étant agencé pour accéder audit réseau.
Le procédé offre la possibilité d'obtenir un profil d'accès à un réseau mobile auprès d'un opérateur, sans disposer initialement d'une connectivité existante auprès d'un autre opérateur, ou d'un accès Internet pour recevoir le profil d'accès. L'équipement mobile dispose de données opérateurs (ou « credentials ») initiales qui constituent un profil initial et qui permettent un premier accès au réseau mobile de l'opérateur limité à l'obtention d'un nouveau profil associé à un abonnement. Le nouveau profil est un profil opérationnel et pérenne dans le sens où il permet à l'abonné d'accéder au réseau de l'opérateur et aux services associés en tant que client.
Par ailleurs le procédé ne nécessite pas de modifier l'architecture de réseau existante et/ou de définir une interface spécifique pour l'accès au réseau mobile. C'est à l'opérateur de mettre à disposition un réseau de configuration (ou « provisioning ») dédié.
Dans un exemple de réalisation, le procédé comprend, lorsqu' aucun abonnement n'a été préalablement souscrit par un utilisateur de l'équipement mobile auprès d'un opérateur associé à l'entité réseau :
- réception d'un message, ledit message comprenant l'adresse d'un site de l'opérateur, ledit site étant dédié à des souscriptions d'abonnements,
- accès au site et souscription d'un abonnement auprès de l'opérateur associé à l'entité réseau, ledit abonnement étant utilisé par l'opérateur pour générer le profil d'accès.
Dans cet exemple de réalisation, l'utilisateur de l'équipement mobile n'a pas encore souscrit d'abonnement auprès de l'opérateur. Le premier accès au réseau lui permet d'accéder à un portail de l'opérateur dédié à la prise d'abonnement.
Dans une autre variante de réalisation, le procédé comprend, lorsqu' aucun abonnement n'a été préalablement souscrit par un utilisateur de l'équipement mobile auprès d'un opérateur associé à l'entité réseau :
- réception d'un appel téléphonique en provenance de l'opérateur,
- souscription d'un abonnement auprès de l'opérateur associé à l'entité réseau, ledit abonnement étant utilisé par l'opérateur pour générer le profil d'accès.
Cet exemple constitue une variante de l'exemple précédent dans le sens où la souscription d'abonnement se fait ici par téléphone.
Dans un exemple de réalisation, l'identifiant initial comprend au moins un champ représentatif d'un accès limité à l'obtention d'un profil d'accès au réseau.
Dans cet exemple, l'identifiant initial du profil initial possède un format générique, dans le sens où il comprend un ou plusieurs champs spécifiques. Par exemple, l'identifiant initial comprend un champ code pays MCC égal à « 000 », non utilisé actuellement dans le plan d'identification E212 de l'UIT-T (pour « Union Internationale des Télécommunications - secteur Télécommunications »), ou la combinaison d'un champ code pays MCC attribué, par exemple « 901 », actuellement partagé par des réseaux transnationaux et un champ code réseau national MNC non attribué, par exemple « 00 ». Ce format générique d'identifiant initial permet à l'opérateur qui reçoit la requête d'attachement au réseau de mettre en œuvre le traitement adéquat correspondant à un accès limité à l'obtention d'un profil d'accès opérationnel.
Dans un autre exemple de réalisation, l'identifiant initial est lu au moyen de l'équipement mobile sur un ticket fourni par l'opérateur, ledit ticket comprenant un identifiant d'un module de sécurité compris dans l'équipement mobile.
Cet exemple permet de s'affranchir de l'installation du profil initial qui comprend l'identifiant initial et la clé secrète initiale au moment de la fabrication du module de sécurité par un fabricant de modules. Par ailleurs, l'opérateur connaît déjà cette clé initiale ou possède le moyen de la calculer à partir de l'identifiant initial.
Cet exemple de réalisation est intéressant dans le sens où l'opérateur s'affranchit d'un accord préalable avec le fabricant de modules de sécurité pour l'injection préalable de données initiales dans les modules. Ici, c'est l'opérateur qui fournit ces données initiales. Par ailleurs, l'opérateur contrôle l'association entre un profil initial et un module de sécurité en associant le ticket à l'identifiant du module de sécurité. Ainsi, le profil d'accès au réseau opérationnel généré après le premier accès au réseau au moyen du profil initial n'est envoyé qu'au module de sécurité dont l'identifiant de module coïncide avec l'identifiant qui figure sur le ticket. Cela accroît la sécurité du procédé d'obtention d'un profil d'accès au réseau.
L'invention concerne aussi un procédé de fourniture à un équipement mobile d'un profil d' accès à un réseau de télécommunications par une entité réseau, le procédé comprenant :
- réception en provenance d'un équipement mobile d'une requête d'accès au réseau, ladite requête comprenant un identifiant initial d'abonné compris dans un profil initial,
- authentification mutuelle entre l'entité réseau et l'équipement mobile au moyen d'une clé secrète initiale associée à l'identifiant initial,
- envoi à l'équipement mobile d'un nouveau profil d'accès au réseau, ledit nouveau profil d'accès comprenant un nouvel identifiant d'abonné et une nouvelle clé secrète, ledit nouveau profil étant agencé pour accéder audit réseau.
L'invention porte également sur un équipement mobile comprenant :
- des moyens d'envoi, agencés pour envoyer une requête d'accès au réseau, ladite requête comprenant un identifiant initial d' abonné compris dans un profil initial,
- des moyens d' authentification, agencés pour mettre en œuvre une authentification mutuelle avec l'entité réseau au moyen d'une clé secrète initiale associée à l'identifiant initial,
- des moyens de réception, agencés pour recevoir en provenance l'entité réseau un nouveau profil d'accès au réseau, ledit nouveau profil d'accès comprenant un nouvel identifiant d'abonné et une nouvelle clé secrète, ledit nouveau profil étant agencé pour accéder audit réseau. L'invention concerne aussi un programme pour un équipement mobile, comprenant des instructions de code de programme destinées à commander l'exécution des étapes du procédé d'obtention d'un profil d'accès à un réseau tel que décrit précédemment, lorsque le programme est exécuté sur ledit équipement.
L'invention concerne également un support de données dans lequel est enregistré le programme ci-dessus.
L'invention porte aussi sur un dispositif d'un réseau de télécommunications, agencé pour fourni à un équipement mobile un profil d'accès au réseau, ledit dispositif comprenant :
- des moyens de réception, agencés pour recevoir en provenance de l'équipement mobile une requête d'accès au réseau, ladite requête comprenant un identifiant initial d'abonné compris dans un profil initial,
- des moyens d' authentification, agencés pour mettre en œuvre une authentification mutuelle l'équipement mobile au moyen d'une clé secrète initiale associée à l'identifiant initial,
- des moyens d'envoi, agencés pour envoyer à l'équipement mobile un nouveau profil d'accès au réseau, ledit nouveau profil d'accès comprenant un nouvel identifiant d'abonné et une nouvelle clé secrète, ledit nouveau profil étant agencé pour accéder audit réseau.
L'invention concerne également un programme pour un dispositif réseau, comprenant des instructions de code de programme destinées à commander l'exécution des étapes du procédé de fourniture d'un profil d'accès à un réseau tel que décrit précédemment, lorsque le programme est exécuté sur ladite entité.
L'invention concerne aussi un support de données dans lequel est enregistré le programme ci-dessus.
L'invention concerne également un système de distribution de profils d'accès à un réseau de télécommunications comprenant :
- un dispositif réseau tel que décrit précédemment,
- au moins un équipement mobile tel que décrit précédemment.
D'autres caractéristiques et avantages de la présente invention seront mieux compris de la description et des dessins annexés parmi lesquels :
- la figure 1 présente les étapes d'un procédé d'obtention d'un profil d'accès à un réseau mobile, selon un premier exemple de réalisation ;
