FR 2930830 A1 20091106 FR 0802426 A 20080430 RESSOURCE DE CONFIANCE INTEGREE A UN DISPOSITIF DE CONTROLE DE DONNEES BIOMETRIQUES ASSURANT LA SECURITE DU CONTROLE ET CELLE DES DONNEES L'objet de la présente invention concerne une ressource de confiance intégrée dans un dispositif ayant notamment pour fonction de contrôler des données biométriques et d'assurer leur sécurité ou confidentialité. La ressource est placée en coupure entre un émetteur et un récepteur. Elle trouve aussi son utilisation de manière plus générale pour la sécurisation des équipements de contrôle biométrique (terminaux biométriques), de la mise en oeuvre de bases de données biométriques et de titres électroniques dits � biométriques � (carte d'identité, passeport,...). Lors du contrôle de passeport, elle permet de sécuriser les données associées à l'identité d'une personne. Les problèmes rencontrés dans le domaine du traitement des données biométriques associées à une personne portent généralement sur le contrôle et la protection de l'utilisation des données biométriques des individus afin d'éviter une utilisation frauduleuse de ces données. Le contrôle repose sur la comparaison de caractéristiques biométriques des individus, par exemple, l'empreinte digitale, l'iris, le visage, etc. avec des données biométriques de référence acquises lors de l'enrôlement des individus et conservées dans des bases de données ou dans des supports tels que des titres électroniques. Dans ce domaine être capable de préserver l'intégrité de données de référence garantit l'efficacité du contrôle contre la fraude. La confidentialité de ces données et, en particulier, lorsqu'elles sont associées aux données d'identité des personnes garantit la protection de la vie privée de ces personnes. L'art antérieur décrit différentes méthodes permettant d'effectuer la vérification d'empreintes digitales. Par exemple, la technique connue sous la dénomination anglo-saxonne � Match-on-card � ou MOC vérifie les empreintes digitales en utilisant un composant de type � carte à puce �. Cette technique présente des inconvénients de performances de traitements et de communication. De plus, les solutions basées sur des composants type � carte à puce � opèrent en mode � esclave � et stockent généralement les données biométriques de référence. C'est pourquoi, dans certains cas d'utilisation de titres électroniques sécurisés comme le passeport biométrique, la mise en oeuvre de la fonction MOC dans le passeport revient à laisser la fonction de vérification biométrique à la charge de l'émetteur du passeport et non pas au pays réalisant le contrôle sur son territoire. Une autre manière de procéder consiste à utiliser un système de vérification biométriques avec des bases de données centralisées, plus connus sous l'expression anglo-saxonne � Automated Fingerprint Identification System ou AFIS �. Un tel système est utilisé pour le contrôle des frontières. Dans le cadre des AFIS, la fonction de comparaison est souvent centralisée au niveau d'un serveur et non pas au niveau d'un terminal. Dans ce dernier cas, le terminal doit nécessairement être connecté au système, ce qui peut être incompatible avec un contrôle sur le territoire, sauf à disposer de moyens de communications mobiles et sécurisés entre les terminaux et le serveur de comparaison. Il existe donc à l'heure actuelle un besoin non résolu par les techniques de l'art antérieur qui est relatif au problème de la protection des données de référence en intégrité et en confidentialité lorsque celles-ci sont importées dans un terminal pour la vérification d'identité. L'objet de la présente invention concerne une ressource de confiance permettant notamment de : préserver l'intégrité des données de référence, garantissant ainsi l'efficacité du contrôle contre la fraude. La confidentialité de ces données et en particulier lorsqu'elles sont associées aux données d'identité des personnes, garantit la protection de la vie privée de ces personnes, - résoudre la nécessité du stockage et de l'utilisation des données biométriques de référence pour la réalisation d'un contrôle efficace tout en préservant la confidentialité, l'intégrité et l'effacement après utilisation