Brevet FR3038189A1 — publié le 20161230

Procédé de détection d'attaques dans un réseau de communication par diffusion comprenant des équipements électroniques et/ou informatiques, et réseau correspondant La présente invention concerne un procédé de détection d'attaques dans un réseau de communication par diffusion comprenant des équipements électroniques et/ou informatiques. L'invention trouve notamment une application aux équipements embarqués dans un véhicule, tel qu'une automobile, et reliés en réseau. De nos jours, les véhicules sont souvent équipés d'un certain nombre d'appareils ou d'équipements électroniques et/ou informatiques, dont la fonction peut être de contrôler des éléments tels que le moteur, la transmission, les dispositifs de sûreté de fonctionnement, etc... Ces équipements, généralement associés à des contrôleurs électroniques, sont interconnectés par un support ou bus de communication pour former un réseau de communication. Ces contrôleurs communiquent entre eux en échangeant par diffusion des informations par paquet, sous forme de trames d'information selon un protocole de communication défini. Parmi les types de réseau utilisés en particulier dans l'industrie automobile, les réseaux de type « CAN » (« Controller Area Network »), avec protocole et bus de communication du même nom, sont certainement les plus répandus. D'autres systèmes de communication par diffusion, tel que « FlexRay », sont également utilisés. Compte tenu de l'évolution des technologies, les véhicules sont de plus en plus vulnérables aux attaques visant par exemple à faire transiter sur le bus de communication une information en se faisant passer pour l'un des équipements du réseau. C'est pourquoi la question de la sécurisation des communications par diffusion dans un tel réseau est devenue primordiale. Les solutions connues visant à sécuriser les communications transitant par trames sur un bus de communication sont basées l'authentification des contrôleurs en utilisant des certificats électroniques et des clés publiques associées, sur l'ajout de données cryptographiques dans chaque trame, et sur l'utilisation de pare-feu, tel que présenté dans la publication « Security in automotive bus systems », M Wolf, A weimerskirch and C Paar, Proceedings of the Workshop on Embedded Security in Cars (escar)'04. Des exemples sont également donnés dans les publications suivantes, dans lesquelles il est notamment question de minimiser la complexité des calculs et le volume des données cryptographiques : 3038189 2 « Efficient protocol for secure broadcast in controller area networks », B Groza and S Murvay, IEEE Transcations on industrial informatics, vol 9, No 4, November 2013 ; « Libra-can: a lightweight broadcast authentication protocol for controller area 5 networks », B Groza, S Murvay, A Van Herrewege, I Verbauwhede, Cryptology and Network Security, 185-200, January 2012 ; « CANAuth-a simple, backward compatible broadcast authentication protocol for CAN bus », A Van Herrewege, D Singelee, I Verbauwhede , ECRYPT Workshop on Lightweight Cryptography 2011,2011. 10 Ces exemples s'appuient sur la publication « Efficient Authentication and Signing of Multicast Streams over Lossy Channels », A. Perrig, R. Canetti, J. D. Tygar, and D. X. Song, IEEE Symposium on Security and Privacy, 2000, pp. 56-73, dans laquelle est élaborée la base théorique de l'authentification des messages dans un environnement de communication par diffusion (« broadcast » en anglais). 15 Les solutions connues de sécurisation des communications sur un bus de communication par diffusion en environnement embarqué dans un véhicule, quels que soient le système et le protocole de communication concernés, sont donc basées sur des approches classiques de sécurisation des communications qui sont souvent coûteuses et complexes. 