FR2718091A1

FR2718091A1 - Dispositif de sûreté contre le vol appliquant un codage électronique d'autorisation d'utilisation pour véhicule.

Info

Publication number: FR2718091A1
Application number: FR9503766A
Authority: FR
Inventors: Brinkmeyer Horst; Daiss Michael; Schwegler Gunter; Kruger Bertolt
Original assignee: Daimler Benz AG; Mercedes Benz AG
Current assignee: Daimler Benz AG
Priority date: 1994-04-01
Filing date: 1995-03-30
Publication date: 1995-10-06
Anticipated expiration: 2015-03-30
Also published as: US5708712A; FR2718091B1; ITRM950198A1; JP2673941B2; IT1278477B1; ITRM950198A0; GB9506278D0; JPH07309208A; GB2288049B; DE4411450C1; GB2288049A

Abstract

Ce dispositif applique un procédé de codage avec une fonction à sens unique et une information aléatoire dans un échange bidirectionnel de données. Côté clé (utilisateur), il comprend notamment une puce dans laquelle différentes unités fonctionnelles, telles que des mémoires (3, 4) et une unité (7) pour la génération de valeurs de fonction à sens unique, sont réalisées au niveau du logiciel, de même qu'un émetteur (5) et un récepteur (26). Côté véhicule, il comprend des unités d'appareils (2) avec une puce réalisant différentes fonctions, notamment de portes (13, 15, 18), de mémoires (14, 15) et d'unité (24) génératrice d'informations aléatoires, de même qu'un émetteur (25) et un récepteur (10). Une seule information secrète est stockée dans une seule unité d'appareil (2) côté véhicule. Applicable aux systèmes électroniques de fermeture et/ou de blocage du départ.

Description

L'invention concerne un dispositif de sûreté à codage électronique

d'autorisation d'utilisation pour vé- hicule, comprenant une unité de clé côté utilisateur pour recevoir une information aléatoire et émettre ensuite une information de code d'utilisateur dépendante d'elle, et une unité d'appareil côté véhicule pour émettre une in- formation aléatoire et recevoir ensuite une information de code d'utilisateur, pour déterminer une information d'autorisation réelle dépendante de l'information de code d'utilisateur reçue et la comparer avec une information d'autorisation de consigne présente côté véhicule, ainsi que pour générer une information de permission d'utilisa- tion suivant le résultat de cette comparaison. Les dispo- sitifs de ce type comportent un côté clé et un côté véhi- cule entre lesquels s'effectue un échange bidirectionnel de données pendant des contrôles d'autorisation d'utili- sation du véhicule.

Les dispositifs de sûreté pour véhicule utili- sant une transmission unidirectionnelle de données pour contrôler l'autorisation d'utilisation, à partir du côté clé vers le côté véhicule seulement, sont connus par exemple sous la forme de verrous de départ électroniques fonctionnant selon ce que l'on appelle un procédé à code changeant et servant à protéger le véhicule contre une utilisation non autorisée par un tiers, voir par exemple le prospectus "Diebstahlschutz fur das Auto" de la firme TEMIC TELEFUNKEN microelektronik GmbH d'août 1993. Compa- rativement à un procédé à code fixe, précédemment usuel, comme décrit par exemple dans la demande de brevet alle- mand soumise à l'inspection publique DE 29 11 828, l'ap- plication d'un tel procédé à code changeant accroît la sûreté contre une utilisation non autorisée du véhicule, à la suite de l'écoute (de l'espionnage) d'un ou plu- sieurs protocoles d'émission de code, du fait que l'in- formation de code change à chaque opération d'authentification, c'est-à-dire à chaque opération de contrôle de

l'autorisation d'utilisation. Si l'on veut conserver la transmission unidirectionnelle de l'information de code - connue par le procédé à code fixe -, seulement à partir du côté clé vers le côté véhicule, ce changement de code est réalisable par le stockage, à la fois côté clé et côté véhicule, d'une information secrète relative à un nombre de base et d'un algorithme selon lequel les informations de code successives peuvent être dérivées du nombre de base, de sorte que l'autorisation d'utilisation est contrôlable, côté véhicule, en comparant chaque fois l'information de code générée côté véhicule avec l'infor-

mation de code émise côté clé. Il est connu aussi, en va- riante, d'introduire, côté clé et côté véhicule, après chaque authentification réussie et par une synchronisa- tion forcée, une nouvelle information de code autori- sante, choisie au hasard ou fixée par détermination, pour l'authentification suivante, voir par exemple la demande de brevet allemand DE 32 34 539 Ai soumise à l'inspection publique et le brevet allemand DE 33 13 098 Cl. Les systèmes de sûreté avec seulement une transmission unidirectionnelle de données, possèdent, comme d'ailleurs beaucoup de systèmes à fonctionnement bidirectionnel, le point faible suivant. Lorsqu'un utili- sateur autorisé passe son unité de clé temporairement à une autre personne, par exemple lors d'un séjour à l'hôtel pour parquer sa voiture, cette personne peut se confectionner de manière simple une double clé par la lecture des informations délivrées côté clé et par leur

mémorisation, avant de rendre l'unité de clé à l'utilisa- teur légitime. Or, avant même que ce dernier réutilise de nouveau le véhicule, un tiers non autorisé, utilisant la double clé, peut s'authentifier vis-à-vis du véhicule et s'en servir ensuite abusivement. Cette façon de procéder pour s'approprier frauduleusement un véhicule est en outre plus difficile à démontrer éventuellement qu'un vol de clé direct. Dans le cadre d'un système de sûreté utilisant un code, on peut contrer une telle tentative de vol de véhicule en prévoyant pour l'authentification un échange bidirectionnel de données, au cours duquel une information imprédictible par un tiers est transmise du véhicule à la clé, information qui entre dans l'informa- tion d'authentification retournée par l'unité de clé.

On connaît déjà des systèmes de sûreté pour vé- hicule, du type mentionné au début, qui appliquent ce que l'on appelle un procédé de cryptage symétrique selon le- quel l'authentification s'effectue par un échange bidi- rectionnel de données et un algorithme de codage secret analogue est stocké d'une part côté clé et d'autre part côté véhicule. A la suite d'une information d'entrée ame- née aux deux côtés, par exemple d'une information de chiffre aléatoire, cet algorithme génère une information de code correspondante; ensuite, l'information de code côté clé est envoyée au côté véhicule o elle est contrô- lée quant à sa concordance avec l'information de code gé- nérée côté véhicule. Un procédé de ce type est décrit dans la demande de brevet allemand DE 32 25 754 A1 sou- mise à l'inspection publique.

Tous les procédés connus mentionnés ci-dessus, nécessitent par conséquent la mémorisation d'une informa- tion secrète, côté véhicule, dans toutes les unités d'ap- pareils participant à l'authentification. Ceci implique une dépense de sûreté logistique appropriée pour l'intro- duction de telles informations de données secrètes chez le constructeur du véhicule, le fabricant de composants et/ou dans les ateliers o cette information secrète spé- cifique au véhicule doit être introduite dans des unités d'appareils de remplacement. Le problème technique sur lequel est basée l'invention, consiste à apporter un dispositif de sûreté pour véhicule, du type mentionné au début, dispositif

qui, moyennant une dépense comparativement faible et l'utilisation aussi réduite que possible d'une information secrète stockée côté véhicule, tout en permettant un maniement commode, offre une protection relativement haute contre l'utilisation non autorisée du véhicule par des tiers, le dispositif devant notamment être réalisé de manière qu'une personne non autorisée ne puisse, par la simple écoute (espionnage) et la mémorisation de l'information transmise pendant des tentatives d'authentification, se servir ensuite de manière simple et abusivement du véhicule grâce à une authentification couronnée de succès par l'utilisation des informations écoutées. Selon l'invention, on obtient ce résultat par un dispositif de sûreté qui est caractérisé en ce que - les informations de code d'utilisateur émises l'une après l'autre, contiennent des valeurs originales changeantes pour une fonction à sens unique, l'infor-

mation de valeur originale étant chaque fois combinée selon un code avec l'information aléatoire, - l'unité d'appareil comporte des moyens pour extraire l'information de valeur originale d'une information de code d'utilisateur recue, - l'information d'autorisation de consigne est chaque fois la valeur de fonction à sens unique de la valeur originale contenue dans une information de code d'utilisateur coordonnée et - la détermination de l'information d'autorisation réelle à partir de l'information de code d'utilisa- teur reçue, comporte la formation de la valeur de fonction à sens unique de la valeur originale conte- nue dans l'information de code d'utilisateur reçue.

