Brevet FR2962569A1 — publié le 20120113

PROCEDES, SYSTEMES ET DISPOSITIFS DE VERIFICATION BIOMETRIQUE La présente invention concerne la vérification biométrique. La vérification biométrique s'entend traditionnellement de l'authentification ou de l'identification d'individus, humains ou animaux, à partir de données biométriques, relatives à des caractéristiques d'un ou plusieurs attributs biologiques de ces individus, comme les minuties d'empreintes digitales, une forme générale de doigts de la main, les veines d'une main ou d'un doigt, des caractéristiques de la voix, des caractéristiques de l'iris de l'oeil, etc. Une telle vérification biométrique utilise conventionnellement une base de données stockant des données biométriques relatives à des individus ayant préalablement fait l'objet d'une phase d'inscription dite "enrôlement" pour se voir délivrer, lors d'une vérification biométrique, un droit quelconque (délivrance d'un permis de conduire, d'un titre de transport, d'une indemnisation, autorisation d'accès à un local, etc.). Un exemple très simple de vérification biométrique est illustré sur la figure 1, où l'on distingue une base de données 1 stockant un ensemble de données biométriques bl, b2,..., bN relatives à des individus enrôlés. Ces données biométriques bl, b2,..., bN sont par exemple des images représentant tel ou tel attribut biologique d'individus respectifs (par exemple des images d'empreintes digitales, d'iris, etc.), des caractéristiques relatives à un attribut biologique (par exemple un type, une position et une orientation de minuties dans le cas d'empreintes digitales), ou autre. Avantageusement, une représentation numérique des données biométriques peut être utilisée, de façon à en simplifier la manipulation et à rendre ces données intégrables dans un algorithme cryptographique. A titre d'exemple non limitatif, les données biométriques bl, b2,..., bN stockées dans la base de données 1 peuvent consister chacune en un vecteur numérique, par exemple binaire. De nombreuses façons d'obtenir un vecteur numérique à partir d'informations biométriques sont connues. 2962569 -2- Dans l'exemple de la figure 1, la vérification biométrique se passe de la manière suivante relativement à un individu donné. On obtient une donnée biométrique b', par exemple dans sa représentation sous forme de vecteur numérique, de l'individu considéré. Cette donnée b' est comparée à tout ou 5 partie des données bl, b2,..., bN stockées dans la base de données 1 (référence 2). En cas de concordance ou de proximité suffisante, on peut en déduire que l'individu considéré correspond à un individu enrôlé (cas d'une identification) ou à l'individu enrôlé qu'il prétend être (cas d'une 10 authentification). Ce résultat est noté R sur la figure 1. La base de données biométrique 1 est parfois reliée à une base de données d'identité d'individus (par exemple sous forme alphanumérique). C'est notamment le cas, dans un scénario d'authentification, pour conclure qu'un individu est ou non l'individu enrôlé qu'il prétend être. 15 Un lien univoque (c'est-à-dire 1 pour 1) entre données biométriques et données d'identité stockées dans ces bases de données pourrait permettre au propriétaire de ces bases de connaître trop facilement la correspondance entre les deux types de données. Ceci peut constituer un problème lorsque ledit propriétaire n'est pas une personne de confiance, ou lorsque des contraintes, 20 par exemple d'ordre législatif, interdisent cette situation. En outre, toute personne indélicate, autre que le propriétaire des bases de données, parvenant à accéder auxdites bases de données pourrait se servir de la correspondance entre les deux types de données pour usurper l'identité d'individus enrôlés. Il est possible de protéger les données biométriques et/ou d'identité à 25 l'aide d'un algorithme cryptographique, de façon à compliquer la tâche d'une telle personne indélicate. Mais, outre le fait de complexifier la vérification biométrique, cela ne protège pas les données contre le propriétaire des bases de données, car c'est généralement lui qui maîtrise l'algorithme cryptographique et en détient les clés. 30 Il a également été proposé d'utiliser un "lien faible" entre une base de données biométrique 1 et une base de données d'identité. Un tel lien faible ne permet pas d'établir une correspondance univoque entre données biométriques 2962569 -3- et données d'identité. Mais il autorise tout de même une vérification biométrique avec un niveau de succès acceptable. La mise en place de cette technique de lien faible est cependant relativement complexe. Un exemple schématique en est donné en référence à la figure 2. La 5 base de données biométrique 3 stocke des groupes de plusieurs données biométriques. Dans l'exemple illustré, ces groupes sont constitués de deux éléments, bien qu'un plus grand nombre d'éléments soit tout-à-fait envisageable. De la même façon, la base de données d'identité 4 stocke des groupes de plusieurs données d'identité, en l'occurrence deux dans l'exemple 10 de la figure 2. Le nombre de groupes et/ou d'éléments par groupe peut éventuellement différer entre la base de données biométrique 3 et la base de données d'identité 4. Le lien I entre les deux bases de données 3 et 4 fait correspondre à chaque groupe de données biométriques, par exemple (bi,bt), un groupe 15 respectif de données d'identité, par exemple (i1,it). Une personne ayant accès aux bases de données 3 et 4, y compris leur propriétaire, ne peut pas retrouver, avec certitude et sans investigation supplémentaire, la correspondance entre une donnée biométrique et une donnée d'identité (mais seulement entre deux groupes). 