Brevet FR3151922A1 — publié le 20250207

Procédé comprenant : réception (208) d’une première donnée biométrique et d’une requête demandant si la première donnée biométrique est référencée dans une base de données (DBB), la base de données comprenant des données biométriques de référence associées à des ensemble d’aléas respectifs qui sont disjoints ; recherche (210) d’une deuxième donnée biométrique correspondant à la première donnée biométrique dans la base ; génération (212) d’une réponse à la requête contenant un aléa satisfaisant les conditions suivantes : lorsque la deuxième donnée biométrique est trouvée lors de la recherche, l’aléa est un élément de l’ensemble d’aléas associé à la deuxième donnée biométrique, lorsque la deuxième donnée biométrique n’est pas trouvée lors de la recherche, l’aléa n’appartient à aucun des ensembles d’aléas, l’aléa est différent d’un précédent aléa contenu dans une précédente réponse à une précédente requête demandant si une précédente donnée biométrique est référencée dans la base. Figure pour l’abrégé : Fig. 2 procédé mis en œuvre par une unité de traitement ayant accès à une base de données biométrique DOMAINE DE L'INVENTION La présente invention concerne un procédé mis en œuvre par une unité de traitement ayant accès à une base de données biométrique. ETAT DE LA TECHNIQUE Pour sécuriser l’embarquement de passagers à bord d’un avion, une solution envisagée est de constituer une base de données des passagers avant l’embarquement. Une telle base de données est par exemple réalisée à partir de données biométriques. L’identité des passagers peut être contrôlée avant embarquement en interrogeant une telle base de données. Une telle interrogation consiste généralement à transmettre une requête demandant si une donnée biométrique est référencée dans la base de données. La requête est traitée par une unité de traitement disposant d’un accès au contenu de la base de données. En réponse à la requête, l’unité génère une réponse qui indique si oui ou non la donnée biométrique est référencée ou non dans la base de données. Toutefois, un attaquant pourrait tenter de deviner si un individu est un passager ou non d’un vol, en soumettant à l’unité de traitement une donnée biométrique de l’individu et en générant une requête dans le format attendu par l’unité de traitement. En multipliant des requêtes sur un grand nombre de données biométriques se rapportant à des individus différents, et en analysant le contenu des réponses fournies par l’unité de traitement, l’attaquant pourrait même arriver à la conclusion qu’un individu va embarquer sur un vol donné. Un but de l’invention est de rendre une base de données biométrique plus robustes à des attaques par requêtes, de telle sorte qu’il soit plus difficile pour un attaquant de déterminer si un individu est référencé ou non dans une telle base de données. Ce but est atteint par un procédé mis en œuvre par une unité de traitement, comprenant des étapes de : réception d’une première donnée biométrique et d’une requête demandant si la première donnée biométrique est référencée dans une base de données, la base de données comprenant des données biométriques de référence associées à des ensemble d’aléas respectifs qui sont disjoints, chaque ensemble d’aléas comprenant une pluralité d’aléas, recherche d’une deuxième donnée biométrique qui correspond à la première donnée biométrique parmi les données biométriques de référence, génération d’une réponse à la requête, la réponse contenant un aléa satisfaisant les conditions suivantes : lorsque la deuxième donnée biométrique est trouvée lors de la recherche, l’aléa est un élément de l’ensemble d’aléas associé à la deuxième donnée biométrique, lorsque la deuxième donnée biométrique n’est pas trouvée lors de la recherche, l’aléa n’appartient à aucun des ensembles d’aléas associés aux données biométriques de référence, l’aléa est différent d’un précédent aléa contenu dans une précédente réponse à une précédente requête demandant si une précédente donnée biométrique est référencée dans la base de données biométriques, aussi bien lorsque le précédent aléa est un élément d’un des ensembles d’aléas que lorsque le précédent aléa n’appartient à aucun des ensembles d’aléas. Le procédé proposé peut également comprendre les caractéristiques optionnelles suivantes, prises seules ou en combinaison à chaque fois que cela est possible techniquement. De préférence, le procédé comprend les étapes suivantes mises en œuvre pour toute donnée biométrique de référence, lors d’un enrôlement de la donnée biométrique de référence dans la base de données : génération d’une donnée représentative de l’ensemble d’aléas associé à la donnée biométrique de référence, mémorisation, dans la base de données, de la donnée générée. De préférence, pour toute donnée biométrique de référence, la donnée représentative