FR 3023042 A1 20160101 FR 1456222 A 20140630 Procédé d'affichage d'une grille de saisie d'un mot de passe sur un terminal utilisateur La présente invention concerne un procédé d'affichage d'une grille de saisie d'un mot de passe sur un terminal utilisateur. Il repose sur la présentation de grilles de saisie successives différentes comprenant chacune une partie d'une information. Les grilles, affichées selon une fréquence donnée permettent à l'utilisateur, grâce à un mécanisme de persistance rétinienne, d'avoir une sensation de visualisation de l'information complète et en continu. L'invention trouve une application particulièrement intéressante dans la protection de l'accès à des services sensibles contre des attaques au moyen de logiciels espion, installés sur le terminal de l'utilisateur à l'insu de celui-ci. On connaît diverses méthodes d'authentification par mot de passe. Avec une telle méthode, il est demandé à l'utilisateur de saisir un mot de passe qu'il a préalablement choisi. Dans le cas d'un mot de passe de type code personnel d'identification (on parle habituellement de code « PIN » pour « Personal Identification Number »), il est habituel d'afficher un clavier numérique sur un terminal avec écran tactile afin que l'utilisateur tape un code à quatre chiffres correspondant à son code PIN. Dans un exemple de saisie d'un code pin, les chiffres sont positionnés de manière aléatoire sur le clavier numérique lors d'une demande d'authentification afin de limiter les risques d'espionnage. Cependant, une telle méthode peut s'avérer non sûre si l'utilisateur est situé dans un environnement hostile, où toutes les actions qu'il fait peuvent être épiées et analysées. On connaît ainsi des logiciels espion (de type « keylogger » et/ou « spyware » en anglais) capables d'enregistrer tous les faits et gestes de l'utilisateur sur son terminal : accès au clavier, déplacement et clics de souris, capture d'écran de manière périodique et envoi de ces informations à un serveur distant. Il est alors facile pour une personne malintentionnée d'obtenir des données sensibles d'identification et d'authentification telles que des numéros de cartes bancaires, des mots de passe, etc., même lorsque celles-ci sont saisies sur un écran tactile. Cette personne peut ensuite accéder à des comptes personnels de l'utilisateur en utilisant ces données d'identification et d'authentification. Avec la multiplication des terminaux intelligents, tels que des smartphones, qui accèdent au réseau Internet et qui peuvent être infectés de la même manière qu'un ordinateur, les fraudes de ce genre se multiplient. On comprend qu'une méthode d'authentification par mot de passe reste fragile, voire insuffisante en termes de sécurité. Un des buts de l'invention est de remédier à des insuffisances/inconvénients de l'état de la technique et/ou d'y apporter des améliorations. A cette fin, l'invention propose un procédé d'affichage d'une grille de saisie d'un mot de passe sur un terminal utilisateur, ladite grille comprenant une pluralité d'images affichables, une image affichable comprenant au moins un signe, l'image affichable étant destinée à être sélectionnée par l'utilisateur en tant que composante du mot de passe, le procédé comprend les étapes suivantes : - génération de la grille de saisie, les images affichables étant positionnées de manière aléatoire dans la grille, - pour un signe composant l'image, génération d'un aléa propre au signe de l'image, - affichage du signe à une position obtenue pour l'image à partir de la grille de saisie, lorsque l'aléa propre au signe est inférieur à une probabilité d'affichage, les étapes de génération de l'aléa et d'affichage du signe étant réitérées à intervalles réguliers. Le procédé d'affichage d'une grille de saisie de mot de passe est résistant à des attaques connues qui utilisent des logiciels espions capables de récupérer des informations sensibles par observation de ce qui se passe sur le terminal de l'utilisateur. En effet, de tels logiciels installés sur le terminal à l'insu de l'utilisateur ne disposent du processeur du terminal que pour un quantum de temps donné, au même titre que d'autres processus qui s'exécutent sur le terminal. Ainsi, lorsque le logiciel espion réalise par exemple une image d'écran, celle-ci correspond à un instantané de ce qui est affiché et qui est stocké en mémoire pendant ce quantum de temps. Le procédé propose de n'afficher et ne stocker dans la mémoire du terminal qu'une partie de l'information nécessaire à l'utilisateur et de faire varier cette partie d'information de manière à ce que l'utilisateur perçoive une information complète. Pour cela, le procédé utilise la capacité de l'oeil à créer une continuité d'images alors que celles-ci sont décomposées en images partielles. Il est en effet connu que les cellules de la rétine de l'oeil gardent en mémoire une image pendant environ un dixième de seconde. Ce phénomène est connu sous le nom de persistance rétinienne. Ainsi, lors d'une authentification de l'utilisateur depuis son terminal, basée de manière classique sur la saisie par cet utilisateur d'un mot de passe comprenant une pluralité d'images affichables, l'utilisateur voit sur son écran la pluralité d'images affichables en continu. Il peut ainsi sélectionner les composantes de son mot de passe. Cependant, l'affichage consiste à afficher à des intervalles de temps successifs des grilles de saisie courantes qui ne comprennent qu'une partie des images affichables. Des paramètres de configuration tels qu'un délai de rafraîchissement qui définit la durée de l'intervalle de temps et une probabilité d'affichage sont choisis de façon à ce que l'utilisateur ait une impression d'affichage continu de la