Brevet FR3020696A1 — publié le 20151106

Procédé et dispositif d'authentification d'un utilisateur pour l'accès à des ressources distantes DOMAINE TECHNIQUE ET OBJET DE L'INVENTION La présente invention se rapporte au domaine de l'authentification d'un utilisateur en vue d'accéder à des ressources distantes dans un système de communication. L'invention concerne plus particulièrement un procédé, un dispositif, un serveur et un système d'authentification d'un utilisateur à partir d'un moyen d'authentification pour accéder à des ressources distantes. L'invention peut trouver son application dans divers domaines tels que, par exemple, l'autorisation d'une transaction bancaire, le contrôle à distance d'un équipement, l'accès à un réseau intranet d'entreprise etc... ETAT DE LA TECHNIQUE Il est connu de procéder à l'authentification d'un utilisateur afin qu'il accède à des ressources distantes. L'authentification d'un utilisateur consiste à vérifier qu'il est autorisé à accéder à de telles ressources distantes, par exemple en vérifiant son identité ou un code qu'il aurait fourni. Par les termes « ressources distantes », on entend un système, un réseau, un serveur, une base de données ou des données accessibles à distance de manière sécurisée via un lien de communication. De manière connue, un utilisateur s'authentifie en utilisant un moyen d'authentification, par exemple une carte à puce, et un dispositif d'authentification, par exemple un terminal de lecture de cartes à puce. A titre d'exemple, pour réaliser une transaction bancaire, l'utilisateur insère tout d'abord sa carte de crédit dans un terminal de paiement puis fournit un code au terminal. Le terminal interroge alors un serveur d'authentification de la banque de l'utilisateur qui authentifie ou non l'utilisateur. Ainsi, en cas de succès de l'authentification de l'utilisateur, le serveur d'authentification envoie au terminal un message d'autorisation d'accès aux ressources bancaires distantes afin d'autoriser la transaction. En revanche, en cas d'échec de l'authentification de l'utilisateur, le serveur d'authentification envoie au terminal un message de refus de l'accès aux ressources distantes afin de refuser la transaction. Afin d'augmenter le degré de certitude quant à l'autorisation d'un utilisateur de se servir d'un moyen d'authentification donné, il est connu d'utiliser des données comportementales associées à l'utilisateur et accessibles au serveur d'authentification. Par exemple, dans le cas de transactions bancaires, de telles données peuvent consister en un historique des transactions de l'utilisateur ou en un historique de l'utilisation des terminaux de paiement. Le serveur d'authentification utilise alors ces données comportementales pour augmenter le degré de certitude d'une transaction réalisée par un utilisateur et réduire ainsi les risques de fraude. Une solution existante, décrite dans le document US20090018940, utilise ainsi à la fois un historique des transactions d'utilisateur et un historique de l'utilisation des terminaux de paiement afin d'authentifier les utilisateurs. Une telle solution est cependant complexe à mettre en oeuvre car elle nécessite de nombreuses données comportementales pour être fiable et est trop objective pour limiter le nombre de fraudes de manière satisfaisante. Afin de pallier en partie ces inconvénients, il est connu d'utiliser un point de sécurité pour confirmer l'identité de l'utilisateur. Un tel point de sécurité peut être, par exemple, un téléphone mobile de l'utilisateur. Ainsi, lors de l'authentification de l'utilisateur, le serveur envoie un code de confirmation sur le téléphone mobile de l'utilisateur de sorte que celui-ci puisse confirmer qu'il est bien en possession dudit téléphone mobile et donc qu'il est l'utilisateur autorisé du moyen d'authentification. Une telle solution est toutefois complexe, coûteuse et chronophage à mettre en oeuvre car elle nécessite la confirmation de l'utilisateur pour chaque transaction ainsi que la possession systématique de son téléphone mobile en tant que point de sécurité, ce qui présente des inconvénients significatifs. L'invention vise donc à résoudre au moins en partie ces inconvénients en proposant un procédé d'authentification qui soit à la fois simple, fiable, rapide, automatisé, sécurisé et aisé à mettre en oeuvre. PRESENTATION GENERALE DE L'INVENTION A cet effet, l'invention a pour objet un procédé d'authentification d'un utilisateur à partir d'un moyen d'authentification pour accéder à des ressources distantes, ledit utilisateur étant associé à au moins un équipement d'utilisateur, ledit procédé étant remarquable en ce qu'il comprend les étapes de : - obtention, dudit moyen d'authentification, d'au moins une donnée d'authentification, - obtention d'au moins une information d'équipement associée audit équipement d'utilisateur, - envoi d'une requête d'autorisation comprenant la donnée d'authentification obtenue et l'information d'équipement obtenue dans le but d'authentifier l'utilisateur, et - réception d'un message de confirmation d'accès aux ressources distantes en cas de succès de l'authentification de l'utilisateur ou d'un message de refus de l'accès aux ressources distantes en cas d'échec de l'authentification de l'utilisateur. De préférence, l'utilisateur est associé à une pluralité d'équipements d'utilisateur, l'obtention d'au moins une information d'équipement est réalisée pour chaque équipement d'utilisateur et la requête d'autorisation comprend la pluralité d'informations d'équipement obtenues. Le procédé selon l'invention permet ainsi d'utiliser un ou plusieurs équipements de l'utilisateur pour réaliser son authentification. Ce procédé peut avantageusement se substituer aux mécanismes connus d'authentification tels que, par exemple, l'utilisation d'un numéro d'identification personnel (Personal Identification Number ou PIN en langue anglaise) ou bien être utilisé en complément de tels mécanismes. Par les termes « information