FR 3016456 A1 20150717 FR 1450235 A 20140113 DOMAINE GEN ERAL L'invention se rapporte au domaine de la saisie et de la visualisation d'informations confidentielles sur un terminal personnel. L'invention concerne plus particulièrement un procédé permettant 5 de sécuriser une telle saisie d'informations confidentielles. ETAT DE L'ART On connaît depuis longtemps des procédés permettant à un utilisateur de saisir de façon sécurisée des informations qui lui sont 10 confidentielles (informations d'authentification notamment) sur un terminal muni de moyens de saisie et d'un écran d'affichage. Il est par exemple bien connu de protéger la saisie d'un code à plusieurs chiffres, tel qu'un code PIN, en affichant sur l'écran non pas chaque chiffre saisi mais un symbole de masquage remplaçant ce chiffre 15 (une étoile par exemple), afin de prévenir l'interception du code saisi par un tiers malveillant portant son regard sur l'écran du terminal. Pour répondre à l'augmentation du nombre de transactions de données confidentielles en ligne depuis un terminal utilisateur, il a été proposé des programmes sécurisés dits « environnements de confiance » 20 (en anglais, « trusted execution environment », abrégé en TEE) configurant le terminal dans un état « sécurisé » avant la saisie par l'utilisateur du terminal de ses données confidentielles (en anglais « Trusted User Interface »). Un environnement de confiance est généralement un programme 25 sécurisé qui est indépendant d'un système d'exploitation dédié à des usages courants, et qui a accès aux moyens de saisie du terminal ainsi qu'à son écran. Dans l'état sécurisé, des données saisies par l'utilisateur via les moyens de saisie du terminal sont sélectivement traitées par le programme sécurisé. 30 Une telle interface garantit à l'utilisateur qu'il visualise et valide des informations authentiques (montant d'une transaction, acteurs de la transaction), et qu'il saisisse en toute confiance ses informations personnelles ou confidentielles (un code PIN par exemple). Il est donc important d'avertir l'utilisateur que l'interface de confiance a bien configuré le terminal dans l'état sécurisé, avant qu'il 5 saisisse ses données confidentielles. Pour avertir l'utilisateur d'un tel évènement, il a été proposé dans le document US 7 302 585 de définir une image de confiance connue de l'utilisateur indicative de l'état sécurisé du terminal par l'interface de confiance. Avant une saisie d'informations confidentielles par 10 l'utilisateur, l'image de confiance est affichée à l'écran en un exemplaire ou bien plusieurs fois dans une mosaïque, afin d'informer l'utilisateur que cet état sécurisé est bien actif. Toutefois, cette solution ne confère pas à l'utilisateur une protection absolue contre des attaques par hameçonnage. En effet, un 15 tiers malintentionné présent dans l'environnement de l'utilisateur ou ayant placé des caméras astucieusement placées dans cet environnement pourrait intercepter l'image de confiance affichée à l'écran et comprendre qu'elle indique que l'utilisateur est sur le point de saisir des informations confidentielles. Ce tiers pourrait alors reproduire l'image de 20 confiance dans un programme malveillant lequel imiterait le comportement du programme de confiance en affichant l'image de confiance sur le terminal, dans le but d'induire l'utilisateur en erreur et ainsi récupérer ses informations confidentielles. 25 PRESENTATION DE L'INVENTION L'invention vise à donc à encore améliorer la confidentialité de la saisie de données confidentielles sur un terminal mettant en oeuvre une interface de confiance, sans augmenter le coût de fabrication du terminal. Il est donc proposé un procédé de saisie de données confidentielles 30 sur un terminal comprenant des moyens de saisie, des moyens( 10) pour exécuter un programme de confiance et un écran d'affichage, le procédé comprenant les étapes suivantes mises en oeuvre avant la saisie: prise de contrôle exclusive des moyens de saisie par le programme de confiance, affichage sur l'écran d'une image de confiance connue de l'utilisateur du terminal et indicative de la prise de contrôle et, après la prise de contrôle et avant l'affichage, une étape de sélection de l'image de confiance comme une partie d'une image de référence prédéterminée par l'utilisateur, la sélection étant variable d'une saisie à