FR3138223A1 - Procédé, dispositif et programme d’ordinateur de contrôle d’accès à des services numériques - Google Patents

Abstract

L’invention concerne le contrôle d’accès à un service numérique à partir d’un dispositif pourvu de moyens d’acquisition de données caractérisant un utilisateur du dispositif. Après avoir identifié, à partir du dispositif, un utilisateur ayant un droit d’accès à un service numérique, des premières données caractérisant un utilisateur du dispositif sont acquises durant l’accès au service numérique à partir dudit dispositif, lesdites premières données étant acquises via lesdits moyens d’acquisition. Les premières données acquises sont analysées au regard de secondes données préalablement acquises caractérisant l’utilisateur ayant un droit d’accès au service numérique pour déterminer un niveau de confiance que l’utilisateur du dispositif est l’utilisateur ayant un droit d’accès à un service numérique. Une action à effectuer pour augmenter le niveau de confiance que l’utilisateur du dispositif est l’utilisateur ayant un droit d’accès à un service numérique est alors identifiée, cette action étant identifiée en fonction du niveau de confiance déterminé. Figure abrégé : figure 2

Description

Procédé, dispositif et programme d’ordinateur de contrôle d’accès à des services numériques

L’invention se rapporte au domaine du contrôle d’accès à des services numériques, notamment au contrôle d’accès à des services tels que des jeux, par exemple pour contrôler l’accès à des jeux en fonction de profils d’utilisateurs, notamment en fonction de l’âge.

De nombreux services numériques, appelés services en ligne, sont accessibles via un réseau de communication, par exemple Internet, à l’aide d’un terminal tel qu’un ordinateur personnel, une tablette ou un smartphone. Parmi ces services, il en existe certains dont l’accès est soumis à un enregistrement ou un abonnement préalable. De même, certains services accessibles à partir de bornes en libre-service, par exemple des bornes de jeux dans des points de vente, nécessitent un abonnement préalable. Pour s’abonner, un utilisateur doit fournir certaines informations, par exemple un identifiant, un mot de passe, une date de naissance, etc. Des informations relatives à son identité peuvent également être demandées. Ces informations peuvent aussi être complétées avec des informations biométriques ou liées à des informations biométriques préalablement enregistrées, par exemple des empreintes digitales ou des données de reconnaissance faciale. Lorsqu’il est abonné, l’utilisateur peut accéder aux services proposés, via un portail ou une plateforme, après s’être identifié, typiquement à l’aide d’un identifiant et d’un mot de passe ou d’informations biométriques, appelées données de connexion. De tels services peuvent être des jeux, par exemple des jeux de loteries, des paris sportifs et des jeux d’argent.

Cependant, il arrive qu’un utilisateur s’étant enregistré ou ayant souscrit un abonnement pour accéder à de tels services « prête » ses données de connexion à un tiers pour permettre à ce dernier d’accéder aux services proposés. Il peut également arriver qu’un tel utilisateur se connecte, à l’aide d’un dispositif, par exemple son smartphone, à la plateforme ou au portail d’accès aux services proposés, puis prête son dispositif à un tiers qui peut alors utiliser les services proposés. Une telle situation peut poser des problèmes, notamment réglementaires. Ainsi, par exemple, un adulte ayant souscrit un abonnement pour effectuer des paris en ligne peut utiliser son smartphone pour se connecter à une plateforme d’accès à des paris en ligne puis confier son smartphone à un enfant mineur qui peut alors effectuer des paris.

Il existe donc un besoin de contrôle d’accès à des services tels que des jeux pour vérifier que l’utilisateur a le droit d’utiliser les services proposés, en limitant les contraintes pour l’utilisateur.

La présente invention vise notamment à résoudre ces problèmes.

A cet effet, l’invention propose un procédé, un dispositif et un programme d’ordinateur de contrôle d’accès numérique.

Il est ainsi proposé un procédé pour ordinateur de contrôle d’accès à un service numérique à partir d’un dispositif pourvu de moyens d’acquisition de données caractérisant un utilisateur dudit dispositif, le procédé comprenant,

- identification, à partir dudit dispositif, d’un utilisateur ayant un droit d’accès à un service numérique et fourniture de l’accès audit service numérique,

- durant l’accès au dit service numérique à partir dudit dispositif, acquisition de premières données caractérisant un utilisateur dudit dispositif, lesdites premières données étant acquises via lesdits moyens d’acquisition,

- analyse desdites premières données acquises au regard de secondes données préalablement acquises caractérisant ledit utilisateur ayant un droit d’accès audit service numérique pour déterminer un niveau de confiance que l’utilisateur du dispositif est l’utilisateur ayant un droit d’accès à un service numérique et

- identification d’au moins une action à effectuer pour augmenter le niveau de confiance que l’utilisateur du dispositif est l’utilisateur ayant un droit d’accès à un service numérique, ladite au moins une action étant identifiée en fonction dudit niveau de confiance déterminé.

Le procédé selon l’invention permet ainsi de contrôler des accès à des services tels que des jeux, de façon pas ou peu intrusive, pour assurer un contrôle d’accès en limitant d’éventuelles contraintes pour l’utilisateur.

Selon des modes de réalisation particuliers, le procédé comprend en outre l’acquisition desdites secondes données via lesdits moyens d’acquisition, lesdites secondes données étant de même nature que lesdites premières données.

Toujours selon des modes de réalisation particuliers, ladite au moins une action comprend une acquisition de troisièmes données caractérisant un utilisateur dudit dispositif, lesdites troisièmes données étant acquises via lesdits moyens d’acquisition et étant de nature différente que lesdites premières données.

Toujours selon des modes de réalisation particuliers, ladite analyse comprend un calcul d’écart entre lesdites premières données et lesdites secondes données formant une distribution.

Toujours selon des modes de réalisation particuliers, ladite analyse comprend en outre une étape de regroupement en groupes de données préalablement acquises caractérisant des utilisateurs, lesdites données préalablement acquises caractérisant des utilisateurs comprenant lesdites secondes données, lesdits groupes formant des distributions et étant représentatifs de profils d’utilisateurs.

