Brevet FR3158007A1 — publié le 20250704

Procédé de contrôle des échanges de données entre un système embarqué et un réseau externe Procédé de contrôle des échanges de données entre un système embarqué, notamment intégré dans un véhicule automobile, et un réseau externe, notamment un réseau de télécommunications, notamment internet, ou un réseau de localisation, le système embarqué étant ou comportant au moins une unité de contrôle télématique destinée à connecter ledit système embarqué audit réseau externe, au moins une unité de contrôle électronique étant reliée au système embarqué, ladite unité de contrôle télématique comprenant au moins une interface de duplication, un environnement d’exécution en confiance, et un moniteur de trafic, le procédé comportant au moins les étapes suivantes : l’interface de duplication duplique des paquets de données en provenance dudit réseau et les transmet au moniteur de trafic, le moniteur de trafic contrôle au moins une partie desdits paquets de données dupliqués en les comparant à des paquets de référence préalablement acquis, et si une typologie anormale des paquets comparés est détectée suite à ce contrôle, le moniteur de trafic le signale à ladite au moins une unité de contrôle électronique afin que des mesures de protection soient prises. Figure pour l’abrégé : Fig. 1 Procédé de contrôle des échanges de données entre un système embarqué et un réseau externe La présente invention concerne un procédé et un dispositif de contrôle des échanges de données entre un système embarqué, notamment intégré dans un véhicule automobile, et un réseau externe. Les architectures automobiles modernes utilisent un cloisonnement en « zones » pour se prémunir des cyberattaques ; le passage d’une zone à une autre est limité à un strict minimum en termes de flux de données, et est renforcé par des techniques de proxy et de terminaisons protocolaires. Un attaquant commence généralement son attaque dans les zones les plus exposées de l’architecture, c’est-à-dire le modem internet, aussi appelé inter-vehicule communication (IVC), unité de contrôle télématique (telematic control unit, TCU) ou SmartAntenna (SA). Ce modem n’a généralement que peu de privilèges, il se contente de faire transiter des flux de données quasi-bruts vers le reste de l’architecture, notamment vers la zone appelée in-vehicule infotainment (IVI), en proposant en particulier une connectivité internet, pour le confort de l’utilisateur, et pour les services du fabricant (original equipment manufacturer, OEM), notamment la télématique. L’unité de contrôle télématique est également généralement une source de connectivité pour la communication entre le véhicule et toute entité susceptible d'affecter ou d'être affectée par le véhicule, concept appelé « vehicule-to-everything » (V2X), et récupère les informations de localisation des systèmes GNSS. Pour autant, ce composant est donc considéré dans les stratégies de cybersécurité comme n’étant pas de confiance, et facilement piratable par un attaquant. C’est pourtant le seul élément de la chaîne qui connecte le véhicule à Internet, sa sécurité est donc particulièrement cruciale. Il serait souhaitable de pouvoir monitorer le flux échangé avec Internet par le véhicule, afin de détecter les tentatives de l’attaquant pour s’infiltrer sur le véhicule et les tentatives de l’attaquant pour exfiltrer des données vers des serveurs non-autorisés. Cependant, cela n’est pas possible avec les technologies logicielles traditionnelles : si l’attaquant a pris le contrôle de l’unité de contrôle télématique, il peut également désactiver le système de contrôle, et ainsi passer sous le radar de tout contrôle. Aussi, ces techniques de contrôle sont de nature à perturber la performance des communications, notamment niveau latence et débit. Les systèmes connus de détection d’intrusion ou d’exfiltration se positionnent dans le même système d’exploitation de l’environnement d’exécution en confiance (REE) que les autres fonctions de la plateforme, telles que modem, connectivité, clients HTTP et MQTT, ce qui permet facilement à un attaquant de les rendre inopérants. Dans le monde du c loud , hors automobile, les autres systèmes se positionnent sous la forme de briques hardware séparées, par exemple Fortinet FortiGate, qui réalisent cette inspection sur un système physiquement distinct, ce qui permet d’éviter qu’un attaquant les rende inopérants. Néanmoins, ces systèmes n’existent pas dans le monde automobile, d’autant plus sur des systèmes sans-fil, tels que 4G/5G/WiFi, où l’applicabilité de ces solutions serait très difficile. Il existe ainsi un besoin pour perfectionner encore les moyens pour contrôler les échanges de données entre un système embarqué, notamment intégré dans un véhicule automobile, et un réseau externe, notamment un réseau de télécommunications, afin de