Anne Bumiller
email: anne.bumiller@inria.fr

Olivier Barais
email: olivier.barais@inria.fr

Stéphanie Challita
email: stephanie.challita@inria.fr

Benoit Combemale
email: benoit.combemale@inria.fr

Nicolas Aillery
email: nicolas.aillery@orange.com

Gael Le Lan
email: gael.lelan@orange.com

A Context-Driven Modelling Framework for Dynamic Authentication Decisions

Keywords: Authentication, Meta-Modelling, Context-Awareness

Nowadays, many mechanisms exist to perform authentication, such as text passwords and biometrics. However, reasoning about their relevance (e.g., the appropriateness for security and usability) regarding the contextual situation is challenging for authentication system designers. In this paper, we present a Context-driven Modelling Framework for dynamic Authentication decisions (COFRA), where the context information specifies the relevance of authentication mechanisms. COFRA is based on a precise metamodel that reveals framework abstractions and a set of constraints that specify their meaning. Therefore, it provides a language to determine the relevant authentication mechanisms (characterized by properties that ensure their appropriateness) in a given context. The framework supports the adaptive authentication system designers in the complex trade-off analysis between context information, risks and authentication mechanisms, according to usability, deployability, security, and privacy. We validate the proposed framework through case studies and extensive exchanges with authentication and modelling experts. We show that model instances describing real-world use cases and authentication approaches proposed in the literature can be instantiated validly according to our metamodel. This validation highlights the necessity, sufficiency, and soundness of our framework.

I. INTRODUCTION

Authentication technique weaknesses, like password-based authentication, are known [START_REF] Wiefling | Is this really you? an empirical study on risk-based authentication applied in the wild[END_REF], and service operators often implement additional authentication mechanisms to limit the restraints of the individual techniques [START_REF] Morris | Password security: A case history[END_REF], [START_REF] Weber | Weak password security: An empirical study[END_REF]. Contextually available features are used to calculate an impersonation risk score during password entry. Such risk scores are typically classified into three categories: low, medium, and high [START_REF] Daud | Adaptive authentication: Implementing random canvas fingerprinting as user attributes factor[END_REF], [START_REF] Freeman | Who are you? a statistical approach to measuring user authenticity[END_REF], [START_REF] Herley | Distinguishing attacks from legitimate authentication traffic at scale[END_REF], [START_REF] Hurkała | Architecture of context-risk-aware authentication system for web environments[END_REF], [START_REF] Molloy | Risk-based security decisions under uncertainty[END_REF]. Additional authentication mechanisms are usually required if a high-risk is detected [START_REF] Wiefling | Is this really you? an empirical study on risk-based authentication applied in the wild[END_REF]. So-called riskbased authentication approaches, aiming to strengthen security while maintaining usability by monitoring how risky a login attempt is, have the potential to provide secure authentication with good usability [START_REF] Campobasso | Impersonation-as-a-service: Characterizing the emerging criminal infrastructure for user impersonation at scale[END_REF], [START_REF] Freeman | Who are you? a statistical approach to measuring user authenticity[END_REF]. Hence, taking into account the context 1 for authentication is not a new concept. However, until 1 Defined as information that can be used to characterise an authentication attempt (e.g., IP address, device, browser). now, it is primarily used to continuously calculate risk scores, which estimate the probability of impersonation [START_REF] Freeman | Who are you? a statistical approach to measuring user authenticity[END_REF], [START_REF] Traore | Combining mouse and keystroke dynamics biometrics for risk-based authentication in web environments[END_REF]. Nonetheless, the question of which authentication mechanisms are relevant (e.g., appropriate for security and usability) in the given context is often disregarded. The relevance of an authentication mechanism can not simply be measured by a one-dimensional score because there are different types of risks behind the risk of impersonation. Also, for usability, there is no one-fit-all solution. For example, the authentication mechanism "face recognition" is not usable in the dark, and the authentication mechanism "voice recognition" is not usable in a noisy environment. According to [START_REF] Arias-Cabarcos | A survey on adaptive authentication[END_REF], "adaptive authentication allows a system to dynamically select the relevant mechanism(s) to authenticate a user depending on contextual factors, such as location, proximity to devices, and other attributes." If the selection is based only on a continuous risk score, then the selected authentication mechanism(s) may not be relevant in the context. The probability of impersonation expressed in the score can contain various risks (e.g., password theft, device theft), for which different countermeasures need to be provided. In addition, the selected authentication mechanism(s) may not be usable in a specific context. Hence, considering only the security aspect is not enough to reason about the relevance of an authentication mechanism. Also, an authentication mechanism is not relevant when it is not deployable in a context (e.g., high implementation costs, not browser compatible, the user has not registered the biometric data) or when it requests information that is too private. Scores are insufficient to select the best authentication mechanisms concerning two main points. First, the fusion of the contextually available features in a one-dimensional risk score reduces the comprehensibility and explainability of risks [START_REF] Amini | Deepauth: A framework for continuous user re-authentication in mobile apps[END_REF]. Second, context information not only influences the risk of an unexpected or suspicious login attempt but also concerns other properties of authentication mechanisms (e.g., usability) (2).

To tackle these restrictions and to support authentication system designers, this paper proposes a Context-driven Modelling Framework for dynamic Authentication decisions (COFRA). This framework is not based on calculating a risk score but on a complex and fine-grained mapping of context information to authentication mechanisms. The main objective is to abstract domain knowledge about context modelling for adaptive authentication systems gathered from the literature and experience in the industry in a modelling framework. The framework is useful to support authentication system designers to take full advantage of context information beyond a risk score. For that, context information, threat situations and risks specify the relevance of authentication mechanisms, along with four required concerns:

• Usability, which is the condition of being able to be used (e.g., the authentication mechanism is easy to understand for a user) • Deployability, which is the condition of being able to be deployed (e.g., the user's smartphone is equipped with a camera to perform face recognition, the implementation costs of the authentication mechanisms are not too high) • Security, which is the capability to protect the major system aspects along the authentication process (e.g. by minimising the likelihood of an attack) • Privacy, which is the ability to protect private context information (e.g., by avoiding the request for personal identifiable information) These concerns are in line with the seven laws of identity proposed by Kim Cameron in 2005 [START_REF] Cameron | The laws of identity, microsoft corp[END_REF], which are known as essential laws that explain the successes and failures of digital identity systems.

The remaining of this paper is organised as follows. To motivate our work, we first present some motivational scenarios in section II and the results of an expert survey in section III. The framework COFRA, its concepts and relationships are presented in section IV. In section V, we explain the implementation and the usage of COFRA. Our validation is described in section VI. In section VII, we present related works, and we conclude our work in section VIII.

II. MOTIVATIONAL SCENARIOS

In order to determine the suitable authentication mechanism for a particular context, it is crucial to represent context information with appropriate and well-designed models. The relevance of authentication mechanisms cannot simply be determined by a one-dimensional risk score, as different types of risks need to be differentiated in a model. We illustrate this in the following scenarios.

a) Scenario 1: Let us assume a legitimate user who authenticates regularly with username, password, and an One Time Password (OTP). An attacker was able to get the user credentials through a phishing attack. Using social engineering, the attacker calls the user and convinces him to give away an OTP. Then, the attacker enters the credentials and types in the OTP, getting access to the protected resource.

b) Scenario 2: Another possible scenario is a user who authenticates regularly with username, password, and pushauthentication 2 . The attacker hacked the phone, and malware ended up being installed by an attacker, giving him complete control of the user's phone. Push is not protected by a PIN or biometric. The attacker would use stolen credentials to authenticate, while monitoring the user's phone. When the push arrives, the attacker will use the control of the phone to approve the push and get access to the resource.

The two scenarios illustrate that for high-risk authentication attempts, there are different types of attacks. These differences are not considered when the context information is exclusively used to calculate a one-dimensional risk score. Therefore, there is a need for a modelling framework that enables a complex and fine-grained mapping between context information and authentication mechanisms.

The following example further illustrates the importance of taking into account context information for authenticating legitimate users in different contexts and not only denying access in the case of high-risk.

c) Scenario 3: Let us consider Bob, a German traveler in Spain. He checks his e-mails at 2:00 am in a poorly lit room. He enters the username and password correctly. His email provider can acquire contextual information: geolocation, luminosity, time, and typing speed. Bob's e-mail provider determines some threats: Bob is not located in Germany as usual, he is checking his e-mails at an unusual time, it is dark around him, and he is typing slower than usual. All these threats make the e-mail provider assume that there is a risk that an intruder who has Bob's password might try to access Bob's emails. Bob has registered facial recognition and fingerprint as authentication mechanisms. Password-based authentication can be bypassed by the intruder who has stolen Bob's password. Face recognition is not efficient to use in the dark. Bob needs to be authenticated with his fingerprint.

