Brevet FR3091941A1 — publié le 20200724

Description Titre de l'invention : Procédé de vérification d'une authentification biométrique Domaine technique [0001] L'invention concerne un procédé de traitement de données biométriques, comprenant la comparaison entre une donnée biométrique candidate et au moins une donnée biométrique de référence. [0002] L'invention s'applique notamment à la vérification d'une authentification bio- métrique mise en oeuvre par un équipement personnel d'un individu et non par une unité de traitement considérée digne de confiance comme une unité de traitement gouvernementale. Technique antérieure [0003] On connaît déjà des schémas d'identification ou d'authentification dans lesquels une donnée biométrique fraîche est acquise sur un utilisateur (sur un dispositif « client », i.e. une borne ou un équipement personnel tel qu'un smartphone), et une unité de traitement digne de confiance, par exemple à un serveur central d'un bâtiment dans lequel l'utilisateur souhaite pénétrer, la confronte à une ou plusieurs donnée(s) biométrique(s) de référence enregistrée(s) dans une base de données à laquelle elle a accès. [0004] Ce scénario présente l'avantage que le résultat de la comparaison entre les données biométriques est réputé fiable car la comparaison est mise en oeuvre par une unité de confiance. Cependant, cette solution pose un problème de confidentialité des données personnelles des utilisateurs (ces derniers doivent accepter que leurs données soient stockées par le serveur centralisé), et de surcroit présente un grave risque de compromission de la biométrie de tous les utilisateurs en cas de piratage de la base de données du serveur centralisé. [0005] Pour éviter ce type de désagrément, on pourrait envisager un scénario alternatif dans lequel l'utilisateur s'authentifierait ou s'identifierait directement à l'aide de l'équipement client, et fournirait seulement au serveur en charge du contrôle le résultat de cette authentification ou identification. [0006] Ainsi, il a été proposé une architecture « décentralisée », dans laquelle la donnée bio- métrique de référence de l'utilisateur reste en sa possession (sur l'équipement personnel) et il ne la partage pas avec le serveur central. Le serveur centralisé attribue une clé privée à chaque utilisateur, stockée de manière sécurisé sur l'équipement client. La comparaison positive entre la donnée biométrique de référence et la donnée acquise permet d'activer la signature d'un message (à l'aide de sa clé privé) à destination du 2 serveur centralisé. Cette architecture est respectueuse en termes de données personnelle des utilisateurs, cependant elle présente toujours une faille de sécurité car une attaque sur le serveur central l'obtention d'une ou plusieurs clés) pourrait permettre de forger des messages en les associant à des utilisateurs légitimes sans que le serveur centralisé ne puisse les détecter. [0007] De surcroit, si la comparaison est réalisée par un équipement client totalement personnel tel qu'un smartphone et donc manipulablc, se pose le problème de la fiabilité du résultat de l'authentification ou de et notamment du résultat dc la comparaison entre les données biométriques qui a permis à l'utilisateur de s'authentifier ou de s'identifier. Il est en effet nécessaire de proposer un moyen pour que le serveur central en charge du contrôle puisse vérifier que le résultat est correct et que l'utilisateur n'a pas réalisé de fraude ou d'erreur dans la mise en oeuvre de la comparaison des données biométriques. [0008] Il a ainsi été récemment proposé dans la demande FR1759292 une solution très as- tucieuse dans laquelle l'utilisation d'une preuve à divulgation nulle de connaissance bien choisie permet de garantir le résultat de la comparaison au niveau de l'équipement de l'utilisateur, tout en ne donnant qu'un rôle de vérifieur aux équipements en charge du contrôle, rôle qui ne nécessite pas la connaissance des données biométriques, mais seulement de leurs empreintes cryptographiques. Il n'est donc plus nécessaire de transmettre sous quelque forme que soit les données biométriques et le respect de la vie privée de l'utilisateur est donc total. [0009] Cette solution apporte satisfaction totale dans des situations telles qu'un fran- chissement de douane dans un aéroport, mais s'avère perfectible dans une application plus générale de contrôle d'accès récurrent : en effet, il est nécessaire de transmettre la donnée biométrique candidate dans un sens ou dans l'autre (il est nécessaire que chacun du serveur et de l'équipement client en dispose), et une telle transmission pourrait être interceptée et déchiffrée. Cela ne pose pas de problème dans le cas d'un passage unique (cas de l'aéroport) mais pourrait permettre à un attaquant une usurpation d'identité dans le cas d'un passage récurrent (cas d'un salarié s'authentifiant tous les jours pour entrer dans les locaux de son entreprise). [0010] 11 serait par conséquent souhaitable de disposer d'un nouveau procédé de traitement de données biométriques pour l'authentification déléguant le calcul à un équipement personnel de