WO2015197722A1 - Vehicule comprenant des equipements munis d'elements securises - Google Patents

Vehicule comprenant des equipements munis d'elements securises Download PDF

Info

Publication number
WO2015197722A1
WO2015197722A1 PCT/EP2015/064300 EP2015064300W WO2015197722A1 WO 2015197722 A1 WO2015197722 A1 WO 2015197722A1 EP 2015064300 W EP2015064300 W EP 2015064300W WO 2015197722 A1 WO2015197722 A1 WO 2015197722A1
Authority
WO
WIPO (PCT)
Prior art keywords
secure element
vehicle
key
equipment
mutual authentication
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Ceased
Application number
PCT/EP2015/064300
Other languages
English (en)
Inventor
Frederic Dao
Stephan Stankowski
Jean-François Arnaud
Thierry Gillet
Jérôme Duprez
David Halle
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Thales DIS France SA
Original Assignee
Gemalto SA
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Gemalto SA filed Critical Gemalto SA
Publication of WO2015197722A1 publication Critical patent/WO2015197722A1/fr
Anticipated expiration legal-status Critical
Ceased legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/321—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving a third party or a trusted authority
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60R—VEHICLES, VEHICLE FITTINGS, OR VEHICLE PARTS, NOT OTHERWISE PROVIDED FOR
    • B60R25/00—Fittings or systems for preventing or indicating unauthorised use or theft of vehicles
    • B60R25/01—Fittings or systems for preventing or indicating unauthorised use or theft of vehicles operating on vehicle systems or fittings, e.g. on doors, seats or windscreens
    • B60R25/04—Fittings or systems for preventing or indicating unauthorised use or theft of vehicles operating on vehicle systems or fittings, e.g. on doors, seats or windscreens operating on the propulsion system, e.g. engine or drive motor
    • B60R25/045—Fittings or systems for preventing or indicating unauthorised use or theft of vehicles operating on vehicle systems or fittings, e.g. on doors, seats or windscreens operating on the propulsion system, e.g. engine or drive motor by limiting or cutting the electrical supply to the propulsion unit
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60R—VEHICLES, VEHICLE FITTINGS, OR VEHICLE PARTS, NOT OTHERWISE PROVIDED FOR
    • B60R25/00—Fittings or systems for preventing or indicating unauthorised use or theft of vehicles
    • B60R25/20—Means to switch the anti-theft system on or off
    • B60R25/2018—Central base unlocks or authorises unlocking
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60R—VEHICLES, VEHICLE FITTINGS, OR VEHICLE PARTS, NOT OTHERWISE PROVIDED FOR
    • B60R25/00—Fittings or systems for preventing or indicating unauthorised use or theft of vehicles
    • B60R25/20—Means to switch the anti-theft system on or off
    • B60R25/24—Means to switch the anti-theft system on or off using electronic identifiers containing a code not memorised by the user
    • B60R25/246—Means to switch the anti-theft system on or off using electronic identifiers containing a code not memorised by the user characterised by the challenge triggering
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60R—VEHICLES, VEHICLE FITTINGS, OR VEHICLE PARTS, NOT OTHERWISE PROVIDED FOR
    • B60R25/00—Fittings or systems for preventing or indicating unauthorised use or theft of vehicles
    • B60R25/30—Detection related to theft or to other events relevant to anti-theft systems
    • B60R25/307—Detection related to theft or to other events relevant to anti-theft systems using data concerning maintenance or configuration
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3226—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using a predetermined code, e.g. password, passphrase or PIN
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3271—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using challenge-response
    • H04L9/3273—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using challenge-response for mutual authentication
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60R—VEHICLES, VEHICLE FITTINGS, OR VEHICLE PARTS, NOT OTHERWISE PROVIDED FOR
    • B60R2325/00—Indexing scheme relating to vehicle anti-theft devices
    • B60R2325/20—Communication devices for vehicle anti-theft devices
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/80—Wireless
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/84—Vehicles

