Brevet FR2819067A1 — publié le 20020705

Procédé de gestion d'un accès à un système sensible, son pupitre d'accès et son utilisation associée. La présente invention a pour objet un procédé de gestion d'un accès à un système sensible. Elle a aussi pour objet un pupitre d'accès et des utilisations associées. Elle s'applique plus particulièrement aux lecteurs de cartes à puce tels que dans des distributeurs bancaires ou plus généralement dans des dispositifs de paiement par carte à puce, ces dispositifs comportant généralement un clavier. Elle s'applique encore à tous les systèmes auxquels un utilisateur peut accéder grâce à un code activé par l'intermédiaire d'un clavier. Outre ceux précédemment cités, il en est ainsi des dispositifs d'accès à un local sensible tel qu'un immeuble, un entrepôt etc... Dans ces derniers cas, il s'agit des dispositifs qui permettent d'autoriser ou non un passage d'un premier endroit avec un premier niveau de sécurité à un deuxième endroit avec un deuxième niveau de sécurité plus stricte que le premier. L'adjectif sensible indique qu'un accès à un de ces dispositifs ou locaux doit être contrôlé. Actuellement, pour accéder à ces systèmes sensibles ou à ces locaux dont un accès est restreint, on doit généralement renseigner une interface de contrôle d'accès à l'aide d'un code, l'interface comportant pour cela un clavier avec des touches ou un écran tactile avec des surfaces de contact. En outre, ce code peut être associé éventuellement avec l'utilisation d'une carte, l'interface comportant en conséquence un lecteur de carte à puce. Une sécurisation d'un accès à ces systèmes est de plus en plus complexe. Toutefois, cette complexité ne profite qu'aux cas où un tiers tenterait de mettre en oeuvre un moyen permettant de tromper le dispositif de contrôle d'accès au système comme une fausse carte par exemple. Cependant, il existe une voie plus simple qui constitue une faille de sécurité. En effet, il se peut que le tiers ait volé une carte et en connaisse le code secret ou qu'il ait eu accès au code d'accès à un local sensible. Dans ce cas, la seule solution est de rendre cette carte ou ce code d'accès inutilisable en renseignant la base de données adéquate ou en changeant le code d'accès. Mais la période entre le moment où on s'aperçoit du vol et le moment où la carte et ou le code sont inactifs est généralement suffisamment longue pour que le voleur ait le temps de se servir de la carte ou de s'introduire dans le lieu à accès restreint selon le cas. En outre, cette façon de faire est beaucoup moins contraignante pour les voleurs que celle qui consiste à essayer de casser un algorithme de cryptage. Ceci constitue donc une voie de plus en plus privilégiée pour accéder à un système sécurisé. C'est pourquoi, les dispositifs d'interface avec des systèmes sensibles présentent des problèmes. En effet, lorsqu'un utilisateur renseigne une interface de contrôle d'accès avec son code, il appuie successivement sur un ensemble de touches ou de surfaces de contact puis valide ce code. Ainsi, il est aisé, pour un tiers, de visualiser la séquence entrée voire de visualiser directement le code. Une fois la séquence visualisée, il est tout aussi facile d'en déduire le code. Dans les lieux avec de fortes fréquentations tels que les centres commerciaux, les restaurants, les salles de spectacles etc.... Il est courant de voir se former des files d'attente ou des groupements aux environs des lieux de paiement. Les paiements par cartes bancaires y sont fréquents. Généralement, le paiement peut être réalisé, et c'est souvent le cas, par l'intermédiaire d'un clavier déporté comportant ou non un lecteur de carte à puce intégré. La confidentialité ne peut pas être assurée de manière efficace à cause de l'effet de proximité dû à ces groupements de personnes. Ainsi, le clavier se retrouve à portée de vue des tiers. Une amélioration de la confidentialité s'accompagne