Brevet FR3150015A1 — publié le 20241220

L’invention est un ensemble de données sécurisé contenant un fichier numérique rendu inintelligible situé sur un serveur à une adresse, et une donnée numérique ou alphanumérique signée comportant cette adresse, les données permettant de rendre intelligible le fichier inintelligible, un élément de contrôle d’intégrité du fichier inintelligible considéré et optionnellement d’autres informations. Le fichier inintelligible et la donnée numérique ou alphanumérique contiennent à eux deux un ensemble de données qui ne peuvent pas être rassemblées facilement par un fraudeur. il suffit ainsi d’une donnée numérique ou alphanumérique courte pouvant être représentée par un code-barres de petite taille pour mettre à la disposition d’un récepteur des informations sécurisées de grand volume comme une image haute définition, un fichier sonore ou une vidéo par exemple. Figure de l’abrégé : Fig. 1 Ensemble de données sécurisé et procédure d’émission et de lecture d’un tel ensemble L’invention est un moyen de sécurisation d’un ensemble de données pour permettre leur transmission d’un émetteur à un récepteur. On connait des procédés de vérification d’un fichier par un élément de contrôle de son intégrité, un hash, une checksum ou une signature numérique par exemple. On connait aussi des dispositifs de vérification de données consistant à munir un fichier contenant ces données considérées d’un tel élément de contrôle. On connait de tels dispositifs dans lesquels tout ou partie d’un fichier ou son lien d’accès est représenté par une chaine de caractères numériques ou alphanumériques et on sait signer de tels chaines pour garantir leur origine et leur intégrité. On sait aussi représenter de telles chaînes par des codes-barres. On connait enfin une méthode consistant à donner à une personne une identité numérique en lui fournissant un fichier signé comportant sa photographie et tous les détails de son identité. Problème technique La représentation d’un média comme une photo, un enregistrement sonore ou une vidéo par une chaine de caractères numériques ou alphanumériques n’est pas facile à comprendre. Les codes-barres qui permettent de représenter de telles chaînes de caractères peuvent facilement comporter des données complexes telles que des références alphanumériques, des noms, des adresses. Il est cependant difficile de leur ajouter les données d’un tel média car ces données sont très volumineuses et conduiraient à des codes-barres à très grande densité, donc difficiles à imprimer et à lire ou de très grande taille. Une identité numérique composée d’un fichier contenant des informations sensibles comme des éléments d’identité, par exemple une photo d’identité, même muni d’un élément de contrôle de ces informations, a pour inconvénient de mettre à la disposition de tiers ce fichier qui est sensible et pourrait permettre de réaliser de faux documents d’identité. L’objectif de la présente invention est de permettre la transmission d’éléments d’information volumineux ou sensibles à un récepteur, tout en munissant ces éléments d’information d’un moyen de contrôle de leur intégrité et en les protégeant contre la fraude. L’invention sera bien comprise, et d’autres buts, avantages et caractéristiques de celle-ci apparaîtront plus clairement à la lecture de la description qui va suivre, laquelle est illustrée par la . est un diagramme montrant une procédure de lecture et de vérification d’un fichier numérique selon l’invention. Le récepteur lit le code-barres signé contenant l’adresse d’un fichier numérique sur un serveur de données et un élément de contrôle d’intégrité de ce fichier numérique. Il vérifie ce code-barres par sa signature électronique en contactant si nécessaire un serveur de signature, et transmet ensuite l’adresse du fichier numérique au serveur de données contenant le fichier numérique. Il reçoit en retour le fichier numérique et le vérifie par l’élément de contrôle d’intégrité. L’invention est un ensemble de données comprenant - d’une part un premier sous-ensemble de données qui n’est pas totalement intelligible, ci-après dit fichier-inintelligible, - et d’autre part un deuxième sous-ensemble de données ci-après dit message-signifiant muni d’un moyen de contrôle de son intégrité, caractérisé en ce que : - et ledit