de l’ensemble d’aléas associé à la donnée biométrique de référence est constituée par l’ensemble d’aléas associé à la donnée biométrique de référence. De préférence, le procédé comprend l’étape suivante réalisée pour toute donnée biométrique de référence à l’issue de l’enrôlement de la donnée biométrique de référence: commander la transmission à un système de contrôle de la donnée représentative de l’ensemble d’aléas associé à la donnée biométrique de référence. De préférence, lorsque la deuxième donnée biométrique n’est pas trouvée lors de la recherche, l’aléa inclus dans la réponse est généré par l’unité de traitement après l’étape de recherche. Il est également proposé un procédé de contrôle d’identité mis en œuvre par un système de contrôle communiquant avec une unité de traitement configurée pour mettre en œuvre le procédé susmentionné, le procédé de contrôle d’identité comprenant les étapes suivantes : pour toute donnée biométrique de référence, réception d’une donnée représentative de l’ensemble d’aléas associé à la donnée biométrique de référence, à l’issue d’un enrôlement de la donnée biométrique de référence dans la base de données, et mémorisation de la donnée représentative de l’ensemble d’aléas associé à la donnée biométrique de référence dans une mémoire, transmission à l’unité de traitement de la requête demandant si la première donnée biométrique est référencée dans une base de données, réception de la réponse à la requête, vérification de l’existence dans la mémoire d’une donnée représentative d’un ensemble d’aléas qui comprend l’aléa contenu dans la réponse. De préférence: les données biométriques de référence se rapportent à des individus de référence disposant d’un droit d’accès à une zone sécurisée, etla première donnée biométrique se rapporte à un individu souhaitant accéder à la zone sécurisée. Il est en outre proposé un produit programme d'ordinateur comprenant des instructions de code de programme pour l'exécution des étapes de l’un quelconque des procédés susmentionnés, lorsque ce programme est exécuté par une unité traitement. Il est encore proposé un mémoire lisible par ordinateur stockant des instructions exécutables par l’ordinateur pour l’exécution des étapes de l’un quelconque de ces procédés. Il est également proposé un système de gestion de données biométriques comprenant : Une interface de communication configurée pour : recevoir une première donnée biométrique, et une requête demandant si la donnée biométrique est référencée dans une base de données, la base de données comprenant des données biométriques de référence associées à des ensembles d’aléas respectifs qui sont disjoints, chaque ensemble d’aléas comprenant une pluralité d’aléas, émettre une réponse à la requête, une unité de traitement configurée pour : rechercher une deuxième donnée biométrique qui correspond à la première donnée biométrique parmi les données biométriques de référence, générer la réponse à la requête, la réponse contenant un aléa, dans lequel l’aléa satisfait les conditions suivantes : lorsque la deuxième donnée biométrique est trouvée lors de la recherche, l’aléa est un élément de l’ensemble d’aléas associé à la deuxième donnée biométrique, lorsque la deuxième donnée biométrique n’est pas trouvée lors de la recherche, l’aléa n’appartient à aucun des ensembles d’aléas associés aux données biométriques de référence, l’aléa est différent d’un précédent aléa contenu dans une précédente réponse à une précédente requête demandant si une précédente donnée biométrique est référencée dans la base de données, aussi bien lorsque le précédent aléa fait partie d’un des ensembles d’aléas que lorsque le précédent aléa n’appartient à aucun des ensembles d’aléas associés aux données biométriques de référence. Il est encore proposé un système comprenant : Un système de gestion conforme à la définition qui précède, et Un dispositif de contrôle comprenant : Une interface de communication configurée pour : pour toute donnée biométrique de référence contenue dans la base de données, recevoir une donnée représentative de l’ensemble d’aléas associé à la donnée biométrique de référence, à l’issue d’un enrôlement de la donnée biométrique de référence dans la base de données, envoyer la requête au système de gestion, recevoir la réponse à la requête, Une mémoire pour mémoriser les données représentatives reçues par l’interface de communication, Une unité de traitement configurée pour vérifier l’existence dans la mémoire d’une donnée représentative d’un ensemble d’aléas qui comprend l’aléa contenu dans la réponse. DESCRIPTION DES FIGURES D’autres caractéristiques, buts et avantages de l’invention ressortiront de la description qui suit, qui est purement illustrative et non limitative, et qui doit être lue en regard des dessins annexés sur lesquels : La illustre de façon schématique un système