FR 2951842 A1 20110429 FR 0957595 A 20091028 1 IDENTIFICATION PAR CONTRÔLE DE DONNEES D'UTILISATEUR La présente invention concerne un contrôle d'identité basé sur des données biométriques stockées dans une base de données, et plus particulièrement, lorsque ces données sont stockées sous une forme chiffrée. Les systèmes d'identification basés sur des données biométriques comprennent en général une entité d'identification qui a accès à une base de données contenant des données biométriques en fonction desquelles l'entité d'identification est en mesure d'identifier une personne. Les données biométriques stockées dans cette base de données sont issues d'une phase d'enrôlement (ou 'enrollment' en anglais), au cours de laquelle une partie d'un être humain, telle que par exemple des empreintes ou l'iris, est captée sous la forme de données numériques biométriques pour être enfin stockée dans la base de données et être utilisée en tant que données de référence pour effectuer une identification d'une personne. En effet, lorsque l'entité d'identification reçoit de nouvelles données biométriques, elle est alors en mesure de déterminer l'identification de la personne à qui sont associées ces nouvelles données biométriques sur la base de comparaison entre ces données biométriques reçues et les données biométriques de référence stockées dans la base de données. Il convient de noter qu'il est en général important que de telles données biométriques restent confidentielles, afin de pouvoir protéger la vie privée des 25 personnes auxquelles sont associées ces données. Ainsi, il peut être prévu à cet effet de stocker ces données biométriques sous une forme chiffrée dans la base de données. Toutefois, dans ce cas, l'étape de comparaison consistant à comparer des données biométriques reçues depuis une entité d'identification avec des 30 données biométriques stockées dans la base de données peut alors s'avérer beaucoup plus complexe que dans le cas où ces données biométriques sont stockées dans la base de données sans chiffrement. On peut alors imaginer que pour faire cette recherche dans la base de 2 données, il soit nécessaire de déchiffrer les données biométriques qui y sont stockées. Mais une étape de déchiffrement est susceptible de fortement grever l'efficacité d'une telle recherche dans la base de données, ainsi que de limiter la sécurité finale. D'un autre côté, on connait des systèmes de recherche adaptés pour effectuer des recherches dans une base de données comprenant des données cryptées. On connait un document 'Searchable symmetric encryption: improved definitions and efficient constructions' de Reza Curtmola, Juan A. Garay, Seny Kamara, Rafail Ostrovsky:. (ACM Conference on Computer and Communications Security 2006) qui propose de gérer le stockage de documents dans une base de données de telle sorte qu'il soit possible de faire une recherche dans cette base de données de manière protégée. Puis, une recherche peut être effectuée sur la base de mots contenus dans un dictionnaire sans toutefois révéler des informations explicites sur les documents stockés. Plus précisément, il est ici proposé de stocker un identifiant de document à une adresse dans la base de données, cette adresse ayant été obtenue à partir de l'application d'une famille de fonctions de hachage sur le document considéré. En procédant ainsi, on est en mesure de créer des liens indirects entre document et adresse de stockage dans la base de données afin de stocker de manière cryptée ces documents. En effet, lorsqu'un client souhaite rechercher dans la base de données les documents qui contiennent une liste de mots clés, il calcule les adresses auxquelles sont stockées les identifiants de ces documents. Puis, il reçoit depuis la base de données une liste d'identifiants des documents concernés. Toutefois, ce système est limité à la gestion de documents. La présente invention vise à améliorer la situation. Un premier aspect de la présente invention propose un procédé de 30 gestion d'une base de données adaptée pour associer une donnée biométrique et un identifiant ; ledit procédé comprenant les étapes suivantes pour chaque identifiant à associer à une donnée biométrique : 3 /1/ recevoir une donnée biométrique ; /2/ générer une pluralité