message-signifiant contient des données permettant de rendre plus intelligible tout ou partie dudit fichier-inintelligible, étant précisé que l’on entend ci-avant par moyen de contrôle d’intégrité tout moyen connu permettant de vérifier que des données n’ont pas été altérées, comme par exemple un hash une checksum ou une signature électronique ou encore une description totale ou partielle de ces données. Description détaillée de l’invention Le principe de la présente invention est de séparer un premier ensemble de données, d’un deuxième d’une nature différente et/ou transmis par une voie différente, afin qu’ils ne puissent pas simultanément être interceptés par un espion et/ou modifiés par un fraudeur. Les deux fichiers sont nécessaires pour obtenir les données sécurisées dont l’émetteur a souhaité la transmission à un récepteur. L’ensemble de données peut par exemple contenir un visage, un paysage, un objet, une empreinte digitale, un ADN, un hologramme ou un autre type de marquage tri-dimensionnel, un document d’identité protégé existant, une photographie imprimée, ou un film animé, un texte, ou tout élément multimédia. Chacun des deux sous-ensembles de données peut par exemple être un fichier numérique multimédia, un code-barres, un message texte, un son, un courriel, un élément en mémoire dans une puce NFC ou un autre moyen de stockage de données. Le message-signifiant peut être utilisé seul, et il a déjà une grande valeur puisqu’il est protégé par un moyen de contrôle d’intégrité, lequel peut avantageusement être une signature numérique. Il peut contenir une première série de données peu confidentielles, mais l’avantage de la présente invention est de pouvoir l’utiliser en combinaison avec ledit fichier-inintelligible pour disposer d’une information plus complète qui peut être plus volumineuse et/ou plus sensible. Le principe de la présente invention repose sur le fait que le fichier-inintelligible ne peut pas être utilisé efficacement sans disposer du message-signifiant. Il est donc avantageux qu’aucune partie du fichier-inintelligible ne comporte de données permettant de savoir quel est le message-signifiant qu’il permet de le rendre intelligible. Cela ne veut pas dire que toutes les données du fichier-inintelligible sont automatiquement rendues intelligibles par la combinaison avec le message-signifiant, car on peut émettre différents messages signifiants permettant de rendre intelligibles différentes parties du fichier-inintelligible. Plus généralement, la présente invention permet de construire un système de données complexe comprenant plusieurs sous-ensembles de données, et de ne permettre la compréhension et l’utilisation de tout ou partie de l’un des sous-ensemble qu’en combinaison avec tout ou partie d’un autre sous-ensemble du système. Le message-signifiant peut être un code-barres protégé par un moyen de contrôle de son intégrité comme un hash, une checksum ou mieux une signature numérique permettant d’identifier son auteur et de vérifier sa non-répudiation. Dans une version préférée, c’est un Cachet Electronique Visible CEV conforme à la norme AFNOR XP Z42-105, ce qui lui permet d’être interopérable. Le moyen de contrôle d’intégrité du fichier-inintelligible peut aussi bien être incorporé dans le fichier-inintelligible que dans le message-signifiant. Il est également possible de munir l’ensemble de données de deux moyens de contrôle d’intégrité, l’un dans le fichier-inintelligible et l’autre dans le message-signifiant. La solution préférée est cependant qu’il soit intégré dans le message-signifiant pour être indépendant du fichier-inintelligible. De même, il peut être avantageux de munir le fichier-inintelligible d’un moyen de contrôle de l’intégrité du message-signifiant. En revanche il est important que les données permettant de rendre plus intelligible le fichier-inintelligible ne soient pas intégralement contenues dans ce fichier-inintelligible, mais qu’au moins une partie d’entre elles soit contenue dans le message-signifiant. Un seul fichier photo rendu inintelligible par un cryptage ou une suppression d’une partie des données permet de réaliser de très nombreux moyens d’identité avec des messages-signifiants comme des codes-barres différents comportant chacun des données différentes (permis de conduire, carte d’identité, carte de sécurité