Brevet FR3102907A1 — publié le 20210507

Procédé de communication radio d’un dispositif esclave avec un dispositif maître, le procédé comprenant des étapes de : - réception (202) par le dispositif esclave d’un requête de connexion émise par le dispositif maître comprenant des premiers paramètres de communication avec le dispositif maître, les paramètres de communication étant indicatifs d’une séquence de canaux fréquentiels à utiliser au cours de périodes successives pour communiquer avec le dispositif maître, - au cours d’une des périodes, mise en œuvre par le dispositif esclave d’un traitement propre à causer l’émission, par le dispositif maître, d’une mise à jour de connexion comprenant des deuxièmes paramètres de communication avec le dispositif maître à utiliser à la place des premiers paramètres de communication, le traitement comprenant une action (210) sur un des canaux fréquentiels propre à causer une détection par le dispositif maître d’une dégradation d’une qualité de communication sur le canal fréquentiel. Figure pour l’abrégé : Fig. 3 Procédé de communication radio d’un dispositif esclave avec un dispositif maître La présente invention concerne un procédé de communication radio d’un dispositif esclave avec un dispositif maître, ainsi qu’un dispositif esclave adapté pour mettre en œuvre un tel procédé. L’invention trouve avantageusement application dans les communications radio utilisant un protocole Bluetooth basse énergie (Bluetooth Low Energy, ou BLE en anglais). Le protocole BLE régit des communications radio de type maître à esclave. De telles communications radios utilisent une pluralité de canaux fréquentiels. Le protocole BLE utilise notamment un mécanisme de saut de canal (« channel hopping » en anglais). Avec un tel mécanisme, deux dispositifs communiquant l’un avec l’autre changent régulièrement, et ce de façon synchronisée, de canal fréquentiel pour s’échanger ces données. Pour cela, l’un des deux dispositifs en présence, dit maître, transmet à l’autre dispositif, dit esclave, une requête de connexion comprenant des paramètres de communication que le dispositif esclave est censé utiliser pour communiquer avec le maître. Les paramètres de communication indiquent une séquence de canaux fréquentiels à utiliser au cours de périodes successives pour communiquer avec le dispositif maître. L’esclave sait ainsi sur quel canal fréquentiel basculer, et quand, pour échanger des données avec le maître. Or, de telles communications sont susceptibles de faire l’objet d’une attaque par relai. Au cours d’une telle attaque, un système tiers agit comme un relai entre le maître et l’esclave. Ce système tiers se fait ainsi passer pour l’esclave auprès du maître, et se fait également passer pour le maître auprès de l’esclave. Un but est de protéger plus efficacement des communications radio utilisant des sauts de canal, contre des attaques par relai. Il est à cet effet proposé, selon un premier aspect, un procédé de communication radio d’un dispositif esclave avec un dispositif maître, le procédé comprenant des étapes de : - réception par le dispositif esclave d’un requête de connexion émise par le dispositif maître comprenant des premiers paramètres de communication avec le dispositif maître, les paramètres de communication étant indicatifs d’une séquence de canaux fréquentiels à utiliser au cours de périodes successives pour communiquer avec le dispositif maître, - au cours d’une des périodes, mise en œuvre par le dispositif esclave d’un traitement propre à causer l’émission, par le dispositif maître, d’une mise à jour de connexion comprenant des deuxièmes paramètres de communication avec le dispositif maître à utiliser à la place des premiers paramètres de communication, le traitement comprenant une action sur un des canaux fréquentiels propre à causer une détection par le dispositif maître d’une dégradation d’une qualité de communication sur le canal fréquentiel. Le procédé selon ce premier aspect peut en outre comprendre les caractéristiques optionnelles suivantes, prises seules ou combinées entre elles lorsque cela est techniquement