Brevet FR3034549A1 — publié le 20161007

Procédé de chargement d'une clé virtuelle et terminal utilisateur associé DOMAINE TECHNIQUE AUQUEL SE RAPPORTE L'INVENTION La présente invention concerne la commande de certaines fonctionnalités d'un véhicule au moyen d'un terminal utilisateur. Elle concerne plus particulièrement un procédé de chargement d'une clé virtuelle, ainsi qu'un terminal utilisateur associé. L'invention s'applique particulièrement avantageusement dans le cas où l'on souhaite qu'un autre terminal utilisateur puisse autoriser ce terminal utilisateur à commander une fonctionnalité d'un véhicule. ARRIERE-PLAN TECHNOLOGIQUE Le document US 2013/099 892 propose de pourvoir un premier téléphone portable d'un justificatif au moyen duquel le téléphone portable peut autoriser un accès à un véhicule. Il est en outre prévu dans ce document que le premier téléphone portable puisse transmettre le justificatif à un second téléphone portable afin que ce dernier ait à son tour la possibilité d'autoriser l'accès dans le véhicule. OBJET DE L'INVENTION Dans ce contexte, la présente invention propose un procédé de chargement d'une clé virtuelle dans un terminal utilisateur, comprenant les étapes suivantes : - réception, par le terminal utilisateur, d'une donnée d'appariement en provenance d'un autre terminal utilisateur ; - transmission d'une donnée dépendant de la donnée d'appariement à une unité électronique d'un véhicule ; - réception par le terminal utilisateur, en provenance de l'unité électronique, d'une clé virtuelle de commande d'au moins une fonctionnalité du véhicule. L'utilisation de la donnée d'appariement reçue de l'autre terminal utilisateur permet ainsi au terminal utilisateur d'obtenir la clé virtuelle et de pouvoir commander la fonctionnalité du véhicule. La clé virtuelle est toutefois délivrée par l'unité électronique du véhicule, ce qui permet un meilleur contrôle par l'unité électronique des clés virtuelles existantes. On remarque que la donnée transmise peut être la donnée 3034549 2 d'appariement elle-même, ou une donnée déterminée à partir de la donnée d'appariement et qui permettra à l'unité électronique de commande de vérifier (par exemple par utilisation d'un protocole de type défi-réponse) que le terminal utilisateur détient (i.e. mémorise) bien la donnée d'appariement. 5 Le procédé peut d'ailleurs comprendre une étape de vérification, par l'unité électronique, de la correspondance entre la donnée transmise et une donnée correspondante déterminée par l'unité électronique, la clé virtuelle étant alors transmise seulement en cas de vérification positive. La clé virtuelle reçue peut être mémorisée par le terminal utilisateur, afin 10 par exemple d'être utilisée au cours des étapes suivantes du procédé : - réception, par le terminal utilisateur, d'un défi en provenance de l'unité électronique ; - détermination, par le terminal utilisateur, d'une donnée d'authentification en fonction de la clé virtuelle et du défi reçu ; 15 - émission, par le terminal utilisateur et à destination de l'unité électronique, de la donnée d'authentification. Le procédé peut alors comprendre les étapes suivantes : - vérification, par l'unité électronique, de la donnée d'authentification reçue du terminal utilisateur ; 20 - commande, par l'unité électronique, de la fonctionnalité du véhicule en cas de vérification positive. Afin de générer la donnée d'appariement, le procédé peut en outre comprendre les étapes suivantes (réalisées préalablement à l'étape de transmission de la donnée d'appariement par l'autre terminal utilisateur) : 25 - transmission d'une donnée de délégation de l'unité électronique à l'autre terminal utilisateur ; - détermination, par l'autre terminal utilisateur, de la donnée d'appariement en fonction de la donnée de délégation. La donnée d'appariement est par exemple déterminée en fonction de la 30 donnée de délégation et d'au moins une borne temporelle. On peut prévoir dans ce cas que l'unité électronique transmette ou non la clé virtuelle au terminal utilisateur en fonction du résultat d'une comparaison entre un instant courant et la borne temporelle, et/ou que la commande de la