FR 3044501 A1 20170602 FR 1561439 A 20151126 1 PROCEDE DE TRANSMISSION, PAR UN TERMINAL, DE DONNEES CONFIDENTIELLES DEPUIS UN CALCULATEUR TELEMATIQUE DE VEHICULE VERS UN SERVEUR L'invention concerne l'échange de données entre différents systèmes informatiques tel qu'un boitier électronique dans un véhicule, des équipements mobiles (Smartphones, tablettes, ordinateur portable...) et des systèmes débarqués (aussi appelé cloud en anglais) et, en particulier, l'échange de données confidentielles. la On connait, par le document US 2013/0190967, un procédé et un système permettant une supervision d'un véhicule à distance. Le système comprend un dispositif mobile communicant avec un serveur, d'une part, et avec le véhicule, d'autre part. Des données issues de capteurs peuvent être transmises du véhicule vers le serveur par l'intermédiaire du dispositif mobile. 15 Cependant, rien n'est prévu pour assurer la sécurité et l'intégrité des données. L'invention a donc pour but de remédier aux inconvénients précités en fournissant un procédé d'accès, par un serveur, à des données confidentielles disponibles auprès d'un calculateur télématique, par l'intermédiaire d'un dispositif mobile, le un dispositif mobile n'étant pas 20 forcément pourvu d'un dispositif de sécurité. Elle propose plus précisément à cet effet un procédé de transmission, par l'intermédiaire d'un terminal nomade, de données confidentielles disponibles auprès d'un calculateur télématique d'un véhicule, vers un serveur, ledit procédé mis en oeuvre par le terminal nomade, comportant des 25 étapes de : - Réception d'une demande, provenant du serveur, de données confidentielles disponibles auprès du calculateur télématique, - Emission d'une demande de requête, à destination du serveur, - Réception d'une requête portant sur les données confidentielles, 30 - Transfert de la requête portant sur les données confidentielles vers le calculateur télématique du véhicule, - Réception des informations confidentielles demandées, 3044501 2 - Transfert des informations confidentielles demandées, vers le serveur, Caractérisé en ce que, ledit calculateur télématique comportant une mémoire sécurisée dans laquelle est stockée une clé de chiffrement privée, les informations confidentielles réceptionnées et transférées sont signées par le 5 calculateur télématique du véhicule, avec sa clé de chiffrement privée, et en ce que ledit procédé comporte, en outre, en réponse à l'étape, une étape d'établissement d'une connexion sécurisée avec le calculateur télématique du véhicule. L'invention permet à un serveur de récupérer, de façon sécurisée, des données disponibles auprès d'un calculateur télématique. L'invention trouve son application dans le cas où le calculateur télématique ne dispose de moyen de communication direct avec le serveur. L'échange de données se fait alors par l'intermédiaire d'un terminal dont le niveau de sécurité n'est pas garanti. L'invention permet de garantir la confidentialité des échanges par le chiffrement des messages et l'intégrité des données. Les données envoyées au serveur sont signées par le calculateur télématique. L'invention permet de garantir l'intégrité de l'information échangée entre le serveur et le calculateur télématique indépendamment de la fiabilité de la chaine de communication (en particulier le terminal). Le procédé selon l'invention fonctionne de façon asynchrone, celui-ci peut être mis en oeuvre même si la connexion de données entre le boitier télématique et le terminal mobile est établi de façon intermittente. De façon avantageuse, le procédé de transmission de données confidentielles selon l'invention comporte, en outre, une étape d'émission auprès du serveur, d'une demande pour déterminer si le serveur dispose de requêtes confidentielles à traiter. Cette caractéristique permet au terminal d'avoir connaissance des requêtes disponibles auprès du serveur sans que le serveur lui envoie des notifications. De façon avantageuse, le procédé de transmission de données 30 confidentielles selon l'invention comporte, en outre, en l'absence de connexion sécurisée avec le calculateur télématique du véhicule, le stockage 3044501 3 dans une mémoire du terminal nomade de la demande de données confidentielles. Cette caractéristique permet au terminal mobile de procéder à directement une demande de requête suite à une connexion réussie avec un boitier télématique. 