possible. De préférence, le traitement comprend l’émission d’une requête de mise à jour de connexion, à destination du dispositif maître, l’action étant mise en œuvre sélectivement lorsque le dispositif esclave détecte que la requête de mise à jour des paramètres n’a pas été traitée par le dispositif maître. De préférence, la requête de mise à jour est encryptée par le dispositif esclave avant d’être émise. De préférence, l’action sur un des canaux fréquentiels comprend l’émission sur le canal fréquentiel d’un message comprenant un contenu altéré simulant une erreur de transmission, tel qu’un message comprenant des données utiles et un code de redondance cyclique de valeur indiquant une erreur dans les données utiles, De préférence, l’action sur un des canaux fréquentiels comprend l’absence d’émission d’une réponse attendue par le dispositif maître sur le canal fréquentiel. De préférence, le canal fréquentiel sur lequel l’action est réalisée est sélectionné aléatoirement par le dispositif esclave parmi plusieurs canaux fréquentiels. De préférence, le procédé comprend une étape de contre-mesure lorsque le dispositif esclave ne reçoit pas la mise à jour de connexion de fréquence dans un délai prédéterminé ou après la réception d’un nombre prédéterminé de paquets émis par le dispositif maître, l’étape de contre-mesure comprenant au moins une des opérations suivantes : - l’émission d’un message de rupture de connexion à destination du dispositif maître, - l’émission d’un message d’alerte informant le dispositif maître que la communication radio n’est pas sécurisée contre des attaques par relai, - un arrêt de communication radio avec le dispositif maître. De préférence, le procédé comprend par ailleurs les étapes suivantes : - après réception de la mise à jour de connexion, réception par le dispositif esclave de N paquets consécutifs en provenance du dispositif maître, où N≥1, - comparaison entre des paramètres de communication utilisés pour la transmission des N paquets consécutifs au dispositif esclave et les deuxièmes paramètres de communication, - lorsque les paramètres comparés ne correspondent pas, mise en œuvre par le dispositif esclave d’une étape de contre-mesure comprenant au moins une des opérations suivantes : - l’émission d’un message de rupture de connexion à destination du dispositif maître, - l’émission d’un message d’alerte informant le dispositif maître que la communication radio n’est pas sécurisée contre des attaques par relai, - un arrêt de communication radio avec le dispositif maître. De préférence, le dispositif esclave utilisent un protocole Bluetooth à basse énergie pour communiquer avec le dispositif maître. Il est également proposé, selon un deuxième aspect, un produit programme d'ordinateur comprenant des instructions de code de programme pour l'exécution des étapes du procédé selon le premier aspect, lorsque ce programme est exécuté par un dispositif esclave. Il est également proposé, selon un troisième aspect, un mémoire lisible par ordinateur stockant des instructions exécutables par l’ordinateur pour l’exécution des étapes du procédé selon le premier aspect. Il est également proposé, selon un quatrième aspect, un dispositif esclave comprenant : - une interface de communication radio pour recevoir une requête de connexion émise par un dispositif maître comprenant des premiers paramètres de communication avec le dispositif maître, les paramètres de communication étant indicatifs d’une séquence de canaux fréquentiels à utiliser au cours de périodes successives pour communiquer avec le dispositif maître, - une unité de traitement configurée pour mettre en œuvre, au cours d’une des périodes, un traitement propre à causer l’émission, par le dispositif maître, d’une mise à jour de connexion comprenant des deuxièmes paramètres de communication avec le dispositif maître à utiliser à la place des premiers paramètres de communication, le traitement comprenant une action sur un des canaux fréquentiels propre à causer une détection par le dispositif maître d’une dégradation d’une qualité de communication sur le canal fréquentiel. Il