selon un mode de réalisation de l’invention. La est un organigramme d’étapes d’un procédé selon un mode de réalisation de l’invention. Sur l’ensemble des figures, les éléments similaires portent des références identiques. DESCRIPTION DETAILLEE DE L'INVENTION En référence à la , un système comprend un dispositif de contrôle 1 et un système de gestion de données biométriques 2. Le dispositif de contrôle 1 a pour fonction, entre autres, de contrôler l’identité d’individus. Le dispositif de contrôle 1 comprend une unité de traitement de données 10, une interface de communication 12 pour communiquer avec le système de gestion 2, et une mémoire 14. L’unité de traitement de données 10 est configurée pour mettre en œuvre certaines étapes d’un procédé de contrôle d’identité qui sera décrit plus loin. Par exemple, l’unité de traitement de données 10 comprend au moins un processeur configuré pour exécuter les instructions de code d’un programme de manière à mettre en œuvre ces étapes. L’interface de communication 12 est par exemple de type radio sans fil, et utilise un protocole de communication quelconque (Wi-Fi, Bluetooth, etc.). En variante, l’interface de communication est filaire (par exemple Ethernet). La mémoire 14 est adapté pour mémoriser des données. Elle est de type quelconque (Flash, EEPROM, disque dur, SSD, etc.). La mémoire 14 comprend une base de données d’identité DBI. Comme on le verra par la suite, cette base de données d’identité a vocation à contenir des informations relatives à l’identité d’individus en association avec des ensembles d’aléas. Le dispositif de contrôle 1 comprend par ailleurs une unité d’acquisition de données biométrique 16. L’unité d’acquisition 16 peut comprendre une caméra configurée pour acquérir des images montrant le visage d’un individu, et pour extraire des données biométriques de telles images. Alternativement, l’unité d’acquisition 16 comprend un capteur d’empreinte digitale et/ou un capteur d’iris. Dans un mode de réalisation, le dispositif de contrôle 1 comprend en outre un portique 18 pouvant être fermé pour empêcher un individu d’accéder à une zone sécurisée, et être ouvert pour autoriser un tel accès. L’unité de traitement de données 10 est en particulier configurée pour commander l’ouverture et la fermeture du portique 18. Par exemple, le dispositif de contrôle 1 se trouve dans un aéroport, et la zone sécurisée est une zone d’embarquement ; dans cette application particulière, les individus souhaitant accéder à la zone d’embarquement sont les passagers d’un vol, dont l’identité est à contrôler avant d’embarquer. Par ailleurs, le système de gestion 2 comprend une unité de traitement de requêtes 20, une interface de communication 22 pour communiquer avec le dispositif de contrôle 1, et une mémoire 24. Les informations fournies ci-dessus à propos de l’unité de traitement de données 10 et de l’interface de communication 12 sont applicables également à l’unité de traitement 20 et à l’interface de communication 22. La mémoire 24 stocke une base de données biométriques DBB. La base de données DBB contient des données biométriques de référence se rapportant à des individus précédemment enrôlés. De préférence, les données biométriques de référence ne sont pas en clair dans la base de données, mais sont au contraire protégées en confidentialité, c’est-à-dire sont une forme chiffrée, grâce à un procédé de chiffrement connu de l’état de la technique. Aucune information sur l’identité des individus enrôlés n’est stockée dans la base de données biométrique DBB (nom, prénom, date de naissance, lieu de naissance, adresse, etc.), les données biométriques de référence mises à part. Chaque donnée biométrique de référence est associée, dans la base de données DBB, avec un ensemble d’aléas propre à la donnée biométrique de référence. Chaque ensemble d’aléas comprend une pluralité d’aléas. Dans la présente divulgation, un aléa désigne une donnée générée aléatoirement ou dépendant d’une donnée générée aléatoirement. Les ensembles d’aléas sont tous disjoints. Par disjoints, on veut dire que les ensembles d’aléas n’ont aucun élément (aléa) en commun. Autrement dit, un aléa constituant un élément d’un ensemble d’aléa donné n’appartient à aucun des autres ensembles d’aléas. L’association susmentionnée entre données biométriques de référence et ensembles d’aléas est à prendre au sens large, et n’implique pas forcément que les ensembles d’aléas soient stockés tels quels dans la base de données biométrique DBB. En effet, la base de données DBB peut contenir des données représentatives d’ensembles d’aléas, une donnée représentative d’un ensemble d’aléas peut certes être constituée par les aléas de l’ensemble en question, mais pas forcément. Chaque donnée biométrique de référence est ainsi mémorisée, dans la base de données DBB, en association avec une donnée représentative