La biométrie authentifie en comparant des mesures, pas en reconnaissant une personne. Un capteur produit une donnée, un algorithme la transforme en gabarit, et un moteur de comparaison estime une similarité avec le gabarit enregistré. La décision finale dépend d'un seuil : au-dessus, on accepte ; en dessous, on refuse. Toute la sécurité — et toutes les limites — de la biométrie tiennent dans ce réglage.
De l'échantillon au gabarit
Le parcours comprend deux temps.
L'enrôlement : le capteur acquiert un ou plusieurs échantillons (image d'empreinte, image de visage, séquence vocale). Un traitement en extrait des caractéristiques discriminantes et les encode dans un gabarit — une représentation numérique compacte, dont on ne peut normalement pas reconstituer l'image d'origine à l'identique.
La vérification : un nouvel échantillon est acquis, transformé en gabarit, puis comparé au gabarit de référence. Le moteur renvoie un score de similarité, jamais un « oui » binaire, parce qu'aucune mesure biologique n'est deux fois identique : éclairage, humidité, position, âge, fatigue, tout fait varier le signal.
Il faut aussi distinguer deux usages souvent mélangés. La vérification (1:1) répond à « cette personne est-elle bien celle qu'elle prétend être ? ». L'identification (1:N) répond à « qui est cette personne parmi N ? ». La seconde est nettement plus difficile : plus la base est grande, plus les correspondances fortuites deviennent probables.
FAR, FRR et le compromis du seuil
Deux indicateurs résument la performance d'un système biométrique.
- FAR (False Acceptance Rate) : taux de fausses acceptations. Proportion des tentatives d'imposteurs acceptées à tort. C'est l'indicateur de sécurité.
- FRR (False Rejection Rate) : taux de faux rejets. Proportion des tentatives légitimes refusées à tort. C'est l'indicateur de confort et de disponibilité.
Ces deux taux évoluent en sens inverse. Relever le seuil réduit le FAR et augmente le FRR ; le baisser fait l'inverse. Le point où les deux courbes se croisent est appelé EER (Equal Error Rate) ; il sert de repère de comparaison, rarement de réglage opérationnel.
| Réglage du seuil | FAR | FRR | Conséquence concrète |
|---|---|---|---|
| Très permissif | élevé | faible | acceptations indues, peu de plaintes utilisateurs |
| Équilibré (autour de l'EER) | moyen | moyen | compromis de référence, rarement optimal en production |
| Strict | faible | élevé | sécurité renforcée, appels au support et contournements |
| Très strict | très faible | très élevé | rejets massifs, abandon du dispositif ou repli systématique |
Deux indicateurs complémentaires sont souvent oubliés et pèsent lourd en déploiement : le FTE (Failure To Enroll, personnes pour lesquelles l'enrôlement échoue) et le FTA (Failure To Acquire, échantillons inexploitables). Ils déterminent la population qui devra passer par un parcours de repli — lequel devient alors le maillon à sécuriser en priorité.
Un point mérite d'être souligné : un FAR annoncé provient d'une évaluation en conditions données, face à des imposteurs de bonne foi. Il ne dit rien du comportement du système face à une attaque délibérée.
Deux limites structurelles
La biométrie n'est pas un secret. Un visage est photographié quotidiennement, une voix est enregistrée à chaque appel, une empreinte est laissée sur les objets touchés. Une caractéristique diffusée en permanence ne peut pas jouer le rôle d'un secret. Elle constitue une bonne preuve de commodité, pas une preuve de confidentialité.
La biométrie n'est pas révocable. Un mot de passe compromis se change, une clé se régénère. Une empreinte compromise reste compromise à vie. D'où l'importance capitale du lieu de traitement : un gabarit qui ne quitte jamais l'élément sécurisé du terminal présente un profil de risque sans commune mesure avec une base centralisée de gabarits.
À ces limites s'ajoute la question des attaques par présentation : photographie, masque, enregistrement vocal, et désormais génération par intelligence artificielle. La contre-mesure s'appelle détection du vivant (liveness detection, ou PAD, Presentation Attack Detection). Elle progresse, mais elle se trouve dans une course permanente avec les techniques de génération — sujet développé dans l'analyse de la fraude au faux conseiller.
Le cadre juridique : une donnée sensible
Au sens du RGPD, une donnée biométrique traitée aux fins d'identifier une personne de manière unique relève des catégories particulières de données. Son traitement est en principe interdit, sauf exception prévue par le texte, ce qui impose une analyse préalable sérieuse : base légale, proportionnalité, minimisation, durée de conservation, et le plus souvent une analyse d'impact.
Trois choix d'architecture pèsent directement sur cette analyse :
- Traitement local sur le terminal plutôt que centralisé : le gabarit ne circule pas et l'éditeur ne le détient pas.
- Absence de stockage d'image brute : seul un gabarit non réversible est conservé.
- Existence d'une alternative pour les personnes qui refusent ou pour lesquelles l'enrôlement échoue.
C'est la logique retenue par HIAsecure : architecture décentralisée, biométrie éventuelle traitée localement, aucune donnée identifiante détenue par l'éditeur. Ces choix relèvent du privacy by design, et ils simplifient l'analyse de conformité au lieu de la compliquer.
Comment l'utiliser correctement
La biométrie est excellente comme moyen de déverrouillage local : elle ouvre l'accès à une clé stockée dans l'appareil, qui réalise ensuite l'authentification cryptographique. C'est le modèle des passkeys, et il est sain — la biométrie n'est jamais transmise au service.
Elle est en revanche fragile comme preuve d'identité à distance, notamment lorsqu'un flux vidéo ou audio suffit à déclencher une décision. Dans ce cas, une preuve d'intention non imitable, comme un challenge cognitif, apporte la garantie que la biométrie seule ne peut pas fournir : une IA peut reproduire une apparence, elle ne reproduit pas une méthode de résolution personnelle acquise hors ligne.
FAQ
Que signifient FAR et FRR ?
Le FAR mesure la proportion d'imposteurs acceptés à tort, le FRR la proportion d'utilisateurs légitimes refusés à tort. Les deux dépendent du seuil de décision et varient en sens inverse : on ne peut pas les réduire simultanément sans améliorer l'algorithme ou le capteur.
La biométrie est-elle un facteur d'authentification forte ?
Elle constitue un facteur d'inhérence, à combiner avec une autre catégorie. Son niveau réel dépend du seuil, de la qualité de la détection du vivant et du lieu de traitement des gabarits.
Le déverrouillage biométrique d'une passkey est-il de la biométrie « à distance » ?
Non, et la distinction est essentielle. La biométrie déverrouille localement une clé privée ; le service ne reçoit qu'une signature cryptographique. Aucune donnée biométrique ne quitte l'appareil.
Peut-on reconstituer une empreinte à partir d'un gabarit ?
Un gabarit est conçu pour ne pas être réversible, mais des travaux ont montré qu'il est parfois possible d'en dériver des représentations exploitables. C'est une raison supplémentaire de ne pas centraliser les gabarits.
Aller plus loin : le 4ᵉ facteur, au-delà de la biométrie · les 4 facteurs d'authentification · biométrie face aux deepfakes · définition de l'authentification forte