20 Un des buts de l'invention est de proposer un procédé de communication sécurisée simple et fiable, qui puisse être aisément mis en oeuvre dans les systèmes de communication connus. Ainsi, l'invention a pour objet, selon un premier aspect, un procédé de détection d'attaques dans un réseau de communication par diffusion comprenant des équipements 25 électroniques et/ou informatiques, ledit réseau comprenant des noeuds émetteurs et récepteurs associés auxdits équipements, un bus de communication par diffusion apte à transporter des trames d'information identifiées chacune par un identifiant unique et regroupées en domaines, le bus de communication reliant d'une part, au moins un noeud émetteur responsable de l'émission et apte à émettre, des trames d'un ou plusieurs 30 domaines et, d'autre part, au moins un noeud récepteur apte à recevoir des trames d'un ou plusieurs domaines. Lors de la réception par un noeud récepteur donné d'une trame donnée d'un domaine donné, ledit noeud récepteur donné vérifie s'il a reçu préalablement une trame d'activation de domaine correspondant au domaine donné, de la part du noeud émetteur 35 responsable du domaine donné, et : 3038189 3 s'il a reçu préalablement ladite trame d'activation de domaine, accepte ladite trame donnée, s'il n'a pas reçu préalablement ladite trame d'activation de domaine, applique à ladite trame donnée un filtrage. 5 Suivant certains modes de réalisation, le dispositif comprend en outre une ou plusieurs des caractéristiques suivantes, prise(s) isolément ou suivant toutes les combinaisons techniquement possibles : - le filtrage consiste dans le rejet de ladite trame donnée par le noeud récepteur donné ; 10 - le filtrage consiste dans le rejet de ladite trame donnée en fonction d'un ou plusieurs critères de rejet déterminés ; - un noeud émetteur responsable d'un domaine émet la trame d'activation de domaine correspondant audit domaine lors de son initialisation ; - un noeud émetteur responsable d'un domaine émet la trame d'activation de 15 domaine correspondant audit domaine par intervalles ; - un noeud émetteur responsable d'un domaine émet la trame d'activation de domaine correspondant audit domaine lorsqu'il reçoit une trame de sollicitation d'activation de domaine correspondant audit domaine donné et émise par un noeud récepteur ; 20 - une trame d'un domaine donné non émise par le noeud émetteur responsable dudit domaine donné, est appelée une trame illégitime, un noeud émetteur responsable d'un domaine donné scrute le bus de communication de manière continue, en sorte de détecter la présence sur ledit bus de communication d'une trame illégitime dudit domaine donné, et ledit noeud émetteur émet une trame de violation de domaine correspondant 25 audit domaine donné lorsqu'il détecte la présence d'une trame illégitime dudit domaine donné ; - après avoir émis la trame de violation de domaine, le noeud émetteur responsable du domaine donné bascule dans un mode vigilance dans lequel l'émission de trames est interrompue ; 30 - lorsqu'un noeud récepteur reçoit une trame de violation de domaine correspondant à un domaine donné, il bascule dans un mode vigilance dans lequel la réception et le traitement de trames sont interrompus ; - le noeud récepteur bascule dans le mode vigilance s'il a précédemment reçu une trame appartenant audit domaine donné ; 35 - lorsqu'il détecte la présence d'une trame illégitime du domaine dont il est responsable, le noeud émetteur émet un signal d'erreur ; 3038189 4 L'invention a également pour objet, selon un deuxième aspect, un réseau d'équipements électroniques et/ou informatiques comprenant des noeuds émetteurs et récepteurs associés auxdits équipements, un bus de communication par diffusion apte à transporter des trames d'information identifiées chacune par un identifiant unique et 5 regroupées en domaines, le bus de communication reliant d'une part au moins un noeud émetteur responsable de l'émission, et apte à émettre, des trames d'un ou plusieurs domaines, et d'autre part au moins un noeud récepteur apte à recevoir des trames d'un ou plusieurs domaines. Lesdits noeuds émetteurs et récepteurs sont aptes à mettre en oeuvre le procédé 10 de communication sécurisée tel que présenté ci-dessus. Dans un mode préféré de réalisation, les équipements électroniques et/ou informatiques et le bus de communication sont destinés à être embarqués dans un moyen de transport, tel qu'une automobile. Ainsi, le procédé de l'invention permet d'authentifier de manière simple une trame 15 diffusée sur le bus de communication, et de détecter les attaques formées par la mise en circulation de trame par un émetteur non autorisé. Ce procédé peut être mis en oeuvre au niveau d'une partie des noeuds du réseau seulement, graduellement noeud par noeud, pour assurer une compatibilité avec des noeuds non sécurisés. 