de mots clé par application d'une famille de fonctions de hachage à la donnée biométrique ; /3/ obtenir une pluralité d'adresses par application d'une fonction d'adressage à la pluralité de mots clé et à une clé secrète ; /4/ stocker ledit identifiant à ladite pluralité d'adresses. On entend par les termes `donnée biométrique', une donnée biométrique qui peut être captée sur un utilisateur U dans une phase initiale, dite phase d'enrôlement. Aucune limitation n'est attachée au type de cette donnée biométrique. On entend ici par les termes `fonction d'adressage' une fonction qui est adaptée pour recevoir en entrée un mot clé et une clé secrète afin de fournir en sortie une adresse de la base de données. Une telle fonction d'adressage peut correspondre à une table de 15 correspondance qui fournit une adresse de la base de données en fonction d'un mot clé et d'une clé secrète. On entend par les termes 'clé secrète', toute clé secrète quelque soit le moyen de la générer. Elle peut notamment être dédiée à un utilisateur ou encore à un ensemble d'utilisateurs. Aucune limitation n'est attachée à cette clé 20 secrète ni au contexte dans lequel elle est utilisée. L'utilisateur est identifié par un identifiant Id. On souhaite ici associer dans la base de données cet identifiant Id à la donnée biométrique captée sur ce même utilisateur afin d'être en mesure de l'identifier ultérieurement. A cet effet, il est prévu de stocker cet identifiant Id en différents 25 emplacements de la base de données, et plus précisément, à différentes adresses de la base de données qui sont issues de la donné biométrique de référence elle-même, en combinaison avec une clé secrète K. L'association entre l'identifiant et la donnée biométrique repose donc sur le fait que les adresses de stockage de l'identifiant dans la base de données sont, en quelque 30 sorte, dérivées à partir de la donnée biométrique. On prévoit de dériver la donnée biométrique par application d'une famille H de fonctions de hachage respectives, comprenant les fonctions de hachage hi,..., h;, .., hu, p étant un entier quelconque. A l'issue de cette dérivation, on 4 dispose d'autant de mots clé que de fonctions de hachage appliquées, chacun de ces mots clé représentant en quelque sorte la donnée biométrique. Puis, sur la base de chaque mot clé ainsi obtenu et de la clé secrète K, on obtient une adresse dans la base de données par application d'une fonction d'adressage F. On stocke à chacune de ces adresses l'identifiant concerné Id, de l'utilisateur auquel correspond la donnée biométrique. Dans ces conditions, la base de données considérée stocke en différents emplacements, ou différentes localisations, un identifiant correspondant à une même donnée biométrique. Ces différentes localisations représentent chacune cette même donnée biométrique combinée à une clé secrète. En procédant ainsi, on est donc en mesure de gérer le stockage d'association de données biométriques et d'identifiants sous forme cryptée pour procéder à une identification, de manière simple. En effet, les calculs mis en oeuvre sont relativement basiques et simples à mettre en oeuvre. Grâce à l'application d'une famille de fonctions de hachage, on est en mesure de stocker en différents emplacements de la base de données le même identifiant et, ainsi, on est en mesure de créer un lien entre une pluralité d'adresses de la base de données et une donnée biométrique. Il convient de noter que, pour une même partie d'une même personne, une donnée biométrique captée à un instant t peut différer d'une donnée biométrique captée à un instant t+1. Dans un tel contexte, il est avantageux de stocker ainsi un même identifiant d'une donnée biométrique afin d'être en mesure de le rechercher plus tard en fonction de cette même famille de fonctions de hachage. En effet, la gestion via l'application de famille de hachage permet d'étaler le spectre des recherches autour d'une même donnée biométrique en définissant des mots clé qui permettent, dans une étape d'identification ultérieure, d'identifier une donnée biométrique même si elle est différente de la donnée biométrique qui a servi à remplir la base de données. Les données biométriques utiles pour procéder à une identification d'utilisateur ne sont pas