de ces données, - d'octroyer aux équipements terminaux équipés d'une telle ressource, la capacité à accéder aux données personnelles de porteurs de titre mais également à vérifier leur cohérence avec les caractéristiques biométriques de la personne physique. ~o L'invention concerne une ressource de confiance destinée à être intégrée dans un terminal T de contrôle de données biométriques comprenant une ressource de confiance, ladite ressource étant placée en coupure entre un porteur d'un titre sécurisé comprenant une puce et un terminal utilisé par un contrôleur de l'identité d'une personne caractérisée en ce qu'elle comporte 15 au moins les éléments suivants : Un processeur sécurisé garantissant la lecture sécurisée des données biométriques de référence contenues dans le titre sécurisé et garantissant également la non dissémination de ces données ainsi que l'effacement après comparaison en s'appuyant sur les modules suivants : 20 - Un module de lecture des informations contenues dans la puce du titre sécurisé, Un module d'authentification, de chiffrement et/ou déchiffrement permettant l'établissement de canaux de confiance avec la puce du titre ou avec tout autre élément externe de confiance, 25 - Un module de comparaison des données biométriques lues par capture et les données de référence biométriques contenues dans la puce du titre sécurisé, Un moyen d'effacement des données après émission du résultat issu du module de comparaison garantissant la non conservation des 30 données biométriques de référence après un contrôle, - Un module horloge ayant pour fonction de fournir une heure fiable au titre sécurisé, - Un module de couplage aux lecteurs de titre permettant le contrôle du lecteur de puce, - Un module de stockage temporaire sécurisé des données biométriques garantissant la non sauvegarde des données biométriques de référence après une durée prédéfinie par la ressource de confiance ou en cas de coupure d'alimentation de la ressource de confiance, ~o - Un module de stockage persistant sécurisé de données de cryptographies, - Un module de gestion des périphériques de communications, - Un module d'affichage du résultat de la comparaison. La ressource sécurisée peut comporter un module de surveillance de 15 l'environnement de la ressource sécurisée. Elle peut aussi comprendre un module permettant l'effacement de contexte de ressource du terminal et le blocage des ports de communications du terminal avec l'extérieur. L'invention concerne aussi un terminal de contrôle T caractérisé en ce qu'il 20 comporte au moins une ressource de confiance comprenant les caractéristiques décrites ci-dessus. L'invention concerne aussi un procédé pour vérifier l'identité d'une personne porteur d'un titre sécurisé comprenant une puce contenant des informations biométriques propres au porteur du titre en utilisant une ressource sécurisée 25 selon l'une des revendications précédentes caractérisé en ce qu'il comporte au moins les étapes suivantes : - ladite personne présente son titre à un terminal T de contrôle de titre intégrant une ressource sécurisée comprenant les caractéristiques précitées, 30 - établir entre ladite ressource sécurisée et la puce située sur le titre sécurisé un canal de confiance sur la base d'une authentification mutuelle, canal qui est utilisé pour dialoguer et échanger des informations entre la ressource et le titre, - vérifier la validité d'un certificat fourni par la ressource sécurisée à partir d'une heure délivrée par le terminal T, - Si le certificat est valable, alors le canal de confiance est établi et le titre sécurisé transmet par l'intermédiaire de ce canal, les données biométriques de référence qu'il contient vers une mémoire de stockage temporaire, - L'étape suivante consiste à comparer les données de référence avec 10 les données biométriques captées grâce à un module de capture de données biométriques, - Le comparateur émet un signal de validité ou de non validité issu de l'étape de comparaison, - L'étape suivante consiste à effacer les données contenues dans la 15 mémoire temporaire. Au cours du procédé lors de l'établissement du canal de confiance, le titre sécurisé reçoit, par exemple, une heure d'une horloge contenue dans la ressource de confiance et ledit titre vérifie la validité du certificat. 