FR 3157048 A1 20250620 FR 2314213 A 20231214 Procédé de gestion d’un ensemble d’objets connectés (E1, E2, E3, …, En) situés dans un local déterminé (L), à partir d’un dispositif (C) associé à au moins un utilisateur associé audit local déterminé, ce procédé comportant : - des opérations de gestion des objets connectés à partir d’une passerelle (GTW) située au sein dudit local déterminé (L), certaines au moins de ces opérations de gestion impliquant des informations personnelles du au moins un utilisateur, - et dans lequel lesdites informations personnelles sont stockées dans une structure numérique au sein de la passerelle (GTW), sécurisée par une clé symétrique générée à partir d’une première paire (KGTW) de clés privé/publique associée à la passerelle (GTW) et d’une seconde paire (KC) de clé privé/publique associée au dispositif (C). Figure pour l’abrégé : Fig. 1 Passerelle sécurisée pour gestion locale d’un ensemble hétérogène d’objets connectés DOMAINE DE L’INVENTION La présente invention est relative à la gestion des objets connectés situé dans un local déterminé. Elle concerne plus particulièrement la gestion de données sensibles, telles que des données personnelles, dans le cadre d’une telle gestion d’un parc d’objets connectés, notamment dans le cas où ces objets peuvent provenir de différents fournisseurs. Le projet ayant donné lieu à cette invention a reçu un financement du programme de recherche et d’innovation Horizon 2020 de l’Union européenne au titre de la convention de subvention n° 894240. Les locaux domestiques ou d’entreprise comportent un nombre grandissant d’objets connectés (ou IoT pour « Internet of Things » en anglais) dont la nature est extrêmement diverse et qui, en général, sont fournis par des fabricants différents. Dans un local à usage d’habitation, on peut typiquement trouver, comme objets connectés, des équipements électroniques telles qu’une télévision connectée, des systèmes d’éclairage, des équipements électroménagers, des prises connectées, des chauffe-eau, des bornes de recharge, des tableaux électriques, des onduleurs, etc. Afin de pouvoir gérer chacun de ces objets connectés, l’utilisateur doit généralement s’enregistrer sur une plateforme du fournisseur ou du fabricant de l’objet connecté, qui fournit ce service de connectivité. Cette plateforme est généralement une plateforme d’informatique en nuage (ou « cloud » selon la terminologie habituelle en langue anglaise). Très généralement, un parc d’objets connectés est constitué d’objets ayant des fabricants divers et donc gérés par des plateformes de service différentes. Autrement dit, l’utilisateur doit s’enregistrer et enregistrer ses objets connectés auprès de l’ensemble des plateformes de service concernée. En outre, il doit également interagir avec chacune de ces plateformes afin de pouvoir gérer ses différents objets connectés. Des solutions d’orchestration ont été proposées. On peut par exemple citer les solutions Homekit™ de la société Apple, Google Assistant™, ou Alexa™ d’Amazon. L’utilisateur a la possibilité de créer des scénarios associant des objets de marques différentes. Pour ce faire, il devra toutefois créer des comptes dans chaque plateforme de services (ou « cloud ») des fabricants puis procéder à la configuration de scenarii d’utilisation de ses objets connectés dans les orchestrateurs qui peuvent alors interagir avec les différentes plateformes de service des fabricants. Toutefois, de telles propositions ne sont guère satisfaisante. En effet, le bon fonctionnement du système global dépend d’un respect d’interfaces permettant à l’orchestrateur de mettre en place les scenarii prévus en collaboration avec une multitude de plateformes de service propriétaires. En outre, en sus des aspects techniques, il peut se poser des questions contractuelles et tarifaires pour la mise en place de ces collaborations entre plateformes. La gestion, par l’utilisateur, d’un ensemble de plateformes de service rend la solution peu ergonomique et difficile à maintenir dans la durée pour l’utilisateur, notamment en cas d’évolution de certaines plateformes pouvant entrainer des reconfigurations de l’orchestrateur. Par ailleurs, les utilisateurs doivent fournir