contrer les cyberattaques. Procédé de contrôle La présente invention répond à ce besoin grâce à, selon l’un de ses aspects, un procédé de contrôle des échanges de données entre un système embarqué, notamment intégré dans un véhicule automobile, et un réseau externe, notamment un réseau de télécommunications, notamment internet, ou un réseau de localisation, le système embarqué étant ou comportant au moins une unité de contrôle télématique destinée à connecter ledit système embarqué audit réseau externe, au moins une unité de contrôle électronique étant reliée au système embarqué, ladite unité de contrôle télématique comprenant au moins une interface de duplication, un environnement d’exécution en confiance, et un moniteur de trafic, le procédé comportant au moins les étapes suivantes : l’interface de duplication duplique des paquets de données en provenance dudit réseau et les transmet au moniteur de trafic, le moniteur de trafic contrôle au moins une partie desdits paquets de données dupliqués en les comparant à des paquets de référence préalablement acquis, et si une typologie anormale des paquets comparés est détectée suite à ce contrôle, le moniteur de trafic le signale à ladite au moins une unité de contrôle électronique afin que des mesures de protection soient prises. Grâce à l’invention, il est possible de détecter des tentatives de cyberattaques ou d’exfiltration de données non autorisées, y compris si l’unité de contrôle télématique elle-même a été compromise par l’attaquant au préalable. La solution proposée dans cette invention, le moniteur de trafic, utilise les techniques de l’environnement d’exécution en confiance (Trusted Execution Environment ou TEE) pour héberger un logiciel de contrôle des flux réseau, sans perturber les performances de l’unité de contrôle télématique, et sans possibilité pour l’attaquant de désactiver ce contrôle du flux réseau, même avec le système d’exploitation du modem intégralement compromis. Cette solution représente en grande majorité une solution purement logicielle, exploitant les fonctionnalités des systèmes embarqués modernes. L’invention peut donc être mise en œuvre progressivement par des mises à jour à distance, sur des architectures existantes. L’invention s’applique à tout système communiquant vers un environnement non sécurisé, par exemple 4G/5G/WiFi, et dont on souhaite monitorer les communications, y compris lorsque le système d’exploitation est compromis jusqu’au noyau du système d’exploitation. Dans un mode de réalisation préféré, le moniteur de trafic est intégré dans l’environnement d’exécution en confiance. Le moniteur de trafic peut être implémenté comme composant logiciel de l’environnement d’exécution riche, étant isolé des autres composants par des stratégies de contrôle d’accès, telles que machine virtuelle, conteneur, controlgroups, ou namespaces. Un attaquant doit alors prendre le contrôle de l’espace utilisateur du système d’exploitation pour rendre le moniteur de trafic inopérant. L’unité de contrôle télématique peut comporter en outre un module de liaison au réseau qui reçoit les paquets de données, des bus de communication sont utilisés entre ledit module de liaison au réseau, l’interface de duplication, le moniteur de trafic, ledit environnement d’exécution en confiance et une ou plusieurs unités de contrôle électroniques destinées à l’origine à recevoir lesdits paquets, notamment plusieurs bus d’interconnexion ou un bus à accès contrôlé. Ces bus sont particulièrement utiles dans le cas où le module de liaison au réseau est un modem intégré dans le système embarqué sous la forme d’une IP hardware , ce qui est fréquent sur les systèmes connus. L’environnement d’exécution en confiance a avantageusement la possibilité de préempter la configuration du module de liaison au réseau, qui est notamment un modem LTE/WiFi, pour forcer l’envoi de paquets de données même si l’environnement d’exécution riche de l’unité de contrôle télématique est compromis. Les modems connus disposent de plusieurs interfaces de contrôle par données, par exemple UART et PCIe ou UART et USB, ce qui répond à cette problématique. De manière préférée, lesdits paquets de référence préalablement acquis sont enregistrés dans une base de données ou dans un réseau de neurones auquel le moniteur de trafic a accès. Ce type de technologies existe déjà dans le monde du Cloud Computing, où des logiciels sont spécifiquement entraînés à détecter des signatures malveillantes, en contrôlant notamment les ports de communication, la typologie du trafic, la fréquence des communications, le pays ou les « internet exchange point » (IXP) des adresses IP de destination. L’interface de duplication peut être un composant électronique distinct dudit environnement d’exécution en confiance ou peut être incluse dans le noyau du système d’exploitation de ce