Brevet FR2840747A1 — publié le 20031212

saturable de type sans electrode. La presente invention concerne une signature electronique de l'utilisateur d'un ordinateur pour controler l'autorisation d'acces d'un certain utilisateur ou groupe d'utilisateur a un ordinateur, notamment pour effectuer des transactions, la signature electronique etant l'empreinte s biometrique de l'utilisateur et ltordinateur, equipe d'un capteur d'empreintes biometriques, est relic a un serveur. Art anterieur I1 existe de nombreux systemes de signature electronique. Le probleme de tous les systemes existants reside dans la securite plus ou o moins grande de ces systemes, d'autant plus qu'ils doivent tenir compte de la reglementation concernant la protection des informations confiden tielles relatives aux personnel qui doit etre contenue dans des fichiers. La presente invention a pour but de developper un systeme de signature electronique, offrant des garanties de securite tres poussee pour l'acces a un ordinateur d'une personne autorisee en vue d'executer des transactions et qui soit egalement protege contre toutes les interven tions de piratage, susceptibles de recueillir des informations confidentiel les lors de ['execution de la transaction par l'intermediaire d'un reseau. Obet de ['invention o A cet effet, ['invention concerne une signature electronique du type defini ci-dessus caracterisee en ce que A) a la premiere utilisation protegee de l'ordinateur: - on saisit l'empreinte biometrique de l'utilisateur autorise avec le capteur biometrique associe a l'ordinateur, - on attribue un numero d'identification a l'utilisateur, - on analyse ltempreinte biometrique pour en determiner les parti cularites (minuties, points X, Y) et leur position relative dans un systeme de coordonnees pour former une reference, - on forme une cle de cryptage en appliquant un programme de cryptage a la reference, - on crypte la reference avec la cle de cryptage ainsi obtenue pour former la reference cryptee, - on efface l'empreinte saisie et la reference, - on stocke localement la reference cryptee avec le numero d'identification, on envole la cle au servour avec le numero d'identification, - on efface la cle dans l'ordinateur, B) lors d'un acces suivant a l'ordinateur: - on saisit l'empreinte biometrique, - on analyse ltempreinte et on forme un echantillon a ['aide du pro gramme d'analyse, - on envoie une requete de cle avec le numero d'identification au s servour, qui retourne la cle associee au numero d'identification, - on de crypte la reference cryptee enre gi stree lo calement avec la cle, - on compare l'echantillon a la reference decryptee: * si la comparaison est positive, l'autorisation d'acces est accor io de et on forme une nouvelle cle de cryptage transmise au ser veur sous le meme numero d'identification en remplacement de l'ancienne cle et avec cette nouvelle cle, on crypte ltechantillon qui devient une reference cryptee remplacO ant la reference precedente, * si la comparaison est negative, l'autorisation d'acces est refu see. La signature electronique selon ['invention a l'avantage de respecter le caractere confidential de ['information relative a la personne autorisee, c'est-a-dire son empreinte biometrique puisque cette informa o tion n'est pas conservee dans la memoire de l'ordinateur, ni a un autre endroit. Seules vent conservees d'une part, la cle de cryptage etablie a partir de ltempreinte biometrique et cette cle de cryptage ntest pas inscrite dans l'ordinateur dont l'acces doit etre autorise mais dans un servour et d'autre part, la reference cryptee enregistree localement soit dans :5 l'ordinateur soit de maniere indirecte sur un support risible par l'ordinateur a ['aide d'un equipement peripherique. Or, la cle de cryptage ntest pas utilisable seule. I1 en est de meme de la reference cryptee qui ne peut servir si elle n'est pas decryptee. La securite de s informations est done as suree par ltenregistrement sous forme d'informations complementaires (cle, reference cryptee) en des lieux differents et inutilisable isolement. La cle de cryptage est unique car elle a ete obtenue a partir de l'empreinte biometrique ou plus exactement de la trace recueillie par un capteur d'empreintes biometriques. Cette trace, reproduit les particu ss larites de l'empreinte, par exemple dans la cas d'une empreinte digitale les arcs, boucles, volutes..., formant les minuties, c'est-a- dire les points parti culiers de l'empreinte tels que les points appeles points X et Y correspon dant au croisement