Toujours selon des modes de réalisation particuliers, ladite analyse comprend, pour chaque groupe d’une pluralité de groupes, un calcul d’écart entre lesdites premières données et des données du groupe, le niveau de confiance que l’utilisateur du dispositif est l’utilisateur ayant un droit d’accès à un service numérique étant déterminé en fonction des écarts calculés.

Toujours selon des modes de réalisation particuliers, ladite analyse met en œuvre un moteur d’intelligence artificielle dont au moins une partie de l’apprentissage est basée sur des données d’apprentissage comprenant des données acquises via lesdits moyens d’acquisition.

Toujours selon des modes de réalisation particuliers, le procédé comprend en outre une modification de l’apprentissage dudit moteur d’intelligence artificielle sur la base desdites troisièmes données acquises.

L’invention a également pour objet un dispositif configuré pour mettre en œuvre le procédé décrit ci-dessus. Les avantages procurés par ce dispositif sont similaires à ceux décrits précédemment au regard du procédé.

Un programme informatique, mettant en œuvre tout ou partie du procédé décrit ci-dessus, installé sur un équipement préexistant, est en lui-même avantageux, dès lors qu’il permet d’accéder et sélectionner facilement et rapidement un événement susceptible d’intéresser un utilisateur.

Ainsi, la présente invention vise également un programme informatique comportant des instructions pour la mise en œuvre du procédé précédemment décrit, lorsque ce programme est exécuté par un processeur.

Ce programme peut utiliser n’importe quel langage de programmation (par exemple, un langage objet ou autre) et être sous la forme d’un code source interprétable, d’un code partiellement compilé ou d’un code totalement compilé.

Un autre aspect concerne un support de stockage non-transitoire d’un programme exécutable par ordinateur, comprenant un ensemble de données représentant un ou plusieurs programmes, lesdits un ou plusieurs programmes comprenant des instructions pour, lors de l’exécution desdits un ou plusieurs programmes par un ordinateur comprenant une unité de traitement couplée de manière opérationnelle à des moyens mémoires et à un module d’interface entrées/sorties, pour exécuter tout ou partie du procédé décrit ci-dessus.

D’autres caractéristiques, détails et avantages de l’invention apparaîtront à la lecture de la description détaillée ci-après. Celle-ci est purement illustrative et doit être lue en regard des dessins annexés, dans lesquels :

Fig. 1

illustre un exemple d’un environnement dans lequel l’invention peut être mise en œuvre selon des modes de réalisation particuliers ;

Fig. 2

illustre un premier exemple d’étapes d’un procédé de contrôle d’accès à un ou plusieurs services, selon des modes de réalisation particuliers de l’invention ;

Fig. 3

illustre deux exemples de distribution de données précédemment acquises, pour un même paramètre, et l’estimation d’un écart entre une donnée acquise et les données précédemment acquises, dont la distribution est représentée ; et

Fig. 4

illustre un second exemple d’étapes d’un procédé de contrôle d’accès à un ou plusieurs services, selon des modes de réalisation particuliers de l’invention ; et

Fig. 5

illustre un exemple de dispositif pouvant être utilisé pour mettre en œuvre, au moins partiellement, des modes de réalisation de l’invention, notamment des étapes décrites en référence aux figures 2 et 3.

Description détaillée

Selon des modes de réalisation particuliers de l’invention, suite à l’obtention d’un accès, à partir d’un dispositif d’accès, à un ou plusieurs services pour lesquels un utilisateur a obtenu un droit d’accès, des caractéristiques de cet utilisateur sont acquises, de façon transparente ou non invasive (ou peu invasive), de façon continue, périodique ou de temps à autre, pour vérifier que l’utilisateur réel du dispositif d’accès a effectivement le droit d’accéder à ces services. La nature des caractéristiques acquises et la fréquence d’acquisition peuvent varier en fonction d’un niveau de confiance caractérisant le fait que l’utilisateur est bien le titulaire du droit d’accès. Ces caractéristiques sont analysées, de préférence lorsque le ou les services sont utilisés, pour en détecter une éventuelle modification pouvant signifier un changement d’utilisateurs. Lorsque, par exemple, le niveau de confiance caractérisant le fait que l’utilisateur est bien le titulaire du droit d’accès baisse, des actions de plus en plus invasives et/ou contraignantes peuvent être déclenchées et/ou peuvent être déclenchées à des fréquences de plus en plus élevées, pour vérifier qu’il n’y a pas eu de changement d’utilisateur. De telles actions peuvent viser l’obtention de caractéristiques de l’utilisateur et peuvent notamment aller jusqu’à une identification formelle de l’utilisateur. S’il est déterminé que l’utilisateur a changé (ou si le niveau de confiance que l’utilisateur est bien le titulaire du droit d’accès atteint un certain seuil inférieur), il peut être mis fin à la fourniture du ou des services. Inversement, lorsque le niveau de confiance caractérisant le fait que l’utilisateur est bien le titulaire du droit d’accès augmente, des actions de moins en moins invasives et/ou contraignantes peuvent être déclenchées et/ou peuvent être déclenchées à des fréquences de moins en moins élevées.

Les caractéristiques acquises de l’utilisateur peuvent être basées sur une biométrie douce. A titre d’illustration, elles peuvent être liées à un comportement, souvent caractéristique de l’âge d’une personne, pouvant être déterminé à partir de mesures telles qu’une fréquence de saisie de caractères sur un clavier (réel ou virtuel), un mouvement du dispositif utilisé, un type de geste effectué sur un écran tactile, etc. Il peut également s’agir de caractéristiques physiques de l’utilisateur acquises à partir d’un capteur tel qu’un capteur photo ou vidéo, ces caractéristiques visant la présence d’une barbe ou d’une moustache, la présence de ride, etc. Ces dernières peuvent être utilisées pour évaluer l’âge de l’utilisateur, sans nécessiter de données particulières propres à l’utilisateur (pouvant être protégées par des réglementations de protection de données personnelles).

