FR2586124A1

FR2586124A1 - Dispositif de verrouillage de machine a affranchir

Info

Publication number: FR2586124A1
Application number: FR8611408A
Authority: FR
Inventors: Michael P Taylor; Wojciech M Chrosny
Original assignee: Pitney Bowes Inc
Current assignee: Pitney Bowes Inc
Priority date: 1985-08-06
Filing date: 1986-08-06
Publication date: 1987-02-13
Anticipated expiration: 2006-08-06
Also published as: FR2586124B1; GB2178696B; GB2178696A; CH675497A5; DE3627124A1; CA1263752A; IT1196567B; IT8648362A0; JPS6260084A; GB8619197D0

Abstract

L'INVENTION CONCERNE UN DISPOSITIF DE VERROUILLAGE DE MACHINE A AFFRANCHIR. UNE MACHINE A AFFRANCHIR COMPORTE UN DISPOSITIF DE SECURITE 14 QUI N'AUTORISE QUE DES CONDITIONS PREDETERMINEES. UN DISPOSITIF DE TEMPORISATION 21 N'AUTORISE LE FONCTIONNEMENT DE LA MACHINE QU'A DES HEURES DETERMINEES ET UN DISPOSITIF 20 N'AUTORISE LE FONCTIONNEMENT QU'A LA RECEPTION D'UN MOT DE PASSE MOMENTANE. L'INVENTION S'APPLIQUE NOTAMMENT A DES MACHINES A AFFRANCHIR ELECTRONIQUES.

Description

La présente invention se rapporte aux ma-

chines à affranchir électroniques et à des unités de comp-

tabilisation de machines à affranchir électroniques des-

tinées à fonctionner conjointement avec un calculateur et une imprimante d'utilisateur. Tel qu'il est utilisé ici, le terme de machine à affranchir électronique se rapporte également à d'autres machines similaires, comme des enregistreurs de paquets et des appareils de mesures

de taxes qui distribuent et comptabilisent des valeurs.

Des machines à affranchir électroniques sont connues et décrites par exemple dans le Brevet des Etats Unis d'Amérique No 3 978 457. Des machines à affranchir

électroniques qui utilisent le calculateur et l'impriman-

te de l'utilisateur sont décrites par exemple dans la de-

mande de Brevet Français NI 8 605 550 déposée le 17 avril

1986 au nom de la Demanderesse et dans la demande de Bre-

vet Français NO 8 605 548 déposée le 17 avril 1986, éga-

lement au nom de la Demanderesse.

Dans les machines à affranchir, la nécessité de sécurité est absolue. La raison pour cette condition

de sécurité absolue est qu'une machine à affranchir im-

prime des valeurs et, à moins que des mesures de sécuri-

té ne soient prises, il serait possible d'imprimer des

affranchissements non autorisés, fraudant ainsi les ser-

vices postaux. La plupart des mesures de sécurité sont de

nature physiques mais des suggestions ont été faites récem-

ment pour utiliser un cryptage afin d'assurer qu'un indi-

ce d'affranchissement est valide.

Mais dans ces machines, les efforts pour la

sécurité ont été orientés principalement vers l'interdic-

tion de la fraude des services postaux. Aucune tentative

comparable n'a été faite pour assurer la sécurité de l'u-

tilisateur qui est autorisé à utiliser la machine à af-

franchir pour lui permettre d'interdire l'accès non au-

torisé à l'utilisation de la machine à affranchir, sauf

grâce à l'utilisation d'une serrure et d'une clé pour met-

tre la machine en marche. En général, toute personne ayant

un accès physique à une machine à affranchir en fonction-

nement peut établir des affranchissements personnels ou utiliser la machine de façon non autorisée, au détriment

de l'utilisateur autorisé qui doit payer les affranchisse-

ments.

Pour pallier le manque de sécurité de l'uti-

lisateur du courrier et selon l'invention, un dispositif de sécurité est prévu pour verrouiller le fonctionnement de la machine à affranchir à moins qu'il ne soit autorisé

en utilisant un mot particulier ou un signal d'identifi-

cation et/ou seulement pendant des intervalles de temps

particuliers et prédéterminés pour permettre à l'utilisa-

teur d'éviter tout accès non autorisé aux fonds de la ma-

chine à affranchir électronique. Selon un autre aspect de

l'invention, l'approvisionnement de la machine n'est au-

torisé que lorsqu'une communication est établie par un cen-

tre de commande afin d'assurer que les fonds transférés par ce centre de commande soient transférés à l'ordre de l'utilisateur autorisé réel de la machine, à sa position physique. Pour de meilleurs résultats, une seule personne

a la faculté de demanderZle transfert de fonds et de choi-

sir les mots d'accès et les périodes d'utilisation.:

D'autres caractéristiques et avantages de l'in-

vention apparaîtront au cours de la description qui va

suivre.