sociale, certificat de majorité, invitation à une manifestation, billet de transport par exemple). Pour prendre un exemple, le fichier-inintelligible est un fichier numérique situé sur un serveur accessible par un réseau à une adresse, et le message-signifiant comporte cette adresse ou un moyen de l’obtenir. Le fichier-inintelligible peut être situé sur un ordinateur ou un Smartphone, mais il peut aussi être distant et protégé contre des consultations non autorisées. Lorsqu’une personne disposant du message-signifiant a reçu un fichier-inintelligible qui peut être rendu intelligible par ce message-signifiant, elle peut le stocker sur son Smartphone pour disposer de l’ensemble de données complet et intelligible. Ce peut donc être un moyen de lui fournir une identité numérique par exemple. Dans une version particulière, le message-signifiant peut ne pouvoir être lu que par une application particulière qui le range dans une mémoire sécurisée à accès limité d’un Smartphone ou d’un l’ordinateur, sans en fournir le contenu à l’utilisateur de cet appareil. Ce message-signifiant ne peut alors être appelé que par cette application ou une autre qui lui est complémentaire, sur commande d’un tiers autorisé à combiner le message-signifiant et le fichier-inintelligible. La référence et/ou l’adresse et/ou du fichier-inintelligible est avantageusement compliquée pour être imprévisible. Avantageusement, aucune partie du fichier-inintelligible ne comporte de données permettant de savoir quel est le message-signifiant qu’il permet de rendre intelligible. Pour prendre un exemple, le message-signifiant contient les informations d’identité d’une personne, et le fichier numérique est sa photo d’identité en haute résolution, ou des données biométriques permettant de le reconnaître. Ces informations ne peuvent être obtenues du serveur qui les contient qu’en envoyant à ce dernier leur adresse ou leur référence. Dans une version perfectionnée, ce n’est pas l’adresse réelle qui est contenue dans le message-signifiant, mais un lien permettant de l’obtenir après avoir justifié d’une autorisation ad-hoc. Avantageusement une photo d’identité n’est accompagnée sur le serveur d’aucune autre information que son adresse ou référence, de telle sorte qu’un piratage de ce serveur ne permette pas de reconstituer des données d’informations, par exemple des bases de données d’identités ou des cartes d’identité. Une version dégradée du fichier numérique peut être jointe au message-signifiant. Le message-signifiant peut par exemple être imprimé ou affiché sur une copie de cette version dégradée. Un serveur web ou une page web ou n’importe quel document ou produit peuvent être munis d’un message-signifiant servant par exemple à vérifier une information se rapportant à cet élément qui peut être l’identité de la personne physique ou morale qui en est responsable, et ce message-signifiant peut être vu sous forme de lien html ou sous forme de code-barres ou sous toute autre forme. Un fichier-inintelligible, une fois rendu intelligible, peut être une représentation sous forme d’image de tout ou partie des informations contenues dans le message-signifiant. Ce peut par exemple être la copie d’une ordonnance dont les détails sont indiqués zn tout ou partie dans le message-signifiant. Pour émettre un tel ensemble de données sécurisé, l’émetteur dépose une copie d’un fichier-inintelligible sur un serveur de données accessible par un réseau à une adresse, et émet un message-signifiant signé électroniquement comportant un élément de contrôle d’intégrité de ce fichier-inintelligible et un moyen comme l’adresse permettant d’y accéder. Pour lire et certifier le document, le récepteur lit le message-signifiant signé, en vérifie l’intégrité et l’authenticité par sa cohérence avec sa signature numérique, vérifie la non-répudiation de cette signature numérique, télécharge du serveur de données le fichier-inintelligible à partir de l’adresse et vérifie l’intégrité et l’authenticité du fichier-inintelligible par l’élément de contrôle d’intégrité. Dans une variante, le récepteur peut aussi lire le message-signifiant signé, en vérifier l’intégrité et l’authenticité par sa cohérence avec la signature numérique, vérifier la non-répudiation de la signature numérique, envoyer au serveur de données l’élément de contrôle