FR 3025611 A1 20160311 FR 1458337 A 20140905 1 PROCEDE D'AUTHENTIFICATION DE SIGNAUX RECUS D'UNE CONSTELLATION DE SATELLITES DOMAINE DE L'INVENTION [0001] La présente invention s'applique aux signaux en provenance notamment de satellites d'un système de navigation. Plus précisément, l'invention a pour but de détecter des signaux contrefaits et/ou de les corriger. ARRIERE-PLAN [0002]Des applications critiques de plus en plus nombreuses utilisent des informations fournies par les constellations de satellites de navigation (Global Navigation Satellite System ou GNSS) soit le signal de position lui-même, soit sa référence temporelle, soit les deux. C'est le cas d'applications militaires, mais sous réserve d'être exploitées par des autorités habilitées par le gouvernement contrôlant cette constellation, celles-ci peuvent utiliser les fréquences protégées dont le signal bénéficie d'une garantie d'authenticité. Les applications du domaine civil ne peuvent en règle générale pas obtenir de telles habilitations, même lorsqu'elles sont très critiques, comme c'est le cas de la navigation aérienne, de la navigation maritime ou de la sécurité civile. Elles doivent donc utiliser les signaux ouverts, dont les fréquences, les formes d'onde et les codes sont connus. Ces signaux peuvent donc être contrefaits sans difficulté excessive dans une intention maligne. La validation de l'authenticité du signal de navigation est donc une question elle-même critique. Des techniques de leurrage (ou « spoofing » selon la terminologie anglo-américaine la plus usitée) ont été développées, ainsi donc que d'anti-leurrage (« anti-spoofing »). [0003]Une première catégorie de méthodes classiques d'anti-spoofing comprend celles consistant à corréler les informations de localisation du récepteur issues du signal GNSS avec des informations en provenance d'une source externe réputée non contrefaite (cartographie terrain, altitude, capteurs inertiels, chemin parcouru par rapport à une référence authentifiée, etc...). Ces méthodes ne sont cependant pas suffisantes, prises isolément, pour le niveau de certification imposé pour certaines applications embarquées sur aéronefs comme le système anticollision terrain (Terrain Collision Avoidance System), qui suppose l'intégrité de chacun des composants du système. [0004] Des méthodes d'anti-spoofing d'une deuxième catégorie ont donc été développées pour authentifier un signal GNSS sur la base de ses caractéristiques intrinsèques perçues par le récepteur, en particulier les diagrammes de rayonnement de son antenne. L'objectif de ces méthodes est de pouvoir éliminer l'hypothèse selon laquelle tous les signaux reçus proviendraient d'une direction 3025611 2 unique (i.e. la source du signal contrefait), ce qui est fait en générant mécaniquement des variations du diagramme de rayonnement en déplaçant son centre de phase. Cet état de l'art, qui sera détaillé plus loin, comprend notamment la demande internationale de brevet publiée sous le numéro W02014/047378. Les dispositifs de 5 génération mécanique de la diversité d'antenne sont encombrants et complexes à piloter et à traiter, ce qui fait appel à une grande capacité de calcul. Ils sont donc peu susceptibles d'être intégrés avec des récepteurs grand public, par exemple des téléphones intelligents. [0005]Or les contraintes d'intégrité vont rapidement s'étendre aux terminaux de ce 10 type si, comme cela semble se concrétiser, leur usage pour des applications semi- critiques, telles que les transports ou le paiement électronique se développe. [0006]En matière de transports terrestres, la géo-localisation et le guidage par système GNSS se diffusent rapidement, vers le grand public : aide à la navigation du véhicule personnel, réservation de cycles ou d'automobiles pour location, suivi en 15 temps réel des transports urbains, etc...L'utilisateur peut utiliser soit un module de traitement de signaux GNSS spécifique (par exemple implantée dans son véhicule personnel), soit son téléphone intelligent qui intègre des fonctions de géo-localisation par signaux GNSS, et/ou par identification de la cellule du réseau de radiocommunication ou de la borne Wifi qui le dessert, et des fonctions de 20 cartographie. [0007]En matière de paiement électronique, l'utilisation d'une marque de type QRCode ou d'une puce de type NFC (Near Field Communications) permet déjà un paiement à vue mais sans contact avec un téléphone intelligent. L'horodatage et la certification du lieu de la transaction sont des moyens naturels d'authentification de 25 ces paiements, à la condition de pouvoir garantir l'intégrité de cet horodatage et de cette localisation, ce qui n'est pas aujourd'hui possible. RESUME DE L'INVENTION [0008]L'objectif de l'invention est de surmonter cette limitation de l'art antérieur. A 30 cet effet elle prévoit un système d'anti-leurrage de signaux GNSS comprenant des moyens compacts de contrôle distant et sécurisé du diagramme de rayonnement de l'antenne du récepteur. A cet effet, l'invention divulgue un procédé d'authentification de signaux GNSS reçus 35 par un module de réception, ledit procédé caractérisé en ce qu'il comprend au moins: une étape de génération de séquences de contrôle émulant un balayage et/ou un déplacement d'un cône de réception par au moins une antenne de réception des signaux GNSS; une étape de transmission à un module d'authentification de signaux 3025611 3 RF bruts en sortie de ladite au moins une antenne de réception des signaux GNSS; une étape d'acquisition de données brutes représentatives desdits signaux GNSS, lesdites données brutes choisies dans un groupe de données représentatives d'un angle de phase, d'un centre de phase, d'une amplitude et d'une puissance de 5 porteuse; une étape de transmission au module d'authentification d'un message contenant lesdites données brutes représentatives desdits signaux GNSS; une étape de production par le module d'authentification d'un certificat d'authentification des signaux GNSS par un traitement recevant en entrée au moins lesdits signaux RF bruts en sortie de ladite au moins une antenne de réception et lesdites données 10 brutes représentatives desdits signaux GNSS. [0009]Avantageusement, les séquences de contrôle sont générées par un code pseudo-aléatoire produit par une clé de chiffrement. 15 [0010]Avantageusement, le message transmis au module d'authentification comprend en outre des données PVT de localisation du récepteur. [0011]Avantageusement, le balayage d'un cône de réception comprend une génération de signaux atténués dans au moins une direction dudit cône. 20 [0012]Avantageusement, le déplacement d'un cône de réception dudit signal comprend une commutation entre au moins deux antennes. [0013]Avantageusement, les signaux RF bruts en sortie de ladite au moins une 25 antenne de réception du signal GNSS sont numérisés avant transmission au module d'authentification. [0014]Avantageusement, les signaux RF numérisés en sortie de l'étape de numérisation sont chiffrés par au moins une première partie de la clé de chiffrement, 30 avant transmission au module d'authentification. [0015]Avantageusement, lesdites données brutes représentatives des signaux GNSS sont chiffrées par au moins une deuxième partie de ladite clé de chiffrement, avant transmission au module d'authentification. 35 [0016]Avantageusement, la production du certificat d'authentification des signaux GNSS est réalisée seulement si celui-ci satisfait un test de cohérence TC1 des mesures de phase et/ou de différences de mesures de phases entre signaux d'axes 3025611 4 satellites différents avec un modèle déduit des séquences de contrôle émulant le balayage et/ou le déplacement d'un cône de réception. [0017]Avantageusement, la production du certificat d'authentification des signaux 5 GNSS est réalisée seulement si celui-ci satisfait un test de cohérence TC2 des directions d'arrivée mesurées par le module de réception avec des directions attendues déterminées par un modèle déduit des séquences de contrôle émulant le balayage et/ou le déplacement d'un cône de réception. 