l'utilisateur, qui soit totalement fiable, rapide, efficace, tout en protégeant complètement la vie privée de l'utilisateur. Exposé de l'invention [0011] Selon un premier aspect, l'invention concerne un procédé de traitement de données biométriques mis en oeuvre par une entité de preuve et une entité de vérification 3 connectées ; [0012] l'entité de preuve disposant d'une donnée biométrique candidate, d'une donnée bio- métrique de référence, d'une empreinte cryptographique de la donnée biométrique de référence, d'une empreinte cryptographique de la donnée biométrique candidate ; l'entité de vérification disposant seulement d'un ensemble d'empreintes cryptographiques de données biométriques dc référence d'utilisateurs autorisés ; [0013] le procédé comprenant des étapes dc : [0014] a. génération par des moyens de traitement de données de l'entité de preuve d'une preuve à divulgation nulle de connaissances du fait que la donnée No-métrique candidate et la donnée biométrique dc référence coïncident ; h. transmission à l'entité de vérification de ladite preuve à divulgation nulle de connaissance, de l'empreinte cryptographique de la donnée biométrique candidate, et dc l'empreinte cryptographique de la donnée biométrique de référence ; c. vérification par des moyens de traitement de données de l'entité dc véri- fication que : - la preuve à divulgation nulle de connaissance est valide, et - l'empreinte cryptographique reçue de la donnée biométrique de référence appartient audit ensemble d'empreintes cryptographiques de données biométriques de référence dont dispose l'entité dc vérification. [0015] Selon d'autres caractéristiques avantageuses et non limitatives : [0016] - l'entité de preuve ne dispose initialement que de la donnée biométrique de référence et de l'empreinte cryptographique de la donnée biométrique de référence, le procédé comprenant la mise en oeuvre par les moyens de traitement de données de l'entité de preuve d'une étape préalable (al) de : - génération de la donnée biométrique candidate à partir d'un trait biométrique fourni par des moyens d'acquisition biométrique de l'entité de preuve, et - génération de l'empreinte cryptographique de la donnée biométrique candidate obtenue ; l'étape (al) comprend l'horodatage par les moyens de traitement de données de l'entité de preuve de la donnée biométrique candidate en utilisant un marqueur temporel, l'empreinte cryptographie générée à l'étape (al) et transmise à l'étape (b) étant celle de la donnée biométrique candidate horodatée ledit marqueur temporel est un nonce généré par les moyens de traitement de données de l'entité de vérification et transmis à l'entité de preuve ; ladite preuve à divulgation nulle de connaissances du fait que la donnée No-métrique candidate et la donnée biométrique de référence coïncident est une preuve à divulgation nulle de connaissances du fait qu'étant données deux empreintes cryptographiques et un marqueur temporel, il existe une donnée biométrique de référence et une donnée biométrique candidate telles que : - La donnée biométrique de référence et la donnée biométrique candidate horodatée en utilisant le marqueur temporel donné ont pour empreintes cryptographiques respectives les empreintes cryptographiques données, - La donnée biométrique de référence et la donnée biométrique candidate coïncident ; Le procédé comprend une étape encore antérieure (a0) mise en oeuvre de : - génération par des moyens de traitement de données d'une entité d'autorité de ladite donnée biométrique de référence à partir d'un trait biométrique de référence, et sa transmission à l'entité de preuve ; - Ajout audit ensemble d'empreintes cryptographiques de données biométriques de référence d'utilisateurs autorisés de l'empreinte cryptographique de la donnée biométrique de référence générée ; l'étape (a0) comprend en outre la génération par les moyens de traitement de données de l'entité d'autorité de l'empreinte cryptographique de ladite donnée biométrique de référence générée, et sa transmission à l'entité de preuve ; et la retransmission par l'entité de preuve à l'entité de vérification de ladite empreinte cryptographique générée de ladite donnée biométrique de référence générée, pour ajout audit ensemble d'empreintes cryptographiques de données biométriques de référence d'utilisateurs autorisés ; l'entité de preuve est un équipement électronique personnel à un individu faisant partie des utilisateurs autorisés, de type terminal mobile ou carte à puce, la donnée biométrique de référence stockée dans l'entité de preuve étant celle dudit individu ; chacun desdits utilisateurs autorisés l'entité de preuve est un équipement électronique personnel à un individu, de type terminal mobile ou carte à puce, la donnée biométrique de référence stockée dans l'entité de preuve étant celle dudit individu ; le trait biométrique de référence à partir duquel ladite donnée biométrique de référence est générée à l'étape (a0) est celui de l'individu ayant l'entité de preuve ; la preuve à divulgation nulle de connaissances est un objet cryptographique de type zkSNARK ; l'étape (a) comprend la vérification