- À propos de l'authentification biométrique
- Principales caractéristiques biométriques utilisées
- Fonctionnement d'un système d'authentification biométrique
- Identification et vérification biométriques
- Performances et fiabilité des systèmes biométriques
- Menaces et vulnérabilités de l'authentification biométrique
- Simulation de l'authentification biométrique avec Python
- Protection des données biométriques et bonnes pratiques
- À retenir
L'authentification biométrique est une méthode de vérification de l'identité reposant sur des caractéristiques propres à une personne, telles que ses empreintes digitales, son visage ou son iris. Elle est utilisée dans les smartphones, les ordinateurs, les systèmes de contrôle d'accès et certaines applications sensibles. Son objectif est de vérifier une identité à partir de données biométriques, tout en respectant les exigences de sécurité et de confidentialité.
1. À propos de l'authentification biométrique
L'authentification biométrique, appelée Biometric Authentication en anglais, consiste à vérifier l'identité d'une personne en comparant une caractéristique biométrique présentée avec une référence précédemment enregistrée.
Une donnée biométrique correspond à une information obtenue par un traitement technique de caractéristiques physiques, physiologiques ou comportementales permettant de reconnaître ou de vérifier l'identité d'une personne.
Principe général
Un système biométrique réalise généralement les opérations suivantes :
- Acquérir une caractéristique biométrique à l'aide d'un capteur.
- Extraire les informations pertinentes de cette caractéristique.
- Produire une représentation numérique appelée gabarit biométrique.
- Comparer cette représentation avec une référence enregistrée.
- Calculer un score de correspondance.
- Accepter ou refuser l'authentification selon un seuil défini.
Pourquoi utiliser la biométrie ?
La biométrie permet de vérifier une caractéristique liée à la personne, sans lui demander nécessairement de mémoriser un secret supplémentaire.
Elle présente plusieurs avantages :
- Confort d'utilisation : déverrouillage rapide de certains appareils.
- Vérification personnelle : utilisation d'une caractéristique associée à l'utilisateur.
- Automatisation : vérification rapide dans certains systèmes de contrôle d'accès.
- Intégration : possibilité de combiner la biométrie avec des mécanismes cryptographiques.
Limites fondamentales
Une caractéristique biométrique n'est pas un secret au même titre qu'un mot de passe. Une photographie du visage, par exemple, peut être accessible publiquement.
De plus, une caractéristique biométrique ne peut généralement pas être remplacée aussi facilement qu'un mot de passe compromis.
La biométrie doit donc être associée à des mécanismes de protection appropriés, notamment la détection de présentation frauduleuse, la protection des gabarits et la sécurisation du dispositif de vérification.
2. Principales caractéristiques biométriques utilisées
Les systèmes biométriques utilisent différentes caractéristiques humaines. On distingue principalement la biométrie physiologique et la biométrie comportementale.
Empreintes digitales
La reconnaissance d'empreintes digitales analyse certaines caractéristiques des dessins papillaires présents sur les doigts.
Les systèmes peuvent notamment exploiter les minuties, c'est-à-dire des particularités telles que les terminaisons et bifurcations des crêtes.
Cette méthode est largement utilisée pour le déverrouillage des smartphones et des ordinateurs.
Reconnaissance faciale
La reconnaissance faciale repose sur l'analyse de caractéristiques du visage à partir d'images ou de données acquises par un capteur.
Les systèmes modernes peuvent utiliser des modèles d'apprentissage automatique pour produire des représentations numériques des visages.
La précision dépend notamment des conditions d'acquisition, de la qualité du capteur et des caractéristiques du système.
Reconnaissance de l'iris
La reconnaissance de l'iris exploite les motifs présents dans la partie colorée de l'œil.
Elle nécessite un dispositif d'acquisition approprié et peut offrir de bonnes performances dans des conditions contrôlées.
Reconnaissance de la voix
La reconnaissance du locuteur cherche à vérifier l'identité d'une personne à partir de caractéristiques de sa voix.
Il faut la distinguer de la reconnaissance vocale, dont l'objectif est de transcrire ou comprendre les mots prononcés.
Reconnaissance de la paume
Certains systèmes analysent les lignes de la paume, sa géométrie ou des caractéristiques vasculaires.
Biométrie comportementale
La biométrie comportementale repose sur des habitudes ou des caractéristiques du comportement d'une personne.