ou a l'embranchement de nervures de l'empreinte digitale. Car meme si les points particuliers de l'empreinte vent inchan- gees, leur position relative par rapport au capteur peut varier suivant la partie du doigt de l'utilisateur qui donnera ltempreinte et n'est jamais exactement la meme. De meme, la force avec laquelle l'utilisateur appuie son doigt et l'ecrase plus ou moins, modife la trace de l'empreinte digitale qui varie d'une operation de saisie a l'autre si bien que la position relative des minuties est differente. En effet suivant l'ecrasement plus ou moins important du doigt, l'ecartement relatif des minuties peut etre modifie dans le sens de la largeur, de la longueur ou de maniere combinee. o Ainsi apres avoir compare cette nouvelle empreinte sous sa forme analysee, appelee echantillon a la reference decryptee avec la cle de cryptage renvoyee par le serveur et appliquee a la reference cryptee enre gistree localement dans l'ordinateur ou sur un support risible par celuici, le programme verifie si la nouvelle empreinte peut etre consideree comme identique a l'ancienne. Cette nouvelle empreinte servira aussi a former une cle de cryptage integrant des elements aleatoires et cette cle de cryptage sera differente de la precedente cle de cryptage. Cette nouvelle cle de cryptage sera envoyee au servour sans laisser de trace dans l'ordinateur, pour y etre conservee jusqu'a la requete d'acces suivante. En meme temps, cette nouvelle cle de cryptage aura servi a crypter l'echantillon accepte comme nouvelle reference de ltempreinte biometrique et qui sera enregistree loca- lement comme reference cryptee avec le numero d'identifcation. Toutes les autres informations et donnees telles que l'empreinte saisie, la refe s rence (non cryptee), la cle de cryptage seront effacees. En meme temps, cette nouvelle cle de cryptage aura servi a crypter l'echantillon accepte comme nouvelle reference de l'empreinte biometrique et qui sera enregis- tre localement comme reference cryptee avec le numero d'identification, toutes les autres informations et donnees telles que l'empreinte saisie, la so reference (non cryptee), la cle de cryptage seront effacees de l'ordinateur. Ainsi a chaque demande d'autorisation d'acces a l'ordinateur, une nouvelle cle de cryptage est formee pour ['operation d'acces suivante, sans que cette cle de cryptage ne puisse se deduire d'une quelconque maniere de la cle precedente. La cle de cryptage reste enregis s5 tree dans le serveur jusqu'a ce qutelle soit remplacee par une nouvelle cle. On augmente ainsi de maniere considerable la securite de la signature puisque meme un piratage de l'ordinateur ne permet even tuellement d'obtenir que la cle utilisee et qui ne peut servir une deuxieme foist Suivant une autre caracteristique interessante, on stocke localement la reference cryptee dans l'ordinateur ou dans un support lisi s ble directement par l'ordinateur (carte a puce, une cle USB, un IBUTION) . Les informations a stocker vent eventuellement compressees avant enre gistrement; elles seront alors decompressees lors de la lecture. Suivant une autre caracteristique avantageuse, en cas de plusieurs utilisateurs autorises a l'acces de l'ordinateur, chacun est iden 0 tifie par un numero d'identification associe respectivement aux cles de cryptage et aux references cryptees successives de chaque utilisateur. Ainsi, selon la procedure ci-dessus, le ou les utilisateurs autorises d'un meme ordinateur n'auront pas a connatre leur numero d'identifcation ce qui augmente egalement la securite. Suivant une autre caracteristique, les numeros d'identification NI(i) vent enregistres dans ltordinateur et, lors d'un acces par l'un des utilisateurs autorises, apres la saisie de son empreinte bio metrique EB, l'ordinateur utilise successivement les differents numeros d'identification NI(i) pour demander chaque fois la cle de cryptage associee au serveur; effectuer les controle avec cette cle de cryptage (decryptage, comparaison de la reference decryptee et de l'echantillon, formation d'une nouvelle cle de cryptage et d'une nouvelle reference cryptee et leur enre gistrement, effacement des anciennes references, anciennes cles de la re ference ayant servi au nouveau cryptage) ou refuser definitivement l'acces 2s si les differentes comparaisons ont toutes ete negatives. Ainsi, selon la procedure ci-dessus, le ou les utilisateurs autorises d'un meme ordinateur n'auront pas a connatre leur numero d'identification, ce qui augmente egalement la securite. De facon avantageuse, au