Brevet FR3058290A1 — publié le 20180504

Equipement avionique avec signature à usage unique d'un message émis, système avionique, procédé de transmission et programme d'ordinateur associés La présente invention concerne un équipement avionique, destiné à être embarqué à bord d'un aéronef. L'équipement avionique comprend un module de calcul configuré pour calculer une signature associée à un champ de données, la signature calculée étant fonction du champ de données ; et un module d'émission configuré pour émettre un message à destination d'un autre équipement avionique embarqué à bord de l'aéronef, le message incluant le champ de données et la signature calculée associée. L'invention concerne également un système avionique comprenant au moins deux équipements avioniques reliés entre eux par une liaison de communication, dont un tel équipement avionique. L'invention concerne également un procédé de transmission d'un message par un tel équipement avionique à bord de l'aéronef. 15 L'invention concerne également un programme d'ordinateur comportant des instructions logicielles qui, lorsqu'elles sont exécutées par un ordinateur, mettent en oeuvre un tel procédé de transmission. L'invention concerne le domaine de la sécurité des communications à bord d'un 20 aéronef, en particulier de la protection des messages, notamment afin de limiter le risque d'injection, par un équipement non-autorisé ou malveillant, de données dans un message échangé entre deux équipements avioniques à bord de l'aéronef. L'invention concerne alors plus particulièrement le domaine des équipements de communication avioniques, installés à bord d'aéronefs, qui sont alors de préférence conformes à la norme ARINC 664. On connaît du document FR 2 933 557 Al un équipement avionique du type précité. Ce document décrit un mécanisme de protection de l'intégrité de données transmises sur un réseau utilisant la technologie AFDX dans le domaine aéronautique. 30 Une détection d'absence d'altération des données transmises entre un équipement émetteur et un équipement récepteur est faite via un contrôle de redondance cyclique ou. CRC (de l'anglais Cyclic Redundancy Check). L'équipement émetteur effectue alors un codage des données à transmettre, en mettant en oeuvre une règle prédéfinie, le code calculé étant par exemple basé sur un 35 CRC particulier, différent du CRC selon la norme IEEE 802.3. L'équipement émetteur associe alors le code calculé aux données, et transmet, à destination de l'équipement 3058290 2 récepteur, un message incluant les données et le code calculé associé, le code étant un code d'intégrité associé aux données. L'équipement récepteur met alors en oeuvre ladite règle prédéfinie sur les données reçues, et vérifie si le code d'intégrité ainsi obtenu est égal ou non au code d'intégrité inclus dans le message reçu, une différence entre ces deux codes d'intégrité indiquant la présence d'une altération des données transmises. Le document FR 2 871 012 B1 décrit également l'utilisation d'un contrôle de redondance cyclique dans le cadre d'un chargement d'applications vers des serveurs embarqués dans un moyen de transport aérien. Un message transmis comprend alors un en-tête sécurisé comportant un champ de contrôle d'intégrité des données contenues 10 dans l'en-tête sécurisé, par exemple sous la forme d'un code de redondance cyclique, ou CRC, calculé à partir d'une liste de fichiers présente dans une partie correspondante de l'en-tête. Le champ de contrôle d'intégrité permet alors au destinataire de l'en-tête sécurisé de vérifier que les données reçues dans cet en-tête sont bien conformes à ce qui a été transmis. 15 Cependant, la protection des données transmises n'est pas optimale avec de tels équipements avioniques. Le but de l'invention est alors de proposer un équipement avionique, et un procédé associé, permettant d'améliorer la protection d'un champ de données inclus dans, un message transmis à destination d'un autre équipement avionique. A cet effet, l'invention a pour objet un équipement avionique du type précité, dans lequel la signature calculée est unique pour chaque champ de données et pour chaque émission respective de message. Avec l'équipement avionique selon l'invention, la signature calculée est alors unique pour chaque émission de message, y compris lors de deux émissions successives d'un même champ de données, auquel cas la signature calculée diffère d'une émission à l'autre du même champ de données. L'équipement avionique selon l'invention permet alors d'effectuer une protection du champ de données du message par une signature à usage unique. 