Brevet FR3045885A1 — publié le 20170623

La présente invention concerne la biométrie et plus particulièrement un procédé d'identification biométrique. Dans le présent document, le terme « empreinte » est utilisé pour désigner un ensemble de caractéristiques biométriques, ou minuties, d'une personne et notamment un ensemble de caractéristiques biométriques d'au moins un de ses doigts, une de ses paumes, d'une partie de son réseau veineux, d'un iris d'au moins un de ses yeux, de son visage, d'une oreille, voire les caractéristiques de sa voix.... ETAT DE LA TECHNIQUE L'identification biométrique est basée sur la comparaison d'une empreinte candidate à une empreinte de référence. L'empreinte de référence est enregistrée dans une mémoire telle que celle d'une carte à circuit intégré ou d'un serveur informatique et la comparaison est effectuée par un circuit intégré (celui de la carte à circuit intégré ou l'un de ceux du serveur). L'empreinte candidate est capturée sur la personne que l'on souhaite identifier. La comparaison vise à déterminer un score de l'empreinte candidate en fonction de la proximité entre les caractéristiques de l'empreinte candidate et de l'empreinte de référence. L'identification de la personne à identifier est validée lorsque le score de l'empreinte candidate dépasse un seuil prédéterminé. Il existe des techniques de fraude consistant à analyser la consommation électrique du circuit intégré, le temps d'exécution et le rayonnement électromagnétique produit lors d'opérations successives d'identification réalisées à partir d'une même empreinte candidate à laquelle de légères modifications ont été apportées d'une opération d'identification à l'autre. Le but de l'analyse de l'alimentation, du temps d'exécution et du rayonnement électromagnétique du circuit intégré est de déterminer l'impact des modifications de l'empreinte candidate sur 3045885 2 les paramètres analysés et d'en déduire l'évolution du score résultant de ces modifications. Menée à son terme, une telle analyse, si elle prend du temps, permet néanmoins d'élaborer une empreinte candidate susceptible 5 de valider l'identification. OBJET DE L'INVENTION Un but de l'invention est de fournir un moyen pour améliorer la résistance des procédés d'identification aux fraudes. 10 BREF EXPOSE DE L'INVENTION A cet effet, on prévoit, selon l'invention, un procédé d'identification biométrique par comparaison d'une empreinte candidate à au moins une empreinte de référence en vue de déterminer un score en fonction d'un 15 nombre de caractéristiques proches des deux empreintes et d'un seuil prédéterminé de validation auquel le score est comparé. Le procédé comprend les étapes de - capturer une première empreinte candidate ; - comparer la première empreinte candidate avec 20 l'empreinte de référence et calculer un score de la première empreinte candidate pour l'empreinte de référence ; au moins lorsque le score est inférieur au seuil de validation, comparer la première empreinte 25 candidate avec une première empreinte leurre, ladite première empreinte leurre ayant été engendrée pour avoir des caractéristiques permettant à la première empreinte candidate d'avoir un score compris entre un premier seuil prédéterminé et le seuil de validation ; 30 - calculer un score de la première empreinte candidate pour la première empreinte leurre. Usuellement, l'empreinte candidate n'est comparée qu'à des empreintes de référence, c'est-à-dire des empreintes appartenant à des personnes connues ou 35 autorisées dont l'empreinte a été enregistrée dans une 3045885 3 mémoire du système d'identification. Ainsi, lors d'une attaque de l'algorithme d'identification, l'attaquant ne peut savoir qu'au moins une des empreintes auxquelles l'empreinte candidate est comparée est une empreinte 5 leurre. Le premier seuil prédéterminé correspond au score qu'atteindrait une empreinte candidate présentant une relative proximité avec l'empreinte leurre. Si l'attaquant parvient à détecter les scores, il va donc identifier que l'empreinte candidate qu'il a présenté 10 possède un score relativement intéressant avec une des empreintes de référence alors que le score en question a été calculé à partir de l'empreinte leurre. Ceci va par conséquent induire en erreur l'attaquant et compliquer l'analyse du fonctionnement de l'algorithme. 