EP4315745A1 - Contrôle d'accès à un réseau de communication sans fil par authentification fondée sur une empreinte biométrique d'un utilisateur - Google Patents

Contrôle d'accès à un réseau de communication sans fil par authentification fondée sur une empreinte biométrique d'un utilisateur

Info

Publication number
EP4315745A1
EP4315745A1 EP22710669.7A EP22710669A EP4315745A1 EP 4315745 A1 EP4315745 A1 EP 4315745A1 EP 22710669 A EP22710669 A EP 22710669A EP 4315745 A1 EP4315745 A1 EP 4315745A1
Authority
EP
European Patent Office
Prior art keywords
user
access
user terminal
fingerprint
biometric fingerprint
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
EP22710669.7A
Other languages
German (de)
English (en)
Inventor
Xavier LE GUILLOU
Coralie BONNET
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Orange SA
Original Assignee
Orange SA
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Orange SA filed Critical Orange SA
Publication of EP4315745A1 publication Critical patent/EP4315745A1/fr
Pending legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0861—Network architectures or network communication protocols for network security for authentication of entities using biometrical features, e.g. fingerprint, retina-scan
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G06F21/32—User authentication using biometric data, e.g. fingerprints, iris scans or voiceprints
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/102—Entity profiles
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3226—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using a predetermined code, e.g. password, passphrase or PIN
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3226—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using a predetermined code, e.g. password, passphrase or PIN
    • H04L9/3231—Biological data, e.g. fingerprint, voice or retina
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3236—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using cryptographic hash functions
    • H04L9/3239—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using cryptographic hash functions involving non-keyed hash functions, e.g. modification detection codes [MDCs], MD5, SHA or RIPEMD
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3297—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving time stamps, e.g. generation of time stamps
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/08—Access security
    • H04W12/088—Access security using filters or firewalls
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/30—Security of mobile devices; Security of mobile applications
    • H04W12/37—Managing security policies for mobile devices or for controlling mobile applications
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/60—Context-dependent security
    • H04W12/69—Identity-dependent
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0236—Filtering by address, protocol, port number or service, e.g. IP-address or URL
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
    • H04L63/068—Network architectures or network communication protocols for network security for supporting key management in a packet data network using time-dependent keys, e.g. periodically changing keys
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/083—Network architectures or network communication protocols for network security for authentication of entities using passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0876—Network architectures or network communication protocols for network security for authentication of entities based on the identity of the terminal or configuration, e.g. MAC address, hardware or software configuration or device fingerprint
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/60—Context-dependent security
    • H04W12/61—Time-dependent
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W84/00—Network topologies
    • H04W84/02—Hierarchically pre-organised networks, e.g. paging networks, cellular networks, WLAN [Wireless Local Area Network] or WLL [Wireless Local Loop]
    • H04W84/10—Small scale networks; Flat hierarchical networks
    • H04W84/12—WLAN [Wireless Local Area Networks]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W88/00—Devices specially adapted for wireless communication networks, e.g. terminals, base stations or access point devices
    • H04W88/16—Gateway arrangements

