FR 3037692 A1 20161223 FR 1555508 A 20150616 1 La présente invention concerne la biométrie et plus particulièrement un procédé d'identification biome-trique. Dans le présent document, le terme « empreinte » est utilisé pour désigner un ensemble de caractéristiques biométriques, ou minuties, d'une personne et notamment un ensemble de caractéristiques biométriques d'au moins un de ses doigts, une de ses paumes, d'une partie de son réseau veineux, d'un iris d'au moins un de ses yeux, de son visage, d'une oreille, voire les caractéristiques de sa voix.... ETAT DE LA TECHNIQUE L'identification biométrique est basée sur la comparaison d'une empreinte candidate à une empreinte de référence. L'empreinte de référence est enregistrée dans une mémoire telle que celle d'une carte à circuit intégré ou d'un serveur informatique et la comparaison est effectuée par un circuit intégré (celui de la carte à circuit intégré ou l'un de ceux du serveur). L'empreinte candidate est capturée sur la personne que l'on souhaite iden- tifier. La comparaison vise à déterminer un score de l'empreinte candidate en fonction de la proximité entre les caractéristiques de l'empreinte candidate et de l'empreinte de référence. L'identification de la personne à identifier est validée lorsque le score de l'empreinte candidate dépasse un seuil prédéterminé. Il existe des techniques de fraude consistant à analyser la consommation électrique du circuit intégré, le temps d'exécution et le rayonnement électromagnétique produit lors d'opérations successives d'identification réalisées à partir d'une même empreinte candidate à la- quelle de légères modifications ont été apportées d'une opération d'identification à l'autre. Le but de l'analyse de l'alimentation, du temps d'exécution et du rayonnement électromagnétique du circuit intégré est de déterminer l'impact des modifications de l'empreinte candidate sur 3037692 2 les paramètres analysés et d'en déduire l'évolution du score résultant de ces modifications. Menée à son terme, une telle analyse, si elle prend du temps, permet néanmoins d'élaborer une empreinte candidate susceptible de 5 valider l'identification. OBJET DE L'INVENTION Un but de l'invention est de fournir un moyen pour améliorer la résistance des procédés d'identification aux fraudes. 10 BREF EXPOSE DE L'INVENTION A cet effet, on prévoit, selon l'invention, un procédé d'identification biométrique comprenant les étapes de comparer une empreinte candidate à une empreinte de référence et de valider l'identification en 15 fonction d'un nombre de caractéristiques communes aux deux empreintes et d'un seuil prédéterminé de validation. Le procédé comprend les étapes d'altérer des caractéristiques de l'une des deux empreintes préalablement à la comparaison et de tenir compte de l'altération lors la 20 validation. Ainsi, lors d'une attaque de l'algorithme d'identification par modifications successives d'une même empreinte candidate, une partie de l'évolution du score résulte de la prise en compte des caractéristiques alté- 25 rées, ce qui va fausser le résultat de l'attaque. L'attaquant n'ayant lui aucun moyen de savoir si l'évolution du score résulte de la prise en compte de caractéristiques altérées, la sélection des modifications à conserver est rendue complexe et difficile, voire impos- 30 cible. D'autres caractéristiques et avantages de l'invention ressortiront à la lecture de la description qui suit de modes de réalisation particuliers non limitatifs de l'invention. 35 BREVE DESCRIPTION DES FIGURES 3037692 3 Il sera fait référence à la figure unique annexée représentant schématiquement un dispositif d'identification pour la mise en oeuvre du procédé de l'invention. 5 DESCRIPTION DETAILLEE DE L'INVENTION L'invention est ici décrite en application à une identification biométrique sur la base d'une empreinte digitale. Il va de soi que l'invention est applicable à tout type de biométrie et peut par exemple porter sur les 10 caractéristiques d'un iris d'au moins un oeil, les carac- téristiques d'un réseau veineux, les caractéristiques d'un visage ou d'une oreille, les caractéristiques de la voix... En référence à la figure 1, le procédé de 15 l'invention est ici mis en oeuvre au moyen d'un dispositif d'identification comprenant : au moins un organe de capture d'empreinte digitale 10 ; un lecteur de carte à circuit intégré 20 ; une unité informatique 30 reliée au dispositif de capture 10 et au lecteur 20 ; et au moins 20 une carte à circuit intégré 40. L'organe de capture d'empreinte digitale 10 comprend ici un capteur optique mais d'autres technologies sont utilisables. Le lecteur 20 est ici un lecteur de type à contact. L'unité informatique 30 comporte ici un processeur et des mémoires et 25 est agencée pour exécuter un premier programme mettant en oeuvre le procédé de l'invention. Le circuit intégré de la carte à circuit intégré comprend un processeur et une mémoire pour exécuter un second programme mettant en oeuvre