15 Avantageusement, le procédé comprend les étapes de : - capturer une deuxième empreinte candidate ; - comparer la deuxième empreinte candidate avec l'empreinte de référence et calculer un score de la 20 deuxième empreinte candidate pour l'empreinte de référence ; - comparer la deuxième empreinte candidate avec la première empreinte leurre et calculer un score de la deuxième empreinte candidate pour la première empreinte 25 leurre ; si le score est inférieur au seuil de validation pour l'empreinte de référence ou au premier seuil prédéterminé pour la première empreinte leurre, engendrer une deuxième empreinte leurre pour avoir des 30 caractéristiques permettant à la deuxième empreinte candidate d'avoir un score compris entre le premier seuil prédéterminé et le seuil de validation ; - calculer un score de la deuxième empreinte candidate pour la deuxième empreinte leurre. 35 Ainsi, lorsque l'attaque est menée par 3045885 4 présentations successives d'empreintes candidates présentant entre elles des différences mineures (attaque communément appelée « hill climbing »), l'algorithme d'identification de l'invention est agencé pour pouvoir 5 toujours comparer l'empreinte candidate à une empreinte leurre proche, que cette empreinte leurre ait été engendrée pour une empreinte candidate précédente mais proche de l'empreinte candidate actuellement traitée ou spécifiquement engendrée pour l'empreinte candidate 10 actuellement traitée. L'attaquant peut seulement savoir que l'un des scores est favorable mais sans savoir qu'il est calculé par rapport à une empreinte leurre. L'empreinte qui sera ainsi constituée par l'attaquant ne lui permettra pas de réussir l'identification. 15 D'autres caractéristiques et avantages de l'invention ressortiront à la lecture de la description qui suit de modes de réalisation particuliers non limitatifs de l'invention. BREVE DESCRIPTION DES FIGURES 20 Il sera fait référence à la figure unique annexée représentant schématiquement un dispositif d'identification pour la mise en oeuvre du procédé de l'invention. DESCRIPTION DETAILLEE DE L'INVENTION 25 L'invention est ici décrite en application à une identification biométrique sur la base d'une empreinte digitale. Il va de soi que l'invention est applicable à tout type de biométrie et peut par exemple porter sur les caractéristiques d'un iris d'au moins un oeil, les 30 caractéristiques d'un réseau veineux, les caractéristiques d'un visage ou d'une oreille, les caractéristiques de la voix... En référence à la figure 1, le procédé de l'invention est ici mis en oeuvre au moyen d'un dispositif 35 d'identification comprenant : au moins un organe de 3045885 5 capture d'empreinte digitale 10 ; un lecteur de carte à circuit intégré 20 ; une unité informatique 30 reliée au dispositif de capture 10 et au lecteur 20 ; et au moins une carte à circuit intégré 40. L'organe de capture 5 d'empreinte digitale 10 comprend ici un capteur optique mais d'autres technologies sont utilisables. Le lecteur 20 est ici un lecteur de type à contact. L'unité informatique 30 comporte ici un processeur et des mémoires et est agencée pour exécuter un premier 10 programme mettant en oeuvre le procédé de l'invention. Le circuit intégré de la carte à circuit intégré 40 comprend un processeur et une mémoire pour exécuter un second programme mettant en oeuvre le procédé de l'invention au moyen d'un algorithme de traitement et 15 comparaison d'empreintes (on parle de programme de « matching » dans la suite). La carte à circuit intégré 40 est remise à un utilisateur du dispositif. La mémoire de la carte contient également des caractéristiques d'une empreinte de référence constituée d'une empreinte 20 digitale de l'utilisateur à qui la carte à circuit intégré 40 a été remise et, éventuellement, une identification de l'utilisateur, comme son nom, et des droits attachés à l'utilisateur comme le droit de pénétrer tels lieux ou 25 documents ou informations... Ainsi, de manière préalablement à la mise fichiers, connue en elle-même, en oeuvre du procédé d'accéder à tels d'identification est réalisée une opération d'enrôlement au cours de laquelle : 30 des caractéristiques biométriques d'une empreinte de référence de l'utilisateur sont capturées ; ces caractéristiques biométriques de l'empreinte de référence sont enregistrées dans la mémoire du circuit intégré de la carte à circuit intégré. 