Definitions

  • TITLE Access control to a wireless communication network by authentication based on a user's biometric fingerprint
  • the field of the invention is that of controlling the access of user terminals to a local communication network, accessible via an access gateway.
  • the invention relates in particular, but not exclusively, to the issues of planning access for user terminals to such a local communication network, and parental control for underage users.
  • this access planning and this parental control are implemented in the access gateway (for example the Livebox® from Orange® ).
  • the latter's role is to control the access of user terminals to the communication network, by ensuring the automatic configuration of their IP parameters, in particular by automatically assigning them an IP address (for English "Internet Protocol", in French internet protocol).
  • this control is entirely based on the MAC address (for English “Media Access Control”, in French physical address) that the user terminal declares to the DHCP server of the local network.
  • This MAC address is a physical identifier stored in a network card or similar network interface, usually consisting of 48 bits and represented in hexadecimal form.
  • the residential gateway stores a correspondence table, making it possible to associate access permissions with the various MAC addresses of the user terminals of the local network. For example, the MAC address of the smartphone (in French “smartphone”) of a minor user is recorded in association with certain authorization rules making it possible to limit his access to certain time slots only, or to certain content only.
  • This correspondence table is generated by the network administrator (the client parent) when configuring the access authorizations for all the user terminals of the household, and stored in the form of a static table in the gateway.
  • a first problem results from the fact that any user today can easily modify the software MAC address of his terminal. Indeed, with certain operating systems (or OS for “Operating System”), the hardware MAC address is not used directly, it is replaced by a software MAC address chosen by the OS. This modification of the MAC address, at the software level, is within the reach of most minor users of the household, who wish to circumvent the parental controls or the planning established by their parents. The reliability of the parental control and the planning implemented in the domestic gateways is therefore insufficient to gain the trust of the customers of the operators and the OTT players.
  • OS Operating System
  • a second problem stems from the fact that some mobile operating system vendors, such as Apple ® or Google ® , push for the use of a random MAC address for connecting to Wi-Fi networks. access at residential gateway level by MAC address filtering.
  • the invention meets this need by proposing a method for controlling access to a wireless local communication network, comprising a gateway for access to the local network and a plurality of user terminals able to be connected to the local network via the gateway of access.
  • the access control of one of the user terminals to the network comprises:
  • the invention is based on an entirely new and inventive approach to access control to a local communication network, in particular for the purposes of parental control and network access planning.
  • the invention proposes that the authentication of the user terminal on the network is carried out from information derived from a biometric fingerprint of the user of the terminal, rather than, conventionally, from an address MAC of the terminal.
  • it is proposed to authenticate the user of the terminal, based on his biometric fingerprint, rather than the terminal itself.
  • the reliability of parental control and network access planning is thus reinforced, by making sure to apply to the user terminal a personalized access profile according to its current user, identified from its biometric fingerprint. This advantageously prevents a user of the network from circumventing the access restrictions which should be imposed on him by borrowing the terminal of another user having more rights.
  • biometric fingerprint is meant a set of physical or behavioral characteristics specific to an individual, making it possible to reliably verify his identity.
  • a biometric fingerprint can be a fingerprint of the user, i.e. the design formed by the lines of the skin of the fingers or the palms of the hands. It can also be a retinal imprint of the user, allowing the recognition of his iris, from an iridian code performed using the Daugman algorithm. It may also be a set of facial characteristics of the user (distance between the eyes, ridges of the nose, corner of the lips, ears, chin, etc.) allowing reliable recognition of his face.
  • biometric fingerprint can be constructed from a set of behavioral characteristics of an individual, for example in the case of a user's voice print.
  • the information derived from the biometric fingerprint is a MAC address generated by hashing a robust representation of the biometric fingerprint.
  • the latter After capture of a biometric fingerprint of the user by the user terminal, the latter records a robust representation thereof, in order to avoid storing the biometric fingerprint itself, which could pose security problems if someone managed to steal it fraudulently.
  • robust representation we mean a reduced number of features extracted from the fingerprint, but nevertheless sufficiently high to enable reliable identification of its owner.
  • a MAC address is generated by applying a hash function to this robust representation of the user's fingerprint. The user terminal then reconfigures its network interface with this generated MAC address, which is then used, at the level of the access gateway, to authenticate the user terminal, and to determine the access profile, associated with the owner of the biometric fingerprint , which should be applied to it.
  • such an access control method comprises a pre-registration of the user terminal with the access gateway comprising a storage in association of the MAC address generated and of an identifier of the user.
  • the MAC address used by a given user of the network is always the same, insofar as it is directly derived from the biometric fingerprint of the latter. It may therefore be advantageous, in an initial enrollment phase, to record, at the level of the access gateway, the MAC address associated with each of the regular users of the network, in a dedicated correspondence table.
  • the access gateway can thus easily establish the correspondence table associating the MAC addresses used by the terminals which authenticate on the network and the access profiles defined by the network administrator, including all the rules and permissions associated with each of the identified users of the local network. Parental control and access planning are thus simplified and made more reliable.
  • the information derived from the biometric fingerprint is a password generated by hashing a robust representation of the biometric fingerprint.
  • This second embodiment is advantageous in that it requires little adaptation of existing user terminals.
  • the latter after capture of a biometric fingerprint of the user by the user terminal, the latter records a robust representation thereof, in order to avoid storing the complete biometric fingerprint. It then generates a password, by applying a hash function to this robust representation.
  • the authentication of the user terminal is implemented on a captive portal from a user identifier and a hash of the password.
  • the user connected to the local wireless network, has no rights until he has authenticated himself on the captive portal, ie a special web page which is displayed in the browser of the user terminal for the purpose authentication, prior to any access to the extended Internet network.
  • an association is established at the level of the access gateway between the MAC address of the user terminal and the identity of the user, deduced from his biometric fingerprint. It is therefore possible for the access gateway to apply the access profile to the user terminal, ie all the permissions and restrictions that have been defined by the network administrator for the identified user of the terminal.
  • the period of validity of this access profile is linked to the duration of opening of the captive portal: as soon as the user closes his session, all the access rights granted by the gateway become null and void. , and a new authentication on the captive portal is required so that the user finds the access profile to the local network which is specific to him.
  • such an access control method comprises pre-registration of the user terminal with the access gateway comprising a storage in association of the hash of the generated password and of an identifier of the user.
  • the access gateway can memorize a correspondence table associating a set of rules and access permissions to the hashed password obtained from the biometric fingerprint of each of the users.
  • the access gateway After authentication on the captive portal, the access gateway can establish a correspondence between the MAC addresses of the user terminals and the previously saved hashed passwords. It therefore directly deduces the correspondence table associating with each of the MAC addresses of the user terminals all the rules and permissions constituting their access profile. Parental control and network access planning are thus simplified and made more reliable.
  • the information derived from the biometric fingerprint is a MAC address derived, from timestamp information, from a hash of a robust representation of the biometric fingerprint .
  • This third embodiment is advantageous in that it makes it possible to satisfy the constraints which are currently imposed on the wireless local area network market, according to which the user terminals must present random and rotating MAC addresses, in order to avoid any traceability of their users.
  • a common key derivation can be performed in parallel, on the user terminal and on the residential gateway, which makes it possible to calculate the same MAC address on each of the two devices, from the fingerprint biometric of the user, and time-stamping information, corresponding for example to the current time.
  • the MAC address used by the user terminal changes with each new request access to the local network, but it always remains known to the access gateway, which can therefore easily associate it with an identifier of the user of the terminal, and therefore with the permissions and access restrictions granted to it by the network administrator.
  • such an access control method advantageously comprises pre-registration of the user terminal with the access gateway comprising a storage in association of the hash of the robust representation of the biometric fingerprint and an identifier of the 'user.
  • the terminal After entering the biometric fingerprint of the user on the terminal he is using, the terminal performs an initial transformation of the entered fingerprint, in order to extract a robust representation therefrom, making it possible to uniquely identify the user. user, but not allowing a reversible reconstruction of the imprint.
  • the user terminal registers with the access gateway, by providing an identifier of the user and the robust representation of the fingerprint, which are stored in association at the level of the gateway, after possible hashing. It is from this robust representation stored for each of the registered users of the local network that the access gateway can at any time calculate the MAC address of the user terminal which wishes to access the network.
  • the authentication comprises the generation, by the access gateway, of at least two candidate MAC addresses for the user terminal, from a hash of the robust representation of the stored biometric fingerprint and at least two temporally close timestamp information, and comparing the candidate MAC addresses with the information derived from the biometric fingerprint received from the user terminal.
  • such a method according to one embodiment of the invention is robust to any clock offsets between the user terminal and the gateway.
  • a more or less fine granularity can be chosen, and therefore two timestamping information more or less close in time. For example, one can choose a granularity of 5 minutes, and calculate two MAC addresses from the biometric fingerprint on the one hand, and from two timestamp information 5 minutes apart from each other.
  • the access gateway calculates these two candidate MAC addresses, and compares them with the MAC address provided by the user terminal in its DHCP request.
  • the gateway can apply to the terminal the access rights which are specific to its user. Otherwise, the gateway can apply a default access policy to the unrecognized terminal. We can of course choose a finer or coarser temporal granularity, and even calculate more than two candidate MAC addresses if necessary.
  • the invention also relates to a computer program product comprising program code instructions for implementing an access control method as described previously, when it is executed by a processor.
  • the invention also relates to a recording medium readable by a computer on which is recorded a computer program comprising program code instructions for the execution of the steps of the access control method according to the invention as described above.
  • Such recording medium can be any entity or device capable of storing the program.
  • the medium may comprise a storage means, such as a ROM, for example a CD ROM or a microelectronic circuit ROM, or even a magnetic recording means, for example a USB key or a hard disk.
  • such a recording medium may be a transmissible medium such as an electrical or optical signal, which may be conveyed via an electrical or optical cable, by radio or by other means, so that the program computer it contains is executable remotely.
  • the program according to the invention can in particular be downloaded on a network, for example the Internet network.
  • the recording medium may be an integrated circuit in which the program is incorporated, the circuit being adapted to execute or to be used in the execution of the aforementioned access control method.
  • the invention also relates to an access gateway to a wireless local communication network, the local network comprising a plurality of user terminals able to be connected to the local network via the access gateway.
  • an access gateway comprises:
  • an authenticated user terminal access control module configured to apply to the user terminal a personalized network access profile for the user to whom the biometric fingerprint belongs.
  • Such an access gateway is configured to implement the access control method as described above.
  • the invention also relates to a method for accessing a user terminal to an access gateway to a wireless local communication network, which comprises:
  • the derivation of authentication information comprises:
  • such an access method comprises a configuration of a network interface of the user terminal with the generated MAC address.
  • the generation of a MAC address also implements a derivation function from timestamping information.
  • the invention also relates to a computer program product comprising program code instructions for implementing an access method as described above, when it is executed by a processor.
  • the invention also relates to a recording medium readable by a computer on which is recorded a computer program comprising program code instructions for the execution of the steps of the access method according to the invention as described below. above.
  • Such recording medium can be any entity or device capable of storing the program.
  • the medium may comprise a storage means, such as a ROM, for example a CD ROM or a microelectronic circuit ROM, or even a magnetic recording means, for example a USB key or a hard disk.
  • such a recording medium may be a transmissible medium such as an electrical or optical signal, which may be conveyed via an electrical or optical cable, by radio or by other means, so that the program computer it contains is executable remotely.
  • the program according to the invention can in particular be downloaded on a network, for example the Internet network.
  • the recording medium may be an integrated circuit in which the program is incorporated, the circuit being adapted to execute or to be used in the execution of the aforementioned access method.
  • the invention finally relates to a user terminal capable of being connected to a local wireless communication network via an access gateway, which comprises:
  • the access gateway, the user terminal and the corresponding computer programs mentioned above have at least the same advantages as those conferred by the access and access control methods according to the present invention.
  • FIG. 1 presents a home wireless local communication network, comprising an access gateway and several user terminals;
  • FIG. 2 illustrates, according to a first embodiment of the invention, a technique for generating a MAC address from a user's fingerprint
  • FIG. 3 describes in the form of a flowchart the steps implemented when connecting a user terminal to the access gateway according to this first embodiment
  • FIG. 4 presents in the form of a flowchart a preliminary phase for registering a user terminal with the access gateway according to this first embodiment
  • FIG. 5 illustrates in the form of a flowchart a second embodiment of the invention, in which the information derived from the biometric fingerprint of a user is a password used to allow the authentication of the user terminal on a portal captive;
  • FIG. 6 more precisely illustrates the different steps for generating a password according to the embodiment of FIG. 5;
  • FIG. 7 presents the preliminary phase of enrollment of the various users of the network with the access gateway according to the embodiment of FIG. 5;
  • FIG. 8 illustrates the authentication mechanism implemented according to the embodiment of FIG. 5;
  • FIG. 9 illustrates in the form of a flowchart a third embodiment of the invention, in which the information derived from the biometric fingerprint of a user is a MAC address generated on the fly for the user terminal, by key derivation common on the access gateway and on the user terminal;
  • FIG. 10 presents a flowchart of the preliminary phase of enrolling the user with the access gateway according to the embodiment of FIG. 9;
  • FIG. 11 illustrates in the form of a flowchart the authentication phase of a user and his associated terminal during an attempt to connect to the access gateway according to the embodiment of FIG. 9;
  • FIG. 12 presents the succession of steps implemented on the user terminal side for generating a session MAC address according to the embodiment of FIG. 9
  • FIG. 13 presents the succession of steps implemented on the access gateway side for generating a session MAC address according to the embodiment of FIG. 9;
  • FIG. 14 presents in the form of a simplified diagram the hardware structure of an access gateway according to the various embodiments of the invention.
  • FIG. 15 presents in the form of a simplified diagram the hardware structure of a user terminal according to the first and third embodiments of the invention.
  • the general principle of the invention is based, in the context of the access control of user terminals to a wireless local communication network, on the authentication of the users themselves, rather than of the terminals they use, and this , from information derived from a biometric fingerprint of the users. In this way, it is possible to increase the reliability of access control, by ensuring that the permissions and access restrictions defined by the network administrator are correctly applied to each user, regardless of the user terminal they use. Network access planning and parental control for underage users are thus secured, for better customer confidence in the service provided by their access provider.
  • a wireless local communication network for example a family Wi-Fi network.
  • a home network 2 comprises a residential gateway 10, for example a Livebox ® from Orange ® , and a plurality of user terminals, for example a smart phone 11, a laptop computer 12, a PC-type family computer 13, and a tablet 14.
  • These various user terminals can connect to the residential gateway 10, as symbolized by the double arrows in FIG. 1, to access the resources of the local communication network 2, or the resources of an extended communication network 1, for example the Internet network, to which the gateway 10 forms an access point.
  • this home network is that of a family comprising two parents and two minor children Alice and Bob.
  • the smartphone 11 and the laptop 12 are for example used exclusively by each of the two parents, while Alice and Bob can both use the family computer 13 or the tablet 14.
  • time slots are not necessarily the same for Alice and for Bob.
  • Alice is allowed from 4 p.m. to 9 p.m.
  • Bob is allowed from 4 p.m. to 7 p.m.
  • the method according to the invention is based, in its various embodiments, on the use of a biometric fingerprint of the user, or information derived from it, for its authentication on the local network.
  • such a biometric fingerprint corresponds to a set of physical or behavioral characteristics specific to the user, making it possible to reliably verify his identity.
  • a biometric fingerprint can be a retinal fingerprint of the user, allowing the recognition of his iris, from an iridian code performed using the Daugman algorithm. It can also be a set of facial characteristics of the user (distance between the eyes, ridges of the nose, corner of the lips, ears, chin, etc.) allowing reliable recognition of his face.
  • Such a biometric print can also be constructed from a set of behavioral characteristics of an individual, for example in the case of a user's voice print.
  • the biometric fingerprint is a fingerprint of the user, i.e. the design formed by the lines of the skin of the user. one of his fingers.
  • a fingerprint of the user i.e. the design formed by the lines of the skin of the user. one of his fingers.
  • biometric fingerprint is a fingerprint of the user, i.e. the design formed by the lines of the skin of the user. one of his fingers.
  • a fingerprint is in fact particularly easy on user terminals equipped with touch screens, such as smart telephones or smartphones.
  • touch screens such as smart telephones or smartphones.
  • the user can provide the terminal with an image of his fingerprint, which makes it possible to uniquely identify him.
  • fingerprints also called dactylograms, are unique to each individual, and each finger has its own imprint. It is estimated that there is a one in 64 billion chance that two people will have the same fingerprints.
  • minutiae local singular points
  • minutiae are found to be relatively robust to fingerprint variations, and it is generally believed that a set of twelve minutiae is sufficient to reliably authenticate an individual.
  • the MAC (Media Access Control) address is a six-byte hexadecimal string that identifies an Ethernet card.
  • the MAC address of a user terminal is therefore a priori fixed by the manufacturer who produces his network card. Although physically stored in the Ethernet cards, it is possible to modify these addresses in the software layers of the communication protocols. This is what this first embodiment of the invention proposes, according to which the user terminal generates an IPv4 or IPv6 MAC address by non-reversible hashing of its user's fingerprint, which it substitutes for its initial MAC address. , when trying to connect to the access gateway.
  • FIG. 2 more particularly illustrates the succession of steps implemented within a user terminal (for example the smartphone 11 or the tablet 14 of FIG. 1) for such a generation of MAC address, derived from a fingerprint digital.
  • the user Alice enters his fingerprint, by placing his finger (for example his right index finger) on the screen of the tablet 14.
  • a processing algorithm 21 of the image of this fingerprint digital allows to extract a certain number of local singular points, also called minutiae, in sufficient number to allow a robust, or reliable, identification of Alice.
  • minutiae a certain number of local singular points
  • FIG. 2 for the sake of simplification, only five minutiae have been illustrated, but it is generally considered in France that the use of twelve minutiae makes it possible to ensure the reliability of the identification of individuals from their fingerprints.
  • a robust representation 22 of her fingerprint is obtained, which makes it possible to reliably identify Alice, but which does not make it possible to reconstruct her fingerprint in a reversible manner. complete, whose confidentiality and protection therefore remain assured. It is preferably this robust representation 22 which is stored in the user terminal.
  • the user terminal 14 applies to this robust representation 22 a hash function 23, for example of the sha-256 type (for “Secure Hash Algorithm”), sha-1 or even md5 (for “Message Digest” in English).
  • a hash function 23 for example of the sha-256 type (for “Secure Hash Algorithm”), sha-1 or even md5 (for “Message Digest” in English).
  • the hashing technique consists of converting a series of bytes into a reputedly unique hash and finds many applications, such as validating the integrity of a file (checksum) or so that two parties (a server and a client) can mutually prove possession of a shared secret without the latter does not circulate on the network.
  • the hash 23 of the robust representation 22 of Alice's fingerprint delivers a sequence 24 of sixty-four hexadecimal characters, which can be truncated during a step referenced 25 to retain only the first six bytes, i.e. twelve hexadecimal characters, which directly have the structure of a MAC address 26.
  • Other MAC address generation functions 25, possibly more complex and more rigorous, can be used as an alternative to this simple truncation , such as for example a key derivation function of the PBKDF2 type (from the English "Password-Based Key Derivation Function 2" which is a key derivation function, belonging to the family of Public Key Cryptography Standards, more precisely PKCS#5 v2.0).
  • FIG. 3 illustrates in the form of a flowchart the various steps implemented between the user terminal 14 and the residential gateway HGW 10, when Alice tries to access the local communication network.
  • Alice enters her fingerprint 20 on the screen of the tablet 14, during a step referenced CAPT_20.