accessibles dans la base de données où elles sont stockées. Pour y accéder, il convient notamment de détenir la clé secrète qui a été utilisée pour les stocker, dans une phase d'enrôlement. Cette clé secrète peut notamment être une clé allouée exclusivement pour un utilisateur donné et gardée secrète par lui. Il convient de noter que, sans cette clé, il n'est pas possible de faire de lien entre les identifiants stockés dans la base de données et les données 5 biométriques auxquelles ils sont associés. Avantageusement, dans une telle base de données, il est possible d'effectuer une recherche d'identifiant de manière aisée sur la base d'une donnée biométrique captée sur un utilisateur de sorte à identifier cet utilisateur, tout en protégeant la confidentialité des données biométriques. En effet, dans une phase d'identification, lorsqu'une recherche dans la base de données est requise en fonction d'une donnée biométrique captée à identifier, il suffit d'obtenir une liste d'adresses de stockage à partir de cette nouvelle donnée biométrique à identifier, de manière similaire à ce qui est fait lors du stockage de l'identifiant aux étapes précédemment énoncées de phase d'enrôlement. Ensuite, en réponse à cette requête, les identifiants qui sont stockés dans la base de données sont transmis. Sur la base de ces identifiants, on peut effectuer une identification de l'utilisateur. La famille de fonctions de hachage peut être de type LSH (pour 'Locality Sensitive Hashing' en anglais), par exemple comme cela est décrit dans le document de P. Indyk et R. Motwani, `Approximate Nearest Neighbors: Towards Removing the Curse of Dimensionality', STOC 1998. Dans ce cas, les relations ci-dessous sont vérifiées : Pr, [h(x) = h(x' )Id (x, x') p, Pr2[h(x) = h(x')jd(x,x') > r2) p2 ; où x et x' sont des données biométriques ; où d(x,x') représente la distance de Hamming entre les données biométriques x et x' ; où Pr, désigne la probabilité pour que deux valeurs issues de deux données biométriques différentes par application d'une fonction h soient égales, sachant que la distance qui les sépare est inférieure à r, ; et 6 où Pr2 désigne la probabilité pour que deux valeurs issues de deux données biométriques différentes par application de la fonction h soient égales, sachant que la distance qui les sépare est supérieure à r2. Afin d'augmenter la protection contre certaines attaques, dans un mode de réalisation de la présente invention, l'identifiant est stocké sous forme chiffrée par application d'une fonction de chiffrement probabiliste sur la base d'une clé de chiffrement et d'une valeur aléatoire. En procédant ainsi, on peut en outre garantir que les identifiants ne sont pas accessibles par des attaques de type statistique. En effet, ici on ne stocke jamais deux fois la même valeur chiffrée d'identifiant dans la base de données. Il est de ce fait impossible d'établir de quelconques liens entre les différentes adresses de stockage et les identifiants, puisqu'il est impossible de déterminer les différentes localisations de stockage d'un même identifiant dans la base de données. De manière plus précise, une nouvelle valeur aléatoire est générée à chacun des stockages d'un même identifiant de sorte que l'identifiant est stocké sous différentes valeurs chiffrées à chacune de ses adresses de stockage dans la base de données. Dans un mode de réalisation de la présente invention, à l'étape /2/, un mot clé est obtenu par concaténation, d'une part, du résultat de l'application d'une fonction de hachage sur la donnée biométrique et, d'autre part, d'un indice associé à la fonction de hachage appliquée, des indices différents les uns des autres étant respectivement associés aux fonctions de hachage de la famille de hachage. Dans ces conditions, on peut garantir qu'au cours d'une identification, lorsque la liste des identifiants stockés à une adresse donnée sera requise, cette liste ne contiendra pas plus d'une fois un même identifiant. Il est ainsi plus difficile d'établir des liens entre les adresses de stockage et les identifiants pour un éventuel attaquant. Ainsi, on évite astucieusement de stocker les identifiants dans la base de données de manière séquentielle. On augmente alors la protection contre d'éventuelles attaques. 