des informations personnelles à une multitude de plateformes de services, ce qui peut être à la fois un frein au déploiement d’une telle solution, mais aussi un accroissement de risques de sécurité. Il existe donc un besoin d’améliorer les propositions actuelles de l’état de la technique. L’invention vise à déplacer certaines fonctionnalités dévolues aux plateformes de service vers un équipement local. À ces fins, selon un premier aspect, la présente invention peut être mise en œuvre par un procédé de gestion d’un ensemble d’objets connectés situés dans un local déterminé, à partir d’un dispositif associé à au moins un utilisateur associé audit local déterminé, ledit procédé comportant : des opérations de gestion desdites objets connectés à partir d’une passerelle située au sein dudit local déterminé, certaines au moins desdites opérations de gestion impliquant des informations personnelles dudit au moins un utilisateur, et dans lequel lesdites informations personnelles sont stockées dans une structure numérique au sein de ladite passerelle, sécurisée par une clé symétrique générée à partir d’une première paire de clés privé/publique associée à ladite passerelle et d’une seconde paire de clé privé/publique associée audit dispositif. Suivant des modes de réalisation préférés, l’invention comprend une ou plusieurs des caractéristiques suivantes qui peuvent être utilisées séparément ou en combinaison partielle entre elles ou en combinaison totale entre elles : lesdites opérations de gestion comprennent la récupération de données depuis lesdits objets connectés, et le stockage desdites données au sein de ladite passerelle, lesdites opérations de gestion comprennent le pilotage d’au moins certains desdits objets connectés en fonction de commandes transmis par ledit dispositif ; ladite passerelle échange des données avec une plateforme de traitement distante, au travers un réseau de télécommunication, en utilisant un protocole de messagerie léger ; pour accéder auxdites informations personnelles, ledit dispositif récupère ladite seconde paire de clés, reçoit de ladite passerelle un jeton et la clé publique de ladite première paire de clés, génère une première clé symétrique à partir de ladite clé publique de ladite première paire de clés et de la clé privée de ladite seconde paire de clé, transmet à ladite passerelle ledit jeton chiffré à l’aide de ladite première clé symétrique ainsi que ladite clé publique de ladite seconde paire de clé; et ladite passerelle détermine une seconde clé symétrique à partir de ladite partie publique de ladite seconde paire de clés, et la clé privée de ladite première paire de clé, et accorde ou non un accès auxdites informations personnelles par le déchiffrage dudit jeton à partir de ladite second clé symétrique. ladite seconde paire de clés est préalablement fournie sous la forme d’un codage physiquement associé à ladite plateforme, et ledit dispositif est adapté pour déterminer ladite seconde paire de clés à partir dudit codage. l’accès auxdites informations personnelles est accordé si ladite seconde clé symétrique permet de retrouver la valeur dudit jeton puis, le cas échéant, en ouvrant ladite structure numérique au moyen de ladite seconde clé symétrique. Selon un autre aspect, il est proposé un programme d’ordinateur comportant des instructions pour mettre en œuvre un procédé tel que précédemment décrit, lorsque le procédé est mis en œuvre sur une plateforme de traitement de l’information. Selon un autre aspect, il est proposé une passerelle comprenant un processeur adapté pour mettre en œuvre un procédé tel que précédemment décrit. Selon un autre aspect, il est proposé un système comportant une passerelle telle que précédemment décrite, et un dispositif associé à au moins un utilisateur. D'autres caractéristiques et avantages de l'invention apparaîtront à la lecture de la description qui suit d’un mode de réalisation préféré de l'invention, donnée à titre d'exemple et en référence aux dessins annexés. BREVE DESCRIPTION DES FIGURES Les dessins annexés illustrent l’invention : La FIG. 1 illustre schématiquement un contexte d’utilisation d’un procédé proposé. La FIG. 2 représente schématiquement un organigramme