FR 3140232 A1 20240329 FR 2209676 A 20220923 Contrôle sécurisé de la puissance maximale de transmission Procédé permettant d’assurer l’inviolabilité de la puissance maximale de transmission autorisée fournie par un contrôleur de spectre à un émetteur connecté à ce contrôleur de spectre, ainsi que de garantir le respect de cette valeur par l’émetteur. Figure pour l’abrégé : [Fig. 7] Contrôle sécurisé de la puissance maximale de transmission Description des figures La montre l’architecture du CBRS (bande 3.5 GHz). La montre l’architecture de l’AFC (bande 6 GHz). La montre le plan de canalisation Wi-Fi de la bande 6 GHz. La montre un exemple de demande d’accès au spectre entre un Client AFC et un Serveur AFC conformément à l’état de l’art. La montre les éléments du Client AFC manipulant en lecture ou en écriture la puissance maximale de transmission autorisée conformément à l’état de l’art. La montre l’architecture du Client AFC conformément à la présente invention. La décrit en détails le transfert de la puissance maximale de transmission autorisée ainsi que son utilisation par le contrôleur d’amplificateur de puissance, conformément à la présente invention. La montre un exemple de demande d’accès au spectre entre un Client AFC et un Serveur AFC, conformément à la présente invention La montre un exemple de format associé à la valeur (P) transmise de manière chiffrée conformément à la présente invention. La montre une architecture alternative du Client AFC conformément à la présente invention dans laquelle l’élément sécurisé est une carte à puce. Etat de l’art sur le partage dynamique de spectre Afin de maximiser l’utilisation du spectre, de nouveaux modèles permettant de partager le spectre entre différents utilisateurs ont été définis. Le LSA Le LSA (« Licensed Shared Access ») permet de partager le spectre entre des utilisateurs primaires et des utilisateurs secondaires. Les utilisateurs primaires ont un accès au spectre prioritaire sur les utilisateurs secondaires. Lorsque des utilisateurs primaires utilisent du spectre sur une zone géographique donnée, les émetteurs des utilisateurs secondaires (par exemple les stations de base radio, dans le cas d’un opérateur mobile) susceptibles d’interférer sur cette zone géographique sont reconfigurés de manière à ne pas générer d’interférences sur les utilisateurs primaires. Le CBRS (bande 3.5 GHz) Le CBRS (« Citizen Broadband Radio Service » ) est un service défini par l’autorité de régulation FCC (« Federal Communications Commission », document 15-47) permettant le partage de fréquences sur la bande de fréquence 3.5 GHz entre trois niveaux de priorités, ou 3 tiers: - les utilisateurs primaires (ou utilisateurs prioritaires), - les utilisateurs secondaires PAL (« Priority Access Licensees »), - les utilisateurs du troisième tiers GAA (« General Authorized Access »). Le Wireless Innovation Forum définit l’architecture ainsi que les protocoles du service CBRS, conformément aux exigences de la FCC. La montre l’architecture du service CBRS. Un serveur centralisé SAS (« Spectrum Access System ») ou contrôleur d’accès au spectre radio, contrôle l’accès et l’utilisation du spectre des stations de base radio, appelées CBSDs (Citizens Broadband Radio Service Devices), connectées à ce SAS. Ces CBSDs peuvent être connectées directement au SAS (ainsi qu’illustré par le « CBSD 4 » dans la ), ou bien indirectement au travers d’un Serveur Proxy (SP) connecté à des CBSDs. Le Serveur Proxy (SP) est également appelé Domain Proxy (DP) dans le cadre du service CBRS. Le protocole entre le SAS et des CBSDs ou entre le SAS et un SP permet de contrôler les canaux radio utilisés par les CBSDs pour la transmission et / ou la réception radio, ainsi que la puissance maximale de transmission autorisée. Avant de pouvoir émettre sur un canal radio dans la bande CBRS à 3.5 GHz, une CBSD doit d’abord demander au SAS une autorisation d’émission ou « grant », afin d’obtenir la puissance maximale de transmission autorisée. L’AFC (bande 6 GHz) L’AFC (« Automated Frequency Coordination ») est un autre service défini par l’autorité de régulation FCC (« Federal Communications Commission », document 20-51) permettant le partage de fréquences sur la bande de fréquence 6 GHz. De même que pour le CBRS, le Wireless Innovation Forum définit l’architecture ainsi que les protocoles de l’AFC, conformément aux exigences de la FCC. La montre l’architecture de l’AFC. Ce service permet à des Clients AFC, tels que des points d’accès d’utiliser la bande 6 GHz, à condition de ne pas interférer au-delà d’un seuil prédéfini sur les utilisateurs prioritaires déjà déployés (tels