Definitions

  • the present invention relates to a vehicle comprising a plurality of equipment, and a related method. It finds a particular but non-limiting application in the field of motor vehicles.
  • motor vehicles comprise equipment such as an injection computer or an odometer which comprise sensitive electronic data such as data respectively configuring the power of said motor vehicle or indicating the mileage of the said motor vehicle.
  • equipment such as an injection computer or an odometer which comprise sensitive electronic data such as data respectively configuring the power of said motor vehicle or indicating the mileage of the said motor vehicle.
  • certain motor vehicles, especially electric vehicles use equipment such as a rechargeable electric battery.
  • the invention proposes a vehicle comprising a plurality of equipment, according to which said vehicle comprises a first secure element and a second secured element, one of the first and second secured elements being secured to said vehicle and the other of the first and second secure elements being integrated in an equipment, and according to which:
  • the first secure element comprises a first key
  • the second secure element comprises a second key and is suitable for:
  • the vehicle may further comprise one or more additional characteristics from the following:
  • said first secure element is integral with the vehicle and said second secure element is integrated in a device.
  • said first secure element is integrated in an equipment and said second secure element is integral with the vehicle.
  • said mutual authentication is performed by means of a challenge-response based on the second key.
  • said vehicle comprises a plurality of devices each comprising a secure element.
  • - Equipment comprising a secure element is a battery of the vehicle.
  • a secure element is a smart card.
  • the first communication link is made using an https secure communication protocol.
  • said second secure element is furthermore suitable for:
  • said mutual authentication is established, authorizing said equipment to operate with said vehicle via said second communication link.
  • said mutual authentication is performed by means of a challenge-response based on said first key.
  • the second communication link is made by means of a wired or wireless connection.
  • a server adapted to pair a first secure element of a vehicle comprising a plurality of equipment with a second secure element of the vehicle, one of the first and second secure elements being secured to said vehicle and the other of the first and second secure elements being integrated into an equipment of said vehicle, the first secure element comprising a first key and the second secure element comprising a second key, according to which said server comprises a fourth key and is adapted to: - establish a first communication link with said second secure element;
  • the establishment of the first communication link is triggered by an order received from a portable device.
  • the first key and the third key may be the same first secret key while the second key and the fourth key may be the same second secret key.
  • a pairing method of a first secure element of a vehicle comprising a plurality of equipment with a second secure element of the vehicle, one of the first and second elements secure being secured to said vehicle and the other of the first and second secure elements being integrated into an equipment of said vehicle, the first secure element comprising a first key and the second secure element comprising a second key, wherein the method comprises:
  • FIG. 1a shows a diagram of a vehicle according to a first non-limiting embodiment of the invention
  • FIG. 1b shows a diagram of a vehicle according to a second non-limiting embodiment of the invention
  • FIG. 2 represents a secure element integrated in an equipment of the vehicle of FIG. 1a, said secure element being adapted to connect with a remote server and a secure element integral with said vehicle according to a nonlimiting embodiment;
  • FIG. 3 is a diagram of a pairing method between two secured elements of the vehicle of FIG. 1a according to one nonlimiting embodiment
  • FIG. 4 is an explanatory sequence diagram of the pairing method of FIG. DESCRIPTION OF EMBODIMENTS OF THE INVENTION
  • vehicle we mean any vehicle that is terrestrial such as a motor vehicle (car, motorcycle etc.), such as a plane, marine such as a ship or amphibian such as a submarine.
  • a motor vehicle is taken as a non-limiting example.
  • the motor vehicle V is illustrated in Figure 1a and Figure 1b.
  • the motor vehicle V comprises: a plurality of CE equipment such as in non-limiting examples a CINJ injection computer, a CKM odometer, a CLIM air conditioner and a CBAT battery.
  • the CBAT battery is used to supply the other CE equipment and the engine control unit ECU by supplying a voltage Vb of 12V for example;
  • an engine control unit ECU adapted to manage the engine
  • a communication bus B adapted to allow communication between the engine control unit ECU, the different control units therebetween.
  • the communication bus is a CAN ("Controller Area Network") or LIN ("Local Interconnect Network”) bus;
  • Vehicle V furthermore comprises:
  • the first secure element SE1 comprises a first secret key
  • the second secure element SE2 comprises a second secret key K2.
  • said first secure element SE1 is integral with the vehicle V and said second secure element SE2 is integrated into an equipment CE of said vehicle V.
  • the vehicle V comprises a plurality of second secured elements SE2: a second secure element SE2 is part of the CBAT battery, a second secure element SE2 'is part of the injection computer CINJ and a second secure element SE2 "is part of the counter kilometer CKM.
  • said first secure element SE1 is integrated in a CE equipment and said second secure element SE2 is integral with the vehicle V.
  • a first secure element SE1 is part of the CBAT battery.
  • said security element SE is mounted on the chassis CH of the vehicle V.
  • the first embodiment of FIG. 1a is taken as a nonlimiting example in which the first secure element SE1 is integral with the vehicle V and the second secure element SE2 is part of an equipment CE which is the CBAT battery.
  • FIG. 2 illustrates a CE equipment (the CBAT battery) which comprises the second secure element SE2.
  • a secure element SE (whether it is the first secure element SE1 or a second secure element SE2, SE2 ', SE2 ") are described below.
  • a secure element SE (here the element SE2 of the battery CBAT) is a smart card.
  • Said chip card notably comprises, in a known manner, an integrated circuit and a non-volatile memory MEM2.
  • This smart card is coupled with an interface connection l_SE2 via welded connectors (or tabs) (called “pins" in English ").
  • the smart card SE2 and the connection interface l_SE2 form an MSE2 security module.
  • Said connection interface l_SE2 comprises:
  • transceiver C1 connected to the communication bus B;
  • this interface C2 supports the NFCTM (Near Field Communication) wireless communication protocols, Bluetooth®, WifiTM etc.
  • NFCTM Near Field Communication
  • a secure element SE (here the element SE1 integral with the vehicle V) is a microcontroller.
  • This microcontroller comprises an integrated circuit. It is coupled to a connection interface l_SE1 which has the same elements C1, C2, PT as the connection interface l_SE2.
  • the microcontroller SE1 and the connection interface l_SE1 form a security module MSE1.
  • the second secure element SE2 is suitable for:
  • Pairing a secure element with another secure element means making a secure element dependent on another secure element so that they can communicate with each other because they recognize each other. other, and that they will never work one without the other.
  • the first secure element SE1 is paired with at least one second secure element, here the SE2 of the CBAT battery. In the same way, it can also be paired with the other second secure elements SE2 ', SE2 "of the other equipment CINJ, CKM and so on.
  • the second secure element SE2 is adapted to perform the functions described above during an initialization phase PH1.
  • initialization phase PH1 is meant a phase in which the EC equipment is parameterized before it is used in the motor vehicle V and in which there is mutual authentication between the CE equipment and the remote server SERV.
  • Phase PH1 thus comprises a parameterization phase and a mutual authentication phase.
  • the remote server SERV is a server belonging for example to a battery rental company.
  • the CBAT battery will only work with this vehicle identified by its first secure element SE1. It should be noted that the pairing is done here before the installation of the CBAT battery in the vehicle or when the battery is already installed in the vehicle, but in any event before the first use of the CBAT battery in the vehicle V .
  • the PH1 initialization phase is repeated each time the CBAT battery is reused in a new vehicle V.
  • the first communication link L1 is effected by means of a secure communication protocol https in order to transmit in particular the first secret key K1 in a secure manner.
  • the first communication link L1 is wired or wireless (in non-limiting examples WIFI TM, NFC TM etc.).
  • the remote server SERV accesses said secure element SE2 via a local computer that connects directly on the CBAT battery for example.
  • the CBAT battery ensures that it communicates well with the good SERV remote server.
  • the remote server SERV makes sure to communicate with a non-fraudulent CBAT battery.
  • the first mutual authentication is performed by means of a challenge-response (called “challenge response authentication") based on the second secret key K2.
  • challenge response authentication a challenge-response
  • the remote server when it authenticates to the second element SE2, it sends an authentication response R1 following an authentication request requested by the second element SE2, said request comprising a challenge Ch1 based on the second secret key K2.
  • the authentication response R1 of the server SERV is valid if it is itself based on the second secret key K2, that is to say calculated from the second secret key K2. This means that the CBAT battery and the remote server SERV share the same secret, namely here the second secret key K2.
  • the SERV remote servers that share the same secret key K2 as the CBAT battery will be able to access said CBAT battery to modify its data or add information in its memory MEM2, here the first secret key K1.
  • a third party who steals said CBAT battery will not be able to come to connect to said battery to modify its data (and in particular to implant a first fraudulent secret key) with a fraudulent device since its device will not pass this authentication step.
  • the CBAT battery can therefore not be used in a vehicle V which includes a first fraudulent secret key. She does not will only work with the different vehicles to which it will have been destined during its life. This applies especially in the case of a rechargeable electric battery that can be mounted on different vehicles. To this end, with each use on a different vehicle, the CBAT battery will receive a first secret key K1 different corresponding to each of the different vehicles where it is used. The rental of batteries can thus manage different batteries for a given vehicle.
  • the authentication of the CBAT battery to the remote server SERV enables said server SERV to ensure that it transmits the first secret key K1 to a non-pirated CBAT battery.
  • the battery CBAT authenticates to the remote server SERV via its second element SE2, it sends an authentication response R1 following an authentication request requested by the remote server, said request comprising a challenge Ch1 based on the second secret key K2.
  • the authentication response R1 of the battery CBAT is valid if it is itself based on the second secret key K2, that is to say calculated from the second secret key K2.
  • the memory MEM2 which stores the first secret key K1 is a rewritable non-volatile memory such as an EEPROM (Electrically Erasable Programmable Read-Only Memory).
  • EEPROM Electrically Erasable Programmable Read-Only Memory
  • Remote server side SERV to pair a first secure element SE1 of the vehicle V with a second secure element SE2 of the vehicle V, one of the first and second secured elements SE1, SE2 being integral with said vehicle V and the other of the first and second secure elements SE1, SE2 being integrated in a CE equipment of said vehicle V (in the example shown the first secure element SE1 is integral with the vehicle and the second secure element SE2 is part of the CBAT battery), the first element secure SE1 comprising a first secret key K1 and the second secure element SE2 comprising a second secret key K2, the remote server SERV comprises the second secret key K2 and is adapted to: - establish said first communication link L1 with said second secure element SE2 ;