selon un mode de réalisation de l’invention. DESCRIPTION DETAILLEE DE MODES DE REALISATION DE L’INVENTION Sur la FIG. 1 sont représentés un ensemble d’objets connectés, E 1 , E 2 , E 3 , …, E n , situés dans un local déterminé L. Le local déterminé L peut correspondre à un espace géographiquement limité dans le périmètre duquel un utilisateur donné peut disposer des objets connectés et les contrôler. Cet espace peut correspondre à un logement personnel (appartement, maison…), ou aux locaux d’une entreprise, d’un magasin, etc. Le local déterminé peut possiblement avoir des extensions en dehors d’un espace limité, lorsque par exemple certains objets connectés sont déportés : une borne de chargement pour voiture électrique peut être situé dans un garage, un jardin, voir donner sur la chaussée, et être à l’extérieur de l’espace principale correspondant au logement, tout en étant dans le périmètre de contrôle de l’utilisateur. Les objets connectés peuvent être de différentes natures. D’une façon générale, il s’agit de tout équipement adapté pour communiquer avec des dispositifs tiers à travers un réseau de télécommunication. On peut par exemple citer : les équipements électro-ménager (fours, réfrigérateurs, plaque-chauffante…), les systèmes d’éclairage les systèmes de chauffage et de régulation thermique, les systèmes de sécurité (détecteurs de mouvement, caméras de surveillance,…) les compteurs électriques intelligents (de type Linky™ en France, par exemple), les prises électriques connectées etc. L’utilisateur peut souhaiter piloter ces différents objets, programmer des horaires de fonctionnement, récupérer des données, établir des scénarii d’interactions entre certains objets, etc. Dans le cas général, le parc d’objets connectés forme un ensemble hétérogènes, c’est-à-dire dans lequel chaque objet connecté peut être fourni par un fabricant ou distributeur différents, de sorte qu’ils peuvent être nativement prévus pour être gérés par des plateformes de service distinctes. Le procédé proposé permet, en autres avantages, de s’affranchir d’une gestion distincte pour chaque objet connecté ou de faire appel à un orchestrateur qui nécessiterait, également, un enregistrement individuel de l’orchestrateur auprès de chaque plateforme de service. Notamment, une problématique importante est la gestion de la régulation thermique (gestion de la température, du taux d’humidité…) du local L, en fonction de contraintes énergétiques et environnementales. Des normes ainsi en cours d’élaboration ou de raffinement pour l’établissement de système de gestion domestique de l’énergie (HEMS pour « Home Energy Management System » en anglais). Dans la suite, on considère le cas d’un utilisateur, mais il doit être compris que plusieurs utilisateurs peuvent être considérés. Dans le cas d’un usage domestique, plusieurs membres de la famille peuvent être utilisateurs des objets connectés et peuvent les gérer. Dans le cas d’un usage industriel ou d’entreprise, de même, plusieurs utilisateurs ayant un statut d’administrateur peuvent avoir à gérer le parc d’objets connectés. Alternativement, un profil administrateur peut être défini, ce profil d’utilisateur fonctionnel unique pouvant alors être utilisé par plusieurs utilisateurs physiques. Un dispositif C est associé à l’utilisateur (ou aux utilisateurs) pour lui permettre de gérer l’ensemble d’objets connectés. Ce dispositif est typiquement un appareil mobile de télécommunication, tels qu’un téléphone intelligent (« smartphone » en anglais) ou une tablette numérique. Il peut également s’agir d’un ordinateur portable ou fixe, d’une télévision connectée, etc. Ce dispositif peut être équipé d’une application logicielle spécifique permettant de gérer les différents objets connectés disponibles dans le local déterminé L. Il est également prévu une passerelle GTW adapté pour communiquer avec les différents objets connectés. Une phase d’appairage peut être prévue pour permettre à chaque objet connecté de communiquer avec la passerelle GTW. La passerelle GTW est également adaptée pour, une fois cette initialisation effectuée, effectuer des opérations de gestion des objets connectés. Ces opérations de gestion peuvent comprendre