d'équipement », on entend une information sur l'équipement d'utilisateur ou fournie par l'équipement d'utilisateur. Ainsi, l'obtention de l'information d'équipement peut consister en une détermination et/ou en une réception de l'information d'équipement, par exemple via un réseau de communication. L'obtention de l'information d'équipement peut consister en une détection d'une information d'équipement associée à l'équipement d'utilisateur ou en une détection de l'équipement d'utilisateur lui-même (ou d'une pluralité d'équipements d'utilisateur), de préférence dans une zone prédéterminée. L'information d'équipement peut être la distance de l'équipement d'utilisateur ou bien la localisation de l'équipement d'utilisateur, par exemple sa trace GPS fournie par une montre ou une chaussure. L'information d'équipement peut aussi être une donnée météorologique telle que, par exemple, la température ambiante du lieu où se trouve l'équipement d'utilisateur. L'information d'équipement peut aussi être une donnée biométrique ou médicale associée à l'utilisateur et fournie par l'équipement d'utilisateur telle que, par exemple, son rythme cardiaque, sa pression artérielle etc..., ou bien une donnée physique fournie par l'équipement d'utilisateur telle que, par exemple, une vitesse ou une accélération fournie par un podomètre ou une montre intelligente. Chaque information d'équipement peut comprendre un identifiant de l'équipement d'utilisateur afin de relier ledit équipement d'utilisateur à l'utilisateur lors de l'authentification. Par les termes « donnée d'authentification », on entend une donnée d'identification de l'utilisateur stockée sur le moyen d'authentification telle que, par exemple, un identifiant ou bien les informations contenues dans une empreinte digitale etc... De préférence, le procédé comprend une étape d'authentification de l'utilisateur à partir de la donnée d'authentification obtenue et de l'information d'équipement obtenue. La donnée d'authentification permet de relier l'utilisateur à un profil auquel peut être comparée l'information d'équipement afin de pouvoir authentifier ou non ledit utilisateur. De manière avantageuse, l'authentification de l'utilisateur est réalisée à partir de la donnée d'authentification obtenue, de l'information d'équipement obtenue et d'au moins une information contextuelle. Par les termes « information contextuelle », on entend une information sur le contexte de la demande d'authentification telle que, par exemple, le type de la demande, l'heure de la demande, la date de la demande etc... La donnée d'authentification permet alors de relier l'utilisateur à un profil auquel peuvent être comparées l'information d'équipement et l'information contextuelle afin de pouvoir authentifier ou non ledit utilisateur. Selon une caractéristique de l'invention, l'étape d'authentification comprend une sous-étape de stockage d'au moins une donnée comportementale relative à l'utilisateur ou à un groupe d'utilisateurs. L'utilisation de données comportementales relatives à un utilisateur donné ou à un groupe d'utilisateurs permet d'estimer le comportement ou l'environnement de l'utilisateur ou du groupe d'utilisateurs, afin de permettre l'authentification dudit utilisateur donné. Une telle estimation peut être réalisée avec un modèle prédictif de manière connue de l'homme du métier. De préférence encore, l'authentification de l'utilisateur est réalisée à partir de la donnée d'authentification obtenue, de l'information d'équipement obtenue, d'au moins une information contextuelle et de ladite donnée comportementale. La donnée d'authentification permet alors de relier l'utilisateur à un profil comprenant la donnée comportementale et auquel peuvent être comparées l'information d'équipement et l'information contextuelle afin de pouvoir authentifier ou non ledit utilisateur. De manière préférée, les étapes d'obtention d'au moins une donnée d'authentification, d'obtention d'au moins une information d'équipement, d'envoi et de réception sont mises en oeuvre par un dispositif d'authentification. L'information d'équipement peut être déterminée par ledit dispositif d'authentification ou bien reçue de l'équipement d'utilisateur, directement ou via un réseau de communication. L'invention concerne ainsi également un dispositif d'authentification d'un utilisateur à partir d'un moyen d'authentification pour accéder à des ressources distantes, ledit utilisateur étant associé à au moins un équipement d'utilisateur, ledit dispositif étant remarquable en ce qu'il est comprend : - une unité d'obtention, dudit moyen d'authentification, d'au moins une donnée d'authentification, - une unité d'obtention d'au moins une information d'équipement associée audit équipement d'utilisateur, - une unité d'envoi d'une requête d'autorisation comprenant la donnée d'authentification obtenue et l'information d'équipement obtenue dans le but d'authentifier l'utilisateur, et - une unité de réception d'un message de confirmation d'accès aux ressources distantes en cas de succès de l'authentification de l'utilisateur ou d'un message de refus de l'accès aux ressources distantes en cas d'échec de l'authentification de l'utilisateur. Un tel dispositif d'authentification peut se présenter sous la forme d'un module matériel ou bien d'un module logiciel. Le dispositif peut être indépendant ou bien intégré à un serveur ou à un équipement d'utilisateur. De préférence, l'authentification de l'utilisateur est réalisée par un serveur d'authentification, avec lequel il est aisé de communiquer à distance via un lien de communication. L'invention concerne ainsi également un serveur d'authentification d'un utilisateur à partir d'un moyen d'authentification pour accéder à des ressources distantes, ledit utilisateur étant associé à au moins un équipement d'utilisateur, ledit serveur étant remarquable en ce qu'il comprend : - une unité de réception d'une requête d'autorisation comprenant au moins une donnée d'authentification