  • the second key K2 is here an administrative key that allows the remote server SERV to perform administration operations on the different CE equipment to be mounted in a given motor vehicle V.
  • the establishment of the first communication link L1 is triggered by a Cmd command received from a portable device MOB.
  • the portable device MOB can thus trigger the pairing.
  • the portable device MOB is a mobile phone, a touch pad etc.
  • an administrator of the remote server SERV can remotely issue a pairing order to said remote server SERV.
  • the latter can perform the following functions.
  • the second secure element SE2 is thus further adapted to:
  • the second secure element SE2 is adapted to perform these functions during a use phase PH2 in the motor vehicle V.
  • the various additional functions (listed above) of the second secure element SE2 are described in more detail here. -Dessous.
  • the second communication link L2 is effected by means of a wired connection (via the transceiver C1 connected to the bus B seen previously) or wirelessly (via the communication interface without wire C2 seen previously) or via a carrier current on the battery voltage Vb.
  • the CBAT battery ensures that it communicates well with the right vehicle V.
  • the CBAT battery is stolen, it can not be used with another vehicle V.
  • the vehicle V makes sure to communicate with a non-fraudulent CBAT battery.
  • the vehicle is stolen and a replacement battery is installed in the vehicle, it will not be able to work with the battery.
  • the second mutual authentication is performed by means of a challenge-response (called “challenge response authentication") based on the first secret key K1.
  • the vehicle V via the first secure element SE1 authenticates to the second element SE2, it sends a R2 authentication response following an authentication request requested by the second element SE2, said request comprising a challenge Ch1 based on the first secret key K1.
  • the authentication response R2 of the vehicle V is valid if it is itself based on the first secret key K1, that is to say calculated from the first secret key K1. This means that the CBAT battery and the vehicle V share the same secret, namely here the first secret key K1.
  • the second element SE2 when the second element SE2 authenticates with the first element SE1, it sends an authentication response R2 following an authentication request requested by the first secure element SE1, said request comprising a challenge Ch1 based on the first secret key K1.
  • the authentication response R2 of the battery CBAT is valid if it is itself based on the first secret key K1, that is to say calculated from the first secret key K1.
  • the CBAT battery delivers the voltage on the vehicle's V vehicle network to supply the various CE equipment. Otherwise, the vehicle network is not powered and the vehicle V can not start. The battery is unusable.
  • the first secret key K1 associated with the vehicle V is stored in a memory MEM1, for example an EEPROM, of the first secure element SE1 integral with said vehicle V.
  • the injection computer CINJ if the authentication responses R2 are valid, the injection computer CINJ will provide the vehicle V the data corresponding to the power of the vehicle V.
  • authorized a CE device to operate with the vehicle V it is meant that said EC equipment delivers current / voltage or delivers data to said vehicle V.
  • the use phase PH2 can understand the start of the vehicle V. In this case, the mutual authentication AUTH2 can be requested at the start of the vehicle V.
  • the use phase PH2 may include the recovery of information in the event of repair of a CE equipment such as the injection computer CINJ for example.
  • mutual authentication AUTH2 may be requested when a computer connects to the CE to retrieve this information.
  • the computer must present the key K1 to authenticate. This means that a pairing has been done between the remote server SERV and said computer beforehand. Otherwise, the CE equipment will refuse to communicate with this unknown computer.
  • the second secure element SE2 and the remote server SERV make it possible to implement the pairing method P illustrated in FIG. 3.
  • FIG. 4 illustrates the sequence of the various steps during the initialization phase PH1.
  • step 1 illustrated SET_LNK (L1, SERV, SE2)
  • step 2 illustrated AUTH1 (SE2, SERV)
  • the server SERV is allowed to send data to the second secure element SE2. It therefore sends the first secret key K1 of the vehicle V for which the CBAT battery is intended (steps 3 and 4 illustrated TX (K1, SERV) / RX (K1, SE2)).
  • step 5 illustrated REG (K1, SE2)
  • the two secure elements SE1, SE2 are paired.
  • the motor vehicle V is associated with the CBAT battery which can only work with this vehicle V. If the mutual authentication has not succeeded, the second element SE2 prohibits access to the server SERV (step 5 'illustrated FORBD (SERV)).
  • FIG. 4 further illustrates the steps during the use phase PH2 of the second secure element SE2.
  • step 1 illustrated SET_LNK (L2, SE1, SE2)
  • step 2 illustrated AUTH2 (SE2, SE1)
  • SE2, SE1 AUTH2
  • the vehicle V to which the first secure element SE1 is attached
  • the battery CBAT which comprises the second secure element SE2
  • step 3 illustrated FCT SE1, SE2
  • the CBAT battery which comprises the second secure element SE2 has identified the motor vehicle V and will thus be able to operate with it, in particular it can supply the vehicle vehicle's onboard network with voltage.
  • step 3 If the mutual authentication has not succeeded, the vehicle V is not allowed to operate with the CBAT battery (step 3 'illustrated FORBD (SEI)).
  • SEI FORBD
  • a second secure element SE2 'forming part of the injection computer CINJ can only operate with a given vehicle V if the second secure element SE2' has been paired with the first secure element SE1 of the vehicle V, and this by a SERV remote server authorized to do so.
  • a fraudulent third party who has stolen the vehicle can not not come to connect with a fraudulent device on the injection computer to increase the power of said vehicle V for example, since it will not be aware of the secret shared between said injection computer CINJ and the authorized server SERV, namely here the second secret key K2.
  • a secure element SE may also comprise a smart card in which there is no management of the communication interfaces C1 and C2.
  • the security module comprising such a smart card comprises an additional communication management module for managing said interfaces C1 and C2 and communicating with said smart card.
  • the vehicle V it is possible to manage the starting of the vehicle V according to other CE equipment (thus including a secure element SE) in addition to the CBAT battery; for example, according to safety equipment such as the attached belt detection device, the door closing device, etc. or for example depending on management equipment such as a credit card device for renting cars. In the latter case, the vehicle will only start if the credit card has enough rental units.
  • the mutual authentications AUTH1 and AUTH2 can be executed periodically, even after the start of the vehicle V.
  • the mutual authentication mode described above is based on a symmetric secret key mutual authentication.
  • the mutual authentication is based on a PKI (Public Key Infrastructure) type authentication that uses a public key and a secret key.
  • PKI Public Key Infrastructure
  • the server only gives the public key and the secret key is only present in the device.
  • the second secret key K2 can be replaced by a PKI type authentication the server holding either the secret key K2 or the public key corresponding to K2.
  • the description of the invention is not limited to the applications described above.
  • the invention can also be applied to a building H (private or public habitats such as a house, an apartment building, an office building, etc.).
  • a building H comprising a plurality of CE equipment, according to which said building H comprises a first secure element SE1 and a second secure element SE2, one of the first and second secure elements SE1, SE2 being integral with said building H and the other of the first and second secure elements SE1, SE2 being integrated in a CE equipment, and according to which:
  • the first secure element SE1 comprises a first key K1;
  • the second secure element SE2 comprises a second key K2 and is suitable for:
  • first mutual authentication AUTH1 Establishing a first communication link L1 with a remote server SERV; • perform mutual authentication with said remote server SERV (called first mutual authentication AUTH1); and
  • the second secure element SE2 is adapted to perform the functions described above during an initialization phase PH1.
  • the CE equipment is a television, a computer, an internet box, a printer, etc.
  • the building H can comprise a plurality of CE equipment each comprising a secure element SE.
  • the vehicle V is replaced by a building H and the CLIM, CINJ, CKM equipment is replaced by a CPC computer, a CBX internet box, a CPR printer, and the CBAT battery by a CTV television.
  • the engine control unit ECU is no longer present, the processing units UT are integrated in the CE equipment, and a CPT electrical meter is integrated in Figure 1 which is connected to all equipment CE via the H building's wired electrical network B or via a wireless network (NFC TM, WIFI TM etc.).
  • the first communication link L1 (between the secure element SE2 and the remote server SERV) is wired or wireless (NFC TM, WIFI TM etc.)
  • the electrical wires are used and the carrier current is used to convey the data such as the secret key exchanged.
  • solidarity is meant a secure element SE which is attached to the building H so that in case of fraudulent extraction of said element SE, the latter is deteriorated and no longer works (for example the data in memory is erased).
  • the secure element SE integral with the building H is fixed on the electrical meter CPT of said building H.
  • said first secure element SE1 is integral with the building H and said second secure element SE2 is integrated in a CE equipment, or said first secure element SE1 is integrated in a CE equipment and said second element Secure SE2 is attached to Building H.
  • a secure element SE is a chip card or a microcontroller in non-limiting examples.
  • the embodiments described above for the smart card or the microcontroller and illustrated in FIG. 2 are also applicable to the application building H.
  • said second secure element SE2 is further adapted to:
  • the second secure element SE2 is adapted to perform these functions during a phase of use PH2 in the building H.
  • a secure element SE is a smart card and the various embodiments of FIG. 2 are applicable;
  • said first mutual authentication AUTH1 is performed by means of a challenge-response Ch1 -R1 based on the second secret key K2;
  • the first communication link L1 is performed using an https secure communication protocol
  • said second mutual authentication AUTH2 is performed by means of a challenge-response Ch2-R2 based on said first secret key K1;
  • the second communication link L2 is effected by means of a wire connection C1 or wireless C2 or the po rteu r stream.
  • the remote server SERV is in a non-limiting example, a server administered by the manager of the electrical meter CPT building H.
  • the remote server SERV is adapted to pair a first secure element SE1 of a building H comprising a plurality of CE devices with a second secure element SE2 of the building H, one of the first and second secure elements SE1, SE2 being secured to said building H and the other of the first and second secure elements SE1, SE2 being integrated in a CE equipment of said building H, the first secure element SE1 comprising a first key K1 and the second secure element SE2 comprising a second key K2, and said server SERV comprises a fourth key (K2 or a secret or public key corresponding to K2) and is suitable for: establishing a first communication link L1 with said second secure element SE2;
  • the establishment of the first communication link L1 is triggered by a command Cmd received from a portable device MOB.
  • the portable device MOB can thus trigger the pairing.
  • the pairing method P1 is therefore performed in the same manner as previously described.
  • a pairing method P1 of a first secure element SE1 of a building H comprising a plurality of CE equipment with a second secure element SE2 of the building H, one of the first and second secure elements SE1, SE2 being integral with said building H and the other of the first and second secure elements SE1, SE2 being integrated in a CE equipment of said building H, the first secure element SE1 comprising a first key K1 and the second secure element SE2 comprising a second key K2, according to which the pairing method P1 comprises:
  • the disclosed invention has the following advantages in particular: it proposes a pairing between two secure elements that are simple to implement and inexpensive;
  • the remote server by pairing via a trusted third party (the remote server), it avoids any fraudulent modification of the data of a secure element;