grille de saisie complète. Cependant, une grille de saisie courante, affichée pendant un intervalle de temps courant ne comprend qu'une partie des informations de la grille de saisie. Un logiciel espion qui fait une copie d'écran à un instant donné, n'obtient donc qu'une vue erronée de la grille de saisie puisqu'il obtient la grille de saisie courante qui ne comprend qu'une partie des informations affichables. Il ne peut donc en déduire les images affichables et reconstituer le mot de passe de l'utilisateur. Avec le procédé d'affichage d'une grille de saisie de mot de passe, l'utilisateur a une sensation de vision d'information complète et continue alors qu'une capture d'écran à un instant donné ou sur une période donnée ne permet d'obtenir que des informations partielles, voire brouillées. Dans un cas où les images affichables sont formées d'une pluralité de signes, les grilles de saisie courantes, qui comprennent pour une image affichable donnée, une partie des signes de l'image, fournissent très peu d'information significative lors d'une copie d'écran à un instant donné. La décomposition des images affichables en signes augmente ainsi le niveau de sécurité. D'autre part, le procédé qui sécurise des méthodes de saisie de mot de passe classiques, basées par exemple sur la saisie de quatre chiffres ou d'une suite de quelques caractères significatifs pour l'utilisateur permet de ne pas complexifier ces méthodes pour lutter contre les attaques connues. En effet, une possibilité pour pallier les attaques connues serait d'utiliser des mots de passe plus complexes, basés par exemple sur des codes, des images, des ordonnancements, etc. Avec le procédé décrit, l'utilisateur continue à saisir les mots de passe au format habituel tout en ayant l' assurance d'un niveau de sécurité plus élevé. Dans un mode de réalisation, l'image affichable est composée d'un unique signe. Dans ce mode de réalisation, une image affichable entière est, ou n'est pas affichée à un instant donné dans une grille de saisie courante. Le procédé est moins complexe à mettre en oeuvre et nécessite moins d'espace mémoire. En effet, il manipule moins de données. Par exemple, un seul aléa doit être généré par image affichable. Dans un autre mode de réalisation, l'ensemble de signes d'une image affichable forme un chiffre. Ce mode de réalisation est adapté à la saisie de mots de passe de type code PIN. Dans un mode de réalisation, la grille comprend au moins un emplacement vide. De façon avantageuse, un bruit affichable est affiché, le bruit affichable comprenant au moins un signe de bruit. L'introduction de signes de bruit dans les grilles de saisie courantes est destinée à complexifier l' analyse de copies d'écran faites à différents instants tout en maintenant le procédé de saisie par l'utilisateur confortable. Les signes de bruit, non significatifs et non gênants pour l'utilisateur lorsqu'il saisit son mot de passe, sont destinés augmenter le nombre de signes affichés dans une grille de saisie courante. Plus il y a de signes affichés sur une grille et plus une analyse à un instant donné de la grille est compliquée. Dans un exemple de réalisation, le procédé comprend en outre les étapes suivantes : - génération aléatoire pour un emplacement vide d'un signe de bruit, - génération d'un aléa propre au signe de bruit, - affichage du signe de bruit lorsque l'aléa propre au bruit est inférieur à une probabilité d' affichage d'un bruit, les étapes de génération d'un signe de bruit, de génération d'un aléa propre au signe de bruit et d' affichage du signe de bruit étant réitérées à intervalles réguliers. Les bruits ne perturbent pas l'utilisateur lors de la saisie d'un mot de passe. En effet, un bruit affiché à un instant donné dans un emplacement donné de la grille de saisie courante a de fortes probabilités d'être remplacé dans l'emplacement donné par un autre signe ou par un « caractère espace » (ou « du vide ») dans une grille de saisie courante suivante. Le phénomène de persistance rétinienne est donc sans effet avec les bruits. L'utilisateur perçoit souvent dans ces emplacements un clignotement qu'il ne peut confondre avec les images affichables qu'il peut sélectionner en tant que composantes de son mot de passe. Dans un mode de réalisation, le délai de rafraîchissement est compris entre 5 ms et 40 MS. On considère que cet intervalle permet d'offrir à l'utilisateur une impression visuelle confortable lors de l' affichage d'une grille de saisie est confortable. On considère que cette impression est confortable lorsque des clignotements de l'affichage sont réduits au minimum. Dans ce cas l'utilisateur n'a aucun effort à faire pour visualiser les images affichables de la grille de saisie. Dans un autre mode de réalisation, la probabilité d'affichage est comprise entre 0,3 et 0,6. Des tests ont permis de mettre en avant que plus la probabilité d' affichage était faible et plus il était difficile d'obtenir une copie d'écran significative dans le sens où cette copie se suffit à elle-même pour reconstituer facilement la grille de saisie initiale. L'intervalle de valeurs proposé ici représente les valeurs optimum pour la probabilité d' affichage. L'invention concerne aussi un terminal utilisateur adapté pour afficher une grille de saisie d'un mot de passe, ladite grille comprenant une pluralité d'images affichables, une image affichable comprenant au moins un signe, l'image affichable étant destinée à être sélectionnée par l'utilisateur en tant que composante du mot de passe, le terminal comprenant : - des premiers moyens de génération, agencés pour générer la grille de saisie, les images affichables étant positionnées de manière aléatoire dans la grille, - des deuxièmes moyens