Brevet FR2854270A1 — publié le 20041029

La présente invention concerne un procédé de contrôle d'accès sécurisé. De nos jours, contrôler l'accès à un lieu protégé ou à un système informatique est primordial. Ce contrôle d'accès passe par la définition d'une liste de personnes autorisées. Une fois les paramètres d'accès enregistrés, le système de contrôle d'accès 5 n'autorise l'accès qu'en fonction d'informations reçues conformes aux conditions d'accès établies préalablement. Ce procédé de contrôle d'accès comporte généralement une phase d'identification et une phase de vérification. Ce procédé est appelé par la suite, procédé d'identification consolidée. Un procédé d'identification consolidée peut, par exemple être, réalisé à l'aide 10 de moyens biométriques. C'est le cas par exemple, des procédés d'identification consolidée consistant d'une part, à identifier par une prise d'empreinte digitale la personne demandant l'accès et, d'autre part, à vérifier le caractère vivant du doigt porteur de cette empreinte digitale. Un système de ce type se présente par exemple sous la forme de capteurs d'empreinte digitale comportant des moyens optiques 15 prévus pour réaliser une image d'une empreinte et des moyens électriques prévus pour réaliser des mesures électriques du doigt porteur de cette empreinte. A l'aide d'un dispositif de traitement rattaché au capteur, l'image de l'empreinte est comparée à une banque d'images afin d'identifier la personne détentrice du doigt correspondant et les mesures électriques sont comparées entre elles ou avec d'autres caractéristiques 20 extraites de l'image de l'empreinte du doigt afin de vérifier si ce doigt est vivant. Par ces procédés d'identification consolidée à deux phases, les tentatives de fraudes sont limitées. Néanmoins, on a constaté que le nombre des tentatives réduisait la fiabilité du système, un fraudeur qui a réussi à être identifié comme une personne autorisée, pouvant par exemple faire valider cette identification et ainsi détourner le 25 système au bout de quelques dizaines de tentatives. Le but de l'invention est donc d'améliorer la sécurité des procédés d'identification consolidée en évitant que de nombreuses tentatives permettent de le déjouer. A cet effet, la présente invention concerne un procédé de contrôle d'accès d'une 30 personne comportant une prise de mesure d'identification de ladite personne et au moins une autre prise de mesure, ledit procédé consistant à autoriser l'accès de ladite personne lorsqu'elle a été identifiée par ladite prise de mesure d'identification et que ladite identification a été validée par ladite ou lesdites autres prises de mesure et à le refuser dans le cas contraire. Le procédé selon l'invention se caractérise en ce que lorsque ladite personne a été identifiée par ladite prise de mesure d'identification et qu'existe une incohérence entre au moins deux prises de mesure, au moins une 5 caractéristique de ladite personne identifiée est enregistrée dans une liste de révocation, ledit procédé consistant en outre à refuser l'accès à toute personne identifiée dont ladite ou une caractéristique est enregistrée dans ladite liste de révocation. Selon une autre caractéristique de l'invention, ladite prise de mesure 10 d'identification est réalisée par un moyen d'identification et en ce que ladite ou chaque autre prise de mesure est réalisée, soit par un moyen d'identification, soit par un moyen de mesure. Selon une autre caractéristique de l'invention, un moyen d'identification est choisi parmi les moyens de reconnaissance d'empreinte digitale, d'iris, de voix, ou un 15 code secret et en ce qu'un moyen de mesure est choisi parmi les moyens de mesure d'impédance, d'inductance, de pression sanguine ou de température. Selon une autre caractéristique de l'invention, ledit procédé consiste à comparer les résultats de mesure obtenus par ledit ou chaque moyen d'identification à des données préétablies et à identifier une personne lorsque les résultats de mesure 20 correspondent à des données préétablies pour ladite personne. Selon une autre caractéristique