Elle peut notamment étudier :
- le rythme de frappe au clavier ;
- la manière de déplacer une souris ;
- certaines caractéristiques de la démarche ;
- la dynamique d'une signature manuscrite.
Tableau comparatif
| Technique | Caractéristique analysée | Exemple d'utilisation |
|---|---|---|
| Empreinte digitale | Crêtes et minuties | Déverrouillage d'un appareil |
| Reconnaissance faciale | Caractéristiques du visage | Authentification sur smartphone |
| Reconnaissance de l'iris | Motifs de l'iris | Contrôle d'accès spécialisé |
| Reconnaissance du locuteur | Caractéristiques vocales | Vérification à distance |
| Reconnaissance de la paume | Caractéristiques de la main | Contrôle d'accès physique |
| Dynamique de frappe | Rythme de frappe | Analyse comportementale |
3. Fonctionnement d'un système d'authentification biométrique
Un système d'authentification biométrique comprend généralement deux grandes phases : l'enrôlement et la vérification.
Enrôlement biométrique
L'enrôlement, ou Enrollment, consiste à enregistrer une référence biométrique associée à une identité.
Cette phase comprend généralement :
- L'identification préalable de la personne selon la procédure applicable.
- L'acquisition de la caractéristique biométrique.
- Le contrôle de la qualité de l'échantillon.
- L'extraction des caractéristiques pertinentes.
- La génération d'un gabarit biométrique.
- La protection et l'enregistrement du gabarit.
Acquisition biométrique
Un capteur biométrique collecte les informations nécessaires à la vérification.
Il peut s'agir d'un capteur d'empreintes, d'une caméra ou d'un dispositif spécialisé.
Extraction des caractéristiques
Le système transforme les données acquises en une représentation numérique permettant de réaliser une comparaison.
Cette représentation est appelée gabarit biométrique, ou Biometric Template.
Comparaison biométrique
Lorsqu'un utilisateur souhaite s'authentifier, un nouvel échantillon est acquis et comparé au gabarit de référence.
Le système calcule un score de similarité ou une mesure de distance selon l'algorithme utilisé.
Décision d'authentification
Le résultat est comparé à un seuil de décision.
Dans un système où un score élevé représente une forte similarité, l'authentification est acceptée lorsque le score atteint le seuil requis.
Dans d'autres systèmes, une distance faible représente une meilleure correspondance. La règle de décision dépend donc de l'algorithme.
Exemple pédagogique
Supposons qu'un système produise un score de similarité de 0,94 et utilise un seuil de 0,85.
Comme le score est supérieur au seuil, le système accepte la correspondance biométrique.
Cette décision reste probabiliste : elle ne constitue pas une preuve mathématique absolue de l'identité.
Détection de présentation frauduleuse
La Presentation Attack Detection, ou PAD, cherche à identifier les tentatives d'utilisation d'une représentation artificielle ou frauduleuse d'une caractéristique biométrique.
Elle peut notamment reposer sur des analyses du capteur, de la profondeur, du mouvement ou d'autres caractéristiques adaptées au système.
4. Identification et vérification biométriques
Il est important de distinguer la vérification biométrique de l'identification biométrique.
Vérification biométrique
La vérification biométrique cherche à déterminer si une personne correspond à l'identité qu'elle revendique.
Il s'agit généralement d'une comparaison un contre un, notée 1:1.
Par exemple, un utilisateur sélectionne son compte et présente son empreinte digitale. Le système compare l'échantillon à la référence associée à ce compte.
Identification biométrique
L'identification biométrique cherche à retrouver une identité dans un ensemble de références biométriques.
Il s'agit généralement d'une recherche un contre plusieurs, notée 1:N.
Par exemple, un système peut rechercher une correspondance parmi les références enregistrées dans une base autorisée.
Différences principales
| Critère | Vérification | Identification |
|---|---|---|
| Question | Êtes-vous bien la personne annoncée ? | À quelle identité correspondez-vous ? |
| Comparaison | 1:1 | 1:N |
| Identité déclarée | Généralement nécessaire | Pas nécessairement fournie |
| Exemple | Déverrouillage d'un appareil | Recherche dans une base biométrique |
| Enjeux | Vérification d'une identité revendiquée | Recherche et distinction entre plusieurs identités |
Biométrie et authentification multifacteur
La biométrie correspond généralement à un facteur de type inhérence, c'est-à-dire une caractéristique propre à la personne.
Elle peut être associée à un facteur de possession, comme un appareil contenant une clé cryptographique.