- la figure 2 présente les étapes d'un procédé d'obtention d'un profil d'accès à un réseau mobile, selon un deuxième exemple de réalisation ; - la figure 3 est une représentation schématique d'un équipement mobile apte à mettre en œuvre le procédé d'obtention d'un profil d'accès à un réseau mobile, selon un exemple de réalisation ;
- la figure 4 est une représentation schématique d'un équipement réseau apte à mettre en œuvre le procédé d'obtention d'un profil d'accès à un réseau mobile, selon un exemple de réalisation.
Les étapes d'un procédé d'obtention d'un profil d'accès à un réseau mobile depuis un équipement mobile, selon un premier exemple de réalisation vont être décrites en relation avec la figure 1.
Dans l'exemple de réalisation décrit ici, un utilisateur (non représenté) possède un équipement mobile 10, tel qu'un terminal mobile, une tablette, etc. L'équipement mobile 10 comprend un module de sécurité 101 ou carte d'abonné, tel qu'une carte « eUICC » (pour « embedded UICC »), destiné à contenir un profil opérateur, ou profil d'accès, pour accéder à un réseau mobile. Le profil opérateur, préparé par un opérateur pour un abonné lors de la souscription d'un abonnement auprès de cet opérateur, est destiné à être utilisé par cet abonné lors de l'accès au réseau de cet opérateur et à des services associés. Pour l'abonné, le réseau de l'opérateur auprès duquel il souscrit l'abonnement est appelé réseau nominal, ou réseau « home », ou « HPLMN » (pour « Home Public Land Mobile Network »). Le profil opérateur comprend des données opérateur telles qu'un identifiant d'abonné compréhensible par le réseau et généralement noté « IMSI » (pour « International Mobile Subscriber Identity »), une clé secrète notée « K » dans les réseaux 3G et 4G, et « ¾ » dans les réseaux 2G, partagée entre le module de sécurité 101 et le réseau de l'opérateur, un algorithme d'authentification, par exemple Milenage ou Tuak, des paramètres et d'éventuelles applications propres à l'opérateur, par exemple une application de paiement. Par la suite, la clé secrète est appelée « clé K », indépendamment du type de réseau mobile concerné. Un réseau mobile de télécommunications, tel un réseau de type 3G, ou 4G est schématisé sur la figure 1 par une entité réseau 11.
A noter que pour accéder à un réseau mobile, un abonné doit posséder des données opérateurs, ou « credentials opérateurs » qui comprennent un identifiant d'abonné, une clé secrète K partagée avec le réseau nominal de l'abonné, c'est-à-dire le réseau auprès duquel l'abonnement a été souscrit, et des paramètres propres à l'algorithme d'authentification utilisé pour accéder au réseau.
Le procédé d'obtention d'un profil d'accès à un réseau mobile est décrit ici dans le cadre d'un réseau de type 4G LTE (de l'anglais « Long Terme Evolution »), LTE- Advanced, ou LTE-Advanced Pro. L'invention n'est cependant pas limitée à ce type de réseau et s'applique également à d'autres types de réseaux mobiles tels que par exemple un réseau « GPRS » (de l'anglais « General Packet Radio Service »), ou « UMTS » (de l'anglais « Uni versai Mobile Télécommunications System »).
On suppose qu'initialement, l'utilisateur dispose de son équipement mobile 10 mais qu'il n'a pas encore de profil d'accès au réseau associé à un abonnement d'un opérateur particulier installé sur son module de sécurité 101 lui permettant d'accéder au réseau mobile de cet opérateur et aux services associés. L'opérateur particulier est celui qui est associé au réseau schématisé par l'entité réseau 11. Dans cet exemple de réalisation, on suppose que l'utilisateur a souscrit un abonnement auprès de l'opérateur en se rendant par exemple dans une agence de cet opérateur. L'opérateur a généré un profil d'accès au réseau associé qui pour l'instant n'est pas installé dans le module de sécurité 101. On suppose par ailleurs que l'équipement mobile 10 n'a pas de connectivité alternative, c'est-à-dire qu'il n'a pas d'abonnement actif auprès d'un autre opérateur, ou de connectivité Internet pour installer un profil correspondant à un abonnement qu'il a souscrit.
Pour mémoire, un identifiant d'abonné de type IMSI comprend plusieurs champs : un code de pays, ou « MCC » pour « Mobile Country Code » ; par exemple, MCC = 208 correspond à la France métropolitaine,
un code de réseau, ou « MNC » pour « Mobile Network Code » ; par exemple, MNC = 01 correspond à l'opérateur Orange™,
- un numéro d'identification d'abonné, ou « MSISDN » pour « Mobile Station ISDN
Number ». C'est un numéro du plan de numérotation E.164 qui correspond au numéro international de l'abonné.
Dans un état préalable (non représenté sur le figure 1) correspondant par exemple à l'obtention de l'équipement mobile 10 par l'utilisateur, on suppose que le module de sécurité 101 comprend un profil initial comprenant un identifiant initial d'abonné IMSIinit, par exemple de type IMSI, une clé secrète initiale notée Kinit d'un algorithme d' authentification et des paramètres de l'algorithme d' authentification. Le profil initial a été installé dans le module de sécurité 101 lors de sa fabrication. Par exemple, un accord a été passé entre un fabricant de modules de sécurité à l'origine du module 101 et un, voire plusieurs opérateurs de réseau mobile, dont l'opérateur qui gère l'entité réseau 11, afin que l'identifiant initial IMSIinit compris dans le profil initial installé par le fabricant soit considéré comme un identifiant partenaire du/des opérateurs. Ce profil initial est destiné à obtenir une première connectivité restreinte vers l'opérateur. « Restreinte » signifie que cette connectivité permet uniquement d'obtenir un deuxième profil d'accès au réseau de l'opérateur. Cet accès restreint correspond à un accès à un réseau de configuration (on parle de « provisioning » en anglais), ou de gestion d'abonnement. Le deuxième profil d'accès est un profil d'accès pérenne et classique dans le sens où il permet d' accéder au réseau de l'opérateur et à des services associés, tels qu'un accès Internet mobile, un accès voix, un accès SMS/MMS (pour « Short/Multimedia Message Service »), etc., en tant que client de cet opérateur. Il correspond à l'abonnement souscrit par l'utilisateur.
Dans l'exemple de réalisation décrit ici, le profil initial est un profil générique dans le sens où il n'est associé à aucun opérateur en particulier. Par exemple, l'identifiant initial IMSIinit comprend un code de pays MCC = 000 qui actuellement n'est pas utilisé. Dans un autre exemple de réalisation, l'identifiant initial IMSIinit comprend un code pays MCC= 901 qui actuellement est partagé par des réseaux transnationaux et un code réseau MNC = 00 qui n'est pas utilisé actuellement. Une telle valeur est destinée à permettre à l'opérateur de réseau qui reçoit une demande d' attachement au réseau qui comprend un tel identifiant de traiter la demande d'accès comme une demande d'obtention d'un profil d'accès associé à un abonnement pérenne et de limiter cet accès à un réseau de configuration dédié à l'obtention et à activation du profil d'accès pérenne.
Dans une étape initiale E10, l'utilisateur essaie d' accéder au réseau mobile. Par exemple, il allume son équipement mobile 10. L'équipement mobile 10 émet alors une requête d' attachement au réseau sur la voie radio. La requête d'attachement comprend un identifiant de l'équipement utilisateur 10, en l'espèce l'identifiant initial IMSIinit mémorisé dans le module de sécurité 101.
La requête d'attachement est reçue par l'entité réseau 11 dans une étape El i de réception.
Dans une étape suivante E12 d' analyse, l'entité réseau 11 analyse l'identifiant initial IMSIinit reçu. Il identifie qu'il s' agit d'un identifiant initial associé à un profil initial du fait de la valeur du code de pays MCC spécifique, ou de la combinaison code de pays MCC et code de réseau national MNC spécifique.
Dans une étape E13 d'identification de la clé secrète initiale associée, l'entité réseau 11 obtient la clé secrète initiale Kinit associée à l'identifiant initial IMSIinit. Dans un premier exemple de réalisation, l'entité réseau 11 calcule la clé secrète initiale Kinit en appliquant un algorithme de dérivation de clés « KDF » (pour « Key Dérivation Function ») à une clé maîtresse « MK » (pour « Master Key ») et à l'identifiant initial IMSIinit reçu dans la requête d' attachement. Ainsi, Kinit = KDF(MK, IMSIinit). Dans un exemple de réalisation, l' algorithme de dérivation de clés KDF est l'algorithme « AES » (pour « Advanced Encryption Standard »). Dans un deuxième exemple de réalisation, l' algorithme de dérivation de clés KDF est l' algorithme PBKDF2 tel que défini dans la RFC2898 (de l' anglais « Request For Comment »). Dans un autre exemple de réalisation, algorithme de dérivation de clés KDF est une fonction de hachage avec clé secrète de type message d'authentification « HMAC » (pour « Keyed- Hashed Message Authentication Code »).
