au sommaire
Le professeur John Chuang (à l’image) a piloté l’étude sur l’utilisation de mot de passe mental. Il porte le casque EEG utilisé pour les tests. © Université de Californie à Berkeley, School of Information
En matièrematière de sécurisation de mots de passe, la biométrie fait partie des pistes les plus explorées. Mouvement des yeux, battements du cœur, frappe au clavier ne sont que quelques-uns des paramètres les plus récemment étudiés pour trouver la solution à la fois la plus sécurisée et la plus ergonomique. On peut également citer les travaux de GoogleGoogle sur une bague électronique qui pourrait remplacer tous les mots de passe que l'on utilise pour se connecter aux services en ligne.
Et si finalement, le moyen le plus sûr et le plus simple de se servir d'un mot de passe était tout bonnement d'y penser ? C'est sur cette hypothèse qu'a travaillé une équipe de la School of Information de l'université de Californie à Berkeley (États-Unis). Ces scientifiques ont démontré dans leur étude qu'un système de mot de passe qui enregistre et identifie les ondes cérébrales peut fonctionner.
Pour cela, ils se sont servis d'un casque EEG (électroencéphalographeélectroencéphalographe) ne coûtant que 100 dollars (environ 77 euros) pour enregistrer l'activité cérébrale d'un groupe de 15 volontaires. Ils leur ont demandé d'effectuer une série de tâches mentales spécifiques, afin d'en extraire des modèles mentaux propres à chaque individu. Résultat, le système est parvenu à un taux de réussite de 99 % pour relier une personne à l'activité cérébrale qu'elle avait produite.
Des casques EEG pour un système d’authentification grand public
Les progrès qui permettent aujourd'hui d'envisager un système de mot de passe piloté par la pensée sont corrélés à l'arrivée de casques EEGEEG très abordables, et moins intrusifs que les modèles employés pour la recherche ou les analyses médicales. Dans le cas du projet mené par l'université californienne, c'est un casque EEG Neurosky MindSet qui ressemble à une paire d'écouteurs, avec un capteurcapteur à contact seccontact sec venant se placer sur la partie gauche du front de l'utilisateur. On est loin du bonnet hérissé d'électrodesélectrodes que l'on a l'habitude de voir pour ce genre d'expérience.
Le casque EEG (électroencéphalographe) de la marque Neurosky MindSet qui a servi aux expérimentations des chercheurs de l’université de Californie à Berkeley. On distingue le capteur à contact sec qui vient se coller sur la partie gauche du front. Son faible coût et son ergonomie proche d’un casque audio classique permettent d’envisager des applications grand public. © Université de Californie à Berkeley, School of Information
« Le format non intrusif du casque et du capteur abaisse de façon significative la barrière de l'usage d'un système d'authentification basé sur l'EEG », expliquent les chercheurs dans leur publication. Cependant, il leur fallait s'assurer que ce type de casque, n'utilisant qu'un seul canal, pouvait être aussi précis que les casques EEG destinés à l'usage scientifique et pouvant posséder jusqu'à 256 canaux.
Tâches mentales
Dans le groupe de 15 volontaires, ils ont vérifié que chaque personne pouvait dégager un modèle d'activité cérébrale suffisamment spécifique pour permettre de l'identifier. Pour cela, il a été demandé à chaque participant de réaliser sept tâches mentales de dix secondes chacune. Certains devaient penser à une tâche décidée à l'avance : se concentrer sur leur respiration, imaginer un mouvementmouvement de haut en bas de leur index droit ou répondre à un signal sonore en regardant un point sur une feuille. Les autres devaient choisir eux-mêmes, et en secret, la tâche mentale servant de mot de passe : penser à une chanson de leur choix, s'imaginer en train de pratiquer un sport, regarder une certaine image au sein d'un album affiché à l'écran ou encore se concentrer dix secondes sur une pensée secrète.
Au final, les chercheurs ont constitué une base de données forte de 1.050 échantillons d'ondes cérébrales. Ces enregistrements ont ensuite subi un traitement mathématique, en fonction de leur signal à deux dimensions (temps et fréquence). Une partie de ces échantillons a été utilisée pour élaborer la méthode d'authentification, et l'autre pour la tester.
Combiner facilité et sécurité pour un mot de passe
Au cours de l'expérience, l'équipe de l'université de Californie à Berkeley a découvert que seules trois activités mentales étaient jugées faciles à réaliser, et susceptibles de convenir à un usage fréquent pour un système de mot de passe. Il s'agit des exercices de chantchant, du comptage d'objets de même couleur et de la concentration sur la respiration. Les chercheurs ont alors pu calibrer le casque EEG et se servir de ces actions mentales pour tester l'efficacité du système. Le taux d'erreur estimé à 1 % est équivalent à celui que l'on retrouve avec les casques EEG multicanaux, selon les auteurs de l'étude.
L'intégration de l'EEG et d'autres capteurs biométriques pourrait se faire dans les téléphones mobilesmobiles, les casques, les vêtements intelligents et d'autres appareils électroniques. Recueillir des ondes cérébrales pour l'identification (ou à d'autres fins) par ce moyen « pourrait devenir plus naturel et moins intrusif que la collecte des empreintes digitalesempreintes digitales, d'échantillons de voix ou d'autres signaux biométriques », estiment les scientifiques.
Comment tromper mentalement le système ?
Si cette étude marque une avancée significative dans le développement d'un système de mot de passe contrôlé par la pensée et techniquement viable et acceptable pour les usagers, des questions demeurent. Parmi les écueils, on notera la possibilité de tromper un tel système en reproduisant la tâche mentale.
En conclusion de leur article, les chercheurs se demandent à quel point il serait facile (ou difficile) pour une personne parvenant à se procurer le mot de passe mental d'un tiers de le reproduire pour leurrer le système. Leur analyse avance que le processus de création du mot de passe doit être parfaitement conçu, afin de garantir que l'action mentale soit la plus spécifique possible. Un gros travail reste encore à faire sur les éléments caractéristiques et infalsifiables d'un mot de passe mental pour le rendre introuvable par un usurpateur.