Un dispositif de sûreté ainsi réalisé offre, moyennant une dépense comparativement faible, une protec- tion relativement haute contre l'utilisation non autori- sée du véhicule par un tiers, avec tout au plus l'obliga- tion de mémoriser une information secrète dans une seule unité d'appareil côté véhicule, ce qui maintient très faibles les coûts de la sûreté logistique nécessaire chez le constructeur du véhicule et dans les ateliers, de même que les risques de sécurité qui y sont liés. Le système apporte en particulier la garantie que l'écoute d'infor- mations d'authentification émises lors de tentatives d'authentification ne permettent pas de confectionner une double clé par laquelle est réalisable ensuite une au- thentification réussie puisque l'information de code d'utilisateur émise depuis le côté clé dépend, à chaque tentative d'authentification, d'une information aléatoire émise précédemment depuis le côté véhicule. Les disposi- tions logistiques à prendre pour la sécurité n'augmentent pas considérablement lorsqu'un grand nombre d'unités

d'appareils participe, côté véhicule, à l'authentifica- tion, ceci afin de rendre économiquement inintéressante le contournement du verrou de départ par le simple rem- placement d'une unité ou d'un faible nombre d'unités d'appareils participant à l'authentification. La sécurité du code servant à l'authentification est basée sur la propriété intrinsèque d'une fonction mathématique à sens unique selon laquelle l'algorithme servant à calculer une valeur de fonction à sens unique pour une valeur origi- nale est comparativement simple, alors que l'obtention d'une valeur originale associée à une valeur de fonction à sens unique donnée n'est pas possible dans les limites d'un intervalle de temps disponible par des calculs réalisables dans la pratique. La propriété d'une fonction d'être une fonction à sens unique, dépend donc aussi de la capacité de calcul présente. Dans l'état actuel de la technologie des calculateurs, de telles fonctions à sens

unique sont connues par exemple sous la forme de fonc- tions parasites appelées fonctions hash et appliquées surtout pour protéger des messages dans la cryptographie, un nombre d'environ 250 opérations de calcul et de mémo- risation de valeurs hash pouvant être considéré actuelle- ment comme la limite supérieure de la dépense en calculs réalisable dans la pratique. En raison de l'irréversibi- lité pratique de la fonction à sens unique, il n'est pas

nécessaire de traiter sous secret les valeurs de fonction à sens unique côté véhicule car même une lecture fraudu- leuse de ces valeurs dans le véhicule ne permettrait pas à un tiers de trouver les valeurs originales coordonnées et de confectionner avec elles une double clé électro- nique. La sécurité du système contre l'exploitation de l'écoute d'une tentative d'authentification résulte éga- lement du fait qu'une nouvelle information de code à va- leur originale est envoyée pour chaque tentative d'authentification. En fonction du résultat de la comparaison des informations d'autorisation réelle et de consigne, l'unité d'authentification côté véhicule délivre une in- formation de permission d'utilisation qui, dans le cas d'une tentative d'authentification couronnée de succès, conduit au désarmement (au déverrouillage) d'un verrou de départ électronique coordonné et, en cas de tentative

d'authentification non réussie, conduit à l'armement du- rable de ce verrou, lequel a notamment pour effet qu'après le retrait de la clé de contact, au moins une unité d'appareil se rapportant côté véhicule à l'accès ou au fonctionnement du véhicule - il peut s'agir par exemple d'une commande de fermeture, d'un appareil de commande du moteur, et ainsi de suite - est maintenue à une position de blocage. Un mode de réalisation de l'invention prévoit que - les valeurs originales émises l'une après l'autre re- présentent une séquence qui résulte de l'application répétée de la fonction à sens unique, ces valeurs originales étant utilisées, pour la formation des in- formations de code d'utilisateur successives, dans un ordre de succession inversé par rapport à la forma- tion de la séquence, et - l'information d'autorisation de consigne consiste chaque fois en la valeur originale émise la dernière

fois, ensemble avec l'information de code d'utilisa- teur, pour une opération de contrôle de l'autorisa- tion d'utilisation ayant eu un résultat positif avec a même unité de clé.

La mise à disposition des valeurs originales stockées côté clé est ainsi réalisée de manière simple et avantageuse, du fait que cette suite de valeurs est for- mée par l'exécution successive de la fonction à sens unique, dans un processus selon lequel, pendant l'utili- sation en cours de la clé, la suite est lue en sens in- verse, c'est-à-dire à partir de la valeur originale dé- terminée en dernier jusqu'à la valeur originale initiale. Côté véhicule, ceci apporte l'avantage, quant à la tech- nique de mémorisation, qu'il n'est pas nécessaire de mé- moriser toutes les valeurs de fonction à sens unique co- ordonnées aux valeurs originales. Pour la mise à disposi- tion de l'information d'autorisation de consigne, il suf- fit au contraire de mémoriser, au départ, la valeur de fonction à sens unique coordonnée à la première valeur originale envoyée, après quoi cette information mémorisée est couverte chaque fois, lors d'une authentification réussie avec la même unité de clé, par l'information de valeur originale émise pour cette authentification puis- qu'une valeur originale envoyée précédemment correspond toutjours exactement à la valeur de fonction à sens unique de la valeur originale émise ensuite.

Un autre mode de réalisation de l'invention est caractérisé en ce que des éléments consécutifs sélection- nés de la séquence, servant de points d'appui, ainsi qu'une séquence partielle chaque fois actuelle entre deux points d'appui, sont mémorisés dans une mémoire de va- leurs originales de l'unité de clé, une séquence par- tielle actuelle étant au plus tard générée chaque fois et mémorisée à la place de celle utilisée jusqu'alors quand la dernière valeur originale de la séquence partielle utilisée jusqu'alors a été émise. On peut ainsi économiser de la capacité de mémoire côté clé du fait que sont mémorisées non pas toutes es valeurs originales nécessaires pendant la durée de vie de l'unité de clé, mais seulement des valeurs repré- sentant des points d'appui ayant des espacements choisis de l'ensemble de la suite de valeurs originales, ainsi que, chaque fois, une gamme actuelle de valeurs entre deux points d'appui. A l'aide de l'algorithme pour la fonction à sens unique, stocké également côté clé, une nouvelle gamme actuelle peut être générée, par applica-

tion récursive de la fonction à sens unique à partir du point d'appui suivant, et cette gamme peut être mémorisée chaque fois qu'une gamme actuelle est "consommée" excep- tion faite d'une partie restante pouvant être préfixée.

Un autre mode de réalisation de l'invention prévoit que, chaque fois après un résultat négatif de la comparaison des informations d'autorisation réelle et de consigne, une nouvelle information d'autorisation réelle est déterminée, pour un nombre maximal préfixé de répéti- tions, en tant que valeur de fonction à sens unique de l'information d'autorisation réelle utilisée jusqu'alors, et cette nouvelle information est comparée avec l'infor- mation d'autorisation de consigne. Ainsi est formée, côté clé, ce que l'on appelle une étendue de capture, laquelle permet, dans une mesure pouvant être préfixée, de resynchroniser le côté véhicule avec le côté clé lorsque la synchronisation a été perdue en raison d'une ou plusieurs activités d'émission, côté clé, auxquelles ne correspondait pas, en contrepartie, une activité de réception côté véhicule. Si la valeur de fonction à sens unique d'une valeur originale reçue ne correspond pas, en tant qu'information d'autorisation réelle, à l'information d'autorisation de consigne en vigueur à ce moment côté véhicule, l'étendue de capture admet, pour un nombre maximal prédéterminé de répé- titions, l'exécution d'une formation de fonction à sens unique récursive, pour laquelle la valeur de fonction à sens unique générée chaque fois à partir de l'information

d'autorisation utilisée jusqu'alors, sert de nouvelle in- formation d'autorisation réelle. Lorsque, avec une infor- mation d'autorisation réelle ainsi redéterminée, une concordance est trouvée dans les limites de l'étendue de capture avec l'information d'autorisation de consigne mise en mémoire côté véhicule, cet événement est évalué comme une tentative d'authentification positive, c'est-à- dire réussie, de sorte que le verrou de départ est en- suite supprimé et que l'information de valeur originale émise est mémorisée en tant que nouvelle information d'autorisation de consigne pour la prochaine tentative d'authentification avec la même clé. Si l'étendue de cap- ture est choisie pour correspondre à la puissance (au nombre cardinal) d'une séquence de valeurs originales globalement possible dans l'unité de clé, on peut, en plus, inclure de façon simple et avantageuse une clé de remplacement autorisante et simultanément supprimer auto- matiquement la validité de la clé remplacée.

A cet effet, il est préférable que la clé de remplacement soit initialisée selon un perfectionnement qui est caractérisé en ce que des unités de clés de rem- placement, applicables l'une après l'autre, sont prévues pour l'unité de clé, les valeurs originales d'une unité de clé utilisable ensuite formant une séquence partielle, située directement devant la séquence de valeurs origi- nales d'une unité de clé précédente, séquence partielle qui fait partie d'une séquence totale générée par forma- tion répétée de valeurs de fonction à sens unique à par- tir d'une valeur de départ mémorisée de façon centrale et spécifique à un numéro de clé. Ainsi, l'initialisation demande simplement la mémorisation d'une seule valeur de départ secrète pour la formation des valeurs de fonction à sens unique afin d'initialiser, dans une centrale de clés, la première clé de rechange et toutes les clés sui- vantes remplaçant au besoin l'une après l'autre les clés précédentes.

