FR 3131965 A1 20230721 FR 2200281 A 20220114 L’invention se rapporte à un procédé de traitement d'une transaction du type comprenant la fourniture, par un utilisateur, d'une donnée sensible sur un terminal numérique. Selon l’invention, un tel procédé comprend: - une étape d’initialisation (A00) par le terminal numérique, d’une transaction requérant la saisie de la donnée sensible; - une étape d'obtention (A01), postérieurement à l’initialisation (A00), par l'intermédiaire d'un dispositif de prise de vue connecté au terminal, d'une donnée multimédia (DM) représentative d'un environnement de l'utilisateur; - une étape d'analyse (A02) de la donnée multimédia (DM) précédemment obtenue; et - une étape de modification (A03) d’un contexte de mise en œuvre de la transaction lorsque l'étape d'analyse de la donnée multimédia (DM) délivre un résultat représentatif d'un environnement non sécurisé (NS). Figure 1. procédé de traitement de transaction, système et programme correspondant 1. Domaine L’invention se rapporte au domaine de la sécurisation des transactions. Plus particulièrement, l’invention se rapporte à la sécurisation des transactions, impliquant la saisie, par un utilisateur, d’informations sensibles sur un dispositif de saisie. L’invention vise plus particulièrement à sécuriser une telle saisie. 2. Art Antérieur La numérisation de l’économie et l’explosion des usages des technologies numériques a radicalement modifié nos vies. Notamment, l’utilisation de terminaux de communication de plus en plus intelligents a certes ouvert de nouvelles possibilités d’interaction avec de nombreuses institutions et de nombreux services tout en augmentant les risques liés à la sécurité. Parmi les problèmes de sécurité posés, celui du vol d’informations sensibles constitue une menace difficile à contrer. En effet, il est très fréquent de devoir saisir, sur un dispositif numérique, par exemple public, des données sensibles (numéro de carte de crédit, code PIN, numéro de compte, etc.) dont les fraudeurs sont friands. Pour pouvoir prendre connaissance de ces données saisie à l’insu de l’utilisateur, deux techniques sont principalement mises en œuvre: la première technique consiste à insérer, dans le terminal numérique, un ou plusieurs logiciels espions, dont l’objectif est de récupérer les données sensibles saisie par l’utilisateur pour les transmettre à des fraudeurs par l’intermédiaire des réseaux de communication auquel le dispositif numérique est connecté. La deuxième technique, plus simple, consiste à espionner les saisies effectuées par l’utilisateur. En langue anglaise, cette technique est appelée « Shoulder Surfing ». Pour prévenir ces problèmes d’espionnage, une technique peut consister en l’utilisation d’un film de confidentialité pour s'assurer que l'écran du terminal ne peut être vu clairement que lorsque la ligne de vue et l'écran sont dans une certaine plage d'angle grâce à des principes optiques. Mais avec cette technique, il n'y a pas de moyen d'éviter l'épiage à partir d'un angle de vue proche de celui l'utilisateur légitime. De plus, le film de confidentialité affecte la luminosité de l'écran et c’est à l’utilisateur de s’assurer qu’il est dans de bonne conditions d’utilisation. Il est donc nécessaire de prévoir des systèmes complémentaires et des techniques qui permettent de préserver la confidentialité des informations affichées sur l'écran du dispositif tout en réduisant les inconvénients de l’art antérieur. 3. Résumé La technique conçue par les inventeurs a été testée pour répondre au moins en partie aux problématiques posées par l’art antérieur. Ainsi, la présente divulgation se rapporte à un procédé de traitement d'une transaction du type comprenant la fourniture, par un utilisateur, d'une donnée sensible sur un terminal numérique. Un tel procédé comprend: - une étape d’initialisation par le terminal numérique, d’une transaction requérant la saisie de la donnée sensible; - une étape d'obtention, postérieurement à l’initialisation, par l'intermédiaire d'un dispositif de prise de vue connecté au terminal, d'une donnée multimédia représentative d'un environnement de l'utilisateur; - une étape d'analyse de la donnée multimédia précédemment obtenue; et - une étape de modification d’un contexte de mise en œuvre de la transaction lorsque l'étape d'analyse de la donnée multimédia délivre un résultat représentatif d'un environnement non sécurisé. Ainsi, il est possible de prendre en compte l’environnement de l’utilisateur pour estimer si ce dernier peut, ou non, effectuer sans risque la saisie des données sensibles. Selon une caractéristique particulière, l’étape d’analyse comprend: - une étape de recherche, au sein de la donnée multimédia, d’un ensemble d’au moins un visage; - lorsque le nombre de visage est supérieur ou égal à deux, une étape de fourniture du résultat représentatif d'un environnement non sécurisé. Ainsi, la divulgation permet de ségréger plus facilement les situations à risque, dans lesquelles plusieurs visages sont détectés, pour estimer le niveau de sécurité de l’environnement de l’utilisateur. Selon une caractéristique particulière, l’étape d’analyse comprend: - une étape de recherche, au sein de la donnée multimédia, d’un ensemble d’au moins un visage; - lorsque le nombre de visage est égal à un, une étape de recherche, au sein du visage détecté, d’une orientation des yeux du visage détecté; et - lorsque l’orientation des yeux du visage détecté indique que l’utilisateur ne regarde pas l’écran du terminal, une étape de fourniture du résultat