l'autre. Comme seule une partie de l'image de confiance prédéterminée est affichée à l'écran au cours de la procédure de saisie, et que cette partie varie pour chaque nouvelle saisie de données confidentielles, un tiers malveillant ne serait pas capable de reproduire l'entièreté de l'image de confiance dans un programme de hameçonnage destiné à induire l'utilisateur du terminal en erreur. Bien entendu, l'image de référence peut représenter tout type 15 d'information : un dessin, un caractère, une suite de caractères, telle que tout ou partie d'une phrase ou d'un texte, etc. L'image de confiance peut être sélectionnée à partir de données de sélection choisies par l'utilisateur et acquises par les moyens de saisie après la prise de contrôle. En variante, l'image de confiance est 20 sélectionnée aléatoirement. Le programme de confiance peut recevoir l'image de confiance d'un serveur distant. La réception de l'image de confiance peut de plus être commandée par l'envoi d'une requête au serveur distant, la requête étant générée par le programme de confiance à partir des données de 25 sélection acquises, la sélection de l'image de confiance étant mise en oeuvre par le serveur distant. Le procédé proposé peut comprendre en outre l'affichage sur l'écran d'un motif de partitionnement à N régions avant l'affichage de l'image de confiance, chaque région étant associée à une partie 30 respective de l'image de référence, les données de sélection acquises par les moyens de saisie étant représentatives d'un nombre inférieur à N de régions du motif de partitionnement, sélectionnées par l'utilisateur. Les moyens de saisie peuvent comprendre un élément sensible au toucher, les données de sélection étant alors sont représentatives d'au 5 moins une zone touchée par l'utilisateur. Si l'élément sensible au toucher est compris dans l'écran d'affichage, la zone touchée peut être représentative d'un ensemble de points contigus de l'écran touchés depuis la mise en contact d'un corps extérieur avec la dalle jusqu'à une mise hors contact subséquente dudit 10 corps extérieur avec l'écran. Les étapes du procédé peuvent être répétées pour plusieurs une première saisie et une deuxième saisie suivant la première saisie, le procédé comprenant en outre les étapes de mémorisation d'une première image de confiance affichée pour la première saisie, et de comparaison 15 entre une deuxième image de confiance à afficher pour la deuxième saisie avec la première image de confiance mémorisée, la deuxième image de confiance étant affichée seulement si elle diffère de la première image. Il est proposé selon un deuxième aspect un produit programme 20 d'ordinateur de confiance comprenant des instructions de code de programme pour l'exécution des étapes suivantes, lorsqu'il est exécuté par un terminal comprenant des moyens de saisie et un écran d'affichage, avant une saisie de données confidentielles : prendre un contrôle exclusif des moyens de saisie, commander l'affichage sur l'écran d'une image de 25 confiance indicative de la prise de contrôle, le produit programme d'ordinateur étant caractérisé en ce qu'il est en outre configuré pour commander la sélection de l'image de confiance comme une partie d'une image de référence prédéterminée par l'utilisateur, la sélection étant variable d'une saisie à l'autre. Il est également proposé, selon un troisième aspect, un terminal comprenant des moyens de saisie, un écran d'affichage, et des moyens pour exécuter le programme de confiance selon le deuxième aspect. DESCRIPTION DES FIGURES D'autres caractéristiques, buts et avantages de l'invention ressortiront de la description qui suit, qui est purement illustrative et non limitative, et qui doit être lue en regard des dessins annexés sur lesquels : Les figures 1 et 2 représentent schématiquement un système selon un mode de réalisation de l'invention. La figure 3 est un organigramme d'étapes d'un procédé de saisie de données confidentielles, selon un mode de réalisation de l'invention. La figure 4 détaille des sous-étapes d'une étape de l'organigramme de la figure 3, selon un mode de réalisation de l'invention. La figure 5 présente différents états de l'écran d'un terminal au cours de la mise en oeuvre d'un procédé de saisie selon un premier mode de réalisation. La figure 6 présente différents états de l'écran d'un terminal au cours de la mise