que les stations de réception des services fixes). La montre le plan de canalisation Wi-Fi de la bande 6 GHz. Avant de transmettre sur la bande 6 GHz, l’émetteur doit envoyer un message (Spectrum Inquiry Request) à un contrôleur de spectre en indiquant les fréquences ou les canaux sur lesquels celui-ci souhaite transmettre, afin d’obtenir la puissance maximale de transmission autorisée. Dans la suite de l’invention, on utilisera le terme « AFC Serveur » pour désigner le contrôleur de spectre et « AFC Client » pour désigner l’émetteur. La présente invention est cependant applicable à tout autre service de partage de spectre dans lequel un client (ici l’émetteur) communique avec un serveur (ici le contrôleur de spectre) pour obtenir la puissance maximale de transmission autorisée. La montre un exemple de demande d’accès au spectre entre un Client AFC et un Serveur AFC. Dans cet exemple, l’intervalle de fréquences sur lequel la puissance maximale de transmission autorisée est demandée est le suivant : [5925-6425 MHz]. De plus, la puissance maximale de transmission autorisée est demandée sur le canal 15. Ce canal est l’identifiant d’un canal Wi-Fi ayant une largeur de bande de 20 Mhz (voir ). La localisation du Client AFC est également indiquée dans ce message. A la réception de ce message, le Serveur AFC identifie les utilisateurs prioritaires situés à proximité, par exemple dans les 50 km autour de l’emplacement indiqué dans la requête. Le Serveur AFC détermine ensuite la puissance maximale de transmission pouvant être autorisée, pour chaque intervalle de fréquence et pour chaque canal demandé, de sorte que les interférences causées par le Client AFC sur les utilisateurs prioritaires ne dépasse pas un seuil prédéfini. Dans cet exemple, la puissance maximale de transmission autorisée sur l’intervalle de fréquence demandé est de 23 dBm / Mhz, ainsi qu’indiqué dans la par le paramètre « maxPsd ». La puissance maximale de transmission autorisée sur le canal 15 demandé est de 35 dBm, ainsi qu’indiqué dans la par le paramètre « maxEirp ». Etat de l’art sur la sécurité dans le cadre du partage de spectre. Ainsi que décrit dans l’état l’art, le contrôleur de spectre est chargé d’indiquer aux émetteurs (par exemple des stations de base radio), la puissance maximale de transmission autorisée, au-delà de laquelle ces émetteurs sont susceptibles de générer des interférences sur d’autres utilisateurs. Il est donc essentiel que ce seuil de transmission soit respecté par tout émetteur. Afin de garantir la sécurité des communications entre l’émetteur et le contrôleur de spectre, les normes du CBRS et de l’AFC exigent l’utilisation du protocole TLS. L’utilisation du protocole TLS permet de garantir au client (ici l’émetteur) que le serveur (ici le contrôleur de spectre) avec lequel il communique est transmise de façon confidentielle. Elle permet également de garantir que la puissance de transmission fournie par le contrôleur de spectre n’a pas été modifiée par un tiers qui aurait intercepté et modifié le message transmis entre le contrôleur de spectre et l’émetteur. Description du problème La protection du lien entre le Client AFC et le Serveur AFC conformément à l’état de l’art (à l’aide du protocole TLS dans le cas de l’AFC et du CBRS) est essentielle. Cependant, le Client AFC lui-même reste vulnérable. En effet, les informations stockées dans le Client AFC sont susceptibles d’être modifiées de manière illicite. La montre les éléments du Client AFC manipulant en lecture ou en écriture la puissance maximale de transmission autorisée conformément à l’état de l’art. Le composant « Protocole AFC » reçoit la puissance maximale de transmission autorisée en provenance du Serveur AFC, et stocke cette valeur en mémoire. Le composant « contrôleur d’amplificateur de puissance » configure l’amplificateur de puissance (« A.P » dans la ) connecté à l’antenne du Client AFC conformément à la valeur de la puissance maximale de transmission autorisée reçue via le protocole. Vulnérabilité 1 : la couche protocole Une implémentation incorrecte du « Protocole AFC », intentionnelle ou non, pourrait avoir pour conséquence que le Client AFC ne contacte pas le Serveur AFC dans l’intervalle de temps requis par le régulateur, et ainsi ne pas mettre à jour la puissance maximale de transmission autorisée. Dans le cas de l’AFC, la FCC requiert que cette mise à jour de la puissance maximale de transmission autorisée soit faite au moins une fois par jour. Vulnérabilité 2 : le stockage de la valeur de la puissance maximale de transmission autorisée Un utilisateur mal intentionné pourrait écraser la valeur de