Brevet FR2959041A1 — publié le 20111021

La présente invention concerne les dispositifs de contrôle d'accès à une fonction d'un système. Dans le domaine du contrôle d'accès, il est connu d'utiliser au moins une étiquette d'identification sans contact (par exemple étiquette RFID, pour Radio Frequency IDentification en anglais) comportant un code secret afin d'identifier par communication radiofréquence le porteur d'une telle étiquette et lui autoriser l'accès à ladite fonction du système. Ainsi dans le cas illustratif d'une automobile, il est connu de placer une étiquette d'identification sans contact dans un support mobile tel une clé ou une carte afin de contrôler l'accès à la fonction de verrouillage/déverrouillage de porte dudit véhicule ou encore de contrôler l'accès à la fonction de démarrage du moteur. Les contraintes imposées dans certains domaines, d'origine législatives ou encore imposées par les assurances, sont de plus en plus sévères et conduisent à la nécessité d'augmenter les temps nécessaires à la réalisation d'une effraction. En référence à la figure 1, va maintenant être décrit un système typique selon l'art antérieur. Il est connu aujourd'hui de réaliser un contrôle d'accès à une fonction d'un système 1 au moyen d'un dispositif 2. Ledit dispositif 2 comprend une unité de traitement 3. Ledit dispositif 2 comprend encore un moyen de stockage 4 connecté à ladite unité de traitement 3 et apte à stocker un ou plusieurs codes secrets 8. Ledit moyen de stockage 4 peut être intégré à l'unité de traitement 3. Ledit dispositif 2 comprend encore un lecteur 5 connecté à ladite unité de traitement 3 apte à lire des étiquettes 11 d'identification sans contact. Ledit dispositif 2 comprend encore une ou plusieurs étiquettes 11 d'identification comportant chacune un des codes secrets 8 stockés dans le moyen de stockage 4. Enfin ledit dispositif 2 comprend un actionneur 6 d'accès à ladite fonction qui peut être commandé par ladite unité de traitement 2. Le terme actionneur 6 s'entend ici de manière large à tout moyen de commande de ladite fonction et peut comprendre une instruction de programme ou un changement d'état informatique, un signal électrique de commande ou encore un vérin ou un moteur réalisant effectivement ladite fonction ou permettant qu'elle soit réalisée par une manoeuvre manuelle ou un autre organe. Ladite unité de traitement 3 est configurée/programmée afin de n'autoriser la commande dudit actionneur 6 que si tous les codes secrets 8 stockés sur le moyen de stockage 4 sont reproduits par le ou les codes secrets 8 se trouvant sur les étiquettes 11 d'identification sans contact présentes, tels qu'ils peuvent être lus par le lecteur 5. Ainsi la fonction protégée par le dispositif 2 selon l'invention ne peut être activée que si toutes les étiquettes 11 d'identification nécessaires sont présentes. Une telle étiquette 11 d'identification sans contact est typiquement placée sur un support mobile de type clé ou carte afin, d'une part d'identifier son porteur comme un utilisateur autorisé du système 1 et, d'autre part de pouvoir être retirée et donc absente du système lorsque son porteur est absent du système 1. Une infraction type, en l'absence de ladite clé ou carte d'origine, utilise une unité de traitement de remplacement (et/ou son moyen de stockage) et une clé ou carte de remplacement appariées, par exemple récupérées sur un autre système du même type pour remplacer l'unité de traitement 3 d'origine dont la clé ou carte est absente par une unité de traitement de remplacement dont la clé ou carte appariée est disponible. L'unité de traitement de remplacement montée en lieu et place de l'unité de traitement d'origine dispose alors d'une clé ou carte appariée et peut leurrer le système 1 et autoriser l'accès à la fonction. Afin de retarder ce type d'infraction, il est connu de multiplier les composants (unité de traitement, moyen de stockage, etc.) vérifiant la présence d'un code secret 8 sur une étiquette 11 d'identification sans contact, lesdits codes secrets étant associés entre eux. Ainsi, chacun des composants vérifie la présence de son code secret et, communiquant avec l'unité de traitement 3 du contrôle