le procédé de 30 l'invention au moyen d'un algorithme de traitement et comparaison d'empreintes (on parle de programme de « matching » dans la suite). La carte à circuit intégré 40 est remise à un utilisateur du dispositif. La mémoire de la carte contient également des caractéristiques d'une em- 35 preinte de référence constituée d'une empreinte digitale 3037692 4 de l'utilisateur à qui la carte à circuit intégré 40 a été remise et, éventuellement, une identification de l'utilisateur, comme son nom, et des droits attachés à l'utilisateur comme le droit de pénétrer tels lieux ou 5 d'accéder à tels fichiers, documents ou informations... Ainsi, de manière connue en elle-même, préalablement à la mise en oeuvre du procédé d'identification est réalisée une opération d'enrôlement au cours de laquelle : 10 - des caractéristiques biométriques d'une em- preinte de référence de l'utilisateur sont capturées ; - ces caractéristiques biométriques de l'empreinte de référence sont enregistrées dans la mémoire du circuit intégré de la carte à circuit intégré. 15 Le procédé d'identification biométrique selon l'invention débute par les étapes de : - capturer des caractéristiques biométriques d'une empreinte candidate sur le même doigt d'un candidat à l'identification ; 20 - les transmettre au circuit intégré de la carte qui met en oeuvre l'algorithme de « matching ». Ces étapes sont réalisées par l'unité informatique 30 commandant l'organe de capture d'empreinte digitale 10 et le lecteur de carte à circuit intégré 20. 25 Le procédé de « matching » comprend les étapes suivantes : - aligner les caractéristiques biométriques de l'empreinte candidate de telle manière que l'empreinte candidate soit orientée et centrée comme l'empreinte de 30 référence ; - comparer les caractéristiques biométriques de l'empreinte candidate aux caractéristiques biométriques mémorisées de l'empreinte de référence ; - calculer un score de l'empreinte candidate en 35 fonction d'un nombre de caractéristiques communes aux 3037692 5 deux empreintes ; - valider l'identification si le score de l'empreinte candidate est supérieur à un seuil prédéterminé de validation. 5 La comparaison des caractéristiques biométriques des empreintes est effectuée en tentant d'apparier chaque caractéristique biométrique de l'empreinte candidate avec l'une des caractéristiques biométriques de l'empreinte de référence. Le score est calculé en fonction des apparie- 10 ments réalisés. Ces étapes sont connues en elles-mêmes et ne seront pas détaillées ici. Selon l'invention, le procédé comprend en outre les étapes d'altérer une majorité des caractéristiques de 15 l'une des deux empreintes préalablement à la comparaison et de tenir compte de l'altération lors la validation. Trois modes de mise en oeuvre particuliers du pro- cédé d'identification de l'invention sont décrits ci-après. 20 Dans le premier mode de mise en oeuvre, l'altération comprend une opération de masquage d'une partie des caractéristiques biométriques de l'empreinte candidate. Le masquage est ici réalisé en établissant un 25 vecteur d'aléas (entiers de huit bits non signés par exemple) de même taille que le nombre de caractéristiques de l'empreinte. Le masquage est réalisé après l'extraction de caractéristiques de l'empreinte candidate. Chaque caractéristique de l'empreinte est conservée 30 si la valeur du vecteur associé à l'empreinte est infé- rieure à une valeur prédéfinie (230, par exemple pour un masquage de 10%). Cette opération de masquage intervient avant la comparaison des caractéristiques biométriques et, éven- 35 tuellement, avant l'opération d'alignement de l'empreinte 3037692 6 candidate. Le masquage porte sur 10 à 20 % des caractéris- tiques biométriques de l'empreinte candidate et est défi- ni aléatoirement après chaque capture d'une empreinte 5 candidate. Ainsi, une même empreinte candidate capturée et comparée deux fois successivement ne donnera pas le même score. Bien entendu, le calcul du score tient compte du fait que seuls 80 à 90 % de l'empreinte candidate sont 10 visibles. En variante, le masquage porte sur l'empreinte de référence. Si des caractéristiques biométriques ajoutées sur l'empreinte candidate par l'attaquant correspondent à des 15 caractéristiques biométriques non masquées de l'empreinte de référence, il s'en suit une évolution favorable du score lors de l'identification. Mais, lors de l'identification suivante, les caractéristiques biométriques de l'empreinte de référence qui sont masquées 20 sont différentes de la fois précédente et il est probable qu'une partie des caractéristiques biométriques préalablement ajoutées ne va plus correspondre aux caractéristiques biométriques non masquées de l'empreinte de référence. Ainsi, ces caractéristiques biométriques préala- 25 blement ajoutées à l'empreinte candidate qui avaient fait monter le score n'auront pas d'incidence favorable sur celui-ci. Dans le deuxième mode de mise en oeuvre, l'altération comprend