20 Les caractéristiques et avantages de l'invention apparaitront à la lecture de la description qui va suivre, donnée uniquement à titre d'exemple, et non limitative, en référence à la figure annexée qui représente schématiquement un exemple de réseau de communication selon l'invention. Tel que représenté dans l'exemple de la figure annexée, dans un réseau de 25 communication, notamment un réseau de communication embarqué dans un véhicule automobile, différents équipements électroniques et/ou informatiques communiquent via une ligne de communication 4 appelée bus de communication par diffusion. Ces équipements sont connectés sur le bus de communication 4 via des interfaces électroniques 1, 2, 3 correspondant à des noeuds 1, 2, 3 capables de dialoguer sur le bus 30 4, c'est-à-dire d'émettre et/ou de recevoir des trames d'information et de traiter ces informations. On parlera indifféremment d'une part de noeuds producteurs d'information ou de noeuds émetteurs d'information, et d'autre part de noeuds consommateurs d'information ou noeuds récepteurs d'information. 3038189 5 Chaque trame Fm circulant sur le bus 4 comprend de manière classique un en- tête, des données, et une fin de trame, et est identifiée par un identifiant ID unique inclus dans l'en-tête. Chaque noeud est apte à recevoir une trame Fm, mais procède à un filtrage en 5 fonction de l'identifiant unique ID de cette trame Fm en accédant à son en-tête. Les trames Fm sont regroupées en domaines. Chaque domaine est placé sous la responsabilité d'un noeud. Un noeud responsable d'un domaine est un noeud émetteur autorisé à diffuser les trames faisant partie dudit domaine. Dans notre exemple, on considère que le domaine A regroupe les trames Fm dont 10 les identifiant ID respectifs sont égaux à 10, 11, 12, 13, 14, soit les trames F10, F11, F12, F13, F14, et que le domaine B regroupe les trames Fm dont les identifiant ID respectifs sont égaux à 15, 16, 17, 18, soit les trames F15, F16, F17, F18. Toujours dans cet exemple, on considère que le noeud 1 est responsable du domaine A, donc chargé d'émettre et de diffuser les trames F10, F11, F12, F13, F14, et que 15 le noeud 3 est responsable du domaine B, donc chargé d'émettre et de diffuser les trames F15, F16, F17, F18. Pour chaque domaine A, B, une trame de sécurité supplémentaire est définie, d'identifiant AD, appelée trame d'activation de domaine FAD. Ainsi, dans notre exemple, la trame d'identifiant 1, donc la trame F1, est la trame d'activation du domaine A, et la trame 20 d'identifiant 4, donc la trame F4, est la trame d'activation du domaine B. Ces trames d'activation de domaine FAD contiennent uniquement des données cryptographiques en tant que données utiles, dans le but notamment de garantir l'authenticité de ces trames et d'éliminer les attaques par re-jeu de trame. Dans ce but, on peut utiliser des codes d'authentification de message ou des signatures numériques, 25 combinés avec l'utilisation d'un NONCE (nombre arbitraire à usage unique). Le NONCE peut être un horodatage, un nombre aléatoire, une séquence de nombres, un compteur, ou une combinaison de ceux-ci. Les identifiants AD de ces trames d'activation de domaine FAD, ainsi que les données cryptographiques utiles, sont partagés, par diffusion sur le bus de 30 communication, avec les noeuds récepteurs ou consommateurs. Dans le cas de l'utilisation d'un bus de communication 4 et d'un protocole de communication sur ce bus 4, qui utilisent les identifiants uniques ID des trames Fm pour hiérarchiser ces trames Fm, il est préférable d'attribuer à une trame d'activation de domaine FAD un identifiant AD de type dominant (prioritaire) dans la hiérarchie de 35 l'ensemble des trames Fm. Le rôle et l'utilisation de ces trames d'activation de domaine FAD sont les suivants. 3038189 6 Quand un noeud 1, 2, 3 reçoit une trame Fm d'identifiant ID faisant partie d'un certain domaine A, B, il n'accepte cette trame Fm que si son identifiant ID appartient à la liste d'identifiants d'un domaine pour lequel la présence du noeud responsable du domaine en question a été confirmée ou authentifiée par l'émission de la trame 5 d'activation de domaine FAD correspondante. Par conséquent, le noeud récepteur 1, 2, 3 vérifie, lors de la réception d'une trame Fm d'identifiant ID, s'il a préalablement reçu la trame d'activation de domaine FAD correspondant au domaine A, B auquel la trame Fm appartient et émise par le noeud responsable du domaine A, B en question. 