en oeuvre d'un procédé de saisie selon un deuxième mode de réalisation. Sur l'ensemble des figures, les éléments similaires portent des références identiques. DESCRIPTION DETAILLEE DE L'INVENTION On a illustré sur la figure 1 et sur la figure 2, un système S comprenant au moins un terminal 1 et un serveur distant 2. Le terminal 1 comprend des moyens de communication 16, des moyens de traitement de données tel qu'un processeur 10, une mémoire 30 18, un écran d'affichage 12, et des moyens de saisie 14. Les moyens de saisie 14 peuvent comprendre un clavier et/ou un élément sensible au toucher (plus généralement toute interface homme / machine). L'élément sensible au toucher peut être compris dans l'écran d'affichage 12, de façon à former avec celui-ci un écran tactile. Le processeur 10 est prévu pour exécuter un système d'exploitation OS, ainsi qu'un programme de confiance P indépendant du système d'exploitation OS. Le programme de confiance P comprend des instructions de code de programme pour l'exécution de différentes tâches. Le programme de confiance P est d'une part configuré pour ouvrir un accès en lecture exclusif aux moyens de saisie 14, c'est-à-dire que toute donnée acquise par les moyens de saisie après cette ouverture d'accès ne peut être traitée que par le programme de confiance, à l'exclusion du système d'exploitation ou tout autre programme installé dans le terminal 1. Dans la suite du présent texte, on qualifiera une telle ouverture d'accès de « prise de contrôle exclusive ». Le programme de confiance P également configuré pour commander l'affichage d'images sur l'écran 12, et pour communiquer avec le serveur distant 2 via les moyens de communication 16. Le programme de confiance P est en outre configuré pour traiter des données confidentielles acquises par les moyens de saisie 12. Ce traitement peut consister par exemple en l'authentification de l'utilisateur auprès du terminal lui-même ou auprès d'un site distant auquel le terminal a accès via les moyens de communication 16 ; ce traitement peut également faire partie d'une transaction bancaire. Les moyens de communication 16 peuvent être du type sans fil (Wifi, cellulaire, etc.) ou bien du type filaire. La mémoire 18 peut être de type disque dur, flash, EEPROM ou bien une clé USB amovible. Par ailleurs, le serveur 2 comprend des moyens de communication 24 adaptée pour communiquer avec les moyens de communication 16 du terminal 1. Le serveur 2 comprend également des moyens de traitement 5 donnait 20 ainsi qu'une mémoire 28 stockant une base de donnée B destinée à contenir une ou plusieurs images de confiance, chaque image de confiance étant associée à un utilisateur respectif. On va maintenant détailler les étapes du procédé illustré sur la 10 figure 3. Dans une étape préliminaire d'enrôlement 100, un utilisateur détermine une image de référence IR connue de lui seul, par l'intermédiaire du terminal 1 ou non. L'étape d'enrôlement 100 peut par exemple comprendre l'envoi par le programme de confiance P de l'image 15 de référence préalablement choisie par l'utilisateur, au serveur distant 2, qui stocke cette image de référence dans sa base de données B. L'image de confiance n'étant pas stockée par le terminal 1, elle n'est pas récupérable lors d'un vol du terminal 1 par un tiers malveillant. En variante, cette image de référence est stockée dans une zone de la 20 mémoire 18 du terminal, cette zone étant de préférence accessible uniquement par le programme P de façon à éviter une lecture de cette image de référence par un programme malveillant installé sur le terminal 1 et typiquement lancé par le système d'exploitation OS. Dans une étape référencée 101, le programme de confiance P prend 25 le contrôle des moyens de saisie 14 de façon exclusive. Suite à cette prise de contrôle exclusif, toute donnée acquise par les moyens de saisie 14 sera traitée exclusivement par le programme de confiance P (et non pas par le système d'exploitation OS). Dans une étape 104, une image de confiance IC est produite à partir 30 de l'image de référence IR après la prise de contrôle. L'image de confiance IC est une partie de l'image de référence IR sélectionnée dans celle-ci ; en d'autres termes, l'image de référence IR étant représentée par un ensemble de pixels, l'image de confiance IC est représentée par un sous-ensemble de cet ensemble de