d'accès, participe de ce contrôle d'accès. Le scénario d'infraction précédemment décrit nécessite alors le remplacement conjoint de tous les composants ainsi associés. La multiplication des composants s'accompagne d'une augmentation du temps de remplacement, ce qui ralentit l'infraction. L'intérêt d'une telle approche est cependant limité par deux inconvénients. D'une part, les différents composants, pour des raisons de maintenance, sont relativement accessibles et leur remplacement s'effectue relativement rapidement. D'autre part, la multiplication des composants participant ainsi au contrôle d'accès s'accompagne d'une baisse commensurable de la fiabilité du dispositif, une défaillance d'un quelconque des composants interdisant l'accès. II apparaît ainsi nécessaire de proposer des solutions alternatives permettant d'augmenter sensiblement la durée nécessaire à une effraction, par exemple le vol d'un 30 véhicule automobile sans présenter ces inconvénients. L'invention a pour objet un dispositif de contrôle d'accès à une fonction d'un système, ledit dispositif comprenant une unité de traitement, un moyen de stockage apte à stocker une pluralité de codes secrets connecté à ladite unité de traitement, un lecteur connecté à ladite unité de traitement apte à lire des étiquettes d'identification 35 sans contact, une pluralité d'étiquettes d'identification comportant chacune un des codes secrets de ladite pluralité de codes secrets, un actionneur d'accès à ladite fonction pouvant être commandé par ladite unité de traitement, où ladite unité de traitement est apte à n'autoriser la commande dudit actionneur que si chacun des codes secrets de ladite pluralité de codes secrets stockée sur le moyen de stockage est lue par le lecteur sur au moins une étiquette d'identification sans contact de la pluralité d'étiquettes, où la pluralité d'étiquettes comprend au moins une étiquette d'identification sans contact comprenant un code secret contenu dans la pluralité de codes secrets assorti d'un type "antivol", installée dans le système à une localisation difficilement accessible et/ou nécessitant un démontage long. Selon une autre caractéristique de l'invention, ladite unité de traitement est apte à ne pas autoriser la commande dudit actionneur si au moins un code secret assorti d'un type "antivol" non contenu dans la pluralité de codes secrets est lu par le lecteur sur une étiquette d'identification sans contact. Selon une autre caractéristique de l'invention, ladite étiquette d'identification sans contact comprenant un code secret de type "antivol" est installée de manière à être détruite lors d'une tentative de démontage. Selon une autre caractéristique de l'invention, ladite étiquette d'identification sans contact comprenant un code secret de type "antivol" est noyée dans une pièce dudit système. Selon une autre caractéristique de l'invention, ladite étiquette d'identification sans contact comprenant un code secret de type "antivol" est installée sous un tableau 20 de bord dudit système. Selon une autre caractéristique de l'invention, ladite étiquette d'identification sans contact comprenant un code secret de type "antivol" est installée dans la portée dudit lecteur. Selon une autre caractéristique de l'invention, ladite étiquette d'identification 25 sans contact comprenant un code secret de type "antivol" est installée hors de la portée dudit lecteur, ledit code secret de type "antivol" pouvant être recopié auprès de ladite étiquette d'identification sans contact et transporté auprès dudit lecteur par un moyen mobile. Selon une autre caractéristique de l'invention, au moins une des étiquettes 30 d'identification sans contact comprenant un code secret de type "antivol" est installée dans la portée d'un autre lecteur connecté à l'unité de traitement, ou à une autre unité de traitement connectée à l'unité de traitement. Selon une autre caractéristique de l'invention, le ou les lecteur(s) et les étiquettes d'identification sans contact sont aptes à échanger des informations selon la norme 35 ISO 144443. Selon une autre caractéristique de l'invention, le ou les lecteur(s) et les étiquettes d'identification sans contact sont aptes à échanger