The three presented scenarios would all have led to a high score in a risk-score-based approach. However, we see that to properly fend off attackers and allow legitimate users access, a more fine-grained and complex mapping of contextual information and authentication methods is needed. III. EXPERT SURVEY a) Objectives: We aim to identify the needs in industry regarding adaptive authentication. Therefore, we design a survey to uncover experts' thoughts on the relationship between context information and authentication mechanisms. Our questions fall into three categories: the use of context information for authentication (1), impersonation risks and frauds (2) and desired properties of authentication mechanisms (3). The totality of the questions and anonymous answers are available on our homepage 3 .

b) The Expert Panel: The expert panel consists of eleven people working on identity management, authentication, and system security. They come from a multinational telecommunications corporation (Orange), a multinational aerospace corporation (Airbus), two European university research institutes (University of Hohenheim, Chouaïb Doukkali University El Jadida), and a medium-sized family-owned company for smart sensor and image processing technologies (Wenglor Sensoric). We targeted people aware of the opportunity to use context information for authentication. It is not possible to identify and survey this entire population. Hence, we have chosen people from our professional network. All those people are potential adaptive authentication system designers and, therefore, users of our framework. Table I shows the job titles of the experts. Professor (Chair of Information Systems) Expert 10

Master student of Big Data Analytics and Biometrics Expert 11

Team Leader IT-Infrastructure c) The Survey Procedure: In the first stage, the main idea of using context information (defined as any information that can be used to characterise an authentication attempt) for authentication was presented to the expert panel, followed by instructions on answering our online survey 4 . We invited them to contact us in the case of any questions or if they are interested in having an in-depth discussion. In the second stage, the experts answered our three question types. Three of the experts contacted us to discuss the topic further.

d) Analysis of the Responses: Most of the experts claim that context information is not sufficiently used for authentication. Nine out of eleven experts agree that context information is used for authentication, but eight of them claim that it is not sufficiently used. The two experts claiming that context information is not used mention the reason that there is a "lack of knowledge about how to use it". Hence, experts need more support to use contextual information for authentication. Furthermore, the great diversity of answers to the question of which context information is used (e.g., device, risk score, localisation, browser fingerprint) shows that needs and perceptions vary greatly. This also points to the need for more support.

Most of the experts claim that impersonation risks and frauds are not addressed during the authentication process. Seven out of eleven experts agree that no risks are addressed during the authentication process. Eight out of eleven experts are aware of these risks. The results show that the risks are a concern for the experts but they are not addressed during the authentication process. To take full advantage of risks, experts need more support. We observed a great diversity of answers to the question of which risks are considered (e.g., fraud, attack, the user is not whom he claims to be, stolen password, fast location change). Nevertheless, most of the terms can be traced back to the same risk (e.g., fraud and attack). This shows that the experts do consider risks at different levels and that 4 https://msurvey.orange.com/AA ENG notions of risks are not unified in the domain. Support for using contextual information to identify risks and distinguish between different risk types is necessary to take full advantage of risks for authentication.

Finally, ten out of eleven experts claim that not enough authentication mechanisms are used. At least five experts consider each of the properties: security (9), deployability [START_REF] Cameron | The laws of identity, microsoft corp[END_REF], usability [START_REF] En-Nasry | Towards an open framework for mobile digital identity management through strong authentication methods[END_REF], and privacy (9) essential to evaluate authentication mechanisms.

e) Results: Our survey results show that the experts need support to take full advantage of context information for authentication. We show that the experts are interested in using contextual information and do not yet make sufficient use of it. Taking into account risks for authentication decisions also interests the experts, and they find that this is not yet being done sufficiently. The evaluation of authentication mechanisms regarding the context and along with the properties security, usability, deployability, and privacy is considered necessary by the experts. Our framework helps adaptive authentication practitioners to determine the relevant authentication mechanisms characterized by properties using the available context information and according to identified risks. The results of our expert survey point out its usefulness.

IV. COFRA

The COFRA framework has been generated based on knowledge obtained through a literature review, together with the experience from industry experts gathered through extensive exchanges with authentication, security, and identity experts. First framework proposals have been discussed with experts and confronted with use cases. Then, we modified the initial proposals within an iterative feedback loop before proposing our final framework, detailed in the following section.

The structure of COFRA is represented in Figure 1 5 and captures the core domain concepts and relationships. We created the abstract syntax as an Ecore model. We use sufficient generalization (inheritance) to group common elements from different classes sharing abstract definitions. Considering the difficulty of expressing some information in a diagrammatic way, we specify 15 textual constraints in Object Constraint Language (OCL) to restrict the scope of some defined concepts. In [START_REF] Cherfa | On investigating metamodel inaccurate structures[END_REF], the authors investigate metamodel inaccurate structures that are often completed with OCL constraints. Based on their analysis, we assume having sufficient constraints to avoid such inaccuracies. In that way, the metamodel covers the intended domain while providing a good balance between the syntactical and static semantic parts. The defined constraints restrict how the structural elements can be instantiated and assembled to form a valid model with respect to the domain semantics.

A. Concepts and Relationships

Figure 1 shows the main concepts of COFRA in an Ecorebased metamodel. A CONTEXTINFORMATION defines any context information that can be used for adaptive authentication, e.g., the geolocation of an entity. CONTEXTINFORMATION can be either REQUIREDCONTEXTINFORMATION that represents any context information required in the authentication system, or AVAILABLECONTEXTINFORMATION that represents any context information actually available in the authentication system. Available and required context information are aligned as soon as the required information is available and the formats of the available and required information match (the attribute values of the available information must match those of the required information). The question of availability also arises when users use both mobile and static devices, as is common today. Context information acquirement with mobile devices (e.g., smartphones) is often easier (more integrated sensors) than with non-mobile devices. Anyway, non-mobile devices must not be neglected, and therefore, the question of availability must be considered. The context of a CONTEXTINFOR-MATION instance uniquely describes the context information (e.g., "geolocation"), and the history describes whether the history of the context information is available or required, for AVAILABLECONTEXTINFORMATION or REQUIREDCONTEX-TINFORMATION respectively. For example, the history of the context information "geolocation" is required to detect derivations from geolocation patterns. The privacy attribute describes the context information privacy-sensitivity (e.g., "luminosity" is not privacy sensitive while the user's "geolocation" is). The environment (e.g., darkness, noise, activity, surrounded) describes the environmental circumstances influenced by the context information. For example, the "luminosity" influences the "darkness" circumstance. Finally, the frequency describes the frequency at which the context information is available. For example, to determine fast location changes of users, which are suspicious, the "geolocation" needs to be used at a high frequency. A set of values for EnvironmentKinds, PrivacyKinds and FrequencyKinds are provided within a standard library included in the modeling framework (see Section subsection IV-C).

A REQUIREDCONTEXTINFORMATION is related to a CON-TEXTTHREATALGO that determines threats from the context information, i.e., defines any algorithm that can be used to determine THREATSITUATIONs from required context informa-tion (e.g., an anomaly detection algorithm determining derivations from a user's usual "geolocation"). The threat describes uniquely the threat (e.g., "newLocation").

A THREATSITUATION is related to a THREATRISKALGO that characterises RISKs from THREATSITUATIONs. For example, the risk of a stolen password can be characterised by a derivation of a user's habits regarding the geolocation, because it may be an intruder who is using the legitimate user's password from another geolocation. The algo describes uniquely the actual algorithm (e.g., "StolenPWCharacterization"). Any RISK is characterized by the fearedEvent (e.g., "StolenPW") and the factors (i.e., a list of possible secrets owned by the intruder (e.g., knowledge)).

Finally, any RISK is related to AUTHENTICATIONMECH-ANISM(s) (e.g., "username password") describing which authentication mechanisms can be applied to provide countermeasures against the risk. The mechanism describes uniquely the mechanism (e.g., "username password"). The usability is a list of usability benefits (e.g., nothing to carry, memory-wise effortless), and the deployability is a list of deployability benefits (e.g., negligible costs per user, browser compatible). The factor describes the credential exchanged between the entity to be authenticated and the authenticating entity used by the authentication mechanism (e.g., knowledge, possession, being). The efficiencyToUse describes the environmental circumstances in which the authentication mechanism is efficient to use (e.g., darkness, noise, activity, surrounded). The privacy describes the privacy level of the authentication mechanism. A set of values for FactorKinds, UsabilityKinds and DeployabilityKinds are provided within a standard library included in the modeling framework (see Section subsection IV-C).

B. Required Concerns on Authentication Mechanisms

With the help of our framework, the relevance of authentication mechanisms can be evaluated according to multicriteria optimizations of four required concerns as identified in our literature review and expert interviews: security, usability, deployability and privacy. In many works, the security evaluation of authentication mechanisms is based on their resilience against different attack types [9], [START_REF] Velásquez | Kontun: A framework for recommendation of authentication schemes and methods[END_REF], [START_REF] Wang | The request for better measurement: A comparative evaluation of two-factor authentication schemes[END_REF]. Our framework focuses on the resilience against risks behind the attacks (e.g., the risk of stolen memorial credentials behind a credential leak attack). We assume a mechanism to be resilient when an attacker does not own the authentication factor that the authentication mechanism is based on. We take into account desirable usability benefits of authentication mechanisms that are put forward in the literature to date (see subsection IV-C). The authentication mechanism class owns the attribute usability which describes the usability of the mechanism. We take into account desirable deployability benefits of authentication mechanisms that are put forward in the literature to date (see subsection IV-C). The authentication mechanism class owns the attribute deployability which describes deployability benefits. Privacy challenges regarding authentication are discussed in the literature to date [START_REF] Wang | The request for better measurement: A comparative evaluation of two-factor authentication schemes[END_REF], [START_REF] Wiefling | Privacy considerations for riskbased authentication systems[END_REF]. The context information class and the authentication mechanism class own the attribute privacy which describes the privacy level of the context information or the authentication mechanism, respectively.

