Brevet FR3044791A1 — publié le 20170609

SYSTEME D'AUTHENTIFICATION D'ACCES A FORMATS D'ENTREE MULTIPLES, METHODE ET LOGICIEL ASSOCIES. 1. Domaine de l'invention. L'invention concerne le domaine de la sécurisation d'accès et/ou de l'authentification de droits d'accès à des produits, locaux, lieux, ou services, et plus particulièrement à la capacité, pour un module d'authentification, à traiter des clés d'accès en provenance de générateurs hétérogènes. 2. Etat de l'art. Il est connu d'utiliser des systèmes d'authentification et de sécurisation d'accès dans des contextes très variés, tels que l'achat sans qu'un personnel de caisse ne soit présent, l'achat à distance, l'accès conditionnel à des lieux, produits ou services. Les moyens usuellement disponibles pour mettre en oeuvre les méthodes de contrôles d'accès utilisant une authentification sont, à titre d'exemples, une carte à puce, une carte à piste magnétique, un badge radiofréquence d'identification (RFID), une saisie d'un code à usage récurrent ou à usage unique, une identification depuis un dispositif portable suite à une activation ou à une souscription, une identification optique d'un affichage sur l'écran d'un dispositif ou par le biais d'une interface de communication du dispositif, une identification biométrique par empreinte digitale ou une visualisation d'un oeil (systèmes biométriques), une reconnaissance de formes et notamment d'un visage, une identification d'une voix. Cette liste d'exemple étant bien évidemment non exhaustive. Bien qu'un grand nombre de techniques d'identification existent, peu sont modulables et en capacité de s'adapter à des modes d'identification contextuels liés à un 3044791 2 environnement, une application ou à des critères inhérents à l'utilisateur, par exemple. Il n'est pas connu de système d'authentification permettant de contrôler un accès, aussi bien à partir d'une empreinte digitale, qu'à partir d'une information disponible depuis 5 un dispositif mobile smartphone, une montre intelligente, une tablette, une clé électronique portable, un badge, une carte à puce, une carte à piste. La liste de ces exemples étant non exhaustive. Les solutions existantes requièrent de limiter le format des clés d'accès disponibles dans un système d'authentification ou de multiplier les systèmes mis en 10 oeuvre dans le cas de clés d'accès ou d'authentification hétérogènes. Les solutions existantes présentent donc des inconvénients. 3. Résumé de l'invention. 15 L'invention permet d'améliorer au moins l'un des inconvénients de l'état de l'art en proposant un système d'authentification de droits d'accès comprenant un module ou une interface de réception de clés d'accès aléatoires, les clés étant codées selon au moins deux formats logiques et/ou physiques partiellement ou 20 totalement distincts, et un module d'authentification des clés codées, le système comprenant en outre un module de conversion des clés dans un troisième format, à partir de l'un quelconque des au moins deux formats d'origine, le troisième format constituant un unique format d'entrée du module d'authentification du système. 25 Selon un mode de réalisation de l'invention, le troisième format comprend une pluralité de champs d'informations, ces champs d'informations comprennent au moins, pour chacune des clés codées dans ce troisième format : 30 - une information représentative du format de départ parmi les au moins deux formats logiques et/ou physique, 3044791 3 - une information représentative d'un contexte de création d'une clé d'authentification, - une information représentative du caractère d'usage unique ou multiple (récurrent) de la clé en correspondance. 5 Avantageusement l'ensemble des champs d'informations est compris dans une même trame de données. Selon un mode de réalisation de l'invention, la trame 10 comprend au moins une information dédiée à une capacité de régénération vers le format original d'une clé parmi les au moins deux formats logiques et/ou physique de clés d'authentification codée dans le troisième format. 