Bien sûr, on suppose que la clé secrète initiale Kinit injectée par le fabricant de modules de sécurité dans le module 101 a été calculée de la même manière.
Dans un deuxième exemple de réalisation, une base de données partenaires mémorise les clés initiales, en association avec les identifiants initiaux et/ou des paramètres opérateurs. Dans ce cas, l'entité réseau 11 accède à la base de données partenaires afin de récupérer la clé secrète initiale Kinit associée à l'identifiant initial IMSIinit.
Dans une phase suivante P14 d'authentification (non détaillée), la procédure d'attachement au réseau se poursuit et une authentification entre l'équipement mobile 10, plus précisément le module de sécurité 101, et l'entité réseau 11 est mise en œuvre, conformément à la procédure d'enregistrement telle que décrite par exemple dans la spécification 3GPP TS 23.401. Au terme de cette phase, l'équipement mobile 10 est authentifié et des clés de chiffrement de la voie radio et de contrôle d'intégrité, notées respectivement CK et IK, et propres à l'équipement mobile 11 ont été dérivées de la clé secrète initiale Kat. A noter que la procédure d'enregistrement décrite dans la spécification 3GPP TS 23.401 spécifie une authentification mutuelle entre l'équipement mobile 10 et l'entité réseau 11. Dans le cas d'un réseau 2G, authentification est unilatérale dans le sens où seul l'équipement mobile 10 est authentifié par l'entité réseau 11.
Dans une étape suivante E15 d'envoi et d'activation du profil, l'entité réseau 11 procède à l'envoi du profil d'accès au réseau de l'opérateur associé à l'abonnement souscrit par l'utilisateur. Le profil d'accès, préparé par l'opérateur au moment de la souscription comprend des données propres à l'abonné en tant que client et destinées à permettre l'accès au réseau de l'opérateur et aux services associés depuis l'équipement mobile 10. Le profil d'accès comprend un nouvel identifiant IMSI propre à l'abonné, une nouvelle clé secrète K associée, des paramètres opérateur propres à l'algorithme d'authentification et d'éventuelles applications de l'opérateur. Le profil d'accès est envoyé par l'entité réseau 11 en utilisant le canal chiffré de la voie radio. Ce profil remplace le profil initial sur le module de sécurité 101.
Le profil d'accès au réseau est reçu et automatiquement activé dans une étape suivante E16 de réception et d'activation. Dans une première variante de réalisation, l'entité réseau 11 envoie le profil d'accès puis une commande explicite d'activation dudit profil à l'équipement mobile 10. Dans une deuxième variante de réalisation, c'est l'utilisateur qui commande l'activation du profil d'accès une fois celui-ci reçu. L'identifiant initial IMSIinit et la clé secrète initiale Κω, stockés sur le module de sécurité 101 sont supprimés et remplacés par le nouvel identifiant IMSI et la nouvelle clé secrète K. Cet exemple de réalisation correspond à un cas où la sécurité repose entièrement sur la sécurité du canal radio inhérente au chiffrement de la voie radio à partir de la clé de chiffrement CK générée lors de la phase d' authentification P14 pour chiffrer la voix ou les données.
On note que l'exemple de réalisation décrit s'intègre parfaitement dans une architecture existante de réseau mobile. En effet, il ne nécessite pas de modification au niveau de l'interface avec le réseau mobile. Par exemple il ne nécessite pas de modifier la procédure d' attachement au réseau.
Dans une étape suivante E17 de mise à jour, l'entité réseau 11 efface l'identifiant initial IMSIjnit et le cas échéant la clé secrète initiale Kinit associée dans sa base de données partenaires. Dans un autre exemple de réalisation, les données initiales sont transférées dans une deuxième base de données qui comprend les données initiales déjà utilisées ; cette deuxième base de données est consultée par l'opérateur lors de la réception de nouvelles requêtes d'attachement au réseau. Pour des raisons de sécurité, on considère que de telles données initiales d'accès ne sont utilisables qu'une fois. Une tentative d'accès au réseau à partir de données initiales déjà utilisées est détectée par l'opérateur. L'opérateur peut ainsi se prémunir ainsi d'éventuelles attaques au cours desquelles des cartes contenant des identifiants et clés secrètes initiales seraient clonées et utilisées pour obtenir des profils d'accès pérennes.
Dans une phase suivante d'accès au réseau (non représentée sur la figure 1), durant laquelle l'utilisateur souhaite accéder au réseau mobile de l'opérateur, l'équipement mobile 10 envoie une deuxième requête d'attachement au réseau. Cette deuxième requête d'attachement comprend le nouvel identifiant IMSI qui figure dans le profil opérationnel obtenu lors de la mise en œuvre des étapes précédentes.
Dans l'exemple de réalisation décrit en relation avec la figure 1, on suppose que l'abonnement a été préalablement souscrit par l'abonné. Dans un autre exemple de réalisation, l'utilisateur n'a pas encore souscrit d'abonnement. Un profil opérateur pérenne, propre à un abonnement n'a donc pas été créé par l'opérateur pour l'abonné. Dans ce cas, une fois authentification du module de sécurité 101 mise en œuvre durant la phase P14 d' authentification, l'entité réseau 11 envoie à l'utilisateur une « URL » (de l'anglais « Uniform Resource Locator ») d'accès à un portail de l'opérateur réservé à la souscription d'abonnements. Cet envoi se fait via un point d'accès réseau, ou « APN » (de l'anglais « Access Point Name »), dédié à l'opérateur et offrant une connectivité restreinte, mais permettant un accès aux souscriptions d'abonnements. L'envoi peut se faire au moyen d'un SMS. Dans un autre exemple de réalisation, l'abonné est appelé par l'opérateur. L'abonné fournit les informations nécessaires à la souscription. Un profil d'accès est alors généré par l'opérateur et transmis à l'équipement mobile sur le canal chiffré de la voie radio, conformément à l'étape E15 d'envoi du profil. Ce profil d'accès remplace le profil initial sur le module de sécurité 101.
L'invention a été décrite dans le cas d'un module de sécurité eUICC de type client, ou « consumer device ». L'invention n'est pas limitée à ce type de module et dans un autre exemple de réalisation, le module de sécurité est un module eUICC « M2M » (pour « Machine To Machine »). Dans ce cas, si le dispositif M2M ne possède pas d'interface utilisateur, il est nécessaire qu'un abonnement M2M ait été souscrit par un gestionnaire d'équipements M2M pour l'équipement mobile 10, préalablement à l'accès au réseau destiné à obtenir le profil d'abonnement. Ainsi, dans l'étape E15 d'envoi du profil, le profil d'accès au réseau est envoyé par l'entité réseau 11 via le canal radio chiffré, les flux de données étant protégés en intégrité ou de manière applicative.
Le procédé n'est pas limitée à un module de sécurité de type eUICC et dans un autre exemple de réalisation, le module de sécurité est un module de sécurité UICC classique de type carte SIM. Le procédé est identique à celui décrit précédemment et s'applique également à des équipements mobiles de type équipements clients et équipements M2M.
Dans les exemples de réalisation décrits précédemment, l'identifiant initial IMSIinit, voire la clé secrète initiale Kinit ou les moyens de la générer sont déjà présents dans le module de sécurité 101 lorsque l'utilisateur fait l'acquisition de son terminal mobile 10. L'identifiant initial IMSLjit, voire la clé secrète initiale Kinit ont en effet été installés par le fabricant lors de la fabrication du module de sécurité 101.