C. A Standard Library for COFRA

Associated with the metamodel, we deliver a standard library. We built the library based on reviewed scientific literature ( [3], [START_REF] Doerfler | Evaluating login challenges as adefense against account takeover[END_REF], [START_REF] Velásquez | Kontun: A framework for recommendation of authentication schemes and methods[END_REF], [START_REF] Wang | The request for better measurement: A comparative evaluation of two-factor authentication schemes[END_REF], [START_REF] Wiefling | More than just good passwords? a study on usability and security perceptions of risk-based authentication[END_REF]), as well as interviews with domain experts. The goal is to obtain a thorough overview of existing authentication credentials (FactorKinds), as well as usability (UsabilityKinds) and deployability (DeployabilityKinds) benefits of authentication mechanisms. For the privacy levels (PrivacyKinds) and the frequency at which context information is required or available (FrequencyKinds), our standard library provides a possible abstraction of the reality. Our standard library consists of the following lists of common values: The standard library is extendable so that an authentication system designer can adapt the metamodel to its specific needs. The privacy and frequency enumerations simplify the reality by using three levels. An authentication system designer can extend them (e.g., to have more than three privacy levels, to use numeric values for the frequency). The authentication system designer can also add or remove usability and deployability benefits from the standard library. Within the standard library, we also introduce a set of template fragments for some literature authentication mechanisms to facilitate their reuse.

D. Structural Constraints Over the Metamodel

In this section, we present two examples of the 15 OCL invariants that we used to complete our metamodel's structure. In this way we ensure that we address the required concerns of security, usability, deployability, and privacy. The totality of all OCL invariants is available on the companion webpage 3 .

a) Invariant 1: This invariant concerns the usability property. When context information impacts the environmental circumstances, the authentication mechanisms applied to provide countermeasures against risks that are characterised by this context information need to be efficient to use within the environmental circumstances. For example, when context information impacts the luminosity in a room so that it is dark around the user, we can not use the authentication mechanism "face recognition". In times of pandemic, a relevant example of the need to use contextual information to determine the efficiency of authentication mechanisms in environmental circumstances is the non-efficiency of face recognition when face masks are worn. The OCL invariant EnvironmentCheck ensures the efficiency of authentication mechanisms within the environmental circumstances. b) Invariant 2: This invariant concerns the security property. The risks are characterised by the authentication factors that the intruders are in possession of. Authentication mechanisms applied to provide countermeasures against the risks must not be based on the factors that the intruder is in possession of. For example, in the case of a stolen password, the intruder owns the "knowledge" factor, and the authentication mechanism "password" based on the "knowledge" factor must not be used. The OCL invariant FactorCheck makes sure that the intruder does not own an authentication mechanism's factor.

class Risk invariant FactorCheck: self.authenticationmechanism.factor ->excludesAll(self.factor));

V. FRAMEWORK IMPLEMENTATION AND USAGE

In this section, we describe how COFRA is implemented and how it can be used by adaptive authentication designers.

A. Framework Implementation

Our precise metamodel to reason about the relevance of authentication mechanisms regarding context information is based on the de-facto standard Model Driven Engineering (MDE) framework Eclipse Modelling Framework (EMF). As illustrated in Figure 1, for the structural part, we use the Ecore language, which provides structural modeling capabilities similar to the Unified Modeling Language (UML) class diagram. We have chosen the Eclipse Modelling Framework (EMF) as this is the leading metamodelling framework, offering several metamodelling technologies such as Ecore to encode the structure of metamodels, and Object Constraint Language (OCL) to encode the static semantics of metamodels. We benefit from the EMF ecosystem to provide an integrated nocode environment on top of our modeling framework.

B. Framework Usage

The framework supports the adaptive authentication system designer in the complex trade-off analysis between context information, risks, and authentication mechanisms, according to usability, deployability, security, and privacy. This enables the use of context information for authentication decisions not only to calculate a risk score but to reason about the relevance of authentication mechanisms according to the contextual situation and identified risks. In Figure 2 we show the main functionality of COFRA in contrast to score-based approaches (e.g., [START_REF] Wiefling | Is this really you? an empirical study on risk-based authentication applied in the wild[END_REF]). Instead of using the context information to calculate a risk score and to choose the authentication mechanism based only on this score, COFRA enables a more complex mapping of context information to authentication mechanisms with the help of multiple threat situations and risks. The final goal is to obtain a context-aware authentication system design model: which context information to use, which threat situations to determine, which risks to identify, and which authentication methods to use.

VI. FRAMEWORK EVALUATION -CASE STUDIES

this section, we present the evaluation of our approach. We illustrate how the proposed framework can be used for context modelling of various authentication applications. For each application, we create a dynamic modelling instance of our metamodel and run a OCL validation. The totality of the created model instances is available on the companion webpage 3 . The experimental protocol consists of selecting hypothetical cases, cases from the literature, and real-world cases to validate our framework. We show that the amount of abstraction covers all domain concepts (sufficiency) without specifying unnecessary, too many details (necessity). We prove that our approach can handle all the cases and allows us to present them in a clear manner (soundness). Finally, we demonstrate that our approach can design, validate and deploy the adaptive authentication system design for all the chosen cases.

A. Experimental Setup

The goal of the COFRA framework is to provide constructs for authentication system designers to reason about authentication mechanisms according to the context. To validate the relevance of the abstraction provided, we propose to discuss 1) The domain concepts coverage of our framework's abstraction (sufficiency) 2) The amount of details required to specify most contexts (necessity) 3) The framework's ability to correctly handle concrete example cases and to present them in a clear manner (soundness) We selected hypothetical cases, cases from the literature, and real-world cases to support the discussion.

B. Results

We present the results of our experimentation to validate a) the sufficiency, b) the necessity, and c) the soundness of our framework.

a) Sufficiency: To highlight the sufficiency of our framework, we create model instances of existing context modelling approaches for context-aware authentication proposed in the literature from the last ten years. We searched for relevant approaches based on a search clause consisting of a conjunction of the term "authentication system", "context modelling" and a disjunction of terms expressing the adaptation capability of the authentication system for conducting a systematic literature review 6 . We classified the identified works into five different types of authentication approaches for which the context is modelled (biometric recognition methods (e.g., [START_REF] Saedi | Characterization of palmprint using discrete orthonormal s-transform[END_REF]), approaches for mobile devices (e.g., [START_REF] Miraoui | A context-aware authentication approach for smartphones[END_REF]), behaviour based authentication (e.g., [START_REF] Lima | A context-aware recommendation system to behavioral based authentication in mobile and pervasive environments[END_REF]), approaches for ubiquitous services (e.g., [START_REF] Gh | A security approach to build a trustworthy ubiquitous learning system[END_REF]), approaches for digital identity management (e.g., [START_REF] En-Nasry | Towards an open framework for mobile digital identity management through strong authentication methods[END_REF])). For each category, we modelled at least one approach and successfully built the model conforming to COFRA. We can abstract all the notions of the approaches within the classes of our metamodel. We model our motivational example introduced in section II (Bob -The Traveler), a second hypothetical case (paragraph VI-B0b) and a real-world adaptive authentication application (paragraph VI-B0c). Also, for these cases, all the notions can be abstracted within our metamodel's classes, highlighting our model's sufficiency.

b) Necessity: To model the cases from the literature (paragraph VI-B0a), we make use of all the meta-classes and all our OCL constraints for at least one of the model instances. We prove that we do not specify unnecessary, too complex details in our metamodel. The model instance of our motivational example introduced in section II consists of four CONTEXTINFORMATION instances, four CONTEXT-THREATALGO instances, four THREATSITUATION instances, one THREATRISKALGO instance, one RISK instance and three AUTHENTICATIONMECHANISM instances. We make use of all our metamodel's classes and all OCL constraints to create this model instance. This also highlights necessity of our approach. We also model a real-world application described in paragraph VI-B0c, which consists of three CONTEXTIN-FORMATION instances, five instances of the class CONTEXT-THREATALGO, five THREATSITUATION instances, three instances of the class THREATRISKALGO, three RISK instances, and four AUTHENTICATIONMECHANISM instances. To model this real-world application, we use all our metamodel's classes. c) Soundness: We aim to conduct a case study based on a hypothetical application whose contextual situation considers a standard case in contrast to our motivational example introduced in section II whose contextual situation considers an extreme case (i.e., many derivations from the user's patterns). Therefore, we take the example of Alice, an employee who accesses her e-mails on a Monday at 09:03 AM as usual. She is in her usual workplace, and she is using her device. Her e-mail provider can acquire contextual information: IP address, user agent, and time, and determines that there is no threat concerning these features. This makes the e-mail provider assume that there is no risk. Therefore, the authentication can be done with any method from a security point of view. We can choose the method which is the easiest to use for Alice or even just grant access without asking for any authentication. We can successfully create a model instance of this hypothetical case. This shows soundness of our metamodel in the presence of standard and extreme features. To prove the soundness of our framework in real-world applications, we analyse a company's project towards user notifications. The project's origins come from the need to notify the user in the case of changes in the device or the country. The notifications are created based on successful authentication events containing the CONTEXTINFORMATION date (time), the IP address (country), and the user agent (device). Based on this information, indicators that the user needs to be notified (new IP address, new location, new device, fast location change, and robot suspected) are calculated. The indicators can be classified according to three RISKs: stolen memorial credentials, stolen devices, and robots. We can successfully model the project conform to our metamodel, which shows soundness of our metamodel in presence of real-world cases.