15 L'invention concerne également une méthode d'authentification de droits d'accès comprenant une réception de clés d'accès aléatoires, codées selon au moins deux formats logiques et/ou physiques partiellement ou totalement distincts, et, une authentification des clés codées, la méthode comprenant en 20 outre une conversion des clés dans un troisième format à partir de l'un des au moins deux formats, ce troisième format constituant un unique format de données d'entrée pour l'authentification précitée. Avantageusement, le troisième format utilisé par la 25 méthode comprend une pluralité de champs d'informations, ces champs d'informations comprenant au moins une information représentative du format de départ parmi les au moins deux formats logiques et/ou physique, une information représentative d'un contexte de création d'une clé d'authentification, ainsi qu'une 30 information représentative du caractère d'usage unique ou multiple de la clé considérée. 3044791 4 Avantageusement, l'ensemble des champs d'informations mis en oeuvre dans la méthode et cités ci-avant sont compris dans une même trame de données. 5 L'invention concerne également un produit programme d'ordinateur chargeable directement dans la mémoire interne d'un ordinateur comprenant des portions de code de logiciel pour l'exécution des étapes de la méthode décrite ci-dessus, lorsque le programme est exécuté sur un ordinateur. 10 Ainsi, l'utilisation des modules et méthode décrits permettent d'utiliser des clés d'origines hétérogènes, en provenance de systèmes variés, pour authentifier et autoriser un accès à des produits, locaux, lieux, ou services déterminés, sans distinction de traitement du fait des 15 disparités natives de clés après l'étape de conversion vers le troisième format, c'est-à-dire après une opération d'unification des clés reçues par le système d'authentification. Il en découle des avantages évidents que sont, à titre d'exemples, l'utilisation possible d'un même matériel et d'une même chaîne de traitement pour des clés d'accès d'origines 20 variées, donc une réduction de moyens et de coûts et une simplification dans la gestion et le traitement des données propres au système d'authentification et de contrôle d'accès. 4. Liste des figures. 25 L'invention sera mieux comprise, et d'autres particularités et avantages apparaîtront à la lecture de la description qui va suivre, la description faisant référence aux dessins annexés parmi lesquels : 30 - la figure 1 représente un système d'authentification de clés d'accès selon un mode particulier et non limitatif de l'invention. 3044791 5 - la figure 2 représente une trame unifiée d'authentification d'accès selon un mode particulier et non limitatif de l'invention. 5 5. Description détaillée de modes de réalisation de l'invention. La figure 1 un système d'authentification de clés d'accès selon un mode particulier et non limitatif de l'invention. Selon le mode 10 de réalisation de l'invention, le système comprend quatre modules int, in2, in3 et in4 de capture d'informations, chacune de ces informations étant représentative d'un porteur ou utilisateur d'une clé d'accès à un système, un lieu ou un produit, ou d'au moins un droit d'accès attribué à ce porteur. Selon le mode de réalisation, le module int est un coupleur 15 de cartes à puce, le module in2 est un lecteur biométrique d'empreinte digitale, le module in3 est un lecteur en champ proche NFC (de l'anglais « Near Field Communication » et qui signifie communication en champ proche) qui utilise une technologie d'identification radiofréquence RFID (de l'anglais «Radio Frequency Identification » et 20 qui signifie identification par radio-fréquence), et le module in4 est un lecteur optique, configuré pour la lecture d'une forme (ou motif) géométrique imprimée ou représentée sur un écran d'un dispositif portable, tel que, par exemple un smartphone. La forme est par exemple un QR code (de l'anglais « Quick Response code » et qui 25 signifie code à réponse rapide). Chacun de ces « lecteurs », ou « interfaces d'entrée », ou « modules de capture » est adapté à la génération d'au moins un code représentatif du porteur et/ou de droits attribués ponctuellement ou durablement à ce porteur, l'autorisant à un accès à usage unique ou 30 récurrent, à un lieu, un service ou un produit, par exemple. Ainsi, le lecteur int de cartes à puces est configuré pour générer une ou 3044791 6 plusieurs informations représentatives du porteur d'une carte à puce ou de droits attribués au porteur d'une carte qui a été insérée dans ce lecteur. Les informations représentatives transmises par le coupleur in1 sur le lien bk1 peuvent être transmises à l'occasion d'une 5 communication unique ou d'une série de communications sur le lien. En outre, la communication des informations représentatives précitées