Technologie de clé numérique
Une clé de voiture numérique est un identifiant cryptographique stocké sur un téléphone, une montre ou un autre appareil sécurisé compatible. Elle peut autoriser l’accès au véhicule et sa conduite, mais sa sécurité dépend autant de la mesure de distance, de l’enrôlement, de la récupération du compte et de la révocation que de la technologie radio.
Trois technologies radio, trois rôles
Les systèmes de clé numérique associent généralement le NFC, le Bluetooth Low Energy et l’ultra-large bande au lieu de n’en choisir qu’un.
La communication en champ proche (NFC) fonctionne à très courte distance. Le fait d’approcher délibérément l’appareil du lecteur de la porte ou de l’habitacle constitue une action physique claire pour l’utilisateur et peut fournir une solution de secours lorsque l’accès passif n’est pas disponible. Les appareils compatibles peuvent conserver un fonctionnement NFC limité de la clé lorsque leur batterie est presque épuisée.
Le Bluetooth Low Energy (BLE) assure la détection et offre un canal de communication souple. Il peut permettre des actions à distance semblables à celles de boutons et aider à établir qu’un appareil autorisé se trouve à proximité, mais la puissance du signal ne constitue pas, à elle seule, une mesure fiable de la distance.
L’ultra-large bande (UWB) mesure le temps de propagation du signal afin d’estimer plus sûrement la distance et la direction. La spécification Digital Key Release 3 du Car Connectivity Consortium associe le BLE à l’UWB pour un accès mains libres tenant compte de la position, tout en conservant la compatibilité NFC. L’UWB vise à contrer les attaques par relais en vérifiant la proximité physique, mais le véhicule, l’appareil et la mise en œuvre doivent tous prendre en charge la méthode sécurisée de mesure de distance. Car Connectivity Consortium Digital Key Release 3 v1.1
Ce qui se passe lors de l’accès
Le téléphone ne transmet pas au véhicule le mot de passe ordinaire du compte du propriétaire. Un appareil provisionné détient un identifiant propre au véhicule, généralement protégé dans un composant matériel résistant aux altérations. Le véhicule et l’appareil s’authentifient mutuellement, établissent une session protégée et autorisent une action précise.
Pour l’accès passif, le BLE peut détecter l’appareil et communiquer avec lui, tandis que l’UWB détermine s’il se trouve à l’extérieur d’une porte donnée, dans l’habitacle ou près de la zone de chargement. Le NFC peut fournir un accès par rapprochement lorsque le fonctionnement passif n’est pas pris en charge ou a été volontairement désactivé.
Le déverrouillage, l’ouverture de la zone de chargement et l’autorisation de la propulsion doivent constituer des permissions distinctes. La position compte également : un appareil situé près de l’extérieur d’une porte ne doit pas être confondu avec un appareil présent dans l’habitacle.
Le programme de certification du CCC teste l’interopérabilité de bout en bout des fonctions NFC, BLE et UWB, y compris le partage de clés entre plateformes et l’évaluation de la sécurité. La certification constitue un indice utile d’interopérabilité testée ; elle ne garantit pas l’absence de toute défaillance de mise en œuvre ou liée au compte. Car Connectivity Consortium Digital Key certification
Le provisionnement établit le propriétaire
La création de la première clé peut être le moment le plus risqué. Un processus d’enrôlement rigoureux vérifie le véhicule, un identifiant existant du propriétaire et le compte ou l’appareil qui reçoit l’autorisation. L’ajout d’une autre clé doit exiger une approbation volontaire et générer une notification claire.
L’appareil du propriétaire peut ensuite créer des clés partagées assorties de limites telles que :
- une heure de début et d’expiration ;
- un accès limité à l’entrée ou à la zone de chargement ;
- l’autorisation de conduire ;
- des restrictions concernant le repartage ; et
- la suspension ou la révocation immédiate.