20 Une vérification biométrique reste néanmoins possible. Ainsi, comme illustré sur la figure 2, si un individu avec une biométrie b' et une identité i' se présente pour une authentification par exemple, on vérifie la présence de b' dans la base de données biométrique 3 (étape 5), puis on retrouve le groupe de données d'identité (ia,ip) correspondant au groupe de données biométriques 25 auquel b' appartient selon le lien faible I. Un résultat R peut alors être déduit d'une comparaison entre i' et les éléments du groupe (ia,ip). Si i' correspond à une des données d'identité ia ou iR, on peut par exemple conclure que l'individu est bien celui qu'il prétend être. Le recours à un tel lien faible améliore donc la situation. Mais le 30 problème redevient entier lorsque plusieurs bases de données biométrique et/ou d'identité sont utilisées en relation avec de mêmes individus, par exemple dans le cadre de plusieurs applications indépendantes. Dans ce cas en effet, 2962569 -4- une intersection entre les groupes de données biométriques et/ou d'identité peut permettre de retrouver une correspondance entre certaines données biométriques et des données d'identité respectives. Un but de la présente invention est de limiter une partie au moins des 5 inconvénients des techniques antérieures décrites ci-dessus. L'invention propose ainsi un procédé de construction d'une base de données d'identité négative relative à des individus à des fins de vérification biométrique en relation avec une base de données biométrique stockant des groupes de données biométriques relatives auxdits individus. Le procédé 10 comprend les étapes suivantes : - obtenir une donnée d'identité respective relativement à chacun desdits individus ; - réaliser une association entre chaque donnée d'identité obtenue relativement à un individu respectif et un pointeur désignant un groupe 15 stocké dans la base de données biométrique qui inclut une donnée biométrique relative audit individu respectif ; et - construire une base de données d'identité négative à partir de l'ensemble complémentaire de l'ensemble des associations réalisées. La génération d'une telle base de données négative permet un certain 20 niveau de protection des données d'identité et de leur lien avec des données biométriques stockées dans la base de données biométrique. Si les groupes de données biométriques stockées dans la base de données biométrique comprennent chacun plusieurs éléments, on bénéficie en plus d'une protection du type "lien faible" tel que mentionné plus haut. Pour 25 autant, la protection des données d'identité conférée par la présente invention peut résister notamment à l'intersection de plusieurs bases de données qui seraient utilisées relativement à de mêmes individus, par exemple dans le cadre de plusieurs applications indépendantes. En variante, la protection apportée intrinsèquement par l'usage d'une 30 base de données négative peut permettre d'utiliser des groupes de données biométriques ne comportant qu'un seul élément. 2962569 -5- Selon des modes de réalisation avantageux qui peuvent être combinés de toutes les manières envisageables : - ladite association réalisée comprend une concaténation entre chaque donnée d'identité et le pointeur correspondant. Une telle association est 5 particulièrement simple. Son obtention et son stockage sont peu consommateurs en capacité de calcul et de mémorisation ; - ladite association réalisée consiste en une fonction secrète entre chaque donnée d'identité et le pointeur correspondant. On complique ainsi un peu plus l'identification de chacune de ces informations pour 10 une personne ayant accès au contenu de la base de données d'identité négative ; - la base de données d'identité négative est construite pour stocker ledit ensemble complémentaire sous une forme condensée. On complique ainsi un peu plus la tâche d'une personne ayant accès au contenu de la 15 base de données d'identité négative ; - la forme condensée dudit ensemble complémentaire est obtenue par application d'un algorithme de type préfixe ; et/ou - la base de données d'identité négative est construite pour stocker ledit ensemble complémentaire sous une forme randomisée On complique 20 ainsi un peu plus la tâche d'une personne ayant accès au contenu de la base de données d'identité négative pour retrouver des données d'identité et leur lien avec des données biométriques correspondantes. L'invention propose aussi un système ou dispositif pour la construction d'une base de données d'identité relative à des individus à des fins de 25 vérification biométrique en relation avec une base de données biométrique stockant des groupes de données biométriques relatives auxdits individus. Le système ou dispositif est apte à obtenir une donnée d'identité respective relativement à chacun desdits individus et comprend : - une unité pour réaliser une association entre chaque donnée d'identité 30 obtenue relativement à un individu respectif et un pointeur désignant un 2962569 -6- groupe stocké dans la base de données biométrique qui inclut une donnée biométrique relative audit individu respectif ; - une unité de construction d'une base de données d'identité négative à partir de l'ensemble complémentaire de l'ensemble des associations 5 réalisées. Ces unités peuvent être de toute forme envisageable, e.g. électronique et/ou informatique. L'invention propose encore un procédé de vérification biométrique relativement à un individu, utilisant une base de données d'identité négative 10 construite comme mentionné