30 Avec l'équipement avionique de l'état de la technique, la signature calculée ne varie pas d'une émission à l'autre d'un même champ de données. La signature calculée est, en d'autres termes, unique seulement pour le champ de données correspondant, mais n'est pas unique pour chaque champ de données et pour chaque émission respective de message. L'équipement avionique de l'état de la technique offre alors essentiellement une protection contre un événement aléatoire conduisant à une corruption des données 3058290 3 transmises, mais ne protège pas efficacement contre une modification volontaire des données transmises qui résulterait d'une attaque malveillante. En effet, le code calculé avec l'équipement avionique de l'état de la technique est généralement facile à recalculer, et ne nécessite pas d'être modifié d'une émission à l'autre de mêmes données. Une telle modification volontaire des données est alors susceptible de ne pas être détectée avec l'équipement avionique de l'état de la technique. Ali contraire, avec l'équipement avionique selon l'invention, la signature calculée est unique pour chaque champ de données et pour chaque émission respective de message, et est alors à usage unique, ce qui réduit fortement le risque d'une non- 10 détection d'une telle modification volontaire des données suite à une attaque malveillante. Suivant d'autres aspects avantageux de l'invention, l'équipement avionique comprend une ou plusieurs des caractéristiques suivantes, prises isolément ou suivant toutes les combinaisons techniquement possibles : - le module de calcul est configuré pour calculer la signature en fonction en outre d'une signature précédente associée au champ de données du dernier message émis par le module d'émission ; - lorsque la signature à calculer correspond à un premier message à émettre, un aléa forme la signature précédente ; - l'aléa est obtenu à partir d'un algorithme pseudo-aléatoire et d'une source d'entropie physique ; - l'aléa dépend d'une valeur de l'horloge d'un calculateur calculant ledit aléa, de préférence d'un instant temporel de la première exécution par ledit calculateur d'une application logicielle configurée pour calculer ledit aléa ; - le module de calcul est configuré pour calculer la signature en fonction en outre 25 d'une clé privée, la dé privée étant connue de l'autre équipement avionique auquel le message est destiné ; et - l'équipement avionique conforme à la norme ARINC 664, et le module d'émission est configuré pour émettre un message correspondant selon un protocole conforme à la norme ARINC 664. 30 L'invention a également pour objet un système avionique comprenant au moins deux équipements avioniques reliés entre eux par une liaison de communication, dans lequel un équipement avionique est tel que défini ci-dessus, et dans lequel un autre équipement avionique comprend un module de réception configuré pour recevoir le message incluant le champ de données et la signature associée, et un module de vérification configuré pour vérifier la cohérence entre le champ de données et la signature associée. 3058290 4 L'invention a également pour objet un procédé de transmission d'un message par un équipement avionique, destiné à être embarqué à bord d'un aéronef, le procédé comprenant : - le calcul d'une signature associée à un champ de données, la signature calculée étant fonction du champ de données, et - l'émission d'un message à destination d'un autre équipement avionique embarqué à bord de l'aéronef, le message incluant le champ de données et la signature calculée associée, dans lequel la signature calculée est unique pour chaque champ de données et 10 pour chaque émission respective de message. L'invention a également pour objet un programme d'ordinateur comportant des instructions logicielles qui, lorsqu'elles sont exécutées par un ordinateur, mettent en oeuvre un procédé tel que défini ci-dessus. 15 Ces caractéristiques et avantages de l'invention apparaîtront plus clairement à la lecture de la description qui va suivre, donnée uniquement à titre d'exemple non limitatif, et faite en référence aux dessins annexés, sur lesquels : - la figure 1 est une représentation schématique d'un aéronef équipé d'un système avionique selon l'invention comprenant au moins deux équipements avioniques reliés entre eux par une liaison de communication ; et - la figure 2 est un organigramme d'un procédé de transmission, selon l'invention, d'un message au sein du système avionique de la figure 1, par un équipement avionique à destination d'un autre équipement avionique. 