souvent d'une forte diminution quant à une facilité d'accès au clavier. En effet, une réalisation consiste souvent à placer le clavier dans un lieu difficile d'accès visuellement. Cependant, cette difficulté d'accès visuel s'accompagne généralement d'une difficulté physique d'accès. L'endroit est étriqué, ce qui conduit parfois à un effet vicieux qui consiste à rechercher une position la plus confortable possible et qui correspond le plus souvent à une position autorisant à nouveau un accès visuel au code ou à la séquence gestuelle permettant d'en déduire le code secret. Le problème est le même en ce qui concerne le contrôle d'accès de lieux dont un accès est limité tels que des locaux renfermants des produits dangereux ou précieux, des locaux militaires, des locaux privés comme des immeubles, des sociétés ou des entrepôts etc.... ou tout simplement des locaux dont on souhaite restreindre l'accès. En outre, on connaît l'utilisation d'un écran tactile dont un angle de visualisation est faible. Un angle de visualisation correspond à un angle formé entre position selon une normale à la surface de visualisation, pour laquelle on est en face, et une position excentrée, pour laquelle on est sur le côté. Si cet angle est faible alors une visualisation d'une information affichée à l'écran est impossible directement lorsque l'on est au-delà de cette position excentrée. Ainsi, on ne peut visualiser le code que si l'on est en face de l'écran. Cependant, un problème relatif à la disposition connue des touches persiste. En effet, on peut facilement déterminer, à posteriori, le code d'accès. Pour cela, il suffit de repérer une position des surfaces de contact sélectionnées par un utilisateur. Il est courant en outre de voir des utilisateurs se faire dérober leur carte une fois le code visualisé ou déterminé à posteriori. Il ne reste plus au voleur qu'à trouver un distributeur pour accomplir l'étape suivante de son forfait et à entrer ledit code afin d'accéder au système sensible. Cela est d'autant plus facile que généralement on dispose de plusieurs tentatives pour entrer un code correcte, et donc à fortiori le voleur aussi. La seule solution actuellement trouvée pour diminuer ce risque consiste à apposer une indication aux abords de l'interface du type "composez votre code à l'abris des regards indiscrets". Cela a pour conséquence de mettre les utilisateurs mal à l'aise car ils deviennent anxieux à l'idée que quelqu'un d'autre qu'eux puisse connaître leur code secret et ainsi que l'accès qu'ils croyaient sécurisé ne le soit plus. En outre, c'est l'utilisateur qui devient responsable de cette phase de renseignement pour laquelle un niveau de sécurité dépendra donc du comportement de l'utilisateur face à l'interface de contrôle. L'invention a pour objet de résoudre ces problèmes en proposant un procédé permettant de rendre inintelligible un lien entre une surface de contact et une valeur associée. Cela est réalisé en rendant variable une association entre une disposition des touches ou des surface de contact et une valeur de code. L'invention propose ainsi un pupitre de commande permettant de mettre en oeuvre le procédé de l'invention, ainsi qu'une utilisation principalement dans le domaine des lecteurs de carte à puce de paiement. L'invention a donc pour objet un procédé de sécurisation d'un accès à un système sensible, accessible par un code secret, un code secret étant une suite personnalisée de symboles, selon lequel : - on renseigne, pour une demande d'accès, un moyen d'interface avec une suite de symboles à l'aide de zones de contacts chacune associée à un symbole, le moyen d'interface coopérant avec un moyen de contrôle permettant d'autoriser cette demande d'accès au système sensible si la suite de symboles entrés est valide, caractérisé en ce que : - on produit aléatoirement et ou temporairement, pour une demande d'accès, une association entre un symbole et une zone de