Le CCC décrit un appareil de propriétaire et la prise en charge d’appareils supplémentaires pour les proches, ainsi que le partage, la résiliation et la suspension des clés. Les constructeurs automobiles peuvent proposer un ensemble de commandes plus restreint ; les acheteurs doivent donc vérifier la mise en œuvre exacte au lieu de supposer que toute « clé numérique » respecte l’intégralité de la norme. CCC Digital Key: The Future of Vehicle Access
Le portefeuille du téléphone et la biométrie
Les clés intégrées à un portefeuille numérique peuvent utiliser un composant matériel sécurisé ainsi que le verrouillage de l’écran ou la biométrie du téléphone pour protéger le provisionnement et les actions sensibles. Apple indique que les identifiants d’accès sont stockés dans le Secure Element et que les invitations à partager une clé sont protégées de bout en bout. Le mode Express peut autoriser une transaction de clé compatible sans Face ID, Touch ID ni code d’accès ; les utilisateurs qui préfèrent une authentification explicite peuvent le désactiver pour cette clé. Apple Platform Security: access using Apple Wallet
La biométrie authentifie normalement la personne auprès du téléphone ou du portefeuille. Elle ne signifie pas que le véhicule stocke un visage ou une empreinte digitale et elle diffère d’une caméra de reconnaissance du conducteur dans l’habitacle. Les propriétaires doivent vérifier quelles données biométriques restent sur l’appareil, lesquelles parviennent au constructeur et quelle méthode de récupération permet de contourner la biométrie.
Téléphones perdus, batteries épuisées et utilisation hors ligne
Une clé numérique pratique nécessite un comportement de secours clairement défini :
- Un mode basse consommation compatible peut maintenir l’accès NFC pendant une durée limitée.
- Une carte-clé ou une télécommande physique peut fournir une solution de secours indépendante.
- La révocation à distance peut désactiver l’appareil perdu lorsque la connectivité est rétablie.
- La procédure de récupération du compte du propriétaire peut restaurer l’accès sans affaiblir l’enrôlement des clés.
Le véhicule et l’appareil peuvent mettre l’autorisation en cache pour permettre l’accès normal sans connexion cellulaire active. Une connexion au cloud peut néanmoins rester nécessaire pour le premier provisionnement, le partage à distance, la révocation ou la récupération du compte.
En cas de perte d’un téléphone, signalez-le comme perdu ou effacez-le au moyen de la plateforme de l’appareil, révoquez sa clé de véhicule depuis un autre appareil autorisé ou le compte du constructeur, puis examinez les conducteurs partagés et les sessions du compte. Le remplacement d’un téléphone n’est terminé qu’après confirmation de la suppression de l’ancien identifiant.
Menaces et réponses de conception
Les attaques par relais exploitent une vérification insuffisante de la proximité. La mesure sécurisée du temps de vol par UWB constitue une réponse directe ; la puissance du signal BLE n’est pas équivalente.
La prise de contrôle du compte peut détourner un provisionnement ou des commandes à distance légitimes. L’authentification multifacteur, une nouvelle approbation pour les actions à fort impact et les alertes d’enrôlement réduisent ce risque.
Les appareils volés et déverrouillés peuvent exposer les clés ou les applications du propriétaire. Un code d’accès robuste, un stockage protégé par le matériel et l’effacement à distance sont importants.
Un partage excessif laisse actifs des identifiants oubliés. Des inventaires de clés visibles, une date d’expiration et une révocation en un geste facilitent la gestion du cycle de vie.
La compromission du service principal ou d’une mise à jour peut toucher de nombreux véhicules simultanément. La cybersécurité du véhicule, les mises à jour signées, la surveillance et la réponse aux incidents restent nécessaires au-delà du protocole de clé.
Ce que les propriétaires doivent vérifier
Avant de compter sur un téléphone comme unique clé, vérifiez :
- les versions compatibles du téléphone, de la montre, du système d’exploitation et du véhicule ;
- la prise en charge du NFC, du BLE et de l’UWB sur l’appareil et la finition exacts ;
- la méthode de secours en cas de batterie épuisée du téléphone ou du véhicule ;
- la possibilité de désactiver l’accès passif ;
- chaque propriétaire actif, chaque clé partagée et chaque fonction autorisée ;
- l’authentification multifacteur et la sécurité de l’adresse électronique de récupération ;
- les alertes lors de l’enrôlement d’une nouvelle clé ou d’un nouveau conducteur ; et
- la procédure de revente permettant de supprimer les clés du portefeuille et de transférer la propriété.
Pour les anciennes télécommandes et l’accès passif, consultez Vehicle access basics. Pour une protection à plusieurs niveaux après la défaillance d’un identifiant, consultez Theft prevention and recovery.