d’intégrité, pour que le serveur vérifie l’intégrité et l’authenticité du fichier-inintelligible et mette à disposition une copie modifiée, par exemple dégradée, du fichier-inintelligible rendu intelligible, pour que la copie modifiée puisse être téléchargée. Cette copie modifiée peut par exemple être dans une résolution inférieure, ou ne comporter qu’une partie du fichier numérique ou encore avoir reçu de subtiles modifications de couleurs pour être unique. Cela permettra de détecter avec les outils appropriés l’usage d’une copie ainsi modifiée qui pourrait être abusive. Les modifications peuvent être différentes d’une copie modifiée à une autre fournie ultérieurement, pour que chacune puisse être reconnue. Le procédé de lecture et de certification selon l’invention peut comporter une procédure d’identification de la personne le mettant en œuvre, pour qu’aucune information se rapportant au fichier-inintelligible ne soit transmise sans que cette procédure d’identification ait conduit à autoriser une telle transmission. Cela a l’avantage d’éviter le téléchargement abusif des données contenues dans le fichier de données et peut, dans le cas de la mise à disposition d’une copie modifiée, permettre d’identifier la personne ayant procédé à sa conservation et son éventuelle diffusion. Voici à titre d’exemple le fonctionnement d’un service d’émission de documents sécurisés. Etape 1 : après s’être identifié selon une méthode d’identification convenue (par exemple par la combinaison d’un identifiant et d’un mot de passe ou par identification forte), l’émetteur envoie au serveur de l’opérateur une requête comportant deux ensembles d’informations : - des informations à inclure dans le message-signifiant dites informations-code, - des informations formant le ou les fichiers numériques à rendre inintelligibles, et les paramètres de l’opération comme par exemple : - la nécessité ou non de vérifier l’identité du ou des récepteurs et le cas échéant les éléments d’identité à vérifier, - la forme complète ou dégradée sous laquelle le ou les fichiers numériques doi(ven)t être fournie à l’émetteur s’il en demande le téléchargement, cette forme pouvant être différente selon les récepteurs. Dans une variante, le serveur de l’opérateur reçoit des informations et en déduit selon une règle convenue les informations à inclure dans le message-signifiant, celles formant le fichier-inintelligible, et les paramètres de l’opération. Etape 2 : le serveur de l’opérateur - calcule à partir du ou des fichiers numériques les sfichiers-inintelligibles et un élément de contrôle d’intégrité de ce ou ces fichiers-inintelligibles, ou de plusieurs éléments de contrôle correspondant chacun à un ou plusieurs fichiers-inintelligibles, - stocke les sfichiers-inintelligibles sur un serveur de fichiers numériques (qui peut être le serveur de l’opérateur), - compose un message-signifiant signé contenant - les informations-code, - l’adresse du serveur de fichiers et la référence ou les références du ou des sfichiers-inintelligibles sur ce serveur de fichiers, - le ou les éléments de contrôle d’intégrité du ou des fichiers-inintelligibles, - et la signature numérique de cet ensemble, - et transfère le message-signifiant signé à l’émetteur, en réponse à sa requête, ainsi optionnellement qu’une copie du ou des fichiers numériques. Dans une variante préférée pour l’application de la présente invention à l’identification des personnes par biométrie, le serveur de l’opérateur répartit l’ensemble de données reçu de l’émetteur en deux parties, la première étant intégrée au fichier-inintelligible qui est stocké sur le serveur et la seconde étant intégrée dans le message-signifiant. Etape 3 : l’émetteur communique à un ou plusieurs récepteurs le message-signifiant signé, soit seul soit accompagné d’une copie du ou des sfichiers-inintelligibles qui peuvent être modifiés comme indiqué plus haut. Etape 4 : un récepteur - lit le message-signifiant signé, ce qui lui communique - les informations-code, - l’adresse du serveur de fichiers et la ou les références du ou des fichiers-inintelligibles, - le ou les éléments de contrôle d’intégrité de ce ou ces sfichiers-inintelligibles, - la signature numérique de ce message-signifiant signé, et le cas échéant la ou les copies du ou des sfichiers-inintelligibles qui lui ont été