FR3087023A1 - Systeme d'acces securise a un vehicule au moyen d'un smartphone - Google Patents

Abstract

La présente invention concerne un système d'accès sécurisé (100) à un véhicule équipé d'une clé de type RKE ou PKE. Ledit système comprend une passerelle de conversion RFID/ son (120) permettant de faire l'interface entre la voie audio du smartphone (110) d'un utilisateur et la voie RFID d'un circuit de contrôle d'accès (190) disposé dans le véhicule. La passerelle comprend un décodeur (145) adapté à décoder un message acoustique transmis par le smartphone, le message comprenant des symboles d'information ayant été codés à l'aide d'un alphabet de codes acoustiques aléatoires. Après décodage, le message est déchiffré à l'aide d'une clé privée du propriétaire du véhicule et sa validité est vérifiée. Si le message est valide, un signal de clé est transmis par un émetteur RF (170, 270) au circuit de contrôle d'accès (190) qui déverrouille le véhicule ou une partie de celui-ci.

Description

SYSTÈME D'ACCÈS SÉCURISÉ À UN VÉHICULE AU MOYEN D'UN SMARTPHONE

DESCRIPTION

DOMAINE TECHNIQUE

La présente invention s'applique de manière générale à un système sécurisé d'accès à un véhicule. Il trouve notamment application dans les services nécessitant de conférer un droit d'accès temporaire à un tiers, par exemple pour des services de location de voiture, d'autopartage ou encore des services de livraison dans la voiture (in car delivery).

ÉTAT DE LA TECHNIQUE ANTÉRIEURE

L'essor de la consommation collaborative ces dernières années est en passe d'affecter de manière significative les usages dans le domaine automobile. Des plateformes permettent d'ores et déjà à un particulier de mettre sa voiture à disposition d'un tiers pendant une durée limitée. Toutefois, le développement de ces services est actuellement contraint par la nécessité de remettre physiquement les clés du véhicule à l'usager.

En outre, les loueurs professionnels possédant un parc important de véhicules sont confrontés à la gestion et au risque de perte des clés par leurs employés ou leurs clients. La nécessité de remettre physiquement les clés au client s'accommode de moins en moins bien avec la possibilité de contracter un service en ligne ou encore le souhait de disposer d'un véhicule à tout moment en un lieu quelconque.

Récemment, un nouveau mode de livraison a été expérimenté par un grand distributeur en ligne, à savoir la livraison d'une commande dans le coffre de son propre véhicule. Ce service suppose toutefois que le véhicule soit équipé d'un module de communication cellulaire, de sorte qu'il ne fonctionne pas dans les zones dépourvues de couverture réseau. Le véhicule peut ainsi recevoir une commande de déverrouillage à distance via le réseau cellulaire. Certains constructeurs automobiles permettent, via une application sur smartphone, de disposer d'une clé numérique et de la transmettre, le cas échéant, à un tiers. Le livreur disposant d'un smartphone peut localiser le véhicule du client et en déverrouiller le coffre à l'aide du code d'accès qu'il aura préalablement reçu via une application du distributeur. Toutefois, de nombreux véhicules ne sont pas équipés et ne pourront être équipés dans les prochaines années de tels systèmes d'accès. En outre, la transmission du code d'accès entre le smartphone du propriétaire et le système d'accès peut faire l'objet d'attaques de type « man in the middle ».

Par ailleurs, les clés intelligentes (smart keys) équipant la plupart des véhicules modernes, qu'elles soient de type RKE (Remote Key Entry) ou PKE (Passive Key Entry) peuvent faire l'objet d'attaques par rejeu (clés RKE) ou par relais (clés PKE). On rappelle qu'une clé de type RKE est une simple télécommande utilisant un signal RF et transmettant un code d'accès. Une clé de type PKE reçoit un défi pour s'authentifier lorsque l'usager approche de son véhicule ou, par exemple touche une poignée de porte. La clé RKE transmet alors un signal de réponse au système d'accès pour s'authentifier. Si la réponse au défi est correcte, le système d'accès déverrouille le véhicule et inhibe son système d'immobilisation. On trouvera notamment une description d'attaques par relais sur clés de type PKE dans l'article de A. Fancillon et al. intitulé « Relay attacks on passive keyless entry systems in modern cars » publié dans Proceedings of the 18th annual network and distributed system security symposium, NDSS, The Internet Society, Feb. 2011.

Le but de la présente invention est par conséquent de proposer un système d'accès sécurisé à un véhicule qui puisse s'adapter facilement à des véhicules dotés de clés de type RKE ou PKE, présenter une grande robustesse aux attaques de type rejeu, relais ou man-in-the middle tout en permettant la remise dématérialisée d'une autorisation d'accès temporaire à un tiers.

EXPOSÉ DE L'INVENTION

La présente invention est définie par un système d'accès sécurisé à un véhicule équipé d'un circuit de contrôle d'accès contrôlant le déverrouillage du véhicule ou d'une partie de celui-ci seulement, le circuit de contrôle d'accès étant adapté à être commandé par une clé à télécommande au moyen d'un signal électromagnétique, ledit système comportant une passerelle de conversion acoustique/ électromagnétique destinée à être fixée à l'extérieur du véhicule, ladite passerelle de conversion comprenant :

un décodeur acoustique adapté à recevoir d'un smartphone un message sous la forme d'un signal acoustique, dit jeton acoustique d'accès, et à décoder des symboles d'information de ce message au moyen d'un alphabet de codes acoustiques aléatoires stocké dans une mémoire de la passerelle ;

un circuit de validation vérifiant que le message reçu est bien valide au moyen d'un élément d'authentification ;

un émetteur adapté à transmettre un signal de commande électromagnétique au circuit de contrôle d'accès si le message reçu est bien valide.

