La présente invention est relative aux systèmes sécurisés pour la commande du déverrouillage d'au moins un ouvrant de véhicule automobile.
Dans les systèmes de commande à distance actuellement utilisés pour le déverrouillage de portières de véhicules automobiles, l'utilisateur doit actionner manuellement sa télécommande (dispositif d'émission/réception intégré à la partie de préhension de sa clé mécanique) pour actionner le déverrouillage des portières.
Or, pour un plus grand confort de l'utilisateur, on souhaite supprimer ce type de manipulations.
Il a récemment été proposé des systèmes dits "mains libres" dans lesquels l'utilisateur porte un transpondeur qui est par exemple intégré à un badge.
A réception d'un signal d'interrogation radio-fréquence émis à partir du véhicule, le transpondeur émet de lui-même en réponse un signal d'identification radio-fréquence. Lorsque ce signal est reçu et identifié par des moyens prévus à cet effet sur le véhicule, ces moyens commandent le déverrouillage de l'ouvrant.
Un tel système est totalement transparent pour l'utilisateur, puisque le déverrouillage des portières est commandé sans que l'utilisateur n'ait à effectuer d'autres opérations que celle consistant pour lui à manipuler la poignée de sa portière.
De tels systèmes "mains libres" posent toutefois des problèmes de sécurité.
Notamment, certaines personnes « mal intentionnées » peuvent copier le signal d'interrogation émis à partir du véhicule pour le ré- émettre à proximité du transpondeur, alors même que l'utilisateur porteur de ce transpondeur se trouverait dans un lieu éloigné du véhicule. En disposant de moyens adéquats à proximité de l'utilisateur, ils mémorisent le signal d'identification émis en réponse par le transpondeur et ré-émettent ce signal au voisinage du véhicule pour obtenir le déverrouillage des portières de celui-ci.
Un but de l'invention est de proposer une solution permettant d'empêcher ce type de détournements.
L'invention propose à cet effet un système pour la commande de moyens pour le verrouillage/déverrouillage d'au moins un ouvrant de véhicule, notamment automobile, comportant des moyens d'émission/réception qui sont portés par le véhicule et des moyens d'émission/réception qui sont destinés à être portés par un utilisateur et qui, à réception d'un signal d'interrogation émis par les moyens d'émission/réception du véhicule, sont destinés à émettre un signal de réponse apte à commander l'actionnement du déverrouillage de l'ouvrant, caractérisé en ce que les moyens d'émission/réception sur le véhicule et les moyens d'émission/réception de l'utilisateur comportent chacun des moyens mémoire formant registre à décalage circulaire dans lesquels sont stockés au moins un même code pseudo-aléatoire, les moyens d'émission/réception sur le véhicule comportant des moyens pour émettre un signal d'interrogation qui porte un tel code pseudoaléatoire, les moyens d'émission/réception de l'utilisateur comportant des moyens pour désétaler le signal reçu si le code pseudo-aléatoire porté par ledit signal est synchronisé avec un code pseudo-aléatoire correspondant stocké dans leurs moyens mémoire et comportant en outre des moyens pour émettre en réponse un signal qui porte un code pseudo-aléatoire et qui porte en outre une signature qui est propre auxdits moyens d'émission/réception de l'utilisateur, les moyens d'émission réception sur le véhicule comportant des moyens pour désétaler le signal reçu si le code pseudo-aléatoire porté par ledit signal est synchronisé avec un code pseudo-aléatoire correspondant stocké dans leurs moyens mémoire et pour vérifier si le signal reçu porte la signature des moyens d'émission/réception de l'utilisateur.
D'autres caractéristiques et avantages de l'invention ressortiront encore de la description qui suit qui est purement illustrative et non limitative et qui doit être lue en regard des dessins annexés sur lesquels :
On a représenté sur la figure 1 un véhicule V qui porte des moyens 1 d'émission/réception RF destinés à échanger avec un module 2 d'émission/réception RF porté par un utilisateur et se présentant par exemple sous la forme d'un badge.
Les moyens 1 d'émission/réception comportent une antenne 3 disposée par exemple à proximité d'une poignée de portière du véhicule, ou dans celle-ci, une unité de gestion 5, ainsi que des moyens 4 de conversion de signal interposés entre l'antenne 3 et l'unité de gestion 5.