Une autre caractéristique de l'invention pré- voit que l'on peut utiliser, comme fonction à sens unique, l'une des fonctions parasites connues par la cryptographie et que l'on appelle fonctions hash, en par- ticulier un algorithme RIPEMD, pour lequel on peut consi- dérer, selon l'état actuel de la science cryptographique, qu'il possède la propriété de fonction à sens unique re- quise. Un autre mode de réalisation de l'invention prévoit qu'une pluralité d'unités d'appareils côté véhi- cule est agencée parallèlement pour déterminer chaque fois l'information d'autorisation réelle à partir d'une information de code d'utilisateur reçue et pour la compa- rer avec l'information d'autorisation de consigne, ainsi que pour générer une information de permission d'utilisa- tion en fonction du résultat de la comparaison.

Selon ce mode de réalisation, plusieurs unités d'appareils sont donc incorporées en parallèle, côté vé- hicule, dans le processus d'authentification, unités qui sont avantageusement interconnectées à cet effet par un bus commun de données. Cette distribution décentralisée de l'authentification, laquelle peut s'étendre sur toute les unités d'appareils d'intérêt du véhicule, rend consi- dérablement plus difficile le contournement du verrou de départ par des manipulations mécaniques sous la forme d'un remplacement d'appareil(s) puisqu'il faudrait alors remplacer toutes les unités d'appareils concernées par l'authentification et le verrou de départ afin que le vé- hicule puisse être rendu utilisable par un tiers n'ayant pas la possibilité d'obtenir une authentification réus- sie. Les unités d'appareils incorporées dans le disposi- tif, il s'agit en particulier d'appareils de commande de l'électronique du véhicule, peuvent être choisies de ma- nière que leur remplacement représente une dépense très élevée comparativement à l'avantage pouvant en être tiré, de sorte que cette façon d'opérer devient inintéressante.

Une autre caractéristique de l'invention pré- it qu'un appareil de commande de fermeture (des portes) du véhicule constitue une unité d'appareil côté véhicule du dispositif de sûreté. Lorsque, conformément à cette caractéristique, la commande du système de fermeture du véhicule est incorporée dans tous les cas dans le proces- sus d'authentification, non seulement le véhicule ne peut pas démarrer sans authentification justifiée, il peut pas non plus être ouvert sans manipulation avec force. Si d'autres unités d'appareils participent au processus d'authentification, elles peuvent être reliées entre elles, ainsi qu'à la commmande de fermeture, par un bus de données par exemple, auquel cas un seul récepteur suf- fit, côté véhicule, pour les données émises côté clé, le récepteur pouvant être associé par exemple à la commande de fermeture.

Selon un autre mode de réalisation de l'inven- tion, l'information de code d'utilisateur émise chaque fois, contient une information d'identification spéci- fique au véhicule et une information d'identification spécifique à la clé, et l'information d'identification d'une information de code d'utilisateur reçue est exploi- table préalablement dans une unité d'appareil côté véhi- cule, l'opération de contrôle de l'autorisation d'utili- sation étant interrompue après la reconnaissance de don- nées d'identification émises qui ne sont pas autori- santes. Un tel mode de réalisation a l'avantage qu'en raison du contrôle initial d'identification du véhicule et de la clé, il est vérifié d'abord si des unités matérielles légitimées sont en liaison entre elles, avant que ne soit effectuée l'opération d'authentification proprement dite. Ainsi peut être évitée l'activation inutile d'opérations d'authentification ne pouvant pas aboutir à cause d'une combinaison clé-véhicule incorrecte. elon encore un autre mode de réalisation, plu- sieurs unités de clés autorisantes sont prévues côté uti- lisateur pour un véhicule, unités qui émettent des suites différentes de valeurs originales; les informations de code d'utilisateur émises contiennent chaque fois une in- formation d'identification de clé; et une information d'autorisation de consigne spécifique peut être mémori- sée, pour chaque unité de clé, dans chaque unité d'appa-

reil participante côté véhicule, dans une mémoire qui est adressable à l'aide de l'information d'identification de clé et d'o cette information d'autorisation peut être extraite. Ce mode de réalisation permet d'utiliser un jeu de plusieurs clés pour le véhicule d'une manière avantageuse quant à la technique de réalisation des circuits et en conservant l'algorithme de codage utilisant la fonc- tion à sens unique. Encore une autre caractéristique de l'invention prévoit que les moyens pour extraire l'information de va- leur originale d'une information de code d'utilisateur reçue, des moyens pour générer une information aléatoire, un émetteur et un récepteur sont seulement disposés, côté véhicule, dans une unique unité d'appareil avec laquelle les autres unités d'appareils sont en liaison d'échange de données. On obtient ainsi l'avantage que les fonctiuons qui ne sont pas directement liées à l'opération d'authentification proprement dite, sont prévués, côté véhicule, de façon centrale, dans une seule unité d'appa- reil, un appareil de commande de fermeture par exemple, tandis que les fonctions autorisantes sont agencées dans chaque appareil de commande en vue d'obtenir une haute protection par le blocage du départ.

D'autres caractéristiques prévoient qu'une in- formation secrète (g) est stockée dans chaque unité de clé ainsi que dans une unité d'appareil choisie et que l'information de valeur originale (mi) est combinée selon un code avec l'information aléatoire (RND) conformément à la relation mi XOR H (RND XOR g XOR i') o H est une fonction hash et i' est une valeur de comp- teur qui change à chaque tentative d'authentification. On obtient de cette manière une réalisation particulièrement avantageuse de la combinaison codée de l'information de valeur originale et de l'information aléatoire, combinaison qui offre une haute protection contre un emploi abusif pour une dépense de codage rela- tivement faible. L'utilisation de l'information aléatoire garantit qu'une ancienne information de code d'utilisa- teur, éventuellement écoutée, ne peut plus mener à une nouvelle authentification réussie. L'utilisation de la valeur de compteur, changeant continûment, garantit que la valeur de fonction hash, avec laquelle est combinée la valeur originale concernée par une opération OU exclusif XOR, ne se répète pas non plus en cas de répétion de l'information aléatoire par une personne non autorisée. L'application d'une seule information secrète, stockée dans seulement une unité d'appareil côté véhicule, paraît encore acceptable du point de vue de la logistique de sé- curité et a pour effet qu'un tiers ne peut pas calculer la valeur de fonction hash combinée avec la valeur origi- nale par l'opération OU exclusif s'il ne possède pas l'unité de clé, la lecture de l'information secrète, par exemple dans une mémoire de type EEPROM de l'unité de clé ou d'appareil, ne devant, bien entendu, pas être possible par la mise en oeuvre de moyens acceptables. Ainsi, cet algorithme de combinaison procure une protection fiable par un code pour un coût en calculs et une capacité de mémoire qui sont comparativement faibles.

Encore une autre caractéristique de l'invention prévoit qu'une nouvelle information aléatoire (RDNn) est 5 chaque fois formée, conformément à la relation RNDn = H(RNDa XOR g XOR mi+l) à partir de l'information aléatoire précédente (RNDa), de l'information secrète et de l'information de valeur ori- ginale émise lors d'une authentification précédente, H désignant une fonction hash. L'algorithme ainsi choisi pour la génération du nombre aléatoire, garantit l'imprédictibilité pour un tiers du nombre aléatoire suivant puisque les valeurs d'entrée pour la fonction hash dans la génération des nombres aléatoires se répètent d'une manière qui n'est pas prédictible. Globalement, lorsque le dispositif de sûreté pour véhicule est réalisé comme il vient d'être décrit, surtout en cas d'application de l'algorithme se- lon la caractéristique citée en dernier, on obtient qu'une authentification truquée par des manipulations sur le trajet de transmission entre le côté clé et le côté véhicule ne peut réussir, avec une probabilité significa- tive, ni en faussant des informations d'authentification émises ni en insérant des informations d'authentification écoutées préalablement.

D'autres caractéristiques et avantages de l'in- vention ressortiront plus clairement de la description qui va suivre d'un mode de réalisation préféré, mais nul- lement limitatif, ainsi que de la figure unique du dessin annexé qui est un schéma fonctionnel d'un dispositif de sûreté pour véhicule selon l'invention appliquant un contrôle d'autorisation d'utilisation électronique avec échange bidirectionnel de codes.