une opération de déformation d'une 30 partie des caractéristiques biométriques de l'empreinte de référence. La déformation porte sur la position en X, la po- sition en Y ou l'angle. La position en X ou Y est codée sur huit bits et la déformation consiste ici à modifier 35 deux des valeurs de ces huit bits. A titre d'exemple, on 3037692 7 modifie la valeur de X et Y jusqu'à un maximum de ±2 sur les 256 valeurs possibles de X et Y (ce qui représente une variation maximale de 0,78% de la plage de valeurs). L'angle est codé sur quatre bits et la déformation con- 5 ciste à modifier une des valeurs de ces bits. A titre d'exemple, on modifie la valeur de l'angle jusqu'à un maximum de ±1 sur les 128 valeurs possibles de l'angle (ce qui représente une variation maximale de 1,57% de la plage de valeurs). 10 Cette déformation est déterminée de manière aléa- toire et appliquée avant chaque alignement. Il en résulte que le score peut évoluer en raison de l'appariement d'une caractéristique biométrique de l'empreinte candidate avec une caractéristique biome- 15 trique déformée de l'empreinte de référence. Si un fraudeur présentait deux fois la même empreinte, le score ne sera pas identique pour les deux identifications. L'introduction d'un tel aléa complique la reconstitution de tout ou partie de l'empreinte de ré- 20 férence. Dans le troisième mode de mise en oeuvre, l'altération comprend une opération d'ajout de caractéristiques biométriques factices aléatoirement choisies dans une bibliothèque de caractéristiques biométriques 25 factices mémorisées dans la mémoire de la carte à circuit intégré. L'algorithme calcule deux scores, à savoir un premier score qui évolue au fur et à mesure que des caractéristiques biométriques de l'empreinte candidate sont 30 appariées avec des caractéristiques biométriques réelles de l'empreinte de référence et un deuxième score qui évolue au fur et à mesure que des caractéristiques biome-triques de l'empreinte candidate sont appariées avec des caractéristiques biométriques factices de l'empreinte de 35 référence. De préférence, lorsque qu'une des caractéris- 3037692 8 tiques biométriques de l'empreinte candidate ne peut être appariée avec des caractéristiques biométriques réelles ou factices de l'empreinte de référence, on provoquera une augmentation du deuxième score. 5 La validation intervient à la fin de la comparai- son lorsque le premier score est supérieur au seuil prédéterminé. En variante du troisième mode de mise en oeuvre, l'ajout de caractéristiques biométriques factices aux ca10 ractéristiques biométriques réelles est effectué une seule fois lors de l'enrôlement. Pour que la fraude soit plus difficile, il est nécessaire que le nombre de caractéristiques biométriques factices ajoutées soit au moins égal et de préférence supérieur au nombre de caractéris- 15 tiques biométriques réelles de l'empreinte de référence. Au fur et à mesure que des caractéristiques biométriques de l'empreinte candidate sont appariées à des caractéristiques biométriques réelles ou factices de l'empreinte de référence, sont calculés le score et un 20 ratio entre le nombre de caractéristiques biométriques réelles appariées et le nombre de caractéristiques biométriques factices appariées. Pour que l'identification soit validée, il faut que : 25 - le score soit supérieur au seuil prédéterminé, et - le ratio soit supérieur à une valeur prédéterminée, ici deux. La validation n'est donc possible que si le 30 nombre de caractéristiques biométriques réelles appariées est au moins égal à deux fois le nombre de caractéristiques biométriques factices appariées. Pour s'assurer du respect de ces deux conditions, lorsque le score arrive au voisinage du seuil prédétermi- 35 né alors que le ratio n'a pas atteint la valeur prédéter- 3037692 9 minée, on bloque l'évolution du score tant que le ratio n'a pas dépassé la valeur prédéterminée. Pour éviter qu'une stagnation du score n'éveille les soupçons d'un fraudeur, il peut être envisagé de faire varier légère- 5 ment et aléatoirement le score à chaque appariement à une caractéristique biométrique factice sans pour autant que ce score dépasse le seuil. Comme alternative dans cette variante, et comme précédemment, il est possible de calculer un premier 10 score relatif aux appariements de caractéristiques biomé- triques réelles et un score relatif aux appariements de caractéristiques biométriques factices. Ces deux calculs doivent être réalisés de manière symétrique pour ne pas être révélés à un éventuel fraudeur. 