de génération, agencés pour générer un aléa propre au signe de l'image, - des moyens d' affichage, agencés pour afficher le signe à une position obtenue pour l'image à partie de la grille de saisie, lorsque l' aléa propre au signe est inférieur à une probabilité d' affichage, - des moyens d'itération, agencés pour itérer la génération de l'aléa et l'affichage du signe à des instants successifs associés à un délai de rafraîchissement. L'invention porte également sur un programme d'ordinateur sur un support de données et chargeable dans la mémoire d'un ordinateur, le programme comprenant des instructions de code pour l'exécution des étapes du procédé d'affichage d'une grille de saisie d'un mot de passe tel que décrit précédemment, lorsque le programme est exécuté sur ledit ordinateur. L'invention concerne aussi un support de données dans lequel est enregistré le programme décrit précédemment. D'autres caractéristiques et avantages de la présente invention seront mieux compris de la description et des dessins annexés parmi lesquels : - la figure 1 présente les étapes d'un procédé d'affichage d'une grille de saisie d'un mot de passe sur un terminal utilisateur, selon un premier mode de réalisation ; - la figure 2 présente les étapes d'un procédé d'affichage d'une grille de saisie d'un mot de passe sur un terminal utilisateur, selon un deuxième mode de réalisation ; - les figures 3a et 3b présentent des exemples de grilles de saisie obtenues à des instants différents, telles qu'elles apparaissent à l'utilisateur lors d'un procédé de saisie de mot de passe ; - la figure 4 est une représentation schématique d'un terminal utilisateur, adapté pour la mise en oeuvre du procédé d'affichage d'une grille de saisie d'un mot de passe, selon un exemple de réalisation de l'invention. Les étapes d'un procédé d' affichage d'une grille de saisie d'un mot de passe, selon un premier exemple de réalisation, vont maintenant être décrites en relation avec la figure 1. On suppose qu'un utilisateur a accès à un terminal muni de moyens d'affichage et de moyens de saisie. Le terminal est par exemple un ordinateur personnel, un terminal mobile de type smartphone, une tablette numérique, etc. Le terminal peut également être une borne de saisie d'une enseigne, la borne étant reliée à un serveur de traitement. Le terminal peut communiquer avec un serveur distant pour accéder à un service. Les moyens d' affichage sont par exemple un écran. Les moyens de saisie sont par exemple un clavier. Dans un exemple de terminal muni d'un écran tactile, l'écran constitue également les moyens de saisie. Le terminal, ou le serveur distant, est agencé pour mémoriser une application qui comprend des instructions de code pour mettre en oeuvre les étapes du procédé d'affichage d'une grille de saisie sur les moyens d'affichage du terminal. Dans une étape initiale EO de configuration, il est généré une grille de saisie initiale et il est choisi des paramètres de configuration. La grille de saisie initiale comprend une pluralité d'emplacements. Un emplacement est destiné à accueillir une image affichable, ou à être vide. Une image affichable est une image visible, par exemple un caractère alphanumérique, tel une lettre ou un chiffre, un caractère de ponctuation, une image simple, c'est-à-dire non composée de plusieurs images simples, un symbole simple, etc. Dans l'exemple de réalisation décrit ici, on considère que les images affichables sont des chiffres et que le mot de passe à saisir est un code « PIN » (de l'anglais « Personal Identification Number »). On considère par ailleurs que les images affichables sont composées d'au moins un signe. Typiquement, un chiffre peut être composé de signes de type segments verticaux et/ou horizontaux. Par exemple, le chiffre « 2 » peut être affiché au moyen de trois segments horizontaux et deux segments verticaux. Dans un exemple de réalisation, un signe peut être réduit à un point. Dans cet exemple, un chiffre est composé d'un ensemble de points et peut être représenté par une matrice de points. Lors de la génération de la grille de saisie initiale, les images affichables sont positionnées de manière aléatoire dans les emplacements de la grille. On suppose que la taille et le nombre d'emplacements de la grille de saisie sont adaptés au nombre d'images affichables que la grille de saisie est censée héberger. Il est habituel que la grille possède plus d'emplacements que d'images affichables, certains des emplacements restant alors vides. A noter que lors de cette étape EO de configuration, la grille de saisie, et plus précisément les images affichables, ne sont pas affichées sur l'écran du terminal de l'utilisateur. La grille de saisie ainsi générée et la position des images affichables dans les emplacements de la grille sont mémorisées dans une mémoire du terminal mobile. Deux exemples de grilles de saisie initiales sont représentées sur les figures 3a et 3b : ce sont les grilles ga0 et gb0. On remarque qu'elles comprennent des emplacements vides, représentés sur les figures par le caractère underscore « _ » pour des raisons de lisibilité. Lors de l'étape EO de configuration, il est également déterminé un délai de rafraîchissement A et une probabilité d'affichage PA. Le délai de rafraîchissement A correspond à un intervalle de temps pendant lequel une grille de saisie courante est affichée à l'écran. La probabilité d'affichage PA est destinée à déterminer si un signe ou une image affichable de la grille de saisie initiale doit ou non être affiché dans une grille de saisie courante présentée à l'écran pendant un intervalle de temps courant. De manière classique, la probabilité d'affichage PA est une valeur comprise dans un intervalle [0, 11. Dans