certaines des opérations de gestion effectuées par les plateformes de service dans l’état de la technique. Il peut en particulier s’agir : de la récupération de données depuis les objets connectés E 1 , E 2 , E 3 , …, E n , et le stockage de ces données au sein de ladite passerelle GTW ; du pilotage d’au moins certains de ces objets connectés E 1 , E 2 , E 3 , …, E n en fonction de commandes transmis par le dispositif C. Ainsi, la passerelle peut centraliser les différentes données produites par les équipements. Ces données peuvent être de différentes natures : il peut s’agir de mesures effectuées par des capteurs, par exemple, en particulier des mesures de consommation électrique, etc. Elle peut également permettre le pilotage des objets, soit en répercutant directement des commandes transmises par le dispositif C, soit, indirectement, en suivant un programme, ou scénario, préalablement établi au moyen du dispositif C. Par ailleurs, la passerelle GTW peut effectuer des traitements, notamment sur les données récupérées des objets connectées. Ainsi, tout ou parti des tâches habituellement effectuées par des plateformes de service peuvent être déplacées vers la passerelle GTW. Cela permet notamment de limiter les flux de données transmis vers une plateforme de service. On peut ainsi limiter le trafic sur le réseau de télécommunication et la charge des plateformes de service, mais aussi réduire la dépendance des utilisateurs de l’utilisation des réseaux publics tels Internet. Le système proposé peut ainsi fonctionner sans connexion Internet, par exemple en cas d’interruption momentanée du service d’accès à Internet. En outre, les utilisateurs peuvent ne pas souhaiter que les données issues de leurs objets connectés soient transmises sur une plateforme de service, même si celle-ci est sécurisé et que son propriétaire s’engage sur l’usage de ces données. Relocaliser le traitement des données sur une passerelle située au sein du local déterminé L permet d’assurer une plus grande confiance au mécanisme et son adoption par les utilisateurs. La passerelle GTW peut toutefois communiquer avec une plateforme de service S, à travers le réseau de télécommunication N, composé typiquement d’un réseau d’accès et d’un réseau public Internet. Différents partages de rôles entre la passerelle GTW et la plateforme de services S peuvent être envisagés. La plateforme de service S peut être en charge de la gestion de la passerelle GTW, notamment des mises à jour logicielles, de la gestion des pannes, etc. Les données issues de objets connectées peuvent être transmises également à la plateforme de service S pour des traitements qui ne peuvent pas être effectuées localement, par exemple afin d’agréger des données provenant de plusieurs passerelles. Dans un tel cas, il peut être prévu que ces données soient anonymisées. Certaines au moins des opérations de gestion effectuées par la passerelle GTW nécessitent ou impliquent des informations personnelles de l’utilisateur. D’une façon générale, il peut être nécessaire à l’utilisateur de s’identifier afin de pouvoir effectuer certaines opérations. Il est en effet important qu’un tiers ne puisse pas accéder aux fonctions de gestion des différents objets connectés sans y être autorisée. C’est bien évidemment le cas pour des raisons d’intimité et de bonne gestion des données personnelles, mais aussi pour des raisons de sécurité : il pourrait ainsi être possible à un cambrioleur de connaître le rythme de vie au sein d’un domicile, d’avoir des informations sur la présence ou l’absence des membres de la famille, de désactiver à distance les systèmes de sécurité (caméra de surveillance, par exemple, etc. Autrement dit, les données issues des objets connectés peuvent impliquer ou constituer des informations personnelles, puisque décrivant un comportement individuel des utilisateurs. Les informations personnelles peuvent également comprendre les identifiants de la connexion entre la passerelle GTW et les différents équipements, notamment avec le (ou les) dispositifs C associés à l’utilisateur. Cette connexion peut par exemple être assurée par un réseau local sans-fil, par exemple répondant à la norme Wi-Fi. Un tel réseau local