Toujours selon des modes de réalisation particuliers, les données acquises d’un utilisateur sont comparées à des données préalablement acquises et traitées, correspondant au titulaire du droit d’accès, à des titulaires de droits d’accès ayant des profils proches, par exemple des profils correspondant à une même tranche d’âges, ou à des utilisateurs des dispositifs utilisés par des titulaires de droits d’accès. Le niveau de confiance caractérisant le fait que l’utilisateur est bien le titulaire du droit d’accès peut ainsi être basé sur la distribution de données précédemment acquises et/ou sur des données acquises et validées. Ces données peuvent être regroupées sous forme de groupes ou clusters, après avoir été éventuellement filtrées, ces clusters étant représentatifs de valeurs de caractéristiques mesurées proches et permettant d’associer des caractéristiques à des profils, par exemple à des âges ou des fourchettes d’âge, ou d’associer directement un droit ou une interdiction d’accès à des clusters. Il est ainsi possible de déterminer si l’utilisateur du dispositif considéré a réellement le droit d’accéder à des services donnés, sans qu’il soit nécessaire d’identifier formellement cet utilisateur et sans qu’il soit nécessaire d’associer des identifiants de personnes aux clusters. Ainsi, en comparant des données nouvellement acquises avec des données préalablement acquises et groupées en clusters, le ou les groupes de données préalablement acquises les plus proches de données nouvellement acquises peuvent être identifiés, permettant, selon un degré de similitude, d’en tirer des conclusions sur les données nouvellement acquises. Le regroupement de paramètres en clusters peut être effectué par un moteur d’intelligence artificielle, par exemple un moteur de type K-moyenne (K-means en terminologie anglo-saxonne), qui peut être associé ou non à une approche de réduction de dimensions telle que l’analyse en composantes principales, des auto-encodeurs s’appuyant sur un apprentissage profond (deep learning en terminologie anglo-saxonne), un moteur d’apprentissage contrastif (contrastive learning en terminologie anglo-saxonne) s’appuyant également sur un apprentissage profond ou des stratégies de type analyse biométrique (réseaux siamois par exemple).

En cas de doute sur l’utilisateur, par exemple si son comportement a changé de façon significative, pouvant potentiellement être interprété comme un changement d’utilisateurs, sans qu’il soit possible de déterminer si l’utilisateur réel a le droit d’accéder aux services demandés, la fréquence d’obtention de ces caractéristiques peut être augmentée pour obtenir plus de mesures ou des caractéristiques complémentaires peuvent être acquises, éventuellement en sollicitant l’utilisateur, par exemple en demandant sa date de naissance ou en demandant une confirmation de son identité par reconnaissance biométrique. De telles informations de confirmation peuvent alors être utilisées pour renforcer la catégorisation des clusters et/ou le droit ou l’interdiction d’accès associé à ces clusters. Ce regroupement, ou clusterisation, peut être effectué par compte, c’est-à-dire par utilisateur ayant acquis d’un droit d’accès à un ou plusieurs services, par type d’utilisateurs, etc.

La illustre un exemple d’un environnement 100 dans lequel l’invention peut être mise en œuvre selon des modes de réalisation particuliers. Comme représenté, un utilisateur tel qu’un joueur peut accéder à un service, par exemple participer à des paris en ligne, par l’intermédiaire d’un fournisseur d’accès ou opérateur, à partir d’un terminal 105, par exemple d’une borne en libre-service d’un point de vente, d’un smartphone 110, d’une tablette 115 ou d’un ordinateur personnel (non représenté). Ce terminal, ce smartphone, cette tablette et/ou cet ordinateur personnel sont connectés à un ou plusieurs serveurs 120 offrant le ou les services demandés, par exemple un serveur d’un opérateur de jeux, via un réseau de communication 125. Ces serveurs mettent en œuvre différents modules tels que des modules de services, par exemple des moteurs de jeux, et des gestionnaires de comptes utilisateurs. Ces terminaux, smartphones, tablettes et/ou ordinateurs personnels sont en outre connectés, ici via le réseau de communication 125, à un serveur de contrôle d’accès 130. Ce dernier exécute un module en charge de contrôler les accès aux services demandés, notamment pour détecter un changement d’utilisateurs. Il est observé que le module d’accès peut être exécuté par le ou les serveurs 120, voire être intégré dans un module exécuté par le ou les serveurs 120 ou encore dans le dispositif utilisé par un utilisateur pour accéder aux services.

Des exemples d’étapes mises en œuvre dans les modules exécutés par les dispositifs illustrés sur la sont décrits en référence aux figures 2 et 3.

Le terminal 105, le smartphone 110, la tablette 115 et l’ordinateur personnel comprennent des moyens de communication filaires ou sans fil, par exemple des moyens de communication conformes aux standards WiFi, Bluetooth ou Ethernet (WiFi et Bluetooth sont des marques). De même, les serveurs 120 et 130 comprennent des moyens de communication. A nouveau, il peut s’agir, par exemple, de moyens de communication conformes aux standards WiFi, Bluetooth ou Ethernet. Les moyens de communication de ces dispositifs peuvent s’appuyer sur des protocoles de communication standard, par exemple le protocole TCP/IP (sigle de Transmission Control Protocol / Internet Protocol en terminologie anglo-saxonne).

Pour accéder à un ou plusieurs services, le terminal 105, le smartphone 110, la tablette 115 et/ou l’ordinateur personnel peuvent utiliser des applications spécifiques ou une interface web, notamment pour choisir le ou les services auxquels souhaite accéder l’utilisateur, renseigner des données, par exemple saisir un montant de mise d’un pari, obtenir des résultats et, le cas échéant, le paiement de gains.

En outre, le terminal 105, le smartphone 110, la tablette 115 et l’ordinateur personnel comprennent des moyens d’acquisition et de traitement de données permettant de caractériser un utilisateur, par exemple pour détecter des caractéristiques de saisies de donnée, de mouvements du dispositif, de gestes effectués sur un écran tactile, etc. De tels moyens peuvent comprendre des capteurs tels que des capteurs vidéo, des gyroscopes, des accéléromètres, un clavier virtuel ou réel, etc.