d’un ensemble d’aléas propre à la donnée biométrique. En définitive, si la base de donnée DBB contient N données biométriques de référence, alors elle contient également des données représentatives de N ensembles d’aléas respectivement associés aux données biométriques de référence. L’unité de traitement de requêtes 20 est configurée pour traiter des requêtes émanant d’un émetteur, en particulier du dispositif de contrôle 1, ces requêtes visant à savoir si une donnée biométrique est référencée ou non dans la base de données biométrique DBB. L’unité de traitement 20 est configurée pour répondre à une requête de ce type par une réponse. De préférence, cette réponse est elle-même protégée en confidentialité. En d’autres termes, la réponse est de préférence un chiffré, qu’il faut encore déchiffrer pour savoir si la donnée biométrique fournie avec la requête initiale était bien référencée dans la base de données biométriques. En référence à la , un procédé utilisant le système décrit précédemment comprend deux phases : une phase d’enrôlement et une phase de contrôle. Par convention, les étapes mises en œuvre par le dispositif de contrôle 1 sont collectivement appelées procédé 100, et les étapes mise en œuvre par le système de gestion sont collectivement appelées procédé 200. Au cours de la phase d’enrôlement, des individus acquièrent un droit. Dans ce qui suit, on détaillera une application dans laquelle ce droit est un droit d’accéder à la zone sécurisée décrite précédemment. On se place donc dans l’application où le dispositif de contrôle 1 a pour fonction de conditionner un accès physique à la zone sécurisée pour des individus. A des fins d’illustrations, on supposera que cette zone sécurisée est une zone d’embarquement dans un aéroport, et que l’utilisateur souhaite acquérir un billet pour un vol. On suppose dans un premier temps que la base de données biométrique DBB est vide. Un utilisateur fournit au dispositif de contrôle 1 des informations sur son identité (nom, prénom, etc.), et fournit au dispositif de gestion 2 une donnée biométrique D qui se rapporte à cet utilisateur au cours de la phase d’enrôlement. Par exemple, l’utilisateur transmet ces données via un terminal qu’il possède, par exemple un smartphone, une tablette ou un ordinateur personnel. La donnée biométrique D est par exemple acquise par un capteur du terminal de l’utilisateur. Dans une étape 202, le dispositif de gestion 2 reçoit la donnée biométrique D se rapportant à l’individu, et une requête d’enrôlement RE de la donnée biométrique D. Cette requête d’enrôlement RE peut être relayée par le dispositif de contrôle 1 ou non. L’unité de traitement de requêtes 20 traite la requête d’enrôlement RE comme suit. Dans une étape 204, l’unité de traitement 20 génère une donnée A représentative d’un ensemble d’aléas. L’ensemble d’aléas comprend une pluralité d’aléas de valeurs différentes {A1, …, Ai, …, AM}. Dans un premier mode de réalisation de l’étape 204, la donnée A représentative de l’ensemble d’aléas peut être l’ensemble d’aléas lui-même, c’est-à-dire les M aléas A1, …, Ai, …, AM directement. Dans un deuxième mode de réalisation de l’étape 204, la donnée A représentative de l’ensemble d’aléas comprend au moins une donnée à partir de laquelle l’ensemble d’aléas peut être reconstitué par un traitement de reconstruction connu de l’unité de traitement 20. Dans une étape 206, l’unité de traitement 20 commande l’ajout, dans la base de données biométrique DBB, de la donnée biométrique D reçue en association avec la donnée A représentative de l’ensemble d’aléas {A1, …, Ai, …, AM} générée à l’étape 204. La donnée biométrique D reçue devient alors une donnée biométrique de référence, enrôlée. Dans une étape 207, le système de gestion 2 envoie au dispositif de contrôle 1 la donnée A représentative de l’ensemble d’aléas associée à la donnée biométrique D, en réponse à la requête d’enrôlement de la donnée biométrique D. Ainsi, dans le premier mode de réalisation, le système de gestion transmet en guise de donnée A l’ensemble formé par les M aléas A1, …, Ai, …, AM générés pour la donnée biométrique D. Dans le deuxième mode de réalisation, les M aléas ne sont pas envoyés au dispositif de contrôle 1, mais le dispositif de contrôle 1 est capable de reconstituer au besoin l’ensemble d’aléas {A1, …, Ai, …, AM} en utilisant le même traitement de reconstruction que celui utilisé par le système de gestion 2. Le deuxième mode de réalisation a pour avantage de nécessiter moins de ressource de stockage et de bande passante que le premier mode de réalisation. En effet, le volume de la donnée représentative de l’ensemble d’aléas est moindre. Dans une étape 102, le dispositif de contrôle 1 reçoit la donnée A. Dans une étape 104, Le dispositif de contrôle 1 mémorise dans la base de données d’identité DBI la donnée A représentative de