FR 2953615 A1 20110610 FR 0905867 A 20091204 SYSTEMES DE STOCKAGE DISTRIBUE SECURISE DE DONNEES PERSONNELLES, NOTAMMENT D'EMPREINTES BIOMETRIQUES, ET SYSTEME, DISPOSITIF LOCAL ET PROCEDE DE CONTROLE D'IDENTITE La présente invention concerne un système de stockage distribué sécurisé de données personnelles, notamment biométriques. Elle concerne également un système contrôle d'identité sécurisé ainsi qu'un dispositif de contrôle local. Elle concerne enfin un procédé de contrôle d'identité sécurisé. L'invention s'applique par exemple à des systèmes de vérification biométrique décentralisés tout en garantissant les confidentialités des données individuelles. Les procédés de biométrie mettent en oeuvre des systèmes de mesures qui permettent d'identifier automatiquement des individus en se basant notamment sur leurs caractéristiques physiologiques telles que par exemples les empreintes digitales, l'iris ou la rétine des yeux. L'utilisation de la biométrie implique la création de référentiels d'empreintes biométriques afin de les comparer à des données fraîches. Ces empreintes biométriques peuvent être des empreintes digitales, rétiniennes ou faciales notamment. Lors de la conception d'un système de mesures biométriques, les contraintes suivantes doivent être prises en compte : La confidentialité des données personnelles telles que les empreintes afin de protéger les personnes ; l'obligation d'avoir accès à l'intégralité de la base de référence biométrique afin d'effectuer des opérations de contrôle efficaces. Les opérations de contrôles et de vérification sont effectuées de façon décentralisée et sur une multitude de sites potentiels, notamment au niveau d'infrastructures de contrôle de passeport, de contrôle de cartes d'identité ou de contrôle d'accès à des sites critiques. Cette gestion décentralisée d'accès aux données personnelles des individus augmente considérablement le risque de rupture de la confidentialité de ces données.30 Un but de l'invention est notamment de permettre de répondre à ces contraintes tout en garantissant un haut niveau de confidentialité des données personnelles. A cet effet, l'invention a pour objet un système de stockage distribué de 5 données individuelles aptes à être utilisées pour des opérations de contrôle d'identité, le système comportant au moins : une base de données centrale stockant les données d'origine ; une base de données stockant des fonctions de dérivation Fi des données d'origine ; 10 une unité de gestion qui effectue le calcul des données dérivées à partir des données d'origine au moyen des fonctions de dérivations et qui effectue la diffusion des données dérivées et des fonctions de dérivation vers des entités de vérifications, chaque entité de vérification ayant sa propre fonction de dérivation ; 15 une ou plusieurs bases de données locales décentralisées dans les entités de vérification, lesdites bases locales stockant les données dérivées, les données dérivées stockées étant aptes à être comparées avec des données fraîchement acquises dans l'entité de vérification où elles se situent auxquelles on a appliqué la fonction de 20 dérivation Fi propre à cette entité. L'unité de gestion effectue par exemple pour chaque entité de vérification : - la sélection de la fonction de dérivation Fi propre à cette entité de vérification dans la base de données des fonctions de dérivation ; - le des données dérivées à partir des données d'origine avec cette fonction 25 de dérivation Fi ; - l'envoie des données dérivées calculées et de la fonction de dérivation vers l'entité de vérification, les données dérivées étant stockées dans la base locale de l'entité. L'unité de gestion envoie par exemple, à des intervalles de temps donnés, de 30 nouvelles données dérivées et une nouvelle fonction de dérivation Fi vers l'entité de vérification. Avantageusement, les données peuvent être relatives à des empreintes biométriques. L'invention a également pour objet un système contrôle d'identité d'individus, le système comportant un système de stockage tel que décrit précédemment, et comportant par ailleurs des moyens de contrôle affectés dans chaque entité de vérification, chaque moyen de contrôle étant aptes à effectuer : - l'acquisition de données fraîches issues d'un individu ; - l'application de la fonction de dérivation Fi propre à l'entité de vérification (3) sur ces données fraîches ; - la comparaison du résultat de la fonction de dérivation avec l'ensemble des ~o données dérivées stockées dans la base de données locale de l'entité de vérification. L'invention a également pour