représentatif d'un environnement non sécurisé. Ainsi, il est possible de déterminer si l’utilisateur est activement concentré sur la tâche de saisie de la donnée sensible, afin d’enclencher par exemple le masquage de l’écran lorsque l’utilisateur ne regarde pas celui-ci. Selon une caractéristique particulière, l’étape d’analyse comprend, une étape d’obtention, en provenance de capteurs du terminal numérique, d’au moins une donnée représentative de l’environnement radio électrique du terminal numérique et lorsque la donnée représentative de l’environnement radio électrique n’est pas en conformité avec une valeur attendue, une étape de fourniture du résultat représentatif d'un environnement non sécurisé. Ainsi, la technique ne prend pas en compte uniquement les données en provenance du capteur visuel, mais également des modifications de l’environnement radio électriques, qui peuvent représenter des prémisses d’une attaque coordonnée, consistant par exemple à épier la saisie de l’utilisateur et à obtenir des données numériques issue du terminal numérique dans l’objectif de combiner les données issues de l’attaque radio électrique avec celles obtenues en épiant l’utilisateur. Selon une caractéristique particulière, l’étape de modification du contexte de mise en œuvre de la transaction comprend: - une étape de masquage d’au moins une information affichée à l’écran du terminal; et/ou - une étape de blocage d’une zone de saisie de la donnée sensible. Selon une caractéristique particulière, l’étape de modification du contexte de mise en œuvre de la transaction comprend en outre, une étape d’affichage, à destination de l’utilisateur, d’un message d'avertissement relatif à la détection de l’environnement non sécurisé. Selon une caractéristique particulière, postérieurement à l’étape d’affichage du message d'avertissement relatif à la détection de l’environnement non sécurisé, le procédé comprend, une étape de réception, par le terminal numérique, d’une donnée représentative d’une acceptation, par l’utilisateur, de la poursuite de la saisie de la donnée sensible. Selon une caractéristique particulière, l’étape de modification d’un contexte de mise en œuvre de la transaction comprend, lorsque au moins deux visages sont détectés au sein des données multimédia: - étape de calcul de caractéristiques biométriques d’au moins un parmi les au moins deux visages détectés; et - une étape de mise à jour, au sein du terminal lui-même, ou d’un dispositif connecté au terminal, d’une base de données de caractéristiques de visages détectés. Ainsi, il est possible de conserver des occurrences de visages détectées pour effectuer une corrélation des visages détectés dans le but de repérer les occurrences les plus fréquentes. Selon un autre aspect, l’invention se rapporte également à un terminal numérique adapté pur de traitement d'une transaction du type comprenant la fourniture, par un utilisateur, d'une donnée sensible sur le terminal numérique. Un tel terminal comprend: - des moyens d’initialisation par le terminal numérique, d’une transaction requérant la saisie de la donnée sensible; - des moyens d'obtention, postérieurement à l’initialisation, par l'intermédiaire d'un dispositif de prise de vue connecté au terminal, d'une donnée multimédia représentative d'un environnement de l'utilisateur; - des moyens d'analyse de la donnée multimédia précédemment obtenue; et - des moyens de modification d’un contexte de mise en œuvre de la transaction lorsque les moyens d’analyse de la donnée multimédia délivrent un résultat représentatif d'un environnement non sécurisé. Selon une implémentation préférée, les différentes étapes des procédés selon la présente divulgation sont mises en œuvre par un ou plusieurs logiciels ou programmes d'ordinateur, comprenant des instructions logicielles destinées à être exécutées par un processeur de données d'un terminal d’exécution selon la présente technique et étant conçu pour commander l'exécution des différentes étapes des procédés, mis en œuvre au niveau d’un terminal de communication, d’un serveur distant et/ou d’une chaîne de blocs, dans le cadre d’une répartition des traitements à effectuer et déterminés par un code source scripté ou un code compilé. En conséquence, la présente technique vise aussi des programmes, susceptibles d’être exécutés par un ordinateur ou par un processeur de données, ces programmes comportant des instructions pour commander l'exécution des étapes des procédés tel que mentionnés ci-dessus. Un programme peut utiliser n’importe quel langage de programmation, et être sous la forme de code source, code objet, ou de code intermédiaire entre code source et code objet, tel que dans une forme partiellement compilée, ou dans n’importe quelle autre forme souhaitable. La présente technique vise aussi un support d'informations lisible par un processeur de données, et comportant des instructions d'un programme tel que mentionné ci-dessus. Le support d'informations peut être n'importe quelle entité ou terminal capable de stocker le programme. Par exemple, le support peut comporter un moyen de stockage, tel qu'une ROM, par exemple un CD ROM ou une ROM de circuit microélectronique, ou encore un moyen d'enregistrement magnétique, par exemple un support mobile (carte mémoire) ou un disque dur ou un SSD. D'autre part, le support d'informations peut être un support transmissible tel qu'un signal électrique, optique et/ou sonore, qui peut être acheminé via un câble électrique ou optique, par radio ou par d'autres moyens. Le programme selon la présente