une étape suivante El de génération d'aléas, il est généré un aléa pour chaque signe compris dans une image affichable de la grille initiale. Ainsi, pour le chiffre 2, cinq aléas sont générés, chacun des aléas étant propre à un signe qui compose le chiffre. L'aléa est choisi dans le même intervalle de valeurs que la probabilité d'affichage PA, en l'espèce dans l'intervalle [0, 11. Il est destiné à être comparé à la probabilité d'affichage PA. Dans une étape suivante E2 d'affichage, une grille de saisie courante est affichée à l'écran. Un signe d'une image affichable comprise dans la grille de saisie initiale est affiché dans la grille de saisie courante si l'aléa propre à ce signe, généré au cours de l'étape El, est inférieur à la probabilité d'affichage PA. Bien sûr, on comprend que lorsque l'aléa propre à un signe est inférieur à la probabilité d'affichage, le signe est affiché dans la grille de saisie courante à la même position que celle qu'il occupe dans la grille de saisie initiale générée au cours de l'étape initiale E0. Si l'aléa est supérieur à la probabilité d'affichage, rien n'est affiché dans l'emplacement du signe. La grille de saisie courante est affichée pendant un intervalle de temps courant A,, égal au délai de rafraîchissement A. Au terme de l'intervalle de temps courant A,, les étapes El de génération d'aléas et E2 d'affichage sont réitérées. A chaque itération, une nouvelle grille de saisie courante est donc affichée. On comprend qu'un signe qui était affiché à l'instant précédent peut ne pas être affiché dans cette nouvelle grille de saisie, selon la valeur de l'aléa généré pour le signe lors de cette itération. Une succession de grilles de saisie courantes est alors affichée, chacune des grilles étant affichée pendant un intervalle de temps courant de durée égale au délai de rafraîchissement. Un signe qui forme une partie d'une image affichable est, ou n'est pas, affiché pendant cet intervalle de temps courant, en fonction de l'aléa propre à ce signe généré lors d'une itération de l'étape El de génération d'aléas. Ainsi, pendant un intervalle de temps courant A,, une partie seulement de l'information importante qui forme l'ensemble des images affichables proposées pour la saisie d'un mot de passe est affichée. Cette partie est renouvelée à chaque intervalle de temps selon la probabilité d'affichage et l'aléa généré. Le délai de rafraîchissement A' qui détermine la durée d'un intervalle de temps courant, et la probabilité d'affichage PA sont fixés préalablement et de telle manière que l'utilisateur a, grâce à un mécanisme de persistance rétinienne, une sensation de vision continue de l'information importante, alors qu'à un instant donné, seule une partie de l'information est présente dans une mémoire du terminal et affichée à l'écran. Ainsi, une capture d'écran à l'instant donné ne permet d'obtenir qu'une partie de l'information alors que l'utilisateur a l'impression de visualiser une information complète et en continu. Le procédé utilise la capacité de l'utilisateur à mémoriser une information ayant disparu grâce à la persistance rétinienne. La persistance rétinienne est la capacité de l'oeil à créer une continuité d'images alors que celles-ci sont en fait décomposées. Cela est dû au fait que les cellules de la rétine de l'oeil gardent en mémoire une image pendant environ un dixième de seconde, même après sa disparition. Une image reste ainsi « imprimée » sur la rétine pendant cette durée approximative avant que les cellules de la rétine ne redeviennent de nouveau sensibles à la lumière. Les paramètres de configuration sont choisis de telle façon que l'utilisateur perçoit visuellement et à tout moment la grille de saisie initiale, c'est-à-dire une grille de saisie complète, mais qu'une copie d'écran à un instant donné ne permet pas à une personne malveillante d'obtenir ou de deviner la grille de saisie complète. Des tests ont ainsi permis de déterminer un intervalle de valeurs optimal pour la probabilité d' affichage PA. On s'aperçoit en effet que plus la probabilité d' affichage est faible et plus il est difficile d'obtenir une copie d'écran significative dans le sens où cette copie se suffit à elle-même pour reconstituer facilement la grille de saisie initiale. La probabilité d'affichage PA est choisie de préférence dans l'intervalle [ 0,3 ; 0,6 1. Des valeurs proches des bornes de cet intervalle sont également acceptables. De même, le délai de rafraîchissement A est choisi de telle manière que l'impression visuelle pour l'utilisateur lors de l'affichage d'une grille de saisie est confortable. On considère que cette impression est confortable lorsque des clignotements de l'affichage sont réduits au minimum Dans ce cas l'utilisateur n' a aucun effort à faire pour visualiser les images affichables de la grille de saisie. Le délai de rafraîchissement A est de préférence choisi dans l'intervalle de valeurs [ 5 ms ; 40 ms 1. Des valeurs proches des bornes de cet intervalle sont également acceptables. Le mode de réalisation est décrit ici avec des signes. Bien sûr, il s'applique également au cas où des images affichables sont affichées dans la grille de saisie. Dans ce cas, une image affichable est composée d'un seul signe. Les images affichables sont par exemple des chiffres, des caractères alphanumériques, des images simples, des symboles simples, etc. Le procédé s'applique également à un cas où un signe est réduit à un point. Dans un autre mode de réalisation, non représenté, il est ajouté un paramètre de couleur à un signe et éventuellement à un bruit. Dans ce cas, au cours de l'étape El de génération d'aléas, une couleur est associée de manière aléatoire à un signe. Si au cours de l'étape E2 d'affichage