est également proposé, selon un cinquième aspect, un système comprenant un dispositif esclave selon le quatrième aspect, et un dispositif maître configuré pour émettre la mise à jour de connexion. D’autres caractéristiques, buts et avantages de l’invention ressortiront de la description qui suit, qui est purement illustrative et non limitative, et qui doit être lue en regard des dessins annexés sur lesquels : La figure 1 illustre de façon schématique un dispositif maître et un dispositif esclave selon un mode de réalisation, ainsi qu’un attaquant réalisant une attaque par relai. La figure 2 est un organigramme d’étapes d’un procédé selon un mode de réalisation, mise en œuvre par un dispositif maître. La figure 3 est un organigramme d’étapes d’un procédé selon un mode de réalisation, mise en œuvre par un dispositif esclave. Sur l’ensemble des figures, les éléments similaires portent des références identiques. On a représenté sur la figure 1 un système comprenant un dispositif maître 1 et un dispositif esclave 2 destinés à communiquer ensemble par radio. Dans la suite, les dispositifs 1 et 2 seront appelés simplement maître 1 et esclave 2 pour plus de concision. Le maître 1 comprend une interface de communication 10 pour communiquer par radio avec l’esclave 2. L’interface comprend typiquement au moins une antenne radio. L’interface est susceptible d’utiliser différents canaux fréquentiels pour communiquer avec l’esclave 2. Le maître 1 comprend par ailleurs une unité de traitement 12, en particulier configurée pour générer des données susceptibles d’être émises par l’interface de communication 10, contrôler le fonctionnement de l’interface de communication, et traiter des données reçues par l’interface de communication 12. L’unité de traitement 12 comprend typiquement un ou plusieurs processeurs, microprocesseurs, circuit programmable ou non (ASIC, FPGA, etc.). Similairement, l’esclave 2 comprend une interface de communication 20 pour communiquer par radio avec le maître 2. L’interface de communication 10 est du même type que l’interface de communication 10. L’esclave 2 comprend par ailleurs une unité de traitement 22, en particulier configurée pour générer des données susceptibles d’être émises par l’interface de communication 22, contrôler le fonctionnement de l’interface de communication 20, et traiter des données reçues par l’interface de communication 22. Le maître 1 et l’esclave 2 sont aptes à communiquer l’un avec l’autre via différents canaux fréquentiels. Chaque canal fréquentiel est associé à une fréquence centrale qui lui est propre. Par exemple, dans le cas où le maître 1 et l’esclave 2 utilisent un protocole Bluetooth basse énergie (Bluetooth Low Energy, abrégé en BLE en anglais) pour communiquer l’un avec l’autre, le nombre de canaux fréquentiels est de 40. On a également représenté en figure 1, un dispositif A susceptible de mettre en œuvre une attaque par relai affectant une communication entre le maître 1 et l’esclave 2. Dans la suite, qualifiera plus simplement le dispositif A de « relai ». Le relai A comprend un module esclave S adapté pour se faire passer pour l’esclave 2 auprès du maître 1, et un module maître M adapté pour se faire passer pour le maître 1 auprès de l’esclave 1. Le module esclave S et le module maitre M sont reliés ensemble par une liaison quelconque. Cette liaison passe par exemple par un réseau tel qu’Internet, auquel cas le relai A est en fait un système distribué. En référence aux figures 2 et 3 , un procédé de communication entre le maître 1 et l’esclave 2 comprend les étapes suivantes. L’esclave 2 diffuse une annonce (étape 100). Une annonce n’est pas un message spécifiquement destiné au maître 1, mais un message ayant vocation à signaler la présence de l’esclave 2 à tout maître se trouvant à proximité. Une annonce est par exemple émise par l’esclave 2 toutes les 500 millisecondes. Une annonce est transmise par l’esclave 2 via des canaux fréquentiels d’annonce, réservés à la diffusion d’annonces. Par exemple, le protocole BLE prévoit 3 canaux fréquentiels d’annonce, parmi 40 canaux fréquentiels