National audienceCet article présente un titre de transport anonyme et non traçable pour mobile NFC. L'anonymat et la non-traçabilité sont obtenus grâce à un algorithme de signature de groupe utilisé dans un protocole répartissant les calculs entre la carte SIM et le mobile lui-même. La solution obtenue respecte la contrainte pratique des standards de transport actuels qui est que la validation du titre doit être réalisée en moins de 300 ms

Arfaoui, Ghada

Dabosville, Guillaume

Gambs, Sébastien

Lacharme, Patrick

Lalande, Jean-François

HAL - Normandie Université

Un pass de transport anonyme et intraçable pour mobile NFC

HAL-CentraleSupelec

Un pass de transport anonyme et intrac¸able pour mobileNFCGhada Arfaoui, Guillaume Dabosville, Se´bastien Gambs, Patrick Lacharme,Jean-Franc¸ois LalandeTo cite this version:Ghada Arfaoui, Guillaume Dabosville, Se´bastien Gambs, Patrick Lacharme, Jean-Franc¸ois La-lande. Un pass de transport anonyme et intrac¸able pour mobile NFC. Atelier sur la Protectionde la Vie Prive´e 2014, Jun 2014, Cabourg, France. 2014. <hal-01009516>HAL Id: hal-01009516https://hal.inria.fr/hal-01009516Submitted on 18 Jun 2014HAL is a multi-disciplinary open accessarchive for the deposit and dissemination of sci-entific research documents, whether they are pub-lished or not. The documents may come fromteaching and research institutions in France orabroad, or from public or private research centers.L’archive ouverte pluridisciplinaire HAL, estdestine´e au de´poˆt et a` la diffusion de documentsscientifiques de niveau recherche, publie´s ou non,e´manant des e´tablissements d’enseignement et derecherche franc¸ais ou e´trangers, des laboratoirespublics ou prive´s.Un pass de transport anonyme et intraçablepour mobile NFCG. Arfaoui1,6, G. Dabosville2, S. Gambs3, P. Lacharme4,J.-F. Lalande3,51Orange Labs, 14066 Caen2Oberthur Technologies, 92700 Colombes3SUPELEC/Inria/Univ. Rennes 1, IRISA (UMR 6074), 35042 Cesson Sévigné4Laboratoire GREYC (Unicaen, Ensicaen, CNRS), UMR 6072, 14032 Caen5INSA Centre Val de Loire, Univ. Orléans, LIFO EA 4022, 18022 BourgesRésuméCet article présente un titre de transport anonyme et non traçable pourmobile NFC 1. L’anonymat et la non-traçabilité sont obtenus grâce à unalgorithme de signature de groupe utilisé dans un protocole répartissantles calculs entre la carte SIM et le mobile lui-même. La solution obtenuerespecte la contrainte pratique des standards de transport actuels qui estque la validation du titre doit être réalisée en moins de 300 ms.1 IntroductionAvec le déploiement de la technologie NFC dans les smartphones, les servicessur mobile telles que le paiement, les cartes de ﬁdélité ou la gestion des titres detransport deviennent de plus en plus fréquents dans notre quotidien [1, 2, 3, 4].Cependant du point de vue de la vie privée, la plupart de ces applicationsutilisent ou génèrent de données personnelles sur lesquelles les utilisateurs deces services n’ont pas de réel contrôle. Ceci est d’autant plus inquiétant quela plupart des smartphones sont à l’heure actuelle vulnérables à des menacesde sécurité comme par exemple l’écoute des communications échangées entre lemodule NFC du téléphone et un fournisseur de service.Pour contrecarrer ces risques, il est fondamental de concevoir des versionsrespectueuses de la vie privée de ces services sans contact. Un simple pseudo-nyme n’est en général pas suﬃsant pour garantir l’anonymat d’un utilisateur carles corrélations spatiales et temporelles que possèdent certaines données géné-rées peuvent permettre de briser cet anonymat. Ces services doivent donc aussigarantir la non-traçabilité des utilisateurs. Toutefois aﬁn de pouvoir réconci-lier les impératifs de vie privée avec le fait de pouvoir retrouver l’identité d’unutilisateur dans le cas d’une fraude, une solution est d’implémenter une formed’anonymat révocable (plutôt qu’un anonymat total) qui laisserait la possibilitéde dé-anonymiser un utilisateur à partir des traces laissées par ses actions dansdes circonstances exceptionnelles, telles que suite à une injonction judiciaire.1. Ces travaux ont été financés par le projet ANR LYRICS (ANR-11-INS-0013).1Certaines primitives cryptographiques, comme les signatures de groupe [5],permettent d’obtenir un tel anonymat. Bien que ces primitives soient relative-ment coûteuses, elles sont maintenant à portée des smartphones dont la puis-sance de calcul devient de plus en plus importante. De plus, ces appareils pos-sèdent une puce qui peut être considérée comme un élément sécurisé commela carte UICC/SIM [6], et qui permet de stocker et de manipuler de manièresécurisée les clés et autres données.Dans cet article, nous proposons une solution permettant d’implémenter unpass de transport anonyme