le signe est affiché, alors il l'est dans la couleur choisie. L' ajout d'un paramètre de couleur complexifie pour un attaquant l'analyse et le recoupement d'informations à partir de copies d'écran. Dans un autre mode de réalisation, une valeur de luminance est associée à un signe et éventuellement à un bruit. Dans ce cas, au cours de l'étape El de génération d'aléas, une valeur de luminance est choisie aléatoirement et associée à un signe. Si le signe est affiché lors de l'étape E2 d'affichage, alors il est affiché selon une intensité lumineuse conforme à la valeur de luminance. La valeur de luminance perturbe l'analyse par un attaquant de copies d'écran. Bien sûr dans une variante, une couleur et une valeur de luminance est associée à un signe. Dans l'exemple de réalisation décrit ici, une grille de saisie comprend les images affichables et éventuellement des emplacements vides. Ces emplacements restent vides lors de l'affichage de grilles de saisie courantes successives. Dans un autre mode de réalisation, décrit en relation avec la figure 2, du bruit est ajouté dans les grilles de saisie courantes. Un bruit est destiné à être affiché dans des emplacements vides d'une grille de saisie de manière à rendre encore plus complexe l'analyse de copies d'écran réalisées par un logiciel espion installé sur le terminal de l'utilisateur à l'insu de celui-ci. Un bruit est une image affichable ou l'équivalent d'un caractère espace. Dans ce dernier cas, un bruit affiché dans une grille de saisie courante correspond à un emplacement vide. Un bruit affichable est composé d'au moins un signe. Un signe peut être réduit à un point. On remarque qu'un signe de bruit ou un bruit sont comparables à un signe ou une image affichable. Ils diffèrent uniquement dans ce pourquoi ils sont utilisés : une image affichable ou un signe sont destinés à permettre à l'utilisateur de saisir les composantes de son mot de passe. Le signe de bruit ou le bruit sont destinés à perturber l'affichage à un instant donné, afin qu'un attaquant qui obtiendrait une copie d'écran à cet instant ne puisse distinguer un emplacement vide dans la grille de saisie d'un emplacement dédié à la saisie. Dans une étape EO' de configuration, une grille de saisie initiale est générée. Cette grille comprend au moins un emplacement vide. De manière comparable à l'étape EO du mode de réalisation décrit précédemment, il est choisi un délai de rafraîchissement A et une probabilité d'affichage PA. Il est choisi également une probabilité d'affichage d'un bruit PB. La probabilité d'affichage d'un bruit PB n'est pertinente que pour les emplacements vides de la grille de saisie initiale. La probabilité d'affichage d'un bruit PB est destinée à déterminer si un signe de bruit doit ou non être affiché dans une grille de saisie courante présentée à l'écran pendant un intervalle de temps courant, plus précisément dans un emplacement initialement vide de la grille de saisie initiale. De manière classique, la probabilité de bruit PB est une valeur comprise dans l'intervalle [0, 11. Dans une étape suivante El' de génération d'aléas, identique à l'étape El du mode précédemment décrit, il est généré un aléa propre à chaque signe compris dans une image affichable de la grille de saisie initiale. Dans une étape E2' de génération de bruits, il est choisi de manière aléatoire pour chaque emplacement vide un bruit dans un ensemble constitué des bruits qui forment les images affichables de la grille de saisie initiale et du caractère espace. Dans une étape E3' de génération d'aléas de bruit, il est généré un aléa propre à chacun des signes qui composent un bruit. Un aléa propre à un signe de bruit est choisi dans le même intervalle de valeurs que la probabilité d'affichage d'un bruit PB, en l'espèce ici dans l'intervalle [0, 11. Bien sûr, l'étape El' peut être exécutée après les étapes E2' et E' 3, voire entre les étapes E2' et E3'. Dans une étape E4' d'affichage, une grille de saisie bruitée est affichée à l'écran. Bien sûr, on comprend qu'une grille de saisie bruitée est une grille de saisie dans laquelle un signe de bruit est affiché dans un emplacement vide. Un signe d'une image affichable comprise dans la grille de saisie initiale est affiché dans la grille de saisie bruitée courante si l'aléa propre à ce signe, généré au cours de l'étape El', est inférieur à la probabilité d'affichage PA. Le signe est affiché dans la grille de saisie courante à la même position que celle qu'il occupe dans la grille de saisie initiale générée au cours de l'étape initiale E0'. En d'autres termes, cet affichage est comparable à l'étape d'affichage E2 du premier mode de réalisation. Un signe de bruit généré au cours de l'étape E2' pour un emplacement vide déterminé est affiché si l'aléa propre au bruit est inférieur à la probabilité d'affichage du bruit PB. Il est bien sûr affiché dans l'emplacement pour lequel il a été choisi au cours de l'étape E2'. La grille de saisie bruitée courante est affichée pendant un intervalle de temps courant At' égal au délai de rafraîchissement A. Au terme de l'intervalle de temps courant At' les étapes El' de génération d'aléas, E2' de génération de bruits, E3' de génération d'aléas propres aux bruits et E4' d'affichage sont réitérées. A chaque itération, une nouvelle grille de saisie courante est donc affichée. On remarque qu'un nouveau bruit est généré aléatoirement à chacune des itérations de ces étapes. Un signe de bruit qui compose le signe de bruit est ou n'est pas affiché, selon la comparaison de l'aléa propre au bruit à la probabilité d'affichage d'un bruit PB. En tout état de cause, il y a une probabilité importante qu'un signe de bruit affiché dans deux grilles de saisie courantes