10 [0018]Avantageusement, la production du certificat d'authentification des signaux GNSS est réalisée seulement si celui-ci satisfait un test de cohérence TC3 des puissances, amplitudes et/ou des rapports signal à bruit mesurés selon des directions d'arrivée mesurées par le module de réception avec puissances, amplitudes et/ou rapports signal à bruit attendus dans des directions attendues, ces 15 paramètres étant déterminés par un modèle déduit des séquences de contrôle émulant le balayage et/ou le déplacement d'un cône de réception. [0019]Avantageusement, la production du certificat d'authentification des signaux GNSS est réalisée seulement si un test de cohérence TC est satisfait, ledit test étant 20 défini par une combinaison linéaire des tests de cohérence TC1, TC2 et TC3, les pondérations desdits tests TC1, TC2 et TC3 étant définies en fonction d'un indicateur de qualité de réception des signaux GNSS et/ou d'une position du module de réception estimée par un moyen de localisation différent des signaux GNSS. 25 [0020]Avantageusement, le moyen de localisation différent des signaux GNSS est choisi dans le groupe comprenant une cartographie terrain, une centrale inertielle, une identification d'une cellule de réseau de radiocommunications ou d'une borne Wifi. 30 [0021]Avantageusement, lorsqu'il existe un indice de présence de signaux GNSS non authentiques, on analyse les pics de corrélation inter-canaux sur les signaux bruts en sortie de ladite au moins une antenne de réception. [0022]L'invention divulgue également un système d'authentification de signaux 35 GNSS, caractérisé en ce qu'il comprend au moins: une pluralité de modules d'antennes, chaque module d'antennes comprenant au moins une antenne; une pluralité de modules de réception de signaux GNSS, chaque module de réception configuré pour fournir en sortie des données brutes représentatives desdits signaux 3025611 5 GNSS, lesdites données brutes choisies dans un groupe de données représentatives d'un angle de phase, d'un centre de phase, d'une amplitude et d'une puissance de porteuse; au moins un module de traitement, ledit au moins un module de traitement configuré pour générer au moins une séquence de contrôle émulant un 5 balayage et/ou un déplacement d'un cône de réception desdits signaux par le module d'antennes ; au moins un module d'authentification, ledit module d'authentification configuré pour produire un certificat d'authentification des signaux GNSS par un traitement recevant en entrée au moins des signaux RF bruts en sortie de ladite au moins une antenne de réception et lesdites données brutes 10 représentatives desdits signaux GNSS. [0023]Avantageusement, le système de l'invention comprend un serveur, ledit serveur assurant la gestion des clés de chiffrement et au moins une partie des fonctions du au moins un module d'authentification. 15 [0024]Avantageusement, au moins une partie de la pluralité des modules d'antennes et des modules de réception est implantée dans des véhicules terrestres automobiles. 20 [0025]Avantageusement, le système de l'invention comprend une pluralité de modules de traitement, au moins une partie de la pluralité des modules de réception étant implantée dans le voisinage de terminaux de paiement électronique. [0026]L'invention divulgue également un boîtier antenne de réception de signaux 25 GNSS, caractérisé en ce qu'il comprend : au moins une antenne configurée pour recevoir des signaux GNSS ; un ensemble de composants électroniques configurés pour émuler un balayage et/ou un déplacement d'un cône de réception de ladite au moins une antenne sous le contrôle d'une séquence générée par un code pseudoaléatoire en entrée numérique dudit boîtier; un convertisseur analogique numérique 30 configuré pour fournir à au moins une sortie analogique ou numérique un échantillonnage des signaux RF bruts. [0027]L'invention divulgue également un équipement d'authentification de signaux GNSS, caractérisé en ce qu'il comprend : A) une entrée numérique configurée pour 35 recevoir des clés de chiffrement ; B) un moyen d'acquisition à une fréquence d'échantillonnage prédéterminée de : i) signaux RF bruts en sortie d'au moins une antenne de réception de signaux GNSS, ii) données brutes représentatives desdits signaux GNSS, lesdites données brutes choisies dans un groupe de données 3025611 6 représentatives d'un angle de phase, d'un centre de phase, d'une amplitude et d'une puissance de porteuse ; C) un circuit de traitement configuré pour : i) générer un code pseudo-aléatoire à partir d'une clé de chiffrement, ledit code étant lui-même configuré pour générer une séquence de contrôle émulant un balayage et/ou un 5 déplacement d'un cône de réception par ladite au moins une antenne de réception de signaux GNSS ; ii) acquérir ou produire un modèle d'état de variables en sortie du moyen d'acquisition, ledit modèle d'état adapté à la séquence de contrôle ; iii) exécuter au moins un test de cohérence entre au moins une partie des données mesurées en sortie du moyen d'acquisition et leur modèle d'état. 10 [0028] Un autre avantage de l'invention est de permettre la répartition des traitements algorithmiques de validation de l'absence de leurrage sur différents processeurs, ce qui permet d'appliquer le procédé à des terminaux n'ayant que les capacités d'un téléphone intelligent standard. 15 [0029] Un autre avantage de l'invention est de pouvoir être mise en oeuvre dans plusieurs types d'architecture physique, ce qui facilite l'utilisation dans un grand nombre de scenarios d'usage. [0030] Un autre avantage de l'invention, dans certains de ses modes de réalisation, est d'utiliser tout ou partie d'une même séquence pseudo-aléatoire générée par une 20 ou plusieurs clés de chiffrement pour contrôler le diagramme de rayonnement de l'antenne et pour protéger les échanges de données entre les différents éléments du système. [0031] Un autre avantage de l'invention est de permettre de combiner différentes techniques d'analyse pour adapter les procédures d'authentification à l'évolution des 25 scénarios d'usage et des techniques de leurrage. [0032] Un autre avantage de l'invention est de favoriser une centralisation des données sur le leurrage permettant d'améliorer les algorithmes de détection. BREVE DESCRIPTION DES DESSINS 30 [0033] L'invention sera mieux comprise et ses différentes caractéristiques et avantages ressortiront de la description de ses différents modes de réalisation et des figures suivantes annexées à la présente demande : - Les figures 1 a et 1 b représentent respectivement un récepteur GNSS à diversité d'antenne non soumis à leurrage et un récepteur de même type 35 soumis à leurrage, dans des réalisations de l'art antérieur; - La figure 2 représente un schéma d'architecture d'un récepteur GNSS incluant une fonction de détection d'un leurrage, selon l'art antérieur; 3025611 7 - La figure 3 représente un schéma d'architecture fonctionnelle pour mettre en oeuvre l'invention, dans plusieurs de ses modes de réalisation; - Les figures 4a, 4b, 4c, 4d, 4e et 4f représentent différentes variantes d'architecture physique, selon plusieurs modes de réalisation de l'invention; 5 - La figure 5 représente un schéma de principe des principaux traitements, selon plusieurs modes de réalisation de l'invention ; - Les figures 6a et 6b illustrent un mode de traitement d'antenne mis en oeuvre pour réaliser l'invention, selon plusieurs de ses modes de réalisation; - La figure 7 illustre l'ordonnancement temporel des calculs de le module de 10 traitement et du module d'authentification, selon plusieurs modes de réalisation de l'invention ; - La figure 8 illustre un exemple de mise en oeuvre de l'invention dans un véhicule terrestre ; - La figure 9 représente un organigramme des traitements pour mettre en 15 oeuvre l'invention dans l'exemple de la figure 8 ; - La figure 10 illustre un exemple de mise en oeuvre de l'invention pour authentifier une transaction de paiement ; - La figure 11 représente un organigramme des traitements pour mettre en oeuvre l'invention dans l'exemple de la figure 10. 