technique peut être en particulier téléchargé sur un réseau de type Internet. Alternativement, le support d'informations peut être un circuit intégré dans lequel le programme est incorporé, le circuit étant adapté pour exécuter ou pour être utilisé dans l'exécution du procédé en question. Selon un exemple de réalisation, la présente technique est mise en œuvre au moyen de composants logiciels et/ou matériels. Dans cette optique, le terme "module" peut correspondre dans ce document aussi bien à un composant logiciel, qu'à un composant matériel ou à un ensemble de composants matériels et logiciels. Un composant logiciel correspond à un ou plusieurs programmes d'ordinateur, un ou plusieurs sous-programmes d'un programme, ou de manière plus générale à tout élément d'un programme ou d'un logiciel apte à mettre en œuvre une fonction ou un ensemble de fonctions, selon ce qui est décrit ci-dessous pour le module concerné. Un tel composant logiciel est exécuté par un processeur de données d'une entité physique (terminal, serveur, passerelle, set-top-box, routeur, etc.) et est susceptible d'accéder aux ressources matérielles de cette entité physique (mémoires, supports d'enregistrement, bus de communication, cartes électroniques d'entrées/sorties, interfaces utilisateur, etc.). De la même manière, un composant matériel correspond à tout élément d'un ensemble matériel (ou hardware) apte à mettre en œuvre une fonction ou un ensemble de fonctions, selon ce qui est décrit ci-dessous pour le module concerné. Il peut s'agir d'un composant matériel programmable ou avec processeur intégré pour l'exécution de logiciel, par exemple un circuit intégré, une carte à puce, une carte à mémoire, une carte électronique pour l'exécution d'un micrologiciel (firmware), etc. Chaque composante du système précédemment décrit met bien entendu en œuvre ses propres modules logiciels. Les différents modes de réalisation mentionnés ci-dessus sont combinables entre eux pour la mise en œuvre de la présente technique. 4. Dessins D'autres buts, caractéristiques et avantages de l'invention apparaîtront plus clairement à la lecture de la description suivante, donnée à titre de simple exemple illustratif, et non limitatif, en relation avec les figures, parmi lesquelles: - représente le principe général mis en œuvre; - représente un exemple de réalisation du procédé de traitement de transactions; - représente le procédé d’extraction de caractéristiques d’images; - représente une architecture physique simplifiée d’un dispositif dans lequel les procédés précédemment décrits peuvent être mis en œuvre. 5. Description 5.1. Rappels du principe Le principe général de l’invention, dans un terminal sur lequel une saisie est effectuée dans le cadre d’une transaction, consiste à traiter une information visuelle en provenance d’un capteur frontal du terminal pour déterminer si l’utilisateur peut ou non, saisir des données sensibles. Pour ce faire, on détermine si l’utilisateur est attentif aux informations affichées à l’écran du terminal et/ou s’il est seul devant le terminal pour pouvoir saisir ces données sensibles (PIN, mot de passe, etc.). Parmi les dispositifs souvent mis en œuvre pour saisir des informations sensibles, les terminaux de paiement sont considérés comme sécurisés car ils sont utilisés pour traiter les paiements. Les nouveaux terminaux peuvent également être utilisés à d'autres fins, en fonction de l'analyse de rentabilité du commerçant. Ainsi, le terminal peut être utilisé pour exécuter des services à valeur ajoutée ou des applications commerciales sur lesquelles des informations personnelles peuvent être demandées. Même si les données fournies au terminal sont traitées de manière sécurisée dans le terminal lui-même, on ne peut être sûr que l'utilisateur n'est pas espionné lorsqu'il saisit ses données personnelles. Par exemple, la saisie d'un code PIN est une étape critique lors d'une transaction de paiement sur un terminal de paiement. Lors de cette phase de saisie, l'attaquant observe par-dessus l'épaule de l’utilisateur pour voir quels chiffres sont saisis lors de la saisie du code pin. Grace à la technique mise en œuvre, on signale de manière proactive à l’utilisateur, au client ou même au commerçant que le contexte physique environnant est potentiellement risqué, afin de leur permettre de prendre la décision de poursuivre ou non la saisie des données. Pour un paiement, le traitement de la transaction peut être automatiquement stoppé lors de la constatation de la modification de l’environnement entourant le terminal (par exemple le terminal de paiement). Pour ce qui est de la saisie sur un terminal de communication d’utilisateur, la transaction peut également être stoppée, ou l’écran peut être masqué. Ainsi, d’une manière générale, en relation avec la , l’invention concerne un procédé de traitement d'une transaction du type comprenant la fourniture, par un utilisateur, d'une donnée sensible sur un terminal numérique. Selon l’invention, un tel procédé comprend: - une étape d’initialisation (A00) par le terminal numérique, d’une transaction requérant la saisie de la donnée sensible; - une étape d'obtention (A01), postérieurement à l’initialisation (A00), par l'intermédiaire d'un dispositif de prise de vue connecté au terminal, d'une donnée multimédia (DM) représentative d'un environnement de l'utilisateur; - une étape d'analyse (A02) de la donnée multimédia (DM) précédemment obtenue; et - une étape de modification (A03) d’un contexte de mise en œuvre de la transaction lorsque l'étape d'analyse de la