FR 3033204 A1 20160902 FR 1551695 A 20150227 1 PROCEDE DE SECURISATION D'UN SERVICE PERMETTANT LA COMMANDE DE VEHICULES AUTOMOBILES AU MOYEN DE TERMINAUX MOBILES DOMAINE TECHNIQUE AUQUEL SE RAPPORTE L'INVENTION La présente invention concerne de manière générale la commande de fonctionnalités d'un véhicule automobile au moyen d'un terminal mobile. Elle concerne plus particulièrement un procédé de sécurisation d'un service de commande permettant à un propriétaire de véhicule automobile équipé d'un terminal mobile d'accéder à au moins une fonctionnalité du véhicule automobile au moyen de son terminal mobile, ledit service de commande étant opéré à l'aide d'un serveur dans lequel sont mémorisés des enregistrements qui associent chacun, à un identifiant, des informations relatives au propriétaire dudit véhicule automobile, lesdites informations comprenant au moins des coordonnées de contact dudit propriétaire. L'invention s'applique particulièrement avantageusement dans le cas où la fonctionnalité commandée est le déverrouillage des portières du véhicule ou le démarrage du véhicule. ARRIERE-PLAN TECHNOLOGIQUE On a proposé de commander certaines fonctionnalités d'un véhicule automobile, telles que le déverrouillage des portières du véhicule, au moyen d'un terminal mobile, par exemple un téléphone portable couramment utilisé par le propriétaire du véhicule. Afin de ne permettre cette commande qu'aux personnes effectivement autorisées, on utilise des clés virtuelles qui sont mémorisées dans les téléphones portables des personnes autorisées et dont une unité électronique de commande du véhicule vérifie la présence avant de commander le déverrouillage des portières. L'utilisation de telle clés virtuelles n'empêche nullement l'utilisation de clefs physiques (ou de cartes de commandes électroniques dédiées au déverrouillage des portières et au démarrage du véhicule automobile). Ainsi, en pratique, lorsqu'il achète un véhicule automobile, un propriétaire se voit remettre par le constructeur du véhicule des clés physiques et des informations lui permettant de s'enregistrer sur un serveur afin de se voir délivrer un certificat électronique de propriété ainsi qu'une ou plusieurs clés virtuelles 3033204 2 d'accès au véhicule (comme cela est mentionné dans la demande de brevet FR1463430 non publiée au moment du dépôt de la présente demande de brevet). Un inconvénient d'une telle solution est que, lorsque le propriétaire du véhicule automobile vend ce véhicule à une autre personne (le « nouveau 5 propriétaire »), il peut lui fournir les clefs physiques mais il ne peut pas lui transmettre le certificat électronique de propriété ainsi que les clés virtuelles associées. Le risque est alors que le propriétaire initial utilise le véhicule de manière frauduleuse, après l'avoir vendu, en se servant des clés virtuelles restées 10 stockées dans son téléphone portable. Un autre inconvénient est que lorsque le propriétaire change de terminal mobile, son nouveau terminal mobile n'est pas enregistré dans le serveur, si bien qu'il ne peut plus accéder au véhicule automobile autrement qu'avec ses clefs physiques. 15 OBJET DE L'INVENTION Afin de remédier aux inconvénients précités de l'état de la technique, la présente invention propose de faciliter et de sécuriser le changement d'informations mémorisées dans le serveur. Plus particulièrement, on propose selon l'invention un procédé de 20 sécurisation tel que défini dans l'introduction, qui comprend les étapes suivantes : - étape a) : réception par le serveur d'une requête de modifications des informations relatives à un propriétaire de véhicule automobile, comprenant un identifiant et au moins une information à modifier, - étape b) : recherche d'un enregistrement dans le serveur associé à 25 l'identifiant, - étape c) : en cas d'enregistrement trouvé, lecture des coordonnées de contact du propriétaire enregistré dans l'enregistrement, et envoi audit propriétaire d'un message de demande de validation de ladite requête, - étape d) : en cas de réception d'un message dudit propriétaire validant 30 ladite requête, modification dudit enregistrement ou création d'un nouvel enregistrement dans le serveur, mémorisant chaque information à modifier. On notera ici que le « propriétaire » pourra être une personne physique ou une personne morale, et qu'elle pourra éventuellement être représentée par une personne tierce pour mettre en oeuvre le procédé selon l'invention. 3033204 3 Pour illustrer l'invention, on peut tout d'abord considérer le cas où le propriétaire a changé de terminal mobile. Alors, le propriétaire émet une requête à destination du serveur, de manière que ce dernier prenne en compte ce nouveau terminal mobile. L'étape c) précitée consistera alors à demander au propriétaire 5 s'il est bien à l'origine de cette requête. Ainsi, le nouveau terminal mobile sera pris en compte par le serveur uniquement après que le propriétaire aura validé qu'il était bien à l'origine de cette requête. Pour illustrer l'invention, on peut également considérer le cas où le propriétaire du véhicule vend son véhicule à un nouveau propriétaire. Alors, l'un 10 ou l'autre de l'ancien et du nouveau propriétaire émet une requête à destination du serveur, de manière que ce dernier enregistre ce changement de propriétaire. Cette requête sera généralement émise par le nouveau propriétaire. L'étape c) précitée consistera alors à demander au propriétaire initial s'il a effectivement vendu son véhicule. Alors, si tel est le cas, le serveur peut écraser ou bloquer 15 l'ancien certificat électronique de propriété attaché au véhicule automobile, avant d'en délivrer un autre au nouveau propriétaire du véhicule. Le risque qui demeure est que le nouveau propriétaire, pas informé ou pas intéressé par la possibilité de se voir délivrer un certificat électronique de propriété ainsi que des clés virtuelles, ne se fasse pas connaître auprès du 20 serveur. Dans ce cas, l'ancien propriétaire reste libre d'utiliser frauduleusement le véhicule. Alors, préférentiellement, le terminal mobile étant adapté à communiquer avec le serveur, après chaque accès d'un utilisateur à la fonctionnalité du véhicule automobile