contact. Elle a pour objet un dispositif d'interface permettant un accès à un système sensible caractérisé en ce qu'il comporte un écran tactile associé à un afficheur, l'afficheur faisant apparaître un clavier avec un groupe de symboles et l'écran tactile comportant un groupe de zones de contact et en ce que chaque zone de contact est associée aléatoirement et ou temporairement avec un symbole. Elle a encore pour objet une utilisation dans un clavier d'accès à un système sensible. L'invention sera mieux comprise à la lecture de la description qui suit et à l'examen des figures qui l'accompagnent. Celles-ci ne sont présentées qu'à titre indicatif et nullement limitatif de l'invention. Les figures montrent : - Figure 1 : Une représentation sous une forme simplifiée d'une architecture d'un système sensible mettant en oeuvre l'invention. - Figure 2a : Un exemple de représentation d'écran avant une demande d'accès. - Figure 2b : Un exemple de représentation d'écran pendant une demande d'accès. La figure 1 montre un système 1 sensible. Ce système 1 est, dans un exemple, un distributeur d'argent. Toutefois, le système 1 pourrait aussi être un local dont un accès doit être restreint (local dangereux, privé, etc.). Plus généralement, le système 1 représente tout ensemble pour lequel un accès est soumis à l'entrée d'un code d'identification, par l'intermédiaire d'un clavier. Un accès à ce système 1 est contrôlé par un dispositif d'interface 2 nommé par la suite interface 2. L'interface 2 est représentée sous une forme simplifiée et éclatée. L'interface 2 comporte ainsi un écran 3 de type tactile associé à un afficheur 4 faisant apparaître un groupe 5 de symboles. L'écran 3 comporte un groupe 6 de zones de contact. Chaque zone de contact est associée avec un symbole en regard diffusé par l'afficheur 4. Ainsi, une autorisation d'accès au système 1 est subordonnée à la lecture d'un code secret par l'interface 2 et à sa validation. Pour renseigner l'interface 2, il suffit de composer un code en sélectionnant, par pressions par exemple, les zones de contact sur l'écran 3 associées aux symboles formant ce code secret. L'autorisation d'accès au système 1 est soumise au contrôle préalable de la validité d'une demande d'accès. Ainsi, l'association entre l'écran 3 et l'afficheur 4 forme une interface homme machine en ce sens que l'afficheur 4 permet de diffuser une information visuelle telle qu'une image de clavier et l'écran 3 permet de saisir des paramètres tel qu'un code. Généralement, l'écran 3 et l'afficheur 4 sont superposés et plaqués l'un contre l'autre, l'afficheur 4 diffusant ainsi une image au travers de l'écran 3 qui est de structure transparente. Un principe d'assemblage de l'écran 3 et de l'afficheur 4 est connu de l'état de l'art. On appellera par la suite un écran tactile l'ensemble formé par un écran ou encore support tactile et un afficheur du type à cristaux liquide par exemple. L'interface 2 comporte pour cela un microprocesseur 7 commandé par un moyen 8 de contrôle d'accès. Ce moyen 8 prend la forme, dans un exemple, d'un programme 8 sauvegardé dans une mémoire 9 de programme de l'interface 2 par exemple. En outre, une activation d'une zone de contact sur l'écran 3 est détectée par l'intermédiaire d'un décodeur 10. Ce décodeur 10 a en charge de déterminer les coordonnées de la zone activée. Ces coordonnées peuvent par exemple être un couple de valeurs x, y représentant le point central de la zone considérée, les valeurs x et y pouvant alors être un numéro de ligne et un numéro de colonne respectivement. Ainsi, un moyen 11 a en charge de gérer le décodage des informations fournies par le décodeur 10. Ce moyen 11 prend la forme, dans un exemple, d'un programme 11, ce programme 11 étant sauvegardé dans la mémoire 9 par exemple. Le programme 11, avec l'aide du microprocesseur 7, détermine à quelle zone de contact ces coordonnées se rapportent. Pour cela, l'interface 