fonctionnalité soit réalisée ou non en fonction du résultat d'une comparaison entre 3034549 3 un instant courant et la borne temporelle. En pratique, la transmission de la donnée dépendant de la donnée d'appariement et la réception de la clé virtuelle peuvent être réalisées via une liaison sans fil (par exemple de type Bluetooth) établie entre le terminal utilisateur 5 et le véhicule. L'invention propose également un terminal utilisateur comprenant un module de réception d'une donnée d'appariement en provenance d'un autre terminal utilisateur, un module de transmission d'une donnée dépendant de la donnée d'appariement à une unité électronique d'un véhicule, et un module de 10 réception, en provenance de l'unité électronique, d'une clé virtuelle de commande d'au moins une fonctionnalité du véhicule. Lorsque le terminal utilisateur comprend un processeur et une mémoire mémorisant notamment des instructions exécutables par le processeur, chacun des modules susmentionnés peut être réalisé par un ensemble spécifique 15 d'instructions permettant de mettre en oeuvre la fonction du module concerné (en coopération éventuellement avec un circuit extérieur au processeur tel qu'un module de communication) lorsque les instructions de l'ensemble sont exécutées par le processeur. DESCRIPTION DETAILLEE D'UN EXEMPLE DE REALISATION 20 La description qui va suivre en regard des dessins annexés, donnés à titre d'exemples non limitatifs, fera bien comprendre en quoi consiste l'invention et comment elle peut être réalisée. Sur les dessins annexés : - la figure 1 représente un exemple de contexte initial dans lequel peut 25 être mise en oeuvre l'invention ; - la figure 2 représente schématiquement des composants, utiles à la compréhension de l'invention, d'un véhicule et d'un premier terminal utilisateur ; - la figure 3 présente, sous forme de logigramme, un exemple de procédé de chargement d'une clé de délégation dans une mémoire du premier 30 terminal utilisateur ; - la figure 4 représente schématiquement le premier terminal utilisateur et un second terminal utilisateur ; - la figure 5 présente, sous forme de logigramme, un exemple de procédé de transmission d'une clé d'autorisation d'appairage temporaire du 3034549 4 premier terminal utilisateur au second terminal utilisateur ; - la figure 6 présente, sous forme de logigramme, un exemple de procédé d'appariement entre le second terminal utilisateur et une unité électronique de commande du véhicule ; et 5 - la figure 7 présente, sous forme de logigramme, un exemple de procédé de commande d'une fonctionnalité du véhicule par le second terminal utilisateur. La figure 1 représente un exemple de contexte initial dans lequel peut être mise en oeuvre l'invention. 10 Dans ce contexte, un véhicule 10 comprend une unité électronique de commande 11 (ou ECU pour "Electronic Control Unit') qui peut entrer en communication via une liaison sans fil avec un premier terminal utilisateur 20, par exemple un téléphone portable (ou téléphone cellulaire), éventuellement de type "téléphone intelligent' ou "smartphone" selon la dénomination anglo-saxonne 15 couramment utilisée, afin d'échanger des données avec ce premier terminal utilisateur 20, par exemple en vue de la commande de fonctionnalités du véhicule 10 au moyen du premier terminal utilisateur 20 (une telle fonctionnalité pouvant être par exemple le déverrouillage des portes du véhicule 10). La liaison sans fil utilisée pour communiquer entre l'unité électronique de 20 commande 11 et le premier terminal utilisateur 20 est par exemple de type Bluetooth. La figure 2 représente schématiquement des composants, utiles à la compréhension de l'invention, du véhicule 10 et du premier terminal utilisateur 20. Le véhicule 10 comprend notamment l'unité électronique de commande 25 11 déjà mentionnée, un premier actionneur 15 (conçu ici pour permettre le déverrouillage des portes du véhicule 10), un second actionneur 17 (conçu pour permettre le démarrage du moteur du véhicule), un module de communication sans fil 16 et une interface utilisateur 18. L'unité électronique de commande comprend un processeur 12 et une 30 unité de mémorisation 14, par exemple une mémoire non-volatile réinscriptible ou un disque dur. L'unité de mémorisation 14 mémorise notamment des programmes d'ordinateur comprenant des instructions dont l'exécution par le processeur 12 permet la mise en oeuvre par l'unité électronique de commande 11 des procédés 3034549 5 décrits ci-dessous. L'unité de mémorisation 14 mémorise également des données utilisées dans le cadre des procédés décrits ci-dessous, notamment une clé racine (ou clé maître) MK et un code secret S, utilisés comme expliqué dans la suite. 