des informations selon la norme ISO 15693. Selon une autre caractéristique de l'invention, la fonction contrôlée est un verrouillage/déverrouillage de porte. Selon une autre caractéristique de l'invention, la fonction contrôlée est un 5 démarrage moteur. D'autres caractéristiques, détails et avantages de l'invention ressortiront plus clairement de la description détaillée donnée ci-après à titre indicatif en relation avec des dessins sur lesquels : • la figure 1, déjà décrite, présente un dispositif selon l'art antérieur, 10 • la figure 2 présente un dispositif selon l'invention. La figure 2 illustre un dispositif de contrôle d'accès selon l'invention. Ce dispositif 2 reprend tous les éléments du dispositif 2 précédemment décrit en relation avec la figure 1 et lui adjoint au moins une étiquette 12 d'identification sans contact comprenant un code secret 9 contenu dans les codes secrets stockés dans le moyen de 15 stockage 4 et assorti d'un type "antivol". Selon une caractéristique essentielle de l'invention, ladite étiquette 12 d'identification sans contact est installée dans le système 1 à une localisation difficilement accessible et/ou nécessitant un démontage long, comme figuré par une fixation à un massif. Ceci est rendu possible par le fait que ladite étiquette 12 est peu 20 sujette, ou du moins rarement, à une intervention de maintenance nécessitant son remplacement. En effet une telle étiquette 12 d'identification sans contact est peu sujette aux pannes. Un changement du code secret 9 n'est pas envisagé car il est toujours possible de reprogrammer l'unité de traitement 3 pour l'associer au code secret 9 contenu dans ladite étiquette 12. Ladite étiquette 12 peut ainsi être "cachée" ou 25 "enfouie" profondément dans le système 1. Un code secret 8, 9 est un code numérique présentant une diversité suffisamment grande pour que deux étiquettes 11, 12 générées aléatoirement aient statistiquement peu de chance de présenter deux codes secrets 8, 9 identiques. Une étiquette d'identification sans contact comportant un code secret de type 30 "antivol" est en tous points identique à une étiquette d'identification sans contact comportant un code secret de type "non antivol". Cependant ledit typage "antivol" est un moyen de pouvoir distinguer, à la lecture de leur code secret 9 respectif, une étiquette d'identification 12 sans contact comportant un code secret 9 de type "antivol" destinée à être "cachée" selon l'invention, d'autres étiquettes d'identification 11 sans contact 35 comportant un code secret 8 de type "non antivol" et destinées à être utilisées pour d'autres fonctions, par exemple intégrées dans une clé ou carte. Un moyen de typer un code secret 9 comme "antivol" est par exemple de réserver au moins un intervalle de codes secrets à la fonction "antivol", ou encore de préfixer ou de suffixer lesdits codes secrets par un identifiant donné. Comme précédemment, ladite unité de traitement 3 est configurée/programmée afin de n'autoriser la commande dudit actionneur 6 que si tous les codes secrets 8, inclus les codes secrets assortis d'un type "antivol" 9, stockés sur le moyen de stockage 4, sont reproduits par le(s) code(s) secrets 8 se trouvant sur les étiquettes 11 d'identification sans contact présentes, y compris les codes secrets 9 de type "antivol" se trouvant sur les étiquettes 12 d'identification sans contact "cachées", telles qu'elles peuvent être lues par le lecteur 5. Ainsi la fonction protégée par le dispositif selon l'invention ne peut être activée que si toutes les étiquettes 11, 12 d'identification sans contact nécessaires sont présentes, y compris les étiquettes 12 d'identification sans contact "cachées". L'unité de traitement 3 vérifie ainsi la présence de toutes les étiquettes 11, 12 d'identification dont les codes secrets "non antivol" 8 ou "antivol" 9 sont stockés dans le moyen de stockage 4. Au moins une première étiquette 11 d'identification sans contact est typiquement placée sur un support mobile de type clé ou carte comme dans l'art antérieur. Une seconde étiquette 12 d'identification sans contact "cachée" est installée, généralement à poste fixe, dans le système 1. Ainsi, en cas d'effraction