l’ensemble d’aléas, en association avec des informations relatives à l’identité de l’individu auquel la donnée biométrique D se rapporte, que l’individu a préalablement fournies (nom, prénom, adresse, etc.). Les étapes qui précèdent sont répétées pour chaque nouvel utilisateur souhaitant être enrôlé. A chaque nouvelle mise en œuvre de l’étape de génération 204, une nouvelle donnée A représentative d’un nouvel ensemble d’aléas est générée. Tout nouvel ensemble d’aléas vérifie les contraintes de disjonction discutées précédemment, c’est-à-dire que tous les aléas qu’il contient n’apparaissent dans aucun ensemble d’aléas représenté par une donnée A antérieurement générée, lors d’une précédente mise en œuvre de l’étape 204. A l’issue de la phase d’enrôlement, N individus ont été enrôlés. En conséquence, N données biométriques de référence se rapportant respectivement à ces individus sont présentes dans la base de données biométrique DBB, en association avec N données A représentatives de N ensembles d’aléas qui sont tous disjoints. Par ailleurs, les N données A représentatives de N ensembles d’aléas sont également stockées dans l’autre base de données DBI en association avec des informations relatives à l’identité des individus. Au cours d’une phase de contrôle ultérieure à la phase d’enrôlement, des individus se prévalent du droit susmentionné. Pour cela, l’un de ces individus se présente à proximité du dispositif de contrôle 1. Dans une étape 106, le dispositif de contrôle 1 acquiert une donnée biométrique D de l’individu, que l’on appelle par convention « première donnée biométrique ». Cette étape peut être réalisée à l’aide de l’unité d’acquisition biométrique du dispositif de contrôle 1. En variante, si l’individu de référence est en possession d’un terminal, ce terminal peut acquérir la première donnée biométrique D et ensuite la transmettre au dispositif de contrôle 1. Dans une étape 108, le dispositif envoie au système de gestion 2 la première donnée biométrique D et une requête R demandant si la première donnée biométrique D est référencée dans la base de données biométrique DBB. L’unité de traitement de requêtes 20 reçoit la requête R dans une étape 208, et applique le traitement qui suit à cette requête R. Dans une étape 210, l’unité de traitement de requêtes 20 recherche, dans la base de données biométrique DBB, une donnée biométrique de référence qui correspond à la première donnée biométrique visée par la requête R. Par convention, on appelle « deuxième donnée biométrique » une donnée biométrique de référence D’ qui correspond à la première donnée biométrique. L’étape 210 est connue de l’état de la technique. Cette étape 210 peut comprend le calcul d’une métrique représentative d’une distance entre la donnée biométrique D et une donnée biométrique de référence, et la comparaison de cette distance avec un seuil prédéfini. Si la distance est inférieure au seuil, alors il est considéré que les deux données biométriques comparées correspondent. Dans le cas contraire, il est considéré que les deux données biométriques ne correspondent pas, et les étapes de calcul et de comparaison sont répétées pour une autre donnée biométrique de référence contenue dans la base de données biométrique DBB. La recherche 210 aboutit à deux résultats possibles : soit la deuxième donnée biométrique D’ est trouvée, soit la deuxième donnée biométrique D’ n’est pas trouvée (c’est-à-dire qu’aucune donné biométrique de référence contenue dans la base de données biométrique DBB ne correspond à la première donnée biométrique D). Dans une étape 212, l’unité de traitement 20 génère une réponse à la requête, la réponse comprenant un aléa. Cette étape 212 est réalisée quel que soit le résultat de la recherche 210. L’aléa inclus dans la réponse générée à l’étape 212 satisfait les conditions suivantes : Lorsque la deuxième donnée biométrique D’ est trouvée lors de la recherche, l’aléa est un élément de l’ensemble d’aléas associé à la deuxième donnée biométrique. Lorsque la deuxième donnée biométrique D’ n’est pas trouvée lors de la recherche, l’aléa n’appartient à aucun des ensembles d’aléas. L’aléa est différent d’un précédent aléa contenu dans une précédente réponse à une précédente requête demandant si une précédente donnée biométrique est référencée dans la base de données biométriques de référence, aussi bien lorsque le précédent aléa est un élément d’un des ensembles d’aléas que lorsque le précédent aléa n’appartient à aucun des ensembles d’aléas. Dans le cas a), l’unité de traitement 20 sélectionne simplement l’un des aléas de l’ensemble représenté par la donnée A associée à la donnée D’, cette donnée A ayant été générée lors de la phase d’enrôlement. De préférence, dans le cas b), l’aléa est généré par l’unité de traitement 20 suite à l’étape de recherche 210. Quel que soit le résultat de la recherche 210 (cas a) ou cas b)), l’aléa inclus dans la réponse est toujours codé sur le même nombre de bits, de préférence au moins 16 bits, voire au moins 32 bits. Comme indiqué précédemment, il est aisé d’obtenir un aléa satisfaisant la condition de non-appartenance énoncée dans le cas b) lorsque cet aléa est codé sur un nombre de bits élevé. Dans une étape 214, le système de gestion 2 transmet la réponse à l’émetteur de la requête, autrement au dispositif de contrôle 1. Dans une étape 110, le dispositif de contrôle 1 reçoit la réponse contenant l’aléa. Dans une étape 112, le dispositif de contrôle 1 vérifie si l’aléa contenu dans la réponse est référencé dans la base de données DBI, c’est-à-dire si l’aléa contenu dans la réponse fait partie de l’un des N ensembles d’aléas qui sont représentés par les données A mémorisées dans la base de données DBI. Dans le premier mode de réalisation discuté précédemment, l’unité de traitement 10 compare simplement l’aléa reçu dans la réponse avec un aléa mémorisé dans la mémoire 14, et répète cette étape jusqu’à trouver un aléa mémorisé dans la base de données DBI qui est égal à l’aléa contenu dans la réponse ou jusqu’à ce que tous les ensembles d’aléas soit parcourus. Dans le deuxième mode de réalisation, l’unité de traitement 10 applique le traitement de reconstruction pour reconstituer un ensemble d’aléas, avant de comparer l’aléa reçu avec les aléas de l’ensemble reconstitué. Ces étapes sont répétées jusqu’à trouver un aléa mémorisé dans la base de données DBI qui est égal à un aléa reconstitué ou jusqu’à ce que tous les ensembles d’aléas aient été reconstitués et parcourus. Si, au cours de la vérification 112, le dispositif de contrôle 1 constate que l’aléa reçu dans la réponse est référencé dans la base de données d’identité DBI, alors il est considéré que l’individu auquel se rapporte la première donnée biométrique D dispose bien du droit qu’il souhaite exercer (en l’occurrence, accéder à la zone sécurisée). L’unité de traitement 10 commande alors automatiquement l’ouverture du portique 18, de sorte à permettre à l’individu d’accéder à la zone sécurisée. Si au cours de la vérification 112 le dispositif de contrôle 1 constate au contraire que l’aléa reçu n’est pas référencé dans la base de données d’identité DBI, alors il y a présomption que l’individu auquel se rapport la première donnée biométrique ne dispose pas du droit qu’il souhaite exercer (en l’occurrence, accéder à la zone sécurisée). L’unité de traitement 10 ne commande alors pas automatiquement l’ouverture du portique 18, empêchant ainsi l’individu d’accéder à la zone sécurisée. Dans ce deuxième cas, un contrôle manuel de l’identité de l’individu peut éventuellement être réalisé à titre complémentaire, en demande à l’utilisateur de fournir une pièce d’identité (carte d’identité, passeport ou autre), et vérifier si la base de données contient des informations d’identité correspondant aux informations consignées dans la pièce d’identité (nom, prénom, etc.). Les étapes qui précèdent sont répétées à chaque fois qu’un nouvel individu se prévaut du droit susmentionné. Tentative d’accès par un attaquant à la base de données Supposons maintenant qu’un attaquant cherche à obtenir des informations sur le contenu de la base de données biométrique DBB, en interrogeant le système de gestion 2 par des requêtes successives, et en analysant les réponses correspondantes retournées par le système de gestion 2. On suppose que l’attaquant a réussi à obtenir des données biométriques se rapportant à des individus, et connaît le format des requêtes que l’unité de traitement 20 a vocation à traiter. A l’aide d’un terminal, l’attaquant envoie au système de gestion 2 une donnée biométrique et une requête demandant si la donnée biométrique est référencée dans la base de données, au format attendu par le système de gestion 2, et répète cette étape plusieurs fois, comme lors de l’étape 108 mise en œuvre par le dispositif de contrôle 1. Le système de gestion 2 traite chaque requête conformément aux étapes 210, 212, 214 décrites précédemment. L’attaquant, émetteur des requêtes, reçoit dont une succession de réponses. Cette succession de réponse ne fournit à l’attaquant aucune information utile. Premièrement, chaque réponse que l’attaquant reçoit contient un aléa, aussi bien dans le cas où la donnée biométrique testée par l’attaquant est réellement présente dans la base de données DBB (condition a) que dans le cas contraire (condition b). Deuxièmement, toutes les réponses que l’attaquant reçoit successivement contiennent, par construction, des aléas différents (condition c). En effet, à chaque nouvelle requête, l’unité de traitement « puise » dans un ensemble d’aléa une valeur d’aléa n’ayant pas déjà été utilisée précédemment et retournée en réponse à une précédente requête. On note que l’aléa peut être puisé dans un