communiqués avec le message-signifiant, - vérifie ou faire vérifier l’intégrité et l’authenticité des données concernées par leur cohérence avec ladite signature numérique, - vérifie ou fait vérifier la non-répudiation de la signature numérique, - s’identifie auprès du serveur de l’opérateur selon la méthode d’identification convenue si une telle identification est prévue par les paramètres, - indique au serveur de l’opérateur la référence la ou les références lues dans le message-signifiant signé, - et, selon les paramètres de l’opération : - ou bien reçoit le ou les fichiers dont la fourniture est prévue et vérifie leur compatibilité avec le ou les éléments de contrôle d’intégrité du ou des fichiers concernés, - ou bien envoie au serveur le ou les éléments de contrôle reçus, pour que le serveur vérifie la compatibilité avec le ou les fichiers numériques avant de les lui transmettre, optionnellement sous forme modifiée, - ou bien envoie au serveur la copie du ou des fichier-inintelligibles qu’il a reçues et le ou les éléments de contrôle reçus, pour que le serveur lui indique si cette ou ces copies est (sont) bien compatibles avec le ou les fichiers-inintelligibles correspondants. Dans la variante préférée pour l’application de la présente invention à l’identification des personnes par biométrie, le récepteur reçoit le ou les sfichiers-inintelligibles dont la fourniture est prévue et les complète avec la ou les parties du ou des fichiers d’origine intégrées dans le message-signifiant, vérifie leur compatibilité avec le ou les éléments de contrôle d’intégrité du ou des sfichiers-inintelligibles reçus ou à ce fichier complété par la ou les parties du ou des fichiers d’origine intégrées dans le message-signifiant. Divers perfectionnements peuvent être envisagés : Un fichier-inintelligible peut être découpé en morceaux séparés, et placés à des adresses qui n’ont pas de lien entre elles, de telle sorte que personne ne puisse les rassembler sans disposer du message-signifiant. Il peut aussi être crypté et ne pouvoir être décrypté que par l’émetteur ou l’opérateur du serveur de l’opérateur. Tout ou partie du contenu du message-signifiant peut être crypté par le serveur de l’opérateur, le seul à connaître cette clé, et c’est lors de l’envoi du message-signifiant au serveur qu’a lieu le décryptage. Dans le cas où l’accès au serveur est limité par des autorisations dont doit disposer le récepteur, personne d’autre que lui ne peut lancer ce décryptage. Le message-signifiant ne peut pas être décrypté par le récepteur mais uniquement par l’opérateur du serveur de l’opérateur ou par l’émetteur. Tout ou partie du fichier-inintelligible stocké sur le serveur et pouvant être téléchargé par le récepteur est crypté avec une clé qui est incluse dans le message-signifiant. Ce cryptage peut être spécifique à chaque fichier-inintelligible pour être unique, ce qui fait que la connaissance d’une règle de cryptage se rapportant à un fichier-inintelligible ne peut pas permettre de déchiffrer un autre fichier-inintelligible. Le fichier-inintelligible peut comporter une date de péremption ou être associé à une telle date, de telle sorte qu’après la date considérée, il ne puisse plus être téléchargé. Un fichier-inintelligible peut-être invalidé par une légère modification, pratiquée par l’opérateur ou par l’émetteur s’il est autorisé à la provoquer. Elle a pour conséquence une incompatibilité entre l’élément de contrôle et le fichier qui devient donc invalide. Cette modification peut être conçue pour être imperceptible et ne pas empêcher la conception d’un nouveau message-signifiant pour remettre en service le fichier-inintelligible en l’état. L’opérateur peut délivrer différents codes-barres comportant des informations différentes, par exemple des informations partielles. Cela permet par exemple à une administration publique de délivrer des certificats de majorité pour la consultation de sites internet pour adultes. L’opérateur peut délivrer des codes-barres permettant d’identifier une personne par sa photographie d’identité, le message-signifiant ne contenant qu’un pseudonyme en lieu et place des détails d’identité du titulaire. Ce dernier pourra signer des messages de son pseudonyme, apparaître comme quelqu’un qui ne veut pas donner son identité réelle tout en montrant qu’elle