2 comporte une mémoire 12 de sauvegarde d'informations de localisation, dans l'interface 2 par exemple, permettant de connaître l'emplacement d'une zone de contact et donc le symbole associé à cette zone de contact. Dans un exemple d'organisation de la mémoire 12, chaque information de localisation est sauvegardée dans un champ 13~1, 13~2 à 13n. De plus, chaque champ 13~1 à 13n est associé avec un champ 14~1 à 14n respectivement, chaque champ 141 à 14~n comportant une information permettant d'identifier un symbole. On obtient ainsi une table 15 de définition du clavier occupant une partie de la mémoire 12. En outre, l'interface 2 comporte un moyen 16 de gestion de l'affichage sur l'écran 4 notamment du groupe 5 de symboles. Ce moyen 16 prend la forme, dans un exemple, d'un programme 16 sauvegardé dans la mémoire 9 par exemple. Ainsi, le programme 16 commande le microprocesseur 7 pour afficher sur l'écran 4 un symbole sous la forme d'une valeur par exemple à l'aide en outre d'un dispositif 17 de gestion d'affichage. Cette valeur se trouve en regard d'une zone de contact dépendant de l'association entre une zone de contact et une zone d'affichage selon la table 15. Les programmes sauvegardés dans la mémoire 9 commandent le microprocesseur 7 et fournissent des données aux dispositifs 10 et 17 à l'aide d'un bus 18 de données, de commandes et d'adresses. En outre, un bus 19 de données, de commandes et d'adresses relie le décodeur 10 et l'écran 3. Enfin, un bus 20 de données, de commandes et d'adresses relie le dispositif 17 et l'écran 4. L'écran 3 est un support tactile pour lequel différente technologie sont candidates. On peut en effet utiliser une technologie dite infrarouge basée sur un groupe d'interrupteurs optiques, une technologie dite à ondes acoustiques, une technologie dite capacitive, ou encore une technologie dite résistive. Le choix d'une de ces technologies, voire une autre, dépend notamment de l'environnement dans lequel est placé l'écran 3 tactile (température, poussière, humidité,... par exemple) mais aussi de l'utilisation à laquelle il est destiné (fréquence d'utilisation...). Le décodeur 10 comporte tous les éléments nécessaires au décodage et à l'identification d'une zone de contact lors d'un appui sur l'écran 3. De même, le dispositif 4 comporte tous ceux nécessaires à la commande d'un écran d'affichage tel que l'écran 4. Ces éléments ne sont pas représentés car connus et inutiles à la compréhension de l'invention. Une réalisation de l'afficheur 4 est obtenue à l'aide de tout type de dispositif permettant la diffusion visuelle d'une image tel qu'un afficheur à cristaux liquide par exemple. L'interface 2 comporte un moyen 21 de sécurisation d'une utilisation de cette interface 2. Ce moyen 21 se présente, dans un exemple, sous la forme d'un programme 21 sauvegardé dans la mémoire 9 par exemple. Un fonctionnement de ce programme 9 consiste à produire aléatoirement et ou temporairement, pour une demande d'accès, une association entre un symbole et une zone de contact. Cela revient ainsi à modifier, selon une procédure gérée par le programme 21, une association entre un contenu des champs 131 à 13~n et un contenu des champs 141 à 14n. Cette modification intervient à chaque demande d'accès. Il existe des systèmes, tel que les distributeurs d'argent, pour lesquels plusieurs tentatives, trois dans cet exemple, sont autorisés. En effet, dans ce genre de système, plusieurs tentatives sont autorisées pour un utilisateur car ce dernier peut très bien faire une erreur lors de la saisie de son code secret à l'aide de l'interface 2. Dans ce cas deux possibilité s'offre à l'invention soit on modifie l'association à chaque nouvelle saisie soit on ne modifie l'association que pour chaque nouvelle demande d'accès. Ainsi, avec cette dernière possibilité préférée, l'utilisateur ne sera pas perturbé par cette modification qui n'interviendra donc pas pendant les deux