5 La clé racine MK et/ou le code secret S sont par exemple inscrits dans l'unité de mémorisation 14 lors de la fabrication de l'unité électronique de commande 11, avant montage de cette unité électronique de commande 11 dans le véhicule 10. Le premier terminal utilisateur 20 comprend un processeur 22, une 10 mémoire 24 (par exemple une mémoire non-volatile réinscriptible), une interface utilisateur 21 (par exemple un écran tactile), un module de communication sans fil 26 et un module de télécommunication 28. La mémoire 24 du premier terminal utilisateur 20 mémorise une clé de délégation DK à partir de laquelle peuvent être dérivées des clés temporaires 15 d'autorisation d'appariement, comme expliqué plus loin. Cette clé de dérivation DK est par exemple chargée dans la mémoire 24 selon le procédé décrit plus bas en référence à la figure 3. Par ailleurs, la clé de délégation DK peut être utilisée en tant que clé virtuelle utilisable par le premier terminal utilisateur 20 pour commander une 20 fonctionnalité du véhicule 10. En variante, la mémoire 24 du premier terminal utilisateur 20 peut mémoriser une clé virtuelle supplémentaire dédiée à la commande des fonctionnalités du véhicule 10. La mémoire 24 mémorise notamment des programmes d'ordinateur comprenant des instructions dont l'exécution par le processeur 22 permet la mise 25 en oeuvre par le premier terminal utilisateur 20 des procédés décrits ci-dessous. Le module de communication sans fil 26 du premier terminal utilisateur 20 permet d'établir une liaison sans fil (ici de type Bluetooth comme déjà indiqué) avec le module de communication sans fil 16 du véhicule 10 à travers laquelle le processeur 12 de l'unité électronique de commande 11 et le processeur 22 du 30 premier terminal utilisateur 20 peuvent échanger des données, notamment comme exposé plus loin. Le module de télécommunication 28 permet au premier terminal utilisateur 20 (et précisément au processeur 22 équipant ce premier terminal utilisateur 20) d'échanger des données avec d'autres dispositifs électroniques, en 3034549 6 particulier avec un second terminal utilisateur mentionné plus bas. Le module de télécommunication 28 permet pour ce faire de se connecter à un réseau sur lequel sont également connectés ces autres dispositifs électroniques, par exemple un réseau de téléphonie mobile ou un réseau informatique (tel qu'un réseau local 5 sans fil). Dans certains modes de réalisation (notamment lorsque le premier terminal utilisateur 20 peut fonctionner en tant que téléphone cellulaire), le module de télécommunication 28 peut comprendre une carte à puce qui mémorise des données de connexion associées à un abonnement à un service de téléphonie 10 mobile et permettant d'établir la connexion sur le réseau de téléphonie mobile précité. La figure 3 présente, sous forme de logigramme, un exemple de procédé de chargement de la clé de délégation DK dans la mémoire 24 du premier terminal utilisateur 20. 15 Les échanges de données décrits ci-dessous sont effectués entre le processeur 12 de l'unité électronique de commande 11 et le processeur 22 du premier terminal utilisateur 20 via les modules de communication sans fil 16, 26. Ces échanges de données peuvent être sécurisés (et notamment chiffrés) en utilisant par exemple une fonctionnalité de sécurité (par exemple de chiffrement) 20 des modules de communication sans fil 16, 26 ou en utilisant des moyens classiques de sécurité (par exemple de chiffrement), tel que ceux fournis dans une infrastructure à clé publique (ou PKI pour "Public Key Infrastructure"). Le procédé de la figure 3 débute à l'étape E2 par l'émission, par