par remplacement de l'unité de traitement 3, l'unité de traitement de remplacement, similaire à l'unité de traitement 3 d'origine, cherche un ou plusieurs codes secrets "antivol" "de remplacement". Cependant, tous les codes secrets étant statistiquement différents, ces codes secrets ne correspondront pas aux codes secrets 9 présents sur les étiquettes 12 d'identification sans contact "cachées" dans le système 1. L'accès à la fonction ne sera alors pas autorisé et l'effraction sera mise en échec. Afin de renforcer encore la sécurité du dispositif 2, l'unité de traitement 3 est avantageusement configurée afin d'effectuer une détection négative en plus de la détection positive précédemment décrite. Ainsi, l'unité de traitement 3 est encore configurée de manière à ne pas autoriser l'accès à la fonction et la commande dudit actionneur 6 si au moins un code secret 9 de type "antivol" non contenu dans la pluralité de codes secrets est lu par le lecteur sur une étiquette d'identification sans contact. Toute détection de la présence d'au moins un code secret 9 de type "antivol" étranger au système inhibe ainsi l'accès à la fonction protégée. Le typage "antivol" est ici nécessaire afin de ne pas risquer de confondre une étiquette quelconque porteuse d'un code secret, telle une clé d'un autre système portée par exemple par un passager du système 1, ou encore un badge, ou un porte monnaie électronique avec une étiquette "cachée" étrangère. Ceci permet d'empêcher l'accès à la fonction, dans le scénario d'effraction envisagé, tant que la ou les étiquettes 12 d'identification sans contact "cachées" d'origine sont présentes dans le système 1, une étiquette 12 "cachée" d'origine étant considérée comme étrangère par un dispositif de remplacement. L'effraction nécessite alors nécessairement un accès audites étiquettes 12 d'identification sans contact "cachées". Ledit accès ayant été volontairement conçu pour être rendu difficile et long augmente d'autant la durée nécessaire à l'effraction. Selon une autre caractéristique avantageuse, la ou les étiquettes 12 d'identification sans contact "cachées" sont installées de manière à être détruites lors d'une tentative de démontage. Ceci peut être réalisé par tout moyen connu tel une fixation non démontable de type collage ou inclusion, ou encore un dispositif additionnel mécanique, électrique, chimique, détonique, etc., venant détruire ou du moins rendre impropre à l'utilisation, lesdites étiquettes 12 d'identification sans contact "cachées" lorsqu'il est tenté d'y accéder. On a vu que dans le scénario d'effraction envisagé, un dispositif de remplacement complet peut être obtenu par exemple à partir d'un autre système. Ceci nécessite un démontage dudit dispositif de remplacement. Pour prétendre à être efficace, le dispositif de remplacement doit être complet et comprendre aussi la ou les étiquettes 12 d'identification sans contact "cachées" qui doivent aussi être démontées. La destruction considérée desdites étiquettes 12 d'identification sans contact "cachées" lors de cette tentative de démontage produit un dispositif de remplacement incomplet et donc inopérant pour l'effraction envisagée. Le but recherché est de retarder le plus possible l'accès et le démontage de la ou des étiquettes 12 d'identification sans contact comprenant un code secret 9 de type "antivol". Différents modes de réalisation sont possibles. Selon un mode de réalisation ladite étiquette 12 est avantageusement noyée dans une pièce dudit système 1. Ainsi, ladite étiquette 12 peut être moulée dans la masse d'une pièce en plastique, ou encore emprisonnée de manière non démontable entre des pièces assemblées par collage ou par soudage. Selon un autre mode de réalisation, applicable à un système 1 comprenant un tableau de bord tel un véhicule, ladite étiquette 12 d'identification sans contact comprenant un code secret 9 de type "antivol" est avantageusement installée sous ledit tableau de bord dudit système 1. Un tel montage est avantageux en ce que le tableau de bord est une pièce généralement très longue à démonter. L'étiquette 12 peut être collée, le cas échéant au moyen d'un autocollant. Elle peut encore être au moins en partie