10 Si la vérification est positive, le noeud récepteur 1, 2, 3 accepte la trame Fm. Sinon, il applique à cette trame Fm un filtrage. Ce filtrage peut consister dans le rejet des trames Fm appartenant au domaine A, B pour lequel la trame d'activation de domaine FAD n'a pas été reçue. Ainsi, tant que la trame d'activation de domaine FAD du domaine A, B en question n'a pas été reçue par le noeud récepteur 1, 2, 3, ce dernier considère le domaine 15 A, B en question comme non activé ou désactivé, et ignore toute trame Fm appartenant à ce domaine A, B. Alternativement, le filtrage peut consister dans le rejet des trames Fm appartenant au domaine A, B pour lequel la trame d'activation de domaine FAD n'a pas été reçue, en fonction d'un ou plusieurs critères déterminés. Ainsi, tant que la trame d'activation de 20 domaine FAD du domaine A, B en question n'a pas été reçue par le noeud récepteur 1, 2, 3, ce dernier considère ce domaine A, B comme non activé ou désactivé pour certaines des trames Fm appartenant à ce dernier seulement, et ignore ces trames Fm appartenant à ce domaine A, B en fonction du ou des critères déterminés. Dans cette alternative, un des critères utilisés par le noeud récepteur 1, 2, 3 pour 25 filtrer les trames Fm appartenant au domaine A, B pour lequel la trame d'activation de domaine FAD n'a pas été reçue, peut être lié à la criticité des trames Fm (criticité de l'information transportée par les trames FID) et/ou à la criticité de l'équipement électronique ou informatique associé au noeud récepteur 1, 2, 3. A titre d'exemple, dans un véhicule automobile, certains équipements de sécurité, 30 comme le système de freinage, peuvent être considérés comme des équipements critiques, pour lesquels il ne faut courir aucun risque. Ainsi, dans un tel exemple, lorsqu'une trame Fm appartenant à un domaine A, B déterminé et transportant une information relative au système de freinage est reçue par un noeud récepteur 1, 2, 3 alors que celui-ci n'a pas reçu la trame d'activation de domaine FAD correspondant au domaine 35 A, B déterminé, elle sera rejetée, ou ignorée, par le noeud récepteur 1, 2, 3. A l'inverse, lorsqu'une trame Fm appartenant à un domaine A, B déterminé et transportant une 3038189 7 information relative à un système non critique (par exemple : éclairage du tableau de bord) est reçue par un noeud récepteur 1, 2, 3 alors que celui-ci n'a pas reçu la trame d'activation de domaine FAD correspondant au domaine A, B déterminé, elle sera acceptée par le noeud récepteur 1, 2, 3. 5 Ainsi, lorsque la présence du noeud authentique, producteur responsable du domaine en question, est confirmée grâce à la trame d'activation de domaine FAD correspondante, le noeud producteur responsable du domaine en question peut diffuser les trames applicatives Fm de ce domaine sans sécurisation supplémentaire. On peut prévoir que chaque noeud responsable de domaine 1, 3 émet et diffuse la 10 trame d'activation de domaine correspondante Fm lors de son initialisation. On peut prévoir également que les noeuds responsables de domaine 1, 3 réémettent et rediffusent les trames d'activation de domaines respectifs Fm périodiquement, à intervalles réguliers ou non. Par ailleurs, on peut prévoir, pour chaque domaine A, B, une trame de sécurité 15 supplémentaire, d'identifiant SAD, appelée trame de sollicitation d'activation de domaine FsAD. Ainsi, dans notre exemple, la trame d'identifiant 3, donc la trame F3, est la trame de sollicitation d'activation du domaine A, et la trame d'identifiant 6, donc la trame F6, est la trame de sollicitation d'activation du domaine B. Comme pour les trames d'activation de domaine FAD, ces trames de sollicitation 20 d'activation de domaine FsAD contiennent uniquement des données cryptographiques en tant que données utiles, les identifiants SAD de ces trames de sollicitation d'activation de domaine FsAD, ainsi que les données cryptographiques utiles, étant partagés avec les noeuds récepteurs ou consommateurs. Le rôle et l'utilisation de ces trames de sollicitation d'activation de domaine FsAD 25 sont les suivants. Un noeud récepteur, tel que le noeud 2 par exemple, peut émettre la trame de sollicitation d'activation de domaine F3 correspondant au domaine A sous la responsabilité du noeud 1, ou la trame de sollicitation d'activation de domaine F6 correspondant au domaine B sous la responsabilité du noeud 3. 