donnée multimédia (DM) délivre un résultat représentatif d'un environnement non sécurisé (NS). En fonction des conditions de mise en œuvre opérationnelles, le procédé de traitement est opéré en utilisant une caméra 2D ou 3D comme dispositif de prise de vue. Des capteurs intégrés dans le système du terminal numérique peuvent également être utilisés. Pendant la phase de fourniture de données d'une transaction ou d'une application de paiement, la caméra filme l'environnement de l’utilisateur. Le terminal de paiement, sur la base des images de la caméra et optionnellement des données provenant des capteurs, analyse cette ou ces images pour tenter d’identifier les visages qui sont visibles de face à l'écran du terminal; optionnellement les capteurs peuvent également vérifier si quelque chose d'inhabituel se produit (changements de réseau, brouillage WiFi, changements de localisation, ...). Ainsi, par exemple lorsque le terminal de paiement détecte plusieurs visages et considère que l’environnement est risqué, il modifie le contexte d’exécution de la transaction, par exemple en avertissant le client et/ou le commerçant qu'une ou plusieurs autres personnes peuvent voir les données qu'il s'apprête à fournir et qu'il y a un risque que ces données soient volées. Si le risque est considéré par le terminal comme trop élevé, le terminal peut modifier le contexte de la transaction en interrompant l'interaction (la phase de saisie du code PIN du paiement par exemple) ou en abandonnant automatiquement la transaction (sans action de l’utilisateur). Il peut également avertir le commerçant d'un potentiel acte frauduleux pouvant survenir au sein de son commerce. De plus, comme cela est explicité par la suite, il est possible de stocker des caractéristiques biométriques de visages détectés, lorsque ces caractéristiques sont fréquemment reconnues, il est possible d’alerter la sécurité du commerçant en temps réel (en plus de l'avertissement sur l'écran du POS), par exemple à des fins de vidéo protection. Pour éviter les faux positifs, une liste blanche de visages que le terminal numérique pourrait reconnaître (comme par exemple des visages sur des affiches ou des posters, en magasin ou au domicile de l’utilisateur lorsque le procédé est mis en œuvre sur un terminal de communication personnel d’un utilisateur) est mise en œuvre et permet ainsi d’éviter des alertes inopinées sur l'écran. Cette technologie permet également de compéter la sécurité du magasin ou du point de vente grâce à une analyse "locale" (dans le point de vente) qui complète la vidéosurveillance du magasin. Ainsi, la caméra (et le module) qui capte les données multimédia et qui fournit les images (ou les caractéristiques extraites des images) au terminal numérique n’est pas nécessairement intégrée au terminal lui-même. Il peut s’agir d’une ou de plusieurs caméras de vidéosurveillance positionnées de sorte à permettre la captation de visages d’une part et de position d’une ou de plusieurs personnes au sein du commerce par exemple. 5.2. Mise en œuvre de la transaction On présente, en relation avec la , le procédé général mis en œuvre pour la conduite d’une transaction, selon la présente divulgation, dans la situation où un capteur frontal d’un terminal numérique est utilisé. Ce procédé général de traitement comprend: - l’initialisation (G00) d’une transaction, impliquant la saisie de la donnée sensible; - l’activation (G01) du capteur du terminal et - l’exécution (G02) d’un module de détection et d’extraction de caractéristiques d’image en provenance de ce capteur; ce module fournit au moins une indication d’un nombre de visages présents dans l’image captée par le capteur; une étape d’analyse, par un module d’analyse d’environnement, comprenant: - lorsqu’un seul visage est détecté (Y), une étape de détermination (G03) d’une orientation du visage et/ou des yeux du visage détecté au sein de l’image; - lorsque le visage et ou les yeux sont déterminés comme correctement orientés (Y), une étape d’affichage (G04), à l’écran du terminal, des champs et information nécessaires à la saisie de la donnée sensible; - lorsque le visage et ou les yeux sont déterminés comme incorrectement orientés (N), une étape de changement de contexte d’exécution comprenant une étape de masquage (G05) des informations affichées à l’écran du terminal et/ou de blocage des (G06) du formulaire de saisie de telles informations et ce tant que le visage et ou les yeux sont déterminés comme incorrectement orientés (N); - lorsque plusieurs visages sont détectés sur l’image (N), une étape de changement de contexte d’exécution comprenant une étape de calcul (G07) de caractéristiques biométriques d’au moins un parmi la pluralité de visages détectés, une étape de masquage (G05) des informations affichées à l’écran du terminal et/ou de blocage des (G06) du formulaire de saisie de telles informations et une étape d’affichage (G08) d’un message à destination de l’utilisateur; - lorsque l’utilisateur indique (G09), par exemple en appuyant sur une touche du terminal ou un élément de l’écran, que le contexte dans lequel il se trouve est propice à la saisie de la donnée sensible, l’étape d’affichage (G04), à l’écran du terminal, des champs et informations nécessaires à la saisie de la donnée sensible est mise en œuvre. En complément, à la suite du calculs (G07) de caractéristiques (biométriques) d’au moins une partie de la pluralité des visages détectés, le procédé peut comprendre une étape de mise à jour (G10), soit au sein du terminal lui-même, soit d’un dispositif ou