Aux dessins annexés, donnés uniquement à ti-

tre d'exemple nullement limitatif:

la figure 1 est un schéma simplifié d'un dis-

positif selon la présente invention, la figure 2 est un organigramme illustrant un procédé selon l'invention pour autoriser l'accès à la machine à affranchir électronique,

les figures 3A et 3B constituent un organi-

gramme illustrant un autre procédé d'autorisation d'accès, et la figure 4 est un organigramme illustrant

le procédé de rappel de recharge de machine selon l'in-

vention. Tout d'abord, la figure 1 représente d'une

fagon générale, sous la référence 10, un dispositif d'ap-

plication d'information d'affranchissement et de courrier qui peut mettre en oeuvre l'invention et qui comporte un centre de commande 12 et une unité de comptabilisation 14

communiquant entre eux par un dispositif de télécommuni-

cation comme un appareil téléphonique 16, une machine de

fac-similé, une machine télex ou similaire.

L'unité de comptabilisation 14 comporte un modulateur-démodulateur 18 ou convertisseur qui communique avec l'appareil téléphonique 16 et un module de commande de l'unité de comptabilisation, ce module de commande pouvant être un processeur CPU comme du type Intel 8081 diffusé par Intel, Santa Clara, Californie, commandé par un programme approprié. L'unité de commande comporte une

mémoire permanente 19 incorporée ou connectée (comme re-

présenté) dans laquelle réside le programme de commande.

Le module de commande 20 communique avec un module de cryp-

tage 22 ainsi qu'un module de comptabilisation 24. Un mo-

dule de cryptage qui convient est décrit dans la demande

de Brevet N 86 055 A8. Le module de comptabilisation 24 com-

porte une mémoire à accès direct comprenant des registres ascendant et descendant.. La mémoire à accès direct peut être du type CMOS comprenant une batterie de secours de

manière que les données puissent être conservées ou le mo-

dule de comptabilisation peut comporter une mémoire réma-

nente pour mémoriser de façon permanente et pour commander et autoriser le transfert de données de comptabilisation à des registres de mémoire permanente de la manière bien

connue.

Comme cela est connu dans les machines à af-

franchir, le registre ascendant est celui qui enregistre la valeur d'affranchissement distribuée ou imprimée à chaque transaction et le registre descendant est celui qui enregistre la valeur d'affranchissement qui peut être

distribuée et qui décroit de cette valeur quand l'affran-

chissement est imprimé. Un autre modulateur-démodulateur

26 dans l'unité de comptabilisation 14 assure la communi-

cation entre le module de commande 20 et un calculateur

d'utilisateur 28. Il faut noter que ce modulateur -démo-

dulateur 20 peut être remplacé par une liaison directe entre le calculateur 28 et l'unité de comptabilisation 14, par des tampons d'entrée/sortie en parallèle ou en série,

ou similaire. Il est également bien entendu que le modu-

lateur-démodulateur 18 est en option et que la liaison peut être établie par le calculateur d'utilisateur ou en reliant physiquement l'unité de comptabilisation 14 avec

le centre de commande 12.

Le calculateur d'utilisateur peut être tout

type de calculateur comportant une entrée/sortie, des cir-

cuits logiques et une mémoire, comme par exemple un ordi-

nateur personnel tel que le type IBM AT diffusé par IBM,

Armonk, New York. Une imprimante 30 est connectée au cal-

culateur d'utilisateur 28. L'imprimante peut être de tout type capable d'imprimer des caractères alpha numériques

ou des codes & batonnets.

L'invention est décrite en regard de l'en-

semble illustré ci-dessus mais il est bien entendu qu'el-

le peut également être incorporée dans une machine à af-

franchir électronique conventionnelle avec une impriman-

te intégrée.