au total. Le maître 1 reçoit une annonce émise par l’esclave 2 (étape 200). En réponse à cette annonce, le maître 1 émet une requête de connexion à destination de l’esclave 2 (étape 202). Le message de connexion permet de signaler à l’esclave 2 que le maître 1 souhaite échanger des données avec l’esclave 2. La requête de connexion comprend des paramètres de communication indicatifs d’une séquence de canaux fréquentiels à utiliser au cours de périodes successives, pour communiquer avec le maître 1. La séquence de canaux fréquentiels peut être par exemple définie par la loi suivante : où f n est une fréquence à utiliser au cours d’une période d’indice n, f n+1 est une période à utiliser au cours d’une période d’indice n+1, hop est un paramètre pouvant prendre plusieurs valeurs, par exemple dans l’intervalle allant de 5 à 16, mod désigne l’opération modulo, et K est un nombre de canaux fréquentiels utilisables pour transporter des données utiles, par opposition aux canaux réservés aux annonces. Par exemple, K=37 dans le cas du protocole BLE. Ainsi, la requête de connexion comprend par exemple la valeur choisie pour le paramètre hop ainsi qu’un délai à attendre avant d’utiliser la première fréquence de la séquence. La requête de connexion peut également comprendre une durée de période à utiliser (dans le cas où les périodes sont de durées identiques). En variante, cette durée est connue à l’avance par le maître 1 et l’esclave 2. La séquence de canaux fréquentiels peut alternativement être définie par une loi et/ou des paramètres plus complexes. Par exemple, la séquence canaux peut être définie grâce à l’algorithme utilisé dans le protocle BLE 5.0, plus difficile à inverser, car remappant des canaux non utilisés sur des canaux utilisés, donnant un résultat moins linéaire a priori . Voir https://fr.mathworks.com/help/comm/examples/ble-channel-selection-algorithms.html. La requête de connexion est envoyée en clair. La requête de connexion est appelée connection request dans le protocole BLE. L’esclave 2 reçoit la requête de connexion (étape 202). Pour que l’esclave 2 traite positivement la requête de connexion (ce qui est supposé dans la suite), celle-ci doit être reçue par l’esclave dans un délai prédéterminé depuis l’émission de la dernière annonce. Dans le protocole BLE, ce délai est de 150 microsecondes, avant une marge d’erreur de l’ordre de la dizaine de microsecondes. Une fois la requête de connexion reçue et traitée par l’esclave 2, le maitre 1 et l’esclave sont synchronisés sur la même séquence de canaux fréquentiels, et utilisent conjointement cette séquence pour communiquer l’un avec l’autre (étapes 104, 204). Cette communication 104, 204 comprend les sous-étape suivantes : Au cours d’une première période, le maître 1 émet un paquet de données (Packet Data unit, PDU) dans le premier canal fréquentiel de la séquence indiquée dans la requête de connexion qu’il a auparavant transmise à l’esclave 2. L’esclave 1 s’est configuré pour recevoir des données sur ce même premier canal fréquence au cours de cette première période ; il reçoit donc le paquet de données émis. En guise de réponse, l’esclave 2 émet un paquet de réponse sur le même premier canal fréquentiel, de manière à accuser réception du paquet de données auprès du maître 1. Si le maître 1 reçoit cette réponse dans un délai prédéterminé, par exemple 150 microsecondes, le maître 1 considère que la transmission du paquet de données est a été réalisée correctement. Durant une deuxième période postérieure à la première période, le maître 1 et l’esclave 2 répètent les étapes qui précèdent après avoir « sauté » sur le deuxième canal fréquentiel de la séquence, et ainsi de suite. Après que l’esclave 2 a reçu la requête de connexion lors de l’étape 102, la communication entre le maître 1 et l’esclave 2 peut basculer dans un mode sécurisé. Dans ce mode sécurisé, le maître 1 et l’esclave 2 sont capable d’échanger des messages cryptés de telle sorte que seul le destinataire du message peut décrypter. Les étapes 104, 204 utilisent ce mode sécurisé. Une telle bascule dans un mode sécurisé se produit