de l'invention, ledit procédé consiste à valider une identification d'une personne lorsque les résultats de mesure obtenus par ledit ou chaque moyen de mesure correspondent à des critères d'acceptabilité. Selon une autre caractéristique de l'invention, ledit procédé consiste en outre, 25 avant de refuser l'accès à une personne identifiée dont ladite ou une caractéristique est enregistrée dans ladite liste de révocation, à réaliser au moins une autre prise de mesure d'identification, dite seconde prise de mesure d'identification, et à autoriser l'accès à ladite personne lorsque le résultat de ladite ou de chaque seconde prise de mesure d'identification correspond au résultat de ladite première prise de mesure 30 d'identification et à refuser l'accès dans le cas contraire. Selon une autre caractéristique de l'invention, ladite caractéristique enregistrée dans ladite liste de révocation est au moins le résultat d'une prise de mesure permettant une identification ou une information déduite dudit résultat. Selon une autre caractéristique de l'invention, ladite information est l'identité de la personne identifiée. Les caractéristiques de l'invention mentionnée ci-dessus, ainsi que d'autres apparaîtront plus clairement à la lecture de la description suivante d'un exemple de réalisation, ladite description étant faite en relation avec les dessins joints, parmi lesquels: la Fig. 1 représente un organigramme des étapes du procédé d'identification consolidée selon un premier mode de réalisation de l'invention. la Fig. 2 représente un organigramme des étapes du procédé d'identification consolidée selon un second mode de réalisation de l'invention. la Fig. 3 représente un organigramme des étapes du procédé d'identification 15 consolidée selon un troisième mode de réalisation de l'invention. Le procédé selon l'invention est un procédé de contrôle d'accès basé sur le principe d'un procédé d'identification consolidée. Le procédé d'identification consolidée illustré à la Fig. 1 comprend un ensemble de moyens de prise de mesure regroupant des moyens d'identification Mi prévus pour identifier une personne 20 demandant un accès à un système, ainsi que des moyens de mesure Mm prévus pour effectuer des mesures sur cette personne demandant l'accès afin de la caractériser. Un moyen d'identification Mi est par exemple un capteur d'empreinte digitale, un capteur d'empreinte d'iris, un capteur de voix ou un dispositif d'entrée d'un code secret, etc. Un moyen de mesure Mm est par exemple un capteur effectuant des 25 mesures d'impédance Z, d'inductance 1, de pression sanguine P0, de température T ou de toute autre caractéristique liée à la personne demandant l'accès. Dans le procédé selon un premier mode de réalisation de l'invention, la première étape consiste à réaliser au moins deux prises de mesure Pl et P2. L'une des prises de mesure, par exemple Pi, est nécessairement une prise de mesure réalisée à 30 l'aide d'un moyen d'identification Mi, alors que l'autre prise de mesure P2 et les autres prises de mesure s'il en existe d'autres sont réalisées chacune à l'aide d'un moyen choisi parmi l'ensemble des moyens d'identification Mi et l'ensemble des moyens de mesure Mm proposés précédemment. Ainsi, on peut réaliser en Plune prise d'empreinte digitale et en P2 une prise d'empreinte d'iris ou, en Pi une prise d'empreinte digitale et en P2 une prise de mesure optique, etc. On peut aussi effectuer en Pi une prise d'empreinte digitale du pouce de la main droite couplée en P2 à des mesures d'impédance de ce pouce. On notera que les prises de mesure Pi et P2 peuvent être réalisées aussi bien de manière successive que de manière approximativement simultanée. Dans le cas de deux prises de mesure successives, ces prises sont liées entre elles par une logique de relation d'ordre et/ou de relation temporelle. Ainsi, par exemple, lorsqu'un groupe de 10 personnes autorisées effectue en deux étapes successives les deux prises de mesure Pi et P2, chaque personne est reconnue à la seconde prise de mesure P2 comme étant la personne déjà reconnue à la