25 Sur la figure 1, un aéronef 10 comprend un système avionique 12 comportant au moins deux équipements avioniques 14 reliés entre eux par une liaison de communication 16. L'aéronef 10 comprend également un pare-feu informatique 18 (de l'anglais firewall), c'est-à-dire un dispositif électronique formant barrière de sécurité informatique, le pare-feu informatique 18 étant configuré pour filtrer des flux de données provenant d'équipements électroniques externes 20 disposés à l'extérieur de l'aéronef 10, ces équipements externes 20 étant par exemple des stations au sol. L'aéronef 10 est de préférence un avion. En variante, l'aéronef 10 est un hélicoptère, ou encore un drone piloté à distance par un pilote. 35 Le système avionique 12 comporte plusieurs équipements avioniques 14. Le système avionique 12 comporte en outre par exemple un réseau de communication 22 3058290 interconnectant les équipements avioniques 14, le réseau de communication 22 comportant un commutateur réseau 24 connecté aux différents équipements avioniques 14. Le réseau de communication 22 forme alors la ou les liaisons de communication 16 reliant les équipements avioniques 14 entre eux. Dans l'exemple de la figure 1, un seul équipement avionique 14 est représenté en détail avec les différents modules qu'il contient, par souci de simplification du dessin. Au moins un équipement avionique 14 comprend un module de calcul 30 configuré pour calculer une signature associée à un champ de données, et un module d'émission 32 configuré pour émettre un message à destination d'un autre équipement avionique 14, le message incluant le champ de données et la signature calculée associée. Au moins un autre équipement avionique 14 comprend un module de réception 34 configuré pour recevoir le message incluant le champ de données et la signature associée, et un module de vérification 36 configuré pour vérifier la cohérence entre le champ de données et la signature associée. Chaque équipement avionique 14 est de préférence configuré à la fois pour émettre des messages à destination d'autre(s) équipement(s) avionique(s) 14 et pour recevoir des messages de la part d'autre(s) équipement(s) avionique(s) 14. Chaque équipement avionique 14 comprend alors de préférence le module de calcul 30, le module d'émission 32, le module de réception 34 et le module de vérification 36. 20 L'homme du métier comprendra bien entendu qu'un équipement avionique 14 qui ne serait destiné qu'à émettre des messages et pas à en recevoir, comportera alors le module de calcul 30 et le module d'émission 32, mais pas le module de réception, ni le module de vérification. Inversement, un équipement avionique 14 qui ne serait destiné qu'à recevoir des messages de la part d'autre(s) équipement(s) avionique(s) 14 25 comportera alors le module de réception 34 et le module de vérification 36, mais pas le module de calcul, ni le module d'émission. Chaque équipement avionique 14 est de préférence conforme à la norme ARINC 664. En particulier, le module d'émission 32 est configuré pour émettre un message correspondant selon un protocole conforme à la norme ARINC 664, et le module de réception 34 est également configuré pour recevoir un message selon le protocole conforme à la norme ARINC 664. Chaque équipement avionique 14 comprend en outre un ensemble 38 de clés privées, utilisé par exemple pour le calcul de la signature et/ou pour la vérification de la cohérence entre le champ de données et la signature. 3058290 6 Dans l'exemple de la figure 1, chaque équipement avionique 14 comprend une unité de traitement d'informations 40 formée par exemple d'une mémoire 42 associée à un processeur 44. Le réseau de communication 22 est de préférence conforme à la norme ARINC 664, et le commutateur réseau 24 est alors également conforme à la norme ARINC 664. Le réseau de communication 22 est, par exemple, un réseau AFDX (de l'anglais. Avionics Full DupleX switched ethernet) avec un ou plusieurs commutateur(s) réseau(x) 24 conforme(s) à la norme ARINC 664. Chaque commutateur réseau 24 (de l'anglais switch) est connu en soi, et comporte différents ports de communication, également appelés ports de connexion, chaque port de communication étant apte à être connecté à un équipement avionique 14 correspondant. Chaque commutateur réseau 24 est par exemple un commutateur Ethernet. Dans l'exemple de la figure 1, le module de calcul 30, le module d'émission 32, le module de réception 34 et le module