typiquement après un appariement entre le maître 1 et l’esclave 2 (pairing), lequel est connu de l’homme du métier. L’esclave 1 met en œuvre un traitement propre à causer l’émission, par le maître 1, d’une mise à jour de connexion indiquant une nouvelle séquence de canaux fréquentiels à utiliser, donc différente de celle jusqu’ici utilisée conjointement par le maître 1 et l’esclave 2. Ce traitement est mis en œuvre une fois que la communication entre le maître 1 et l’esclave 2 est dans le mode de communication sécurisé (lorsque ce mode sécurisé est utilisé). Le traitement comprend tout d’abord l’envoi, par l’esclave 2 au maître 1, d’une requête de mise à jour de connexion (étape 206). Cette requête de mise à jour est émise via le canal fréquentiel à utiliser à l’instant courant, indiqué par la séquence de la requête de connexion reçue par l’esclave 2 lors de l’étape 202. La requête de mise à jour est cryptée, de telle sorte que seul le maître 1 puisse décrypter la mise à jour de connexion émise lors de l’étape 206. Dans le protocole BLE, une telle requête de mise à jour existe sous le nom de connection parameter update request . L’esclave 2 se met par ailleurs en attente d’une mise à jour de connexion faisant réponse à la requête de mise à jour émise lors de l’étape 206. En l’absence d’une attaque par relai, le maître 1 reçoit la requête de mise à jour émise par l’esclave 2 (étape 106). Le maître 1 envoie alors une mise à jour de connexion en réponse à la réception de la requête de mise à jour, la mise à jour de connexion indiquant ou étant accompagnée d’au moins un nouveau paramètre permettant de définir une nouvelle séquence de canaux fréquentiels à utiliser par la suite par l’esclave 2 (étape 108). On précise ici que les nouveaux paramètres peuvent être en nombre inférieur à ceux utilisés pour définir entièrement une séquence de canaux fréquentiels dans la requête de connexion. Il suffit en effet d’un paramètre modifié pour définir une nouvelle séquence, ce paramètre pouvant par exemple modifier les timings de la séquence. La mise à jour de connexion est cryptée par le maître 1, de telle sorte que seul l’esclave 2 puisse décrypter la mise à jour de connexion émise lors de l’étape 108. Toutefois, l’attaquant A réalisant une attaque par relai peut intercepter la requête de mise à jour de connexion émise par l’esclave 2, et faire en sorte que le maître 1 ne traite pas cette requête, empêchant ainsi l’émission de la mise à jour de connexion pourtant attendue par l’esclave 2. L’esclave 2 vérifie s’il reçoit une mise à jour de connexion (étape 208), typiquement dans un délai prédéterminé. Lorsque l’esclave 2 détecte que le maître 1 n’a pas traité la requête de mise à jour, en constatant qu’il n’a pas reçu une telle mise à jour de connexion dans le délai prédéterminé, l’esclave 2 met en œuvre une action sur un des canaux fréquentiels (étape 210), cette action étant propre à causer une détection par le maître 1 d’une dégradation d’une qualité de communication sur le canal fréquentiel. Il est à noter que la dégradation de la qualité de communication d’un canal fréquentiel n’est pas ici causée par le milieu de transmission entre l’esclave 2 et le maître 1, mais simulée par l’action 210 réalisée par l’esclave 2, de manière à faire croire au maître 1 de l’existence d’une telle dégradation, et ensuite forcer le maître 1 à émettre une mise à jour de connexion. L’action 210 réalisée par l’esclave 2 peut affecter le canal fréquentiel courant, c’est-à-dire le canal fréquentiel censé être utilisée par l’esclave 2 pour communiquer avec le maître à l’instant auquel l’esclave détecte ne pas avoir reçu de mise à jour de connexion normalement, ce canal fréquentiel courant faisant partie de la séquence de canaux initialement indiquée dans la requête de connexion fournie par le maître 1. Toutefois, il est avantageux que l’esclave sélectionne de manière aléatoire le canal fréquentiel sur lequel l’action précitée sera réalisée. Le canal fréquentiel peut ainsi être un canal fréquentiel associé à une période de temps ultérieure à l’instant de détection de non-réception