La illustre un premier exemple d’étapes d’un procédé de contrôle d’accès à un ou plusieurs services, selon des modes de réalisation particuliers de l’invention.

Comme illustré, une première étape (étape 200) a pour objet l’identification d’un utilisateur. Une telle identification peut notamment être effectuée via une plate-forme d’accès distante ou via une application dédiée, exécutée au moins en partie dans le dispositif utilisé par l’utilisateur pour accéder aux services. Cette identification peut par exemple comprendre la saisie d’un identifiant et d’un mot de passe sur le dispositif de l’utilisateur. La concordance entre l’identifiant et le mot de passe peut être effectuée dans le dispositif de l’utilisateur ou dans un serveur distant. En cas d’erreur de saisie, l’utilisateur peut être invité à saisir une nouvelle fois son identifiant et/ou son mot de passe. Après une ou plusieurs erreurs, le dispositif de l’utilisateur peut être bloqué ou partiellement bloqué, pour une durée limitée et/ou jusqu’à l’intervention d’un tiers, par exemple du fournisseur du ou des services demandés.

Selon d’autres modes de réalisation, l’identification de l’utilisateur est effectuée à l’aide de données biométriques. Elle peut notamment être basée sur une reconnaissance faciale et/ou une reconnaissance d’empreintes digitales.

Lorsque l’utilisateur souhaitant accéder à un ou plusieurs services est identifié, l’accès aux services lui est donné (étape 205). Selon d’autres modes de réalisation, un ou plusieurs services sont proposés à l’utilisateur après qu’il ait été identifié, par exemple en fonction de son abonnement (dans ce cas, seuls le ou les services auxquels il peut accéder sont, de préférence, présentés). Il sélectionne alors un ou plusieurs services et l’accès correspondant lui est donné.

Après que l’accès à un ou plusieurs services a été donné à un utilisateur, le ou les modules correspondants sont exécutés. Ainsi, à titre d’illustration, si un service accédé concerne un pari, l’utilisateur saisit ou sélectionne son ou ses choix, par exemple un résultat de matches ou de courses, ainsi qu’un montant de mise et les valide.

Selon des modes de réalisation particuliers, des données caractérisant l’utilisateur sont acquises dès que ce dernier est identifié (étape 210). Il s’agit, de préférence, de données de biométrique douce. Ces données comprennent, par exemple,

• une fréquence moyenne de saisie de caractères (cette mesure étant par exemple réalisée dès que la fréquence de saisie atteint un certain seuil, par exemple un seuil prédéterminé),
• une fréquence, une orientation et/ou une amplitude de mouvement du dispositif de l’utilisateur,
• une vitesse, une orientation et/ou une amplitude de geste effectué avec un doigt ou un stylet sur une surface tactile,
• une vitesse de réaction entre un instant auquel est proposé un choix à l’utilisateur et un instant auquel le choix est effectué,
• une utilisation spécifique du clavier (e.g., utilisation de raccourcis clavier ou de touches particulières telles que la touche « majuscule »), et
• l’âge de l’utilisateur déterminé à l’aide d’une acquisition vidéo.

La nature des données acquises, suite à l’identification de l’utilisateur, est par exemple prédéterminée ou peut être déterminée en fonction d’un niveau de confiance caractérisant le fait que l’utilisateur est bien le titulaire du droit d’accès, tel que déterminé lors d’un accès précédent à ce ou ces services.

Les données acquises sont ici mémorisées dans une base de données 215, après avoir été optionnellement filtrées. La base de données 215 est ici propre au titulaire identifié du droit d’accès. Elle peut être stockée dans le dispositif utilisé pour accéder aux services ou dans un serveur distant. Les données mesurées sont ensuite comparées à des données acquises précédemment (si de telles données antérieures existent), pouvant notamment être mémorisées dans la base de données 215, afin d’estimer une variation (étape 220). A titre d’illustration, une telle variation, référencée iciV, peut être mesurée comme les variations normalisées de chaque caractéristique mesurée, pouvant être exprimée de la façon suivante :

oùC _it représente la mesure de la caractéristiquei(par exemple une fréquence de saisie de caractères) à l’instantt, ou une représentation de plusieurs caractéristiques dans un espace adapté (suite à une réduction de dimensions par exemple) à ce même instantt.

Selon d’autres modes de réalisation, comme décrit en référence à la , la variation correspond à un écart entre des données acquises, le cas échéant prétraitées et/ou combinées (par exemple suite à une réduction du nombre de dimensions), et la distribution de données correspondantes précédemment acquises.

Cette variation estimée peut être représentative du niveau de confiance caractérisant le fait que l’utilisateur est bien le titulaire du droit d’accès. Le niveau de confiance caractérisant le fait que l’utilisateur est bien le titulaire du droit d’accès peut ainsi être l’inverse de la variation estimée, c’est-à-dire l’inverse d’un écart à une référence.

La variation estimée est ensuite analysée (étape 225), par exemple comparée à un seuil tel qu’un seuil prédéterminé θ, pour déterminer si des actions particulières telles que l’acquisition de données supplémentaires, doivent être effectuées. En réponse à cette analyse, par exemple si la variation estimée est inférieure ou égale au seuil prédéterminé θ, il en est conclu qu’il est probable que l’utilisateur du dispositif utilisé pour accéder aux services demandés soit l’utilisateur ayant souscrit l’abonnement utilisé. Dans ce cas, l’algorithme boucle sur les étapes 205 et 210 pour poursuivre la fourniture du service et l’acquisition de données caractérisant l’utilisateur. Au contraire, si, par exemple, la variation estimée est supérieure au seuil prédéterminé θ, il en est conclu qu’il est probable que l’utilisateur du dispositif utilisé pour accéder aux services demandés ne soit pas l’utilisateur ayant souscrit l’abonnement utilisé. Une ou plusieurs actions sont alors sélectionnées et exécutées pour déterminer ou essayer de déterminer si l’utilisateur du dispositif utilisé pour accéder aux services demandés est bien l’utilisateur ayant souscrit l’abonnement utilisé (étape 230).