de vérification 36 sont réalisés chacun sous forme d'un logiciel exécutable par le processeur 44. La mémoire 42 de l'équipement avionique 14 est alors apte à stocker un logiciel de calcul configuré pour calculer la signature associée au champ de données correspondant, un logiciel d'émission configuré pour émettre le message à destination de l'autre avionique 14, le message incluant le champ de données et la signature calculée associée, un logiciel de réception configuré pour recevoir le message incluant le champ de données et la signature associée, et un logiciel de vérification configuré pour vérifier la cohérence entre le champ de données et la signature associée. Le processeur 44 de l'unité de traitement d'informations 40 est alors apte à exécuter le logiciel de calcul et le logiciel d'émission lorsque l'équipement avionique 14 25 correspondant envoie le message à destination d'un autre équipement avionique 14, ou bien à exécuter le logiciel de réception et le logiciel de vérification lorsque l'équipement avionique 14 reçoit le message transmis de la part d'un autre équipement avionique 14. En variante non représentée, le module de calcul 30, le module d'émission 32, le module de réception 34 et le module de vérification 36 sont réalisés chacun sous forme d'un composant logique programmable, tel qu'un FPGA (de l'anglais Field Programmable Gate Array), ou encore sous forme d'un circuit intégré dédié, tel qu'un ASIC (de l'anglais Application Specific Integrated Circuit). Par champ de données, on entend n'importe quel champ d'un message, qui contient des données susceptibles d'être prises en compte par un équipement avionique 35 14 récepteur, notamment qu'il s'agisse d'un champ de l'en-tête ou encore du corps principal du message. 3058290 7 Le module de calcul 30 est configuré pour calculer la signature associée à un champ de données, cette signature calculée étant ensuite incluse avec le champ de données dans le message transmis à destination de l'équipement avionique 14 récepteur et permettant la vérification par ledit équipement avionique 14 récepteur de la cohérence entre le champ de données et la signature associée. En cas d'incohérence, l'équipement avionique 14 récepteur en déduit alors que le champ de données reçu ne correspond pas au champ de données transmis par l'équipement avionique 14 émetteur, et ne prend alors pas en compte le champ de données reçues. La signature est également appelée code. Le module de calcul 30 est alors configuré pour calculer la signature en fonction du champ de données, c'est-à-dire en fonction des données contenues dans ledit champ. Selon l'invention, la signature calculée est unique à la fois pour chaque champ de données et pour chaque émission respective de message. Autrement dit, la signature calculée est à usage unique, et variera, pour un même champ de données, d'une émission à l'autre du message contenant ce même champ de données. Le module de calcul 30 est alors configuré pour calculer la signature de telle sorte qu'elle soit unique à la fois pour chaque champ de données et pour chaque émission respective de messages. Le module de calcul 30 est par exemple configuré pour calculer la signature en fonction du champ de données et en outre d'une signature précédente, celle-ci étant associée au champ de données du dernier message émis par le module d'émission 32 de cet équipement avionique. En complément facultatif, le module de calcul 30 est configuré pour calculer la signature en fonction en outre d'une clé privée, la clé privée étant connue de l'autre équipement avionique 14 auquel le message est destiné. La clé privée est par' exemple contenue dans l'ensemble de clés privées 38, stocké dans chacun des deux équipements avioniques 14, à savoir l'équipement avionique 14 émetteur et l'équipement avionique 14 récepteur. En complément facultatif encore, le module de calcul 30 est configuré pour calculer la signature en appliquant une fonction de hachage aux différents éléments dont elle dépend, telle que le champ de données, la signature précédente, voire encore la clé privée. La signature calculée vérifie alors par exemple l'équation suivante : Signature Msg(n) = Algo Hash_Secure [Signature Msg(n-1), Requête(n), Clef secrète] où Signature Msg(n) désigne la signature calculée ; Algo_Hash_Secure désigne la fonction de hachage ; 3058290 8 Signature Msg(n-1) désigne la signature précédente, associée au champ de données du dernier message émis ; Requête(n) désigne le champ de données pour lequel la signature est calculée ; et