et non-traçable, qui se base sur un protocole crypto-graphique réparti entre un mobile NFC et un élément sécurisé (SIM). De plus,la solution proposée permet la détection de fraude, la levée exceptionnelle del’anonymat, et respecte les contraintes opérationnelles des services de transport,dont en particulier une validation du titre de transport en moins de 300 ms.2 Spécification et état de l’artEn 2007, le standard CALYPSO [7] (norme ISO 24014-1 :2007) spéciﬁe lesdétails de la transaction, de l’achat à l’utilisation de tickets électroniques pourles services de transport sans contact. Un système de ticket ou d’abonnementpour les transports consiste en plusieurs phases. La première phase consiste pourl’utilisateur à installer et personnaliser l’application de transport sur son mobileen fonction de son identité et de manière certiﬁée (comme le fait d’être étudiantaﬁn d’obtenir une réduction). La seconde phase est l’achat d’un produit lui-même. Par exemple, dans le cas d’un abonnement mensuel cette phase concernele chargement de ce produit dans l’élément sécurisé du smartphone, éventuelle-ment accompagné des attributs correspondant au produit. Ces attributs ne sontcependant pas vériﬁés durant cette phase car le produit pourrait être transféréà une autre personne. La troisième phase consiste à valider l’abonnement lorsde l’utilisation du système de transport. Pendant cette phase, l’utilisateur faitinteragir son smartphone avec une borne d’entrée qui valide l’abonnement encontrôlant l’authenticité du produit et en autorisant ou non l’entrée à l’utilisa-teur. Il est possible aussi de maintenir une liste des abonnements révoqués ainsiqu’un mécanisme d’anti passback qui prévient la réutilisation d’un même titre detransport sur une courte période. La dernière phase, qui est optionnelle et peutse dérouler à n’importe quel moment pendant le trajet, consiste à contrôler etvériﬁer la validité du titre de transport pendant le voyage (cette fonctionnalitén’est pas décrite dans cet article).Plusieurs exemples de titres de transport se voulant comme étant plus res-pectueux de la vie privée que leurs homologues classiques ont été déployés enAllemagne, au Chili ou à Hong Kong [8, 9, 10]. Les garanties en terme de vieprivée oﬀerts par ces systèmes sont très limités car ils sont tous basés sur unpseudonyme, ce qui n’oﬀre donc aucune protection contre la traçabilité des uti-lisateurs. On trouve aussi dans la littérature plusieurs propositions de solutionsde services de ticketing ou d’abonnement respectant la vie privée des utilisateursqui se basent sur la cryptographie. Cependant là aussi la plupart d’entre euxn’empêchent pas la traçabilité des utilisateurs [11, 12, 13] ou alors ne respectentpas les contraintes pratique de 300 ms pour la phase de validation [14, 15] commeceux basés sur le protocole de Brands [16, 17] ou sur les signatures de groupeBBS (Boneh-Boyen-Shacham).2En résumé, les objectifs qu’un tel service doit remplir sont multiples puis-qu’elle doit combiner des propriétés de sécurité comme l’intégrité et la résistanceà la contrefaçon du titre avec de propriétés de respect de la vie privée telles quel’anonymat révocable et la non-traçabilité de l’utilisateur tout en répondant auximpératifs d’eﬃcacité du système, notamment lors de la phase de validation [18].Au meilleur de nos connaissances, il n’existe à l’heure actuelle aucun système(déployé ou non) qui remplit l’ensemble de ces contraintes.3 Survol du protocoleLes signatures de groupe ont été introduites par Chaum et van Heyst en 1991[5] aﬁn de permettre l’anonymat du signataire de telle manière que la signaturepuisse être vériﬁée comme ayant réalisée par un membre valide du groupe maissans pouvoir identiﬁer son identité précise. Une variante, appelée signature deliste, fournit la non-chaînabilité des signatures sauf si certaines conditions sontremplies, auquel cas il devient possible de chaîner les signatures comme pro-venant du même membre du groupe mais toujours sans pouvoir dévoiler sonidentité [19, 20]. Une technique similaire appelée Direct Anonymous Attesta-tion (DAA) [21, 22] fournit un anonymat révocable en modélisant le signatairecomme deux entités distinctes : une avec une forte puissance de calcul mais dontl’environnement est relativement peu sécurisé et une autre avec des capacitésde calcul plus limitées mais située dans un environnement de conﬁance. Cetteapproche est particulièrement bien adaptée au contexte des smartphones et leprotocole conçu s’inspire directement de ces techniques.Durant la première phase, l’utilisateur s’enregistre auprès d’une autoritéd’enregistrement. Cette autorité pourra aussi agir plus tard comme autoritéd’ouverture aﬁn de permettre la levée de l’anonymat de l’utilisateur. Lors de