30 En réponse, le noeud 1 responsable du domaine A, ou le noeud 3 responsable du domaine B, émet alors la trame d'activation de domaine FAD correspondante, c'est-à-dire la trame d'activation de domaine F1 dans le cas du domaine A ou la trame d'activation de domaine F4 dans le cas du domaine B. Il s'agit donc dans ce cas d'une diffusion d'une trame d'activation de domaine FAD 35 à la demande, par opposition à une diffusion automatique à l'initialisation ou par période tel qu'expliqué plus haut. 3038189 8 Un noeud récepteur 1, 2, 3 peut également émettre la trame de sollicitation d'activation de domaine FsAD correspondant au domaine A, B lorsqu'il reçoit une trame Fm de ce domaine A, B alors que celui-ci n'est pas activé, c'est-à-dire que la trame d'activation de domaine FAD correspondante n'a pas été reçue par le noeud récepteur 1, 2, 5 3. En réponse, le noeud responsable du domaine concerné émet alors la trame d'activation de domaine FAD correspondante. On peut prévoir aussi, pour chaque domaine A, B, un troisième type de trame de sécurité supplémentaire, d'identifiant VD, appelée trame de violation de domaine FVD. 10 Ainsi, dans notre exemple, la trame d'identifiant 2, donc la trame F2, est la trame de violation du domaine A, et la trame d'identifiant 5, donc la trame F5, est la trame de violation du domaine B. Comme pour les trames d'activation de domaine FAD et les trames de sollicitation d'activation de domaine FsAD, ces trames de violation de domaine FVD contiennent 15 uniquement des données cryptographiques en tant que données utiles, les identifiants VD de ces trames de violation de domaine FvD, ainsi que les données cryptographiques utiles, étant partagés avec les noeuds récepteurs ou consommateurs. Le rôle et l'utilisation de ces trames de violation de domaine FVD sont les suivants. Les noeuds producteurs 1, 3 responsables de domaine A, B scrutent de manière 20 continue les trames Fm circulant sur le bus de communication 4, afin de détecter la présence éventuelle sur ce bus 4 de trames Fm dont l'identifiant ID appartient à la liste d'identifiants dont ils sont responsables et qu'ils n'auraient pas eux-mêmes émis, que l'on appelle trames illégitimes Fm. Si une telle trame illégitime est détectée, alors le noeud responsable émet la trame 25 de violation de domaine FVD correspondante. Une des conséquences de l'émission par le noeud responsable d'une trame de violation de domaine FVD sera de faire basculer tous les noeuds récepteurs, ou noeuds consommateurs, dans un mode de vigilance dans lequel, par exemple, un noeud récepteur n'accepte aucune trame du noeud émetteur tant que ce dernier n'a pas réémis 30 une trame d'activation de domaine. Eventuellement, ce basculement en mode vigilance ne s'applique qu'aux noeuds récepteurs concernés, c'est-à-dire ceux ayant précédemment reçu une trame FVD d'identifiant ID appartenant à la liste des identifiants du domaine concerné par la trame de violation de domaine FVD. Une autre des conséquences de l'émission par le noeud responsable d'une trame 35 de violation de domaine FVD sera de faire basculer ce noeud responsable dans le mode vigilance. 3038189 9 Ainsi, dans l'exemple représenté dans la figure annexée, le noeud 1 scrute la présence sur le bus 4 de trames illégitimes F10, F11, F12, F13, F14, qu'il n'a pas lui-même diffusées, par exemple qui ont été diffusées par un intrus 5 dans le réseau. De même, le noeud 3 scrute la présence sur le bus 4 de trames illégitimes F15, F16, F17, F18 5 éventuellement diffusées par l'intrus 5. On peut prévoir l'utilisation de compteurs de violation et de temporisateurs de violation, pour éviter les fausses détections en distinguant les défauts permanents des défauts temporaires. Ainsi, les noeuds 1, 2, 3 implémentent la logique présentée ci-dessus d'utilisation, 10 donc l'émission, la diffusion, la réception et la lecture, des trames de sécurité de type trame d'activation de domaine FAD, trame de sollicitation de domaine FsAD et trame de violation de domaine FvD afin d'être aptes à mettre en oeuvre le procédé de sécurisation des communications circulant sur le bus 4 du réseau. Le réseau peut être partiellement sécurisé, c'est-à-dire comprendre un certain 15 nombre de noeud aptes à mettre en oeuvre le procédé de sécurisation des communications, et d'autres noeuds non sécurisés. Dans ce cas, on peut utiliser un domaine libre pour regrouper les trames Fm pouvant être consommées sans vérification. Ainsi, les noeuds qui ne sont pas aptes à mettre en oeuvre le procédé de sécurisation des communications peuvent