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Mechanical Engineering (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Lock And Its Accessories (AREA)

Abstract

La présente invention concerne un véhicule V comprenant une pluralité d'équipements CE. Le véhicule comprend un premier élément sécurisé SE1 et un deuxième élément sécurisé SE2. L'un des premier et deuxième éléments sécurisés SE1, SE2 est solidaire dudit véhicule V, l'autre étant intégré dans un équipement CE. Le premier élément sécurisé SE1 comprend une première clef K1. Le deuxième élément sécurisé SE2 comprend une deuxième clef et est adapté pour : - établir une première liaison de communication L1 avec un serveur distant SERV; - effectuer une authentification mutuelle avec ledit serveur distant SERV; et - si ladite authentification mutuelle est établie, recevoir une troisième clef K1 envoyée par ledit serveur distant SERV pour appairer ledit premier élément sécurisé SE1 avec ledit deuxième élément sécurisé SE2 via ladite première liaison de communication L1.

Description

VEHICULE COMPRENANT DES EQUIPEMENTS MUNIS D'ELEMENTS
SECURISES
DOMAI N E TECH N I Q U E D E L' I NVE NTI ON
La présente invention concerne un véhicule comprenant une pluralité d'équipements, et un procédé associé. Elle trouve une application particulière mais non limitative dans le domaine des véhicules automobiles.
AR R I È R E- P LAN TECH NOLOG I Q U E D E L' I NV E NTI ON
Selon un état de la technique connu de l'homme du métier, les véhicules automobiles comprennent des équipements tels qu'un calculateur d'injection ou un compteur kilométrique qui comprennent des données électroniques sensibles telles que respectivement des données configurant la puissance dudit véhicule automobile ou indiquant le kilométrage dudit véhicule automobile. Par ailleurs certains véhicules automobiles, notamment les véhicules électriques, utilisent un équipement tel qu'une batterie électrique rechargeable.
Un problème de cet état de la technique réside dans le fait qu'un tiers peut utiliser ces équipements de façon frauduleuse, que ce soit :
- en modifiant les données sensibles de ces équipements par exemple pour augmenter la puissance du véhicule automobile sans y être autorisé ou pour modifier le kilométrage du véhicule automobile ; ou
- en dérobant ces équipements, tel que la batterie électrique, pour les utiliser dans un autre véhicule sans y être autorisé.
Dans ce contexte, la présente invention vise à résoudre les inconvénients précédemment mentionné. D ESC R I PTI ON G E N E RALE D E L' I NV E NTI ON
A cette fin l'invention propose un véhicule comprenant une pluralité d'équipements, selon lequel ledit véhicule comprend un premier élément sécurisé et un deuxième élément sécurisé, l'un des premier et deuxième éléments sécurisés étant solidaire dudit véhicule et l'autre des premier et deuxième éléments sécurisés étant intégré dans un équipement, et selon lequel :
- le premier élément sécurisé comprend une première clef; - le deuxième élément sécurisé comprend une deuxième clef et est adapté pour :
• établir une première liaison de communication avec un serveur distant ;
• effectuer une authentification mutuelle avec ledit serveur distant ; et
• si ladite authentification mutuelle est établie, recevoir ladite première clef envoyée par ledit serveur distant pour appairer ledit premier élément sécurisé avec ledit deuxième élément sécurisé via ladite première liaison de communication. Ainsi, comme on va le voir en détail ci-après, le fait d'appairer via un tiers de confiance (le serveur distant) un élément sécurisé d'un véhicule donné avec un élément sécurisé d'un équipement avant toute utilisation de l'équipement dans ledit véhicule, va permettre d'empêcher une utilisation frauduleuse de cet équipement. Ainsi, on réduit le risque de vol de cet équipement ou encore par la modification de ses données. En effet, pour fonctionner avec le véhicule donné, ledit équipement va devoir être apparié avec le véhicule qui lui a été via le serveur distant. Un équipement volé ne pourra donc pas être utilisé sur un véhicule autre que celui auquel il avait été destiné. Par ailleurs, avant l'appairage, comme l'équipement demande une authentification à tout serveur qui veut se connecter, cela empêchera un tiers de modifier les données dudit équipement sans autorisation avec un serveur qui ne partage pas la bonne clef de l'élément sécurisé dudit équipement.
Selon des modes de réalisation non limitatifs, le véhicule peut comporter en outre une ou plusieurs caractéristiques supplémentaires parmi les suivantes:
- la première clef et la troisième clef sont une seule et même clef secrète
- ledit premier élément sécurisé est solidaire du véhicule et ledit deuxième élément sécurisé est intégré dans un équipement.
- ledit premier élément sécurisé est intégré dans un équipement et ledit deuxième élément sécurisé est solidaire du véhicule.
- ladite authentification mutuelle est réalisée au moyen d'un challenge-réponse basé sur la deuxième clef.
- ledit véhicule comprend une pluralité d'équipements comprenant chacun un élément sécurisé.
- un équipement comprenant un élément sécurisé est une batterie du véhicule.
- un élément sécurisé est une carte à puce.
- la première liaison de communication s'effectue au moyen d'un protocole de communication sécurisé https.
- ledit deuxième élément sécurisé est en outre adapté pour :
• établir une deuxième liaison de communication avec ledit premier élément sécurisé ;
• effectuer une authentification mutuelle avec ledit premier élément sécurisé ; et
• si ladite authentification mutuelle est établie, autoriser ledit équipement à fonctionner avec ledit véhicule via ladite deuxième liaison de communication. - ladite authentification mutuelle est réalisée au moyen d'un challenge-réponse basé sur ladite première clef.
- la deuxième liaison de communication s'effectue au moyen d'une connexion filaire ou sans fil.
Il est également proposé un serveur adapté pour appairer un premier élément sécurisé d'un véhicule comprenant une pluralité d'équipements avec un deuxième élément sécurisé du véhicule, l'un des premier et deuxième éléments sécurisés étant solidaire dudit véhicule et l'autre des premier et deuxième éléments sécurisés étant intégré dans un équipement dudit véhicule, le premier élément sécurisé comprenant une première clef et le deuxième élément sécurisé comprenant une deuxième clef, selon lequel ledit serveur comprend une quatrième clef et est adapté pour : - établir une première liaison de communication avec ledit deuxième élément sécurisé ;
- effectuer une authentification mutuelle avec ledit deuxième élément sécurisé ; et
- si ladite authentification mutuelle est établie, envoyer audit deuxième élément sécurisé une troisième clef pour appairer ledit premier élément sécurisé avec ledit deuxième élément sécurisé via ladite première liaison de communication.
Selon un mode de réalisation non limitatif, l'établissement de la première liaison de communication est déclenché par un ordre reçu d'un dispositif portable. Egalement, la première clef et la troisième clef peuvent être une même première clef secrète alors que la deuxième clef et la quatrième clef peuvent être une même deuxième clef secrète. II est également proposé un procédé d'appairage d'un premier élément sécurisé d'un véhicule comprenant une pluralité d'équipements avec un deuxième élément sécurisé du véhicule, l'un des premier et deuxième éléments sécurisés étant solidaire dudit véhicule et l'autre des premier et deuxième éléments sécurisés étant intégré dans un équipement dudit véhicule, le premier élément sécurisé comprenant une première clef et le deuxième élément sécurisé comprenant une deuxième clef, selon lequel le procédé comprend :
- l'établissement d'une première liaison de communication entre un serveur distant et ledit deuxième élément sécurisé ;
- la réalisation d'une authentification mutuelle entre ledit deuxième élément sécurisé et ledit serveur distant ; et
- si ladite authentification mutuelle est établie, l'envoi d'une troisième clef à partir dudit serveur distant et la réception de ladite troisième clef par ledit deuxième élément sécurisé, pour appairer ledit premier élément sécurisé avec ledit deuxième élément sécurisé via ladite première liaison de communication. BREVE DESCRIPTION DES FIGURES
L'invention et ses différentes applications seront mieux comprises à la lecture de la description qui suit et à l'examen des figures qui l'accompagnent.
- la figure 1 a représente un schéma d'un véhicule selon un premier mode de réalisation non limitatif de l'invention ;
- la figure 1 b représente un schéma d'un véhicule selon un deuxième mode de réalisation non limitatif de l'invention ;
- la figure 2 représente un élément sécurisé intégré dans un équipement du véhicule de la figure 1 a, ledit élément sécurisé étant adapté pour se connecter avec un serveur distant et un élément sécurisé solidaire dudit véhicule selon un mode de réalisation non limitatif ;
- la figure 3 est un schéma d'un procédé d'appairage entre deux éléments sécurisés du véhicule de la figure 1 a selon un mode de réalisation non limitatif ; et
- la figure 4 est un diagramme de séquences explicatif du procédé d'appairage de la figure 3. DESCRIPTION DE MODES DE REALISATION DE L'INVENTION
Les éléments identiques, par structure ou par fonction, apparaissant sur différentes figures conservent, sauf précision contraire, les mêmes références. Par véhicule, on entend tout véhicule qu'il soit terrestre tel qu'un véhicule automobile (voiture, moto etc.), aérien tel qu'un avion, marin tel qu'un navire ou amphibien tel qu'un sous-marin.
Dans la suite de la description, un véhicule automobile est pris comme exemple non limitatif. Le véhicule automobile V est illustré à la figure 1 a et à la figure 1 b.
Le véhicule automobile V comporte : - une pluralité d'équipements CE tels que dans des exemples non limitatifs un calculateur d'injection CINJ, un compteur kilométrique CKM, un climatiseur CLIM et une batterie CBAT. La batterie CBAT permet d'alimenter les autres équipements CE et l'unité de contrôle moteur ECU en fournissant une tension Vb de 12V par exemple ;
- une unité de contrôle moteur ECU adaptée pour gérer le moteur
MT du véhicule V ;
- des unités de contrôle électroniques UT pour gérer les différents équipements CE du véhicule V ;
- un bus de communication B adapté pour permettre la communication entre l'unité de contrôle moteur ECU, les différentes unités de contrôle entre elles. Dans un exemple non limitatif, le bus de communication est un bus CAN (« Controller Area network ») ou LIN (« Local Interconnect Network ») ; Le véhicule V comporte en outre :
- un premier élément sécurisé SE1 et un deuxième élément sécurisé SE2, l'un des premier et deuxième élément sécurisé SE1 , SE2 étant solidaire du véhicule V, et l'autre des premier et deuxième élément sécurisé SE1 , SE2 étant intégré dans un équipement du véhicule V. Le premier élément sécurisé SE1 comprend une première clef secrète
K1 ; et le deuxième élément sécurisé SE2 comprend une deuxième clef secrète K2.