5 De façon avantageuse, l'étape d'établissement d'une connexion sécurisée avec le calculateur télématique du véhicule comporte des étapes de : - Emission d'une demande de connexion à destination du calculateur télématique, 10 - Réception d'une demande d'autorisation d'accès au calculateur télématique, provenant du calculateur télématique, - Emission de la demande d'autorisation d'accès au calculateur télématique, à destination du serveur, - Réception d'autorisations permettant au terminal mobile de se connecter 15 au calculateur télématique, - Demande de connexion au auprès du calculateur télématique du véhicule avec les autorisations reçues, - Réception d'un acquittement d'ouverture de connexion. De façon avantageuse, les autorisations sont reçues sous la forme 20 d'un jeton, ledit jeton étant signé par le serveur et chiffré avec la clé de chiffrement public associée à la clé de chiffrement privée du calculateur télématique. De façon avantageuse, le procédé de transmission de données confidentielles selon l'invention comporte, en outre, après le transfert des 25 informations confidentielles demandées, l'émission d'une demande au serveur, pour demander s'il a une autre demande de données confidentielles à traiter. Cette caractéristique permet le traitement de plusieurs requêtes consécutivement lors d'une même connexion entre le terminal mobile et le boitier télématique. L'invention concerne aussi un terminal mobile apte à transmettre des données confidentielles disponibles auprès d'un calculateur télématique d'un 3044 501 4 véhicule, à un serveur, caractérisé en ce qu'il comporte : - des moyens de réception, d'une demande, provenant du serveur, de données confidentielles disponibles auprès du calculateur télématique, - des moyens de d'émission d'une demande de requête, à destination du 5 serveur, - des moyens de réception d'une requête portant sur les données confidentielles, - des moyens de transfert de la requête portant sur les données confidentielles vers le calculateur télématique du véhicule, 10 - des moyens de réception des informations confidentielles demandées, signées par le calculateur télématique du véhicule, avec sa clé de chiffrement privée, - des moyens de transfert des informations confidentielles demandées, vers le serveur, 15 Caractérisé en ce que ledit calculateur télématique comportant une mémoire sécurisée dans laquelle est stockée une clé de chiffrement privée, les informations confidentielles réceptionnées et transférées sont signées par le calculateur télématique du véhicule, avec sa clé de chiffrement privée, et en ce que le terminal nomade comporte, en outre, des moyens d'établissement 20 d'une connexion sécurisée avec le calculateur télématique du véhicule. D'autres caractéristiques et avantages de l'invention apparaîtront à l'examen de la description détaillée ci-après, et des dessins annexés, sur lesquels: - la figure 1 illustre une vue schématique du système selon l'invention ; 25 - la figure 2 illustre un diagramme représentant des étapes du procédé selon l'invention. Les dessins annexés pourront non seulement servir à compléter l'invention, mais aussi contribuer à sa définition, le cas échéant. En référence à la figure 1, le système d'échange de données selon 30 l'invention comporte au moins un terminal 103, un calculateur télématique 104 et un serveur 101. L'invention permet de transmettre de façon sécurisée des données confidentielles depuis le calculateur télématique 104 vers le serveur 3044501 5 101 par l'intermédiaire du terminal 103. Pour ce faire, le serveur 101 (agissant comme une autorité d'authentification) délivre les authentifications et des autorisations au terminal 103. La transmission de ces authentifications et de ces autorisations est 5 assurée au moyen de jetons d'autorisation aussi appelés token ou encore « identity credentials » en anglais. Dans ce qui suit, on considère à titre d'exemple non limitatif que le terminal 103 est un téléphone mobile intelligent (aussi appelé smartphone en anglais). Mais l'invention n'est pas limitée à cet exemple. En effet, le terminal 10 103 peut être un ordinateur portable, une tablette tactile ou tout autre objet connecté (i.e. susceptible d'échanger des données via une connexion sans fils). Cet équipement mobile (ou objet connecté) appartient, par exemple, au conducteur d'un véhicule ou à l'un des passagers du véhicule. Le terminal mobile 103 comporte en outre : 15 - des moyens de réception, d'une demande, provenant du serveur 101, de données confidentielles disponibles auprès du fournisseur de service 104, - des moyens de d'émission d'une demande de requête, à destination du serveur 101, 20 - des moyens de réception d'une requête portant sur les données confidentielles, - des moyens de transfert de la requête portant sur les données confidentielles vers le calculateur télématique 104 du véhicule, - des moyens de réception des informations confidentielles 25 demandées, signées par le calculateur télématique 104 du véhicule, avec sa clé de chiffrement privée, - des moyens de transfert des informations confidentielles demandées, vers le serveur 101, - ledit calculateur télématique 104 comportant une mémoire 30 sécurisée dans laquelle est stockée une clé de chiffrement privée, les informations confidentielles réceptionnées et transférées sont signées par le 3044501 6 calculateur télématique 104 du véhicule, avec sa clé de chiffrement