20 DESCRIPTION DETAILLEE DE L'INVENTION [0034] Les figures 1 a et 1 b représentent respectivement un récepteur GNSS à diversité d'antenne non soumis à leurrage et un récepteur de même type soumis à leurrage, dans des réalisations de l'art antérieur. 25 [0035] Pour assurer l'authentification d'un signal GNSS, l'hypothèse est faite que les signaux GNSS contrefaits sont émis d'une direction unique dans l'espace, qui peut correspondre à un axe satellite réel, alors que les signaux authentiques proviennent d'une pluralité de satellites. En effet une attaque simulant des signaux en provenance de plusieurs axes satellites est très complexe à monter en raison 30 notamment de la nécessité d'aligner précisément les phases des signaux des axes satellites. Pour détecter cette unicité de la direction d'émission, on analyse l'évolution dans le temps des phases des ondes porteuses censées provenir de plusieurs axes satellites, comme expliqué en commentaire à la figure 2 ci-dessous. Un tel système de l'art antérieur est notamment décrit par la publication Psiaki et alii, « GNSS 35 Spoofing Detection Using High-Frequency Antenna Motion and Carrier-Phase Data », Institute of Navigation, GNSS, 2013, et dans la demande de brevet W02014/047378 déjà citée. 302 5 6 1 1 8 [0036] Dans le cas de signaux non leurrés de la figure 1 a, trois satellites, j-1, j et j+1 (111a, 112a, 113a) envoient leurs signaux sur une antenne 121a qui a une configuration spéciale : elle peut par exemple être montée sur une surface d'un bâtiment ou d'un véhicule 124a, par l'intermédiaire d'une chaîne articulée 123a. 5 Cette configuration spéciale a pour but de provoquer des mouvements du centre de phase de l'antenne. L'antenne doit être protégée par un radôme pour empêcher sa détection. Un repère (xa, ya, za) a une origine 123a, par rapport à laquelle les mesures et calculs vont être effectués. Les signaux reçus par l'antenne 121a sont traités par le module de traitement 131a. 10 [0037] Sur la figure 1 b, un leurre 111b transmet des signaux contrefaits censés reproduire ceux de plusieurs satellites à vue. Mais tous les signaux proviennent d'une seule direction 141b, même si le leurre introduit dans les calculs du PVT par le récepteur 131a des valeurs fausses des directions des axes des satellites 111a, 112a et 113a. 15 [0038] Dans le cas de la figure 1 b, les j signaux censés provenir de j satellites se superposent, alors que dans le cas de la figure 1 a, les j signaux en provenance des j axes satellites sont identifiés comme différents. [0039] La figure 2 représente un schéma d'architecture d'un récepteur GNSS 20 incluant une fonction de détection d'un leurrage, selon l'art antérieur. [0040] Le dispositif de traitement compare les mesures des phases prélevées dans le récepteur GNSS à leur modélisation tenant compte des mouvements de l'antenne provoqués par sa chaîne articulée. [0041] Selon l'état de l'art, le récepteur des signaux GNSS est modifié pour traiter 25 les signaux reçus par l'antenne articulée 121a. Une boucle de phase supplémentaire 220 extrait une transformée de la phase de porteuse, la transformation ayant pour but de supprimer l'atténuation des effets des mouvements de l'antenne qui résulte du traitement de signal effectué dans un récepteur standard. Les signaux sont ensuite échantillonnés par un échantillonneur, par exemple du type filtre médian, 230, et 30 fournis à une fonction de test d'hypothèse 240 qui reçoit également en entrée la solution de navigation du récepteur et les paramètres d'attitude de l'antenne mesurés par un capteur 210. Les paramètres d'attitude permettent de calculer le modèle de phase résultant de la combinaison des mouvements de l'antenne avec ceux attendus des axes satellites, et de comparer les valeurs calculées à partir de ce modèle avec 35 les mesures du récepteur. [0042] Le test 240 de l'hypothèse d'authenticité des signaux peut utiliser diverses méthodes d'analyse de données, par exemple une simulation de Monte-Carlo. 3025611 9 [0043] Selon l'art antérieur, il est donc nécessaire de disposer d'une antenne spécifique articulée qui exécute des mouvements de fréquence relativement élevée, de préférence pourvue d'un radôme et d'un récepteur modifié de manière particulière. Cela crée des contraintes incompatibles avec une utilisation grand 5 public. L'invention permet de surmonter ces limitations. [0044] La figure 3 représente un schéma d'architecture fonctionnelle pour mettre en oeuvre l'invention, dans plusieurs de ses modes de réalisation. [0045] Dans certains modes de réalisation de l'invention, le système 10 d'authentification de signaux GNSS utilise quatre briques fonctionnelles séparées, certaines d'entre elles pouvant cependant être regroupées dans un même élément physique: - Un module antenne, 310 ; - Un module de réception de signaux GNSS, 320 ; 15 - Un module de traitement, 330 ; - Un module d'authentification, 340. [0046] La notion de module est utilisée dans la description pour signifier un regroupement de sous-fonctions de base dans une même entité fonctionnelle. Selon les applications, l'optimisation de l'architecture physique du système pourra impliquer 20 une modification de la répartition de certaines sous-fonctions entre les modules. [0047] Le module antenne, 310, peut comprendre une ou plusieurs antennes, organisées le cas échéant en réseau pour créer la diversité de rayonnement permettant de réaliser ensuite les traitements d'authentification. Il comprendra également préférentiellement des composants électroniques pour piloter le réseau 25 d'antennes et générer un balayage électronique induisant soit un déplacement du centre de phase de l'antenne ou du réseau d'antenne, soit un balayage spatial d'un cône de rayonnement, soit les deux mouvements, simultanément ou successivement. En variante, les composants de génération du balayage peuvent être localisés dans le module de traitement. L'homme du métier des ondes 30 hyperfréquences sait choisir et configurer les composants permettant de réaliser des fonctions de balayage électronique pour un réseau d'antennes donné. Des antennes de ce type ont déjà été réalisées pour la réception de signaux GNSS. A titre d'exmple, on peut par exemple conformer par le calcul un diagramme de rayonnement d'un réseau d'antennes constitué d'éléments rayonnants en nombre 35 pouvant aller de quatre disposés en carrés à plusieurs dizaines disposés dans une structure par exemple à symétrie centrale. On attribue par un code de calcul des poids variables aux différents éléments rayonnants, ce qui fait permet d'orienter les directions des lobes du diagramme dans un axe souhaité. Voir par exemple, Rao et 3025611 10 alii, « GPS/GNSS Antennas (GNSS Technology and Applications) », novembre 2012, ISBN-13: 978-1596931503, chapitre 2.7, pages 147-152). On peut également utiliser des antennes patch dont les éléments rayonnants sont entourés d'une structure parasite en anneau dont l'effet sur les ondes de surface est modifié par des 5 composants de commutation répartis sur la structure en anneau. Voir par exemple, Rojas, « Multilayer Reconfigurable GPS Antennas and Platform Effects » Ohio State University, Septembre 2007. [0048] En variante, on peut se contenter de commuter entre deux ou plusieurs antennes, par exemple des antennes patch, réparties selon une géométrie 10 appropriée, de manière à déplacer le centre de phase du diagramme de rayonnement. [0049] Un balayage de l'ordre de la dizaine de Hz permet une authentification en quasi temps réel alors qu'un balayage plus lent permettra une vérification toutes les minutes par exemple. Une solution robuste peut se baser un balayage à des instant 15 plus lent déterminés de manière aléatoire allant de la minute à l'heure notamment en fonction de paramètre externe tel la localisation. [0050] Le module de réception de signaux GNSS, 320, peut être un récepteur mono-fréquence ou multifréquences. Il peut être doté de fonctions de calcul de précision (Precise Point Positioning ou PPP), de fonctions de réception de signaux 20 augmentés (du type EGNOS - European Geostationary Navigation Overlay Service - ou WAAS - Wide Area Augmentation System). Mais il peut s'agir