35 En outre, deux empreintes leurres Li, L2 sont 3045885 6 générées aléatoirement et sont enregistrées respectivement dans des emplacements Ml, M2 de la mémoire du circuit intégré de la carte à circuit intégré (les désignations Li, L2, Ml, M2 ne sont pas utilisées comme 5 des références numériques représentées sur les figures mais simplement pour faciliter l'identification de ces éléments dans la suite de la description, et d'autres désignations du même type seront utilisées dans la suite à cette même fin). L'empreinte de référence et les 10 empreintes leurres sont enregistrées dans le même espace mémoire, les empreintes leurres comprenant des caractéristiques biométriques prédéterminées pour identifier les empreintes leurres et les distinguer de l'empreinte de référence. Les caractéristiques 15 biométriques prédéterminées ont été ajoutées aux empreintes leurres aléatoires et forment une combinaison qui n'existe pas dans l'empreinte de référence. Le procédé d'identification biométrique selon l'invention débute par les étapes de : 20 - capturer des caractéristiques biométriques d'une empreinte candidate Cl sur le même doigt d'un candidat à l'identification ; - les transmettre au circuit intégré de la carte qui met en oeuvre l'algorithme de « matching ». 25 Ces étapes sont réalisées par l'unité informatique 30 commandant l'organe de capture d'empreinte digitale 10 et le lecteur de carte à circuit intégré 20. Le procédé de « matching » comprend les étapes 30 suivantes : - aligner les caractéristiques biométriques de l'empreinte candidate Cl de telle manière que l'empreinte candidate Cl soit orientée et centrée comme l'empreinte de référence ; 35 - comparer les caractéristiques biométriques de 3045885 7 l'empreinte candidate Cl aux caractéristiques biométriques mémorisées de l'empreinte de référence ; - calculer un score de l'empreinte candidate en fonction d'un nombre de caractéristiques communes aux 5 deux empreintes. La comparaison des caractéristiques biométriques des empreintes est effectuée en tentant d'apparier chaque caractéristique biométrique de l'empreinte candidate Cl avec l'une des caractéristiques biométriques de 10 l'empreinte de référence. Le score est calculé en fonction des appariements réalisés, c'est-à-dire en fonction de la proximité des caractéristiques de l'empreinte candidate Cl avec celles de l'empreinte de référence. On notera que les opérations d'appariement et 15 de calcul de score sont connues en elles-mêmes et ne seront pas plus détaillées ici. Selon l'invention, le procédé comprend les étapes ultérieures de - comparer, de la même manière que précédemment 20 décrit, l'empreinte candidate Cl avec chacune des empreintes leurres Ll, L2 ; - calculer un score de l'empreinte candidate Cl pour chacune des empreintes leurres Ll, L2. Si aucun des scores obtenus avec les empreintes 25 leurres n'est supérieur à un premier seuil prédéterminé Si inférieur à un seuil de validation SV, l'algorithme modifie l'une des empreintes aléatoires Ll, L2, par exemple ici Ll, de telle manière que l'empreinte candidate Cl ait un score compris entre le premier seuil 30 prédéterminé Si et un seuil prédéterminé S2 tous deux inférieur au seuil de validation SV. L'empreinte leurre modifiée, noté Ll', est réenregistrée dans l'emplacement M1 à la place de l'empreinte leurre Ll. La modification est l'ajout dans l'empreinte leurre Ll de 35 caractéristiques de l'empreinte candidate Cl. 3045885 Le seuil de validation est égal au score à partir duquel on considère que deux empreintes sont identiques. Le premier seuil prédéterminé Si est déterminé pour correspondre à une relative proximité de l'empreinte 5 leurre Li' avec l'empreinte candidate Cl sans que ces deux empreintes puissent être considérées comme identiques. Le deuxième seuil prédéterminé S2 qui un seuil d'alerte inférieur au seuil de validation SV et dont la fonction sera explicitée plus tard. 10 A la fin de l'opération de validation, les scores sont tous comparés au seuil de validation SV. Alors, soit le score de l'empreinte candidate Cl avec l'empreinte de référence a atteint le seuil de validation et l'identification est validée, soit le score de 15 l'empreinte candidate Cl avec l'empreinte de référence est inférieur au seuil de validation et l'identification est refusée. Si ultérieurement, une deuxième tentative d'identification est effectuée, le procédé comprend les 20 étapes de - capturer une deuxième empreinte candidate C2 ; comparer l'empreinte candidate C2 avec l'empreinte de référence et calculer un score de l'empreinte candidate C2 pour l'empreinte de référence ; 25 - comparer l'empreinte candidate C2 avec les empreintes leurres Li', L2 et calculer un score de l'empreinte candidate avec chacune des empreintes leurres. Si l'empreinte candidate C2 est une empreinte 30 candidate élaborée par un fraudeur pour tenter d'attaquer l'algorithme d'identification, l'empreinte candidate C2 ne va comporter que quelques