Avantageusement, le décodeur acoustique effectue une pluralité (K) d'opérations de corrélation du signal acoustique avec les codes acoustiques aléatoires de l'alphabet pour fournir une pluralité de résultats de corrélation, le code acoustique aléatoire correspondant au résultat de corrélation dont la valeur absolue est la plus élevée fournissant le symbole d'information dudit message.

La passerelle de conversion est de préférence pourvue de moyens de détection d'une rupture de la fixation de la passerelle au véhicule, lesdits moyens de détection effaçant le contenu de la mémoire lorsqu'une telle rupture est détectée.

La passerelle de conversion peut être également pourvue d'un système de génération d'énergie autonome et de stockage d'énergie.

Selon un premier mode de réalisation, la clé à télécommande est une clé de type RKE, et le circuit de validation valide le message reçu à partir d'un identifiant d'accès et de l'élément d'authentification contenus dans ledit message, l'identifiant d'accès comportant un identifiant du véhicule.

L'identifiant d'accès peut comprendre en outre un numéro de contrat ou de commande et, optionnellement, une plage temporelle pendant laquelle l'accès au véhicule est autorisé.

L'élément d'authentification peut être quant à lui une signature de l'identifiant au moyen d'une clé privée du propriétaire du véhicule, appartenant à un cryptosytème asymétrique.

Selon un second mode de réalisation, la clé à télécommande est une clé de type PKE et la passerelle de conversion comporte en outre un circuit d'interrogation, un circuit de réponse ainsi qu'un transpondeur, le transpondeur étant adapté à recevoir, sous la forme d'un premier signal électromagnétique, un premier message de défi émis par le circuit de contrôle d'accès et à transmettre, sous la forme d'un second signal électromagnétique, un second message de réponse audit circuit de contrôle d'accès, le circuit d'interrogation étant adapté à générer un second message de défi lorsqu'il reçoit un premier message de défi, le second message de défi étant codé dans un codeur acoustique au moyen de l'alphabet de codes acoustiques aléatoires avant d'être transmis au smartphone, le circuit de réponse étant adapté à générer le second message de réponse lorsqu'un premier message de réponse, reçu du smartphone et décodé par le décodeur acoustique au moyen de l'alphabet de codes acoustiques aléatoires, est validé par le circuit de validation.

Avantageusement, le premier message de défi est également transmis au circuit de réponse et le second défi est également transmis au circuit de validation.

Le circuit d'interrogation génère typiquement un second message de défi en incrémentant un compteur et en concaténant, à la sortie du compteur ainsi incrémenté, un identifiant du véhicule, l'ensemble étant haché pour fournir une empreinte, ladite empreinte étant incorporée dans le second message de défi.

Selon une première variante, le premier message de réponse peut alors être décodé par le décodeur acoustique sur la base d'un premier dictionnaire de codes acoustiques aléatoires, dit dictionnaire principal, puis déchiffré par le circuit de validation au moyen d'une clé publique du propriétaire du véhicule, dite clé publique principale, la clé publique principale appartenant à un premier cryptosystème asymétrique et étant stockée dans la mémoire de la passerelle, le circuit de validation comparant le second message de défi et le premier message ainsi déchiffré pour déterminer si la réponse est valide.

Si la réponse n'est pas valide, le premier message de réponse est décodé par le décodeur acoustique sur la base d'un second dictionnaire de codes acoustiques aléatoires, dit dictionnaire auxiliaire, puis déchiffré par le circuit de validation au moyen d'une clé publique, dite clé publique auxiliaire, la clé publique auxiliaire appartenant à un second cryptosystème asymétrique et étant stockée dans la mémoire de la passerelle, le circuit de validation comparant, dans une seconde tentative, le second message de défi et le premier message ainsi déchiffré pour déterminer si la réponse est valide.

Selon une seconde variante, le premier message de réponse est décodé par le décodeur acoustique sur la base d'un premier dictionnaire de codes acoustiques aléatoires puis déchiffré par le circuit de validation au moyen d'une clé secrète du propriétaire du véhicule, la clé publique appartenant à un premier cryptosystème symétrique et étant stockée dans une zone sécurisée de la mémoire de la passerelle, le circuit de validation comparant le second message de défi et le premier message ainsi déchiffré pour déterminer si la réponse est valide.

Si la réponse n'est pas valide, le premier message de réponse est décodé par le décodeur acoustique sur la base d'un second dictionnaire de codes acoustiques aléatoires, dit dictionnaire auxiliaire, puis déchiffré par le circuit de validation au moyen d'une seconde clé secrète, dite clé secrète auxiliaire, la clé secrète auxiliaire appartenant à un second cryptosystème symétrique et étant stockée dans une zone sécurisée de la mémoire de la passerelle, le circuit de validation comparant, dans une seconde tentative, le second message de défi et le premier message ainsi déchiffré pour déterminer si la réponse est valide.