cetenregistrement, deux groupes cycliques additifs sur une courbe elliptique G1 etG2 sont choisis dont les paramètres sont rendus publiques. L’utilisateur calculealors deux mises en gage (C1, C2) sur sa clé privée sku tels que C1 = [sku]g1et C2 = [sku]g2 où g1 ∈ G1 et g2 ∈ G2 sont choisis aléatoirement. L’utilisateurenvoie alors ces deux mises en gage à l’autorité. Cette autorité vériﬁe alorsque e(C1, C2) = e(g1, g2) où e est un couplage bilinéaire de G1 × G2 dans ungroupe cyclique multiplicatif. Si c’est le cas, cette autorité envoie à l’utilisateurune signature µ de C1 et stocke le triplet (C1, C2, µ) dans une base de donnéessécurisée.L’utilisateur peut ensuite s’inscrire auprès de l’autorité de transport en luienvoyant le couple (C1, µ) où la signature µ est vériﬁée avec la clé publiquede l’autorité d’enregistrement. L’autorité de transport crée ensuite un certiﬁcatCL de type Camenish-Lysyanskaya [22] sur la clé privée de l’utilisateur puisstocke le couple (IDuser, C1) dans sa propre base de données. Si besoin, cettebase de données pourra être utilisée en conjonction de celle de l’autorité d’enre-gistrement aﬁn de lever l’anonymat de l’utilisateur ou de révoquer son titre detransport.Durant la phase de validation, l’utilisateur doit prouver que son titre detransport est valide mais sans fournir son identité. Un protocole challenge/ré-ponse est ensuite invoqué où le validateur envoie un challenge aléatoire ainsiqu’une donnée ﬁxe à l’utilisateur. Cette donnée ﬁxe peut être par exemple unevaleur qui est constante pour un intervalle de temps donné et qui sera utilisée3aﬁn d’assurer le système anti passback. L’utilisateur retourne ensuite une si-gnature de groupe du challenge au validateur qui vériﬁe si cette signature estvalide et non révoquée. Cette signature est composée de plusieurs informationscalculées à partir de la clé privée de l’utilisateur sku, du certiﬁcat CL, ainsi quedu challenge et de la donnée anti passback envoyés par le validateur. Une partiede cette signature est pré-calculée dans le smartphone car elle ne demande pasla connaissance des données envoyées par le validateur, alors que le reste de lasignature est eﬀectuée par la SIM. C’est justement grâce à ce découpage qu’ilest possible de faire la validation en moins de 300 ms.Finalement, le mécanisme de révocation de l’anonymat permet à l’autorité detransport de retrouver l’identité de l’utilisateur. Cette révocation ne peut se fairequ’avec le consentement de l’autorité d’ouverture. Pour réaliser cette révocation,l’autorité de transport envoie la signature à l’autorité d’ouverture qui retrouvele triplet (C1, C2, µ) correspondant stocké dans sa base de données à l’aide d’uncalcul de couplage sur la signature. L’autorité d’ouverture retourne alors ladonnée C1 de l’utilisateur à l’autorité de transport qui peut ainsi retrouverl’identité de l’utilisateur.4 ImplémentationL’architecture générale de notre application est illustrée dans la ﬁgure 1.Dans notre implémentation actuelle, l’autorité de transport est une applicationTomcat déployée sur un serveur web. Le validateur est simulé par une appli-cation Java connectée à un lecteur NFC (protocole ISO 14443B). La cardletest embarquée dans une carte à puce qui supporte des applications Javacard,elle-même embarquée sur un smartphone Galaxy S3 standard, fonctionnant sousAndroid 4.1.2.NFCcontrollerUICCApplicationCryptographicprimitivesm-passcardletUIAndroidValidator: swing applicationm-pass applicationSeek-for-AndroidTransportAuthorityTomcatservletNFC readerFigure 1 – Architecture générale du prototype4Phase du protocole Temps mesuréSélection de la cardlet 12 msSignature de la cardlet 140 msVériﬁcation 34 msTemps de transaction total 186 msTable 1 – Temps d’exécution du prototypeLa carte à puce utilisée dans le prototype est une Javacard se basant surdes APIs permettant de réaliser de manière eﬃcace des calculs d’arithmétiqueentière et modulaire, mais aussi des multiplications scalaires et des additionsde points de courbes elliptiques, aﬁn d’accélérer la phase de validation du titre,comme présenté dans la table 1. La vériﬁcation de la signature est ici très rapidecar elle est eﬀectuée sur un PC standard : le temps de validation total, incluantl’anti passback, est de 186 ms, respectant la contrainte des 300 ms. La validationdu titre peut même être eﬀectué mobile éteint, la carte SIM étant alimentée parle champ magnétique de la connexion NFC.5 ConclusionDans cet article, nous avons proposé une solution pour mobile NFC permet-tant d’implémenter un pass de transport assurant des propriétés de vie privéetelles que l’anonymat et la non-traçabilité. Cette solution se base sur un proto-cole cryptographique permettant de valider son titre de transport sans risquerd’être identiﬁé ou tracé. L’implémentation actuelle du prototype fonctionne enmoins de 300 ms ce qui démontre la faisabilité de l’approche.Références[1] Stefano Levialdi Ghiron, Serena Sposato, Carlo Maria Medaglia et Alice Mo-roni : NFC ticketing : A prototype and usability test of an NFC-based vir-tual ticketing application. In 2009 First International Workshop on Near FieldCommunication, pages 45–50, Hagenberg, Austria, février 2009. IEEE ComputerSociety.