pixels. Dans le mode de réalisation présenté ci-après, la production 104 de l'image de confiance IC est mise en oeuvre par le serveur 2, mais peut, en variante, être mise en oeuvre par le programme de confiance P lui-même. L'image de confiance IC peut être sélectionnée dans l'image de référence en fonction de données de sélection acquises par les moyens de saisies lors d'une étape préalable 103 mise en oeuvre après la prise de contrôle 101 ; l'utilisateur participe alors à la détermination de cette image de confiance dans l'image de référence. En variante, l'image de confiance IC est sélectionnée aléatoirement dans l'image de référence IR. L'image de confiance IC est ensuite affichée sur l'écran 12 dans une étape référencée 105. L'utilisateur du terminal 1 peut alors vérifier si l'image de confiance IC affichée à l'écran 12 correspond bien à une partie de l'image de référence IR qu'il a préalablement choisie au cours de l'étape d'enrôlement 100. L'utilisateur est ainsi bien assuré que le programme de confiance a obtenu un accès exclusif aux moyens de saisie 14. L'utilisateur peut alors, dans une étape référencée 107, entrer sur le terminal 1, et ce via les moyens de saisie 12, des données confidentielles qui sont ensuite traitées exclusivement par le programme de confiance P. Dans une étape 106, l'image de confiance IC est mémorisée (par 25 exemple dans la mémoire 18 du terminal 1 ou bien sur le serveur distant 2). Cette étape de mémorisation peut être mise en oeuvre avant l'affichage de l'image de confiance ou bien après. Après la saisie 107 des données confidentielles, et leur traitement, le programme de confiance libère 108 l'accès aux moyens de saisie 14. Les 30 moyens de saisie 14 peuvent après la libération 108 être utilisés par le système d'exploitation OS. Les étapes 101 à 108 peuvent être répétées pour chaque saisie de données confidentielles que le programme de confiance P est amené à traiter. L'étape d'enrôlement 100 peut également être répétée entre 5 plusieurs séquences des étapes 101 à 108 de façon à changer d'image de référence IR. En référence à la figure 4, l'étape 104 de production de l'image de confiance peut comprendre les sous-étapes suivantes dans un mode de réalisation dans lequel le serveur distant 2 est sollicité. 10 Le programme de confiance P génère dans une sous-étape 400 une requête de sélection Ml, et commande l'envoi 401 de cette requête M1 au serveur distant 2 via les moyens de communication 16. La requête de sélection M1 peut typiquement comprendre un identifiant permettant d'identifier le programme de confiance P émetteur (tel qu'un numéro de 15 programme), le terminal (par un numéro de modèle ou de série), ou bien l'utilisateur lui-même si le terminal est multi-utilisateurs. Les moyens de communications 24 du serveur reçoivent la requête M1 et la transmettent ensuite aux moyens de traitement 20 du serveur distant 2. Dans une étape 402, les moyens de traitement 20 accèdent à la 20 base de données B et y recherchent une image de référence IR associée à l'identifiant contenu dans la requête Ml. Une fois l'image de référence IR trouvée, les moyens de traitement 20 sélectionnent l'image de confiance IC comme partie de l'image de référence IR. Les moyens de traitement 20 génèrent ensuite une réponse M2 25 comprenant l'image de confiance IC sélectionnée, qui est renvoyée 403 au terminal 1 ayant émis la requête Ml. Suite à la réception de la réponse M2, le terminal 1 met en oeuvre une comparaison 404 de l'image de confiance IC reçue avec une image de confiance mémorisée dans le cadre d'une précédente saisie de données 30 confidentielles (étape 106). Si les images comparées sont identiques alors un message d'erreur est affiché 405 à l'écran 12, invitant l'utilisateur à saisir de nouvelles données de sélection (dans une nouvelle mise en oeuvre de l'étape 103). Ceci interdit à l'utilisateur de sélectionner une même image de confiance 5 dans l'image de référence, pour plusieurs saisies successives. Un utilisateur ayant pris l'habitude de sélectionner toujours la même image de confiance dans l'image de référence pourrait être victime d'attaques par hameçonnage mises en oeuvre par un programme malveillant qui se bornerait à n'afficher que cette même image de confiance ; cette 10 interdiction permet donc d'éviter une telle situation. Si les images comparées