Through the conducted case studies, we show that the amount of complexity allows covering all domain concepts (sufficiency) without specifying unnecessary, too complex details (necessity). Also, we show soundness of our model for standard and extreme cases as well as for real-world applications.

VII. RELATED WORK

In the current state of the art, as stated in the introduction, we observe a trend of separating the risk analysis from the actual authentication decision. Typically risk engines determine risk levels, which are sent to an authentication engine without using information about the risk to make authentication decisions. Several modeling techniques have been introduced in the past decades for supporting such an approach [START_REF] Calvo | A model for risk-based adaptive security controls[END_REF], [START_REF] Sepczuk | A new risk-based authentication management model oriented on user's experience[END_REF].

Instead, we demonstrate in this paper the need for managing complex mappings between the contextual information and the possible authentication mechanisms, according to identified threads and related risks. DeepAuth is an example of a generic framework with mappings for re-authenticating users in a mobile app [START_REF] Amini | Deepauth: A framework for continuous user re-authentication in mobile apps[END_REF].

For supporting domain experts in the definition of such complex mappings, we introduce in this paper a dedicated framework and discuss the benefits of using modeling techniques. While model-driven engineering have been widely considered for authentication configuration [START_REF] Satoh | Adding authentication to model driven security[END_REF], this is from the best of our knowledge the first modeling framework dedicated to dynamic authentication decisions, introducing key abstractions (e.g., Threat, Risk) and an associated approach.

VIII. CONCLUSION AND FUTURE WORK

This article aims to cover an existing gap in the literature: the lack of a method for reasoning about the relevance of authentication mechanisms according to the context and four desired properties of the mechanisms: security, usability, deployability, and privacy. We propose a modelling framework to realize this, which covers the shortcomings of existing works based on risk scores. Both the knowledge from literature and the experience from industry were gathered through this work to learn the needs of both sides and obtain an added value to the proposals given by this article. The model's validity in terms of sufficiency, necessity, and soundness is ascertained through three case studies. Our main contribution is creating a precise modelling framework based on the academy and the industry, which allows authentication system designers to use context information efficiently for authentication. Several tasks can be performed as future work of our research. To show the usability of our framework, we plan an evaluation by experts using the framework. Therefore, we are currently working on a fully functional recommendation tool. Some of the framework's abstractions (e.g., the privacy levels) can be developed in greater detail. It would also be interesting to introduce a quantification of the properties security usability, privacy and deployability, enabling the authentication system designers to meet their needs and find their trade-offs between the properties. Future work will also include the development of the concrete syntax to enable user-friendly modelling for the designers. We are also planning to further develop our homepage so that the use of COFRA is explained with the help of tutorials and sample scenarios.For the users of our framework, it can be of interest not only to get a context information model but that the framework provides them with the implementation of their adaptive authentication system design. Also, the context information acquirement needs further investigation.

Fig. 1 .

 1 Fig. 1. Ecore Diagram of the COFRA Metamodel

Fig. 2 .

 2 Fig. 2. Illustration of our COFRA Framework in Contrast to Score-Based Risk Based Authentication (RBA) Approaches

A mobile-centric authentication mechanism whereby the service provider sends the user a notification and the user responds to the challenge by performing an action (e.g.,"OK" button)

Cf. https://github.com/BumillerAnne/CoFrA

For visibility reasons we do not show the root class MODELLINGFRAME-WORK

The publication process of our Systematic Literature Review on Understanding Context Modelling for Adaptive Authentication Systems is ongoing.


Jean-Marie Berthelot

Séméiologie clinique de la hanche stricto-sensu (coxo-fémorale) Physical examination of the hip (coxo-femoral joint)

Keywords: Hanche, coxo-fémoral, aine, trochanter Hip, coxo-femoral, groin, trochanter

Désormais, beaucoup de jeunes médecins sur-estiment la fiabilité de l'imagerie tout en sousestimant celle de la clinique pour faire un diagnostic positif d'une souffrance de la coxofémorale. Il existe pourtant de nombreux faux négatifs de l'imagerie (en particulier pour les souffrances chondrales débutantes et les lésions du labrum). Par ailleurs et surtout, les performances de l'examen clinique ont été sous-estimées par le passé du fait de l'évaluation isolée de chaque test clinique (dont aucun n'a à lui seul une forte valeur prédictive positive ou négative). En fait, un interrogatoire méthodique, et la combinaison d'un nombre important de tests cliniques rendent l'examen clinique plus fiable, et rendent compte du rôle central du rhumatologue dans l'établissement du diagnostic positif voire étiologique des coxopathies. Cette mise au point (illustrée par 24 images et 20 vidéos) reprend les principaux signes à rechercher et manoeuvres à réaliser, dont certaines n'ont été décrites que récemment, pour diagnostiquer une souffrance de la coxo-fémorale.

Ce chapitre traite de la séméiologie clinique de la hanche 'stricto-sensu' (articulation coxofémorale entourée de sa capsule et de ses ligaments, et contenant le bourrelet cotyloïdien et le ligament rond). Les connaissances à ce sujet doivent beaucoup au Professeur Michel Lequesne, qui avait transmis ses principaux messages dans un article d'une précédente monographie, dont le présent ne pourrait être qu'un complément [START_REF] Lequesne | Sémiologie clinique de la hanche et florilège d'erreurs en coxologie[END_REF].

Les diagnostics différentiels à évoquer sont listés dans l'Encadré 1, un exemple d'algorithme d'interrogatoire est proposé dans l'Encadré 2, et la liste des signes ou principales manoeuvres d'inspection ou d'interrogatoire, avec leur description, est reprise dans l'Encadré 3.

Les souffrances de la coxo-fémorale peuvent être en lien avec (plusieurs causes pouvant s'additionner) : une lésion du bourrelet, parfois favorisée par un conflit fémoro-acétabulaire (effet pince et/ou effet came) ; un kyste mucoïde développé à partir de la capsule ; une rétraction capsulaire ; des lésions cartilagineuses avec modifications secondaires de l'os souschondral ou migration d'(ostéo)-chondromes dans l'articulation ; des pathologies osseuses (ostéonécroses, fissures de fatigue, algodystrophies) ; des déchirures du ligament rond ou d'autres sources de micro-instabilité ; une synovite [START_REF] Battaglia | Posterior, Lateral, and Anterior Hip Pain Due to Musculoskeletal Origin: A Narrative Literature Review of History, Physical Examination, and Diagnostic Imaging[END_REF].

Ceci explique pourquoi, même si une clinique poussée peut assurer l'origine coxo-fémorale d'une douleur dans plus de 95 % des cas, des examens complémentaires sont souvent indispensables pour préciser la nature de la lésion au sein de la hanche [START_REF] Byrd | Diagnostic accuracy of clinical assessment, MRI, gadolinium MRI and intraarticular injection in hip arthroscopy patients[END_REF][START_REF] Byrd | Evaluation of the hip: history and physical examination[END_REF].

Ceci est d'autant plus le cas qu'une sommation de causes aux douleurs est fréquente, et que ces douleurs de hanche 'stricto-sensu' peuvent coexister avec des diagnostics différentiels pouvant aussi engendrer des douleurs inguinales ou trochantériennes. Il est par exemple fréquent que des lésions de hanche 'stricto-sensu' induisent des postures antalgiques réflexes, lesquelles retardent l'apparition des symptômes en provenance de l'articulation, mais peuvent entraîner des douleurs des tendons pelvi-trochantériens. La hanche 'stricto-sensu' doit donc être aussi finement examinée, même si un diagnostic différentiel, comme une 'tendinite du moyen glutéal', parait de prime abord plausible.

Il ne faut pas pour autant idolâtrer l'imagerie qui pourrait au final être moins performante que la clinique, du fait de la fréquence des faux négatifs, comme des faux positifs, ou du manque de spécificité des anomalies. Par exemple, dans une étude chez 45 volontaires sains, 69 % d'entre eux présentaient des déchirures du labrum en IRM [START_REF] Register | Prevalence of abnormal hip findings in asymptomatic participants: a prospective, blinded study[END_REF], sans s'en plaindre.

Inversement, dans une autre étude avec douleurs de hanche par déchirure du bourrelet, les lésions de celui-ci avaient été méconnues ou sous-estimées par l'IRM dans 70 % des cas [START_REF] Czerny | Lesions of the acetabular labrum: accuracy of MR imaging and MR arthrography in detection and staging[END_REF].

La clinique, même si elle ne fait pas tout l'alphabet de la sémiologie de la hanche, devrait donc rester l'Alpha et l'Omega en présence d'une douleur de hanche. La douleur coxo-fémorale prédomine dans la région inguinale dans 55 % des cas, puis dans la cuisse dans 57 % des cas, pouvant aller jusqu'au genou dans 22 % des cas [START_REF] Lesher | Hip joint pain referral patterns: a descriptive study[END_REF] (Figure 3). Ceci s'explique bien par le fait que la hanche est innervée par des fibres nerveuses remontant vers la moelle épinière surtout par la racine L3 (même si les racines de L2 à S1 y participent), des douleurs référées dans d'autres territoires de L3 pouvant survenir.