plus haut en relation avec une base de données biométrique stockant des groupes de données biométriques. Ce procédé de vérification biométrique comprend les étapes suivantes : - obtenir une donnée biométrique relative audit individu ; - retrouver un pointeur désignant un groupe stocké dans la base de 15 données biométrique qui inclut une donnée biométrique correspondant à la donnée biométrique relative audit individu ; - obtenir une donnée d'identité relative audit individu ; - réaliser une association entre la donnée d'identité relative audit individu et ledit pointeur ; 20 - vérifier la présence ou l'absence de ladite association dans la base de données d'identité négative. Avantageusement, la vérification biométrique comprend en outre la génération d'une conclusion en fonction d'un résultat de ladite vérification. Cette conclusion peut être générée dans un cas d'authentification et/ou 25 d'identification. L'invention propose également un système ou dispositif pour la mise en oeuvre d'une vérification biométrique relativement à un individu telle que mentionnée ci-dessus. Ce système ou dispositif est apte à obtenir une donnée d'identité relative audit individu et comprend : 30 - une unité d'obtention d'une donnée biométrique relative audit individu ; 2962569 -7- - une unité pour retrouver un pointeur désignant un groupe stocké dans la base de données biométrique qui inclut une donnée biométrique correspondant à la donnée biométrique relative audit individu ; - une unité pour réaliser une association entre la donnée d'identité 5 relative audit individu et ledit pointeur ; - une unité de vérification de la présence ou de l'absence de ladite association dans la base de données d'identité négative. Ces unités peuvent être de toute forme envisageable, e.g. électronique et/ou informatique. ~o D'autres particularités et avantages de la présente invention apparaîtront dans la description ci-après d'exemples de réalisation non limitatifs, en référence aux dessins annexés, dans lesquels : - la figure 1, déjà commentée, est un schéma illustrant un exemple simple de vérification biométrique selon l'art antérieur ; 15 - la figure 2, déjà commentée, est un schéma illustrant un autre exemple simple de vérification biométrique selon l'art antérieur ; - la figure 3 est un schéma illustrant une construction de base de données d'identité négative et une vérification biométrique selon un exemple non-limitatif de réalisation de l'invention ; 20 - la figure 4 est un schéma illustrant la notion de base de données négative. Selon un premier aspect de l'invention, on construit une base de données d'identité relative à des individus à des fins de vérification biométrique. Cette construction peut être faite une fois pour toute, après 25 enrôlement de tous les individus concernés, ou bien au fur et à mesure que de nouveaux individus font l'objet d'un enrôlement. A cet effet, on obtient une donnée d'identité respective relativement à chaque individu. La donnée d'identité relative à l'individu a est notée ia par la suite, a représentant un entier quelconque. La donnée d'identité peut être 30 obtenue après que l'individu concerné a décliné son identité. Elle peut aussi être obtenue par consultation d'un document officiel (carte d'identité, passeport, permis de conduire, etc.), ou autre. 2962569 -8- La donnée d'identité obtenue peut prendre n'importe quelle forme envisageable. Elle peut par exemple consister en une concaténation d'informations relatives audit individu, telles que son nom, son prénom, sa date de naissance, son numéro de sécurité sociale et/ou autre. Elle est 5 avantageusement unique pour un individu donné, de façon à éviter toute ambigüité. Son format peut par exemple être alphanumérique. Un format entièrement numérique est également possible. A titre d'exemple, la donnée d'identité peut résulter d'une binarisation d'informations d'identité, de manière à présenter un format binaire (série de `0' et de `1'). 10 La base de données d'identité négative dont la construction constitue le premier aspect de l'invention est destinée à être utilisée en relation avec une base de données biométrique. Cette dernière est éventuellement construite en même temps que la base de données d'identité négative, ou bien avant celle-ci. Elle stocke des groupes de données biométriques relatives à des individus. 15 Dans l'exemple de la figure 3, la base de données biométrique 10 utilisée stocke des groupes de deux données biométriques, à savoir (bi,bt), (b2,bu),...,(bm,bv), où ba désigne une donnée biométrique relative à un individu a correspondant, a représentant un entier quelconque. On notera que les groupes pourraient comprendre un nombre de données biométriques supérieur 20 à deux. Ce nombre pourrait d'ailleurs varier d'un groupe à un autre. Tout ou partie des groupes pourraient même ne comprendre qu'une seule donnée biométrique (on a dans ce cas un lien fort entre les deux types de données). On notera également que le nombre total de données biométriques stockées dans la base de données biométrique 10 peut correspondre ou non au nombre 25 total de données d'identité destinées à être couvertes par la base de données d'identité. Les données biométriques bl, b2,..., bm stockées dans la base de données biométrique 10 peuvent prendre toute forme envisageable. Il peut par exemple s'agir d'images représentant un attribut biologique (empreinte digitale, 30 iris, réseau veineux, etc.). En variante ou en complément, il peut s'agir de caractéristiques relatives à un attribut biologique (par exemple un type, une position et une orientation de