de mise à jour de connexion. Dans ce cas, l’esclave attend cette période de temps ultérieure pour réaliser l’action 210. Pour faire croire au maître 1 qu’est survenue une telle dégradation de qualité de communication sur un des canaux de communications, l’esclave 2 peut accomplir différents types d’action. L’esclave 2 peut émettre, sur le canal fréquentiel sélectionné, un message comprenant un contenu volontairement altéré pour simuler une erreur de transmission entre l’esclave 2 et le maître 1. Par exemple, ce message altéré comprend des données utiles et un code de redondance cyclique (CRC) de valeur indiquant une erreur dans les données utiles. Pour générer un tel message altéré, l’esclave 2 peut d’abord générer un message correct avec des données utiles et un CRC cohérents, puis ensuite modifier la valeur de certains bits du message de sorte à l’altérer. Ce message au contenu altéré est crypté par l’esclave 2, de telle sorte que seul le maître 1 puisse le décrypter. Le maître 1 détecte une dégradation de qualité de communication sur le canal fréquentiel sélectionné en s’apercevant de l’incohérence entre les données utiles et le CRC qu’il reçoit de l’esclave 1 via ce canal. En variante, l’esclave 2 peut s’abstenir d’émettre une réponse pourtant attendue par le dispositif maître sur le canal fréquentiel sélectionné. Par exemple, l’esclave s’abstient d’accuser réception d’un message de données PDU envoyé par le maître 1 dans le canal fréquentiel sélectionné. Dans cette variante, le maître déduit qu’une dégradation de la qualité de communication est survenu sur le canal fréquentiel sélection du fait de ne pas recevoir un tel accusé réception dans un délai prédéterminé. Quelle que soit le type d’action mise en œuvre par l’esclave 2, le maître 1 parvient à la conclusion que la qualité de la communication sur le canal fréquentiel courant s’est dégradée sur l’un des canaux fréquentiels (étape 110). Le maître 1 envoie alors une mise à jour de connexion contenant une nouvelle séquence de canaux fréquentiels à utiliser par l’esclave 2 (étape 108 discutée précédemment). L’esclave 2 vérifie s’il reçoit une mise à jour de connexion (étape 212), après avoir déclenché l’action 210. Si pour une raison quelconque l’esclave 2 ne reçoit toujours pas de mise à jour de connexion malgré l’action 210 réalisée, par exemple dans un certain délai prédéterminé à compter de l’action 210, ou après la réception d’un nombre prédéterminé de paquets émis par le dispositif maître depuis l’action 210, l’esclave 2 met en œuvre une étape de contre-mesure 214 en dernier ressort. Cette étape de contre-mesure 214 peut comprendre l’une des opérations suivantes : - l’émission, par l’esclave 2, d’un message de rupture de connexion à destination du dispositif maître 1, - l’émission par l’esclave 2 d’un message d’alerte informant le dispositif maître 1 que la communication radio n’est pas sécurisée contre des attaques par relai, - un arrêt pur est simple de communication radio avec le dispositif maître 1. L’esclave 2 peut par ailleurs se replacer dans un mode d’annonce, dans lequel il répète l’étape de diffusion d’annonce 200 décrite précédemment. Dans les modes de réalisations de procédé décrits ci-dessus, l’action 210 qui permet de déclencher l’utilisation d’une nouvelle séquence de canaux fréquentielle est initiée côté esclave 2. Un avantage de cette solution est qu’il n’est pas forcément de besoin de modifier le fonctionnement d’un maître 1 déjà configuré pour émettre une mise à jour de connexion en cas de dégradation de qualité sur un canal fréquentiel utilisé. Considérons à présent le cas où l’esclave 2 reçoit du maître 1 une mise à jour de connexion lors de l’étape 208 ou 212. La réception de cette mise à jour ne garantit pas pour autant l’absence du relai A entre le maître 1 et l’esclave 2. Typiquement, ce relai A peut avoir transféré cette mise à jour de connexion à l’esclave 1 sans modifier son contenu. Pour évaluer le risque de présence du relai A, l’esclave 2 met avantageusement en œuvre les étapes suivantes. Après avoir reçu la mise à jour de connexion lors de