dernier. Cette interface permet un fonctionnement sans perturbation des communications, y compris à des débits de plusieurs centaines de mégabits par seconde que permet la 5G. Dans le cas où l’interface de duplication est incluse dans le noyau du système d’exploitation de l’environnement d’exécution en confiance, un système de hooks peut être utilisé dans le noyau du système d’exploitation, qui communiquent via un système de mémoire partagée avec l’environnement d’exécution en confiance, par exemple sous forme de modules signés du kernel Linux. Ils peuvent dès lors envoyer les paquets de données, ou juste leurs métadonnées, après les avoir préfiltrées, afin d’éviter de surcharger l’environnement d’exécution en confiance. L’attaquant doit alors prendre le contrôle sur le noyau pour rendre le moniteur de trafic inopérant, ce qui est difficile. Dans un mode de réalisation préféré, les paquets sont également transmis à une ou plusieurs unités de contrôle électroniques destinataires depuis l’unité de contrôle télématique par le biais de bus de communication. Un tri des paquets à envoyer au moniteur de trafic peut être effectué par l’interface de duplication, afin de ne pas surcharger l’environnement d’exécution en confiance. Les paquets légitimement authentiques peuvent être exclus vers les serveurs légitimes Google ou du constructeur automobile, le cas échéant. L’attaquant doit ainsi casser la configuration du bloc hardware pour rendre le moniteur de trafic inopérant, ce qui est hautement improbable. Le moniteur de trafic signale avantageusement la détection de la typologie anormale des paquets à ladite au moins une unité de contrôle électronique et/ou au réseau externe par le biais de canaux de communication dédiés, notamment un canal UART ou un port Ethernet dédié par le biais d’un système de filtrage par domaines intégré à l’unité de contrôle télématique. Un score peut être calculé en fonction du contrôle des paquets par le moniteur de trafic, représentant la probabilité qu’une cyber-attaque soit en cours. Dans le cas où le système embarqué est intégré dans un véhicule automobile, le moniteur de trafic peut être interconnecté à d’autres moniteur de trafic compris dans d’autres unité de contrôle électroniques du véhicule automobile, afin notamment de corréler une activité malveillante et d’éliminer des faux-positifs de détection. Dans ce cas, un score global peut être calculé sur tout le véhicule automobile ou sur une ou plusieurs sous-parties dudit véhicule, représentant la probabilité qu’une cyber-attaque soit en cours sur le véhicule, ledit score global étant mis à disposition sur plusieurs ou toutes les unités de contrôle électroniques du véhicule pour déclencher des actions préventives d’autoprotection, notamment la déconnexion temporaire des fonctionnalités connectées. L’attaquant dispose de plusieurs possibilités pour réaliser le déni de service du moniteur de trafic. Il existe bien sûr les possibilités physiques, telles que retirer l’antenne réseau ou corrompre le logiciel embarqué, contre lesquelles il n’est pas possible de se protéger, mais aussi les possibilités à distance après compromission. L’attaquant pourrait empêcher l’exécution de l’environnement d’exécution en confiance, et donc du moniteur de trafic. Pour empêcher cela, l’environnement d’exécution en confiance peut être ordonnancé par un minuteur spécifique, appelé Secure Timer, plutôt que par l’environnement d’exécution riche comme c’est le cas dans les méthodes connues. Dans le cas d’un véhicule automobile, l’attaquant pourrait empêcher la remontée d’informations vers l’extérieur, appelé « offboard ». Par exemple, l’attaquant reconfigure le modem via l’environnement d’exécution en confiance, pour désactiver le réseau. Comme contremesure, les commandes privilégiées du module de liaison au réseau, permettant le déni de service, peuvent n’être accessibles qu’au niveau de l’environnement d’exécution en confiance, après authentification. Si l’environnement d’exécution riche doit exécuter ces commandes, il le fait avantageusement via l’environnement d’exécution en confiance, qui ne les exécutera que si aucune compromission n’est détectée. Le moniteur de trafic, grâce à son interface privilégiée au module de liaison au réseau, peut ordonner également la désactivation de certaines fonctionnalités, par exemple l’émission/réception de paquets en-dehors d’une liste blanche autorisée par le constructeur du véhicule automobile, le cas échéant, a minima jusqu’à la prochaine réinitialisation de la plateforme complète dans un état authentique, appelée cold boot . Les composants externes, notamment des unités de contrôle électroniques, peuvent ensuite décider d’actions en fonction du niveau de sécurité attendu, par exemple empêcher la réception de messages provenant de services en-dehors d’une liste-blanche du constructeur