préalable que la donnée biométrique candidate et la donnée biométrique de référence coïncident, la donnée biométrique candidate et la donnée biométrique de référence coïncidant si leur distance selon une fonction de comparaison donnée est inférieure à un seuil prédéterminé. [0017] Selon un deuxième aspect est proposé un ensemble de traitement de données bio- métriques comprenant une entité de preuve et une entité de vérification connectées, caractérisé en ce que : [0018] - l'entité de preuve comprend des moyens de traitement de données configurés pour générer une preuve à divulgation nulle de connaissances du fait qu'une donnée biométrique candidate et une donnée biométrique de référence coïncident, et transmettre à l'entité de vérification ladite preuve à divulgation nulle de connaissance, une empreinte cryptographique de la donnée biométrique candidate, et une empreinte cryptographique de la donnée biométrique de référence ; l'entité dc vérification comprend des moyens de traitement de données configurés pour vérifier que la preuve à divulgation nulle de connaissance est valide, et que l'empreinte cryptographique reçue de la donnée biométrique de référence appartient à un ensemble d'empreintes cryptographiques de données biométriques de référence d'utilisateurs autorisés dont dispose l'entité de vérification. [0019] Selon d'autres caractéristiques avantageuses et non limitatives, l'entité de preuve comprend des moyens d'acquisition biométrique, les moyens de traitement de données de l'entité de preuve étant en outre configurés pour générer la donnée biométrique candidate à partir d'un trait biométrique fourni par les moyens d'acquisition biométrique et l'empreinte cryptographique de la donnée biométrique candidate obtenue. [0020] Selon un troisième et un quatrième aspect, l'invention propose un produit programme d'ordinateur comprenant des instructions de code pour l'exécution d'un procédé selon le premier aspect de traitement de données biométriques ; et un moyen de stockage lisible par un équipement informatique sur lequel un produit programme d'ordinateur comprend des instructions de code pour l'exécution d'un procédé selon le premier aspect de traitement de données biométriques. Brève description des dessins [0021] D'autres caractéristiques, buts et avantages de la présente invention apparaîtront à la lecture de la description détaillée qui va suivre, au regard des figures annexées, données à titre d'exemples non limitatifs et sur lesquelles : 6 [0022] [fig.1] La figure 1 représente schématiquement un système pour la mise en oeuvre du procédé selon l'invention, [0023] [fig.2] La figure 2 représente schématiquement un mode de réalisation préféré du procédé selon l'invention. [0024] DESCRIPTION DETAILLEE D'AU MOINS UN MODE DE REALISATION DE L'INVENTION [0025] Architecture [0026] En référence à la figure 1, on a représenté schématiquement un système pour l'authentification biométrique d'individus permettant une vérification du résultat de l'authentification. [0027] Ce système comprend au moins deux équipements 1, 2. Le premier équipement 1 est l'équipement client, préférentiellement un équipement personnel à un individu, comme par exemple un téléphone mobile ou « smartphonc », une tablette électronique, un ordinateur personnel ou encore une carte à puce, comme expliqué ci-après, mais ce peut également être un équipement partagé tel qu'une borne d'accès. Il peut y avoir une pluralité de premiers équipements 1, a fortiori s'ils sont personnels. [0028] Le deuxième équipement 2 est un serveur détenu et contrôlé par une entité auprès de qui l'authentification doit être effectuée, par exemple une entité gouvernementale, douanière, une entreprise, etc. Dans la suite de la présente description on prendra l'exemple d'un serveur de contrôle d'accès d'un ou plusieurs bâtiments (par exemple celui d'une entreprise), mais on notera que le présent procédé reste utilisable dans de très nombreuses situations, par exemple pour authentifier un individu souhaitant mettre en oeuvre une transaction (la carte à puce pourrait être une carte de paiement). [0029] Comme l'on ven-a, on considèrera alors en particulier que l'on dispose d'une liste d'utilisateurs autorisés (typiquement les salariés de ladite entreprise). [0030] L'un des équipements met en oeuvre une authentification/identification sur des données biométriques, et fournit ensuite le résultat à l'autre, qui procède à la vérification de ce résultat. A ce titre, selon un schéma connu, le premier équipement 1 est une entité, dite de preuve, qui met en oeuvre l'authentification/identification et fournit le résultat au deuxième équipement 2 qui vérifie ce résultat, dit entité de vérification. [0031] Le premier équipement 1 comporte des moyens de traitement de données 11, i.e. un calculateur tel que par exemple un processeur, un microprocesseur, un contrôleur, un microcontrôleur, un FPGA etc. Ce calculateur est adapté pour exécuter des instructions de code pour mettre en oeuvre le procédé ci-après. Dans le mode de réalisation où le premier équipement 1 est une carte à puce, il peut comprendre outre la « puce » un processeur dédié pour mettre en oeuvre plus efficacement le traitement des données biométriques. [0032] Le premier équipement 1 comprend avantageusement une interface de cornmu- 7 nication lui permettant de dialoguer à distance avec le deuxième équipement 2 et d'autres équipements tel qu'un troisième équipement 3 qui est une entité dite d'autorité (par exemple le poste de travail d'un administrateur ou d'un agent gouvernemental). A noter que l'entité de vérification 2 et l'entité d'autorité 3 peuvent être confondues, même s'il est préférable de les séparer pour limiter les risques de fraude. [0033] Le premier équipement 1 peut également comprendre des moyens de stockage de données 12 (une mémoire, par exemple flash), des moyens d'acquisition biométrique 13 (voir plus loin), et éventuellement une interface utilisateur (typiquement un écran tactile). [0034] Cette interface de communication est de préférence une interface de communication sans fil, par exemple de type Wifi ou Bluetooth ou réseau de téléphonie mobile (GPRS, 3G, 4G ou autre) ou communication en champ proche NEC et/ou de tout autre réseau de communication aval. [0035] Le deuxième équipement 2 (et le cas échéant le troisième équipement 3) comporte quant à lui également des moyens de traitement de données 21 (respectivement 31), i.e. un calculateur tel que par exemple un processeur, un microprocesseur, un contrôleur, un microcontrôlcur, un FPGA etc. Ce calculateur est adapté pour exécuter des instructions de code pour mettre en oeuvre le procédé ci-après. Le deuxième équipement 2 comprend également typiquement une mémoire 22. [0036] Ces autres équipements 2, 3 comprennent avantageusement eux aussi des interfaces de communication leur permettant de dialoguer à distance entre eux et avec le premier équipement 1. [0037] Le deuxième équipement 2 et le troisième équipement 3 sont typiquement disposés à proximité (par exemple dans le bâtiment à sécuriser), et peuvent être à ce titre connectés filialement, ou bien être des équipements distants (par exemple pour contrôler plusieurs sites). [0038] De façon préférée, le premier équipement 1 est capable de générer une donnée bio- métrique à partir d'un trait biométrique d'un individu. Le trait biométrique peut par exemple être la forme du visage, une empreinte digitale, une empreinte palmaire, un iris de l'individu, etc. L'extraction de la donnée biométrique est mise en oeuvre par un traitement de l'image du trait biométrique qui dépend de la nature du trait biométrique. Des traitements d'images variés pour extraire des données biométriques sont connus de l'Homme du Métier. A titre d'exemple non limitatif, l'extraction de la donnée biométrique peut comprendre une extraction de points particuliers ou d'une forme du visage dans le cas où l'image est une image du visage de l'individu. [0039] Le premier équipement 1 comprend à ce titre des moyens d'acquisition biométrique 13, typiquement un capteur d'image, par exemple un appareil photographique numérique ou un capteur d'empreinte digitale, adapté pour acquérir au moins une 8 image d'un trait biométrique d'un individu. Dans l'exemple de la figure 1, l'équipement 1 est une carte à puce personnelle avec un capteur d'empreinte digitale 13. [0040] Dans tous les cas, la donnée biométrique de référence utilisée pour l'authentification est avantageusement une donnée pré-enregistrée en présence d'une autorité (voir plus loin), ou une donnée provenant d'un document d'identité de l'individu (image du visage figurant sur un document d'identité, ou encore une image du visage ou d'au moins un iris de l'individu enregistré dans une puce radiofréquence contenue dans le document). [0041] On note que le deuxième équipement 2 ne dispose jamais de données biornétriques d'aucune sorte, de sorte à garantir la vie privée des utilisateurs et prévenir tout risque de fuite de données personnelles même en cas de piratage. [0042] Dans un mode de réalisation préféré, l'équipement 1 est personnel (terminal mobile ou carte à puce de l'individu) et met en oeuvre une authentification de c'est-à-dire compare une donnée biométrique dite candidate, car fraichement acquise sur l'individu, à une seule biométrique dite de référence, censée provenir du même individu, afin de vérifier que l'individu à partir duquel ont été obtenues les deux données est bien le même. En effet, de façon préférée l'équipement 1 ne contient que la donnée biométrique de référence de l'individu auquel il appartient. On suppose que ledit individu (à qui un premier équipement 1 est confié pour son authentification personnelle) fait partie des utilisateurs autorisés, et ainsi dans un tel mode de réalisation, chacun des utilisateurs autorisés du système dispose avantageusement d'un équipement 1 propre. [0043] Dans un autre mode de réalisation, l'équipement 1 n'est pas personnel (par exemple une borne (l'accès) et met en oeuvre une identification de l'individu, c'est-à-dire compare la donnée biométrique candidate, à plusieurs données biométriques de référence d'individus autorisés, de sorte à déterminer qui est l'individu à partir duquel a été obtenue