également d'un récepteur simple intégré dans un téléphone intelligent. Il est cependant nécessaire que l'on puisse prélever des données brutes du récepteur, notamment des données représentatives de la phase ou de l'amplitude des porteuses, voire des signaux 25 radiofréquences (RF) bruts, et, le cas échéant, lui envoyer des signaux d'une antenne externe auxiliaire, et donc que les entrées/sorties de sa puce GNSS soient accessibles aux applications embarquées sur le téléphone intelligent. [0051] En variante, le module de réception 320 peut être un module externe au récepteur pour lequel on veut authentifier le signal reçu. Un module de réception 30 parallèle recevant les mêmes signaux sensiblement au même endroit se comportera comme le récepteur cible. [0052] Le module de traitement 330 réalise le pilotage du balayage électronique par l'antenne 310. Dans un mode privilégié de réalisation de l'invention, ce pilotage est réalisé par un code pseudo-aléatoire généré par une clé de chiffrement. Le module 35 de traitement comprend au moins un processeur et une mémoire. Le module de traitement peut également exécuter tout ou partie des algorithmes d'analyse des signaux préparatoires à l'authentification des signaux GNSS. Il est doté de capacités de communication, d'une part avec l'antenne, d'autre part avec le module de 3025611 11 traitement, enfin avec le module d'authentification 340. Le module de traitement peut être relié au module antenne et à un module de réception par des liaisons filaires ou par des liaisons Bluetooth ou Wifi. Il peut être relié au module d'authentification par une liaison cellulaire, lorsque ce module d'authentification est distant. Le module de 5 traitement 330 peut également être relié par un bus de communication sur un réseau local, utilisant soit un protocole standard de type Ethernet, RS432 ou CAN, soit un protocole spécifique, à l'antenne 310 et au module de réception 320, si les différents objets 310, 320 et 330 sont localisés dans un même lieu, notamment un habitacle de véhicule, ou un centre commercial, comme détaillé plus loin dans les exemples de 10 scénario d'usage de l'invention. [0053] Le module d'authentification 340 réalise en particulier la fourniture au module de traitement des clés de chiffrement et la procédure de validation de l'authentification des signaux GNSS à partir des données reçues du module de traitement 330. Il peut également exécuter tout ou partie des algorithmes d'analyse 15 des signaux préparatoires à l'authentification des signaux GNSS. Il peut également stocker l'historique des validations en mémoire, dans le but d'identifier les leurres qui ont été déjà identifiés lors de procédures de validation précédentes. Le module d'authentification peut, en tout ou en partie, être implanté sur un serveur distant. Il est alors opéré par un tiers de confiance qui distribue les clés de chiffrement à des 20 utilisateurs abonnés. Les utilisateurs peuvent être enregistrés par l'opérateur par une procédure qui permet de réserver la distribution des clés de chiffrement uniquement à des utilisateurs disposant d'attributs de confiance qui sont validés lors de la procédure d'enregistrement. L'opérateur gère normalement la répudiation des clés qui ont été utilisées dans des conditions non conformes à des règles d'usage 25 déterminées, ou qui sont soumises à la souscription d'un abonnement de durée déterminée. L'opérateur peut être également fournisseur de services de positionnement, soit un opérateur d'un réseau GNSS, soit un opérateur de services à valeur ajoutée en complément de services de positionnement, notamment un opérateur d'une application particulière, comme des services de transport ou des 30 services de paiement, selon des scénarios d'usage décrits plus loin dans la description. [0054] Dans certaines configurations de mise en oeuvre de l'invention, le module antenne 310, le module de réception 320 et le module de traitement 330 peuvent être inclus dans un même boîtier. Dans d'autres configurations, le module antenne 35 310 et le module de traitement peuvent être placés dans un même boîtier, comme décrit ci-dessous. 3025611 12 [0055] Les figures 4a, 4b, 4c, 4d, 4e et 4f représentent différentes variantes d'architecture physique, selon plusieurs modes de réalisation de l'invention. [0056] Sur la figure 4a, est représenté un accessoire extérieur 420a, à un module de réception de signaux GNSS 410a, qui peut inclure les éléments du module 5 antenne 310 et du module de traitement 330. Le module de réception de signaux GNSS 410a peut par exemple être un téléphone intelligent, qui aura été spécialement configuré pour mettre en oeuvre l'invention. Le module de réception de signaux GNSS peut être couplé à un module de positionnement utilisant d'autres moyens, tels qu'une identification de l'antenne d'un réseau de radiocommunications 10 cellulaire ou la borne d'un réseau Wifi dans le voisinage desquels se situe l'appareil. Une hybridation avec localisation cartographique et/ou des capteurs inertiels permet de prendre le relai des signaux GNSS en cas de masquage. Ces dispositifs de localisation hybrides sont connus sous l'acronyme LBS (Location Based System ou Système à base de localisation). 15 [0057] Sur la variante de la figure 4b, l'accessoire 420a comprend des fonctions 420b pour piloter l'antenne du récepteur de signaux GNSS 410a. Les éléments matériels (composants électroniques) et logiciels (logiciel de génération des clés de chiffrement pour créer les codes pseudo-aléatoires destinés à faire varier le diagramme de rayonnement de l'antenne ANO, 430b) qui sont nécessaires pour 20 piloter le déplacement et l'orientation de l'antenne sont alors implantés dans les fonctions ECD (Eléments de Configuration du Diagramme), 420b de l'accessoire. [0058] Sur la variante de la figure 4c, la répartition des fonctions est identique à celle qui est représentée sur la figure 4b, mais l'accessoire est conformé pour pouvoir servir de coque 410c au téléphone intelligent 410a, ce qui facilite son usage. 25 [0059] Sur la variante de la figure 4d, la répartition des fonctions est identique à celle des figures 4b et 4c, mais la coque 410c est remplacée par un dongle 410d, connecté en dessous du téléphone intelligent 410a. [0060] Sur la variante de la figure 4e, l'accessoire 420a comprend une antenne AN1, 420e, et le système est configuré pour réaliser le pilotage des diagrammes de 30 rayonnement des antennes 430b et 420e. [0061] Sur la variante de la figure 4f, l'accessoire 420a comprend une pluralité d'antennes AN1, 420e, AN2, 421f, ANk, 422f, et le système est configuré pour réaliser le pilotage des diagrammes de rayonnement des antennes 430b, 420e, 421f, 422f. 35 [0062] Dans les variantes des figures 4e et 4f, l'accessoire 420a et le récepteur de signaux GNSS 410a peuvent être situés à une certaine distance, et reliés par un réseau local ou distant, comme dans les variantes des figures 8 et 10, qui sont 302 5 6 1 1 13 détaillés plus loin dans la description. Ainsi, une grande variété de configurations est possible pour mettre en oeuvre l'invention, selon les scenarios d'usage. [0063] La figure 5 représente un schéma de principe des principaux traitements, 5 selon plusieurs modes de réalisation de l'invention. [0064] Le module de traitement 330 comprend une fonction 510 de génération d'un code pseudo-aléatoire PRN1+2 à partir d'une clé de chiffrement. La clé de chiffrement peut être acquise d'un serveur, selon une périodicité prédéterminée. Elle peut être elle-même générée par une paire de clés, symétrique et asymétrique pour que sa 10 transmission au module de traitement soit sécurisée selon les règles de l'art. Le code pseudo-aléatoire est utilisé pour générer (511, 512) un diagramme de rayonnement des antennes ANO, AN1, AN2, ANk, variable. La variation du diagramme de rayonnement des antennes peut porter soit sur le centre de phase, soit sur l'orientation des lobes de réception, soit sur les deux à la fois, selon des modalités 15 décrites plus haut. [0065] Le module de réception 320 comprend une fonction 520 d'extraction à une fréquence