Brevet FR2924843A1 — publié le 20090612

La présente invention concerne un système et un dispositif innovants pour sécuriser le contrôle d'accès au contenu informatique (données, ressources, etc.) d'un serveur, d'un réseau et, plus généralement, d'un ou plusieurs ordinateur(s). La présente invention est conçue pour autoriser l'accès au contenu informatique à une personne suite à un contrôle sur son identité ainsi que sur le contexte opérationnel dans lequel ladite personne se trouve. La présente invention se base sur un système et dispositif d'authentification d'identité client/serveur du type multi-facteurs, ce qui implique la séparation physique et / ou logique des différentes composantes du système afin de garantir une majeure 10 robustesse et efficacité de fonctionnement. Aujourd'hui dans le monde, les brèches de sécurité dans le contrôle d'accès des systèmes informatiques peuvent entrainer des lourdes responsabilités et, par conséquent, des fortes peines. 15 Les estimations suivantes montrent un exemple des coûts engendrés par des brèches de sécurité informatique (source: J.Gold û Sysbasis, 2006): Nombre de donnés informatiques personnelles concernés: deux-cent mille Coûts de notifications : sept millions de dollars 10%-15% de perte de confiance. Impact conséquent sur le business: = vingt-mille û 20 trente-mille clients en moins. "Coût des remèdes" (actions commerciales pour rétablir la confiance : crédits, remises, etc.): cinquante dollars par client. Frais et pénalités: entre un et dix millions de dollars. Les brèches de sécurité peuvent même devenir catastrophiques dans les cas de 25 vol, perte ou altération de donnés informatiques à niveau se la sécurité nationale. Les brèches de sécurité peuvent être causées par des facteurs et/ou événements divers, tels que : Le vol d'un dispositif informatique (ordinateur, etc.) qui permet d'accéder à des 30 données sensibles, stockées soit localement soit sur un ordinateur distant (joignable par l'intermédiaire d'un réseau de télécommunication). - L'usurpation de l'identité d'un utilisateur autorisé à accéder aux données informatiques stockées sur un ordinateur local ou distant. - L'entrée inopinée dans l'enceinte d'une entreprise en trompant le système d'accès et, 35 par conséquent, la possibilité d'accès à des équipements informatiques de telle entreprise. 2 Mauvaise utilisation (en bonne ou mauvaise foi) du contenu électronique de l'entreprise, spécialement en se connectant aux ressources informatiques de l'entreprise de façon `distante' (télétravail, déplacement, etc.). Un système "incassable" de contrôle d'accès doit pouvoir contrer toutes lesdites causes des brèches de sécurité. Un tel système doit être conforme au cahier des charges suivant : - Procédures fiables pour l'authentification / autorisation de l'utilisateur. Moyens robustes et diversifiés pour la vérification de l'identité de l'utilisateur. Permissions d'accès au contenu électronique par rapport au contexte opérationnel de l'utilisateur légitime: endroit, temps, niveau de confiance dans la procédure de vérification d'identité, etc. - Un' architecture multi-facteur pour la sécurité informatique: les différents éléments du système de sécurité sont opérés par des composants physiques / logiques bien séparés et installés dans des endroits différents. La présente invention répond à tous les éléments du cahier de charge décrit. Le contrôle d'accès au contenu informatique est traditionnellement effectué à l'aide de systèmes du type client/serveur avec vérification d'identité basée sur mot de passe et plus récemment par l'intermédiaire d'un contrôle biométrique. Les brevets suivants sont cités à titre d'exemple pour montrer les inconvénients des solutions existantes : "Electronic file protection using location" (auteur: Roger Dube) Description d'un système de protection du contenu électronique; selon le descriptif, une clef de chiffrement est générée en fonction des informations sur la localisation de l'ordinateur qui stocke le contenu. Cette invention ne concerne pas les aspects de vérification d'identité d'un utilisateur qui essaie d'accéder au contenu électronique. "Uniform resource locator access management and control system and method" (auteurs: Shivaram Bhat, James Nelson) Description d'un système de contrôle d'accès à une adresse internet en fonction de la localisation géographique de l'utilisateur; selon le descriptif, un jeton d'identification est fourni à l'utilisateur ; selon la politique d'accès du serveur de contrôle, l'utilisateur identifié par le biais du jeton a des droits plus ou moins restreints d'accéder à un serveur répertorié dans la liste internet. Les procédures de sécurité décrites dans cette invention ne sont pas assez fortes car les aspects "multi-facteur" sont -3- faibles : il serait toujours possible de pouvoir utiliser le jeton de façon illégitime (vol avec usurpation d'identité, par exemple). "Access system utilizing multiple factor identification and authentication" 5 (auteurs: Edward Scheidt, Ersin Domanque, Roger Butler, Wai Tsang) Description d'une méthode d'authentification basée sur un jeton qui génère une clef d'authentification basée sur l'identification de l'utilisateur par le biais d'un mot de passe. Après vérification de l'identité, des données privées stockées sur le jeton son déloquées. Ces données permettent la mise en place d'une communication chiffrée entre 10 le jeton et les Tiers d'Authentification. Encore une fois, les aspects "multi-facteur" sont faibles : aucun lien apparait entre la procédure d'identification et le contexte opérationnel de l'utilisateur Le système et dispositif selon l'invention permettent de remédier à tous les 15 inconvénients constatés dans l'état de l'art, en fournissant un mode de sécurisation inviolable pour des personnes non autorisées ou pour des `hackers' qui cherche à attaquer et endommager un système informatique. Le système comporte en effet une architecture d'authentification multi-facteur pour un contrôle JOINT de : 20 - L'accès physique (contrôle d'enrôlement dans un endroit physique). L'accès au système informatique (ordinateur, donnés logiciel, connexion distante, etc.). Spécifiquement, ce contrôle JOINT se base sur la mise en place et l'exécution 25 de deux procédés : un premier procédé de contrôle d'accès physique û ou contrôle d'enrôlement û pour vérifier l'identité d'une personne ainsi que le contexte opérationnel dans lequel ladite personne se trouve. un deuxième procédé de contrôle d'accès au système informatique permettant de 30 donner accès audit système informatique en fonction de l'identité d'une personne ainsi que le contexte opérationnel dans lequel ladite personne se trouve selon la vérification effectuée par le premier procédé de contrôle d'accès physique. Les dessins annexés illustrent l'invention. 