l’étape 208 ou 212, le dispositif esclave reçoit N paquets consécutifs en provenance du dispositif maître, où N≥1. Ces N paquets sont de préférence ceux qui sont reçus par l’esclave immédiatement après la mise à jour de connexion fournie par le maître 1. Ces N paquets sont reçus par l’esclave conformément à des paramètres de communication : chaque paquet est en effet reçu à un instant donné, via un canal fréquentiel donné. L’esclave compare les paramètres de communication utilisés pour la transmission des N paquets consécutifs à l’esclave et les paramètres de communication indiqués dans la mise à jour de connexion. Lorsque les paramètres comparés correspondent, l’esclave conclue que les paquets ont été reçus dans des conditions normales. Le risque de présence d’un relai tel que A est alors considéré faible par l’esclave 2. En revanche, lorsque les paramètres comparés ne correspondent pas, l’esclave 2 met avantageusement en œuvre l’étape de contre-mesure 214. En fait, lorsqu’un relai A est présent, celui-ci peut avoir besoin d’un certain temps pour prendre connaissance de la nouvelle séquence de canaux fréquentiels indiquée dans la mise à jour de connexion. En particulier, le relai A peut ne pas avoir le temps ou ne pas avoir la capacité d’accéder au contenu de la mise à jour de connexion qu’il relaie, mais plutôt détecter les N canaux fréquentiels utilisés par le maître pour transmettre les N paquets consécutifs, et prédire sur leur base la séquence plus globale de canaux indiquée dans la mise à jour de connexion émise par le maître. Ce travail de détection prend donc un certain laps de temps, laps de temps durant lequel le relai A utilise encore les canaux fréquentiels obsolètes qui avaient auparavant été indiqués dans la requête de connexion (grâce à quoi, jusqu’ici, ce relai parvenait à se faire passer pour le maître 1 auprès de l’esclave 2). Ainsi, dans ce laps de temps, les paramètres de communication qu’utilise le relai A pour relayer les N paquets à l’esclave 2 ne correspondent pas encore aux paramètres de communication indiqués dans la mise à jour de connexion reçue par l’esclave 2. Ainsi, lorsque les paramètres comparés par l’esclave 2 ne correspondant pas, il existe un risque qu’une attaque par relai soit en cours, et c’est pourquoi il est avantageux de déclencher l’étape de contre-mesure dans cette situation. Les dispositifs et procédés décrits précédemment trouvent avantageusement application dans des communications utilisant le protocole BLE, mais ne sont pas limités à cette application particulière. Ces dispositifs et procédés peuvent être utilisés avec d’autres protocoles instaurant une relation de type maître-esclave entre deux dispositifs. Procédé de communication radio d’un dispositif esclave avec un dispositif maître, le procédé comprenant des étapes de : - réception (202) par le dispositif esclave d’un requête de connexion émise par le dispositif maître comprenant des premiers paramètres de communication avec le dispositif maître, les paramètres de communication étant indicatifs d’une séquence de canaux fréquentiels à utiliser au cours de périodes successives pour communiquer avec le dispositif maître, - au cours d’une des périodes, mise en œuvre par le dispositif esclave d’un traitement propre à causer l’émission, par le dispositif maître, d’une mise à jour de connexion comprenant des deuxièmes paramètres de communication avec le dispositif maître à utiliser à la place des premiers paramètres de communication, le traitement comprenant une action (210) sur un des canaux fréquentiels propre à causer une détection par le dispositif maître d’une dégradation d’une qualité de communication sur le canal fréquentiel. Procédé selon la revendication précédente, dans lequel le traitement comprend l’émission (206) d’une requête de mise à jour de connexion, à destination du dispositif maître, l’action étant mise en œuvre sélectivement lorsque le dispositif esclave détecte que la requête de mise à jour des paramètres n’a pas été traitée par le dispositif maître. Procédé selon la revendication précédente, dans lequel la requête de mise à