Dans l'exemple de la figure 1 a, dans un premier mode de réalisation non limitatif, ledit premier élément sécurisé SE1 est solidaire du véhicule V et ledit deuxième élément sécurisé SE2 est intégré dans un équipement CE dudit véhicule V. Dans l'exemple illustré, le véhicule V comprend une pluralité de deuxièmes éléments sécurisés SE2 : un deuxième élément sécurisé SE2 fait partie de la batterie CBAT, un deuxième élément sécurisé SE2' fait partie du calculateur d'injection CINJ et un deuxième élément sécurisé SE2" fait partie du compteur kilométrique CKM.
Dans l'exemple de la figure 1 b, dans un deuxième mode de réalisation non limitatif, on a au contraire ledit premier élément sécurisé SE1 qui est intégré dans un équipement CE et ledit deuxième élément sécurisé SE2 qui est solidaire du véhicule V. Dans l'exemple illustré, un premier élément sécurisé SE1 fait partie de la batterie CBAT.
Par solidaire, on entend un élément sécurisé SE qui est :
- fixé au véhicule de manière à ce qu'en cas d'extraction frauduleuse dudit élément SE, ce dernier est détérioré et ne fonctionne plus (par exemple les données en mémoire s'effacent) ; et
- monté dans le véhicule V dans un endroit difficile d'accès. Ainsi, dans un exemple non limitatif, ledit élément de sécurité SE est monté sur le châssis CH du véhicule V. Dans la suite de la description, on prend comme exemple non limitatif, le premier mode de réalisation de la figure 1 a dans lequel le premier élément sécurisé SE1 est solidaire du véhicule V et le deuxième élément sécurisé SE2 fait partie d'un équipement CE qui est la batterie CBAT.
L'exemple non limitatif de la figure 2 illustre un équipement CE (la batterie CBAT) qui comprend le deuxième élément sécurisé SE2.
Différents modes de réalisation non limitatifs d'un élément sécurisé SE (que ce soit le premier élément sécurisé SE1 ou un deuxième élément sécurisé SE2, SE2', SE2") sont décrits ci-après.
Dans un premier mode de réalisation non limitatif illustré sur la figure 2, un élément sécurisé SE (ici l'élément SE2 de la batterie CBAT) est une carte à puce. Ladite carte à puce comprend notamment de manière connue un circuit intégré et une mémoire non volatile MEM2. Cette carte à puce est couplée avec une interface de connexion l_SE2 via des connecteurs soudés (ou pattes) (appelés « pins » en anglais »). La carte à puce SE2 et l'interface de connexion l_SE2 forment un module de sécurité MSE2. Ladite interface de connexion l_SE2 comporte :
- un émetteur-récepteur C1 connecté au bus de communication B ;
- une interface de communication sans fil C2. Dans un exemple non limitatif, cette interface C2 supporte les protocoles de communication sans fil NFCTM (« Near Field Communication »), Bluetooth®, WifiTM etc.
- un adaptateur de puissance PT connecté à la batterie CBAT via le réseau de bord du véhicule V et qui permet de convertir la tension de la batterie CBAT en une tension plus faible pour alimenter la carte à puce. Dans un deuxième mode de réalisation non limitatif illustré également sur la figure 2, un élément sécurisé SE (ici l'élément SE1 solidaire du véhicule V) est un microcontrôleur. Ce microcontrôleur comprend un circuit intégré. Il est couplé à une interface de connexion l_SE1 qui comporte les mêmes éléments C1 , C2, PT que l'interface de connexion l_SE2. Le microcontrôleur SE1 et l'interface de connexion l_SE1 forment un module de sécurité MSE1 . Le deuxième élément sécurisé SE2 est adapté pour :
- établir une première liaison de communication L1 avec un serveur distant SERV ;
- effectuer une authentification mutuelle avec ledit serveur distant SERV, dite première authentification AUTH1 ; et
- si ladite authentification mutuelle est établie, recevoir ladite première clef secrète K1 envoyée par ledit serveur distant SERV pour appairer ledit premier élément sécurisé SE1 avec ledit deuxième élément sécurisé SE2 via la première liaison de communication L1 ; et
- sauvegarder en mémoire MEM2 ladite première clef secrète K1 .
Par appairage d'un élément sécurisé avec un autre élément sécurisé, on entend le fait de rendre dépendant un élément sécurisé d'un autre élément sécurisé de sorte qu'ils puissent communiquer entre eux parce qu'ils se reconnaissent l'un, l'autre, et qu'ils ne fonctionneront jamais l'un sans l'autre.
On notera que dans l'exemple illustré, le premier élément sécurisé SE1 est appairé à au moins un deuxième élément sécurisé, ici le SE2 de la batterie CBAT. De la même manière, on peut également l'appairer aux autres deuxièmes éléments sécurisés SE2', SE2" des autres équipements CINJ, CKM etc.
On notera que le deuxième élément sécurisé SE2 est adapté pour effectuer les fonctions décrites ci-dessus au cours d'une phase d'initialisation PH1 .
Par phase d'initialisation PH1 , on entend une phase dans laquelle on paramètre l'équipement CE avant son utilisation dans le véhicule automobile V et dans laquelle il y a une authentification mutuelle entre l'équipement CE et le serveur distant SERV. La phase PH1 comprend donc une phase de paramétrage et une phase d'authentification mutuelle. On notera que dans l'exemple non limitatif de la batterie CBAT, le serveur distant SERV est un serveur appartenant par exemple à un loueur de batteries. Lorsqu'une batterie CBAT doit être installée dans un véhicule automobile, le loueur de batterie va appairer le deuxième élément sécurisé SE2 de la batterie CBAT avec le premier élément sécurisé SE1 d'un véhicule donné lors d'une phase d'initialisation du deuxième élément sécurisé SE2. L'appairage se fait ici en donnant la première clef secrète K1 du premier élément sécurisé SE1 du véhicule à ladite batterie CBAT. Ainsi, la batterie CBAT ne va fonctionner qu'avec ce véhicule identifié par son premier élément sécurisé SE1 . On notera que l'appairage se fait ici avant l'installation de la batterie CBAT dans le véhicule ou lorsque la batterie est déjà installée dans le véhicule, mais en tout état de cause avant la toute première utilisation de la batterie CBAT dans le véhicule V.
La phase d'initialisation PH1 se répète à chaque fois que la batterie CBAT est réutilisée dans un nouveau véhicule V.
Les différentes fonctions (énumérées ci-dessus) du deuxième élément sécurisé SE2 sont décrites plus en détail ci-dessous. Dans un mode de réalisation non limitatif, la première liaison de communication L1 s'effectue au moyen d'un protocole de communication sécurisé https afin de transmettre notamment la première clef secrète K1 de manière sécurisée. La première liaison de communication L1 est filaire ou sans fil (dans des exemples non limitatifs WIFI™, NFC™ etc.).
Lorsque la première liaison est filaire, le serveur distant SERV accède audit élément sécurisé SE2 via un ordinateur local qui se connecte directement sur la batterie CBATpar exemple.
Grâce à la première authentification mutuelle, la batterie CBAT s'assure qu'elle communique bien avec le bon serveur distant SERV. De même, le serveur distant SERV s'assure de communiquer avec une batterie CBAT non frauduleuse.
Dans un mode de réalisation non limitatif, la première authentification mutuelle est réalisée au moyen d'un challenge-réponse (appelée en anglais « challenge response authentification ») basé sur la deuxième clef secrète K2. Ainsi, dans un exemple non limitatif, lorsque le serveur distant s'authentifie au deuxième élément SE2, il envoie une réponse d'authentification R1 suite à une demande d'authentification demandée par le deuxième élément SE2, ladite demande comprenant un challenge Ch1 basé sur la deuxième clef secrète K2. La réponse d'authentification R1 du serveur SERV est valide si elle est elle- même basée sur la deuxième clef secrète K2, c'est-à-dire calculée à partir de la deuxième clef secrète K2. Cela signifie que la batterie CBAT et le serveur distant SERV partagent le même secret, à savoir ici la deuxième clef secrète K2.
L'authentification par challenge-réponse étant connue de l'homme du métier, elle n'est pas décrite plus en détail ici.
Ainsi, seuls les serveurs distants SERV qui partagent la même clef secrète K2 que la batterie CBAT pourront accéder à ladite batterie CBAT pour modifier ses données ou ajouter des informations dans sa mémoire MEM2, ici la première clef secrète K1 . Un tiers qui vole ladite batterie CBAT ne pourra pas venir se connecter à ladite batterie pour modifier ses données (et notamment y implanter une première clef secrète frauduleuse) avec un dispositif frauduleux puisque son dispositif ne passera pas cette étape d'authentification. La batterie CBAT ne pourra donc pas être utilisée dans un véhicule V qui comporte une première clef secrète frauduleuse. Elle ne fonctionnera qu'avec les différents véhicules auxquels elle aura été destinée au cours de sa vie. Cela s'applique notamment dans le cas d'une batterie électrique rechargeable qui peut être montée sur différents véhicules. A cette fin, à chaque utilisation sur un véhicule différent, la batterie CBAT recevra une première clef secrète K1 différente correspondant à chacun des différents véhicules où elle est utilisée. Le loueur de batteries peut ainsi gérer différentes batteries pour un véhicule donné.
De la même manière, l'authentification de la batterie CBAT au serveur distant SERV permet audit serveur SERV de s'assurer qu'il transmet la première clef secrète K1 à une batterie CBAT non piratée. Ainsi, dans un exemple non limitatif, lorsque la batterie CBAT s'authentifie au serveur distant SERV via son deuxième élément SE2, elle envoie une réponse d'authentification R1 suite à une demande d'authentification demandée par le serveur distant, ladite demande comprenant un challenge Ch1 basé sur la deuxième clef secrète K2. La réponse d'authentification R1 de la batterie CBAT est valide si elle est elle-même basée sur la deuxième clef secrète K2, c'est-à- dire calculée à partir de la deuxième clef secrète K2. Dans un mode de réalisation non limitatif, la mémoire MEM2 qui sauvegarde la première clef secrète K1 est une mémoire non volatile réinscriptible telle qu'une EEPROM (« Electrically Erasable Programmable Read-Only Memory »). Cette mémoire MEM2 comprend ainsi la première clef K1 et l'association de la première clef K1 avec la deuxième clef K2.
Côté serveur distant SERV, pour appairer un premier élément sécurisé SE1 du véhicule V avec un deuxième élément sécurisé SE2 du véhicule V, l'un des premier et deuxième éléments sécurisés SE1 , SE2 étant solidaire dudit véhicule V et l'autre des premier et deuxième éléments sécurisés SE1 , SE2 étant intégré dans un équipement CE dudit véhicule V (dans l'exemple illustré le premier élément sécurisé SE1 est solidaire du véhicule et le deuxième élément sécurisé SE2 fait partie de la batterie CBAT), le premier élément sécurisé SE1 comprenant une première clef secrète K1 et le deuxième élément sécurisé SE2 comprenant une deuxième clef secrète K2, le serveur distant SERV comprend la deuxième clef secrète K2 et est adapté pour : - établir ladite première liaison de communication L1 avec ledit deuxième élément sécurisé SE2 ;
- effectuer une authentification mutuelle avec ledit deuxième élément sécurisé SE2 ; et
- si ladite authentification mutuelle est établie, envoyer audit deuxième élément sécurisé SE2 ladite première clef secrète K1 pour appairer ledit premier élément sécurisé SE1 avec ledit deuxième élément sécurisé SE2 via ladite première liaison de communication L1 .