le premier terminal utilisateur 20 (c'est-à-dire en pratique par son processeur 22 via 25 le module de communication sans fil 26), d'un code secret S' et d'un identifiant 11 du premier terminal utilisateur 20 à destination de l'unité électronique de commande 11. Le code secret S' a par exemple été au préalable saisi sur l'interface utilisateur 21 par l'utilisateur du premier terminal utilisateur 20. Pour ce faire, le 30 code secret S' est par exemple communiqué à l'utilisateur lors de l'achat du véhicule. En variante, ce code secret S' peut être inscrit sur une étiquette apposée dans le véhicule 10 (de manière à être visible seulement par une personne ayant accès au véhicule 10, typiquement au moyen de la clé physique du véhicule 10). Le code secret S' peut également être reçu au préalable par le premier 3034549 7 terminal utilisateur 20 via le module de télécommunication 28, par exemple dans un message électronique ou un minimessage (ou SMS pour "Short Message System"). Pour ce faire, l'utilisateur communique son adresse électronique ou son numéro de téléphone lors de l'achat du véhicule 10. 5 L'identifiant 11 est par exemple un numéro associé au terminal utilisateur 20, tel que le numéro d'appel attribué à l'utilisateur dans le cadre de son abonnement au service de téléphonie mobile susmentionné (ou MSISDN pour "Mobile Station ISDN number), le numéro d'abonné (ou IMSI pour "International Subscriber Mobile Identity') de l'utilisateur ou l'identifiant du terminal utilisateur 20 10 (ou IMEI pour "International Mobile Equipment Identity'). L'unité électronique de commande 11 reçoit le code secret S' et l'identifiant 11 et peut ainsi comparer à l'étape E4 le code secret reçu S' au code secret S mémorisé dans l'unité de mémorisation 14 de l'unité électronique de commande 11. 15 En temps normal (c'est-à-dire lorsque le code secret S' a été effectivement obtenu par l'utilisateur comme indiqué ci-dessus suite à l'achat du véhicule 10), le code secret reçu S' correspond au code secret mémorisé S et le procédé se poursuit à l'étape E8 décrite plus bas. On peut en outre prévoir qu'une condition supplémentaire doive être réalisée avant de procéder à l'étape E8, par 20 exemple la réalisation par l'utilisateur d'une action particulière dans le véhicule (telle qu'une validation sur l'interface utilisateur 18), ou la détection d'une clé physique du véhicule 10 à proximité par l'unité électronique de commande 11, ou encore une action sur la clé physique du véhicule 10. Si le code secret reçu S' diffère en revanche du code secret mémorisé S, 25 cela signifie que le code secret S' n'est pas en réalité celui associé au véhicule 10 (soit à cause d'une erreur de l'utilisateur, soit du fait qu'il s'agit d'une tentative de fraude) et le procédé se termine à l'étape E8 sans chargement de la clé de délégation DK. Comme indiqué ci-dessus, le procédé se poursuit en fonctionnement 30 normal à l'étape E8 où la clé de délégation DK est calculée (par le processeur 12) par dérivation au moyen de l'application d'une première fonction cryptographique F, utilisant la clé racine MK, à l'identifiant reçu 11 : DK = FmK(I1). La clé de délégation DK obtenue et une estampille temporelle TS (ou "timestamp" selon l'appellation anglo-saxonne) générée par le processeur 12 sont 3034549 8 transmises de l'unité électronique de commande 11 au premier terminal utilisateur 20 à l'étape El 0, ici via la liaison établie entre le module de communication sans fil 16 et le module de communication sans fil 26. Lorsque la clé de délégation DK n'est pas utilisée par le premier terminal utilisateur 20 pour commander une 5 fonctionnalité du véhicule 10, mais qu'une autre clé virtuelle dédiée est prévue pour ce faire, cette autre clé virtuelle peut également être transmise de l'unité électronique de commande 11 au premier utilisateur 20 lors de l'étape El O. La clé de délégation DK est ainsi reçue par le premier terminal utilisateur 20 (précisément son processeur 22) et peut alors être mémorisée dans la 10 mémoire 24 du premier terminal utilisateur 20 à l'étape El 2. On peut prévoir par ailleurs que le processeur 22 du premier terminal utilisateur 