  • the latter undergoes a robust transformation 21, from which a MAC address 26 is generated, during the successive steps referenced 23 to 25 described above.
  • the Tx_14 tablet then reconfigures its network interface with the MAC address 26 that it has just generated from Alice's fingerprint 20. It is this MAC address 26 that he indicates in the DHCP request 28 that he addresses to the HGW access gateway 10, during his attempt to connect to the local communication network 2.
  • the HGW access gateway 10 memorizes in association the IP address of the terminal Tx_14 and the MAC address 26 appearing in its DHCP request 28.
  • the authentication of the user terminal 14 is therefore done in a conventional manner, from the MAC address announced by the terminal in its DHCP request.
  • the DHCP server associates a dynamic IP address with the self-declared MAC address, in accordance with IETF standards RFC 2131 and RFC 2132.
  • a software layer confirms the association of permissions to this particular MAC address.
  • a phase of pre-registration of each of the users of the local communication network 2 makes it possible, at the level of the access gateway HGW 10, to register in association an identifier of each of the users (for example, his first name: Alice or Bob or Parentl or Parent2) and the MAC address that will be derived from his fingerprint.
  • the user here, Alice
  • the terminal Tx_14 generates from this biometric fingerprint 20 a MAC address 26.
  • the terminal Tx_14 then sends the HGW access gateway 10 a message containing Alice's identifier and the MAC address 26 that it generated from its fingerprint 20, during a step referenced 40 (SEND_Alice/@MAC ).
  • the HGW access gateway 10 stores in association in a correspondence table an identifier of the user, for example Alice, and the MAC address 26 generated by the terminal Tx_14 from the fingerprint 20 entered by Alice (step referenced 41, REG_Alice/@MAC).
  • the access gateway HGW 10 also stores in memory a table of permissions, which is a correspondence table associating an identifier of the users and at least one user access control rule to the access gateway.
  • a table of permissions which is a correspondence table associating an identifier of the users and at least one user access control rule to the access gateway.
  • the network administrator for example the parent
  • the access gateway stores all of these rules in a static correspondence table. For example, for the minor user Alice, access to the Internet network is only authorized between 4 p.m. and 8 p.m.
  • the residential gateway stores a correspondence table, obtained by merging the table of permissions and the table of MAC addresses, making it possible to associate access permissions with the various MAC addresses of the user terminals of the local network. For example, the MAC address of the smartphone 11 of a minor user is recorded in association with certain authorization rules making it possible to limit his access to certain time slots only, or to certain contents only.
  • This correspondence table can be stored in the form of a static table in the gateway.
  • FIGS. 5 to 8 a second embodiment of the invention, in which the information derived from the biometric fingerprint of a user is a password used to allow the authentication of the user terminal on a captive portal.
  • the general principle of this second embodiment is illustrated in the form of a flowchart in FIG. 5.
  • the user for example Alice, enters his fingerprint 20 on one of the user terminals in FIG. affixing to the touch screen of the tablet 14.
  • a password 54 is derived from this biometric imprint 20, which the user terminal uses to authenticate itself on a captive web portal CAPT_PORT 100 hosted by the access gateway.
  • CAPT_PORT 100 hosted by the access gateway.
  • the user connected to the WiFi network 2 has no rights until he has authenticated himself on a captive web portal 100.
  • the association between the MAC address of the user terminal and the identity of the user is established, and it is therefore possible to apply to the terminal the network access profile which has been established by the administrator for this user.
  • FIG. 6 more precisely illustrates the principle of generating a password, from the biometric fingerprint of the user, for example the fingerprint 20 that Alice entered by placing her finger (for example her thumb ) on the screen of the tablet 14.
  • a processing algorithm 61 of the image of this fingerprint makes it possible to extract from it a certain number of local singular points, also called minutiae, in sufficient number to allow robust identification, or reliable, from Alice.
  • minutiae local singular points
  • FIG. 6 for the sake of simplification, only five minutiae have been illustrated, but it is generally considered in France that the use of twelve minutiae makes it possible to ensure the reliability of the identification of individuals from their fingerprints.
  • this robust transformation 61 of Alice's fingerprint a robust representation 62 of her fingerprint is obtained, which makes it possible to identify Alice with reliability, but which does not make it possible to reconstruct her fingerprint in a reversible manner. complete, whose confidentiality and protection therefore remain assured. It is preferably this robust representation 62 which is stored in the user terminal.
  • the user terminal 14 applies to this robust representation 62 a hash function 53, for example of the sha-256 type (for “Secure Hash Algorithm”), sha-1 or even md5 (for English “Message Digest” ), which delivers a sequence 54 of sixty-four hexadecimal characters.
  • This complete hash can be used directly as a password.
  • a key derivation function of the PBKDF2 type for example, can be applied to the result 54 of the hash to generate a password, allowing authentication of the user terminal on the captive portal 100.
  • This second embodiment requires a preliminary phase of enrollment of the various users of the network with the access gateway HGW 10, illustrated in figure 7.
  • the user for example Alice, enters his fingerprint 20 on the user terminal, for example the tablet Tx_14, during a step referenced CAPT_20.
  • the latter is transformed into a robust representation during a step referenced 61, which then feeds a hash function 53, making it possible to generate a password derived from the fingerprint 20.
  • the user terminal Tx_14 sends the residential gateway HGW 10 a message containing Alice's identifier and the password 54 generated from her fingerprint (SEND_Alice/pwd). These data are stored in association in the HGW gateway 10 during a step referenced 71.
  • the password 54 is stored in hashed form in the residential gateway (hash(pwd)), so as to guarantee its privacy and security.
  • the sha-256 hashing algorithm will preferably be used.
  • FIG. 8 illustrates the authentication mechanism implemented according to this second embodiment when a user terminal wishes to access the extended communication network, for example when Alice wishes to browse the web using the tablet Tx_14.
  • the tablet Tx_14 then sends (step referenced 80) a request REQ to the access gateway HGW 10.
  • the latter automatically redirects the terminal 14 to a captive portal 100, during a step DIR_CAPT_PORT 81, for authentication purposes.
  • the gateway forces the http client of the terminal 14 to display a special web page, on which Alice is invited to enter her username and password, for authentication purposes, before being able to access the Internet. . Thanks to the steps previously described in relation to FIGS.
  • the terminal Tx_14 is able to transmit this authentication information to the gateway, during an AUTH_Alice/hash(pwd) step referenced 82: preferably, the password is sent to the gateway in its hashed form (hash(pwd)) using the sha-256 hashing algorithm, in order to avoid any risk of data compromise in the event of fraudulent interception.
  • the HGW gateway 10 Upon receipt, the HGW gateway 10 records in association, in a correspondence table, the MAC address of the user terminal Tx_14 and the identifier of Alice during a step referenced 51.
  • a correspondence table is a dynamic table , whose validity period is linked to the duration of the captive portal's opening: it expires when the user closes his session.
  • the access gateway HGW 10 also stores in memory a table of permissions, which is a correspondence table associating the password pass, preferably in hashed form, derived from the biometric fingerprint of each of the users and at least one user access control rule to the access gateway. Indeed, the network administrator (for example the parent) can configure a certain number of authorization or prohibition rules (ie permissions) associated with each user.
  • the access gateway stores all of these rules in a static correspondence table which associates access rules and hashed password, as stored during the referenced step 71. For example, for the minor user Alice, Internet access is only allowed between 4 and 8 p.m.
  • the HGW gateway 10 can associate access permissions to the different MAC addresses of the user terminals of the local network.
  • the HGW gateway 10 can thus, during a step referenced 52, apply to Alice's terminal 14 the access profile which has been defined for her by her parents.
  • FIGS. 9 and following illustrate a third embodiment of the method according to the invention, in which the information derived from the biometric fingerprint of the user is a MAC address, which however changes with each new connection of the user.
  • This third embodiment of the invention is advantageous in that it makes it possible to adhere to the new constraints, which are about to impose themselves as a new de facto standard, of random MAC addresses (“random mac”) on the same WLAN network.
  • a MAC address is generated on the fly for the user terminal, by common key derivation on the access gateway and on the user terminal from the biometric fingerprint of the user.
  • the general principle of this third embodiment is illustrated by the flowchart of FIG. 9, which shows the implementation of a common key derivation algorithm, both on the user terminal and on the access gateway.
  • the fingerprint 20 of the user feeds a hash function 93, for example sha-256, sha-1 or md5, the result of which INFJNT 94 is an internal representation of the fingerprint.
  • a key derivation function DERIV 95 receives as input parameters, on the one hand the internal representation of the hash INFJNT 94, and on the other hand timestamp information INFJ-IOR 97, and delivers as output an address Session MAC 96 which will be able to be used by the terminal in its DHCP network access requests.
  • the implementation of this third embodiment requires a preliminary phase of enrolling the user with the access gateway, illustrated in figure 10.
  • the user for example Alice, enters his fingerprint 20 on the user terminal, for example the tablet Tx_14, during a step referenced CAPT_20.
  • the latter is transformed by hashing 93 into an internal representation of the INFJNT hash 94.
  • the user terminal Tx_14 sends the residential gateway HGW 10 a message containing Alice's identifier and the internal representation of the fingerprint INFJNT 94 (SEND_Alice/INFJNT). These data are stored in association in the gateway FIGW 10 during a step referenced 91.
  • the FIGW gateway 10 also memorizes a static correspondence table, called the permissions table, which memorizes in association the internal representations INFJNT 94 of the fingerprints of each of the users of the local network 2, and the set of access rules ( permissions and prohibitions, time limitations, etc.) established for these users by the network administrator.
  • the permissions table memorizes in association the internal representations INFJNT 94 of the fingerprints of each of the users of the local network 2, and the set of access rules ( permissions and prohibitions, time limitations, etc.) established for these users by the network administrator.
  • FIG. 11 illustrates in the form of a flowchart the authentication phase of a user and his associated terminal during an attempt to connect to the access gateway HGW 10.
  • the user Alice enters CAPT_20 his fingerprint digital 20, by means of its user terminal Tx_14.
  • the latter in accordance with the flowchart of FIG. 9, applies a hash function 93 to it, and a key derivation function 95, to generate a session MAC address 96.
  • it configures then its network interface from this new session MAC address 96, which replaces the default MAC address supplied by the manufacturer of the Ethernet card.
  • this MAC address 96 that it indicates in the DHCP request 98 that it addresses to the HGW access gateway 10, during its attempt to connect to the local communication network 2.
  • the latter returns, during a step referenced 99, to the terminal Tx_14, the IP address allocated in association with the MAC address 96 appearing in its DHCP request 98.
  • the authentication of the user terminal 14 is therefore done according to a traditional authentication protocol, as standardized, based on the MAC address announced by the terminal in its DHCP request.
  • the HGW gateway 10 can associate access permissions to the different MAC addresses of the user terminals of the local network.
  • the HGW gateway 10 can thus, during a step referenced 112, apply to Alice's terminal 14 the access profile which has been defined for her by her parents.
  • FIG. 12 presents the succession of steps implemented on the user terminal side Tx_14 for generating its session MAC address 96.
  • the user Alice enters her fingerprint 20, by placing her finger (for example its right index) on the screen of the tablet 14.
  • a processing algorithm 121 of the image of this fingerprint makes it possible to extract from it a certain number of local singular points, also called minutiae, in sufficient number to enable robust, or reliable, identification of Alice.
  • minutiae local singular points
  • FIG. 12 presents only five minutiae have been illustrated, but such a robust representation may require a greater number of minutiae, for example twelve or more.
  • the user terminal 14 applies to this robust representation 122 a hash function 93, for example of the sha-256 type (for “Secure Hash Algorithm”), sha-1 or even md5 (for “Message Digest” in English). ), which delivers a sequence 94 of sixty-four hexadecimal characters, which forms an internal representation of the fingerprint 20, which is stored in the user terminal Tx_14, instead of the fingerprint itself, in order to to ensure the confidentiality and integrity of the latter, and to avoid any fraudulent use thereof.
  • a hash function 93 for example of the sha-256 type (for “Secure Hash Algorithm”), sha-1 or even md5 (for “Message Digest” in English).
  • a PBKDF2 type key derivation function generates, from this internal representation INFJNT 94 and a timestamp information INF_HOR 97 corresponding to the current time, a session MAC address 96 of form aa: bb: cc: dd: ee: ff.
  • this current time INF_HOR 97 is rounded on the terminal side to multiples of five minutes (or any other time granularity chosen), as will be understood in more detail below in relation to FIG. 13. For example, at 10h16, the timestamp information INFJHOR is rounded to 10h15, and to 10h18, the timestamp information INF_HOR is rounded to 10h20.
  • DK PBKDF2(PRF, Password, Sait, c, dkLen), where DK is the key derived by this function,
  • PRF is a pseudo-random function to be used at each derivation
  • Password is the password from which to derive the new key
  • Sait is a salt for the random function
  • C is the number of iterations to perform
  • dkLen is the length of the derived key
  • DK therefore represents the session MAC address 96 which it is sought to derive from the biometric fingerprint of the user.
  • PBKDF2 key derivation function the following input parameters for the PBKDF2 key derivation function:
  • PRF HMAC-SHA1
  • FIG. 13 presents the succession of steps implemented, in parallel, in the access gateway HGW 10, for this same session MAC address generation.
  • the access gateway HGW 10 applies to the internal representation 94, received during the prior enrollment phase of FIG. 10, a key derivation function of the PBKDF2 type, during a step referenced 95.
  • this MAC address calculation being based on the current time, the HGW access gateway 10 preferably generates several candidate MAC addresses, in order to be robust to possible clock shifts between the user terminal Tx_14 and the HGW gateway 10. To do this, a temporal granularity is determined beforehand making it possible to ensure this robustness, and conditioning the number of candidate MAC addresses to be calculated.
  • the HGW access gateway 10 thus calculates two (or more) candidate MAC addresses 961 and 962, from two timestamp information corresponding to the current time at the chosen temporal granularity close, for each user declared in the database.
  • the HGW access gateway 10 compares the MAC address 96 received from the terminal Tx_14 and each of the two candidate MAC addresses 961 and 962 that it has just calculated for the latter . If the comparison is positive, the user terminal is authenticated, the user is therefore recognized, and the gateway can apply to him the access rights which are specific to him. Otherwise, the gateway applies a default access policy to the terminal Tx_14.
  • a residential gateway HGW 10 comprising a module for authenticating a user terminal from information derived from a biometric fingerprint of a user of this terminal, and a module for controlling access of the user terminals to the network, by authentication of the user terminal based on the information derived from the biometric fingerprint, and configured to apply to the user terminal a personalized network access profile for the user to whom the biometric fingerprint belongs.
  • module can correspond to a software component as well as to a hardware component or a set of hardware and software components, a software component itself corresponding to one or more computer programs or subroutines or more generally to any element of a program able to implement a function or a set of functions.
  • such a residential gateway HGW 10 comprises a random access memory 143 (for example a RAM memory), a processing unit 142 equipped for example with a processor, and controlled by a computer program, representative of the authentication modules and terminal access control, stored in a read only memory 141 (for example a ROM memory or a hard disk).
  • a computer program representative of the authentication modules and terminal access control
  • a read only memory 141 for example a ROM memory or a hard disk.
  • the code instructions of the computer program are for example loaded into the random access memory 143 before being executed by the processor of the processing unit 142.
  • the random access memory 143 contains in particular the various correspondence tables (tables of permissions, identity, MAC addresses, etc.) described above in relation to the embodiments of FIGS. 2 to 13.
  • the processor of the processing unit 142 controls the various exchanges of messages allowing the authentication of the user terminal, the allocation of an IP address to the terminal, the application to the latter of a personalized access profile according to the identity of its user, and more generally the exchanges of messages allowing to control the access of user terminals to the resources of gateway 10 and networks 1 and 2, in accordance with Figures 2 to 13.
  • Figure 14 illustrates only one particular way, among several possible, of making the HGW residential gateway 10, so that it performs the steps of the method detailed above, in relation to Figures 2 to 13 (in any of the different embodiments, or in a combination of these embodiments). Indeed, these steps can be carried out either on a reprogrammable calculation machine (a PC computer, a DSP processor or a microcontroller) executing a program comprising a sequence of instructions, or on a dedicated calculation machine (for example a set of logic gates like an FPGA or an ASIC, or any other hardware module).
  • a reprogrammable calculation machine a PC computer, a DSP processor or a microcontroller
  • a program comprising a sequence of instructions
  • a dedicated calculation machine for example a set of logic gates like an FPGA or an ASIC, or any other hardware module.
  • the corresponding program (that is to say the sequence of instructions) can be stored in a removable storage medium (such as for example a diskette, CD-ROM or DVD-ROM) or not, this storage medium being partially or totally readable by a computer or a processor.
  • FIG. 15 represents an architecture of a user terminal 150, which can be any of the user terminals 11 to 14 of FIG. 1, according to one of the embodiments of the invention.
  • the user terminal 150 conventionally comprises memories MEM 151 associated with a processor CPU 153.
  • the memories can be of the ROM (Read Only Memory) or RAM (Random Access Memory) type. or Flash.
  • the user terminal 150 includes a module CAPT 154 for capturing a biometric fingerprint of a user.
  • this module is an integral part of the terminal.
  • this CAPT module 154 can consist of a remote module, connected for example to the laptop computer 12, or to the family computer 13 by wired or wireless connection.
  • the user terminal 150 further comprises a DERIV module 152 for deriving user authentication information from the biometric fingerprint captured by the CAPT module 154.
  • a DERIV 152 derivation module is capable of analyzing the image of the fingerprint captured by the CAPT 154 capture module to extract a robust representation therefrom, by identifying a sufficient number of singular points of the fingerprint, and applying a hash function (of the sha-256 type for example) to this robust representation, for obtain the desired authentication information.
  • the DERIV bypass module 152 is also configured to generate a MAC address from the result of this hash, for example by simple truncation or by applying a PBKDF2 type key derivation function.
  • the DERIV bypass module 152 is also configured to generate a password from the result of this hash, which may be the result of the hash itself, or a password generated by applying a PBKDF2 type key derivation function to the result of the hash.
  • the DERIV bypass module 152 is also configured to generate a MAC address from the result of this hash and from timestamp information, by application a PBKDF2 type key derivation function.
  • the user terminal 150 also includes a DHCP module 155 for sending an access request to the access gateway from the information provided by the DERIV bypass module 152 and a WIFI module 156 able to send and receive messages to and from the access gateway to the local communication network.
  • the DHCP module 155 is able to configure the network interface of the user terminal 150 with the MAC address generated by the DERIV bypass module 152, and the WIFI module 156 is capable of transmitting to the gateway 10 a DHCP request containing this MAC address.
  • the user terminal 150 can also contain other modules (not shown) such as a hard disk for storing robust representations of biometric fingerprints, possibly in hashed form, a user interface module ( screen, keyboard, mouse%), a sound management module, etc.
  • modules such as a hard disk for storing robust representations of biometric fingerprints, possibly in hashed form, a user interface module ( screen, keyboard, mouse%), a sound management module, etc.
  • module can correspond both to a software component and to a hardware component or a set of hardware and software components, a software component itself corresponding to one or more programs or subroutines of computer or more generally to any element of a program capable of implementing a function or a set of functions as described for the modules concerned.
  • a hardware component corresponds to any element of a hardware assembly (or hardware) capable of implementing a function or a set of functions for the module concerned (integrated circuit, smart card, memory card, etc. .).
  • such a user terminal 150 comprises a random access memory MEM 151 (for example a RAM memory), a processing unit equipped for example with a processor CPU 153, and controlled by a computer program, and comprising instructions for coded representative of the modules for capturing a biometric fingerprint CAPT 154, for deriving DERIV 152 of user authentication information from the biometric fingerprint, for issuing a DHCP access request 155 to the access gateway from the derived information and from the WIFI module 156, stored in a read only memory (for example a ROM memory or a hard disk).
  • the code instructions of the computer program are for example loaded into the RAM before being executed by the processor CPU of the processing unit.
  • the random access memory notably contains the robust representation of the user's biometric fingerprint, possibly in hashed form.
  • the processor of the processing unit controls the capture of the biometric fingerprint, the derivation of authentication information (MAC address or password) from the latter, and its use during a phase of authentication, either with a captive portal, or by sending a DHCP request containing it to the access gateway.
  • authentication information MAC address or password
  • FIG. 15 only illustrates one particular way, among several possibilities, of making the user terminal 150, so that it performs the steps of the method detailed above, in relation to FIGS. 2 to 13 (in any one of the different embodiments, or in a combination of these embodiments). Indeed, these steps can be carried out either on a reprogrammable calculation machine (a PC computer, a DSP processor or a microcontroller) executing a program comprising a sequence of instructions, or on a dedicated calculation machine (for example a set of logic gates like an FPGA or an ASIC, or any other hardware module).
  • a reprogrammable calculation machine a PC computer, a DSP processor or a microcontroller
  • a dedicated calculation machine for example a set of logic gates like an FPGA or an ASIC, or any other hardware module.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Computing Systems (AREA)
  • Health & Medical Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Biomedical Technology (AREA)
  • Theoretical Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Life Sciences & Earth Sciences (AREA)
  • Biodiversity & Conservation Biology (AREA)
  • Physics & Mathematics (AREA)
  • Software Systems (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Small-Scale Networks (AREA)
  • Mobile Radio Communication Systems (AREA)