successives soit différent puisque le signe de bruit est généré pour chaque itération de ces étapes. Puisque les signes de bruits successifs affichés dans un emplacement vides sont a priori différents d'une grille de saisie courante à une autre, l'oeil perçoit un clignotement dans ces emplacements. Par contre, les signes de la grille de saisie initiale apparaissent à l'utilisateur comme une information affichée en continue. La vision de l'utilisateur n'est donc pas perturbée par les signes de bruits qui s'affichent. Par contre, un attaquant qui recevrait des copies d'écran réalisées à des instants différents serait perturbé par ces signes de bruits et aurait beaucoup de mal, en recoupant les informations affichées récupérées de plusieurs copies d'écran à déterminer quel(s) signes font partie de la grille de saisie initiale. Dans ce mode de réalisation, l'espionnage par copie d'écran est rendu très complexe et nécessite des moyens d'analyse importants. La probabilité d'affichage d'un bruit PB est une valeur comprise dans l'intervalle [0, 11. Elle est cependant de préférence supérieure à zéro. En effet, dans le cas où la probabilité d'affichage du bruit est nulle, un bruit n'est jamais affiché dans une grille de saisie courante. On remarque par ailleurs que plus la probabilité d'affichage d'un bruit PB est élevée et plus il y a de chance qu'un signe soit toujours affiché dans un emplacement dédié au bruit. Plus la probabilité d'affichage d'un bruit PB diminue et plus il y a de chances de voir des emplacements vides dans les grilles de saisie courantes. Cela accentue pour l'utilisateur l'impression de clignotement dans certains emplacements de la grille de saisie. Il y a donc peu d'ambiguïté qu'il confonde un bruit avec une image affichable sélectionnable comme composante de son mot de passe. Le deuxième mode de réalisation est décrit ici avec des signes de bruit. Bien sûr, il s'applique également à des bruits comparables à des images affichables. Dans ce cas, une image affichable et un bruit sont composés d'un seul signe. Les images affichables et les bruits sont par exemple des chiffres, des caractères alphanumériques, des images simples, des symboles simples, etc. Le procédé s'applique également à un cas où un signe est réduit à un point. Dans un autre exemple de réalisation, il est associé à un signe et à un signe de bruit un paramètre de couleur et/ou un paramètre de luminance. La valeur des paramètres de couleur et/ou de luminance sont choisies aléatoirement pour les signes et pour les signes de bruit au cours des étapes El' de génération d'aléas et E3' de génération d'aléas de bruit. Le sparamètres de couleur et/ou de luminance influent l'affichage des signes et des signes de bruit au cours de l'étape E4' d'affichage. Dans un autre mode de réalisation, applicable à l'affichage d'une grille bruitée et d'une grille non bruitée, le positionnement de la grille peut être soumis à un mouvement brownien de quelques pixels. En d'autres termes entre un intervalle de temps donné et un intervalle de temps suivant, l'affichage des signes dans la grille subit un léger déplacement. Un mouvement brownien est un mouvement aléatoire et statistiquement, le déplacement observé est nul. Vu de l'utilisateur, un tel mouvement n'est pas perceptible ou en tout état de cause, ne perturbe pas l'utilisateur. Par contre, un tel déplacement est perceptible sur des copies d'écran successives et perturbe l'analyse et le recoupement d'informations par un attaquant. Afin d'illustrer le procédé d'affichage de grilles de saisie d'un mot de passe décrit précédemment, des exemples de grilles de saisie sont présentées aux figures 3a et 3b. Un premier exemple de grille de saisie initiale et de grilles de saisie courantes affichées pendant des intervalles de temps différents Ti, T2, T3, T4 est fourni avec la figure 3a. Les grilles de saisie courantes gal, gal, ga3, ga4 comprennent des images affichables. Elles ont été obtenues au moyen d'une copie d'écran. Les paramètres de configuration choisis pour cet affichage sont : - taux de rafraîchissement A, : 10 ms, - probabilité d'affichage PA : 0,6, - probabilité de bruit PB : 0,75. La grille de saisie initiale ga0 comprend des emplacements vides, par exemple les deux premiers emplacements de la première ligne. L'affichage est bruité. On remarque ainsi que les images affichables représentatives d'un bruit varient d'un affichage à un autre. Par exemple, les emplacements situés sur la première ligne et les deux premières colonnes prennent lors des affichages successifs les valeurs (6, 1), ( , 0), (6, 2) et ( , 0). Le phénomène de persistance rétinienne permettrait peut-être de croire que les chiffres 6 et 0 sont respectivement en première ligne, première colonne et première ligne deuxième colonne. Or, s'agissant de bruit, il est fort probable que sur des copies d'écran suivantes d'autres chiffres apparaissent à ces positions. Ce bruit peut donc induire un attaquant en erreur et lui faire reconstituer une grille de saisie erronée à partir de peu de copies d'écran. Par ailleurs, il n'est pas évident, à partir des copies d'écran correspondant aux grilles courantes gal, gal, ga3, ga4, même au vu de la grille de saisie initiale ga0 de déterminer les chiffres qui font partie de la grille de saisie initiale. Même si on devine que le chiffre «4 » figure sur la deuxième ligne, deuxième colonne, puisqu'il apparaît à cette position dans trois grilles de saisie courantes, l'exercice n'est pas si facile pour d'autres chiffres, par exemple le chiffre « 3 ». Ainsi, attaquant doit, pour essayer d'obtenir un code secret d'utilisateur, faire une certaine quantité de copies d'écran et à partir de ces copies mettre en oeuvre un algorithme