d'échantillonnage k des phases Cpik et/ou des amplitudes Ak des porteuses acquises des axes satellites j en visibilité et, optionnellement, de calcul du point PVT (Position, Vitesse, Temps). Le module de traitement extrait, 530, de la clé de 20 chiffrement un sous-ensemble PRN1 de la clé de chiffrement, ledit sous-ensemble étant utilisé pour chiffrer les données (13k/ Ak pour transmission au module d'authentification 340. Le module de réception peut transmettre simultanément ou séquentiellement d'autres éléments tels l'identifiant du récepteur, du PVT, des données de capteurs tels que des accéléromètres, des magnétomètres, des 25 capteurs infrarouge' des capteurs de distances ou des détecteurs d'intrusion ou d'intégrité (tampering). [0066] Le module de traitement 330 comprend également une fonction 540 d'extraction de signaux RF bruts (Raw) GNSS en sortie des antennes. Optionnellement, les signaux RF transitent par un répéteur. Les signaux RF (Raw) 30 sont exprimés par la formule générique suivante: RF Raw (j, diagrammes rayonnement p) = RF Raw (j, antenne 0) + contribution (DoAj, variation diagrammes rayonnement p) Dans laquelle - j est l'indice d'un axe satellite ; 35 - les diagrammes de rayonnement p sont ceux générés par le code pseudo- aléatoire ; - l'antenne 0 est une antenne de référence fixe ; - DoAj est la direction d'arrivée du signal de l'axe satellite j. 3025611 14 [0067] Les signaux RF (Raw)peuvent être numérisés dans un convertisseur analogique numérique CAN, 540. Optionnellement, ils sont ensuite chiffrés par une autre partie de la clé de chiffrement extraite, 550, de la clé de chiffrement principale. [0068] Les signaux RF (Raw) chiffrés sont ensuite transmis au module 5 d'authentification pour être traités en combinaison avec les données (13k/ Ak pour authentification du signal GNSS dans une étape 570. La comparaison peut s'effectuer par une combinaison de moyens tels que détaillé plus loin en commentaires aux figures 6a et 6b. [0069] En sortie de l'étape 570, le signal est donc authentifié ou déclaré contrefait. 10 Un signal de validation peut être envoyé au module de traitement, ou à des applications qui utilisent le signal. Il peut également être diffusé à d'autres terminaux utilisateurs abonnés situés dans le voisinage du premier terminal sur lequel un leurrage a été détecté. Différents apprentissages basés sur des schémas d'apprentissage temporel et/ou géographiques peuvent également être combinés 15 avec les algorithmes de validation. [0070] Les figures 6a et 6b illustrent un mode de traitement d'antenne mis en oeuvre pour réaliser l'invention, selon plusieurs de ses modes de réalisation. [0071] Les deux figures illustrent un cas de mise en oeuvre de l'invention dans 20 lequel une seule antenne, par exemple ANO est utilisée. Sur la figure 6a, le maximum d'amplitude du signal sur le lobe principal 630a du diagramme de rayonnement de l'antenne se trouve à un instant t1 dans l'axe 640a du satellite 610. Sur la figure 6b, le maximum d'amplitude du signal sur le lobe principal 630b du diagramme de rayonnement de l'antenne se trouve à un instant t2 dans l'axe 640b 25 du satellite 620. [0072] La rotation de l'axe du lobe principal de l'antenne est pilotée par des circuits électroniques du type diode et/ou ferrite, comme indiqué plus haut. Les valeurs caractéristiques des composants sont choisies en fonction des orientations des lobes principaux et secondaires à émuler selon des règles connues de l'homme du métier 30 selon l'ouvrage de Basrur Rama Rao cité précédemment, et les références bibliographiques,. Ces composants sont pilotés par un microcontrôleur et un convertisseur numérique analogique, le microcontrôleur étant lui-même piloté par les séquences de code pseudo-aléatoires PRN1+2 générées par la clé de chiffrement. Celle-ci peut être elle-même constituée d'une clé symétrique et d'une clé 35 asymétrique. [0073] Le principe peut être étendu à un réseau à deux ou plusieurs antennes, tel que ceux illustrés par les figures 4e et 4f. Dans ce cas, chaque antenne du réseau a un diagramme de rayonnement qui a un lobe principal à un instant donné. Si l'on 3025611 15 commute d'une antenne à l'autre soit selon une fréquence prédéterminée, soit selon une séquence pilotée par une partie du code pseudo-aléatoire, on déplace en même temps le centre de phase du signal reçu, ce qui permet d'analyser la cohérence des sauts de phase, avec le modèle de réception qui serait cohérent avec la 5 configuration des axes satellites à un instant donné. [0074] II est également possible de commander par le code pseudo-aléatoire la génération de zéros d'amplitude de réception. [0075] La combinaison des variations d'orientation du lobe principal, des déplacements du centre de phase et des zéros permet de prévoir plusieurs types de 10 vérifications, qui peuvent elles-mêmes être combinées, par exemple : - La vérification de la cohérence des mesures de phases et de différences de phases entre antennes avec une estimation « attendue » de celle-ci élaborée à partir d'autres informations, éventuellement à priori ; - La vérification de la cohérence de la direction d'arrivée mesurée avec 15 une estimation « attendue » de celle-ci, élaborée à partir d'autres informations, éventuellement à priori ; - La vérification de la cohérence des sauts et différences d'amplitude du signal, ou de valeur du rapport signal à bruit, avec une estimation « attendue » de celle-ci, élaborée à partir d'autres informations, éventuellement à priori ; 20 - La vérification de la cohérence de l'amplitude du signal, ou la valeur du rapport signal à bruit, avec une estimation « attendue » de celle-ci, élaborée à partir d'autres informations, éventuellement à priori. [0076]A titre illustratif, l'analyse de la similitude des variations de mesures de phase issues de différents satellites provoquées par les modifications des paramètres de la 25 ou des antennes de réception (centre de phase par exemple) considère deux hypothèses, celle de signaux contrefaits et celle de signaux non contrefaits, les compare et choisit l'hypothèse la plus probable (Test de cohérence TC1). [0077]Une analyse de la cohérence entre les directions d'arrivées mesurées par le module de traitement et les directions d'arrivées attendues, élaborées à partir 30 d'informations provenant des signaux reçus par le module de réception de signaux GNSS peut être effectuée par comparaison à des informations externes issues de capteurs de mouvement ou d'attitude, d'un modèle 3D d'environnement, ou d'une estimation de position grossière en provenance d'autres moyens qu'un GNSS, ou, dans le cadre d'un modèle GNSS, à partir de positions des satellites extrapolées à 35 l'aide de modèle de force (modèle orbital), etc. (Test de cohérence TC2). [0078]11 est également possible de réaliser une analyse de la similitude entre les puissances de réception des signaux, suite à l'insertion de fortes atténuations (ou de zéros) dans le diagramme de rayonnement de la ou des. Cette atténuation est 3025611 16 répétée régulièrement pour des directions d'arrivée différentes jusqu'à couvrir l'ensemble de la couverture d'intérêt (par exemple 4-rr stéradians). On procède de la sorte à une forme de sondage de l'environnement de réception (Test de cohérence TC3): mesure directe ou indirecte de la puissance des signaux reçus suivant une 5 direction d'arrivée. Cette analyse considère deux hypothèses, celle de signaux contrefaits et celle de signaux non contrefaits, les compare et choisit l'hypothèse la plus probable. Dans un exemple de réalisation, si tous les signaux sont atténués simultanément, il est probable qu'ils proviennent de la même direction d'arrivée, donc il peut y avoir suspicion de fraude. Si seul un sous ensemble limité et changeant de 10 signaux est atténué, les signaux proviennent probablement de différentes directions et il peut y avoir un meilleur niveau de confiance dans les signaux reçus. Dans un autre exemple de réalisation : la qualité du ou des signaux en provenance d'un satellite présent dans la direction d'intérêt « atténuée » sera affectée en regard de la qualité