minuties dans le cas d'empreintes digitales), ou 2962569 -9- autre. Ces données biométriques peuvent être acquises à l'aide d'un capteur biométrique approprié. Dans un cas de figure avantageux, plusieurs données biométriques relatives à un même individu pourraient être stockées dans la base de données 5 biométrique 10. Ces données biométriques pourraient se rapporter à des types de biométrie différents. A titre d'exemple non limitatif, une donnée biométrique relative à une empreinte digitale et une donnée biométrique relative à un iris pourraient être utilisées pour un même individu. Dans ce cas, les différentes données biométriques relatives à un même individu sont stockées dans un 10 même groupe de données biométriques au sein de la base de données biométrique 10, de façon à ne pas permettre de retrouver trop facilement l'identité dudit individu par recoupement d'information. Autrement dit, certains au moins des groupes de données biométriques stockés dans la base de données biométrique 10 peuvent comprendre des données biométriques 15 relatives à de mêmes individus et/ou à des individus différents. De façon avantageuse, les données biométriques bl, b2,..., b,,, sont stockées dans la base de données biométrique 10 sous la forme de vecteurs numériques, par exemple binaires. Chaque groupe de données biométriques stocké dans la base de 20 données biométrique 10 peut être identifié à l'aide d'un pointeur respectif. Ainsi, les groupes (b1,bt),(b2,bu),...,(bm,bv) sont désignés respectivement par les pointeurs p1,p2,...,pm. Ces pointeurs pointent par exemple chacun vers une entrée de la base de données biométrique 10 où le groupe de données biométriques correspondant est stocké. Dans l'exemple non limitatif illustré sur 25 la figure 3, chaque pointeur pointe vers une ligne de la base de données biométrique 10 où le groupe de données biométriques correspondant est stocké. Bien d'autres exemples de pointeurs peuvent être utilisés, comme cela apparaîtra à l'homme du métier. Pour construire la base de données d'identité, on réalise une 30 association entre chaque donnée d'identité obtenue i1,i2,...,im et un pointeur P1,P2,...,pm désignant un groupe stocké dans la base de données biométrique 10 qui inclut au moins une donnée biométrique relative à l'individu 2962569 -10- correspondant. A titre d'exemple, une association est réalisée entre la donnée d'identité il (relative à l'individu 1) et le pointeur pi qui pointe vers le groupe (bi,bt) stocké dans la base de données biométrique 10 et qui inclut la donnée biométrique bi (également relative à l'individu 1). De même, une association 5 est réalisée entre la donnée d'identité it et le même pointeur pi qui pointe vers le groupe (bi,bt), etc. On notera que, bien que l'exemple de la figure 2 présente un même nombre m de données biométriques et de données d'identité, il pourrait en être différemment. Ce serait par exemple le cas si des leurres sont utilisés en tant 10 que données biométriques et/ou données d'identité, de manière à rendre plus difficile la détection de correspondances entre données biométriques et données d'identité. Dans un mode de réalisation avantageux, l'association entre une donnée d'identité ia et un pointeur pa correspondant comprend, voire consiste 15 en une concaténation de ces deux paramètres, dans un ordre quelconque. Cette association peut donc s'écrire ia II pa , où le symbole II désigne une concaténation (c'est-à-dire une mise bout à bout des champs qu'il sépare). Une représentation numérique, par exemple binaire, de ia II pa peut avantageusement être utilisée, bien que toute autre représentation soit 20 également envisageable. Comme illustré sur l'exemple de la figure 2, l'ensemble des associations réalisées pour l'ensemble des individus peut donc s'écrire il Il pi, it II pi, i2 II p2, iu II p2,..., im II Pm, iv Il pm. En variante ou en complément, l'association entre une donnée d'identité ia et un pointeur pa correspondant pourrait comprendre, voire 25 consister en n'importe quelle fonction fa de ia et de pa, soit fa(ia,pa), telle qu'une somme, un produit ou autre. La fonction fa en question pourrait d'ailleurs varier selon les individus a. Avantageusement, la ou les fonctions utilisées pourraient être secrètes, c'est-à-dire n'être connues que du responsable de la construction de la base de données d'identité. Ceci permet de rendre un peu 30 plus difficile la tâche d'une personne indélicate qui, ayant accès aux valeurs fa(ia,pa), chercheraient à en déduire les données d'identité ia. Plutôt que de construire une base de données d'identité positive regroupant l'ensemble des associations réalisées, comme la base de données 11 de la figure 2, on construit une base de données d'identité négative à partir de l'ensemble complémentaire de l'ensemble des associations réalisées. La notion de base de données négative et des méthodes de construction d'une telle base de données sont connues, bien que dans des domaines techniques sans rapport avec la vérification biométrique. On peut par exemple citer l'article de Fernando Esponda, Elena S. Ackley, Stephanie Forrest et Paul Helman de Septembre 2004, "On-line Negative Databases". Third International Conference on Artificial Immune Systems (ICARIS 2004) Proceedings, pp.175-188, ou encore l'article de Fernando Esponda intitulé "Everything That's Not Important", IEEE Computational Intelligence 3:2 (mai 2008). La figure 4 illustre schématiquement la notion de base de données négative relativement à des vecteurs binaires de longueur 4. Ces vecteurs binaires sont représentés en haut de la figure 4 sous la