20 D'autres caractéristiques et avantages du dispositif selon l'invention apparaîtront mieux à la lecture de la description qui suit d'un exemple de réalisation donné à titre illustratif et nullement limitatif annexé des figures qui représentent : - La figure 1, un exemple montrant l'emplacement en coupure de la 25 ressource sécurisée selon l'invention, - La figure 2, représente un exemple d'architecture de ressource sécurisée selon l'invention, - La figure 3, un exemple d'intégration de la ressource de la confiance dans différents types de terminaux et illustre l'intégration de 30 l'ensemble composé du terminal et de la ressource dans un système complet. La figure 1 décrit un exemple d'architecture d'une ressource sécurisée selon l'invention placée en coupure entre un émetteur et un récepteur d'un titre sécurisé Cette ressource sécurisée est adaptée à vérifier les données biométriques du porteur d'un titre. Sur cette figure, sont représentés, un terminal T intégrant une ressource sécurisée 1 selon l'invention détaillée à la figure 2, un titre 2 associé à un porteur 3 qui est lu par la ressource sécurisée, les données étant transférées en utilisant un canal de confiance 4 établi entre la ressource sécurisée 1 selon l'invention et le titre 2. Ce canal de confiance est assuré par la mise en ~o oeuvre conjointement par la ressource sécurisée 1 et le titre 2 de mécanismes d'authentification mutuelle et de protection en intégrité et confidentialité des données échangées. La ressource sécurisée 1 est également en relation avec un système 5 par l'intermédiaire d'un canal de confiance 6 établi avec le système distant 5. Ainsi, l'ensemble des données 15 échangées entre la ressource sécurisée 1 et le titre 2 et un système 5, est réalisé sous le contrôle de la ressource sécurisée. Les flèches F1, F2, F3 sur la figure correspondent d'une part à d'éventuelles actions illicites sur les données transmises du titre 2 vers le terminal sécurisé 1, ou bien à la possibilité de pouvoir modifier éventuellement l'heure des 20 terminaux, ou encore à la possibilité de compromission des fonctions et des données du terminal. De manière plus générale, le schéma met en avant différents actes illicites pouvant atteindre les données échangées, les falsifier ou déformer leur contenu. La ressource sécurisée par l'invention 1 est ainsi placée en coupure entre les 25 systèmes 5 distants dont les communications sont généralement sécurisées par l'emploi de solutions de type réseau (ex. authentification des accès et intégration dans des réseaux privés virtuels) et les titres 2 dont l'accès et les échanges doivent être sécurisés conformément aux exigences liées aux titres électroniques (l'ICAO pour ce qui concerne les passeports 30 biométriques). Cette figure 1 permet de montrer le risque éventuel de modification des données biométriques personnelles lorsqu'elles transitent par l'intermédiaire du canal entre le terminal sécurisé et les sites centraux et de fait l'intérêt à utiliser une ressource sécurisée selon l'invention. La figure 1 permet également de mettre en évidence l'étanchéité que préserve la ressource de confiance entre les deux canaux de confiance en garantissant que les données de référence biométriques du porteur ne sont jamais transmises vers un serveur distant. La figure 2 représente un exemple d'architecture selon l'invention garantissant la sécurité des données personnelles de référence. La ressource de confiance 1 est par exemple en relation avec un des moyens de lecture d'un titre ou de données d'identification intégrées dans un titre par exemple un dispositif de lecture optique LO ou un lecteur puce LP (coupleur contact ou sans contact), un dispositif d'acquisition d'empreintes E ou encore tout autre dispositif adapté à capter les données biométriques associées à un individu non représenté sur la figure pour des raisons de simplification. La ressource sécurisée 1 peut se présenter sous la forme d'un circuit électronique miniaturisé comportant au moins les moyens suivants : Un processeur de sécurité 10 adapté, s'appuyant sur plusieurs modules permettant