[2] Gerald Madlmayr et Peter Kleebauer : Secure communication between webbrowsers and NFC targets by the example of an e-ticketing system. In Giu-seppe Psaila et Roland Wagner, éditeurs : 9th International Conference onE-Commerce and Web Technologie, pages 1–10, Turin, Italy, septembre 2008.Springer Berlin / Heidelberg.[3] Smart Card Alliance : Proximity mobile payments : Leveraging NFC and thecontactless ﬁnancial payments infrastructure, 2007.[4] Ann Cavoukian : Mobile Near Field Communications (NFC) "Tap ’n Go" Keepit Secure & Private. Rapport technique, Information and Privacy Commissioner,Ontario, Canada, 2011.[5] David Chaum et Eugène van Heyst : Group signatures. In Donald W. Davies,éditeur : EUROCRYPT, volume 547 de Lecture Notes in Computer Science, pages257–265, Brighton, UK, 1991. Springer.[6] Business Wire : Oberthur technologies’ dragonﬂy NFC SIM card certiﬁed bymastercard and visa, May 2013.5[7] Calypso Networks Association : Calypso handbook v1.1, 2010.[8] M. Pirker et D. Slamanig : A framework for privacy-preserving mobile paymenton security enhanced arm trustzone platforms. In 11th International Conferenceon Trust, Security and Privacy in Computing and Communications, pages 1155–1160, Liverpool, United Kingdom, June 2012. IEEE Computer Society.[9] Business Wire : Oberthur technologies’ contactless payment solution selectedby movistar chile and banco santander chile, September 2013.[10] Sony Corp. Info : Mobile payment services using nfc sims equipped with sonyfelicaTM technology to begin in hong kong, October 2013.[11] Sandeep Tamrakar, Jan-Erik Ekberg et N. Asokan : Identity veriﬁcationschemes for public transport ticketing with nfc phones. In The sixth ACM work-shop on Scalable trusted computing, STC ’11, pages 37–48, Chicago, IL, USA,2011. ACM.[12] Sandeep Tamrakar et Jan-Erik Ekberg : Tapping and tripping with nfc. InMichael Huth, N. Asokan, Srdjan C˘apkun, Ivan Flechais et Lizzie Coles-Kemp, éditeurs : Trust and Trustworthy Computing, volume 7904 de Lecture Notesin Computer Science, pages 115–132. Springer Berlin Heidelberg, London, UnitedKingdom, 2013.[13] Jan-Erik Ekberg et Sandeep Tamrakar : Mass transit ticketing with NFCmobile phones. In Liqun Chen, Moti Yung et Liehuang Zhu, éditeurs : Trus-ted Systems, volume 7222 de Lecture Notes in Computer Science, pages 48–65.Springer Berlin Heidelberg, Beijing, China, 2012.[14] David Derler, Klaus Potzmader, Johannes Winter et Kurt Dietrich : Ano-nymous ticketing for NFC-enabled mobile phones. In Liqun Chen, Moti Yung etLiehuang Zhu, éditeurs : The Third International Conference on Trusted Systems,volume 7222, pages 66–83, Beijing, China, 2011. Springer Berlin Heidelberg.[15] Andreu Pere Isern-Deyà, Arnau Vives-Guasch, Macià Mut Puigserver, Mag-dalena Payeras-Capellà et Jordi Castellà-Roca : A secure automatic farecollection system for time-based or distance-based services with revocable anony-mity for users. The Computer Journal, 56(10):1198–1215, avril 2012.[16] Stefan Brands : Rethinking Public Key Infrastructures and Digital Certificates :Building in Privacy. MIT Press, Cambridge, 2000.[17] Ariel Glenn, Ian Goldberg, Frédéric Légaré et Anton Stiglic : A descriptionof protocols for private credentials. IACR Cryptology ePrint Archive, 2001:82,2001.[18] Macià Mut-Puigserver, M. Magdalena Payeras-Capellà, Josep-LluísFerrer-Gomila, Arnau Vives-Guasch et Jordi Castellà-Roca : A surveyof electronic ticketing applied to transport. Computers & Security, 31(8):925–939, novembre 2012.[19] Sébastien Canard et Jacques Traoré : List signature schemes and applicationto electronic voting. In International Workshop on Coding and Cryptography(WCC’03), Versaille, France, 2003.[20] Sébastien Canard, Berry Schoenmakers, Martijn Stam et Jacques Traoré :List signature schemes. Discrete Applied Mathematics, 154(2):189–201, 2006.[21] Ernie Brickell, Jan Camenisch et Liqun Chen : Direct anonymous attestation.In ACM Conference on Computer and Communications Security, CCS ’04, pages132–145, Washington, DC, USA, 2004. ACM.[22] Jan Camenisch et Anna Lysyanskaya : Signature schemes and anonymous cre-dentials from bilinear maps. In Matt Franklin, éditeur : Advances in Cryptology- CRYPTO 2004, volume 3152 de Lecture Notes in Computer Science, pages 56–72. Springer Berlin Heidelberg, 2004.6