Par exemple, dans certaines implémentations de passkeys, la biométrie sert à déverrouiller localement l'utilisation d'une clé cryptographique.
Dans ce cas, le service distant vérifie une preuve cryptographique plutôt que de recevoir directement l'empreinte digitale ou l'image du visage.
5. Performances et fiabilité des systèmes biométriques
Un système biométrique ne produit pas toujours une correspondance parfaite. Les caractéristiques acquises peuvent varier selon les conditions d'utilisation, le capteur ou l'état de la personne.
Faux rejet
Un faux rejet se produit lorsqu'un système refuse une personne légitime.
Par exemple, un capteur peut rencontrer des difficultés à reconnaître une empreinte digitale lorsque le doigt est humide ou mal positionné.
Fausse acceptation
Une fausse acceptation se produit lorsqu'un système accepte à tort une correspondance entre deux identités différentes.
Cette erreur peut avoir des conséquences importantes dans les environnements sensibles.
False Acceptance Rate
Le FAR, pour False Acceptance Rate, mesure la proportion de tentatives d'imposteurs acceptées à tort dans un protocole d'évaluation défini.
False Rejection Rate
Le FRR, pour False Rejection Rate, mesure la proportion de tentatives légitimes rejetées à tort.
Equal Error Rate
Le EER, pour Equal Error Rate, désigne un point de fonctionnement où les taux de fausse acceptation et de faux rejet sont égaux ou approximativement égaux.
Il peut être utilisé pour comparer certaines performances expérimentales, mais ne suffit pas à lui seul pour évaluer la sécurité globale d'un dispositif.
Influence du seuil de décision
Dans un système basé sur un score de similarité :
- un seuil élevé rend généralement l'acceptation plus stricte ;
- un seuil faible rend généralement l'acceptation plus permissive ;
- le choix du seuil influence le compromis entre sécurité et facilité d'utilisation.
Qualité des échantillons
La performance dépend notamment de la qualité de l'image, de l'éclairage, du positionnement, du bruit du capteur et des conditions d'acquisition.
Évaluation selon les utilisateurs
Les performances peuvent varier selon les populations et les conditions d'utilisation. Les systèmes doivent être évalués sur des données représentatives et dans des conditions correspondant à leur usage réel.
6. Menaces et vulnérabilités de l'authentification biométrique
La biométrie présente des avantages, mais elle introduit également des risques spécifiques qu'il faut prendre en compte dès la conception du système.
Présentation frauduleuse
Une attaque par présentation consiste à présenter au capteur un élément destiné à provoquer une reconnaissance incorrecte.
Les dispositifs biométriques doivent donc intégrer des mécanismes de protection appropriés contre ce type de menace.
Vol de gabarits biométriques
Une base contenant des gabarits biométriques constitue une ressource particulièrement sensible.
Une compromission peut exposer des représentations liées à des caractéristiques personnelles difficiles à remplacer.
Rejeu de données biométriques
Si les communications entre un capteur et le système de vérification ne sont pas correctement protégées, un attaquant peut chercher à réutiliser des données précédemment capturées.
Compromission du capteur
Un capteur ou son logiciel peut être ciblé afin d'altérer les informations acquises ou les résultats transmis.
Manipulation du résultat
Une faiblesse dans l'application ou dans la communication entre composants peut permettre de falsifier un résultat de vérification.
Usurpation par contenus synthétiques
Les progrès de la génération d'images, de vidéos et de voix synthétiques créent des risques supplémentaires pour certains systèmes biométriques.
Les systèmes de vérification à distance doivent notamment tenir compte des risques liés aux deepfakes.
Atteinte à la vie privée
La collecte et l'utilisation de données biométriques peuvent permettre des formes de suivi ou de reconnaissance des personnes.
Ces traitements doivent donc être limités à des finalités légitimes et clairement définies.
Absence de révocabilité simple
Un mot de passe compromis peut être remplacé. Une empreinte digitale ou une caractéristique de l'iris ne peut pas être modifiée aussi facilement.
Cette différence justifie l'utilisation de mécanismes de protection spécifiques des gabarits biométriques.
7. Simulation de l'authentification biométrique avec Python
Python permet d'illustrer les mécanismes de comparaison biométrique, de calcul des scores et d'évaluation des performances. Les exemples suivants utilisent exclusivement des données numériques fictives et ne réalisent aucune reconnaissance biométrique réelle.