Clef secrète désigne la clé privée secrète, connue à la fois de l'équipement avionique 14 émetteur et de l'équipement avionique 14 récepteur. La fonction de hachage est un algorithme de calcul de signature, tel que l'algorithme HMAC-SHA-256/512. La fonction de hachage est par exemple une fonction de hachage cryptographique. Lors du calcul de la signature, le champ de données et la signature précédente 10 sont de préférence concaténés numériquement pour former une donnée de base sur laquelle est appliquée la fonction de hachage, avec en tant que paramètre de sécurité la clé privée contenue dans les équipements avioniques 14 émetteur et récepteur. Lorsque la signature à calculer correspond à un premier message à émettre, aucune signature précédente n'a encore été calculée, et un aléa est alors pris en compte comme signature précédente. Autrement dit, lorsque la signature à calculer correspond à un premier message à émettre, la signature précédente est formée par une valeur de l'aléa, également appelé graine pseudo-aléatoire. La valeur de l'aléa est par exemple stockée dans la mémoire 42 de l'équipement avionique 14, préalablement à la transmission de message. En variante, la valeur de l'aléa est calculée par le module de calcul 30. La valeur de l'aléa est alors par exemple obtenue à partir d'un algorithme pseudo-aléatoire et d'une source d'entropie physique. La source d'entropie physique est par exemple un calculateur embarqué à bord de l'aéronef 10. L'aléa dépend alors par exemple d'une valeur de l'horloge de ce calculateur apte à calculer ladite valeur de l'aléa, de préférence d'un 25 instant temporel de la première exécution par ledit calculateur d'une application logicielle configurée pour calculer ladite valeur de l'aléa. Selon cette variante, la valeur de l'aléa est différente à chaque initialisation de l'équipement avionique 14 correspondant et est également différente d'un équipement avionique 14 à l'autre. 30 Lorsque la valeur initiale de l'aléa dépend de l'instant temporel de la première exécution par le calculateur de l'application logicielle de calcul de l'aléa, la valeur prise en compte est par exemple la durée entre l'instant de démarrage du calculateur et l'instant temporel de cette première exécution, cette durée étant de préférence exprimée en microsecondes. En outre, l'exécution, par le calculateur, de l'application logicielle de 35 calcul de l'aléa résultant d'une action manuelle effectuée par un opérateur, la valeur ainsi 3058290 9 obtenue est satisfaisante pour fournir un aléa exploitable comme source d'entropie en vue du calcul de la première signature pour cet équipement avionique 14. Lorsque l'aléa nécessite d'être recalculé lors d'une prochaine initialisation, là mise à jour de l'aléa s'effectue par exemple en appliquant la fonction de hachage à une concaténation numérique de la dernière valeur calculée de l'aléa et d'une grandeur associée à la source d'entropie physique. La grandeur associée à la source d'entropie physique est, par exemple, l'heure courante du calculateur effectuant la mise à jour de l'aléa. Cette nouvelle valeur de l'aléa calculée lors d'une nouvelle initialisation de 10 l'équipement avionique remplace alors la précédente valeur calculée de l'aléa, et est stockée en lieu et place de cette précédente valeur calculée dans la mémoire 42. En variante, le module de calcul 30 est configuré pour calculer la signature en appliquant un algorithme, tel qu'un algorithme cryptographique, au champ de données avec un code secret, le code secret étant connu seulement des équipements avioniques 14 émetteur et récepteur. Le code secret a en outre une validité temporelle de courte durée, avec par exemple une durée de validité inférieure à une minute. Le code secret est, par exemple, obtenu à partir d'une horloge de synchronisation qui est commune aux équipements avioniques 14 émetteur et récepteur. L'algorithme est connu des équipements avioniques 14 émetteur et récepteur. Le fonctionnement de l'équipement avionique 14 selon l'invention va désormais être expliqué à l'aide de la figure 2 représentant un organigramme du procédé, selon l'invention, de transmission d'un message d'un équipement avionique 14 à destination d'un autre équipement avionique 14, tous deux étant embarqués à bord de l'aéronef 10. 