la donnée biométrique candidate (et s'il est autorisé). On peut cependant prévoir que l'individu déclare son identité sur l'équipement 1 (par exemple en utilisant une carte à puce personnelle), et que ce dernier mette alors en oeuvre de l'authentification, i.e. compare la donnée biométrique candidate avec uniquement la donnée biométrique de référence associée à l'individu déclaré. [0044] On préférera le premier mode de réalisation (équipement personnel), dans la mesure où il prévient tout risque de fuite de données personnelles (même si un utilisateur se fait voler son équipement personnel, au ph-e on peut accéder à sa donnée biométrique de référence, mais pas celle des autres utilisateurs : il suffit alors de renouveler cette donnée biométrique de référence pour continuer le fonctionnement nominal, sans aucun impact pour les autres utilisateurs). 9 [0045] Un cas d'application est le franchissement d'un portique de contrôle d'accès par un salarié à l'entrée d'un bâtiment d'une entreprise. Celui-ci peut utiliser son équipement personnel pour réaliser une authentification biométrique juste avant d'entrer dans le bâtiment. Puis, au moment d'atteindre le portique de contrôle d'accès, l'individu fournit le résultat au deuxième équipement 2 agissant en tant qu'entité de vérification au moyen de son équipement personnel 1. L'entité de vérification 2 ne procède alors qu'à la vérification (par exemple, si le premier équipement 1 est une carte à puce, en passant cette carte à proximité d'un lecteur NFC monté sur le portique). [0046] Enrôlement [0047] Comme expliqué, le présent procédé vise à ce que le second équipement 2 (l'entité de vérification) n'ait besoin que de se voir présentée une preuve de l'authentification de l'individu, mais pas de données biométriques. [0048] Ainsi, le prédicat de base est qu'au lancement du procédé l'entité de preuve (le premier équipement 1) dispose d'une donnée biométrique candidate, d'une donnée biométrique de référence, d'une empreinte cryptographique de la donnée biométrique de référence, d'une empreinte cryptographique de la donnée biométrique candidate, et que l'entité de vérification (le deuxième équipement 2) dispose seulement d'un ensemble d'empreintes cryptographiques de données biométriques de référence d'utilisateurs autorisés (stockée dans sa mémoire 22). [0049] Plus précisément, l'idée est que le deuxième équipement 2 dispose pour chacun d'une liste d'utilisateurs autorisés (par exemple tous les salariés) de l'empreinte cryptographique de leur donnée biométrique de référence, de sorte à constituer un index infalsifiable des utilisateurs autorisés, sans pour autant dévoiler d'information sensible aussi bien en termes de données personnelles qu'en termes de sécurité. Plus précisément, si pour une donnée biométrique de référence son empreinte appartient audit ensemble d'empreintes, c'est que l'utilisateur correspondant est autorisé. Cela implique naturellement que l'utilisateur et l'entité auprès de qui il s'identifie se soient mis d'accord sur la donnée biométrique de référence, mais en pratique cela ne pose pas de problème. [0050] On va voir que cette astuce permet d'éviter tout transfert de donnée biométrique « entière ». Par contraste, dans le procédé décrit dans la demande FR1759292 le deuxième équipement 2 devait disposer de l'empreinte cryptographique de la donnée biométrique candidate, et une transmission de la données biométrique candidate était nécessaire. [0051] Selon une première possibilité, le deuxième équipement 2 ne dispose que de l'ensemble d'empreintes cryptographiques « en tant que tel », i.e. chacune d'entre elles n'est associée à aucune identité, ce qui garantit une protection maximale de la vie privée (on n'est pas capable de savoir quel utilisateur s'authentifie). Selon une deuxième possibilité, chaque empreinte cryptographique dudit ensemble est associée à un élément d'identité en clair, par exemple le nom de la personne présentant la donnée biométrique de référence correspondante. Cette possibilité est moins respectueuse de la vie privée, mais offre un niveau de sécurité supplémentaire, car elle permet de constituer un historique des authentifications. Une troisième possibilité, préférée et qui sera décrite plus en détail plus loin, consiste à associer aux utilisateurs autorisés des identifiants anonymisés, grâce auquel on va référencer ledit ensemble d'empreintes cryptographiques. Plus précisément, il s'agit alors d'un ensemble de couples d'un identifiant unique et d'une d'empreinte cryptographique d'une donnée biométrique de référence. Cela permet à la fois une traçabilité et un respect de la vie privée. [0052] Par « empreinte cryptographique » d'une donnée biométrique (appelé également « condensat » ou « haché » de la donnée, de l'anglais « hash »), obtenue en appliquant une fonction de hachage cryptographique à la donnée (typiquement des familles SHA1 ou SHA-2, en particulier SRA-256). L'empreinte a une taille fixe et ne révèle rien sur la donnée dont elle est issue : on ne peut pas retrouver la donnée biométrique à partir de cette empreinte, en tout cas tant que la fonction