moment de la demande d'acces, l'ordinateur cree un jeton qui fait le tour du reseau pour ne permettre qu'une transaction. L'utilisation d'un jeton modifie a chaque operation permet d'augmenter la securite de la signature electronique. Ce jeton est un nombre aleatoire identifiant la transaction et modifie a chaque operation. Dessins La presente invention sera decrite ci-apres de maniere plus detaillee a ['aide des dessins annexes dans lesquels: - la figure 1 montre un schema de ['installation selon ['invention, - la figure 2 montre un ordinogramme simplifie de l'etablissement des moyens de controle de la signature electronique selon ['invention, - la figure 3 est un ordinogramme simplifie de la procedure de controle s d'une demande d'acces a l'ordinateur protege. Description de modes de realisation Selon la fgure 1, ['invention concerne un procede de con trole d'une signature electronique destinee a permettre a un utilisateur autorise d'acceder a un ordinateur 1 pour effectuer des transactions ne lO cessitant une protection, comme par exemple des transactions commer ciales, l'envoi d'un ordre de debit ou d'un montant d'argent. Pour cela, selon ['invention, l'acces a l'ordinateur 1 est don ne seulement apres verification d'une empreinte biometrique de l'utilisateur autorise. Le controle est precede d'une premiere etape con is sistant a enregistrer dans l'ordinateur, la signature electronique du ou des utilisateurs qui seront autorises. Cette signature electronique est associee a une empreinte biometrique de chaque utilisateur par exemple son em preinte digitale. Ce n'est qu'apres ce premier enregistrement que le ou les utilisateurs pourront demander l'acces en fournissant a chaque fois leur empreinte biometrique seront etablis qui sera controlee en meme temps que de nouveaux elements de controle (cle de cryptage, reference cryptee). La description suivante sera faite avec exemple de ltempreinte digitale. La figure 1 montre schematiquement les moyens de controle :5 d'une signature electronique associe a un ordinateur 1. L'ordinateur 1 est equipe d'un capteur d'empreintes biometriques 2 tel qu'un capteur d'empreintes digitales. Il traite l'empreinte ainsi saisie a ['aide d'un pro gramme d'analyse PRA pour en deduire des informations cryptees a ['aide d'un programme de cryptage PRC. Les informations permettront de con trdler l'autorisation d'acces d'un utilisateur au PC pour effectuer les transactions comme indique ci-dessus. Le systeme comprend egalement un serveur S auquel l'ordinateur accede par l'intermediaire d'un reseau R. Ce servour recoit la cle de cryptage etablie par le programme PRC a partir d'informations liees a la premiere saisie de ltempreinte biometrique. Le serveur fournit cette information en retour a la requete de l'ordinateur 1 et apres le contrdle de l'autorisation d'acces, l'utilisateur ensuite autorise peut effectuer des transactions avec un fournisseur Fi par l'intermediaire du reseau R. Le deroulement des differentes operations sera decrit ci apres de maniere plus detaillee a ['aide des ordinogrammes des figures 2 et 3. Ces operations de controle de l'identite d'utilisateur se de s roulent en deux etapes, une etape preliminaire consistent a enregistrer un utilisateur autorise et les etapes suivantes au cours desquelles l'utilisateur demande l'acces a l'ordinateur. L'etape preliminaire d'enregistrement de l'utilisateur ou des utilisateurs est representee schematiquement sous la forme d'un ordino lO gramme a la figure 2 et les operations de controle d'autorisation d'acces vent representees schematiquement par l'ordinogramme de la figure 3, completee par une partie de l'ordinogramme de la figure 2. Selon la figure 2, au cours de l'etape preliminaire on enre gistre un utilisateur autorise en effectuant d'abord sa prise d'empreinte s biometrique EB (100) par le capteur 2. Puis, l'empreinte ainsi saisie et analysee (101) avec un programme d'analyse PRA (102). Cette analyse consiste a determiner les particularites de la trace de ltempreinte biome trique EB. Dans le cas d'une empreinte digitale, examinee plus particulie rement ici, cette analyse consiste a determiner les minuties de la trace o (empreinte), ctest-a-dire les points particuliers de ltempreinte, tels que les points X, Y et leurs coordonnees relatives. I1 convient de remarquer ici qu'il faut distinguer l'empreinte biometrique proprement cite telle que l'empreinte digitale, relativement abstraite et la trace de cette empreinte sur le capteur. Cette trace qui est s la surface