grâce à un terminal mobile, il est prévu une étape de transmission par 25 ledit terminal mobile au serveur d'informations relatives à l'identité dudit utilisateur et au moment où ledit accès a eu lieu. Les informations stockées dans le serveur pourront ainsi permettre de prouver l'utilisation frauduleuse du véhicule par son ancien propriétaire. Pour réduire encore le risque d'utilisation frauduleuse du véhicule 30 automobile par l'ancien propriétaire, on pourra prévoir d'inciter, voir de forcer le nouveau propriétaire à se déclarer comme tel auprès du serveur. Ainsi, avantageusement, lorsque l'identifiant d'un quelconque propriétaire est inchangé dans le serveur depuis une durée supérieure à un seuil prédéterminé, il est prévu une étape de vérification de l'identité du propriétaire du 3033204 4 véhicule automobile dont l'identifiant est associé audit identifiant. En complément ou en variante, chaque enregistrement stockant (en sus de l'identifiant ou en guise d'identifiant du propriétaire) un nom ou un pseudonyme dudit propriétaire, il est prévu d'afficher fréquemment sur l'écran d'affichage situé 5 dans le véhicule un message mentionnant le nom ou le pseudonyme dudit propriétaire. Ainsi, si le nouveau propriétaire voit à plusieurs reprises s'afficher le nom de l'ancien propriétaire, il sera incité à se déclarer comme propriétaire auprès du serveur. 10 D'autres caractéristiques avantageuses et non limitatives du procédé conforme à l'invention sont les suivantes : - les informations relatives au propriétaire comportant en outre un numéro d'identification dudit terminal mobile, à l'étape a), l'information à modifier comporte un numéro d'identification d'un nouveau terminal mobile, et à l'étape d), 15 le numéro d'identification dudit nouveau terminal mobile est enregistré dans le serveur ; - les informations relatives au propriétaire comportant en outre un identifiant du propriétaire, à l'étape a), l'information à modifier comporte un identifiant d'un nouveau propriétaire ayant acheté le véhicule automobile au 20 propriétaire initial, ainsi que les coordonnées de contact du nouveau propriétaire, et à l'étape d), l'identifiant et les coordonnées de contact du nouveau propriétaire sont enregistrés dans le serveur ; - à l'étape d), l'identifiant du propriétaire initial est désactivé ; - le terminal mobile du propriétaire initial stockant au moins une clé 25 virtuelle d'accès à la fonctionnalité du véhicule automobile, lorsque l'identifiant du propriétaire initial est désactivé, ladite clé virtuelle est bloquée et/ou la mise à jour automatique de ladite clé virtuelle est suspendue ; - ledit enregistrement du serveur mémorisant les coordonnées de contact d'au moins un autre usager du véhicule automobile équipé d'un autre terminal 30 mobile stockant au moins une autre clé virtuelle d'accès à la fonctionnalité du véhicule automobile, lorsque l'identifiant du propriétaire initial est désactivé, ladite autre clé virtuelle est bloquée et/ou la mise à jour automatique de ladite autre clé virtuelle est suspendue, et un message d'information de fin de validité de ladite autre clé virtuelle est envoyé audit autre usager, au moyen desdites coordonnées 3033204 5 de contact mémorisées dans l'enregistrement ; - après ladite étape d), le serveur transmet au terminal mobile du nouveau propriétaire une clé virtuelle d'accès à la fonctionnalité du véhicule automobile ; 5 - il est prévu une étape de détection d'une action du nouveau propriétaire sur un objet physique lié au véhicule automobile, et ladite étape d) est en outre conditionnée par ladite détection ; - l'objet physique est une clé physique apte à commander le déverrouillage des portières du véhicule automobile ; 10 - les informations relatives au propriétaire comportant un identifiant du propriétaire, lorsqu'un identifiant mémorisé dans le serveur est inchangé depuis une durée supérieure à un seuil prédéterminé, il est prévu une étape de vérification de l'identité dudit propriétaire ; - les informations relatives au propriétaire comportant un nom ou un 15 pseudonyme du propriétaire, et le véhicule automobile étant équipé d'un écran d'affichage, il est prévu d'afficher fréquemment sur ledit écran d'affichage un message mentionnant le nom ou le pseudonyme dudit propriétaire ; - les coordonnées de contact mémorisées dans chaque enregistrement du serveur comportent une adresse de courrier électronique et/ou un numéro de 20 téléphone ; - le terminal mobile étant adapté à communiquer avec le serveur, après chaque accès du propriétaire à la fonctionnalité du véhicule automobile grâce à un terminal mobile, il est prévu une étape de transmission par ledit terminal mobile au serveur d'informations relatives au moment où ledit accès a eu lieu ; 25 - le serveur mémorise, dans l'enregistrement associé audit véhicule automobile, un journal dans lequel sont stockées, depuis une date déterminée, des informations relatives à l'identité de chaque utilisateur accédant au véhicule automobile et au moment de chaque accès à la fonctionnalité du véhicule automobile ; 30 - après chaque accès d'un utilisateur à la fonctionnalité du véhicule automobile grâce à un terminal mobile, une unité de commande du véhicule automobile mémorise des informations relatives à l'identité de l'utilisateur et au moment où ledit accès a eu lieu. DESCRIPTION DETAILLEE D'UN EXEMPLE DE REALISATION 3033204 6 La description qui va suivre en regard des dessins annexés, donnés à titre d'exemples non limitatifs, fera bien comprendre en quoi consiste l'invention et comment elle peut être réalisée. Sur les dessins annexés : 5 - la figure 1 représente un exemple de contexte dans lequel peut-être mise en oeuvre l'invention, comprenant notamment un véhicule et un terminal mobile ; - la figure 2 représente schématiquement des composants, utiles à la compréhension de l'invention, du véhicule et du terminal mobile de la figure 1 ; et 10 - la figure 3 présente les étapes principales d'un procédé d'inscription, suite à l'achat d'un véhicule d'occasion, à un service de commande de fonctionnalités du véhicule au moyen du terminal mobile. La figure 1 représente un exemple de contexte dans lequel peut être mise en oeuvre l'invention. 