première prise PI. Chaque prise Pi, P2 donne un résultat RP1, RP2. Le résultat RP1 obtenu par la prise de mesure Pi destinée à identifier la personne demandant l'accès est soumis à 15 une étape dite d'identification. Cette étape consiste à vérifier que le résultat RP1 correspond à une personne autorisée. Si, à l'issue de l'étape d'identification, la réponse est négative, autrement dit si la personne demandant l'accès n'a pas été reconnue comme une personne autorisée, alors l'accès de cette personne est immédiatement rejeté. Si, dans le cas contraire, la personne demandant l'accès a été 20 reconnue comme une personne autorisée, les résultats RP1 et RP2 des deux prises de mesures Pi et P2 sont soumis à une étape de validation. Cette étape consiste à vérifier qu'il existe une cohérence entre les résultats des prises RP1 et RP2. Par cohérence, on entend de manière générale l'établissement d'une relation attendue entre les résultats des prises RP1 et RP2. Dans un mode de réalisation illustratif, le résultat RP1 est considéré comme bon, s'il y a identification, c'est-à-dire si le système reconnaît que l'empreinte digitale du pouce droit de la personne demandant l'accès correspond à une empreinte d'une personne autorisée. Le résultat RP2 est considéré comme bon, si les valeurs d'impédance mesurées sur le pouce droit correspondent à des valeurs considérées 30 comme appartenant à une personne vivante. Enfin, la cohérence des résultats RP1 et RP2 entre eux est vérifiée et considérée comme bonne, si le pouce porteur de l'empreinte digitale reconnue, présente des valeurs d'impédance mesurées considérées comme appartenant à une personne vivante ou à des valeurs préenregistrées considérées comme propres à la personne identifiée. Si les conditions d'identification et de cohérence ne sont pas validées, alors l'accès est refusé à la personne le demandant. Ce rejet fait en outre l'objet d'une 5 inscription dans une liste dite de révocation, d'au moins une caractéristique identifiée lors de la prise de mesure Pi. Cette ou ces caractéristiques peuvent être un résultat de prise de mesure ou une information déduite d'un résultat d'une prise de mesure. Ainsi, parmi les caractéristiques pouvant être inscrites dans la liste, on peut trouver par exemple l'identité de la personne reconnue, une empreinte digitale, un code secret, 10 etc. Cette ou ces caractéristiques peuvent être celles des victimes de fraudeurs comme celles des fraudeurs. Cette ou ces caractéristiques doivent permettre de reconnaître plus aisément un fraudeur lors d'une nouvelle tentative de celui-ci. Par contre, si les conditions d'identification et de cohérence sont validées, alors on vérifie qu'au moins une des caractéristiques issues des prises de mesure et 15 susceptibles d'être dans la liste de révocation ne se retrouve pas dans cette liste de révocation. Si, aucune caractéristique issue des prises de mesure et susceptible d'être dans la liste de révocation n'est pas présente dans la liste de révocation, alors l'accès est autorisé. Si, dans le cas contraire, au moins une caractéristique issue des prises de mesure est présente dans la liste de révocation, alors l'accès est refusé à la personne le 20 demandant. Par exemple, si l'empreinte du pouce droit prise lors de la prise de mesure Pl validée par une prise de mesure P2, se trouve après consultation de la liste de révocation, déjà enregistrée dans cette liste, la personne demandant l'accès avec cette empreinte est immédiatement rejetée. Une fois la liste de révocation constituée, toute personne se présentant aux prises de mesure Pl et P2 avec au moins une des caractéristiques inscrites dans la liste de révocation, cette personne pouvant être aussi bien la personne détentrice de cette identité qu'un fraudeur, se verra systématiquement refuser l'accès. L'accès est ainsi rendu très difficile à des fraudeurs qui effectueraient plusieurs tentatives. Dans un second mode de réalisation de l'invention illustré à la Fig. 2, un nombre prédéfini de tentatives d'accès n est instauré. Ce nombre prédéfini est par exemple égal