objet un dispositif de contrôle local d'identité d'individus, comportant au moins : 15 - une base de données locales stockant des données dérivées obtenues par l'application d'une fonction de dérivation Fi à des données personnelles d'origine, ladite fonction de dérivation étant propre audit dispositif ; - une mémoire stockant ladite fonction de dérivation Fi ; - des moyens de contrôle aptes à effectuer : 20 - l'acquisition de données fraîches issues d'un individu ; - l'application de la fonction de dérivation Fi sur ces données fraîches ; - la comparaison du résultat de la fonction de dérivation avec l'ensemble des données dérivées stockées dans la base de données locale. Les données dérivées sont par exemple calculées à l'extérieur dudit 25 dispositif, les données personnelles d'origine étant extérieures audit dispositif, ces données pouvant être des données relatives à des empreintes biométriques. L'invention a également pour objet un procédé de contrôle de l'identité d'un 30 individu à partir de données personnelles préalablement stockées dans une base de données, le procédé comportant : - une étape préalable de constitution d'une base de données dérivées obtenues à partir de données personnelles d'origine au moyen d'une fonction de dérivation Fi ; 35 - une étape d'acquisition de données de l'individu ; - une étape d'application de la fonction de dérivation Fi aux dites données acquises ; - une étape de comparaison du résultat de la fonction de dérivation avec l'ensemble des données dérivées de la base. Les données personnelles sont par exemple des empreintes biométriques. La comparaison peut utiliser une fonction de seuillage de test biométrique. D'autres caractéristiques et avantages de l'invention apparaîtront à l'aide de la description qui suit faite en regard de dessins annexés qui représentent : la figure 1, un exemple d'architecture d'un système selon l'invention ; la figure 2, un exemple de traitement d'empreintes au niveau d'une entité de vérification locale ; la figure 3, une illustration des étapes possible pour le contrôle d'un individu selon l'invention. La figure 1 illustre un exemple d'architecture d'un système selon l'invention. L'invention utilise une zone de confiance sécurisée 1 destinée au stockage confidentiel des empreintes. Cette zone de confiance héberge une première base de données 11 stockant des empreintes biométriques au format brut. Cette base 11 comporte les empreintes originales, elle est unique et n'est pas partagée avec les entités utilisatrices décrites par la suite. La confidentialité des données personnelles est ainsi assurée. La zone de confiance 1 peut être par exemple une salle blanche étatique ou tout autre type de salle ou de bâtiment sécurisé. La zone de confiance héberge une deuxième base de données 12 stockant des fonctions de dérivation des empreintes originales stockées dans la première base de données 11. Ces fonctions de dérivation, FI, F2, F3, ... Fn, sont transmises aux entités utilisatrices. La deuxième base de données 12 pourra par la suite être appelée référentiel de fonctions de dérivations. La première base 11 contient donc des empreintes originales caractérisant chacune un individu. Le contenu de cette première base 11, que l'on appellera par la suite référentiel d'empreintes originales, est composé des enregistrements d'empreintes d'individus relevés au cours du temps. Ainsi, des entités d'enregistrement 2, réparties sur un territoire donnée, envoient vers le référentiel d'empreintes originales 11 les enregistrements d'empreintes qu'elles effectuent sur des individus 13. L'ensemble du système comporte donc une ou plusieurs entités d'enregistrement de confiance 2 responsables de l'acquisition et du peuplement de la base d'empreintes biométriques originales 11 au format brut. Le peuplement de la base d'empreintes biométriques de référence 11 s'effectue donc notamment par les entités d'enregistrement 2, qui saisissent les données biométriques des individus, ainsi que toutes données personnelles complémentaires. 10 Les entités utilisatrices 3 sont notamment des entités de vérification. Ces entités de vérification sont par exemple situées dans des aéroports, des gares, des lieux d'exposition et plus généralement dans tous lieux publics où il est nécessaire pour des raisons de sécurité de vérifier l'identité des 15 individus. Chaque entité de vérification 3 comporte au moins : une base de données 14 contenant les références locales composées d'un format dérivé des empreintes d'origine, chaque base de données 14 pourra être appelée par la suite référentiel local d'empreintes 20 dérivées ; une mémoire ou zone de stockage 15, stockant une fonction de dérivation qui lui est propre, cette fonction de dérivation FI, F2, ... Fn étant issue du référentiel de fonction de dérivation 12 placé dans la zone de confiance 1. 