existe bel et bien et pourra être révélée par l’opérateur dans certaines conditions, par exemple par une décision de justice. Les principaux avantages de la présente invention sont que, - par la lecture du message-signifiant, le récepteur peut vérifier l’intégrité des informations-code et optionnellement du sfichier-inintelligible, - la signature du message-signifiant peut être révoquée, - les fichiers-inintelligibles sont stockés sur un moyen de stockage qui peut être mieux sécurisé que celui de l’émetteur, - les ensembles de données peuvent être rendus inexploitables par le cryptage, le découpage en morceaux comme exposé plus haut, - les fichiers-inintelligibles sont stockés séparément des informations-code ce qui empêche un pirate de les rassembler pour former une information complète, - la lecture et la compréhension des fichiers-inintelligibles peut être réservée aux seules personnes autorisées, en tout ou en partie selon les autorisations dont ils disposent et qu’ils ont communiquées au serveur de fichiers délivrant les sfichiers-inintelligibles. Applications Les principales applications sont - l’identité numérique dont le titulaire peut ne conserver qu’un message-signifiant signé, sous forme imprimée ou électronique pour s’identifier, - les ordonnances médicales, certificats et attestations de toutes natures, contrats, bons de commande, factures, etc. qui deviennent aisément authentifiables par leurs récepteurs, - les services de musique ou vidéo à la demande, les journaux et magazines, les jeux vidéo, les moyens de contrôle des objets connectés, - et d’une façon générale la sécurisation de tout type de données volumineuses ou sensibles. Ensemble de données comprenant - d’une part un premier sous-ensemble de données qui n’est pas totalement intelligible, ci-après dit fichier-inintelligible, - et d’autre part un deuxième sous-ensemble de données ci-après dit message-signifiant muni d’un moyen de contrôle de son intégrité, caractérisé en ce que : - et ledit message-signifiant contient des données permettant de rendre plus intelligible tout ou partie dudit fichier-inintelligible, étant précisé que l’on entend ci-avant par moyen de contrôle d’intégrité tout moyen connu permettant de vérifier que des données n’ont pas été altérées, comme par exemple un hash une checksum ou une signature électronique ou encore une description totale ou partielle de ces données Ensemble de données selon la revendication 1 caractérisé en ce que lesdits deux ensembles de données sont reçus chacun par une voie différente ou sont de nature différente. Ensemble de données selon l’une quelconque des revendications précédentes caractérisé en ce que ledit fichier-inintelligible est protégé par un moyen de contrôle de l’intégrité dudit fichier-inintelligible, et que ce moyen est intégré dans ledit message-signifiant. Ensemble de données selon l’une quelconque des revendications précédentes caractérisé en ce que ledit ou un desdits moyens de contrôle d’intégrité est un mécanisme - par exemple une signature électronique - permettant non seulement de vérifier l’intégrité d'un ensemble de données mais aussi d’en connaître l’auteur et d'en garantir la non-répudiation. Ensemble de données selon l’une quelconque des revendications précédentes caractérisé en ce que ledit message-signifiant est rangé dans une mémoire sécurisée à accès limité d’un Smartphone ou d’un ordinateur, et ne peut être appelé que par une application sur commande d’un tiers autorisé à combiner ledit message-signifiant et ledit fichier-inintelligible. Ensemble de données selon l’une quelconque des revendications précédentes caractérisé en ce qu’aucune partie dudit fichier-inintelligible ne comporte de données permettant de savoir quel est ledit message-signifiant qu’il permet de rendre intelligible. Ensemble de données selon l’une quelconque des revendications précédentes caractérisé en ce que : - ledit fichier-inintelligible est un fichier numérique situé sur un serveur, - ledit message-signifiant comporte un moyen de télécharger le fichier - par exemple une référence ou l’adresse internet dudit fichier-inintelligible sur ledit serveur, - et lesdites données permettant de rendre ledit fichier-inintelligible intelligible sont des éléments d’information qui manquent audit fichier-inintelligible pour être intelligible.