20 se synchronise alors au processeur 12 de l'unité électronique de commande 11 au moyen de l'estampille temporelle TS reçue. En variante, le processeur 22 pourrait commander la mémorisation dans la mémoire 24 de 15 l'estampille temporelle TS reçue, par exemple en association avec l'instant de réception de l'estampille temporelle TS, afin d'avoir accès au décalage temporel entre l'horloge de l'unité électronique de commande 11 et l'horloge du premier terminal utilisateur 20. Selon encore une autre variante, une estampille temporelle pourrait au 20 contraire être transmise du premier terminal utilisateur 20 à l'unité électronique de commande 11 afin d'y être mémorisée (en association avec l'instant de réception de l'estampille temporelle et l'identifiant 11 du premier terminal utilisateur 20), l'unité électronique de commande 11 gérant dans ce cas le décalage temporel précité. 25 Dans le mode de réalisation qui vient d'être décrit, le code secret S est mémorisé dans l'unité de mémorisation 14 lors de la production de l'unité électronique de commande 11 et/ou du véhicule 10, puis est requis avant de délivrer la clé de délégation DK (ainsi qu'éventuellement une autre clé virtuelle de commande des fonctionnalités du véhicule 10) au premier terminal utilisateur 20. 30 Selon une variante envisageable, le code secret S pourrait être saisi par l'utilisateur au niveau de l'interface utilisateur 18 du véhicule 10, afin d'être ensuite mémorisé dans l'unité de mémorisation 14 de l'unité électronique de commande. Conformément au procédé décrit ci-dessus (étape E2), l'utilisateur doit alors dans ce cas saisir un code secret S' identique sur son terminal utilisateur 20 afin que ce 3034549 9 code secret S' soit transmis à l'unité électronique de commande 11 et autorise l'unité électronique de commande 11 à délivrer la clé de délégation DK (ainsi qu'éventuellement une autre clé virtuelle de commande des fonctionnalités du véhicule 10). 5 Selon une autre variante envisageable, la délivrance de la clé de délégation DK (ainsi qu'éventuellement d'une autre clé virtuelle de commande des fonctionnalités du véhicule 10) ne nécessite pas la fourniture d'un code secret, mais ne peut être initiée que dans le cadre de l'exécution par l'unité électronique de commande 11 d'un service de diagnostic, tel que ceux utilisés en concession. 10 Selon une autre variante, la clé délégation DK (ainsi qu'éventuellement une autre clé virtuelle de commande des fonctionnalités du véhicule 10) peut être transmise au premier terminal utilisateur 20 depuis un serveur distant, par exemple via le module de télécommunication 28 (une session sécurisée, permettant un échange de données chiffré, étant par exemple préalablement mise 15 en place entre le processeur 22 du premier terminal utilisateur 20 et ce serveur distant). La figure 4 représente schématiquement le premier terminal utilisateur 20 et un second terminal utilisateur 30 dans une situation où ils peuvent échanger des données comme expliqué ci-après. 20 Le second terminal utilisateur 30 est par exemple du même type que le premier terminal utilisateur 20, et comprend ainsi des éléments similaires à ceux du premier terminal utilisateur 20, désignés en figure 4 par une référence augmentée de dix par rapport aux éléments équivalents du premier terminal utilisateur 20. Le second terminal utilisateur 30 ne sera donc pas décrit en détail et 25 on pourra se référer à la description donnée ci-dessus du premier terminal utilisateur 20 pour plus de précisions sur les éléments du second terminal utilisateur 30. Le second terminal utilisateur 30 comprend ainsi notamment un processeur 32, une mémoire 34 (par exemple une mémoire non-volatile 30 réinscriptible), une interface utilisateur 31 (par exemple un écran tactile), un module de communication sans fil 36 (conçu ici pour mettre en oeuvre une liaison de type Buletooth) et un module de télécommunication 38 (conçu pour se connecter à un réseau, par exemple un réseau local sans fil ou un réseau de téléphonie mobile, sur lequel est également connecté le premier terminal 3034549 10 utilisateur 20). La mémoire 34 mémorise notamment des programmes d'ordinateur comprenant des instructions dont l'exécution par le processeur 32 permet la mise en oeuvre par le second terminal utilisateur 30 des procédés décrits ci-dessous. 