des signaux des autres satellites, la qualité de réception pourra être déduite 15 d'indicateurs prévus dans le récepteur ou élaborés à partir de ces signaux ou mesures : bruits de mesures, rapport signal à bruit, etc. Si le signal est affecté d'une dégradation de qualité aux instants attendus, il provient à priori de la bonne direction d'arrivée et a pu difficilement être contrefait. A l'opposé, si les signaux liés aux directions d'intérêts ne présentent pas de dégradation de qualité aux instants 20 attendus, ils peuvent être suspectés de contrefaçon. [0079]On peut également réaliser une analyse de la cohérence entre les puissances de réception des signaux dans une direction particulière et les puissances attendues, élaborées à partir d'informations provenant des signaux reçus par le module de traitement de signaux GNSS, et à partir d'informations externes comme des capteurs 25 de mouvement, attitude, modèle 3D d'environnement, position grossière autre que GNSS (cellule de réseau téléphonique, cellule Wifi), position des satellites extrapolées à l'aide de modèle de force (modèle orbital), diagramme d'antenne du récepteur utilisateur, etc. [0080]11 est possible de combiner tout ou partie de ces analyses avec par exemple 30 un coefficient de pondération, les analyses choisies dépendant de l'environnement de réception, définie par exemple un indicateur de qualité de réception élaboré à partir des signaux GNSS reçus par l'utilisateur (rapport signal à bruit, estimateur basé sur les sorties des corrélateurs, etc.) ou élaboré à partir de la position estimée de l'utilisateur et d'une cartographie 3D permettant de savoir si tel ou tel satellite est 35 masqué, affecté de trajets multiples, etc. [0081]Selon les détails de leur implémentation, les différentes analyses définies ci-dessus peuvent être opérés : 3025611 17 - sur les données RF brutes élaborées par le module de traitement de signaux GNSS, ce qui présente l'avantage de la simplicité (utilisation des fonctions existantes du récepteur GNSS de l'équipement) mais l'inconvénient de limiter les algorithmes car ils doivent s'accommoder du fonctionnement du récepteur 5 existant. - ou sur une capture de durée donnée des signaux RF bruts numérisés en sortie de conversion analogique numérique (« snapshot » du signal RF issues du module d'antennes). Cette solution permet la mise en oeuvre d'algorithmes 10 de traitement des signaux et de détection des fraudes totalement optimisés pour l'application visée, mais requiert une interface ad hoc pour récupérer la capture du signal et une puissance de calcul importante pour réaliser les traitements. [0082]Selon une variante basée sur la capture des signaux RF numérisés, la capture 15 ou au moins la transmission des signaux est réalisée à des intervalles espacés dans le temps pour diminuer la bande passante de communication. Aussi les traitements peuvent être effectués pour tout ou partie en temps différée si l'authentification est utilisée avant tout comme élément de vérification a posteriori. [0083]Selon une variante, en cas de suspicion de fraude, il est possible d'estimer 20 une position authentique et des positions frauduleuses et d'identifier la position authentique. Cet algorithme est exécuté directement sur une capture des signaux en sortie de conversion analogique numérique. Cet algorithme analyse les fonctions de corrélation produites lors des différentes instanciations successives du diagramme de l'antenne et/ou de son centre de phase, et en particulier leur différence, pour 25 identifier le pic de corrélation qui correspond aux signaux authentiques et écarter le pic de corrélation correspondant aux signaux frauduleux. [0084]Selon les cas d'usages, qu'ils soient opérés sur mesures brutes issues du récepteur utilisateur ou d'algorithmes spécifiques à la détection de fraude et opérés sur une capture des signaux numérisés, les algorithmes décrits ci-dessus, qui 30 relèvent des fonctions du module d'authentification, peuvent être opérés sur un processeur embarqué sur l'équipement utilisateur ou sur le serveur distant. [0085]Les analyses ci-dessus sont avantageusement aidées par l'utilisation d'informations extérieures aux étages de réception GNSS, comme par exemple capteurs externes de mouvement, attitude, cartographies et informations 35 d'assistance émanant d'un réseau ou d'un serveur, etc. [0086]Grâce à la mise en oeuvre de l'invention, on peut différencier les phénomènes recherchés des effets naturels des trajets multiples du fait, d'une part de la multitude de satellites (les signaux de tous les satellites ne sont pas simultanément affectés 302 5 6 1 1 18 par le leurre), et d'autre part, en raison de la corrélation avec la séquence pseudoaléatoire qui pilote les modifications des propriétés de la ou des antennes. [0087] La figure 7 illustre l'ordonnancement temporel des calculs du module de 5 traitement et du module d'authentification, selon plusieurs modes de réalisation de l'invention. [0088] Elle illustre également une différence avec l'état de l'art commenté plus haut qui permet d'appliquer l'invention à des récepteurs dont la configuration matérielle n'a pas été modifiée de manière significative. 10 [0089] La référence 710 illustre la fréquence à laquelle le module de traitement effectue les traitements 530 à 560 et le module d'authentification effectue le traitement d'authentification 570, c'est-à-dire la fréquence à laquelle les données RF Raw sont prélevées, les donnéescDk /Ak sont envoyées au serveur et la procédure d'authentification est réalisée. Cette fréquence peut être choisie par l'opérateur ou 15 par l'utilisateur du service. L'opérateur peut faire varier cette fréquence selon les époques et les zones géographiques auxquelles le service est fourni. L'utilisateur peut également souhaiter que sa position et/ou sa vitesse et/ou son temps (PVT) soit authentifiée uniquement lorsqu'il effectue certaines transactions, mais pas en continu, pour des raisons de confidentialité et/ou d'économie d'énergie. Une 20 fréquence de l'ordre de la minute apparaitra comme suffisante pour la majorité des applications. Son PVT pourra être déterminé conjointement, ou bien de manière indépendante comme cela est fait classiquement sur les récepteurs grand public non authentifiés. [0090] La référence numérique 720 illustre la fréquence d'échantillonnage du calcul 25 du PVT. Cette fréquence est normalement de l'ordre de quelques secondes. [0091] La référence numérique 730 illustre les différences de fréquence des deux calculs, le calcul d'authentification 710 et le calcul de position 720. Entre deux calculs d'authentification, les signaux GNSS reçus par le module de traitement sont considérés comme authentiques. Ainsi, selon l'invention, contrairement aux 30 réalisations de l'art antérieur déjà cité, les traitements d'authentification et les traitements du PVT sont donc découplés. En effet, dans l'art antérieur, les composants de bas niveau du récepteur de signaux GNSS doivent être modifiés et ils fonctionneront à la fréquence d'horloge du récepteur. 35 [0092] La figure 8 illustre un exemple de mise en oeuvre de l'invention dans un véhicule terrestre. [0093] Le véhicule 800 est équipé d'un module de traitement de signaux GNSS 820. Il est également équipé d'un ou plusieurs câbles/boîtiers d'antennes 811, 812, 813, 3025611 19 814. Un conducteur ou un passager peut disposer d'un téléphone intelligent 830 qui pourra exécuter une partie des fonctions du module de traitement 330 du système selon l'invention. Dans ce mode de réalisation de l'invention, un boîtier externe 840 est ajouté au récepteur pour effectuer les fonctions de pilotage des antennes et de 5 prélèvement des signaux RF Raw, (13k /Ak sous le contrôle du téléphone intelligent 830. De manière préférée, le boitier 840 effectue la fonction d'un répéteur des signaux RF bruts. Les codes PRN1+2, PRN1 , PRN2 sont générés dans le téléphone intelligent. Le code PRN1+2 est envoyé au boîtier 840 pour piloter les antennes. Les données extraites du module de traitement 820 par le boîtier 840 sont chiffrées avec 10 et puis envoyées au téléphone intelligent. Les fonctions d'analyse des données peuvent être réparties entre le boîtier 840, le téléphone 820 et le serveur. C'est le téléphone qui gère normalement les échanges avec le serveur. Selon une variante simplifiée, un seul code PRN commun est utilisé :_ PRN1+2= PRN1 = PRN2. Le PVT peut aussi être déterminé au niveau du téléphone. Pour des questions de 15 compatibilité avec des anciens équipements, le boitier 840 peut effectuer une partie des traitements et fournir soit les signaux RF bruts, soit les données RF brutes au format RINEX (Receiver Independant EXchange Format, ou Format d'échange indépendant du récepteur) par exemple ainsi qu'un PVT. Ainsi les anciens équipements pourront recevoir le PVT, par exemple au format NMEA (National 20 Marine Electronics Association, ou Association nationale de fabricants d'équipements électroniques pour la marine). [0094] La figure 9 représente un organigramme des traitements pour mettre en oeuvre l'invention dans l'exemple de la figure 8. 