peut s'inscrire dans un échange protocolaire complexe, selon le niveau de sécurisation de la transaction entre le porteur de droits et le système d'authentification et de contrôle d'accès. Le coupleur in2 opère d'une 10 manière similaire au coupleur in1, bien que n'ayant pas des caractéristiques techniques similaires à celles d'un coupleur de cartes à puces, s'agissant d'un détecteur biométrique. Un tel coupleur analyse un signal d'entrée ou une multitude de signaux d'entrée et le ou les compare à une base de données préenregistrée afin de pouvoir émettre 15 une clé représentative d'un ou plusieurs droits d'accès ou tout au moins requise pour une authentification. Les systèmes de capture in2 et in3, de natures différentes fonctionnent selon le même principe. Avantageusement, les informations transmises sur les liens bk1, bk2, bk3, et bk4 respectivement en provenance des modules 20 de captures in1, in2, in3 et in4 sont transmises à un module multiplexeur de clés rk comprenant un module ou une interface de réception de clés d'accès aléatoires depuis les modules interfaces in1, in2, in3 et in4, ces clés étant codées selon quatre formats logiques et physiques partiellement ou totalement distincts. Le module ktm, dont 25 l'entrée est connectée à la sortie du module rk, opère comme un convertisseur de formats des clés d'accès aléatoires reçues pour ne délivrer à sa sortie rkb qu'un unique format (trame unique KFR) de clés livrables en entrée du module d'authentification am connecté à sa sortie. Le module d'authentification am réalise un travail 30 d'authentification des clés reçues selon un ou plusieurs protocoles, utilisant des méthodes de cryptage ou non, et dont le détail n'est pas décrit plus encore ici, puisque ne participant pas à la compréhension de 3044791 7 l'invention. En fonction du résultat de la phase d'authentification, le module d'authentification am délivre sur sa sortie aoi, un ou plusieurs codes destinés à être interprétés ou communiqués à des modules avals et/ou des actionneurs dont l'état est dépendant de l'échec ou du succès 5 de la phase d'authentification. Avantageusement, le module de conversion de formats ktm délivre, pour chacune des clés reçues sur le bus de transport de clés multiplexé kb, une information représentative du format de départ 10 (format natif) de la clé en provenance de l'un quelconque des modules int in2, in3 ou in4 sur le lien associé bkl , bk2, bk3 ou bk4, au moins une information représentative d'un contexte de création d'une clé d'authentification, tel que par exemple, la nature, une version ou une catégorisation de celui des quatre modules d'entrée inn, ayant transmis 15 la clé, ainsi qu'une information représentative du caractère d'usage unique ou multiple de la clé en question. Selon le mode de réalisation préféré de l'invention, l'ensemble des informations ci-avant est compris dans une trame de données unique, circulant une seule ou plusieurs fois sur le bus de 20 données de sortie, connecté à l'entrée du module d'authentification. Ainsi, l'ensemble des traitements en aval, et notamment la phase d'authentification, est indépendante du format natif de la clé d'accès représentative d'un porteur, des droits attribués au porteur d'un objet propre ou extérieur à lui, ou des deux à la fois. 25 La figure 2 représente une trame KFR unifiée d'authentification d'accès, telle que délivrée en sortie du module ktm et selon un mode particulier et non limitatif de l'invention. La trame KFR selon le mode de réalisation préféré de l'invention comprend une 30 succession de champs d'informations, chacun de ces champs pouvant être codé sur plusieurs éléments binaires (bits). L'élément H est un identifiant unique de type en-tête permettant à une couche transport de 3044791 8 détecter un début de trame et de synchroniser ou resynchroniser une lecture selon une horloge prédéterminée à partir de la détection de l'entête (encore appelée usuellement « header », de l'anglais). L'information il, codée sur (ou grâce à) plusieurs éléments binaires 5 code une méthode d'authentification native selon une table préenregistrée et permettant de dissocier, à titre d'exemples non limitatifs, un identifiant d'utilisateur associé à un mot de passe, une code PIN (code d'identification personnel), un code Flash, un code à barres, un QR-code, une empreinte digitale, un schéma, un emprunt 10 digital, un code promotionnel, un code émis selon une transaction