forme d'un arbre 9 dont les branches supérieures correspondent aux bits de poids le plus fort et les branches inférieures correspondent aux bits de poids le plus faible. Parmi l'ensemble des vecteurs binaires possibles, on considère le sous-ensemble consistant dans les cinq vecteurs binaires suivants : 0001, 0010, 0110, 1100 et 1101. Les feuilles de l'arbre 9 correspondant à ces cinq vecteurs binaires sont marquées par des croix. Une représentation positive des cinq vecteurs binaires dudit sous-ensemble pourrait éventuellement être stockée dans une base de données positive, telle que la base DB 7 qui apparaît en bas à gauche de la figure 4. Une base de données négative NDB correspondante peut être construite en désignant les vecteurs binaires complémentaires dudit sous-ensemble, lesquels correspondent aux feuilles de l'arbre 9 non marquées d'une croix sur la figure 4. La base de données négative NDB peut lister les vecteurs binaires complémentaires dudit sous-ensemble un à un, dans une représentation similaire à celle de la DB (i.e. 0000, 0011, 0100, 0101, 0111, 1000, 1001, 1010, 1011, 1110 et 1111). 2962569 -12- En variante, la représentation des vecteurs binaires utilisée dans NDB peut avantageusement être une représentation condensée, ce qui limite l'espace de stockage nécessaire. Dans la NDB 8 illustrée en bas à droite de la figure 4, la représentation 5 adoptée a été obtenue à l'aide d'un algorithme de type préfixe. Cela signifie que les données stockées dans la NDB 8 ne font apparaître que les préfixes (c'est-à-dire les bits de poids les plus forts) des vecteurs binaires qui ne font pas partie dudit sous-ensemble, les bits de poids les plus faibles étant absents ou bien remplacés par un caractère, comme une étoile (*), qui indique que ces 10 bits peuvent prendre la valeur 0 ou 1. Un tel mode de représentation condensé est simple et peut être obtenu facilement par un parcours visuel de l'arbre 9. Une méthode de construction d'une base de données négative à l'aide d'un algorithme préfixe a été formalisée par Esponda, Stephanie Forrest et 15 Paul Helman dans l'article "Enhancing Privacy through Negative Representations of Data", UNM Computer Science Technical Report TR-CS-2004-18, de mars 2004. Selon cette méthode, on désigne par I la longueur des vecteurs binaires du sous-ensemble considéré (c'est-à-dire les vecteurs binaires de 20 longueur I qui seraient stockées dans une base de données positive), par w_i un préfixe de longueur i et par W_i un ensemble de vecteurs de longueur i (une partie des préfixes w_i). Les étapes mises en oeuvre par cette méthode sont les suivantes : 1.i:=0 25 2. W_i := {} (l'ensemble vide) 3. W (i+1) := ensemble des vecteurs de longueur i+1 avec un préfixe de longueur i dans W i et qui n'est pas un préfixe d'un vecteur du sous-ensemble considéré 4. pour tout x dans 30 5. créer un vecteur y avec préfixe x et des étoiles (*) pour compléter en 2962569 -13- un vecteur de longueur I (une étoile représente une position qui peut prendre la valeur 0 ou la valeur 1) 6. ajouter le champ à la base de données négative 7. i := i + 1 5 8. W i := l'ensemble des préfixes de longueur i du sous-ensemble considéré 9. Retour à l'étape 3 tant que H. Une telle méthode conduit à une base de données négative de taille de l'ordre de (2*N*l "2) où N est le nombre de vecteurs binaires du sous-ensemble 10 considéré (c'est-à-dire le nombre d'entrées d'une base de données positive correspondante). On peut en outre avantageusement rendre aléatoire ("randomiser") la représentation pour augmenter la sécurité, en particulier à partir d'une version non déterministe de l'algorithme précédent. A cet effet, on peut par exemple 15 utiliser une permutation aléatoire pour faire apparaître des étoiles au début ou au milieu des vecteurs, remplacer aléatoirement certaines étoiles par les valeurs associées 0,1, ou autre. Un exemple d'algorithme permettant de randomiser la représentation de la base de données négative est exposé dans l'article "Enhancing Privacy 20 through Negative Representations of Data", UNM Computer Science Technical Report TR-CS-2004-18, mars 2004, de Fernando Esponda, Stephanie Forrest, et Paul Helman. D'autres algorithmes de randomisation créant une base de données négative qui correspond à une représentation approximative du 25 complémentaire d'une base de données positive peuvent bien sûr être utilisés, comme cela apparaîtra à l'homme du métier. Par ailleurs, dans le cadre de la présente invention, toute autre méthode de construction d'une base de données négative peut être utilisée, en remplacement ou en complément d'un algorithme de type préfixe, comme cela 30 apparaîtra à l'homme du métier. 2962569 -14- On peut par exemple citer la méthode de construction d'une base de données négative basée sur l'utilisation de fonction de hachage cryptographique, telle que proposée dans l'article de George Danezis, Claudia Diaz, Sebastian Faust, Emilia Kâsper, Carmela Troncoso et Bart Preneel, 5 "Efficient Negative Databases from Cryptographic Hash Functions", in Proceedings of the 10th Information Security Conference (ISC 2007), LNCS, J. A. Garay (ed.), Springer-Verlag, 12 pages, 2007. On peut encore citer l'article de Fernando Esponda, Elena S. Ackley, Paul Helman, Haixia Jia et Stephanie Forrest, "Protecting Data Privacy through Hard-to-Reverse Negative 10 Databases", International Journal of Information Security (IJIS), Volume 6, Number 6, pp.403-415, Octobre 2007. Si l'on est en présence de données non binaires, la construction d'une base de données négative pourra également tenir compte de ce