7 Un deuxième aspect de la présente invention propose un procédé d'identification biométrique à partir d'une base de données gérée par un procédé de gestion selon le premier aspect de la présente invention, basé sur une famille de fonctions de hachage, une clé secrète et une fonction d'adressage ; ledit procédé comprenant les étapes suivantes : /1/ recevoir une donnée biométrique à identifier; /2/ générer une pluralité de mots clé par application de ladite famille de fonctions de hachage à la donnée biométrique à identifier ; /3/ générer une pluralité d'adresses par application de la fonction d'adressage à la pluralité de mots clé et à ladite clé secrète ; /4/ émettre une requête d'identification indiquant ladite liste d'adresses ; /5/ recevoir une liste d'identifiants pour chacune desdites adresses ; et /6/ décider si un identifiant de la liste d'identifiants est associé à la donnée biométrique à identifier sur la base d'une analyse statistique des identifiants reçus. Grâce à ces caractéristiques, on est en mesure d'exploiter de manière 20 simple la base de données structurée selon le premier aspect de la présente invention. On peut ainsi prévoir de capter une donnée biométrique sur un utilisateur à identifier. Puis, à partir de cette donnée biométrique à identifier, un ensemble d'adresses de la base de données peut être déterminé en utilisant la même 25 famille de fonctions de hachage, la même fonction d'adressage et la même clé secrète qu'utilisés lors du remplissage de la base de données. Plus précisément, dans un mode de réalisation de la présente invention, on capte une nouvelle donnée biométrique bsearch d'un utilisateur à identifier. Puis, une pluralité de mots clé est obtenue en appliquant à cette donnée 30 biométrique la même famille de fonctions de hachage H. Ensuite, en utilisant la même fonction F et en l'appliquant à la clé secrète avec chacun des mots clé, on obtient une pluralité d'adresses de la base de données. 8 En requérant la réception des identifiants stockés dans la base de données aux adresses ainsi obtenues, il est alors possible de déterminer par analyse statistique si l'utilisateur peut être identifié à partir de la donnée biométrique captée bsearch. Il convient de noter que si la donnée biométrique stockée dans la base de données, ou encore donnée biométrique de référence bref, et la donnée biométrique à identifier bsearch proviennent d'un même utilisateur, alors elles sont proches au sens de la distance de Hamming. Ainsi, si ces données biométriques sont issues d'une même personne, alors on considère qu'il y a une forte probabilité pour que l'inéquation suivante soit vérifiée : d(bref, bsearch) Àmax où d est la distance de Hamming et Àmax est une valeur seuil de distance entre deux données biométriques au-delà de laquelle ces données biométriques ne sont 25 probablement pas issues d'une même personne. Or, si deux données biométriques bref et bsearch sont proches, de par les propriétés énoncées ci-dessus au regard de la famille des fonctions de hachage, il est fort probable que les résultats issus de l'application des fonctions de hachage sur ces deux données biométriques soient égaux. Par 30 conséquent, il y a une forte probabilité pour que la liste des adresses obtenues à partir de la donnée biométrique à identifier corresponde à plusieurs adresses auxquelles est stocké l'identifiant de l'utilisateur. 9 Ainsi, par analyse statistique des identifiants reçus en retour de la requête, on est en mesure d'identifier l'utilisateur ou de décider que cet utilisateur n'est pas enregistré dans la base de données. Avantageusement, la relation entre les données biométriques et les identifiants associés est protégée au cours de l'application d'un tel procédé selon un mode de réalisation de la présente invention. En outre, ce type d'identification repose sur des calculs simples à mettre en oeuvre. Toutefois, il serait éventuellement possible d'envisager qu'un attaquant écoute les échanges avec la base de données, au cours de la mise en oeuvre d'un procédé d'identification selon un mode de réalisation de la présente invention. Plus précisément, lorsqu'il est souhaité d'identifier une personne sur la base de données biométriques, on capte une donnée biométrique bsearch. Puis, on