d'exécuter au moins les étapes suivantes : un module de lecture 11 des données du titre à savoir la lecture optique des informations publiques du titre et la lecture (coupleur contact ou sans contact) de la puce présente sur un titre. La � lecture puce �, correspond de manière plus générale à la lecture des informations dans le composant � puce � du passeport. Ces informations correspondent notamment aux données biométriques de référence échangées entre un terminal sécurisé T et le passeport via un canal de confiance dont l'établissement est par exemple décrit ci- après, • un module 15 ayant notamment pour fonction de supporter le processeur 10 pour les calculs cryptographiques permettant l'établissement les canaux de confiance pour échanger des données entre l'extérieur et la ressource sécurisée et gérer la mise à jour des certificats, • un module de stockage persistant sécurisé 14 permettant le stockage des certificats, des clés cryptographiques utilisées par le module 15 pour la sécurisation des échanges, des journaux d'audit des contrôles effectués lors des contrôles du titre, > un module de stockage 16 temporaire sécurisé permettant de stocker temporairement des données sensibles, telles qu'en particulier les données biométriques utilisées pour la comparaison et les clés cryptographiques de session utilisées pour les canaux de confiance, • un module 17a adapté à surveiller différents capteurs externes se trouvant au niveau d'un terminal externe à la ressource, surveillant l'environnement immédiat de la ressource de confiance (détecteur d'intrusion, température, tension, 17b etc.) afin de prendre des mesures de sécurité si besoin, • différentes interfaces de communication 18 avec le terminal, ces interfaces permettent par exemple des échanges avec des systèmes externes comme les titres ou des serveurs distants ou encore un affichage vers le contrôleur, etc. un module 13 de transformation qui exécute la fonction de codification, c'est-à-dire, la transformation d'une image d'une caractéristique biométrique de référence en une donnée de référence dans un format compatible avec la fonction de comparaison exécutée par la ressource sécurisée, • un moyen de comparaison 19 des données biométriques lues, venant de la puce du passeport, à l'issue de l'étape de comparaison un résultat est transmis à un autre module qui va permettre d'émettre un signal au contrôleur du titre. L'émission du signal de vérification peut être un signal sonore, lumineux ou encore une fonction d'affichage est mise en oeuvre au niveau du terminal sous la forme d'un résultat, - un dispositif d'alimentation tel qu'une pile, 20, sachant que l'ensemble des alimentations (principale et de secours) est fourni par le terminal T dans lequel est intégrée la ressource sécurisée, La pile 20 est reliée au dispositif d'alimentation général ; - un module horloge 21 ayant pour fonction de fournir une heure fiable de confiance utile à la cohérence des titres hébergeant les données de référence lors de l'importation, le stockage et l'utilisation des certificats utiles à l'établissement d'un canal de confiance, - un module 22 de gestion des entrées/sorties ayant notamment pour fonction d'éviter qu'une donnée de référence puisse sortir de la ressource sécurisée et qu'elle puisse être lue par une personne non autorisée. Le terminal comprend un module 25 ayant pour fonction d'afficher le résultat de la comparaison. Ce moyen peut être de type LED, ou encore être un moyen sonore émettant un bip ou tout autre moyen de transmission du résultat de la comparaison vers le contrôleur. Une mémoire d'extension 23 peut être mise en place au niveau du terminal T. Elle est disposée à l'extérieur de la ressource sécurisée, afin de répondre à des besoins éventuels en capacité mémoire de la ressource de confiance Les interfaces peuvent être de différentes natures. Par exemple, la ressource sécurisée peut comprendre une interface pour la lecture optique ou une lecture puce d'un passeport ou plus généralement d'un titre porteur d'informations biométriques 2. Ces interfaces sont en liaison avec un capteur de lecture optique LO et un coupleur contact ou sans-contact de lecture de puce. L'interface 