Le schéma synoptique de la figure 1 montre le centre de commande 12 qui peut être un service postal

ou autre centre de données tel qu'utilisé pour des opé-

rations de recharge à distance de machines, comme source de valeur postale,; comme cela est décrit par exemple dans

le Brevet des Etats unis d'Amérique N 4 097 923. La ma-

chine à affranchir peut être chargée à distance sur un nu-

méro d'utilisateur fourni par le service postal. A son tour, le service postal ou centre de données fournit une

valeur d'affranchissement qui est introduite automatique-

ment dans la machine d'affranchissement de l'utilisateur ou, dans ce cas, dans l'unité de comptabilisation 14. Dans l'ensemble de la figure 1, l'unité de comptabilisation 14 est une unité de sécurité dont la violation par des

moyens physiques, électroniques ou magnétiques est inter-

dite. Des caractéristiques de sécurité comme un blindage, des boulons à rupture et autres sont biens connus et les

moyens d'assurer la sécurité de l'unité de comptabilisa-

tion ne seront pas décrits.

Comme cela est décrit en détail ci-après, et

selon l'invention, l'unité de comptabilisation 14 est ac-

cessible au calculateur de l'utilisateur, seulement si un code ou mot de passe approprié est regu'par le module de

commande 20 de cette unité de comptabilisation 14 et pro-

venant du calculateur d'utilisateur 28. Comme cela est

décrit dans la demande de Brevet précitée, l'affranchis-

sement qui doit être imprimé par l'imprimante 30 comporte

une chaÂne cryptée qui est produite par le module de cryp-

tage 22. Ce cryptage peut être basé sur tout code connu comme DES ou RSA. Lorsque l'information appropriée est fournie à l'unité de comptabilisation 14, le module de cryptage 22 produit une chaîne cryptée qui est imprimée

sur une étiquette ou un article de courrier. Cette infor-.

mation fournie peut comporter un numéro de transaction, le numéro d'utilisateur, la valeur d'affranchissement et

autres. Il faut noter que les machines à affranchir élec-

troniques conventionnelles ne comportent pas de module de cryptage. Selon l'invention, un module de sécurité 32 peut consister en une mémoire permanente programmable éf f-aç ab le conventionnelle dans laquelle réside un programme et à laquelle peut accèder le microprocesseur du module de commande 20 pour permettre au propriétaire et aux utilisateurs autorisés de permettre l'impression

d'affranchissement et pour interdire à tous autres l'u-

tilisation frauduleuse de la partie de machine 14. 0 n comprendra que le module de sécurité peut bien entendu

faire partie intégrante du module de commande 20, du mo-

io dule de cryptage 22 ou du module ACC 24. Il faut en outre noter que le module de programme de sécurité peut être une partie intégrante du programme de commande du microprocesr;

seur d'une machine à affranchir électronique conventionnel-

le à laquelle le microprocesseur peut accèder. Il faut en-

core noter que le module de sécurité 32 peut avoir son pro-

pre fonctionnement de microprocesseur pour communiquer

d'une manière connue avec le module de commande 20.

La figure 2 est un organigramme d'une manière de mettre en oeuvre l'accès à la machine par l'utilisateur autorisé seulement. Le terme utilisateur tel que défini

ici est l'utilisateur lui-même ou une personne qu'il a dé-

signée, c'est à dire une personne de service, le fabriquant de machines ou un représentant du-centre de données. Comme le montre l'organigramme, pour autoriser l'impression d'un affranchissement, un signal d'identification d'utilisateur

est produit. L'utilisateur introduit un mot de passe pro-

duit par l'utilisateur à partir du calculateur 28 par l'in-

termédiaire du modulateur-démodulateur 26 (ou à partir du clavier de la machine à affranchir électronique), ce mot de passe étant comparé avec un mot dejà mémorisé dans le module de sécurité. S'il y a correspondance, le programme ramène la commande au module de commande pour continuer

l'opération d'affranchissement. S'il n'y a pas correspon-

dance, le programme n'autorise pas le module de cryptage

et informe le calculateur de l'utilisateur, par l'inter-

médiaire du modulateur-démodulateur 26 qu'un code invali-

de a été introduit. Dans une machine à affranchir élec-

tronique conventionnelle, l'imprimante solidaire peut être inhibée contre l'impression de l'indice. Il est bien entendu que le mot de passe de l'utilisateur peut être communiqué au module de sécurité au moyen d'un lecteur

de bande magnétique, d'un lecteur de càrte ou d'un lec-

teur de code à batonnets plutôt que par l'introduction

par l'utilisateur du mot de passe au moyen du clavier.