du véhicule automobile, le cas échéant, ou empêcher l’émission vers l’extérieur. Dispositif Selon un autre de ses aspects, l’invention porte sur un dispositif de contrôle des échanges de données entre un système embarqué, notamment intégré dans un véhicule automobile, et un réseau externe, notamment un réseau de télécommunications, notamment internet, ou un réseau de localisation, le système embarqué étant ou comportant au moins une unité de contrôle télématique destinée à connecter ledit système embarqué audit réseau externe et comprenant un environnement d’exécution en confiance, au moins une unité de contrôle électronique étant reliée au système embarqué, ledit dispositif étant inclus dans ladite unité de contrôle télématique et comprenant au moins une interface de duplication et un moniteur de trafic, dispositif dans lequel : l’interface de duplication est configurée pour dupliquer des paquets de données en provenance dudit réseau et les transmettre au moniteur de trafic, le moniteur de trafic est configuré pour contrôler au moins une partie desdits paquets de données dupliqués en les comparant à des paquets de référence préalablement acquis, et si une typologie anormale des paquets comparés est détectée suite à ce contrôle, le moniteur de trafic est configuré pour le signaler à ladite au moins une unité de contrôle électronique afin que des mesures de protection soient prises. Dans un mode de réalisation, le moniteur de trafic est intégré dans l’environnement d’exécution en confiance. L’interface de duplication peut être un composant électronique distinct dudit environnement d’exécution en confiance ou peut être incluse dans le noyau du système d’exploitation de ce dernier. L’environnement d’exécution en confiance peut être un environnement TrustZone, ou bien un coprocesseur de sécurité dédié, par exemple de type Cortex-M, Cortex-R, RISC-V, ou propriétaire, au sein d’un System-on-Chip (SoC). Les caractéristiques énoncées en relation avec le procédé s’appliquent au dispositif et vice-versa. Véhicule automobile Selon un autre de ses aspects, l’invention porte sur un véhicule automobile comprenant un groupe motopropulseur et au moins une unité de contrôle télématique comprenant un dispositif de contrôle des échanges de données selon l’invention. Les caractéristiques énoncées en relation avec le procédé s’appliquent au véhicule et vice-versa. L’invention pourra être mieux comprise à la lecture de la description détaillée qui va suivre, d’un exemple de mise en œuvre non limitatif de celle-ci, et à l’examen du dessin annexé, sur lequel FIG. 1 la FIG. 1 représente un exemple de mise en œuvre de l’invention, FIG. 2 la FIG. 2 représente un exemple d’utilisation de l’invention, et FIG. 3 la FIG. 3 représente un deuxième exemple d’utilisation de l’invention. Description détaillée On a représenté à la FIG. 1 un exemple de dispositif selon l’invention adapté pour mettre en œuvre la méthode de contrôle des échanges de données entre un système embarqué intégré dans un véhicule automobile et un réseau externe de télécommunications. Dans l’exemple considéré, le système embarqué est une unité de contrôle télématique 1 connectée au réseau et comprenant un environnement d’exécution en confiance 3 (TEE). Une unité de contrôle électronique 2 est reliée à l’unité de contrôle télématique. Le dispositif selon l’invention est inclus dans l’unité de contrôle télématique et comprend une interface de duplication 6 et un moniteur de trafic, intégré dans l’environnement d’exécution en confiance de l’unité de contrôle télématique. L’interface de duplication 6 est configurée pour dupliquer des paquets de données en provenance du réseau (flèche 1), par le biais du module de connexion au réseau 5 (LTE modem, flèche 2), et les transmettre au moniteur de trafic, comme représenté par les flèches 3. Le moniteur de trafic est configuré pour contrôler au moins une partie desdits paquets de données dupliqués en les comparant à des paquets de référence préalablement acquis, enregistrés dans une base de données ou dans un réseau de neurones auquel le moniteur de trafic a accès. Si une typologie anormale des paquets comparés est détectée suite à ce contrôle, le moniteur de trafic est configuré pour le signaler à l’unité de contrôle électronique 2 afin que des mesures de protection soient prises. Des bus de communication sont utilisés entre le module de liaison au réseau, l’interface de duplication, le moniteur de trafic, l’environnement d’exécution en confiance et l’unité de contrôle électronique destinée à l’origine à recevoir les paquets. Plusieurs bus d’interconnexion ou un bus à accès contrôlé peuvent être utilisés. Les paquets sont également transmis à l’unité de contrôle électronique destinataire depuis l’environnement d’exécution riche par le biais de bus de communication. Dans l’exemple illustré, l’interface