title: Distance-bounding protocol
text: # Distance-bounding protocol
  
  Les distance-bounding protocols qui pourraient être traduits par protocoles délimiteurs de distance, sont des protocoles de sécurité qui permettent à un vérificateur ${\mathcal {V}}$ de s'assurer qu'un prouveur ${\mathcal {P}}$ se trouve à une distance bornée et définie de lui-même. Leur but est d'améliorer les mécanismes d'authentification traditionnels, de fournir une garantie supplémentaire tel un indicateur de distance pour le routage sécurisé des réseaux ad-hoc. Ces protocoles permettent entre autres de se prémunir des attaques du type Man-In-The-Middle et de ses dérivés, en calculant la distance entre ${\mathcal {V}}$ et ${\mathcal {P}}$. Cette distance est obtenue en multipliant la vitesse d'une onde électromagnétique par le temps que met ${\mathcal {V}}$ à envoyer un message à ${\mathcal {P}}$.
  
  Un des cas d'application serait la solution de sécurisation apportée aux systèmes d'ouverture et de démarrage sans clé (PKES) des automobiles modernes. La méthode consiste à s'assurer que la clé utilisant le protocole RFID se situe physiquement à une distance proche du véhicule ou du système de démarrage.
  
  Ces protocoles sont issus des travaux réalisés par Stefan Brands et David Chaum en 1993 puis par Hancke et Kuhn en 2005.
  
  ## Principes dans les protocoles délimiteurs de distance
  
  L'authentification sur les réseaux conventionnels tels que l'Internet, est construit sur quelque chose que l'utilisateur sait (un mot de passe, etc.), quelque chose que l'utilisateur a (une carte d'accès, etc.) ou ce que l'utilisateur est (biométrie). Dans les réseaux sans fil, l'information de localisation peut être utilisée pour authentifier un périphérique ou un utilisateur.
  
  Les protocoles délimiteurs de distance s’assurent qu’un vérificateur ${\mathcal {V}}$ se trouve à une distance définie d’un prouveur ${\mathcal {P}}$. La distance est calculée en multipliant la vitesse d'une onde électromagnétique par le temps mis par ${\mathcal {V}}$ à envoyer un message à ${\mathcal {P}}$. Leur but est d'améliorer les mécanismes d'authentification et de se protéger des attaques du type Man-In-The-Middle et de ses dérivés, celles-ci induisant un délai supplémentaire.
  
  Ce qui a permis l'éclosion des protocoles délimiteurs de distance en 1993 est la capacité de l'électronique à gérer des temps de traitement de quelques nanosecondes.
  
  ### Mesures de distance
  
  **RTT et l'onde électromagnétique (Radio)**
  
  Le Round-Trip Time (RTT) représente le temps total $t$ que mettrait Alice à envoyer un message à Bob ($t_{1}$) additionné au temps $t_{2}$ que mettrait Bob à répondre à Alice (analogie avec le ping dans les réseaux IP où cette commande cherche entre autres, à mesurer le temps que met un paquet ICMP à effectuer l'aller-retour entre un point A et B). Il ne s'agit là que du modèle de calcul idéal, puisqu'il ne tient compte que des temps de propagation des messages. Pour être exact, il faut aussi additionner le temps de traitement $t_{t}$ du message pour avoir une mesure de RTT réelle.
  
  Dans le vide, le rayonnement électromagnétique se déplace à la vitesse de 299 792 458 m/s. Cette vitesse, appelée vitesse de la lumière et notée c, est une constante physique $fondamentale^,.$
  
  Maintenant, pour obtenir une distance, il faut associer le concept du RTT avec la vitesse d'une onde électromagnétique : (vitesse m/s) × (durée s)
  
  $\textstyle 299792458\times 10^{-9}\approx 0.3m\Rightarrow 30cm$
  
  Il en résulte qu'en une nanoseconde $(10^{−9}$ s), une onde électromagnétique ne parcourt pas plus de 30 cm et correspond à une distance aller-retour.
  
  La problématique liée à ce mécanisme de mesure du RTT, tient dans le fait que le temps de traitement de l'information n'est pas négligeable par rapport au temps de propagation de cette information, ce qui influera sensiblement sur la distance mesurée.
  
  Le RTT est une solution très populaire pour le domaine des périphériques embarqués à bas coût.
  
  **RTT et les ultrasons**
  
  Ce mécanisme est identique à l'onde électromagnétique, sauf que la référence utilisée est la vitesse du son dans l'air, soit 331 m/s.
  