Abstract

Contrôle d'accès à un réseau de communication sans fil par authentification fondée sur une empreinte biométrique d'un utilisateur L'invention concerne un procédé de contrôle d'accès à un réseau (2) de communication local sans fil, comprenant une passerelle d'accès (10) audit réseau local et une pluralité de terminaux utilisateurs (11‐14) aptes à être connectés audit réseau local via ladite passerelle d'accès. Selon l'invention, le contrôle d'accès d'un des terminaux utilisateurs au réseau comprend : ‐ une authentification du terminal utilisateur à partir d'une information dérivée d'une empreinte biométrique d'un utilisateur du terminal utilisateur, et ‐ une application au terminal utilisateur d'un profil d'accès au réseau personnalisé pour l'utilisateur auquel appartient l'empreinte biométrique.

Description

DESCRIPTION
TITRE : Contrôle d'accès à un réseau de communication sans fil par authentification fondée sur une empreinte biométrique d'un utilisateur Domaine technique
Le domaine de l’invention est celui du contrôle de l'accès de terminaux utilisateurs à un réseau de communication local, accessible via une passerelle d'accès. L’invention concerne notamment, mais non exclusivement, les problématiques de la planification de l'accès des terminaux utilisateurs à un tel réseau de communication local, et du contrôle parental pour les utilisateurs mineurs.
Art antérieur
La planification de l'accès des terminaux utilisateurs aux ressources d'un réseau de communication local, notamment domestique, et du réseau de communication étendu de type Internet auquel il permet d'accéder, est une problématique majeure pour les opérateurs des réseaux de communication, ainsi que pour les acteurs offrant des services de contournement de type OTT (pour l'anglais « Over The Top »), qui doivent gagner la confiance de leurs clients. Notamment, la problématique du contrôle parental, permettant de sécuriser l'accès des utilisateurs mineurs à ces ressources, est un enjeu majeur pour les foyers avec enfants.
Il est ainsi important pour les parents, d'une part de pouvoir planifier de manière certaine les horaires auxquels leurs enfants sont autorisés à accéder à ces ressources, afin par exemple de réduire le risque d'addiction aux écrans, et d'autre part de contrôler leur accès aux seules ressources qui ne sont pas susceptibles de heurter leur sensibilité, de leur nuire ou tout simplement de les exposer à des contenus inappropriés.
A ce jour, dans un réseau de communication local de type résidentiel, cette planification d'accès et ce contrôle parental sont mis en oeuvre dans la passerelle d'accès (par exemple la Livebox® d'Orange®). Cette dernière a pour rôle de contrôler l'accès des terminaux utilisateurs au réseau de communication, en assurant la configuration automatique des paramètres IP de ces derniers, notamment en leur attribuant automatiquement une adresse IP (pour l'anglais « Internet Protocol », en français protocole internet).
Selon les techniques connues, ce contrôle est intégralement fondé sur l'adresse MAC (pour l'anglais « Media Access Control », en français adresse physique) que le terminal utilisateur déclare au serveur DHCP du réseau local. On parle de filtrage par adresse MAC. Cette adresse MAC est un identifiant physique stocké dans une carte réseau ou une interface réseau similaire, généralement constituée de 48 bits et représentée sous la forme hexadécimale. La passerelle résidentielle mémorise une table de correspondance, permettant d'associer des permissions d'accès aux différentes adresses MAC des terminaux utilisateurs du réseau local. Par exemple, l'adresse MAC du smartphone (en français « téléphone intelligent ») d'un utilisateur mineur est enregistrée en association avec certaines règles d'autorisation permettant de limiter son accès sur certaines plages horaires seulement, ou à certains contenus uniquement. Cette table de correspondance est générée par l'administrateur du réseau (le parent client) lors du paramétrage des autorisations d'accès pour l'ensemble des terminaux utilisateurs du foyer, et mémorisée sous forme de table statique dans la passerelle.
Cependant, ce contrôle d'accès fondé sur l'adresse MAC des terminaux utilisateurs pose deux problèmes principaux à ce jour.
Un premier problème résulte de ce que tout utilisateur peut aujourd'hui modifier de façon simple l'adresse MAC logicielle de son terminal. En effet, avec certains systèmes d'exploitation (ou OS pour « Operating System »), l'adresse matérielle MAC n'est pas utilisée directement, on lui substitue une adresse MAC logicielle choisie par l'OS. Cette modification de l'adresse MAC, au niveau logiciel, est à la portée de la plupart des utilisateurs mineurs du foyer, qui souhaitent contourner le contrôle parental ou la planification établis par leurs parents. La fiabilité du contrôle parental et de la planification mis en oeuvre dans les passerelles domestiques est donc insuffisante pour recueillir la confiance des clients des opérateurs et des acteurs OTT.
Un second problème découle de ce que certains fournisseurs de systèmes d'exploitation mobiles, comme Apple® ou Google®, poussent pour l'utilisation d'une adresse MAC aléatoire pour la connexion aux réseaux Wi-Fi. Ceci rendrait impossible le contrôle d'accès au niveau de la passerelle résidentielle par filtrage d'adresses MAC.
Il existe donc un besoin d’une technique de contrôle de l'accès de terminaux utilisateurs à un réseau de communication local, notamment de type domestique, qui ne présente pas ces inconvénients de l'art antérieur. Notamment, il existe un besoin d'une telle technique qui permette la mise en place d'une planification d'accès et d'un contrôle parental présentant une fiabilité accrue par rapport aux solutions antérieures. Il existe également un besoin d'une telle technique qui soit simple à mettre en oeuvre, et compatible avec les normes de communication existantes (notamment IEEE 802. lli). Il existe en effet un besoin d'une telle technique qui permette un contrôle d'accès efficace au réseau, quel que soit le terminal utilisé par un utilisateur du réseau local.
Exposé de l'invention
L'invention répond à ce besoin en proposant un procédé de contrôle d'accès à un réseau de communication local sans fil, comprenant une passerelle d'accès au réseau local et une pluralité de terminaux utilisateurs aptes à être connectés au réseau local via la passerelle d'accès. Selon l'invention, le contrôle d'accès d'un des terminaux utilisateurs au réseau comprend :
- une authentification du terminal utilisateur à partir d'une information dérivée d'une empreinte biométrique d'un utilisateur du terminal utilisateur, et
- une application au terminal utilisateur d'un profil d'accès au réseau personnalisé pour l'utilisateur auquel appartient l'empreinte biométrique.
Ainsi, l’invention repose sur une approche tout à fait nouvelle et inventive du contrôle d'accès à un réseau de communication local, notamment à des fins de contrôle parental et de planification d'accès au réseau. En effet, l’invention propose que l'authentification du terminal utilisateur sur le réseau s'effectue à partir d'une information dérivée d'une empreinte biométrique de l'utilisateur du terminal, plutôt que, classiquement, à partir d'une adresse MAC du terminal. En d'autres termes, selon une approche nouvelle et inventive, on propose d'authentifier l'utilisateur du terminal, à partir de son empreinte biométrique, plutôt que le terminal lui-même. On renforce ainsi la fiabilité du contrôle parental et de la planification d'accès au réseau, en s'assurant d'appliquer au terminal utilisateur un profil d'accès personnalisé en fonction de son utilisateur du moment, identifié à partir de son empreinte biométrique. On évite ainsi avantageusement qu'un utilisateur du réseau contourne les restrictions d'accès qui devraient lui être imposées en empruntant le terminal d'un autre utilisateur disposant de davantage de droits.
On notera que, par empreinte biométrique, on entend un ensemble de caractéristiques physiques ou comportementales propres à un individu, permettant de vérifier de manière fiable son identité. Une telle empreinte biométrique peut être une empreinte digitale de l'utilisateur, i.e. le dessin formé par les lignes de la peau des doigts ou des paumes de mains. Il peut également s'agir d'une empreinte rétinienne de l'utilisateur, permettant la reconnaissance de son iris, à partir d'un code iridien accompli grâce à l'algorithme de Daugman. Il peut encore s'agir d'un ensemble de caractéristiques faciales de l'utilisateur (écartement des yeux, arêtes du nez, commissure des lèvres, oreilles, menton...) permettant une reconnaissance fiable de son visage. Enfin, une telle empreinte biométrique peut être construite à partir d'un ensemble de caractéristiques comportementales d'un individu, par exemple dans le cas d'une empreinte vocale de l'utilisateur. Selon un premier mode de réalisation de l’invention, l'information dérivée de l'empreinte biométrique est une adresse MAC générée par hachage d'une représentation robuste de l'empreinte biométrique.
Ainsi, après capture d'une empreinte biométrique de l'utilisateur par le terminal utilisateur, ce dernier en enregistre une représentation robuste, afin d'éviter de stocker l'empreinte biométrique en elle-même, ce qui pourrait poser des problèmes de sécurité si quelqu'un parvenait à s'en emparer de manière frauduleuse. Par représentation robuste, on entend un nombre réduit de caractéristiques extraites de l'empreinte, mais néanmoins suffisamment élevé pour permettre une identification fiable de son propriétaire. Une adresse MAC est générée en appliquant une fonction de hachage à cette représentation robuste de l'empreinte de l'utilisateur. Le terminal utilisateur reconfigure alors son interface réseau avec cette adresse MAC générée, qui est alors utilisée, au niveau de la passerelle d'accès, pour authentifier le terminal utilisateur, et déterminer le profil d'accès, associé au propriétaire de l'empreinte biométrique, qu'il convient de lui appliquer.
Selon un aspect de ce premier mode de réalisation, un tel procédé de contrôle d'accès comprend un pré-enregistrement du terminal utilisateur auprès de la passerelle d'accès comprenant une mémorisation en association de l'adresse MAC générée et d'un identifiant de l'utilisateur.
En effet, l'adresse MAC utilisée par un utilisateur donné du réseau est toujours la même, dans la mesure où elle est directement dérivée de l'empreinte biométrique de ce dernier. Il peut donc être avantageux, dans une phase d'enrôlement initial, d'enregistrer, au niveau de la passerelle d'accès, l'adresse MAC associée à chacun des utilisateurs habituels du réseau, dans une table de correspondance dédiée. La passerelle d'accès peut ainsi aisément établir la table de correspondance associant les adresses MAC utilisées par les terminaux qui s'authentifient sur le réseau et les profils d'accès définis par l'administrateur du réseau, comprenant l'ensemble des règles et permissions associées à chacun des utilisateurs identifiés du réseau local. Le contrôle parental et la planification d'accès en sont ainsi simplifiés et fiabilisés.
Selon un deuxième mode de réalisation de l'invention, l'information dérivée de l'empreinte biométrique est un mot de passe généré par hachage d'une représentation robuste de l'empreinte biométrique. Ce deuxième mode de réalisation est avantageux en ce qu'il nécessite peu d'adaptation des terminaux utilisateurs existants.
Ainsi, comme dans le premier mode de réalisation, après capture d'une empreinte biométrique de l'utilisateur par le terminal utilisateur, ce dernier en enregistre une représentation robuste, afin d'éviter de stocker l'empreinte biométrique complète. Il génère ensuite un mot de passe, en appliquant à cette représentation robuste une fonction de hachage.
Selon ce deuxième mode de réalisation, l'authentification du terminal utilisateur est mise en oeuvre sur un portail captif à partir d'un identifiant de l'utilisateur et d'un hachage du mot de passe. L'utilisateur, connecté sur le réseau local sans fil, n'a aucun droit tant qu'il ne s'est pas authentifié sur le portail captif, i.e. une page web spéciale qui s'affiche dans le navigateur du terminal utilisateur dans un but d'authentification, préalable à tout accès au réseau internet étendu. Après authentification réussie sur le portail captif, une association est établie au niveau de la passerelle d'accès entre l'adresse MAC du terminal utilisateur et l'identité de l'utilisateur, déduite de son empreinte biométrique. Il est donc possible pour la passerelle d'accès d'appliquer au terminal utilisateur le profil d'accès, i.e. l'ensemble des permissions et restrictions qui ont été définies par l'administrateur du réseau pour l'utilisateur identifié du terminal. Dans ce mode de réalisation, la durée de validité de ce profil d'accès est liée à la durée d'ouverture du portail captif : dès lors que l'utilisateur ferme sa session, tous les droits d'accès accordés par la passerelle deviennent caducs, et une nouvelle authentification sur le portail captif est requise pour que l'utilisateur retrouve le profil d'accès au réseau local qui lui est propre.
Selon ce mode de réalisation, un tel procédé de contrôle d'accès comprend un pré enregistrement du terminal utilisateur auprès de la passerelle d'accès comprenant une mémorisation en association du hachage du mot de passe généré et d'un identifiant de l'utilisateur.
Au cours de cette phase d'enrôlement initial, les utilisateurs habituels du réseau local s'enregistrent auprès de la passerelle d'accès en fournissant leur identifiant et le mot de passe généré par hachage de la représentation robuste de leur empreinte biométrique. Ce mot de passe est de préférence mémorisé sous forme hachée par la passerelle résidentielle, afin d'éviter tour problème de sécurité qui pourrait être associé à son interception frauduleuse par un individu malveillant.
Ainsi, la passerelle d'accès peut mémoriser une table de correspondance associant un ensemble de règles et de permissions d'accès au mot de passe haché obtenu à partir de l'empreinte biométrique de chacun des utilisateurs.
Après authentification sur le portail captif, la passerelle d'accès peut établir une correspondance entre les adresses MAC des terminaux utilisateurs et les mots de passe hachés préalablement enregistrés. Elle en déduit donc directement la table de correspondance associant à chacune des adresses MAC des terminaux utilisateurs l'ensemble des règles et permissions constituant leur profil d'accès. Le contrôle parental et la planification d'accès au réseau sont ainsi simplifiés et fiabilisés.
Selon un troisième mode de réalisation de l'invention, l'information dérivée de l'empreinte biométrique est une adresse MAC dérivée, à partir d'une information d'horodatage, d'un hachage d'une représentation robuste de l'empreinte biométrique. Ce troisième mode de réalisation est avantageux en ce qu'il permet de satisfaire aux contraintes qui s'imposent actuellement sur le marché des réseaux locaux sans fil, selon lesquelles les terminaux utilisateurs doivent présenter des adresses MAC aléatoires et tournantes, afin d'éviter toute traçabilité de leurs utilisateurs. En effet, selon ce mode de réalisation, une dérivation de clé commune peut être réalisée en parallèle, sur le terminal utilisateur et sur la passerelle résidentielle, qui permet de calculer une même adresse MAC sur chacun des deux équipements, à partir de l'empreinte biométrique de l'utilisateur, et d'une information d'horodatage, correspondant par exemple à l'heure courante. Ainsi, l'adresse MAC utilisée par le terminal utilisateur change à chaque nouvelle demande d'accès au réseau local, mais elle reste toujours connue de la passerelle d'accès, qui peut donc aisément l'associer à un identifiant de l'utilisateur du terminal, et donc aux permissions et restrictions d'accès qui lui sont accordées par l'administrateur du réseau.
Pour ce faire, un tel procédé de contrôle d'accès comprend avantageusement un pré enregistrement du terminal utilisateur auprès de la passerelle d'accès comprenant une mémorisation en association du hachage de la représentation robuste de l'empreinte biométrique et d'un identifiant de l'utilisateur.
Ainsi, après saisie de l'empreinte biométrique de l'utilisateur sur le terminal qu'il utilise, le terminal opère une transformation initiale de l'empreinte saisie, afin d'en extraire une représentation robuste, permettant d'identifier de manière unique l'utilisateur, mais ne permettant pas une reconstruction réversible de l'empreinte. Le terminal utilisateur s'enregistre ensuite auprès de la passerelle d'accès, en fournissant un identifiant de l'utilisateur et la représentation robuste de l'empreinte, qui sont mémorisés en association au niveau de la passerelle, après éventuel hachage. C'est à partir de cette représentation robuste mémorisée pour chacun des utilisateurs enregistrés du réseau local que la passerelle d'accès peut à tout moment calculer l'adresse MAC du terminal utilisateur qui souhaite accéder au réseau.
Selon un aspect avantageux de ce mode de réalisation, l'authentification comprend la génération, par la passerelle d'accès, d'au moins deux adresses MAC candidates pour le terminal utilisateur, à partir d'un hachage de la représentation robuste de l'empreinte biométrique mémorisé et d'au moins deux informations d'horodatage temporellement proches, et la comparaison des adresses MAC candidates avec l'information dérivée de l'empreinte biométrique reçue du terminal utilisateur.