Selon des modes de réalisation particuliers, la nature de ces actions est déterminée en fonction de la variation estimée, c’est-à-dire, par exemple, en fonction d’un niveau de confiance caractérisant le fait que l’utilisateur est bien le titulaire du droit d’accès.

A titre d’exemple, si la variation estimée est supérieure au seuil prédéterminé θ, mais que le niveau de confiance caractérisant le fait que l’utilisateur est bien le titulaire du droit d’accès est supérieur à un premier seuil de confiance, de nouvelles mesures des caractéristiques utilisées pour estimer la variation sont effectuées.

Toujours à titre d’illustration, si la variation estimée est supérieure au seuil prédéterminé θ, mais que le niveau de confiance caractérisant le fait que l’utilisateur est bien le titulaire du droit d’accès est inférieur au premier seuil de confiance et supérieur à un second seuil de confiance, des mesures de caractéristiques complémentaires, différentes de celles précédemment acquises, sont effectuées. Il peut s’agir, par exemple, d’une photographie du visage de l’utilisateur du dispositif utilisé, d’un extrait de sa voix et/ou d’empreintes digitales, de préférence obtenus à l’aide de capteurs du dispositif utilisé. Ces données complémentaires peuvent être utilisées, par exemple, pour déterminer un âge.

A titre d’illustration encore, si la variation estimée est supérieure au seuil prédéterminé θ et si le niveau de confiance caractérisant le fait que l’utilisateur est bien le titulaire du droit d’accès est inférieur au second seuil de confiance, une identification de l’utilisateur est demandée.

Toujours à titre d’exemple, ces actions peuvent en outre comprendre une étape de déconnexion, par exemple s’il est estimé, avec une probabilité élevée, que l’utilisateur du dispositif utilisé n’est pas l’utilisateur ayant souscrit l’abonnement utilisé pour accéder aux services.

Toujours selon des modes de réalisation, la variation des données caractérisant l’utilisateur (estimée à l’étape 220) peut être utilisée à l’étape 230 pour identifier une ou plusieurs actions. Ainsi, par exemple, si cette variation est supérieure au seuil θ, mais inférieure à un seuil θ₁, les actions peuvent viser l’acquisition de données complémentaires caractérisant l’utilisateur alors que si cette variation est supérieure aux seuils θ et θ₁, les actions peuvent viser une nouvelle identification de l’utilisateur.

Il existe bien entendu de nombreuses variantes.

La illustre deux exemples de distribution de données précédemment acquises, pour un même paramètre, et l’estimation d’un écart entre une donnée acquise et les données précédemment acquises, dont la distribution est représentée.

Dans un souci de clarté, un écart à une distribution est ici représenté avec un seul paramètre (ou le résultat de la combinaison de paramètres, par exemple suite à une réduction du nombre de dimensions), permettant une visualisation en deux dimensions (valeurs relatives en abscisse et distribution en ordonnée). Ce paramètre est, par exemple, une vitesse de frappe moyenne sur un clavier (réel ou virtuel). Un écart équivalent peut bien sûr être estimé avec plusieurs paramètres.

La courbe 300, illustrée sur la représentation (a), représente une distribution de valeurs mesurées d’un même paramètre, par rapport à une valeur de référence, et la référence 305 indique une valeur mesurée, par rapport à la même valeur de référence. L’écart à la distribution, représenté par la référence 310, représente la position relative de la valeur mesurée dont l’écart est déterminé par rapport à l’ensemble des valeurs mesurées, c’est-à-dire la surface (normalisée) représentée en hachuré.

La courbe de distribution illustrée sur la représentation (b) comprend deux parties pouvant être considérées comme représentatives de deux groupes ou clusters. Elle représente ainsi le cumul de distributions correspondant à deux profils distincts, référencées 350-1 et 350-2. L’écart à la distribution de la valeur mesurée référencée 355 (représentant la position relative de la valeur mesurée dont l’écart est déterminé), par rapport à l’ensemble des valeurs mesurées lié à la distribution qui lui est la plus proche, ici la distribution 350-2, est représenté par la référence 360-2. L’écart à la distribution de la valeur mesurée 355 peut également être déterminé par rapport à la distribution 350-1.

A titre d’illustration, les écarts à la distribution référencés 315 étant faibles, il peut être considéré que l’utilisateur est effectivement le titulaire du droit d’accès utilisé et qu’il n’est pas nécessaire d’effectuer de vérifications complémentaires. Bien que les écarts à la distribution référencés 320-1 et 320-2 sont également faibles, ils le sont moins que les écarts 315. Il peut donc être considéré que l’utilisateur est a priori le titulaire du droit d’accès utilisé, mais qu’une vérification complémentaire peu intrusive doit être effectuée. Les écarts à la distribution référencés 325-1 et 325-2 étant importants, il peut être considéré qu’il existe un doute quant à l’utilisateur, s’il est ou non le titulaire du droit d’accès utilisé. Dans ce cas, il peut être décidé qu’une vérification plus intrusive est nécessaire. Enfin, les écarts à la distribution référencés 330-1 et 330-2 étant très importants, il peut être mis fin à la fourniture de service ou il peut être demandé à l’utilisateur de s’identifier.

Il est observé ici que différents types de calculs d’écarts peuvent être utilisés pour estimer une distance entre un état donné, c’est-à-dire un ensemble de valeurs de paramètres à un instant donné, combinés (par exemple suite à une réduction du nombre de dimensions) ou non, et un ou plusieurs états correspondant à des instants passés. Outre les exemples décrits précédemment, des d’écarts peuvent être calculés, par exemple, par des produits scalaires.