35 La Figure 1 représente le système global de l'invention selon sa configuration préférée. Le système global repose sur cinq dispositifs : un DISPOSITIF UTILISATEUR [100], un dispositif TERMINAL [200], un dispositif SERVEUR APPLICATIF [300], un dispositif SERVEUR D'ENROLEMENT [400], un dispositif -4- INTERFACE AUTHENTIFICATION [500]. En général, ces dispositifs (décrits par la suite) correspondent à cinq éléments fonctionnels. De préférence, et afin d'assurer la sécurité maximale, chacun de ces éléments fonctionnels est hébergé par un et un seul dispositif physique qui lui correspond. En effet, telle est la configuration du système décrite dans la Figure 1, qui montre que : Le DISPOSITIF UTILISATEUR [100] a une connexion sans fil [470] avec le dispositif INTERFACE AUTHENTIFICATION [500]. Dans une variante de réalisation, la connexion [470] peut être une connexion filaire. Le DISPOSITIF UTILISATEUR [100] a également une connexion sans fil 10 [460] avec le dispositif TERMINAL [200]. Dans une variante de réalisation, la connexion [460] peut être une connexion filaire. Les dispositifs TERMINAL [200], SERVEUR APPLICATIF [300], SERVEUR D'ENROLEMENT [400], INTERFACE AUTHENTIFICATION [500] communiquent de façon sécurisée entre eux, préférablement via Internet en utilisant le schéma 15 d'adresses et le protocole de transmission TCP/IP avec une protection des accès malveillants par le biais des pare-feux [450]. Autre variantes de réalisation sont possibles et seront décrites par la suite. Description des cinq dispositifs qui composent le système globale de Figure 1 : 20 [100] DISPOSITIF UTILISATEUR La Figure 2 montre un schéma de principe du DISPOSITIF UTILISATEUR [100] en accord avec le principe général de l'invention. Le DISPOSITIF UTILISATEUR [100] comprend deux émetteurs / récepteurs radio [106] et [107] qui 25 communiquent avec une unité centrale (CPU) [103]. L'émetteur / récepteur radio [106] permet la communication avec le dispositif TERMINAL [200] et est conforme, de préférence, à une technologie de transmission sans fil [460], tel que l'Identification par Radiofréquence (RFID) ou la communication en champ proche (NFC) ou Bluetooth. L'émetteur / récepteur radio [107] permet la communication avec le dispositif 30 INTERFACE AUTHENTIFICATION [500] et est conforme, de préférence, à une technologie de transmission sans fil [470], tel que l'Identification par Radiofréquence (RFID) ou la communication en champ proche (NFC) ou Bluetooth. Selon les variantes de réalisation, un seul émetteur / récepteur radio peut être présent, ainsi que une seule interface de communication sans fil. Selon autres variantes de réalisation, les émetteurs / 35 récepteurs [106] et [107] peuvent opérer selon des technologies filaires, telles que USB ou IEEE1394. L'unité centrale [103] reçoit les données biométriques à partir d'un senseur (la Figure 2 montre les cas exemplaire d'un senseur d'empreinte digitale [101]) et les compare avec des données biométriques de référence stockées dans une base de données [104], de préférence locale. Si la comparaison est positive, un jeton d'authentification [J100] est calculé par l'unité centrale est en suite stocké (de façon chiffrée) dans un endroit sécurisé [105]. Il faut noter que le processus de chiffrement peut être fait par le biais d'un logiciel ou avec du matériel optionnel ; dans tous les cas, 5 le processus de chiffrement est implémenté par l'unité fonctionnel [102]. Le fonctionnement détaillé du DISPOSITIF UTILISATEUR [100] dans le contexte du procédé global sera expliqué dans la suite de la description. [200] TERMINAL La Figure 3 montre un schéma de principe du TERMINAL [200] an accord avec le principe général de l'invention. Dans une configuration préférée, TERMINAL [200] est un outil de travail pour l'utilisateur, tel que un ordinateur portable, un ordinateur fixe, un assistant numérique personnel (PDA), etc. TERMINAL [200] comprend un émetteur / récepteur radio [207] qui permet une communication sans fil avec le DISPOSITIF UTILISATEUR [100] (l'émetteur / récepteur radio est conforme, de préférence, à une technologie de transmission sans fil, tel que RFID ou NFC ou Bluetooth). L'émetteur / récepteur radio [207] communique avec une unité centrale (CPU) [205]. A son tour, la CPU [205] communique avec un contrôleur d'accès [203] qui gère les requêtes d'ouverture de session ou d'accès de la part de l'utilisateur. Quand l'utilisateur démarre son terminal, les données d'entrée [208] (généralement le nom d'utilisateur et le mot de passe) sont demandées par le contrôleur d'accès [203] par le biais d'une requête qui apparaît sur l'écran [204]. Après vérification positive des données d'entrée [208], l'unité centrale [205] calcule un jeton d'authentification [J200] et le stocke en suite dans un endroit sécurisé 25 [209] Le contrôleur d'accès [203] gère aussi toutes les requêtes de communication et d'authentification avec un SERVEUR APPLICATIF [300], par le biais d'un CLIENT APPLICATIF [202]. Il faut noter que le SERVEUR APPLICATIF [300] peut être hébergé localement par TERMINAL [200] ou, de préférence, peut être hébergé par un 30 ordinateur hôte distant: dans ce deuxième cas, le CLIENT APPLICATIF [202] peut être un client d'un réseau privé virtuel (VPN), un client http / https, ou autre. Le contrôleur d'accès [203] gère aussi toute communication avec un SERVEUR D'ENROLEMENT [400], par le biais d'une Interface réseau [201] Le fonctionnement du TERMINAL [200] dans le contexte du procédé global 35 sera expliqué dans la suite de la description [300] SERVEUR APPLICATIF -6- La Figure 4 montre un schéma de principe du SERVEUR APPLICATIF [300] an accord avec le principe général de l'invention. Le serveur applicatif comprend les fonctionnalités pour conduire des transactions en répondant à des instructions reçues par l'utilisateur distant par le biais du TERMINAL [200]. En particulier, toute transaction applicative est exécutée après vérification de l'identité de l'utilisateur. Dans ce contexte, le SERVEUR APPLICATIF [300] comprend un contrôleur d'accès [302] qui gère toutes les requêtes d'authentification avec TERMINAL [200] et collabore avec un module SECURITE [303], un processeur d'appariement des données d'identification [306] et une base de données [305] qui contient les informations de tous les utilisateurs qui sont autorisés à accéder au SERVEUR APPLICATIF [300]. Ces informations ont été collectées au préalable pendant l'enregistrement de chaque utilisateur autorisé auprès de Tiers d'Authentification. Le contrôleur d'accès [302] gère aussi toute communication avec un SERVEUR D'ENROLEMENT [400], par le biais d'une Interface réseau [301] Dans une variante de réalisation, les fonctionnalités d'authentification du SERVEUR APPLICATIF [300] peuvent résider dans un serveur d'authentification physiquement séparé du SERVEUR APPLICATIF [300]. Si la vérification de l'identité de l'utilisateur est positive, un jeton d'authentification [J300] est calculé par l'unité centrale est en suite stocké (de façon chiffrée) dans un endroit sécurisé [308]. Il faut noter que le processus de chiffrement peut être fait par le biais d'un logiciel ou avec du matériel optionnel ; dans tous les cas, le processus de chiffrement est implémenté par l'unité fonctionnel [307]. Le fonctionnement du SERVEUR APPLICATIF [300] dans le contexte du procédé global sera expliqué dans la suite de la description. [400] SERVEUR D'ENROLEMENT La Figure 5 montre un schéma de principe du SERVEUR D'ENROLEMENT [400] an accord avec le principe général de l'invention. Le serveur d'enrôlement comprend les fonctionnalités pour vérifier l'identité de l'utilisateur qui entre des données sur une INTERFACE AUTHENTIFICATION [500]. Dans ce contexte, le SERVEUR D'ENROLEMENT [400] comprend un contrôleur d'enrôlement [402] qui gère toutes les transactions d'authentification avec INTERFACE AUTHENTIFICATION [500] (par le biais d'une Interface réseau [401]) et communique avec une CPU [404]. Telle CPU [404] coordonne toutes les étapes de vérification d'identité : EXTRACTION DE CARACTERISTIQUES [403], qui permet de s'adapter à des INTERFACE AUTHENTIFICATION [500] à capture biométrique ; BASE DE DONNEES [405] et APPARIEMENT [406], qui permettent de vérifier l'identité ainsi que les droits administratifs de l'utilisateur. Les informations sur l'identité et les droits d'accès ont été collectées au préalable pendant l'enregistrement de chaque utilisateur autorisé auprès de -7- Tiers d'Authentification. Après vérification positive de l'identité ainsi que les droits administratifs de l'utilisateur, l'unité centrale [404] calcule un jeton d'authentification [J400] et le stocke (de façon chiffrée) dans