Ainsi, en générant plusieurs adresses MAC candidates du côté de la passerelle d'accès, un tel procédé selon un mode de réalisation de l'invention est robuste aux éventuels décalages d'horloge entre le terminal utilisateur et la passerelle. En fonction de la fiabilité de la synchronisation temporelle des deux équipements, on peut choisir une granularité plus ou moins fine, et donc deux informations d'horodatage plus ou moins proches temporellement. Par exemple, on peut choisir une granularité de 5 minutes, et calculer deux adresses MAC à partir de l'empreinte biométrique d'une part, et de deux informations d'horodatage distantes de 5 minutes l'une de l'autre. Ainsi, à chaque connexion d'un nouveau terminal utilisateur préalablement enregistré sur le réseau local, la passerelle d'accès calcule ces deux adresses MAC candidates, et les compare à l'adresse MAC fournie par le terminal utilisateur dans sa requête DHCP. En cas de correspondance, la passerelle peut appliquer au terminal les droits d'accès qui sont propres à son utilisateur. Dans le cas contraire, la passerelle peut appliquer au terminal non reconnu une politique d'accès par défaut. On peut bien sûr choisir une granularité temporelle plus fine ou plus grossière, et même calculer plus que deux adresses MAC candidates si besoin.
L'invention concerne également un produit programme d’ordinateur comprenant des instructions de code de programme pour la mise en oeuvre d'un procédé de contrôle d'accès tel que décrit précédemment, lorsqu'il est exécuté par un processeur.
L'invention vise également un support d'enregistrement lisible par un ordinateur sur lequel est enregistré un programme d'ordinateur comprenant des instructions de code de programme pour l'exécution des étapes du procédé de contrôle d'accès selon l'invention tel que décrit ci-dessus.
Un tel support d’enregistrement peut être n’importe quelle entité ou dispositif capable de stocker le programme. Par exemple, le support peut comporter un moyen de stockage, tel qu’une ROM, par exemple un CD ROM ou une ROM de circuit microélectronique, ou encore un moyen d’enregistrement magnétique, par exemple une clé USB ou un disque dur.
D’autre part, un tel support d’enregistrement peut être un support transmissible tel qu’un signal électrique ou optique, qui peut être acheminé via un câble électrique ou optique, par radio ou par d’autres moyens, de sorte que le programme d'ordinateur qu'il contient est exécutable à distance. Le programme selon l’invention peut être en particulier téléchargé sur un réseau par exemple le réseau Internet.
Alternativement, le support d’enregistrement peut être un circuit intégré dans lequel le programme est incorporé, le circuit étant adapté pour exécuter ou pour être utilisé dans l’exécution du procédé de contrôle d'accès précité.
L'invention concerne encore une passerelle d'accès à un réseau de communication local sans fil, le réseau local comprenant une pluralité de terminaux utilisateurs aptes à être connectés au réseau local via la passerelle d'accès. Selon l'invention, une telle passerelle d'accès comprend :
- un module d'authentification d'un terminal utilisateur à partir d'une information dérivée d'une empreinte biométrique d'un utilisateur du terminal utilisateur, et
- un module de contrôle de l'accès du terminal utilisateur authentifié, configuré pour appliquer au terminal utilisateur un profil d'accès au réseau personnalisé pour l'utilisateur auquel appartient l'empreinte biométrique.
Une telle passerelle d'accès est configurée pour mettre en oeuvre le procédé de contrôle d'accès tel que décrit précédemment.
L'invention concerne également un procédé d'accès d'un terminal utilisateur à une passerelle d'accès à un réseau de communication local sans fil, qui comprend :
- une capture d'une empreinte biométrique d'un utilisateur ;
- une dérivation d'une information d'authentification de l'utilisateur à partir de l'empreinte biométrique capturée ;
- une émission d'une requête d'accès à la passerelle d'accès à partir de l'information dérivée.
Selon un aspect particulier, la dérivation d'une information d'authentification comprend :
- une transformation de l'empreinte capturée en une représentation robuste de l'empreinte ;
- une génération d'une adresse MAC par hachage de la représentation robuste de l'empreinte ; et, préalablement à l'émission d'une requête d'accès, un tel procédé d'accès comprend une configuration d'une interface réseau du terminal utilisateur avec l'adresse MAC générée.
Selon une variante de réalisation, la génération d'une adresse MAC met également en oeuvre une fonction de dérivation à partir d'une information d'horodatage.
L'invention concerne encore un produit programme d’ordinateur comprenant des instructions de code de programme pour la mise en oeuvre d'un procédé d'accès tel que décrit ci-dessus, lorsqu'il est exécuté par un processeur.
L'invention vise également un support d'enregistrement lisible par un ordinateur sur lequel est enregistré un programme d'ordinateur comprenant des instructions de code de programme pour l'exécution des étapes du procédé d'accès selon l'invention tel que décrit ci-dessus.
Un tel support d’enregistrement peut être n’importe quelle entité ou dispositif capable de stocker le programme. Par exemple, le support peut comporter un moyen de stockage, tel qu’une ROM, par exemple un CD ROM ou une ROM de circuit microélectronique, ou encore un moyen d’enregistrement magnétique, par exemple une clé USB ou un disque dur.
D’autre part, un tel support d’enregistrement peut être un support transmissible tel qu’un signal électrique ou optique, qui peut être acheminé via un câble électrique ou optique, par radio ou par d’autres moyens, de sorte que le programme d'ordinateur qu'il contient est exécutable à distance. Le programme selon l’invention peut être en particulier téléchargé sur un réseau par exemple le réseau Internet.
Alternativement, le support d’enregistrement peut être un circuit intégré dans lequel le programme est incorporé, le circuit étant adapté pour exécuter ou pour être utilisé dans l’exécution du procédé d'accès précité.
L'invention concerne enfin un terminal utilisateur apte à être connecté à un réseau de communication local sans fil via une passerelle d'accès, qui comprend :
- un module de capture d'une empreinte biométrique d'un utilisateur ;
- un module de dérivation d'une information d'authentification de l'utilisateur à partir de l'empreinte biométrique capturée ;
- un module d'émission d'une requête d'accès à la passerelle d'accès à partir de l'information dérivée.
La passerelle d'accès, le terminal utilisateur et le programmes d’ordinateur correspondants précités présentent au moins les mêmes avantages que ceux conférés par les procédés d'accès et de contrôle d'accès selon la présente invention.
Présentation des figures
D’autres buts, caractéristiques et avantages de l’invention apparaîtront plus clairement à la lecture de la description suivante, donnée à titre de simple exemple illustratif, et non limitatif, en relation avec les figures, parmi lesquelles :
[Fig. 1] présente un réseau de communication local sans fil domestique, comprenant une passerelle d'accès et plusieurs terminaux utilisateurs ;
[Fig. 2] illustre, selon un premier mode de réalisation de l'invention, une technique de génération d'adresse MAC à partir d'une empreinte digitale d'un utilisateur ;
[Fig. 3] décrit sous forme de logigramme les étapes mises en oeuvre lors de la connexion d'un terminal utilisateur à la passerelle d'accès selon ce premier mode de réalisation ;
[Fig. 4] présente sous forme de logigramme une phase préalable d'enregistrement d'un terminal utilisateur auprès de la passerelle d'accès selon ce premier mode de réalisation ;
[Fig. 5] illustre sous forme d'organigramme un deuxième mode de réalisation de l'invention, dans lequel l'information dérivée de l'empreinte biométrique d'un utilisateur est un mot de passe utilisé pour permettre l'authentification du terminal utilisateur sur un portail captif ;
[Fig. 6] illustre plus précisément les différentes étapes de génération d'un mot de passe selon le mode de réalisation de la figure 5 ;
[Fig. 7] présente la phase préalable d'enrôlement des différents utilisateurs du réseau auprès de la passerelle d'accès selon le mode de réalisation de la figure 5 ;
[Fig. 8] illustre le mécanisme d'authentification mis en oeuvre selon le mode de réalisation de la figure 5 ;
[Fig. 9] illustre sous forme d'organigramme un troisième mode de réalisation de l'invention, dans lequel l'information dérivée de l'empreinte biométrique d'un utilisateur est une adresse MAC générée à la volée pour le terminal utilisateur, par dérivation de clé commune sur la passerelle d'accès et sur le terminal utilisateur ;
[Fig. 10] présente un logigramme de la phase préalable d'enrôlement de l'utilisateur auprès de la passerelle d'accès selon le mode de réalisation de la figure 9 ;
[Fig. 11] illustre sous forme de logigramme la phase d'authentification d'un utilisateur et de son terminal associé lors d'une tentative de connexion à la passerelle d'accès selon le mode de réalisation de la figure 9 ;
[Fig. 12] présente la succession d'étapes mises en oeuvre côté terminal utilisateur pour la génération d'une adresse MAC de session selon le mode de réalisation de la figure 9 ; [Fig. 13] présente la succession d'étapes mises en œuvre côté passerelle d'accès pour la génération d'une adresse MAC de session selon le mode de réalisation de la figure 9 ;
[Fig. 14] présente sous forme de schéma simplifié la structure matérielle d'une passerelle d'accès selon les différents modes de réalisation de l'invention ;
[Fig. 15] présente sous forme de schéma simplifié la structure matérielle d'un terminal utilisateur selon les premier et troisième modes de réalisation de l'invention.
Description détaillée de modes de réalisation de l'invention
Le principe général de l'invention repose, dans le cadre du contrôle d'accès de terminaux utilisateurs à un réseau de communication local sans fil, sur l'authentification des utilisateurs eux- mêmes, plutôt que des terminaux qu'ils utilisent, et ce, à partir d'une information dérivée d'une empreinte biométrique des utilisateurs. De cette façon, il est possible d'accroître la fiabilité du contrôle d'accès, en s'assurant que les permissions et restrictions d'accès définis par l'administrateur du réseau sont correctement appliquées à chacun des utilisateurs et ce, quel que soit le terminal utilisateur qu'ils emploient. La planification d'accès au réseau et le contrôle parental pour les utilisateurs mineurs sont ainsi sécurisés, pour une meilleure confiance du client dans le service rendu par son fournisseur d'accès.
On présente désormais, en relation avec la figure 1, un réseau de communication local sans fil, par exemple un réseau Wi-Fi familial. Un tel réseau domestique 2 comprend une passerelle résidentielle 10, par exemple une Livebox® d'Orange®, et une pluralité de terminaux utilisateurs, par exemple un téléphone intelligent 11, un ordinateur portable 12, un ordinateur familial de type PC 13, et une tablette 14. Ces différents terminaux utilisateurs peuvent se connecter à la passerelle résidentielle 10, comme symbolisé par les doubles flèches de la figure 1, pour accéder aux ressources du réseau de communication local 2, ou aux ressources d'un réseau de communication étendu 1, par exemple le réseau Internet, auquel la passerelle 10 forme point d'accès. En outre, on considère à titre d'exemple que ce réseau domestique est celui d'une famille comptant deux parents et deux enfants mineurs Alice et Bob. Le smartphone 11 et l'ordinateur portable 12 sont par exemple utilisés exclusivement par chacun des deux parents, tandis qu'Alice et Bob peuvent tous deux utiliser l'ordinateur familial 13 ou la tablette 14.
Afin de limiter le temps passé par Alice et Bob devant les écrans, et éviter tout phénomène d'addiction, il est important pour leurs parents de pouvoir planifier les plages horaires pendant lesquelles Alice et Bob sont autorisés à se connecter à la passerelle résidentielle 10. Ces plages horaires ne sont pas nécessairement les mêmes pour Alice et pour Bob. Par exemple, Alice est autorisée de 16h à 21h, et Bob est autorisé de 16h à 19h.
En outre, il est également important de mettre en place un contrôle parental, permettant de limiter l'accès d'Alice ou de Bob aux seuls contenus, disponibles sur le réseau de communication étendu 1, adaptés à leur âge. A nouveau, ces contenus ne sont pas nécessairement les mêmes pour Alice et pour Bob.
Il est donc important pour les parents de pouvoir mettre en place un ensemble de permissions, ou de règles d'accès, personnalisées en fonction de l'identité d'Alice ou de Bob. En tant qu'administrateurs de la passerelle résidentielle 10 et du réseau local 2, ils peuvent configurer ces règles dans la passerelle résidentielle 10, où elles sont mémorisées sous forme d'une table de correspondance associant l'identité de chaque utilisateur de la famille à un ensemble de règles ou de droits d'accès qui lui sont affectés.
Pour permettre la mise en oeuvre d'un contrôle d'accès fiable respectant ces règles et permissions, le procédé selon l'invention repose, dans ses différents modes de réalisation, sur l'utilisation d'une empreinte biométrique de l'utilisateur, ou d'une information qui en est dérivée, pour son authentification sur le réseau local.
De manière générale, une telle empreinte biométrique correspond à un ensemble de caractéristiques physiques ou comportementales propres à l'utilisateur, permettant de vérifier de manière fiable son identité. Une telle empreinte biométrique peut être une empreinte rétinienne de l'utilisateur, permettant la reconnaissance de son iris, à partir d'un code iridien accompli grâce à l'algorithme de Daugman. Il peut aussi s'agir d'un ensemble de caractéristiques faciales de l'utilisateur (écartement des yeux, arêtes du nez, commissure des lèvres, oreilles, menton...) permettant une reconnaissance fiable de son visage. Une telle empreinte biométrique peut encore être construite à partir d'un ensemble de caractéristiques comportementales d'un individu, par exemple dans le cas d'une empreinte vocale de l'utilisateur.
Dans la suite de ce document, on s'attache plus particulièrement à décrire différents modes de réalisation de l'invention, dans lesquels l'empreinte biométrique est une empreinte digitale de l'utilisateur, i.e. le dessin formé par les lignes de la peau de l'un de ses doigts. Ceci ne constitue qu'un exemple illustratif, et tout autre type d'empreinte biométrique peut également être utilisé, sans sortir du cadre de l'invention.
La saisie d'une telle empreinte digitale est en effet particulièrement aisée sur les terminaux utilisateurs dotés d'écrans tactiles, tels que les téléphones intelligents, ou smartphones. En apposant son doigt sur l'écran du terminal, l'utilisateur peut fournir au terminal une image de son empreinte digitale, qui permet de l'identifier de manière unique. En effet, les empreintes digitales, également appelées dactylogrammes, sont uniques à chaque individu, et chaque doigt a son empreinte propre. On estime à une chance sur 64 milliards environ la probabilité que deux personnes aient les mêmes empreintes digitales.
Plus particulièrement, il est possible de caractériser l'empreinte digitale d'un individu à partir de points singuliers locaux, également appelés minuties, observés sur les boucles, spirales ou arches constituant les motifs les plus courants d'une empreinte. Les minuties s'avèrent relativement robustes aux variations d'empreintes digitales, et on estime généralement qu'un ensemble de douze minuties suffit pour authentifier avec fiabilité un individu.
On s'attache tout désormais à décrire, en relation avec les figures 2 à 4, un premier mode de réalisation de l'invention, selon lequel une telle empreinte digitale est utilisée, par le terminal utilisateur lui-même, pour générer une adresse MAC de substitution.
On rappelle que l'adresse MAC (de l'anglais « Media Access Control ») est une chaîne hexadécimale de six octets qui identifie une carte Ethernet. L'adresse MAC d'un terminal utilisateur est donc a priori fixée par le constructeur qui produit sa carte réseau. Bien que physiquement stockées dans les cartes Ethernet, il est possible de modifier ces adresses dans les couches logicielles des protocoles de communication. C'est ce que propose ce premier mode de réalisation de l'invention, selon lequel le terminal utilisateur génère une adresse MAC IPv4 ou IPv6 par hachage non réversible de l'empreinte digitale de son utilisateur, qu'il substitue à son adresse MAC initiale, lors de sa tentative de connexion à la passerelle d'accès.
La figure 2 illustre plus particulièrement la succession d'étapes mises en oeuvre au sein d'un terminal utilisateur (par exemple le smartphone 11 ou la tablette 14 de la figure 1) pour une telle génération d'adresse MAC, dérivée d'une empreinte digitale.
Au cours d'une étape référencée 20, l'utilisateur Alice saisit son empreinte digitale, en apposant son doigt (par exemple son index droit) sur l'écran de la tablette 14. Un algorithme de traitement 21 de l'image de cette empreinte digitale permet d'en extraire un certain nombre de points singuliers locaux, également appelés minuties, en nombre suffisant pour permettre une identification robuste, ou fiable, d'Alice. Sur la figure 2, par souci de simplification, seules cinq minuties ont été illustrées, mais on considère généralement en France que l'utilisation de douze minuties permet d'assurer la fiabilité de l'identification des individus à partir de leurs empreintes digitales. A l'issue de cette transformation robuste 21 de l'empreinte digitale d'Alice, on obtient une représentation robuste 22 de son empreinte, qui permet d'identifier avec fiabilité Alice, mais qui ne permet pas de reconstruire de manière réversible son empreinte digitale complète, dont la confidentialité et la protection restent donc assurées. C'est de préférence cette représentation robuste 22 qui est mémorisée dans le terminal utilisateur.