25 Lors d'une étape initiale 100, l'équipement avionique 14 commence par calculer, à l'aide de son module de calcul 30, la signature correspondant au champ de données que l'équipement avionique 14 émetteur souhaite émettre à destination de l'autre équipement avionique 14, à savoir l'équipement avionique 14 récepteur. Comme indiqué précédemment et selon l'invention, la signature calculée est unique pour chaque champ de données et pour chaque émission respective de messages. Autrement dit, la signature calculée est une signature à usage unique pour chaque champ de données, et n'est pas rejouable, même dans l'hypothèse où le message transmis par l'équipement avionique 14 à destination de l'autre équipement avionique 14 serait intercepté et enregistré. 35 L'équipement avionique 14 émetteur émet ensuite, lors de l'étape suivante 110, le message incluant notamment le champ de données et la signature associée, à destination 30 305.8290 10 de l'autre équipement avionique 14, c'est-à-dire à destination de l'équipement avionique 14 récepteur. Lors de l'étape 120, l'équipement avionique 14 récepteur reçoit alors, via son module de réception 34, le message transmis de la part de l'équipement avionique 14 émetteur. Le message reçu inclut le champ de données et la signature calculée associée. L'équipement avionique 14 récepteur vérifie enfin, lors de l'étape 130, la cohérence entre le contenu du champ de données inclus dans le message reçu et la signature associée. Pour cette vérification de cohérence, le module de vérification 36 de l'équipement avionique 14 récepteur recalcule alors la signature pour le champ de 10 données inclus dans le message reçu, de manière identique au calcul effectué par le module de calcul 30 lors de l'étape initiale 100 au sein de l'équipement avionique 14 émetteur. Si la signature recalculée par le module de vérification 36 est identique à la signature incluse dans le message reçu, alors le module de vérification 36 confirme la cohérence entre le champ de données et la signature associée, et les données contenues dans le champ de données sont alors prises en compte par l'équipement avionique 14 récepteur. En effet, cette identité entre la signature recalculée et la signature incluse dans le message reçu est une indication, pour l'équipement avionique 14 récepteur, de l'authenticité de l'équipement avionique 14 émetteur et de l'intégrité du champ de données inclus dans le message reçu, ainsi que l'absence d'un rejeu de la signature à des fins malveillantes. Sinon, lorsque la signature recalculée par le module de vérification 36 est différente de la signature incluse dans le message reçu, alors le module de vérification 36 en déduit que le champ de données inclus dans le message reçu est différent du champ de données initialement transmis par l'équipement avionique 14 émetteur ou bien que l'identité de l'équipement avionique 14 émetteur a été usurpée lors d'une attaque malveillante, et les données incluses dans ce champ de données ne sont alors pas prises en compte par l'équipement avionique 14 récepteur. Cette différence entre le champ de données inclus dans le message reçu et le champ de données initialement transmis par l'équipement avionique émetteur peut alors résulter d'un défaut ponctuel de transmission sur la liaison de communication 16 entre l'équipement avionique 14 émetteur et l'équipement avionique 14 récepteur, ou encore d'une attaque malveillante sur cette transmission de message. En complément facultatif, le module de vérification 36 est configuré en outre pour générer un message d'alerte en cas de détection d'une différence entre la signature 3058290 11 incluse dans un message reçue et la signature recalculée, notamment lorsque le nombre de telles erreurs est supérieur à un seuil prédéfini. L'équipement avionique 14 et le procédé de transmission selon l'invention permettent alors d'améliorer la protection du champ de données inclus dans le message transmis, en utilisant une signature du champ de données qui est unique pour chaque champ de données et pour chaque émission respective de message. Autrement dit, chaque signature calculée pour chaque champ de données à émettre est une signature à usage unique, c'est-à-dire qu'il s'agit d'une signature destinée à être utilisée uniquement pour ce champ de données et pour ladite émission considérée. En outre, cette signature n'est pas rejouable, car même pour un champ de données identique d'une émission de message à l'autre, la signature calculée variera, celle-ci étant unique à la fois pour chaque champ de données et pour chaque émission respective de message. Le fait de calculer la signature courante en fonction de la signature précédente 15 permet alors d'obtenir l'unicité précitée de manière simple, et l'homme du métier comprendra