5 Comme représenté par des flèches en pointillés en figure 4, le premier terminal utilisateur 20 et le second terminal utilisateur 30 peuvent ainsi échanger des données soit au moyen d'une liaison (ici de type Bluetooth) établie entre les modules de communication sans fil 26, 36, soit via un réseau (par exemple un réseau local sans fil ou un réseau de téléphonie mobile) auquel le premier terminal 10 20 et le second terminal utilisateur 30 se connectent à ce réseau respectivement au moyen du module de communication 28 et du module de télécommunication 38. Ces échanges de données peuvent être sécurisés, par exemple chiffrés. Dans le procédé décrit ci-dessous, les terminaux utilisateur 20, 30 utilisent l'une des deux possibilités envisagées ci-dessus pour échanger des 15 données entre eux. La figure 5 présente, sous forme de logigramme, un exemple de procédé de transmission d'une clé d'autorisation d'appairage temporaire TK du premier terminal utilisateur 20 au second terminal utilisateur 30. Ce procédé est mis en oeuvre lorsque l'on souhaite utiliser le second 20 terminal utilisateur 30 pour commander une fonctionnalité du véhicule 10, ici de manière temporaire. Le procédé de la figure 5 débute à l'étape E20, à laquelle le second terminal utilisateur 30 transmet au premier terminal utilisateur 20 une demande de la clé d'autorisation d'appairage temporaire TK (dans le but de pouvoir 25 commander ultérieurement une fonctionnalité du véhicule). Le second terminal utilisateur 30 joint par exemple à cette demande son identifiant 12. Comme déjà indiqué à propos du premier terminal utilisateur 20, un tel identifiant 12 est par exemple le numéro d'appel attribué à l'utilisateur dans le cadre de son abonnement au service de téléphonie mobile susmentionné (ou MSISDN pour 30 "Mobile Station ISDN number), le numéro d'abonné (ou IMSI pour "International Subscriber Mobile Identity') de l'utilisateur ou l'identifiant du terminal utilisateur concerné (ou IMEI pour "International Mobile Equipment Identity). Dans certains modes de réalisation, le second terminal utilisateur 30 peut joindre en outre une liste des fonctionnalités du véhicule 10 que l'utilisateur 3034549 11 souhaite commander au moyen du second terminal utilisateur 30. Le premier terminal utilisateur 20 reçoit la demande accompagnée de l'identifiant 12 du second terminal utilisateur 30 et peut ainsi calculer à l'étape E22 la clé d'autorisation d'appairage temporaire TK destinée au second terminal 5 utilisateur 30, par exemple comme suit. On propose ici, comme décrit ci-dessous, que la clé d'autorisation d'appairage temporaire TK permette d'obtenir une clé virtuelle VK valable entre un temps Ti et un temps T2 (référencés ici par rapport à l'horloge de l'unité électronique de commande 11). Ces bornes temporelles Ti, T2 sont par exemple 10 choisies par l'utilisateur du premier terminal utilisateur 20 (éventuellement par saisie dans l'interface utilisateur 21) et définissent (entre elles) une période (par exemple de plusieurs jours ou plusieurs semaines) pendant laquelle le second terminal utilisateur 30 pourra commander au moins une fonctionnalité du véhicule 10. 15 Dans l'exemple décrit ici, la clé d'autorisation d'appairage temporaire TK est dérivée par application d'une seconde fonction cryptographique G utilisant la clé de dérivation DK à un ensemble de données comprenant la première borne temporelle Ti, la seconde borne temporelle T2, l'identifiant 11 du premier terminal utilisateur 20 et l'identifiant 12 du second terminal utilisateur 30 : 20 TK = GDK(T1, T2, 11, 12). Ces données sont par exemple concaténées avant application de la seconde fonction cryptographique G. L'ensemble de données auquel la seconde fonction cryptographique G est appliquée peut comprendre d'autres données, par exemple un nombre aléatoire ou une valeur représentative des fonctionnalités que 25 le second terminal utilisateur 30 pourra commander. On peut prévoir en effet que l'utilisateur du premier terminal