  Maintenant, pour obtenir une distance, il faut associer le concept du RTT avec la vitesse du son : (vitesse m/s) × (durée s) $\textstyle 331\times 10^{-3}\approx 0.33m\Rightarrow 33cm$
  
  Il en résulte qu'en une milliseconde $(10^{−3}$ s), une onde sonore ne parcourt pas plus de 33 cm.
  
  Le principal intérêt des ultrasons dans le cas du RTT, est que le temps de traitement de l'information devient négligeable face au temps de propagation. Par contre, l'inconvénient dans le cadre d'un protocole de sécurité, concerne les propriétés physiques du son, notamment sa vitesse qui varie en fonction des matériaux traversés (exemple : la vitesse du son dans l'acier est de 5 032 m/s soit 15 fois plus rapide que dans $l'air)^,.$
  
  **GPS**
  
  Le GPS pourrait être le système le plus précis, mais l'atténuation du signal causé par les nuages ou les zones d'ombres (intérieur / extérieur, etc.) n'en font pas une solution fiable permanente. D'autres inconvénients apparaissent, comme le coût excessif de la solution pour des applications à bas coût tels que le RFID.
  
  **RSSI**
  
  Le RSSI, qui permet d'estimer une distance en fonction de la puissance reçue, n’apparaît pas assez fiable car un adversaire peut influer sur cette valeur. De plus, la puissance du signal peut fluctuer suivant le milieu (intérieur / $extérieur)^,.$
  
  ### Supports de communication
  
  **Ultra Large Bande**
  
  L'ultra large bande ou UWB est une technique de modulation radio, basée sur la transmission d'impulsions de très courte durée, généralement de l’ordre de la nanoseconde, sur une très large $bande^,.$ Elle offre la possibilité d'atteindre de très hauts débits et la très faible densité spectrale de puissance de ses signaux, proche du niveau du bruit, permet d'envisager la réutilisation des bandes de fréquences déjà allouées. L'UWB est adaptée aux transmissions sans fil de courte portée. Elle peut être utilisée en « simple bande » ou en « multi-bande », le multi-bande étant la bande complète divisée en sous-bande permettant la gestion multi-utilisateurs.
  
  La technologie UWB a un fort potentiel pour les communications mobiles en intérieur, et est utile pour les transmissions de faible puissance et peu coûteuse à produire. Dans le cadre de l'implémentation des protocoles délimiteurs de distance sur un lien radio, elle peut fournir une synchronisation très précise entre le vérificateur ${\mathcal {V}}$ et le prouveur ${\mathcal {P}}$.
  
  Différentes techniques liées à l'UWB, existent :
  
  * TH-UWB (Time Hopping)
  * DS-UWB (Direct Sequence)
  * etc.
  
  ### Sécurité
  
  **Échanges Défis / Réponses**
  
  Le principe des défis / réponses décrit par Brands et Chaum ou par Hancke et Kuhn, consiste à échanger une série de bit sur un nombre d'échange $n$ entre le vérificateur ${\mathcal {V}}$ et le prouveur ${\mathcal {P}}$$^,.$
  
  Ces échanges sont définis par le bit de défi ${\mathcal {C}}_{i}$ envoyé de ${\mathcal {V}}$ vers ${\mathcal {P}}$ et ayant pour valeur binaire 0 ou 1 :
  
  ${\mathcal {V}}\rightarrow {\mathcal {P}}:{\mathcal {C}}_{i}\in \{0,1\}$
  
  Et par le bit de réponse ${\mathcal {R}}_{i}$ envoyé de ${\mathcal {P}}$ vers ${\mathcal {V}}$, ayant pour valeur binaire 0 ou 1 :
  
  ${\mathcal {P}}\rightarrow {\mathcal {V}}:{\mathcal {R}}_{i}\in \{0,1\}$
  
  Dans le cas où un pirate ${\mathcal {P}}'$ tenterai de répondre à ${\mathcal {V}}$ avant ${\mathcal {P}}$ pour un défi / réponse, il aurait donc une chance sur deux, trois chances sur quatre ou plus de trouver la réponse${\mathcal {R}}_{i}$, cette probabilité variant en fonction du $protocole^,.$
  
  Maintenant, en tenant compte qu'il y a $n$ défis / réponses, la probabilité totale de réussite pour un pirate chutera à $\textstyle ({\frac {1}{2}})^{n}$ pour Brand et Chaum et à $\textstyle ({\frac {3}{4}})^{n}$ pour Hancke et $Kuhn^,.$
  
  $n$ est défini comme le paramètre de sécurité pour les protocoles délimiteurs de distance.
  