obtient les adresses associées à cette donnée biométrique : @', = F(K,hi(bsearch)) où bsearch est la donnée biométrique à identifier ; où K est la clé secrète considérée pour cette identification : où F est la fonction d'adressage. Pour chacune de ces adresses @'i on récupère éventuellement une liste d'identifiants comme suit. Ainsi, pour l'adresse @'i, on récupère la liste : L1 = ; ... ; id1,N1} Pour l'adresse @'2, on récupère la liste : L2 = {id2,1 ; ... ; id2,N2} Ainsi de suite jusqu'à l'adresse @'N, à laquelle on récupère la liste : Lu = {idu,i ; ... ; idu,NU} Au moment de cette étape de transmission à l'entité d'identification des listes d'identifiants récupérés depuis la base de données aux adresses fournies par la fonction d'adressage, un attaquant peut obtenir ces identifiants lui aussi par écoute de la transmission. Par écoutes successives, on pourrait envisager que cet attaquant soit en mesure d'établir des relations entre les différentes listes d'identifiants. Puis, par attaque statistique et par tâtonnement, on pourrait alors envisager qu'il puisse violer un certain niveau de confidentialité de ce procédé d'identification. 10 Par conséquent, dans un mode de réalisation de la présente invention, il est prévu que les identifiants Id stockés dans la base de données, et les identifiants transitant à partir de la base de données, soient manipulés sous une forme cryptée. Plus précisément, il est prévu de crypter ces identifiants par application d'un chiffrement tel qu'il ne soit pas possible de déterminer si deux résultats issus de ce chiffrement c, et c2 correspondent au même identifiant Id ou non. A cet effet, on met en oeuvre une fonction de chiffrement probabiliste basée à la fois sur une clé de chiffrement et sur une valeur aléatoire. Ainsi, en générant une valeur aléatoire pour chaque nouvelle adresse de stockage de l'identifiant, on est en mesure de stocker plusieurs fois un même identifiant sous des valeurs chiffrées différentes. Une telle fonction de chiffrement a une propriété dite `d'indistingabilité' ('indistinguishable' en anglais). On peut notamment utiliser ici à cet effet une fonction de chiffrement d'El Gamal par exemple, Taher El Gamal: A Public Key Cryptosystem and a Signature Scheme Based on Discrete Logarithms. CRYPTO 1984 (10-18). On peut encore prévoir aussi d'utiliser des fonctions de chiffrement symétrique comme des fonctions AES (pour `Advanced Encryption Standard') en mode CBC (pour 'Cipher Block Chaining') ou encore AES en mode CTR (pour `Counter'). Ainsi, dans ce mode de réalisation, l'identifiant est stocké sous forme chiffrée par application d'une fonction de chiffrement sur la base d'une clé de chiffrement et d'une valeur aléatoire. Dans ce cas, à l'étape /5/, on reçoit une liste d'identifiants chiffrés. Puis, le procédé comprend en outre les étapes suivantes après l'étape /5/ : /i/ déchiffrer les identifiants reçus ; /ii/ sélectionner un identifiant qui apparait un nombre de fois supérieur à une valeur seuil parmi les identifiants reçus. La valeur seuil peut avantageusement être définie en fonction de la fonction de chiffrement probabiliste. Grâce à ces dispositions, il est possible de protéger en outre les échanges d'informations transitant entre l'entité d'identification et la base de données. De 11 plus, même au sein de la base de données il n'est pas possible de déterminer les identifiants qui y sont stockés. Ainsi, on dispose d'un système d'identification qui présente de faibles coûts calculatoires tout en garantissant un niveau élevé de protection de la confidentialité des informations qui y sont gérées. En outre, dans un mode de réalisation de la présente invention, on peut prévoir d'obtenir un mot clé par concaténation, d'une part, du résultat de l'application d'une fonction de hachage sur la donnée biométrique de référence ou à identifier et, d'autre part, d'un indice associé à la fonction de hachage appliquée, des indices différents les une des autres étant respectivement associés aux fonctions de hachage de la famille de hachage. En procédant ainsi, il est avantageusement possible de garantir qu'un même identifiant ne soit pas stocké plusieurs fois à une même adresse dans la base de données. Un troisième aspect de la présente invention propose une entité de gestion de base de données adaptée pour la mise en oeuvre d'un procédé de gestion selon le premier aspect de la présente invention. Un quatrième aspect de la présente invention propose une entité d'identification adaptée pour la mise en oeuvre d'un procédé d'identification 20 selon le deuxième aspect de la présente invention. Un cinquième aspect de la présente invention propose un système d'identification comprenant une entité de gestion de base de données selon le troisième aspect de la présente invention; une base de données et une entité d'identification selon le quatrième aspect de la présente invention. 