d'un utilisateur obtenue dudit moyen d'authentification et au moins une information d'équipement associée audit équipement d'utilisateur, - une unité d'authentification dudit utilisateur à partir de la donnée d'authentification reçue et de l'information d'équipement reçue, - une unité d'envoi d'un message de confirmation d'accès aux ressources distantes en cas de succès de l'authentification de l'utilisateur ou d'un message de refus de l'accès aux ressources distantes en cas d'échec de l'authentification de l'utilisateur. De préférence, l'unité d'authentification est configurée pour authentifier l'utilisateur à partir de la donnée d'authentification reçue et de l'information d'équipement reçue. De préférence encore, l'unité d'authentification est configurée pour authentifier l'utilisateur à partir de la donnée d'authentification reçue, de l'information d'équipement reçue et d'au moins une information contextuelle. Selon une caractéristique de l'invention, le serveur d'authentification est configuré pour stocker au moins une donnée comportementale relative à l'utilisateur ou à un groupe d'utilisateurs. De préférence encore, l'unité d'authentification est configurée pour authentifier l'utilisateur à partir de la donnée d'authentification reçue, de l'information d'équipement reçue, d'au moins une information contextuelle et de ladite donnée comportementale. A ces fins, l'unité d'authentification peut mettre en oeuvre un modèle prédictif utilisant ces différentes données et informations de manière connue de l'homme du métier. L'invention concerne également un système d'authentification d'un utilisateur à partir d'un moyen d'authentification pour accéder à des ressources distantes, ledit système étant remarquable en ce qu'il comprend un serveur d'authentification tel que présenté précédemment, un dispositif d'authentification tel que présenté précédemment, un moyen d'authentification et au moins un équipement d'utilisateur. De préférence, l'équipement d'utilisateur est un objet connecté. Par les termes « objet connecté », on entend un équipement d'utilisateur configuré pour se connecter à un réseau de communication. Un tel réseau peut être un réseau de communication local utilisant par exemple un protocole de communication sans fil de courte portée (Wifi, BlueTooth®, ZigBee,...). Parmi ces objets connectés, on peut citer à titre d'exemple, un téléphone mobile, notamment un smartphone, un assistant numérique personnel (Personal Data Assistant ou PDA en langue anglaise), une montre intelligente (smart watch en langue anglaise), un podomètre, un cardio-fréquencemètre etc... Dans une forme de réalisation du système selon l'invention, le moyen d'authentification est une carte à puce, par exemple de type carte de paiement. Dans une autre forme de réalisation du système selon l'invention, le moyen d'authentification est l'utilisateur lui-même, par exemple l'une de ses empreintes digitales ou l'un de ses yeux. Selon un aspect de l'invention, le système comprend en outre un réseau de communication externe accessible au serveur d'authentification et/ou au dispositif d'authentification. Ce réseau de communication externe comprend des informations personnelles sur l'utilisateur telles que, par exemple, son âge, sa localisation géographique, sa liste de contacts ou de relations etc... Un tel réseau peut être un réseau social accessible via le réseau Internet ou bien comprendre une base de données accessible, par exemple, également via le réseau Internet. L'invention concerne aussi un support de données pour un programme d'ordinateur comportant des instructions pour la mise en oeuvre du procédé selon l'invention lorsque le programme est exécuté par au moins un processeur. D'autres caractéristiques et avantages de l'invention apparaîtront lors de la description qui suit faite en regard des figures annexées données à titre d'exemples non limitatifs et dans lesquelles des références identiques sont données à des objets semblables. DESCRIPTION DES FIGURES La figure 1 est une forme de réalisation du système selon l'invention. La figure 2 illustre schématiquement une forme de réalisation du serveur d'authentification selon l'invention. La figure 3 illustre schématiquement une forme de réalisation du dispositif d'authentification selon l'invention. La figure 4 est un mode de mise en oeuvre du procédé selon l'invention. DESCRIPTION DETAILLEE DE L'INVENTION Description d'une forme de réalisation du système selon l'invention Le système 1 illustré à la figure 1 permet d'authentifier un utilisateur afin d'obtenir une autorisation d'accès à des ressources distantes 2. Dans cet exemple, les ressources distantes 2 comprennent des données de ressources 3 stockées de manière sécurisée. Par les termes « données de ressources », on entend des données protégées stockées à distance de l'utilisateur et dont l'accès est soumis à une autorisation requise via un lien de communication. I. Système 1 Toujours en référence à la figure 1, le système 1 comprend une base de données 7, un serveur d'authentification 10, un dispositif d'authentification 20, un moyen d'authentification 30, un premier équipement d'utilisateur 40a et un deuxième équipement d'utilisateur 40b, tous deux associés à un utilisateur 50, et un réseau de communication externe 60. Toutefois, il va de soi que le système selon l'invention pourrait comprendre un seul équipement d'utilisateur ou plus de deux équipements d'utilisateur, plus d'une base de données 7, plus d'un serveur d'authentification 10, plus d'un dispositif d'authentification 20, plus d'un moyen d'authentification 30 et/ou plus d'un réseau de communication 2 0 externe 60. Le système 1 va être décrit dans son application à l'autorisation d'une transaction de paiement entre un utilisateur 50 et un serveur d'authentification 10 d'une banque. Une telle application n'est pas limitative de la portée de la présente invention qui peut bien 25 entendu trouver d'autres applications tels que, par