noyée dans ledit tableau de bord. Afin de pouvoir être lue par le lecteur 5, la ou les étiquettes 12 d'identification sans contact comprenant un code secret 9 de type "antivol" est avantageusement installée dans la portée dudit lecteur 5. Cependant cette portée, selon la norme utilisée, peut être faible, comme il est discuté plus loin. Ceci limite les possibilités d'implantation d'une étiquette 12 "antivol". Afin d'étendre les possibilités d'implantation au-delà de ladite portée, ou afin de fournir un mode secours, il est aussi possible d'installer au moins une étiquette 12 "antivol" hors de la portée dudit lecteur 5. Dans ce cas, le code secret de type "antivol" 9 est avantageusement recopié par un moyen mobile 13 qui est ensuite placé dans la portée du lecteur 5 afin de vérifier l'autorisation d'accès. Ainsi, de manière illustrative, une étiquette 12 porteuse d'un code secret de type "antivol" 9 peut être installée dans le coffre du véhicule, hors de la portée du lecteur 5, typiquement placé dans une console centrale ou dans le tableau de bord du système 1. L'utilisateur peut alors venir placer un moyen mobile 13 à portée de ladite étiquette 12 afin que le moyen mobile 13, se comportant dans un premier temps comme un lecteur, lise ledit code secret de type "antivol" 9. Ensuite, l'utilisateur place ledit moyen mobile 13 dans la portée du lecteur 5. Le moyen mobile 13 se comporte alors comme une étiquette 12 porteuse du code secret de type "antivol" 9 recopié, qui peut alors être lu par le lecteur 5. La fonction de moyen mobile 13, lecteur, puis étiquette, ainsi décrite peut par exemple être intégrée dans un téléphone portable, dans une clé du système 1 ou tout autre appareil portatif. Le dispositif selon l'invention comprend au moins un lecteur 5. Lorsqu'il est unique, le lecteur 5 est utilisé pour lire tant le ou les codes secrets de type "antivol" 9 portés par des étiquettes 12 "cachées", que le ou les codes secrets "non antivol" 8 portés par des étiquettes 11 de type clé, carte ou autres. Il est à noter que le nombre d'étiquettes 12 ou 11, et que le nombre de codes secrets 9 ou 8 ne sont pas forcément du même ordre et ne contiennent pas obligatoirement le même nombre d'éléments. Plusieurs variantes sont possibles. Cependant, ceci restreint les possibilités d'implantation des étiquettes 12 "cachées" à la portée dudit lecteur 5. Afin d'étendre lesdites possibilités d'implantation, il est possible d'employer au moins un second lecteur, différent de celui employé pour lire l'étiquette 11 de type clé ou carte, afin de déporter l'ensemble constitué par le lecteur et la ou les étiquette(s) 12 d'identification sans contact "cachée(s)". Ledit second lecteur peut être, selon un premier mode de réalisation, directement connecté à l'unité de traitement 3. Ledit second lecteur peut encore être, selon un second mode de réalisation, connecté à une autre unité de traitement, elle-même connectée à l'unité de traitement 3. Ladite autre unité de traitement peut ainsi être une unité de traitement déjà présente dans le système 1, par exemple pour la réalisation d'une autre fonction. Il existe plusieurs normes définissant les matériels et les protocoles de communication régissant les échanges d'information entre le ou les lecteur(s) et les étiquettes 11, 12 d'identification sans contact. La norme ISO 144443 est orientée vers les applications de sécurité et est, de manière connue, employée dans les dispositifs de contrôle d'accès. Elle permet une portée réduite à 10 cm. La norme ISO 15693 est orientée vers les applications logistiques. Elle permet une portée de 1,20 m. II est possible d'utiliser l'une ou l'autre de ces normes. Il est cependant avantageux de combiner l'utilisation des deux. La première apporte la sécurité d'un protocole sécurisé tandis que la seconde permet une portée plus grande et donc une plus grande latitude pour "cacher" une étiquette 12 dans le système 1. Ainsi, il est par exemple possible d'utiliser la norme ISO 144443 pour contrôler la clé/carte, et la norme ISO 15693 pour lire une étiquette 12 "cachée" portant un code secret 9 de type "antivol". Selon une application particulière, la fonction contrôlée est un