25 D'autres aspects, buts et avantages de l'invention apparaîtront à la lecture de la description d'un de ses modes de réalisation. L'invention sera également mieux comprise à l'aide des dessins, sur lesquels : la figure 1 illustre un système d'identification selon un mode de 30 réalisation de la présente invention ; la figure 2 illustre les principales étapes d'une gestion de base de données selon un mode de réalisation de la présente invention ; et 12 la figure 3 illustre les principes étapes d'une identification selon un mode de réalisation de la présente invention. Dans le contexte de la présente invention, on entend par les termes `données biométriques' des données de l'être humain qui permettent de l'identifier. Ces données biométriques sont en général obtenues par un capteur. Un tel capteur peut donc être adapté pour capter des données biométriques d'empreinte, d'iris, de visage, de graphologie ou encore de signature vocale par exemple. Par la suite, un système d'identification comprend une base de données, une entité de gestion de base de données et une entité d'identification. Il convient de noter qu'aucune limitation n'est attachée à cette architecture. Notamment, l'entité de gestion et l'entité d'identification peuvent bien sûr correspondre à une seule et même entité. La figure 1 illustre un système d'identification selon un mode de réalisation de la présente invention. Un tel système d'identification comprend donc une base de données 10, une entité de gestion 11, et une entité d'identification 21. On peut prévoir que l'entité d'identification 21 comprenne un capteur de données biométriques et soit en mesure de mettre en oeuvre les étapes qui permettent d'obtenir une liste d'adresses de la base de données selon un mode de réalisation. Dans ce cas, on peut aisément envisager la mise en place d'une interface directe entre la base de données 10 et l'entité d'identification. On peut également envisager que l'entité d'identification 21 soit en charge simplement de capter la donnée biométrique bsearch à identifier. Dans ce cas, cette donnée biométrique est transmise à l'entité de gestion 11 qui est en charge de déterminer les adresses @; de la base de données pour une phase d'identification selon un mode de réalisation. II est aisé de définir différentes architectures mettant en oeuvre les principes d'un mode de réalisation de la présente invention. Aucune limitation n'est attachée à l'architecture d'un tel système d'identification. Toutefois, dans les sections suivantes, à titre d'exemple, l'entité de gestion est en charge de déterminer les adresses @i sur la base d'une donnée biométrique de référence bref lors d'une phase de remplissage de la base de données (dite encore phase d'enrôlement) et l'entité d'identification 21 est en 13 charge de déterminer les adresses @; sur la base d'une donnée biométrique à identifier bsearch et de récupérer les identifiants correspondants directement auprès de la base de données 10. Afin d'accroitre le niveau de protection de la confidentialité des échanges 5 au sein de ce système d'identification, on peut avantageusement prévoir d'utiliser des liens de communication sécurisés. La figure 2 illustre les principales étapes d'un procédé de gestion de base de données selon un mode de réalisation de la présente invention. Une entité de gestion 11 est en charge de gérer une base de données 10 10 adaptée pour associer à des données biométriques des identifiants respectifs selon un mode de réalisation de la présente invention. L'entité de gestion 11 reçoit un message 101 comprenant une donnée biométrique b à associer avec un identifiant Id pour un utilisateur U dans la base de données 10 pour des recherches ultérieures d'identification. 