de contact entre le doigt et la capteur. Cette trace ne represente qu'une partie de la totalite de l'empreinte digitale. Wile depend de la partie du doigt qui est appliquee sur le capteur et de la pression exercee sur le doigt, c'est-a-dire de l'ecrasement de la surface de contact entre le doigt et le capteur. Cela signifie que la trace de l'empreinte biometrique (em preinte globale) n'est jamais la meme pour une meme personne car les points particuliers ou minuties contenus dans la trace peuvent differer suivant la surface appliquee. Leurs coordonnees relatives peuvent egale ment varier. Ces variations vent relativement faibles mais suffisantes pour 3s etre distinguees par le programme d'analyse et servir dans les conditions qui seront vues ulterieurement. Le resultat de cette analyse est l'obtention d'un ensemble de donnees appele NI(i) attribue a cet utilisateur Ui. Ensuite, a ['aide d'un programme PRC, l'ordinateur forme (104) une cle de cryptage CL(0) (105) a partir de la reference RF(0). o A ['aide de la cle de cryptage CL(0) et de la reference RF(0), ltordinateur crypte la reference, c' est-a- dire forme une reference cryptee RFC(0) (106) Cette reference cryptee RF(0) est stockee localement (107) soit dans l'ordinateur soit sur un support accessible a l'ordinateur tel qu'une carte a puce qui s'introduit dans un lecteur lie a l'ordinateur. En meme temps que la reference cryptee RC(0) est enregis tree, la cle CL(0) est envoyee (108) au serveur S puis la cle CL(0) est effa cee (109) de ltordinateur. De meme, la reference RF(0) est effacee (110). o La cle de cryptage CL(0) est envoyee au servour en meme temps que le numero d'identification NI(i). Ce numero est egalement asso cie a la reference cryptee RFC(0) enregistree localement. Ces operations terminent (113) cette etape preliminaire. L'ordinateur est maintenant pret pour recevoir une requete :5 d'acces par un utilisateur et pourra verifier si cet utilisateur est autorise a acceder a l'ordinateur. Le deroulement de ces operations est represente par l'ordinogramme de la figure 3 utilisant egalement des etapes de l'ordinogramme de la figure 2. Pour cette raison, les indices des designa so tion ont ete doubles; par exemple, l'indice O pour ['operation preliminaire est l'indice 1 pour ['operation suivante et ainsi de suite (n)et (n+l) Au cours d'une premiere etape (200), l'utilisateur fait pren dre son empreinte biometrique par le capteur 2. Cette empreinte est ana lysee par l'ordinateur (201) qui forme un echantillon ECH. Cet echantillon s5 correspond a ce qui, par ['operation d'analyse (101) de l'etape preliminaire, a donne la reference. L'echantillon ECH contient les points particuliers de l'empreinte biometrique et leur positionnement. L'ordinateur demande (202) egalement la cle au serveur S en lui adressant une requete avec le numero d'identification NI(i). On suppose ici qu'il n'y a qutun seul numero dtidentifcation disponible dans l'ordinateur qui traite la demande d'acces. Le serveur S s repond en envoyant la cle CL(0) associee au numero d'identification NI(i). Cette cle CL(0) est utilisee par ltordinateur et le programme de cryptage PRC pour decrypter (203) la reference cryptee RFC(0) enregis- tree dans l'ordinateur et associee au numero d'identification NI(i). Ensuite, l'ordinateur compare (204) ltechantillon ECH et la io reference decryptee RF(0). Cette comparaison (204) des deux ensembles d'informations se fait selon des criteres dependent de la nature de l'empreinte biometrique. On considere que les informations vent equ*a- lentes si l'echantillon, c' est-a-dire le s points particuliers de la nouvelle empreinte saisie, vent suffisamment proches des points particuliers de la reference decryptee RF(0). Dans ['affirmative (205), l'acces est autorise (206) a l'ordinateur. En meme temps que l'acces est autorise, l'ordinateur forme (207) une nouvelle cle de cryptage CL(1) a partir de l'echantillon ECH avec le programme PRC. Dans cette operation, l'echantillon est considere o comme la reference de l'empreinte saisie au point 200. On obtient ainsi une cle de cryptage CL(l, n+l). Cette cle de cryptage CL(l, n+l) est alors utilisee de facon analogue a ce qui a ete de- crit a propos de la fgure 2 pour l'etape preliminaire, pour crypter la refe- rence (ancien echantillon), c'est-a-dire la reference RF(1, n+l). La :5 reference cryptee avec la cle de cryptage donne l'echantillon crypte, c'est- a-dire la nouvelle reference cryptee RFC(l, n+l) qui est ensuite stockee localement. La nouvelle cle