EP4292007A1 - Procédé de vérification de l'authenticité d'une commande d'un actionneur - Google Patents

Procédé de vérification de l'authenticité d'une commande d'un actionneur

Info

Publication number
EP4292007A1
EP4292007A1 EP22706005.0A EP22706005A EP4292007A1 EP 4292007 A1 EP4292007 A1 EP 4292007A1 EP 22706005 A EP22706005 A EP 22706005A EP 4292007 A1 EP4292007 A1 EP 4292007A1
Authority
EP
European Patent Office
Prior art keywords
command
display
operating system
tee
secure environment
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
EP22706005.0A
Other languages
German (de)
English (en)
Inventor
Marc PERESSE
Redouane SOUM
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Ampere SAS
Nissan Motor Co Ltd
Original Assignee
Renault SAS
Nissan Motor Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Renault SAS, Nissan Motor Co Ltd filed Critical Renault SAS
Publication of EP4292007A1 publication Critical patent/EP4292007A1/fr
Pending legal-status Critical Current

Links

Classifications

    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/70—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer
    • G06F21/82—Protecting input, output or interconnection devices
    • G06F21/83—Protecting input, output or interconnection devices input devices, e.g. keyboards, mice or controllers thereof
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/44—Program or device authentication
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/64—Protecting data integrity, e.g. using checksums, certificates or signatures
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/70—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer
    • G06F21/86—Secure or tamper-resistant housings
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F3/00—Input arrangements for transferring data to be processed into a form capable of being handled by the computer; Output arrangements for transferring data from processing unit to output unit, e.g. interface arrangements
    • G06F3/01—Input arrangements or combined input and output arrangements for interaction between user and computer
    • G06F3/03—Arrangements for converting the position or the displacement of a member into a coded form
    • G06F3/041—Digitisers, e.g. for touch screens or touch pads, characterised by the transducing means
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/12—Applying verification of the received information
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/70—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer
    • G06F21/82—Protecting input, output or interconnection devices
    • G06F21/85—Protecting input, output or interconnection devices interconnection devices, e.g. bus-connected or in-line devices
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2463/00—Additional details relating to network architectures or network communication protocols for network security covered by H04L63/00
    • H04L2463/121—Timestamp
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W4/00—Services specially adapted for wireless communication networks; Facilities therefor
    • H04W4/30—Services specially adapted for particular environments, situations or purposes
    • H04W4/40—Services specially adapted for particular environments, situations or purposes for vehicles, e.g. vehicle-to-pedestrians [V2P]