15 Dans ce contexte, un véhicule automobile 10 comprend une unité électronique de commande 11 (ou ECU pour "Electronic Control Unit") qui peut entrer en communication via une liaison sans fil avec un terminal mobile 20, par exemple un téléphone portable (ou téléphone cellulaire), éventuellement de type "téléphone intelligent" ou "smartphone" selon la dénomination anglo-saxonne 20 couramment utilisée, afin d'échanger des données avec ce terminal mobile 20, par exemple en vue de la commande de fonctionnalités du véhicule automobile 10 au moyen du terminal mobile 20 (une telle fonctionnalité pouvant être par exemple le déverrouillage des portières du véhicule automobile 10 ou le démarrage du moteur du véhicule). 25 En variante, il pourrait par exemple s'agir d'une montre connectée, d'une paire de lunettes connectée, ou d'une tablette informatique. La liaison sans fil utilisée pour communiquer entre l'unité électronique de commande 11 et le terminal mobile 20 est par exemple de type Bluetooth. Le terminal mobile 20 est par ailleurs conçu pour se connecter à un 30 réseau de téléphonie mobile 30 qui comprend notamment une station de base 32 en communication via une liaison radio avec le terminal mobile 20 et une passerelle 34 de connexion à un réseau public 40, par exemple le réseau Internet. Un serveur 50 est également connecté au réseau public 40 de sorte que le terminal mobile 20 et le serveur 50 peuvent entrer en communication et 3033204 7 échanger des données via le réseau de téléphonie mobile 30 et le réseau public 40. Le serveur 50 est ici géré par le fabricant de l'unité électronique de commande 11. La figure 2 représente schématiquement des composants, utiles à la 5 compréhension de l'invention, du véhicule automobile 10 et du terminal mobile 20. Le véhicule automobile 10 comprend notamment l'unité électronique de commande 11 déjà mentionnée, un actionneur 15 (conçu ici pour permettre le déverrouillage des portières du véhicule automobile 10), un actionneur 17 (conçu pour permettre le démarrage du véhicule), un module de communication sans fil 10 16 et une interface utilisateur 18. L'unité électronique de commande comprend un processeur 12 et une unité de mémorisation 14, par exemple une mémoire non-volatile réinscriptible ou un disque dur. L'unité de mémorisation 14 mémorise notamment des programmes 15 d'ordinateur comprenant des instructions dont l'exécution par le processeur 12 permet la mise en oeuvre par l'unité électronique de commande 11 des procédés décrits ci-dessous. Un identifiant (ici un numéro d'identification VID) est attribué au véhicule automobile 10. Un autre identifiant (ici un numéro de série N) est attribué à l'unité 20 électronique de commande 11. L'association entre le numéro d'identification VID d'un véhicule automobile 10 et le numéro de série N de l'unité électronique de commande 11 qui équipe ce véhicule automobile 10 est conservée dans une base de données D gérée par le serveur 50. On considérera ici plus précisément que la base de données D du 25 serveur 50 mémorise une pluralité d'enregistrements, chacun de ces enregistrements étant associé à l'un des véhicules automobiles 10 enregistré et stockant une pluralité de données, parmi lesquelles le numéro d'identification VID attribué au véhicule automobile 10. Le terminal mobile 20 comprend quant à lui un processeur 22, une 30 mémoire 24 (par exemple une mémoire non-volatile réinscriptible), un module de communication sans fil 26, un module 28 de communication sur le réseau de téléphonie mobile 30, et un écran d'affichage 27 (ici un écran tactile). La mémoire 24 permet notamment au terminal mobile 20 de mémoriser une application utilisateur, destinée à faciliter la commande des fonctionnalités du 3033204 8 véhicule au moyen de ce terminal mobile 20. Elle est également adaptée à mémoriser une clé virtuelle VK, qui permettra à l'unité électronique de commande 11 d'authentifier le terminal mobile 20 afin de lui laisser accès aux fonctionnalités du véhicule automobile 10 s'il y est autorisé. Ici, pour davantage de sécurité, on 5 considérera que cette clé virtuelle VK a une durée de validité limitée, et qu'elle devra régulièrement être mise à jour par le serveur 50. On considérera alors que le serveur 50 mémorise en outre, dans chaque enregistrement associé à un véhicule automobile 10 : - l'identifiant UID du propriétaire enregistré, 10 - la clé virtuelle VK délivrée au propriétaire pour ce véhicule, - des coordonnées de contact du propriétaire. Ces coordonnées de contact comporteront préférentiellement le numéro de téléphone du terminal mobile 20 auquel la clé virtuelle VK a été délivrée (c'est-à-dire le numéro qui a été attribué au terminal mobile 20 au moment de 15 l'abonnement au service de téléphonie mobile, il s'agit par exemple d'un numéro MSISDN). En variante ou par surcroît, les coordonnées de contact pourront comporter l'adresse de messagerie électronique du propriétaire ou l'adresse postale du propriétaire. On notera ici que les coordonnées de contact du propriétaire pourraient 20 faire office d'identifiant pour le propriétaire. Encore en variante, l'identifiant du terminal mobile 20 du propriétaire (généralement appelé numéro IMEI) pourrait faire office d'identifiant pour le propriétaire. Ici, comme cela sera bien décrit dans la suite de cet exposé, on considérera que le propriétaire sera identifié par un ensemble d'informations. 