Exemple 1 : vérification biométrique par score
Le programme suivant simule une vérification biométrique. Un score de similarité fictif est comparé à un seuil. Si le score atteint le seuil, la correspondance est acceptée.
1 2 3 4 5 6 | score = 0.92 seuil = 0.85 if score >= seuil: print("Correspondance biométrique acceptée") else: print("Correspondance biométrique refusée") |
Output :
1 | Correspondance biométrique acceptée |
Exemple 2 : comparaison de caractéristiques numériques
Le programme suivant représente deux gabarits fictifs par des listes de nombres. Il calcule leur distance euclidienne pour illustrer une méthode de comparaison. Dans un système réel, les gabarits et les métriques sont définis par des algorithmes biométriques spécialisés.
1 2 3 4 5 6 7 8 9 10 11 12 | import math reference = [0.2, 0.5, 0.8] observation = [0.21, 0.48, 0.79] somme = 0 for i in range(len(reference)): somme += (reference[i] - observation[i]) ** 2 distance = math.sqrt(somme) print("Distance :", round(distance, 4)) if distance < 0.05: print("Correspondance acceptée") else: print("Correspondance refusée") |
Output :
1 2 | Distance : 0.0245 Correspondance acceptée |
Exemple 3 : calculer le taux de fausse acceptation
Le programme suivant calcule un FAR à partir de résultats fictifs d'essais réalisés avec des imposteurs. Il divise le nombre d'acceptations incorrectes par le nombre total de tentatives d'imposteurs.
1 2 3 4 5 | tentatives_imposteurs = 1000 fausses_acceptations = 5 far = fausses_acceptations / tentatives_imposteurs print("FAR :", far) print("FAR en pourcentage :", far * 100, "%") |
Output :
1 2 | FAR : 0.005 FAR en pourcentage : 0.5 % |
Exemple 4 : calculer le taux de faux rejet
Le programme suivant calcule le FRR à partir de résultats fictifs d'utilisateurs légitimes. Il permet de mesurer la proportion de tentatives légitimes refusées par le système.
1 2 3 4 5 | tentatives_legitimes = 500 faux_rejets = 15 frr = faux_rejets / tentatives_legitimes print("FRR :", frr) print("FRR en pourcentage :", frr * 100, "%") |
Output :
1 2 | FRR : 0.03 FRR en pourcentage : 3.0 % |
Exemple 5 : étudier l'influence du seuil de décision
Le programme suivant compare plusieurs scores fictifs à un seuil de décision. Il permet d'observer comment un système accepte ou refuse les correspondances selon la valeur du score.
1 2 3 4 5 6 7 | scores = [0.72, 0.84, 0.91, 0.97] seuil = 0.85 for score in scores: if score >= seuil: print(score, ": accepté") else: print(score, ": refusé") |
Output :
1 2 3 4 | 0.72 : refusé 0.84 : refusé 0.91 : accepté 0.97 : accepté |
Exemple 6 : simuler une vérification biométrique à deux conditions
Le programme suivant illustre une décision qui exige simultanément une correspondance biométrique suffisante et un résultat positif d'un contrôle de présentation. Il ne constitue pas un véritable système de détection de présentation frauduleuse.
1 2 3 4 5 6 7 | score_biometrique = 0.94 seuil = 0.85 presentation_valide = True if score_biometrique >= seuil and presentation_valide: print("Authentification acceptée") else: print("Authentification refusée") |
Output :
1 | Authentification acceptée |
Exemple 7 : identification dans une base fictive
Le programme suivant simule une recherche biométrique 1:N dans une petite base de scores fictifs. Il sélectionne la meilleure correspondance uniquement si son score atteint le seuil défini.
1 2 3 4 5 6 7 8 9 10 11 12 13 | scores = { "alice": 0.62, "bob": 0.93, "charles": 0.71 } seuil = 0.85 identite = max(scores, key=scores.get) meilleur_score = scores[identite] if meilleur_score >= seuil: print("Identité correspondante :", identite) print("Score :", meilleur_score) else: print("Aucune correspondance suffisante") |
Output :
1 2 | Identité correspondante : bob Score : 0.93 |
Dans un système réel, l'identification biométrique exige des mécanismes supplémentaires pour gérer les correspondances ambiguës, les erreurs et la protection des données personnelles.
8. Protection des données biométriques et bonnes pratiques
Les données biométriques sont particulièrement sensibles. Leur utilisation doit être justifiée, proportionnée et accompagnée de protections techniques et organisationnelles appropriées.