25 [0095] Au cours d'une étape d'initialisation 910, les paramètres de configuration de la ou des antennes 811, 812, 813, 814 (positions, attitudes, caractéristiques électromagnétiques), de l'unité de réception 820 et du boîtier externe 840 sont fournies au système. [0096] On en déduit un diagramme de rayonnement lorsque le véhicule est 30 immobile et, lorsque le véhicule se déplace, on est en mesure d'estimer une trajectoire du véhicule (6 axes) au cours d'une étape 920. Une fonction de transfert connue de l'homme du métier permet de déduire des diagrammes de rayonnement au repos et de la trajectoire estimée des diagrammes de rayonnement en mouvement. La combinaison de cette fonction de transfert avec le code pseudo- 35 aléatoire PRN1+2 envoyé au boîtier 840 par le téléphone intelligent 830 au cours d'une étape 940 permet d'obtenir les diagrammes de rayonnement modifiés. En parallèle, comme décrit en commentaire à la figure 5, les données Raw et (13k/Ak, sont extraites au cours d'étapes 950, 970. Les données RF Raw peuvent être 3025611 20 numérisées. Les données RF Raw et les données (13k/Ak, capteurs et/ou PVT peuvent être chiffrées avec des clés PRN1 et PRN2 au cours d'étapes 960, 980, notamment si l'essentiel des fonctions du module d'authentification sont implantées sur un serveur distant. Ces données chiffrées sont transmises au module 5 d'authentification (étape 990), qui réalise la procédure d'authentification (9A0) comprenant les vérifications de cohérence entre les données brutes, les données de phase mesurées et les données des capteurs et/ou des données PVT, en comparaison avec les valeurs fournies par les modélisations de ces données, comme indiqué plus haut. Comme indiqué précédement, le format RINEX est 10 préférentiellement utilisé pour les donnes RF brutes (raw). Les autres capteurs aussi utiliser ce format, comme c'est la pratique dans le cas de l'hybridation GNSS avec des accéléromètres, magnétomètres, podomètres, gyroscopes, ou encore altimètres et baromètres, Selon une variante simplifiée, un seul code PRN commun est utilisé : PRN1+2= PRN1 = PRN2. Pour des questions de compatibilité, avec certains 15 équipements, les données des capteurs ou le PVT peut être transmis sans chiffrage par PRN2. [0097] La figure 10 illustre un exemple de mise en oeuvre de l'invention pour authentifier une transaction de paiement. 20 [0098] Les signaux GNSS comportent une référence temporelle précise qui est utilisée de plus en plus pour horodater des transactions. Les transactions de paiement constituent donc un scénario d'usage de l'invention. [0099] Dans un magasin 1010 d'un centre commercial représenté sur la figure, une Terminal de Paiement Electronique (TPE) 1020 est relié à un boîtier 1030, qui 25 comprend un récepteur de signaux GNSS 320 configuré également pour mettre en oeuvre une partie des fonctions, notamment de contrôle d'antenne, et le cas échéant d'analyse d'une partie des données, du module de traitement 330. Une ou plusieurs antennes 1040, qui peuvent par exemple être situées sur le toit du centre commercial, sont reliées au boîtier 1030 par une connexion 1050, qui peut être un 30 élément du réseau local du centre commercial. Un client du magasin, abonné du service d'authentification et doté d'un téléphone intelligent 1060, qui se présente pour effectuer un achat qu'il entend régler par un moyen électronique, réalise son achat, puis son paiement. Le paiement peut être réalisé par carte bancaire, par transaction utilisant son téléphone portable (via une communication Near Field 35 Communication - NFC - ou via un QRCode émis par une application de son téléphone intelligent). La transaction est ensuite authentifiée par un signal généré par le TPE, qui acquiert concomitamment des données de localisation et d'horodatage du système GPS. Le signal GPS est authentifié par le procédé de l'invention, en 3025611 21 utilisant les fonctions réparties entre l'ensemble boîtier 1030, antenne 1040, téléphone intelligent 1060 et serveur de l'opérateur du service d'authentification des signaux GNSS (non représenté sur la figure). En variante, l'authentification peut s'appuyer sur des données d'authentification précédemment déterminées par le 5 téléphone du client de manière à s'assurer que le téléphone s'est bien progressivement rapproché du terminal de paiement et qu'il n'est pas juste apparu à coté du terminal alors qu'il se trouvait à plusieurs dizaines ou centaines de kilomètres dans les minutes ou heures qui précédaient. En variante, des données issues de capteurs antieffraction ou même d'accéléromètres et/ou de magnétomètres au 10 niveau des antennes 1040 et/ou du boitier 1030 sont utilisés à la place ou en complément au PVT pour déterminer toute atteinte à l'intégrité de cette partie du système (tampering). [00100] La figure 11 représente un organigramme des traitements pour mettre en 15 oeuvre l'invention dans l'exemple de la figure 10. [00101 ]Au cours d'une étape d'initialisation 1110, les paramètres de configuration de la ou des antennes 1140 (positions, attitudes, caractéristiques électromagnétiques), du module de réception et du module de traitement contenues dans le boîtier externe 1130 sont fournies au système. 20 [00102]0n en déduit un diagramme de rayonnement lorsque le dispositif d'antennes 1140 n'est pas excité par le boîtier 1130. Comme dans le scénario d'usage commenté en liaison avec la figure 9, la combinaison de ce diagramme de rayonnement en l'absence d'excitation avec le code pseudo-aléatoire PRN1,2 envoyé au boîtier 1130 par le téléphone intelligent 1160 au cours d'une étape 1120 permet 25 d'obtenir les diagrammes de rayonnement modifiés. En parallèle, comme décrit en commentaire à la figure 5, les signaux RF bruts et (13k /Ak, sont extraites au cours d'étapes 1140, 1160. Les signaux RF bruts peuvent être numérisées. Les signaux RF bruts et (13k /Ak, capteurs et/ou PVT peuvent être chiffrées avec des clés PRN1 et PRN2 au cours d'étapes 1150, 1170. Ces données chiffrées sont transmises au 30 module d'authentification (étape 1180), qui réalise la procédure d'authentification 1190 comprenant les vérifications de cohérence entre les données brutes, les données de phase mesurées et les données des capteurs et/ou PVT, en comparaison avec les valeurs fournies par les modélisations de ces données. [00103] La transaction de paiement peut donc être définitivement authentifiée. 