sans-fil étant ouvert aux vulnérabilités, il doit être sécurisé, au moins par des paramètres de connexion, du type identifiant / phrase de passe. Les informations personnelles peuvent également comprendre des informations prévues pour le traitement des données issues des objets connectées. Ces informations peuvent notamment être un code informatique (objet) permettant le traitement de ces données. Elles peuvent également être un modèle prédictif, de type réseau neuronal. Ce modèle peut être initialement implanté ou téléchargé dans la passerelle et comprend des méta-paramètres et des poids synaptiques qui ont fait l’objet d’un apprentissage. Il peut être souhaitable de protégées ces informations. Les informations personnelles (pouvant inclure les paramètres de connexion, les/des données issues des objets connectés, etc.) peuvent être stockées dans une structure numérique au sein de la passerelle GTW. La sécurisation de la structure numérique permet d’empêcher un tiers de pouvoir y avoir accès. Il ne peut ainsi pas accéder à des données nominatives ou aux paramètres de connexion. Il ne peut ainsi pas se connecter à la passerelle GTW pour récupérer des données et/ou envoyer des commandes de pilotage des objets connectées. Par exemple, sans ces données personnes, un cambrioleur ne peut pas contrôler les systèmes de sécurité du local déterminé L afin de les désactiver. Par ailleurs, la sécurisation de la structure numérique dans laquelle sont stockées les données personnelles correspond aux exigences sociétales imposées dans les différentes juridictions. En Europe, elle permet de répondre aux exigences du Règlement Générale sur la Protection des Données, RGPD (règlement européen 2016/679). Cette structure numérique sécurisée peut être appelée « coffre-fort numérique ». Seul le propriétaire des données a la possibilité d’ouvrir ce coffre-fort grâce à un dispositif C auquel il est associé. La sécurisation est effectuée par une clé symétrique générée à partir d’une première paire, K GTW , de clés privé/publique associée à la passerelle GTW et d’une seconde paire, K C , de clé privé/publique associée au dispositif C. Les paires de clés permettent le chiffrement asymétrique : une donnée peut être chiffrée par un émetteur en utilisant la clé publique d’un destinataire (qui a donc initialement distribuée cette clé publique). Seul le destinataire peut alors déchiffrer la donnée en utilisant sa clé privée. Les clés privés et publiques sont mathématiquement prévus pour permettre ce mécanisme asymétrique. La cryptographie asymétrique, ou cryptographie à clé publique est un domaine relativement récent de la cryptographie. Elle permet d'assurer la confidentialité d'une communication, ou d'authentifier les participants, sans que cela repose sur une donnée secrète partagée entre ceux-ci, contrairement à la cryptographie symétrique qui nécessite ce secret partagé préalable. La FIG. 2 illustre un mode de réalisation permettant de sécuriser l’accès à l’espace numérique à partir de cette double paire de clés. Selon une mise en œuvre, dans une étape , la seconde paire de clés, K C est fournie sous la forme d’un codage physiquement associé à la plateforme GTW. Ce codage peut être un codage graphique de type code à barres ou code matriciel. Il peut par exemple s’agir d’un codage graphique de la famille des codes QR, mais il existe d'autres formats de codes matriciels au fonctionnement similaire, comme le Flashcode ou encore le 2D-Doc. Ce codage peut être physiquement apposé sur l’emballage de la passerelle lors de son acquisition. Il peut également figurer dans une notice associée à la passerelle. Préférentiellement, quoique possible, il n’est pas apposé sur la passerelle elle-même, afin d’éviter qu’un vol de la passerelle occasionne une situation de risque. Si le codage n’est pas sur la passerelle, il faut alors qu’un voleur s’empare à la fois de celle-ci est du dispositif C (en supposant que le codage soit soit détruit, soit remisé en lieu sûr). Quoique son codage soit physiquement associé à la plateforme GTW, la seconde paire de clés, K C , est initialement inconnue de la plateforme (c’est-à-dire non stockée en mémoire de celle-ci). En cours de processus, elle apprendra