BRÈVE DESCRIPTION DES DESSINS

D'autres caractéristiques et avantages de l'invention apparaîtront à la lecture d'un mode de réalisation préférentiel de l'invention, décrit en référence aux figures jointes parmi lesquelles :

La Fig. 1 représente de manière schématique un système d'accès sécurisé à un véhicule selon un premier mode de réalisation de l'invention ;

La Fig. 2 représente de manière schématique un système d'accès sécurisé à un véhicule selon un second mode de réalisation de l'invention.

EXPOSÉ DÉTAILLÉ DE MODES DE RÉALISATION PARTICULIERS

On considère dans la suite un véhicule dont l'accès est verrouillé par un circuit de contrôle, actionnable par une clé à télécommande au moyen d'un signal électromagnétique, tel que celui émis par une clé RKE ou bien une clé PKE, en réponse à un signal de défi. Le signal émis par la clé peut être un signal RF, et plus particulièrement un signal RFID (Radio Frequency IDentification) basse fréquence (typiquement dans la bande de 125 à 135 kHz). D'autres types de signaux électromagnétiques, notamment un signal UWB (Ultra Wide Band), peuvent être également envisagés. Sans préjudice de généralisation, nous supposerons dans la suite que le signal électromagnétique de commande émis par la clé est un signal RF.

Lorsque la clé est authentifiée avec succès par le circuit de contrôle, celuici déverrouille le véhicule ou une partie de celui-ci seulement (par exemple l'accès au coffre du véhicule).

Une première idée à la base de la présente invention est d'utiliser une passerelle de conversion d'un signal RF en signal acoustique, notamment en signal ultrasonore. Cette passerelle joue le rôle d'interface entre le smartphone de l'utilisateur et le circuit de contrôle. Une seconde idée à la base de la présente invention est d'utiliser un codage de jeton d'accès au moyen de signaux acoustiques aléatoires entre le smartphone et la passerelle de conversion utilisant une méthode de codage du type décrit dans la demande de brevet FR1655443 au nom de la présente demanderesse.

La Fig. 1 représente de manière schématique un système d'accès sécurisé à un véhicule selon un premier mode de réalisation de l'invention.

Ce système d'accès, 100, comprend, d'une part, un smartphone 110 équipé d'un microphone, 111, et d'un haut-parleur 113. Le microphone, 111, est capable de convertir un signal acoustique, que ce soit dans le domaine des fréquences audibles (20Hz-20kHz) ou dans celui des ondes ultrasonores (au-delà de 20kHz) en un signal électrique. Réciproquement, le haut-parleur, 113, est capable de convertir un signal électrique, dans la bande 20Hz-20kHz ou au-delà de 20kHz, respectivement en un signal audible ou un signal ultrasonore. La plupart des microphones et des haut-parleurs équipant les smartphones du commerce sont capables d'opérer dans le domaine ultrasonore.

On suppose que le smartphone a préalablement stocké dans une zone mémoire un jeton d'accès acoustique constitué d'une séquence de codes acoustiques. Cette séquence code un message constitué de symboles d'information, chaque symbole d'information étant représenté par un mot de n bits (avec n>l). Chaque symbole d'information du message est codé par un élément d'un alphabet de codes acoustiques aléatoires, tel que décrit dans la demande de brevet précitée. L'alphabet de codes acoustiques aléatoires est propre au fournisseur d'accès au véhicule (en général le propriétaire du véhicule) et secret.

Le système d'accès comporte en outre une passerelle de conversion, 120, adaptée à convertir un jeton d'accès acoustique émis par le smartphone en des signaux RF, tels que ceux émis par une clé RKE.

Plus précisément, la passerelle de conversion est équipée d'un microphone, 121, et, optionnellement, d'un haut-parleur (ou de manière plus générale un transducteur électro-acoustique), non représenté.

La passerelle est montée sur le véhicule, à l'extérieur de celui-ci de manière à pouvoir recevoir les signaux acoustiques, préférablement ultrasonores, émis par le smartphone. La passerelle pourra notamment être fixée sur un rétroviseur extérieur du véhicule.

Le signal acoustique correspondant au jeton acoustique d'accès émis par le haut-parleur 113 est converti en signal électrique par le microphone 121 de la passerelle, puis corrélé au sein d'un décodeur acoustique, 140, avec les codes acoustiques aléatoires de l'alphabet en question. Le décodeur acoustique comporte une zone mémoire sécurisée 145 contenant les codes acoustiques de l'alphabet.

Cette corrélation est effectuée en parallèle dans une pluralité K de corrélateurs où K est le cardinal de l'alphabet, ou bien effectuée séquentiellement au sein d'un même corrélateur après avoir stocké le signal reçu dans un buffer FIFO. Pour chaque code acoustique aléatoire reçu, le symbole d'information correspondant au résultat de corrélation le plus élevé en valeur absolue est sélectionné. Ainsi, le décodeur acoustique, 140, permet de récupérer, à partir du jeton d'accès acoustique, le message envoyé par le smartphone. Le message peut comporter le cas échéant un code de détection d'erreurs (CRC) ou de correction d'erreurs (ECC). Ce message est fourni au circuit de validation, 150.

Le circuit de validation vérifie que le message est bien un message valide, par exemple au moyen d'un identifiant d'accès et d'un élément d'authentification contenus dans l'entête du message. En outre, le circuit de validation peut vérifier que le message est bien intègre si celui-ci-comporte un code CRC, une empreinte électronique (obtenue par hachage du message) ou encore un code d'identification de message MAC (Message Authentication Code). Le fonctionnement du circuit de validation sera décrit plus loin.

