FR 2830395 A1 20030404 FR 0112650 A 20011002 La présente invention concerne un système de contrôle d'autorisation d'une opération demandée par l'utilisateur d'un poste de travail à un tiers par le contrôle du gabarit biométrique de l'utilisateur du poste de travail, ce système comprenant un ensemble de postes de travail attribués chacun à un ou plusieurs utilisateurs et à un serveur, une opération n'étant acceptée que si elle est demandée à partir d'un poste déterminé et par l'utilisateur attitré de ce poste. L'échange d'informations par transmission électronique, notamment par un réseau tel que le réseau Internet, pose de sérieux problèmes de protection, en particulier si les informations à transmettre doivent permettre d'identifier l'émetteur de l'information. Il s'agit, par exemple, d'instructions transmises par Internet entre un poste de travail et un tiers, nécessitant de la part du tiers l'assurance que l'information est bien émise de manière autorisée par l'utilisation du poste de travail. Lorsque les deux intervenants, l'utilisateur du poste de travail et le tiers, sont en relation régulière, dans certains cas il est possible de crypter les informations pour les protéger. Mais le cryptage des informations n'est pratiquement pas possible pour des actes isolés ou des échanges peu fréquents ou qui ne permettent pas d'établir une liaison cryptée entre l'utilisateur et le tiers. Dans ces conditions, il serait souhaitable que le tiers puisse obtenir l'authentification de l'instruction qui lui a été donnée par l'utilisateur ou surtout que le tiers puisse s'assurer que l'utilisateur émetteur est bien autorisé à donner cette instruction. Il existe différents moyens permettant d'assurer cette authentification dans de telles conditions d'échange d'informations mais ces moyens sont plus ou moins fiables et surtout complexes à mettre en oeuvre, comme dans l'exemple cité ci-dessus du cryptage. La présente invention a pour but de développer un moyen permettant à un émetteur utilisant un poste de travail informatique, d'adresser une information ou une requête à un tiers destinataire et de permettre à celui-ci de vérifier que l'émetteur de la requête autorisé est bien le bon utilisateur. A cet effet, l'invention concerne un système de contrôle d'une signature électronique du type défini ci-dessus caractérisé en ce que chaque poste de travail est équipé d'un capteur d'un gabarit biométrique (empreinte digitale, iris de l'oeil, empreinte de la main), - au cours d'une phase préparatoire, l'utilisateur attitré du poste de tra- vail introduit son gabarit biométrique par le capteur qui donne un en- semble de signaux représentant ce gabarit biométrique de référence, - cet ensemble de signaux est réparti en deux sous-ensembles de si- gnaux dont aucun ne contient suffisamment d'informations pour re- constituer à lui seul le gabarit biométrique, * l'un des sous-ensembles est enregistré dans le poste d'utilisateur, * l'autre sous-ensemble est enregistré dans la base de données du serveur, - lors d'une requête à authentifier, demandée par l'utilisateur à un tiers, l'utilisateur envoie une requête d'opération au tiers ainsi que ses réfé- rences l'identifiant (identité et adresse), * le tiers demande au serveur d'authentifier l'opération en vérifiant que le donneur d'ordre est bien l'utilisateur autorisé du poste de travail émetteur de l'ordre, * le serveur reconstitue le gabarit biométrique de référence en re- groupant en lecture seule, le sous-ensemble enregistré dans le serveur sous la référence de l'utilisateur indiqué par le tiers et le sous-ensemble correspondant se trouvant dans le poste d'utilisateur, * le donneur d'ordre introduit en accessoire à l'envoi de son ordre, son empreinte biométrique par le capteur biométrique associé au poste d'utilisateur, cette empreinte biométrique étant alors com- parée au gabarit biométrique de référence, reconstitué pour cette seule comparaison, * en cas de concordance, le serveur confirme l'autorisation de l'ordre au tiers. La signature sous la forme de l'empreinte biométrique de l'utilisateur attitré du poste de travail est une marque d'identification particulièrement sûre et infalsifiable. En d'autres termes, une telle signature permet d'identifier l'émetteur de la requête et de vérifier qu'il a émis de manière autorisée à partir de son poste de travail. Dans le cas de la présente invention, un risque de vol de l'empreinte n'existe pas puisque le poste de travail ne contient qu'une partie de l'empreinte biométrique, encore appelée gabarit du signataire. L'autre partie de l'empreinte biométrique se trouve dans la base de données du serveur. Or, une partie seulement d'une empreinte biométrique ne permet en aucun cas d'identifier son signataire. Cela signifie que la base de données qui regroupe les secondes