35 [00104] Les exemples décrits ci-dessus sont seulement illustratifs de certains des modes de réalisation de l'invention. Ils ne limitent en aucune manière la portée de l'invention qui est définie par les revendications qui suivent. REVENDICATIONS1. Procédé d'authentification de signaux GNSS reçus par un module de réception (320), ledit procédé caractérisé en ce qu'il comprend au moins: - Une étape de génération (510, 512, 513) de séquences de contrôle émulant un balayage et/ou un déplacement d'un cône de réception par au moins une antenne de réception des signaux GNSS; - Une étape de transmission (550) à un module d'authentification de signaux RF bruts en sortie de ladite au moins une antenne de réception des signaux GNSS; - Une étape d'acquisition (520) de données brutes représentatives desdits signaux GNSS, lesdites données brutes choisies dans un groupe de données représentatives d'un angle de phase, d'un centre de phase, d'une amplitude et d'une puissance de porteuse; - Une étape de transmission au module d'authentification d'un message contenant lesdites données brutes représentatives desdits signaux GNSS; - Une étape de production (570) par le module d'authentification d'un certificat d'authentification des signaux GNSS par un traitement recevant en entrée au moins lesdits signaux RF bruts en sortie de ladite au moins une antenne de réception et lesdites données brutes représentatives desdits signaux GNSS. 2. Procédé selon la revendication 1, dans lequel les séquences de contrôle sont générées par un code pseudo-aléatoire produit par une clé de chiffrement. 3. Procédé selon l'une des revendications 1 à 2, dans lequel le message transmis au module d'authentification comprend en outre des données PVT de localisation du récepteur. 4. Procédé selon l'une des revendications 1 à 3, dans lequel le balayage 35 d'un cône de réception comprend une génération de signaux atténués dans au moins une direction dudit cône. 3025611 23 5. Procédé selon l'une des revendications 1 à 4, dans lequel le déplacement d'un cône de réception dudit signal comprend une commutation entre au moins deux antennes. 5 6. Procédé selon l'une des revendications 1 à 5, dans lequel les signaux RF bruts en sortie de ladite au moins une antenne de réception du signal GNSS sont numérisés avant transmission au module d'authentification. 7. Procédé selon la revendication 6, dans lequel les signaux RF 10 numérisés en sortie de l'étape de numérisation sont chiffrés par au moins une première partie de la clé de chiffrement, avant transmission au module d'authentification. 8. Procédé selon l'une des revendications 1 à 7, dans lequel lesdites 15 données brutes représentatives des signaux GNSS sont chiffrées par au moins une deuxième partie de ladite clé de chiffrement, avant transmission au module d'authentification. 9. Procédé selon l'une des revendications 1 à 8, dans lequel la production 20 du certificat d'authentification des signaux GNSS est réalisée seulement si celui-ci satisfait un test de cohérence TC1 des mesures de phase et/ou de différences de mesures de phases entre signaux d'axes satellites différents avec un modèle déduit des séquences de contrôle émulant le balayage et/ou le déplacement d'un cône de réception. 25 10. Procédé selon l'une des revendications 1 à 8, dans lequel la production du certificat d'authentification des signaux GNSS est réalisée seulement si celui-ci satisfait un test de cohérence TC2 des directions d'arrivée mesurées par le module de réception avec des directions attendues déterminées par un modèle déduit des 30 séquences de contrôle émulant le balayage et/ou le déplacement d'un cône de réception. 11. Procédé selon l'une des revendications 1 à 8, dans lequel la production du certificat d'authentification des signaux GNSS est réalisée seulement si celui-ci satisfait un test de cohérence TC3 des puissances, amplitudes et/ou des rapports signal à bruit mesurés selon des directions d'arrivée mesurées par le module de réception avec puissances, amplitudes et/ou rapports signal à bruit attendus dans des directions attendues, ces paramètres étant déterminés par un modèle déduit des 3025611 24 séquences de contrôle émulant le balayage et/ou le déplacement d'un cône de réception. 12. Procédé selon l'une des revendications 1 à 8, dans lequel la production 5 du certificat d'authentification des signaux GNSS est réalisée seulement si un test de cohérence TC est satisfait, ledit test étant défini par une combinaison linéaire des tests de cohérence TC1, TC2 et TC3, les pondérations desdits tests TC1, TC2 et TC3 étant définies en fonction d'un indicateur de qualité de réception des signaux GNSS et/ou d'une position du module de réception estimée par un moyen de 10 localisation différent des signaux GNSS. 13. Procédé selon la revendication 12, dans lequel le moyen de localisation différent des signaux GNSS est choisi dans le groupe comprenant une cartographie terrain, une centrale inertielle, une identification d'une cellule de réseau de 15 radiocommunications ou d'une borne Wifi. 14. Procédé selon l'une des revendications 1 à 13, dans lequel, lorsqu'il existe un indice de présence de signaux GNSS non authentiques, on analyse les pics de corrélation inter-canaux sur les signaux bruts en sortie de ladite au moins 20 une antenne de réception. 15. Système d'authentification de signaux GNSS, caractérisé en ce qu'il comprend au moins: - Une pluralité de modules d'antennes, chaque module d'antennes 25 comprenant au moins une antenne; - Une pluralité de modules de réception de signaux GNSS, chaque module de réception configuré pour fournir en sortie des données brutes représentatives desdits signaux GNSS, lesdites données brutes choisies dans un groupe de données représentatives d'un angle de 30 phase, d'un centre de phase, d'une amplitude et d'une puissance de porteuse; - Au moins un module de traitement, ledit au moins un module de traitement configuré pour générer au moins une séquence de contrôle émulant un balayage et/ou un déplacement d'un cône de réception 35 desdits signaux par le module d'antennes ; - Au moins un module d'authentification, ledit module d'authentification configuré pour produire un certificat d'authentification des signaux GNSS par un traitement recevant en entrée au moins des signaux RF 3025611 25 bruts en sortie de ladite au moins une antenne de réception et lesdites données brutes représentatives desdits signaux GNSS. 16. Système selon la revendication 15, comprenant un serveur, ledit 5 serveur assurant la gestion des clés de chiffrement et au moins une partie des fonctions du au moins un module d'authentification. 17. Système selon l'une des revendications 15 à 16, dont au moins une partie de la pluralité des modules d'antennes et des modules de réception est 10 implantée dans des véhicules terrestres automobiles. 18. Système selon l'une des revendications 15 à 16, comprenant une pluralité de modules de traitement, au moins une partie de la pluralité des modules de réception étant implantée dans le voisinage de terminaux de paiement 15 électronique. 19. Boîtier antenne de réception de signaux GNSS, caractérisé en ce qu'il comprend : - Au moins une antenne configurée pour recevoir des signaux GNSS ; 20 - Un ensemble de composants électroniques configurés pour émuler un balayage et/ou un déplacement d'un cône de réception de ladite au moins une antenne sous le contrôle d'une séquence générée par un code pseudo-aléatoire en entrée numérique dudit boîtier; - Un convertisseur analogique numérique configuré pour fournir à au 25 moins une sortie analogique ou numérique un échantillonnage des signaux RF bruts. 20. Equipement d'authentification de signaux GNSS, caractérisé en ce qu'il comprend : 30 - Une entrée numérique configurée pour recevoir des clés de chiffrement ; - Un moyen d'acquisition à une fréquence d'échantillonnage prédéterminée de : o signaux RF bruts en sortie d'au moins une antenne de 35 réception de signaux GNSS, o données brutes représentatives desdits signaux GNSS, lesdites données brutes choisies dans un groupe de données 3025611 26 représentatives d'un angle de phase, d'un centre de phase, d'une amplitude et d'une puissance de porteuse. - Un circuit de traitement configuré pour : o Générer un code pseudo-aléatoire à partir d'une clé de 5 chiffrement, ledit code étant lui-même configuré pour générer une séquence de contrôle émulant un balayage et/ou un déplacement d'un cône de réception par ladite au moins une antenne de réception de signaux GNSS ; o Acquérir ou produire un modèle d'état de variables en sortie 10 du moyen d'acquisition, ledit modèle d'état adapté à la séquence de contrôle ; o Exécuter au moins un test de cohérence entre au moins une partie des données mesurées en sortie du moyen d'acquisition et leur modèle d'état. 15