serveur connecté au terminal, d’une base de données de caractéristiques de visages détectés. Cette étape de mise à jour comprend notamment, une recherche, au sein de la base de données, d’identifiants composites de caractéristiques de visages correspondants aux caractéristiques calculées pour un visage courant, et lorsque de telles données sont déjà présentes en base pour le visage courant, une étape d’incrémentation d’un compteur relatif à ces caractéristiques pour ce visage courant; lorsqu’il est détecté qu’il s’agit d’un nouveau visage (absence des caractéristiques de ce visage dans la base de données) un nouvel enregistrement est créé relativement à ce nouveau visage. En complément des caractéristiques (biométriques) de ce visage surnuméraire qui est détecté, une portion de l’image comprenant ce visage surnuméraire est également stockée en base de données. De plus, s’il advient que des caractéristiques de visages sont détectées de manière trop fréquentes (i.e. le compteur associé à ces caractéristiques dépasse un plafond prédéterminé), le procédé peut comprendre une étape d’émission, par le terminal ou le dispositif auquel il est connecté (serveur), d’un message indiquant à l’utilisateur ou au commerçant (s’il s’agit d’un terminal de paiement), qu’un même visage est fréquemment détecté dans la portée du capteur frontal du terminal et qu’il convient d’être prudent. En fonction des législations, les éventuelles portions d’images stockées en base peuvent également être fournies à l’utilisateur ou au commerçant afin qu’il reconnaisse plus facilement l’individu auquel ce visage appartient. Optionnellement, si l’utilisateur ou le commerçant dispose de ce visage fréquemment reconnu, il peut, en cas de fausse alerte récurrente, transmettre une réponse requérant le placement de ce visage sur une liste blanche (par exemple dans le cas d’un couple fréquemment capté en duo sur les images en question). Optionnellement, l’étape de masquage (G05) et/ou d’affichage (G08) d’un message à destination de l’utilisateur peut être complétée ou remplacée par une étape de diffusion d’une alerte sonore. Une telle information complémentaire est astucieuse pour deux raisons: si l’utilisateur est déficient visuel (pour une question d’accessibilité, donc), il ne peut pas facilement savoir d’une part ce qui est affiché à l’écran et d’autre part quelles sont les personnes qui pourraient espionner son écran à son insu. L’émission d’un avertissement sonore permet de solutionner ce problème. De plus, lorsque l’utilisateur est « distrait » (ses yeux ne sont pas dans la bonne orientation), cet avertissement sonore provoque un regain d’attention de la part de l’utilisateur, et de manière conjointe, des éventuelles personnes qui pourraient être à l’origine de la distraction de l’utilisateur, et par voie de conséquence, pour le procédé décrit ici, provoque la possibilité de voir apparaitre, dans l’image suivante (étape G02), le visage de ces personnes potentiellement malveillantes. Optionnellement, comme exposé précédemment, des données complémentaires sont fournies par les capteurs intégrés du terminal. Notamment l’initialisation de la transaction provoque l’exécution du module d’analyse d’environnement, comme indiqué précédemment, et ce module comprend, par exemple, en plus des moyens précédemment décrits, un module d’analyse de l’activité radio électrique autour du terminal (rupture de connexion sans fils, réception de données RFID) et/ou encore par exemple de modification brusque de données du terminal, telle qu’une modification de la localisation de celui-ci. Lorsque de telles modifications sont fournies/détectées au module d’analyse d’environnement, celui-ci peut modifier le contexte d’exécution de la transaction, comme indiqué précédemment. Optionnellement, en complément de la détection de visage, et plus particulièrement du visage de l’utilisateur, l’étape d’analyse peut comprendre l’analyse d’autres caractéristiques de l’image elle-même, comme par exemple des changements de couleurs, de luminosité au d’arrière-plan de l’image. Astucieusement, comme exposé en relation avec la , lorsque de telles changements de caractéristiques des images elles-mêmes sont détectés, le module d’analyse peut également modifier le contexte d’exécution de la transaction tel qu’explicité précédemment. Ainsi, par exemple lorsque l’image est anormalement claire ou sombre (caractéristiques obtenues à l’aide de descripteurs globaux de l’image), ou encore lorsque deux images successives sont sensiblement identiques, le module d’analyse peut également mettre en œuvre les mesures décrites précédemment, indépendamment de la détection ou non de visages au sein de ces images. Comme la mise en œuvre du procédé est à minima partiellement itérative, les étapes d’affichage et/ou de contrôle et/ou de masquage et/ou de blocage sont suivies par au moins une nouvelle itération des étapes décrites ici, tant que les informations sensibles ne sont pas saisies par l’utilisateur ou bien jusqu’à ce qu’un timer prédéterminé soit activé ou que l’utilisateur lui-même annule la transaction. Ainsi, dans une mise en œuvre standard, seules certaines des étapes décrites ci-dessus peuvent être mises en œuvre jusqu’au succès ou à l’abandon de la transaction sur le terminal. 