I-

Même si la douleur peut parfois prédominer de manière trompeuse au genou, l'absence de toute douleur inguinale, y compris à la mobilisation répétée de la hanche, rend l'origine coxofémorale de la douleur peu plausible (valeur prédictive négative de 96 à 100 %) [START_REF] Keeney | Magnetic resonance arthrography versus arthroscopy in the evaluation of articular hip pathology[END_REF].

Les douleurs trochantériennes peuvent parfois être au premier plan (Figure 4), et faire évoquer d'abord une souffrance des tendons ou bourses trochantériennes. La distinction entre douleurs de hanche et souffrance du gluteus minimus est en particulier délicate, car ce muscle-tendon s'accole à la face externe de la capsule à laquelle il envoie une extension (Figure 5), si bien qu'une rupture partielle du gluteus minimus peut tendre la capsule et simuler une souffrance de coxo-fémorale. Dans notre expérience, une lésion du gluteus minimus doit surtout être suspectée quand les douleurs sont reproduites par la dérotation interne contrariée, auquel cas il faut aller palper la partie la plus antérieure du grand trochanter pour rechercher une douleur à l'insertion du gluteus minimus, soit l'inverse de la manoeuvre de dérotation externe contrariée qui sert à mettre en évidence une souffrance du moyen glutéal (Vidéo 1).

Il est bien plus rare qu'une douleur fessière isolée révèle une douleur de hanche. Par contre, les projections fessières des douleurs de hanche ne seraient pas si exceptionnelles qu'il n'est classique de le dire, puisque notées dans 20 % [START_REF] Prather | Early intra-articular hip disease presenting with posterior pelvic and groin pain[END_REF] à 50 % des cas [START_REF] Lesher | Hip joint pain referral patterns: a descriptive study[END_REF], la proportion de ces douleurs fessières d'origine coxo-fémorales doublant à l'effort [START_REF] Sakamoto | Investigation and macroscopic anatomical study of referred pain in patients with hip disease[END_REF].

I-3 : Symptômes autres que la douleur

Il ne faut pas omettre de questionner à la recherche de symptômes autres que la douleur (blocages, accrochages, sensations d'instabilité) [START_REF] Battaglia | Posterior, Lateral, and Anterior Hip Pain Due to Musculoskeletal Origin: A Narrative Literature Review of History, Physical Examination, and Diagnostic Imaging[END_REF].

En cas de lésion du bourrelet, de corps étranger intra-articulaires, ou de lésions du ligament rond, l'incarcération de ces éléments entre le cartilage fémoral et acétabulaire peut induire des blocages ('locking') plus ou moins durables de la coxo-fémorale, dont la résolution oblige parfois les patients à se contorsionner dans des postures inusuelles.

Certains patients décrivent plutôt des sensations d'accrochage ('catching') intra-articulaires, qui peuvent résulter des mêmes causes, mais aussi d'irrégularités des surfaces articulaires, en particulier en cas d'ostéophytes sous-chondraux. D'autres décrivent des sensations d'instabilités, ou de dérobements passagers (pathologies du bourrelet et/ou intra-articulaires).

Les ressauts à tonalités graves ('clunk'), sonores ('pop'), ou aiguës ('click'), évoquent plus une origine extra-articulaire (en dedans, accrochage du psoas sur la ligne ilio-pectinée, plus que sur le petit trochanter ; en dehors accrochage de la bandelette de Maissiat (tractus ilio-tibial) sur le grand trochanter ; en arrière rare accrochage de l'insertion du biceps fémoral sur l'ischion). I-4 : Circonstances de survenue D'autres signes retrouvés à l'interrogatoire peuvent aussi orienter vers une souffrance de hanche : majoration des douleurs lors des torsions du bassin ou des changements brusques de direction à la marche ; inconfort ou douleur en position assise trop basse, en particulier s'il faut croiser les genoux (et donc fléchir la cuisse sur le bassin) ; difficultés à sortir d'un canapé avec alors impression de blocage inguinal ; difficultés à monter ou descendre les escaliers, du fait d'une insécurité globale lors des mouvements de flexion avec rotation, qui peut rendre aussi précautionneuse la montée ou la sortie d'une automobile ; peine à mettre des chaussettes et chaussures ; limitation lors des activités sexuelles du fait de l'enraidissement des coxo-fémorales et/ou de la survenue de douleurs lors des torsions de hanche/bassin.

II-Inspection

Toutes pathologies confondues, l'interrogatoire contribue pour 60 % à 90 % du diagnostic en médecine, versus 30 % au plus pour l'examen clinique [START_REF] Peterson | Contributions of the history, physical examination, and laboratory investigation in making medical diagnoses[END_REF]. Pour la hanche, l'examen clinique reste toutefois essentiel, et doit débuter par l'inspection puis les manoeuvres les moins traumatisantes (surtout en cas de doutes quant à une fracture), et les moins à même de réveiller des douleurs d'autre origine (dont rachidienne), car l'intensité des douleurs peut ensuite empêcher de poursuivre l'examen, ou fausser celui-ci du fait de la contracture réflexe des muscles de la région.

II-1 : Attitudes vicieuses a-En position debout

Il s'agit le plus souvent d'un discret flexum de hanche (associé à un flexum du genou)(Figure 6), qui peut être d'autant plus méconnu quand il est bilatéral et symétrique, et que les patients compensent la bascule vers l'avant du bassin induite par ce flexum par une hyperlordose en position debout, laquelle leur permet de rester 'droits'.

Cette hyperlordose peut alors générer un excès de contraintes sur les facettes, et un rétrécissement du volume du foramen, surtout si le flexum ne concerne qu'une hanche (Figure 7). Ceci peut réveiller des lombalgies, voire des radiculalgies de topographie L5, mais aussi L4, voire L3. La contribution du flexum de hanche peut alors être méconnue, et diverses interventions sur le rachis évoquées ou réalisées, sans que le point de départ coxo-fémoral du trouble soit toujours repéré, en particulier quand l'enraidissement en flexum de la hanche résulte d'une coxarthrose postérieure. En effet, les coxarthroses postérieures ne se voient souvent pas sur un cliché de face, ou les scanners-IRM, et leur diagnostic requiert en général la pratique de clichés de hanche en faux-profils (Figure 8) qui ne sont plus aussi bien connus de certains médecins/chirurgiens, voire radiologues.

Les autres attitudes 'vicieuses' sont les rotations externes de cuisse, traduisant une rétroversion de hanche pouvant générer un strabisme divergent des rotules (Figure 9) (qui peut résulter d'autres mécanismes), ou à l'inverse une rotation interne de cuisse, traduisant une antéversion de hanche, et pouvant générer un strabisme convergent des rotules (Figure 10). Ceci peut s'apprécier plus finement en position de procubitus, par le test de Craig (Vidéo

III-Palpation

La palpation est parfois omise à tort, entre autres car la réalisation des diverses manoeuvres prend déjà du temps. Pourtant, si le réveil de la douleur par la palpation du creux inguinal n'est pas pathognomonique d'une origine coxo-fémorale (le nerf fémoral passe au-devant de l'articulation, juste en dehors de l'artère, de même, plus en dedans, que le muscle psoas), la palpation peut être le meilleur moyen de repérer l'implication d'autres structures proches à l'origine de la douleur inguinale : ceci est en particulier le cas du pubis, et des branches iliopubiennes, mais aussi ischio-pubiennes.

IV-Manoeuvres

La plupart de ces manoeuvres n'ont individuellement qu'une sensibilité et spécificité très imparfaite. Par contre leur sommation bonifie à la fois la sensibilité et la spécificité de l'examen clinique, a fortiori quand les tests cliniques ensuite réalisés pour éliminer les diagnostics différentiels restent négatifs. Même s'il n'est pas possible de mobiliser la coxo-fémorale sans solliciter aussi les tendons (avec leurs bourses), ainsi que les ligaments et muscles de voisinage, le but des manoeuvres est de faire bouger ou de mettre en compression/traction la coxo-fémorale ou certaines de ses structures, aussi sélectivement que possible, en mobilisant ou mettant en tension le moins possible les sacro-iliaques et le rachis.

L'ensemble de ces manoeuvres ou signes sont listés ou décrits dans l'Encadré 3, et seules certaines, consacrées aux diverses étiologies de souffrance coxo-fémorale stricto-sensu, seront plus commentées ci-dessous.

IV-1 : Manoeuvres permettant le plus de différencier une coxopathie des douleurs inguinales d'origine rachidienne.

Une boiterie d'esquive, une douleur à type de coup de poignard prédominant dans le creux inguinal, et un enraidissement de la rotation interne de la hanche du fait de la douleur sont les signes permettant le mieux de différencier une origine coxo-fémorale d'une douleur inguinale d'origine rachidienne ou radiculaire [START_REF] Brown | Differential diagnosis of hip disease versus spine disease[END_REF]. Le réveil de la douleur dès le roulé de hanche (Vidéo 3), et lors du salut coxal (Vidéo 4) (qui peut être sensibilisé par une résistance : Vidéo 5), ainsi que le soulagement des douleurs par la traction sur le membre (Vidéo 6) sont également très en faveur d'une souffrance de la hanche, et non du rachis. Des manoeuvres de 'piston' dans l'axe du fémur peuvent aussi réveiller plus des douleurs de hanche que du rachis (Vidéo 7), de même que des mouvements de circumduction doux mais répétés (Vidéo 8). On peut y rajouter l'absence de signe de Léri, qui est souvent mal décrit, et ne doit pas comporter d'extension de hanche (Vidéo 9). On peut enfin, si le patient le peut, lui demander de se mettre en position accroupie (Figure 13), de rester debout sur une jambe, et tester aussi le psoas contre résistance (Figure 14). IV-2 : Signes évocateurs d'une coxarthrose.