25 Chaque entité de vérification peut par ailleurs comporter une base de données locale 16 comportant les empreintes biométriques enregistrées localement. Ces dernières peuvent par exemple être transmises à l'autorité de référence pour alimenter le référentiel d'empreintes d'origine à l'instar des entités d'enregistrement 2. 30 La zone de confiance 1 comporte une unité de référence 10, ou unité 10 de gestion des référentiels locaux 14, qui assure la transformation ainsi que la diffusion des empreintes originales en formats dérivés propres à chaque entité de vérification. Cette unité 10 est par exemple implémentée dans un 35 ordinateur interfacé aux bases de données 11, 12. Une fonction Fi du référentiel de fonctions de dérivation est affectée à chaque entité de vérification 3. L'unité de gestion 10 calcule à partir de la fonction Fi l'image des empreintes biométriques stockées dans le référentiel d'empreintes d'origines 11. Ainsi, si on note {BDDE}l'ensemble des empreintes d'origine stockées dans la première base de données 11, l'unité de gestion 10 calcul l'image de chacune de ces empreintes par la fonction Fi pour former l'ensemble des images d'empreintes d'origines par cette fonction Fi, notée {Fi(BDDE)I transmise à l'entité de vérification correspondante et stockée dans son 10 référentiel local 14. L'ensemble des images d'empreintes, dérivées, Di est donc défini par : Di = {Fi(BDDE)} (1) Dans l'exemple de la figure 1, trois entités de vérification 3 sont 15 représentées : à une première entité est affectée une première fonction FI, le référentiel local d'empreintes dérivées 14 comporte alors l'ensemble d'images {Fl(BDDE)} ; à une deuxième entité est affectée une deuxième fonction F2, le 20 référentiel local d'empreintes dérivées 14 comporte alors l'ensemble d'images {F2(BDDE)} ; à une troisième entité est affectée une troisième fonction FI, le référentiel local d'empreintes dérivées 14 comporte alors l'ensemble d'images {F3(BDDE)} ; 25 Ces référentiels locaux comportent des images dérivées, donc déformées, des empreintes d'origine. Une image ainsi déformée ne permet pas de reconstituer son empreinte d'origine. La confidentialité des données est ainsi assurée. Cependant les images d'empreintes stockées doivent permettre d'assurer une comparaison fiable avec la dérivée d'une empreinte 30 fraîchement acquise. Avantageusement, les fonctions dérivées FI, F2, F3, .... Fn peuvent être régulièrement modifiées, ce qui sécurise encore plus le système dans son ensemble. La figure 2 illustre un exemple de traitement des empreintes dérivées au niveau d'une entité de vérification. Un individu se présente à un poste de contrôle qui lui prélève une empreinte biométrique 21 correspondant par exemple à une caractéristique physiologiques de l'individu telle que par exemples une empreinte digitale, une image de l'iris ou une image de la rétine des yeux. Cette empreinte fraichement acquise, notée E0 par la suite, est prise en compte par une unité de calcul 15 qui lui applique la fonction F, , cette fonction F, étant la fonction de dérivation propre à l'entité de vérification dans laquelle se situe l'individu. ~o L'unité de calcul délivre alors l'empreinte dérivée 22, ou image déformée, notée ED définie par : ED = Fi(Eo) (2) Cette empreinte dérivée ED est ensuite comparée avec les empreintes 15 dérivées stockées dans le référentiel local 14 stockant l'ensemble image des empreintes dérivées obtenue par la même fonction F; à partir de l'ensemble des empreintes d'origine {BDDE} stocké dans le référentiel 11 de l'entité de vérification. Les moyens de comparaison 23 sont par exemple intégrés dans l'unité de calcul qui génère l'empreinte dérivée. 