25 Le serveur 50 pourra également mémoriser, dans chaque enregistrement associé à un véhicule automobile 10 : - l'identifiant des autres usagers du véhicule (famille, amis, loueur, ...), - les coordonnées de contact de ces autres usagers, et - les clés virtuelles VK délivrées au terminaux mobiles de ces autres 30 usagers. Le module de communication sans fil 26 du terminal mobile 20 permet d'établir une liaison sans fil (ici de type Bluetooth comme déjà indiqué) avec le module de communication sans fil 16 du véhicule automobile 10 à travers laquelle le processeur 12 de l'unité électronique de commande 11 et le processeur 22 du 3033204 9 terminal mobile 20 peuvent échanger des données, notamment comme exposé plus loin. Le module de communication 28 permet au terminal mobile 20 (et plus précisément au processeur 22 équipant ce terminal mobile 20) d'échanger comme 5 déjà indiqué des données avec d'autres dispositifs connectés au réseau de téléphonie mobile 30 ou au réseau public 40, notamment avec le serveur 50. Dans certains modes de réalisation, le module de communication peut comprendre une carte à puce qui mémorise des données de connexion associées à un abonnement au service de téléphonie mobile et permettant d'établir la connexion 10 sur le réseau de téléphonie mobile 30. Comme cela a été exposé supra, le serveur 50 va permettre d'offrir à des utilisateurs un service d'accès à une ou des fonctionnalités des véhicules automobiles 10 enregistrés, au moyen de leurs terminaux mobiles. La fonctionnalité commandée pourra être par exemple le déverrouillage 15 des portières du véhicule ou le démarrage du véhicule. L'utilisateur pourra être le propriétaire du véhicule, ou toute autre personne autorisée par ce dernier et enregistrée dans le serveur 50. Ce service devra alors être sécurisé pour permettre d'éviter que des personnes non autorisées puissent accéder aux fonctionnalités des véhicules 20 automobiles. L'objet du présent exposé porte alors plus précisément sur un procédé de sécurisation de ce service lorsque le propriétaire d'un véhicule automobile 10 souhaite modifier l'une des informations mémorisées dans le serveur 50. On pourra noter, de manière préliminaire, que ce procédé comportera 25 systématiquement quatre étapes principales, à savoir : - une étape de réception par le serveur 50 d'une requête de modifications des informations relatives au propriétaire de véhicule automobile 10, comprenant un identifiant (par exemple celui du véhicule) et au moins une information à modifier, 30 - une étape de recherche d'un enregistrement dans le serveur 50 associé à l'identifiant VID, - en cas d'enregistrement trouvé, une étape de lecture des coordonnées de contact du propriétaire enregistré dans l'enregistrement, et d'envoi audit propriétaire d'un message de demande de validation de ladite requête, et 3033204 10 - en cas de réception d'un message du propriétaire validant ladite requête, une étape de modification de l'enregistrement (ou en variante de création d'un nouvel enregistrement dans le serveur) afin qu'il mémorise chaque information à modifier. 5 Pour bien comprendre la présente invention, on pourra envisager deux cas, celui où le propriétaire du véhicule change (l'information à modifier dans le serveur 50 comprenant alors notamment les noms et prénoms ainsi que les coordonnées de contact du propriétaire), et celui où le propriétaire change de terminal mobile (l'information à modifier dans le serveur 50 comprenant alors le 10 numéro IMEI du terminal mobile, ainsi qu'éventuellement le numéro de téléphone associé à ce terminal mobile). Considérons tout d'abord le cas d'une vente ou d'une cession du véhicule automobile 10 par son « ancien propriétaire » (ou « propriétaire initial ») à un « nouveau propriétaire ». 15 La figure 3 présente alors en détail les étapes principales d'un procédé d'inscription (ou enrôlement) du nouveau propriétaire sur le serveur 50, de manière qu'il puisse accéder au service de commande des fonctionnalités du véhicule automobile au moyen de son terminal mobile 20. On remarque qu'avant la mise en oeuvre d'un tel procédé, le terminal 20 mobile 20 du nouveau propriétaire n'est pas spécifiquement préparé pour la commande de fonctionnalités du véhicule automobile 10 et ne comprend aucune donnée associée avec le véhicule automobile 10. Il peut donc s'agir par exemple du téléphone portable couramment utilisé par le nouveau propriétaire du véhicule automobile 10. 25 De même, avant la mise en oeuvre du procédé, le terminal mobile 20 du nouveau propriétaire est inconnu du véhicule automobile 10 qui n'a donc connaissance d'aucune donnée associée à ce terminal mobile 20. En revanche, on considérera ici que l'ancien propriétaire s'était identifié auprès du serveur 50, si bien que la base de données D comporte, dans un 30 enregistrement D1 associé au véhicule automobile 10, des informations relatives à cet ancien propriétaire (par exemple un identifiant, un numéro de téléphone associé à son terminal mobile, ses nom et prénom, ...). On notera ici que le terminal mobile de l'ancien propriétaire sera référencé 20' sur la figure 3. On considère que, pour la mise en oeuvre du procédé de la figure 3, le 3033204 11 nouveau propriétaire a accès au véhicule automobile 10 par des moyens classiques, par exemple par une clef physique que lui aura remis l'ancien propriétaire. Dans le mode de réalisation décrit ici, le nouveau propriétaire porte et 5 utilise le terminal mobile 20 qui, comme décrit ci-dessus, est en communication d'une part avec l'unité électronique de commande 11 via une liaison sans fil (par exemple de type Bluetooth) et d'autre part avec le serveur 50 via une liaison radio jusqu'à la station de base 31, puis via le réseau de téléphonie mobile 30 et le réseau public 40. 10 Le terminal mobile 20 peut ainsi être utilisé, dans le mode de réalisation décrit ici, en tant que passerelle permettant un échange de données entre l'unité électronique de commande 11 du véhicule automobile 10 et le serveur 50, comme décrit ci-après. En variante, on pourrait utiliser d'autres moyens de communication entre 15 le véhicule et le serveur 50, par exemple un module de communication (parfois dénommé "Telematic Control Unit") équipant le véhicule et conçu pour établir une communication (directe) entre le véhicule et le réseau de téléphonie mobile. Le procédé de la figure 3 débute à l'étape El à laquelle le nouveau propriétaire se déclare auprès du serveur 50 comme nouveau propriétaire du 20 véhicule automobile 10. Pour cela, il peut tout d'abord s'installer dans le véhicule automobile 10, et attendre qu'une liaison Bluetooth s'établisse de manière classique entre son terminal mobile 20 et l'unité électronique de commande 11 du véhicule automobile 10. 