la puissance maximale de transmission autorisée stockée en mémoire dans le Client AFC. Ainsi, le contrôleur d’amplificateur de puissance s’expose au risque de configurer l’antenne avec une puissance de transmission supérieure à celle autorisée par le Serveur AFC. Lorsque le Client AFC est une station de base radio, installée par un professionnel pour un opérateur mobile, les risques d’une modification mal intentionnée du Client AFC sont limités. En revanche, lorsque le Client AFC est accessible au grand public et déployé en grand nombre, comme cela est envisagé pour la bande 6 GHz, il est essentiel de garantir que le comportement du Client AFC ne puisse être modifié une fois déployé. Le procédé selon l’invention, permettant d’assurer l’inviolabilité de la puissance maximale de transmission autorisée fournie par un contrôleur de spectre à un émetteur connecté à ce contrôleur de spectre, ainsi que de garantir le respect de cette valeur par l’émetteur, ledit émetteur incluant un amplificateur de puissance connecté à une antenne et contrôlé par un contrôleur d’amplificateur de puissance dans lequel se trouve un élément sécurisé, caractérisé par les opérations suivantes : - avant la mise en service de l’émetteur, ajout d'une clé privée dans l’élément sécurisé dudit contrôleur d’amplificateur de puissance, et ajout de cette même clé privée dans ledit contrôleur de spectre, - à la réception par le contrôleur de spectre d'une demande d'accès au spectre de l’émetteur sur un intervalle de fréquences ou sur un canal donné, identification par le contrôleur de spectre de la puissance maximale de transmission autorisée sur cet intervalle de fréquences ou sur ce canal, - chiffrement par le contrôleur de spectre de la puissance maximale de transmission autorisée, ainsi que de la date de validité au-delà de laquelle cette puissance maximale de transmission autorisée n’est plus valide, - envoi par le contrôleur de spectre de la réponse à la demande d'accès au spectre contenant les informations chiffrées à l’étape précédente, - réception, par l’émetteur, de la réponse à la demande d'accès au spectre, et déchiffrement par ledit élément sécurisé dudit contrôleur d’amplificateur de puissance à l'aide de la clé privée des informations chiffrées, - vérification par ledit élément sécurisé que l'information déchiffrée à l’étape v est structurée conformément à un format prédéfini, et extinction de l'antenne par le contrôleur d’amplificateur de puissance dans le cas où le format de l'information déchiffrée est invalide, - vérification par ledit contrôleur d’amplificateur de puissance que la date de validité déchiffrée à l’étape v n'est pas dépassée, - dans le cas où la date de validité est dépassée, extinction, par le contrôleur d’amplificateur de puissance en particulier ledit élément sécurisé, de l’antenne via l’amplificateur de puissance, - dans le cas où la date de validité n'est pas dépassée, configuration, par ledit contrôleur d’amplificateur de puissance, de l’antenne via l’amplificateur de puissance à une puissance de transmission inférieure ou égale à la puissance indiquée pour le canal ou l'intervalle de fréquences associé. Le procédé selon l’invention, caractérisé en ce que ledit élément sécurisé du contrôleur d’amplificateur de puissance de l’émetteur est une carte à puce pouvant être introduite dans le contrôleur d’amplificateur de puissance lors de sa mise en service. Le procédé selon l’invention, caractérisé en ce que ladite clé privée est utilisée comme clé primaire pour générer, à la réception d'une demande d'accès au spectre par le contrôleur de spectre, une clé secondaire, et dans lequel cette même clé secondaire est utilisée pour chiffrer la puissance maximale de transmission autorisée. Le procédé selon l’invention, caractérisé en ce que ledit émetteur est connecté à un contrôleur de spectre par l'intermédiaire d'un serveur proxy et en ce que ladite puissance de maximale de transmission autorisée ainsi que de la date de validité sont chiffrées par le serveur proxy à l'aide d'une clé privée stockée dans ce serveur proxy et non par ledit contrôleur de spectre. Le procédé selon l’invention, caractérisé en ce ledit contrôleur de spectre est un serveur AFC et ledit émetteur est un client AFC Description de l’invention La présente invention introduit un mécanisme permettant d’assurer l’inviolabilité de la puissance maximale de transmission autorisée fournie par le Serveur AFC, ainsi que le respect de cette valeur par le Client AFC qui la reçoit. La solution introduite par la présente invention se base sur une clé secrète partagée entre le Serveur AFC et le contrôleur