15 Cette donnée biométrique b est par la suite référencée sous les termes `donnée biométrique de référence' bref. A une étape 102, il est prévu de générer une pluralité de mots clé par application d'une famille H de fonctions de hachage à la donnée biométrique. La famille de fonctions H comprend les fonctions de hachage h; pour i compris 20 entre 1 et p. On peut prévoir à cet effet d'utiliser des fonctions de hachage de type LSH. Une fonction LSH est une fonction de hachage qui a pour caractéristique de fournir un résultat similaire quand elle est appliquée à des points qui sont voisins dans un espace métrique. Une telle fonction est notamment définie 25 dans le document `Approximate nearest neighbors :Towards removing the cruse of dimensionality' de P. Indyk et R. Motwani, STOC 1998. Soit B un espace métrique, U un ensemble de valeurs d'arrivée des fonctions de hachage de la famille considérée, r1 et r2 deux nombres réels vérifiant : 30 ri p2 Soit une famille H de fonctions de hachage hi, ..., hp. 14 Toute fonction h;, pour i compris entre 1 et p, allant de B vers U, est une fonction (ri , r2, p1, p2)-LSH, si pour toute fonction h; dans la famille H, et pour tout élément a et b de l'ensemble B, on a : si dB(a,b) pl et si dB(a,b) > r2, alors Pr[h;(a)= h;(b)] 16 d'identification selon un mode de réalisation. Dans une étape d'initialisation, on définit une famille de fonctions de hachage de type LSH, une clé secrète K. Dans une étape d'enrôlement, on détermine un ensemble A de mots clé tel que : 0 = {h, (bk Ili; i [1,,u ], k E [1, N] Puis, pour chaque mot clé Wi,k de l'ensemble A, on construit un ensemble des identifiants des utilisateurs de 1 à N tels que : h, (bk, W;,k Puis, pour chaque w; de A, pour j compris entre 1 et jD(wi)) : @,., =F(W,(Jj) Il convient de noter ici que le mot clé w; est concaténé avec le rang j de l'identifiant dans la liste des identifiants. Dans ce contexte de phase d'enrôlement groupé pour plusieurs utilisateurs, selon l'équation ci-dessus, il est garanti de ne pas stocker les identifiants selon un ordre séquentiel. Il convient de rappeler que, de préférence, le même nombre d'identifiants est stocké à chacune des adresses @;,;. Dans une variante, les identifiants Id; sont chiffrés avec une fonction de chiffrement probabilistes sur la base d'une valeur aléatoire r; et d'une clé de chiffrement s. Dans ce cas, les identifiants sont stockés sous la forme : s(Id;, r;, s), noté s(Id;) par la suite. La figure 3 illustre une identification selon un mode de réalisation de la présente invention. Dans ce contexte, pour identifier un utilisateur sur la base de données biométriques, on reçoit 301 une donnée biométrique à identifier bsearch sur cet utilisateur. A une étape 302, on détermine des mots clé w'; par application respectives des fonctions de hachage à la donnée biométrique à identifier. w';=h;(bsearch) Dans une variante, afin d'éviter de stocker plusieurs fois un même identifiant à la même adresse, les mots clé vérifient : w i=hi(bsearch) I 17 Puis, à une étape 303, on obtient des adresses dans la base de données associées à cette donnée biométrique : @'; = F(K,w'i) Cette liste d'adresse est envoyée à la base de données 10 via un 5 message 304. Pour chacune de ces adresses, on récupère une liste d'identifiants comme suit, via un message 305. Pour l'adresse on récupère la liste : Li = {idi,i ; ... ; Idi,Nmax} Pour l'adresse @'2, on récupère la liste : 10 L2 = {id2,1 ; ... ; id2,Nmax} Ainsi de suite jusqu'à l'adresse @',,, on récupère la liste : Lu = {idu,1 ; ... ; idp,Nmax} où idi,k représente l'identifiant stocké à l'adresse @'i au rang k. Ensuite, on est en mesure d'identifier ou non l'utilisateur concerné sur la 15 base d'une analyse statistique, à une étape 306. Dans le cas où les identifiants sont chiffrés, les listes récupérées sont les suivantes. Pour l'adresse @'i, on récupère la liste : L1 = {E(idi,1) ; ... ; E(idi,Nmax)} Pour l'adresse @'2, on récupère la liste : 20 L2 = { E(id2,1); ... ; E(id2,Nmax)} Ainsi de suite jusqu'à l'adresse @'p, on récupère la liste : L,, = { E(id,,,i); ... ; E(idp,Nmax)} Dans ce cas, tous les identifiants reçus sont décryptés. On