Il faut remarquer que plusieurs mots de passe peuvent être nécessaires si cela est souhaité et que le mot de passe de l'utilisateur peut être crypté comme une partie de la chaine cryptée pour autoriser l'identification de

l'utilisateur particulier. Le mot de passe de l'utilisa-

teur permet aussi au calculateur et/ou à la partie machine de garder la trace d'une utilisation d'affranchissement

particulière à des fins de comptabilisation.

Comme le montrent les organigrammes des fi-.

gures 3A et 3B, l'utilisateur autorisé peut aussi éta-

blir des limites de jours et d'heures pour l'utilisation de la machine afin d'éviter par exemple l'accès de cette machine après les heures de travail. De préférence, un mot de passe identifiant l'utilisateur, connu seulement d'une personne décrite ici comme le Directeur du Système permet d'accéder au programme de sélection de limite de temps représenté dans l'organigramme de la figure 3A. Il faut noter que, bien que cela soit moins souhaitable sur le plan de la sécurité, éventuellement un utilisateur peut recevoir le mot de passe du Directeur de Système

pour lui permettre de changer les limites de temps pré-

déterminées. Il est bien entendu que le Directeur de Sys-

tême n'est pas limité à régler simplement les limites de temps. Il faut aussi noter que le mot de passe d'accès du Directeur du Système peut englober d'autres fonctions de mise en place d'utilisateur, comme l'établissement des

limites d'autorisation de fonds pour un mot de passe d'u-

tilisateur donné par exemple, ou l'établissement des li-

mites de temps pour l'utilisation d'un mot de passe d'i-

dentification d'utilisateur particulier permettant un meilleur contr8le et une meilleure comptabilisation des utilisateurs pour l'impression d'affranchissement ou pour

le changement du mot de passe d'utilisateur.

L'organigramme de la figure 3A s'explique

essentiellement de lui-même. Le Directeur de Système in-

troduit son mot de passe d'identification (code) pour in-

troduire le programme d'établissement. Les limites de

temps de départ et de fin sont introduites et le pro-

gramme revient au point programmé de fonctionnement nor-

mal. L'accès peut être donné à d'autres limites et ces dernières peuvent être établies d'une manière similaire à celle représentée sur la figure 3A pour les limites de temps.

Comme le montre la figure 3B, un autre uti-

lisateur entre en communication avec la machine en intro-

duisant son mot de passe comme cela est décrit en regard de la figure 2. Le programme compare alors l'heure du jour qui est obtenue d'une horloge interne 21 représentée sur la figure 1 avec les limites présélectionnées mémorisées dans le module de sécurité pour déterminer si l'accès à

la machine se fait dans des limites de temps appropriées.

S'il en est ainsi, la commande par programme de la machi-

ne passe au fonctionnement normal. Ainsi, le fonctionne-

ment de la machine n'est autorisé qu'aux périodes entre

les limites présélectionnées.

L'organigramme de la figure 4 montre une au-

tre caractéristique de sécurité pour recharger les fonds de la machine. L'utilisateur autorisé, là également de préférence une seule personne, le Directeur de Système

qui a connaissance du mot de passe approprié pour accè-

der au programme de transfert de fonds, déclenche une de-

mande de transfert de fonds. Selon l'invention, après

l'introduction, la machine ou l'unité de comptabilisa-

tion 14 lance un appel téléphonique vers le centre de

commande 12 par l'intermédiaire de l'appareil 16. Le cen-

tre de commande regoit alors les informations voulues

d'identification de machine, y compris le numéro de té-

léphone de cette machine. La communication établie est

ensuite coupée.

Le centre de commande 12 lance alors un ap-

pel vers l'unité de comptabilisation 14, vérifie la de-

mande et le numéro de téléphone de la machine. Les in-

formations sont comparées avec celles qui sont mémorisées dans le module de sécurité pour déterminer si la demande est valide. S'il est déterminé que la demande est valide,

l'opération de transfert de fonds est effectuée de la ma-

nière conventionnelle comme cela est décrit par exemple:

dans le Brevet des Etats Unis d'Amérique N 4 097 923.

S'il est déterminé que la demande n'est pas

valide, le centre de commande 12 regoit'un signal indi-

quant qu'il y a eu une demande non autorisée de trans-

fert de fonds et l'appel non autorisé est enregistré.

Claims

REVENDICATIONS

1-Ensemble de machine à affranchir, carac-

térisé en ce qu'il comporte un dispositif de sécurité

(14) ayant pour fonction d'autoriser la mesure d'une va-

leur d'affranchissement seulement à l'apparition de con-

ditions prédéterminées établies par l'utilisateur.