de hachage utilisée est considérée comme sûre. On peut cependant recalculer l'empreinte à partir de la donnée pour vérifier qu'elle est correcte. L'empreinte de la donnée biométrique peut ainsi être transmise à tout équipement sans dévoiler d'information sur la donnée en elle-même et donc sur la vie privée de l'utilisateur correspondant. [0053] Dans un mode de réalisation préféré, le procédé comprend une étape préalable (a0) « d'enrôlement » permettant d'intégrer un individu à la liste des utilisateurs autorisés (un nouveau salarié par exemple), et ainsi la constitution progressive dudit ensemble d'empreintes cryptographiques de données biométriques de référence chacune associée à un utilisateur autorisé sur le deuxième équipement 2. [0054] Cette étape peut être mise en oeuvre longtemps avant le reste du procédé, et ne nécessite pas d'être réitérée à chaque occurrence du procédé (à noter qu'on peut prévoir de la répéter de temps à autre par sécurité et pour mettre à jour la biométrie des utilisateurs, mais cela reste optionnel). On peut ainsi considérer que ledit ensemble d'empreintes cryptographiques de données biométriques de référence d'utilisateurs autorisés est prédéfini pour la mise en oeuvre du procédé. [0055] Typiquement, cette étape est initiée au niveau de l'entité d'autorité 3 et comprend : [0056] - La génération par les moyens de traitement de données 31 de l'entité d'autorité 3 de ladite donnée biométrique de référence à partir d'un trait biométrique de référence (en particulier celui de l'individu auquel est attribuée l'entité de preuve 1 si celle-ci est un dispositif personnel), et transmission à l'entité de preuve 1 (pour stockage), ainsi que de l'empreinte cryptographique de cette donnée biométrique de référence (toujours par application d'une 11 fonction de hachage donnée) ; L'ajout audit ensemble d'empreintes cryptographiques de données biométriques de référence d'utilisateurs autorisés (de l'entité de vérification 2) de l'empreinte cryptographique de la donnée biométrique de référence générée. [0057] On comprend que l'étape (a0) comprend une transmission d'une donnée biométrique (celle de référence), mais dans la mesure où cette étape n'a besoin d'être effectuée qu'une unique fois, et ce en présence d'une autorité, le risque d'interception est quasi nul. Pour garantir une sécurité totale, on peut exiger par exemple un contact physique pour transmettre la donnée biométrique, par exemple si l'équipement 1 est une carte à puce, en l'insérant dans un lecteur. [0058] A noter que soit l'empreinte cryptographique générée par l'entité d'autorité 3 est soit également transmise à l'entité de preuve 1, soit cette dernière la génère directement à partir de la donnée biométrique de référence reçue. Par ailleurs, cette étape peut comprendre la génération d'un identifiant unique de l'individu (pour association avec l'empreinte cryptographique de la donnée biométrique de référence générée). [0059] Par ailleurs cette étape peut comprendre la transmission à l'entité de preuve d'une clé de preuve (on suppose qu'une paire d'une clé de preuve et d'une clé de vérification sont pré-générées, typiquement dépendantes du programme de vérification et sont indépendantes des biométries des utilisateurs (tous les utilisateurs auront la même clé de preuve). La clé de vérification est stockée par l'équipement de vérification 2. A noter que ces clés ne sont pas sensibles et peuvent être publiques. [0060] Ledit trait biométrique de référence peut être celui associé à un document officiel (en particulier un document (l'identité tel qu'un passeport ou une carte d'identité), ou un trait acquis directement acquis par des moyens d'acquisition biométrique de l'entité d'autorité. [0061] Par exemple, on peut envisager que pour l'enrôlement, le nouvel utilisateur se rend auprès d'un administrateur, un officier de sécurité ou un représentant de l'état qui vérifie son identité et prend son empreinte digitale en tant que trait biométrique de référence. [0062] A noter que l'étape (a0) peut comprendre l'obtention d'une signature de la donnée biométrique de référence, de son empreinte cryptographique, et/ou de l'identifiant unique correspondant par l'autorité (à nouveau un administrateur par exemple). [0063] La signature électronique de la donnée permet de garantir son intégrité et ce de façon définitive (non-répudiation), par analogie avec la signature manuscrite d'un document papier, et est bien connue de l'homme du métier. Elle est générée par l'entité d'autorité 3 et consiste généralement en un chiffré d'une empreinte de l'objet à signer. Pour cela, les moyens de traitement de données 31 de l'entité d'autorité 3 appliquent par exemple une fonction de chiffrement asymétrique à au moins l'empreinte et la retransmettent 12 ainsi chiffrée au premier équipement 1 en tant que signature. [0064] Selon un mode particulièrement préféré, dans lequel on appelle H la fonction de hachage et on suppose que l'entité d'autorité 3 dispose d'une clé privée de signature s k et d'une clé de preuve ek f ct que l'entité de vérification 2 dispose d'une clé publique de signature p k et