parties du gabarit des signataires utilisant le système de contrôle ne peut à aucun moment servir seule à identifier un signataire puisque les informations sont insuffisantes. Cela permet de combiner une très grande sécurité d'authentification de la signature électronique tout en respectant la réglementation de confidentialité et de non commucabilité relative aux personnes et aux fichiers informatiques. Suivant une caractéristique du système, le serveur effectue la comparaison entre les gabarits biométriques de référence et l'empreinte biométrique introduite dans le poste de travail au moment de l'émission de la requête en demandant au poste de travail l'envoi du sous-ensemble du gabarit biométrique de référence, en lecture seule, pour recomposer ce gabarit biométrique de référence par la combinaison des deux sousensembles puis effectue la comparaison et informe le tiers requérant de l'authenticité ou non de l'émetteur de la requête. Selon l'invention, le tiers qui demande au serveur l'authentification du gabarit n'a en aucune manière connaissance d'une partie ou de la totalité du gabarit mais il reçoit simplement une réponse confirmant ou infirmant l'authenticité du gabarit, c'est-à-dire l'authenticité du donneur d'ordre. En d'autres termes, si un donneur d'ordre se fait passer frauduleusement pour un utilisateur, même s'il envoie son propre gabarit au serveur, celui-ci ne pourra que constater que ce gabarit ne correspond pas au second gabarit enregistré dans sa base de données et la réponse à la requête du tiers sera une réponse négative. Le serveur ne peut pas non plus conserver la première partie du gabarit dans sa base de données puisque la comparaison se fait entre la partie du gabarit fournie par le poste de l'utilisateur et la partie du gabarit extraite de la base de données du serveur. La première partie du gabarit est fournie en lecture seule et ne peut être enregistrée dans la base de donnée ou être accessible d'une manière frauduleuse. Enfin pour compléter la protection, les échanges avec le serveur se font sous forme cryptée. Par mesure de sécurité pour que les informations ne restent pas définitivement enregistrées dans la base de données, les parties de gabarit inscrites dans la base de données sont effacées après un certain laps de temps à déterminer, par exemple un délai d'un an. La présente invention sera décrite ci après de manière plus détaillée à l'aide d'un système de contrôle d'une identité représentée à titre d'exemple dans l'unique figure annexée. Selon la figure, le système de contrôle est un système d'échange d'informations entre des postes de travail Pi, Pi+1, Pi+2 d'utilisateurs Ui, Ui+1, Ui+2 et un serveur S. Les postes de travail Pi sont reliés au serveur S par une ligne de transmission, par exemple le réseau Internet RES. Ce système de contrôle a pour but de permettre à un tiers T contacté à partir du poste de travail Pi, pour exécuter une instruction Ii, d'avoir la confirmation que le donneur d'ordre est bien celui qui a donné l'instruction et qu'il est autorisé à envoyer cette requête Ii à partir du poste Pi. En même temps que l'instruction Ii, l'utilisateur Ui du poste Pi envoie ses références l'identifiant (identité et adresse) Si. Le tiers ne peut de lui-même vérifier l'authenticité de l'identité et de l'adresse de l'utilisateur Ui. Pour cela, il s'adresse au serveur S et lui demande de vérifier que l'utilisateur Ui est bien l'utilisateur auquel est attribué le poste Pi. Pour émettre sa requête Ii, l'utilisateur Ui enregistre son empreinte biométrique par le lecteur LE du poste Pi. Cette empreinte reste dans le poste Pi pour vérification, seules les références d'identité et d'adresse étant envoyées au tiers en même temps que la requête Ii. Le tiers T demande au serveur S d'authentifier l'émetteur de la requête Ii. Pour cela, le serveur vérifie ou fait vérifier que les références de l'émetteur de la requête Ii correspondent bien à l'empreinte biométrique enregistrée dans le poste Pi au moment de l'émission de l'instruction Ii. Pour cette vérification, le serveur S doit vérifier la concordance entre l'empreinte biométrique et l'empreinte biométrique de référence de l'utilisateur Ui autorisé du poste Pi. Cette empreinte biométrique de référence est enregistrée dans les conditions suivantes : Au cours d'une phase initiale préparatoire, l'utilisateur attitré Ui du poste de travail Pi introduit son empreinte biométrique dans le système, de manière à protéger du point de vue de la protection des fichiers. Cette introduction préalable consiste pour l'utilisateur attitré Ui à introduire son empreinte biométrique ou gabarit biométrique par le capteur LE de son poste de travail Pi. Le capteur LE transforme l'image analogique de l'empreinte biométrique en un ensemble de signaux numériques GO constituant