conforme à un échange entre un coupleur de cartes et une carte à puce, etc. Chacune de ces méthodes correspondant à un code prédéterminé dans une table de correspondances. L'information i2 porte le code natif reçu lors d'une identification quelconque précédente 15 la phase d'unification. Ce champ d'informations peut porter des données alphanumériques, un code PIN, des valeurs successives représentées par un code à barres décodé, un code flash, un QR-code, etc. Ces exemples étant là encore donnés de façon non exhaustive et non limitative. Le champ d'information i3 porte une information visant à 20 caractériser le code «de sortie » unifié de la trame KFR, et comprend éventuellement un indicateur d'en-tête de code, un indicateur de cryptage, un indicateur de mode de cryptage, une ou plusieurs chaînes de caractère, le code dit « de sortie » en version cryptée, le cas échéant, sinon en clair (non-crypté), au moins un élément booléen 25 susceptible de porter une valeur représentative d'états respectivement intitulés « VRAI » et « FAUX ». Le champ d'information i4 code un type de dispositif de l'identification native selon une table préenregistrée qui comprend des équivalences de codes entre les différents types et des valeurs numériques qui leur sont représentatives. Les différents types 30 sont, à titre d'exemples non limitatifs : session web, téléphone, smartphone, tablette, montre, smartwear, clé USB, carte NFC utilisant une technologie en champ proche, support imprimé avec un code. Le 3044791 9 champ d'information i5 désigne, toujours selon une table préenregistrée, un protocole de communication natif utilisé pour l'authentification, tel que par exemple : HTTP, SOAP, REST, WEB API, ces exemples étant non limitatifs. Le champ d'informations i5 indique un 5 nombre de connexions cumulées précédemment à la validation de l'authentification native, selon, par exemple, une valeur d'entier positif. Le code d'information i6 indique la présence d'un ou plusieurs messages d'erreurs et comprend les éventuels codes d'erreurs le cas échéant, rangés successivement dans un ordre d'occurrence. Le 10 champ i7 comprend un HASH code utile aux opérations de cryptage sur la chaîne d'authentification considérée de bout en bout. Le champ i8 est un champ propriétaire laissé libre à l'utilisateur et dont la longueur est indiquée par un en-tête propre à ce champ, immédiatement suivi de l'information utile sous forme alphanumérique. Le code CC comprend 15 des informations optionnelles de code de sortie étendu, qui limite une authentification à certaines applications seulement. Le code S comprend des informations représentatives du contexte natif d'authentification telles que la nature de l'application (accès à un produit, à un lieu, à un service, le caractère unique ou reproductible de 20 l'authentification, éventuellement un crédit de droits). Le code D comprend des indications représentatives du porteur ou du détenteur des droits à authentifier, si celui-ci est nativement défini. Le code E est un identifiant de base de données, ou une liste successive d'identifiants de bases de données utiles à l'authentification. Chacun de ces champs 25 d'informations peut être renseigné ou non renseigné en fonction de la ou des étapes d'authentification native préalables au traitement d'unification réalisé par le module ktm. Dans le cas de champs d'informations non-renseignés, ceux-ci peuvent comprendre des valeurs par défaut ou des indications visant à informer de la non 30 pertinence de leur contenu au regard de la phase d'authentification à venir sur la base de la trame d'authentification au format KFR. 3044791 10 En d'autres termes, le système d'authentification de droits d'accès selon l'invention comprend, par exemple : 5 - les modules ou interfaces de réception int , in2, in3, in4 de clés d'accès aléatoires codées selon différents formats logiques et/ou physiques partiellement ou totalement distincts, tels que, par exemple une suite de codes k1 issue d'une transaction entre le coupleur de cartes à puce int et une carte à puce d'un utilisateur porteur ou 10 détenteur de droits insérée dans ce coupleur, et une transcription numérique k2 d'une empreinte digitale codée depuis le lecteur biométrique in2 (ces deux exemples étant bien évidemment non limitatifs) et, - le module d'authentification am des clés k1 et k2 ainsi codées, 15 le système d'authentification pris dans son ensemble comprenant