20 L'accès à l'intégralité des empreintes est ainsi assuré au niveau de chaque centre de vérification 3, mais sous une forme dérivée, donc déformée, suffisante toutefois pour faire des comparaisons et détecter des individus. De ce fait, pour vérifier une empreinte, les entités de vérification ont simplement besoin de leur référentiel local d'empreintes dérivées 14, non porteuses de 25 données confidentielles, exploitables uniquement dans leur environnement. La figure 3 illustre les étapes possibles d'une opération de contrôle effectuées sur un individu, correspondant par exemple au cas de la figure 2. Dans une première étape 31, on effectue l'acquisition des données 30 biométriques de l'individu formant son empreinte. Dans une deuxième étape 32, on applique la fonction de dérivation Fi à l'empreinte biométrique prélevée. Cette fonction Fi est propre à l'entité de vérification. Dans une troisième étape 33, on compare l'empreinte dérivée avec les 35 empreintes dérivées stockées dans le référentiel local 14, ces empreintes étant dérivée des empreintes d'origine avec la même fonction Fi. La fonction Fi est telle qu'elle n'altère pas les fonctions de test biométrique classique. En d'autres termes, on peut appliquer les tests biométriques classiques aux empreintes dérivées comme on les applique aux empreintes originales sans altération des conditions ou des résultats de test. Dans ces tests classiques, les résultats de la comparaison entre une empreinte fraichement acquise et une empreinte de référence se font en fonction d'un seuil. L'étape de comparaison 33 comporte une fonction de seuillage. Elle utilise donc des seuils, qui peuvent être réglés au même niveau que les seuils appliqués à des empreintes non dérivées. Si le résultat de la comparaison 33 est en dessous d'un seuil donné, on estime qu'il n'y a pas correspondance 34 entre l'empreinte dérivée fraichement acquise et l'empreinte dérivée stockée utilisée pour la comparaison. Dans ce cas, on recommence 341 la comparaison de l'empreinte dérivée fraichement acquise avec une autre empreinte dérivée stockée dans la base locale 14. La comparaison peut-être étendue avec les données stockées dans la base locale 16 qui stocke les empreintes enregistrées localement. Dans ce cas, la fonction de dérivation Fi est aussi appliquée aux empreintes de cette base locale 16. Si le seuil est dépassé, on affiche le score 35. On est en mesure de faire coïncider l'individu contrôlé avec une empreinte dérivée stockée dans le référentiel local 14. II est alors possible de retrouver l'empreinte d'origine en s'adressant à l'autorité de référence qui contrôle la zone de confiance, et donc le référentiel des empreintes d'origine et les fonctions dérivées. L'invention peut donc être mise en oeuvre par l'installation d'une infrastructure répondant à une architecture comportant une autorité 1 responsable : du stockage 11 unique et sécurisé des empreintes biométriques ; du stockage 12 des fonctions de dérivation propres aux entités de 30 vérifications 3 ; de la mise à jour, c'est-à-dire de l'ajout, de la modification ou de la suppression, des bases de références locales 14 des entités de vérification ; L'autorité 1 met à jour les bases locales de l'ensemble des entités de 35 vérification qui lui font confiance par les étapes suivantes : sélection de la fonction de dérivation propre à l'entité de vérification ; calcul des empreintes dérivées avec cette fonction ; envoie du résultat à l'entité. Dans cette architecture, chaque entité de vérification 3 : dispose d'une base de référence locale 14 contenant un format dérivé des empreintes biométriques ; dispose d'une fonction de dérivation 15 qui lui est propre ; est responsable de la vérification d'empreintes biométriques dérivées 10 dans son référentiel local. L'entité 3 qui veut vérifier une empreinte applique par exemple les étapes suivantes : acquisition d'une empreinte fraîche ; application de la fonction de dérivation sur cette empreinte ; 15 comparaison du résultat avec les empreintes dérivées stockées dans la base locale de l'entité. L'invention présente notamment les avantages suivant : la corruption d'une entité de vérification 3 ne met pas en péril la 20 confidentialité des informations personnelles biométriques ; la compromission d'une entité de vérification n'a d'impact que sur son périmètre car les informations locales, constituées notamment du référentiel d'empreintes dérivées 14 et de la fonction dérivée Fi, 15, sont différentes d'une entité de vérification à l'autre ; 25 la conservation des empreintes originales n'est pas déléguée aux entités de vérification, une seule autorité 1 en dispose ; les entités de vérification 3 et d'enregistrement 2 peuvent être hébergées en dehors de la zone de confiance ; les opérations d'administration telles que la création, la génération de 30 base locale d'empreintes dérivées, le changement de fonction de dérivation et les mises à jour sont centralisée auprès de l'autorité de référence, plus particulièrement au niveau de l'unité de gestion 10 ; en cas de désastre d'une entité utilisatrice 2, 3. REVENDICATIONS1. Système de stockage distribué de données individuelles aptes à être utilisées pour des