le gabarit biométrique de référence de l'utilisateur attitré Ui. Cet ensemble GO est réparti en deux sous-ensembles de signaux Gl, G2 selon une grille de répartition déterminée. Chaque sousensemble de signaux constitue une partie du gabarit biométrique de l'utilisateur attitré Ui mais aucun de ces sous-ensembles ne contient suffisamment d'informations pour reconstituer à lui seul le gabarit biométrique de l'utilisateur attitré Ui. Suivant la nature de l'empreinte ou gabarit biométrique choisie dans le système (empreinte digitale, iris de Foeil ou empreinte de la main), on aura un capteur approprié LE équipant le poste de travail Pi. Le sous-ensemble Gl est enregistré dans le poste d'utilisateur Ui sous une référence numérique choisie par le système. Le sous-ensemble est enregistré directement sur le disque dur du poste ou sur un moyen accessoire comme une carte à puce, une clé USB, un Ibutton ou plus généralement une mémoire connectable au poste de travail. L'autre sous-ensemble G2 est enregistré dans la base de données BD du serveur S sous un numéro d'identification. L'échange d'informations entre le poste de travail Pi et le serveur S pour la transmission du sous-ensemble G2 se fait en mode crypté et pour cela, le poste de travail Pi comporte des moyens de cryptage/décryptage CR/DCR. Il en est de même du serveur qui comporte des moyens de cryptage/décryptage CR/DCR travaillant suivant le sens de l'échange d'informations. Lorsque le poste de travail Pi est ainsi prêt pour l'envoi d'instructions ou de requêtes Ri, l'utilisateur attitré Ui peut se servir du poste Pi pour envoyer un requête Ii à un tiers T. Pour authentifier l'émetteur de la requête Ii, le tiers T s'adresse au serveur S pour lui demander cette authentification. Pour cela, le serveur S, recevant les références de l'émetteur de la requête Ii, cherche dans sa base BD le sous-ensemble G2 du gabarit biométrique associé à cette référence. Selon la conception du système, le serveur adresse alors son sous-ensemble G2 en lecture seule au poste Pi d'où a été émise la re- quête Ii et demande au poste de vérifier l'authenticité. Pour cela, le poste recombine les deux sous-ensembles Gl, G2 pour reconstituer le gabarit biométrique de référence GO en regroupant en lecture seule les sousensembles Gl, G2. Il peut ainsi comparer ce gabarit de référence GO au gabarit G introduit au moment de l'émission de la requête Ii. S'il y a concordance, il en informe le serveur qui authentifie la requête Ii chez le tiers. S'il n'y a pas concordance, une information correspondante est transmise au serveur qui à son tour en informe le tiers, pour lui indiquer que la requête Ii est émise par un utilisateur non autorisé. Selon une seconde solution, le serveur s effectue la comparaison. Pour cela, il demande au poste Pi de lui transmettre en lecture seule le sous-ensemble Gl enregistré dans le poste Pi pour reconstituer dans le serveur, toujours en lecture seule, le gabarit biométrique de référence GO. Le serveur demande également l'envoi du gabarit G introduit au moment de l'envoi de la requête Ii. Le serveur compare ce gabarit biométrique G au gabarit biométrique de référence et, suivant le résultat de la comparaison, il authentifie ou non l'opération chez le tiers. Cet échange d'informations entre le serveur et le poste utilisateur se fait dans les deux directions de manière cryptée. Le système de contrôle selon l'invention peut trouver une très grande diversité d'applications. Dans le cas le plus général, les postes de travail Pi attribués à des utilisateurs attitrés Ui sont des postes informatiques tels que des micro-ordinateurs, qui peuvent envoyer des requêtes à un tiers T extérieur par l'intermédiaire d'un réseau RES, Internet ou Intranet. Le serveur s peut être directement relié au poste Pi ou par l'intermédiaire d'un réseau RES. Le système peut également s'appliquer d'une manière plus locale et interne par exemple, et peut constituer un système d'accès à des sites protégés, le tiers T étant par exemple un actionneur de poste auquel un utilisateur autorisé Ui envoie une requête d'ouverture Ii en utilisant un poste d'accès en forme de poste de travail Pi équipé d'un lecteur d'empreintes biométriques LE. Si l'utilisateur Ui veut avoir un accès, il envoie une requête d'accès Ii qui peut être un simple actionnement d'une touche ou l'envoi d'un code au contrôleur d'accès constituant le tiers T et celui-ci demande l'authentification au serveur S. La procédure d'authentification se déroule comme indiqué ci dessus. Ce système de contrôle ne nécessite pas de protocole d'échange d'informations particulier entre un poste Pi et un tiers T. Ce tiers peut être un commerçant sur le réseau Internet et le poste Pi, un acheteur qui souhaite passer un ordre d'achat Ii pour un produit ou un service