Le dispositif de sûreté pour véhicule comprend, côté utilisateur, c'est-à-dire côté clé, un certain nombre, huit par exemple, clés électroniques 1 dont l'une est montrée à titre représentatif, ainsi que, côté véhi- ule, une pluralité d'unités d'appareils 2 qui sont incorporées dans le dispositif de sûreté contre l'utilisa- tion du véhicule par un tiers non autorisé, dont l'une est une commande de fermeture des portes du véhicule, unité dont la structure est montrée également à titre re- présentatif pour les unités d'appareils restantes, les- quelles sont constituées par les autres appareils de com- mande de l'installation électrique du véhicule. La partie de circuit 2' représentée côté véhiculeà gauche de la ligne de séparation pointillée tracée à droite, est seulement présente dans la commande de fermeture, tandis que la partie de circuit 2" se trouvant à droite de cette ligne est présente sous une forme identique pour toutes les unités d'appareils incorporées dans le dispositif de sûreté. Toutes les unités d'appareils 2 incorporées dans ce dispositif, communiquent entre elles, ainsi qu'avec la partie de circuit 2' prévue côté réception dans la seule

commande de fermeture, de manière non représentée, par un bus de type CAN ou, en variante par un autre liaison d'échange de données à l'intérieur du véhicule. Les uni- tés de clés 1 et d'appareils 2 sont équipées chacune d'un processeur sous la forme d'une puce dans laquelle sont réalisées, dans une large mesure au niveau du logiciel, les unités fonctionnelles représentées par les blocs sur la figure et qui seront décrites ci-après.

Les unités de clés 1 possèdent chacune un émet- teur 5 par lequel des données présentes côté clé peuvent être émises sous une forme codée par un trajet infrarouge 9 vers le côté véhicule, o elles peuvent être reçues par un récepteur 10 dans la partie de circuit d'entrée 2' de la commande de fermeture 2 et décodées ensuite, ainsi qu'un récepteur 26 pour recevoir une information aléatoire RND pouvant être délivrée par un émetteur 25 dans la commande de fermeture. Chaque unité de clé 1 possède en outre une unité 7 pour la génération récursive de valeurs de fonction à sens unique d'une fonctionn hash , utilisée par exemple dans la cryptographie, la fonction hash à sens unique utilisée dans cet exemple particulier étant la fonction RIPEMD connue par "Ripe Integrity Primitives, Final report of RACE Integrity Primitives Evaluation (R1040) (juin 1992), PART III Recommended Integrity Primitives, Chapter 3 RIPEMD, pages 67 - 109". Une fonction à sens unique est définie ici comme une fonction mathématique pour laquelle la valeur

de fonction d'un original (d'une image originale) donné peut être déterminée de façon univoque et comparativement simple à partir de son étendue de définition, tandis qu'il n'est pas possible, même en mettant en oeuvre les moyens de calcul maximaux disponibles dans la pratique, de trouver une valeur originale coordonnée à une valeur de fonction à sens unique donnée. La longueur binaire d'une valeur de fonction RIPEMD est de 16 octets, mais il suffit, pour l'application à un dispositif de sûreté pour véhicule décrite ici, de transformer la valeur à 16 octets par un algorithme adéquat en une valeur raccourcie à 8 octets, ceci afin d'économiser de la capacité de mémoire. Par cette unité 7 de génération de valeurs de fonction hash sont générées, par application répétée de la fonction hash, à commencer par une valeur de départ mo, un certain nombre n de valeurs qui sont stockées en tant que valeurs originales dans une mémoire de valeurs originales 3 dont le contenu peut être extrait et transféré, valeur par valeur, dans un étage de codage 4 à

l'aide d'un compteur indicateur 21 et en sens inverse ou en arrière, c'est-à-dire à commencer par la dernière valeur mn-1 de la séquence de valeurs originales mo, ..., mn_1 concernée. Le nombre n détermine le nombre maximal de tentatives d'authentification déclenchables par l'unité de clé 1 pendant sa durée de vie et doit être choisi en conséquence, n étant par exemple égal à 100 000, ce qui représente environ 20 actionnements de clé par jour pour une durée de vie de la clé d'environ 10 années. A l'étage de codage 4 peuvent être amenées en outre une information secrète g stockée dans une mémoire 27 ainsi que l'information aléatoire RND reçue et une valeur de comptage courante i' du compteur 21. Ledit étage combine ces informations d'entrée par des opérations OU exclusif (XOR) et une formation de valeur de fonction hash selon la relation m: = mi XOR H (RND XOR g XOR i') en une information de valeur originale codée m.

Pour mémoriser des données d'identification de matériel, lesquelles comprennent une information spéci- fique au véhicule ainsi qu'une information spécifique à la clé, chaque unité de clé 1 comporte une mémoire 8 de données d'identification dont les données sont combinées par l'unité de clé 1 avec l'information de valeur origi- nale m venant chaque fois de l'étage de codage 4, en une information de code d'utilisateur M à émettre en tant que message. Pour déclencher une authentification, on a prévu une touche d'utilisateur 6 dont le signal de départ SST peut être envoyé à la commande de fermeture 2 côté véhi- cule. Côté véhicule, la partie de circuit 2', se trouvant du côté de l'entrée des informations de la com- mande de fermeture 2, comprend une mémoire 11 de données d'identification, un comparateur 12 de données d'identi- fication ainsi qu'une fonction de porte 13. Le compara- teur 12 compare l'information de données d'identification IDS, extraite dans cette partie de circuit 2' de l'appa- reil de commande de fermeture de l'information de code d'utilisateur M reçue, avec l'information de données d'identification IDK stockée dans la mémoire de données d'identification 11 côté véhicule, et agit par son signal de sortie sur une entrée de commande de la porte 13 dont l'autre entrée reçoit le signal d'information de code d'utilisateur M. Une interface de diagnostic 19 peut être raccordée facultativement à la commande de fermeture 2, ainsi que cela est indiqué en pointillé sur la figure.

Cette partie de circuit 2' de la commande de fermeture comporte en outre une mémoire 23 dans laquelle est stockée, côté véhicule, l'information secrète g, un étage de décodage 22, un étage 24 générateur d'informations aléatoires une mémoire 28 d'informations aléa- toires et un étage de porte 29 pour laisser passer le si- gnal de départ SST vers l'unité 24 génératrice d'informa- tions aléatoires. Le décodage s'effectue, en adaptation au codage dans l'unité de clé 1, selon la relation m'': = m XOR H (RND XOR g XOR i') et l'unité 24 génératrice d'informations aléatoires gé- nère, à partir d'une information aléatoire RNDa en vi- gueur jusqu'alors, l'information secrète g et une valeur originale mi+l, envoyée lors d'une authentification pré- cédente, par des opérations OU exclusif (XOR) et une for- mation de valeur de fonction hash, une nouvelle information aléatoire RNDn selon la relation RNDn: = H(RNDa XOR g XOR mi+l).

La partie de circuit 2" de la commande de fer- meture, partie qui est représentée à droite de la ligne de séparation pointillée à droite sur la figure et qui est également présente sous une forme identique dans toutes les autres unités d'appareils 2 incorporées dans le système de sûreté du véhicule, comporte une unité 14 pour calculer des valeurs de fonction hash ainsi qu'une fonction de porte 15, à chacune desquelles peut être ame- née l'information de valeur originale mi contenue chaque fois dans l'information de code d'utilisateur M et qui sont toutes deux réalisées aussi au niveau du logiciel. a sortie de la porte 15 est reliée à une mémoire 16 d'informations d'autorisation de consigne possédant un nombre d'emplacements de mémoire qui correspond au nombre d'unités de clés 1, les différents emplacements de mé- moire pouvant être sélectionnés en fonction de l'identité de clé IDj reconnue, c'est-à-dire en fonction du numéro de clé. La sortie de cette mémoire 16 est à son tour re- liée à une entrée de bloc comparateur 17 auquel peut être amené, par une autre entrée, le signal de sortie m' de l'unité 14 de génération des valeurs de fonction hash. Ce signal de sortie m' est envoyé en outre à un autre bloc de porte 18 dont l'entrée de commande reçoit un signal de non-concordance NU du comparateur 17. Par contre, si une concordance est constatée, le comparateur 17 génère un signal de permission d'utilisation SF pour supprimer

l'état de blocage de l'aptitude au fonctionnement du lo- giciel de l'unité d'appareil 2 concernée, état qui fait partie d'un verrou de départ électronique maintenant toutes ces unités d'appareils à l'état bloqué. Le signal de permission d'utilisation SF, qui représente une authentification réussie, c'est-à-dire un contrôle d'auto- risation d'utilisation passé avec succès, ne quitte pas l'unité d'appareil coordonnée et ne quitte même pas, de préférence, la puce dans laquelle il est produit, ce qui procure une haute sécurité contre une injection fraudu- leuse par un tiers de l'information de permission d'uti- lisation. Ce signal est envoyé en outre en tant que sig- nal de commande au bloc de porte 15 recevant l'informa- tion de valeur originale mi envoyée, afin de permettre