particulier afin de reconstituer la grille de saisie initiale. Cela complexifie la technique d'attaque actuelle qui nécessite peu de copies d'écran. Un deuxième exemple de grille de saisie initiale et de grilles de saisie courantes affichées pendant des intervalles de temps différents est fourni avec la figure 3b. Les grilles de saisie courantes gbl, gb2, gb3, gb4 comprennent des signes en tant que parties d'images affichables. Elles ont été obtenues au moyen d'une copie d'écran à des instants Ti, T2, T3, T4 différents. Elles sont issues de la grille de saisie initiale gb0. Les paramètres de configuration choisis pour cet affichage sont : - taux de rafraîchissement A, : 10 ms, - probabilité d'affichage PA : 0,6, - probabilité de bruit PB : 0,1. La grille de saisie initiale gb0 comprend des emplacements vides, par exemple les trois premiers emplacements de la première ligne. L'affichage est bruité et les images sont constituées de signes, ici des segments de droite. Avec une telle représentation, le chiffre « 4 » est formé de trois segments, le chiffre « 5 » de cinq segments. D'emblée, on remarque qu'il est très difficile, à partir d'une copie d'écran de deviner des chiffres. On visualise tout au plus le chiffre « 4 » dans la grille gal, le chiffre « 9 » dans le grille gb2 et le chiffre « 5 » dans la grille gal Par contre, si l'on essaie de faire un recoupement entre toutes les grilles de saisie, on ne peut pas confirmer que tous ces chiffres sont bien ceux qui font probablement partie de la grille de saisie initiale gb0 et ce, même en disposant de la grille de saisie initiale. Un attaquant qui ne dispose pas de la grille de saisie initiale gb0, aura donc des difficultés à reconstituer la grille de saisie initiale à partir de copies d'écran. On remarque que quatre grilles de saisies sont largement insuffisantes pour reconstituer tout ou partie de la grille de saisie initiale. Les techniques d'attaque actuellement disponibles pour épier un écran et les actions de l'utilisateur afin d'obtenir un mot de passe qu'il saisit ne permettent pas d'obtenir ces informations lorsque le procédé décrit ici est mis en oeuvre. Ces techniques qui reposent sur une copie unique d'écran ne permettent d'obtenir qu'une bribe d'information, non significative. Un terminal utilisateur 40, selon un exemple de réalisation, va maintenant être décrit en relation avec la figure 4. Le terminal utilisateur 40 est destiné à afficher des grilles de saisie de mot de passe afin que l'utilisateur sélectionne les composantes de son mot de passe. Une telle grille est affichée lors de l'accès à un service sensible qui nécessite une authentification de l'utilisateur. Le terminal utilisateur 40 est un dispositif informatique, par exemple un ordinateur personnel, un terminal mobile de type smartphone, une tablette numérique, etc. Le terminal peut également être une borne de saisie d'une enseigne, la borne étant reliée à un serveur de traitement. Le terminal peut communiquer avec un serveur distant pour accéder à un service. Le terminal utilisateur 40 comprend des moyens d'affichage 401, destinés à afficher les grilles de saisie à l'attention de l'utilisateur. Les moyens d'affichage 401 sont par exemple un écran. Dans un exemple de réalisation, l'écran est un écran tactile qui constitue également des moyens de saisie. Une grille de saisie d'un mot de passe, comprend une pluralité d'images affichables. Une image affichable est une image visible, par exemple un caractère alphanumérique, tel une lettre ou un chiffre, un caractère de ponctuation, une image simple, c'est-à-dire non composée de plusieurs images simples, un symbole simple, etc. Dans un exemple de réalisation, où le mot de passe à saisir est un code PIN, les images affichables sont des chiffres. On considère par ailleurs que les images affichables sont composées d'au moins un signe. Typiquement, un chiffre peut être composé de signes de type segments verticaux et/ou horizontaux. Par exemple, le chiffre « 2 » peut être affiché au moyen de trois segments horizontaux et deux segments verticaux. Dans un exemple de réalisation un signe peut être réduit à un point. Le terminal utilisateur 40 comprend : - une unité de traitement ou processeur 402, ou "CPU" (de l'anglais "Central Processing Unit"), destiné à charger des instructions en mémoire, à les exécuter, à effectuer des opérations ; - un ensemble de mémoires, dont une mémoire volatile 403, ou "RAM" (pour "Random Access Memory") utilisée pour exécuter des instructions de code, stocker des variables, etc., et une mémoire de stockage 404 de type « EEPROM » (de l'anglais « Electrically Erasable Programmable Read Only Memory »). La mémoire de stockage 404 est en particulier agencée pour mémoriser le programme d'affichage d'une grille de saisie. La mémoire de stockage est également agencée pour mémoriser un ou des mots de passe de l'utilisateur, utilisés lors de l'accès de l'utilisateur à un ou des services sensibles ; Le terminal utilisateur 40 comprend également : - des premiers moyens de génération 405, agencés pour générer la grille de saisie initiale, les images affichables étant positionnées de manière aléatoire dans la grille. La grille de saisie initiale est stockée en mémoire vive 403. Une grille de saisie courante, obtenue à partir de la grille de saisie initiale et affichée pendant un intervalle de temps At est destinée à n' afficher qu'une partie de la grille de saisie initiale. Les premiers moyens de génération 405 sont agencés pour mettre en oeuvre les étapes E0, E0' du procédé d'affichage d'une grille de saisie décrit précédemment ; - des deuxièmes moyens de génération 406, agencés pour générer un aléa propre au signe de l'image. Les deuxièmes moyens de génération 