25 Il peut également télécharger l'application utilisateur mise à sa disposition par le constructeur du véhicule automobile. Cette application utilisateur pourra par exemple être téléchargée sur le « magasin en ligne » associé au système d'exploitation embarqué sur son terminal mobile 20. En pratique, s'il dispose d'un iPhone®, l'utilisateur pourra télécharger cette application utilisateur 30 sur l'Apple store®. Une fois cette liaison établie et cette application utilisateur téléchargée et installée sur son terminal mobile 20, à l'étape El, le nouveau propriétaire communique au serveur 50 une requête de changement de propriétaire du véhicule automobile 10 comprenant ici un identifiant utilisateur UlD1, l'identifiant 3033204 12 VID du véhicule automobile 10, et le numéro de téléphone associé au terminal mobile 20 utilisé. Dans un mode de réalisation envisageable, il utilise pour cela l'application utilisateur, cette dernière étant programmée pour demander au 5 nouveau propriétaire la saisie des identifiants précités UlD1, VID et pour les transmettre au serveur 50. Dans un autre mode de réalisation envisageable, le nouveau propriétaire se connecte au serveur 50 en saisissant l'adresse http du serveur 50 dans un navigateur exécuté par le processeur 22 du terminal mobile 20, et saisit par exemple les identifiants précités UlD1, VID ainsi que son numéro 10 de téléphone dans un formulaire ensuite transmis au serveur 50. L'identifiant utilisateur UlD1 du nouveau propriétaire pourra se présenter sous différentes formes. Il pourrait par exemple comprendre les nom et prénom(s) du nouveau propriétaire, et/ou son pseudonyme et/ou sa date de naissance et/ou son adresse électronique et/ou son numéro de téléphone et/ou un identifiant du 15 terminal mobile 20 (tel que le numéro 'MEI). On considérera dans la suite de cet exposé que cet identifiant comprendra les nom et prénom(s) du nouveau propriétaire, ainsi que son numéro de téléphone. L'identifiant VID du véhicule est par exemple de type "Vehicle Identification Number". Il aura été fourni par l'ancien propriétaire au nouveau 20 propriétaire, avec les papiers du véhicule. On pourrait toutefois utiliser en variante un autre identifiant associé au véhicule automobile 10, notamment le numéro de série N de l'unité électronique de commande 11 du véhicule automobile 10. L'identifiant utilisateur UlD1 et l'identifiant véhicule VID considérés en association forment un certificat électronique de propriété du véhicule pour le 25 service proposé. Le serveur 50 reçoit l'identifiant utilisateur UlD1 et l'identifiant véhicule VID à l'étape E2 et mémorise ces identifiants, à cette étape, dans une zone dédiée aux véhicules pour lesquels l'inscription au service de commande de fonctionnalités du véhicule au moyen du terminal mobile est en cours. 30 Au cours de l'étape suivante E3, le serveur 50 va vérifier si le véhicule automobile 10 est déjà enregistré dans la base de données D ou s'il s'agit d'un nouveau véhicule automobile à enregistrer dans celle-ci. Il va pour cela rechercher dans sa base de données D un enregistrement dans lequel serait mémorisé l'identifiant véhicule VID. 3033204 13 On considérera ici, dans le cadre de la présente invention, qu'un enregistrement D1 est trouvé, si bien que le procédé se poursuit en une étape E5. Si aucun enregistrement n'était trouvé, le véhicule automobile 10 serait considéré comme n'ayant jamais été enregistré dans la base de données D. Le 5 processus se poursuivrait alors en des opérations E4 au cours desquelles non seulement le nouveau propriétaire mais également le véhicule devraient s'enrôler auprès du serveur. Les étapes E5 et suivantes vont alors être mises en oeuvre par le serveur 50 de manière que ce dernier puisse s'assurer que la personne qui a transmis la 10 requête de changement de propriétaire est bien le nouveau propriétaire du véhicule automobile 10. Ces étapes consisteront à vérifier auprès de l'ancien propriétaire que ce dernier n'est plus le propriétaire légal du véhicule automobile 10, puis éventuellement à identifier le nouveau propriétaire (celui-ci étant considéré comme 15 tel s'il dispose d'un objet physique particulier - ici la clef physique). Pour cela, le serveur 50 lit à l'étape E5 le numéro de téléphone de l'ancien propriétaire, qui est mémorisé dans l'enregistrement D1 de la base de données D. A l'étape suivante E6, le serveur envoie sur le terminal mobile 20' de 20 l'ancien propriétaire un message lui demandant s'il a effectivement vendu son véhicule. Ce message pourra être transmis par exemple sous forme de message court ou SMS (pour "Short Message System"). En variante, il pourrait s'agir d'un courrier électronique ou même d'un courrier physique. 25 Le message s'affiche alors sur l'écran tactile 27 du terminal mobile 20 (étape E7). On considérera ici que ce message comporte deux liens http, l'un pour valider que le véhicule automobile 10 a effectivement été vendu, l'autre pour répondre que l'ancien propriétaire est encore propriétaire du véhicule. L'ancien propriétaire peut alors choisir de ne pas répondre ou de 30 répondre qu'il est encore propriétaire du véhicule, auquel cas le processus s'interrompt (étape E0). Au contraire, il peut valider que le véhicule automobile 10 a effectivement été vendu, auquel cas un message de réponse favorable est transmis depuis le terminal mobile 20' de l'ancien propriétaire vers le serveur 50. 3033204 14 A réception de ce message, le nouveau propriétaire pourrait être directement enregistré dans le serveur 50. Toutefois, ici, pour davantage de sécurité, des étapes E8 et suivantes vont être entreprises avant de valider l'inscription du nouveau propriétaire dans le 5 serveur 50. Le serveur 50 déclenche alors la poursuite du procédé d'inscription en émettant à destination de l'unité électronique de commande 11 du véhicule automobile 10 une instruction INS de vérification de la présence du nouveau propriétaire dans le véhicule automobile 10 (étape E8). 