Definitions

  • the invention relates to a method for verifying the authenticity of an actuator command, as well as to an actuator command system.
  • the invention is particularly suitable for the automotive field, but can also be applied to other fields, in particular home automation.
  • Infotainment (“infotainment” according to the Anglo-Saxon terminology) has become a major selling point for motor vehicles. Users want to be able to access, from a dashboard of the vehicle, various multimedia contents, or various telecommunications or navigation services. Multimedia systems, also known by the acronym “IVI” (In-Vehicle Infotainment), have thus been developed to equip vehicles.
  • the user can thus access the content of his external communication device (for example smartphone), and control certain parts of the vehicle, for example driving assistance, the comfort (seats, heating), configuration of the automatic gearbox, sound volume, etc.
  • his external communication device for example smartphone
  • control certain parts of the vehicle for example driving assistance, the comfort (seats, heating), configuration of the automatic gearbox, sound volume, etc.
  • the multimedia system further comprises an integrated operating system making it possible to deport the display of an external communication device on the touch screen display of the multimedia system.
  • Android Auto or CarPlay are examples of such operating systems.
  • the operating system includes a secure part.
  • the application is executed by the operating system.
  • the secure party takes over and encrypts the password.
  • the secure party transmits the encrypted password to the operating system.
  • the attacker cannot be in possession of the password.
  • An object of the invention is therefore a method for verifying the authenticity of a command for an actuator capable of being controlled by an electronic control unit, the electronic control unit being connected to a system multimedia including:
  • a touch screen configured to receive a user command, and to display information relating to the command of the actuator
  • an operating system configured to transfer the display of an external communication device to the touch screen of the multimedia system
  • an authenticated secure environment configured to provide a level of security higher than the level of security of the operating system
  • the authenticated secure environment comprising a tap controller configured to detect a user command on the touch display
  • the method comprising: a) a signature of a user command by the authenticated secure environment, said user command corresponding to a physical activation of at least one zone of the display; b) transmission by the operating system of the signed command to the electronic control unit; c) verification of the signature by the electronic control unit; d) an execution of the user command by the actuator.
  • the method comprises beforehand: a′) detection, by the authenticated secure environment, of the user command; a”) retransmission of the command from the authenticated secure environment to the operating system; a'”) an update of the display on the touch screen display according to the user command.
  • the authenticated secure environment comprises an authentication component configured to control secure functions relating to the control of the actuator, and to date the user control performed on the touch screen display, step a) of signing of a command comprising: i) a receipt, by the authentication component, of a vehicle function request sent by the operating system, and ii) a signing of the command if the delay between the moment of receipt of the vehicle function request and the timing of the user command on the touch panel display is less than a predetermined value.
  • the authenticated secure environment comprises an authentication component configured to control secure functions relating to the control of the actuator; the command signing step a) comprising beforehand a detection, by the authentication component, of a secure action start frame relating to the user command, in response to the activation of the zone of the display, so as to display a vehicle interaction menu; the authentication component generating, in response to step b) transmission by the operating system of the signed command, a secure end of action frame relating to the user command.
  • the operating system regularly sends a screenshot, to the authenticated secure environment, of content specific to the operating system, and the authenticated secure environment superimposes the vehicle interaction menu on the capture. received from the operating system.
  • the actuator is configured to execute a command for controlling the comfort of a motor vehicle, for controlling the configuration of the automatic gearbox of a motor vehicle or for a driving assistance function. driving a motor vehicle.
  • the actuator is configured to execute a command from a home automation system.
  • the external communication device is a smart phone or a tablet.
  • the physical activation of at least one zone of the touch display includes pressing by the user of a zone of the touch display.
  • the invention also relates to a control system for an actuator capable of being controlled by an electronic control unit, the electronic control unit being connected to a multimedia system comprising:
  • a touch screen configured to receive a user command, and to display information related to the actuator command
  • an operating system configured to transfer the display of an external communication device to the touch screen of the multimedia system
  • an authenticated secure environment configured to provide a higher level of security than the operating system
  • the authenticated secure environment comprising a tap controller configured to detect a user command on the touch display, the system being further configured to implement the aforementioned method.
  • Figure 1 shows a system according to the invention
  • FIG. 2 shows the different steps of the method according to the invention
  • FIGS 3 and 4 show two embodiments of the method according to the invention
  • FIG. 5 represents the application of the method according to the first embodiment, in response to a cyberattack.
  • FIG. 1 illustrates the overall architecture of the system for implementing the method according to the invention.
  • the IVI multimedia system includes a touch screen SC in order to display navigation information, as well as any type of multimedia content such as images, videos.
  • the touch screen SC is also configured to render the display of a smartphone of the user.
  • the IVI multimedia system is composed of two systems running concurrently, namely an operating system OS configured to deport the display of an external communication device on a touch screen of the multimedia system, as well as a TEE authenticated secure environment.
  • the TEE authenticated secure environment also called “Trusted Execution Environment” in Anglo-Saxon literature.
  • the TEE authenticated secure environment is configured to provide a level of security higher than the level of security of the operating system, based on its ability to partially or totally isolate certain peripherals (memories, screens, etc.).
  • the support controller TC detects user support on the touch screen display SC, and converts the support into a command interpretable by the environment. secure authenticated TEE.
  • the parts of the user interface identified as sensitive, namely allowing interaction with the vehicle, are executed by an authentication component CA integrated into the authenticated secure environment TEE.
  • the authentication component CA If the user interacts with the interface so that he asks to control certain commands of the vehicle, the authentication component CA then generates commands signed using a security key.
  • the TEE authenticated secure environment guarantees the confidentiality of this key by relying on the isolation capabilities of the TEE authenticated secure environment.
  • the TEE authenticated secure environment transmits the commands to the operating system OS which will send the command to the electronic control unit UC, for example the on-board computer (BCM for Body Control Module), or the system which manages driving assistance (ADAS for Advanced Driver Assistance Systems).
  • the transmission is performed over a data link, for example a CAN data bus or an l 2 C bus.
  • the method is described in more detail with reference to Figures 2 to 5.
  • the method comprises four steps.
  • a first step a the TEE authenticated secure environment signs the user command.
  • the signature is performed using a cryptographic method known to those skilled in the art.
  • the cryptographic method can be of the symmetric type, with shared key (for example implementing the AES, DES or Triple DES algorithm), or even asymmetric with the use of public and private keys (for example implementing the algorithm RSA).
  • a second step b) the operating system OS transmits the signed command to the electronic control unit UC.
  • a third step c) the electronic control unit UC verifies the signature.
  • a fourth step d) the user command is executed.
  • Figure 3 illustrates a first embodiment of the method according to the invention.
  • the user USR performs a physical activation (press screen) of at least one zone of the display SC, for example by pressing on the screen in order to control a function of the vehicle, or even to navigate in a menu specific to a vehicle function.
  • a physical activation pressing screen
  • the TEE authenticated secure environment detects the user command (step a′)).
  • the support information is transmitted by the screen to the support controller TC, which interprets the activation of the screen area SC, so that the command can be interpreted by the operating system OS (step a”)).
  • the press controller TC transmits to the authentication component CA a “copy” of the press event, typically the zone where the press was performed, and with what pressure.
  • the CA authentication component then saves this event with a timestamp.
  • the TEE authenticated secure environment is particularly difficult to attack due to its isolation and its limited size, thereby reducing the attack surface exposed to the operating system OS. Transmission of a copy of the event pressure by the attacker, without there having been any real pressure on the display SC, is therefore difficult to achieve.
  • the HMI (Human Machine Interface) part of the OS operating system updates the display according to the zone activated by the user. For example, the HMI part updates the display of the menu as the user navigates through a menu, or selects a command (step a').
  • the operating system OS itself receives the events from the TC support controller, and it updates its display.
  • the TEE authenticated secure environment therefore behaves like a virtual support controller, and relays the events received from the physical support controller.
  • the HMI part of the operating system OS transmits the request for access to a vehicle function REQ1, which corresponds to the user command, to a HAL (hardware abstraction layer) module of the operating system OS.
  • a vehicle function REQ1 which corresponds to the user command
  • the HAL module is an interface that defines the properties of the vehicle that the manufacturer or the equipment supplier can implement.
  • the HAL module contains property metadata.
  • the properties can be, for example, the temperature setting per zone, or the recirculation control per zone.
  • the HAL module defines whether the properties are read-only, write-only, or read-and-write.
  • the module HAL transmits to the authentication component CA the request for access to a function of the vehicle REQ1 (sub-step i)).
  • the authentication component CA validates the command if the delay between the instant of receipt of the vehicle function request REQ1 and the instant of the user command on the touch screen SC (i.e. the moment of pressing) is less than a predetermined value (for example a few milliseconds).
  • the authentication component CA signs the user command, which guarantees the authenticity of the command.
  • the TEE authenticated secure environment has few interactions with the operating system OS of the IVI multimedia system, which protects it from a malicious attack aimed at taking control of the OS operating system or even the vehicle's on-board computer.
  • the signed command is transmitted to the HAL module, which retransmits it to the electronic control unit UC, for example the on-board computer BCM or the system which manages the ADAS driving aid. It is essential that the UC electronic unit does not receive a command initiated by an unauthenticated user.
  • the electronic unit UC thus verifies the signature.
  • the digital signature of the command by the authentication component CA, and the verification of the signature by the electronic unit UC, use an asymmetric or symmetric cryptography mechanism. This mechanism ensures the authenticity of the sender.
  • the actuator ACT executes the user command.
  • the operating system OS retains full control of the display on the display SC: the HMI part of the operating system OS carries out the updates of the display SC.
  • the HMI part of the operating system OS carries out the updates of the display SC.
  • FIG. 4 illustrates a second embodiment of the method according to the invention, in which the authenticated secure environment TEE has control not only of the tactile layer of the display SC (upper layer), but also of the display layer of the SC viewer (bottom layer).
  • the activation of a zone of the screen is transmitted directly to the operating system OS.
  • the operating system OS when the user, by navigating through the menus, selects a secure vehicle command (for example HVAC or ADAS), the operating system OS sends the corresponding command, for example "start HVAC » or « start ADAS » asking the TEE authenticated secure environment to take control of the display SC to display the menu concerned. If the user presses vehicle commands, the authenticated secure environment TEE sends the encrypted commands to the operating system OS for transfer to the electronic unit UC.
  • a secure vehicle command for example HVAC or ADAS
  • the authentication component receives a secure action start START frame relating to the user command, in response to the activation of the display area.
  • the authenticated secure environment TEE When the authenticated secure environment TEE receives the “START” frame, the authenticated secure environment TEE becomes the only element fully controlling the display SC. It is the TEE authenticated secure environment that provides the content on the screen. However, the TEE authenticated secure environment does not have information from the OS operating system, such as the time, notifications, etc.
  • the operating system OS can send a screenshot of what it wishes to display on a regular basis to the TEE authenticated secure environment.
  • the TEE authenticated secure environment will superimpose the part that it must provide in content (i.e. the vehicle interaction menu, for example HVAC) on the screenshot received from the operating system OS.
  • content i.e. the vehicle interaction menu, for example HVAC
  • the framed part is entirely managed by the TEE authenticated secure environment, which increases the level of security compared to the first embodiment.
  • the HAL module sends the secure function start information START to the authentication component, so the user press is considered by the press controller TC to be a secure press.
  • the authentication component signs the command, and transmits it to the HAL module, which retransmits it to the electronic unit UC.
  • the authentication component CA After having transmitted the signed command to the HAL module, the authentication component CA generates an end of secure action END frame relating to the user command.
  • the END frame is therefore sent when the user decides to “exit” the screen displayed by the authenticated secure environment TEE.
  • the electronic unit UC then verifies the signature of the signed command, and, if the command is authenticated, namely that the command is indeed generated by the authenticated secure environment TEE and therefore corresponds to a user interaction, the The electronic unit UC executes the command through the actuator ACT.
  • This embodiment therefore has two advantages. First, security is improved, as only the TEE authenticated secure environment displays content on the screen. Secondly, the TEE authenticated secure environment only controls the TC support controller when necessary (whereas in the first embodiment there is additional latency).
  • Figure 5 illustrates an example of a malicious attack aimed at taking control of a function of the vehicle, in connection with the first embodiment.
  • the attacker emulates, via the operating system OS, an actuator control function.
  • the HAL module in response to a function request transmitted by the IHM part, sends the corresponding information to the authentication component CA.
  • the authentication component CA verifies whether the command corresponds to a physical activation by a user, for example pressing the screen. For this, the authentication component CA checks whether the user has interacted with the screen over a predetermined period preceding the press verification (for example over the last X milliseconds).
  • the user command is not dated, so the CA authentication component sends an error message to the HAL module.
  • the attacker can generate a fake signature.
  • the UC electronic unit verifies the signature, and returns an error message, because the command is not authenticated.
  • the invention thus makes it possible to increase the level of security of certain user interfaces by creating a chain of trust between the action on the screen and the action initiated by the multimedia system, while limiting the impact on the user experience (no need to have another screen).
  • the invention is not limited to the automotive field. It can be used in any system offering user interaction requiring a certain level of security, where remote access to exposed functions may be of interest to an attacker.
  • the method can be applied to a home automation system with a user interface available inside the house, and connected to an insecure external communicating device, for example a smartphone.
  • an insecure external communicating device for example a smartphone.
  • the exposed functions for example the control of the openings, can be protected, so that in the event of compromise of the control screen, no action can be initiated without physical access to the screen of the home automation system.