sont différentes, l'affichage 105 de l'image de confiance IC sur l'écran 12 est réalisé. L'image de confiance ne couvre de préférence pas une trop grande partie de l'image de référence, de préférence moins de 50% de celle-ci en 15 surface, ce qui permet de rendre plus ardues les tentatives de récupération de l'image de référence. Le procédé peut ainsi mettre en oeuvre une limitation de la surface de l'image de référence dans laquelle l'image de confiance peut être sélectionnée (ce qui revient à interdire la sélection d'une partie de 20 l'image de référence) ; ainsi, l'image de référence ne peut en aucun cas être reconstruite par l'image de référence. Le procédé peut également comprendre l'affichage à l'écran d'un message invitant l'utilisateur à changer l'image de référence après un 25 temps déterminé ou un nombre de saisie déterminé. Il peut en effet être considéré qu'après l'image de référence a été complètement dévoilée et il convient d'enrôler une nouvelle image de référence. Mode de réalisation à grille On a illustré sur la figure 5, différents états de l'écran du terminal 1 au cours de l'exécution du procédé de saisie, selon un premier mode de réalisation dit « à grille ». Dans ce mode de réalisation à grille, les moyens de saisie 14 5 consistent en un élément sensible au toucher compris dans l'écran d'affichage 12. De plus, dans une étape 102 réalisée avant l'acquisition 103 des données de sélection, le programme de confiance P commande l'affichage 102 d'un motif de partitionnement G prédéterminé. Le motif de partitionnement G comprend plusieurs régions R, chaque région 10 délimitant une région respective de l'image de référence. Un message invitant l'utilisateur à sélectionner un nombre N de régions R inférieur au nombre total de régions du motif de partitionnement G peut également être affiché au cours de l'étape 102. Chaque fois que l'utilisateur touche l'une des régions R sur l'écran 15 12, l'élément sensible au toucher acquiert 103 des données de sélection représentatives de la région touchée et transmet ces données de sélection au programme de confiance ; ensuite, la région correspondant à ces données de sélection est sélectionnée dans l'image de référence (étape 104). 20 L'étape 103 répétée N fois produit alors N données de sélection représentatives de N régions touchées par l'utilisateur. L'image de confiance IC produite à l'issue de l'étape 104 est alors l'union de N régions (connexes ou non) dans l'image de référence IR, correspondant aux régions R du motif de partitionnement touchées par 25 l'utilisateur sur l'écran tactile. On notera que, dans ce mode de réalisation à grille, les données de sélection peuvent être un simple indice de région R dans la grille G. La requête M1 envoyée au serveur 2 peut ainsi comprendre N indices de régions dans la grille affichée, tenant sur un nombre de bits réduit, ce qui 30 permet de réduire la taille de la requête M1 transférées entre le terminal 1 et le serveur 2 par rapport à des requêtes contenant des données de sélection plus complexes, telles qu'une ensemble de coordonnées de pixels. Dans l'exemple illustré sur la figure 5, le motif de partitionnement G est une grille de 3x4 cases carrées de mêmes dimensions et colorés selon une même couleur prédéterminée, la grille étant de dimensions superposables à l'image de référence ; en haut de l'écran, est affiché un message invitant l'utilisateur à toucher 3 cases parmi les 12 cases qui composent la grille. Chaque fois que l'utilisateur touche l'une des cases, le programme de confiance peut alors colorer chaque case touchée dans selon couleur différente des cases non-touchées dans le motif de partitionnement affiché à l'écran (image en haut à droite de la figure 5), afin de permettre à l'utilisateur de comprendre le nombre de cases qu'il a déjà sélectionnées et le nombre de cases qu'il lui reste à sélectionner. Sur l'image en haut à droite, trois régions de la grille ont été touchées par l'utilisateur. Si l'utilisateur touche une case qu'il a déjà touchée, le programme de confiance peut en outre « désélectionner » la case retouchée. L'étape 107 de saisie des données confidentielles peut être précédée de l'affichage d'une fenêtre semi-transparente affichée « au-dessus » de la grille G comme représenté sur l'image en bas à droite de la figure 5, la fenêtre invitant l'utilisateur à