que d'autres algorithmes de calcul pour obtenir cette unicité sont envisageables, notamment celui avec le code secret qui est connu seulement des équipements avioniques 14 émetteur et récepteur., et qui a une validité temporelle de courte durée, l'algorithme étant en outre connu des équipements avioniques 14 émetteur 20 et récepteur. Ceci permet également une authentification de l'équipement avionique 14 émetteur vis-à-vis de l'équipement avionique 14 récepteur. Ainsi, l'utilisation d'une signature à usage unique, c'est-à-dire unique pour chaque champ de données et pour chaque émission respective de messages, permet alors d'éviter qu'un même champ de données puisse être signé deux fois avec la même 25 signature ce qui entrainerait un risque de corruption du champ de données en cas d'interception du message par une action malveillante. On conçoit ainsi que l'équipement avionique et le procédé de transmission associée permettant d'améliorer la protection des données transmises au sein du système avionique 12 selon l'invention. 30 REVENDICATIONS1. Equipement avionique (14), destiné à être embarqué à bord d'un aéronef (10), l'équipement avionique (14) comprenant : - un module de calcul (30) configuré pour calculer une signature associée à un champ de données, la signature calculée étant fonction du champ de données, et - un module d'émission (32) configuré pour émettre un message à destination d'un autre équipement avionique (14) embarqué à bord de l'aéronef (10), le message incluant le champ de données et la signature calculée associée, caractérisé en ce que la signature calculée est unique pour chaque champ de données et pour chaque émission respective de message. 2. Equipement avionique (14) selon la revendication 1, dans lequel le module de calcul (30) est configuré pour calculer la signature en fonction en outre d'une signature 15 précédente associée au champ de données du dernier message émis par le module d'émission. 3. Equipement avionique (14) selon la revendication 2, dans lequel, lorsque la signature à calculer correspond à un premier message à émettre, un aléa forme la 20 signature précédente. 4. Equipement avionique (14) selon la revendication 3, dans lequel l'aléa est obtenu à partir d'un algorithme pseudo-aléatoire et d'une source d'entropie physique. 25 5. Equipement avionique (14) selon la revendication 4, dans lequel l'aléa dépend d'une valeur de l'horloge d'un calculateur calculant ledit aléa, de préférence d'un instant temporel de la première exécution par ledit calculateur d'une application logicielle configurée pour calculer ledit aléa. 30 6. Equipement avionique (14) selon l'une quelconque des revendications précédentes, dans lequel le module de calcul (30) est configuré pour calculer la signature en fonction en outre d'une clé privée, la clé privée étant connue de l'autre équipement avionique (14) auquel le message est destiné. 35 7. Equipement avionique (14) selon l'une quelconque des revendications précédentes, dans lequel l'équipement avionique (14) est conforme à la norme ARINC 3058290 13 664, et le module d'émission (32) est configuré pour émettre un message correspondant selon un protocole conforme à la norme ARINC 664. 8. Système avionique (12) comprenant au moins deux équipements avioniques (14) reliés entre eux par une liaison de communication (16), caractérisé en ce qu'un équipement avionique (14) est selon l'une quelconque des revendications précédentes, et en ce qu'un autre équipement avionique (14) comprend : - un module de réception (34) configuré pour recevoir le message incluant 10 le champ de données et la signature associée, et - un module de vérification (36) configuré pour vérifier la cohérence entre le champ de données et la signature associée. 9. Procédé de transmission d'un message par un équipement avionique (14), 15 destiné à être embarqué à bord d'un aéronef (10), le procédé comprenant : - le calcul (100) d'une signature associée à un champ de données, la signature calculée étant fonction du champ de données, et - l'émission (110) d'un message à destination d'un autre équipement avionique 20 (14) embarqué à bord de l'aéronef (10), le message incluant le champ de données et la signature calculée associée, caractérisé en ce que la signature calculée est unique pour chaque champ de données et pour chaque émission respective de message. 25 10. Programme d'ordinateur comportant des instructions logicielles qui, lorsqu'elles sont exécutées par un ordinateur, mettent en oeuvre un procédé selon la revendication précédente.