d’amplificateur de puissance situé dans le Client AFC, ainsi qu’illustré en . Cette clé secrète peut, par exemple, être codée en dur dans un élément sécurisé se trouvant dans le contrôleur d’amplificateur de puissance lors de la mise en service du Client AFC. Dans une alternative, cette clé secrète est stockée de manière sécurisée dans une carte à puce. Cette carte à puce est alors introduite dans le contrôleur d’amplificateur de puissance lors de sa mise en service (voir ). La clé secrète est utilisée par le Serveur AFC pour chiffrer la puissance maximale de transmission autorisée avant de la transmettre au Client AFC. Cette valeur chiffrée est stockée dans la mémoire de l’élément sécurisé du contrôleur d’amplificateur de puissance situé dans le Client AFC. Seul l’élément sécurisé est en mesure de décrypter cette valeur, et de configurer l’amplificateur de puissance conformément à cette valeur. Exemple de demande d’accès au spectre selon l’invention Un exemple de demande d’accès au spectre conformément à la présente invention est montré en . Cette demande est envoyée par le Client AFC, ainsi que décrit dans la suite de l’invention. Dans cet exemple le paramètre « maxEncryptedPsd » indique la puissance maximale de transmission autorisée pour l’intervalle de fréquence 5925-6425 Mhz. La valeur indiquée (« IIBjAND ») correspond à la valeur chiffrée. Seul l’élément sécurisé est en mesure de décrypter cette valeur. Le paramètre « maxEncryptedEirp » indique la puissance maximale de transmission autorisée sur le canal 15. La valeur indiquée (« 4Cnaw8RC») correspond à la valeur chiffrée. Seul l’élément sécurisé est en mesure de décrypter cette valeur. Envoi et traitement de la demande d’accès au spectre selon l’invention La décrit en détails le transfert de la puissance maximale de transmission autorisée ainsi que son utilisation par l’élément sécurisé du contrôleur d’amplificateur de puissance, conformément à la présente invention. Etape 1: demande d’accès au spectre A l’étape 1 de la , le Client AFC envoie une demande d’accès au spectre au Serveur AFC. Etapes 2 à 5 : réponse à la demande Le Serveur AFC reçoit la demande d’accès au spectre à l’étape 2 de la et identifie à l’étape 3 la puissance maximale de transmission autorisée (P), pour chaque canal et pour chaque intervalle de fréquences indiqué dans la demande. Le Serveur AFC chiffre à l’étape 4 de la la puissance maximale de transmission autorisée (P) à l’aide de la clé secrète. La valeur chiffrée à l’étape 4 (P_Chiffrée) est incluse dans la réponse envoyée au Client AFC lors de l’étape 5 de la . Etape 6 à 8: et traitement de la réponse A l’étape 6 de la , le Client AFC reçoit la réponse à la demande d’accès au spectre. Cette étape 6 est réalisée par le composant « Protocole AFC » décrit en . Ce composant transmet au contrôleur d’amplificateur de puissance la valeur chiffrée reçue (P_Chiffrée). L’élément sécurisé du contrôleur d’amplificateur de puissance décrypte cette valeur à l’aide de la clé secrète à l’étape 7. La montre un exemple de format associé à la valeur (P) transmise de manière chiffrée conformément à la présente invention. Dans cet exemple, P est formatté en utilisant le format JSON et constitué des deux attributs suivants : 1) la puissance maximale de transmission autorisée (indiquée par le paramètre « maxPsd » si cette valeur est associée à un intervalle de fréquence » ou par le paramètre « maxEirp » si cette valeur est associée à un canal. 2) la date de validité au-delà de laquelle la puissance maximale de transmission autorisée indiquée n’est plus valide (indiquée par le paramètre « availabilityExpireTime »). A l’étape 8 de la , le contrôleur d’amplificateur de puissance vérifie : - que le format de la valeur P décryptée est correct (i.e., conforme à un format prédéfini), - et que la date d’expiration indiquée dans le paramètre « availabilityExpireTime » n’est pas dépassée. Si tel est le cas (étape 8.A), le contrôleur d’amplificateur de puissance configure l’antenne à une puissance de transmission inférieure ou égale à la puissance indiquée par P sur l’intervalle de fréquences ou le canal associé à P. Dans le cas contraire (étape 8.B), le contrôleur d’amplificateur de puissance éteint l’antenne via l’amplificateur de puissance, ou bien demande à l’amplificateur de puissance de cesser d’émettre sur l’intervalle de fréquence ou le canal associé à P. Dans une alternative où l’émetteur est connecté à un contrôleur de spectre par l'intermédiaire d'un serveur proxy, la puissance maximale de transmission autorisée ainsi que de la date de validité sont chiffrées par le serveur proxy à l'aide d'une clé privée