2-Ensemble selon la revendication 1, carac-

térisé en ce que le dispositif (14) comporte un disposi-

tif de temporisation (21) qui n'autorise la mesure d'un

affranchissement que pendant un intervalle de temps pré-

déterminé.

3-Ensemble selon la revendication 2, carac-

térisé en ce que dispositif d'établissement (20) nécessi-

te un signal d'identification d'utilisateur pour permettre

la mesure d'un affranchissement.

4-Ensemble selon la revendication 3, carac-

térisé en ce que le signal d'identification d'utilisateur

est un mot de passe.

-Ensemble selon la revendication 1, carac- térisé en ce que le dispositif de sécurité comporte un

dispositif (20) qui n'autorise la mesure d'affranchisse-

ment qu'à l'introduction d'un signal d'identification d'u-

tilisateur.

6-Ensemble selon la revendication 5, carac-

térisé en ce que le signal d'identification d'utilisateur

est un mot de passe.

7-Ensemble selon la revendication 1, carac-

térisé en ce qu'il comporte en outre un centre de comman-

de (12) ayant pour fonction de recharger la machine à af-

franchir en fonds d'affranchissement par une communica-

tion téléphonique (16), le dispositif de sécurité ne per-

mettant la recharge que par une communication téléphoni-

que émanant du centre de commande.

8-Procédé pour assurer la sécurité des opé-

rations d'une machine à affranchir, caractérisé en ce:

qu'il consiste à mémoriser (20) un signal d'identifica-

tion d'utilisateur dans un module de sécurité (14) de la

machine à affranchir, à introduire un signal d'identifi-

cation dans la machine à affranchir pour en autoriser les opérations de mesure,; à comparer (20) ledit signal d'i-

dentification avec ledit signal d'identification d'utili-

sateur et à autoriser l'opération de mesure d'affranchis-

sement si ledit signal d'identification correspond audit

signal d'identification d'utilisateur.

9-Procédé selon la revendication 8, caracté-

risé en ce qu'il consiste en outre à établir (20) une li-

mite de temps de début et une limite de temps de fin dans

le module de sécurité, à déterminer l'instant d'introduc-

tion dudit autre mot dans la machine à affranchir et à comparer l'instant d'introduction des limites de début et

de fin préalablement établies et à autoriser le fonction-

nement de la machine si l'instant se trouve dans l'interval-

le: entre les limites.

-Procédé selon la revendication 8,caracté-

risé en ce qu'il consiste en outre à mémoriser (20) un second signal d'identification d'utilisateur dans ledit

module de sécurité, à introduire un signal d'identifica-

tion dans ladite machine à affranchir, à comparer ledit

signal d'identification avec ledit second signal d'iden-

tification d'utilisateur et à autoriser l'établissement des limites de fonctionnement de la machine seulement si

ledit signal d'identification correspond audit second si-

gnal d'identification d'utilisateur.

11-Procédé pour assurer la sécurité du fonc-

tionnement d'une machine à affranchir, caractérisé en ce

qu'il consiste à établir (20) des limites de temps de dé-

but et de temps de fin dans un module de sécurité d'une

machine à affranchir, à introduire un signal d'identifi-

cation dans la machine à affranchir, à produire (21) un

signal de temps en correspondance avec l'instant d'intro-

duction du signal d'identification, et à comparer ledit signal de temps avec les limites de temps et à autoriser la machine si l'instant se trouve dans l'intervalle entre

les limites.

12-Procédé pour assurer la sécurité du re-

chargement de fonds dans une machine à affranchir, carac-

térisé en ce qu'il consiste à produire un signal d'iden-

tification d'utilisateur pour autoriser l'accès à un pro-

gramme de rechargement de fonds de machine dans une machi-

ne à affranchir, à introduire un signal d'identification dans la machine à affranchir et à comparer ledit signal

d'identification avec ledit signal d'identification d'u-

tilisateur et, s'il y a correspondance, à autoriser le

programme de rechargement de fonds de la machine.

13-Procédé selon la revendication 12, carac-

térisé en ce qu'il consiste en outre à établir une commu-

nication (16) avec un centre de commande (12) pour rechar-

ger des fonds, ladite communication fournissant des infor-

mations de machine, y compris le numéro pour établir à nouveau une communication avec la machine à affranchir,

à interrompre la communication et à établir (12) une com-

munication à partir dU centre de commande vers la machine

à affranchir pour permettre un transfert de fonds.