ensemble d’aléas ayant été associé à une donnée biométrique de référence (si, par chance, l’attaquant a réussi à mettre la main sur une donnée biométrique se rapportant à un individu enrôlé dans la base de données biométrique DBB) ou non (lorsque la donnée biométrique soumise par l’attaquant se rapport à un individu qui n’est pas référencé dans la base de données biométrique DBI). Du point de vue de l’attaquant, le comportement du système de gestion est similaire dans les deux cas. Ce principe n’empêche aucunement le dispositif de contrôle 1 de mener à bien ultérieurement la phase contrôle d’identité discuté précédemment (étapes 110, 112, 114). Si d’aventure le système de gestion 2 a été amené à répondre à des requêtes d’un attaquant entre la phase d’enrôlement et la phase de contrôle, le système de gestion 2 va tout de même fournir au dispositif de contrôle 1 un aléa satisfaisant les conditions a), b), c), la seule différence résidant potentiellement dans la valeur de l’aléa retourné. Par exemple, le dispositif de contrôle 1 va recevoir l’aléa A1 associé à un individu enrôlé en guise de réponse à l’étape 110, dans le cas où aucune attaque intercalaire n’a été réalisée. En revanche, si deux attaques intercalaires sont réalisées avec deux données biométriques qui s’avèrent se rapporter à un individu enrôlé, l’attaquant va recevoir les aléas A1, A2 en guise de réponses, et le dispositif de contrôle 1 recevra à l’étape 110 l’aléa A3 en guise de réponse à une requête se fondant une sur une donnée biométrique du même individu. Bien entendu, cet exemple suppose que l’indice i associé à une donnée biométrique s’incrémente, mais l’intervalle des entiers de longueur M peut être parcouru par d’autres logique (notamment par décrémentation). Une situation qui peut se produire est celle dans laquelle l’unité de traitement 20 se fait interroger un nombre tellement élevé de fois (par exemple par un attaquant) que l’ensemble d’aléas {A1, …, Ai, …, AM} associé à l’une des données biométriques de référence est entièrement « consommé ». Dans ce cas, deux politiques peuvent être mises en œuvre. Selon une première politique, l’unité de traitement 20 met à nouveau en œuvre les étapes 204, 206, 207, de sorte à transmettre au dispositif de contrôle 1 une nouvelle donnée A’ associée à la donnée biométrique concernée (le dispositif de contrôle 1 répète lui aussi les étapes 102, 104). Selon une deuxième politique, l’unité de traitement 20 retourne un nouvel aléa n’appartenant à aucun des ensembles d’aléas (comme dans le cas b), mais, à la différence de la première politique, l’unité de traitement 20 ne « déclare » pas ce nouvel aléa au dispositif de contrôle 1 via l’étape 207. Dans ce cas, l’individu enrôlé auquel se rapporte à la donnée biométrique de référence en discussion ne sera pas reconnu comme étant enrôlé lors de l’étape 112. C’est pour couvrir une telle situation qu’il est avantageux de réaliser un contrôle manuel de l’identité de l’individu à titre complémentaire, comme indiqué plus haut. Procédé mis en œuvre par une unité de traitement (20), comprenant des étapes de : réception (208) d’une première donnée biométrique et d’une requête demandant si la première donnée biométrique est référencée dans une base de données (DBB), la base de données (DBB) comprenant des données biométriques de référence associées à des ensemble d’aléas respectifs qui sont disjoints, chaque ensemble d’aléas comprenant une pluralité d’aléas, recherche (210) d’une deuxième donnée biométrique qui correspond à la première donnée biométrique parmi les données biométriques de référence, génération (212) d’une réponse à la requête, la réponse contenant un aléa satisfaisant les conditions suivantes : lorsque la deuxième donnée biométrique est trouvée lors de la recherche, l’aléa est un élément de l’ensemble d’aléas associé à la deuxième donnée biométrique, lorsque la deuxième donnée biométrique n’est pas trouvée lors de la recherche, l’aléa n’appartient à aucun des ensembles d’aléas associés aux données biométriques de référence, l’aléa est différent d’un précédent aléa contenu dans une précédente réponse à une précédente requête demandant si une précédente donnée biométrique est référencée dans la base de données biométriques (DBB), aussi bien lorsque le précédent aléa est un élément d’un des ensembles d’aléas que lorsque le précédent aléa n’appartient à aucun des ensembles d’aléas. Procédé selon la revendication précédente, comprenant les étapes suivantes mises en œuvre pour toute donnée biométrique de référence, lors d’un enrôlement de la donnée biométrique de référence dans la base de données (DBB) : génération d’une donnée (A) représentative de l’ensemble d’aléas associé à la donnée biométrique de référence, mémorisation, dans la base de données (DBB), de la donnée générée. Procédé selon la revendication 2, dans lequel, pour