  **Signature / intégrité**
  
  Dans les protocoles délimiteurs de distance, la vérification d'intégrité est assurée par un mécanisme de signature de message utilisé pour réduire la probabilité de réussite d'un pirate.
  
  Différents codes sont utilisés dans les protocoles existants tels que le MAC, HMAC et AES. Ces codes utilisent une clé de chiffrement souvent symétrique ou quelquefois asymétrique (clés publique/privé).
  
  **Commit et Nonce**
  
  Il s'agit de termes utilisés dans le domaine de la cryptologie.
  
  Le terme commit pourrait être traduit par mise en gage. On peut aussi voir le terme anglais bit commitment. Cette notion est utilisée pour permettre par exemple à Bob de vérifier si Alice (c'est elle qui commit) connaît le secret détenu par Bob, sans que Bob puisse connaître ce secret.
  
  Le terme nonce pourrait être traduit par usage unique définit une valeur construite de manière à être unique pour une session afin d'empêcher les attaques par $rejeu^,.$
  
  **Matériel de confiance**
  
  Selon Dave Singelée et Bart Preneel, pour assurer une protection efficace contre les attaques mafia frauds et terrorist frauds, il faut utiliser du matériel de confiance.
  
  Le matériel de confiance a les propriétés suivantes :
  
  * Impossibilité de modifier le protocole
  * Impossibilité de changer les valeurs
  
  ### Types d'attaques
  
  Actuellement, les protocoles délimiteurs de distance tentent de proposer des solutions de protection faces aux attaques suivantes :
  
  MITM
  
  L'attaque Man-In-The-Middle est une attaque où le pirate intercepte les communications entre 2 parties sans que ceux-ci s’en rendent compte. Il peut ainsi espionner les messages, on parle alors d’attaque passive, voire les altérer, les modifier ou les remplacer, on parle alors d’attaque $active^,.$ Plusieurs attaques, comme la mafia fraud ou la terrorist fraud, sont une forme d’attaque Man-In-The-Middle.
  
  **Attaque par relais**
  
  Dans l’attaque par relais, les pirates relayent les informations de l’émetteur au récepteur à leur insu. Elle peut être active ou $passive^,.$
  
  **Impersonation Fraud**
  
  La fraude d'imitation ou d'usurpation d'identité est une attaque où un solitaire malhonnête ${\mathcal {P'}}$ se fait passer pour un autre.
  
  **Distance fraud**
  
  Une fraude de distance est une attaque où un prouveur ${\mathcal {P}}$ passe par un prouveur malhonnête ${\mathcal {P'}}$ et prétend être dans le voisinage du vérificateur ${\mathcal {V}}$$^,.$
  
  Exemple : L'emprisonnement domestique est une mesure où une personne est enfermée par les autorités à résidence. La fraude de distance permet de tromper le contrôle électronique.
  
  **Terrorist fraud**
  
  La fraude terroriste est une attaque où un prouveur malhonnête ${\mathcal {P'}}$ trompe un vérificateur ${\mathcal {V}}$ via un complice ${\mathcal {P'}}$ situé dans sa $zone^,.$
  
  **Mafia fraud**
  
  La fraude mafia ou chess grandmaster attack est une attaque Man-In-The-Middle, pas nécessairement par relais, où le pirate a pour but de tromper le prouveur ${\mathcal {P}}$ et le vérificateur ${\mathcal {V}}$, sur la distance réelle les $séparant^,.$
  
  **Early detection attacks**
  
  Early detection attacks sont des attaques qui tirent avantage du temps des premières détections pour tenter d'obtenir des informations.
  
  **Distance Hijacking**
  
  La distance détournée est une attaque où un prouveur malhonnête ${\mathcal {P'}}$ trompe un vérificateur ${\mathcal {V}}$ malgré l'utilisation de certains protocoles délimiteurs de distance.
  