Des groupes ou clusters comme ceux représentés sur la figure 3b peuvent être caractéristiques d’utilisateurs différents ou de comportements différents d’un même utilisateur, par exemple selon que les mesures sont effectuées le matin ou le soir, selon qu’elles sont effectuées dans un cadre tranquille tel qu’un domicile ou un cadre perturbé tel que des transports en commun, etc. L’identification de cluster et l’association d’un profil à ces clusters permet de déterminer si un utilisateur est effectivement le titulaire du droit d’accès utilisé. Comme décrit précédemment, le groupement de données acquises en groupes ou clusters peut être effectué par un moteur d’intelligence artificielle tel que K-moyenne (K-means) qui peut être associé ou non à une approche de réduction de dimensions telle que l’analyse en composantes principales, des auto-encodeurs s’appuyant sur un apprentissage profond (deep learning), d’un moteur d’apprentissage contrastif (contrastive learning) s’appuyant également sur un apprentissage profond , ou des stratégies de type analyse biométrique (réseaux siamois par exemple).

La illustre un second exemple d’étapes d’un procédé de contrôle d’accès à un ou plusieurs services, selon des modes de réalisation particuliers de l’invention. Les étapes illustrées sur la peuvent être considérées comme une variante aux étapes 210 à 230 de la .

Comme illustré, le procédé décrit ici comprend trois modules : un module 405 d’acquisition de données caractérisant un utilisateur d’un dispositif utilisé pour accéder à un service, un module 410 d’apprentissage pour regrouper des données caractérisant des utilisateurs et discriminer des utilisateurs différents et un module 415 d’analyse pour déterminer si un utilisateur d’un dispositif est un utilisateur ayant le droit d’accéder à un service demandé.

Le module 405 permet d’obtenir des données caractérisant un utilisateur à l’aide de moyens d’acquisition du dispositif utilisé pour accéder à un service. Ces données visent icincaractéristiques, référencées 420-1 à 420-n. Ces caractéristiques peuvent comprendre, par exemple, comme décrit précédemment,

• une fréquence moyenne de saisie de caractères (cette mesure étant par exemple réalisée dès que la fréquence de saisie atteint un certain seuil, par exemple un seuil prédéterminé),
• une fréquence, une orientation et/ou une amplitude de mouvement du dispositif de l’utilisateur,
• une vitesse, une orientation et/ou une amplitude de mouvement de déplacement d’un doigt ou d’un stylet sur une surface tactile,
• une vitesse de réaction entre un instant auquel est proposé un choix à l’utilisateur et un instant auquel le choix est effectué,
• une utilisation spécifique du clavier (e.g., utilisation de raccourcis clavier ou de touches particulières telles que la touche « majuscule »), et
• l’âge de l’utilisateur déterminé à l’aide d’une acquisition vidéo.

Les données obtenues sont transmises aux modules 410 et 415.

Selon l’exemple illustré, le module 410 d’apprentissage mémorise les données reçues caractérisant un utilisateur dans une base de données 425. Comme décrit précédemment, ces données sont utilisées pour discriminer des utilisateurs différents et/ou des caractéristiques différentes d’un même utilisateur. Toujours selon l’exemple décrit ici, ces données sont analysées dans un moteur de classification pour déterminer des ensembles ou clusters (étape 430), chaque ensemble étant représentatif d’un utilisateur d’un groupe d’utilisateurs (par exemple d’utilisateurs ayant des caractéristiques proches) ou de caractéristiques d’un utilisateur. A ces fins, le moteur de classification peut mettre en œuvre une méthode de classification non supervisée. Il s’agit typiquement d’un algorithme d’apprentissage dont le but est de regrouper entre elles des données non étiquetées présentant des propriétés similaires. Il peut s’agir, par exemple, de l’algorithme connu sous le nom de K-moyenne (K-means) qui peut être associé ou non à une approche de réduction de dimensions telle que l’analyse en composantes principales, des auto-encodeurs s’appuyant sur un apprentissage profond (deep learning), d’un moteur d’apprentissage contrastif (contrastive learning) s’appuyant également sur un apprentissage profond, ou des stratégies de type analyse biométrique (réseaux siamois par exemple).

Si les données sont acquises immédiatement après une première identification d’un utilisateur ayant le droit d’accéder au service demandé, il peut être considéré que l’utilisateur du dispositif utilisé pour cette identification est l’utilisateur ayant le droit d’accéder au service demandé. L’algorithme de classification est alors paramétré de telle sorte que toutes les données acquises immédiatement après la première identification soient regroupées (cluster initial). Une classe peut être associée à ce groupe pour indiquer qu’il caractérise un utilisateur autorisé (étape 435). Il est noté ici que les classes associées aux groupes de données du moteur de classification sont, par exemple, une indication d’autorisation (utilisateur autorisé à accéder à un service), une indication d’interdiction (utilisateur non autorisé à accéder à un service), une indication d’âge, etc. Lorsqu’aucune classe n’est associée à un groupe de données, cela signifie que ces données sont, a priori, représentatives d’une personne différente de celles représentées par les autres données ou de caractéristiques d’un utilisateur qui n’ont pas encore été validées.

Dans une étape suivante, optionnelle, exécutée si plusieurs ensembles de données ont été identifiés, les données obtenues sont analysées pour déterminer si elles sont associées à des caractéristiques discriminantes (étape 440). Les caractéristiques non discriminantes peuvent être indiquées au module d’acquisition 405 pour qu’elles soient ignorées et, ainsi, éviter un traitement inutile.

Il est observé ici que dans des approches de réduction de dimensions telles que l’analyse en composantes principales, les auto-encodeurs s’appuyant sur un apprentissage profond (deep learning), les moteurs d’apprentissage contrastifs (contrastive learning) s’appuyant également sur un apprentissage profond, ou des stratégies de type analyse biométrique (réseaux siamois par exemple), ces caractéristiques non discriminantes sont éliminées automatiquement par l’algorithme.

Comme illustré sur la , le module 415 reçoit également des données caractérisant un utilisateur. Un premier test est ici effectué pour déterminer si le moteur de classification comprend au plus un groupe de données (étape 445). Si aucun groupe de données n’a encore été créé, il peut être considéré que les données reçues sont des données reçues juste après qu’un utilisateur ayant le droit d’accéder à un service se soit identifié. De même, si un seul groupe de données est présent dans le moteur de classification, il peut être considéré que ces données correspondent à celles d’un utilisateur ayant le droit d’accéder à un service, ce groupe ayant été créé juste après l’identification de cet utilisateur. L’accès au service demandé se poursuit normalement.