15 Bien entendu, l'invention n'est pas limitée aux modes de réalisation décrits mais englobe toute variante entrant dans le champ de l'invention telle que définie par les revendications. En particulier, l'altération peut porter sur 20 l'empreinte de référence ou sur l'empreinte candidate. Lorsque l'altération est un masquage portant sur l'empreinte de référence, le masquage est de préférence effectué préalablement à chaque identification, après le chargement en mémoire de l'empreinte précédant la compa- 25 raison. Le type d'altération peut être modifié après chaque identification, ou le type d'altération peut être sélectionné aléatoirement. L'altération porte sur une majorité des caracté30 ristiques ou une partie significative de celles-ci, c'est-à-dire une partie suffisante pour modifier notablement le score d'une comparaison à l'autre d'une même empreinte candidate altérée différemment pour les deux comparaisons. 35 Les minuties factices peuvent aussi être choisies 3037692 10 et différentes pour chaque nouvelle phase de matching. Elles peuvent être choisies suivant des procédés permettant de simuler au mieux des vraies minuties en s'appuyant sur l'empreinte de référence. 5 Tout type d'algorithme de matching est utilisable et par exemple un algorithme fonctionnant à partir des distances entre minuties sans alignement préalable de celles-ci. Les caractéristiques biométriques peuvent être 10 fournies directement par un organe de lecture ou capture biométrique ou être transférées par exemple depuis une base de données ou capturées. Le terme « empreinte » est employé dans le pré- sent document comme désignant un ensemble de caractéris- 15 tiques biométriques d'une personne de sorte que l'invention n'est aucunement limitée à une application aux empreintes digitales. REVENDICATIONS1. Procédé d'identification biométrique comprenant les étapes de comparer une empreinte candidate à une empreinte de référence et de valider l'identification en fonction d'un nombre de caractéristiques proches des deux empreintes et d'un seuil prédéterminé de validation, caractérisé en ce que le procédé comprend les étapes d'altérer des caractéristiques biométriques de l'une des deux empreintes préalablement à la comparaison et de te- nir compte de l'altération lors la validation. 2. Procédé selon la revendication 1, dans lequel l'altération porte sur l'empreinte de référence. 3. Procédé selon la revendication 1, dans lequel l'altération comprend l'étape d'ajouter, lors de l'enregistrement de l'empreinte de référence, des caractéristiques biométriques factices aux caractéristiques biométriques réelles de l'empreinte de référence. 4. Procédé selon la revendication 1, dans lequel l'altération porte sur l'empreinte candidate. 5. Procédé selon la revendication 1, comprenant préalablement à la comparaison une étape d'alignement des empreintes, l'altération d'empreinte étant effectuée avant l'alignement des empreintes. 6. Procédé selon la revendication 1, dans lequel l'altération est un masquage d'une partie de l'empreinte. 7. Procédé selon la revendication 1, dans lequel l'altération est une déformation d'au moins une partie de l'empreinte. 8. Procédé selon la revendication 1, dans lequel l'altération est un ajout de caractéristiques biome-triques factices à des caractéristiques biométriques réelle de l'empreinte. 9. Procédé selon la revendication 8, dans lequel les caractéristiques biométriques factices aux caracté- 3037692 12 ristiques biométriques réelle de l'empreinte de référence et la validation comprend l'étape de calculer un premier score qui évolue au fur et à mesure que des caractéristiques biométriques de l'empreinte candidate sont appa- 5 riées avec des caractéristiques biométriques réelles de l'empreinte de référence et un deuxième score qui évolue au fur et à mesure que des caractéristiques biométriques de l'empreinte candidate sont appariées avec des caractéristiques biométriques factices de l'empreinte de réfé- 10 rente, la validation intervenant à la fin de la comparai- son lorsque le premier score est supérieur au seuil prédéterminé 10. Procédé selon la revendication 9, dans lequel lorsque qu'une des caractéristiques biométriques de 15 l'empreinte candidate ne peut être appariée avec des ca- ractéristiques biométriques réelles ou factices de l'empreinte de référence, le deuxième score augmente. 11. Procédé selon la revendication 8, dans lequel les caractéristiques biométriques factices aux caracté- 20 ristiques biométriques réelle de l'empreinte de réfé- rence, dans lequel au fur et à mesure que des caractéristiques biométriques de l'empreinte candidate sont appariées à des caractéristiques biométriques réelles ou factices de l'empreinte de référence, sont calculés un score 25 et un ratio entre le nombre de caractéristiques biomé- triques réelles appariées et le nombre de caractéristiques biométriques factices appariées et dans lequel pour que l'identification soit validée, il faut que - le score soit supérieur au seuil prédéterminé, 30 et - le ratio soit supérieur à une valeur prédéterminée. 12. Procédé selon la revendication 11, dans lequel, lorsque le score arrive au voisinage du seuil pré- 35 déterminé alors que le ratio n'a pas atteint la valeur 3037692 13 prédéterminée, on fait varier aléatoirement le score à chaque appariement à une caractéristique biométrique factice sans pour autant que ce score dépasse le seuil.