stockée dans ce serveur proxy et non par ledit contrôleur de spectre. Dans une alternative à la procédure décrite en , deux clés sont utilisées : - Une clé primaire, stockée dans le Serveur AFC et dans le Client AFC. - Une clé secondaire, générée par le Serveur AFC à partir de la clé primaire et d’une information supplémentaire (par exemple un compteur incrémenté à chaque fois qu’une nouvelle clé secondaire est générée, pour un Client AFC donné). Cette clé secondaire est utilisée pour chiffrer l’information (P), et est regénérée à chaque nouvelle demande d’accès au spectre reçue, pour un Client AFC donné. De même, le contrôleur d’amplificateur de puissance du Client AFC dérive cette clé secondaire à partir de sa clé primaire, et utilise cette clé secondaire pour décrypter l’information (P_Chiffrée) reçue. Procédé permettant d’assurer l’inviolabilité de la puissance maximale de transmission autorisée fournie par un contrôleur de spectre à un émetteur connecté à ce contrôleur de spectre, ainsi que de garantir le respect de cette valeur par l’émetteur, ledit émetteur incluant un amplificateur de puissance connecté à une antenne et contrôlé par un contrôleur d’amplificateur de puissance dans lequel se trouve un élément sécurisé, caractérisé par les opérations suivantes : avant la mise en service de l’émetteur, ajout d'une clé privée dans l’élément sécurisé dudit contrôleur d’amplificateur de puissance, et ajout de cette même clé privée dans ledit contrôleur de spectre, à la réception par le contrôleur de spectre d'une demande d'accès au spectre de l’émetteur sur un intervalle de fréquences ou sur un canal donné, identification par le contrôleur de spectre de la puissance maximale de transmission autorisée sur cet intervalle de fréquences ou sur ce canal, chiffrement de la puissance maximale de transmission autorisée, ainsi que de la date de validité au-delà de laquelle cette puissance maximale de transmission autorisée n’est plus valide, envoi par le contrôleur de spectre de la réponse à la demande d'accès au spectre contenant les informations chiffrées à l’étape iii, réception, par l’émetteur, de la réponse à la demande d'accès au spectre, et déchiffrement par élément sécurisé dudit contrôleur d’amplificateur de puissance à l'aide de la clé privée des informations chiffrées à l’étape iii, vérification par l’élément sécurisé de puissance que l'information déchiffrée à l’étape v est structurée conformément à un format prédéfini, et extinction de l'antenne par le contrôleur d’amplificateur de puissance dans le cas où le format de l'information déchiffrée est invalide, vérification par ledit contrôleur d’amplificateur de puissance que la date de validité déchiffrée à l’étape v n'est pas dépassée, dans le cas où la date de validité est dépassée, extinction, par ledit contrôleur d’amplificateur de puissance , de l’antenne via l’amplificateur de puissance, dans le cas où la date de validité n'est pas dépassée, configuration, par ledit contrôleur d’amplificateur de puissance, de l’antenne via l’amplificateur de puissance à une puissance de transmission inférieure ou égale à la puissance indiquée pour le canal ou l'intervalle de fréquences associé. Procédé selon la revendication 1, caractérisé en ce que ledit élément sécurisé du contrôleur d’amplificateur de puissance de l’émetteur est une carte à puce pouvant être introduite dans ledit contrôleur d’amplificateur de puissance lors de sa mise en service. Procédé selon les revendications 1 à 2, caractérisé en ce que ladite clé privée est utilisée comme clé primaire pour générer, à la réception d'une demande d'accès au spectre par le contrôleur de spectre, une clé secondaire, et dans lequel cette même clé secondaire est utilisée pour chiffrer la puissance maximale de transmission autorisée. Procédé selon les revendications 1 à 3, caractérisé en ce que ledit émetteur est connecté à un contrôleur de spectre et en ce que ladite puissance maximale de transmission autorisée ainsi que de la date de validité sont chiffrées par le contrôleur de spectre à l'aide d'une clé privée stockée dans ce contrôleur de spectre. Procédé selon les revendications 1 à 3, caractérisé en ce que ledit émetteur est connecté à un contrôleur de spectre par l'intermédiaire d'un serveur proxy et en ce que ladite puissance maximale de transmission autorisée ainsi que de la date de validité sont chiffrées par le serveur proxy à l'aide d'une clé privée stockée dans ce serveur proxy et non par ledit contrôleur de spectre. Procédé selon les revendications 1 à 5, caractérisé en ce ledit contrôleur de spectre est un serveur AFC et ledit émetteur est un client AFC.