Les moyens 4 de conversion de signal comportent en particulier des moyens 6 pour moduler ou démoduler un signal RF émis ou reçu par l'antenne 3, un registre à décalage circulaire 7 dans lequel est stocké un code pseudo-aléatoire, ainsi que des moyens mélangeurs 8 qui sont montés entre l'unité de gestion 5 et lesdits moyens 6 de modulation/démodulation et qui sont aptes à mélanger le code pseudo-aléatoire avec le signal démodulé par les moyens 6 ou avec un signal transmis par l'unité de gestion 5. Le code pseudo-aléatoire du registre à décalage circulaire 7 est cycliquement permuté sur lui-même à une certaine fréquence d'horloge.
Le badge 2 comporte quant à lui une antenne 9, une unité de gestion 11 et des moyens 10 de conversion de signal interposés entre l'antenne 9 et l'unité de gestion 11.
Les moyens 10 de conversion de signal comportent, de la même façon que les moyens 4, des moyens 12 pour moduler ou démoduler un signal RF émis ou reçu par l'antenne 9, un registre à décalage circulaire 13 dans lequel est stocké un code pseudo-aléatoire identique à celui stocké dans le registre 7, ainsi que des moyens mélangeurs 14 qui sont montés entre l'unité de gestion 11 et lesdits moyens 12 de modulation/démodulation et qui sont aptes à mélanger le code pseudo-aléatoire avec le signal démodulé par les moyens 12 ou avec un signal transmis par l'unité de gestion 11. Le code pseudo-aléatoire du registre à décalage circulaire 13 est cycliquement permuté sur lui-même à la même fréquence d'horloge que celle du registre à décalage 7.
Le véhicule V comporte des moyens destinés à permettre de détecter la présence d'un individu à proximité du véhicule. Ces moyens sont par exemple constitués de capteurs disposés dans les poignées des portières et permettant de détecter qu'un individu approche sa main d'une poignée ou actionne celle-ci.
Lorsque la présence d'un individu à proximité du véhicule est détectée par ces moyens, les moyens 1 et le badge 2 synchronisent leurs registres à décalage 7 et 13, par exemple en mettant en oeuvre la séquence d'échanges qui est décrite plus loin de façon détaillée, puis les moyens 1 émettent un signal RF d'interrogation.
Ce signal RF d'interrogation est un signal modulé par les moyens 6, lesquels mettent par exemple en oeuvre une modulation NRZ bi-phase. Il porte le code pseudo-aléatoire mémorisé dans le registre 7, mélangé avec un code de "challenge" (code clé) qui est choisi par l'unité de gestion 5 parmi plusieurs possibilités et qui devra déterminer la réponse que devra donner le badge 2.
A la réception de ce signal par l'antenne 9 du badge 2, il est démodulé en sens inverse par les moyens 12, puis mélangé au code pseudo-aléatoire du registre 13 par les moyens 14.
S'il y a corrélation entre les deux codes pseudo-aléatoires, l'unité de gestion 11 reçoit alors des moyens 14 le code clé porté par le signal RF transmis au badge 2.
On notera que la corrélation est maximale lorsque le signal RF est reçu par l'antenne 9 sensiblement concomitamment à son émission par l'antenne 3. Par contre, elle est minimale dés que ce n'est plus le cas et par conséquent dés que des retards sont introduits dans la chaîne de transmission, ce qui est nécessairement le cas lorsque des moyens d'émission/réception intermédiaires sont interposés par des personnes mal intentionnées entre le véhicule et l'utilisateur.
Plus exactement, la valeur de corrélation varie, en fonction du déphasage entre le code pseudo-aléatoire porté par le signal reçu et le code pseudo-aléatoire du registre à décalage 13, de la façon qui est illustrée sur la figure 2. Elle prend sa valeur maximale lorsque les deux codes sont parfaitement synchronisés et devient minimale pour des décalages temporels d'au moins une période de bit. Pour des décalages temporels inférieurs à une période de bit, elle varie linéairement entre sa valeur maximale et sa valeur minimale.
Ainsi , il y a sensiblement corrélation entre les deux codes pseudo-aléatoires, tant que le code reçu est décalé dans le temps de moins d'une demi-période de bit par rapport au code du registre à décalage 13 du badge 2.