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Computer Security & Cryptography (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Physics & Mathematics (AREA)
  • Software Systems (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Computing Systems (AREA)
  • General Health & Medical Sciences (AREA)
  • Bioethics (AREA)
  • Health & Medical Sciences (AREA)
  • Human Computer Interaction (AREA)
  • User Interface Of Digital Computer (AREA)
  • Collating Specific Patterns (AREA)
  • Lock And Its Accessories (AREA)

Abstract

L'invention se rapporte à un procédé de vérification de l'authenticité d'une commande d'un actionneur susceptible d'être contrôlé par une unité de contrôle électronique, l'unité de contrôle électronique étant reliée à un système multimédia comprenant : - un afficheur tactile configuré pour recevoir une commande utilisateur, et pour afficher des informations relatives à la commande de l'actionneur, - un système d'exploitation configuré pour déporter l'affichage d'un dispositif de communication extérieur sur l'afficheur tactile du système multimédia, et - un environnement sécurisé authentifié configuré pour fournir un niveau de sécurité supérieur au niveau de sécurité du système d'exploitation, l'environnement sécurisé authentifié comprenant un contrôleur d'appui configuré pour détecter une commande utilisateur sur l'afficheur tactile, le procédé comprenant : a) une signature d'une commande utilisateur par l'environnement sécurisé authentifié, ladite commande utilisateur correspondant à une activation physique d'au moins une zone de l'afficheur; b) une transmission par le système d'exploitation de la commande signée à l'unité de contrôle électronique; c) une vérification de la signature par l'unité de contrôle électronique; d) une exécution de la commande utilisateur par l'actionneur.