exemple, l'autorisation d'accès à un réseau fermé de type intranet ou bien à l'autorisation d'exécution d'une commande (lancement d'une fusée, ouverture d'une porte etc...). A) Serveur d'authentification 10 30 Dans la forme de réalisation décrite du système 1 selon l'invention, les données de ressources 3, ainsi que des données comportementales 5 relatives à l'utilisateur 50, sont stockées dans la base de données 7 et sont accessibles via le serveur d'authentification 10. Les données de ressources 3 sont des données confidentielles stockées de manière sécurisée et dont l'accès est soumis à l'authentification de l'utilisateur 50 auquel ces données de ressources 3 sont relatives. Ces données de ressources 3 peuvent, par exemple, comprendre l'identité de l'utilisateur 50, des informations sur les points de sécurité associés à l'utilisateur 50, des informations relatives à son compte en banque etc... Les données comportementales 5 peuvent, par exemple, représenter l'historique des transactions réalisées par l'utilisateur 50 (type de transactions, montants, date, heure etc...). En référence à la figure 1, le serveur d'authentification 10 est configuré pour accéder aux données de ressources 3 et aux données comportementales 5 relatives à l'utilisateur 50 stockées dans la base de données 7 afin d'en réaliser l'authentification. La base de données 7 peut être accessible au serveur d'authentification 10 localement ou bien à distance, par exemple via un premier lien de communication L1, par exemple de type filaire connu de l'homme du métier, ou via un réseau de télécommunications (non représenté). Le serveur d'authentification 10 est en outre configuré pour communiquer avec le dispositif d'authentification 20 sur un deuxième lien de communication L2. Un tel deuxième lien de communication L2 est un lien de communication filaire ou sans fil adapté connu de l'homme du métier, par exemple de type Ethernet, Wifi, 3G, 4G etc.... Le serveur d'authentification 10 constitue ainsi une passerelle entre les données de ressources 3 et le dispositif d'authentification 20. Dans cet exemple, le serveur d'authentification 10 est également configuré pour communiquer avec le réseau de communication externe 60 sur un troisième lien de communication L3 de manière connue de l'homme du métier afin notamment de requérir et/ou recevoir des informations personnelles de l'utilisateur 50. Selon l'invention, en référence à la figure 2, le serveur d'authentification 10 comprend une unité de réception 12, une unité d'authentification 14 et une unité d'envoi 16. L'unité de réception 12 est configurée pour recevoir une requête d'autorisation comprenant au moins une donnée d'authentification d'un utilisateur obtenue du moyen d'authentification 30 et au moins une information d'équipement associée au premier équipement d'utilisateur 40a et/ou au deuxième équipement d'utilisateur 40b. L'unité d'authentification 14 est configurée pour vérifier l'identité d'un utilisateur 50 à partir d'au moins une donnée d'authentification, d'au moins une information d'équipement associée au premier équipement d'utilisateur 40a et/ou au deuxième équipement d'utilisateur 40b et d'au moins une donnée comportementale 5. De manière préférée, le serveur d'authentification 10 est configuré pour calculer un score selon un modèle prédictif, de manière connu de l'homme du métier, à partir des informations contenues dans la requête d'autorisation (i.e. au moins la donnée d'authentification et l'information d'équipement associée au premier équipement d'utilisateur 40a et/ou au deuxième équipement d'utilisateur 40b) et des données comportementales 5. A cette fin, le serveur d'authentification 10 comprend ou a accès à une table (non représentée) comportant les identifiants du premier équipement d'utilisateur 40a et du deuxième équipement d'utilisateur 40b afin de les relier à l'information d'équipement ou aux informations d'équipement contenues dans la requête d'autorisation et à l'utilisateur en vue de son authentification. Un tel modèle prédictif peut être basé sur une première approche centrée sur un utilisateur 50 donné ou sur une deuxième approche prenant en compte une pluralité d'utilisateurs indifféremment. La première approche permet au modèle d'être spécifique à l'utilisateur 50 mais nécessitent un nombre significatifs de transactions pour être fiable tandis que la deuxième approche devient fiable plus rapidement mais est plus générale et plus objective et donc moins pertinente pour un utilisateur donné. On notera en outre qu'une combinaison des deux approches peut être mise en oeuvre, par exemple en démarrant avec la deuxième approche pour un utilisateur donné puis en augmentant le nombre de données comportementales relatives à son profil jusqu'à ce qu'il y en ait assez pour réaliser la première approche de manière fiable. Le score calculé peut être comparé à une échelle de scores prédéterminés afin de déterminer le degré de certitude de l'identité de l'utilisateur 50. Par ailleurs, l'unité d'envoi 16 est configurée pour envoyer au dispositif d'authentification 20 un message de confirmation d'accès aux données de ressources 3 en cas de succès de l'authentification de l'utilisateur, c'est-à-dire lorsque l'utilisateur 50 a été authentifié, ou un message de refus de l'accès aux données de ressources 3 en cas d'échec de l'authentification de l'utilisateur, c'est à dire lorsque l'utilisateur 50 n'a pas été authentifié. On notera enfin que le serveur d'authentification 20 peut également être configuré pour envoyer une requête de confirmation à un point de sécurité, par exemple le premier équipement d'utilisateur 40a et/ou le deuxième équipement d'utilisateur 40b, comme décrit ci-après dans l'exemple de mise en oeuvre du procédé selon l'invention. B) Dispositif d'authentification 20 En référence à la figure 1, le dispositif d'authentification 20 constitue une passerelle entre le serveur d'authentification 10, d'une part, et le moyen d'authentification 30, le