d'une clé de vérification (ces dernières peuvent être générées au niveau de l'entité d'autorité 3 et transmises sans problème à l'entité de vérification 2, elles ne sont pas sensibles) : [0065] - les moyens de traitement de données 31 de l'entité d'autorité signent la paire (h ,id J constituée de l'empreinte cryptographique h Li = HO de la donnée de référence générée / ref,, et de l'identifiant unique id ' correspondant, et transmettent à l'entité de preuve 1 la paire (h ,id J, sa signature o-, et la clé de preuve ek. ; l'entité de preuve 1 les stocke, et renvoie les trois éléments h ,,,,id , a à l'entité de vérification 2 ; les moyens de traitement 21 de l'entité de vérification 2 vérifient la signature au moyen de la clé publique p , et si la vérification est concluante la paire (h ,id J0st ajoutée à l'ensemble d'empreintes cryptographiques des données biométriques de référence des utilisateurs autorisés. [0066] De façon générale, on comprendra que l'étape (a0) pourra être mise en oeuvre de n'importe quelle façon permettant de façon sécurisée de constituer l'ensemble d'empreintes cryptographiques des données biométriques de référence des utilisateurs autorisés, et de fournir au premier équipement 1 la donnée biométrique de référence correspondante. [0067] Obtention de la donnée bionzétrique candidate [0068] On va maintenant déciire un procédé d'authentification/identification mis en oeuvre par le système décrit ci-avant. [0069] On suppose comme expliqué que le premier équipement 1 dispose d'une donnée bio- métrique candidate, d'une donnée biométrique de référence, d'une empreinte cryptographique de la donnée biométrique candidate, d'une empreinte cryptographique de la donnée biométrique de référence, et éventuellement d'une signature de la donnée biométrique de référence par une autorité de confiance. Comme expliqué, ces dernières peuvent être obtenues préalablement lors d'une étape (a0) d'enrôlement. [0070] En ce qui concerne la donnée biométrique candidate, « fraîche », celle-ci peut être obtenue lors d'une étape préalable (al). En d'autres termes, l'entité de preuve 1 peut ne disposer initialement (i.e. à l'issue de l'étape (a0)) que de la donnée biométrique de référence et de l'empreinte cryptographique de la donnée biométrique de référence. [0071] 11 est important de comprendre que si l'étape d'enrôlement (a0) peut être mise en oeuvre des semaines avant la mise en oeuvre de l'authentification, l'étape (al) est au 13 pire mise en oeuvre quelques minutes avant le reste du procédé, pour garantir la « fraichcur » de la donnée biornétrique candidate. [0072] L'étape (al) est mise en oeuvre par les moyens de traitement de données 11 du premier équipement 1 (l'entité de preuve), et comprend tout d'abord la génération de la donnée biométrique candidate à partir d'un trait biométrique fourni par des moyens d'acquisition biornétrique 13 de l'entité de preuve 1. [0073] L'empreinte cryptographique de la donnée biométrique candidate obtenue est ensuite générée. A cc stade, l'entité de preuve 1 ne transmet aucun élément à l'entité de vérification 2, et a fortiori aucune donnée biométrique. Ainsi il n'y a rien à intercepter. [0074] De façon préférée, pour garantir la fraichcur de la donnée candidate, l'étape (al) comprend r horodatage de la donnée biométrique candidate au moyen d'un marqueur temporel (appelé « timestamp » en anglais), l'empreinte cryptographie générée étant celle de la donnée biométrique candidate horodatée. [0075] L'homme du métier saura mettre en oeuvre un tel horodatage en utilisant des techniques connues, et avantageusement on utilise comme marqueur temporel un nonce (i.e. un nombre arbitraire, c'est-à-dire un aléa, à usage unique, de l'anglais « number uscd once »). [0076] Plus précisément, de manière préférée, sur requête de l'entité de preuve 1 (par exemple en lui envoyant son identifiant unique id J, les moyens de traitement de données 21 de l'entité de vérification 2 génèrent un nonce [0077] [Math. I] ieence? E f et le transmettent à l'entité de preuve 1. Alors, en notant t la donnée biométrique candidate acquise, les moyens de traitement de données 11 de l'entité de preuve génèrent l'empreinte cryptographique h 2, = H(t ,;,I1Nonce ) de la donnée biométrique candidate horodatée t,,f I 'Nonce . [0078] On remarque que les seuls éléments échangés sont au pire un identifiant unique et le nonce, qui ne sont pas sensibles. A noter que si on veut éviter toute interactivité, l'entité de vérification 2 peut par exemple broadcaster des nonces à intervalles réguliers, par exemple un toutes les minutes. On peut même envisager le même générateur de nonces installé sur l'entité de preuve 1 et l'entité de vérification 2 (les deux générateurs étant synchronisés et utilisant un même secret), de sorte qu'à un instant donné le même nonce soit disponible sur les deux équipements. [0079] Procédé d'authentification [0080] La partie authentification du présent procédé est non-interactive, c'est-à-dire qu'il ne nécessite qu'un « aller » d'information de l'entité de preuve 1 vers l'entité de vérification 2, et pas de « retour ». Et surtout comme