10 À réception de cette instruction INS, l'unité électronique de commande 11 commande à l'étape E9 la génération par l'interface utilisateur 18 d'une indication demandant au nouveau propriétaire d'effectuer une ou plusieurs action(s) ACT. Cette indication peut être une indication visuelle (par exemple un signal 15 lumineux ou un affichage sur un écran de l'interface utilisateur 18) et/ou sonore (par exemple un son particulier ou un message vocal). L'action ou les actions demandée(s) comprennent préférentiellement l'utilisation de la clé physique (par exemple l'appui, éventuellement simultané, sur un ou plusieurs boutons de la clé physique, ou le démarrage et/ou l'arrêt du 20 moteur avec la clé physique). En variante, elle(s) peuvent comprendre une action du nouveau propriétaire sur le véhicule automobile 10, par exemple un appui sur un bouton de l'interface utilisateur 18, une ouverture et/ou une fermeture de porte (dans ces variantes, ces actions ne peuvent en effet être mises en oeuvre que si le nouveau propriétaire dispose effectivement de la clef physique). 25 Le nouveau propriétaire effectue l'action (ou les actions) demandée(s) ACT à l'étape E9. L'unité électronique de commande 11 détecte à l'étape El 0 si l'action effectuée par le nouveau propriétaire correspond bien à l'action demandée ACT (en laissant par exemple une durée prédéterminée au nouveau propriétaire pour 30 accomplir l'action). En cas d'échec (c'est-à-dire si le nouveau propriétaire n'effectue pas les actions demandées dans le laps de temps imparti), l'unité électronique de commande 11 procède à l'étape El 1 qui met fin au processus d'inscription. Un message d'erreur peut en outre être affiché sur l'interface utilisateur 18 du 3033204 15 véhicule automobile 10. En revanche, si le nouveau propriétaire effectue correctement les actions demandées ACT dans le temps imparti, on considère que toutes les conditions requises pour effectuer son inscription dans la base de données D sont remplies 5 et que le service de commande de fonctionnalités du véhicule au moyen du terminal mobile peut être lancé. Alors, au cours d'une étape E12, l'unité électronique de commande 11 du véhicule automobile transmet au serveur 50 un message d'authentification du nouveau propriétaire. 10 A réception de ce message, le serveur 50 désactive l'identifiant UIDO de l'ancien propriétaire, ainsi que tous les droit attachés (étape El 3). Ici, l'identifiant UIDO de l'ancien propriétaire est effacé de l'enregistrement D1 de la base de données D. Il peut ensuite être archivé dans une autre base de données. 15 En variante, l'ensemble de l'enregistrement D1 pourrait être supprimé ou archivé. Quoi qu'il en soit, le serveur 50 cesse alors les mises à jour des clés virtuelles VK (dont on rappelle qu'elles ont une durée de validité limitée) attachées au certificat électronique de propriété de l'ancien propriétaire du véhicule 20 automobile 10. En variante, le serveur 50 peut émettre à destination de tous les terminaux mobiles 20 mémorisés dans l'enregistrement D1 associé au véhicule automobile 10 une requête d'effacement des clés virtuelles que ces terminaux mobiles 20 stockent. 25 Dans ces deux cas, le serveur 50 efface toutes les clés virtuelles VK qui étaient enregistrées dans l'enregistrement Dl. Simultanément, on pourra prévoir que le serveur 50 commande l'envoi aux terminaux mobiles qui utilisaient ces clés virtuelles VK d'un message les avertissant qu'ils ne peuvent plus bénéficier de l'accès au véhicule automobile 10 à l'aide de leurs terminaux mobiles 20. 30 Puis, au cours d'une étape E14, le serveur 50 procède à l'inscription de l'identifiant UlD1 du nouveau propriétaire dans l'enregistrement D1 de la base de données D, ainsi qu'à l'inscription de son numéro de téléphone. En variante, cette inscription pourrait être réalisée dans un nouvel enregistrement de la base de données, en association avec l'identifiant VID du 3033204 16 véhicule automobile 10. Une fois cette inscription réalisée, le serveur 50 génère une nouvelle clé virtuelle VK qu'il stocke dans l'enregistrement D1 et qu'il émet à destination du terminal mobile 20 du nouveau propriétaire (étape E15). 5 Cette étape de transmission de la clé virtuelle VK ne faisant pas l'objet de la présente invention, elle ne sera pas ici décrite en détail. On pourra simplement expliquer qu'elle est initiée en envoyant un message court au terminal mobile 20, en utilisant le numéro de téléphone stocké dans l'enregistrement D1 de la base de données D. 10 A l'issue de cette étape, le terminal mobile 20 bénéficie d'une clé virtuelle VK (étape E16) qui permet au nouveau propriétaire d'avoir accès aux fonctionnalités de son véhicule au moyen de son terminal mobile 20. Une fois la clé virtuelle VK émise, le procédé d'enrôlement du nouveau propriétaire s'achève. 15 Considérons maintenant le cas où le nouveau propriétaire du véhicule automobile 10 ne s'enregistre pas auprès du serveur 50. Il peut en effet arriver que le nouveau propriétaire ne souhaite pas bénéficier du service d'accès au véhicule au moyen d'un terminal mobile, ou qu'il ne soit pas informé de la possibilité de bénéficier de ce service. 20 On comprend que dans ce cas, l'ancien propriétaire reste libre d'utiliser frauduleusement le véhicule automobile 10 en utilisant les clés virtuelles VK dont il dispose encore dans son terminal mobile 20'. Il est alors prévu de stocker dans le serveur 50 des informations permettant de prouver a posteriori l'utilisation frauduleuse du véhicule par son 25 ancien propriétaire. Pour cela, l'application utilisateur enregistrée dans chaque terminal mobile 20 est programmée pour transmettre au serveur 50, à chaque fois que le terminal mobile 20 est utilisé pour déverrouiller les portières ou pour démarrer le moteur du véhicule, des informations relatives à l'identité de son propriétaire et au 30 moment où ledit accès a eu lieu. Ces informations peuvent être directement transmises au serveur, ou peuvent être transmises plus tard si le terminal mobile 20 n'a pas accès au réseau de téléphonie mobile. Ainsi, chaque enregistrement D1 de la base de données D stockées dans le serveur 50 mémorise un journal dans lequel sont listés tous ces accès. 