premier équipement d'utilisateur 40a et le deuxième équipement d'utilisateur 40b, d'autre part. Ainsi, lorsque le système selon l'invention comprend plus d'un dispositif d'authentification 20, chacun desdits dispositifs d'authentification 20 est un point d'accès distinct aux ressources distantes 2. Le dispositif d'authentification 20 peut être un module matériel ou bien un module logiciel. Il peut ainsi se présenter, par exemple, sous la forme d'un lecteur de cartes à puce, d'un scanner biométrique, d'un module de paiement en ligne... Le dispositif d'authentification 20 peut être un terminal indépendant ou bien être intégré au serveur d'authentification 10, par exemple pour un accès à un réseau intranet d'entreprise, ou encore être intégré au premier équipement d'utilisateur 40a et/ou au deuxième équipement d'utilisateur 40b, par exemple sous la forme d'une application. Selon l'invention, en référence à la figure 3, le dispositif d'authentification 20 comprend une unité d'obtention 22 d'au moins une donnée d'authentification, une unité d'obtention 24 d'au moins une information d'équipement, une unité d'envoi 26 et une unité de réception 28. L'unité d'obtention 22 d'au moins une donnée d'authentification est configurée pour obtenir, du moyen d'authentification 30, au moins une donnée d'authentification associée audit moyen 30. 15 A cette fin, le dispositif d'authentification 20 est configuré pour recevoir et/ou communiquer avec le moyen d'authentification 30 sur un quatrième lien de communication L4, par exemple, de type filaire (Ethernet, IP...), sans fil (RFID, Wifi, BlueTooth®,...) ou via un système d'exploitaiton (OS). 20 L'unité d'obtention 24 d'au moins une information d'équipement est configurée pour déterminer et/ou recevoir au moins une information d'équipement associée au premier équipement d'utilisateur 40a et/ou au deuxième équipement d'utilisateur 40b. Le dispositif d'authentification 20 peut être configuré pour communiquer avec le premier 25 équipement d'utilisateur 40a et/ou le deuxième équipement d'utilisateur 40b sur un cinquième lien de communication L5, par exemple sans fil de type RFID, Wifi, BlueTooth®, ZigBee...) afin de déterminer lui-même cette information d'équipement et/ou pour recevoir cette information d'équipement, soit directement du premier équipement d'utilisateur 40a ou du deuxième équipement d'utilisateur 40b, soit via un réseau de 30 communication (non représenté), par exemple Internet et/ou un réseau de type 2G, 3G, 4G, Wimax etc. Par exemple, l'information d'équipement peut être la distance, la localisation du premier équipement d'utilisateur 40a et/ou du deuxième équipement d'utilisateur 40b, une 10 donnée biométrique fournie par le premier équipement d'utilisateur 40a et/ou le deuxième équipement d'utilisateur 40b, une donnée médicale fournie par le premier équipement d'utilisateur 40a et/ou le deuxième équipement d'utilisateur 40b, une donnée météorologique associée au premier équipement d'utilisateur 40a et/ou au deuxième équipement d'utilisateur 40b, une vitesse ou une accélération du premier équipement d'utilisateur 40a et/ou du deuxième équipement d'utilisateur 40b etc... L'unité d'envoi 26 est configurée pour envoyer une requête d'autorisation comprenant au moins une donnée d'authentification reçue du moyen d'authentification 30 et au moins une information d'équipement associée au premier équipement d'utilisateur 40a et/ou au deuxième équipement d'utilisateur 40b qu'il a obtenue dans le but d'authentifier l'utilisateur 50. Une telle requête peut également comporter des informations contextuelles telles que, par exemple, un type de transaction de paiement (achat d'un repas, d'un meuble, d'un billet d'avion, de carburant, etc...), l'heure, la date etc... Toutes ces données et informations peuvent être fournies sous forme d'un vecteur de données envoyé dans la requête d'autorisation. L'unité de réception 28 est configurée pour recevoir, du serveur d'authentification 10, un message de confirmation d'accès aux ressources distantes 2 en cas de succès de l'authentification de l'utilisateur 50 par le serveur d'authentification 10 ou un message de refus de l'accès aux ressources distantes 2 en cas d'échec de l'authentification de l'utilisateur 50. Le dispositif d'authentification 20 est configuré pour communiquer avec le réseau de communication externe 60 sur un sixième lien de communication L6 de manière connue de l'homme du métier afin de recevoir des informations personnelles sur l'utilisateur 50. Le dispositif d'authentification 20 peut également être configuré pour envoyer une requête de confirmation à un point de sécurité, par exemple le premier équipement d'utilisateur 40a et/ou le deuxième équipement d'utilisateur 40b, comme décrit ci-après dans l'exemple de mise en oeuvre du procédé selon l'invention. C) Moyen d'authentification 30 Le moyen d'authentification 30 est associé à l'utilisateur 50 afin de permettre son authentification auprès du serveur d'authentification 10 via le dispositif d'authentification 20. A cette fin, le moyen d'authentification 30 est configuré pour communiquer au moins une donnée d'authentification au dispositif d'authentification 20 afin de fournir au serveur d'authentification 10 un moyen d'identification du profil de l'utilisateur 50. Les données d'authentification peuvent, par exemple, comprendre un identifiant de l'utilisateur 50 ou bien comprendre des informations contenues dans une empreinte digitale. Le moyen d'authentification 30 peut, par exemple, se présenter sous la forme d'une carte à puce, sur laquelle est stocké un identifiant de l'utilisateur, et/ou de l'utilisateur lui-même dans le but de fournir des données biométriques, par exemple une empreinte digitale. D) Premier équipement d'utilisateur 40a et deuxième équipement d'utilisateur 40b Le premier équipement d'utilisateur 40a et le deuxième équipement d'utilisateur 40b sont associés à l'utilisateur 50. Le premier équipement d'utilisateur 40a et le