5.3. Description d’un exemple de réalisation La est un organigramme montrant un exemple de procédé de traitement itératif des images acquises selon un exemple de réalisation de la présente divulgation. Un tel procédé peut être mis en œuvre en complément, à la place ou en combinaison avec le procédé décrit en et de la . Ce procédé vise à comparer, en continu, les images entre elles. Il permet, tout comme en ou en , de détecter des présences ou absences de visages, mais de manière plus analytique. Comme exposé en , le procédé comprend: - au moins une itération d’une étape de traitement (B10) d’une image en provenance d’un capteur (du terminal ou d’un autre capteur), comprenant: - une obtention (B100) d’une image en provenance du capteur; - une détection (B110) d’au moins un élément courant au sein de l’image; - une étape de stockage (B120) temporaire d’au moins une caractéristique dudit au moins un élément courant; - une étape optionnelle de comparaison (B20), au sein desdites au moins une caractéristique stockée en mémoire relatives aux éléments détectés, de sorte que les caractéristiques des éléments détectés lors d’une itération courante soient comparées avec les caractéristiques des éléments détectés lors d’une itération subséquente, ladite étape de comparaison fournissant comme résultat des données représentatives des différences entre des caractéristiques d’éléments de l’itération courante et de l’itération subséquente; et - lorsque les données représentatives des différences entre des caractéristiques d’éléments de l’itération courante et de l’itération subséquente diffèrent d’un ou de plusieurs plafonds ou seuils prédéterminés, un changement de contexte d’exécution de la transaction comprenant une étape de mise en œuvre (B30) d’une mesure de protection de la transaction conduite par le terminal. Selon un exemple de réalisation de la présente divulgation, la détection des éléments courants au sien de l’image peut comprendre la détection d’un ou de plusieurs visages, d’une ou de plusieurs composantes d’images, d’une ou de plusieurs fonds d’mages. Ainsi, les caractéristiques mesurées dans les différentes itérations (au moins deux) permettent de ségréger (partitionner) les images. Par exemple, l’étape de détection (B110) d’au moins un élément courant au sein de l’image courante (i.e. l’image acquise à l’itération en cours) peut comprendre: - une étape optionnelle de calcul, sur l’image courante, d’un ensemble de descripteurs de l’image courante: par exemple calcul d’un ou plusieurs descripteurs globaux (histogramme, couleur dominante, CCV) et/ou d’un ou de plusieurs descripteurs locaux (Harris,SIFT); - une étape de détection d’un visage qualifié de principal (i.e. le visage dominant dans l’image); - une étape optionnelle d’obtention de caractéristiques biométriques du visage principal, comprenant notamment une étape d’obtention d’une orientation du visage et une étape d’obtention d’une orientation des yeux du visage; - une étape d’extraction, à partir du visage principal, d’un fond d’image (i.e. portion de l’image qui ne comprend pas le visage dominant détecté); - une étape optionnelle de calcul, sur le fond d’image, d’un ensemble de descripteurs de l’image courante: par exemple calcul d’un ou plusieurs descripteurs globaux (histogramme, couleur dominante, CCV) et/ou d’un ou de plusieurs descripteurs locaux (Harris,SIFT) du fond d’image; - une étape de détection, sur le fond d’image, d’un ou de plusieurs visages additionnels; - une étape optionnelle d’extraction de caractéristiques biométriques de chaque visage additionnels; - une étape optionnelle d’obtention de caractéristiques biométriques, pour tout ou partie de chaque visage additionnel, comprenant notamment une étape d’obtention d’une orientation de tout ou partie de chaque visage et/ou une étape d’obtention d’une orientation des yeux de tout ou partie de chaque visage. Ainsi, à l’aide de toute ou partie de ces informations obtenues sur l’extraction de ces images, selon un exemple de réalisation de la présente divulgation, une image de visage est acquise lorsqu'au moins un visage est extrait d’une image acquise, et il est déterminé qu'il y a un ou plusieurs visages additionnels en fonction du résultat de la reconnaissance. À ce moment-là, le terminal met en œuvre les mesures de protection correspondantes en fonction des modes de réalisation. Dans un exemple de réalisation, la reconnaissance de visage est effectuée sur l'image acquise contenant au moins un visage humain, et le nombre de visages humains contenus dans l'image est déterminé. Le nombre de visages contenus dans l'image acquise peut être identifié selon un algorithme de reconnaissance des visages. Dans un exemple de réalisation, selon le nombre de visages contenus dans l'image acquise, le résultat de la reconnaissance de l'image précédente adjacente à l'image actuelle est comparé au résultat de la reconnaissance, si le nombre de visages contenus dans l'image actuelle est supérieur au nombre de visages dans l'image précédente, le contexte d’exécution de la transaction est modifié. Par exemple, lorsqu'un utilisateur utilise normalement un terminal mobile, l'image de visage acquise ne contient qu'un seul visage de l'utilisateur. Lorsqu'un visage additionnel est détecté à côté de celui de l'utilisateur, le contexte d’exécution de la transaction est modifié, comme cela est explicité par la suite. Dans un exemple de réalisation, les informations caractéristiques d'au moins une image de visage sont obtenues à partir de l'image acquise contenant au moins un visage, et les informations caractéristiques sont mises en correspondance avec des caractéristiques faciales de l'utilisateur qui effectue l’opération sur le terminal. Ces caractéristiques sont préenregistrées pour effectuer une reconnaissance (et non pas juste une