identifié. Le tiers T doit s'assurer que l'instruction Ii provient bien du poste Pi et que cette instruction a été envoyée de manière autorisée. Le caractère autorisé est la confirmation de l'identité entre le donneur ou utilisateur du poste Pi qui a donné l'instruction Ii et sa signature dont une partie est enregistrée dans le serveur. Ce système de contrôle a l'avantage d'être protégé vis-à-vis d'accès extérieurs. Les informations échangées entre les postes Pi et le serveur S sont de préférence cryptées par des moyens de cryptage CR et décryptées par des moyens de décryptage DCR. Il respecte également les droits des personnes puisque le serveur S est détenteur seulement d'une partie de la signature électronique de l'utilisateur sous forme d'une partie de son gabarit, sans pouvoir avec cette partie de gabarit, reconstituer la signature complète. REVENDICATIONS l') Système de contrôle d'autorisation d'une opération demandée par l'utilisateur d'un poste de travail à un tiers par le contrôle du gabarit biométrique de l'utilisateur du poste de travail, ce système comprenant un ensemble de postes de travail (Pi) attribués chacun à un ou plusieurs utilisateurs (Ui) et à un serveur (S), une opération (Ii) n'étant acceptée que si elle est demandée à partir d'un poste déterminé et par l'utilisateur attitré de ce poste, caractérisé en ce que chaque poste de travail (Pi) est équipé d'un capteur (LE) d'un gabarit biométrique (empreinte digitale, iris de l'oeil, empreinte de la main), - au cours d'une phase préparatoire, l'utilisateur attitré (Ui) du poste de travail (Pi) introduit son gabarit biométrique par le capteur (LE) qui donne un ensemble de signaux représentant ce gabarit biométrique de référence (GO), - cet ensemble de signaux est réparti en deux sous-ensembles de si- gnaux (Gl, G2) dont aucun ne contient suffisamment d'informations pour reconstituer à lui seul le gabarit biométrique, * l'un des sous-ensembles (Gl) est enregistré dans le poste d'utilisateur (Ui), * l'autre sous-ensemble (G2) est enregistré dans la base de données du serveur (S), - lors d'une requête (Ii) à authentifier, demandée par l'utilisateur à un tiers (T), l'utilisateur envoie une requête d'opération (Ii) au tiers (T) ainsi que ses références l'identifiant (identité et adresse), * le tiers (T) demande au serveur (S) d'authentifier l'opération en vé- rifiant que le donneur d'ordre est bien l'utilisateur autorisé du poste de travail émetteur de l'ordre, * le serveur (S) reconstitue le gabarit biométrique de référence (GO) en regroupant en lecture seule, le sous-ensemble (G2) enregistré dans le serveur (S) sous la référence de l'utilisateur indiqué par le tiers (T) et le sous-ensemble (Gl) correspondant se trouvant dans le poste d'utilisateur (Pi), * le donneur d'ordre introduit en accessoire à l'envoi de son ordre (Ii), son empreinte biométrique (G) par le capteur biométrique (LE) associé au poste d'utilisateur (Pi), cette empreinte biométrique (G) étant alors comparée au gabarit biométrique de référence (GO), re- constitué pour cette seule comparaison, * en cas de concordance, le serveur (S) confirme l'autorisation de l'ordre au tiers (T). 2 ) Système selon la revendication 1, caractérisé en ce que le serveur (S) effectue la comparaison entre les gabarits biométriques de référence (GO) et l'empreinte biométrique (G) introduite dans le poste de travail (Pi) au moment de l'émission de la requête (Ii) en demandant au poste de travail (Pi) l'envoi du sous-ensemble (Gl) du gabarit biométrique de référence, en lecture seule, pour recomposer ce gabarit biométrique de référence (GO) par la combinaison des deux sous-ensembles (Gl, G2) puis effectue la comparaison et informe le tiers requérant (T) de l'authenticité ou non de l'émetteur de la requête (Ii). 3 ) Système selon la revendication 1, caractérisé en ce que la comparaison d'authentification entre l'empreinte (G) introduite au moment de l'émission de la requête (li) et le gabarit biométrique de référence (GO) est faite dans le poste de travail (Pi) ayant émis la requête (Ii) et pour cela, le poste (Pi) demande le sous-ensemble (G2) du gabarit biométrique au serveur pour reconstituer en lecture seule le gabarit biométrique de référence (GO), effectuer la comparaison et transmettre au serveur le résultat de la comparaison (authentification/non-authentification) pour que le serveur (S) puisse en informer le tiers (T). 4 ) Système selon la revendication 1, caractérisé en ce que les échanges d'informations entre le poste de travail (Pi) et le serveur (S) sont faits sous forme cryptée. 5 ) Système selon la revendication 1, caractérisé en ce que le sous-ensemble (Gl) est enregistré sur le disque dur du poste de travail ou un support de mémoire connectable au poste de travail tel qu'une carte à puce, une clé USB, un Ibutton.