Ainsi, la deuxième clef K2 est ici une clef dite administrative qui permet au serveur distant SERV d'effectuer des opérations d'administration sur les différents équipements CE destinés à être montés dans un véhicule automobile V donné.
Dans un mode de réalisation non limitatif, l'établissement de la première liaison de communication L1 est déclenché par un ordre Cmd reçu d'un dispositif portable MOB. Le dispositif portable MOB peut ainsi déclencher l'appairage. Dans des exemples non limitatifs, le dispositif portable MOB est un téléphone mobile, une tablette tactile etc. Ainsi, un administrateur du serveur distant SERV peut donner à distance un ordre d'appairage audit serveur distant SERV.
Lorsque l'appairage a été effectué au cours da la phase d'initialisation PH1 du deuxième élément sécurisé SE2, ce dernier peut effectuer les fonctions suivantes.
Le deuxième élément sécurisé SE2 est ainsi en outre adapté pour :
- établir une deuxième liaison de communication L2 avec ledit premier élément sécurisé SE1 ;
- effectuer une authentification mutuelle avec ledit premier élément sécurisé SE1 , dite deuxième authentification mutuelle AUTH2 ; et
- si ladite authentification mutuelle est établie, autoriser ledit équipement CE à fonctionner avec ledit véhicule V via ladite deuxième liaison de communication L2.
Ainsi, Le deuxième élément sécurisé SE2 est adapté pour effectuer ces fonctions au cours d'une phase d'utilisation PH2 dans le véhicule automobile V. Les différentes fonctions supplémentaires (énumérées ci-dessus) du deuxième élément sécurisé SE2 sont décrites plus en détail ci-dessous.
Dans un mode de réalisation non limitatif, la deuxième liaison de communication L2 s'effectue au moyen d'une connexion filaire (via l'émetteur- récepteur C1 connecté au bus B vu précédemment) ou sans fil (via l'interface de communication sans fil C2 vu précédemment) ou via un courant porteur sur la tension batterie Vb.
Grâce à la deuxième authentification mutuelle entre les deux éléments sécurisés SE1 et SE2, la batterie CBAT s'assure qu'elle communique bien avec le bon véhicule V. Ainsi, si la batterie CBAT est volée, elle ne peut être utilisée avec un autre véhicule V. De même, le véhicule V s'assure de communiquer avec une batterie CBAT non frauduleuse. Ainsi, si le véhicule est volé et qu'une batterie de remplacement est installée dans le véhicule, ce dernier ne pourra pas fonctionner avec la batterie de fonctionnement.
Dans un mode de réalisation non limitatif, la deuxième authentification mutuelle est réalisée au moyen d'un challenge-réponse (appelée en anglais « challenge response authentification ») basé sur la première clef secrète K1 .
Ainsi, dans un exemple non limitatif, lorsque le véhicule V via le premier élément sécurisé SE1 s'authentifie au deuxième élément SE2, il envoie une réponse d'authentification R2 suite à une demande d'authentification demandée par le deuxième élément SE2, ladite demande comprenant un challenge Ch1 basé sur la première clef secrète K1 . La réponse d'authentification R2 du véhicule V est valide si elle est elle- même basée sur la première clef secrète K1 , c'est-à-dire calculée à partir de la première clef secrète K1 . Cela signifie que la batterie CBAT et le véhicule V partagent le même secret, à savoir ici la première clef secrète K1 . De la même manière, dans un exemple non limitatif, lorsque le deuxième élément SE2 s'authentifie au premier élément SE1 , il envoie une réponse d'authentification R2 suite à une demande d'authentification demandée par le premier élément sécurisé SE1 , ladite demande comprenant un challenge Ch1 basé sur la première clef secrète K1 . La réponse d'authentification R2 de la batterie CBAT est valide si elle est elle-même basée sur la première clef secrète K1 , c'est-à-dire calculée à partir de la première clef secrète K1 .
Ainsi, seuls les véhicules V qui partagent la même clef secrète K1 que la batterie CBAT (à savoir qui sont associés avec ladite batterie CBAT via l'appairage de clefs secrètes) pourront fonctionner avec ladite batterie CBAT. Dans l'exemple pris, suite à une authentification mutuelle, la batterie CBAT délivre la tension sur le réseau de bord du véhicule V pour notamment alimenter les différents équipements CE. Dans le cas contraire, le réseau de bord n'est pas alimenté et le véhicule V ne peut démarrer. La batterie est inutilisable. On notera que la première clef secrète K1 associée au véhicule V est enregistrée dans une mémoire MEM1 , par exemple une EEPROM, du premier élément sécurisé SE1 solidaire dudit véhicule V.
Dans l'exemple du calculateur d'injection CINJ, si les réponses d'authentification R2 sont valides, le calculateur d'injection CINJ va fournir au véhicule V les données correspondant à la puissance du véhicule V. Ainsi, par « autoriser un équipement CE à fonctionner avec le véhicule V », on entend le fait que ledit équipement CE délivre du courant/tension ou délivre des données audit véhicule V. Dans un exemple non limitatif, la phase d'utilisation PH2 peut comprendre le démarrage du véhicule V. Dans ce cas, l'authentification mutuelle AUTH2 peut être demandée au démarrage du véhicule V.
Dans un autre exemple non limitatif, la phase d'utilisation PH2 peut comprendre la récupération d'informations en cas de réparation d'un équipement CE tel que le calculateur d'injection CINJ par exemple. Dans ce cas, l'authentification mutuelle AUTH2 peut être demandée lorsqu'un ordinateur se connecte à l'équipement CE pour récupérer ces informations. On notera que l'ordinateur devra présenter la clef K1 pour s'authentifier. Cela signifie qu'un appairage aura été fait entre le serveur distant SERV et ledit ordinateur au préalable. Dans le cas contraire, l'équipement CE refusera de communiquer avec cet ordinateur inconnu.
Ainsi, le deuxième élément sécurisé SE2 et le serveur distant SERV permettent de mettre en œuvre le procédé d'appairage P illustré sur la figure 3. Ledit procédé d'appairage P d'un premier élément sécurisé SE1 d'un véhicule V comprenant une pluralité d'équipements CE avec un deuxième élément sécurisé SE2 du véhicule, l'un des premier et deuxième éléments sécurisés SE1 , SE2 étant solidaire dudit véhicule V et l'autre des premier et deuxième éléments sécurisés SE1 , SE2 étant intégré dans un équipement CE dudit véhicule V, le premier élément sécurisé SE1 comprenant une première clef secrète K1 et le deuxième élément sécurisé SE2 comprenant une deuxième clef secrète K2, comprend : - l'établissement d'une première liaison de communication L1 entre un serveur distant SERV et ledit deuxième élément sécurisé SE2 (illustrée SET_LNK(L1 , SERV, SE2)) ; - la réalisation d'une authentification mutuelle entre ledit deuxième élément sécurisé SE2 et ledit serveur distant SERV (illustrée AUTH1 (SE2, SERV)) ; et
- si ladite authentification mutuelle est établie (branche « O » illustrée), l'envoi de ladite première clef secrète K1 à partir dudit serveur distant
SERV (illustrée TX(K1 , SERV)) et la réception de ladite première clef secrète K1 par ledit deuxième élément sécurisé SE2 (illustrée RX(K1 , SE2)), pour appairer ledit premier élément sécurisé SE1 avec ledit deuxième élément sécurisé SE2 via ladite première liaison de communication L1 ;
- la sauvegarde de la première clef secrète K1 en mémoire dans le deuxième élément sécurisé SE2 (étape illustrée REG(K1 , SE2)) ; et
- si l'authentification mutuelle n'a pas réussie ((branche « N » illustrée), l'interdictio n par ledit deuxième élément sécu ri sé S E2 audit serveu r S E RV d 'accéder à ses do n nées (étape FO RB D (S E RV)) .
La figure 4 illustre l'enchaînement des différentes étapes au cours de la phase d'initialisation PH1 .
Comme on peut le voir sur la figure, après l'établissement de la première liaison de communication L1 entre le deuxième élément sécurisé SE2 et le serveur SERV (étape 1 illustrée SET_LNK(L1 , SERV, SE2)), le deuxième élément sécurisé SE2 et le serveur SERV s'authentifient mutuellement (étape 2 illustrée AUTH1 (SE2, SERV)). Si l'authentification mutuelle est établie, le serveur SERV est autorisé à envoyer des données au deuxième élément sécurisé SE2. Il envoie donc la première clef secrète K1 du véhicule V auquel est destinée la batterie CBAT (étape 3 et 4 illustrées TX(K1 , SERV)/RX(K1 , SE2)). Cette dernière enregistre ladite clef K1 dans sa mémoire MEM2 (étape 5 illustrée REG(K1 , SE2)). Les deux éléments sécurisé SE1 , SE2 sont appairés. Le véhicule automobile V est associé à la batterie CBAT qui ne pourra fonctionner qu'avec ce véhicule V. Si l'authentification mutuelle n'a pas réussie, le deuxième élément SE2 interdit l'accès au serveur SERV (étape 5' illustrée FORBD(SERV)).
La figure 4 illustre en outre les étapes au cours de la phase d'utilisation PH2 du deuxième élément sécurisé SE2.
Comme on peut le voir sur la figure, après l'établissement de la deuxième liaison de communication L2 entre le deuxième élément sécurisé SE2 et le premier élément sécurisé SE1 (étape 1 illustrée SET_LNK(L2, SE1 , SE2)), le deuxième élément sécurisé SE2 et le premier élément sécurisé SE1 s'authentifient mutuellement (étape 2 illustrée AUTH2(SE2, SE1 )). Par exemple lors du démarrage du véhicule V.
Si l'authentification mutuelle est établie, le véhicule V (auquel est rattaché le premier élément sécurisé SE1 ) est autorisé à fonctionner avec l'équipement CE, ici la batterie CBAT (qui comprend le deuxième élément sécurisé SE2) (étape 3 illustrée FCT(SE1 , SE2). La batterie CBAT (qui comprend le deuxième élément sécurisé SE2) a identifié le véhicule automobile V et va donc pouvoir fonctionner avec lui. En particulier elle peut fournir en tension le réseau de bord dudit véhicule automobile V.
Si l'authentification mutuelle n'a pas réussie, le véhicule V n'est pas autorisé à fonctionner avec la batterie CBAT (étape 3' illustrée FORBD(SEI )). Bien entendu la description de l'invention n'est pas limitée aux modes de réalisation et aux exemples décrits ci-dessus.
Ainsi, dans le cas d'un deuxième élément sécurisé SE2' faisant partie du calculateur d'injection CINJ, ce dernier ne pourra fonctionner avec un véhicule donné V que si le deuxième élément sécurisé SE2' a été appairé avec le premier élément sécurisé SE1 du véhicule V, et ce par un serveur distant SERV autorisé à le faire. Ainsi, un tiers fraudeur qui aura volé le véhicule ne pourra pas venir se connecter avec un appareil frauduleux sur le calculateur d'injection pour augmenter la puissance dudit véhicule V par exemple, puisqu'il n'aura pas connaissance du secret partagé entre ledit calculateur d'injection CINJ et le serveur autorisé SERV, à savoir ici la deuxième clef secrète K2.
Ainsi, dans le cas où le deuxième élément sécurisé SE2 est solidaire du véhicule V et le premier élément sécurisé SE1 est intégré dans la batterie CBAT, dans ce cas, la clef administrative est la deuxième clef secrète K2 et lors de l'appairage entre les deux éléments sécurisé SE1 , SE2, le serveur distant SERV donne la première clef secrète K1 de la batterie CBAT au véhicule V. Ce dernier sauvegardera ainsi en mémoire le secret K1 de la batterie CBAT. Dans ce cas, le serveur distant SERV est administré par le constructeur du véhicule V par exemple. Dans un autre mode de réalisation non limitatif, un élément sécurisé SE peut également comprendre une carte à puce dans laquelle il n'y a pas de gestion des interfaces de communication C1 et C2. Dans ce cas le module de sécurité comprenant une telle carte à puce comprend un module de gestion de communication supplémentaire pour gérer lesdites interfaces C1 et C2 et communiquer avec ladite carte à puce.