dernières possibilités de saisies. Dans l'exemple d'un distributeurs d'argent, l'interface 2 comporte en outre un lecteur 22 de carte à puce de réalisation connue. Ainsi, le système 1 correspond alors à la partie du distributeur où une réserve d'argent est stockée et où des informations personnelles sur le détenteur du compte associé à une carte 23 à puce sont stockées. Dans un exemple de fonctionnement de ce distributeur d'argent, le détenteur de carte 23 insère cette dernière dans le lecteur 22. Le lecteur 22 transmet alors au programme 8 la demande d'accès. Dès lors, ce dernier fait appel au programme 21 chargé alors d'associer un contenu des champs 131 à 13n avec un contenu des champs 141 à 14~n. Pour cela, le programme 21 utilise une procédure spécifique d'association. Un exemple de procédure peut consister en l'utilisation d'un algorithme permettant de calculer des positions en suivant soit une loi aléatoire soit une loi pseudo-aléatoire. Une loi aléatoire peut être obtenu en utilisant une fonction permettant de produire une valeur aléatoire c'est à dire inconnue à priori. Cette valeur aléatoire permet de sélectionner une valeur parmi plusieurs, par exemple une valeur comprise entre 0 et 9. La valeur ainsi obtenue est associée au contenu du champ 14~1 à 14~n considéré. On répète l'opération jusqu'à épuisement des valeurs disponibles, une valeur sélectionnée étant retirée de la liste. D'autre procédures peuvent être envisagées comme par exemple la sélection d'une liste d'associations prédéfinies parmi plusieurs. Dans ce cas une sélection aléatoire sera plus efficace qu'une sélection séquentielle encore appelé pseudo-aléatoire. Le terme aléatoire s'entend comme le fait pour le programme 21 de n'avoir aucune connaissance à priori de la valeur sélectionnée. Ainsi, et ce dans un exemple simple, on alterne, aléatoirement ou non, entre deux configurations (1,2, 3...) ou (9,8, 7...) qui sont connues et que les gens ont l'habitude d'utiliser. On peut prédéfinir aussi un certain nombre de configurations et on sélectionne, aléatoirement de préférence, une configuration à chaque fois parmi celles disponibles. En effet, si la sélection n'est pas aléatoire alors il suffit de connaître la précédente pour en déduire celle proposée à un instant donné à un utilisateur demandant un accès. Le terme temporairement s'entend comme signifiant que l'association entre une zone de contact et un symbole affiché est variable et n'est pas définitive après la mise en place de l'interface 2 afin d'assurer un contrôle d'accès au système 1. Une fois que la phase d'association est terminée le programme 8 fait appel au programme 16 qui va commander le dispositif 17 d'affichage en fonction de l'association ainsi mémorisée dans la mémoire 12. Puis le programme 8 commande le programme 11 qui se met en attente d'un appui sur l'écran 3 tactile. Ainsi, le programme 11 décode une série d'appuis sur l'écran 3 et transmet cette série à travers le bus 18 au programme 8. Le programme 8 utilise alors une procédure d'authentification à l'aide notamment des données généralement chiffrées présentes dans la carte 23. Si la demande d'accès est valide alors le programme 8 fait appel à un programme 24 de navigation parmi les différents services pouvant être offerts aux détenteurs de la carte 23. Ces services peuvent être par exemple une demande de retrait d'une somme d'argent ou alors une consultation d'informations personnelles. Ce programme 25 offre ainsi des services proposés par l'opérateur assurant la gestion du distributeur, une banque par exemple. L'interface 2 peut être aussi un dispositif mobile ou non associé à un terminal de paiement. On trouve ce genre de dispositifs surtout dans des points de vente. Ainsi, l'interface 2 est généralement mobile et reliée au terminal de paiement par une liaison filaire, infrarouge ou autre. Dans ce cas le système 1 comporte notamment le terminal de paiement mais aussi