un endroit sécurisé [408]. Ce processus de chiffrement peut être fait par le biais d'un logiciel ou avec du matériel optionnel ; dans tous les cas, le processus de chiffrement est implémenté par l'unité fonctionnel [407]. Le contrôleur d'enrôlement [402] gère aussi toute communication avec un SERVEUR APPLICATIF [300] et avec un TERMINAL [200], par le biais d'une Interface réseau [401]. Ces communications permettent au SERVEUR D'ENROLEMENT [400] de collecter les jetons d'authentification [J200] (de TERMINAL [200]) et [J300] (de SERVEUR APPLICATIF [300]) afin de faire un contrôle croisé de [J200], [J300], [J400] par le biais de l'unité VERIFICATION [409]. Le fonctionnement du SERVEUR D'ENROLEMENT [400] dans le contexte du procédé global sera expliqué dans la suite de la description. [500] INTERFACE AUTHENTIFICATION La Figure 6 montre un schéma de principe de l'INTERFACE AUTHENTIFICATION [500] en accord avec le principe général de l'invention. L'INTERFACE AUTHENTIFICATION [500] comprend un émetteur / récepteur radio [502] qui communique avec une unité centrale (CPU) [503]. L'émetteur / récepteur radio [502] permet la communication avec le DISPOSITIF UTILISATEUR [100] et est conforme, de préférence, à une technologie de transmission sans fil [470], tel que l'Identification par Radiofréquence (RFID) ou la communication en champ proche (NFC) ou Bluetooth. Selon autres variantes de réalisation, l'émetteur / récepteur [502] peut opérer selon des technologies filaires, telles que USB ou IEEE1394. L'unité centrale [503] communique avec des dispositifs qui permettent d'acquérir l'identité de l'utilisateur. Tels dispositifs peuvent comprendre un ou plusieurs senseur(s) de capture biométrique [505] (à titre d'exemple, un senseur d'empreinte digitale peut être utilisé) et/ou un clavier alphanumérique [506] sur lequel l'utilisateur peut taper un code secret. Un dispositif d'extraction de caractéristiques [504] agit comme intermédiaire entre les dispositifs [505] et [506] et la CPU [503] afin de formater les données d'identité d'une façon cohérente. En plus, l'unité centrale [503] gère toutes les transactions d'authentification avec le SERVEUR D'ENROLEMENT [400] par le biais d'une Interface réseau [401]. Dans une variante de réalisation, la communication avec le SERVEUR D'ENROLEMENT [400] peut être remplacée par une vérification locale de l'identité : cette variante n'est pas recommandée et ne sera pas approfondie par la suite. -8- Le fonctionnement de l'INTERFACE AUTHENTIFICATION [500] dans le contexte du procédé global sera expliqué dans la suite de la description. Dans la configuration préférée relative au marché Entreprise tous les éléments décrits ([100] à [500]) font partie des immobilisations de l'Entreprise dont l'employé est utilisateur. La configuration et programmation de ces éléments est sous le contrôle et la responsabilité du Département Informatique de l'Entreprise qui agit en tant que Tiers d'Authentification. Autres configurations sont possibles, impliquant différentes hypothèses sur la 10 responsabilité de la configuration et de la programmation; de toute façon, les aspects business qui en dérivent n'affectent pas la description de l'invention. La Figure 7 représente un scénario d'application. Autres scénarios seront décrits brièvement en correspondance de variantes de réalisation. 15 Les flèches pointillées de Figure 7 illustrent les interactions entre l'utilisateur et les dispositifs tandis que les flèches aux traits continus illustrent les interactions entre les dispositifs. La Figure 7 reproduit les cinq dispositifs décrits: DISPOSITIF UTILISATEUR [100], TERMINAL [200], SERVEUR APPLICATIF [300], SERVEUR 20 D'ENROLEMENT [400], INTERFACE AUTHENTIFICATION [500]. En outre, la Figure 7 montre une suite d'étapes numérotées respectivement [600], [610], [620], [630], [640], [650], [660], [670], [680]. Ces étapes permettent l'obtention d'une sécurité inviolable selon le principe général de l'invention et sont décrites de suite : 25 [600] ENROLEMENT L'utilisateur entre dans son environnement de travail : locaux de l'entreprise ou de l'une de ses filières, sa maison (cas de télétravail), ou autre local `autorisé'. Le terme `autorisé' signifie qu'une l'INTERFACE AUTHENTIFICATION [500] est présente afin 30 de vérifier l'identité de l'utilisateur. Telle interface peut être basée sur capture d'empreinte biométrique (de préférence) ou un code alphanumérique à taper ou une combinaison des deux. En Figure 7 la capture d'une empreinte digitale et le code alphanumérique sont illustrés. 35 [610] VERIFICATION INTERFACE AUTHENTIFICATION [500] et SERVEUR D'ENROLEMENT [400] s'échangent un flux de messages afin de vérifier l'appariement entre les données entrées par l'utilisateur sur INTERFACE AUTHENTIFICATION [500] dans l'étape -9- [600] et les données stockées dans un lieu éloigné (où le SERVEUR D'ENROLEMENT [400] est installé). L'échange de messages se fait préférablement via Internet en utilisant le schéma d'adresses et le protocole de transmission sécurisé IPSec. Une fois la vérification réussie, le SERVEUR D'ENROLEMENT [400] notifie INTERFACE AUTHENTIFICATION [500] que un enrôlement (ou inscription) de l'utilisateur a bien eu lieu. [620] ENROLEMENT OK Le SERVEUR D'ENROLEMENT [400] notifie au DISPOSITIF UTILISATEUR [100] que l'identité de l'utilisateur a été vérifiée a l'acte de enrôlement (ou inscription) de ce dernier. Dans la configuration préférée de Figure 2 et de Figure 7, aucun lien physique direct n'existe entre SERVEUR D' ENROLEMENT [400] et DISPOSITIF UTILISATEUR [100]. La notification se fait donc par l'intermédiaire d'INTERFACE AUTHENTIFICATION [500] (à noter que cette intermédiation n'est pas illustrée en Figure 7). En effet, selon le schéma de Figure 2, une connexion locale sans fil [470] existe entre INTERFACE AUTHENTIFICATION [500] et DISPOSITIF UTILISATEUR [100]. Par le biais de cette connexion ladite notification est envoyée au DISPOSITIF UTILISATEUR [100]. La conclusion positive de cette étape [620] assure que l'utilisateur a été admis à accéder à un endroit `autorisé'. Cette information est connue par le SERVEUR D'ENROLEMENT [400] et par DISPOSITIF UTILISATEUR [100]. Pour des raisons de sécurité, ladite information est stockée dans le DISPOSITIF UTILISATEUR [100] pour une durée limitée, telle durée étant configurée par le Tiers 25 d'Authentification. [630] DEMARRAGE L'utilisateur démarre son outil de travail TERMINAL [200] et effectue les étapes nécessaires a son identification, par exemple en tapant {nom d'utilisateur, mot de 30 passé} sur l'écran d'accueil de TERMINAL [200] (Il faut noter que autres façons de s'identifier localement sur TERMINAL [200] peuvent être adoptées, sans pour autant s'éloigner du concept de l'invention). Une fois le processus de vérification de l'identité effectué, TERMINAL [200] termine la phase de démarrage en ouvrant une session de communication avec SERVEUR D'ENROLEMENT [400] préférablement via Internet 35 en utilisant le schéma d'adresses et le protocole de transmission TCP/IP. [640] DEMARRAGE OK -10- La session ouverte à l'étape [630] est utilisée par TERMINAL [200] afin de notifier le SERVEUR D'ENROLEMENT [400] que le démarrage de TERMINAL [200] a été effectué correctement. Le SERVEUR D'ENROLEMENT [400] vérifie les informations contextuelles (contexte `logique', temps, autre) de la phase de démarrage et envoie une notification (positive) à TERMINAL [200]. Cette communication entre TERMINAL [200] et SERVEUR D'ENROLEMENT [400] se fait de préférence avec une connexion filaire sécurisée (par exemple en adoptant le protocole IPSec) par l'intermédiaire d'un réseau de télécommunication avec protection du type pare-feu entre les différents domaines informatiques (voir aussi Figure 