identification) de visage. Ces caractéristiques préenregistrées peuvent être obtenues, par le terminal de paiement du commerçant par exemple, à partir soit de la carte bancaire (par exemple biométrique) utilisée par l’utilisateur pour effectuer son achat, soit à partir de son terminal de communication (s’il utilise son terminal mobile (smartphone) pour effectuer un paiement. Dans un contexte différent, si la transaction est conduite directement sur le terminal mobile de l’utilisateur, les caractéristiques faciales de l'utilisateur préenregistrées sont présentes au sein même du terminal de communication de l’utilisateur et par exemple stockées dans un élément sécurisé ou dans un environnement de confiance. Dans un exemple de réalisation complémentaire, les informations de caractéristiques de visage de l'image obtenues du capteur d'au moins un visage sont mises en correspondance avec les caractéristiques faciales de l'utilisateur préenregistrées. Si les caractéristiques de visage de l'image obtenue du capteur qui ne correspondent pas aux caractéristiques du visage de l'utilisateur prédéterminé, il est déterminé que l’environnement est non sécurisé ou que l’utilisateur est distrait (par exemple lorsque les yeux de l’utilisateur ne sont pas dans la direction de l’écran). Dans un exemple de réalisation, lorsqu'il est déterminé que l’environnement autour de l’utilisateur n’est pas sécurisé ou que l’utilisateur est distrait, l’étape de blocage de la transaction exécutée par le terminal peut être par exemple l'une des opérations suivantes, prise seule ou en combinaison: brouiller l'écran, éteindre l'écran ou faire apparaître un message d’information. Par exemple, un message d’information peut apparaître pour avertir l'utilisateur qu'il y a peut-être un problème de sécurité de son environnement de saisie. Avantageusement, le message d’information est affiché au-dessus du ou des champs de saisie des données sensibles de sorte à empêcher la saisie de ces données par l’utilisateur. Le brouillage de l’écran peut faire en sorte que l'écriture affichée sur le terminal devienne floue et illisible. Dans au moins certains modes de réalisation, la technique est mise en œuvre en utilisant une caméra 3D permettant de mettre en œuvre une détection plus fine de l’environnement de l’utilisateur. Il est ainsi possible de détecter si un vrai visage se trouve derrière le premier (pas seulement une image), et peut également aider à détecter plus facilement la distance à laquelle se trouve l’éventuelle personne malveillante. La distance du visage principal devant la caméra peut également être utilisée pour brouiller ou modifier le contenu de l'écran et attendre le retour de l'utilisateur si le terminal considère qu'il n'est pas assez proche pour interagir correctement. La caméra 3D est également utile pour la reconnaissance faciale en tant que telle. 5.4. Autres caractéristiques et avantages On présente, en relation avec la , une architecture simplifiée d’un terminal de communication, de type terminal de paiement (TProf) apte à effectuer tout ou une partie du traitement tel que présenté précédemment. Un terminal de communication comprend un premier module électronique comprenant une mémoire 41, une unité de traitement 42 équipée par exemple d’un microprocesseur, et pilotée par un programme d’ordinateur 43. Le terminal de communication comprend optionnellement, pour des fonctionnalités de sécurité, comme la génération de matériels cryptographiques, un deuxième module électronique comprenant une mémoire sécurisée 44, qui peut être fusionnée avec la mémoire 41 (comme indiqué en pointillés, dans ce cas la mémoire 41 est une mémoire sécurisée), une unité de traitement sécurisée 45 équipée par exemple d’un microprocesseur sécurisée et de mesure physiques de protection (protection physique autour de la puce, par treillis, vias, etc. et protection sur les interfaces de transmission de données, éventuellement fusionnée avec l’unité de traitement 42), et pilotée par un programme d’ordinateur 46 spécifiquement dédié à cette unité de traitement sécurisée 45, ce programme d’ordinateur 46 mettant en œuvre tout ou une partie du procédé de traitement d’une transaction tel que précédemment décrit. Le groupe composé de l’unité de traitement sécurisée 45, de la mémoire sécurisée 44 et du programme d’ordinateur dédié 46 constitue le module sécurisé (PS) du terminal de communication. Dans au moins un mode de réalisation, la présente technique est mise en œuvre sous la forme d’un ensemble de programmes installés en partie ou en totalité sur cette portion sécurisée du terminal de traitement de transaction. Dans au moins un autre mode de réalisation, la présente technique est mise en œuvre sous la forme d’un composant dédié (CpX) pouvant traiter des données des unités de traitement et installé en partie ou en totalité sur la portion sécurisée du dispositif de traitement. Par ailleurs, le dispositif comprend également des moyens de communication (CIE) se présentant par exemple sous la forme de composants réseaux (Wi-Fi, 3G/4G/5G, filaire, RFID/NFC, Bluetooth, BLE, LPWan, VLC, etc.) qui permettent au dispositif de recevoir des données (I) en provenance d’entités connectées à un ou plusieurs réseaux de communication et des transmettre des données traitées (T) à de telles entités. Un tel dispositif comprend, en fonction des modes de réalisation: - des moyens d’initialisation d’une transaction requérant la saisie de la donnée sensible; - des moyens d'obtention postérieurement à l’initialisation par l'intermédiaire d'un