Si un message non valide et/ou non intègre est détecté par le circuit de validation, celui-ci peut bloquer temporairement le fonctionnement de la passerelle, par exemple en inhibant le transcodeur 160, voire définitivement en coupant son alimentation.

En revanche, si le message est bien valide (et le cas échéant intègre) un code de clé RKE correspondant à ce message est généré par le transcodeur 160. Par exemple, si le message est une commande d'ouverture des portes ou une commande d'ouverture du coffre, le transcodeur fournira les codes de clé RKE correspondants.

II convient de noter que le transcodeur 160 peut toutefois être omis si le message contient directement le code de clé RKE.

En tout état de cause, le code de clé RKE module un signal RF qui est transmis par l'émetteur RF, 170 au circuit de contrôle d'accès, 190. Ce circuit est situé à l'intérieur du véhicule et commande le verrouillage ou le déverrouillage des portes et/ou du coffre du véhicule.

Les signaux RF émis par l'émetteur 170 sont, en tout point, identiques à ceux qui auraient été générés par une clé RKE, autrement dit, vu du circuit de contrôle d'accès 190 (commandant le verrouillage et le déverrouillage du véhicule ou d'une partie de celui-ci), tout se passe comme si les signaux RF générés par la passerelle émanaient d'une clé RKE conventionnelle. En ce sens, la passerelle émule une clé RKE.

Le circuit de validation peut être réalisé selon différentes variantes selon l'usage auquel est destiné le système d'accès.

Par exemple, pour un service de location de véhicule, l'identifiant d'accès pourra être généré en concaténant un identifiant du véhicule (numéro d'immatriculation ou numéro de châssis par exemple), un identifiant de la compagnie de location et un numéro de contrat de location, ainsi qu'une plage temporelle de validité du contrat. La passerelle pourra s'assurer de la conformité de l'identifier à un format préétabli et/ou à une règle d'incrémentation prédéterminée (par exemple les numéros de contrat pour un véhicule donné seront simplement incrémentés de 1). En variante, le loueur pourra avoir transmis à la passerelle l'identifiant d'accès en question. Dans ce cas, la passerelle conserve en mémoire l'identifiant d'accès jusqu'à ce qu'il en reçoive un nouveau ou lorsque le terme de validité du contrat est échu.

L'élément d'authentification pourra avoir été généré en appliquant une fonction de hachage à l'identifiant d'accès et en chiffrant la valeur hachée au moyen d'une clé privée (appartenant au propriétaire du véhicule) d'un cryptosystème asymétrique, par exemple au moyen de la clé privée d'un cryptosystème de chiffrement sur courbes elliptiques. Dans ce cas, le circuit de validation contiendra dans une zone mémoire (non nécessairement sécurisée), 155, la clé publique correspondant à cette clé privée. Cette clé publique pourra être stockée par le propriétaire du véhicule lors du paramétrage de la passerelle, via une liaison filaire telle qu'une liaison par câble USB par exemple.

Dans le cas où une plage temporelle est indiquée dans l'identifiant, si le message est reçu par la passerelle en dehors de cette plage, il sera considéré comme non valide par le circuit de validation et la passerelle ne transmettra aucun code RKE au circuit de contrôle d'accès. Cela suppose dans ce cas que l'horloge de la passerelle soit à jour (pas de perte d'alimentation notamment).

Le locataire, souhaitant accéder au véhicule loué, se connecte à la plateforme du loueur, via une application, après s'être s'identifié et authentifié auprès de lui, par exemple au moyen d'un simple mot de passe. Il peut ensuite télécharger l'élément d'authentification correspondant à son contrat de location. L'application adjoint à cet élément d'authentification un nonce (nombre aléatoire ou horodatage par exemple) et module l'ensemble pour générer un jeton acoustique d'accès, le jeton acoustique se présentant sous la forme d'un fichier son (par exemple au format wav.). En jouant le signal acoustique stocké dans le fichier, le locataire du véhicule pourra le déverrouiller dans les conditions prévues dans l'identifiant. La présence d'un nonce dans le jeton acoustique permet d'éviter les attaques par rejeu, étant donné qu'il est différent à chaque requête d'accès. Dans ce cas, le circuit de validation peut accéder à une zone mémoire 157 contenant une liste noire des jetons déjà utilisés. Si le jeton reçu se trouve dans cette liste, le circuit de validation bloque le fonctionnement de la passerelle comme expliqué plus haut.

Dans le cas d'un service de livraison dans un coffre de véhicule, l'identifiant pourra être généré en concaténant un identifiant du distributeur, un numéro de commande, un identifiant de véhicule et une plage temporelle de livraison.

Le propriétaire du véhicule dispose d'une application de gestion de clés (sur son smartphone ou sur un PC parexemple) et d'une application du distributeur lui permettant de passer commande auprès de celui-ci. Lorsqu'il sélectionne, lors de sa prise de commande, l'option de livraison dans le coffre de sa voiture, l'application du distributeur transmet de manière sécurisée, à l'application de gestion de clés, l'identifiant du livreur ainsi que le numéro de commande en question. L'application de gestion de clés concatène l'identifiant de véhicule et la plage temporelle de livraison aux informations fournies par le distributeur pour obtenir l'identifiant d'accès. L'élément d'authentification pourra être obtenu, comme précédemment, en hachant l'identifiant d'accès et en le chiffrant avec la clé privée (d'un cryptosystème asymétrique) du propriétaire du véhicule. Un nonce pourra également être ajouté à l'élément d'authentification pour éviter les attaques par rejeu. En tout état de cause, l'ensemble constitué par l'identifiant et l'élément d'authentification est alors codé au moyen de l'alphabet des codes acoustiques aléatoires du propriétaire du véhicule pour générer le jeton acoustique. L'application de gestion de clés transmet à la plateforme du distributeur le jeton acoustique d'accès ainsi obtenu sous forme d'un fichier son (fichierwav. parexemple).