opérations de contrôle d'identité, caractérisé en ce qu'il comporte au moins : une base de données centrale (11) stockant les données d'origine ; une base de données (12) stockant des fonctions de dérivation (Fi) des données d'origine ; une unité de gestion (10) qui effectue le calcul des données dérivées à partir des données d'origine au moyen des fonctions de dérivations et qui effectue la diffusion des données dérivées et des fonctions de dérivation vers des entités de vérifications, chaque entité de vérification ayant sa propre fonction de dérivation ; une ou plusieurs bases de données locales (14) décentralisées dans les entités de vérification, lesdites bases locales (14) stockant les données dérivées, les données dérivées stockées étant aptes à être comparées avec des données fraîchement acquises dans l'entité de vérification (3) où elles se situent auxquelles on a appliqué la fonction de dérivation (Fi, 15) propre à cette entité. 2. Système de stockage selon la revendication 1, caractérisé en ce que l'unité de gestion (10) effectue pour chaque entité de vérification (3) : - la sélection de la fonction de dérivation (Fi) propre à cette entité de vérification (3) dans la base de données (12) des fonctions de dérivation ; - le des données dérivées à partir des données d'origine avec cette fonction de dérivation (Fi) ; - l'envoie des données dérivées calculées et de la fonction de dérivation vers l'entité de vérification (3), les données dérivées étant stockées dans la base locale (14) de l'entité. 3. Système de stockage selon la revendication 2, caractérisé en ce que l'unité de gestion (10) envoie, à des intervalles de temps donnés, de nouvelles données dérivées et une nouvelle fonction de dérivation (Fi) vers l'entité de vérification. 4. Système de stockage selon l'une quelconque des revendications précédentes, caractérisé en ce les données sont relatives à des empreintes biométriques. 5. Système de contrôle d'identité d'individus, caractérisé en ce que ledit système comportant un système de stockage selon l'une quelconque des revendications précédentes, ledit système comportant par ailleurs des moyens de contrôle (34, 341, 35) affectés dans chaque entité de vérification (3), chaque moyen de contrôle étant aptes à effectuer : - l'acquisition de données fraîches issues d'un individu ; - l'application de la fonction de dérivation (Fi, 15) propre à l'entité de vérification (3) sur ces données fraîches ; - la comparaison du résultat de la fonction de dérivation avec l'ensemble des données dérivées stockées dans la base de données locale (14) de l'entité 15 de vérification. 6. Dispositif de contrôle local d'identité d'individus, caractérisé en ce qu'il comporte au moins : - une base de données locales (16) stockant des données dérivées obtenues 20 par l'application d'une fonction de dérivation (Fi) à des données personnelles d'origine, ladite fonction de dérivation étant propre audit dispositif ; - une mémoire (15) stockant ladite fonction de dérivation (Fi) ; - des moyens de contrôle (34, 341, 35) aptes à effectuer : - l'acquisition de données fraîches issues d'un individu ; 25 - l'application de la fonction de dérivation (Fi, 15) sur ces données fraîches ; - la comparaison du résultat de la fonction de dérivation avec l'ensemble des données dérivées stockées dans la base de données locale (14). 7. Dispositif selon la revendication 6, caractérisé en ce que les données 3o dérivées sont calculées à l'extérieur dudit dispositif, les données personnelles d'origine étant extérieures audit dispositif. 8. Dispositif selon l'une quelconque des données 6 ou 7, caractérisé en ce que les données sont relatives à des empreintes biométriques. 35 9. Procédé de contrôle de l'identité d'un individu à partir de données personnelles préalablement stockées dans une base de données (11), caractérisé en ce qu'il comporte : - une étape préalable de constitution d'une base (14) de données dérivées 5 obtenues à partir de données personnelles d'origine au moyen d'une fonction de dérivation (Fi) ; - une étape (31) d'acquisition de données de l'individu ; - une étape (32) d'application de la fonction de dérivation (Fi) aux dites données acquises ; 10 - une étape (33) de comparaison du résultat de la fonction de dérivation avec l'ensemble des données dérivées de la base (14). 10. Procédé selon la revendication 9, caractérisé en ce que les données personnelles sont des empreintes biométriques. 11. Procédé selon la revendication 10, caractérisé en ce que la comparaison utilise une fonction de seuillage de test biométrique. 15 20 25