Même si de nombreuses manoeuvres peuvent réveiller la douleur de hanche en cas de coxarthrose, les signes les plus spécifiques, en l'absence de déchirure du gluteus medius seraient le signe de Trendelenburg (Figure 12), suivi du réveil de la douleur par l'abduction de hanche contrariée (Figures 15 et 16), ou par la flexion-abduction-rotation externe (Figure 17) [START_REF] Reiman | Diagnostic accuracy of clinical tests of the hip: a systematic review with meta-analysis[END_REF][START_REF] Reiman | Physical examination tests for hip dysfunction and injury[END_REF]. Le signe de Thomas (Vidéo 10) serait aussi souvent positif [START_REF] Reiman | Diagnostic accuracy of clinical tests of the hip: a systematic review with meta-analysis[END_REF][START_REF] Reiman | Physical examination tests for hip dysfunction and injury[END_REF] [START_REF] Pacheco-Carrillo | Physical examination tests for the diagnosis of femoroacetabular impingement. A systematic review[END_REF]. La manoeuvre de Thomas (Vidéo 10) aurait une aussi bonne sensibilité, et une bonne spécificité (92 %) en l'absence de coxarthrose déjà existante [START_REF] Reiman | Diagnostic accuracy of clinical tests of the hip: a systematic review with meta-analysis[END_REF][START_REF] Reiman | Physical examination tests for hip dysfunction and injury[END_REF]. Le test de Scour (Vidéo 13), proposé pour cette situation (mouvements de 'moulin à café' en pressant dans l'axe du fémur), reste à valider, mais sa spécificité serait bien moins bonne que sa sensibilité [START_REF] Pacheco-Carrillo | Physical examination tests for the diagnosis of femoroacetabular impingement. A systematic review[END_REF]. Le ligament rond sert surtout à stabiliser la hanche en position accroupie. La clinique est atypique, avec souvent sensations d'accrochages et d'instabilité [START_REF] Kraeutler | Ligamentum teres tendinopathy and tears[END_REF]. Une douleur survenant électivement en position accroupie (Figure 13) du fait d'une micro-instabilité (qui résulte souvent d'une somme de causes [START_REF] Dangin | Microinstability of the hip: A review[END_REF]) doit faire évoquer ce diagnostic, difficile à affirmer avant l'arthroscopie, du fait des faux négatifs de l'imagerie. Un test clinique a été décrit [START_REF] O'donnell | A novel and simple classification for ligamentum teres pathology based on joint hypermobility[END_REF] pour rechercher plus spécifiquement l'implication de ce ligament dans certaines douleurs de hanche (Encadré 3), mais sa valeur reste à apprécier.

V-Tests anesthésiques

En cas de doute persistant, un test à la xylocaïne adrénalinée (voire un autre anesthésique de plus longue durée d'action, mais dont les risques cardio-vasculaires sont plus élevés et nécessitent d'éviter encore plus toute injection intra-vasculaire) peut être réalisé en intraarticulaire. Ces gestes se font au mieux avec guidage du geste sous échographie ou sous scopie, le test pouvant beaucoup aider à conforter l'impression d'une origine coxo-fémorale à la douleur, mais en soulignant deux pièges : 1-celui des faux positifs liés au fait que le produit anesthésique peut refluer en suivant le chemin de l'aiguille vers le nerf fémoral, surtout quand l'injection est faite près du nerf (une injection par voie latérale pourrait alors être préférable) ; 2-celui des faux négatifs, quand la douleur provient de l'os sous-chondral (kyste, fissure avec oedème) et que ces zones de l'os sous-chondrales ne communiquent pas avec le liquide synovial.

Annexe A. Matériel complémentaire Du matériel complémentaire (vidéos 1-20) accompagnant cet article est disponible sur … Encadré 1 : Principaux diagnostics différentiels des souffrances coxo-fémorales

Les bursites de voisinage (bursite du psoas, de l'obturateur externe, péri-trochantériennes), les deux premières pouvant parfois communiquer avec la coxo-fémorale Des kystes mucoïdes, dont certains peuvent migrer vers la hanche à partir de structures parfois éloignées (muscles obturateurs) Les douleurs projetées d'origine tendineuse (tendinopathies ou enthésopathies du psoas, des adducteurs, de l'obturateur externe, du tenseur du fascia-lata / bandelette ilio-tibiale de Maissiat, et des gluteus medius, et surtout gluteus minimus.

Les syndromes myo-fasciaux (psoas, pelvi-trochantériens), et la souffrance du muscle quadratus femoris (par écrasement dans le carrefour ischio-fémoral entre le petit trochanter et l'ischion : [START_REF] Taneja | Ischiofemoral impingement[END_REF][START_REF] Singer | Ischiofemoral impingement syndrome: a meta-analysis[END_REF]). Il faut les évoquer quand les mouvements actifs de hanche re-déclenchent les douleurs, mais non sa mobilisation passive.

Les douleurs projetées d'origine sacro-iliaque (portion ligamentaire plus qu'articulaire)

Les douleurs projetées d'origine symphysaire, ou du cadre obturateur. Les fissures de fissures de la branche ilio pubienne irradient souvent dans les adducteurs, ce que font plus rarement les coxopathies [START_REF] Miller | Pelvic stress injuries in the athlete: management and prevention[END_REF].

Les douleurs des pubalgies par souffrance de la jonction entre muscles droits de l'abdomen plus obliques et les fibres du long adducteur, avec une sensibilité sur le tubercule du pubis (saillie un peu en dehors de la partie haute du corps du pubis) et une reproduction de la douleur par les flexions/adductions résistées de hanche, la manoeuvre de Valsalva, et la manoeuvre de recroquevillement en décubitus avec les jambes fléchies (Vidéo 16).

Les adénopathies inguinales

Les pathologies digestives (hernies inguinales, et autres hernies, dont celles de l'épiploon dans de petits défauts de parois) Les syndromes canalaires des branches terminales des nerfs ilio-hypograstriques ou ilioinguinaux.

Les pathologies urologiques (douleur inguinale référée, comme dans certains syndromes de Maigne).

Les étiologies vasculaires : ischémie régionale (certaines ischémies intermittentes pouvant faire le lit de coxopathies dégénératives), ou thrombose-ectasie de la crosse de la saphène.

Encadré 2 : Interrogatoire d'un patient suspect de pathologie coxo-fémorale

L'acronyme TISICISDRA est un moyen de se rappeler comment et dans quel ordre interroger un patient, en lui ayant demandé au préalable s'il souffre d'une ou de plusieurs douleurs de cette région, et en commençant alors l'interrogatoire par la douleur la plus importante. T = type de la douleur : s'il s'agit d'une brûlure ou d'une douleur qui 'tire', une souffrance nerveuse est à suspecter en priorité, alors qu'une douleur en 'coup de poignard' évoque d'emblée une pathologie ostéo-articulaire I = intensité (au pire, au mieux, en moyenne sur une journée) S= siège : à faire désigner avec un seul doigt +++ en montrant bien la zone 'la pire'. Les douleurs de la coxo-fémorale concernent d'abord le creux inguinal, avec de possibles irradiations crurales, jusque dans le genou, puis la région des adducteurs et du grand trochanter, les douleurs fessières isolées étant rarement isolées I = irradiations : à faire préciser aussi avec un seul doigt, si possible C = Circonstances de survenue (matin, midi, soir, nuit + couché, assis, debout, marche, sortie d'un siège, montée et descente des escaliers, montée et descente de voiture, activité sexuelle, etc…). I = Incidence immédiate (doit s'asseoir, s'allonger, placer la cuisse en rotation externe, etc…) S = Signes d'accompagnements : boiterie (et de quel type) ? ressaut ? blocage ? bruit ? raideur ? dérobement du membre ? paresthésies ? gonflement local ? etc… D = Durée (une minute, une heure, une semaine, un mois, etc..) et mode de terminaison (rapide ou progressif) R = Rythme de récidive (intermittent, permanent, cycles, etc…) A= Action des traitements (médicamenteux, mais aussi non médicamenteux) Si le patient est incapable de décoller le talon à partir du plan du lit, mais peut le faire si on l'aide pour les 15 premiers degrés, il s'agit d'un syndrome clinostatique, évocateur d'une lésion du toit du cotyle (rectus femoris) plus que du petit trochanter (insertion distale du psoas-iiaque).

Salut coxal contre résistance (mise en tension plus spécifique du rectus femoris) (parfois appelé test de Stinchfield) (Vidéo 5).

Quand la douleur inguinale est reproduite par des mouvements actifs de la hanche (salut coxal, etc..) mais non par la flexion passive et les autres mobilisations de celle-ci, on peut évoquer un syndrome myo-fascial du quadriceps ou du psoas. Mesure de l'angle poplité (Figure 22) : fémur à la verticale, extension passive de jambe jusqu'au blocage induit par la tension-rétraction des ischio-jambiers.