Le livreur peut de son côté accéder, au moyen de son smartphone, à la plateforme du distributeur, après s'être identifié et authentifié, puis télécharger le jeton acoustique d'accès correspondant à la commande. Comme précédemment, en jouant le signal acoustique stocké dans le fichier, le livreur peut déverrouiller le véhicule dans le respect des conditions prévues dans l'identifiant.

L'alphabet des codes acoustiques aléatoires est avantageusement stocké dans une zone mémoire sécurisée du smartphone (ou du terminal) du propriétaire. Avantageusement, on utilisera cependant un portefeuille physique protégé par un code PIN pour y stocker cet alphabet.

Le cas échéant, la clé publique et l'alphabet peuvent être stockés dans une seule et même zone mémoire sécurisée de la passerelle, accessible à la fois par le décodeur acoustique et le circuit de validation

Comme déjà indiqué, la clé publique et l'alphabet des codes acoustiques aléatoires (ou pseudo-aléatoires) sont stockés par le propriétaire dans la mémoire de la passerelle, lors de son paramétrage. La transmission de ces informations pourra être réalisée par voie filaire, voire par voie ultrasonore en codant ces informations au moyen d'un alphabet de codes acoustiques aléatoires initialement stocké par le constructeur. L'acquéreur de la passerelle pourra par exemple télécharger l'alphabet initial à partir du numéro de série en se connectant à la plateforme du constructeur.

Il est important de noter que la transmission entre le smartphone et la passerelle n'utilise que des codes acoustiques aléatoires spécifiques au propriétaire du véhicule. Ces signaux acoustiques, notamment ultrasonores, peuvent difficilement être interceptés étant donné leur très courte portée. Ainsi, le risque d'attaques que ce soit par rejeu ou de type relais ou man-in the middle est minimisé.

En pratique, la passerelle est fixée à l'extérieur du véhicule pour ne pas gêner la transmission du signal acoustique. La rupture de la fixation au véhicule pourra être détectée par la coupure d'un contact électrique (par exemple boucle filaire dont un brin est collé au véhicule), une modification capacitive, ou un éloignement du véhicule (au moyen d'un capteur de proximité). Dans tous les cas, la rupture de la fixation entraînera l'effacement de la zone mémoire protégée.

La passerelle est par ailleurs avantageusement équipée d'un système autonome de génération électrique (capteur photovoltaïque, mini-turbine éolienne par exemple ou autre système de captage d'énergie), et de son propre système de stockage d'énergie (batterie) de manière à ne pas avoir à être raccordée au système d'alimentation du véhicule.

Enfin, la passerelle peut être fixée sur un véhicule existant (retrofit) sans modification de ce dernier. En outre, le système d'accès ne se substitue pas à la clé de télécommande dans la mesure où le circuit de contrôle d'accès pourra toujours être commandé directement par cette clé.

Selon une variante de réalisation, la passerelle pourra être reliée à des capteurs ultrason (capteurs de proximité) du véhicule si celui-ci en est équipé. Dans ce cas, le circuit de validation pourra déterminer si l'utilisateur du smartphone émettant un signal ultrasonore est dans une zone prédéterminée à proximité du véhicule et utiliser cette information comme condition supplémentaire pour valider le message reçu.

La Fig. 2 représente de manière schématique un système d'accès sécurisé à un véhicule selon un second mode de réalisation de l'invention.

A la différence du premier mode de réalisation, ce système d'accès sécurisé est compatible avec une clé PKE.

On rappelle que lorsqu'un véhicule est équipé d'une clé PKE, le circuit de contrôle transmet un signal de balise (généralement un signal RFID), soit de manière périodique, soit lorsqu'une personne s'approche du véhicule ou touche par exemple une poignée de porte/ de coffre.

Le système d'accès sécurisé, 200, comprend, d'une part, un smartphone 210 et, d'autre part, une passerelle de conversion ultrasonore/RF, 220. La passerelle est adaptée à transmettre des signaux de clé PKE (signaux de réponse) au circuit de contrôle d'accès, 290.

Le smartphone 210 équipé d'un microphone, 211, et d'un haut-parleur, 213, respectivement susceptibles de recevoir et d'émettre un signal acoustique, notamment ultrasonore. De même, la passerelle est équipée d'un microphone, 221, et d'un haut-parleur (ou de manière plus générale un transducteur électroacoustique), 223.

De manière périodique, ou lorsqu'une personne s'approche du véhicule, le circuit de contrôle 290 transmet un signal de défi, dénommé dans la suite premier défi. Dans certains cas, l'émission de ce signal de défi peut être précédée d'un échange qui, dans les systèmes PKE conventionnels, a pour objet de réveiller la clé et, pour cette dernière, à confirmer son état actif. Lorsque la passerelle de conversion est installée, le signal d'éveil (wake-up) est reçu par celle-ci, ce qui permet de la faire passerà un état actif. Elle transmet alors le signal d'acquittement (signal RF) au circuit de contrôle.