1). La conclusion positive de cette étape [640] assure qu'un utilisateur `autorisé' peut utiliser un outil de travail `autorise' à partir d'un endroit `autorisé'. Cette information est connue par le SERVEUR D'ENROLEMENT [400] et par TERMINAL [200]. NOTE: la fin de l'étape [640] marque l'achèvement de la phase d'enrôlement. L'utilisateur est prêt pour commencer à travailler avec son TERMINAL [200], en particulier pour accéder aux ressources informatiques centralisées de l'entreprise. A cette fin, les étapes suivantes décrivent le processus additionnel de contrôle d'accès informatique, qui est relié étroitement à la phase d'enrôlement décrite dans les étapes [600] à [640]. [650] DEMANDE D'ACCES L'utilisateur lance le logiciel CLIENT APPLICATIF [202] (voir Figure 3) sur son TERMINAL [200], en demandant, par exemple, accès à une base de données de l'Entreprise, cette base de données étant stockée sur le SERVEUR APPLICATIF [300]. Le contrôleur d'accès [203] (voir Figure 3) transmet cette requête au SERVEUR APPLICATIF [300], par le biais du CLIENT APPLICATIF [202]. [660] CONTROLE D'ACCES LOCAL La réponse du SERVEUR APPLICATIF [300] à la demande d'accès [650] est décodée par le contrôleur d'accès [203] qui invite l'utilisateur à confirmer son identité avec un message approprié qui apparaît sur l'écran [204] (voir Figure 3): dans le mode de fonctionnement opérationnel préféré, le message indique que le DISPOSITIF UTILISATEUR [100] est le seul élément autorisé pour la confirmation de l'identité de l'utilisateur. L'utilisateur entre son (ses) empreinte(s) biométrique(s) sur DISPOSITIF UTILISATEUR [100] (On fait implicitement l'hypothèse que DISPOSITIF -11- UTILISATEUR [100] dispose d'un système de capture biométrique, en particulier sous la forme d'empreinte digitale, comme illustré dans la Figure 7). Une fois le processus de vérification biométrique terminé avec succès, un message de réponse est envoyé par le DISPOSITIF UTILISATEUR [100] à 5 TERMINAL [200] par le biais de l'interface [460]. La conclusion positive de cette étape [660] assure qu'un utilisateur `autorisé' essaie d'accéder aux ressources informatiques de SERVEUR APPLICATIF [300] en utilisant un outil de travail `autorise' à partir d'un endroit `autorisé'. 10 [670] CONTROLE D'ACCES SERVEUR APPLICATIF [300] envoie à SERVEUR D'ENROLEMENT [400] des informations contextuelles (contexte `logique', temps, autre) qui caractérisent la tentative d'accès de l'utilisateur. En effet, SERVEUR D'ENROLEMENT [400] est le seul dispositif à avoir une connaissance complète des informations contextuelles dans 15 lesquelles se sont déroulées les étapes précédentes. [680] CONTROLE D'ACCES OK SERVEUR D'ENROLEMENT [400] vérifie la cohérence de toutes les informations contextuelles reçue dans toutes les étapes précédentes. La terminaison 20 positive de cette étape garantie que un utilisateur autorisé peut accéder au système informatique de l'Entreprise à partir d'un terminal fiable, et en agissant dans un local autorisé et à un instant temporel autorisé. La Figure 8 représente un mode de fonctionnement opérationnel préféré selon le 25 scénario d'application de Figure 7. En particulier, les flux de messages entre les cinq dispositifs [100], [200], [300], [400], [500] et l'utilisateur sont illustrés : [601] : L'utilisateur entre ses donnés d'identification sur INTERFACE AUTHENTIFICATION [500] En Figure 8 la capture d'une empreinte digitale et le code 30 alphanumérique sont illustrés. Autres types de donnés sont évidemment possibles [611] : INTERFACE AUTHENTIFICATION [500] envoie les donnés capturés au SERVEUR D'ENROLEMENT [400] préférablement via Internet en utilisant le schéma d'adresses et le protocole de transmission sécurisé IPSec. Avec les donnés 35 d'identification, des informations contextuelles sont envoyées, par exemple le temps, des identificateurs physiques (comme le numéro de série de INTERFACE AUTHENTIFICATION [500] ou son adresse `Medium Access Control' (MAC)), des identificateurs logiques (comme l'adresse IP de INTERFACE AUTHENTIFICATION - 12 - [500]). Autres donnés contextuelles sont évidemment possibles, selon les préférences de réalisation d'un Tiers d'Authentification. [612] : SERVEUR D'ENROLEMENT [400] vérifier l'appariement entre les données entrées par l'utilisateur sur INTERFACE AUTHENTIFICATION [500] dans l'étape [601] et les données stockées dans sa base de donnés. Les méthodes de vérification connues peuvent être utilisées à cet effet. En outre, SERVEUR D'ENROLEMENT [400] contrôle les informations contextuelles reçues par INTERFACE AUTHENTIFICATION [500] afin de s'assurer que le processus d'enrôlement (étapes [601] et [611]) est déclenché à partir d'un emplacement autorisé, c'est-à-dire un emplacement dans lequel l'utilisateur est autorisé à accéder aux ressources informatiques de l'entreprise. Les contraintes temporelles peuvent aussi être considérées par SERVEUR D'ENROLEMENT [400] (par exemple, l'autorisation à travailler sur des applications et / ou donnés sensibles pourrait être donnée seulement à certaines heures) Si la vérification de l'identité est des informations contextuelles est positive, SERVEUR D'ENROLEMENT [400] calcule un jeton d'authentification [J400] et le stocke pour les opérations ultérieures. Ce jeton peut être un identifiant temporel, ou une signature électronique ou autre. Ce jeton peut aussi contenir des informations sur les droits d'accès de l'utilisateur, un accusé de réception et/ou toute autre information selon les préférences de réalisation d'un Tiers d' Authentification [621] : Le jeton [J400] est transféré du SERVEUR D'ENROLEMENT [400] au DISPOSITIF UTILISATEUR [100] par le biais d'une connexion filaire sécurisée (entre SERVEUR D'ENROLEMENT [400] et INTERFACE AUTHENTIFICATION [500]) et d'une connexion sans fil [470] (entre INTERFACE AUTHENTIFICATION [500] et DISPOSITIF UTILISATEUR [100]). Dés réception de [J400] l'INTERFACE AUTHENTIFICATION [500] alerte l'utilisateur : un exemple de réalisation peut consister en un message qui apparaît sur l'écran de l'INTERFACE AUTHENTIFICATION [500] et/ou un message audio. Le but de ce(s) message(s) est d'inviter l'utilisateur à approcher son DISPOSITIF UTILISATEUR [100] de l'INTERFACE AUTHENTIFICATION [500] pour les faire communiquer par le biais de l'interface [470]. [622] : Après réception de [J400] par le biais de l'interface [470], DISPOSITIF UTILISATEUR [100] calcule un jeton d'authentification [J100] et le stocke pour les opérations ultérieures. Ce jeton peut être un identifiant temporel, ou une signature électronique ou autre, selon les préférences de réalisation d'un Tiers d' Authentification. - 13 - [J100] est stockée dans une zone de mémoire à haute sécurité (résistante a tout accès ou tentative d'altération) [105] (voir Figure 2) du DISPOSITIF UTILISATEUR [100]. En particulier [J100] est crypté par l'unité fonctionnelle [102] (voir Figure 2) avec une clef de chiffrement qui est aussi stockée dans une zone de mémoire à haute sécurité [105]. [631] : L'utilisateur démarre son outil de travail TERMINAL [200] et effectue les étapes nécessaires a son identification, par exemple en tapant {nom d'utilisateur, mot de passé} sur l'écran d'accueil de TERMINAL [200]. Des entrées biométriques peuvent être aussi utilisées, selon les possibilités de TERMINAL [200] : dans ce cas, des entrées biométriques différentes de celles utilisées dans l'étape [601] peuvent être employées (par exemple, une empreinte digitale différente). [632] : Si la vérification de l'identité de l'utilisateur est positive, TERMINAL [200] calcule un jeton d'authentification [J200] et le stocke pour les opérations ultérieures. Ce jeton peut être un identifiant temporel, ou une signature électronique ou autre, selon les préférences de