deuxième équipement d'utilisateur 40b sont des objets connectés, c'est-à-dire des objets configurés pour communiquer des valeurs physiques sous forme d'informations d'équipement, directement ou via un réseau de communication, par exemple Internet. Un objet connecté peut, par exemple, être un capteur, un téléphone, une tablette, un ordinateur, une montre intelligente, un équipement électroménager, une voiture, un podomètre, un cardio-fréquencemètre etc... possédés par l'utilisateur 50. Ces objets ont une nature dynamique dans le sens où ils peuvent être connectés ou non au réseau à un instant donné. Les informations d'équipement pourront ainsi être différentes à des instants distincts de sorte que le modèle prédictif peut fonctionner à partir d'informations d'équipement différentes suivant le nombre et la nature des objets qui seront connectés au moment de la détermination desdites informations d'équipement. Le système 1 selon l'invention peut ainsi fonctionner de façon automatique dans cet environnement dynamique : si certains objets connectés sont manquants, le modèle prédictif peut quand même produire des scores, soit en obtenant ces informations d'équipement par ailleurs (par exemple, en cas de donnée météo manquante, le système 1 peut l'obtenir via le réseau Internet, en cas de donnée trace GPS manquante, le système 1 peut l'obtenir d'un réseau social...). Dans le cas d'informations d'équipement associées à des objets manquants, le système 1 peut par exemple ne pas les spécifier (par exemple, en cas de donnée de rythme cardiaque manquante), et dans ce cas soit l'information d'équipement n'est pas importante pour le modèle donné et la transaction pourra quand même être acceptée, soit elle est importante et la transaction sera rejetée. Selon l'invention, le premier équipement d'utilisateur 40a et le deuxième équipement d'utilisateur 40b sont situés à proximité de l'utilisateur 50 et/ou sont connectés au dispositif d'authentification 20 via un réseau, par exemple Internet, et/ou via le réseau de communication externe 60 sur un septième lien de communication L7, de sorte qu'ils puissent être utilisés pour identifier l'utilisateur 50 lors de son authentification par le serveur d'authentification 10. Il n'est toutefois pas nécessaire que l'utilisateur 50 ait besoin d'interagir systématiquement avec le premier équipement d'utilisateur 40a et/ou le deuxième équipement d'utilisateur 40b, ce qui est avantageux. Le premier équipement d'utilisateur 40a et/ou le deuxième équipement d'utilisateur 40b peuvent jouer ponctuellement le rôle de point de sécurité, pour le serveur d'authentification 10 et/ou le dispositif d'authentification 20, afin de confirmer l'identité de l'utilisateur 50. Dans ce but, le premier équipement d'utilisateur 40a et/ou le deuxième équipement d'utilisateur 40b peuvent être configurés pour recevoir, du serveur d'authentification 10 et/ou du dispositif d'authentification 20, une requête de confirmation comprenant au moins une donnée de confirmation, par exemple un code, et la présenter à l'utilisateur 50 qui peut alors confirmer la réception de ladite donnée de confirmation auprès du serveur d'authentification 10 et/ou du dispositif d'authentification 20. E) Utilisateur 50 L'utilisateur 50 est associé à la fois au moyen d'authentification 30 via la donnée d'authentification qu'il comporte, au premier équipement d'utilisateur 40a et au deuxième équipement d'utilisateur 40b afin de permettre son authentification auprès du serveur d'authentification 10. Le moyen d'authentification 30 et/ou le premier équipement d'utilisateur 40a et/ou le deuxième équipement d'utilisateur 40b peuvent être associés à un groupe d'utilisateurs, par exemple à un mari et à sa femme, de sorte que l'ensemble des utilisateurs du groupe puisse réaliser indifféremment l'authentification, le but étant d'éviter l'accès aux données de ressources 3 par le serveur d'authentification 10 à des personnes non autorisées telles que, par exemple, un fraudeur. F) Réseau de communication externe 60 Le réseau de communication externe 60 comprend des informations personnelles sur l'utilisateur 50 telle que, par exemple, son âge, sa localisation, une liste de ses contacts etc... qui peuvent être obtenues par le serveur d'authentification 10 et/ou le dispositif d'authentification 20, par exemple sur requête, ou envoyées directement par le réseau de communication externe 60 au serveur d'authentification 10 et/ou au dispositif d'authentification 20. Ce réseau de communication externe 60 peut, par exemple, être le réseau Internet, un réseau social, une base de données externe etc... L'invention va maintenant être décrite dans sa mise en oeuvre en référence à l'autorisation d'une transaction de paiement à distance à partir d'une carte à puce. II. Mise en oeuvre de l'invention Dans le mode de mise en oeuvre du procédé selon l'invention décrit ci-après, le moyen d'authentification 30 est une carte de paiement, par exemple de type carte de crédit, et le dispositif d'authentification 20 est un terminal de lecture de cartes de paiement. Un identifiant de l'utilisateur 50 est stocké sur la carte de paiement. Les ressources distantes 2 auxquelles l'utilisateur 50 souhaite accéder comprennent des données de ressources de type données bancaires (montant d'un compte bancaire de l'utilisateur 50, limite de paiement etc...). Lorsque la carte de paiement est insérée dans le terminal, le terminal détecte la présence de ladite carte, synonyme d'une tentative de paiement par l'utilisateur 50, et obtient, dans une étape El, l'identifiant stocké sur la carte de paiement. Le terminal obtient ensuite, dans une étape E2, par exemple, la distance et/ou la localisation du premier équipement d'utilisateur 40a et/ou du deuxième équipement d'utilisateur 40b ou bien la fréquence cardiaque de l'utilisateur 50. Le premier équipement d'utilisateur 40a et/ou le deuxième équipement d'utilisateur 40b peuvent être, par exemple, un téléphone et une montre