Si, au contraire, le moteur de classification comprend plusieurs groupes de données caractérisant un utilisateur, il est déterminé si les données reçues appartiennent à un groupe de données (étape 450), c’est-à-dire si elles sont proches des données formant ce groupe, et, si les données reçues appartiennent à un groupe de données, si une classe est associée à ce groupe (étape 455). Si les données reçues appartiennent à un groupe de données auquel une classe est associée, cette dernière est déterminée (étape 460). Si cette classe correspond à une indication d’autorisation, l’accès au service se poursuit normalement. Au contraire, si cette classe correspond à une indication d’interdiction, une action particulière peut être prise. A titre d’illustration, il peut être mis fin à la fourniture du service demandé.

Si les données reçues appartiennent à un groupe de données auquel aucune classe n’est associée ou si les données reçues n’appartiennent pas à un groupe de données, un test est effectué pour déterminer s’il existe une ou plusieurs actions pour aider à classifier les données reçues (étape 465). S’il n’existe aucune action d’aide à la classification des données reçues, une action particulière peut être prise. A nouveau, toujours à titre d’illustration, il peut être mis fin à la fourniture du service demandé.

Au contraire, s’il n’existe au moins une action d’aide à la classification des données reçues, une ou plusieurs actions sont sélectionnées (étape 470). De telles actions sont, par exemple,

• l’acquisition de données complémentaires telles qu’une photographie du visage de l’utilisateur du dispositif utilisé, un extrait de sa voix et/ou des empreintes digitales, sans impliquer d’interactions avec l’utilisateur du dispositif utilisé, dans le but d’obtenir des informations telles que son âge, sans chercher à l’identifier,
• un traitement particulier appliqué aux données déjà acquises, par exemple pour affiner une analyse,
• l’acquisition de données complémentaires en faisant intervenir l’utilisateur du dispositif utilisé, par exemple pour lui demander d’effectuer un geste particulier avec son doigt ou un stylet sur une surface tactile, et
• l’identification de l’utilisateur, par exemple par reconnaissance du visage ou saisie d’un mot de passe.

Plusieurs critères peuvent être utilisés pour sélectionner une ou plusieurs actions, par exemple en fonction d’un niveau de confiance caractérisant le fait que l’utilisateur est bien le titulaire du droit d’accès, du type du dispositif utilisé par l’utilisateur ou d’hypothèses liées à ce dernier (e.g. tranche d’âge ou genre), du lieu où se trouve le dispositif, la date ou l’heure, etc.. Après avoir été sélectionnées, la ou les actions sont exécutées.

En réponse à l’exécution de cette ou ces actions, un test est effectué pour déterminer si elles ont permis d’élever le niveau de confiance caractérisant le fait que l’utilisateur est bien le titulaire du droit d’accès, voire de lever le doute concernant l’utilisateur (étape 475), par exemple estimer son âge ou déterminer si l’utilisateur est bien l’utilisateur ayant souscrit au service accédé.

Si la ou les actions ont permis de lever le doute concernant l’utilisateur, le résultat est ici transmis au module 410 d’apprentissage pour mettre à jour les données de classification, par exemple en exécutant une nouvelle phase d’apprentissage. Au contraire, si la ou les actions n’ont pas permis de lever le doute concernant l’utilisateur, une action particulière peut être prise. A nouveau, toujours à titre d’illustration, il peut être mis fin à la fourniture du service demandé.

Il existe bien entendu de nombreuses variantes. En particulier, d’autres données caractérisant un utilisateur peuvent être utilisées, d’autres données complémentaires peuvent être obtenues, d’autres actions peuvent être effectuées, etc. De même, d’autres moteurs de classification peuvent être utilisés.

La illustre un exemple de dispositif pouvant être utilisé pour mettre en œuvre, au moins partiellement, des modes de réalisation de l’invention, notamment des étapes décrites en référence aux figures 2 et 4.

Le dispositif 500 est par exemple un serveur, un ordinateur, un terminal ou un dispositif personnel tel qu’un smartphone ou une tablette.

Le dispositif 500 comporte de préférence un bus de communication 502 auquel sont reliées :

- une unité centrale de traitement ou microprocesseur 504 (CPU, sigle de Central Processing Unit en terminologie anglo-saxonne) ;

- une mémoire morte 506 (ROM, acronyme de Read Only Memory en terminologie anglo-saxonne) pouvant comporter un système d’exploitation et des programmes tels que "Prog" ;

- une mémoire vive ou mémoire cache 508 (RAM, acronyme de Random Access Memory en terminologie anglo-saxonne) comportant des registres adaptés à enregistrer des variables et paramètres créés et modifiés au cours de l'exécution des programmes précités ; et

- une interface de communication 526 reliée à un réseau de communication distribué 528, par exemple un réseau de communication sans fil et/ou un réseau de communication local, l'interface étant apte à transmettre et à recevoir des données, notamment vers et depuis un dispositif d’un utilisateur.

Optionnellement, le dispositif 500 peut également disposer des éléments suivants :

- un disque dur 520 pouvant comporter les programmes "Prog" précités et des données traitées ou à traiter selon l’invention ;

- un clavier 522 et une souris 524 ou tout autre dispositif de pointage comme un crayon optique, un écran tactile ou une télécommande permettant à l’utilisateur d’interagir avec les programmes selon l'invention ;

- un ou plusieurs capteurs 530, par exemple un ou plusieurs capteurs photo ou vidéo, un ou plusieurs gyroscopes et un ou plusieurs accéléromètres ;

- un lecteur 510 de support amovible de stockage 512 tel qu’une carte mémoire ou un disque, par exemple un disque DVD ; et

- une carte graphique 514 reliée à un écran 516.