privée, - des moyens d'établissement d'une connexion sécurisée avec le calculateur télématique 104 du véhicule, - Et une mémoire destinée à stocker en l'absence de connexion 5 sécurisée avec le calculateur télématique 104 du véhicule la demande de données confidentielles. Ces moyens sont réalisés de façon matérielle, logicielle ou selon une combinaison des deux. Le calculateur télématique 104 est une ressource informatique, 10 contrôlant l'accès à des données ou à des commandes permettant de réaliser une activité. Le calculateur télématique 104 protège l'accès aux données et aux applications. Il refuse tout accès sans authentification préalable. De façon avantageuse, il redirige l'utilisateur non authentifié vers un fournisseur d'identité (par exemple le serveur 101). L'accès au service est donc restreint. 15 Les utilisateurs doivent être identifiés avant de pouvoir accéder à une donnée ou lancer l'exécution d'une commande. Les jetons, utilisés pour transmettre les autorisations, sont chiffrés (ou cryptés) selon un mécanisme de cryptographie asymétrique (aussi appelé cryptographie à clé publique). Dans un tel système, on utilise une paire de 20 clés : une clé publique pour le chiffrement et une clé privée pour le déchiffrement. Lorsqu'une ressource envoie un jeton à une autre ressource informatique, il lui suffit de chiffrer le jeton à envoyer au moyen de la clé publique du destinataire. Ce dernier sera en mesure de déchiffrer le message à l'aide de sa clé privée (qu'il est seul à connaître). 25 Les jetons sont, en outre, signés par une autorité de confiance (par exemple le serveur 101) pour garantir qu'ils sont bien conformes et qu'ils proviennent bien d'une source autorisée. Les jetons intègrent les autorisations qui permettent de donner les accès à des fonctions ou des données sur les services hébergés sur les 30 infrastructures, chez des partenaires ou sur les boitiers connectés. Selon une caractéristique de l'invention, le calculateur télématique 104 comporte un espace de stockage sécurisé apte à stocker une clé privée 3044 501 7 utilisée pour déchiffrer les jetons d'autorisation. L'espace de stockage sécurisé est par exemple une puce TPM (pour Trusted Platform Module), qui est un composant cryptographique matériel permettant de stocker des secrets (tels que des clefs de chiffrement) de manière sécurisée. 5 Dans ce qui suit, on considère à titre d'exemple non limitatif que le calculateur télématique 104 est un boitier électronique d'un véhicule automobile 105. Le boitier électronique est un organe embarqué du véhicule qui est la frontière des données véhicule vers l'extérieur au travers de différents moyens : câble, protocoles sans fils (wifi, bluetooth,3G, etc.). 10 Mais l'invention n'est pas limitée à cet exemple. En effet, le calculateur télématique peut être un système d'information de gestion ou le système qui pilote une machine à commande numérique ou plus généralement n'importe quel objet connecté (i.e. susceptible d'échanger des données via une connexion sans fil) et comprenant un espace de stockage 15 sécurisé susceptible de stocker une clé privée. Le serveur 101 (ou IdP pour Identity Provider) s'occupe notamment d'authentifier l'utilisateur ainsi que de récupérer des informations additionnelles associées à son identité. Le serveur comporte aussi des moyens pour récupérer des informations confidentielles auprès d'un ou 20 plusieurs calculateurs télématiques 104. Le serveur 101 comporte des moyens pour signer, de façon électronique, des jetons d'autorisation. La signature électronique permet de garantir l'intégrité d'un jeton et d'en authentifier l'auteur. Le système de signature électronique utilise une paire de clés. Une clé privée utilisée pour 25 signer un jeton et une clé publique permettant de lire le jeton signé. Le serveur 101 comporte des moyens pour chiffrer le jeton. Le jeton est chiffré à l'aide d'une clé publique associée au calculateur télématique 104 auquel est destiné le jeton. De la sorte, le jeton chiffré est uniquement lisible par le calculateur 30 télématique 104 auquel il est destiné. Le système peut aussi comporter une infrastructure à clés publiques (ou PKI pour Public Key Infrastructure en anglais), non représentée. Une PKI est une ressource informatique permettant de générer, de distribuer et de 3044501 8 publier des certificats aux différents composants nécessaires (fournisseur de service 104, serveur 101). Le serveur 101 et les différents calculateurs télématiques 104 disposent chacun d'un certificat qui leur est propre. On rappelle qu'un certificat (ou certificat électronique) est un 5 ensemble de données contenant au moins une clé publique, au moins une information d'identification (par exemple : un nom, généralement stocké dans un champ de données dit CN pour « Common Name ») et au moins une clé privée pour signer. La figure 2 montre un diagramme illustrant les différentes