jour de connexion est encryptée par le dispositif esclave avant d’être émise. Procédé selon l’une des revendications précédentes, dans lequel l’action (210) sur un des canaux fréquentiels comprend l’émission sur le canal fréquentiel d’un message comprenant un contenu altéré simulant une erreur de transmission, tel qu’un message comprenant des données utiles et un code de redondance cyclique de valeur indiquant une erreur dans les données utiles, Procédé selon l’une des revendications précédentes, dans lequel l’action (210) sur un des canaux fréquentiels comprend l’absence d’émission d’une réponse attendue par le dispositif maître sur le canal fréquentiel. Procédé selon l’une des revendications précédentes, dans lequel le canal fréquentiel sur lequel l’action (210) est réalisée est sélectionné aléatoirement par le dispositif esclave parmi plusieurs canaux fréquentiels. Procédé selon l’une des revendications précédentes, comprenant par ailleurs une étape de contre-mesure (214) lorsque le dispositif esclave ne reçoit pas la mise à jour de connexion de fréquence dans un délai prédéterminé ou après la réception d’un nombre prédéterminé de paquets émis par le dispositif maître, l’étape de contre-mesure (214) comprenant au moins une des opérations suivantes : - l’émission d’un message de rupture de connexion à destination du dispositif maître, - l’émission d’un message d’alerte informant le dispositif maître que la communication radio n’est pas sécurisée contre des attaques par relai, - un arrêt de communication radio avec le dispositif maître. Procédé selon l’une des revendications précédentes, comprenant : - après réception de la mise à jour de connexion, réception par le dispositif esclave de N paquets consécutifs en provenance du dispositif maître, où N≥1, - comparaison (218) entre des paramètres de communication utilisés pour la transmission des N paquets consécutifs au dispositif esclave et les deuxièmes paramètres de communication, - lorsque les paramètres comparés ne correspondent pas, mise en œuvre par le dispositif esclave d’une étape de contre-mesure (214) comprenant au moins une des opérations suivantes : - l’émission d’un message de rupture de connexion à destination du dispositif maître, - l’émission d’un message d’alerte informant le dispositif maître que la communication radio n’est pas sécurisée contre des attaques par relai, - un arrêt de communication radio avec le dispositif maître. Procédé selon l’une des revendications précédentes, dans lequel le dispositif esclave et utilise un protocole Bluetooth à basse énergie pour communiquer avec le dispositif maître. Produit programme d'ordinateur comprenant des instructions de code de programme pour l'exécution des étapes du procédé selon l’une des revendications précédentes, lorsque ce programme est exécuté par un dispositif maître ou esclave. Mémoire lisible par ordinateur stockant des instructions exécutables par l’ordinateur pour l’exécution des étapes du procédé selon l’une des revendications 1 à 9. Dispositif esclave (2) comprenant : - une interface de communication radio (20) pour recevoir une requête de connexion émise par un dispositif maître et comprenant des premiers paramètres de communication avec le dispositif maître, les paramètres de communication étant indicatifs d’une séquence de canaux fréquentiels à utiliser au cours de périodes successives pour communiquer avec le dispositif maître, - une unité de traitement (22) configurée pour mettre en œuvre, au cours d’une des périodes, un traitement propre à causer l’émission, par le dispositif maître, d’une mise à jour de connexion comprenant des deuxièmes paramètres de communication avec le dispositif maître à utiliser à la place des premiers paramètres de communication, le traitement comprenant une action sur un des canaux fréquentiels propre à causer une détection par le dispositif maître d’une dégradation d’une qualité de communication sur le canal fréquentiel. Système comprenant : - un dispositif esclave (2) selon la revendication précédente, et - un dispositif maître (1) configuré pour émettre la mise à jour de connexion.