3033204 17 Ce journal pourra ainsi en pratique mémoriser le numéro de téléphone ou le code IMEI du terminal mobile 20 utilisé, ainsi que la date et l'heure de l'accès au véhicule automobile 10. De cette manière, en cas de litige, ce journal pourra servir de preuve 5 concernant les personnes ayant utilisées le véhicule automobile 10. Avantageusement, un journal homologue est tenu par l'unité électronique de commande 11 du véhicule automobile 10. Ainsi, à chaque accès à l'une des fonctionnalités du véhicule automobile par un utilisateur, l'unité électronique de commande 11 stocke dans son unité de 10 mémorisation 14 des informations relatives à l'identité de l'utilisateur (par exemple le numéro IMEI de son terminal mobile 20) et au moment où ledit accès a eu lieu. De cette manière, lorsque le terminal mobile 20 n'a pas accès au serveur 50, le journal du véhicule est tout de même mis à jour. Ainsi, par la suite, lorsqu'un terminal mobile (le même ou un autre) ayant accès au serveur 50 est utilisé par un 15 utilisateur pour accéder au véhicule, ce terminal mobile sert de passerelle pour permettre aux informations contenues dans le journal du véhicule d'être transmises au serveur 50. Un avantage est que même si le journal du serveur n'est pas à jour et que le véhicule automobile a été volé puis est retrouvé, il est possible d'analyser le 20 journal du véhicule pour contrôler tous les accès au véhicule. Pour réduire encore le risque d'utilisation frauduleuse du véhicule automobile 10 par son ancien propriétaire, on pourra prévoir d'inciter, voir de forcer le nouveau propriétaire à se déclarer comme tel auprès du serveur 50. Cette incitation pourra prendre la forme de messages affichés sur 25 l'interface utilisateur 18 du véhicule automobile 10. Ainsi, l'unité électronique de commande 11 pourra être prévue pour commander l'affichage, à intervalles réguliers, des nom et prénom du propriétaire du véhicule enregistré dans le serveur 50 (par exemple à chaque démarrage du véhicule automobile 10). 30 Ainsi, en voyant s'afficher des nom et prénom qui ne sont pas les siens, le nouveau propriétaire du véhicule sera incité à se déclarer comme tel auprès du serveur 50. En variante, on pourra prévoir que le certificat électronique de propriété de chaque véhicule automobile ait une durée de validité limitée et que le 3033204 18 propriétaire du véhicule soit forcé de le mettre à jour à intervalles réguliers. Dans cette variante, on pourra stocker dans chaque enregistrement de la base de données la date de création du certificat électronique de propriété. Alors, par exemple à chaque anniversaire de cette date de création, on 5 pourra forcer le propriétaire à mettre à jour son certificat de propriété électronique. Cette mise à jour pourra par exemple être réalisée en demandant au propriétaire d'utiliser sa clef physique, de saisir ses nom et prénom sur l'interface utilisateur 18 du véhicule automobile 10 et de connecter son terminal mobile 20 à l'unité électronique de commande 11 en Bluetooth. 10 Alors, ces nom et prénom et l'identifiant du terminal mobile 20 seront comparés par le serveur 50 avec ceux mémorisés dans l'enregistrement correspondant de la base de données D. S'ils correspondent, la validité du certificat électronique de propriété sera prolongée d'un an. 15 Dans le cas contraire (cas où le propriétaire du véhicule a changé), le nouveau propriétaire sera forcé de s'enrôler auprès du serveur, selon le procédé décrit supra. On peut maintenant envisager le deuxième exemple de mise en oeuvre de l'invention, celui où le propriétaire du véhicule a changé de terminal mobile 20 20 et souhaite enregistrer ce nouveau terminal 20 dans le serveur 50. Dans ce deuxième exemple non représenté sur les figures, le propriétaire initie le processus d'inscription de ce nouveau terminal mobile 20 dans le serveur 50 en communiquant au serveur 50 une requête de changement de terminal mobile. 25 Pour cela, il commence par télécharger l'application utilisateur mise à sa disposition par le constructeur du véhicule automobile, puis il choisit dans cette application le menu lui permettant d'émettre une telle requête. Dans ce menu, le propriétaire saisit des informations, dont un identifiant permettant au serveur 50 de retrouver l'enregistrement D1 correspondant au 30 véhicule automobile 10 du propriétaire. Cet identifiant sera préférentiellement l'identifiant VID du véhicule automobile 10. En variante, il pourrait s'agir de l'identifiant UID du propriétaire du véhicule. 3033204 19 Lorsqu'il reçoit ces informations, le serveur 50 recherche dans sa base de données D un enregistrement dans lequel serait mémorisé l'identifiant véhicule VID. On considérera ici, dans le cadre de la présente invention, qu'un 5 enregistrement D1 est trouvé. Les étapes suivantes vont alors être mises en oeuvre par le serveur 50 de manière que ce dernier puisse s'assurer que la personne qui a transmis la requête de changement de terminal mobile est bien le propriétaire du véhicule automobile 10. 10 Pour cela, le serveur 50 lit le numéro de téléphone mémorisé dans l'enregistrement D1 de la base de données D, puis il envoie sur ce numéro de téléphone un message demandant au propriétaire s'il a effectivement changé de terminal mobile. Ce message pourra être transmis par exemple sous forme d'un message 15 court ou SMS (pour "Short Message System"). En variante ou en cas d'absence de réponse (notamment dans le cas où le propriétaire a également changé de numéro de téléphone), le message pourra être transmis sous la forme d'un courrier électronique ou d'un courrier papier. Dès que le propriétaire valide le message reçu, le numéro IMEI du 20 terminal mobile 20 est enregistré dans le serveur 50, comme nouvel identifiant du terminal mobile du propriétaire du véhicule automobile 10. Ici encore, pour davantage de sécurité, d'autres étapes pourraient être entreprises avant de valider l'inscription du numéro IMEI du nouveau terminal mobile dans le serveur. Il pourrait ainsi être demandé au propriétaire de valider 25 cette inscription, en effectuant une ou plusieurs action(s) ACT du type de celles décrites supra. REVENDICATIONS1. Procédé de sécurisation d'un service de commande permettant à un propriétaire de véhicule automobile (10) équipé d'un terminal mobile (20) d'accéder à au moins une fonctionnalité du véhicule automobile (10) au moyen du terminal mobile (20), ledit service de commande étant opéré à l'aide d'un serveur (50) dans lequel sont mémorisés des enregistrements qui associent chacun, à un identifiant (VID ; UID), des informations relatives au propriétaire dudit véhicule automobile (10), lesdites informations comprenant au moins des coordonnées de contact dudit propriétaire, caractérisé en ce qu'il comprend les étapes suivantes : a) réception par le serveur (50) d'une requête de modifications des informations relatives à un propriétaire de véhicule automobile (10), comprenant un identifiant (VID ; UID) et au moins une information à modifier, b) recherche d'un enregistrement dans le serveur (50) associé à l'identifiant (VID ; UID), c) en cas d'enregistrement trouvé, lecture des coordonnées de contact du propriétaire enregistré dans ledit enregistrement, et envoi audit propriétaire d'un message de demande de validation de ladite requête, d) en cas de réception d'un message dudit propriétaire validant ladite requête, modification dudit enregistrement ou création d'un nouvel enregistrement dans le serveur (50), de manière que le serveur (50) mémorise chaque information à modifier. 2. Procédé de sécurisation selon la revendication 1, dans lequel, les 25 informations relatives au propriétaire comportant en outre un numéro d'identification dudit terminal mobile (20), - à l'étape a), l'information à modifier comporte un numéro d'identification d'un nouveau terminal mobile (20), et - à l'étape d), le numéro d'identification dudit nouveau terminal mobile 30 (20) est enregistré dans le serveur (50). 3. Procédé de sécurisation selon la revendication 1, dans lequel ledit identifiant (VID) caractérisant le véhicule automobile (10), les informations relatives au propriétaire comportant un identifiant (UIDO) du propriétaire, - à l'étape a), l'information à modifier comporte un identifiant (UID1) d'un 3033204 21 nouveau propriétaire ayant acheté le véhicule automobile (10) au propriétaire initial, ainsi que les coordonnées de contact du nouveau propriétaire, et - à l'étape d), l'identifiant (UID1) et les coordonnées de contact du nouveau propriétaire sont enregistrés dans le serveur. 5 4. Procédé de sécurisation selon la revendication 3, dans lequel, à l'étape d), l'identifiant (UIDO) du propriétaire initial est désactivé. 5. Procédé de sécurisation selon la revendication 4, dans lequel, le terminal mobile (20') du propriétaire initial stockant au moins une clé virtuelle (VK) d'accès à la fonctionnalité du véhicule automobile (10), lorsque l'identifiant (UIDO) 10 du propriétaire initial est désactivé, ladite clé virtuelle (VK) est bloquée et/ou la mise à jour automatique de ladite clé virtuelle (VK) est suspendue. 6. Procédé de sécurisation selon la revendication 5, dans lequel, ledit enregistrement du serveur (50) mémorisant les coordonnées de contact d'au moins un autre usager du véhicule automobile (10) équipé d'un autre terminal 15 mobile stockant au moins une autre clé virtuelle d'accès à la fonctionnalité du véhicule automobile (10), lorsque l'identifiant (UIDO) du propriétaire initial est désactivé, ladite autre clé virtuelle est bloquée et/ou la mise à jour automatique de ladite autre clé virtuelle est suspendue, et un message d'information de fin de validité de ladite autre clé virtuelle est envoyé audit autre usager, au moyen des 20 coordonnées de contact mémorisées dans l'enregistrement. 7. Procédé de sécurisation selon l'une des revendications 3 à 6, dans lequel, après ladite étape d), le serveur (50) transmet au terminal mobile (20) du nouveau propriétaire une clé virtuelle (VK) d'accès à la fonctionnalité du véhicule automobile (10). 8. Procédé de sécurisation selon l'une des revendications 3 à 7, comprenant une étape de détection d'une action du nouveau propriétaire sur un objet physique lié au véhicule automobile (10), dans lequel ladite étape d) est en outre conditionnée par ladite détection. 9. Procédé de sécurisation selon la revendication 8, dans lequel l'objet physique est une clé physique apte à commander le déverrouillage des portières du véhicule automobile (10). 10. Procédé de sécurisation selon l'une des revendications précédentes, dans lequel, les informations relatives au propriétaire comportant un identifiant (UID) du propriétaire, lorsqu'un identifiant (UID) de propriétaire mémorisé dans le 3033204 22 serveur (50) est inchangé depuis une durée supérieure à un seuil prédéterminé, il est prévu une étape de vérification de l'identité dudit propriétaire. 11. Procédé de sécurisation selon l'une des revendications précédentes, dans lequel, les informations relatives au propriétaire comportant un nom ou un 5 pseudonyme du propriétaire, et le véhicule automobile (10) étant équipé d'un écran d'affichage (18), il est prévu d'afficher fréquemment sur ledit écran d'affichage (18) un message mentionnant le nom ou le pseudonyme dudit propriétaire. 12. Procédé de sécurisation selon l'une des revendications précédentes, 10 dans lequel, dans lequel les coordonnées de contact mémorisées dans chaque enregistrement du serveur (50) comportent une adresse de courrier électronique et/ou un numéro de téléphone. 13. Procédé de sécurisation selon l'une des revendications précédentes, dans lequel, le terminal mobile (20) étant adapté à communiquer avec le serveur 15 (50), après chaque accès du propriétaire à la fonctionnalité du véhicule automobile (10) grâce à un terminal mobile (20), il est prévu une étape de transmission par ledit terminal mobile (20) au serveur (50) d'informations relatives au moment où ledit accès a eu lieu. 14. Procédé de sécurisation selon la revendication précédente, dans 20 lequel le serveur (50) mémorise, dans l'enregistrement associé audit véhicule automobile (10), un journal dans lequel sont stockées, depuis une date déterminée, des informations relatives à l'identité de chaque utilisateur accédant au véhicule automobile (10) et au moment de chaque accès à la fonctionnalité du véhicule automobile (10). 25 15. Procédé de sécurisation selon l'une des revendications précédentes, dans lequel après chaque accès d'un utilisateur à la fonctionnalité du véhicule automobile (10) grâce à un terminal mobile (20), une unité de commande (11) du véhicule automobile (10) mémorise des informations relatives à l'identité de l'utilisateur et au moment où ledit accès a eu lieu. 30