Le premier défi est reçu par un transpondeur RF (en pratique un transpondeur RFID), 270, équipant la passerelle et est transmis au circuit de réponse, 260.

Le circuit d'interrogation, 280, génère alors un second défi, par exemple une sortie de compteur incrémenté à chaque interrogation, à laquelle sera éventuellement concaténé le numéro d'immatriculation du véhicule, l'ensemble pouvant faire ensuite l'objet d'un hachage pour calculer une empreinte et l'adjoindre au second défi, avant d'être fourni au codeur acoustique, 245. Le second défi est également transmis au circuit de validation 250.

Le codeur acoustique, 245, code le second défi à l'aide de l'alphabet de codes acoustiques aléatoires et le signal de défi acoustique résultant est transmis par le transducteur de la passerelle au smartphone.

Si l'utilisateur est le propriétaire du véhicule, le smartphone pourra comprendre une zone mémoire sécurisée dans laquelle sont stockés sa clé privée (d'un cryptosystème asymétrique) et son alphabet des codes acoustiques aléatoires. Une application, préalablement ouverte par le propriétaire sur le smartphone, reçoit alors le signal de défi acoustique, le décode au moyen de l'alphabet, calcule la réponse au second défi au moyen de sa clé privée et code la réponse au moyen du même alphabet, avant de la renvoyer sous la forme d'un signal acoustique à la passerelle.

La passerelle décode le signal acoustique ainsi reçu au moyen du décodeur acoustique, 240, et transmet ce premier message de réponse au circuit de validation, 250. Ce dernier compare alors la réponse au second défi avec la réponse attendue, après avoir décodé ce message au moyen de la clé publique du propriétaire du véhicule. En cas d'identité, le circuit de validation en informe le circuit de réponse 260. Ce circuit de réponse détermine alors la réponse au premier défi, de la même manière dans une clé PKE conventionnelle, et la fournit au transpondeur RF, 270. Le signal de réponse RF correspondant est transmis au circuit de contrôle 290 qui déverrouille alors le véhicule ou une partie de celui-ci.

Selon une variante, un cryptosystème symétrique est utilisé en lieu et place du cryptosystème asymétrique. Dans un tel cas, le smartphone du propriétaire et la passerelle contiennent (dans une zone mémoire sécurisée) la clé symétrique (secrète) de ce cryptosystème. Le smartphone envoie sa réponse au défi après l'avoir chiffrée avec la clé symétrique et la passerelle déchiffre cette réponse avec cette même clé.

On notera que la passerelle dispose d'une zone mémoire sécurisée 230 dans laquelle ont été stockés, lors d'une étape de paramétrage, l'alphabet de codes acoustiques aléatoires, et dans le cas d'un cryptosystème symétrique, la clé secrète du propriétaire du véhicule. Comme précédemment, dans le cas d'un cryptosystème asymétrique, la clé publique peut toutefois être stockée dans une zone mémoire non sécurisée.

Lorsque l'utilisateur du smartphone n'est pas le propriétaire du véhicule (ou le fournisseur d'accès au véhicule de manière plus générale) mais seulement un locataire du véhicule ou un livreur, l'application ouverte sur son smartphone, lui demande tout d'abord de s'identifier et de renseigner l'identifiant du véhicule (numéro d'immatriculation).

Le serveur du loueur ou du prestataire de service de livraison lui transmet alors une clé secrète temporaire, (à savoir soit une clé privée d'un cryptosytème asymétrique ou une clé d'un cryptosystème symétrique). Il lui transmet également le dictionnaire temporaire de codes acoustiques aléatoires. Ce dictionnaire temporaire et cette clé temporaire auront été stockés également dans la passerelle par le propriétaire du véhicule, soit par le loueur avant la mise à disposition du véhicule, soit par le propriétaire avant la livraison.

Dans le cas du loueur, le serveur dispose des informations précitées. Dans le cas du prestataire du service de livraison, le propriétaire du véhicule aura préalablement fourni ces informations au serveur de la plateforme de livraison, après s'être identifié et authentifié auprès de lui. Le serveur pourra éventuellement y adjoindre un message contextuel d'accès précisant les conditions d'accès (par exemple une plage temporelle pendant laquelle l'accès est autorisé).

Le smartphone de l'utilisateur peut alors décoder le signal de défi acoustique, calculer la réponse au second défi et y concaténer, le cas échéant, le message contextuel. L'application du smartphone de l'utilisateur transmet alors le signal de réponse à la passerelle après avoir préalablement chiffré la réponse au second défi à l'aide de la clé secrète, puis l'avoir codé sous forme acoustique au moyen de l'alphabet précité.

Le circuit de validation 250 détermine si la réponse au second défi est correcte.

Par défaut, le décodeur acoustique et le circuit de validation utilisent respectivement le dictionnaire de codes aléatoires et la clé (clé publique de cryptosystème asymétrique ou clé secrète de cryptosystème symétrique) tels que paramétrés par le propriétaire. Ce dictionnaire de codes aléatoire (resp. cette clé) est alors qualifiée de principal(e). Dans ce mode de réalisation, la passerelle peut également stocker un dictionnaire temporaire de codes aléatoires et une clé temporaire. Si le décodage acoustique échoue (codes non reconnus), la passerelle bascule sur le dictionnaire temporaire et la clé temporaire.