une mémorisation de cette information comme nouvelle in- formation d'autorisation de consigne. Pour l'exécution de fonctions particulières à travers l'interface de diagnostic 19, connectée éventuellement à la commande de fermeture, ou à travers une unité de clé 1, on prévoit au besoin une mémoire supplémentaire 20 d'informations d'autorisation de consigne pour fonctions particulières, en parallèle avec la mémoire normale 16 d'informations d'autorisation de consigne, comme indiqué en pointillé sur la figure. Ainsi qu'il a été mentionné précédemment, toutes les unités d'appareils 2 incorporées dans l'opéra- tion d'authentification, sont incorporées en même temps aussi dans un verrou de départ électronique qui est armé ou activé chaque fois par la coupure de l'allumage et peut être désarmé de nouveau par une opération d'authentification suivante couronnée de succès. Comme les mêmes opérations d'authentification sont exécutées dans toutes ces unités d'appareils 2, celles-ci redeviennent simulta- nément aptes à fonctionner à la suite d'une demande d'utilisation justifiée, tandis que l'une au moins reste bloquée dans le cas d'une demande d'utilisation non jus- tifiée. La distribution de l'opération d'authentification sur toutes ces unités d'appareils du véhicule et leur

blocage correspondant ont l'avantage que le véhicule ne peut pas continuer à être utilisé par le simple remplace- ment d'une unité ou d'un petit nombre d'unités d'appa- reils, avec contournement de l'obligation d'authentifica- tion. Il faudrait au contraire remplacer toutes ces unités d'appareils, ce qui implique des coûts si élevés qu'une telle tentative d'utilisation non autorisée par un tiers est inintéressante. On décrira ci-après en détail le mode de fonc- tionnement du dispositif de sûreté pour véhicule réalisé comme il vient d'être décrit. L'ensemble du déroulement commence d'abord, avant la mise en service du véhicule, par les opérations nécessaires d'initialisation chez le fabricant de clés ou au moyen d'une centrale de clés SH aménagée dans ce but.

C'est ainsi qu'est générée d'abord, individuellement pour chaque clé, une valeur aléatoire secrète ro. A partir de celle-ci, est calculée ensuite, par de multiples applica- tions successives de la fonction hash, 400 000 fois par exemple, la valeur originale de départ mo, laquelle est introduite dans la mémoire de valeurs originales 3 de l'unité de clé 1 concernée. Les valeurs de fonction hash initialement non utilisées, comprises entre la valeur aléatoire initiale secrète ro et la valeur originale de départ mo, peuvent servir de moyens auxiliaires pour un remplacement de clé décrit dans ce qui suit, la valeur aléatoire initiale ro coordonnée étant conservée à cet effet dans une mémoire protégée de la centrale de clés SH. A côté de la valeur originale de départ mo, la production de l'unité de clé 1 comprend également l'intro- duction des données d'identification IDS dans la mémoire

8 associée, données qui contiennent aussi, à côté de don- nées spécifiques au véhicule, un numéro de clé qui dis- tingue entre elles les unités de clés simultanément va- lables pour un véhicule. Exception faite du numéro de clé, les données d'identification des unités de clés 1 simultanément valables pour un véhicule, sont les mêmes et constituent par conséquent une sorte de numéro de jeu de clés. Parallèlement sont mises à disposition, par la centrale de clés SH, les données d'identification iden- tiques en vue de leur mémorisation dans la mémoire 11 as- sociée de la commande de fermeture. dans la centrale SH, sont pré-calculées en outre, lors de l'initialisation, à partir de la valeur originale de commencement mo, les n

valeurs de fonction hash récursives HJ(mo) suivantes, o J = 1 ..., n-1, et la valeur finale mn obtenue est trans- férée au constructeur du véhicule, ensemble avec les don- nées d'identification, en tant que valeur de départ pour l'information d'autorisation de consigne, spécifique à la clé, pour l'initialisation côté véhicule de l'emplacement de mémoire coordonné de la mémoire 16 d'informations d'autorisation de consigne associée. De plus, la produc- tion de la clé comprend l'introduction avec protection contre la lecture - de l'information secrète g spécifique au véhicule et cette information est également mise à la disposition du constructeur du véhicule FH pour l'intro- duction dans l'appareil de commande de fermeture 2.

A l'aide des données d'initialisation obtenues de la centrale de clés SH, l'initialisation côté véhicule par le constructeur du véhicule comprend d'abord l'intro- duction d'une valeur de fonction hash spécifique au véhicule - qui appartient à une suite de valeurs de fonction hash générée également dans la centrale de clés SH - dans la mémoire 20 de valeurs de fonction hash particulière, plus exactement, suivant l'exigence de sûreté, à la fin de la production chez le constructeur du véhicule ou lors du montage des appareils sur la chaîne ou dans l'atelier. Pour initialiser la mémoire 16 d'informations d'autorisa- tion de consigne, chaque emplacement de mémorisation co- ordonné à une unité de clé déterminée de cette mémoire 16, de toutes les unités d'appareils 2 participantes, est chargé avec la valeur de départ mn mise à disposition dans ce but, de façon spécifique à la clé, par la cen- trale de clés SH. A cet effet, l'opérateur doit s'autori- ser lui-même, à travers l'interface de diagnostic 19, par le biais de la valeur de fonction hash stockée de façon spécifique au véhicule dans la mémoire 20 pour fonctions

particulières, avant qu'il ne puisse effectuer l'initia- lisation de départ en recouvrant la valeur de départ zéro par la valeur de départ de l'information d'autorisation de consigne mn, spécifique à la clé, les emplacements des mémoires 16 des informations d'autorisation de consigne étant protégés contre le recouvrement normal de leur contenu tant que ce dernier correspond à la valeur zéro. La mémoire 20 pour les fonctions particulières sert alors de protection de transport pour les unités d'appareils, mais peut permettre, suivant les besoins, l'exécution d'autres fonctions particulières. Il faut que soit ga- ranti, lors de cette initialisation des appareils, que les valeurs zéro de tous les emplacements de mémoire pour les différentes clés d'un jeu soient couvertes afin d'em-

pêcher une initialisation frauduleuse ultérieure par un tiers. Il est possible aussi, en variante, de transmettre la valeur de départ de l'information d'autorisation de consigne mn lors d'un premier actionnement de la clé au côté véhicule en vue de l'initialisation. Pour le cas d'un remplacement à des fins de réparation d'une unité d'appareil 2 participante, on peut prévoir en plus que l'unité nouvellement mise en place soit initialisée à travers le bus CAN avec les valeurs de départ présentes dans les autres unités, ce qui garantit automatiquement le recouvrement de toutes les valeurs de départ zéro. Pour pouvoir distinguer si l'information M amenée à une unité d'appareil 2 contient une authentification normale ou une opération de fonction particulière, l'information

M amenée contient, outre les données d'identification qui comprennent environ 8 octets, de même que l'information de valeur originale raccourcie à 8 octets, un code de fonction pour lequel il suffit d'une longueur de données de 1 octet. Après que l'initialisation a été effectuée, chaque unite de clé 1 génère, lors du premier raccorde- ment à l'alimentation en énergie, par son unité 7 de gé- nération de valeurs de fonction hash et à partir de la valeur de départ mO stockée, les valeurs n-l restantes par une application répétée n-1 fois de la fonction hash sur la valeur de fonction chaque fois obtenue précédem- ment, et mémorise la suite de valeurs ainsi obtenue comme une suite de valeurs originales dans la mémoire 3 corres- pondante en vue de la lecture en sens inverse des valeurs l'une après l'autre, le compteur 21 coordonné ayant été amené au départ à la valeur n-1 et son contenu diminuant d'une unité à chaque actionnement de la touche d'activation 6. Comme la mémorisation de ces valeurs de