un accès à un centre chargé d'autoriser ou non ledit paiement. Dans ces deux derniers exemples, l'opérateur peut choisir d'autoriser ou non trois essais avant d'invalider la demande d'accès. Dans le cas où le système 1 est un lieu d'accès, la même procédure peut être respectée mais on préférera la procédure à un seul essai. Ainsi, dans ce dernier cas, après la saisi d'un code erroné, avec un appui ou non sur une touche de validation, le programme 8 commande une nouvelle association, plusieurs saisies erronées pouvant conduire à l'émission d'un message d'alarme. Une fois l'accès autorisé le programme 8 commande la suppression de l'association en cour, cela pour éviter qu'un tiers ait accès à la position des valeurs et ainsi au code s'il a repéré les zones de contact qui ont été pressées. Ainsi, une activation de l'affichage d'un groupe de valeurs sur l'écran 4 peut être enclenché par l'insertion de la carte 23 par exemple ou alors par une touche sur l'écran 3. Dans une variante de gestion de l'affichage d'un écran d'attente d'une demande d'accès, on affiche à la place des valeurs, généralement 0 à 9, une suite de symboles sans rapport avec ces valeurs. Par exemple, lorsque l'interface 2 est en attente d'une demande d'accès, le programme 8 commande l'affichage d'un symbole tel que le symbole * et ce à la place de chacune des valeurs. Pour cela, le programme 8 commande l'association du contenu de chaque champs 13~1 à 13n avec pour contenu des champs 14~1 à 14~n le symbole *. La figure 2a montre un exemple d'affichage sur l'écran 4 avant une demande d'accès. La figure 2b montre quand à elle un exemple de représentation d'écran pendant une demande d'accès. Les figures 2a et 2b montrent, en outre, la présence de zones 25,26 et 27 de validation, de correction et d'annulation respectivement. Ces touches permettent notamment à l'utilisateur d'avoir un contrôle sur la navigation proposée par le programme 24 lorsque l'on est dans le cas d'un distributeur bancaire. Toutefois, une position de ces touches peut parfaitement être constantes. En effet, ces touches 25,26 et 27 n'affectent pas la sécurité quant à une demande d'accès au système 1. Dans une variante, on garde constante les associations entre les champs 13~1 à 13~n et le contenu des champs 14~1 à 14n. Cependant, c'est le contenu des champs 13~1 à 13~n qui change c'est à dire les informations de localisation des zones de contact. Ainsi, une position relative du groupe 5 est variable sur l'écran 4. En conséquence, une association entre une zone de contact et un symbole est constante. Toutefois, une sécurisation de la demande d'accès est beaucoup plus faible. En effet, l'ordre étant constant on peut retrouver, d'autant plus facilement que l'on est autorisé à un nombre élevé de tentatives, une séquence de symboles en ayant mémorisé le mouvement de la main de l'utilisateur qui entre le code secret. Dans une variante préférée de réalisation de l'écran 4, on assure, à la fabrication de ce dernier, un diagramme de rayonnement, ou encore angle de vue, étroit. Cet angle de vue est mesuré par rapport à une normale à la surface de l'écran 4. Ainsi, on obtient, par révolution autour de la normale, un cône dont le sommet est sur l'écran 4. Dans un exemple de réalisation, cet angle de vue est inférieur à 30 . Plus généralement, cet angle est d'une valeur telle qu'un tiers, à côté de l'utilisateur, est en dehors du cône ainsi défini. En outre, une luminosité de cet écran 4 est réglée au plus faible. C'est à dire que la longueur de la normale est de longueur finie par exemple de l'ordre du mètre. Ainsi, un tiers placé à côté ou derrière l'utilisateur ne verra pas l'information affichée sur l'écran 4. Dans une variante, la carte 23 est personnalisée avec une information d'identification de l'utilisateur. Cette variante permet d'avoir un même niveau de sécurité pour les personnes ayant notamment des problèmes de vision. Cette information