18 peut aussi être une interface pour l'acquisition d'empreintes d'une personne E en liaison avec un capteur d'empreintes 30. L'interface 18 peut aussi comporter un module permettant l'échange avec des réseaux auxquels la ressource sécurisée peut être reliée. La ressource de confiance doit être personnalisée avant utilisation (exemple : clés cryptographiques à charger). Une phase de pré-personnalisation doit garantir que seul un terminal équipé de la solution est en mesure d'être personnalisé et passer en mode opérationnel. Cette opération est effectuée selon une technique connue de l'Homme du métier. Par ailleurs, la mise à jour de ces clés permet la sécurisation des moyens de la ressource de confiance. Lors des changements de clés, les ressources non mises à jour ne seront plus en mesure d'effectuer les contrôles sur les titres (équipements qui n'ont pas remis à jour ces clés, seront interdits d'usage). La personne 40 devant se faire identifier va poser son empreinte E sur le capteur d'empreintes E précité pour fournir l'empreinte du vivant au système de contrôle constitué du terminal T intégrant la ressource sécurisée, présenter un titre 2 pour fournir d'une part les informations public disponibles en lecture optique et d'autre part fournir les données biométriques de référence disponible via la lecture puce (sécurisé) précitée. C'est-à-dire qu'il y a d'une part une prise d'empreintes ou tout autre moyen équivalent permettant d'acquérir les données du vivant, une lecture d'un titre porteur d'informations public disponibles en lecture, lecture optique ou tout autre moyen de lecture équivalent et aussi une lecture des données de référence disponibles au niveau du titre 2. Le contrôleur 41 entend ou visualise le résultat de la vérification de comparaison entre l'empreinte du vivant et les données biométriques de référence que réalise la ressource sécurisée. C'est-à-dire que le contrôleur n'a accès en fonctionnement normal qu'au résultat issu de la comparaison effectuée au sein de la ressource sécurisée. Dans un premier temps, la ressource de confiance 1 selon l'invention va établir un canal de confiance pour dialoguer avec le titre 2 afin d'obtenir les données biométriques de référence contenues dans la puce P du titre. Pour cela, la ressource doit être personnalisée avant son utilisation de façon à détenir les clés cryptographiques nécessaires à l'établissement du canal de confiance 4. Les étapes mises en oeuvre au cours de la vérification d'identité sur 5 présentation d'un passeport ou titre 2 d'un individu sont par exemple les suivantes : L'individu présente son titre 2 contenant ses données biométriques à un terminal T de contrôle de titre, dans lequel une ressource de confiance selon l'invention est intégrée. 10 La ressource sécurisée 1 établit avec la puce P du passeport un canal de confiance 4 sur la base d'une authentification mutuelle en mettant en oeuvre, par exemple, le protocole normalisé EAC (abréviation anglo-saxonne de Extended Access Control) connu de l'Homme du métier. Au cours de cette étape, le passeport 2 vérifie la présence d'une clé valide 15 dans la ressource sécurisée et vérifie aussi la validité du certificat fourni par la ressource sécurisée 1. Le certificat C n'est valide que dans une fenêtre de temps, par exemple, un jour. Le passeport 2 ne possédant pas d'horloge propre, il doit recevoir l'heure du terminal grâce à l'horloge 21 fournissant une heure fiable de confiance. 20 Le passeport reçoit de la part de la ressource sécurisée 1, une heure H et un certificat C. Le passeport vérifie la cohérence entre les deux informations, et si l'heure est dépassée, il ne répond pas. L'étape d'établissement du canal de confiance avec la ressource de confiance du terminal ayant réussi, le passeport peut faire confiance au 25 terminal sécurisé. Le passeport délivre alors les données biométriques qu'il contient directement à la ressource sécurisée et non pas à un autre élément du terminal. Les données biométriques de référence lues à partir du passeport sont 30 confinées dans la ressource sécurisée, par exemple dans la mémoire de stockage temporaire 16, la fonction de comparaison est exécutée au sein de la