en outre le module ktm de conversion des clés k1 et k2 précitées dans le troisième format qui est celui de la trame KFR, décrit ci-avant, à partir de l'un ou l'autre des au moins deux formats codant k1 et k2, ce 20 troisième format (celui de KFR) constituant un unique format d'entrée du module d'authentification am du système global d'authentification. Avantageusement, l'ensemble des informations de la trame KFR représentative de l'authentification native autorise une 25 capacité de régénération vers son format original parmi les au moins deux formats logiques et/ou physiques que sont ceux de k1 et k2, par exemple, de la clé d'authentification codée dans la trame unique KFR. L'invention ne se limite pas au seul mode de réalisation 30 décrit, mais à tout système d'authentification global d'accès à un lieu, un produit ou un service comprenant une phase d'unification d'une clé d'accès codée dans un format natif pris parmi au moins deux formats 3044791 11 natifs différents, codée selon cette phase d'unification selon un troisième format constituant un unique format d'entrée d'un module d'authentification du système d'authentification global. 5 REVENDICATIONS1. Système d'authentification de droits d'accès comprenant : - un module ou une interface de réception de clés d'accès aléatoires, lesdites clés étant codées selon au moins deux et formats logiques et/ou physiques partiellement ou totalement distincts, et, - un module d'authentification desdites clés codées, ledit système d'authentification étant caractérisé en ce qu'il comprend en outre un module de conversion desdites clés dans un troisième format, à partir de l'un desdits au moins deux formats, ledit troisième format constituant un unique format d'entrée dudit module d'authentification. 2. Système d'authentification de droits d'accès selon la revendication 1, caractérisé en ce que ledit troisième format comprend une pluralité de champs d'informations, lesdits champs d'informations comprenant au moins, pour chacune des clés codées dans ledit troisième format : - une information représentative du format de départ parmi lesdits au moins deux formats logiques et/ou physique, - une information représentative d'un contexte de création d'une clé d'authentification, - une information représentative du caractère d'usage unique ou multiple de ladite clé. 3. Système d'authentification de droits d'accès selon la revendication 2, caractérisé en ce que l'ensemble desdits champs d'informations est compris dans une même trame de données. 3044791 13 4. Système d'authentification de droits d'accès selon la revendication 3, caractérisé en ce que ladite trame comprend au moins une information dédiée à une capacité de régénération vers son format original parmi lesdits au moins deux formats logiques et/ou physique de 5 la clé d'authentification codée dans ledit troisième format. 5. Méthode d'authentification de droits d'accès comprenant : - une réception de clés d'accès aléatoires, lesdites clés étant 10 codées selon au moins deux premier et second formats logiques et/ou physiques partiellement ou totalement distincts, et, - une authentification desdites clés codées, ladite méthode étant caractérisée en ce qu'elle comprend en outre une conversion desdites clés dans un troisième format à partir de l'un 15 desdits au moins deux formats, ledit troisième format constituant un unique format de données d'entrée pour ladite authentification. 6. Méthode d'authentification de droits d'accès selon la revendication 5, caractérisée en ce que ledit troisième format comprend 20 une pluralité de champs d'informations, lesdits champs d'informations comprenant au moins : - une information représentative du format de départ parmi lesdits au moins deux formats logiques et/ou physique, - une information représentative d'un contexte de création d'une 25 clé d'authentification, - une information représentative du caractère d'usage unique ou multiple de ladite clé. 7. Méthode d'authentification de droits d'accès selon la 30 revendication 6, caractérisée en ce que l'ensemble desdits champs d'informations est compris dans une même trame de données. 3044791 14 8. Produit programme d'ordinateur chargeable directement dans la mémoire interne d'un ordinateur comprenant des portions de code de logiciel pour l'exécution des étapes de la méthode selon l'une quelconque des revendications 5 à 7, lorsque ledit programme est 5 exécuté sur un ordinateur.