Dans un autre exemple de réalisation (non représenté sur la figure 1), aucune de ces données, c'est-à-dire l'identifiant initial IMSIinit et la clé secrète initiale Kinit, n'est présente dans le module de sécurité 101 au moment de l'acquisition de l'équipement mobile 10 par l'utilisateur. Dans ce cas, lors de la souscription d'abonnement auprès de l'opérateur ou lors de l'acquisition de l'équipement mobile 10 par l'utilisateur, l'opérateur génère un identifiant initial IMSLjit et une clé secrète initiale associée Kinit. L'opérateur génère également un ticket de type QR Code (pour « Quick Response Code ») qui comprend l'identifiant initial IMSIinit, la clé secrète initiale Kinit, un identifiant du réseau de l'opérateur de type « HPLMN » (pour « Home Public Land Network » en anglais) et d'éventuels paramètres opérateurs. Dans un exemple de réalisation, le ticket généré comprend également un identifiant physique ID du module de sécurité 101, qu'il mémorise en association avec l'identifiant initial IMSIinit et la clé secrète initiale Kinit qu'il a générés. L'identifiant physique ID du module de sécurité 101 est de type ICCID (pour « Integrated Circuit Card ID ») dans le cas d'un module de type UICC, et EID (pour « eUICC Identifier ») dans le cas d'un module de sécurité de type eUICC. Le ticket généré est par exemple collé sur l'emballage de l'équipement mobile 10, ou envoyé à l'utilisateur, ou acheté dans un supermarché. Lorsque l'utilisateur souhaite accéder au réseau pour obtenir un profil d'accès au réseau, il flashe le ticket au moyen de son équipement mobile 10 afin de lire les données du ticket dont l'identifiant initial IMSIinit, la clé secrète initiale Κω,. Par exemple, les donnée lues sur le ticket sont transmises par un gestionnaire local de profil de type « LPA » (pour « Local Profile Assistant ») de l'équipement mobile 10 au module de sécurité 101. Une fois le profil initial installé sur le module de sécurité, les étapes décrites précédemment sont mises en œuvre afin d'installer le profil d'accès au réseau sur l'équipement mobile 10. La présence d'un identifiant HPLMN du réseau de l'opérateur permet d'indiquer à quel réseau l'équipement mobile 10 doit se connecter. Dans une variante de de réalisation mise en œuvre si un abonnement a préalablement été souscrit, le gestionnaire local de profil de l'équipement mobile 10 récupère le profil d'accès au réseau auprès de l'entité réseau 11 en fournissant l'identifiant ID du module de sécurité. Dans ce cas, l'opérateur a ajouté dans le ticket une information telle qu'une adresse ou un nom du serveur de profils à contacter. Un tel serveur est appelé SM-DP+ (pour « Subscription Manager - Data Préparation ») dans le cas d'un module de sécurité eUICC de type « consumer device » respectant la mise en œuvre décrite dans la spécification GSMA SGP.22. L'utilisation d'un ticket pour obtenir les données initiales puis le profil d'accès au réseau est intéressant dans le sens où l'opérateur s'affranchit d'un accord préalable avec le fabricant de modules de sécurité pour l'injection préalable de données initiales dans le module de sécurité. A noter que dans ce cas, les identifiants initiaux n'ont pas besoin de respecter un format spécifique ; ils sont propres aux opérateurs.
Les étapes d'un procédé d'obtention d'un profil d'accès à un réseau mobile par un équipement mobile, selon un deuxième exemple de réalisation vont maintenant être décrites en relation avec la figure 2.
Dans cet exemple de réalisation, un profil initial est également utilisé pour accéder au réseau afin d'obtenir un profil d'accès pérenne, associé à un abonnement. Dans cet exemple, l'envoi du profil d'accès au réseau à l'équipement mobile 10 est sécurisé par des procédures prédéfinies basées sur un certificat propre au module de sécurité. L'installation du profil d'accès pérenne sur le module de sécurité 101 est alors réalisée au moyen de procédures sécurisées basées sur ce certificat, indépendamment de la sécurité inhérente au chiffrement de la voie radio.
On suppose que le module de sécurité 101 de l'équipement mobile 10 est un module client, ou « consumer device » de type eUICC. Il comprend un profil initial comprenant un identifiant initial d'abonné IMSIinit et une clé secrète initiale Kinit. La façon d'obtenir ce profil est identique à celle décrite précédemment et fait par exemple suite à un accord passé entre un fabricant de modules de sécurité et un ou des opérateurs. Le type de profil est également identique à celui décrit précédemment.
Dans une étape initiale E20, l'utilisateur allume son équipement mobile pour accéder au réseau. L'équipement émet une requête d'attachement au réseau qui comprend l'identifiant initial d'abonné IMSIinit.
La requête est reçue dans une étape E21 de réception.
Dans une étape E22 d'analyse, l'entité réseau 11 analyse l'identifiant initial IMSIinit. Il identifie qu'il s'agit d'un identifiant initial associé à un profil initial, du fait de la valeur du code de pays MCC spécifique, ou de la combinaison code de pays MCC et code de réseau national MNC spécifique.
Dans une étape E23 d'identification de la clé secrète initiale, l'entité réseau 11 obtient la clé secrète initiale Kinit associée à l'identifiant initial IMSIinit. Dans un premier exemple de réalisation, l'entité réseau 11 calcule la clé secrète initiale Kinit en appliquant un algorithme de dérivation de clé KDF à une clé maîtresse MK et à l'identifiant initial IMSIinit. Dans un deuxième exemple de réalisation, l'entité réseau 11 extrait d'une base de données partenaires à laquelle elle a accès la clé secrète initiale Kinit mémorisée en association avec l'identifiant initial IMSIinit.
Dans une phase suivante P24 d'authentification, la procédure d'attachement se poursuit et une phase d'authentification entre l'équipement mobile 10, plus précisément le module de sécurité 101, et l'entité réseau 11 est mise en œuvre de façon connue conformément à la procédure d'enregistrement telle que décrite par exemple dans la spécification 3GPP TS 23.401. Au terme de cette procédure l'équipement mobile 10 est authentifié par l'entité réseau 11 et des clés de chiffrement de la voie radio et de contrôle d'intégrité, notées CK et IK, ont été dérivées de la clé secrète initiale Kinit.
Dans une étape suivante E25 de demande d'informations, l'entité réseau 11 demande à l'équipement mobile 10 le certificat du module de sécurité 101. A cette fin, l'entité réseau 11 envoie à l'équipement mobile 10 une requête GET DATA telle que définie par exemple par l'association GlobalPlatform. La requête est reçue par l'équipement mobile 10 dans une étape E26 de réception.
Dans une étape E27 de réponse, l'équipement mobile 10 envoie le certificat du module de sécurité 101. Dans l'exemple de réalisation décrit ici où le module de sécurité 101 est un module de type module client ou « consumer device », le certificat est de la forme : CERT.EUICC.ECDSA. Le certificat du module de sécurité 101 est reçu par l'entité réseau 11 dans une étape E28 de réception. Dans un premier exemple de réalisation, où l'on suppose qu'un abonnement a été souscrit par l'utilisateur de l'équipement mobile 10 et qu'un profil associé a été généré par l'opérateur, l'entité réseau 11 procède, dans une étape E29 d'envoi du profil et d'activation, à l'envoi du profil d'accès au module de sécurité 101 via l'équipement mobile 10 conformément à la spécification GSMA SGP.22 qui décrit une architecture pour la fourniture à distance de profil à un module de sécurité (ou « RSP » pour « Remote SIM Provisioning »).
Dans une étape suivante E30 de réception et d'activation, le profil d'accès au réseau est reçu par le module de sécurité 101 et automatiquement activé. Il se substitue au profil initial utilisé pour le premier accès au réseau. Par exemple, dans le cas d'un module eUICC, le profil initial est désactivé et le profil d'accès reçu devient le profil actif. Dans une variante de réalisation décrite précédemment, l'entité réseau 11 envoie une commande explicite d'activation au module de sécurité 101 via l'équipement mobile 10. Dans une autre variante de réalisation, c'est l'utilisateur de l'équipement mobile 10 qui active explicitement son profil d'accès au réseau.
Dans une étape suivante E31 de mise à jour, l'entité réseau 11 efface l'identifiant initial