de duplication est un composant électronique distinct de l’unité de contrôle télématique. Dans une variante non représentée, elle est incluse dans le noyau du système d’exploitation de l’environnement d’exécution en confiance. Un tri des paquets à envoyer au moniteur de trafic est avantageusement effectué par l’interface de duplication. De préférence et comme dans l’exemple illustré, le moniteur de trafic signale la détection de la typologie anormale des paquets à l’unité de contrôle électronique et au réseau externe par le biais de canaux de communication dédiés, par exemple un canal UART ou un port Ethernet dédié par le biais d’un système de filtrage par domaines intégré à l’unité de contrôle télématique. Un score peut être calculé en fonction du contrôle des paquets par le moniteur de trafic, représentant la probabilité qu’une cyber-attaque soit en cours. De préférence, le moniteur de trafic est interconnecté à d’autres moniteur de trafic compris dans d’autres unité de contrôle électroniques du véhicule automobile, afin notamment de corréler une activité malveillante et d’éliminer des faux-positifs de détection. Dans ce cas, un score global est calculé sur tout le véhicule automobile ou sur une ou plusieurs sous-parties dudit véhicule, représentant la probabilité qu’une cyber-attaque soit en cours sur le véhicule. Ce score global peut être mis à disposition sur plusieurs ou toutes les unités de contrôle électroniques du véhicule pour déclencher des actions préventives d’autoprotection, notamment la déconnexion temporaire des fonctionnalités connectées. Dans l’exemple de la FIG. 2 , un utilisateur qui installe une application Android de source peu sûre sur l’unité de contrôle électronique CDC 2 de son véhicule automobile peut déclencher des communications qui peuvent sembler malveillantes, au niveau des protocoles utilisés ou des pays des serveurs par exemple, mais ne le sont pas. Dans ce cas, le moniteur de trafic du tableau de bord (2) détecte une activité suspecte d’émission de paquets vers un serveur suspicieux, puis le moniteur de trafic selon l’invention (3) détecte la même chose. L’ajout d’un moniteur de trafic au niveau du pont/proxy DMZ (1) permet de certifier qu’aucun trafic malveillant n’a été vu entre la zone de sécurité et l’unité de contrôle électronique 2, ce qui permet de lever le faux-positif. Si le moniteur de trafic DMZ n’existait pas, il n’y aurait aucun moyen de lever le doute sur un éventuel faux-positif, et la connexion légitime de l’application Android installée par l’utilisateur aurait été bloquée. Au contraire, dans l’exemple de la FIG. 3 , un attaquant qui exfiltre de la donnée depuis la zone de sécurité A vers Internet provoquera également une activité réseau, qui pourra être corrélée à l’activité détectée par le moniteur de trafic selon l’invention, alors que le cas de l’application Android peu sûre ne provoque pas cette corrélation. Grâce à l’interconnexion des moniteurs de trafic, il est ainsi possible d’établir un score global et d’éliminer les faux-positifs. L’invention n’est pas limitée aux exemples qui viennent d’être décrits. En particulier, d’autres unités de contrôle électroniques peuvent être utilisées et être reliées au système embarqué mis en œuvre dans l’invention. L’invention peut être mise en œuvre dans des systèmes embarqués non intégrés à un véhicule automobile, dans des solutions dites « offboard ». L’invention peut être utilisée dans l’industrie aéronautique ou ferroviaire, ou pour la défense, dès lors que des architectures zonales de sécurité sont mises en œuvre. Procédé de contrôle des échanges de données entre un système embarqué, notamment intégré dans un véhicule automobile, et un réseau externe, notamment un réseau de télécommunications, notamment internet, ou un réseau de localisation, le système embarqué étant ou comportant au moins une unité de contrôle télématique (1) destinée à connecter ledit système embarqué audit réseau externe, au moins une unité de contrôle électronique (2) étant reliée au système embarqué, ladite unité de contrôle télématique (1) comprenant au moins une interface de duplication (6), un environnement d’exécution en confiance (3), et un moniteur de trafic (4), le procédé comportant au moins les étapes suivantes : l’interface de duplication duplique des paquets de données en provenance dudit réseau et les transmet au moniteur de trafic, le moniteur de trafic contrôle au moins une partie desdits paquets de données dupliqués en les comparant à des paquets de référence préalablement acquis, et si une typologie anormale des paquets comparés est détectée suite à ce contrôle, le moniteur de trafic le signale à ladite au moins une unité de contrôle électronique afin que des mesures de protection soient prises. Procédé selon la revendication 1, dans lequel le moniteur de trafic est intégré dans