16 octets, valeurs dont le nombre est par exemple de 100 000, nécessite une capacité de mémoire prévue en conséquence, on peut également procéder selon la variante décrite ci-après et économisant de la capacité de mémoire. Des valeurs sélectionnées de la suite de valeurs de fonction hash mo à mn-1 générée, par exemple seulement chaque centième valeur, sont mémorisées de manière fixe en tant que points d'appui dans la mémoire 3. Dans cette mémoire est chaque fois stockée, en plus, une portion actuelle, se déroulant à ce moment, de la séquence mo à mn-1 comprise entre deux points d'appui, portion qui est composée par exemple de 100 valeurs, de sorte qu'il suf- fit ainsi de seulement conserver à chaque instant 1100 valeurs de 8 octets dans la mémoire 3. Dès que, par l'utilisation en cours de la clé, la fin d'une portion

actuelle de la suite de valeurs est atteinte, la forma- tion par l'unité 7 des valeurs de fonction hash est acti- vée, par le point d'appui suivant en tant qu'information d'entrée, en vue de la génération de la portion suivante de la suite de valeurs entre deux points d'appui, après quoi la portion "consommée" de la suite est couverte par la nouvelle portion calculée. Du point de vue de

l'obtention d'un faible besoin en capacité de mémoire, une répartition de la mémoire en parties d'égale grandeur pour les points d'appui et la gamme ou portion entre deux points d'appui est encore meilleure, auquel cas chaque partie de mémoire contient un nombre d'emplacements de mémoire correspondant environ à la racine de la puissance n de l'ensemble de la suite de valeurs mo à mn-1. Pour obtenir le plus faible besoin en capacité de mémoire possible, une autre variante consiste à seulement maintenir en mémoire la valeur initiale mo, à opérer après chaque activation de clé, à partir de cette valeur de départ m0, de nouveau une formation de fonction hash, à renouveler successivement cette formation à raison d'une fois moins à chaque répétition, et à introduire dans ce cas directement la valeur finale obtenue dans la

mémoire intermédiaire 4. D'autres répartitions, choisissables à volonté, sont également possibles, comme par exemple une sélection logarithmique de points d'appui. Les opérations préparatoires pour le commence- ment du fonctionnement normal d'authentification par le dispositif de sûreté de véhicule sont ainsi terminées. On décrira ci-après une telle tentative d'authentification, par laquelle un utilisateur essaie de se justifier vis-à- vis du véhicule comme ayant droit à son utilisation afin de parvenir ainsi à l'ouverture du véhicule ainsi qu'à la suppression du verrou de départ qui avait été armé à l'arrêt du véhicule. Une telle opération d'authentifica- tion est déclenchée par l'actionnement de la touche de départ 6 d'une unité de clé 1. Le signal de départ SST, ainsi généré, est transmis, ensemble avec les données d'identification IDS et le code de fonction pour authen- tification normale, par l'émetteur 5 et le trajet de transmission 9 au récepteur 10 de la commande de ferme- ture 2. La partie 2' située côté réception de cette com-

mande, reconnaît à l'aide du code de fonction une tenta- tive d'authentification, vérifie par le comparateur 12 de données d'identification si des unités matérielles appro- priées sont en liaison entre elles et, en cas de résultat positif de cette comparaison, ouvre la fonction de porte 29 pour que celle-ci laisse passer le signal de départ SST, lequel est ainsi appliqué à l'unité 24 génératrice d'informations aléatoires. L'envoi de ce signal SST s'ac- compagne, dans l'unité de clé 1, du déclenchement d'un temporisateur pour l'attente de la réception d'une infor- mation aléatoire de réponse RND. Sans réponse, l'opéra- tion est interrompue à l'expiration du délai fixé par ce

temporisateur et un message de réponse n'est plus ac- cepté. L'unité génératrice d'informations aléatoires 24 est activée par le signal de départ SST arrivant; elle extrait ensuite de la mémoire 23 l'information secrète g, de la mémoire 28, la dernière information aléatoire RNDa et de la mémoire 26 d'informations d'autorisation de consigne, la valeur originale mi+l, spécifique à l'unité de clé, qui a été envoyée lors d'une dernière authentifi- cation réussie, et elle produit à partir de ces informa- tions et de cette valeur, conformément à la relation in- diquée plus haut, la nouvelle information aléatoire RNDn. Cette nouvelle valeur est stockée ensuite dans la mémoire 28 pour les informations aléatoires et transmise de là à l'émetteur 25 côté véhicule, d'o elle parvient par le trajet de transmission infrarouge 19 au côté clé 1, o elle est captée par le récepteur 26 et appliquée à l'unité de codage 4. Ensemble avec l'envoi de l'informa-

tion aléatoire RND, est envoyée de nouveau une informa- tion de données d'identification IDK et un temporisateur est déclenché pour constater la réception d'un message de réponse. Ce temporisateur sert à protéger contre une pos- sible tentative de manipulation, avec des données écou- tées, par un ordre de départ retardé par truquage. Après réception de l'information aléatoire RND, le temporisateur et les données d'identification reçus sont vérifiés côté clé et, en l'absence d'erreur, l'étage de codage 4 génère l'information de valeur originale co- dée m, génération pour laquelle cet étage reçoit en plus la nouvelle valeur de compteur i' et la valeur originale mi suivante. Cette information codée m est délivrée par l'émetteur 5, ensemble avec le code de fonction - ajusté en vue de la poursuite de l'authentification normale -, les données d'identification IDS et la valeur de compteur i', non codée, comme une information de code d'utilisa- teur M.

Après réception de l'information de code d'uti- lisateur M par le récepteur 10, l'information de données d'identification IDS est d'abord extraite, dans la commande de fermeture 2, de l'information de code d'utilisateur M et comparée avec les données d'identification IDK côté véhicule. Si l'identité matérielle requise, ainsi vérifiée, d'une clé 1 destinée au véhicule n'existe pas, l'envoi d'une information de commande appropriée au bloc à fonction de porte 13 empêche la transmission de l'information de code d'utilisateur M au bus CAN et de là, aux autres unités d'appareils de commande, et l'opération d'authentification est arrêtée, sans que le véhicule soit déverrouillé ou que le verrou de départ soit supprimé. Dans le cas contraire, l'information de code de fonction est ensuite interrogée pour savoir s'il y a lieu de pour- suivre une opération d'authentification normale à l'inté- rieur de l'intervalle de temps fixé. C'est seulement si tel est le cas que la valeur de compteur i' non codée et l'information de valeur ori- ginale M codée sont retirées de l'information de code d'utilisateur M et transmises à l'étage de décodage 22. Celui-ci détermine - pendant qu'il reçoit en plus l'information secrète g et l'information aléatoire actuelle RND - par la relation de décodage indiquée précédemment,

l'information de valeur originale m'' contenue dans l'in- formation de code d'utilisateur M reçue et la transmet par le bus CAN à tous les appareils de commande 2 parti- cipants, o elle est appliquée respectivement à l'unité 14 de génération de valeurs de fonction hash et à la porte 15. Il va de soi que si l'opération d'authentifica- tion se déroule selon les règles, cette information de valeur originale décodée m' correspond à l'information de valeur originale mi introduite dans l'étage de codage 4.

L'unité 14 de génération de valeurs de fonction hash cal- cule la valeur de fonction hash m' coordonnée à la valeur originale m'' amenée et la transmet en tant qu'informa- tion d'autorisation réelle m' au comparateur 17 ainsi qu'à la deuxième porte 18. Le numéro de clé IDj coordonné est déterminé entretemps à l'aide des données d'identifi- cation IDS contenues dans l'information de code d'utili- sateur M et la valeur mi+1 mémorisée à l'emplacement co- ordonné de la mémoire 16 d'informations d'autorisation de consigne, est extraite et appliquée à l'autre entrée du

comparateur 17. Cette valeur mi+l correspond à l'informa- tion de valeur originale amenée pour la dernière authen- tification réussie avec cette même unité de clé 1. Si le comparateur 17 constate qu'il y a concordance entre l'in- formation d'autorisation réelle et l'information d'autorisation de consigne (m' = mi+j), il génère le signal de permission d'utilisation SF qui, d'une part, en tant que signal de commande renvoyé à la porte 15, déclenche le recouvrement du contenu de l'emplacement de mémoire concerné par la valeur originale mi amenée lors de cette authentification et, d'autre part, provoque, ensemble avec l'information de permission d'utilisation générée simultanément dans les autres appareils de commande par- ticipants, la suppression complète du verrou de départ électronique, du fait que tous les appareils de commande sont ramenés à leur état d'aptitude au fonctionnement.

S'il s'agit d'économiser de la capacité de mémoire dans quelques unités d'appareils, on peut prévoir d'y mémori- ser seulement une partie, 2 octets par exemple, de toute l'information d'autorisation de consigne mi+1 et de seu- lement comparer cette partie avec la partie correspon- dante de la valeur de fonction hash m' dans le bloc com- parateur 17. Afin d'exclure néanmoins un désarmement dé- fectueux du verrou de départ, ce qui pourrait se produire en raison de la comparaison réduite, surtout si l'étendue de capture est grande, on conserve pour au moins une unité d'appareil, par exemple pour l'appareil de commande de fermeture, la comparaison de code complète, dont le résultat est transmis aux appareils opérant une comparai- son abrégée, appareils dans lesquels la génération de l'information de permission d'utilisation est couplée à la présence d'un résultat positif de la comparaison de code complète.