CL(l, n+l) est envoyee au serveur sous le nu- mero d'identification NI(i), qui reste inchange. La nouvelle reference cryp- tee RFC(l, n+l) est enregistree localement sous le numero o d'identification NI(i). Comme precedemment, la cle de cryptage est effacee de l'ordinateur de meme que l'echantillon et la reference, senle restart enre- gistree localement la reference cryptee RFC(l, n+l) et son numero d'identification NI(i). s La nouvelle cle de cryptage CL(l, n+l) est envoyee au ser veur pour remplacer la cle de cryptage precedente CL(0) associee au meme numero d'identification NI(i). Pour les operations suivantes, lorsque l'utilisateur souhaite de nouveau acceder a l'ordinateur apres la fin de la session precedente, il fait de nouveau saisir son empreinte biometrique (200). Celle-ci est analy- see (201) pour donner un echantillon ECH et en meme temps une requete de cle de cryptage est adressee au serveur avec le numero d'identification NI(i). Apres reception de la cle de cryptage CL(1) du serveur S. l'ordinateur decrypte (203) la reference RFC(1) enregistree localement sous le numero d/identification NI(i). Cette reference decryptee RF(1) est alors utilisee pour etre comparee (204) a l'echantillon ECH. lO Si la reponse est positive (205), l'acces est autorise (206) et on forme (207 une nouvelle cle de cryptage CL(2, n+2) est formee. Cette cle est utilisee pour cryptee l'echantillon ECH, c'est-a-dire la nouvelle refe rence qui devient la reference cryptee RFC(2, n+2). Cette reference cryptee est enregistree localement touj ours sous le numero d /identification NI (i) et les autres informations vent de nouveau effacees de l'ordinateur en meme temps que la nouvelle cle CL(1) est envoyee au serveur sous le numero d/identification NI(i). Les operations se repetent comme cela a deja ete decrit a ['aide de la figure 2. Si la comparaison (204) donne un resultat negatif (209), l'acces est interdit (210). A chaque nouvelle demande d'acces, les operations decrites ci-dessus se repetent. Cela peut se fire dans la description ci-dessus en remplacO ant les indices 1, 2 par n, n+l. Dans le cas ou plusieurs utilisateurs vent autorises pour s un meme ordinateur, la situation est tres voisine. Chaque utilisateur en registre son identite au cours d 'une etape preliminaire, ct e st- a- dire qutil fait saisir son empreinte biometrique pour obtenir un numero d'identification NI(i), une premiere cle de cryptage et une premiere refe rence cryptee puis les operations se repetent. A chaque utilisateur est associee necessairement une cle de cryptage et une reference cryptee, differentes a la fois parce que l'empreinte biometrique est differente et parce qu'a chaque nouvelle de mande d'acces autorisee, le systeme forme une nouvelle cle de cryptage et une nouvelle reference cryptee. Selon une caracteristique de ['invention, les numeros d'identification NI(i) ne vent pas fournis aux utilisateurs mais restent en registres tels quels dans l'ordinateur sans etre associes directement a un utilisateur, ctest-a-dire a un nom d'utilisateur. Lors d'une demande d'acces d'un utilisateur Ui, celui-ci fait prendre son empreinte biometrique (200) puis l'ordinateur demande la cle de cryptage au serveur. Pour cela, ltordinateur utilise par exemple le pre- mier numero d'identification NI(1). Le serveur lui revole la cle de cryptage associee a ce numero d'identification. Puis l'ordinateur compare ltechantillon et la reference decryptee associee a ce numero d/identification NI(1). Si la comparaison montre qu'il y a identite (205), l'acces est autori- se; une nouvelle cle de cryptage et une nouvelle reference cryptee vent formees dans les conditions deja decrites et elles remplacent les anciennes o informations. Si la comparaison donne un resultat negatif (209), l'acces n'est pas automatiquement interdit mais ['operation reprend (211) avec un autre numero d'identification NI(i), par exemple le numero NI(2), suivant. La requete de cle, la comparaison avec l'echantillon et les operations sui s vantes vent repetees avec cette nouvelle cle et la nouvelle reference de- cryptee associee a ce numero d'identification NI(2). Si la comparaison est positive, les operations s'arretent dans les conditions deja indiquees, c'est- a-dire que l'acces est autorise; une nouvelle cle de cryptage et une nou- velle reference cryptee vent formees et enregistrees l'une dans le serveur, o l'autre localement. Si la reponse de la comparaison (204) est negative (209), ['operation se repete avec un autre numero d'identification NI(i), par