toujours 20 consommer les trames Fm du domaine libre sans restriction. Des exemples de séquences de communication dans le réseau de communication correspondant à la figure annexée vont maintenant être présentés, en référence aux tableaux 1, 2 et 3 qui suivent. On rappelle que, selon l'exemple considéré : 25 le domaine A regroupe les trames F10, F11, F12, F13, F14 ; le domaine B regroupe les trames F15, F16, F17, F18 ; le noeud 1 est responsable du domaine A ; le noeud 3 est responsable du domaine B ; les trames d'activation de domaine FAD, de violation de domaine FvD, et de 30 sollicitation d'activation de domaine FsAD, pour le domaine A sont respectivement les trames F1, F2, F3 ; les trames d'activation de domaine FAD, de violation de domaine FvD, et de sollicitation d'activation de domaine FsAD, pour le domaine B sont respectivement les trames F4, F5, F6. 35 Le tableau 1 montre plus précisément un exemple de séquence sans violation de domaine, selon le point de vue du noeud 2. 3038189 10 Identifiant de trame Action de la part du noeud 2 circulant sur le bus 4 Au démarrage : les domaines A et B sont considérées comme non-actifs, et tous les noeuds du réseau démarrent dans le mode nominal 10 Trame rejetée 1 Domaine A activé 15 Trame rejetée 10 Trame acceptée 4 Domaine B activé 11 Trame acceptée 15 Trame acceptée Tableau 1 5 Ainsi, selon cet exemple de séquence, le noeud 2 reçoit tout d'abord la trame F10 appartenant au domaine A. Comme ce domaine A n'a pas été activé, la trame F10 est rejetée. Ensuite, le noeud 2 reçoit la trame F1 d'activation du domaine A, ce qui a pour effet d'activer le domaine A du point de vue du noeud 2. 10 Le noeud 2 reçoit alors la trame F15, qui fait partie du domaine B qui n'a pas encore été activé. Elle est donc rejetée. Sur nouvelle diffusion de la trame F10 précédemment rejetée par le noeud 2, celui- ci accepte dans un deuxième temps cette trame F10 puisque le domaine A a été activé entre temps. 15 Puis, la séquence se poursuit normalement, avec réceptions successives des trames F11 et F15, acceptées par le noeud 2 puisqu'elles appartiennent respectivement aux domaines A et B qui ont été activés. Un autre exemple de séquence de communication dans le réseau de communication correspondant à la figure annexée va maintenant être présenté, en 20 référence au tableau 2. Le tableau 2 montre plus précisément un exemple de séquence avec violation de domaine, selon le point de vue des noeuds 1 et 2. 25 3038189 11 Identifiant de trame Action de la part du noeud 1 Action de la part du noeud 2 circulant sur le bus 4 Au démarrage : les domaines A et B sont considérés comme non-actifs, et tous les noeuds du réseau démarrent dans le mode nominal 1 Emission de la trame Domaine A activé d'activation de domaine F1 10 Emission de la trame Trame acceptée applicative Flo 11 Emission de la trame Trame acceptée applicative F11 10 (émis par l'intrus 5 Détection d'une violation du domaine A ; basculement dans le mode vigilance Trame acceptée (trame de violation de domaine non encore reçue) sur la figure annexée) 2 Emission de la trame de Détection d'une attaque concernant le domaine A ; basculement dans le mode vigilance violation de domaine F2 Tableau 2 Ainsi, selon cet exemple de séquence, le noeud 1 émet tout d'abord trame F1 5 d'activation du domaine A, qui est reçue par le noeud 2, ce qui a pour effet d'activer le domaine A du point de vue du noeud 2. Le noeud 1 émet alors successivement les trames applicatives F10 et F11 du domaine A, reçues successivement par le noeud 2 qui les accepte puisque le domaine A a été précédemment activé. 10 Ensuite, la trame F10 est émise par l'intrus 5 représenté sur la figure annexée. Il s'agit donc d'une trame illégitime, détectée par le noeud 1 qui considère alors qu'il y a violation du domaine A et qui bascule dans le mode vigilance. De son côté, le noeud 2 accepte à ce stade la trame illégitime F10 car il n'a pas encore reçu l'information sur la violation du domaine A. 15 A l'étape suivante de la séquence, le noeud 1 émet la trame F2 de violation du domaine A. Le noeud 2 reçoit alors cette trame F2 de violation du domaine A et comprend qu'une attaque est détectée concernant le domaine A. Il bascule donc dans le mode vigilance. Un autre exemple de séquence de communication dans le réseau de 20 communication correspondant à la figure annexée va maintenant être présenté, en référence au tableau 3. 