réalisation d'un Tiers d' Authentification. [641] : TERMINAL [200] envoie le jeton [J200] au SERVEUR D'ENROLEMENT [400] préférablement via Internet en utilisant le schéma d'adresses et le protocole de transmission sécurisé IPSec. Avec [J200], des informations contextuelles sont envoyées, par exemple le temps, des identificateurs physiques (comme le numéro de série de TERMINAL [200] ou son adresse `Medium Access Control' (MAC)), des identificateurs logiques (comme l'adresse IP de TERMINAL [200]). Autres donnés contextuelles sont évidemment possibles, selon les préférences de réalisation d'un Tiers d'Authentification. [642] : SERVEUR D'ENROLEMENT [400] notifie TERMINAL [200] que les données reçues à l'étape [641] sont valables : cela signifie que l'utilisateur peut essayer 30 les procédures d'accès au réseau informatique de l'entreprise. [651] : L'utilisateur lance le logiciel CLIENT APPLICATIF [202] (voir Figure 3) sur son TERMINAL [200], en demandant, par exemple, accès à une base de données de l'Entreprise, cette base de données étant stockée sur le SERVEUR APPLICATIF 35 [300]. Le contrôleur d'accès [203] (voir Figure 3) transmet cette requête au SERVEUR APPLICATIF [300], par le biais du CLIENT APPLICATIF [202]. - 14 - La réponse du SERVEUR APPLICATIF [300] est décodée par le contrôleur d'accès [203] [661] : Un message apparaît sur l'écran [204] de TERMINAL [200] : l'utilisateur est invité à confirmer son identité par intermédiation du DISPOSITIF UTILISATEUR [100], qui est le seul élément autorisé pour la confirmation de l'identité de l'utilisateur. [662] : Suivant le message de l'étape [661], l'utilisateur entre son (ses) empreinte(s) biométrique(s) sur DISPOSITIF UTILISATEUR [100]. Il faut noter que des entrées biométriques différentes de celles utilisées dans es étapes [601] et [631] peuvent être employées (par exemple, une empreinte digitale différente). [663] : L'unité centrale [103] du DISPOSITIF UTILISATEUR [100] compare les données biométriques avec les données de référence stockées dans une base de données locale [104]. Après vérification positive, un algorithme de déchiffrement démarre sur le bloc logiciel / matériel de chiffrement [102] (voir Figure 2) afin de déloquer le jeton [J100] (calculé dans l'étape [622]) et de l'envoyer au TERMINAL [200] par le biais de la connexion sécurisée [460]. [671] : TERMINAL [200] envoie le jeton [J100] au SERVEUR APPLICATIF [300] préférablement via Internet en utilisant le schéma d'adresses et le protocole de transmission sécurisé IPSec. Avec [J100], des informations contextuelles sont envoyées, par exemple le temps, des identificateurs physiques, des identificateurs logiques (comme l'adresse IP de TERMINAL [200]). Autres donnés contextuelles sont évidemment possibles, selon les préférences de réalisation d'un Tiers d'Authentification. [672] : SERVEUR APPLICATIF [300] vérifie l'appariement entre le jeton [J100] reçu et les données stockées dans sa base de donnés. Les méthodes de vérification connues peuvent être utilisées à cet effet, selon la nature de l'information contenue dans [J100] et selon les méthodes d'appariement adoptées par le Tiers d'Authentification et implémentées dans le bloc [306]. En outre, SERVEUR APPLICATIF [300] contrôle les informations contextuelles reçues par TERMINAL [200] : un exemple d'un tel contrôle peut être basé sur l'instant d'accès ; en effet, l'utilisateur pourrait avoir une fenêtre temporelle prédéfinie entre l'instant d'enrôlement et l'accès au système informatique : une fois cette fenêtre de préemption expirée, l'accès informatique pourrait ne pas être donné. -15- Si la vérification de [J100] est des informations contextuelles est positive, SERVEUR APPLICATIF [300] calcule un jeton d'authentification [J300] et le stocke pour les opérations ultérieures. Ce jeton peut être un identifiant temporel, ou une signature électronique ou autre. Ce jeton peut aussi contenir les informations contextuelles reçues par TERMINAL [200] et/ou toute autre information selon les préférences de réalisation d'un Tiers d' Authentification [673] : SERVEUR APPLICATIF [300] envoie le jeton [J300] au SERVEUR D'ENROLEMENT [400] préférablement via Internet en utilisant le schéma d'adresses et 10 le protocole de transmission sécurisé IPSec. [681] : SERVEUR D'ENROLEMENT [400] vérifie l'appariement entre le jeton [J300] reçu et les données stockées dans sa base de donnés. Les méthodes de vérification connues peuvent être utilisées à cet effet, selon la nature de l'information contenue dans 15 [J300] et selon les méthodes d'appariement adoptées par le Tiers d'Authentification et implémentées dans le bloc [406]. En outre, SERVEUR D'ENROLEMENT [400] contrôle toutes les informations contextuelles en sa possession: [J200], [J300], [J400]. Le but de cette opération est de vérifier de façon `croisée' qu'il n'y a pas d'incohérence dans l'ensemble de la procédure 20 de contrôle d'enrôlement et d'accès. Cette vérification est effectuée par le bloc VERIFICATION [409]. Un exemple d'incohérence pourrait être une inégalité entre les adresses IP de TERMINAL [200] dans l'étape [641] et [673]. Un autre exemple d'incohérence pourrait dériver du fait que le TERMINAL [200] est déjà allumé avant la procédure 25 d'enrôlement et avant la procédure de contrôle d'accès. Toute autre méthode et / ou algorithme pour la vérification de `croisée' des informations reçues peut être contenus dans ce bloc selon les préférences du Tiers d' Authentification. Les experts de l'art reconnaîtrons que SERVEUR D'ENROLEMENT [400] agit 30 comme `fédérateur d'identité et d'informations contextuelles' pour le procédé décrit. Autre dispositifs pourraient héberger cette fonctionnalité, par exemple SERVEUR APPLICATIF [300] ou même DISPOSITIF UTILISATEUR [100], tout en restant conforme au principe général de l'invention. En effet, le choix du dispositif qui agit comme `fédérateur d'identité et d'informations contextuelles' relève seulement du 35 modèle d'affaire dans une application industrielle de l'invention et peut être considéré comme variante d'application. - 16 - [682] : Si la vérification croisée de l'étape [681] est positive, SERVEUR D'ENROLEMENT [400] notifie au SERVEUR APPLICATIF [300] que l'utilisateur peut accéder au système informatique de l'entreprise avec des droits d'accès en fonction des informations contextuelles selon les préférences d'implémentation du Tiers d'Authentification. La notification est ensuite envoyée au TERMINAL [200]. Tout expert de l'art reconnaîtra que les nouveautés principales dans le système exposé de contrôle d'accès sont : Combiner le contrôle d'enrôlement et le contrôle d'accès informatique dans un système unique basé sur des informations contextuelles. - Rendre les procédures de contrôle d'accès informatique dépendantes des procédures de contrôle d'enrôlement : l'accès à un système (à des donnés) informatique devient possible seulement pour des utilisateurs autorisés qui agissent à partir de locaux autorisés et dans un contexte bien spécifique. L'adoption d'une architecture et d'éléments fonctionnels qui relient étroitement les procédures électroniques d'authentification / autorisation des systèmes de contrôle d'enrôlement et le contrôle d'accès informatique. L'adoption d'un environnement dans lequel des multiples éléments fonctionnels / physiques contribuent au procédé d'authentification / autorisation : un SERVEUR D'ENROLEMENT, un DISPOSITIF UTILISATEUR, un TERMINAL, un couple SERVEUR / CLIENT APPLICATIF, un' INTERFACE AUTHENTIFICATION. Le couplage fonctionnel du SERVEUR D'ENROLEMENT et du SERVEUR APPLICATIF pour assurer le contrôle totale (et les responsabilités qui vont avec) sur le system de control d'accès contextuel par des Tiers d'Authentification : en particulier, le