différences par rapport à l'empreinte candidate Cl et sera donc proche de l'empreinte candidate Cl. Le score de l'empreinte C2 sera 35 donc vraisemblablement compris entre les seuils 3045885 9 prédéterminés Si et S2 pour l'empreinte leurre Ll', et il n'est pas recréé ou modifié une empreinte leurre. L'algorithme se poursuit alors en comparant tous les scores obtenus au seuil de validation SV pour valider 5 ou refuser l'identification. Si le score de l'empreinte 02 atteint le deuxième seuil prédéterminé S2 pour l'empreinte leurre Ll', le procédé mis en oeuvre par l'algorithme comprend l'étape de déclencher une action de sécurisation. L'action de 10 sécurisation comprend l'étape de modifier l'empreinte leurre Ll' pour laquelle l'empreinte candidate 02 a un score supérieur au deuxième seuil prédéterminé S2 de manière à former une empreinte leurre Ll" pour laquelle le score de l'empreinte candidate C2 sera compris entre 15 les seuils prédéterminés Si et S2 et d'utiliser ce score pour la comparaison avec le seuil de validation. L'algorithme se poursuit alors en comparant tous les scores obtenus au seuil de validation SV pour valider ou refuser l'identification. 20 Si au contraire, l'empreinte candidate 02 n'a rien à voir avec l'empreinte candidate Cl, le score de l'empreinte candidate 02 est inférieur au premier seuil prédéterminé pour les deux empreintes leurres Ll', L2, le procédé comprend les étapes de 25 - modifier l'empreinte leurre la plus ancienne, ici l'empreinte leurre L2, pour engendrer une empreinte leurre L2' ayant des caractéristiques permettant à l'empreinte candidate 02 d'avoir un score compris entre les seuils prédéterminés Si et S2 ; 30 d'enregistrer l'empreinte leurre L2' dans l'emplacement de mémoire M2 à la place de l'empreinte leurre L2 ; - calculer un score de l'empreinte candidate 02 pour l'empreinte leurre L2'. 35 L'algorithme se poursuit alors en comparant tous 3045885 10 les scores obtenus au seuil de validation SV pour valider ou refuser l'identification. Il est procédé de cette façon pour chaque tentative ultérieure d'identification : 5 - si la nouvelle empreinte candidate a un score supérieur au premier seuil pour l'une des empreintes leurres, aucune empreinte leurre n'est modifiée, - si la nouvelle empreinte candidate a un score inférieur au premier seuil pour les deux empreintes 10 leurres, l'empreinte leurre et écrasée. On note que le empreintes leurres permet à de supporter deux attaques 15 successives d'empreintes la plus ancienne est modifiée fait de disposer de deux l'algorithme d'identification parallèles par présentations candidates proches (les empreintes des deux attaques sont présentées en alternance). Pour s'assurer que le temps d'exécution de l'algorithme apparaisse le plus constant possible quelle 20 que soit l'empreinte candidate, on peut prévoir après la modification de l'empreinte leurre de refaire une comparaison et un calcul de score de l'empreinte candidate avec l'une des empreintes mémorisées ou avec l'empreinte de référence et les deux empreintes leurres. 25 Bien entendu, l'invention n'est pas limitée aux modes de réalisation décrits mais englobe toute variante entrant dans le champ de l'invention telle que définie par les revendications. En particulier, il est possible d'utiliser plus 30 de deux empreintes leurres selon la taille de la mémoire utilisée pour contenir les empreintes leurres. Il est envisageable de ne pas écraser l'empreinte leurre la plus ancienne mais d'inscrire la nouvelle empreinte leurre dans un emplacement de mémoire libre 35 tant qu'existe un tel emplacement. On prévoit alors une 3045885 11 taille maximale allouée à l'enregistrement des empreintes leurres. Il faut cependant veiller à limiter ou compenser l'augmentation de la durée d'identification résultant de l'accroissement du nombre d'empreintes leurres. 5 Les empreintes leurres enregistrées initialement peuvent être identiques ou différentes. La mémoire peut contenir plusieurs empreintes de référence. Les empreintes leurres peuvent être enregistrées 10 dans un espace mémoire différent de celui dans lequel est enregistrée l'empreinte de référence de manière à facilement distinguer celles-ci. L'action de sécurisation peut être différente de celle décrite et par exemple comprendre l'étape 15 d'interrompre l'identification. On peut prévoir pour ne pas faire perdre de temps aux candidats autorisés de n'utiliser les empreintes leurres que quand le score de l'empreinte candidate est inférieur au seuil de validation pour l'empreinte de 20 référence. On tablera sur le