utilisateur 20 sélectionne (au moyen de l'interface utilisateur 21) les fonctionnalités du véhicule 10 qui pourront être commandées par le second terminal utilisateur 30 et que le premier terminal utilisateur 20 génère ainsi une liste de ces fonctionnalités et/ou 30 un topogramme binaire (ou "bitmap" selon l'appellation anglo-saxonne) indiquant quelles fonctionnalités pourront être commandées par le second terminal utilisateur 30 (le topogramme binaire correspondant à la valeur représentative mentionnée plus haut). Dans les modes de réalisation évoqués plus haut où une liste des fonctionnalités souhaitées est jointe à la demande émise à l'étape E22, 3034549 12 les fonctionnalités mentionnées dans la liste générée par le premier terminal utilisateur 20 ou indiquées dans le topogramme binaire peuvent être par exemple un sous-ensemble de la liste des fonctionnalités souhaitées. Le premier terminal utilisateur 20 transmet ensuite au second terminal 5 utilisateur 30 la clé d'autorisation d'appairage temporaire TK, la première borne temporelle Ti, la seconde borne temporelle T2, son identifiant 11 et l'estampille temporelle TS (étape E24), ainsi qu'éventuellement le nombre aléatoire susmentionné et la liste (ou le topogramme binaire représentatif) des fonctionnalités à commander. 10 Le second terminal utilisateur 30 reçoit ces données et peut ainsi les mémoriser dans la mémoire 34 à l'étape E26. On remarque que l'estampille temporelle TS permet au second terminal utilisateur 30 de connaître le décalage entre sa propre horloge et l'horloge de l'unité électronique de commande 11, laquelle est utilisée comme référence comme déjà indiqué. 15 La clé d'autorisation d'appairage temporaire TK mémorisée dans la mémoire 34 du second terminal utilisateur 30 peut alors être utilisée pour apparier le second terminal utilisateur 30 et l'unité électronique de commande 11 afin que le second terminal utilisateur 30 obtienne une clé virtuelle VK de commande des fonctionnalités du véhicule 10, comme décrit à présent. 20 La figure 6 présente, sous forme de logigramme, un exemple de procédé d'appariement entre le second terminal utilisateur 30 et l'unité électronique de commande 11 du véhicule 10. Ce procédé est par exemple mis en oeuvre lorsque le second terminal utilisateur 30 est approché du véhicule 10 et qu'une liaison (ici de type Bluetooth) 25 s'établit entre le module de communication sans fil 16 du véhicule 10 et le module de communication sans fil 36 du second terminal utilisateur 30. Cette liaison peut être sécurisée, par exemple par chiffrement des données échangées. Le procédé de la figure 6 débute à l'étape E40 par l'émission, par le second terminal utilisateur 30, de la clé d'autorisation d'appairage temporaire TK, 30 de la première borne temporelle Ti, de la seconde borne temporelle T2, de l'identifiant 11 du premier terminal utilisateur 20 et de son identifiant 12 à destination de l'unité électronique de commande 11. Cette émission est par exemple initiée par une action de l'utilisateur sur l'interface utilisateur 31 du second terminal 30. Dans les cas évoqués ci-dessus où un nombre aléatoire et 3034549 13 une liste (ou un topogramme binaire représentatif) des fonctionnalités à commander sont utilisés, ces éléments sont également transmis à l'unité électronique de commande à l'étape E40. Le processeur 12 de l'unité électronique de commande 11 peut alors 5 calculer à l'étape E42 la clé TK' normalement associée aux bornes temporelles Ti, T2, à l'identifiant 11 (associé à la clé de délégation DK attribuée à l'étape E10 décrite ci-dessus) et à l'identifiant 12 du terminal utilisateur 30 ayant émis les données à l'étape E40. Lors de ce calcul, le processeur 12 utilise par exemple la clé racine MK mémorisée dans l'unité de mémorisation 14 : 10 TK' = GRIK(I1)(T1, T2, 11, 12). En variante, la clé de délégation DK peut être mémorisée dans l'unité de mémorisation 14 en association avec l'identifiant 11 (lors de l'étape E8 décrite plus haut) et le processeur 12 peut alors calculer la clé TK' en utilisant la valeur DK mémorisée : TK' = GDK(T1, T2, 11, 12). 