dispositif de prise de vue connecté au terminal, d'une donnée multimédia représentative d'un environnement de l'utilisateur; - des moyens d'analyse de la donnée multimédia précédemment obtenue; et - des moyens de modification d’un contexte de mise en œuvre de la transaction lorsque les moyens d'analyse de la donnée multimédia délivrent un résultat représentatif d'un environnement non sécurisé. Comme explicité précédemment, ces moyens sont mis en œuvre par l’intermédiaire de modules et/ou de composants, par exemple sécurisés. Ils permettent ainsi d’assurer la sécurité des transactions réalisées tout en garantissant une plus grande maintenabilité du dispositif. Procédé de traitement d'une transaction du type comprenant la fourniture, par un utilisateur, d'une donnée sensible sur un terminal numérique, caractérisé en ce qu’il comprend: - une étape d’initialisation (A00) par le terminal numérique, d’une transaction requérant la saisie de la donnée sensible; - une étape d'obtention (A01), postérieurement à l’initialisation (A00), par l'intermédiaire d'un dispositif de prise de vue connecté au terminal, d'une donnée multimédia (DM) représentative d'un environnement de l'utilisateur; - une étape d'analyse (A02) de la donnée multimédia (DM) précédemment obtenue; et - une étape de modification (A03) d’un contexte de mise en œuvre de la transaction lorsque l'étape d'analyse de la donnée multimédia (DM) délivre un résultat représentatif d'un environnement non sécurisé (NS). Procédé de traitement d'une transaction, selon la revendication 1, caractérisé en ce que l’étape d’analyse (A02) comprend: - une étape de recherche, au sein de la donnée multimédia, d’un ensemble d’au moins un visage; - lorsque le nombre de visage est supérieur ou égal à deux, une étape de fourniture du résultat représentatif d'un environnement non sécurisé (NS). Procédé de traitement d'une transaction, selon la revendication 1, caractérisé en ce que l’étape d’analyse (A02) comprend: - une étape de recherche, au sein de la donnée multimédia, d’un ensemble d’au moins un visage; - lorsque le nombre de visage est égal à un, une étape de recherche, au sein du visage détecté, d’une orientation des yeux du visage détecté; et - lorsque l’orientation des yeux du visage détecté indique que l’utilisateur ne regarde pas l’écran du terminal, une étape de fourniture du résultat représentatif d'un environnement non sécurisé (NS). Procédé de traitement d'une transaction, selon la revendication 1, caractérisé en ce que l’étape d’analyse (A02) comprend, une étape d’obtention, en provenance de capteurs du terminal numérique, d’au moins une donnée représentative de l’environnement radio électrique du terminal numérique et lorsque la donnée représentative de l’environnement radio électrique n’est pas en conformité avec une valeur attendue, une étape de fourniture du résultat représentatif d'un environnement non sécurisé (NS). Procédé de traitement d'une transaction selon la revendication 1, caractérisé en ce que l’étape de modification (A03) du contexte de mise en œuvre de la transaction comprend: - une étape de masquage d’au moins une information affichée à l’écran du terminal; et/ou - une étape de blocage d’une zone de saisie de la donnée sensible. Procédé de traitement d'une transaction selon la revendication 1, caractérisé en ce que l’étape de modification (A03) du contexte de mise en œuvre de la transaction comprend une étape d’affichage, à destination de l’utilisateur, d’un message d'avertissement relatif à la détection de l’environnement non sécurisé. Procédé de traitement d'une transaction selon la revendication 6, caractérisé en ce que, postérieurement à l’étape d’affichage du message d'avertissement relatif à la détection de l’environnement non sécurisé, le procédé comprend, une étape de réception, par le terminal numérique, d’une donnée représentative d’une acceptation, par l’utilisateur, de la poursuite de la saisie de la donnée sensible. Procédé de traitement d'une transaction selon la revendication 1, caractérisé en ce que l’étape de modification (A03) d’un contexte de mise en œuvre de la transaction comprend, lorsque au moins deux visages sont détectés au sein des données multimédia: - étape de calcul (G07) de caractéristiques biométriques d’au moins un parmi les au moins deux visages détectés; et - une étape de mise à jour (G10), au sein du terminal lui-même, ou d’un dispositif connecté au terminal, d’une base de données de caractéristiques de visages détectés. Terminal numérique adapté pour de traitement d'une transaction du type comprenant la fourniture, par un utilisateur, d'une donnée sensible sur le terminal numérique, caractérisé en ce qu’il comprend: - des moyens d’initialisation (A00) par le terminal numérique, d’une transaction requérant la saisie de la donnée sensible; - des moyens d'obtention (A01), postérieurement à l’initialisation (A00), par l'intermédiaire d'un dispositif de prise de vue connecté au terminal, d'une donnée multimédia (DM) représentative d'un environnement de l'utilisateur; - des moyens d'analyse (A02) de la donnée multimédia (DM) précédemment obtenue; et - des moyens de modification (A03) d’un contexte de mise en œuvre de la transaction lorsque les moyens d’analyse de la donnée multimédia (DM) délivrent un résultat représentatif d'un environnement non sécurisé (NS). Produit programme d’ordinateur comprenant des instructions de code de programme pour la mise en œuvre d’un procédé de traitement d'une transaction selon la revendication 1, lorsqu’il est exécuté par un processeur.