à trois. Dans ce mode de réalisation, les étapes précédant l'étape de validation ainsi que les étapes suivant l'acceptation de la validation sont identiques à celles décrites pour le premier mode de réalisation. En revanche, dans ce mode de réalisation en cas d'absence de validation, on vérifie que le nombre de tentatives n est différent d'une valeur nulle. Si c'est le cas, on décrémente le nombre de tentatives n 5 d'une unité et on rejette l'accès à la personne demandant cet accès. Si ce n'est pas le cas, c'est-à-dire si ce nombre n est égal à une valeur nulle, alors on inscrit à l'instar du premier mode de réalisation au moins une caractéristique issue des prises de mesures Pi et P2 dans une liste de révocation, puis on rejette l'accès à la personne le demandant. En outre, à chaque nouvelle tentative d'accès, après identification de la 10 personne, le nombre de tentatives n associé à ladite personne est obtenu par relation avec cette identification et est mémorisé pour ensuite être pris en compte en cas d'absence de validation. Dans ce mode de réalisation, les tentatives d'accès sont comptabilisées et l'absence de validation sanctionnée au bout du nombre de tentatives prédéfini par une 1 5 inscription dans la liste de révocation. Un troisième mode de réalisation de l'invention est également proposé. Dans ce mode de réalisation illustré à la Fig. 3, une caractéristique identifiée puis validée, mais présente dans la liste de révocation, ne fait pas l'objet d'un rejet systématique. En effet, la présence de cette caractéristique dans la liste de révocation est 20 suivie, dans ce mode de réalisation de l'invention, par une nouvelle prise de mesure Pi par un moyen d'identification Mi, différente de la première prise de mesure Pi. Cette autre prise de mesure Pi remplace la première prise de mesure Pi obtenue par un moyen d'identification. Le procédé recommence au début et les différentes étapes du procédé prennent en compte les résultats obtenus par les prises de mesures Pi et P2. Dans l'exemple illustratif choisi, si l'empreinte du pouce droit est présente dans la liste de révocation, la personne demandant l'accès pourra effectuer une nouvelle prise de mesure, soit avec un moyen d'identification Mi identique, mais par exemple avec l'index, soit avec un moyen d'identification Mi différent, par exemple avec l'empreinte de l'iris de son oeil droit, etc. On notera que le choix du nouveau moyen d'identification Mi peut, soit être laissé à la personne demandant l'accès, soit être proposé par le système mettant en òuvre le procédé. Dans l'exemple illustratif choisi, la présence dans la liste de révocation de l'empreinte de pouce identifiée lors de la prise de mesure Pl peut faire l'objet d'une autre prise de mesure par un moyen d'identification Mi comme par exemple une prise d'empreinte d'iris. L'empreinte de l'iris remplace alors l'empreinte du pouce dans le procédé. Afin de limiter le nombre de tentatives d'identification, un nombre de tentatives d'identification m est prédéterminé. De cette manière, après chaque changement de moyen d'identification, on vérifie que le nombre de tentatives d'identification m est différent d'une valeur nulle. Si ce nombre m est différent d'une valeur nulle alors on 10 décrémente d'une unité ce nombre m et on recommence le procédé, sinon l'accès est rejeté. De même, à l'instar du second mode de réalisation, l'étape de validation est suivie d'une vérification d'un nombre n de tentatives prédéterminées aboutissant soit sur un rejet immédiat dans le cas ou n est différent de zéro, soit à une inscription dans 15 la liste de révocation et un rejet dans le cas contraire. On notera que les valeurs de m et n sont connues à l'étape d'identification du fait de la correspondance faite entre l'identité de la personne et le nombre n ou m. Pour chacun des modes de réalisation exposés, la personne reconnue au travers de la caractéristique rejetée doit alors ensuite être réautorisée de manière contrôlée 20 pour être à nouveau considérée et reconnue par le système comme une personne autorisée d'accès. Cette