Si la seconde tentative de décodage acoustique sur la base du dictionnaire auxiliaire est concluante, le circuit de validation, après avoir décodé la réponse au second défi à l'aide de la clé temporaire (publique dans le cas d'un cryptosystème asymétrique, secrète dans le cas d'un cryptosystème symétrique), vérifie si cette réponse est correcte. Le circuit de validation peut également vérifier à partir du message contextuel si les conditions d'accès sont bien remplies.

Dans l'affirmative, le circuit de validation en informe le circuit de réponse, 260. Ce dernier détermine alors la réponse au premier défi et la transmet via le transpondeur RF au circuit de contrôle 290 qui déverrouille le véhicule ou une partie de celui-ci. A défaut, le circuit de réponse est inhibé temporairement ou définitivement comme dans le premier mode de réalisation et le véhicule reste verrouillé.

Dès lors que les conditions d'accès ne sont plus vérifiées (expiration du contrat, livraison déjà effectuée), le propriétaire pourra effacer le dictionnaire temporaire et/ou la clé temporaire.

L'homme du métier comprendra que les remarques faites en relation avec le paramétrage de la passerelle et la protection de la mémoire du circuit de validation s'appliquent de la même façon au second mode de réalisation.

Dans les modes de réalisation décrits ci-dessus, dès lors que l'utilisateur du smartphone n'est pas le propriétaire du véhicule, par exemple dans le cas d'un service de location ou de livraison, l'utilisateur doit s'identifier auprès d'une plateforme pour obtenir une clé secrète temporaire et un dictionnaire temporaire de codes aléatoires.

Selon une variante, on suppose que l'utilisateur dispose sur son smartphone d'une adresse de portefeuille (wallet) lui permettant d'envoyer des transactions vers une chaîne de blocs. Cette adresse de portefeuille est obtenue par hachage de la clé publique d'un couple de clé publique/clé privée appartenant à cet élément. Le couple de clé publique/clé privée est issu d'un système de cryptographie asymétrique, tel qu'un système de cryptographie sur courbes elliptiques.

La chaîne de blocs est avantageusement de type Ethereum : dans une telle chaîne de blocs, des contrats intelligents (smart contracts) peuvent être déployés sur les nœuds du réseau. On rappelle qu'un contrat intelligent est un code logiciel pouvant être stocké dans un bloc du registre distribué. Ce code logiciel est adressable par une adresse déterminée et peut comprendre plusieurs fonctions. L'exécution d'une fonction du contrat intelligent ou du contrat lui-même peut être déclenchée par l'envoi d'une transaction émise depuis une adresse de portefeuille (encore dénommée adresse de compte dans Ethereum) vers l'adresse du code en question, la transaction comprenant l'identification de la fonction à exécuter et les arguments attendus en entrée.

L'utilisateur peut alors transmettre une demande d'autorisation d'accès au contrat intelligent à partir de son adresse de portefeuille, la demande d'autorisation pouvant comporter un certain nombre de paramètres permettant au contrat intelligent de déterminer si les conditions d'accès sont bien remplies, cette demande étant signée numériquement au moyen de la clé privée de l'utilisateur.

Après que le contrat intelligent a vérifié que la demande d'autorisation émanait bien du titulaire du portefeuille et que les conditions d'accès étaient bien remplies (notamment que le prix a été payé), celui-ci renvoie à l'adresse de portefeuille de l'utilisateur une adresse de téléchargement à partir de laquelle il pourra obtenir la clé secrète temporaire et le dictionnaire temporaire de codes aléatoires.

Claims (14)

1. REVENDICATIONS

   1. Système d'accès sécurisé à un véhicule équipé d'un circuit de contrôle d'accès (190, 290) contrôlant le déverrouillage du véhicule ou d'une partie de celui-ci seulement, le circuit de contrôle d'accès étant adapté à être commandé par une clé à télécommande au moyen d'un signal électromagnétique, ledit système étant caractérisé en ce qu'il comporte une passerelle de conversion acoustique/ électromagnétique destinée à être fixée à l'extérieur du véhicule, ladite passerelle de conversion comprenant :

   un décodeur acoustique (140, 240) adapté à recevoir d'un smartphone un message sous la forme d'un signal acoustique, dit jeton acoustique d'accès, et à décoder des symboles d'information de ce message au moyen d'un alphabet de codes acoustiques aléatoires stocké dans une mémoire (145, 240) de la passerelle ;

   un circuit de validation (150,250) vérifiant que le message reçu est bien valide au moyen d'un élément d'authentification ;