Protéger les gabarits biométriques
Les gabarits biométriques doivent être protégés contre l'accès non autorisé, la copie, la modification et la divulgation.
Selon le système, des mécanismes de chiffrement, d'isolation matérielle et de protection des gabarits peuvent être utilisés.
Privilégier le traitement local
Lorsque cela est possible, le traitement biométrique peut être réalisé localement sur un appareil sécurisé plutôt que de transmettre les données biométriques à un serveur distant.
Certains appareils utilisent des composants matériels spécialisés pour protéger les clés cryptographiques et les informations biométriques.
Utiliser la détection de présentation frauduleuse
Les systèmes doivent intégrer des mécanismes de Presentation Attack Detection adaptés aux menaces et aux caractéristiques du capteur.
Combiner biométrie et cryptographie
La biométrie peut servir à autoriser localement l'utilisation d'une clé cryptographique protégée.
Cette approche est notamment utilisée dans certaines architectures d'authentification fondées sur FIDO2 et WebAuthn.
Prévoir une méthode alternative
Un système doit prévoir une méthode d'authentification alternative appropriée lorsque la biométrie n'est pas disponible, ne fonctionne pas correctement ou ne convient pas à l'utilisateur.
Limiter la collecte
Les organisations doivent collecter uniquement les données nécessaires à la finalité du système et éviter la conservation excessive des échantillons biométriques.
Définir une durée de conservation
Les données biométriques ne doivent pas être conservées indéfiniment sans justification. Une politique de conservation et de suppression doit être définie.
Contrôler les accès
Seules les personnes et les applications autorisées doivent pouvoir accéder aux données biométriques ou aux fonctions de gestion du système.
Évaluer les performances
Les systèmes doivent être testés dans des conditions représentatives afin de mesurer les taux d'erreur, la robustesse et les risques de fausse acceptation.
Respecter la vie privée
Le traitement des données biométriques doit respecter les exigences légales applicables en matière de protection des données personnelles.
Au Maroc, les traitements concernés doivent notamment être examinés au regard de la loi 09-08 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel, ainsi que des exigences applicables de la CNDP.
Dans l'Union européenne, les données biométriques traitées aux fins d'identifier une personne de manière unique relèvent de dispositions particulièrement protectrices du RGPD.
Réaliser des audits réguliers
Les dispositifs biométriques doivent être audités afin de vérifier la sécurité des capteurs, des logiciels, des bases de données, des communications et des mécanismes d'administration.
Défense en profondeur
Une stratégie de défense en profondeur combine la biométrie avec des mécanismes de contrôle d'accès, de chiffrement, de journalisation, de surveillance et de protection des équipements.
9. À retenir
L'authentification biométrique permet de vérifier l'identité d'une personne à partir de caractéristiques physiques, physiologiques ou comportementales.
Les principales techniques comprennent la reconnaissance des empreintes digitales, la reconnaissance faciale, la reconnaissance de l'iris et la reconnaissance du locuteur.
Un système biométrique comporte généralement une phase d'enrôlement, une acquisition, une extraction de caractéristiques, une comparaison et une décision.
La vérification biométrique correspond à une comparaison 1:1, tandis que l'identification biométrique correspond généralement à une recherche 1:N.
Les performances sont notamment évaluées à l'aide des indicateurs FAR, FRR et EER.
La biométrie n'est pas infaillible. Des erreurs de reconnaissance, des tentatives de présentation frauduleuse et des compromissions de gabarits peuvent survenir.
Les données biométriques sont sensibles et doivent être protégées par des mécanismes adaptés, notamment le chiffrement, le contrôle d'accès et la limitation de leur conservation.
Les technologies FIDO2, WebAuthn et les passkeys permettent notamment d'associer une vérification locale de l'utilisateur à des mécanismes cryptographiques.
Python permet de simuler les principes de comparaison biométrique, de seuil de décision, de calcul des taux d'erreur et de recherche de correspondances.
Enfin, une authentification biométrique fiable doit être intégrée dans une stratégie globale de sécurité et de protection de la vie privée, avec des mécanismes de secours et une évaluation régulière des risques.
Auteur : Younes Derfoufi
Lieu de travail : CRMEF OUJDA
Site Web : www.tresfacile.net
Chaine YouTube : https://www.youtube.com/user/InformatiquesFacile
Me contacter : https://www.tresfacile.net/me-contacter/