étapes du 10 procédé selon l'invention. Le procédé comporte tout d'abord l'émission 200, par le terminal nomade 103, auprès du serveur 101 d'une demande pour déterminer si le serveur 101 dispose de requêtes confidentielles à traiter. De façon avantageuse, la demande comporte au moins un identifiant de véhicule (par 15 exemple, un VIN pour Vehicle Identification Number), et/ou du calculateur télématique 104, de sorte que le serveur 101 est en mesure de répondre si des requêtes spécifiques au véhicule sont disponibles. Le ou les identifiants envoyés correspondent à des véhicules avec lesquels le terminal 103 s'est connecté au moins une fois. 20 De façon préférentielle, cette étape est exécutée à l'initialisation d'une application logicielle mettant en oeuvre le procédé sur le terminal nomade et/ou de façon périodique si l'application tourne en tache en fond sur terminal nomade 103. Le procédé comporte ensuite la réception 201, par le terminal 25 nomade 103, provenant du serveur 101, d'une demande de données confidentielles disponibles auprès du calculateur télématique 104. La demande de données confidentielles est émise par le serveur 101 en réponse à la demande précédente 200, en particulier lorsque le serveur 101 a préalablement préparé et mis en attente 20 une demande de données 30 confidentielles. De façon avantageuse, cette demande indique l'identifiant de véhicule. Lorsque le terminal 103 reçoit la demande du serveur 101, celui-ci 3044501 9 103 essaie de se connecter 201a de façon sécurisée au calculateur télématique 104. Le calculateur télématique 104, en réponse, réclame une autorisation 201b pour la connexion. Le terminal transmet 202 alors la demande d'autorisation au serveur 101. 5 Ensuite, le serveur reçoit la demande d'autorisation d'accès au calculateur télématique 104, provenant du terminal 103. La réponse du terminal 103 est immédiate si celui-ci est en mesure de se connecter au fournisseur de ressource 104, ce qui est le cas par exemple si l'utilisateur est dans son véhicule. 10 Cependant, dans le cas où le terminal 103 n'est pas en mesure de se connecter avec le calculateur télématique 104, alors le terminal 103 stocke la demande du serveur 101 dans une mémoire. La demande du serveur 101 est traitée quand le terminal 103 est en mesure de se connecter au calculateur télématique 104, par exemple lorsque le terminal 103 est à une portée 15 suffisante du calculateur télématique 104 pour établir une connexion par Bluetooth. La connexion du téléphone 103 au boitier électronique 104 du véhicule est une connexion par exemple sans fil (par exemple wifi, Bluetooth ou 3G). 20 L'étape suivante est la réception 203, par le terminal 103, des autorisations nécessaires pour avoir accès aux données confidentielles. Comme expliqué précédemment ces autorisations sont transportées par des jetons. Lorsque le terminal 103 reçoit les autorisations nécessaires, il se 25 connecte 203a au calculateur télématique 104. Le calculateur télématique 104 vérifie les autorisations, ouvre une connexion et envoie 203b au terminal 103 un acquittement d'ouverture de connexion. Le terminal 103 est alors prêt à transmettre les données confidentielles. Le terminal 103 ayant reçu une demande de remontée de 30 données confidentielles émet 204 une demande de création de requête vers le serveur 101 en rapport de l'identifiant du calculateur télématique 104. Le serveur 101 réceptionne la demande de requête, provenant du terminal 103. Le serveur 101 génère une clé à usage unique et un identifiant 3044 501 10 de requête associé et les conserve jusqu'au retour de la requête. Le serveur 101 crée la requête pour le calculateur télématique 104. La requête comporte notamment un identifiant de requête et la clé de chiffrement de la réponse. La requête est, de façon avantageuse, chiffrée avec la clé publique du 5 calculateur télématique 104 et signé par le serveur 101. La requête est transmise 205 au terminal 103. Une fois reçue par le terminal 103, la requête est relayée 205a au calculateur télématique 104. La signature de la requête est validée par le calculateur télématique 10 104 puis la requête est déchiffrée avec la clé privée du calculateur télématique. La réponse est construite avec les données demandées ainsi qu'avec l'identifiant de la requête puis chiffrées avec la clé symétrique trouvée dans la requête. La réponse est envoyée 205b au terminal 103. Le terminal 103 transfert 206 la réponse au serveur 101. 15 De façon avantageuse, le terminal 103 demande aussi s'il y a une autre requête confidentielle à traiter. Le serveur 101 déchiffre la réponse avec la clé symétrique à usage unique associée à la requête. Le serveur 101 vérifie aussi la signature du calculateur télématique 104. 