Description

DESCRIPTION
Titre de l’invention : Procédé de vérification de l’authenticité d’une commande d’un actionneur
[0001] L’invention se rapporte à un procédé de vérification de l’authenticité d’une commande d’un actionneur, ainsi qu’à un système de commande d’un actionneur. L’invention est particulièrement adaptée au domaine de l’automobile, mais peut également être appliquée à d’autres domaines, notamment la domotique.
[0002] L’infodivertissement (« infotainment » selon la terminologie anglo-saxonne) est devenu un atout majeur de vente des véhicules automobiles. Les utilisateurs veulent pouvoir accéder, depuis un tableau de bord du véhicule, à différents contenus multimédia, ou à différents services de télécommunications ou encore de navigation. Des systèmes multimédias, encore connus sous l'acronyme « IVI » (In-Vehicle Infotainment), ont ainsi été développés pour équiper les véhicules.
[0003] Des solutions ont également été proposées pour donner à l’utilisateur un accès au contenu d’un dispositif de communication extérieure, par exemple un smartphone, ou une tablette, sur le tableau de bord. Le tableau de bord est alors un écran déporté à partir duquel l'utilisateur peut accéder à ses applications et à une interface habituelle, afin qu’il ne soit pas perturbé par le changement d’interface.
[0004] Sur l’écran tactile du tableau de bord, l’utilisateur peut ainsi accéder au contenu de son dispositif de communication externe (par exemple smartphone), et commander certaines parties du véhicule, par exemple l’aide à la conduite, le confort (sièges, chauffage), la configuration de la boite de vitesse automatique, le volume du son etc.
[0005] Le système multimédia comprend en outre un système d’exploitation intégré permettant de déporter l’affichage d’un dispositif de communication extérieur sur l’afficheur tactile du système multimédia. Android Auto ou encore CarPlay sont des exemples de tels systèmes d’exploitation.
[0006] Cependant, une telle connectivité entraîne une augmentation de la surface d’attaque. En effet, le fait de connecter le système multimédia à un réseau de communication externe, par exemple Internet, via des systèmes ouverts, comme le sont certains systèmes d’exploitation, peut rendre le système de communication vulnérable à des cyberattaques. [0007] Par ailleurs, l’utilisation de systèmes « ouverts » comme système d’exploitation OS de l’IVI peut poser des problèmes de sécurité. Par exemple certains constructeurs utilisent le système d’exploitation Android, qui permet l’installation d’applications tierces à travers le magasin (store) Android. Ces applications représentent une menace potentielle. Aussi ces systèmes ouverts nécessitent le plus souvent une connexion à internet, qui est fournie le plus souvent par le véhicule lui-même à travers une unité de commande dédiée.
[0008] Or, en cas de d’attaque du système multimédia, l’ensemble des fonctions disponibles peut être utilisé par l’attaquant, y compris les fonctions les plus critiques, comme les fonctions relatives au contrôle du véhicule.
[0009] Il existe des solutions pour garantir la confidentialité des données saisies dans un smartphone, utilisées par exemple pour les applications bancaires. Le système d’exploitation comprend une partie sécurisée. L’application est exécutée par le système d’exploitation.
[0010] Lorsque l’utilisateur doit saisir un mot de passe, la partie sécurisée prend la main, et chiffre le mot de passe. A la fin de la procédure d’authentification, la partie sécurisée transmet le mot de passe chiffré au système d’exploitation. Ainsi, en cas de cyberattaque du système d’exploitation, l’attaquant ne peut pas être en possession du mot de passe.
[0011] Les systèmes de sécurité intégrés actuellement dans les smartphones empêchent également un attaquant de deviner le code secret à l’aide d’une analyse des appuis écrans, corrélée à une analyse de l’affichage.
[0012] Les solutions connues de l’état de la technique, divulguées par exemple dans la demande de brevet US2005/0275661 A1 ou US 2016/0255073 A1, permettent ainsi de garantir la confidentialité des données échangées. Ces solutions ne visent toutefois pas à garantir l’authenticité (ou intégrité) des données échangées.
[0013] Or, dans les systèmes multimédias appliqués à des domaines sensibles tels que l’automobile ou la domotique, il est important d’assurer que la commande est bien liée à une interaction utilisateur, et non pas à du code qui s’exécute sans interaction utilisateur.
[0014] Il existe ainsi un besoin pour un procédé et un dispositif capables de garantir que les commandes du système multimédia sont bien initiées « physiquement » par l’utilisateur, et qu’en cas de compromission du système d’exploitation, il ne soit pas possible pour le système d’exploitation d’initier de telles actions.
[0015] Un objet de l’invention est donc un procédé de vérification de l’authenticité d’une commande d’un actionneur susceptible d’être contrôlé par une unité de contrôle électronique, l’unité de contrôle électronique étant reliée à un système multimédia comprenant :
- un afficheur tactile configuré pour recevoir une commande utilisateur, et pour afficher des informations relatives à la commande de l’actionneur,
- un système d’exploitation configuré pour déporter l’affichage d’un dispositif de communication extérieur sur l’afficheur tactile du système multimédia, et
- un environnement sécurisé authentifié configuré pour fournir un niveau de sécurité supérieur au niveau de sécurité du système d’exploitation, l’environnement sécurisé authentifié comprenant un contrôleur d’appui configuré pour détecter une commande utilisateur sur l’afficheur tactile, le procédé comprenant : a) une signature d’une commande utilisateur par l’environnement sécurisé authentifié, ladite commande utilisateur correspondant à une activation physique d’au moins une zone de l’afficheur ; b) une transmission par le système d’exploitation de la commande signée à l’unité de contrôle électronique ; c) une vérification de la signature par l’unité de contrôle électronique ; d) une exécution de la commande utilisateur par l’actionneur.
[0016] Avantageusement, le procédé comprend au préalable : a’) une détection, par l’environnement sécurisé authentifié, de la commande utilisateur ; a”) une retransmission de la commande depuis l’environnement sécurisé authentifié vers le système d’exploitation ; a’”) une mise à jour de l’affichage sur l’afficheur tactile en fonction de la commande utilisateur. [0017] Avantageusement, l’environnement sécurisé authentifié comprend un composant d’authentification configuré pour commander des fonctions sécurisées relatives à la commande de l’actionneur, et pour dater la commande utilisateur effectuée sur l’afficheur tactile, l’étape a) de signature d’une commande comprenant : i) une réception, par le composant d’authentification d’une requête de fonction de véhicule émise par le système d’exploitation, et ii) une signature de la commande si le délai entre l’instant de réception de la requête de fonction de véhicule et l’instant de la commande utilisateur sur l’afficheur tactile est inférieur à une valeur prédéterminée.
[0018] Avantageusement, l’environnement sécurisé authentifié comprend un composant d’authentification configuré pour commander des fonctions sécurisées relatives à la commande de l’actionneur ; l’étape a) de signature de commande comprenant au préalable une détection, par le composant d’authentification, d’une trame de commencement d’action sécurisée relative à la commande utilisateur, en réponse à l’activation de la zone de l’afficheur, de façon à afficher un menu d’interaction véhicule ; le composant d’authentification générant, en réponse à l’étape b) de transmission par le système d’exploitation de la commande signée, une trame de fin d’action sécurisée relative à la commande utilisateur.
[0019] Avantageusement, le système d’exploitation envoie régulièrement une capture d’écran, à l’environnement sécurisé authentifié, du contenu spécifique au système d’exploitation, et l’environnement sécurisé authentifié superpose le menu d’interaction véhicule sur la capture d’écran reçue de la part du système d’exploitation.