vérifier si l'image de confiance IC affichée est bien une partie de l'image de référence, et à rentrer ses données confidentielles (un code PIN dans l'exemple illustré) si tel est bien le cas. Mode de réalisation à tracé libre On a illustré sur la figure 6, différents états de l'écran du terminal au cours de l'exécution du procédé de saisie selon un deuxième mode de 30 réalisation dit« à tracé libre ». Tout comme dans la variante à grille, les données de sélection correspondent à une zone de l'écran tactile touché par l'utilisateur. Toutefois, dans la variante à tracé libre, cette zone n'est pas un ensemble de régions de taille prédéterminées, mais une zone libre T dessinée par l'utilisateur. Plus précisément, la zone touchée sur l'écran tactile par l'utilisateur est constituée d'un ensemble de points contigus de l'écran touchés depuis la mise en contact d'un corps extérieur avec l'écran tactile jusqu'à une mise hors contact subséquente du corps extérieur avec l'écran tactile (le corps extérieur étant typiquement un ou plusieurs doigts de l'utilisateur, un stylet, etc). Le procédé selon ce mode de réalisation à tracé libre peut ainsi comprendre une étape dans laquelle est affichée une image de couleur prédéfinie superposable à l'image de référence, et un message d'invitation à l'utilisateur à tracer une zone librement choisie par l'utilisateur. Le mode de réalisation à tracé libre permet une exécution très rapide de l'étape 103 d'acquisition des données de sélection, par un simple tracé de l'utilisateur sur l'écran tactile ; par ailleurs, les chances qu'un utilisateur sélectionne les mêmes pixels lors de deux saisies successives sont statistiquement très faibles ce qui contribue à complexifier la reconstruction de l'image de référence IR par un tiers à proximité. Le procédé selon le mode de réalisation à tracé libre peut 25 comprendre l'afficher la fenêtre semi-transparente décrite pour le mode de réalisation à grille. Autres modes de réalisation D'autres modes de réalisation non illustrés sont également 30 envisageables. L'image de référence IR étant stockée dans la mémoire 18 du terminal 1, les étapes décrites précédemment peuvent être mises en oeuvre localement par le programme de confiance P, sans le concours du serveur distant 2. Au cours de l'étape 104, le programme de confiance P accède alors à l'image de référence IR stockée dans la mémoire 18 du terminal 1 pour produire l'image de confiance à afficher ensuite. L'étape de mémorisation 106 de l'image de confiance peut également être effectuée non pas dans la mémoire 18 du terminal mais dans la mémoire 28 du serveur 2, avant l'étape 403. D'autres types de moyens de saisie 14 peuvent être utilisés dans le terminal, par exemple un clavier. Dans la variante à grille, des touches directionnelles du clavier peuvent être utilisées pour naviguer dans le motif de partitionnement et en sélectionner des régions R. Le procédé selon l'invention n'est pas limité au contexte de la saisie d'un code PIN mais peut être mis en oeuvre pour sécuriser la saisie d'autres types de codes d'authentification (par exemple un code d'accès à un site web ou à un service particulier fourni par le programme de confiance, ou, plus généralement, d'autres types de données confidentielles.20 REVENDICATIONS1. Procédé de saisie de données confidentielles sur un terminal (1) comprenant des moyens de saisie (14), des moyens (10) pour exécuter un 5 programme de confiance (P) et un écran d'affichage (12), le procédé comprenant les étapes suivantes mises en oeuvre avant la saisie (107): prise de contrôle exclusive (101) des moyens de saisie (14) par le programme de confiance (P), affichage (105) sur l'écran (12) d'une image de confiance (IC) 10 connue de l'utilisateur du terminal (1) et indicative de la prise de contrôle (101), le procédé étant caractérisé en ce qu'il comprend, après la prise de contrôle (101) et avant l'affichage (105), une étape de sélection (104) de l'image de confiance (IC) comme une partie d'une image de référence (IR) 15 prédéterminée par l'utilisateur, la sélection (104) étant variable d'une saisie à l'autre. 2. Procédé selon la revendication 1, dans lequel l'image de confiance est sélectionnée à partir de données de sélection choisies par l'utilisateur et 20 acquises (103) par les moyens de saisie (14) après la prise de contrôle (101). 