Si le bloc à fonction de comparateur 17 constate en revanche une non-concordance, il envoie - à condition que le nombre des non-concordances successives n'ait pas encore dépassé l'étendue de capture couvrant un nombre N de répétitions possibles - un signal de nonconcordance NU à la porte 18, laquelle retourne ensuite la valeur de fonction hash m' générée côté appareil à l'entrée de l'unité 14 de génération de valeurs de fonc- tion hash, laquelle unité opère après cela, avec cette valeur d'entrée m', une nouvelle formation de valeur de fonction hash, dont le résultat est ensuite appliqué en tant que nouvelle information d'autorisation réelle au comparateur 17. Cette génération récursive de valeurs de fonction hash est poursuivie jusqu'à ce que, ou bien le comparateur 17 constate la concordance entre l'une desinformations d'autorisation réelles produites l'une après l'autre avec l'information d'autorisation de consigne mi+l présente, après quoi le processus est poursuivi comme indiqué plus haut, ou alors le nombre de répé- titions de boucle ait atteint le nombre maximal N préfixé par l'étendue de capture, N = 100 000 par

exemple, à la suite de quoi l'opération d'authentification est interrompue du fait qu'elle n'est pas justifiée, avec maintien du verrou de départ, à moins qu'une nouvelle information de code d'utilisateur avec des données d'identification correctes arrive, ce qui est suivi de la remise à zéro du compteur de boucles et de la poursuite de la génération de valeurs de fonction hash avec la valeur originale nouvellement transmise. Comme déjà brièvement expliqué dans ce qui pré- cède, l'étendue de capture a pour but de rétablir la syn- chronisation entre le côté clé et le côté véhicule après qu'elle a été perdue par un ou plusieurs actionne- ments de clé sans contact de réception côté véhicule pour le protocole d'émission concerné -, ce qui est obtenue par le fait que le côté véhicule est rajusté sur la va- leur originale, apparue entretremps dans la clé 1, au moyen d'une formation successive de fonction hash, le nombre de fois nécessaire, à l'intérieur de l'étendue de capture. Si l'étendue de capture N a été choisie pour correspondre exactement à la puissance n de la suite de

valeurs originales, la synchronisation pour une clé auto- risante peut toujours être rétablie. En raison de la pro- priété, typique aux valeurs de fonction hash, selon la- quelle les valeurs de fonction sont supposées réparties pratiquement avec la même probabilité sur toute l'étendue de valeurs, ainsi qu'en raison du fait que même en cas d'utilisation d'un algorithme réduit avec des valeurs de 8 octets, environ 1020 valeurs de fonction sont pos- sibles, il est très peu vraisemblable, également avec une étendue de capture de la grandeur N = 105, qu'une tierce personne non autorisée, même si, d'une manière quel- conque, elle avait réussi à passer le contrôle d'identi- fication, parvienne, par l'émission à titre d'essais de valeurs de fonction originales, à l'aide également de l'étendue de capture, à une authentification couronnée de succès. Il est à noter à cet égard que des tentatives re- lativement nombreuses de ce type pourraient éventuelle- ment être empêchées par une fenêtre fixant un temps ou un nombre de tentatives adéquat et à l'intérieur de laquelle une authentification justifiée doit se produire, sinon

l'utilisation du véhicule reste bloquée si d'autres ten- tatives d'authentification sont effectuées. Un tel blo- cage pourrait être conçu pour qu'il soit seulement déver- rouillable à travers l'interface de diagnostic 19 par le constructeur du véhicule par exemple. Il va de soi que le fonctionnement du dispositif de sûreté de véhicule se dé- roule de façon analogue à ce qui vient d'être décrit pour n'importe quelle opération supplémentaire d'authentifica- on, ainsi que pour d'autres unités de clés. Le choix d'une étendue de capture dont la gran- deur correspond à la puissance (nombre cardinal) de la suite de valeurs originales n, de sorte que N = n, pro- cure d'autre part une possibilité très commode pour fa- briquer une clé de rechange. Comme mentionné précédem- ment, la valeur originale de départ mo a été générée chez le fabricant de clés SH par de fréquentes formations de valeurs de fonction hash à partir d'une valeur aléatoire initiale ro spécifique à la clé, par exemple par une ap- plication à T reprises, c'est-à-dire mo = HT(ro), o T

égale 400 000 par exemple. S'il s'agit de fournir une clé de rechange, elle est initialisée chez le fabricant de clés SH comme la clé d'origine, sauf que, partant de la même valeur aléatoire initiale ro comme valeur originale de départ mo', cette dernière est choisie pour corres- pondre à HT-N(ro). Ensuite, on effectue à l'aide de cette clé de rechange un dialogue d'authentification avec le véhicule. Dans ce but, la clé de rechange émet d'abord la valeur x = H(m'n-1) = Hn-l(mo') = HT-1(ro) au véhicule. Cependant, cette valeur est comprise avec certitude dans l'étendue de capture du côté véhicule car il découle de ce qui précède que HN(x) = HT+N-1(ro) = HN-1(mo). La clé de rechange est ainsi interprétée automatiquement comme une clé autorisante par le premier dialogue d'authentifi- cation par le biais de l'étendue de capture, de sorte que la valeur actuelle transmise (x) est en même temps re- prise dans la mémoire 16 des informations d'autorisation de consigne côté véhicule. Or, la clé d'origine est ainsi rendue automatiquement et simultanément non valable puisque ses valeurs se trouvent avec certitude en dehors

de l'étendue de capture de la nouvelle valeur originale (x). Une opération particulière de blocage pour la clé d'origine, qui a été perdue par exemple, devient ainsi inutile. Cette façon de procéder permet d'authentifier l'une après l'autre un nombre T/N de clés de remplacement. Comme exemple concret, si T = 400 000 et N = n = 100 000, on obtient une mise à disposition de quatre clés utilisables l'une après l'autre et ayant le même numéro de clé. Bien entendu, suivant les besoins, la réalisation d'une clé de remplacement est possible aussi sur place par application d'une procédé de codage supplémentaire, par exemple du procédé asymétrique à signature RSA, qui est connu dans la cryptographie (décrit dans l'annexe C de ISO/IEC JTC1/SC20/WG N 115, DIS 9594-8, Gloucester, novembre 1987) ou du procédé symétrique DES (data encryption standard), surtout lorsque l'étendue de capture est choisie plus petite que la puissance de la suite de valeurs originales et que, de ce fait, la technique décrite précédemment pour la réalisation d'une clé de rechange n'est pas possible. On peut envisager en plus une réalisation de clés de remplacement à travers l'interface de diagnostic 19 et au moyen de la mémoire 20 pour les fonctions particulières.

La sécurité du système à l'égard d'attaques frauduleuses au niveau de l'authentification, est due en particulier aux points suivants. Un agresseur ne peut pas prédire la prochaine information aléatoire RND puisque les valeurs d'entrée RNDa et mi+l pour l'unité 24 généra- trice d'informations aléatoires se répètent d'une manière qui ne peut pas être prédite. La valeur de fonction hash générée dans l'étage de codage 4 pour la constitution d'un message d'authentification correct, ne peut pas être

calculée par un agresseur sans l'unité de clé 1 puisque l'information secrète g entre dans le calcul. Même si un agresseur dispose d'une unité de clé 1, il ne peut pas déterminer cette valeur de fonction hash codée sans contact avec le véhicule, c'est-à-dire tant que l'infor- mation aléatoire RND venant du véhicule n'est pas reçue. Du fait que la fonction hash est pratiquement irréver- sible, il n'est pas possible à un agresseur de tirer, à partir d'informations écoutées de départ ou d'authentification, des conclusions quant à l'information secrète g.

Dans les limites de la fenêtre temporelle préfixée par le temporisateur côté véhicule, un agresseur n'a donc pas de meilleure possibilité, après l'émission d'une information aléatoire, que de deviner le message d'authentification, 5 ce qui est improbable dans la pratique avec une longueur message de 8 octets. En particulier, des messages d'authentification écoutés antérieurement ne l'aident pas à cet égard. Le système empêche par conséquent des authenti- fications truquées par la falsification de messages d'au- thentification ou par l'insertion de messages d'authenti- fication antérieure écoutés. En raison de la présence des temporisateurs pour l'entrée de messages de réponse, le système est également protégé de manière sûre contre une attaque du type mentionné au début et dans laquelle un tiers fait un usage abusif d'une unité de clé qui lui a été confiée temporairement en captant un message d'authentification, arrêtant l'opération d'authentification, rendant ensuite l'unité de clé à l'utilisateur légitime

et envoyant la réponse d'authentification au véhicule à un moment ultérieur. Pour déjouer le système décrit ici, il faut donc une dépense de moyens techniques considé- rable et une connaissance spécialisée poussée de la part d'un agresseur potentiel, tandis que le système est sûr à l'égard d'autres attaques. Le dispositif de sûreté pour véhicule qui vient d'être décrit, procure donc une sûreté peu onéreuse et offrant néanmoins une protection relativement haute contre l'utilisation non autorisée du véhicule par un tiers, nécessitant seulement la mémorisation protégée d'informations de code secrètes, côté véhicule, dans une unité d'appareil, ce qui permet l'incorporation d'un grand nombre d'autres unités d'appareils du véhicule sans que cela pose des problèmes logistiques pour la sécurité.

On peut encore noter, en particulier, que 64 bits suffi- sent pour le code de foncion hash et que, de ce fait, le temps de transmission ainsi que la dépense technique pour les calculs sont nettement plus faibles que dans le cas d'une utilisation - concevable aussi - du procédé RSA qui, en tant que procédé de cryptage asymétrique, demande également une mémorisation unilatérale seulement d'une information secrète, mais possède une grande longueur de mot, de 512 bits, et nécessite par conséquent, en tenant compte des capacités de calcul existant sur un véhicule, des durées de calcul et de transmission relativement longues.