uniquement la clé publique K C pub de cette seconde parie de clés K C . Cette seconde paire de clés, K C , est logiquement associée au dispositif C qui l’apprendra dans une étape S3, lors d’une phase d’appariement entre la passerelle GTW et celui-ci. Il est ici à noter que si plusieurs dispositifs C sont utilisés, ceux-ci récupéreront la même paire de clés K C . De la sorte, comme on le verra, les dispositifs seront appairés avec la passerelle GTW de sorte que chacun pourra indifféremment accéder au contenu de la structure numérique sécurisée. Ce mécanisme d’associer physiquement le codage de la paire de clés K C à la passerelle GTW permet ainsi de facilement mutualiser cette même paire parmi un ensemble de dispositifs. Dans une étape S2, l’espace numérique peut être sécurisé au sein de la passerelle GTW. Cet espace numérique est une zone de mémoire adaptée pour stocker des informations personnelles et éventuellement d’autres informations sensibles. Cet espace numérique est sécurisé par une clé symétrique générée à partir des deux paires de clés. En particulier, ces deux paires de clés sont mathématiquement prévues pour que la même clé symétrique soit générée en utilisant une clé privée de la première ou seconde paire de clés, et la clé publique de l’autre paire de clés. Dans cette étape S2, l’installation de l’espace numérique est effectuée dans les locaux du fabricant de la passerelle, de sorte que les conditions de sécurités sont élevées et l’utilisation de la clé privée K C priv de la seconde paire de clés K C ne pose pas de problème de sécurité puisqu’elle ne peut être apprise par accident ou par malveillance par un tiers. Il est à noter qu’à ce stade, l’utilisateur final n’est a priori pas connu, de sorte qu’en outre aucune vulnérabilité liée au voisinage de celui-ci n’est identifiable. Préférentiellement même, un fichier pré-crypté peut être fourni au fabricant de la passerelle GTW qui l’installe alors sur celle-ci. Ainsi, même le fabricant de la passerelle ne peut pas être considéré comme un point de vulnérabilité dans le processus : d’un point de vue industriel, cela permet d’éviter la mise en place d’une stratégie de sécurisation de la fabrication (authentification d’un personnel habilité, mise en place de réseaux privés sécurisés, VPN, etc.) Cette clé privée K C priv est utilisée pour la génération de la clé symétrique, mais n’est pas stockée, de sorte qu’une lecture malveillante de la mémoire de la passerelle ne permettra pas à un tiers de la connaître. En outre, la génération de la clé symétrique peut être effectuée sur un ordinateur tiers, utilisé pour la configuration de la passerelle, mais pas forcément sur celle-ci. La clé symétrique peut donc être générée à partir de cette clé privée K C priv de la seconde paire de clés et de la clé publique K GTW pub de la première paire de clé. A partir de ces deux clés, un secret peut être déterminé en utilisant, par exemple, un algorithme d’échange de clés de Diffie-Hellman. Ce procédé permet de déterminer un même secret par deux parties, en utilisant leur paire de clés asymétriques respectives. Ce procédé bien connu a été initialement décrit dans l’article de W. Diffie et M. Hellman, « New directions in cryptography », IEEE Transactions on Information Theory, vol. 22, no 6,‎ 1976, p. 644–654. La clé symétrique peut être dérivée à partir de ce secret partagé par les deux clés. Cette clé symétrique peut être une clé de type AES (pour « Advanced Encryption Standard ») à 256 bits. Cette clé AES-256 peut être générée à partir d’une fonction PBKDF2. En particulier l’algorithme AES peut être utilisé avec un mode de construction GCM (Galois / Counter Mode). AES (littéralement « norme de chiffrement avancé » en français) est un algorithme de chiffrement symétrique très communément utilisé et vastement documenté. La page Wikipedia donne son algorithme en pseudo-langage haut-niveau et fournit des pointeurs vers des articles scientifiques le décrivant plus complétement : https://fr.wikipedia.org/wiki/Advanced_Encryption_Standard Ces normes AES-256, PBKDF2… correspondent aux mécanismes de cryptographie courants actuellement et sont accessibles à l’homme du métier. Il existe au demeurant de