expliqué, l'entité de vérification ne 14 va recevoir ni la donnée biométrique candidate ni la donnée biométrique candidate (ni aucune donnée permettant de remonter jusqu'à ces dernières), bien qu'il soit pourtant possible pour l'entité de vérification de savoir avec certitude si les données biométriques candidate et de référence coïncident. De surcroit, toutes les données transmises ne sont pas sensibles, et pourraient être interceptées sans que cela ne pose de problème. [0081] Pour cela, on utilise un protocole cryptographique générant une « preuve » que la donnée biométrique candidate et la donnée biométrique de référence coïncident, cette preuve ne révélant rien d'autre que le fait que ces données biométriques sont bien possédées par le producteur de la preuve. [0082] Le protocole Pinocchio présenté dans la publication « Bryan Parno, Craig Gentry, Ion Howell, and Mariana Raykova, Pinocchio: Ncarly Practical Verifiable Computation, in Proceedings of the IEEE Symposium on Security and Privacy. IEEE, 21 May 2013 » a été un des premiers protocoles de calcul vérifiable permettant à l'exécutant de calculer de manière vérifiable l'application d'une fonction quelconque et au donneur d'ordre de vérifier la preuve associée en un temps de calcul inférieur à celui nécessaire pour réaliser le calcul lui-même. [0083] Dans une première étape (a), les moyens de traitement de données 11 de l'entité de preuve 1 génèrent pour cela d'une preuve à divulgation nulle de connaissances du fait que la donnée biométrique candidate et la donnée biométrique de référence coïncident, avantageusement en utilisant la clé de preuve fournie lors de l'enrôlement. [0084] Plus précisément, ladite preuve à divulgation nulle de connaissances garantit l'affirmation suivante : « étant données deux empreintes cryptographiques, il existe une donnée biométrique de référence et une donnée biométrique candidate ayant pour empreintes cryptographiques respectives les empreintes cryptographiques données, et coïncidant ». [0085] Dans le cas où l'on a utilisé un marquer temporel tel qu'un nonce, la preuve à di- vulgation nulle de connaissance garantit plus précisément l'affirmation suivante : étant données deux empreintes cryptographiques h Li, h 2,, et un nonce Nonce B,, , il existe une donnée biométrique de référence t,.1,1 et une donnée biométrique candidate t telles que la donnée biométrique de référence t et la données biométrique candidate horodatée avec le nonce t IINonce 8,, ont pour empreintes cryptographiques respectives les empreintes cryptographiques données, i.e. h » = H(t ) et h 2» = H(t IINonce ), et coïncidant ». [0086] Ainsi, on peut lier les deux empreintes cryptographiques aux données biométriques candidate et de référence mais on ne peut pas obtenir d'informations sur le contenu de ces données biométriques. Le protocole cryptographique donne une preuve rapide à vérifier (moins (l'une demi-seconde) et qu'on ne peut pas falsifier : il est quasi im- possible (probabilité inférieure à 1/280, voire inférieur à 1/2128 selon les paramètres choisis pour réaliser la preuve, celle-ci étant alors plus lente à réaliser) de faire accepter une preuve de l'affirmation ci-dessus si le processus ne s'est pas déroulé conformément à ce qui est spécifié. [0087] Dans la réalisation de la preuve, l'entité de preuve 1 utilise la possibilité de réaliser des preuves à divulgation nulle de connaissance pour cacher les données biométriques. Ainsi la preuve ne donne aucune information sur les données biométriques elles-mêmes. [0088] Naturellement, l'étape (a) comprend avantageusement la vérification préalable que la donnée biométrique candidate et la donnée biométrique de référence coïncident (toujours sur l'entité de preuve 1, c'est-à-dire le terminal personnel de l'utilisateur) en comparant la donnée biométrique candidate et la donnée biométrique de référence. [0089] En effet, de façon connue, la donnée biométrique candidate et la donnée biométrique de référence coïncident si leur distance selon une fonction de comparaison donnée est inférieure à un seuil prédéterminé. [0090] Ainsi, la mise en oeuvre de la comparaison comprend le calcul d'une distance entre les données, dont la définition varie en fonction de la nature des données biométriques considérées. Le calcul de la distance comprend le calcul d'un polynôme entre les composantes des données biométriques, et avantageusement le calcul d'un produit scalaire. [0091] Par exemple, dans le cas où les données biométriques ont été obtenues à partir d'images d'iris, une distance classiquement utilisée pour comparer deux données est la distance de Hamming. Dans le cas où les données biométriques ont été obtenues à partir d'images du visage d'individu, il est courant d'utiliser la distance euclidienne. [0092] Ce type de comparaison est connu de l'Homme du Métier et ne sera pas décrit plus en détails ci-avant. [0093] L'individu est authentifié si la comparaison révèle un taux de similarité entre la donnée candidate et la donnée de référence excédant un certain seuil, dont la définition dépend de la distance calculée. Mathématiquement, d(t reti ,t )