Le terminal utilisateur 14 applique à cette représentation robuste 22 une fonction de hachage 23, par exemple de type sha-256 (pour l'anglais « Secure Hash Algorithm »), sha-1 ou même md5 (pour l'anglais « Message Digest »). On rappelle que la technique du hachage consiste à convertir une suite d'octets en une empreinte réputée unique et trouve de nombreuses applications, telles que valider l'intégrité d'un fichier (somme de contrôle) ou bien pour que deux parties (un serveur et un client) puissent se prouver mutuellement la possession d'un secret partagé sans que celui-ci ne circule sur le réseau. En l'espèce, le hachage 23 de la représentation robuste 22 de l'empreinte digitale d'Alice délivre une suite 24 de soixante-quatre caractères hexadécimaux, qui peut être tronquée au cours d'une étape référencée 25 pour n'en conserver que les six premiers octets, soit douze caractères hexadécimaux, qui ont directement la structure d'une adresse MAC 26. D'autres fonctions 25 de génération d'adresse MAC, éventuellement plus complexes et plus rigoureuses, peuvent être utilisées en variante à cette simple troncature, telles que par exemple une fonction de dérivation de clé de type PBKDF2 (de l'anglais « Password-Based Key Dérivation Function 2 » qui est une fonction de dérivation de clé, appartenant à la famille des normes Public Key Cryptographie Standards, plus précisément PKCS #5 v2.0).
La figure 3 illustre sous forme de logigramme les différentes étapes mises en oeuvre entre le terminal utilisateur 14 et la passerelle résidentielle HGW 10, lorsqu'Alice tente d'accéder au réseau de communication local. Comme illustré précédemment en relation avec la figure 2, Alice saisit son empreinte digitale 20 sur l'écran de la tablette 14, au cours d'une étape référencée CAPT_20. Cette dernière subit une transformation robuste 21, à partir de laquelle est générée une adresse MAC 26, au cours des étapes successives référencées 23 à 25 décrites précédemment. La tablette Tx_14 reconfigure alors son interface réseau avec l'adresse MAC 26 qu'il vient de générer à partir de l'empreinte digitale 20 d'Alice. C'est cette adresse MAC 26 qu'il indique dans la requête DHCP 28 qu'il adresse à la passerelle d'accès HGW 10, lors de sa tentative de connexion au réseau de communication local 2. Au cours d'une étape référencée 29, la passerelle d'accès HGW 10 mémorise en association l'adresse IP du terminal Tx_14 et l'adresse MAC 26 figurant dans sa requête DHCP 28.
Selon ce premier mode de réalisation, l'authentification du terminal utilisateur 14 se fait donc de manière classique, à partir de l'adresse MAC annoncée par le terminal dans sa requête DHCP. Le serveur DHCP associe une adresse IP dynamique à l'adresse MAC autodéclarée, conformément aux standards RFC 2131 et RFC 2132 de l'IETF. Une couche logicielle confirme l'association de permissions à cette adresse MAC particulière.
Dans une variante optionnelle, représentée sur la figure 4, une phase de pré-enregistrement de chacun des utilisateurs du réseau de communication local 2 permet, au niveau de la passerelle d'accès HGW 10, d'enregistrer en association un identifiant de chacun des utilisateurs (par exemple, son prénom : Alice ou Bob ou Parentl ou Parent2) et l'adresse MAC qui va être dérivée de son empreinte digitale. Au cours de cette phase initiale de pré-enregistrement, l'utilisateur (ici, Alice), saisit son empreinte digitale 20 sur son terminal, qui la capture au cours d'une étape CAPT_20. Conformément aux étapes 21 à 25 précédemment décrites en relation avec la figure 2 (transformation robuste de l'empreinte, hachage, troncature ou dérivation de clé), le terminal Tx_14 génère à partir de cette empreinte biométrique 20 une adresse MAC 26. Le terminal Tx_14 adresse alors à la passerelle d'accès HGW 10 un message contenant l'identifiant d'Alice et l'adresse MAC 26 qu'il a générée à partir de son empreinte 20, au cours d'une étape référencée 40 (SEND_Alice/@MAC). A réception, la passerelle d'accès HGW 10 mémorise en association dans une table de correspondance un identifiant de l'utilisateur, par exemple Alice, et l'adresse MAC 26 générée par le terminal Tx_14 à partir de l'empreinte digitale 20 saisie par Alice (étape référencée 41, REG_Alice/@MAC).
Pour permettre la gestion du contrôle parental et de la planification d'accès au réseau de communication local pour les différents utilisateurs, la passerelle d'accès HGW 10 garde également en mémoire une table de permissions, qui est une table de correspondance associant un identifiant des utilisateurs et au moins une règle de contrôle d'accès des utilisateurs à la passerelle d'accès. En effet, l'administrateur du réseau (par exemple le parent) peut configurer un certain nombre de règles d'autorisation ou d'interdiction (i.e. des permissions) associées à chaque utilisateur. La passerelle d'accès mémorise l'ensemble de ces règles dans une table de correspondance statique. Par exemple, pour l'utilisateur mineur Alice, l'accès au réseau Internet n'est autorisé qu'entre 16h et 20h.
Grâce à l'utilisation conjointe de la table de permissions et de la table des adresses MAC, il est ainsi facile de connaître l'association entre règles de contrôle d'accès des utilisateurs et adresses MAC des terminaux utilisateurs, et donc de réaliser une planification fiable de l'accès à Internet ou un contrôle parental efficace et sécurisé.
La passerelle résidentielle mémorise une table de correspondance, obtenue par fusion de la table de permissions et de la table des adresses MAC, permettant d'associer des permissions d'accès aux différentes adresses MAC des terminaux utilisateurs du réseau local. Par exemple, l'adresse MAC du smartphone 11 d'un utilisateur mineur est enregistrée en association avec certaines règles d'autorisation permettant de limiter son accès sur certaines plages horaires seulement, ou à certains contenus uniquement. Cette table de correspondance peut être mémorisée sous forme de table statique dans la passerelle.
On présente désormais, en relation avec les figures 5 à 8, un deuxième mode de réalisation de l'invention, dans lequel l'information dérivée de l'empreinte biométrique d'un utilisateur est un mot de passe utilisé pour permettre l'authentification du terminal utilisateur sur un portail captif. Le principe général de ce deuxième mode de réalisation est illustré sous forme d'organigramme en figure 5. L'utilisateur, par exemple Alice, saisit son empreinte digitale 20 sur l'un des terminaux utilisateurs de la figure 1, par exemple en l'apposant sur l'écran tactile de la tablette 14.
Par hachage 53, on dérive de cette empreinte biométrique 20 un mot de passe 54, que le terminal utilisateur utilise pour s'authentifier sur un portail web captif CAPT_PORT 100 hébergé par la passerelle d'accès. A l'issue de cette authentification, il est possible d'établir une association 51 entre l'adresse MAC du terminal utilisateur et l'identifiant de l'utilisateur, et donc d'appliquer 52 au terminal le profil d'accès qui a été défini par l'administrateur du réseau pour cet utilisateur. Ainsi, l'utilisateur connecté sur le réseau WiFi 2 n'a aucun droit tant qu'il ne s'est pas authentifié sur un portail web captif 100. Après authentification, l'association entre l'adresse MAC du terminal utilisateur et l'identité de l'utilisateur est établie, et il est donc possible d'appliquer au terminal le profil d'accès au réseau qui a été établi par l'administrateur pour cet utilisateur.
Ces différentes étapes sont détaillées dans les figures 6 à 8.
La figure 6 illustre plus précisément le principe de génération d'un mot de passe, à partir de l'empreinte biométrique de l'utilisateur, par exemple l'empreinte digitale 20 qu'Alice a saisie en apposant son doigt (par exemple son pouce) sur l'écran de la tablette 14. Un algorithme de traitement 61 de l'image de cette empreinte digitale permet d'en extraire un certain nombre de points singuliers locaux, également appelés minuties, en nombre suffisant pour permettre une identification robuste, ou fiable, d'Alice. Sur la figure 6, par souci de simplification, seules cinq minuties ont été illustrées, mais on considère généralement en France que l'utilisation de douze minuties permet d'assurer la fiabilité de l'identification des individus à partir de leurs empreintes digitales. A l'issue de cette transformation robuste 61 de l'empreinte digitale d'Alice, on obtient une représentation robuste 62 de son empreinte, qui permet d'identifier avec fiabilité Alice, mais qui ne permet pas de reconstruire de manière réversible son empreinte digitale complète, dont la confidentialité et la protection restent donc assurées. C'est de préférence cette représentation robuste 62 qui est mémorisée dans le terminal utilisateur.
Le terminal utilisateur 14 applique à cette représentation robuste 62 une fonction de hachage 53, par exemple de type sha-256 (pour l'anglais « Secure Hash Algorithm »), sha-1 ou même md5 (pour l'anglais « Message Digest »), qui délivre une suite 54 de soixante-quatre caractères hexadécimaux. Ce hachage complet peut être utilisé directement comme mot de passe. En variante, une fonction de dérivation de clé de type PBKDF2 par exemple peut être appliquée au résultat 54 du hachage pour générer un mot de passe, permettant l'authentification du terminal utilisateur sur le portail captif 100.
Ce deuxième mode de réalisation nécessite une phase préalable d'enrôlement des différents utilisateurs du réseau auprès de la passerelle d'accès HGW 10, illustrée en figure 7.
Elle peut être mise en oeuvre à titre préliminaire, par exemple lors de la configuration du réseau local 2, ou lors de la première connexion des utilisateurs à la passerelle d'accès HGW 10. Comme indiqué précédemment, l'utilisateur, par exemple Alice, saisit son empreinte digitale 20 sur le terminal utilisateur, par exemple la tablette Tx_14, lors d'une étape référencée CAPT_20. Cette dernière est transformée en une représentation robuste au cours d'une étape référencée 61, qui alimente ensuite une fonction de hachage 53, permettant de générer un mot de passe dérivé de l'empreinte digitale 20.
Au cours d'une étape référencée 70, le terminal utilisateur Tx_14 envoie à la passerelle résidentielle HGW 10 un message contenant l'identifiant d'Alice et le mot de passe 54 généré à partir de son empreinte (SEND_Alice/pwd). Ces données sont mémorisées en association dans la passerelle HGW 10 au cours d'une étape référencée 71. De préférence, le mot de passe 54 est mémorisé sous une forme hachée dans la passerelle résidentielle (hash(pwd)), de façon à garantir sa confidentialité et sa sécurité. On utilisera de préférence l'algorithme de hachage sha-256.
La figure 8 illustre le mécanisme d'authentification mis en oeuvre selon ce deuxième mode de réalisation lorsqu'un terminal utilisateur souhaite accéder au réseau de communication étendu, par exemple quand Alice souhaite naviguer sur le web à l'aide de la tablette Tx_14.
La tablette Tx_14 adresse alors (étape référencée 80) une requête REQà la passerelle d'accès HGW 10. Cette dernière redirige automatiquement le terminal 14 vers un portail captif 100, au cours d'une étape DIR_CAPT_PORT 81, à des fins d'authentification. En d'autres termes, la passerelle force le client http du terminal 14 à afficher une page web spéciale, sur laquelle Alice est invitée à saisir son identifiant et son mot de passe, à des fins d'authentification, avant de pouvoir accéder à Internet. Grâce aux étapes décrites précédemment en relation avec les figures 6 et 7 de saisie de l'empreinte digitale d'Alice (20, CAPT_20), de génération d'un mot de passe (54) qui en est dérivé (61, 53), et d'enrôlement préalable auprès de la passerelle d'accès HGW 10, le terminal Tx_14 est en mesure de transmettre ces informations d'authentification à la passerelle, au cours d'une étape AUTH_Alice/hash(pwd) référencée 82 : de préférence, le mot de passe est envoyé à la passerelle sous sa forme hachée (hash(pwd)) au moyen de l'algorithme de hachage sha-256, afin d'éviter tout risque de compromission de données en cas d'interception frauduleuse.
A réception, la passerelle HGW 10 enregistre en association, dans une table de correspondance, l'adresse MAC du terminal utilisateur Tx_14 et l'identifiant d'Alice au cours d'une étape référencée 51. Une telle table de correspondance est une table dynamique, dont la durée de validité est liée à la durée d'ouverture du portail captif : elle périme lorsque l'utilisateur ferme sa session.
Pour permettre la gestion du contrôle parental et de la planification d'accès au réseau de communication local pour les différents utilisateurs, la passerelle d'accès HGW 10 garde également en mémoire une table de permissions, qui est une table de correspondance associant le mot de passe, de préférence sous forme hachée, dérivé de l'empreinte biométrique de chacun des utilisateurs et au moins une règle de contrôle d'accès des utilisateurs à la passerelle d'accès. En effet, l'administrateur du réseau (par exemple le parent) peut configurer un certain nombre de règles d'autorisation ou d'interdiction (i.e. des permissions) associées à chaque utilisateur. La passerelle d'accès mémorise l'ensemble de ces règles dans une table de correspondance statique qui associe règles d'accès et mot de passe haché, tel que mémorisé au cours de l'étape référencée 71. Par exemple, pour l'utilisateur mineur Alice, l'accès au réseau Internet n'est autorisé qu'entre 16h et 20h.
Grâce à l'utilisation conjointe de la table de permissions statique et de la table dynamique des adresses MAC, il est ainsi facile de connaître l'association entre règles de contrôle d'accès des utilisateurs et adresses MAC des terminaux utilisateurs, et donc de réaliser une planification fiable de l'accès à Internet ou un contrôle parental efficace et sécurisé.
Par fusion de la table statique de permissions et de la table dynamique des adresses MAC, la passerelle HGW 10 peut associer des permissions d'accès aux différentes adresses MAC des terminaux utilisateurs du réseau local. Dans l'exemple de la figure 8, la passerelle HGW 10 peut ainsi, au cours d'une étape référencée 52, appliquer au terminal 14 d'Alice le profil d'accès qui a été défini pour elle par ses parents.
Les figures 9 et suivantes illustrent un troisième mode de réalisation du procédé selon l'invention, dans lequel l'information dérivée de l'empreinte biométrique de l'utilisateur est une adresse MAC, qui change cependant à chaque nouvelle connexion de l'utilisateur. Ce troisième mode de réalisation de l'invention est avantageux en ce qu'il permet d'adhérer aux nouvelles contraintes, en passe de s'imposer comme nouveau standard de fait, d'adresses MAC aléatoires (« random mac ») sur un même réseau WLAN.
Pour ce faire, on génère une adresse MAC à la volée pour le terminal utilisateur, par dérivation de clé commune sur la passerelle d'accès et sur le terminal utilisateur à partir de l'empreinte biométrique de l'utilisateur. Le principe général de ce troisième mode de réalisation est illustré par l'organigramme de la figure 9, qui présente la mise en oeuvre d'un algorithme de dérivation de clé commun, tant sur le terminal utilisateur que sur la passerelle d'accès.
Dans ces deux équipements, l'empreinte digitale 20 de l'utilisateur alimente une fonction de hachage 93, par exemple sha-256, sha-1 ou md5, dont le résultat INFJNT 94 est une représentation interne de l'empreinte. Une fonction de dérivation de clé DERIV 95 reçoit comme paramètres d'entrée, d'une part la représentation interne de l'empreinte INFJNT 94, et d'autre part une information d'horodatage INFJ-IOR 97, et délivre en sortie une adresse MAC de session 96 qui va pouvoir être utilisée par le terminal dans ses requêtes DHCP d'accès au réseau. L'implémentation de ce troisième mode de réalisation nécessite une phase préalable d'enrôlement de l'utilisateur auprès de la passerelle d'accès, illustrée en figure 10.
Elle peut être mise en oeuvre à titre préliminaire, par exemple lors de la configuration du réseau local 2, ou lors de la première connexion des utilisateurs à la passerelle d'accès HGW 10. Comme indiqué précédemment, l'utilisateur, par exemple Alice, saisit son empreinte digitale 20 sur le terminal utilisateur, par exemple la tablette Tx_14, lors d'une étape référencée CAPT_20. Cette dernière est transformée par hachage 93 en une représentation interne de l'empreinte INFJNT 94.
Au cours d'une étape référencée 90, le terminal utilisateur Tx_14 envoie à la passerelle résidentielle HGW 10 un message contenant l'identifiant d'Alice et la représentation interne de l'empreinte INFJNT 94 (SEND_Alice/INFJNT). Ces données sont mémorisées en association dans la passerelle FIGW 10 au cours d'une étape référencée 91.
En parallèle, la passerelle FIGW 10 mémorise également une table de correspondance statique, appelée table de permissions, qui mémorise en association les représentations internes INFJNT 94 des empreintes de chacun des utilisateurs du réseau local 2, et l'ensemble des règles d'accès (permissions et interdictions, limitations horaires, etc.) établies pour ces utilisateurs par l'administrateur du réseau.