A titre d'exemple, le code pseudo-aléatoire peut être codé sur 127 bits, tandis que les registres à décalage 7 et 13 sont parcourus à une fréquence d'horloge de 5 MHz, ce qui correspond à des périodes de bit de 200 ns.
Des corrélations sont alors obtenues à ± 30 m du véhicule, (ou ensuite à 7, 62 km ± 30 m ou 15, 24 km ± 30 m, etc.).
Une fois le code clé récupéré, l'unité de gestion 11 détermine un code secret à émettre en sens inverse. Ce code secret est un code que ledit véhicule V s'attend à recevoir et qui est fonction du code clé transmis par le véhicule V.
Ce code secret est ensuite mélangé au code pseudo-aléatoire du registre à décalage 13, puis le signal obtenu est modulé par les moyens 10 et émis par l'antenne 9.
A la réception de ce signal RF par l'antenne 3, celui-ci est démodulé , puis mélangé au code pseudo-aléatoire du registre à décalage 7.
Le code secret est alors récupéré par l'unité de gestion 5, s'il y a corrélation entre le code pseudo-aléatoire porté par ledit signal RF. A la réception de ce code secret, l'unité de gestion 5 vérifie qu'il s'agit bien du code attendu et commande le déverrouillage des portières si c'est le cas.
Par contre, lorsqu'il n'y a pas corrélation - ce qui sera le cas si des moyens d'émission intermédiaires sont introduits dans la chaine de transmission entre le badge 2 et le véhicule V, puisque ces moyens intermédiaires introduiront un certain retard entre le code pseudo-aléatoire porté par le signal RF et celui qui est cycliquement permuté sur lui-même dans le registre à décalage 7 - , l'unité de gestion 5 maintient le verrouillage des portières du véhicule.
Comme on l'aura compris, un système du type de celui qui vient d'être décrit empêche tout détournement par des personnes mal intentionnées qui viendraient s'interposer dans la chaîne de transmission entre le badge et le véhicule. Il empêche également qu'une simple ré-émission du code pseudo-aléatoire émis par le véhicule suffise à déclencher le déverrouillage des portières, puisqu'il nécessite que le véhicule reçoive une réponse qui porte la signature du badge 2. Le fait que la réponse fournie par le badge soit fonction d'un code clé transmis par le véhicule assure un niveau de sécurité supplémentaire.
D'autres variantes que celle qui vient d'être décrite sont bien entendu envisageables.
En particulier, lorsqu'on utilise un code clé au niveau du véhicule, celui-ci peut ne pas être mélangé au code pseudo-aléatoire mais être constitué par un code pseudo-aléatoire choisi parmi plusieurs possibles. De même, le code secret émis par le badge 2 peut ne pas être un code mélangé à un code pseudo-aléatoire, mais être constitué par un code pseudo-aléatoire propre au badge 2, qui porte par conséquent intrinsèquement la signature de celui-ci. Les moyens 1 comportent alors des moyens, synchronisés sur le badge 2, aptes à désétaler le signal reçu avec ce code pseudo-aléatoire.
Par ailleurs, une séquence possible pour la synchronisation entre des registres à décalage des moyens 1 et du badge 2 peut être la suivante.
Lorsque la présence d'un individu à proximité du véhicule est détectée, le véhicule émet un signal d'activation destiné à réveiller le badge 2.
A la réception de ce signal d'activation, le badge 2 émet un signal RF qui porte un code d'identification mélangé à un signal pseudo-aléatoire court ("court" devant être entendu par opposition au signal pseudo-aléatoire long, en l'occurrence de 127 bits, utilisé après l'étape de synchronisation).
Le code d'identification est utilisé pour éviter que d'autres véhicules que celui concerné ne répondent lors de l'activation du badge 2. Il est répété sur une période suffisante pour que les moyens 1 d'émission/réception du véhicule V se synchronisent sur le signal pseudo-aléatoire.
Lorsque c'est le cas, les moyens d'émission/réception 1 émettent un signal de réponse qui marque la fin de la séquence d'initialisation. Tant que cette réponse du véhicule n'est pas reçue par le badge 2, celui-ci répète l'émission du signal qui porte le code d'identification mélangé à un signal pseudo-aléatoire court.