toute donnée biométrique de référence, la donnée représentative de l’ensemble d’aléas associé à la donnée biométrique de référence est constituée par l’ensemble d’aléas associé à la donnée biométrique de référence. Procédé selon l’une quelconque des revendications 2 et 3, comprenant par ailleurs l’étape suivante réalisée pour toute donnée biométrique de référence à l’issue de l’enrôlement de la donnée biométrique de référence : commander la transmission à un système de contrôle (1) de la donnée représentative de l’ensemble d’aléas associé à la donnée biométrique de référence. Procédé selon l’une quelconque des revendications précédentes, dans lequel lorsque la deuxième donnée biométrique n’est pas trouvée lors de la recherche, l’aléa inclus dans la réponse est généré par l’unité de traitement (20) après l’étape de recherche. Procédé de contrôle d’identité mis en œuvre par un système de contrôle (1) communiquant avec une unité de traitement (20) configurée pour mettre en œuvre le procédé selon l’une quelconque des revendications précédentes, le procédé de contrôle d’identité comprenant les étapes suivantes : pour toute donnée biométrique de référence, réception d’une donnée représentative de l’ensemble d’aléas associé à la donnée biométrique de référence, à l’issue d’un enrôlement de la donnée biométrique de référence dans la base de données, et mémorisation de la donnée représentative de l’ensemble d’aléas associé à la donnée biométrique de référence dans une mémoire (14), transmission à l’unité de traitement (20) de la requête demandant si la première donnée biométrique est référencée dans une base de données (DBB), réception de la réponse à la requête, vérification de l’existence dans la mémoire d’une donnée représentative d’un ensemble d’aléas qui comprend l’aléa contenu dans la réponse. Procédé de contrôle d’identité selon la revendication précédente, dans lequel : les données biométriques de référence se rapportent à des individus de référence disposant d’un droit d’accès à une zone sécurisée, la première donnée biométrique se rapporte à un individu souhaitant accéder à la zone sécurisée. Produit programme d'ordinateur comprenant des instructions de code de programme pour l'exécution des étapes du procédé selon l’une des revendications précédentes, lorsque ce programme est exécuté par une unité traitement (20). Mémoire (24) lisible par ordinateur stockant des instructions exécutables par l’ordinateur pour l’exécution des étapes du procédé selon l’une des revendications précédentes. Système de gestion (2) de données biométriques comprenant : Une interface de communication (22) configurée pour : recevoir une première donnée biométrique, et une requête demandant si la donnée biométrique est référencée dans une base de données (DBB), la base de données (DBB) comprenant des données biométriques de référence associées à des ensembles d’aléas respectifs qui sont disjoints, chaque ensemble d’aléas comprenant une pluralité d’aléas, émettre une réponse à la requête, une unité de traitement (20) configurée pour : rechercher une deuxième donnée biométrique qui correspond à la première donnée biométrique parmi les données biométriques de référence, générer la réponse à la requête, la réponse contenant un aléa, dans lequel l’aléa satisfait les conditions suivantes : lorsque la deuxième donnée biométrique est trouvée lors de la recherche, l’aléa est un élément de l’ensemble d’aléas associé à la deuxième donnée biométrique, lorsque la deuxième donnée biométrique n’est pas trouvée lors de la recherche, l’aléa n’appartient à aucun des ensembles d’aléas associés aux données biométriques de référence, l’aléa est différent d’un précédent aléa contenu dans une précédente réponse à une précédente requête demandant si une précédente donnée biométrique est référencée dans la base de données (DBB), aussi bien lorsque le précédent aléa fait partie d’un des ensembles d’aléas que lorsque le précédent aléa n’appartient à aucun des ensembles d’aléas associés aux données biométriques de référence. Système comprenant : Un système de gestion (2) selon la revendication précédente, et Un dispositif de contrôle (1) comprenant : Une interface de communication (12) configurée pour : pour toute donnée biométrique de référence contenue dans la base de données (DBB), recevoir une donnée représentative de l’ensemble d’aléas associé à la donnée biométrique de référence, à l’issue d’un enrôlement de la donnée biométrique de référence dans la base de données, envoyer la requête au système de gestion (2), recevoir la réponse à la requête, Une mémoire (14) pour mémoriser les données représentatives reçues par l’interface de communication (12), Une unité de traitement (10) configurée pour vérifier l’existence dans la mémoire (14) d’une donnée représentative d’un ensemble d’aléas qui comprend l’aléa contenu dans la réponse.