20 De façon avantageuse, le serveur 101 répond avec une autre requête de donnée confidentielle si celle-ci est demandée. REVENDICATIONS1. Procédé de transmission, par l'intermédiaire d'un terminal nomade (103), de données confidentielles disponibles auprès d'un calculateur télématique (104) d'un véhicule (105), vers un serveur (101), ledit procédé mis en oeuvre par le terminal nomade (103), comportant des étapes de : - Réception (201) d'une demande, provenant du serveur (101), de données confidentielles disponibles auprès du calculateur télématique (104), - Emission (204) d'une demande de requête, à destination du serveur (101), - Réception (205) d'une requête portant sur les données confidentielles, - Transfert (205a) de la requête portant sur les données confidentielles vers le calculateur télématique (104) du véhicule, - Réception (205b) des informations confidentielles demandées, - Transfert (206) des informations confidentielles demandées, vers le serveur (101), Caractérisé en ce que, ledit calculateur télématique (104) comportant une mémoire sécurisée dans laquelle est stockée une clé de chiffrement privée, les informations confidentielles réceptionnées (205b) et transférées (206) sont signées par le calculateur télématique (104) du véhicule, avec sa clé de chiffrement privée, et en ce que ledit procédé comporte, en outre, en réponse à l'étape (201), une étape d'établissement d'une connexion sécurisée avec le calculateur télématique (104) du véhicule. 2. Procédé de transmission de données confidentielles selon la revendication 1, caractérisé qu'il comporte, en outre, une étape d'émission (200), auprès du serveur (101), d'une demande pour déterminer si le serveur (101) dispose de requêtes confidentielles à traiter. 3. Procédé de transmission de données confidentielles selon l'une des revendications 1 ou 2, caractérisé en ce qu'il comporte en outre, en 3044501 12 l'absence de connexion sécurisée avec le calculateur télématique (104) du véhicule, le stockage dans une mémoire du terminal nomade (103) de la demande de données confidentielles. 5 4. Procédé de transmission de données confidentielles selon l'une des revendications précédentes, caractérisé que l'étape d'établissement d'une connexion sécurisée avec le calculateur télématique (104) du véhicule comporte des étapes de : - Emission (201a) d'une demande de connexion à destination du calculateur 10 télématique (104), - Réception (201b) d'une demande d'autorisation d'accès au calculateur télématique (104), provenant du calculateur télématique (104), - Emission (202) de la demande d'autorisation d'accès au calculateur télématique (104), à destination du serveur (101), 15 - Réception (203) d'autorisations permettant au terminal mobile (103) de se connecter au calculateur télématique (104), - Demande (203a) de connexion au auprès du calculateur télématique (104) du véhicule avec les autorisations reçues, - Réception (203b) d'un acquittement d'ouverture de connexion. 20 5. Procédé de transmission de données confidentielles selon l'une des revendications précédentes, caractérisé en ce que les autorisations sont émises (203) sous la forme d'un jeton, ledit jeton étant signé par le serveur (101) et chiffré avec la clé de chiffrement public associée à la clé de 25 chiffrement privée du calculateur télématique (104). 6. Procédé de transmission de données confidentielles selon l'une des revendications précédentes, caractérisé en ce qu'il comporte en outre après le transfert (206) des informations confidentielles demandées, l'émission 30 d'une demande au serveur (101), pour demander s'il a une autre demande de données confidentielles à traiter. 3044501 13 7. Terminal mobile (103) apte à transmettre des données confidentielles disponibles auprès d'un calculateur télématique (104) d'un véhicule, à un serveur (101), caractérisé en ce qu'il comporte : - des moyens de réception (201), d'une demande, provenant du serveur 5 (101), de données confidentielles disponibles auprès du calculateur télématique (104), - des moyens de d'émission (204) d'une demande de requête, à destination du serveur (101), - des moyens de réception (205) d'une requête portant sur les données l a confidentielles, - des moyens de transfert de la requête portant sur les données confidentielles vers le calculateur télématique (104) du véhicule, - des moyens de réception des informations confidentielles demandées, signées par le calculateur télématique (104) du véhicule, avec sa clé de 15 chiffrement privée, - des moyens de transfert des informations confidentielles demandées, vers le serveur (101), - Caractérisé en ce que ledit calculateur télématique (104) comportant une mémoire sécurisée dans laquelle est stockée une clé de chiffrement privée, 20 les informations confidentielles réceptionnées et transférées sont signées par le calculateur télématique (104) du véhicule, avec sa clé de chiffrement privée, et en ce que le terminal nomade (103) comporte, en outre, des moyens d'établissement d'une connexion sécurisée avec le calculateur télématique (104) du véhicule. 25