cardio-fréquencemètre de l'utilisateur 50. Ces informations d'équipement peuvent être mesurées directement par le terminal ou bien reçues via un réseau de communication, par exemple le réseau de communication externe 60 lorsqu'il est relié à Internet. A ce stade, le terminal peut envoyer, dans une étape E3, une requête de confirmation au premier équipement d'utilisateur 40a et/ou au deuxième équipement d'utilisateur 40b. A titre d'exemple, le terminal peut envoyer un code de confirmation au premier équipement d'utilisateur 40a et/ou au deuxième équipement d'utilisateur 40b et l'utilisateur doit alors saisir ce code sur le terminal pour confirmer qu'il est bien la personne autorisée à utiliser la carte de paiement. Une telle requête de confirmation peut être envoyée par le terminal, par exemple, lors d'une tentative de paiement pour un nouveau type de transaction, puis ne pas être envoyées pour les transactions suivantes de sorte qu'elles puissent être acceptées ou rejetées automatiquement par le serveur d'authentification, c'est-à-dire sans l'intervention de l'utilisateur 50. Le terminal peut également, dans une étape E4, obtenir du réseau de communication externe 60, sur le sixième lien de communication L6, des informations personnelles sur l'utilisateur 50 telles que, par exemple, la liste de ses contacts sur un réseau social, son âge etc... Le terminal envoie ensuite, dans une étape E5, une requête d'autorisation au serveur d'authentification 10 sur le deuxième lien de communication L2. Cette requête comprend l'identifiant de la carte de paiement obtenu à l'étape El, les informations d'équipement sur la distance et/ou la localisation du premier équipement d'utilisateur 40a et/ou du deuxième équipement d'utilisateur 40b et/ ou la fréquence cardiaque de l'utilisateur 50 obtenues à l'étape E2, les informations personnelles reçues du réseau de communication externe 60 obtenues à l'étape E4 le cas échéant ainsi que des informations contextuelles sur la transaction fournies par le terminal lui-même telles que, par exemple le type de la transaction, son heure, sa date etc... Une fois la requête d'autorisation reçue dans une étape E6, le serveur d'authentification 10 procède alors à l'authentification (ou non) de l'utilisateur 50 dans une étape E7 à partir des informations d'équipement, des informations personnelles et des informations contextuelles reçues dans la requête d'autorisation. A cette fin, le serveur d'authentification 10 extrait de la base de données 7, à partir de l'identifiant de l'utilisateur 50 obtenu à l'étape El, les données comportementales 5 et les compare aux données et informations reçues dans la requête d'autorisation en utilisant un modèle prédictif connu de l'homme du métier afin de déterminer le degré de certitude sur l'identité de l'utilisateur 50 afin de l'authentifier ou non. Par exemple, lorsque le premier équipement d'utilisateur 40a est une montre cardiofréquencemètre et que le deuxième équipement d'utilisateur 40b est un smartphone, le modèle prédictif peut déduire que l'utilisateur 50 est bien une personne autorisée à accéder aux données de ressources 3 lorsque sa montre cardio-fréquencemètre et son smartphone sont tous deux à proximité du terminal, par exemple à moins de cinq mètres et/ou lorsque la fréquence cardiaque de l'utilisateur 50 est comprise dans une plage de valeurs prédéterminée. Le degré de certitude sur l'identité de l'utilisateur 50 peut être évalué sous forme de score. Par exemple, ce score peut être plus ou moins élevé selon la nature du dispositif d'authentification 20 et/ou du moyen d'authentification 30 ou bien selon que le montant du paiement pour lequel l'autorisation requise est faible ou importante. De plus, le nombre de données comportementales 5 associées à l'utilisateur 50 augmente avantageusement avec le nombre de transactions réalisées par ledit utilisateur 50, ce qui améliore le degré de certitude de son identification et donc l'efficacité et la pertinence de son authentification. Afin d'améliorer la qualité de l'authentification de l'utilisateur 50 et réduire ainsi le risque de fraude, le serveur d'authentification 10 peut envoyer, dans une étape E8, un code de confirmation au premier équipement d'utilisateur 40a et/ou au deuxième équipement d'utilisateur 40b afin que l'utilisateur 50 confirme son identité au serveur d'authentification 10, par exemple lorsque le degré de certitude sur l'identité de l'utilisateur 50 n'est pas satisfaisant. Selon le résultat de l'authentification, le serveur d'authentification 10 envoie alors au terminal dans une étape E9, sur le deuxième lien de communication L2, un message de confirmation d'accès aux ressources distantes en cas de succès de l'authentification de l'utilisateur 50 par le serveur d'authentification 10 ou d'un message de refus de l'accès aux ressources distantes en cas d'échec de l'authentification de l'utilisateur 50 par le serveur d'authentification 10. Le terminal reçoit alors ce message dans une étape E10 et autorise alors la transaction quand le message est un message de confirmation ou la refuse quand le message est un message de refus. Le procédé selon l'invention permet donc avantageusement de réaliser une authentification aisée, rapide et fiable de l'utilisateur 50, notamment lorsque les échanges de données, d'informations et de requêtes sont automatisées et donc transparentes pour l'utilisateur 50. Le serveur d'authentification 10 peut aussi utiliser un nombre significatif d'objets connectés qui peuvent être différents à chaque instant, un tel dynamisme permettant d'augmenter le degré de certitude sur l'identité de l'utilisateur 50 et donc de réduire notablement le risque de fraude. L'authentification peut notamment ainsi être fortement personnalisée et donc significativement améliorée. En outre, différents utilisateurs, par exemple un mari et sa femme, peuvent procéder indifféremment à l'authentification à partir du moment où ils disposent des équipements d'utilisateur