fait que le fraudeur ne dispose pas d'une empreinte candidate autorisée et ne s'apercevra donc pas de la différence de durée dans le traitement de l'empreinte. Les caractéristiques biométriques peuvent être 25 fournies directement par un organe de lecture ou capture biométrique ou être transférées par exemple depuis une base de données ou capturées. Le terme « empreinte » est employé dans le présent document comme désignant un ensemble de 30 caractéristiques biométriques d'une personne de sorte que l'invention n'est aucunement limitée à une application aux empreintes digitales. REVENDICATIONS1. Procédé d'identification biométrique par comparaison d'une empreinte candidate à au moins une empreinte de référence en vue de déterminer un score en fonction d'un nombre de caractéristiques proches des deux empreintes et d'un seuil prédéterminé de validation auquel le score sera comparé, caractérisé en ce que le procédé comprend les étapes de : - capturer une première empreinte candidate ; - comparer la première empreinte candidate avec l'empreinte de référence et calculer un score de la première empreinte candidate pour l'empreinte de référence ; au moins lorsque le score est inférieur au seuil de validation, comparer la première empreinte candidate avec une première empreinte leurre, ladite première empreinte leurre ayant été engendrée pour avoir des caractéristiques permettant à la première empreinte candidate d'avoir un score compris entre un premier seuil prédéterminé et le seuil de validation ; calculer un score de la première empreinte candidate pour la première empreinte leurre. 2. Procédé selon la revendication 1, comprenant les étapes de : - capturer une deuxième empreinte candidate - comparer la deuxième empreinte candidate avec l'empreinte de référence et calculer un score de la deuxième empreinte candidate pour l'empreinte de référence ; - comparer la deuxième empreinte candidate avec la première empreinte leurre et calculer un score de la deuxième empreinte candidate pour la première empreinte leurre ; si le score est inférieur au seuil de 3045885 13 validation pour l'empreinte de référence et au premier seuil prédéterminé pour la première empreinte leurre, engendrer une deuxième empreinte leurre pour avoir des caractéristiques permettant à la deuxième empreinte 5 candidate d'avoir un score compris entre le premier seuil prédéterminé et le seuil de validation ; - calculer un score de la deuxième empreinte candidate pour la deuxième empreinte leurre. 3. Procédé selon la revendication 1 ou 2, dans 10 lequel, lorsque l'empreinte candidate a un score supérieur au premier seuil avec l'empreinte leurre, le procédé comprend l'étape de déclencher une action de sécurisation lorsque le score est également supérieur à un deuxième seuil prédéterminé compris entre le premier 15 seuil prédéterminé et le seuil de validation. 4. Procédé selon la revendication 3, dans lequel l'action de sécurisation comprend l'étape de modifier l'empreinte leurre pour laquelle l'empreinte candidate a un score supérieur au deuxième seuil prédéterminé. 20 5. Procédé selon la revendication 3, dans lequel l'action de sécurisation comprend l'étape d'interrompre l'identification. 6. Procédé selon la revendication 2, dans lequel l'empreinte leurre engendrée a été engendrée et a été 25 enregistrée à la place d'une empreinte leurre existante après comparaison de l'empreinte candidate avec l'empreinte de référence et l'empreinte leurre existante, le score obtenu avec l'empreinte de référence étant inférieur au seuil de validation et le score obtenu avec 30 l'empreinte leurre existante étant inférieur au premier seuil prédéterminé. 7. Procédé selon la revendication 6, comprenant une étape de configuration dans laquelle au moins une empreinte leurre est préenregistrée, l'empreinte leurre 35 étant une empreinte aléatoire. 3045885 14 8. Procédé selon la revendication 1, dans lequel même si le score de la première empreinte candidate est au moins égal au seuil de validation pour l'empreinte de référence, la première empreinte candidate est comparée 5 avec la première empreinte leurre et un score de la première empreinte candidate est calculée pour la première empreinte leurre. 9. Procédé selon l'une quelconque des revendications précédentes, dans lequel l'empreinte de 10 référence et les empreintes leurres sont enregistrées dans le même espace mémoire, les empreintes leurres comprenant des caractéristiques biométriques prédéterminées pour identifier les empreintes leurres et les distinguer de l'empreinte de référence.