Dans un mode de réalisation non limitatif, on peut prévoir de gérer le démarrage du véhicule V en fonction d'autres équipements CE (comportant donc un élément sécurisé SE) en sus de la batterie CBAT ; par exemple en fonction d'équipements de sécurité tels que le dispositif de détection de ceintures attachées, le dispositif de fermeture des portières etc. ou encore par exemple en fonction d'équipements de gestion tels qu'un dispositif de carte de crédit pour la location de voitures. Dans ce dernier cas, le véhicule ne démarrera que si la carte de crédit comporte assez d'unités de location. Dans un mode de réalisation non limitatif, les authentifications mutuelles AUTH1 et AUTH2 peuvent être exécutées de façon périodique, même après le démarrage du véhicule V. Ainsi, le mode d'authentification mutuelle décrit précédemment est basé sur une authentification mutuelle à clef secrète symétrique. Dans un autre mode de réalisation non limitatif, l'authentification mutuelle est basée sur une authentification de type PKI (« Public Key Infrastructure ») qui utilise une clef publique et une clef secrète. Dans le cas d'une PKI, le serveur ne donne que la clef publique et la clef secrète est uniquement présente dans le dispositif. Egalement la deuxième clef secrète K2 peut être remplacée par une authentification de type PKI le serveur détenant soit la clef secrète K2 soit la clef publique correspondant à K2. Bien entendu la description de l'invention n'est pas limitée aux applications décrites ci-dessus.
Ainsi, l'invention peut s'appliquer également à un bâtiment H (habitats privés ou publics tels qu'une maison, un immeuble d'habitation, un immeuble de bureaux etc.). En effet, on peut prévoir d'avoir un bâtiment H comprenant une pluralité d'équipements CE, selon lequel ledit bâtiment H comprend un premier élément sécurisé SE1 et un deuxième élément sécurisé SE2, l'un des premier et deuxième éléments sécurisés SE1 , SE2 étant solidaire dudit bâtiment H et l'autre des premier et deuxième éléments sécurisés SE1 , SE2 étant intégré dans un équipement CE, et selon lequel :
- le premier élément sécurisé SE1 comprend une première clef K1 ;
- le deuxième élément sécurisé SE2 comprend une deuxième clef K2 et est adapté pour :
· établir une première liaison de communication L1 avec un serveur distant SERV ; • effectuer une authentification mutuelle avec ledit serveur distant SERV (dite première authentification mutuelle AUTH1 ) ; et
• si ladite authentification mutuelle est établie, recevoir une troisième clef (K1 ou la clef publique correspondant à K1 ) envoyée par ledit serveur distant SERV pour appairer ledit premier élément sécurisé SE1 avec ledit deuxième élément sécurisé SE2 via ladite première liaison de communication L1 ; et
• sauvegarder en mémoire MEM2 ladite troisième clef (K1 ou clef publique correspondant à K1 ).
On notera que le deuxième élément sécurisé SE2 est adapté pour effectuer les fonctions décrites ci-dessus au cours d'une phase d'initialisation PH1 . Dans des exemples non limitatifs, les équipements CE sont une télévision, un ordinateur, un boîtier internet, une imprimante etc. Ainsi, le bâtiment H peut comporter une pluralité d'équipements CE comprenant chacun un élément sécurisé SE. Ainsi, dans la figure 1 , on remplace le véhicule V par un bâtiment H et on remplace les équipements CLIM, CINJ, CKM par un ordinateur CPC, un boîtier internet CBX, une imprimante CPR, et la batterie CBAT par une télévision CTV. Dans ce cas, bien entendu, l'unité de contrôle moteur ECU n'est plus présente, les unités de traitement UT sont intégrés dans les équipements CE, et un compteur électrique CPT est intégré dans la figure 1 qui est relié à tous les équipements CE via le réseau filaire électrique B du bâtiment H ou via un réseau sans fil (NFC™, WIFI™ etc.).
La première liaison de communication L1 (ente l'élément sécurisé SE2 et le serveur distant SERV) est filaire ou sans fil (NFC™, WIFI™ etc.) Dans le cas filaire, les fils électriques sont utilisés et le courant porteur est utilisé pour véhiculer les données telles que la clef secrète échangée.
Par solidaire, on entend un élément sécurisé SE qui est fixé au bâtiment H de manière à ce qu'en cas d'extraction frauduleuse dudit élément SE, ce dernier est détérioré et ne fonctionne plus (par exemple les données en mémoire s'effacent). Dans un exemple non limitatif, l'élément sécurisé SE solidaire du bâtiment H est fixé sur le compteur électrique CPT dudit bâtiment H.
De la même manière qu'avec le véhicule, soit ledit premier élément sécurisé SE1 est solidaire du bâtiment H et ledit deuxième élément sécurisé SE2 est intégré dans un équipement CE, soit ledit premier élément sécurisé SE1 est intégré dans un équipement CE et ledit deuxième élément sécurisé SE2 est solidaire du bâtiment H.
De la même manière qu'avec le véhicule, un élément sécurisé SE est une carte à puce ou un microcontrôleur dans des exemples non limitatifs. Ainsi, les modes de réalisation décrits précédemment pour la carte à puce ou le microcontrôleur et illustrés sur la figure 2 sont également applicables à l'application bâtiment H.
De la même manière qu'avec le véhicule, au cours d'une phase d'utilisation PH2, par exemple lors d'un démarrage, il y aura une authentification mutuelle entre un équipement CE et le bâtiment H. Ainsi, une télévision CTV ne pourra fonctionner que si elle est bien associée au bâtiment H dans lequel elle se trouve (via l'appairage effectué précédemment). Ainsi, ledit deuxième élément sécurisé SE2 est en outre adapté pour :
- établir une deuxième liaison de communication L2 avec ledit premier élément sécurisé SE1 ;
- effectuer une authentification mutuelle avec ledit premier élément sécurisé SE1 (dite deuxième authentification mutuelle AUTH2) ; et
- si ladite authentification mutuelle est établie, autoriser ledit équipement CE à fonctionner avec ledit bâtiment H via ladite deuxième liaison de communication L2.
Ainsi, Le deuxième élément sécurisé SE2 est adapté pour effectuer ces fonctions au cours d'une phase d'utilisation PH2 dans le bâtiment H.
Ainsi, la description décrite dans le cadre d'un véhicule V s'applique de la même manière à un bâtiment H.
A savoir :
- un élément sécurisé SE est une carte à puce et les différents modes de réalisation de la figure 2 sont applicables ;
- ladite première authentification mutuelle AUTH1 est réalisée au moyen d'un challenge-réponse Ch1 -R1 basé sur la deuxième clef secrète K2 ;
- la première liaison de communication L1 s'effectue au moyen d'un protocole de communication sécurisé https ;
- ladite deuxième authentification mutuelle AUTH2 est réalisée au moyen d'un challenge-réponse Ch2-R2 basé sur ladite première clef secrète K1 ;
- la deuxième liaison de communication L2 s'effectue au moyen d'une connexion filaire C1 ou sans fil C2 ou du courant po rteu r.
Le serveur distant SERV est dans un exemple non limitatif, un serveur administré par le gestionnaire du compteur électrique CPT du bâtiment H.
Ainsi, le serveur distant SERV est adapté pour appairer un premier élément sécurisé SE1 d'un bâtiment H comprenant une pluralité d'équipements CE avec un deuxième élément sécurisé SE2 du bâtiment H, l'un des premier et deuxième éléments sécurisés SE1 , SE2 étant solidaire dudit bâtiment H et l'autre des premier et deuxième éléments sécurisés SE1 , SE2 étant intégré dans un équipement CE dudit bâtiment H, le premier élément sécurisé SE1 comprenant une première clef K1 et le deuxième élément sécurisé SE2 comprenant une deuxième clef K2, et ledit serveur SERV comprend une quatrième clef (K2 ou une clef secrète ou publique correspondant à K2) et est adapté pour : - établir une première liaison de communication L1 avec ledit deuxième élément sécurisé SE2 ;
- effectuer une authentification mutuelle avec ledit deuxième élément sécurisé SE2 ; et
- si ladite authentification mutuelle est établie, envoyer audit deuxième élément sécurisé SE2 une troisième clef (K1 ou une clef publique correspondant à K1 ) pour appairer ledit premier élément sécurisé SE1 avec ledit deuxième élément sécurisé SE2 via ladite première liaison de communication L1 .
De la même manière que pour le véhicule V, dans un mode de réalisation non limitatif, l'établissement de la première liaison de communication L1 est déclenché par un ordre Cmd reçu d'un dispositif portable MOB. Le dispositif portable MOB peut ainsi déclencher l'appairage.
Le procédé d'appairage P1 est donc effectué de la même manière que décrit précédemment. Ainsi, il est également proposé un procédé d'appairage P1 d'un premier élément sécurisé SE1 d'un bâtiment H comprenant une pluralité d'équipements CE avec un deuxième élément sécurisé SE2 du bâtiment H, l'un des premier et deuxième éléments sécurisés SE1 , SE2 étant solidaire dudit bâtiment H et l'autre des premier et deuxième éléments sécurisés SE1 , SE2 étant intégré dans un équipement CE dudit bâtiment H, le premier élément sécurisé SE1 comprenant une première clef K1 et le deuxième élément sécurisé SE2 comprenant une deuxième clef K2, selon lequel le procédé d'appairage P1 comprend :
- l'établissement d'une première liaison de communication L1 entre un serveur distant SERV et ledit deuxième élément sécurisé SE2 ;
- la réalisation d'une authentification mutuelle entre ledit deuxième élément sécurisé SE2 et ledit serveur distant SERV ; et
- si ladite authentification mutuelle est établie, l'envoi d'une troisième clef (K1 ou clef associée à K1 ) à partir dudit serveur distant SERV et la réception de ladite première clef secrète K1 par ledit deuxième élément sécurisé SE2, pour appairer ledit premier élément sécurisé SE1 avec ledit deuxième élément sécurisé SE2 via ladite première liaison de communication L1 .
Les figures 3 et 4 s'appliquent donc également à l'application bâtiment H.
Ainsi, l'invention décrite présente notamment les avantages suivants : - elle propose un appairage entre deux éléments sécurisés simple à mettre en œuvre et peu coûteuse ;
- en effectuant l'appairage via un tiers de confiance (le serveur distant), elle permet d'éviter toute modification frauduleuse des données d'un élément sécurisé ;
- c'est une solution simple de prévention d'un vol d'un équipement par rapport à une solution qui consisterait à verrouiller physiquement ledit équipement (tel que la batterie). En effet, il suffit par exemple d'indiquer sur l'équipement qu'il est protégé pour prévenir un tiers qu'il est inutile de voler ledit équipement ;
- elle permet d'empêcher une utilisation frauduleuse dudit équipement dans un véhicule auquel il n'était pas dédié en permettant une identification d'un véhicule par un équipement (ou d'un équipement par un véhicule) via l'authentification au cours de la phase d'utilisation ; et
- elle permet de protéger également le véhicule du vol et du remplacement de l'un de ses équipements par un autre frauduleux, grâce à l'authentification mutuelle.