SERVEUR D'ENROLEMENT ou le SERVEUR APPLICATIF peuvent agir comme `fédérateur d'identité et d'informations contextuelles'. L'utilisation de donnés biométriques pour améliorer et renforcer les étapes de vérification d'identité, sans pour autant devoir stocker des informations biométriques persistantes dans des dispositifs portables (seule exception : le DISPOSITIF UTILISATEUR). La méthode décrite est compatible avec le cahier des charges d'un système "incassable" de contrôle d'accès, selon la description formulée précédemment. Des détails purement techniques son fournis par la suite, afin de montrer que les technologies de sécurité bien connues à base de certificats et clefs privées / publiques peuvent être considérées comme support pour le concept décrit dans la présente invention. - 17 - En général, toute communication entre un émetteur et un récepteur du procédé et dispositif décrits doit être fournie par un tunnel sécurisé. A titre d'exemple, ce tunnel sécurisé doit exister entre SERVEUR D'ENROLEMENT [400] et TERMINAL [200] pour les étapes [641] et [642] ou entre SERVEUR D'ENROLEMENT [400] et SERVEUR APPLICATIF [300] pour les étapes [673] et [682]. Plus généralement, tout échange de messages entre les cinq dispositifs de Figure 1 doit respecter de règles d'authentification, contrôle d'intégrité et confidentialité. Ces règles sont bien résumées dans le livre "Wi-Fi par la pratique" (auteurs : Davor Males, Guy Pujolle), dont les enseignements sont résumés dans la Figure 9, selon laquelle un expéditeur [800] et un récepteur [900] utilisent la cryptographie dite `à clé mixte'. Ce type de cryptographie combine les avantages de la cryptographie à clé publique (sécurité renforcée car il n'est pas nécessaire de transmettre des clés partagées) et ceux de la cryptographie à clé symétrique (algorithmes efficaces pour le chiffrement et le déchiffrement). La cryptographie à clé mixte est bien connue par les experts de l'art : elle a été amplement décrite par (Rivest, Shamir, Adelman) ou par (Diffie, Hellman). Avec référence à la Figure 9 les étapes essentielles sont de cette technologie sont : [801] ECHANGE DE CLES PUBLIQUES L'expéditeur [800] et le récepteur [900] se transmettent mutuellement leurs clés publiques respectives (CPUB_E, CPUB_R) en clair sur le réseau. En plus, l'expéditeur [800] calcule une clé secrète CSECR [802] TRANSMISSION DE LA CLE SECRETE 25 La clé secrète CSECR est cryptée avec la clé publique du récepteur CPUB_R avant transmission sur le réseau. Le récepteur peut en suite décrypter CSECR avec sa clé privée CPRIV R [803] TRANSMISSION DU MESSAGE 30 Le message est crypté avec la clé secrète CSECR avant transmission sur le réseau. Le récepteur peut en suite décrypter le message avec la même CSECR (décryptée dans l'étape [802]). [804] TRANSMISSION DE LA HACHE 35 HACHEE est calculée à l'émetteur en fonction du message et elle est chiffrée avec la clé privée CPRIV E avant transmission sur le réseau. Le récepteur peut en suite décrypter HACHEE reçue avec la clé publique CPUB_E de l'émetteur. Une fois le - 18 - message reçu décrypté (étape [803]) le récepteur calcule û à son tour û la hache HACHER [805] COMPARAISON DES HACHES Le récepteur vérifie la HACHEE reçue est décryptée et la hache HACHER calculée. Si elles correspondent le message reçu est authentifié. La cryptographie à clé mixte peut être utilisée pour tout échange de messages entre les cinq dispositifs de Figure 1. Les experts de l'art reconnaitront qu'autres technologies de sécurité (en particulier de chiffrement et authentification) peuvent être utilisées pour le champ d'application de la présente invention, sans pour autant s'écarter du sujet exposé. VARIANTES DE REALISATION Des variantes de réalisation existent par rapport à la configuration préférentielle du procédé décrite dans la Figure 1 et au mode de fonctionnement opérationnel préféré de Figure 8. Ces variantes peuvent être divisées en deux classes : CLASSE 1 : un dispositif autre que SERVEUR D'ENROLEMENT [400] agit comme fédérateur d'identité et d'informations contextuelles. Un exemple de cette variante est illustré dans la Figure 10, dans laquelle SERVEUR APPLICATIF [300] assume cette fonction. La Figure 10 montre les variations dans les étapes opérationnelles concernées. En particulier, les étapes [641], [642], [673], [681], [682] de Figure 8 deviennent les étapes [641BIS], [642BIS], [673BIS], [681BIS], [682BIS]. Tout expert de l'art reconnaitra que cette variante de réalisation entraine des changements mineurs dans le mode de fonctionnement et le rôle des dispositifs concernés. Autres moyens d'implémentation et de déploiement des fonctionnalités et des 30 rôles pour les variantes de réalisation de la CLASSE 1 sont possibles, comme tous experts de l'art peuvent apprécier. CLASSE 2 : simplification du procédé en diminuant le nombre d'éléments fonctionnels et / ou physiques avec une réduction conséquente des étapes 35 opérationnelles. Un exemple de cette variante est illustré dans la Figure 11: à la différence da la Figure 1, le DISPOSITIF UTILISATEUR [100] n'apparait pas. - 19 - La Figure 12 représente un scénario d'application : comme pour la Figure 7, les flèches pointillées illustrent les interactions entre l'utilisateur et les dispositifs tandis que les flèches aux traits continus illustrent les interactions entre les dispositifs. Les étapes opérationnelles de Figure 12 sont numérotées [1600] à [1660] et sont décrites par la suite : [1600] ENROLEMENT Cette étape est la même que l'étape [600] de la Figure 7. [1610] VERIFICATION Cette étape est la même que l'étape [610] de la Figure 7. [1620] DEMARRAGE Cette étape est la même que l'étape [630] de la Figure 7. [1630] DEMARRAGE OK TERMINAL [200] notifie SERVEUR D'ENROLEMENT [400] que le démarrage de TERMINAL [200] a été effectué correctement, en lui envoyant les informations contextuelles (contexte `logique', temps, autre) de la phase de démarrage ; SERVEUR D'ENROLEMENT [400] vérifie la cohérence entre ces informations contextuelles et celles reçues pendant la phase d'enrôlement (étapes [1600] et [1610]). Une vérification positive déclenche une notification conséquente à TERMINAL [200]. La conclusion positive de cette étape [1630] assure qu'un utilisateur `autorisé' 25 peut utiliser un outil de travail `autorise' à partir d'un endroit `autorisé'. Cette information est connue par le SERVEUR D'ENROLEMENT [400] et par TERMINAL [200]. [1640] DEMANDE D'ACCES 30 Cette étape est la même que l'étape [650] de la Figure 7. [1650] CONTROLE D'ACCES SERVEUR APPLICATIF [300] envoie à SERVEUR D'ENROLEMENT [400] des informations contextuelles (contexte `logique', temps, autre) qui caractérisent la 35 tentative d'accès de l'utilisateur. En effet, SERVEUR D'ENROLEMENT [400] est le seul dispositif à avoir une connaissance complète des informations contextuelles dans lesquelles se sont se sont déroulées les étapes précédentes. - 20 - [1660] CONTROLE D'ACCES OK SERVEUR D'ENROLEMENT [400] vérifie la cohérence de toutes les informations contextuelles reçue dans les étapes précédentes ([1610], [1630], [1650]). La terminaison positive de cette étape garantie que un utilisateur autorisé peut accéder au système informatique de l'Entreprise à partir d'un terminal fiable, et en agissant dans un local autorisé et à un instant temporel autorisé Bien que s'appuyant toujours sur l'un des aspects principaux de l'invention (c'est-à-dire rendre les procédures de contrôle d'accès informatique dépendantes des procédures de contrôle d'enrôlement) cette variante de réalisation est évidemment moins robuste par rapport à la configuration préférée de Figure 1 est aux étapes opérationnelles décrites dans la Figure 7. Autres moyens d'implémentation et de déploiement des fonctionnalités