[0020] Avantageusement, l’actionneur est configuré pour exécuter une commande de contrôle du confort d’un véhicule automobile, de contrôle de la configuration de la boite de vitesse automatique d’un véhicule automobile ou d’une fonction d’aide à la conduite d’un véhicule automobile. [0021] Avantageusement, dans lequel l’actionneur est configuré pour exécuter une commande d’un système domotique.
[0022] Avantageusement, le dispositif de communication extérieur est un téléphone intelligent ou une tablette.
[0023] Avantageusement, l’activation physique d’au moins une zone de l’afficheur tactile comprend l’appui par l’utilisateur d’une zone de l’afficheur tactile.
[0024] L’invention se rapporte aussi à un système de commande d’un actionneur susceptible d’être contrôlé par une unité de contrôle électronique, l’unité de contrôle électronique étant reliée à un système multimédia comprenant :
- un afficheur tactile configuré pour recevoir une commande utilisateur, et pour afficher des informations en lien avec la commande de l’actionneur,
- un système d’exploitation configuré pour déporter l’affichage d’un dispositif de communication extérieur sur l’afficheur tactile du système multimédia, et
- un environnement sécurisé authentifié configuré pour fournir un niveau de sécurité plus élevé que le système d’exploitation, l’environnement sécurisé authentifié comprenant un contrôleur d’appui configuré pour détecter une commande utilisateur sur l’afficheur tactile, le système étant en outre configuré pour mettre en œuvre le procédé précité.
[0025] D’autres caractéristiques, détails et avantages de l’invention ressortiront à la lecture de la description faite en référence aux dessins annexés donnés à titre d’exemple et qui représentent, respectivement :
[0026] la figure 1 représente un système selon l’invention ;
[0027] la figure 2 représente les différentes étapes du procédé selon l’invention ;
[0028] les figures 3 et 4 représentent deux modes de réalisation du procédé selon l’invention ;
[0029] la figure 5 représente l’application du procédé selon le premier mode de réalisation, en réponse à une cyberattaque.
[0030] La figure 1 illustre l’architecture d’ensemble du système pour mettre en œuvre le procédé selon l’invention. [0031] Le système multimédia IVI comprend un écran tactile SC afin d’afficher les informations de navigation, ainsi que tout type de contenu multimédia tel que des images, des vidéos. L’écran tactile SC est également configuré pour restituer l’affichage d’un smartphone de l’utilisateur.
[0032] Le système multimédia IVI est composé de deux systèmes s’exécutant concurremment, à savoir un système d’exploitation OS configuré pour déporter l’affichage d’un dispositif de communication extérieur sur un afficheur tactile du système multimédia, ainsi qu’un environnement sécurisé authentifié TEE.
[0033] L’environnement sécurisé authentifié TEE, également appelé « Trusted Execution Environment » dans la littérature anglo-saxonne. L’environnement sécurisé authentifié TEE est configuré pour fournir un niveau de sécurité supérieur au niveau de sécurité du système d’exploitation, en s’appuyant sur sa capacité à isoler partiellement ou totalement certains périphériques (mémoires, écrans etc.).
[0034] Dans le système selon l’invention, le contrôleur d’appui TC (ou « driver » d’écran tactile) détecte un appui utilisateur sur l’afficheur tactile SC, et convertit l’appui en commande interprétable par l’environnement sécurisé authentifié TEE.
[0035] Les parties de l’interface utilisateur identifiées comme sensibles, à savoir permettant une interaction avec le véhicule, sont exécutées par un composant d’authentification CA intégré à l’environnement sécurisé authentifié TEE.
[0036] Si l’utilisateur interagit avec l’interface de sorte qu’il demande à contrôler certaines commandes du véhicule, le composant d’authentification CA génère alors des commandes signées à l’aide d’une clé de sécurité. L’environnement sécurisé authentifié TEE garantit la confidentialité de cette clé en s’appuyant sur les capacités d’isolation de l’environnement sécurisé authentifié TEE.
[0037] L’environnement sécurisé authentifié TEE transmet les commandes au système d’exploitation OS qui enverra la commande à l’unité de contrôle électronique UC, par exemple l’ordinateur de bord (BCM pour Body Control Module), ou le système qui gère l’aide à la conduite (ADAS pour Advanced Driver Assistance Systems). La transmission est effectuée sur une liaison de données, par exemple un bus de données CAN ou un bus l2C.
[0038] Le procédé est décrit plus en détail en référence aux figures 2 à 5. [0039] Le procédé comprend quatre étapes.
[0040] Dans une première étape a), l’environnement sécurisé authentifié TEE signe la commande utilisateur.
[0041] La signature est effectuée à l’aide d’une méthode cryptographique connue de l’homme du métier. La méthode cryptographique peut être du type symétrique, à clé partagée (par exemple mettant en oeuvre l’algorithme AES, DES ou Triple DES), ou encore asymétrique avec l’utilisation de clés publiques et privées (par exemple mettant en oeuvre l’algorithme RSA).
[0042] Dans une deuxième étape b), le système d’exploitation OS transmet la commande signée à l’unité de contrôle électronique UC.
[0043] Dans une troisième étape c), l’unité de contrôle électronique UC vérifie la signature.
[0044] Dans une quatrième étape d) la commande utilisateur est exécutée.
[0045] La figure 3 illustre un premier mode de réalisation du procédé selon l’invention.
[0046] L’utilisateur USR effectue une activation physique (appui écran) d’au moins une zone de l’afficheur SC, par exemple en appuyant sur l’écran afin de commander une fonction du véhicule, ou encore pour naviguer dans un menu propre à une fonction du véhicule.
[0047] L’environnement sécurisé authentifié TEE détecte la commande utilisateur (étape a’)).
[0048] L’information d’appui est transmise par l’écran au contrôleur d’appui TC, qui interprète l’activation de la zone de l’écran SC, afin que la commande soit interprétable par le système d’exploitation OS (étape a”)).
[0049] Par ailleurs, le contrôleur d’appui TC transmet au composant d’authentification CA une « copie » de l’événement d’appui, typiquement la zone où l’appui a été effectué, et avec quelle pression. Le composant d’authentification CA sauvegarde ensuite cet événement avec une datation (« timestamp »).
[0050] L’environnement sécurisé authentifié TEE est particulièrement difficile à attaquer de par son isolation et sa taille limitée, réduisant de fait la surface d’attaque exposé au système d’exploitation OS. La transmission d’une copie de l’événement d’appui par l’attaquant, sans qu’il n’y ait eu d’appui réel sur l’afficheur SC, est donc difficilement réalisable.
[0051] La partie IHM (Interface Homme Machine) du système d’exploitation OS met à jour l’affichage en fonction de la zone activée par l’utilisateur. Par exemple, la partie IHM met à jour l’affichage du menu au fur et à mesure que l’utilisateur navigue dans un menu, ou bien sélectionne une commande (étape a’”)).
[0052] Le système d’exploitation OS reçoit lui-même les événements du contrôleur d’appui TC, et il met à jour son affichage. L’environnement sécurisé authentifié TEE se comporte donc comme un contrôleur d’appui virtuel, et relaye les événements reçus du contrôleur d’appui physique.
[0053] La partie IHM du système d’exploitation OS transmet la demande d’accès à une fonction du véhicule REQ1 , qui correspond à la commande utilisateur, à un module HAL (couche d'abstraction matérielle) du système d’exploitation OS.
[0054] Le module HAL est une interface qui définit les propriétés du véhicule que le fabricant ou l’équipementier peut implémenter. Le module HAL contient des métadonnées de propriété. Pour le chauffage, ventilation et climatisation (HVAC), les propriétés peuvent être par exemple le réglage de la température par zone, ou le contrôle de la recirculation par zone.
[0055] Le module HAL définit si les propriétés sont en lecture seule, en écriture seule ou en lecture et en écriture.
[0056] En réponse à la demande d’accès effectuée par la partie IHM, le module HAL transmet au composant d’authentification CA la requête d’accès à une fonction du véhicule REQ1 (sous-étape i)).