est transmise au programme 8 après insertion de la carte 23 dans le lecteur 22. Suite à la présence de cette information dans la carte 23 le programme 8 commande un affichage sur l'écran 4 d'un groupe 5 dont une organisation est connue de l'utilisateur. En outre, dans cette variante, l'écran 3 comporte sur sa surface de contact un moyen de repère tactile. Ce moyen de repère, un relief par exemple, permet à la personne mal voyante de se repérer et ainsi de savoir plus précisément où sont les symboles utiles pour le code secret. Ainsi, l'invention trouve une utilisation toute particulière dans un distributeur de type bancaire ou encore dans un système 1 pour lequel l'interface 2 est mobile et ou détachée du système sensible. Plus généralement, l'invention est utilisée dans des claviers d'accès à des systèmes sensibles tels que définis précédemment. En outre, les moyens 8,9, 11,16 peuvent être réalisés à l'aide de circuits spécialisé tels que un ou plusieurs ASICs (Application Specific Integrated Circuits en anglais pour circuit intégré d'application spécifique) ou encore à l'aide de simple circuits électroniques. De plus, un accès à ces différents moyens pourra avantageusement être contrôlé par des mots de passe et autres clés de chiffrement. REVENDICATIONS 1-Procédé de sécurisation d'un accès à un système (1) sensible, accessible par un code secret, un code secret étant une suite personnalisée de symboles, selon lequel : - on renseigne, pour une demande d'accès, un moyen (2) d'interface avec une suite de symboles à l'aide de zones de contacts chacune associée à un symbole, le moyen d'interface coopérant avec un moyen (8) de contrôle d'accès permettant d'autoriser cette demande d'accès au système sensible si la suite de symboles entrés est valide, caractérisé en ce que : - on produit aléatoirement et ou temporairement, pour une demande d'accès, une association entre un symbole et une zone de contact. 2-Procédé selon la revendication 1 caractérisé en ce que : - on désactive toute association entre une zone de contact et un symbole entre deux demandes d'accès. 3-Procédé selon la revendication 1 ou 2 caractérisé en ce que : - on réalise le moyen d'interface avec un écran (3) tactile et un afficheur (4) ; en ce que : - on affiche, sur l'afficheur, une représentation d'un clavier avec un groupe (5) de symboles affichés en regard chacun d'une zone de contact sur l'écran tactile ; et en ce que : - on renseigne le moyen d'interface en agissant sur une suite de zones de contacts en fonction des symboles constituant la suite de symbole à entrer. 4-Procédé selon la revendication 3 caractérisé en ce que : - on garde une disposition fixe entre deux codes erronés ; et en ce que : - on déplace une position de l'ensemble formé par le groupe de symboles et leur zone de contact associée à chaque nouveau code. 5-Dispositif (2) d'interface permettant un accès à un système (1) sensible caractérisé en ce qu'il comporte un écran (3) tactile associé à un afficheur (4), l'afficheur faisant apparaître un clavier avec un groupe (5) de symboles et l'écran tactile comportant un groupe (6) de zones de contact et en ce que chaque zone de contact est associée aléatoirement et ou temporairement avec un symbole. 6-Dispositif d'interface selon la revendication 5 caractérisé en ce qu'un diagramme de rayonnement de l'afficheur est étroit et ou une luminosité réduite. 7-Dispositif d'interface selon la revendication 6 caractérisé en ce qu'un angle d'émission par rapport à une normale à la surface de l'afficheur est inférieure à 30 degrés. 8-Dispositif d'interface selon l'une des revendication 5 à 7 caractérisé en ce qu'il comporte un moyen de repère tactile permettant de repérer au toucher une position des zones de contact. 9-Utilisation du procédé selon l'une des revendications 1 à 4 et ou du dispositif d'interface selon l'une des revendications 5 à 8 dans un clavier d'accès à un système sensible.