La figure 11 illustre sous forme de logigramme la phase d'authentification d'un utilisateur et de son terminal associé lors d'une tentative de connexion à la passerelle d'accès HGW 10. Comme indiqué précédemment, l'utilisateur Alice saisit CAPT_20 son empreinte digitale 20, au moyen de son terminal utilisateur Tx_14. Ce dernier, conformément à l'organigramme de la figure 9, lui applique une fonction de hachage 93, et une fonction de dérivation de clé 95, pour générer une adresse MAC de session 96. Au cours d'une étape référencée 110, il configure alors son interface réseau à partir de cette nouvelle adresse MAC de session 96, qui vient remplacer l'adresse MAC par défaut fournie par le constructeur de la carte Ethernet. C'est cette adresse MAC 96 qu'il indique dans la requête DHCP 98 qu'il adresse à la passerelle d'accès HGW 10, lors de sa tentative de connexion au réseau de communication local 2. En cas de succès de l'authentification du terminal Tx_14 par la passerelle d'accès HGW 10, cette dernière renvoie, au cours d'une étape référencée 99, au terminal Tx_14, l'adresse IP allouée en association avec l'adresse MAC 96 figurant dans sa requête DHCP 98.
Selon ce troisième mode de réalisation, l'authentification du terminal utilisateur 14 se fait donc selon un protocole d'authentification traditionnel, tel que normalisé, fondé sur l'adresse MAC annoncée par le terminal dans sa requête DHCP.
A l'issue de cette authentification, il est possible d'établir une association 111 entre l'adresse MAC 96 du terminal utilisateur et l'identifiant de l'utilisateur, et donc d'appliquer 112 au terminal le profil d'accès qui a été défini par l'administrateur du réseau pour cet utilisateur.
En effet, grâce à l'utilisation conjointe de la table de permissions statique et de la table dynamique des adresses MAC, il est facile de connaître l'association entre règles de contrôle d'accès des utilisateurs et adresses MAC des terminaux utilisateurs, et donc de réaliser une planification fiable de l'accès à Internet ou un contrôle parental efficace et sécurisé.
Par fusion de la table statique de permissions et de la table dynamique des adresses MAC, la passerelle HGW 10 peut associer des permissions d'accès aux différentes adresses MAC des terminaux utilisateurs du réseau local. Dans l'exemple de la figure 11, la passerelle HGW 10 peut ainsi, au cours d'une étape référencée 112, appliquer au terminal 14 d'Alice le profil d'accès qui a été défini pour elle par ses parents.
L'authentification par la passerelle d'accès du terminal utilisateur nécessite bien sûr une vérification de l'adresse MAC 96 annoncée dans la requête DHCP 98. On décrit désormais plus en détail dans les figures 11 et 12 le calcul des adresses MAC tournantes, en temps réel, côté terminal et côté passerelle d'accès.
La figure 12 présente la succession d'étapes mises en oeuvre côté terminal utilisateur Tx_14 pour la génération de son adresse MAC de session 96. Comme dans les modes de réalisation décrits précédemment, l'utilisateur Alice saisit son empreinte digitale 20, en apposant son doigt (par exemple son index droit) sur l'écran de la tablette 14. Un algorithme de traitement 121 de l'image de cette empreinte digitale permet d'en extraire un certain nombre de points singuliers locaux, également appelés minuties, en nombre suffisant pour permettre une identification robuste, ou fiable, d'Alice. Sur la figure 12, par souci de simplification, seules cinq minuties ont été illustrées, mais une telle représentation robuste peut nécessiter un plus grand nombre de minuties, par exemple douze ou plus. A l'issue de cette transformation robuste 121 de l'empreinte digitale d'Alice, on obtient une représentation robuste 122 de son empreinte, qui permet d'identifier avec fiabilité Alice, mais qui ne permet pas de reconstruire de manière réversible son empreinte digitale complète, dont la confidentialité et la protection restent donc assurées.
Le terminal utilisateur 14 applique à cette représentation robuste 122 une fonction de hachage 93, par exemple de type sha-256 (pour l'anglais « Secure Hash Algorithm »), sha-1 ou même md5 (pour l'anglais « Message Digest »), qui délivre une suite 94 de soixante-quatre caractères hexadécimaux, qui forme une représentation interne de l'empreinte digitale 20, qui est mémorisée dans le terminal utilisateur Tx_14, en lieu et place de l'empreinte digitale elle-même, afin d'assurer la confidentialité et l'intégrité de cette dernière, et en éviter toute utilisation frauduleuse. Au cours d'une étape référencée 95, une fonction de dérivation de clé de type PBKDF2 génère, à partir de cette représentation interne INFJNT 94 et d'une information d'horodatage INF_HOR 97 correspondant à l'heure courante, une adresse MAC de session 96 de forme aa : bb : cc : dd : ee : ff. De préférence, cette heure courante INF_HOR 97 est arrondie côté terminal aux multiples de cinq minutes (ou toute autre granularité temporelle choisie), comme on le comprendra plus en détail dans la suite en relation avec la figure 13. Par exemple, à 10hl6, l'information d'horodatage INFJHOR est arrondie à 10hl5, et à 10hl8, l'information d'horodatage INF_HOR est arrondie à 10h20.
On rappelle que la fonction de dérivation générique PBKDF2 peut s'écrire sous la forme :
DK = PBKDF2(PRF, Password, Sait, c, dkLen), où DK est la clé dérivée par cette fonction,
PRF est une fonction pseudo-aléatoire à utiliser à chaque dérivation,
Password est le mot de passe à partir duquel dériver la nouvelle clé,
Sait est un sel pour la fonction aléatoire,
C est le nombre d'itérations à effectuer, et dkLen est la longueur de la clé dérivée.
Dans ce troisième mode de réalisation, DK représente donc l'adresse MAC de session 96 que l'on cherche à dériver à partir de l'empreinte biométrique de l'utilisateur. Pour ce faire, on utilise donc par exemple les paramètres d'entrée suivants pour la fonction de dérivation de clé PBKDF2 :
PRF = HMAC-SHA1 ;
Password = INFJNT, la représentation interne 94 de l'empreinte ;
Sait = timestamp_unix (arrondi aux 5 minutes) ;
C = 4096 (arbitrairement) ; et dkLen = 48 bits.
La figure 13 présente la succession d'étapes mises en oeuvre, en parallèle, dans la passerelle d'accès HGW 10, pour cette même génération d'adresse MAC de session.
Comme le terminal utilisateur Tx_14, la passerelle d'accès HGW 10 applique à la représentation interne 94, reçue lors de la phase préalable d'enrôlement de la figure 10, une fonction de dérivation de clé de type PBKDF2, lors d'une étape référencée 95. Cependant, ce calcul d'adresse MAC étant fondé sur l'heure courante, la passerelle d'accès HGW 10 génère de préférence plusieurs adresses MAC candidates, afin d'être robuste aux éventuels décalages d'horloge entre le terminal utilisateur Tx_14 et la passerelle HGW 10. Pour ce faire, on détermine au préalable une granularité temporelle permettant d'assurer cette robustesse, et conditionnant le nombre d'adresses MAC candidates à calculer.
Ainsi, en choisissant par exemple une granularité de cinq minutes :
- À 10hl5, la passerelle HGW 10 calcule les adresses mac 961 de INF_HOR=10hl0 et 962 de INF_HOR=10hl5 ;
- À 10hl7, la passerelle HGW 10 calcule les adresses mac 961 de INF_HOR=10hl0 et 962 de INF_HOR=10hl5 ;
- À 10hl8, la passerelle HGW 10 calcule les adresses mac 961 de INF_HOR=10hl5 et 962 de INF HOR=10h20. A chaque connexion d'un nouveau terminal utilisateur, la passerelle d'accès HGW 10 calcule ainsi deux (ou plus) adresses MAC candidates 961 et 962, à partir de deux informations d'horodatage correspondant à l'heure courante à la granularité temporelle choisie près, pour chaque utilisateur déclaré en base. Lors de la réception de la requête DHCP 98 de la figure 10, la passerelle d'accès HGW 10 compare l'adresse MAC 96 reçue du terminal Tx_14 et chacune des deux adresses MAC candidates 961 et 962 qu'elle vient de calculer pour ce dernier. Si la comparaison est positive le terminal utilisateur est authentifié, l'utilisateur est donc reconnu, et la passerelle peut lui appliquer les droits d'accès qui lui sont propres. Dans le cas contraire, la passerelle applique au terminal Tx_14 une politique d'accès par défaut.
On présente désormais, en relation avec la figure 14, la structure matérielle d'une passerelle résidentielle HGW 10 selon un mode de réalisation de l'invention, comprenant un module d'authentification d'un terminal utilisateur à partir d'une information dérivée d'une empreinte biométrique d'un utilisateur de ce terminal, et un module de contrôle d'accès des terminaux utilisateurs au réseau, par authentification du terminal utilisateur fondée sur l'information dérivée de l'empreinte biométrique, et configuré pour appliquer au terminal utilisateur un profil d'accès au réseau personnalisé pour l'utilisateur auquel appartient l'empreinte biométrique.
Le terme module peut correspondre aussi bien à un composant logiciel qu'à un composant matériel ou un ensemble de composants matériels et logiciels, un composant logiciel correspondant lui-même à un ou plusieurs programmes ou sous-programmes d'ordinateur ou de manière plus générale à tout élément d'un programme apte à mettre en oeuvre une fonction ou un ensemble de fonctions.
Plus généralement, une telle passerelle résidentielle HGW 10 comprend une mémoire vive 143 (par exemple une mémoire RAM), une unité de traitement 142 équipée par exemple d’un processeur, et pilotée par un programme d’ordinateur, représentatif des modules d'authentification et de contrôle d'accès des terminaux, stocké dans une mémoire morte 141 (par exemple une mémoire ROM ou un disque dur). A l’initialisation, les instructions de code du programme d’ordinateur sont par exemple chargées dans la mémoire vive 143 avant d’être exécutées par le processeur de l’unité de traitement 142. La mémoire vive 143 contient notamment les différentes tables de correspondance (tables de permissions, d'identité, d'adresses MAC, etc.) décrites ci-avant en relation avec les modes de réalisation des figures 2 à 13. Le processeur de l'unité de traitement 142 pilote les différents échanges de messages permettant l'authentification du terminal utilisateur, l'allocation d'une adresse IP au terminal, l'application à ce dernier d'un profil d'accès personnalisé en fonction de l'identité de son utilisateur, et plus généralement les échanges de message permettant de contrôler l'accès des terminaux utilisateurs aux ressources de la passerelle 10 et des réseaux 1 et 2, conformément aux figures 2 à 13.
La figure 14 illustre seulement une manière particulière, parmi plusieurs possibles, de réaliser la passerelle résidentielle HGW 10, afin qu'elle effectue les étapes du procédé détaillé ci-dessus, en relation avec les figures 2 à 13 (dans l'un quelconque des différents modes de réalisation, ou dans une combinaison de ces modes de réalisation). En effet, ces étapes peuvent être réalisées indifféremment sur une machine de calcul reprogrammable (un ordinateur PC, un processeur DSP ou un microcontrôleur) exécutant un programme comprenant une séquence d'instructions, ou sur une machine de calcul dédiée (par exemple un ensemble de portes logiques comme un FPGA ou un ASIC, ou tout autre module matériel).
Dans le cas où la passerelle résidentielle HGW 10 est réalisée avec une machine de calcul reprogrammable, le programme correspondant (c'est-à-dire la séquence d'instructions) pourra être stocké dans un médium de stockage amovible (tel que par exemple une disquette, un CD- ROM ou un DVD-ROM) ou non, ce médium de stockage étant lisible partiellement ou totalement par un ordinateur ou un processeur.
Les différents modes de réalisation ont été décrits ci-avant en relation avec une passerelle résidentielle de type Livebox®, mais peuvent plus généralement être mis en oeuvre dans toutes les passerelles ou routeurs...
La figure 15 représente une architecture d'un terminal utilisateur 150, qui peut être l'un quelconque des terminaux utilisateurs 11 à 14 de la figure 1, selon l'un des modes de réalisation de l'invention.
Le terminal utilisateur 150 comprend, classiquement, des mémoires MEM 151 associées à un processeur CPU 153. Les mémoires peuvent être de type ROM (de l'anglais « Read Only Memory ») ou RAM (de l'anglais « Random Access Memory ») ou encore Flash. Le terminal utilisateur 150 comprend un module CAPT 154 de capture d'une empreinte biométrique d'un utilisateur. Dans le cas où le terminal utilisateur 150 dispose d'un écran tactile, comme c'est le cas du smartphone 11 ou de la tablette 14, ce module fait partie intégrante du terminal. Dans d'autres cas, ce module CAPT 154 peut consister en un module déporté, relié par exemple à l'ordinateur portable 12, ou à l'ordinateur familial 13 par liaison filaire ou sans fil.
Le terminal utilisateur 150 comprend en outre un module DERIV 152 de dérivation d'une information d'authentification de l'utilisateur à partir de l'empreinte biométrique capturée par le module CAPT 154. Un tel module DERIV 152 de dérivation est apte à analyser l'image de l'empreinte capturée par le module de capture CAPT 154 pour en extraire une représentation robuste, par identification de points singuliers de l'empreinte en nombre suffisant, et à appliquer une fonction de hachage (de type sha-256 par exemple) à cette représentation robuste, pour obtenir l'information d'authentification souhaitée. Dans le premier mode de réalisation décrit en relation avec les figures 2 à 4, le module de dérivation DERIV 152 est également configuré pour générer une adresse MAC à partir de du résultat de ce hachage, par exemple par simple troncature ou par application d'une fonction de dérivation de clé de type PBKDF2. Dans le deuxième mode de réalisation décrit en relation avec les figures 5 à 8, le module de dérivation DERIV 152 est également configuré pour générer un mot de passe à partir du résultat de ce hachage, qui peut être le résultat du hachage lui-même, ou un mot de passe généré par application d'une fonction de dérivation de clé de type PBKDF2 au résultat du hachage. Enfin, dans le troisième mode de réalisation décrit en relation avec les figures 9 à 13, le module de dérivation DERIV 152 est également configuré pour générer une adresse MAC à partir du résultat de ce hachage et d'une information d'horodatage, par application d'une fonction de dérivation de clé de type PBKDF2.
Le terminal utilisateur 150 comprend également un module DHCP 155 d'émission d'une requête d'accès à la passerelle d'accès à partir de l'information fournie par le module de dérivation DERIV 152 et un module WIFI 156 apte à émettre et recevoir des messages vers et de la passerelle d'accès au réseau de communication local. Notamment, dans les premiers et troisième modes de réalisation de l'invention, le module DHCP 155 est apte à configurer l'interface réseau du terminal utilisateur 150 avec l'adresse MAC générée par le module de dérivation DERIV 152, et le module WIFI 156 est apte à transmettre vers la passerelle 10 une requête DHCP contenant cette adresse MAC.
Le terminal utilisateur 150 selon un mode de réalisation de l'invention peut aussi contenir d'autres modules (non représentés) comme un disque dur pour le stockage des représentations robustes des empreintes biométriques, éventuellement sous forme hachée, un module d'interface utilisateur (écran, clavier, souris...), un module de gestion du son, etc.
A nouveau, on notera que le terme module peut correspondre aussi bien à un composant logiciel qu'à un composant matériel ou un ensemble de composants matériels et logiciels, un composant logiciel correspondant lui-même à un ou plusieurs programmes ou sous-programmes d'ordinateur ou de manière plus générale à tout élément d'un programme apte à mettre en oeuvre une fonction ou un ensemble de fonctions telles que décrites pour les modules concernés. De la même manière, un composant matériel correspond à tout élément d'un ensemble matériel (ou hardware) apte à mettre en oeuvre une fonction ou un ensemble de fonctions pour le module concerné (circuit intégré, carte à puce, carte à mémoire, etc.).
Plus généralement, un tel terminal utilisateur 150 comprend une mémoire vive MEM 151 (par exemple une mémoire RAM), une unité de traitement équipée par exemple d’un processeur CPU 153, et pilotée par un programme d’ordinateur, et comportant des instructions de code représentatives des modules de capture d'une empreinte biométrique CAPT 154, de dérivation DERIV 152 d'une information d'authentification de l'utilisateur à partir de l'empreinte biométrique, d'émission d'une requête d'accès DHCP 155 à la passerelle d'accès à partir de l'information dérivée et du module WIFI 156, stocké dans une mémoire morte (par exemple une mémoire ROM ou un disque dur). A l’initialisation, les instructions de code du programme d’ordinateur sont par exemple chargées dans la mémoire vive avant d’être exécutées par le processeur CPU de l’unité de traitement. La mémoire vive contient notamment la représentation robuste de l'empreinte biométrique de l'utilisateur, éventuellement sous forme hachée. Le processeur de l'unité de traitement pilote la capture de l'empreinte biométrique, la dérivation d'une information d'authentification (adresse MAC ou mot de passe) à partir de cette dernière, et son utilisation lors d'une phase d'authentification, soit auprès d'un portail captif, soit par envoi d'une requête DHCP la contenant vers la passerelle d'accès.
La figure 15 illustre seulement une manière particulière, parmi plusieurs possibilités, de réaliser le terminal utilisateur 150, afin qu'il effectue les étapes du procédé détaillé ci-avant, en relation avec les figures 2 à 13 (dans l'un quelconque des différents modes de réalisation, ou dans une combinaison de ces modes de réalisation). En effet, ces étapes peuvent être réalisées indifféremment sur une machine de calcul reprogrammable (un ordinateur PC, un processeur DSP ou un microcontrôleur) exécutant un programme comprenant une séquence d'instructions, ou sur une machine de calcul dédiée (par exemple un ensemble de portes logiques comme un FPGA ou un ASIC, ou tout autre module matériel).