IMSIinit et le cas échéant la clé secrète initiale Kinit associée dans sa base de données partenaires. Dans un autre exemple de réalisation, les données initiales IMSIinit et Kinit sont transférées dans la deuxième base de données qui comprend les données initiales déjà utilisées afin de contrôler que ces données initiales ne sont utilisées qu'une fois.
Dans un deuxième exemple de réalisation, on suppose qu'aucun abonnement n'a pour l'instant été souscrit par l'abonné. Dans ce cas, l'entité réseau 11, préalablement à l'étape E29 d'envoi du profil d'accès, envoie à l'équipement mobile 10 une URL qui comprend un lien vers un portail de l'opérateur dédié à la souscription d'abonnements auprès de cet opérateur. L'URL est envoyée par SMS. Comme décrit précédemment, l'utilisateur sélectionne le lien et procède à la souscription d'un abonnement. L'opérateur génère l'abonnement à partir des informations fournies par l'utilisateur et envoie au cours de l'étape E29 le profil généré tel que décrit précédemment. Dans une variante de réalisation, au lieu d'envoyer un lien vers un site de souscription, l'opérateur appelle l'abonné afin de faire la souscription par téléphone. Dans un autre exemple de réalisation, l'utilisateur dispose d'une application sur son équipement mobile pour faire la souscription.
L'invention a été décrite dans le cas d'un module de sécurité eUICC de type client, ou « consumer device ». L'invention n'est cependant pas limitée à ce type de module et dans un autre exemple de réalisation, le module de sécurité est un module eUICC M2M. Comme précisé précédemment, si l'équipement mobile ne dispose pas d'une interface utilisateur, il est nécessaire qu'un abonnement M2M ait été souscrit par un gestionnaire d'équipements M2M pour l'équipement mobile 10, préalablement à l'accès au réseau destiné à obtenir le profil d'accès au réseau. Ainsi, dans l'étape E29 d'envoi du profil, le profil d'accès au réseau est envoyé par l'entité réseau 11 conformément à la spécification GSMA SGP.02, propre aux équipements M2M. A noter que dans ce cas, le certificat du module de sécurité est de la forme : CERT.EUICC.ECKA.
Le deuxième exemple de réalisation a été décrit dans le cas d'un module de sécurité 101 de type eUICC pour un module client ou « consumer device » et pour un module M2M. L'invention n'est pas limitée à ces exemples. Ainsi, l'invention s'applique également à un module de sécurité classique UICC de type carte SIM. Cependant, dans ce cas, l'envoi du profil d'accès diffère légèrement de celui décrit en relation avec la figure 2. Ainsi, on suppose qu'un abonnement a été souscrit par l'utilisateur et qu'un profil a été généré par l'opérateur. On suppose que ce profil est stocké par l'opérateur et accessible par l'entité réseau 11 et que ce profil est chiffré par l'opérateur au moyen d'une clé aléatoire de chiffrement de profils Krand.
L'entité réseau 11 envoie dans l'étape E25 de demande d'informations, une requête GET DATA destinée à obtenir le certificat du module de sécurité 101. L'équipement mobile 10 envoie en réponse dans l'étape E27 le certificat du module de sécurité 101.
Dans une étape suivante (non représentée sur la figure 2), l'entité réseau 11 récupère la clé publique Pkuicc du module de sécurité 101 certifiée qui figure dans le certificat du module de sécurité 101. Dans une étape suivante d'envoi de la clé aléatoire de chiffrement de profils Krand, l'entité réseau 11 envoie la clé aléatoire de chiffrement de profils Krand, chiffrée au moyen de la clé publique Pkuicc- Dans une étape suivante, l'entité réseau 11 envoie le profil d'accès chiffré. L'équipement mobile 10, plus précisément le module de sécurité 101 déchiffre la clé aléatoire de chiffrement de profils Krand au moyen de sa clé privée associée à la clé publique certifiée et déchiffre le profil au moyen de la clé aléatoire de chiffrement de profils Krand. Ce mode d'obtention du profil est conforme au modèle GlobalPlatform « PushModel ».
Dans une variante de réalisation, conforme au modèle GlobalPlatform SCP 11 (pour « Secure Channel Protocol »), une fois que l'entité réseau 11 a reçu le certificat de la clé publique du module de sécurité 101, l'entité réseau 11 et l'équipement mobile 10, plus précisément le module de sécurité 101 calculent une clé de session commune Ksess selon un protocole connu, par exemple Diffie-Hellmann. La clé de session Ksess générée est ensuite utilisée par l'entité réseau 11 pour chiffrer le profil d'accès et l'envoyer au module de sécurité 101 via l'équipement mobile 10. Dans une deuxième variante de réalisation où le profil d'accès est déjà chiffré avec la clé aléatoire de chiffrement de profils Krand, la clé de session Ksess est utilisée pour chiffrer la clé aléatoire de chiffrement de profils Krand. Dans un autre exemple de réalisation, correspondant au cas où les données initiales comprenant l'identifiant initial IMSIinit, la clé initiale Kinit et l'identifiant physique ID du module de sécurité 101 sont insérées par l'opérateur dans un ticket qui est flashé par l'équipement mobile 10, l'opérateur utilise l'identifiant physique ID pour sécuriser l'installation du profil opérationnel d'accès au réseau. L'opérateur contrôle ainsi que le profil d'accès au réseau généré après le premier accès au réseau au moyen du profil initial n'est envoyé qu'au module de sécurité 101 dont l'identifiant de module qui figure dans le certificat du module de sécurité coïncide avec celui qu'il a mémorisé en association avec les données initiales et inscrit dans le ticket qu'il a généré. A cette fin, l'entité réseau 11 demande à l'équipement mobile 10 au cours de l'étape E25 de demande d'informations, l'identifiant physique ID du module de sécurité 101. Elle envoie à cette fin une requête GET DATA telle que définie par exemple par l'association GlobalPlatform. Elle reçoit l'identifiant physique du module de sécurité 101 dans l'étape E27 de réponse. L'entité réseau 11 contrôle alors que l'identifiant physique qu'elle a reçu est le même que l'identifiant ID qu'elle a enregistré et inséré dans le ticket avant de procéder à l'envoi du profil d'accès au cours de l'étape E29 d'envoi du profil. Cela offre une sécurité supplémentaire pour l'opérateur. De cette façon, l'opérateur sécurise en amont l'installation ultérieure du profil d'accès au réseau en insérant dans le ticket l'identifiant physique ID du module de sécurité 101.
Dans une variante de réalisation, un ticket qui comprend les données initiales IMSIinit, Kinit, l'identifiant physique ID du module de sécurité 101 et une adresse IP d'un serveur de l'opérateur qui génère et/ou met à disposition des profils d'accès au réseau qu'il génère après la souscription d'abonnements est créé. Le ticket est ensuite lu par l'équipement mobile 10. Le gestionnaire local de profil LPA de l'équipement mobile 10 récupère auprès de l'entité réseau 11 le profil d'accès au réseau via la connectivité limitée fournie par le profil initial. Dans cet exemple de réalisation, les étapes E25 de demande d'informations, E26 de réception, E27 de réponse et E28 de réception ne sont pas mises en œuvre. Cela simplifie le procédé d'obtention d'un profil d'accès au réseau.
Un équipement mobile 10, selon un exemple de réalisation va maintenant être décrit en relation avec la figure 3.
Un dispositif mobile 10 est par exemple un équipement utilisateur tel qu'un terminal mobile, une tablette. Dans un autre exemple de réalisation, le dispositif mobile 10 est un équipement M2M. A noter que dans ce cas il ne possède pas d'interface utilisateur. Il est associé dans ce cas à un gestionnaire de flotte d'équipements M2M.
L'équipement mobile 10 comprend de manière classique une interface radio agencée pour s'interfacer avec un réseau mobile de communication, un processeur, un ensemble de mémoires (ces éléments ne sont pas représentés sur la figure 3) et un module de sécurité 101, par exemple une carte eUICC. Le module de sécurité 101 est agencé pour stocker et traiter des données sensibles, telles que des clés et des algorithmes cryptographiques. De telles données et algorithmes sont destinés à être utilisés lors de l'accès au réseau mobile. Les interactions entre le terminal mobile 10 et le module de sécurité 101 sont très étroites et connues. Pour des raisons de lisibilité, on ne décrit ci-dessous et on ne fait apparaître sur la figure 3 que des éléments qui font partie du module de sécurité 101.