associés à au moins l'un d'entre eux, ce qui est avantageux. On notera en outre que les échanges de données et d'informations sur les différentes liens et réseaux de communication peuvent être cryptés et/ou sécurisés. Il est à noter enfin que la présente invention n'est pas limitée aux exemples décrits ci-dessus et est susceptible de nombreuses variantes accessibles à l'homme de l'art. Notamment, le nombre d'équipements d'utilisateur 40a, 40b, de dispositif d'authentification 20, de serveur d'authentification 10, de bases de données 7 ainsi que la nature et le type des liens et réseaux de communication tels que représentés sur les figures de façon à illustrer un exemple de réalisation de l'invention, ne sauraient être interprétés comme limitatifs. REVENDICATIONS1. Procédé d'authentification d'un utilisateur (50) à partir d'un moyen d'authentification (30) pour accéder à des ressources distantes (2), ledit utilisateur (50) étant associé à au moins un équipement d'utilisateur (40a, 40b), ledit procédé étant caractérisé en ce qu'il comprend les étapes de : - obtention (El), dudit moyen d'authentification (30), d'au moins une donnée d'authentification, - obtention (E2) d'au moins une information d'équipement associée audit équipement d'utilisateur (40a, 40b), - envoi (E5) d'une requête d'autorisation comprenant la donnée d'authentification obtenue et l'information d'équipement obtenue dans le but d'authentifier l'utilisateur (50), et - réception (E10) d'un message de confirmation d'accès aux ressources distantes (2) en cas de succès de l'authentification de l'utilisateur (50) ou d'un message de refus de l'accès aux ressources distantes (2) en cas d'échec de l'authentification de l'utilisateur (50). 2. Procédé selon la revendication 1, caractérisé en ce que l'utilisateur est associé à une pluralité d'équipements d'utilisateur (40a, 40b), en ce que l'obtention d'au moins une information d'équipement est réalisée pour chaque équipement d'utilisateur (40a, 40b) et en ce que la requête d'autorisation comprend la pluralité d'informations d'équipement obtenues. 3. Procédé selon l'une des revendications précédentes, caractérisé en ce que l'obtention de l'information d'équipement consiste en une détermination et/ou en une réception de l'information d'équipement, par exemple via un réseau de communication. 4. Procédé selon l'une des revendications précédentes, caractérisé en ce que l'information d'équipement est la distance de l'équipement d'utilisateur (40a, 40b), la localisation de l'équipement d'utilisateur (40a, 40b), une donnée biométrique fournie par l'équipement d'utilisateur (40a, 40b), une donnée médicale fournie par l'équipement d'utilisateur (40a, 40b), une donnée météorologique, une vitesse ou une accélération de l'équipement d'utilisateur (40a, 40b). 5. Procédé selon l'une des revendications précédentes, caractérisé en ce que l'authentification de l'utilisateur (50) est réalisée à partir de la donnée d'authentification obtenue, de l'information d'équipement obtenue et d'au moins une information contextuelle. 6. Procédé selon l'une des revendications précédentes, caractérisé en ce que l'authentification de l'utilisateur (50) est réalisée à partir de la donnée d'authentification obtenue, de l'information d'équipement obtenue, d'au moins une information contextuelle et d'au moins une donnée comportementale. 7. Dispositif d'authentification d'un utilisateur (50) à partir d'un moyen d'authentification (30) pour accéder à des ressources distantes (2), ledit utilisateur (50) étant associé à au moins un équipement d'utilisateur (40a, 40b), ledit dispositif (20) étant caractérisé en ce qu'il comprend : - une unité d'obtention (22), dudit moyen d'authentification (30), d'au moins une donnée d'authentification, - une unité d'obtention (24) d'au moins une information d'équipement associée audit équipement d'utilisateur (50), - une unité d'envoi (26) d'une requête d'autorisation comprenant la donnée d'authentification obtenue et l'information d'équipement obtenue dans le but d'authentifier l'utilisateur (50), et - une unité de réception (28) d'un message de confirmation d'accès aux ressources distantes (2) en cas de succès de l'authentification de l'utilisateur (50) ou d'un message de refus de l'accès aux ressources distantes (2) en cas d'échec de l'authentification de 2 5 l'utilisateur (50). 8. Serveur d'authentification d'un utilisateur (50) à partir d'un moyen d'authentification (30) pour accéder à des ressources distantes (2), ledit utilisateur (50) étant associé à au moins un équipement d'utilisateur (40a, 40b), ledit serveur (10) étant 30 caractérisé en ce qu'il comprend : - une unité de réception (12) d'une requête d'autorisation comprenant au moins une donnée d'authentification d'un utilisateur (50) obtenue dudit moyen d'authentification (30) et au moins une information d'équipement associée audit équipement d'utilisateur (40a, 40b),- une unité d'authentification (14) dudit utilisateur (50) à partir de la donnée d'authentification reçue et de l'information d'équipement reçue, - une unité d'envoi (16) d'un message de confirmation d'accès aux ressources distantes (2) en cas de succès de l'authentification de l'utilisateur (50) ou d'un message de refus de l'accès aux ressources distantes (2) en cas d'échec de l'authentification de l'utilisateur (50). 9. Système d'authentification d'un utilisateur (50) à partir d'un moyen d'authentification (30) pour accéder à des ressources distantes (2), ledit système (1) étant caractérisé en ce qu'il comprend un serveur d'authentification (10) selon la revendication précédente, un dispositif d'authentification (20) selon la revendication 7, un moyen d'authentification (30) et au moins un équipement d'utilisateur (40a, 40b). 10. Support de données pour un programme d'ordinateur comportant des instructions pour la mise en oeuvre du procédé selon l'une des revendications précédentes 1 à 6 lorsque le programme est exécuté par au moins un processeur.20