verrouillage/déverrouillage de porte, la ou les portes contrôlant l'accès à l'intérieur du système 1. Selon une application particulière, la fonction contrôlée est un démarrage moteur. De telles applications sont ainsi particulièrement intéressantes lorsque le système 1 est un véhicule automobile. REVENDICATIONS1. Dispositif de contrôle d'accès à une fonction d'un système (1), ledit dispositif (2) comprenant une unité de traitement (3), un moyen de stockage (4) apte à stocker une pluralité de codes secrets (8, 9) connecté à ladite unité de traitement (3), un lecteur (5) connecté à ladite unité de traitement (3) apte à lire des étiquettes d'identification sans contact, une pluralité d'étiquettes (11, 12) d'identification comportant chacune un des codes (8, 9) secrets de ladite pluralité de codes secrets, un actionneur (6) d'accès à ladite fonction pouvant être commandé par ladite unité de traitement (3), où ladite unité de traitement (3) est apte à n'autoriser la commande dudit actionneur (6) que si chacun des codes (8, 9) secrets de ladite pluralité de codes secrets stockée sur le moyen de stockage (4), est lu par le lecteur (5) sur au moins une étiquette (11, 12) d'identification sans contact de la pluralité d'étiquettes, caractérisé en ce que la pluralité d'étiquettes comprend au moins une étiquette (12) d'identification sans contact comprenant un code (9) secret contenu dans la pluralité de codes secrets (8, 9) assorti d'un type "antivol", installée dans le système (1) à une localisation difficilement accessible et/ou nécessitant un démontage long. 2. Dispositif selon la revendication 1, où ladite unité de traitement (3) est apte à ne pas autoriser la commande dudit actionneur (6) si au moins un code (9) secret assorti d'un type "antivol" non contenu dans la pluralité de codes secrets est lu par le lecteur (5) sur une étiquette (12) d'identification sans contact. 3. Dispositif selon la revendication 1 ou 2, où ladite étiquette (12) d'identification sans 20 contact comprenant un code (9) secret de type "antivol" est installée de manière à être détruite lors d'une tentative de démontage. 4. Dispositif selon l'une quelconque des revendications 1 à 3, où ladite étiquette (12) d'identification sans contact comprenant un code (9) secret de type "antivol" est noyée dans une pièce dudit système (1). 25 5. Dispositif selon l'une quelconque des revendications 1 à 4, où ladite étiquette (12) d'identification sans contact comprenant un code (9) secret de type "antivol" est installée sous un tableau de bord dudit système (1). 6. Dispositif selon l'une quelconque des revendications 1 à 5, où ladite étiquette (12) d'identification sans contact comprenant un code (9) secret de type "antivol" est installée dans 30 la portée dudit lecteur (5). 7. Dispositif selon l'une quelconque des revendications 1 à 5, où ladite étiquette (12) d'identification sans contact comprenant un code (9) secret de type "antivol" est installée hors de la portée dudit lecteur (5), ledit code (9) secret de type "antivol" pouvant être recopié auprès de ladite étiquette (12) d'identification sans contact et transporté auprès dudit 35 lecteur (5) par un moyen mobile (13). 8. Dispositif selon l'une quelconque des revendications 1 à 7, où au moins une desétiquettes (12) d'identification sans contact comprenant un code (9) secret de type "antivol" est installée dans la portée d'un autre lecteur connecté à l'unité de traitement (3), ou à une autre unité de traitement connectée à l'unité de traitement (3). 9. Dispositif selon l'une quelconque des revendications 1 à 8, où le ou les lecteur(s) (5) et 5 les étiquettes (11, 12) d'identification sans contact sont aptes à échanger des informations selon la norme ISO 144443. 10. Dispositif selon l'une quelconque des revendications 1 à 9, où le ou les lecteur(s) (5) et les étiquettes (11, 12) d'identification sans contact sont aptes à échanger des informations selon la norme ISO 15693. 10 11. Dispositif selon l'une quelconque des revendications 1 à 10, où la fonction contrôlée est un verrouillage/déverrouillage de porte. 12. Dispositif selon l'une quelconque des revendications 1 à 10, où la fonction contrôlée est un démarrage moteur.