Ainsi, l'équipement mobile 10 comprend dans le module de sécurité 101 :
- une unité de traitement ou processeur 1011, ou "CPU" (de l'anglais "Central Processing Unit"), destinée à charger des instructions en mémoire, à les exécuter, à effectuer des opérations ;
- un ensemble de mémoires, dont une mémoire volatile 1012, ou "RAM" (pour "Random Access Memory") utilisée pour exécuter des instructions de code, stocker des variables, etc., et une mémoire de stockage 1013 de type « EEPROM » (de l'anglais « Electrically Erasable Programmable Read Only Memory »). En particulier, la mémoire de stockage 1103 est agencée pour mémoriser un module logiciel d'obtention d'un profil d'accès à un réseau mobile qui comprend des instructions de code pour mettre en œuvre les étapes du procédé d'obtention d'un profil d'accès au réseau tel que décrit précédemment et qui sont mises en œuvre par le module de sécurité 101. La mémoire de stockage 1013 est également agencée pour mémoriser dans une zone sécurisée un identifiant d'abonné de type IMSI et une clé secrète K. L'identifiant d'abonné peut être un identifiant initial IMSIinit et la clé secrète une clé secrète initiale Kinit, destinés à n'être utilisés que pour un accès limité au réseau de l'opérateur et destinés à obtenir un profil d'accès pérenne au réseau de cet opérateur. Ces données initiales sont destinées à être remplacées par un identifiant et une clé secrète pérennes, obtenus suite à une souscription d'abonnement auprès de l'opérateur.
L'équipement mobile 10 comprend également :
- un module d'envoi 1014, agencé pour envoyer une requête d'accès au réseau, ladite requête comprenant un identifiant initial d'abonné IMSIinit compris dans un profil initial. Le module d'envoi 1014 est agencé pour mettre en œuvre les étapes E10 et E20 des procédés d'obtention d'un profil d'accès au réseau décrits précédemment ;
- un module d'authentification 1015, agencé pour mettre en œuvre une authentification mutuelle avec l'entité réseau 11 au moyen de la clé secrète initiale Kinit associée à l'identifiant initial IMSIinit. Le module d'authentification 1015 est agencé pour mettre en œuvre les phases P14 et P24 des procédés d'obtention d'un profil d'accès au réseau tels que décrits précédemment ; - un module de réception 1016, agencé pour recevoir en provenance l'entité réseau 11 un nouveau profil d'accès au réseau, ledit nouveau profil d'accès comprenant un nouvel identifiant d'abonné et une nouvelle clé secrète. Le nouvel identifiant et la nouvelle clé secrète sont agencés pour accéder au réseau et aux services associés de l'opérateur en tant que client. Le module de réception 1016 est agencé pour mettre en œuvre les étapes El 6 et E30 des procédés d'obtention d'un profil d'accès au réseau tels que décrits précédemment.
Le module d'envoi 1014, le module d' authentification 1015 et le module de réception 1016 sont de préférence des modules logiciels comprenant des instructions logicielles pour mettre en œuvre les étapes des procédés d'obtention d'un profil d'accès à un réseau tels que décrits précédemment.
L'invention concerne donc aussi :
- un programme d'ordinateur comportant des instructions pour la mise en œuvre du procédés d'obtention d'un profil d'accès à un réseau tels que décrits précédemment lorsque ce programme est exécuté par un processeur de l'équipement mobile,
- un support d'enregistrement lisible sur lequel est enregistré le programme d'ordinateur décrit ci-dessus.
A noter que l'invention n'est pas limitée à un équipement utilisateur de ce type et dans un autre exemple de réalisation, l'équipement mobile 10 comprend une zone logicielle sécurisée agencée pour traiter les données sensibles d'accès au réseau.
Un dispositif réseau 11, selon un exemple de réalisation va maintenant être décrit en relation avec la figure 4.
Le dispositif réseau 11 est agencé pour recevoir d'équipements mobiles des requêtes d'attachement au réseau qui comprennent un identifiant initial IMSIinit, pour mettre en œuvre une authentification mutuelle avec l'équipement mobile sur la base de l'identifiant initial IMSIinit et d'une clé secrète associée Kinit, pour générer un nouveau profil opérationnel et pérenne d'accès au réseau et aux services associés pour l'utilisateur de l'équipement mobile 11, ledit nouveau profil comprenant un nouvel identifiant d'abonné et une nouvelle clé secrète, et pour envoyer le nouveau profil à l'équipement mobile. Le dispositif réseau 11 est formé d'un ou de plusieurs équipements informatiques, tels des ordinateurs.
Le dispositif réseau 11 comprend :
- une unité de traitement ou processeur 111, destinée à charger des instructions en mémoire, à les exécuter, à effectuer des opérations ;
- un ensemble de mémoires, dont une mémoire volatile 112 de type RAM, utilisée pour exécuter des instructions de code, stocker des variables, etc., et une mémoire de stockage 113 de type EEPROM. En particulier, la mémoire de stockage 113 est agencée pour mémoriser un module logiciel de fourniture d'un profil d'accès à un réseau mobile qui comprend des instructions de code pour mettre en œuvre les étapes du procédé d'obtention d'un profil d'accès au réseau qui sont mises en œuvre par le dispositif réseau 11 ;
- des interfaces d'accès 114 à des bases de données, telles qu'une base de données partenaires comprenant des identifiants initiaux et des clés secrètes initiales associées et une base de données d'identifiants d'abonnés et de clés secrètes associées.
Le dispositif réseau 11 comprend également :
- un module de réception 115, agencé pour recevoir en provenance d'un équipement mobile d'une requête d'accès au réseau, ladite requête comprenant un identifiant initial d'abonné IMSIinit compris dans un profil initial. Le module de réception 116 est agencé pour mettre en œuvre les étapes El i et E21 des procédés d'obtention d'un profil d'accès à un réseau mobile tels que décrits précédemment ;
- un module d' authentification mutuelle 116, agencé mettre en œuvre une authentification mutuelle avec l'équipement mobile au moyen d'une clé secrète initiale Kinit associée à l'identifiant initial. Le module d' authentification mutuelle 116 est agencé pour mettre en œuvre les phases P14 et P24 des procédés d'obtention d'un profil d'accès à un réseau mobile tels que décrits précédemment ;
- un module 117 d'envoi à l'équipement mobile d'un nouveau profil d'accès au réseau, ledit nouveau profil d'accès comprenant un nouvel identifiant d'abonné et une nouvelle clé secrète, ledit nouveau profil étant agencé pour accéder audit réseau. Le module 117 d'envoi d'un nouveau profil est agencé pour mettre en œuvre les étapes E15 et E29 des procédés d'obtention d'un profil d'accès à un réseau mobile tels que décrits précédemment. Le module 117 d'envoi d'un nouveau profil d'accès s 'interface à un module de génération de profils (non représenté sur la figure 4), agencé pour générer les nouveaux profils d'abonnement au réseau. Dans un exemple de réalisation où l'abonnement n'a pas été souscrit préalablement à la mise en œuvre des procédés d'obtention d'un profil d'accès au réseau, le module de génération de profils offre une interface qui peut être accédée par l'utilisateur afin que celui-ci fournisse ses données de souscription.
Les modules 115 de réception, 116 d' authentification et 117 d'envoi d'un nouveau profil sont de préférence des modules logiciels comprenant des instructions logicielles pour mettre en œuvre les étapes des procédés d'obtention d'un profil d'accès à un réseau tels que décrits précédemment et qui sont mises en œuvre par le dispositif réseau 11.
L'invention concerne donc aussi : - un programme d'ordinateur comportant des instructions pour la mise en œuvre du procédés d'obtention d'un profil d'accès à un réseau tels que décrits précédemment lorsque ce programme est exécuté par un processeur du dispositif réseau 11 ,
- un support d'enregistrement lisible sur lequel est enregistré le programme d'ordinateur décrit ci-dessus.
L'invention concerne également un système de distribution de profils d'accès à un réseau de télécommunications comprenant :
- un dispositif réseau tel que décrit précédemment, et
- au moins un équipement mobile tel que décrit précédemment.