et des rôles pour les variantes de réalisation de la CLASSE 2 sont possibles, comme tous 15 experts de l'art peuvent apprécier. APPLICATIONS INDUSTRIELLES Tous système de sécurité qui repose sur le contrôle électronique de l'identité d'un utilisateur est, en principe, compatible avec le procédé, les dispositifs et les étapes 20 opérationnelles décrits. En effet, la réalisation de l'invention comporte surtout la mise en oeuvre des logiciels nécessaires à la communication sécurisée entre les dispositifs de Figure 1. Selon la configuration physique d'un système de sécurité existant, l'ajout de certains composants matériel peut se révéler nécessaire. Ces composants matériels sont, 25 en général, des modules disponibles sur le marché. Tout expert de l'art reconnaîtra que la solution proposée peut résider "au dessus" des systèmes de contrôle d'accès informatique et de contrôle d'enrôlement existants. Réalisation spécifiques n'entraineraient pas de modification matériel majeures ; en plus, des "Application Programming Interfaces" (APIs) et 30 "Software Development Kits" (SDKs) doivent être rendus disponibles afin de réaliser les interfaces fonctionnelles nécessaires sur les systèmes de contrôle d'accès informatique et de contrôle d'enrôlement existants. Par rapport au DISPOSITIF UTILISATEUR [100], l'idée peut être appliquée à n'importe quel dispositif électronique portable qui possède un modem Bluetooth (ou 35 autre forme de connectivité locale sans fils, comme RFID) et un microphone, ou caméra numérique, ou senseur d'empreinte digitale, ou autres moyens d'identifier l'utilisateur. -21- Pour ce qui concerne l'authentification biométrique, le microphone peut être utilisé pour la reconnaissance vocale. La caméra numérique peut être utilisée pour la reconnaissance d'une image faciale ou autre. Champs d'applications : Toute entreprise privée ou publique qui veut sécuriser l'accès à ses ressources informatique, en particulier en cas de télétravail. - Agences gouvernementales. Etablissements comme banques et hôpitaux, pour les employés respectifs. Aéroports / gares, pour le personnel de service (comme les contrôleurs de trafic, par 10 exemple. En général, protection des attaques de la part de `hackers' qui cherchent à subtiliser ou endommager des données informatiques. 15 REVENDICATIONS 1) Système pour le contrôle d'accès à un système informatique caractérisé par une architecture d'authentification multi-facteur qui comprend : - un premier procédé de contrôle d'accès physique û ou contrôle d'enrôlement û pour vérifier l'identité d'une personne ainsi que le contexte opérationnel dans lequel ladite personne se trouve. un deuxième procédé de contrôle d'accès au système informatique permettant de donner accès audit système informatique en fonction de l'identité d'une personne ainsi que le contexte opérationnel dans lequel ladite personne se trouve selon la vérification effectuée par le premier procédé de contrôle d'accès physique. 2) Système selon la revendication 1) caractérisé en ce qu'il comprend : un premier dispositif [100], porté par la personne et qui stocke des informations personnelles, telles que des données d'identité de la personne, ces données pouvant être des empreintes biométriques ou des mots de passe ou autres données qui identifient la personne de façon unique. Ce premier dispositif [100] stocke aussi des informations contextuelles reliées à la personne, telles qu'un lieu, un temps, l'historique d'un ensemble d'opérations que la personne a effectuées. - un deuxième dispositif [200], tel que un ordinateur portable, un ordinateur fixe, un assistant portable, un téléphone mobile ou autre, que la personne utilise comme outil de travail ou, plus généralement, pour lui permettre d'accéder à des équipements distants [300], tels que ordinateurs, serveurs, bases de données ou autre. - un troisième dispositif [300], tel qu'un ordinateur, un serveur, une base de données ou tout autre équipement qui comprend toutes fonctionnalités nécessaires pour conduire des transactions électroniques en répondant à des instructions reçues par la personne distante par le biais du dispositif [200]. - un quatrième dispositif [400], tel qu'un ordinateur, un serveur, une base de données ou tout autre équipement qui comprend toutes fonctionnalités nécessaires pour vérifier l'identité ainsi que les droits administratifs de la personne, la vérification de l'identité se basant sur des données biométrique et / ou alphanumériques, cette vérification d'identité ayant pour but de permettre l'accès de la personne à un endroit physique tel que un lieu de travail ou tout autre lieu à partir duquel la personne peut accéder au troisième dispositif [300] par le biais du deuxième dispositif [200]. un cinquième dispositif [500] qui permet la capture des données d'identification de la personne, tels que des empreintes biométriques ou des mots de passe ou des codes alphanumérique ou toute autre donnée qui sont transmises au dispositif [400] pour que ce dernier puisse vérifier les données d'identification capturées par le dispositif - 23 - [500] par rapport à sa base de données. Le cinquième dispositif [500] est situé dans le lieu de travail de la personne ou tout autre lieu à partir duquel la personne peut accéder au troisième dispositif [300] par le biais du deuxième dispositif [200]. Une liaison sécurisée [460] entre le dispositif [100] et le dispositif [200], permettant un échange de données entre ces deux dispositifs, la liaison étant de préférence de type sans fil et fonctionnant à une distance rapprochée entre les deux dispositifs [100] et [200]. Une liaison sécurisée [470] entre le dispositif [100] et le dispositif [500], permettant un échange de données entre ces deux dispositifs, la liaison étant de préférence de type sans fil et fonctionnant à une distance rapprochée entre les deux dispositifs [100] et [500]. Une liaison sécurisée filaire entre le dispositif [200] et le dispositif [300], permettant un échange de données entre ces deux dispositifs, la liaison utilisant de préférence Internet avec une protection des accès malveillants par le biais des pare-feux [450]. Une liaison sécurisée filaire entre le dispositif [200] et le dispositif [400], permettant un échange de données entre ces deux dispositifs, la liaison utilisant de préférence Internet avec une protection des accès malveillants par le biais des pare-feux [450]. Une liaison sécurisée filaire entre le dispositif [400] et le dispositif [300], permettant un échange de données entre ces deux dispositifs, la liaison utilisant de préférence Internet avec une protection des accès malveillants par le biais des pare-feux [450]. Une liaison sécurisée filaire entre le dispositif [400] et le dispositif [500], permettant un échange de données entre ces deux dispositifs, la liaison utilisant de préférence Internet avec une protection des accès malveillants par le biais des pare-feux [450]. 