réautorisation peut s'obtenir par deux méthodes. La première méthode consiste à effacer de la liste de révocation les caractéristiques liées à ladite personne, puis à les revalider de manière à ce qu'elles soient à nouveau reconnues comme appartenant à une personne autorisée. La seconde méthode consiste d'une 25 part, à supprimer définitivement l'autorisation auxdites caractéristiques inscrites dans la liste de révocation et, d'autre part, à autoriser d'autres caractéristiques liées à ladite personne non inscrites dans la liste de révocation. On notera que les informations contenues dans ladite liste de révocation peuvent être centralisées dans un fichier informatique consultable à distance par le système 30 chargé de communiquer avec ladite liste. REVENDICATIONS 1) Procédé de contrôle d'accès d'une personne comportant une prise de mesure d'identification de ladite personne et au moins une autre prise de mesure, ledit procédé consistant à autoriser l'accès de ladite personne lorsqu'elle a été identifiée par ladite prise de mesure d'identification et que ladite identification a été validée par ladite ou 5 lesdites autres prises de mesure et à le refuser dans le cas contraire, caractérisé en ce que lorsque ladite personne a été identifiée par ladite prise de mesure d'identification et qu'existe une incohérence entre au moins deux prises de mesure, au moins une caractéristique de ladite personne identifiée est enregistrée dans une liste de révocation, ledit procédé consistant en outre à refuser l'accès à toute personne 10 identifiée dont ladite ou une caractéristique est enregistrée dans ladite liste de révocation. 2) Procédé de contrôle d'accès d'une personne selon la revendication 1, caractérisé en ce que ladite prise de mesure d'identification est réalisée par un moyen d'identification (Mi) et en ce que ladite ou chaque autre prise de mesure est réalisée 15 soit par un moyen d'identification (Mi) soit par un moyen de mesure (Mm). 3) Procédé de contrôle d'accès d'une personne selon la revendication 2, caractérisé en ce qu'un moyen d'identification (Mi) est choisi parmi les moyens de reconnaissance d'empreinte digitale, d'iris, de voix, ou un code secret et en ce qu'un moyen de mesure (Mi) est choisi parmi les moyens de mesure d'impédance Z, 20 d'inductance I, de pression sanguine P0 ou de température T . 4) Procédé de contrôle d'accès d'une personne selon la revendication 2 ou 3, caractérisé en ce qu'il consiste à comparer les résultats de mesure (RP1, RP2) obtenus par ledit ou chaque moyen d'identification (Mi) à des données préétablies et à identifier une personne lorsque les résultats de mesure (RP1, RP2) correspondent à 25 des données préétablies pour ladite personne. 5) Procédé de contrôle d'accès d'une personne selon une des revendications 2 à 4, caractérisé en ce qu'il consiste à valider une identification d'une personne lorsque les résultats de mesure (RP1, RP2) obtenus par ledit ou chaque moyen de mesure (Mm) correspondent à des critères d'acceptabilité. 6) Procédé de contrôle d'accès d'une personne selon une des revendications précédentes, caractérisé en ce qu'il consiste, avant de refuser l'accès à une personne identifiée dont ladite ou une caractéristique est enregistrée dans ladite liste de révocation, à réaliser au moins une autre prise de mesure d'identification, dite seconde 5 prise de mesure d'identification, et à autoriser l'accès à ladite personne lorsque le résultat de ladite ou de chaque seconde prise de mesure d'identification correspond au résultat de ladite première prise de mesure d'identification et à refuser l'accès dans le cas contraire. 7) Procédé de contrôle d'accès d'une personne selon une des revendications 10 précédentes, caractérisé en ce que ladite caractéristique enregistrée dans ladite liste de révocation est au moins le résultat d'une prise de mesure permettant une identification ou une information déduite dudit résultat. 8) Procédé de contrôle d'accès d'une personne selon la revendication 7, caractérisé en ce que ladite information est l'identité de la personne identifiée.