Claims

REVENDICATIONS
1. Procédé d'obtention d'un profil d'accès à un réseau de télécommunications par un équipement mobile (10), le procédé comprenant :
- envoi (E10, E20) par l'équipement mobile à une entité réseau (11) d'une requête d'accès audit réseau, ladite requête comprenant un identifiant initial d'abonné (IMSIinit) compris dans un profil initial,
- authentification mutuelle (P14, P24) entre l'équipement mobile et l'entité réseau au moyen d'une clé secrète initiale (Kinit) associée à l'identifiant initial,
- réception (E16, E30) en provenance l'entité réseau d'un nouveau profil d'accès audit réseau, ledit nouveau profil d'accès comprenant un nouvel identifiant d'abonné et une nouvelle clé secrète, ledit nouveau profil étant agencé pour accéder audit réseau.
2. Procédé selon la revendication 1, comprenant, lorsqu' aucun abonnement n'a été préalablement souscrit par un utilisateur de l'équipement mobile auprès d'un opérateur associé à l'entité réseau :
- réception d'un message, ledit message comprenant l'adresse d'un site de l'opérateur, ledit site étant dédié à des souscriptions d'abonnements,
- accès au site et souscription d'un abonnement auprès de l'opérateur associé à l'entité réseau, ledit abonnement étant utilisé par l'opérateur pour générer le profil d'accès.
3. Procédé selon la revendication 1, comprenant, lorsqu'aucun abonnement n'a été préalablement souscrit par un utilisateur de l'équipement mobile auprès d'un opérateur associé à l'entité réseau :
- réception d'un appel téléphonique en provenance de l'opérateur,
- souscription d'un abonnement auprès de l'opérateur associé à l'entité réseau, ledit abonnement étant utilisé par l'opérateur pour générer le profil d'accès.
4. Procédé selon l'une des revendications précédentes, dans lequel l'identifiant initial comprend au moins un champ représentatif d'un accès limité à l'obtention d'un profil d'accès au réseau.
5. Procédé selon l'une des revendications 1 à 3, dans lequel l'identifiant initial est lu au moyen de l'équipement mobile sur un ticket fourni par l'opérateur, ledit ticket comprenant un identifiant d'un module de sécurité compris dans l'équipement mobile.
6. Procédé de fourniture à un équipement mobile (10) d'un profil d'accès à un réseau de télécommunications par une entité réseau (11), le procédé comprenant :
- réception (El i, E21) en provenance d'un équipement mobile (10) d'une requête d'accès au réseau, ladite requête comprenant un identifiant initial d'abonné (IMSIinit) compris dans un profil initial,
- authentification mutuelle (P14, P24) entre l'entité réseau et l'équipement mobile au moyen d'une clé secrète initiale (Kinit) associée à l'identifiant initial,
- envoi (E15, E29) à l'équipement mobile d'un nouveau profil d'accès au réseau, ledit nouveau profil d'accès comprenant un nouvel identifiant d'abonné et une nouvelle clé secrète, ledit nouveau profil étant agencé pour accéder audit réseau.
7. Equipement mobile (10) comprenant :
- des moyens d'envoi (1014), agencés pour envoyer une requête d'accès au réseau, ladite requête comprenant un identifiant initial d'abonné (IMSIinit) compris dans un profil initial,
- des moyens d' authentification (1015), agencés pour mettre en œuvre une authentification mutuelle avec l'entité réseau au moyen d'une clé secrète initiale (Kinit) associée à l'identifiant initial,
- des moyens de réception (1016), agencés pour recevoir en provenance l'entité réseau un nouveau profil d'accès au réseau, ledit nouveau profil d'accès comprenant un nouvel identifiant d'abonné et une nouvelle clé secrète, ledit nouveau profil étant agencé pour accéder audit réseau.
8. Programme pour un équipement mobile, comprenant des instructions de code de programme destinées à commander l'exécution des étapes du procédé d'obtention d'un profil d'accès à un réseau selon l'une des revendications 1 à 5, lorsque le programme est exécuté sur ledit équipement.
9. Support de données dans lequel est enregistré le programme selon la revendication précédente.
10. Dispositif (11) d'un réseau de télécommunications, agencé pour fourni à un équipement mobile (10) un profil d'accès au réseau, ledit dispositif comprenant : - des moyens de réception (116), agencés pour recevoir en provenance de l'équipement mobile (10) une requête d'accès au réseau, ladite requête comprenant un identifiant initial d'abonné (IMSIinit) compris dans un profil initial,
- des moyens d' authentification (117), agencés pour mettre en œuvre une authentification mutuelle l'équipement mobile au moyen d'une clé secrète initiale (Kinit) associée à l'identifiant initial,
- des moyens d'envoi (118), agencés pour envoyer à l'équipement mobile un nouveau profil d'accès au réseau, ledit nouveau profil d'accès comprenant un nouvel identifiant d'abonné et une nouvelle clé secrète, ledit nouveau profil étant agencé pour accéder audit réseau.
11. Programme pour un dispositif réseau (11), comprenant des instructions de code de programme destinées à commander l'exécution des étapes du procédé de fourniture d'un profil d'accès à un réseau selon la revendication 6 lorsque le programme est exécuté sur ladite entité.
12. Support de données dans lequel est enregistré le programme selon la revendication précédente.
13. Système de distribution de profils d'accès à un réseau de télécommunications comprenant :
- un dispositif réseau selon la revendication 10,
- au moins un équipement mobile selon la revendication 7.
EP17825898.4A 2016-12-23 2017-12-11 Procédé d'obtention d'un profil d'accès à un réseau de télécommunications Withdrawn EP3560226A1 (fr)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
FR1663295A FR3061398A1 (fr) 2016-12-23 2016-12-23 Procede d'obtention d'un profil d'acces a un reseau de telecommunications
PCT/FR2017/053491 WO2018115634A1 (fr) 2016-12-23 2017-12-11 Procédé d'obtention d'un profil d'accès à un réseau de télécommunications