fait. L'usage d'une base de données négative présente plusieurs 15 avantages, par rapport à celui d'une base de données positive classique. Tout d'abord, retrouver les données positives à partir des données complémentaires stockées dans une base de données négative n'est pas une opération simple, surtout si le nombre de données considérées est conséquent et/ou si la représentation des données complémentaires est elle-même rendue 20 complexe par une condensation, une randomisation, ou autre. Les données positives sont ainsi un peu mieux protégées que si elles étaient stockées directement dans une base de données positive. De plus, le parcours d'une base de données négative peut être facilité et rendu plus naturel par rapport à celui d'une base de données positive. En 25 effet, rechercher la présence d'une donnée dans une base de données positive nécessite de comparer cette donnée à chacune des données stockées, une à une. En revanche, détecter l'absence de cette même donnée dans une base de données négative peut nécessiter un nombre d'opérations plus faible pour obtenir le même résultat. Par exemple, lorsque la base de données négative a 30 été construite avec un algorithme de type préfixe, il suffira de vérifier que la donnée en question ne possède pas un des préfixes apparaissant dans la base de données négative. 2962569 -15- La présente invention tire profit de ces avantages des bases de données négatives pour permettre une vérification biométrique particulièrement pertinente. Ainsi en référence à l'exemple de la figure 3, on peut déterminer 5 l'ensemble complémentaire (le complément) de l'ensemble des associations réalisées telles que décrites plus haut, par exemple il Il pi, it II pi, i2 II P2, iu II p2,..., im Il pm, iv II pm. Et une base de données négative NDB 12 peut être construite à partir de cet ensemble complémentaire. La base de données négative NDB 12 peut par exemple stocker cet ensemble complémentaire, seul 10 ou éventuellement accompagné d'autres données. La forme prise par l'ensemble complémentaire dans la base de données négative NDB 12 peut être quelconque. Avantageusement, une forme condensée telle que décrite plus haut pourra être utilisée. Cette forme condensée peut être obtenue par application d'un algorithme de type préfixe ou 15 tout autre algorithme envisageable. En variante ou en complément, une randomisation de la représentation des données complémentaires telle que mentionnée plus haut pourra éventuellement être mise en oeuvre. Etant donnée la nature des données stockées dans la base de 20 données négative NDB 12 et leur mode de représentation, on comprendra qu'une personne indélicate ayant accès au contenu de cette base de données ne pourra pas que difficilement en déduire de l'information pertinente sur les individus enrôlés. En effet, un premier obstacle à franchir pour ce faire serait de 25 reconstruire une base de données positive pour retrouver les associations entre données d'identité et pointeurs, ce qui n'est pas nécessairement simple comme rappelé plus haut. La puissance de calcul requise pour ce faire devient vite considérable lorsque le nombre d'individus enrôlés dépasse plusieurs centaines, plusieurs milliers, voire plus. 30 Et même si la personne indélicate y parvenait, il lui serait encore difficile de retrouver le lien entre une donnée biométrique stockée dans la base de données biométrique 10 et une donnée d'identité correspondante, sans 2962569 -16- connaître au préalable la fonction ayant permis l'association entre la donnée d'identité ia et le pointeur pa, ainsi que l'information pointée par le pointeur pa au sein de la base de données biométrique 10. Cette difficulté est encore accrue lorsque l'information désignée par le pointeur pa ne consiste pas en une 5 donnée biométrique unique (comme c'est le cas dans l'exemple de la figure 2). Certaines de ces difficultés s'appliquent également, dans une certaine mesure, au propriétaire des bases de données lui-même. Du fait de cette protection, il n'est pas nécessaire d'utiliser un algorithme cryptographique qui de toute façon était sans efficacité vis-à-vis du 10 propriétaire des bases de données. On évite ainsi de complexifier les opérations mises en oeuvre pour la vérification biométrique. Le recours supplémentaire à un algorithme cryptographique n'est cependant pas exclu. De plus, si plusieurs bases de données d'identité négatives sont utilisées en relation avec de mêmes individus, par exemple dans le cadre de 15 plusieurs applications indépendantes, une intersection entre ces bases de données ne permet pas de retrouver des données d'identité et leur lien avec des données biométriques correspondantes. Le retour à des données d'identité positives pour réaliser une intersection nécessiterait à nouveau une puissance de calcul trop importante et ne permettrait même pas nécessairement d'aboutir 20 à un quelconque résultat. La construction d'une base de données négative telle qu'elle vient d'être décrite peut être réalisée à l'aide d'un système ou d'un dispositif comprenant des unités appropriées à cet effet. Ce système ou dispositif peut par exemple comprendre un dispositif électronique et/ou informatique 25 comprenant un module de traitement de données et éventuellement associé à un terminal de capture biométrique. Tout ou partie des opérations mentionnées plus haut peuvent être mises en oeuvre à l'aide d'un programme d'ordinateur comprenant des instructions appropriées, lorsqu'il est chargé et exécuté sur des moyens 30 informatiques. Un deuxième aspect de l'invention concerne la vérification biométrique d'un