détermine le nombre d'occurrences de chacun des identifiants pour déterminer la liste de 25 celui qui apparait un nombre de fois supérieur à une valeur seuil Àp. Dans les conditions énoncées ci-avant, le système d'identification d'un mode de réalisation présente non seulement l'avantage d'être aisé à mettre en oeuvre mais en outre de garantir un niveau élevé de protection de la confidentialité des informations. REVENDICATIONS1. Procédé de gestion d'une base de données (10) adaptée pour associer une donnée biométrique (b) et un identifiant (Id(b)) ; ledit procédé comprenant les étapes suivantes pour chaque identifiant à associer à une donnée biométrique : /1/ recevoir (101) une donnée biométrique (bref) ; /2/ générer (102) une pluralité de mots clé par application d'une famille (H) de fonctions de hachage à la donnée biométrique ; /3/ obtenir (103) une pluralité d'adresses (@;) par application d'une fonction d'adressage (F) à la pluralité de mots clé et à une clé secrète ; /4/ stocker (104) ledit identifiant à ladite pluralité d'adresses. 2. Procédé de gestion d'une base de données (10) selon la revendication 1, dans lequel l'identifiant est stocké sous forme chiffrée par application d'une fonction de chiffrement probabiliste sur la base d'une clé de chiffrement (s) et d'une valeur aléatoire (r). 3. Procédé de gestion d'une base de données (10) selon la revendication 1 ou 2, dans lequel, à l'étape /2/, un mot clé est obtenu par concaténation d'une part du résultat de l'application d'une fonction de hachage sur la donnée biométrique et d'autre part d'un indice associé à la fonction de hachage appliquée, des indices différents les uns des autres étant respectivement associés aux fonctions de hachage de la famille de hachage. 4. Procédé d'identification biométrique à partir d'une base de données gérée selon un procédé de gestion selon l'une quelconque des revendications précédentes basé sur une famille de fonctions de hachage, une clé secrète, une fonction d'adressage ; ledit procédé comprenant les étapes suivantes : /1/ recevoir une donnée biométrique à identifier (bsearch);/2/ générer une pluralité de mots clé par application de ladite famille de fonctions de hachage à la donnée biométrique à identifier ; /3/ générer une pluralité d'adresses (@) par application de la fonction d'adressage (F) à la pluralité de mots clé (h;(bsearch)) et à ladite clé secrète ; /4/ émettre une requête d'identification indiquant ladite liste d'adresses ; /5/ recevoir une liste d'identifiants ({idi,1, •• idl,N1}) pour chacune desdites adresses ; et /6/ décider si un identifiant de la liste d'identifiants est associé à la donnée biométrique à identifier sur la base d'une analyse statistique des identifiants reçus. 5. Procédé d'identification biométrique selon la revendication 4, dans lequel ledit identifiant est stocké sous forme chiffrée par application d'une fonction de chiffrement probabiliste sur la base d'une clé de chiffrement (s) et d'une valeur aléatoire (r), et dans lequel à l'étape /5/, on reçoit une liste d'identifiants chiffrés ; ledit procédé comprenant en outre les étapes suivantes après l'étape /5/ : /i/ déchiffrer les identifiants reçus ; /ii/ sélectionner un identifiant s'il apparait un nombre de fois supérieur à une valeur seuil parmi les identifiants reçus. 6. Procédé d'identification biométrique selon la revendication 4 ou 5, dans lequel un mot clé est obtenu par concaténation d'une part du résultat de l'application d'une fonction de hachage sur la donnée biométrique et d'autre part d'une valeur associée à la fonction de hachage appliquée, des valeurs différentes les unes des autres étant respectivement associées aux fonctions de hachage de la famille de hachage. 7. Entité de gestion de base de données comprenant des moyens adaptés pour la mise en oeuvre d'un procédé de gestion de base de données selon l'une quelconque des revendications 1 à 3. 8. Entité d'identification comprenant des moyens adaptés pour la mise en oeuvre d'un procédé d'identification biométrique selon l'une quelconque des revendications 4 à 6. 9. Système d'identification comprenant une entité de gestion de base de données selon la revendication 7, une base de données (10) et une entité d'identification selon la revendication 8.