Il va de soi qu'on a seulement mentionné les unités et opérations essentielles à l'invention pour l'exemple qui vient d'être décrit, et que, à côté d'elles, des unités et des déroulements de fonctionnement usuels sont prévus, et que l'homme de métier peut effec- tuer, dans le cadre de l'invention, un grand nombre de modifications de ce mode de réalisation. Il est possible par exemple d'utiliser une autre fonction à sens unique, d'apporter des changements spécifiques à l'application des exemples chiffres concrets indiqués, de renoncer au contrôle d'identification et/ou à la possibilité de fonc- tions particulières, ou d'utiliser un système de cartes à puce à la place d'une transmission de signaux infra- rouges. De plus, on peut naturellement prévoir aussi un autre générateur aléatoire et/ou un autre code de combi- naison dans l'étage de codage. Enfin, selon encore une autre variante possible, on peut renoncer à la prévision d'une information secrète à enregistrer côté véhicule, auquel cas la sécurité du code est légèrement réduite.

Claims

REVENDICATIONS

1. Dispositif de sûreté pour véhicule à codage électronique d'autorisation d'utilisation, comprenant - une unité de clé (1) côté utilisateur pour recevoir une information aléatoire (RND) et émettre ensuite une information de code d'utilisateur (M) dépendante d'elle, et - une unité d'appareil (2) côté véhicule pour émettre une information aléatoire (RND) et recevoir ensuite une information de code d'utilisateur (M), pour déterminer une information d'autorisation réelle (m') dépendante de l'information de code d'utilisateur re- çue et la comparer avec une information d'autorisa- tion de consigne (mi+l) présente côté véhicule, ainsi que pour générer une information de permission d'uti- lisation (SF) suivant le résultat de cette comparai- son, caractérisé en ce que - les informations de code d'utilisateur (M) émises l'une après l'autre, contiennent des valeurs origi- nales (mi) changeantes pour une fonction à sens unique (H), l'information de valeur originale étant chaque fois combinée selon un code avec l'information aléatoire (RND), - l'unité d'appareil (2) comporte des moyens (22) pour extraire l'information de valeur originale (mi) d'une information de code d'utilisateur reçue, l'information d'autorisation de consigne (mi+l) est chaque fois la valeur de fonction à sens unique (mi+l = H(mi)) de la valeur originale (mi) contenue dans une information de code d'utilisateur coordonnée et - la détermination de l'information d'autorisation réelle (m') à partir de l'information de code d'uti- lisateur (M) reçue, comporte la formation de la va- leur de fonction à sens unique (H(mi)) de la valeur originale (mi) contenue dans l'information de code d'utilisateur reçue.

2. Dispositif de sûreté pour véhicule selon la revendication 1, caractérisé en outre en ce que les valeurs originales émises l'une après l'autre re- présentent une séquence (mO,..., mn-1) qui résulte de l'application répétée de la fonction à sens unique (H), ces valeurs originales étant utilisées, pour la formation des informations de code d'utilisateur suc- cessives, dans un ordre de succession inversé par rapport à la formation de la séquence, et - l'information d'autorisation de consigne consiste chaque fois en la valeur originale (mi+l) émise la dernière fois, ensemble avec l'information de code d'utilisateur, pour une opération de contrôle de l'autorisation d'utilisation ayant eu un résultat po- sitif avec la même unité de clé (1).

3. Dispositif de sûreté pour véhicule selon la revendication 2, caractérisé en outre en ce que des élé- ments consécutifs sélectionnés de la séquence (mo, ..., mn_1), servant de points d'appui, ainsi qu'une séquence partielle chaque fois actuelle entre deux points d'appui, sont mémorisés dans une mémoire de valeurs ori- ginales (3) de l'unité de clé (1), une séquence partielle actuelle étant au plus tard générée chaque fois et mémo- risée à la place de celle utilisée jusqu'alors quand la dernière valeur originale de la séquence partielle utili- sée jusqu'alors a été émise.

4. Dispositif de sûreté pour véhicule selon la revendication 2 ou 3, caractérisé en outre en ce que, chaque fois après un résultat négatif de la comparaison des informations d'autorisation réelle et de consigne, une nouvelle information d'autorisation réelle est déter- minée, pour un nombre maximal (N) préfixé de répétitions, en tant que valeur de fonction à sens unique de l'infor- mation d'autorisation réelle utilisée jusqu'alors, et cette nouvelle information est comparée avec l'information d'autorisation de consigne.

5. Dispositif de sûreté pour véhicule selon une des revendications 2 à 4, caractérisé en outre en ce que es unités de clés de remplacement, applicables l'une après l'autre, sont prévues pour l'unité de clé (1), les valeurs originales d'une unité de clé utilisable ensuite formant une séquence partielle (mv-n, ..., mv-l1), située directement devant la séquence de valeurs originales (mv, ..., mv+n-1) d'une unité de clé précédente, séquence par- tielle qui fait partie d'une séquence totale (ro, .... HT(ro)) générée par formation répétée de valeurs de fonc- tion à sens unique (HT(ro)) à partir d'une valeur de dé- part (ro) mémorisée de façon centrale et spécifique à un numéro de clé.

6. Dispositif de sûreté pour véhicule selon une des revendications 1 à 5, caractérisé en outre en ce que la fonction à sens unique utilisée est une fonction cryp- tographique parasite appelée fonction hash, en particulier la fonction RIPEMD.

7. Dispositif de sûreté pour véhicule selon une des revendications 1 à 6, caractérisé en outre en ce qu'une pluralité d'unités d'appareils (2) côté véhicule est agencée parallèlement pour déterminer chaque fois l'information d'autorisation réelle à partir d'une infor- mation de code d'utilisateur reçue et pour la comparer avec l'information d'autorisation de consigne, ainsi que pour générer une information de permission d'utilisation en fonction du résultat de la comparaison.

8. Dispositif de sûreté pour véhicule selon une des revendications 1 à 7, caractérisé en outre en ce que l'appareil de commande de fermeture du véhicule forme une unité d'appareil côté véhicule du dispositif de sûreté.

9. Dispositif de sûreté pour véhicule selon une des revendications 1 à 8, caractérisé en outre en ce que - l'information de code d'utilisateur (M) émise chaque fois, contient une information d'identification spé- cifique au véhicule et une information d'identifica- tion spécifique à la clé et l'information d'identification d'une information de ode d'utilisateur reçue est exploitable préalable- ment dans une unité d'appareil (2) côté véhicule, l'opération de contrôle de l'autorisation d'utilisa- tion étant interrompue après la reconnaissance de données d'identification émises qui ne sont pas auto- risantes.

10. Dispositif de sûreté pour véhicule selon une des revendications 1 à 9, caractérisé en outre en ce que - plusieurs unités de clés autorisantes sont prévues côté utilisateur pour un véhicule, unités qui émet- tent des suites différentes de valeurs originales (mi), - les informations de code d'utilisateur (M) émises contiennent chaque fois une information d'identifica- tion de clé (IDj) et - une information d'autorisation de consigne spécifique peut être mémorisée, pour chaque unité de clé, dans chaque unité d'appareil (2) participante côté véhi- cule, dans une mémoire (16) qui est adressable à l'aide de l'information d'identification de clé et d'o cette information d'autorisation peut être ex- traite.

11. Dispositif de sûreté pour véhicule selon une des revendications 1 à 10, caractérisé en outre en ce que les moyens (22) pour extraire l'information de valeur originale d'une information de code d'utilisateur reçue, des moyens (24) pour générer une information aléatoire, un émetteur (23) et un récepteur (10) sont seulement dis- posés, côté véhicule, dans une unique unité d'appareil (2) avec laquelle les autres unités d'appareils sont en liaison d'échange de données.

12. Dispositif de sûreté pour véhicule selon une des revendications 1 à 10, caractérisé en outre en ce qu'une information secrète (g) est stockée dans chaque unité de clé (1) ainsi que dans une unité d'appareil (2) choisie et que l'information de valeur originale (mi) est combinée selon un code avec l'information aléatoire (RND) conformément à la relation mi XOR H (RND XOR g XOR i') o H est une fonction hash et i' est une valeur de comp- teur qui change pour chaque tentative d'authentification.

13. Dispositif de sûreté pour véhicule selon la revendication 12, caractérisé en outre en ce qu'une nou- velle information aléatoire (RNDn) est chaque fois for- mée, conformément à la relation RNDn = H(RNDa XOR g XOR mi+l) à partir de l'information aléatoire précédente (RNDa), de l'information secrète (g) et de l'information de valeur originale (mi+l) émise lors d'une authentification précé- dente, H désignant une fonction hash.