nombreux outils ou exemples de codes informatiques (en JavaScript, par exemple) permettant de mettre en œuvre la génération de la clé symétrique aisément. L’utilisation du mode GCM permet de se prémunir d’une attaque par injection de contenu. L’intégrité apporté aux données par ce chiffrement ne permet pas à un cyberattaquant d’injecter du contenu dans les données transmises. Toutefois, il est clair que d’autres algorithmes de cryptographie peuvent être également utilisés, notamment en fonction de l’apparition de nouvelles normes et de nouveaux algorithmes plus performants, plus appropriés ou plus répandus. En outre, la première paire de clés K GTW est également installée dans la passerelle, par exemple dans un fichier de configuration. Une fois la passerelle installée dans le local déterminé L, les étapes suivantes (S3-S7) peuvent être mise en place afin de permettre la collaboration entre la passerelle et le dispositif C. Dans une étape S3, donc, le (ou les) dispositif C récupère la seconde paire de clés K C . Cette récupération peut être effectuée au moyen de la caméra du dispositif C dans le cas où cette paire de clés est encodée sous la forme d’un codage de type code matriciel (QR code, etc.). Mais d’autres mises en œuvre sont par ailleurs possibles pour permettre au dispositif C d’acquérir cette paire de clés. Cette étape peut être mise en œuvre lors de l’installation du système chez l’utilisateur. Il peut être nécessaire d’installer préalablement une application spécifique sur le dispositif C, cette application étant adaptée pour mettre en œuvre les étapes du procédé permettant l’appariement du dispositif C avec la passerelle GTW. Dans une étape S4, le dispositif C reçoit de la passerelle un jeton et la clé publique K GTW pub de la première paire de clés K GTW . Cette transmission peut se faire par un protocole de communication sans-fil, par exemple un protocole de communication à courte distance comme le protocole Bluetooth™. Le jeton peut être une chaîne de caractères quelconque, déterminée, par exemple aléatoirement, par la passerelle GTW. L’utilisation d’un jeton permet de se prémunir d’attaques par rejeu. Dans ce type de cyberattaque, un tiers malveillant écoute la communication afin de la rejouer plus tard tel quel. La génération d’un jeton dynamique ne permet plus ce type de rejeu. A la réception de ces informations, dans une étape S5, le dispositif C peut générer une première clé symétrique K1, de la même façon que décrit précédemment, mais en se basant sur la clé publique K GTW pub de la première paire de clés, transmise à l’étape S4, et la clé privée K C priv de la seconde paire de clés, récupérée à l’étape S3. Le dispositif C peut alors chiffrer le jeton en utilisant cette clé symétrique K. En étape S6, la dispositif C transmet à la passerelle GTW le jeton chiffré à l’aide de la clé symétrique K1, ainsi que la clé publique K C pub de la seconde paire de clés K C . A réception de ces données, dans une étape S7, la passerelle GTW peut déterminer une seconde clé symétrique K2. Cette clé symétrique K2 se dérive selon le même mécanisme que précédemment décrit, mais à partir de la clé publique K C pub de la seconde paire de clé K C , reçu dans l’étape S6, et la clé privée K GTW priv de la première paire de clé K GTW stockée localement. Dans une étape S8, la passerelle GTW peut accorder ou non un accès aux informations personnelles stockée dans l’espace sécurisée par le déchiffrage du jeton à partir de cette seconde clé symétrique K2. Plus précisément, selon un mode de réalisation, cette étape peut se décomposer en deux sous étapes : Dans une étape S81, la passerelle vérifie que la seconde clé symétrique K2 permet effectivement de retrouver la valeur du jeton précédemment transmis au dispositif C, Puis, si tel est le cas, dans une étape S82, l’accès à la structure numérique peut être accordée en utilisant cette seconde clé symétrique K2. L’accord de l’accès consiste en fait à déchiffrer l’espace numérique au moyen de la seconde clé symétrique. Autrement dit, cette étape vise à déterminer que les deux clés symétriques K1 et K2 sont identiques. Si tel n’est pas le cas, l’accès n’est pas autorisé et, de toute façon, l’utilisation