Le bus de communication permet la communication et l'interopérabilité entre les différents éléments inclus dans le dispositif 500 ou reliés à lui. La représentation du bus n'est pas limitative et, notamment, l'unité centrale est susceptible de communiquer des instructions à tout élément du dispositif 500 directement ou par l'intermédiaire d'un autre élément du dispositif 500.

Le code exécutable de chaque programme permettant à l'appareil programmable de mettre en œuvre les processus selon l'invention peut être stocké, par exemple, dans le disque dur 520 ou en mémoire morte 506.

Selon une variante, le code exécutable des programmes pourra être reçu par l'intermédiaire du réseau de communication 528, via l'interface 526, pour être stocké de façon identique à celle décrite précédemment.

De manière plus générale, le ou les programmes pourront être chargés dans un des moyens de stockage du dispositif 500 avant d'être exécutés.

L'unité centrale 504 va commander et diriger l'exécution des instructions ou portions de code logiciel du ou des programmes selon l'invention, instructions qui sont stockées dans le disque dur 520 ou dans la mémoire morte 506 ou bien dans les autres éléments de stockage précités. Lors de la mise sous tension, le ou les programmes qui sont stockés dans une mémoire non volatile, par exemple le disque dur 520 ou la mémoire morte 506, sont transférés dans la mémoire vive 508 qui contient alors le code exécutable du ou des programmes selon l'invention, ainsi que des registres pour mémoriser les variables et paramètres nécessaires à la mise en œuvre de l'invention.

En fonction du mode de réalisation choisi, certains actes, actions, évènements ou fonctions de chacune des méthodes décrites dans le présent document peuvent être effectués ou se produire selon un ordre différent de celui dans lequel ils ont été décrits, ou peuvent être ajoutés, fusionnés ou bien ne pas être effectués ou ne pas se produire, selon le cas. En outre, dans certains modes de réalisation, certains actes, actions ou évènements sont effectués ou se produisent concurremment et non pas successivement.

Bien que décrits à travers un certain nombre d’exemples de réalisation détaillés, le procédé proposé et l’équipement pour la mise en œuvre du procédé comprennent différentes variantes, modifications et perfectionnements qui apparaîtront de façon évidente à l’homme de l’art, étant entendu que ces différentes variantes, modifications et perfectionnements font partie de la portée de l’invention, telle que définie par les revendications qui suivent. De plus, différents aspects et caractéristiques décrits ci-dessus peuvent être mis en œuvre ensemble, ou séparément, ou bien substitués les uns aux autres, et l’ensemble des différentes combinaisons et sous combinaisons des aspects et caractéristiques font partie de la portée de l’invention. En outre, il se peut que certains systèmes et équipements décrits ci-dessus n’incorporent pas la totalité des modules et fonctions décrits pour les modes de réalisation préférés.

Claims (10)

1. Procédé pour ordinateur de contrôle d’accès à un service numérique à partir d’un dispositif pourvu de moyens d’acquisition de données caractérisant un utilisateur dudit dispositif, le procédé comprenant,
   - identification, à partir dudit dispositif, d’un utilisateur ayant un droit d’accès à un service numérique et fourniture de l’accès audit service numérique,
   - durant l’accès au dit service numérique à partir dudit dispositif, acquisition de premières données caractérisant un utilisateur dudit dispositif, lesdites premières données étant acquises via lesdits moyens d’acquisition,
   - analyse desdites premières données acquises au regard de secondes données préalablement acquises caractérisant ledit utilisateur ayant un droit d’accès audit service numérique pour déterminer un niveau de confiance que l’utilisateur du dispositif est l’utilisateur ayant un droit d’accès à un service numérique et
   - identification d’au moins une action à effectuer pour augmenter le niveau de confiance que l’utilisateur du dispositif est l’utilisateur ayant un droit d’accès à un service numérique, ladite au moins une action étant identifiée en fonction dudit niveau de confiance déterminé.
2. Procédé selon la revendication 1, comprenant en outre l’acquisition desdites secondes données via lesdits moyens d’acquisition, lesdites secondes données étant de même nature que lesdites premières données.
3. Procédé selon la revendication 1 ou la revendication 2, selon lequel ladite au moins une action comprend une acquisition de troisièmes données caractérisant un utilisateur dudit dispositif, lesdites troisièmes données étant acquises via lesdits moyens d’acquisition et étant de nature différente que lesdites premières données.
4. Procédé selon l’une quelconque des revendications 1 à 3, selon lequel ladite analyse comprend un calcul d’écart entre lesdites premières données et lesdites secondes données formant une distribution.
5. Procédé selon la revendication 4, selon lequel ladite analyse comprend en outre une étape de regroupement en groupes de données préalablement acquises caractérisant des utilisateurs, lesdites données préalablement acquises caractérisant des utilisateurs comprenant lesdites secondes données, lesdits groupes formant des distributions et étant représentatifs de profils d’utilisateurs.
6. Procédé selon la revendication 5, selon lequel ladite analyse comprend, pour chaque groupe d’une pluralité de groupes, un calcul d’écart entre lesdites premières données et des données du groupe, le niveau de confiance que l’utilisateur du dispositif est l’utilisateur ayant un droit d’accès à un service numérique étant déterminé en fonction des écarts calculés.
7. Procédé selon l’une quelconque des revendications 1 à 6, dans lequel ladite analyse met en œuvre un moteur d’intelligence artificielle dont au moins une partie de l’apprentissage est basée sur des données d’apprentissage comprenant des données acquises via lesdits moyens d’acquisition.
8. Procédé selon la revendication 7 dépendante de la revendication 3, comprenant en outre une modification de l’apprentissage dudit moteur d’intelligence artificielle sur la base desdites troisièmes données acquises.
9. Programme d’ordinateur comprenant des instructions pour la mise en œuvre de chacune des étapes du procédé selon l’une des revendications 1 à 8, lorsque ce programme est exécuté par un processeur.
10. Dispositif comprenant une unité de traitement configurée pour exécuter chacune des étapes du procédé selon l’une des revendications 1 à 8.