Une attaque par canaux auxiliaires (side-channel) contre la biométrie par empreinte ne cherche pas à fabriquer un faux doigt. Elle observe les effets physiques de la comparaison — consommation électrique, durée de traitement, rayonnement électromagnétique — pour en déduire de l'information sur le gabarit ou sur le résultat. La cible n'est pas la caractéristique biométrique, c'est l'implémentation qui la manipule. Cette distinction change entièrement la liste des contre-mesures.
Ne pas confondre trois familles d'attaques
Les discussions internes mélangent régulièrement trois choses qui n'ont ni la même difficulté ni les mêmes parades.
L'attaque de présentation. Un faux doigt en silicone ou en gélatine, reconstitué à partir d'une empreinte latente. Elle vise le capteur, se contre par la détection de vivacité, et suppose un accès physique au sujet ou à une surface qu'il a touchée.
L'attaque sur le gabarit. Le vol des données de référence stockées, éventuellement suivi d'une reconstruction d'image exploitable. Elle vise le stockage et se contre par la protection du gabarit et par l'architecture de comparaison.
L'attaque par canaux auxiliaires. L'observation des effets physiques du calcul. Elle vise le composant, exige généralement un accès matériel prolongé, et se contre par des mesures de conception matérielle et logicielle.
Confondre la première et la troisième conduit à une erreur classique : investir dans la vivacité en croyant traiter le risque d'extraction de gabarit.
Ce que chaque canal peut révéler
| Canal observé | Information visée | Accès nécessaire | Contre-mesure |
|---|---|---|---|
| Consommation électrique | Opérations du comparateur, données du gabarit | Physique, prolongé | Masquage, équilibrage de la consommation |
| Durée d'exécution | Résultat partiel, structure de la comparaison | Local ou distant | Temps d'exécution constant |
| Rayonnement électromagnétique | Activité interne du composant | Physique, proximité | Blindage, bruit, contre-mesures matérielles |
| Injection de faute | Forcer une acceptation | Physique | Détection de glitch, redondance des décisions |
| Canal logiciel (cache, mémoire) | Fuite depuis un processus voisin | Exécution de code local | Isolation matérielle, enclave dédiée |
| Interface de communication | Gabarit ou décision en transit | Accès au bus ou à l'API | Chiffrement, comparaison sur le composant |
Les deux dernières lignes concernent le risque le plus réaliste en environnement professionnel. Une attaque en laboratoire sur la consommation d'un composant demande du matériel et du temps ; une fuite par la mémoire d'un système partagé ou une interface de communication mal protégée est bien plus accessible.
Le vrai facteur de risque : l'architecture de comparaison
Trois architectures coexistent, avec des expositions très différentes.
La comparaison sur le composant (match-on-chip ou match-on-sensor). Le gabarit ne quitte jamais l'élément sécurisé, et seule la décision en sort. C'est l'architecture la plus résistante : même une fuite sur le canal de communication ne livre pas le gabarit.
La comparaison sur l'hôte. Le gabarit est transmis à un processus applicatif. Il devient observable par les canaux logiciels, et sa protection dépend de l'isolation du système — donc de l'état du poste.
La comparaison côté serveur. Le gabarit ou une représentation quitte l'appareil. Le risque change de nature : il devient un risque de base de données, avec des conséquences juridiques lourdes, les données biométriques utilisées pour identifier une personne relevant d'un régime renforcé au titre du RGPD.
Le choix d'architecture pèse donc davantage sur le niveau de risque réel que la qualité intrinsèque du capteur.
Un point souvent oublié : l'empreinte ne se révoque pas
Un mot de passe compromis se change. Un certificat se réémet. Une empreinte digitale est définitive.
Cette propriété a une conséquence directe sur la gestion du risque : une fuite de gabarits n'est pas un incident dont on se remet par une rotation. Elle impose de raisonner en protection du gabarit — transformations irréversibles, formes révocables, stockage local — plutôt qu'en réaction après coup.
Elle explique aussi pourquoi la biométrie est plus solide comme moyen de déverrouillage local que comme moyen d'authentification distante. Dans FIDO2/WebAuthn, l'empreinte ne circule pas : elle déverrouille une clé privée qui reste dans l'appareil. C'est cette architecture, et non la biométrie elle-même, qui apporte la résistance au phishing.
Ce que le facteur cognitif ajoute ici
Le facteur cognitif ne repose sur aucune caractéristique physique permanente. Il repose sur une méthode de résolution personnelle, acquise lors d'un enrôlement hors ligne : elle peut être renouvelée, ce qu'une empreinte ne permet pas. Le défi est résolu dans un canal éphémère ouvert par QR code dynamique à usage unique, et le polymorphisme fonctionnel associé à une exécution mouvante (Moving Target Defense) fait varier en continu ce qui est observable — ce qui prive une analyse par canal auxiliaire de la stabilité dont elle a besoin pour accumuler des mesures exploitables.
Lorsque la biométrie intervient dans le parcours, elle est traitée localement, sans qu'aucune donnée identifiante ne soit détenue à l'extérieur : le risque de fuite de gabarits centralisés disparaît par construction.
FAQ
Une attaque par canaux auxiliaires est-elle réaliste sur un téléphone ?
Sur les enclaves sécurisées des appareils récents, elle exige un matériel spécialisé et un accès physique prolongé. Le risque est réel pour un attaquant motivé disposant de l'appareil, faible dans un scénario d'attaque à distance.
Le match-on-chip suffit-il ?
Il traite le risque principal — la sortie du gabarit — mais ne dispense pas de la détection de vivacité contre les attaques de présentation, ni des contre-mesures matérielles contre l'injection de faute.
Faut-il stocker des gabarits d'empreinte côté serveur ?
C'est l'architecture la plus exposée, techniquement et juridiquement. Le stockage local avec comparaison sur le composant réduit fortement l'exposition, et supprime le scénario de fuite massive.
Que faire si des gabarits ont fuité ?
Il n'existe pas de rotation possible. Il faut retirer à la biométrie concernée son rôle d'authentification, notifier selon les obligations applicables, et basculer vers un facteur renouvelable pour les usages sensibles.
Aller plus loin : authentification cognitive · principes de la biométrie · Moving Target Defense contre les canaux auxiliaires · certificat et carte à puce face aux canaux auxiliaires