Claims

REVENDICATIONS
1. Procédé de contrôle d'accès à un réseau (2) de communication local sans fil, comprenant une passerelle d'accès (10) audit réseau local et une pluralité de terminaux utilisateurs (11-14) aptes à être connectés audit réseau local via ladite passerelle d'accès, caractérisé en ce que le contrôle d'accès d'un desdits terminaux utilisateurs audit réseau comprend :
- une authentification dudit terminal utilisateur à partir d'une information (26 ; 54 ; 96) dérivée d'une empreinte biométrique (20) d'un utilisateur dudit terminal utilisateur, et
- une application (52 ; 112) audit terminal utilisateur d'un profil d'accès au réseau personnalisé pour ledit utilisateur auquel appartient ladite empreinte biométrique.
2. Procédé de contrôle d'accès selon la revendication 1, caractérisé en ce que ladite information dérivée de ladite empreinte biométrique est une adresse MAC (26) générée par hachage (23) d'une représentation robuste (22) de ladite empreinte biométrique (20).
3. Procédé de contrôle d'accès selon la revendication 2, caractérisé en ce qu'il comprend un pré-enregistrement (40) dudit terminal utilisateur auprès de ladite passerelle d'accès comprenant une mémorisation (41) en association de ladite adresse MAC générée et d'un identifiant dudit utilisateur.
4. Procédé de contrôle d'accès selon la revendication 1, caractérisé en ce que ladite information dérivée de ladite empreinte biométrique est un mot de passe (54) généré par hachage (53) d'une représentation robuste (62) de ladite empreinte biométrique (20).
5. Procédé de contrôle d'accès selon la revendication 4, caractérisé en ce que ladite authentification (82) dudit terminal utilisateur est mise en oeuvre sur un portail captif (100) à partir d'un identifiant dudit utilisateur et d'un hachage dudit mot de passe (54).
6. Procédé de contrôle d'accès selon l’une quelconque des revendications 4 et 5, caractérisé en ce qu'il comprend un pré-enregistrement dudit terminal utilisateur auprès de ladite passerelle d'accès comprenant une mémorisation (71) en association dudit hachage dudit mot de passe généré et d'un identifiant dudit utilisateur.
7. Procédé de contrôle d'accès selon la revendication 1, caractérisé en ce que ladite information dérivée de ladite empreinte biométrique est une adresse MAC (96) dérivée, à partir d'une information d'horodatage (97), d'un hachage (93) d'une représentation robuste de ladite empreinte biométrique (20).
8. Procédé de contrôle d'accès selon la revendication 7, caractérisé en ce qu'il comprend un pré-enregistrement dudit terminal utilisateur auprès de ladite passerelle d'accès comprenant une mémorisation (91) en association dudit hachage (93) de ladite représentation robuste de ladite empreinte biométrique et d'un identifiant dudit utilisateur.
9. Procédé de contrôle d'accès selon la revendication 8, caractérisé en ce que ladite authentification comprend la génération (95), par ladite passerelle d'accès (10), d'au moins deux adresses MAC candidates (961, 962) pour ledit terminal utilisateur, à partir dudit hachage de ladite représentation robuste de ladite empreinte biométrique mémorisé (94) et d'au moins deux informations d'horodatage (97) temporellement proches, et la comparaison desdites au moins deux adresses MAC candidates (961, 962) avec ladite information dérivée de ladite empreinte biométrique (96) reçue dudit terminal utilisateur.
10. Produit programme d’ordinateur comprenant des instructions de code de programme pour la mise en oeuvre d'un procédé de contrôle d'accès selon l’une quelconque des revendications 1 à 9, lorsqu'il est exécuté par un processeur.
11. Passerelle d'accès (HGW, 10) à un réseau de communication local (2) sans fil, ledit réseau local comprenant une pluralité de terminaux utilisateurs aptes à être connectés audit réseau local via ladite passerelle d'accès, caractérisée en ce qu'elle comprend :
- un module d'authentification d'un terminal utilisateur à partir d'une information dérivée d'une empreinte biométrique d'un utilisateur dudit terminal utilisateur, et
- un module de contrôle de l'accès dudit terminal utilisateur authentifié, configuré pour appliquer audit terminal utilisateur un profil d'accès au réseau personnalisé pour ledit utilisateur auquel appartient ladite empreinte biométrique.
12. Passerelle d'accès selon la revendication 11, caractérisée en ce qu'elle est configurée pour mettre en oeuvre le procédé de contrôle d'accès selon l’une quelconque des revendications 1 à 9.
13. Procédé d'accès d'un terminal utilisateur (11-14) à une passerelle d'accès (HGW ; 10) à un réseau (2) de communication local sans fil, caractérisé en ce qu'il comprend :
- une capture d'une empreinte biométrique (20) d'un utilisateur ;
- une dérivation d'une information d'authentification (26 ; 54 ; 96) dudit utilisateur à partir de ladite empreinte biométrique capturée ;
- une émission d'une requête d'accès (28 ; 82 ; 98) à ladite passerelle d'accès à partir de ladite information dérivée.
14. Procédé d'accès selon la revendication 13, caractérisé en ce que ladite dérivation d'une information d'authentification comprend :
- une transformation (21 ; 61 ; 121) de ladite empreinte capturée (20) en une représentation robuste (22 ; 62 ; 122) de ladite empreinte ;
- une génération d'une adresse MAC (26 ; 96) par hachage (23 ; 93) de ladite représentation robuste de ladite empreinte ; et en ce que, préalablement à ladite émission d'une requête d'accès (28 ; 98), il comprend une configuration (27 ; 110) d'une interface réseau dudit terminal utilisateur avec ladite adresse MAC générée.
15. Procédé d'accès selon la revendication 14, caractérisé en ce que ladite génération d'une adresse MAC met également en oeuvre une fonction de dérivation (95) à partir d'une information d'horodatage (97).
16. Produit programme d’ordinateur comprenant des instructions de code de programme pour la mise en oeuvre d'un procédé d'accès selon l’une quelconque des revendications 13 à 15, lorsqu'il est exécuté par un processeur.
17. Terminal utilisateur (11-14 ; 150) apte à être connecté à un réseau (2) de communication local sans fil via une passerelle d'accès (HGW ; 10), caractérisé en ce qu'il comprend :
- un module de capture (154) d'une empreinte biométrique d'un utilisateur ;
- un module de dérivation (152) d'une information d'authentification dudit utilisateur à partir de ladite empreinte biométrique capturée ;
- un module d'émission (155) d'une requête d'accès à ladite passerelle d'accès à partir de ladite information dérivée.
EP22710669.7A 2021-03-25 2022-02-21 Contrôle d'accès à un réseau de communication sans fil par authentification fondée sur une empreinte biométrique d'un utilisateur Pending EP4315745A1 (fr)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
FR2103014A FR3121304A1 (fr) 2021-03-25 2021-03-25 Contrôle d’accès à un réseau de communication sans fil par authentification fondée sur une empreinte biométrique d’un utilisateur
PCT/FR2022/050307 WO2022200704A1 (fr) 2021-03-25 2022-02-21 Contrôle d'accès à un réseau de communication sans fil par authentification fondée sur une empreinte biométrique d'un utilisateur

Publications (1)

Publication Number Publication Date
EP4315745A1 true EP4315745A1 (fr) 2024-02-07

Family

ID=76523048

Family Applications (1)

Application Number Title Priority Date Filing Date
EP22710669.7A Pending EP4315745A1 (fr) 2021-03-25 2022-02-21 Contrôle d'accès à un réseau de communication sans fil par authentification fondée sur une empreinte biométrique d'un utilisateur

Country Status (4)

Country Link
US (1) US20240305630A1 (fr)
EP (1) EP4315745A1 (fr)
FR (1) FR3121304A1 (fr)
WO (1) WO2022200704A1 (fr)

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN115589064B (zh) * 2022-10-08 2025-07-29 浙江大学 一种基于cpu时钟偏移的低压分布式电源智能终端设备认证方法
US20250219906A1 (en) * 2023-12-28 2025-07-03 Cambium Networks Ltd Device classification at the edge

Family Cites Families (18)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP4294434B2 (ja) * 2003-10-17 2009-07-15 株式会社日立製作所 ユニークコード生成装置および方法、ならびにプログラム、記録媒体
US7548981B1 (en) * 2004-03-03 2009-06-16 Sprint Spectrum L.P. Biometric authentication over wireless wide-area networks
JP4291803B2 (ja) * 2005-08-19 2009-07-08 株式会社大和総研ホールディングス 認証システム、端末、認証サーバ、認証方法及びプログラム
JP4736744B2 (ja) * 2005-11-24 2011-07-27 株式会社日立製作所 処理装置、補助情報生成装置、端末装置、認証装置及び生体認証システム
FR2895125B1 (fr) * 2005-12-21 2008-12-12 Novatec Sa Procede d'authentification de documents et dispositif de lecture desdits documents a des fins d'enregistrement pour preuve
US8910300B2 (en) * 2010-12-30 2014-12-09 Fon Wireless Limited Secure tunneling platform system and method
EP3025270A1 (fr) * 2013-07-25 2016-06-01 Nymi inc. Dispositif et système biométriques portatifs préautorisés, et leur procédé d'utilisation
US20150040198A1 (en) * 2013-07-31 2015-02-05 Wipro Limited Systems and methods for accessing a device using a paired device in its proximity
CN103679436B (zh) * 2013-12-17 2018-08-14 重庆邮电大学 一种基于生物信息识别的电子合同保全系统和方法
EP2919431B1 (fr) * 2014-03-12 2017-11-08 Accenture Global Services Limited Distribution sécurisée de contenu électronique respective la localisation du récepteur
US20170076076A1 (en) * 2015-09-10 2017-03-16 Securelogix Corporation Biometric Mobile Authentication for Real-Time Communications
WO2017179143A1 (fr) * 2016-04-13 2017-10-19 アライドテレシスホールディングス株式会社 Système de traitement de détermination d'informations d'identification de terminal de communication
US20180063857A1 (en) * 2016-08-31 2018-03-01 Intel Corporation Enhanced parental controls for gateway
US20180176197A1 (en) * 2016-12-15 2018-06-21 Bank Of America Corporation Dynamic Data Protection System
CN107070754A (zh) * 2016-12-30 2017-08-18 深圳智乐信息科技有限公司 一种自动调节智能家居的方法及系统
CA2992333C (fr) * 2018-01-19 2020-06-02 Nymi Inc. Systeme et methode d'autorisation d'acces utilisateur, et capteur utilisateur physiologique et dispositif d'authentification associes
US11170084B2 (en) * 2018-06-28 2021-11-09 Private Identity Llc Biometric authentication
CA3042361A1 (fr) * 2019-05-06 2020-11-06 Nymi Inc. Dispositif, systeme et procede d'authentification d'utilisateur en direct, et prevention de la fraude ou connivence au moyen desdits dispositif, systeme et procede

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
"Chapter 10: Identification and Entity Authentication ED - Menezes A J; Van Oorschot P C; Vanstone S A", 1 October 1996 (1996-10-01), XP001525010, ISBN: 978-0-8493-8523-0, Retrieved from the Internet <URL:http://www.cacr.math.uwaterloo.ca/hac/> *

Also Published As

Publication number Publication date
FR3121304A1 (fr) 2022-09-30
WO2022200704A1 (fr) 2022-09-29
US20240305630A1 (en) 2024-09-12

Similar Documents

Publication Publication Date Title
US12126613B2 (en) System and method for pre-registration of FIDO authenticators
JP7391860B2 (ja) トランザクション確認及び暗号通貨のためのセキュアな鍵記憶装置の拡張
CN113114624B (zh) 基于生物特征的身份认证方法和装置
EP2819052B1 (fr) Procédé et serveur de traitement d&#39;une requête d&#39;accès d&#39;un terminal à une ressource informatique
EP1549011A1 (fr) Procédé et système de communication entre un terminal et au moins un équipment communicant
FR2864289A1 (fr) Controle d&#39;acces biometrique utilisant un terminal de telephonie mobile
FR2793367A1 (fr) Dispositif d&#39;authentification et de securisation pour un reseau informatique
FR3048530B1 (fr) Systeme ouvert et securise de signature electronique et procede associe
FR3100678A1 (fr) Génération d’un portefeuille contextuel multi-utilisateur de clés privées et utilisation d’un tel portefeuille
CN110545274A (zh) 一种基于人证合一的uma服务的方法、装置和系统
EP4315745A1 (fr) Contrôle d&#39;accès à un réseau de communication sans fil par authentification fondée sur une empreinte biométrique d&#39;un utilisateur
FR2817102A1 (fr) Appel depuis un terminal radiotelephonique avec authentification biometrique
WO2020221938A1 (fr) Procédé de connexion sécurisée à un service web embarqué et dispositif correspondant
FR3118226A1 (fr) Procédé et dispositif de contrôle de l’accès à un service utilisant une chaîne de blocs
EP3673633B1 (fr) Procédé d&#39;authentification d&#39;un utilisateur auprès d&#39;un serveur d&#39;authentification
EP3672193A1 (fr) Procédé et système d&#39;authentification d&#39;un terminal client par un serveur cible, par triangulation via un serveur d&#39;authentification
CN112887308B (zh) 一种无感网络身份认证方法及系统
FR3111721A1 (fr) Procédé d’authentification d’un utilisateur sur un équipement client
EP3248177B1 (fr) Contrôle d&#39;accès aux équipements d&#39;un site sécurise par authentification biométrique
EP3899765B1 (fr) Réinitialisation d&#39;un secret applicatif au moyen du terminal
FR2825213A1 (fr) Systeme d&#39;authentification d&#39;un utilisateur
FR3007929A1 (fr) Procede d&#39;authentification d&#39;un utilisateur d&#39;un terminal mobile
FR3156939A1 (fr) Procédé pour contrôler l’accès d’un utilisateur d’une chaîne de blocs à un serveur informatique lié à ladite chaîne de blocs
HK1246035B (zh) 基於生物特徵的身份注册方法和装置
WO2021099199A1 (fr) Procede et systeme pour le provisionnement ou remplacement securise d&#39;un secret dans au moins un dispositif de communication portable.

Legal Events

Date Code Title Description
STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: UNKNOWN

STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: THE INTERNATIONAL PUBLICATION HAS BEEN MADE

PUAI Public reference made under article 153(3) epc to a published international application that has entered the european phase

Free format text: ORIGINAL CODE: 0009012

STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: REQUEST FOR EXAMINATION WAS MADE

17P Request for examination filed

Effective date: 20230914

AK Designated contracting states

Kind code of ref document: A1

Designated state(s): AL AT BE BG CH CY CZ DE DK EE ES FI FR GB GR HR HU IE IS IT LI LT LU LV MC MK MT NL NO PL PT RO RS SE SI SK SM TR

DAV Request for validation of the european patent (deleted)
DAX Request for extension of the european patent (deleted)
STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: EXAMINATION IS IN PROGRESS

17Q First examination report despatched

Effective date: 20250120