[0057] Dans la sous-étape ii), le composant d’authentification CA valide la commande si le délai entre l’instant de réception de la requête de fonction de véhicule REQ1 et l’instant de la commande utilisateur sur l’afficheur tactile SC (i.e. l’instant d’appui) est inférieur à une valeur prédéterminée (par exemple quelques millisecondes).
[0058] Dans l’affirmative, le composant d’authentification CA signe la commande utilisateur, ce qui garantit l’authenticité de la commande. En effet, l’environnement sécurisé authentifié TEE a peu d’interactions avec le système d’exploitation OS du système multimédia IVI, ce qui le protège d’une attaque malveillante visant à prendre le contrôle du système d’exploitation OS voire même de l’ordinateur de bord du véhicule.
[0059] La commande signée est transmise au module HAL, qui le retransmet à l’unité de contrôle électronique UC, par exemple l’ordinateur de bord BCM ou le système qui gère l’aide à la conduite ADAS. Il est essentiel que l’unité électronique UC ne reçoive pas une commande initiée par un utilisateur non authentifié. L’unité électronique UC vérifie ainsi la signature.
[0060] La signature numérique de la commande par le composant d’authentification CA, et la vérification de la signature par l’unité électronique UC, utilisent un mécanisme de cryptographie asymétrique ou symétrique. Ce mécanisme permet de s'assurer de l'authenticité de l'expéditeur.
[0061] Une fois que l’unité électronique UC a vérifié l’authenticité de la commande, l’actionneur ACT exécute la commande utilisateur.
[0062] Selon ce premier mode de réalisation, le système d’exploitation OS garde le contrôle total de l’affichage sur l’afficheur SC : la partie IHM du système d’exploitation OS effectue les mises à jour de l’afficheur SC. Dans ce cas il existe un risque qu’un attaquant « surcharge » l’interface réelle dans le but de pousser l’utilisateur à interagir avec l’écran, et donc de déclencher des commandes véhicule à son insu.
[0063] La figure 4 illustre un deuxième mode de réalisation du procédé selon l’invention, dans lequel l’environnement sécurisé authentifié TEE a la main non seulement sur la couche tactile de l’afficheur SC (couche supérieure), mais également sur la couche d’affichage de l’afficheur SC (couche inférieure).
[0064] Dans le deuxième mode de réalisation, l’activation d’une zone de l’écran est transmise directement au système d’exploitation OS.
[0065] Dans ce mode de réalisation, quand l’utilisateur, en naviguant dans les menus, sélectionne une commande sécurisée du véhicule (par exemple HVAC ou ADAS), le système d’exploitation OS envoie la commande correspondante, par exemple « start HVAC » ou « start ADAS », demandant à l’environnement sécurisé authentifié TEE de prendre la main sur l’afficheur SC pour afficher le menu concerné. [0066] Si l’utilisateur appuie sur des commandes véhicule, l’environnement sécurisé authentifié TEE envoie les commandes chiffrées au système d’exploitation OS pour transfert à l’unité électronique UC.
[0067] Le composant d’authentification reçoit une trame START de commencement d’action sécurisée relative à la commande utilisateur, en réponse à l’activation de la zone de l’afficheur.
[0068] Quand l’environnement sécurisé authentifié TEE reçoit la trame « START » l’environnement sécurisé authentifié TEE devient le seul élément contrôlant totalement l’afficheur SC. C’est l’environnement sécurisé authentifié TEE qui fournit le contenu sur l’écran. Pour autant, l’environnement sécurisé authentifié TEE ne dispose pas des informations du système d’exploitation OS, telles que l’heure, les notifications etc.
[0069] Pour maintenir une unité dans l’expérience utilisateur, le système d’exploitation OS peut envoyer une capture d’écran de ce qu’il souhaite afficher de manière régulière à l’environnement sécurisé authentifié TEE.
[0070] L’environnement sécurisé authentifié TEE va superposer la partie qu’il doit fournir en contenu (i.e. le menu d’interaction véhicule, par exemple HVAC) sur la capture d’écran reçue de la part du système d’exploitation OS.
[0071] Dans la figure 4, la partie encadrée est entièrement gérée par l’environnement sécurisé authentifié TEE, ce qui accroît le niveau de sécurité par rapport au premier mode de réalisation.
[0072] Le module HAL transmet au composant d’authentification l’information de début de fonction sécurisée START, donc l’appui utilisateur est considéré par le contrôleur d’appui TC comme étant un appui sécurisé. [0073] Après avoir détecté l’événement d’appui sécurisé correspondant cette fois-ci à une commande spécifique de la commande sécurisée (par exemple ADAS ou HVAC), le composant d’authentification signe la commande, et la transmet au module HAL, qui la retransmet à l’unité électronique UC.
[0074] Après avoir transmis la commande signée au module HAL, le composant d’authentification CA génère une trame END de fin d’action sécurisée relative à la commande utilisateur. La trame END est donc envoyée quand l’utilisateur décide de « sortir » de l’écran affiché par l’environnement sécurisé authentifié TEE.
[0075] L’unité électronique UC vérifie ensuite la signature de la commande signée, et, si la commande est authentifiée, à savoir que la commande est bien générée par l’environnement sécurisé authentifié TEE et donc correspond bien à une interaction utilisateur, l’unité électronique UC exécute la commande par le biais de l’actionneur ACT.
[0076] Ce mode de réalisation a donc deux avantages. Premièrement, la sécurité est améliorée, car seul l’environnement sécurisé authentifié TEE affiche du contenu à l’écran. Deuxièmement, l’environnement sécurisé authentifié TEE ne contrôle le contrôleur d’appui TC que quand cela est nécessaire (alors que dans le premier mode de réalisation, il y a une latence supplémentaire).
[0077] La figure 5 illustre un exemple d’attaque malveillante visant à prendre le contrôle d’une fonction du véhicule, en lien avec le premier mode de réalisation. [0078] L’attaquant émule, via le système d’exploitation OS, une fonction de commande d’un actionneur. Le module HAL, en réponse à une demande de fonction transmise par la partie IHM, envoie l’information correspondante au composant d’authentification CA.
[0079] Le composant d’authentification CA vérifie si la commande correspond à une activation physique par un utilisateur, par exemple un appui sur l’écran. Pour cela, le composant d’authentification CA vérifie si l’utilisateur a interagi avec l’écran sur une période prédéterminée précédant la vérification d’appui (par exemple sur les X dernières milli secondes).
[0080] Dans le cadre d’une attaque malveillante, la commande utilisateur n’est pas datée, donc le composant d’authentification CA envoie un message d’erreur au module HAL. Dans le même temps, l’attaquant peut générer une fausse signature. Dans les deux cas, l’unité électronique UC vérifie la signature, et renvoi un message d’erreur, car la commande n’est pas authentifiée.
[0081] Avec cette solution, il est donc impossible pour un attaquant ayant pris le contrôle du système d’exploitation OS d’utiliser les commandes véhicule sans prendre le contrôle de l’environnement sécurisé authentifié TEE. Or, la prise de contrôle de l’environnement sécurisé authentifié TEE est complexe, de par son isolation par rapport à la surface d’attaque habituelle des systèmes d’exploitation, et de par sa taille limitée.
[0082] L’invention permet ainsi d’augmenter le niveau de sécurité de certaines interfaces utilisateur en créant une chaîne de confiance entre l’action sur l’écran et l’action initiée par le système multimédia, tout en limitant l’impact sur l’expérience utilisateur (pas de nécessité d’avoir un autre écran).
[0083] L’invention n’est pas limitée au domaine automobile. Elle peut être utilisée dans tout système proposant une interaction utilisateur nécessitant un certain niveau de sécurité, où un accès à distance aux fonctions exposées peut présenter un intérêt pour un attaquant.
[0084] Par exemple, le procédé peut être appliqué à un système domotique avec une interface utilisateur disponible à l’intérieur de la maison, et connectée à un dispositif communicant extérieur peu sécurisé, par exemple un smartphone. Ainsi, les fonctions exposées, par exemple le contrôle des ouvrants, peuvent être protégées, de sorte qu’en cas de compromission de l’écran de contrôle, aucune action ne puisse être initiée sans accès physique à l’écran du système domotique.