individu, en utilisant une base de données négative construite comme -17-décrit plus haut. La vérification biométrique comprend l'obtention d'une donnée biométrique b' relative audit individu. Cette donnée biométrique est avantageusement de même nature et/ou de même format que les données biométriques bi, b2,..., b,,, stockées dans la base de données biométrique 10. Son obtention peut éventuellement comprendre une acquisition à l'aide d'un capteur biométrique approprié. Elle peut le cas échéant être suivie par une numérisation de la donnée acquise, de manière à la mettre sous une forme numérique souhaitée. Il peut être vérifié si la donnée biométrique b' obtenue correspond à une donnée biométrique stockée dans la base de données biométrique 10, soit de façon exacte soit à quelques différences acceptables près. Cette vérification peut par exemple résulter d'une comparaison de la donnée biométrique b' avec tout ou partie des données biométriques stockées dans la base de données biométrique 10 (étape 13). En supposant que la donnée biométrique b' correspond à la donnée biométrique bi stockée dans la base de données biométrique 10, on peut alors déterminer le groupe auquel la donnée biométrique bi appartient. Le pointeur pi correspondant peut également être retrouvé. Lorsque la base de données biométrique 10 stocke plusieurs données biométriques relatives à de mêmes individus (au sein d'un même groupe pour un individu donné), la vérification biométrique peut de la même façon comprendre l'obtention de plusieurs données biométriques b' à comparer à tout ou partie des données biométriques stockées dans la base de données biométrique 10, pour retrouver le pointeur correspondant. Dans ce cas, le pointeur en question pourrait par exemple être celui qui désigne le groupe stocké dans la base de données biométrique 10 qui inclut des données biométriques correspondant à chacune des données biométriques relatives à l'individu qui fait l'objet de la vérification biométrique. La vérification biométrique comprend en outre l'obtention d'une donnée d'identité i' relative à l'individu considéré. Cette obtention peut utiliser les mêmes moyens que lors de la construction de la base de données d'identité. 2962569 -18- Elle peut par exemple être obtenue après que l'individu considéré a décliné son identité et/ou par consultation d'un document officiel (carte d'identité, passeport, permis de conduire, etc.), ou autre. La donnée d'identité i' est avantageusement de même nature et/ou de même format que les données 5 d'identité il, i2,..., im obtenues au préalable. Une association est ensuite réalisée entre la donnée d'identité i' et le pointeur pi retrouvé. Cette association est avantageusement de même nature et/ou de même format que celles qui ont été réalisées dans le cadre de la construction de la base de données d'identité. Ainsi, une telle association peut 10 par exemple consister en la concaténation i' Il pi. Puis on vérifie si l'association i' Il pi ainsi réalisée est présente dans la base de données d'identité négative NDB 12. En variante, on vérifie l'absence de i' Il pi dans la NDB 12, comme illustré à l'étape 14 de la figure 3. Une conclusion R peut être déduite de cette vérification. 15 Du fait de la nature négative de la base de données d'identité, l'absence de l'association i' Il pi dans la NDB 12 peut être interprétée comme le fait que l'individu considéré correspond bien à un individu enrôlé dont la donnée biométrique b' et la donnée d'identité i' sont en cohérence. Il s'agit d'un cas d'authentification réussi. 20 En cas de présence de l'association i' Il pi dans la NDB 12, une conclusion R pouvant être tirée serait que la donnée d'identité i' n'est pas cohérente avec la donnée biométrique b'. On peut donc douter que l'individu considéré corresponde à l'individu enrôlé qu'il prétend être. La vérification biométrique peut alors être considérée comme ayant échoué. En variante, une 25 ou plusieurs vérifications supplémentaires pourraient être mises en oeuvre pour affiner le résultat de la vérification biométrique. A titre d'exemple, une nouvelle acquisition biométrique et/ou le recours à d'autres informations d'identité pourraient être utilisés en remplacement ou en complément de b' et/ou i'. On notera que la situation décrite ci-dessus correspond à un cas 30 d'authentification. En variante ou en complément, la base de données d'identité négative NDB 12 pourrait être utilisée à des fins d'identification d'individus. Un cas d'application particulièrement intéressant de la présente 2962569 -19- invention concerne la délivrance d'un titre d'identité. Un tel titre d'identité n'est alors délivré à un individu que lorsque la biométrie et l'identité de ce dernier correspondent à celles d'un individu enrôlé, conformément aux opérations décrites ci-dessus. En protégeant les identités grâce notamment à l'usage 5 d'une base de données négative, on empêche une personne indélicate d'usurper une identité existante en vue de se faire délivrer abusivement un titre d'identité. Dans le cas où la comparaison effectuée à l'étape 13 ne permet pas de trouver, dans la base de données biométrique 10, une donnée biométrique qui 10 corresponde suffisamment à b', on peut conclure directement que l'individu considéré ne correspond pas à un individu enrôlé. On peut également réaliser une association de la donnée d'identité i' avec tout ou partie des pointeurs pa, pour tenter de trouver une association qui serait absente de la base de données d'identité négative NDB 12. Ce cas peut par exemple correspondre à 15 l'omission du stockage de la donnée