HAL-Rennes 1

INRIA a CCSD electronic archive server

HAL Id: hal-01009516https://hal.inria.fr/hal-01009516Submitted on 18 Jun 2014HAL is a multi-disciplinary open accessarchive for the deposit and dissemination of sci-entific research documents, whether they are pub-lished or not. The documents may come fromteaching and research institutions in France orabroad, or from public or private research centers.L’archive ouverte pluridisciplinaire HAL, estdestinée au dépôt et à la diffusion de documentsscientifiques de niveau recherche, publiés ou non,émanant des établissements d’enseignement et derecherche français ou étrangers, des laboratoirespublics ou privés.Un pass de transport anonyme et intraçable pour mobileNFCGhada Arfaoui, Guillaume Dabosville, Sébastien Gambs, Patrick Lacharme,Jean-François LalandeTo cite this version:Ghada Arfaoui, Guillaume Dabosville, Sébastien Gambs, Patrick Lacharme, Jean-François Lalande.Un pass de transport anonyme et intraçable pour mobile NFC. Atelier sur la Protection de la ViePrivée 2014, Jun 2014, Cabourg, France. ￿hal-01009516￿Un pass de transport anonyme et intraçablepour mobile NFCG. Arfaoui1,6, G. Dabosville2, S. Gambs3, P. Lacharme4,J.-F. Lalande3,51Orange Labs, 14066 Caen2Oberthur Technologies, 92700 Colombes3SUPELEC/Inria/Univ. Rennes 1, IRISA (UMR 6074), 35042 Cesson Sévigné4Laboratoire GREYC (Unicaen, Ensicaen, CNRS), UMR 6072, 14032 Caen5INSA Centre Val de Loire, Univ. Orléans, LIFO EA 4022, 18022 BourgesRésuméCet article présente un titre de transport anonyme et non traçable pourmobile NFC 1. L’anonymat et la non-traçabilité sont obtenus grâce à unalgorithme de signature de groupe utilisé dans un protocole répartissantles calculs entre la carte SIM et le mobile lui-même. La solution obtenuerespecte la contrainte pratique des standards de transport actuels qui estque la validation du titre doit être réalisée en moins de 300 ms.1 IntroductionAvec le déploiement de la technologie NFC dans les smartphones, les servicessur mobile telles que le paiement, les cartes de fidélité ou la gestion des titres detransport deviennent de plus en plus fréquents dans notre quotidien [1, 2, 3, 4].Cependant du point de vue de la vie privée, la plupart de ces applicationsutilisent ou génèrent de données personnelles sur lesquelles les utilisateurs deces services n’ont pas de réel contrôle. Ceci est d’autant plus inquiétant quela plupart des smartphones sont à l’heure actuelle vulnérables à des menacesde sécurité comme par exemple l’écoute des communications échangées entre lemodule NFC du téléphone et un fournisseur de service.Pour contrecarrer ces risques, il est fondamental de concevoir des versionsrespectueuses de la vie privée de ces services sans contact. Un simple pseudo-nyme n’est en général pas suffisant pour garantir l’anonymat d’un utilisateur carles corrélations spatiales et temporelles que possèdent certaines données géné-rées peuvent permettre de briser cet anonymat. Ces services doivent donc aussigarantir la non-traçabilité des utilisateurs. Toutefois afin de pouvoir réconci-lier les impératifs de vie privée avec le fait de pouvoir retrouver l’identité d’unutilisateur dans le cas d’une fraude, une solution est d’implémenter une formed’anonymat révocable (plutôt qu’un anonymat total) qui laisserait la possibilitéde dé-anonymiser un utilisateur à partir des traces laissées par ses actions dansdes circonstances exceptionnelles, telles que suite à une injonction judiciaire.1. Ces travaux ont été financés par le projet ANR LYRICS (ANR-11-INS-0013).1Certaines primitives cryptographiques, comme les signatures de groupe [5],permettent d’obtenir un tel anonymat. Bien que ces primitives soient relative-ment coûteuses, elles sont maintenant à portée des smartphones dont la puis-sance de calcul devient de plus en plus importante. De plus, ces appareils pos-sèdent une puce qui peut être considérée comme un élément sécurisé commela carte UICC/SIM [6], et qui permet de stocker et de manipuler de manièresécurisée les clés et autres données.Dans cet article, nous proposons une solution permettant d’implémenter unpass de transport anonyme et non-traçable, qui se base sur un protocole crypto-graphique réparti entre un mobile NFC et un élément sécurisé (SIM). De plus,la solution proposée permet la détection de fraude, la levée exceptionnelle del’anonymat, et respecte les contraintes opérationnelles des services de transport,dont en particulier une validation du titre de transport en moins de 300 ms.2 Spécification et état de l’artEn 2007, le standard CALYPSO [7] (norme ISO 24014-1 :2007) spécifie lesdétails de la transaction, de l’achat à l’utilisation de tickets