exemple le numero suivant NJ(3) dans un ordre qui n'a pas d'importance. Les operations se repetent jusqu'a l'obtention d'une reponse positive (205) ou en cas de reponse negative pour tous les numeros s d'identification NI(i) et les cles de cryptage associees, l'acces est inter- dit (210). Les operations decrites ci-dessus peuvent etre protegees par un jeton emis a chaque demande d'acces et particularise a chaque foist Ce jeton est forme dans l'ordinateur et dans le serveur selon so un algorithme identique pour permettre la reconnaissance du jeton. R E V E N D I C A T I O N S 1 ) Procede de controle de la signature electronique sous forme d'empreinte biometrique d'un utilisateur d'ordinateur pour verifier son autorisation d'acces, notamment d'effectuer des transactions avec cet or s dinateur, ce dernier, equipe d'un capteur d'empreintes biometriques etant relic a un serveur, procede caracterise en ce que A) a la premiere utilisation protegee de l'ordinateur: - on saisit l'empreinte biometrique EB de l'utilisateur autorise avec o le capteur biometrique (2) associe a l'ordinateur, - on attribue un numero d'identifcation NI(i) a l'utilisateur, - on analyse l'empreinte biometrique EB pour en determiner les particularites (minuties, points X, Y) et leur position relative dans un systeme de coordonnees pour former une reference RF(0), S - on forme une cle de cryptage CL(0) en appliquant un programme de cryptage PCR a la reference RF(0), - on crypte la reference RF(0) avec la cle de cryptage CL(0) ainsi obtenue pour former la reference cryptee RFC(0), - on efface l'empreinte saisie EB et la reference RF(0), - on stocke localement la reference cryptee RFC(0) avec le numero d'identification NI(i), - on envoie la cle CL(0) au serveur avec le numero d/identification NI(i), - on efface la cle CL(O) dans l'ordinateur, B) lors d'un acces suivant a l'ordinateur: - on saisit ltempreinte biometrique EB, - on an alys e l 'e mpreinte EB et on fo rme un e chantillon ECH a ['aide du programme d'analyse PRA, - on envole une requete de cle avec le numero d'identifcation NI(i) o au servour, qui retourne la cle CL(0) associee au numero d'identification NI(i), - on decrypte la reference cryptee RFC(0) enregistree localement avec la cle CL(0), - on compare l'echantillon ECH a la reference decryptee RF(0): * si la comparaison est positive, l'autorisation d'acces est accor dee et on forme une nouvelle cle de cryptage CL( 1, n+ 1) transmise au serveur sous le meme numero d'identification NI(i) en remplacement de l'ancienne cle CL(O, n) et avec cette nouvelle cle CL(1, n+l), on crypte l'echantillon ECH qui de vient une reference cryptee RFC(1, n+l) remplacant la refe rence precedente RF(O, n), * si la comparaison est negative, l'autorisation d'acces est refu s see. 2 ) Procede de controle selon la revendication 1, caracterise en ce qu' on stocke localement la reference cryptee RFC(O, n) dans l'ordinateur ou o dans un support risible directement par l'ordinateur (carte a puce,...). 3 ) Procede de controle selon la revendication 1, caracterise en ce qu' en cas de plusieurs utilisateurs (Ui) autorises a l'acces de l'ordinateur, s chacun est identifie par un numero d'identification NI(i) associe respecti- vement aux cles de cryptage CL(n, i) et aux references cryptees RFC(n, i) successives de chaque utilisateur Ui. 4 ) Procede de controle selon la revendication 3, caracterise en ce que les numeros d'identification NI(i) vent enregistres dans l'ordinateur et, lors d'un acces par l'un des utilisateurs autorises, apres la saisie de son em- preinte biometrique EB, l'ordinateur utilise successivement les differents numeros d'identification NI(i) pour demander chaque fois la cle de cryp 2s tage associee au servour; effectuer les controle avec cette cle de cryptage (decryptage, comparaison de la reference decryptee et de l'echantillon, formation d'une nouvelle cle de cryptage et d'une nouvelle reference cryptee et leur enregistrement, ef- facement des anciennes references, anciennes cles de la reference ayant servi au nouveau cryptage) ou refuser definitivement l'acces si les differentes comparaisons ont toutes ete negatives. ) Procede de controle selon la revendication 1, 3s caracterisee en ce qu' au moment de la demande d'identification, l'ordinateur cree un jeton qui fait le tour du reseau pour ne permettre qu'une transaction. 6 ) Procede de controle selon la revendication 5, caracterisee en ce que le jeton est un nombre aleatoire identifiant la transaction et modifie a chaque operation.