Etude de l'amplitude des rotations internes et externes à 90° de flexion (en comparant avec l'autre côté) (Figures 18 et 19).

Flexion de hanche maximale.

La rotation interne contrariée à partir d'une position de rotation interne maximale pourrait être une manoeuvre utile pour réveiller une souffrance du gluteus minimus (Figure 23), mais ceci n'a pas encore été validé, cette manoeuvre ayant aussi été proposée pour dépister des souffrances du ligament rond, de même que la flexion rotation externe contrariée. Il faut compléter cette manoeuvre par la palpation de l'insertion du gluteus minimus en avant du trochanter.

Flexion-adduction-rotation interne (manoeuvre FAIR ou FADIR) (Figure 24) : cette position est aussi utilisée pour mettre en tension le muscle piriforme.

La rotation interne combinée à une pression dans l'axe du fémur (IROP test : internal rotation over pressure) a été proposé comme test dans les conflits fémoro-acétabulaires (Vidéo 11).

Variante, l'impingement test : flexion de hanche à 90° en appuyant verticalement dans l'axe du fémur, avant de rajouter une adduction avec rotation interne (Vidéo 12). Test de Scour: mouvements alternés de rotations internes et externes alternés ('moulin à poivre') tout en appuyant verticalement dans l'axe du fémur, en plaçant éventuellement la hanche en discrète abduction ou adduction (Vidéo 13).

La rotation externe contrariée à partir d'une position de rotation externe maximale (dérotation externe contrariée) est la meilleure manoeuvre pour réveiller une souffrance du gluteus medius (Vidéo 1).

Elle est à distinguer de la rotation externe contrariée à partir de la position neutre qui réveille souvent les douleurs de coxarthrose.

Flexion combinée à une rotation externe plus une abduction (FABER test), éventuellement sensibilisée par un passage progressif en extension (Figure 17). Traction sur la hanche (Vidéo 6), et à l'inverse pression dans l'axe (manoeuvre du piston) (Vidéo 7), que l'on peut compléter par des 'tapes' sur le talon dans l'axe du fémur.

La manoeuvre de Thomas sert à dépister une rétraction du psoas, mais aussi à réveiller des douleurs intra-articulaires. Il consiste, sur un patient en décubitus à fléchir la hanche controlatérale à la hanche à tester, ce qui induit une cyphose du rachis du fait de la bascule du bassin en rétroversion (Vidéo 10). Cette cyphose du rachis entraîne une traction sur les deux psoas qui aboutit, en cas de rétraction ou contracture du psoas controlatéral à une flexion passive de la cuisse sur le bassin. Le test peut être faussement négatif chez les hyperlaxes. Si la hanche controlatérale part aussi en abduction, le tenseur du fascia-lata est aussi rétracté. Si la hanche se met en rotation externe, le biceps fémoral est contracté. Si, alors que la cuisse se fléchit sur le bassin, la jambe reste droite (c'est-à-dire si le genou ne se met pas en flexion et reste en extension), le droit fémoral est aussi (très) contracté. Ce test de Thomas peut aussi réveiller une douleur coxo-fémorale en induisant une traction vers le haut de la coxo-fémorale couplée à une rotation interne de celle-ci du fait de la mise en tension plus sélective du psoas.

Le fulcrum test (test du pivot) consiste pour l'examinateur, à passer son avant-bras 'proximal' sous la cuisse de la hanche à tester, en plaçant la main de cet avant-bras sur la cuisse controlatérale du patient. L'autre main ('distale') de l'examinateur peut alors appuyer de haut en bas sur la partie distale du fémur, comme pour essayer de 'casser' le fémur du patient (Johnson) (Vidéo 14). Ce test a été initialement décrit pour mieux détecter des fissures de fatigue de l'extrémité distale du fémur chez les sportifs, mais cette manoeuvre de 'levier', peut aussi permettre de soulever la tête fémorale du sujet allongé de bas en haut, ce qui peut, en soulevant en même temps le cotyle et l'hémi-bassin, sensibiliser la rechercher d'une lésion du cotyle ou du bassin, dont des fissures de fatigue de celui-ci.

Le 'patellar-pubic percussion test' se réalise avec un stéthoscope (Vidéo 15). ll vise à rechercher un obstacle (liquide intra-articulaire, oedème intra-osseux ou hématome de fracture de fatigue) dans la transmission intra-osseuse jusqu'au pubis du son produit par la percussion de la rotule. En pratique l'examinateur place son stéthoscope sur le pubis du patient, et percute à tour de rôle les deux rotules à la recherche d'une atténuation marquée du bruit transmis du côté malade.

La manoeuvre de recroquevillement vise à rechercher une pubalgie : elle se pratique sur un patient allongé avec les genoux fléchis en lui demandant de soulever le tronc, comme lors des épreuves de musculation des abdominaux (Vidéo 16).

Le test du ligament rond se fait sur un patient en décubitus en fléchissant la hanche à 70° et le genou à 90°. On réalise ensuite une abduction passive jusqu'au point de tolérance du patient, puis on réduit de 30° environ l'abduction à partir de l'abduction maximale. On réalise alors une rotation interne puis externe maximale jusqu'à ressentir une sensation Roulé de hanche en procubitus (en prenant la précaution de bloquer le bassin au mieux pour ne pas mobiliser le rachis ou la sacro-iliaque). Mesure de l'extension et essai de reproduction des douleurs par l'extension de hanche, jambe tendue, puis éventuellement jambe fléchie pour tendre aussi le psoas (mais également le nerf fémoral ce qui rend diminue la spécificité de la manoeuvre même si elle est alors plus sensible). Figure 12 : Certaines douleurs de hanche se majorent en position monopodale, mais celle-ci sert surtout à mettre en tension le gluteus medius, qui empêche en se contractant, le bassin de 'plonger' de l'autre côté. Cette bascule du bassin du côté non lésé peut toutefois n'apparaître qu'après plusieurs secondes, et il faut idéalement attendre 20 secondes (en aidant au besoin les patients à garder leur équilibre pendant ce délai en leur tenant les mains) avant de conclure à l'absence de déficit du gluteus medius (d'origine surtout tendineuse).

Interrogatoire (Encadré 2 )I- 1 :

 21 Tonalité de la douleur Une douleur à type de 'coup de poignard' est très évocatrice d'une pathologie ostéoarticulaire, alors qu'une brûlure ou un tiraillement-crampe orientent d'emblée vers une pathologie nerveuse, dont du nerf fémoral. I-2 : Topographie de la douleur L'interrogatoire est surtout essentiel pour faire préciser par le patient le site exact d'où part la douleur, si possible avec un seul doigt +++, même si d'autres gestes comme celui de désigner l'ensemble du creux inguinal avec le tranchant de la main a en lui-même une forte valeur d'orientation (Figure 1), et encore plus le 'C sign' (Figure 2) (quand le patient désigne sa douleur en 'pinçant' le sommet du creux inguinal avec son pouce ou son index). Les patients souffrant d'une névralgie fémorale ont beaucoup plus tendance à faire glisser leur main du haut vers le bas de la cuisse en faisant ensuite le geste de 'malaxer' leur genou.

  évoluées on peut parfois remarquer des postures en abduction, ou en adduction. b-En position assise, les patients peuvent tenter de soulager la hanche douloureuse en se penchant de l'autre côté et vers l'arrière, de manière à permettre à la hanche malade de se placer en flexion, abduction et rotation externe (Figure 11) : il s'agit souvent de la position la moins douloureuse, car dans cette posture la capsule, partie la plus innervée de l'articulation, est plus détendue. II-2 : Fonte musculaire La fonte du quadriceps se repère cliniquement plus facilement que celle des muscles fessiers et pelvi-trochantériens, mais celle-ci peut parfois être plus spectaculaire sur l'imagerie, notamment après pose d'une prothèse de hanche. II-3 : Anomalies de la démarche Il peut s'agir d'une vraie boiterie ('limping') (esquive liée à la douleur, avec moindre durée de l'appui du côté douloureux), ou d'une fausse boiterie en rapport avec un déséquilibre du bassin (inclinaison du tronc, comme lors du signe de Trendelenburg où le bassin plonge d'un côté à la marche, le plus souvent du fait d'une insuffisance du muscle moyen glutéal controlatéral) (Figure 12). Le signe de Trendelenburg n'est toutefois pas l'exclusivité des pathologies du moyen glutéal, et peut aussi se voir dans les coxarthroses, où il s'agit même du test avec le plus haut niveau de preuves. Il peut s'agir aussi d'une perte du pas antérieur et/ou, plus spécifique d'une coxopathie et souvent plus précoce, une perte du pas postérieur (diminution des enjambées), qui peut ne pas être repérée facilement si l'atteinte concerne les deux coxo-fémorales de manière symétrique et s'installe très progressivement avec l'âge. La perte du pas postérieur est plus facilement décelée en se positionnant derrière le patient quand il marche.