électroniques pourles services de transport sans contact. Un système de ticket ou d’abonnementpour les transports consiste en plusieurs phases. La première phase consiste pourl’utilisateur à installer et personnaliser l’application de transport sur son mobileen fonction de son identité et de manière certifiée (comme le fait d’être étudiantafin d’obtenir une réduction). La seconde phase est l’achat d’un produit lui-même. Par exemple, dans le cas d’un abonnement mensuel cette phase concernele chargement de ce produit dans l’élément sécurisé du smartphone, éventuelle-ment accompagné des attributs correspondant au produit. Ces attributs ne sontcependant pas vérifiés durant cette phase car le produit pourrait être transféréà une autre personne. La troisième phase consiste à valider l’abonnement lorsde l’utilisation du système de transport. Pendant cette phase, l’utilisateur faitinteragir son smartphone avec une borne d’entrée qui valide l’abonnement encontrôlant l’authenticité du produit et en autorisant ou non l’entrée à l’utilisa-teur. Il est possible aussi de maintenir une liste des abonnements révoqués ainsiqu’un mécanisme d’anti passback qui prévient la réutilisation d’un même titre detransport sur une courte période. La dernière phase, qui est optionnelle et peutse dérouler à n’importe quel moment pendant le trajet, consiste à contrôler etvérifier la validité du titre de transport pendant le voyage (cette fonctionnalitén’est pas décrite dans cet article).Plusieurs exemples de titres de transport se voulant comme étant plus res-pectueux de la vie privée que leurs homologues classiques ont été déployés enAllemagne, au Chili ou à Hong Kong [8, 9, 10]. Les garanties en terme de vieprivée offerts par ces systèmes sont très limités car ils sont tous basés sur unpseudonyme, ce qui n’offre donc aucune protection contre la traçabilité des uti-lisateurs. On trouve aussi dans la littérature plusieurs propositions de solutionsde services de ticketing ou d’abonnement respectant la vie privée des utilisateursqui se basent sur la cryptographie. Cependant là aussi la plupart d’entre euxn’empêchent pas la traçabilité des utilisateurs [11, 12, 13] ou alors ne respectentpas les contraintes pratique de 300 ms pour la phase de validation [14, 15] commeceux basés sur le protocole de Brands [16, 17] ou sur les signatures de groupeBBS (Boneh-Boyen-Shacham).2En résumé, les objectifs qu’un tel service doit remplir sont multiples puis-qu’elle doit combiner des propriétés de sécurité comme l’intégrité et la résistanceà la contrefaçon du titre avec de propriétés de respect de la vie privée telles quel’anonymat révocable et la non-traçabilité de l’utilisateur tout en répondant auximpératifs d’efficacité du système, notamment lors de la phase de validation [18].Au meilleur de nos connaissances, il n’existe à l’heure actuelle aucun système(déployé ou non) qui remplit l’ensemble de ces contraintes.3 Survol du protocoleLes signatures de groupe ont été introduites par Chaum et van Heyst en 1991[5] afin de permettre l’anonymat du signataire de telle manière que la signaturepuisse être vérifiée comme ayant réalisée par un membre valide du groupe maissans pouvoir identifier son identité précise. Une variante, appelée signature deliste, fournit la non-chaînabilité des signatures sauf si certaines conditions sontremplies, auquel cas il devient possible de chaîner les signatures comme pro-venant du même membre du groupe mais toujours sans pouvoir dévoiler sonidentité [19, 20]. Une technique similaire appelée Direct Anonymous Attesta-tion (DAA) [21, 22] fournit un anonymat révocable en modélisant le signatairecomme deux entités distinctes : une avec une forte puissance de calcul mais dontl’environnement est relativement peu sécurisé et une autre avec des capacitésde calcul plus limitées mais située dans un environnement de confiance. Cetteapproche est particulièrement bien adaptée au contexte des smartphones et leprotocole conçu s’inspire directement de ces techniques.Durant la première phase, l’utilisateur s’enregistre auprès d’une autoritéd’enregistrement. Cette autorité pourra aussi agir plus tard comme autoritéd’ouverture afin de permettre la levée de l’anonymat de l’utilisateur. Lors de cetenregistrement, deux groupes cycliques additifs sur une courbe elliptique G1 etG2 sont choisis dont les paramètres sont rendus publiques. L’utilisateur calculealors deux mises en gage (C1, C2) sur sa clé privée sku tels que C1 = [sku]g1et C2 = [sku]g2 où g1 ∈ G1 et g2 ∈ G2 sont choisis aléatoirement. L’utilisateurenvoie alors ces deux mises en gage à l’autorité. Cette autorité vérifie alorsque e(C1, C2) = e(g1, g2) où e est