de la seconde clé symétrique K2 ne permettrait pas de déchiffrer l’espace numérique. Ce procédé garantit donc la sécurisation des informations stockées dans l’espace numérique : seul un dispositif associé à un utilisateur qui a pu préalablement s’apparié avec la passerelle peut ouvrir l’espace numérique sécurisé. Bien entendu, la présente invention n'est pas limitée aux exemples et au mode de réalisation décrits et représentés, mais est défini par les revendications. Elle est notamment susceptible de nombreuses variantes accessibles à l'homme de l'art. Procédé de gestion d’un ensemble d’objets connectés (E 1 , E 2 , E 3 , …, E n ) situés dans un local déterminé (L), à partir d’un dispositif (C) associé à au moins un utilisateur associé audit local déterminé, ledit procédé comportant : des opérations de gestion desdites objets connectés à partir d’une passerelle (GTW) située au sein dudit local déterminé (L), certaines au moins desdites opérations de gestion impliquant des informations personnelles dudit au moins un utilisateur, et dans lequel lesdites informations personnelles sont stockées dans une structure numérique au sein de ladite passerelle (GTW), sécurisée par une clé symétrique générée à partir d’une première paire (K GTW ) de clés privé/publique associée à ladite passerelle (GTW) et d’une seconde paire (K C ) de clé privé/publique associée audit dispositif (C). Procédé selon la revendication précédente dans lequel lesdites opérations de gestion comprennent la récupération de données depuis lesdits objets connectés (E 1 , E 2 , E 3 , …, E n ), et le stockage desdites données au sein de ladite passerelle (GTW). Procédé selon l’une des revendications précédentes, dans lequel lesdites opérations de gestion comprennent le pilotage d’au moins certains desdits objets connectés (E 1 , E 2 , E 3 , …, E n ) en fonction de commandes transmis par ledit dispositif (C). Procédé selon l’une des revendications précédentes, dans lequel ladite passerelle échange des données avec une plateforme de traitement distante (S), au travers un réseau de télécommunication (N), en utilisant un protocole de messagerie léger. Procédé selon l’une des revendications précédentes, dans lequel pour accéder auxdites informations personnelles, ledit dispositif (C) : (S3) récupère ladite seconde paire de clés (K C ), (S4) reçoit de ladite passerelle un jeton et la clé publique de ladite première paire de clés (K GTW ), (S5) génère une première clé symétrique (K1) à partir de ladite clé publique de ladite première paire de clés et de la clé privée de ladite seconde paire de clé ; (S6) transmet à ladite passerelle (GTW) ledit jeton chiffré à l’aide de ladite première clé symétrique (K1) ainsi que ladite clé publique de ladite seconde paire de clé (K C ); et ladite passerelle, (S7) détermine une seconde clé symétrique (K2) à partir de ladite partie publique de ladite seconde paire de clés (K C ), et la clé privée de ladite première paire de clé (K GTW ), et, (S8) accorde ou non un accès auxdites informations personnelles par le déchiffrage dudit jeton à partir de ladite second clé symétrique (K2). Procédé selon la revendication précédente dans lequel ladite seconde paire de clés (K C ) est préalablement fournie (S1) sous la forme d’un codage physiquement associé à ladite plateforme (GTW), et ledit dispositif (C) est adapté pour déterminer (S3) ladite seconde paire de clés (K C ) à partir dudit codage. Procédé selon l’une des revendications 5 ou 6, dans lequel l’accès (S8) auxdites informations personnelles est accordé si ladite seconde clé symétrique (K2) permet de retrouver la valeur dudit jeton (S81) puis, le cas échéant, en ouvrant (S82) ladite structure numérique au moyen de ladite seconde clé symétrique (K2). Programme d’ordinateur comportant des instructions pour mettre en œuvre un procédé selon l’une des revendications précédentes, lorsque ledit procédé est mis en œuvre sur une plateforme de traitement de l’information. Passerelle (GTW) comprenant un processeur adapté pour mettre en œuvre un procédé selon l’une des revendications 1 à 7. Système comportant une passerelle (GTW) selon la revendication précédente, et un dispositif (C) associé à au moins un utilisateur.