406 sont agencés pour mettre en oeuvre les étapes El et El' du procédé décrit précédemment ; - les moyens d' affichage 401, agencés pour afficher le signe à une position obtenue pour l'image à partie de la grille de saisie, lorsque l' aléa propre au signe est inférieur à une probabilité d'affichage. Dans un mode de réalisation, les moyens d'affichage 401 sont également agencés pour afficher les signes de bruit. Les moyens d'affichage sont agencés pour mettre en oeuvre les étapes E2 et E4' du procédé décrit précédemment ; - des moyens d'itération 407, agencés pour itérer la génération de l' aléa et l' affichage du signe à des instants successifs associés à un délai de rafraîchissement. Les moyens d'itération sont agencés pour itérer les étapes El et E2 du procédé décrit précédemment. Dans un mode de réalisation (non représenté), le terminal 40 comprend également des moyens de génération de bruits, agencés pour générer de manière aléatoire des signes de bruit dans les emplacements vides de la grille de saisie initiale. Dans ce mode, il comprend également des moyens de génération d'aléas de bruit agencés pour générer un aléa de bruit propre à chaque signe de bruit. Les moyens d'affichage 401, les premiers moyens de génération 405, les deuxièmes moyens de génération 406 et les moyens d'itération sont de préférence des modules logiciels comprenant des instructions logicielles pour faire exécuter les étapes du procédé d'authentification précédemment décrit. L'invention concerne donc aussi : - un programme d'ordinateur comportant des instructions pour la mise en oeuvre du procédé d'affichage d'une grille de saisie d'un mot de passe tel que décrit précédemment lorsque ce programme est exécuté par un processeur du terminal utilisateur ; - un support d'enregistrement lisible sur lequel est enregistré le programme d'ordinateur décrit ci-dessus. Les modules logiciels peuvent être stockés dans, ou transmis par un support de données. Celui-ci peut être un support matériel de stockage, par exemple un CD-ROM, une disquette magnétique ou un disque dur, ou bien un support de transmission tel qu'un signal ou un réseau de télécommunication.25 REVENDICATIONS1. Procédé d'affichage d'une grille de saisie d'un mot de passe sur un terminal utilisateur, ladite grille comprenant une pluralité d'images affichables, une image affichable comprenant au moins un signe, l'image affichable étant destinée à être sélectionnée par l'utilisateur en tant que composante du mot de passe, le procédé comprend les étapes suivantes : - génération (EO, EO') de la grille de saisie, les images affichables étant positionnées de manière aléatoire dans la grille, - pour un signe composant l'image, génération (El, El') d'un aléa propre au signe de l'image, - affichage (E2, E4') du signe à une position obtenue pour l'image à partir de la grille de saisie, lorsque l'aléa propre au signe est inférieur à une probabilité d'affichage, les étapes de génération de l'aléa et d'affichage du signe étant réitérées à intervalles réguliers. 2. Procédé d'affichage d'une grille selon la revendication 1, dans lequel l'image affichable est composée d'un unique signe. 3. Procédé selon l'une des revendications précédentes, dans lequel l'ensemble de signes d'une image affichable forme un chiffre. 4. Procédé selon l'une des revendications précédentes, dans lequel la grille comprend au moins un emplacement vide. 5. Procédé selon l'une des revendications précédentes, dans lequel un bruit affichable est affiché, le bruit affichable comprenant au moins un signe de bruit. 6. Procédé selon la revendication 5, comprenant en outre les étapes suivantes : - génération (E2') aléatoire pour un emplacement vide d'un signe de bruit, - génération (E3') d'un aléa propre au signe de bruit, - affichage (E4') du signe de bruit lorsque l'aléa propre au bruit est inférieur à une probabilité d'affichage d'un bruit, les étapes de génération d'un signe de bruit, de génération d'un aléa propre au signe de bruit et d'affichage du signe de bruit étant réitérées à intervalles réguliers.35 7. Procédé selon l'une des revendications précédentes, dans lequel le délai de rafraîchissement est compris entre 5 ms et 40 ms. 8. Procédé selon l'une des revendications précédentes, dans lequel la probabilité d'affichage est comprise entre 0,3 et 0,6. 9. Terminal utilisateur (40) adapté pour afficher une grille de saisie d'un mot de passe, ladite grille comprenant une pluralité d'images affichables, une image affichable comprenant au moins un signe, l'image affichable étant destinée à être sélectionnée par l'utilisateur en tant que composante du mot de passe, le terminal comprenant : - des premiers moyens de génération (405), agencés pour générer la grille de saisie, les images affichables étant positionnées de manière aléatoire dans la grille, - des deuxièmes moyens de génération (406), agencés pour générer un aléa propre au signe de l'image, - des moyens d'affichage (401), agencés pour afficher le signe à une position obtenue pour l'image à partie de la grille de saisie, lorsque l'aléa propre au signe est inférieur à une probabilité d' affichage, - des moyens d'itération (407), agencés pour itérer la génération de l'aléa et l'affichage du signe à des instants successifs associés à un délai de rafraîchissement. 20 10. Programme d'ordinateur sur un support de données et chargeable dans la mémoire d'un ordinateur, le programme comprenant des instructions de code pour l'exécution des étapes du procédé d'affichage d'une grille de saisie d'un mot de passe selon l'une des revendications 1 à 8, lorsque le programme est exécuté sur ledit ordinateur. 11. Support de données dans lequel est enregistré le programme selon la revendication 25 10. 30