un couplage bilinéaire de G1 × G2 dans ungroupe cyclique multiplicatif. Si c’est le cas, cette autorité envoie à l’utilisateurune signature µ de C1 et stocke le triplet (C1, C2, µ) dans une base de donnéessécurisée.L’utilisateur peut ensuite s’inscrire auprès de l’autorité de transport en luienvoyant le couple (C1, µ) où la signature µ est vérifiée avec la clé publiquede l’autorité d’enregistrement. L’autorité de transport crée ensuite un certificatCL de type Camenish-Lysyanskaya [22] sur la clé privée de l’utilisateur puisstocke le couple (IDuser, C1) dans sa propre base de données. Si besoin, cettebase de données pourra être utilisée en conjonction de celle de l’autorité d’enre-gistrement afin de lever l’anonymat de l’utilisateur ou de révoquer son titre detransport.Durant la phase de validation, l’utilisateur doit prouver que son titre detransport est valide mais sans fournir son identité. Un protocole challenge/ré-ponse est ensuite invoqué où le validateur envoie un challenge aléatoire ainsiqu’une donnée fixe à l’utilisateur. Cette donnée fixe peut être par exemple unevaleur qui est constante pour un intervalle de temps donné et qui sera utilisée3afin d’assurer le système anti passback. L’utilisateur retourne ensuite une si-gnature de groupe du challenge au validateur qui vérifie si cette signature estvalide et non révoquée. Cette signature est composée de plusieurs informationscalculées à partir de la clé privée de l’utilisateur sku, du certificat CL, ainsi quedu challenge et de la donnée anti passback envoyés par le validateur. Une partiede cette signature est pré-calculée dans le smartphone car elle ne demande pasla connaissance des données envoyées par le validateur, alors que le reste de lasignature est effectuée par la SIM. C’est justement grâce à ce découpage qu’ilest possible de faire la validation en moins de 300 ms.Finalement, le mécanisme de révocation de l’anonymat permet à l’autorité detransport de retrouver l’identité de l’utilisateur. Cette révocation ne peut se fairequ’avec le consentement de l’autorité d’ouverture. Pour réaliser cette révocation,l’autorité de transport envoie la signature à l’autorité d’ouverture qui retrouvele triplet (C1, C2, µ) correspondant stocké dans sa base de données à l’aide d’uncalcul de couplage sur la signature. L’autorité d’ouverture retourne alors ladonnée C1 de l’utilisateur à l’autorité de transport qui peut ainsi retrouverl’identité de l’utilisateur.4 ImplémentationL’architecture générale de notre application est illustrée dans la figure 1.Dans notre implémentation actuelle, l’autorité de transport est une applicationTomcat déployée sur un serveur web. Le validateur est simulé par une appli-cation Java connectée à un lecteur NFC (protocole ISO 14443B). La cardletest embarquée dans une carte à puce qui supporte des applications Javacard,elle-même embarquée sur un smartphone Galaxy S3 standard, fonctionnant sousAndroid 4.1.2.NFCcontrollerUICCApplicationCryptographicprimitivesm-passcardletUIAndroidValidator: swing applicationm-pass applicationSeek-for-AndroidTransportAuthorityTomcatservletNFC readerFigure 1 – Architecture générale du prototype4Phase du protocole Temps mesuréSélection de la cardlet 12 msSignature de la cardlet 140 msVérification 34 msTemps de transaction total 186 msTable 1 – Temps d’exécution du prototypeLa carte à puce utilisée dans le prototype est une Javacard se basant surdes APIs permettant de réaliser de manière efficace des calculs d’arithmétiqueentière et modulaire, mais aussi des multiplications scalaires et des additionsde points de courbes elliptiques, afin d’accélérer la phase de validation du titre,comme présenté dans la table 1. La vérification de la signature est ici très rapidecar elle est effectuée sur un PC standard : le temps de validation total, incluantl’anti passback, est de 186 ms, respectant la contrainte des 300 ms. La validationdu titre peut même être effectué mobile éteint, la carte SIM étant alimentée parle champ magnétique de la connexion NFC.5 ConclusionDans cet article, nous avons proposé une solution pour mobile NFC permet-tant d’implémenter un pass de transport assurant des propriétés de vie privéetelles que l’anonymat et la non-traçabilité. Cette solution se base sur un proto-cole cryptographique permettant de valider son titre de transport sans risquerd’être identifié ou tracé. L’implémentation actuelle du prototype fonctionne enmoins de 300 ms ce qui démontre la faisabilité de l’approche.Références[1] Stefano Levialdi Ghiron, Serena Sposato, Carlo Maria Medaglia et Alice Mo-roni : NFC ticketing : A prototype and usability test of an NFC-based vir-tual ticketing application. In 2009 First International Workshop on Near FieldCommunication, pages 45–50, Hagenberg, Austria, février 2009. IEEE ComputerSociety.