Publications (1)

Publication Number Publication Date
EP3560226A1 true EP3560226A1 (fr) 2019-10-30

Family

ID=58707665

Family Applications (1)

Application Number Title Priority Date Filing Date
EP17825898.4A Withdrawn EP3560226A1 (fr) 2016-12-23 2017-12-11 Procédé d'obtention d'un profil d'accès à un réseau de télécommunications

Country Status (4)

Country Link
US (1) US20210120411A1 (fr)
EP (1) EP3560226A1 (fr)
FR (1) FR3061398A1 (fr)
WO (1) WO2018115634A1 (fr)

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN115567920A (zh) * 2021-06-30 2023-01-03 华为技术有限公司 认证的方法和装置

Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2013039900A1 (fr) * 2011-09-16 2013-03-21 Alcatel-Lucent Usa Inc. Mise à disposition de dispositifs mobiles indépendamment d'un opérateur de réseau

Family Cites Families (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103609152B (zh) * 2011-06-23 2018-05-25 瑞典爱立信有限公司 向订户识别模块中预配置网络信息
EP2632196A1 (fr) * 2012-02-24 2013-08-28 Alcatel Lucent Personnalisation initiale de carte intelligente
KR102138315B1 (ko) * 2013-05-30 2020-07-27 삼성전자주식회사 프로파일 설치를 위한 방법 및 장치
FR3034611A1 (fr) * 2015-03-31 2016-10-07 Orange Methode de configuration d' une carte de type euicc
FR3036574A1 (fr) * 2015-05-21 2016-11-25 Orange Chargement de profil d'abonnement dans une carte sim embarquee

Patent Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2013039900A1 (fr) * 2011-09-16 2013-03-21 Alcatel-Lucent Usa Inc. Mise à disposition de dispositifs mobiles indépendamment d'un opérateur de réseau

Also Published As

Publication number Publication date
US20210120411A1 (en) 2021-04-22
FR3061398A1 (fr) 2018-06-29
WO2018115634A1 (fr) 2018-06-28

Similar Documents

Publication Publication Date Title
US11368839B2 (en) Secure privacy provisioning in 5G networks
US10187784B1 (en) Systems and methods for transferring SIM profiles between eUICC devices
US8347090B2 (en) Encryption of identifiers in a communication system
CN103493526B (zh) Sim锁定
EP3029968B1 (fr) Procede de provisionnement d'un profil de souscripteur pour un module securise
KR102231948B1 (ko) 프로파일 관리서버의 업데이트 방법 및 장치
JP6442617B2 (ja) ｅＵＩＣＣの遠隔サブスクリプション管理のための方法、及び対応する端末
EP3656142B1 (fr) Chargement d'un nouveau profil d'abonnement dans un module embarqué d'identification de souscripteur
CN105122769A (zh) 用于在安全单元的安全域中创建简档的方法
US20120115455A1 (en) Secure bootstrap provisioning of electronic devices in carrier networks
EP3523998A1 (fr) Procédé d'authentification mutuelle entre un équipement utilisateur et un réseau de communication
US12477326B2 (en) Method of providing a communication function in a user equipment
EP3456025A1 (fr) Technique d'authentification d'un dispositif utilisateur
US10028141B2 (en) Method and system for determining that a SIM and a SIP client are co-located in the same mobile equipment
EP3560226A1 (fr) Procédé d'obtention d'un profil d'accès à un réseau de télécommunications
EP3806517B1 (fr) Chargement d'informations de sécurité à accès restreint
CN108616861B (zh) 一种空中写卡方法及装置
EP3662692A1 (fr) Procédé d'obtention d'un profil d'accès à un réseau de communication par un terminal secondaire via un terminal principal
WO2018065711A1 (fr) Procédé d'enregistrement d'un équipement utilisateur dans un réseau de communication
CN116249095A (zh) 一种页面显示方法及相关设备
EP4601342A1 (fr) Fourniture d'une euicc avec des données de profil d'au moins un profil
US12335719B2 (en) Method for recovering a profile of a MNO

Legal Events

Date Code Title Description
STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: UNKNOWN

STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: THE INTERNATIONAL PUBLICATION HAS BEEN MADE

PUAI Public reference made under article 153(3) epc to a published international application that has entered the european phase

Free format text: ORIGINAL CODE: 0009012

STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: REQUEST FOR EXAMINATION WAS MADE

17P Request for examination filed

Effective date: 20190711

AK Designated contracting states

Kind code of ref document: A1

Designated state(s): AL AT BE BG CH CY CZ DE DK EE ES FI FR GB GR HR HU IE IS IT LI LT LU LV MC MK MT NL NO PL PT RO RS SE SI SK SM TR

AX Request for extension of the european patent

Extension state: BA ME

DAV Request for validation of the european patent (deleted)
DAX Request for extension of the european patent (deleted)
RAP1 Party data changed (applicant data changed or rights of an application transferred)

Owner name: ORANGE

STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: EXAMINATION IS IN PROGRESS

17Q First examination report despatched

Effective date: 20210419

RAP3 Party data changed (applicant data changed or rights of an application transferred)

Owner name: ORANGE

STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: THE APPLICATION IS DEEMED TO BE WITHDRAWN

18D Application deemed to be withdrawn

Effective date: 20211030