l’environnement d’exécution en confiance. Procédé selon la revendication 1 ou 2, dans lequel, l’unité de contrôle télématique comportant en outre un module de liaison au réseau qui reçoit les paquets de données, des bus de communication sont utilisés entre ledit module de liaison au réseau, l’interface de duplication, le moniteur de trafic, ledit environnement d’exécution en confiance et une ou plusieurs unités de contrôle électroniques destinées à l’origine à recevoir lesdits paquets, notamment plusieurs bus d’interconnexion ou un bus à accès contrôlé. Procédé selon l’une quelconque des revendications précédentes, dans lequel lesdits paquets de référence préalablement acquis sont enregistrés dans une base de données ou dans un réseau de neurones auquel le moniteur de trafic a accès. Procédé selon l’une quelconque des revendications précédentes, dans lequel l’interface de duplication est un composant électronique distinct dudit environnement d’exécution en confiance ou est incluse dans le noyau du système d’exploitation de ce dernier. Procédé selon l’une quelconque des revendications 2 à 4, dans lequel les paquets sont également transmis à une ou plusieurs unités de contrôle électroniques destinataires depuis l’unité de contrôle télématique par le biais de bus de communication. Procédé selon l’une quelconque des revendications précédentes, dans lequel un tri des paquets à envoyer au moniteur de trafic est effectué par l’interface de duplication. Procédé selon l’une quelconque des revendications précédentes, dans lequel le moniteur de trafic signale la détection de la typologie anormale des paquets à ladite au moins une unité de contrôle électronique et/ou au réseau externe par le biais de canaux de communication dédiés, notamment un canal UART ou un port Ethernet dédié par le biais d’un système de filtrage par domaines intégré à l’unité de contrôle télématique. Procédé selon l’une quelconque des revendications précédentes, dans lequel un score est calculé en fonction du contrôle des paquets par le moniteur de trafic, représentant la probabilité qu’une cyber-attaque soit en cours. Procédé selon l’une quelconque des revendications précédentes, dans lequel, le système embarqué étant intégré dans un véhicule automobile, le moniteur de trafic est interconnecté à d’autres moniteur de trafic compris dans d’autres unité de contrôle électroniques du véhicule automobile, afin notamment de corréler une activité malveillante et d’éliminer des faux-positifs de détection. Procédé selon la revendication précédente, dans lequel un score global est calculé sur tout le véhicule automobile ou sur une ou plusieurs sous-parties dudit véhicule, représentant la probabilité qu’une cyber-attaque soit en cours sur le véhicule, ledit score global étant mis à disposition sur plusieurs ou toutes les unités de contrôle électroniques du véhicule pour déclencher des actions préventives d’autoprotection, notamment la déconnexion temporaire des fonctionnalités connectées. Dispositif de contrôle des échanges de données entre un système embarqué, notamment intégré dans un véhicule automobile, et un réseau externe, notamment un réseau de télécommunications, notamment internet, ou un réseau de localisation, le système embarqué étant ou comportant au moins une unité de contrôle télématique (1) destinée à connecter ledit système embarqué audit réseau externe et comprenant un environnement d’exécution en confiance (3), au moins une unité de contrôle électronique (2) étant reliée au système embarqué, ledit dispositif étant inclus dans ladite unité de contrôle télématique (1) et comprenant au moins une interface de duplication (6) et un moniteur de trafic (4), dispositif dans lequel : l’interface de duplication est configurée pour dupliquer des paquets de données en provenance dudit réseau et les transmettre au moniteur de trafic, le moniteur de trafic est configuré pour contrôler au moins une partie desdits paquets de données dupliqués en les comparant à des paquets de référence préalablement acquis, et si une typologie anormale des paquets comparés est détectée suite à ce contrôle, le moniteur de trafic est configuré pour le signaler à ladite au moins une unité de contrôle électronique afin que des mesures de protection soient prises. Dispositif selon la revendication précédente, dans lequel le moniteur de trafic est intégré dans l’environnement d’exécution en confiance. Dispositif selon la revendication 12 ou 13, dans lequel l’interface de duplication est un composant électronique distinct dudit environnement d’exécution en confiance ou est incluse dans le noyau du système d’exploitation de ce dernier. Véhicule automobile comprenant un groupe motopropulseur et au moins une unité de contrôle télématique comprenant un dispositif de contrôle des échanges de données selon l’une quelconque des revendications 12 à 14.