[2] Gerald Madlmayr et Peter Kleebauer : Secure communication between webbrowsers and NFC targets by the example of an e-ticketing system. In Giu-seppe Psaila et Roland Wagner, éditeurs : 9th International Conference onE-Commerce and Web Technologie, pages 1–10, Turin, Italy, septembre 2008.Springer Berlin / Heidelberg.[3] Smart Card Alliance : Proximity mobile payments : Leveraging NFC and thecontactless financial payments infrastructure, 2007.[4] Ann Cavoukian : Mobile Near Field Communications (NFC) "Tap ’n Go" Keepit Secure & Private. Rapport technique, Information and Privacy Commissioner,Ontario, Canada, 2011.[5] David Chaum et Eugène van Heyst : Group signatures. In Donald W. Davies,éditeur : EUROCRYPT, volume 547 de Lecture Notes in Computer Science, pages257–265, Brighton, UK, 1991. Springer.[6] Business Wire : Oberthur technologies’ dragonfly NFC SIM card certified bymastercard and visa, May 2013.5[7] Calypso Networks Association : Calypso handbook v1.1, 2010.[8] M. Pirker et D. Slamanig : A framework for privacy-preserving mobile paymenton security enhanced arm trustzone platforms. In 11th International Conferenceon Trust, Security and Privacy in Computing and Communications, pages 1155–1160, Liverpool, United Kingdom, June 2012. IEEE Computer Society.[9] Business Wire : Oberthur technologies’ contactless payment solution selectedby movistar chile and banco santander chile, September 2013.[10] Sony Corp. Info : Mobile payment services using nfc sims equipped with sonyfelicaTM technology to begin in hong kong, October 2013.[11] Sandeep Tamrakar, Jan-Erik Ekberg et N. Asokan : Identity verificationschemes for public transport ticketing with nfc phones. In The sixth ACM work-shop on Scalable trusted computing, STC ’11, pages 37–48, Chicago, IL, USA,2011. ACM.[12] Sandeep Tamrakar et Jan-Erik Ekberg : Tapping and tripping with nfc. InMichael Huth, N. Asokan, Srdjan C̆apkun, Ivan Flechais et Lizzie Coles-Kemp, éditeurs : Trust and Trustworthy Computing, volume 7904 de Lecture Notesin Computer Science, pages 115–132. Springer Berlin Heidelberg, London, UnitedKingdom, 2013.[13] Jan-Erik Ekberg et Sandeep Tamrakar : Mass transit ticketing with NFCmobile phones. In Liqun Chen, Moti Yung et Liehuang Zhu, éditeurs : Trus-ted Systems, volume 7222 de Lecture Notes in Computer Science, pages 48–65.Springer Berlin Heidelberg, Beijing, China, 2012.[14] David Derler, Klaus Potzmader, Johannes Winter et Kurt Dietrich : Ano-nymous ticketing for NFC-enabled mobile phones. In Liqun Chen, Moti Yung etLiehuang Zhu, éditeurs : The Third International Conference on Trusted Systems,volume 7222, pages 66–83, Beijing, China, 2011. Springer Berlin Heidelberg.[15] Andreu Pere Isern-Deyà, Arnau Vives-Guasch, Macià Mut Puigserver, Mag-dalena Payeras-Capellà et Jordi Castellà-Roca : A secure automatic farecollection system for time-based or distance-based services with revocable anony-mity for users. The Computer Journal, 56(10):1198–1215, avril 2012.[16] Stefan Brands : Rethinking Public Key Infrastructures and Digital Certificates :Building in Privacy. MIT Press, Cambridge, 2000.[17] Ariel Glenn, Ian Goldberg, Frédéric Légaré et Anton Stiglic : A descriptionof protocols for private credentials. IACR Cryptology ePrint Archive, 2001:82,2001.[18] Macià Mut-Puigserver, M. Magdalena Payeras-Capellà, Josep-LluísFerrer-Gomila, Arnau Vives-Guasch et Jordi Castellà-Roca : A surveyof electronic ticketing applied to transport. Computers & Security, 31(8):925–939, novembre 2012.[19] Sébastien Canard et Jacques Traoré : List signature schemes and applicationto electronic voting. In International Workshop on Coding and Cryptography(WCC’03), Versaille, France, 2003.[20] Sébastien Canard, Berry Schoenmakers, Martijn Stam et Jacques Traoré :List signature schemes. Discrete Applied Mathematics, 154(2):189–201, 2006.[21] Ernie Brickell, Jan Camenisch et Liqun Chen : Direct anonymous attestation.In ACM Conference on Computer and Communications Security, CCS ’04, pages132–145, Washington, DC, USA, 2004. ACM.[22] Jan Camenisch et Anna Lysyanskaya : Signature schemes and anonymous cre-dentials from bilinear maps. In Matt Franklin, éditeur : Advances in Cryptology- CRYPTO 2004, volume 3152 de Lecture Notes in Computer Science, pages 56–72. Springer Berlin Heidelberg, 2004.6

Un pass de transport anonyme et intraçable pour mobile NFC

Abstract

Similar works

Full text

Available Versions

HAL - Normandie Université

HAL-CentraleSupelec

HAL-Rennes 1

INRIA a CCSD electronic archive server