Claims

REVENDICATIONS
1. Procédé de vérification de l’authenticité d’une commande d’un actionneur (ACT) susceptible d’être contrôlé par une unité de contrôle électronique (UC), l’unité de contrôle électronique (UC) étant reliée à un système multimédia (IVI) comprenant :
- un afficheur tactile (SC) configuré pour recevoir une commande utilisateur, et pour afficher des informations relatives à la commande de l’actionneur (ACT),
- un système d’exploitation (OS) configuré pour déporter l’affichage d’un dispositif de communication extérieur sur l’afficheur tactile du système multimédia (IVI), et
- un environnement sécurisé authentifié (TEE) configuré pour fournir un niveau de sécurité supérieur au niveau de sécurité du système d’exploitation (OS), l’environnement sécurisé authentifié (TEE) comprenant un contrôleur d’appui (TC) configuré pour détecter une commande utilisateur sur l’afficheur tactile (SC), le procédé comprenant:
- a) une signature d’une commande utilisateur par l’environnement sécurisé authentifié (TEE), ladite commande utilisateur correspondant à une activation physique d’au moins une zone de l’afficheur (SC);
- b) une transmission par le système d’exploitation (OS) de la commande signée à l’unité de contrôle électronique (UC) ;
- c) une vérification de la signature par l’unité de contrôle électronique (UC) ;
- d) une exécution de la commande utilisateur par l’actionneur (ACT).
2. Procédé selon la revendication 1 , comprenant au préalable: a’) une détection, par l’environnement sécurisé authentifié (TEE), de la commande utilisateur ; a”) une retransmission de la commande depuis l’environnement sécurisé authentifié (TEE) vers le système d’exploitation (OS) ; a’”) une mise à jour de l’affichage sur l’afficheur tactile (SC) en fonction de la commande utilisateur.
3. Procédé selon la revendication 2, dans lequel, l’environnement sécurisé authentifié (TEE) comprend un composant d’authentification (CA) configuré pour commander des fonctions sécurisées relatives à la commande de l’actionneur (ACT), et pour dater la commande utilisateur effectuée sur l’afficheur tactile (SC), l’étape a) de signature d’une commande comprenant :
- i) une réception, par le composant d’authentification (CA) d’une requête de fonction de véhicule (REQ1) émise par le système d’exploitation (OS), et
- ii) une signature de la commande si le délai entre l’instant de réception de la requête de fonction de véhicule (REQ1) et l’instant de la commande utilisateur sur l’afficheur tactile (SC) est inférieur à une valeur prédéterminée.
4. Procédé selon l’une des revendications 1 ou 2, dans lequel l’environnement sécurisé authentifié (TEE) comprend un composant d’authentification (CA) configuré pour commander des fonctions sécurisées relatives à la commande de l’actionneur (ACT), l’étape a) de signature de commande comprenant au préalable une détection, par le composant d’authentification (CA), d’une trame (START) de commencement d’action sécurisée relative à la commande utilisateur, en réponse à l’activation de la zone de l’afficheur, de façon à afficher un menu d’interaction véhicule; le composant d’authentification (CA) générant, en réponse à l’étape b) de transmission par le système d’exploitation (OS) de la commande signée, une trame (END) de fin d’action sécurisée relative à la commande utilisateur.
5. Procédé selon la revendication 4, dans lequel le système d’exploitation (OS) envoie régulièrement une capture d’écran, à l’environnement sécurisé authentifié (TEE), du contenu spécifique au système d’exploitation (OS), et l’environnement sécurisé authentifié (TEE) superpose le menu d’interaction véhicule sur la capture d’écran reçue de la part du système d’exploitation (OS).
6. Procédé selon l’une des revendications précédentes, dans lequel l’actionneur (ACT) est configuré pour exécuter une commande de contrôle du confort d’un véhicule automobile, de contrôle de la configuration de la boite de vitesse automatique d’un véhicule automobile ou d’une fonction d’aide à la conduite d’un véhicule automobile.
7. Procédé selon l’une des revendications 1 à 5, dans lequel l’actionneur (ACT) est configuré pour exécuter une commande d’un système domotique.
8. Procédé selon l’une des revendications précédentes, dans lequel le dispositif de communication extérieur est un téléphone intelligent ou une tablette.
9. Procédé selon l’une des revendications précédentes, dans lequel l’activation physique d’au moins une zone de l’afficheur tactile (SC) comprend l’appui par l’utilisateur d’une zone de l’afficheur tactile (SC).
10. Système de commande d’un actionneur (ACT) susceptible d’être contrôlé par une unité de contrôle électronique (UC), l’unité de contrôle électronique (UC) étant reliée à un système multimédia (IVI) comprenant :
- un afficheur tactile (SC) configuré pour recevoir une commande utilisateur, et pour afficher des informations en lien avec la commande de l’actionneur (ACT), - un système d’exploitation (OS) configuré pour déporter l’affichage d’un dispositif de communication extérieur sur l’afficheur tactile du système multimédia (IVI), et - un environnement sécurisé authentifié (TEE) configuré pour fournir un niveau de sécurité plus élevé que le système d’exploitation (OS), l’environnement sécurisé authentifié (TEE) comprenant un contrôleur d’appui configuré pour détecter une commande utilisateur sur l’afficheur tactile (SC), le système étant en outre configuré pour mettre en oeuvre le procédé selon l’une des revendications précédentes.
EP22706005.0A 2021-02-12 2022-01-31 Procédé de vérification de l'authenticité d'une commande d'un actionneur Pending EP4292007A1 (fr)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
FR2101359A FR3119906B1 (fr) 2021-02-12 2021-02-12 Procédé de vérification de l’authenticité d’une commande d’un actionneur
PCT/EP2022/052161 WO2022171468A1 (fr) 2021-02-12 2022-01-31 Procédé de vérification de l'authenticité d'une commande d'un actionneur