ressource sécurisée. Les données du vivant sont alors acquises par le terminal (via le capteur d'empreinte du terminal) et envoyées à la ressource de confiance. Ces données du vivant sont alors comparées aux données de référence au sein du module de comparaison 20. Une fois la comparaison effectuée, les données de référence ainsi que les données du vivant sont effacées. Le processeur 10 de la ressource sécurisée va déclencher l'effacement. Ceci est par exemple réalisé en effectuant une remise à zéro ou � reset � de registres, par sur-écriture ou par effacement d'urgence. De façon à sécuriser le confinement des données biométriques de référence dans la ressource de confiance, idéalement, les interfaces disponibles 18 sont judicieusement gérées de façon à n'autoriser que l'interface de chargement des données du vivant et la fourniture du résultat. Selon un mode de réalisation, il est possible d'étendre le domaine de sécurité conféré par la ressource de confiance à certaines ressources du terminal. Cette façon de procéder nécessite la mise en oeuvre de capteurs spécifiques 17b au niveau du terminal et d'une détection anti intrusion mise en oeuvre par le module de surveillance de l'environnement 17b. Ce module inclut notamment les capteurs de température, de tension permettant de contrôler le fonctionnement de la ressource. De plus, la ressource de confiance peut assurer la gestion de l'effacement de contexte de ressource du terminal ainsi que le blocage de ports de communications. La figure 4 représente un exemple d'utilisation d'un terminal comprenant une ressource sécurisée selon l'invention intégrée dans un système complet. La ressource sécurisée selon l'invention est par exemple intégrée dans des terminaux mobiles pour piétons 50, des terminaux pour véhicules 51 ou encore des terminaux en poste fixes 52. Ces terminaux sont eux-mêmes intégrés à différents types de système via des réseaux de communications. Par exemple, les réseaux peuvent être des réseaux opérateurs publics 53, des réseaux de type PMR 54, en relation par exemple avec des réseaux infrastructure 55 via l'intermédiaire de passerelles réseau de type privés VPN 56 (abréviation anglo-saxonne pour Virtual Privat Network), de portails réseaux pour les radios mobiles PMR 57 abréviation anglo-saxonne de Private Mobile Radiocommunications. Ces réseaux peuvent aussi être en relation via une passerelle adaptée 58 à des stations d'administration 60 ou des serveurs d'applications 59. La partie gauche de cette figure correspond à un environnement potentiel sécuritaire et sur la droite, l'environnement décrété avoir un niveau de sécurité inférieur. L'objet de la présente invention offre notamment les avantages suivants : > Lutter contre la dissémination de données biométriques contenues dans les titres d'identité ou les bases de données, en particulier en interdisant le détournement d'usage de ces mêmes données biométriques, > Sécuriser des équipements manipulant des données biométriques de 20 référence, la ressource sécurisée selon l'invention pouvant être intégrée dans un module dédié, > Fournir une ressource de confiance intégrable dans différents types de terminaux, > Vérifier les données biométriques sans divulguer la donnée de 25 référence qui reste confinée dans la ressource sécurisée, > Journaliser des actions des opérateurs avec fonction de non reniement d'action La ressource de confiance peut conserver l'identifiant de l'opérateur authentifié sur le terminal et tracer les contrôles réalisés (en garantissant que les informations des 30 personnes contrôlées ne sont pas conservées et en utilisant si besoin la mémoire d'extension sécurisée pour le stockage), - pour les personnes en charge des contrôles d'identité, forces de police ou de gendarmerie, elles disposent d'un ensemble de moyens techniques et d'équipement terminaux leur permettant d'accéder aux données d'identités et aux données biométriques de référence, mais également leur permettant d'utiliser ces informations dans le but de valider l'identité du porteur par le biais d'un contrôle du vivant, - Fournir une base de temps fiable utile à la bonne gestion des certificats pour les titres sécurisés.10 REVENDICATIONS1 - Ressource de confiance (1) destinée à être intégrée dans un terminal T de contrôle de données biométriques comprenant une ressource de confiance (1), ladite ressource étant placée en coupure entre un porteur (40) d'un titre (2) sécurisé comprenant une puce et un terminal utilisé par un contrôleur (41) de l'identité d'une personne caractérisée en ce qu'elle comporte au moins les éléments suivants : Un processeur (10) sécurisé garantissant la lecture sécurisée des données biométriques de référence contenues dans le titre sécurisé et garantissant également la non dissémination de ces données ainsi que l'effacement après comparaison en s'appuyant sur les modules suivants : - Un module (11) de lecture des informations contenues dans la puce du titre sécurisé (2), - Un module (15) d'authentification, de chiffrement et/ou déchiffrement permettant l'établissement de canaux de confiance avec la puce du titre ou avec tout autre élément externe de confiance, - Un module de comparaison (19) des données biométriques lues par capture et les données de référence biométriques contenues dans la 20 puce du titre sécurisé (2), - Un moyen d'effacement des données après émission du résultat issu du module de comparaison (19) garantissant la non conservation des données biométriques de référence après un contrôle, - Un module horloge (21) ayant pour fonction de fournir une heure fiable 25 au titre sécurisé, - Un module de couplage (18) aux lecteurs de titre permettant le contrôle du lecteur de puce, - Un module de stockage temporaire sécurisé (16) des données biométriques garantissant la non sauvegarde des données 30 biométriques de référence après une durée prédéfinie par la ressource de confiance ou en cas de coupure d'alimentation de la ressource de confiance, - Un module de stockage persistant sécurisé de données de cryptographies (14), - Un module de gestion des périphériques de communications (22) - Un module d'affichage (25) du résultat de la comparaison. 2 - Ressource de confiance selon la revendication 1 caractérisée en ce qu'elle comprend un module de surveillance de l'environnement de la ~o ressource sécurisée (17a, 17b). 3 - Ressource de confiance selon la revendication précédente caractérisée en ce qu'elle comprend un module permettant l'effacement de contexte de ressource du terminal et le blocage des ports de communications du terminal 15 avec l'extérieur. 4 - Terminal de contrôle T caractérisé en ce qu'il comporte au moins une ressource de confiance selon la revendication 1. 20 5 - Procédé pour vérifier l'identité d'une personne porteur (40) d'un titre sécurisé comprenant une puce contenant des informations biométriques propres au porteur du titre en utilisant une ressource sécurisée selon l'une des revendications 1 à 3 caractérisé en ce qu'il comporte au moins les étapes suivantes : 25 - ladite personne (40) présente son titre à un terminal T de contrôle de titre intégrant une ressource sécurisée (1) selon l'une des revendications 1 à 3, - établir entre ladite ressource sécurisée (1) et la puce située sur le titre sécurisé (2) un canal de confiance (4) sur la base d'une 30 authentification mutuelle, canal qui est utilisé pour dialoguer et échanger des informations entre la ressource et le titre,- vérifier la validité d'un certificat fourni par la ressource sécurisée à partir d'une heure délivrée par le terminal T, - Si le certificat est valable, alors le canal de confiance est établi et le titre sécurisé (2) transmet par l'intermédiaire de ce canal (4), les données biométriques de référence qu'il contient vers une mémoire de stockage temporaire (16), - L'étape suivante consiste à comparer les données de référence avec les données biométriques captées grâce à un module de capture de données biométriques, - Le comparateur émet un signal de validité ou de non validité issu de l'étape de comparaison, - L'étape suivante consiste à effacer les données contenues dans la mémoire temporaire. 6 ù Procédé selon la revendication 5 caractérisé en ce que lors de l'établissement du canal de confiance, le titre sécurisé reçoit une heure d'une horloge contenue dans la ressource de confiance et ledit titre vérifie la validité du certificat.20