15 Le processeur 12 de l'unité électronique de commande 11 peut ainsi vérifier à l'étape E44 que la clé d'autorisation d'appairage temporaire TK reçue du second terminal utilisateur 30 est bien égale à la clé TK' associée aux paramètres T1, T2, 11, 12. Si cette vérification n'est pas réalisée correctement, il est mis fin au 20 procédé d'appairage sans émission d'une clé virtuelle par l'unité électronique de commande. Si la validité de la clé d'autorisation d'appairage temporaire TK reçue est vérifiée à l'étape E44, le processeur 12 vérifie à l'étape E46 que l'instant courant t (donné par l'horloge de l'unité électronique de commande 11) est bien compris 25 entre les bornes temporelles Ti et T2, c'est-à-dire qu'on a bien : Ti REVENDICATIONS1. Procédé de chargement d'une clé virtuelle (VK) dans un terminal utilisateur (30), comprenant les étapes suivantes : - réception (E26), par le terminal utilisateur (30), d'une donnée d'appariement (TK) en provenance d'un autre terminal utilisateur (20) ; - transmission (E40) d'une donnée dépendant de la donnée d'appariement (TK) à une unité électronique (11) d'un véhicule (10) ; - réception (E52) par le terminal utilisateur (30), en provenance de l'unité 10 électronique (11), d'une clé virtuelle (VK) de commande d'au moins une fonctionnalité du véhicule (10). 2. Procédé selon la revendication 1, comprenant une étape de vérification (E44), par l'unité électronique, de la correspondance entre la donnée 15 transmise (TK) et une donnée correspondante déterminée par l'unité électronique (11), dans lequel la clé virtuelle (VK) est transmise seulement en cas de vérification positive. 3. Procédé selon la revendication 1 ou 2, comprenant les étapes 20 suivantes : - réception (E62), par le terminal utilisateur (30), d'un défi (D) en provenance de l'unité électronique (11) ; - détermination (E62), par le terminal utilisateur (30), d'une donnée d'authentification (R) en fonction de la clé virtuelle (VK) et du défi reçu (D) ; 25 - émission (E64), par le terminal utilisateur (30) et à destination de l'unité électronique (11), de la donnée d'authentification (R). 4. Procédé selon la revendication 3, comprenant les étapes suivantes : - vérification (E66), par l'unité électronique (11), de la donnée 30 d'authentification (R) reçue du terminal utilisateur (30) ; - commande, par l'unité électronique (11), de la fonctionnalité du véhicule (10) en cas de vérification positive. 5. Procédé selon l'une des revendications 1 à 4, comprenant les étapes 3034549 18 suivantes : - transmission (E10) d'une donnée de délégation (DK) de l'unité électronique (11) à l'autre terminal utilisateur (20) ; - détermination (E24), par l'autre terminal utilisateur (20), de la donnée 5 d'appariement (TK) en fonction de la donnée de délégation (DK). 6. Procédé selon la revendication 5, dans lequel la donnée d'appariement (TK) est déterminée en fonction de la donnée de délégation (DK) et d'au moins une borne temporelle (Ti ; T2). 7. Procédé selon la revendication 6, dans lequel l'unité électronique (11) transmet ou non la clé virtuelle (VK) au terminal utilisateur (30) en fonction du résultat d'une comparaison entre un instant courant et la borne temporelle (Ti ; T2). 8. Procédé selon la revendication 6 ou 7, la revendication 5 étant prise dans la dépendance de la revendication 4, dans lequel la commande de la fonctionnalité est réalisée ou non en fonction du résultat d'une comparaison entre un instant courant et la borne temporelle (Ti ; T2). 9. Procédé selon l'une des revendications 1 à 8, dans lequel la transmission de la donnée dépendant de la donnée d'appariement (TK) et la réception de la clé virtuelle (VK) sont réalisées via une liaison sans fil établie entre le terminal utilisateur (30) et le véhicule (10). 25 10. Terminal utilisateur (30) comprenant : - un module de réception d'une donnée d'appariement (TK) en provenance d'un autre terminal utilisateur (20) ; - un module de transmission d'une donnée dépendant de la donnée 30 d'appariement (TK) à une unité électronique (11) d'un véhicule (10) ; - un module de réception, en provenance de l'unité électronique (11), d'une clé virtuelle (VK) de commande d'au moins une fonctionnalité du véhicule (10). 15 20