3) Système selon la revendication 2) caractérisé en ce qu'il comprend : Une étape [600] qui fait partie du premier procédé de contrôle d'accès physique et dans laquelle la personne entre ses données d'identifications sur le dispositif [500], ces données pouvant être de nature biométrique et / ou alphanumérique. Une étape [610], qui fait partie du premier procédé de contrôle d'accès physique et qui se décompose en deux étapes, une étape [611] permettant au dispositif [500] d'envoyer au dispositif [400] les informations sur l'identité de la personne ainsi que des informations contextuelles, telles que temps, lieu ou autres et qui caractérisent le contexte logistique dans lequel la personne se trouve, et une étape [612] permettant au dispositif [400] de vérifier les informations reçues du dispositif [500] par rapport à un base de données et suite à cette vérification de calculer un jeton d'authentification [J400]. - Une étape [620], qui fait partie du premier procédé de contrôle d'accès physique et qui se décompose en deux étapes, une étape [621] permettant au dispositif [400] - 24 - d'envoyer au dispositif [100] le jeton d'authentification [J400] calculé dans l'étape [612], et une étape [622] permettant au dispositif [100] de vérifier les informations reçues du dispositif [400] et de calculer en suite un jeton d'authentification [J100] qui est stocké û d'une façon de préférence cryptée û dans une mémoire à haute sécurité [105]. Une étape [630], qui fait partie du premier procédé de contrôle d'accès physique et qui se décompose en deux étapes, une étape [631] dans laquelle la personne démarre le dispositif [200] et entre ses données d'identifications sur tel dispositif, ces données pouvant être de nature biométrique et / ou alphanumérique, et une étape [632] permettant au dispositif [200] de vérifier ses données d'identité et de calculer en suite un jeton d'authentification [J200] qui est stocké û d'une façon de préférence cryptée û dans une mémoire à haute sécurité [209] et qui peut avoir une validité limité dans le temps. Une étape [640], qui fait partie du premier procédé de contrôle d'accès physique et qui se décompose en deux étapes, une étape [641] permettant au dispositif [200] d'envoyer au dispositif [400] le jeton d'authentification [J200] calculé dans l'étape [632] ainsi que des informations contextuelles, telles que des identificateurs physiques et / logiques ou autres du dispositif [200] et qui caractérisent le contexte logistique dans lequel le dispositif [200] se trouve, et une étape [642] permettant au dispositif [400] de notifier au dispositif [200] la possibilité pour la personne de continuer les étapes suivantes. Une étape [650] qui fait partie du deuxième procédé de contrôle d'accès au système informatique et dans laquelle la personne demande l'accès au dispositif [300] en utilisant un dispositif approprié [202] contenu, de préférence, dans le dispositif [200]. Une étape [660], qui fait partie du deuxième procédé de contrôle d'accès au système informatique et qui se décompose en trois étapes, une étape [661] selon laquelle la personne est invitée à confirmer son identité avec le dispositif [100], une étape [662] dans laquelle la personne entre ses données d'identifications sur le dispositif [100], ces données étant de préférence de nature biométrique, et une étape [663] permettant au dispositif [100] de vérifier les données d'identification par rapport à un base de données et suite à cette vérification de déchiffrer le jeton d'authentification [J100] û calculé dans l'étape [622] û et de l'envoyer au dispositif [200]. Une étape [670], qui fait partie du deuxième procédé de contrôle d'accès au système informatique et qui se décompose en trois étapes, une étape [671] permettant au dispositif [200] d'envoyer au dispositif [300] le jeton d'authentification [J200] calculé dans l'étape [632] ainsi que des informations contextuelles, telles que des identificateurs physiques et / logiques ou autres du dispositif [200] et qui - 25 - caractérisent le contexte logistique dans lequel le dispositif [200] se trouve, une étape [672] permettant au dispositif [300] de vérifier les informations reçues du dispositif [200] dans l'étape [671] et suite à cette vérification de calculer un jeton d'authentification [J300], et une étape [673] permettant au dispositif [400] d'envoyer au dispositif [400] le jeton d'authentification [J300] calculé dans l'étape [672]. Une étape [680], qui fait partie du deuxième procédé de contrôle d'accès au système informatique et qui se décompose en deux étapes, une étape [681] permettant au dispositif [400] de vérifier je jeton d'authentification [J300] reçu du dispositif [300] dans l'étape [673] par rapport à une base de données et, suite à cette vérification, de contrôler la cohérence de toutes le informations contextuelles reçues dans les étapes précédentes, ces informations contextuelles étant basées de préférence sur les jetons d'authentification [J200], [J300], [J400], et une étape [682] dans laquelle le dispositif [300] notifie au dispositif [300] que la personne à le droit d'accéder au ressources informatiques du dispositif [300] selon des droit administratifs définis et que cette notification est renvoyée au dispositif [200] par le dispositif [300]. 4) Système selon les revendications 2) et 3) caractérisé en ce qu'il comprend : - Un dispositif qui agit comme fédérateur des informations d'identité et des informations contextuelles, ce rôle étant assuré par le dispositif [400] qui est le seul garant de la cohérence et de la fiabilité de toutes les informations en sa possession et étant donc habilité à donner à une personne l'autorisation d'accéder aux données informatiques stockées dans une base de données du dispositif [300]. Des méthodes et de protocoles de communication sur chaque liaison sécurisé selon les techniques de l'art et de préférence basés sur des technologies d'authentification, de contrôle d'identité et de confidentialité, telles que présentées dans les étapes [801], [802], [803], [804], [805]. 5) Système selon les revendications 3) et 4) caractérisé en ce qu'il défini d'autres dispositifs comme pouvant assumer le rôle de fédérateur des informations d'identité et des informations contextuelles, tels que le dispositif [100] ou le dispositif [300] et dans le cas particulier que c'est le dispositif [300] celui qui assume ce rôle les étapes [641], [642], [673], [681], [682] étant remplacées par les étapes [641 BIS], [642BIS], [673BIS], [681BIS], [682BIS]. 6) Système selon les revendications 1) et 2) caractérisé en ce qu'il fonctionne indépendamment de la présence dudit dispositif utilisateur [100].- 26 - 7) Système selon la revendication 6) caractérisé dans ce qu'il fonctionne en garantissant l'association entre le premier procédé de contrôle d'enrôlement et le deuxième procédé du contrôle d'accès au système informatique selon les opérations suivantes : Une étape [1600] qui est similaire û dans ces caractéristiques û à l'étape [600]. Une étape [1610] qui suit l'étape [1600] et qui est similaire û dans ces caractéristiques û à l'étape [610]. - Une étape [1620] qui suit l'étape [1610] et qui est similaire û dans ces caractéristiques û à l'étape [620]. - Une étape [1630] qui suit l'étape [1620] et qui est similaire û dans ces caractéristiques û à l'étape [640]. Une étape [1640] qui suit l'étape [1630] et qui est similaire û dans ces caractéristiques û à l'étape [650]. - Une étape [1650] qui suit l'étape [1640] et qui est similaire û dans ces 15 caractéristiques û à l'étape [670]. - Une étape [1660] qui suit l'étape [1650] et qui est similaire û dans ces caractéristiques û à l'étape [680]. 8) Système selon les revendications 1), 2) et 5) caractérisé en ce que le dispositif 20 [100] peut être tout dispositif électronique portable, tel que un téléphone mobile, un lecteur de fichiers audio / vidéo, un assistant numérique personnel ou autre, pouvant supporter les connections [460] et [470] avec û respectivement û les dispositifs [200] et [500] ainsi que les senseurs nécessaires (tels que le senseur [101) pour capturer des données biométriques d'identification d'une personne. 25 9) Système selon les revendications 2) à 8), caractérisé en ce que les senseurs de capture biométrique [101], [208] (si disponible), [505] sont différent dans le type de données biométriques qu'ils capturent (empreintes digitales, voix, autre) ou que ces senseurs capturent les mêmes données biométriques, telles que les empreinte digitales, 30 mais ils sont configurés de façon à reconnaître des empreinte de doigts différents.