biométrique pertinente dans la base de données biométrique 10, ou bien à un stockage corrompu ou erroné de cette donnée biométrique, ou autre. D'autres types d'utilisation de la base de données d'identité négative NDB 12 en relation avec la base de données biométrique 10 peuvent 20 également être envisagés, comme cela apparaîtra à l'homme du métier. La vérification biométrique telle qu'elle vient d'être décrite peut être réalisée à l'aide d'un système ou d'un dispositif comprenant des unités appropriées à cet effet. Ce système ou dispositif peut par exemple comprendre un dispositif électronique et/ou informatique comprenant un module de 25 traitement de données et éventuellement associé à un terminal de capture biométrique. Tout ou partie des opérations de vérification biométrique mentionnées plus haut peuvent être mises en oeuvre à l'aide d'un programme d'ordinateur comprenant des instructions appropriées, lorsqu'il est chargé et exécuté sur 30 des moyens informatiques. REVENDICATIONS1. Procédé de construction d'une base de données d'identité négative relative à des individus à des fins de vérification biométrique en relation avec une base de données biométrique (10) stockant des groupes de données biométriques (bi, b2,..., bm) relatives auxdits individus, le procédé comprenant les étapes suivantes : - obtenir une donnée d'identité (ii,i2,...,im) respective relativement à chacun desdits individus ; - réaliser une association entre chaque donnée d'identité obtenue relativement à un individu respectif et un pointeur (pi,p2,...,pm) désignant un groupe stocké dans la base de données biométrique qui inclut une donnée biométrique relative audit individu respectif ; et - construire une base de données d'identité négative (12) à partir de l'ensemble complémentaire de l'ensemble des associations réalisées. 2. Procédé selon la revendication 1, dans lequel ladite association réalisée comprend une concaténation (i, Il pi, it II Pi, i2 II p2, iu II p2,..., im II Pm, iv Il pm) entre chaque donnée d'identité (ii,i2,...,im) et le pointeur correspondant (P1,P2,...,pm). 3. Procédé selon la revendication 1 ou 2, dans lequel ladite association réalisée consiste en une fonction secrète chaque donnée d'identité et le pointeur correspondant (pi,p2,...,Pm). 4. Procédé selon l'une quelconque des revendications précédentes, dans lequel la base de données d'identité négative (12) est construite pour stocker ledit ensemble complémentaire sous une forme condensée. 5. Procédé selon la revendication 4, dans lequel la forme condensée dudit ensemble complémentaire est obtenue par application d'un algorithme de type préfixe. 2962569 - 21 - 6. Procédé selon l'une quelconque des revendications précédentes, dans lequel la base de données d'identité négative (12) est construite pour stocker ledit ensemble complémentaire sous une forme randomisée. 7. Système ou dispositif pour la construction d'une base de données 5 d'identité relative à des individus à des fins de vérification biométrique en relation avec une base de données biométrique (10) stockant des groupes de données biométriques (bi, b2,..., bm) relatives auxdits individus, le système ou dispositif étant apte à obtenir une donnée d'identité (ii,i2,...,im) respective relativement à chacun desdits individus et comprenant : 10 - une unité pour réaliser une association entre chaque donnée d'identité obtenue relativement à un individu respectif et un pointeur (pi,p2,...,pm) désignant un groupe stocké dans la base de données biométrique qui inclut une donnée biométrique relative audit individu respectif ; - une unité de construction d'une base de données d'identité négative 15 (12) à partir de l'ensemble complémentaire de l'ensemble des associations réalisées. 8. Procédé de vérification biométrique relativement à un individu, utilisant une base de données d'identité négative (12) construite selon l'une quelconque des revendications 1 à 6 en relation avec une base de données 20 biométrique (10) stockant des groupes de données biométriques (bi, b2,..., bm), le procédé de vérification biométrique comprenant les étapes suivantes : - obtenir une donnée biométrique (b') relative audit individu ; - retrouver un pointeur (pi) désignant un groupe stocké dans la base de données biométrique qui inclut une donnée biométrique correspondant à 25 la donnée biométrique relative audit individu ; - obtenir une donnée d'identité (i') relative audit individu ; - réaliser une association (i' Il pi) entre la donnée d'identité relative audit individu et ledit pointeur ; - vérifier la présence ou l'absence de ladite association dans la base de données d'identité négative. 2962569 - 22 - 9. Procédé selon la revendication 8, comprenant en outre la génération d'une conclusion (R) en fonction d'un résultat de ladite vérification. 10. Système ou dispositif pour la mise en oeuvre d'une vérification biométrique relativement à un individu selon la revendication 8 ou 9, le système 5 ou dispositif étant apte à obtenir une donnée d'identité (i') relative audit individu et comprenant : - une unité d'obtention d'une donnée biométrique (b') relative audit individu ; - une unité pour retrouver un pointeur (pi) désignant un groupe stocké 10 dans la base de données biométrique qui inclut une donnée biométrique correspondant à la donnée biométrique relative audit individu ; - une unité pour réaliser une association (i' Il pi) entre la donnée d'identité relative audit individu et ledit pointeur ; - une unité de vérification de la présence ou de l'absence de ladite 15 association dans la base de données d'identité négative (12).