3038189 12 Le tableau 3 montre la même séquence que celle présentée dans le tableau 2, selon le point de vue des noeuds 1 et 2, mais dans le cas d'un bus de communication 4 et d'un protocole de communication permettant l'émission de signaux d'erreur. Identifiant de trame Action de la part du noeud 1 Action de la part du noeud 2 circulant sur le bus 4 Au démarrage : les domaines A et B sont considérés comme non-actifs, et tous les noeuds du réseau démarrent dans le mode nominal 1 Emission de la trame Domaine A activé d'activation de domaine F1 10 Emission de la trame Trame acceptée applicative Flo 11 Emission de la trame Trame acceptée applicative F11 10 (émis par l'intrus 5 Détection d'une violation du domaine A ; basculement dans le mode vigilance , sur la figure annexée) Réception de la trame interrompue après réception du signal d'erreur Emission d'un signal d'erreur pour empêcher la réception de la trame illégitime 2 Emission de la trame de violation de domaine F2 Détection d'une attaque concernant le domaine A ; basculement dans le mode vigilance 5 Tableau 3 Ainsi, dans cet exemple, les explications sur la séquence sont identiques à celles concernant la séquence du tableau 2, à l'exception de la gestion de l'émission de la trame 10 illégitime Fm par l'intrus 5 représenté sur la figure annexée. En effet, dans cet exemple, l'émission de cette trame illégitime F10 se traduit, du point de vue du noeud 1, non seulement par la détection d'une violation du domaine A et le basculement de ce noeud 1 dans le mode vigilance, mais également par l'émission d'un signal d'erreur ayant pour but d'empêcher la réception par les noeuds récepteurs du 15 réseau de cette trame illégitime Flo. Aussi, contrairement à ce qui est décrit plus haut en référence au tableau 2, dans ce cas, le noeud 2 n'accepte pas la trame illégitime F10 avant de détecter la violation puis de passer dans le mode vigilance, mais interrompt la réception de cette trame illégitime Fm dès la réception du signal d'erreur. Par exemple, dans les réseaux CAN, la trame 3038189 13 d'erreur permet d'écraser la trame qui est en cours d'émission. En effet, la trame d'erreur est prioritaire par rapport à toutes autres trames. On comprend donc l'intérêt d'implémenter ce mécanisme de sécurité supplémentaire parallèle. En effet, dans le premier cas (tableau 2), la détection de la 5 violation du domaine n'est active du point de vue du noeud 2 qu'après la réception complète de la trame illégitime F10 puisqu'il ne peut pas recevoir la trame de violation de domaine F2 tant qu'il n'a pas fini la réception de la trame illégitime F10. Dans le deuxième cas (tableau 3), le signal d'erreur émis immédiatement par le noeud 1 dès la détection de la violation et avant l'émission de la trame de violation de domaine F2, permet au noeud 2 10 d'être averti de l'attaque au plus tôt, et d'interrompre la réception de la trame illégitime F10. La présente description est donnée à titre d'exemple et n'est pas limitative de l'invention. En particulier, l'invention ne se limite pas à un type de réseau, de bus, et de protocole de communication particuliers. Si elle trouve une application particulière aux 15 réseaux, bus et protocoles CAN, notamment dans le domaine automobile, elle s'étend à d'autres types de bus de communication tel que par exemple « FlexRay ». Par ailleurs, la topologie simple du réseau de communication présenté à la figure annexée n'est qu'un exemple, l'invention ne dépendant pas de la topologie du réseau qui peut être plus ou moins complexe. 20 REVENDICATIONS1.- Procédé de détection d'attaques dans un réseau de communication par diffusion comprenant des équipements électroniques et/ou informatiques, ledit réseau comprenant des noeuds émetteurs et récepteurs (1 à 3) associés auxdits équipements, un bus de communication (4) par diffusion apte à transporter des trames (FID) d'information identifiées chacune par un identifiant unique (ID) et regroupées en domaines (A, B), le bus de communication (4) reliant d'une part, au moins un noeud émetteur (1, 3) responsable de l'émission et apte à émettre, des trames (FID) d'un ou plusieurs domaines (A, B) et, d'autre part, au moins un noeud récepteur (1, 2, 3) apte à recevoir des trames (FID) d'un ou plusieurs domaines, caractérisé en ce que, lors de la réception par un noeud récepteur (1, 2, 3) donné d'une trame (FID) donnée d'un domaine (A, B) donné, ledit noeud récepteur (1, 2, 3) donné vérifie s'il a reçu préalablement une trame d'activation de domaine (FAD) correspondant au domaine (A, B) donné, de la part du noeud émetteur (1, 3) responsable du domaine (A, B) donné, et : s'il a reçu préalablement ladite trame d'activation de domaine (FAD), accepte ladite trame (FID) donnée, s'il n'a pas reçu préalablement ladite trame d'activation de domaine (FAD), applique à ladite trame (FID) donnée un filtrage. 