L’authentification biométrique sur smartphone désigne tout mécanisme qui vérifie l’identité d’un utilisateur à partir d’un trait physique ou comportemental : empreinte digitale, géométrie du visage, motif de l’iris. Le gabarit biométrique, une représentation mathématique de ce trait, est comparé à celui enregistré lors de la configuration initiale. Si la correspondance dépasse un seuil de confiance, l’accès est accordé.
Cette couche de sécurité remplace ou complète le code PIN classique sur la quasi-totalité des terminaux récents.
A découvrir également : Les sauvegardes automatiques protègent contre la perte de données
Stockage du gabarit biométrique : ce qui change la nature du risque
La distinction la plus structurante en matière de biométrie mobile concerne l’endroit où le gabarit est conservé. La CNIL identifie deux grandes configurations sur le marché des smartphones.
Dans la première, le gabarit reste stocké dans une enclave sécurisée de l’appareil, inaccessible au système d’exploitation principal et aux applications tierces. Le constructeur ne dispose d’aucune copie distante. Ce modèle limite fortement le périmètre de risque : une fuite de serveur ne peut pas exposer les données biométriques de millions d’utilisateurs en une seule fois.
A lire aussi : Le phishing évolue avec l'intelligence artificielle générative
Dans la seconde configuration, le gabarit est transmis à un serveur externe, parfois géré par un fournisseur d’application. C’est ce scénario qui relève pleinement des obligations du RGPD, car un tiers collecte et stocke des données biométriques qualifiées de sensibles par le règlement européen.
Cette distinction a aussi des implications juridiques outre-Atlantique. En avril 2026, la Seventh Circuit américaine a jugé que le simple fait de fournir un logiciel créant des données biométriques sur l’appareil de l’utilisateur ne suffit pas à caractériser une collecte au sens du BIPA de l’Illinois. La possession effective du gabarit par un tiers reste le critère déterminant. Ce raisonnement confirme que le stockage local constitue une protection juridique, en plus d’être une protection technique.
Attaque BrutePrint sur Android : limites concrètes du capteur d’empreinte
L’empreinte digitale est le mode biométrique le plus répandu sur smartphone. Des chercheurs de Tencent Labs et de l’université de Zhejiang ont mis en évidence une attaque baptisée BrutePrint, capable de contourner l’authentification par empreinte sur des appareils Android.
Le principe repose sur deux vulnérabilités de type zero-day :
- Cancel-After-Match-Fail (CAMF) : exploite une faille dans la gestion des erreurs du capteur pour empêcher le compteur de tentatives échouées de s’incrémenter, rendant possible un nombre illimité d’essais.
- Match-After-Lock (MAL) : permet de continuer à soumettre des empreintes même après le verrouillage normalement déclenché par trop de tentatives.
- L’attaque nécessite un accès physique à l’appareil et un matériel spécifique pour intercepter la communication entre le capteur et le processeur sécurisé.
Les tests menés par les chercheurs montrent que les smartphones iOS résistent mieux à ce type d’attaque. Apple chiffre la communication entre le capteur et l’enclave sécurisée, ce qui empêche l’injection de données d’empreinte forgées. Sur Android, le niveau de protection varie selon les constructeurs et les modèles, ce qui crée une hétérogénéité de sécurité au sein de l’écosystème.
Passkeys et biométrie : vers une authentification sans mot de passe sur mobile
Les passkeys représentent une évolution récente qui s’appuie sur la biométrie du smartphone sans en reproduire les faiblesses habituelles. Le principe : une paire de clés cryptographiques est générée localement. La clé privée reste sur l’appareil, protégée par la reconnaissance faciale ou l’empreinte digitale. La clé publique est envoyée au service en ligne.
Lors de la connexion, le smartphone signe un défi cryptographique avec la clé privée après validation biométrique. Aucun secret partagé ne transite sur le réseau, ce qui élimine le risque de phishing et de réutilisation de mot de passe. Le gabarit biométrique n’est jamais transmis au site : il sert uniquement à débloquer la clé privée en local.
Singapour a illustré cette bascule opérationnelle en septembre 2026 en étendant le système Singpass aux passkeys sur Android. Ce déploiement à l’échelle nationale montre que le modèle passkey adossé à la biométrie mobile fonctionne à grande échelle, y compris pour des services gouvernementaux critiques comme l’identité numérique.
AI Act et biométrie mobile : les interdictions applicables depuis 2025
Le cadre réglementaire européen a posé de nouvelles limites sur certains usages biométriques. L’AI Act, entré en application progressive, interdit depuis le 2 février 2025 plusieurs pratiques :
- La collecte non ciblée d’images faciales sur internet ou via la vidéosurveillance pour constituer des bases de reconnaissance faciale.
- La catégorisation biométrique inférant des attributs sensibles (opinions politiques, orientation sexuelle, croyances religieuses) à partir de traits physiques.
- La reconnaissance des émotions en milieu professionnel et éducatif, sauf pour des raisons médicales ou de sécurité strictement encadrées.
Ces interdictions ne visent pas directement le déverrouillage d’un smartphone par son propriétaire, qui relève de l’exemption domestique. Elles ciblent les systèmes d’identification biométrique à distance déployés dans l’espace public ou par des organisations.
La frontière est nette : l’usage personnel du capteur d’empreinte ou de Face ID reste licite, tandis que l’exploitation massive de données biométriques collectées sans consentement explicite tombe sous le coup de l’interdiction.
Pour les développeurs d’applications mobiles, l’enjeu concret porte sur l’intégration de modules biométriques. Dès lors qu’une application envoie le gabarit à un serveur tiers ou l’utilise pour catégoriser l’utilisateur au-delà de la simple authentification, elle entre dans le périmètre de l’AI Act et du RGPD. Le stockage local du gabarit reste la configuration la moins exposée réglementairement.
L’authentification biométrique sur smartphone progresse sur deux axes parallèles. Le premier est technique, avec l’adoption des passkeys qui découplent le secret cryptographique du gabarit biométrique. Le second est réglementaire, avec un encadrement distinguant l’usage personnel sur l’appareil de l’exploitation centralisée à distance. La robustesse réelle du dispositif dépend moins de la technologie du capteur que de l’architecture complète : stockage local, chiffrement du canal capteur-processeur, absence de transmission du gabarit à des tiers.