Publications (1)

Publication Number Publication Date
EP4292007A1 true EP4292007A1 (fr) 2023-12-20

Family

ID=75278225

Family Applications (1)

Application Number Title Priority Date Filing Date
EP22706005.0A Pending EP4292007A1 (fr) 2021-02-12 2022-01-31 Procédé de vérification de l'authenticité d'une commande d'un actionneur

Country Status (7)

Country Link
US (1) US20240320316A1 (fr)
EP (1) EP4292007A1 (fr)
JP (1) JP2024506539A (fr)
KR (1) KR20230146580A (fr)
CN (1) CN116868196A (fr)
FR (1) FR3119906B1 (fr)
WO (1) WO2022171468A1 (fr)

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
FR3121410B1 (fr) * 2021-04-06 2024-03-08 Renault Sas Procédé de pilotage autonome d’un actionneur d’un appareil automobile

Family Cites Families (12)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20050275661A1 (en) 2004-06-10 2005-12-15 Cihula Joseph F Displaying a trusted user interface using background images
FR2983617B1 (fr) * 2011-12-06 2014-01-03 Somfy Sas Procede de fonctionnement d'une entite d'alimentation et de communication et d'un actionneur destines a faire partie d'un systeme domotique
JP2015505434A (ja) * 2011-12-29 2015-02-19 インテル コーポレイション セキュリティ上安全な電子機器
EP2775421B1 (fr) * 2013-03-05 2019-07-03 Wincor Nixdorf International GmbH Plate-forme de terminal sécurisé
WO2015029191A1 (fr) * 2013-08-29 2015-03-05 三菱電機株式会社 Système de gestion de processus sur véhicule, procédé de gestion de processus sur véhicule, et programme
JP6228093B2 (ja) * 2014-09-26 2017-11-08 Kddi株式会社 システム
US10178087B2 (en) 2015-02-27 2019-01-08 Samsung Electronics Co., Ltd. Trusted pin management
KR101759136B1 (ko) * 2015-11-17 2017-07-31 현대자동차주식회사 차량 헤드 유닛과 외부 기기 연동 시 차량 전용 데이터 채널 보안 서비스 제공 방법 및 그를 위한 장치
WO2017138935A1 (fr) * 2016-02-10 2017-08-17 Harman International Industries, Incorporated Systèmes et procédés d'assistance de véhicule
US20180012037A1 (en) * 2016-07-05 2018-01-11 Nxp B.V. Secure operation apparatuses and methods therefor
GB2565282B (en) * 2017-08-02 2021-12-22 Vnc Automotive Ltd Remote control of a computing device
US10752207B2 (en) * 2018-09-07 2020-08-25 Ford Global Technologies, Llc Multi-factor authentication of a hardware assembly

Also Published As

Publication number Publication date
KR20230146580A (ko) 2023-10-19
FR3119906B1 (fr) 2024-01-19
JP2024506539A (ja) 2024-02-14
WO2022171468A1 (fr) 2022-08-18
FR3119906A1 (fr) 2022-08-19
US20240320316A1 (en) 2024-09-26
CN116868196A (zh) 2023-10-10

Similar Documents

Publication Publication Date Title
EP2494489B1 (fr) Procédé et agent client pour contrôler l'utilisation d'un contenu protégé
EP4195078A1 (fr) Procédé de commande de dispositif monté sur un véhicule, dispositif monté sur un véhicule et système de véhicule
EP3198517A1 (fr) Telephone intelligent ou tablette a affichage securise
JP2010537270A (ja) 暗黙型自己インストールセキュリティ環境のための仮想トークン
US12259965B2 (en) Mobile device with secure private memory
EP3084671A1 (fr) Création automatique d'une identité forte pour des noeuds de grappe
EP2316088A2 (fr) Systeme et procede pour la securisation d'une interface utilisateur
WO2024222529A1 (fr) Procédé et appareil de commande de véhicule, terminal mobile, véhicule et support de stockage
KR20210116644A (ko) 파일 처리 방법 및 단말 디바이스
US12542009B2 (en) In-vehicle network access method and device, storage medium and chip
EP4292007A1 (fr) Procédé de vérification de l'authenticité d'une commande d'un actionneur
EP3195641B1 (fr) Procédé d'appairage
WO2024007719A1 (fr) Dispositif d'affichage et procédé de commande pour un dispositif d'affichage
US20250247901A1 (en) Techniques for communicating data
CN111241522B (zh) 固件签名方法及装置、存储介质
WO2019110140A1 (fr) Procede numerique de controle d'acces a un objet, une ressource ou service par un utilisateur
EP3437294B1 (fr) Systeme de commande d'un vehicule a distance
Eriksson et al. On the road with third-party apps-security, safety and privacy aspects of in-vehicle apps
CN120372646A (zh) 数据安全保护方法、装置、系统、电子设备及存储介质
CN120455120A (zh) 数据处理方法、装置、车辆、存储介质及产品
EP4589885A1 (fr) Protection de données
CN120663866A (zh) 车辆解锁方法及相关装置
WO2025125562A1 (fr) Procédé d'authentification d'un individu pour la mise en œuvre d'une transaction sur un terminal marchand
FR3109001A1 (fr) Procédé sécurisé d’inhibition d’enregistrement des défauts d’équipements électroniques en vue d’une mise à jour d’un composant du véhicule par le client final
CN116193387A (zh) 车载单元数据的处理方法、装置、存储介质及电子设备

Legal Events

Date Code Title Description
STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: UNKNOWN

STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: THE INTERNATIONAL PUBLICATION HAS BEEN MADE

PUAI Public reference made under article 153(3) epc to a published international application that has entered the european phase

Free format text: ORIGINAL CODE: 0009012

STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: REQUEST FOR EXAMINATION WAS MADE

17P Request for examination filed

Effective date: 20230706

AK Designated contracting states

Kind code of ref document: A1

Designated state(s): AL AT BE BG CH CY CZ DE DK EE ES FI FR GB GR HR HU IE IS IT LI LT LU LV MC MK MT NL NO PL PT RO RS SE SI SK SM TR

RAP1 Party data changed (applicant data changed or rights of an application transferred)

Owner name: NISSAN MOTOR CO. LTD

Owner name: AMPERE SAS

DAV Request for validation of the european patent (deleted)
DAX Request for extension of the european patent (deleted)