Claims

REVENDICATIONS
1 . Véhicule (V) comprenant une pluralité d'équipements (CE), selon lequel ledit véhicule (V) comprend un premier élément sécurisé (SE1 ) et un deuxième élément sécurisé (SE2), l'un des premier et deuxième éléments sécurisés (SE1 , SE2) étant solidaire dudit véhicule (V) et l'autre des premier et deuxième éléments sécurisés (SE1 , SE2) étant intégré dans un équipement (CE), et selon lequel :
- le premier élément sécurisé (SE1 ) comprend une première clef (K1 ) ;
- le deuxième élément sécurisé (SE2) comprend une deuxième clef (K2) et est adapté pour :
- établir une première liaison de communication (L1 ) avec un serveur distant (SERV) ;
- effectuer une authentification mutuelle avec ledit serveur distant
(SERV) ; et
- si ladite authentification mutuelle est établie, recevoir une troisième clef (K1 ) envoyée par ledit serveur distant (SERV) pour appairer ledit premier élément sécurisé (SE1 ) avec ledit deuxième élément sécu risé (S E2) via ladite prem ière l iaiso n de co m m u n icatio n (L1 ) .
2. Véhicule selon la revendication 1 , dans lequel la première clef et la troisième clef correspondent à une même clef secrète.
3. Véhicule (V) selon la revendication 1 , selon lequel ledit premier élément sécurisé (SE1 ) est solidaire du véhicule (V) et ledit deuxième élément sécurisé (SE2) est intégré dans un équipement (CE).
4. Véhicule (V) selon la revendication 1 , selon lequel ledit premier élément sécurisé (SE1 ) est intégré dans un équipement (CE) et ledit deuxième élément sécurisé (SE2) est solidaire du véhicule (V).
5. Véhicule (V) selon l'une quelconque des revendications 1 , selon lequel un équipement (CE) comprenant un élément sécurisé (SE) est une batterie (BAT) du véhicule.
6. Véhicule (V) selon l'une quelconque des revendications 1 , selon lequel un élément sécurisé (SE) est une puce de carte à puce.
7. Véhicule (V) selon l'une quelconque des revendications 1 , selon lequel la première liaison de communication (L1 ) s'effectue au moyen d'un protocole de communication sécurisé https.
8. Véhicule (V) selon l'une quelconque des revendications 1 , selon lequel ledit deuxième élément sécurisé (SE2) est en outre adapté pour :
- établir une deuxième liaison de communication (L2) avec ledit premier élément sécurisé (SE1 ) ;
- effectuer une authentification mutuelle avec ledit premier élément sécurisé (SE1 ) ; et
- si ladite authentification mutuelle est établie, autoriser ledit équipement (CE) à fonctionner avec ledit véhicule (V) via ladite deuxième liaison de communication (L2).
9. Véhicule (V) selon la revendication précédente 8, selon lequel ladite authentification mutuelle est réalisée au moyen d'un challenge-réponse (Ch2- R2) basé sur ladite première clef (K1 ).
10. Véhicule (V) selon la revendication 8, selon lequel la deuxième liaison de communication (L2) s'effectue au moyen d'une connexion filaire (C1 ) ou sans fil (C2).
1 1 . Serveur (SERV) adapté pour appairer un premier élément sécurisé (SE1 ) d'un véhicule (V) comprenant une pluralité d'équipements (CE) avec un deuxième élément sécurisé (SE2) du véhicule (V), l'un des premier et deuxième éléments sécurisés (SE1 , SE2) étant solidaire dudit véhicule (V) et l'autre des premier et deuxième éléments sécurisés (SE1 , SE2) étant intégré dans un équipement (CE) dudit véhicule (V), le premier élément sécurisé (SE1 ) comprenant une première clef (K1 ) et le deuxième élément sécurisé (SE2) comprenant une deuxième clef (K2), selon lequel ledit serveur (SERV) comprend une quatrième clef (K2) et est adapté pour :
- établir une première liaison de communication (L1 ) avec ledit deuxième élément sécurisé (SE2) ;
- effectuer une authentification mutuelle avec ledit deuxième élément sécurisé (SE2) ; et
- si ladite authentification mutuelle est établie, envoyer audit deuxième élément sécurisé (SE2) une troisième clef (K1 ) pour appairer ledit premier élément sécurisé (SE1 ) avec ledit deuxième élément sécurisé (SE2) via ladite première liaison de communication (L1 ).
12. Serveur selon la revendication 1 1 , dans lequel la première clef et la troisième clef correspondent à une même première clef secrète.
13. Serveur selon la revendication 1 1 , dans lequel la deuxième et la quatrième clef correspondent à une même deuxième clef secrète.
14. Serveur (SERV) selon la revendication 1 1 , selon lequel l'établissement de la première liaison de communication (L1 ) est déclenché par un ordre (Cmd) reçu d'un dispositif portable (MOB).
15. Procédé d'appairage (P) d'un premier élément sécurisé (SE1 ) d'un véhicule (V) comprenant une pluralité d'équipements (CE) avec un deuxième élément sécurisé (SE2) du véhicule (V), l'un des premier et deuxième éléments sécurisés (SE1 , SE2) étant solidaire dudit véhicule (V) et l'autre des premier et deuxième éléments sécurisés (SE1 , SE2) étant intégré dans un équipement (CE) dudit véhicule (V), le premier élément sécurisé (SE1 ) comprenant une première clef (K1 ) et le deuxième élément sécurisé (SE2) comprenant une deuxième clef (K2), selon lequel le procédé (P) comprend :
- l'établissement d'une première liaison de communication (L1 ) entre un serveur distant (SERV) et ledit deuxième élément sécurisé (SE2) ; la réalisation d'une authentification mutuelle entre ledit deuxième élément sécurisé (SE2) et ledit serveur distant (SERV) ; et
- si ladite authentification mutuelle est établie, l'envoi d'une troisième clef (K1 ) à partir dudit serveur distant (SERV) et la réception de ladite troisième clef (K1 ) par ledit deuxième élément sécurisé (SE2), pour appairer ledit premier élément sécurisé (SE1 ) avec ledit deuxième élément sécurisé (SE2) via ladite première liaison de communication (L1 ).
PCT/EP2015/064300 2014-06-24 2015-06-24 Vehicule comprenant des equipements munis d'elements securises Ceased WO2015197722A1 (fr)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
EP14173758.5 2014-06-24
EP14173758.5A EP2960119A1 (fr) 2014-06-24 2014-06-24 Véhicule comprenant des équipements munis d'éléments sécurisés

Publications (1)

Publication Number Publication Date
WO2015197722A1 true WO2015197722A1 (fr) 2015-12-30

Family

ID=51022237

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/EP2015/064300 Ceased WO2015197722A1 (fr) 2014-06-24 2015-06-24 Vehicule comprenant des equipements munis d'elements securises

Country Status (2)

Country Link
EP (1) EP2960119A1 (fr)
WO (1) WO2015197722A1 (fr)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2018127449A1 (fr) * 2017-01-06 2018-07-12 Mystromer Ag Dispositif et système de protection pour vélo électrique

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP4403407A1 (fr) * 2023-01-18 2024-07-24 Nxp B.V. Système de batterie et son procédé de configuration

Citations (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5870018A (en) * 1996-05-20 1999-02-09 Chrysler Corporation Automotive radio anti-theft device via multiplex bus
EP1067021A1 (fr) * 1999-07-09 2001-01-10 FIAT AUTO S.p.A. Dispositif de protection d'un autoradio
WO2001073711A2 (fr) * 2000-03-28 2001-10-04 Robert Bosch Gmbh Procede et dispositif de protection antivol d'un appareil
US20040001593A1 (en) * 2002-06-28 2004-01-01 Jurgen Reinold Method and system for component obtainment of vehicle authentication
US20050024190A1 (en) * 2003-08-01 2005-02-03 John Edens Vehicle radio anti-theft arrangement and method
EP1573576A1 (fr) * 2002-11-23 2005-09-14 Wenming Dong Appareil et procede contre la fausse identite de vehicule a moteur
CN102035009A (zh) * 2009-09-16 2011-04-27 寰群科技股份有限公司 具防窃功能的二次电池装置、供电控制装置及其防窃方法
US20110270480A1 (en) * 2010-04-30 2011-11-03 Sony Corporation Battery module, electric vehicle, authentication apparatus, and discharging control method for battery module

Patent Citations (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5870018A (en) * 1996-05-20 1999-02-09 Chrysler Corporation Automotive radio anti-theft device via multiplex bus
EP1067021A1 (fr) * 1999-07-09 2001-01-10 FIAT AUTO S.p.A. Dispositif de protection d'un autoradio
WO2001073711A2 (fr) * 2000-03-28 2001-10-04 Robert Bosch Gmbh Procede et dispositif de protection antivol d'un appareil
US20040001593A1 (en) * 2002-06-28 2004-01-01 Jurgen Reinold Method and system for component obtainment of vehicle authentication
EP1573576A1 (fr) * 2002-11-23 2005-09-14 Wenming Dong Appareil et procede contre la fausse identite de vehicule a moteur
US20050024190A1 (en) * 2003-08-01 2005-02-03 John Edens Vehicle radio anti-theft arrangement and method
CN102035009A (zh) * 2009-09-16 2011-04-27 寰群科技股份有限公司 具防窃功能的二次电池装置、供电控制装置及其防窃方法
US20110270480A1 (en) * 2010-04-30 2011-11-03 Sony Corporation Battery module, electric vehicle, authentication apparatus, and discharging control method for battery module

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
MENEZES, A., VAN OORSCHOT, P., VANSTONE, S.: "Handbook of Applied Cryptography", 1997, pages 543 - 590, XP002733761, Retrieved from the Internet <URL:http://www.cacr.uwaterloo.ca/hac/about/chap13.pdf> [retrieved on 20141212] *

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2018127449A1 (fr) * 2017-01-06 2018-07-12 Mystromer Ag Dispositif et système de protection pour vélo électrique
CH713344A1 (de) * 2017-01-06 2018-07-13 Mystromer Ag Sicherungsanordnung und -verfahren für Elektrofahrräder.

Also Published As

Publication number Publication date
EP2960119A1 (fr) 2015-12-30

Similar Documents

Publication Publication Date Title
Sagstetter et al. Security challenges in automotive hardware/software architecture design
EP3403246B1 (fr) Dispositif et procédé de collecte de données d&#39;assurance spécifiques au conducteur dans des véhicules
KR101866485B1 (ko) 차량 액세스 제어 서비스 및 플랫폼
EP2969667B1 (fr) Procede de mise a disposition d&#39;un vehicule et systeme de mise a disposition correspondant
EP2903867B1 (fr) Systeme de protection d&#39;un vehicule automobile
FR3034550A1 (fr) Procede de chargement d&#39;une cle au sein d&#39;un terminal utilisateur et terminal utilisateur associe
EP3201849A1 (fr) Partenariats technologiques et financiers destinés à permettre un service d&#39;échange de colis
WO2013079673A1 (fr) Système de fourniture de services télématiques et procédé correspondant
CN104029650A (zh) 电动车辆
CN115242634B (zh) 软件升级方法、设备和存储介质
EP2957086A1 (fr) Procede de creation d&#39;un profil dans un domaine de securite d&#39;un element securise
EP2621768B1 (fr) Procédé et ensemble de verrouillage/déverrouillage d&#39;un véhicule automobile par téléphone mobile
EP4412863A1 (fr) Station de charge informatisée multifonctionnelle pour véhicules électriques
FR2981823A1 (fr) Procede d&#39;authentification d&#39;un dispositif d&#39;identification vis-a-vis d&#39;un dispositif actionneur, et vehicule automobile comportant un tel dispositif actionneur
FR3107156A1 (fr) Procédé et système de contrôle d’un véhicule
FR3096153A1 (fr) Procédé et dispositif de retour à un état précédent une mise à jour logicielle d’un calculateur d’un véhicule à distance
EP2960119A1 (fr) Véhicule comprenant des équipements munis d&#39;éléments sécurisés
EP3185189B1 (fr) Procédé et système de fourniture de service avec vérification de l&#39;adéquation entre un véhicule receveur du service et un utilisateur du service
WO2016162631A1 (fr) Système et procédé de sécurisation contre le vol d&#39;un véhicule disposant d&#39;une informatique embarquée et d&#39;une prise diagnostic
EP3965388A1 (fr) Procédé de sécurisation d&#39;un chemin de communication dans un véhicule à moteur
FR3024265A1 (fr) Procede de securisation d&#39;une operation de restitution d&#39;un vehicule partage par une pluralite d&#39;utilisateurs
FR2986759A1 (fr) Vehicule automobile a usage dedie comprenant un reseau local a commutation de paquets connectant des equipements specifiques
FR2981028A1 (fr) Systeme de cle virtuelle
FR3130212A1 (fr) Recharge entre véhicules électriques
FR3074462A1 (fr) Dispositif d&#39;identification de la position d&#39;un identifiant par rapport a un vehicule automobile

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 15744885

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 15744885

Country of ref document: EP

Kind code of ref document: A1