2.- Procédé selon la revendication 1, caractérisé en ce que le filtrage consiste dans le rejet de ladite trame (FID) donnée par le noeud récepteur (1, 2, 3) donné. 3.- Procédé selon la revendication 1, caractérisé en ce que le filtrage consiste dans le rejet de ladite trame (FID) donnée en fonction d'un ou plusieurs critères de rejet déterminés. 4.- Procédé selon l'une quelconque des revendications 1 à 3, caractérisé en ce qu'un noeud émetteur (1, 3) responsable d'un domaine (A, B) émet la trame d'activation de domaine (FAD) correspondant audit domaine (A, B) lors de son initialisation. 5.- Procédé selon la revendication 3, caractérisé en ce qu'un noeud émetteur (1, 3) responsable d'un domaine (A, B) émet la trame d'activation de domaine (FAD) correspondant audit domaine (A, B) par intervalles. 3038189 15 6.- Procédé selon l'une quelconque des revendications 1 à 5, caractérisé en ce qu'un noeud émetteur (1, 3) responsable d'un domaine (A, B) émet la trame d'activation de domaine (FAD) correspondant audit domaine (A, B) lorsqu'il reçoit une trame de sollicitation d'activation de domaine (FSAD) correspondant audit domaine (A, B) donné et 5 émise par un noeud récepteur (1, 2, 3). 7.- Procédé selon l'une quelconque des revendications 1 à 6, dans lequel une trame (FID) d'un domaine (A, B) donné non émise par le noeud émetteur (1, 3) responsable dudit domaine (A, B) donné, est appelée une trame (FID) illégitime, 10 caractérisé en ce qu'un noeud émetteur (1, 3) responsable d'un domaine (A, B) donné scrute le bus de communication (4) de manière continue, en sorte de détecter la présence sur ledit bus de communication (4) d'une trame (FID) illégitime dudit domaine (A, B) donné, et en ce que ledit noeud émetteur (1, 3) émet une trame de violation de domaine (FvD) correspondant audit domaine (A, B) donné lorsqu'il détecte la présence d'une trame (FID) 15 illégitime dudit domaine (A, B) donné. 8.- Procédé selon la revendication 7, caractérisé en ce qu'après avoir émis la trame de violation de domaine (FvD), le noeud émetteur (1, 3) responsable du domaine (A, B) donné bascule dans un mode vigilance dans lequel l'émission de trames est 20 interrompue. 9.- Procédé selon l'une quelconque des revendications 7 et 8, caractérisé en ce que lorsqu'un noeud récepteur (1, 2, 3) reçoit une trame de violation de domaine (FvD) correspondant à un domaine (A, B) donné, il bascule dans un mode vigilance dans lequel 25 la réception et le traitement de trames sont interrompus. 10.- Procédé selon la revendication 9, caractérisé en ce que le noeud récepteur (1, 2, 3) bascule dans le mode vigilance s'il a précédemment reçu une trame (FID) appartenant audit domaine (A, B) donné. 30 11.- Procédé selon l'une quelconque des revendications 7 à 10, caractérisé en ce que lorsqu'il détecte la présence d'une trame (FID) illégitime du domaine (A, B) dont il est responsable, le noeud émetteur (1, 3) émet un signal d'erreur. 35 3038189 16 12.- Réseau d'équipements électroniques et/ou informatiques comprenant des noeuds émetteurs et récepteurs (1 à 3) associés auxdits équipements, un bus de communication (4) par diffusion apte à transporter des trames (FID) d'information identifiées chacune par un identifiant unique (ID) et regroupées en domaines (A, B), le 5 bus de communication (4) reliant d'une part au moins un noeud émetteur (1, 3) responsable de l'émission, et apte à émettre, des trames (FID) d'un ou plusieurs domaines (A, B), et d'autre part au moins un noeud récepteur (1, 2, 3) apte à recevoir des trames (FID) d'un ou plusieurs domaines, caractérisé en ce que lesdits noeuds émetteurs et récepteurs (NPI, NC;) sont aptes à 10 mettre en oeuvre le procédé de communication sécurisée selon l'une quelconque des revendications 1 à 11. 13.- Réseau selon la revendication 12, caractérisé en ce que les équipements électroniques et/ou informatiques et le bus de communication (4) sont destinés à être 15 embarqués dans un moyen de transport, tel qu'une automobile.