   un émetteur (170,270) adapté à transmettre un signal de commande électromagnétique au circuit de contrôle d'accès (190,290) si le message reçu est bien valide.
2. 2. Système d'accès sécurisé à un véhicule selon la revendication 1, caractérisé en ce que le décodeur acoustique effectue une pluralité (K) d'opérations de corrélation du signal acoustique avec les codes acoustiques aléatoires de l'alphabet pour fournir une pluralité de résultats de corrélation, le code acoustique aléatoire correspondant au résultat de corrélation dont la valeur absolue est la plus élevée fournissant le symbole d'information dudit message.
3. 3. Système d'accès sécurisé à un véhicule selon la revendication 1 ou 2, caractérisé en ce que la passerelle de conversion est pourvue de moyens de détection d'une rupture de la fixation de la passerelle au véhicule, lesdits moyens de détection effaçant le contenu de la mémoire lorsqu'une telle rupture est détectée.
4. 4. Système d'accès sécurisé à un véhicule selon l'une des revendications précédentes, caractérisé en ce que la passerelle de conversion est pourvue d'un système de génération d'énergie autonome et de stockage d'énergie.
5. 5. Système d'accès sécurisé à un véhicule selon l'une des revendications précédentes, caractérisé en ce que la clé à télécommande est une clé de type RKE, et que le circuit de validation (150) valide le message reçu à partir d'un identifiant d'accès et de l'élément d'authentification contenus dans ledit message, l'identifiant d'accès comportant un identifiant du véhicule.
6. 6. Système d'accès sécurisé à un véhicule selon la revendication 5, caractérisé en ce que l'identifiant d'accès comprend en outre un numéro de contrat ou de commande et, optionnellement, une plage temporelle pendant laquelle l'accès au véhicule est autorisé.
7. 7. Système d'accès sécurisé à un véhicule selon la revendication 5 ou 6, caractérisé en ce que l'élément d'authentification est une signature de l'identifiant au moyen d'une clé privée du propriétaire du véhicule, appartenant à un cryptosytème asymétrique.
8. 8. Système d'accès sécurisé à un véhicule selon l'une des revendications précédentes, caractérisé en ce que la clé à télécommande est une clé de type PKE, et que la passerelle de conversion comporte en outre un circuit d'interrogation (280), un circuit de réponse (260) ainsi qu'un transpondeur (270), le transpondeur étant adapté à recevoir, sous la forme d'un premier signal électromagnétique, un premier message de défi émis par le circuit de contrôle d'accès (290) et à transmettre, sous la forme d'un second signal électromagnétique, un second message de réponse audit circuit de contrôle d'accès, le circuit d'interrogation étant adapté à générer un second message de défi lorsqu'il reçoit un premier message de défi, le second message de défi étant codé dans un codeur acoustique (245) au moyen de l'alphabet de codes acoustiques aléatoires avant d'être transmis au smartphone, le circuit de réponse étant adapté à générer le second message de réponse lorsqu'un premier message de réponse, reçu du smartphone et décodé par le décodeur acoustique (240) au moyen de l'alphabet de codes acoustiques aléatoires, est validé par le circuit de validation (250).
9. 9. Système d'accès sécurisé à un véhicule selon la revendication 8, caractérisé en ce que le premier message de défi est également transmis au circuit de réponse (260) et que le second défi est également transmis au circuit de validation (250).
10. 10. Système d'accès sécurisé à un véhicule selon la revendication 9, caractérisé en ce que le circuit d'interrogation génère un second message de défi en incrémentant un compteur et en concaténant, à la sortie du compteur ainsi incrémenté, un identifiant du véhicule, l'ensemble étant haché pour fournir une empreinte, ladite empreinte étant incorporée dans le second message de défi.
11. 11. Système d'accès sécurisé à un véhicule selon la revendication 8, 9 ou 10, caractérisé en ce que le premier message de réponse est décodé par le décodeur (240) acoustique sur la base d'un premier dictionnaire de codes acoustiques aléatoires, dit dictionnaire principal, puis déchiffré par le circuit de validation (250) au moyen d'une clé publique du propriétaire du véhicule, dite clé publique principale, la clé publique principale appartenant à un premier cryptosystème asymétrique et étant stockée dans la mémoire de la passerelle (230), le circuit de validation comparant le second message de défi et le premier message ainsi déchiffré pour déterminer si la réponse est valide.
12. 12. Système d'accès sécurisé à un véhicule selon la revendication 11, caractérisé en ce que, si la réponse n'est pas valide, le premier message de réponse est décodé par le décodeur (240) acoustique sur la base d'un second dictionnaire de codes acoustiques aléatoires, dit dictionnaire auxiliaire, puis déchiffré par le circuit de validation (250) au moyen d'une clé publique, dite clé publique auxiliaire, la clé publique auxiliaire appartenant à un second cryptosystème asymétrique et étant stockée dans la mémoire de la passerelle (230), le circuit de validation comparant, dans une seconde tentative, le second message de défi et le premier message ainsi déchiffré pour déterminer si la réponse est valide.
13. 13. Système d'accès sécurisé à un véhicule selon la revendication 8,9 ou 10, caractérisé en ce que le premier message de réponse est décodé par le décodeur (240) acoustique sur la base d'un premier dictionnaire de codes acoustiques aléatoires puis déchiffré par le circuit de validation (250) au moyen d'une clé secrète du propriétaire du véhicule, la clé publique appartenant à un premier cryptosystème symétrique et étant stockée dans une zone sécurisée de la mémoire de la passerelle (230), le circuit de validation comparant le second message de défi et le premier message ainsi déchiffré pour déterminer si la réponse est valide.
14. 14. Système d'accès sécurisé à un véhicule selon la revendication 13, caractérisé en ce que, si la réponse n'est pas valide, le premier message de réponse est décodé par le décodeur (240) acoustique sur la base d'un second dictionnaire de codes acoustiques aléatoires, dit dictionnaire auxiliaire, puis déchiffré par le circuit de validation (250) au moyen d'une seconde clé secrète, dite clé secrète auxiliaire, la clé secrète auxiliaire appartenant à un second cryptosystème symétrique et étant stockée dans une zone sécurisée de la mémoire de la passerelle (230), le circuit de validation comparant, dans une seconde tentative, le second message de défi et le premier message ainsi déchiffré pour déterminer si la réponse est valide.