  du fait d'une rétraction acquise du psoas secondaire au flexum chronique. Il est bienvenu de rechercher une limitation des rotations internes et externes, tant en décubitus (Figures 18 et 19) qu'en position assise (Figures 20 et 21), et en procubitus (Vidéo 2) (lors du test de Craig). IV-3 : Séméiologie plus évocatrice d'une lésion du bourrelet, et/ou d'un conflit fémoroacétabulaire Une forte suspicion clinique de souffrance de ces structures est d'autant plus souhaitable que l'IRM standard n'a qu'une sensibilité de 30 % par rapport au gold standard de l'arthroscopie, et que l'injection de produit de contraste (arthro-IRM, ou arthro-scanner), laquelle permet d'obtenir des chiffres de sensibilité de 90 % [15], n'est pas anodine. Par ailleurs le réveil des douleurs par la position FAIR (flexion-adduction-rotation interne) manque de spécificité. Plusieurs signes d'interrogatoire peuvent mettre la puce à l'oreille, dont l'absence d'irradiations fémorales ou vers l'ischion [15-Arnold]. Les manoeuvres les plus sensibles seraient la rotation interne avec pression dans l'axe (test IROP) (Vidéo 11), la flexionabduction-rotation externe (FABER)(Figure 17), et l'impingement sign (flexion adduction et rotation interne mais en appuyant dans l'axe du fémur dès la flexion à 90° obtenue)(Vidéo 12)

IV- 4 :

 4 Séméiologie plus évocatrice d'une souffrance osseuse (fissure de fatigue, algodystrophie, ostéonécroses). L'existence fréquente d'une synovite réactionnelle dans les fissures de fatigue explique que la douleur ait souvent un rythme mixte, et puisse parfois réveiller la nuit, à la différence des douleurs d'ostéonécroses et d'algodystrophie où la douleur apparaît très électivement à l'appui et cède au repos [17]. Deux tests peu pratiqués en France auraient une sensibilité et surtout spécificité inattendue pour les fissures de fatigue du sportif : le test du pivot (fulcrum test)(Vidéo 14), avec une sensibilité de 93 % et une spécificité de 75 %, et le test d'auscultation du pubis après percussion des rotules, avec une sensibilité de 95 % et une spécificité de 86 % [13-14](Vidéo 15). Le test du pivot serait aussi souvent positif dans les fissures ou fractures osseuses du sacrum et du cadre obturateur, lesquelles s'accompagnent souvent d'une grande difficulté ou impossibilité à se tenir en appui monopodal, et d'une vive douleur à la contraction résistée des adducteurs. IV-5 : Séméiologie compatible avec une souffrance du ligament rond.

  Passage d'une extension rotation externe, en flexion rotation interne (recherche d'un effet pince entre le col fémoral et le toit du cotyle, lésant le bourrelet) (Vidéo 17). Passage d'une flexion abduction et rotation externe, en extension adduction, rotation interne ou vice-versa (ressaut du psoas) (Vidéo 18). Circumduction (lésions du bourrelet, corps étrangers, etc…) (Vidéo 8)

  d'arrêt. Le test est positif si une des deux rotations reproduit les douleurs connues [20-O'Donnell]. C-2 : En latérocubitus Abduction de hanche résistée. Extension de hanche avec adduction réveillant une douleur, alors que la même manoeuvre, en abduction est indolente : ce test est en faveur d'un conflit entre l'ischion et le fémur avec écrasement du muscle carré-fémoral[21-22] (Vidéo 19 ). Alternance de rotation interne et externe de hanche après voir mis la hanche en extension, tout en palpant le fascia-lata à la recherche d'un ressaut de celui-ci sur le grand trochanter (Vidéo 20). C-3 : En procubitus Le test de Craig (Vidéo 2) vise à apprécier l'existence d'une antéversion ou rétroversion du col fémoral. Le test de Léri, pour rester spécifique d'une névralgie fémorale, ne doit pas comporter d'extension de hanche (Vidéo 9).

Figure 1 :

 1 Figure1: Une origine coxo-fémorale est très probable si les patients désignent l'aine avec le tranchant de la main comme source de leur douleur.

Figure 2 :

 2 Figure 2 : Quand la douleur est exprimée par le patient en se pinçant la partie supérieure de l'arcade crurale avec la pince pouce-index ('C sign'), il faut évoquer en priorité une souffrance du bourrelet cotyloïdien (labrum).

Figure 3 :

 3 Figure 3 : Les coxopathies peuvent être révélées par des douleurs projetées dans le genou, qui peuvent faire évoquer à tort, soit une pathologie du genou, soit une névralgie fémorale.

Figure 4 :

 4 Figure 4 : Des coxopathies peuvent se révéler par des douleurs isolées du grand trochanter.

Figure 5 :

 5 Figure 5 : Le gluteus minimus (grosse flèche blanche) 'colle' à la partie supérieure de la capsule de la hanche, et sa mise en tension peut induire des douleurs simulant des douleurs de la coxo-fémorale ou du bourrelet (petites flèches blanches).

Figure 6 :

 6 Figure 6 : Les coxopathies induisent souvent un flexum réflexe, qui est parfois difficile à repérer chez les sujets obèses.

Figure 7 :

 7 Figure 7 : Le flexum de hanche (ici à droite) peut s'associer à une hyperlordose plus marquée du côté homolatéral, et pouvant induire une impression de déviation du tronc vers l'autre côté.

Figure 8 :

 8 Figure 8 : Exemple de coxarthrose postérieure, vue seulement sur le cliché en faux profil, lequel est fait en charge, à la différence des scanners et IRM qui sont faits en décharge (NB-1 : il faut dans les cas douteux faire des clichés des deux côtés pour mieux apprécier le pincement postérieur et inférieur de l'interligne; NB-2 : le pseudo-élargissement paradoxal de l'interligne supérieur et externe est parfois le signe qui saute le plus aux yeux).

Figure 9 :

 9 Figure 9 : Un excès de rétroversion des cols fémoraux induit de manière compensatrice une rotation externe des fémurs, pouvant lui-même induire un strabisme divergent des rotules.

Figure 10 :

 10 Figure 10 : A l'inverse, un excès d'antéversion des cols fémoraux peut induire de manière compensatrice une rotation interne des fémurs, avec strabisme convergent des rotules (phénotype fréquent chez les japonais(e)s).

Figure 11 :

 11 Figure 11 : Pour se soulager les patients avec coxopathie sévère (mise en tension permanente de la capsule) placent leur hanche en rotation externe et abduction (pour augmenter le volume de l'articulation et détendre la capsule), et leur rachis en extension et latéro-flexion du côté opposé.

Figure 13 :

 13 Figure 13 : Une douleur apparaissant dans l'aine en position accroupie est très évocatrice d'une souffrance coxo-fémorale, et cette posture peut re-déclencher plus électivement les douleurs dans certaines étiologies rares comme les lésions du ligament rond, ou plus fréquentes comme les conflits entre la tête fémorale et soit le toit du cotyle, soit l'épine iliaque antéro-inférieure.

Figure 14 :

 14 Figure 14 : Une flexion contrariée de la cuisse sur le bassin teste surtout le psoas.

Figure 15 :

 15 Figure[START_REF] Arnold | Hip pain referral patterns in patients with labral tears: analysis based on intra-articular anesthetic injections, hip arthroscopy, and a new pain "circle" diagram[END_REF] : L'abduction résistée des cuisses fléchies à 90°permet de tester les rotateurs externes, dont le gluteus medius, mais peut aussi mettre en tension la coxo-fémorale.

Figure 16 :

 16 Figure 16 : L'abduction résistée peut aussi se faire en décubitus, sur une cuisse étendue.

Figure 17 :

 17 Figure 17 : Position flexion-Abduction-Rotation-ExteRne maximale (FABER test).

Figure 18 :

 18 Figure 18 : Test de la rotation externe maximale, sur une cuisse fléchie à 90°.

Figure 19 :

 19 Figure 19 : Test de la rotation interne maximale, sur une cuisse fléchie à 90°.

Figure 20 :

 20 Figure 20 : L'étude des rotations internes et externes maximales peut aussi se faire en position assise : ici rotation externe maximale.

Figure 21 :

 21 Figure 21 : Rotation interne maximale.

Figure 22 :

 22 Figure 22 : Mesure de l'angle poplité (angle fait entre la jambe et la cuisse jusqu'à la mise en tension maximale des ischio-jambiers).

Figure 23 :

 23 Figure 23 : Mouvement de dé-rotation interne contrariée : à partir d'une position de rotation interne maximale, demander au patient d'essayer de ramener son pied vers la ligne médiane, et s'y opposer.

Figure 24 :

 24 Figure 24 : Mouvement de flexion, adduction, et rotation interne (position 'FAIR').

Figure 3 :

 3 Figure 3 :

Figure 4 :

 4 Figure 4 :

Figure 5 :

 5 Figure 5 : Le gluteus minimus (grosse flèche blanche) 'colle' à la partie supérieure de la capsule de la hanche, et sa mise en tension peut induire des douleurs simulant des douleurs de la coxo-fémorale ou du bourrelet (petites flèches blanches).

Figure 8 :

 8 Figure 8 : Exemple de coxarthrose postérieure, vue seulement sur le cliché en faux profil, lequel est fait en charge, à la différence des scanners et IRM qui sont faits en décharge (NB-1 : il faut dans les cas douteux faire des clichés des deux côtés pour mieux apprécier le pincement postérieur et inférieur de l'interligne; NB-2 : le pseudo-élargissement paradoxal de l'interligne supérieur et externe est parfois le signe qui saute le plus aux yeux).