3. Procédé selon l'une des revendications 1 et 2, dans lequel le programme de confiance (P) reçoit (403) l'image de confiance d'un 25 serveur distant (2). 4. Procédé selon les revendications 2 et 3 prises en combinaison, dans lequel la réception (403) de l'image de confiance (IC) est commandée par l'envoi (401) d'une requête au serveur distant, la requête étant générée 30 (400) par le programme de confiance (P) à partir des données de sélectionacquises (103), la sélection (402) de l'image de confiance étant mise en oeuvre par le serveur distant (2). 5. Procédé selon l'une des revendications 2 à 4, comprenant en outre 5 l'affichage (102) sur l'écran d'un motif de partitionnement (G) à N régions (R) avant l'affichage (105) de l'image de confiance (IC), chaque région (R) étant associée à une partie respective de l'image de référence (IR), les données de sélection acquises (103) par les moyens de saisie (14) étant représentatives d'un nombre inférieur à N de régions (R) du motif de 10 partitionnement (G), sélectionnées par l'utilisateur. 6. Procédé selon l'une des revendications 2 à 5, dans lequel, les moyens de saisie (14) comprenant un élément sensible au toucher, les données de sélection sont représentatives d'au moins une zone touchée par 15 l'utilisateur. 7. Procédé selon la revendication 6, dans lequel, l'élément sensible au toucher étant compris dans l'écran d'affichage (12), la zone touchée est représentative d'un ensemble de points contigus de l'écran (12) touchés 20 depuis la mise en contact d'un corps extérieur avec la dalle jusqu'à une mise hors contact subséquente dudit corps extérieur avec l'écran (12). 8. Procédé selon l'une des revendications 1 à 7, dont les étapes sont répétées pour plusieurs une première saisie et une deuxième saisie suivant 25 la première saisie, le procédé comprenant en outre les étapes de mémorisation (106) d'une première image de confiance affichée pour la première saisie, comparaison (404) entre une deuxième image de confiance à afficher pour la deuxième saisie avec la première image de 30 confiance mémorisée,la deuxième image de confiance étant affichée (105) seulement si elle diffère de la première image. 9. Produit programme d'ordinateur (P) de confiance comprenant des instructions de code de programme pour l'exécution des étapes suivantes, lorsqu'il est exécuté par un terminal (1) comprenant des moyens de saisie (14) et un écran d'affichage (12), avant une saisie (107) de données confidentielles : prendre un contrôle exclusif (101) des moyens de saisie, commander l'affichage (105) sur l'écran (12) d'une image de confiance (IC) indicative de la prise de contrôle, et le produit programme d'ordinateur (P) étant caractérisé en ce qu'il est en outre configuré pour commander la sélection (104) de l'image de confiance (IC) comme une partie d'une image de référence (IR) 15 prédéterminée par l'utilisateur, la sélection (104) étant variable d'une saisie à l'autre. 10. Terminal (1) comprenant des moyens de saisie (14), un écran d'affichage (12), et des moyens (10) pour exécuter un programme de 20 confiance (P) conforme à la revendication 9. 11. Terminal (1) selon la revendication 10, dans lequel les moyens de saisie (14) comprennent une dalle sensible au toucher. 25 12. Terminal (1) selon l'une des revendications 10 et 11, comprenant en outre des moyens pour communiquer avec un serveur distant (2), et dans lequel le produit programme d'ordinateur (P) est configuré pour : transmettre au serveur distant (2) une requête de sélection (M1) comprenant des données de sélection choisies par l'utilisateur et 30 acquises (103) par les moyens de saisie (14) après la prise de contrôle (101), et- recevoir (403) du serveur distant l'image de confiance (IC) sélectionnée en réponse à la requête. 13. Serveur (2) comprenant des moyen de traitement de données (20), des 5 moyens de communication (24) avec au moins un terminal (1) selon la revendication 12, les moyens de traitement de données étant configurés pour sélectionner une image de confiance (IC) comme une partie de l'image de référence (IR) prédéterminée, à partir de la requête de 10 sélection (M1) reçues par les moyens de communications (24), et transmettre au terminal (1) l'image de confiance (IC) sélectionnée. 14. Système (S) comprenant un terminal (1) selon la revendication 12 et un serveur selon la revendication 13.