  ## Applications potentielles
  
  ### Étiquettes RFID et NFC
  
  L’identification par radiofréquence permet d’identifier des objets sans contact physique ou visuel. L'identification repose sur l'utilisation de transpondeurs, également appelés tags ou étiquettes, qui peuvent être apposés ou incorporés aux objets. Elle est devenue une technologie incontournable aussi bien pour de l’identification (tri sélectif de déchets, remplacement des codes-barres, tatouage du bétail, etc.) que pour apporter de la sécurité grâce à de l’authentification, c’est-à-dire une identification prouvée dans le tag (badge d’accès à un immeuble, clef de démarrage d’une voiture, abonnement aux transports publics, etc.).
  
  Le RFID est sensible aux attaques par relais, plusieurs expériences l’ont prouvé. Cela pourrait être particulièrement nuisible au développement de la RFID dans les applications sensibles (passeport biométrique, carte de paiement, etc.). La cryptographie seule ne permet pas de contrer ce type d’attaque bas niveau, cela nécessiterait l’utilisation d’un protocole délimiteur de distance.
  
  D’un point de vue technique, la notion de sans-contact s’appuie sur la technologie NFC qui s’appuie sur le standard RFID. Elle permet en particulier de gérer les communications avec une carte à puce.
  
  ### Carte de paiement
  
  En août 2007, Saar Drimer et Steven J. Murdoc de l’université de Cambridge font la démonstration d'une possible attaque par relais sur une transaction de paiement par carte. Ils décrivent l’utilisation d’un protocole délimiteur de distance comme nouvelle sécurisation, impliquant des modifications matérielles et logicielles modestes.
  
  ### Système IFF
  
  L'IFF est un système d’identification introduit au cours de la Seconde Guerre mondiale. Depuis, l'IFF devient un élément essentiel dans les véhicules et plateformes militaires, tels que les bateaux, avions, hélicoptères, tanks ou même les soldats. Une fois installé, le système IFF aide à la reconnaissance et l’identification des unités amies ou à défaut, ennemies.
  
  ### Algorithme de localisation
  
  Les protocoles délimiteurs de distance peuvent aussi être employés dans certains systèmes de localisation basés sur des réseaux de capteurs sans fil afin de se protéger d'attaque interne ou externe.
  
  On peut ainsi citer l'algorithme SPINE utilisant le protocole de localisation $VM^,$ ou bien encore l'algorithme $ROPE^,.$
  
  ### IEEE 802.15.4a
  
  Le protocole de communication IEEE 802.15.4a destiné aux réseaux domestique sans fil (WPAN), semble être le premier candidat à l'implémentation réelle d'un protocole délimiteur de distance. De récents travaux proposent d'appliquer un correctif au protocole IEEE 802.15.4a pour le sécuriser par le biais d'un mécanisme délimiteur de distance.
  
  ## Aspects économiques
  
  En 2007, malgré les expériences d'attaque par relais réalisées sur des solutions RFID, les fabricants ou revendeurs ne semblent pas s’inquiéter de cette menace. Ils restent indifférents aux attaques et aux protocoles délimiteurs de distance. Il n'y a pas connaissance d'une implémentation pratique de protocoles délimiteurs de distance, ni d'une personne ayant essayée.
  
  Même constat en 2010, Kasper Bonne Rasmussen et Srdjan Čapkun affirment que la plupart des travaux sur le sujet des protocoles délimiteurs de distance sont expérimentaux.
  
  Février 2011, l'ultra large bande pour la radio à impulsion, en particulier la norme IEEE 802.15.4a, est le premier candidat à la mise en œuvre d'un protocole délimiteur de distance.
  
  ## Protocoles de référence
  
  ### Protocole de Brands et Chaum
  
  Le premier concept de protocole délimiteur de distance est publié par Brands et Chaum en 1993 et reprend l'idée de Desmedt et Al. Ce protocole donne naissance à la 1re grande famille de protocoles délimiteurs de distance et servira de référence pour de futurs travaux tels que :
  
  * Protocole MAD de Čapkun et Al.
  * Protocole de Singelée et Preneel
  * Protocole Echo
  * etc.
  
  D'après Brands et Chaum, le principe de fonctionnement d'un protocole délimiteur de distance, peut être énoncé de la manière suivante : un vérificateur ${\mathcal {V}}$ veut s'assurer qu'un prouveur ${\mathcal {P}}$ se trouve à une distance maximale bornée et définie de lui-même. Cette distance est obtenue en multipliant la vitesse d'une onde électromagnétique par la durée issue du RTT.
  
  Ce protocole se déroule en 3 phases : une phase rapide et deux lentes :
  
  **Phase $n^o$ 1 (Lente)**
  
  Le prouveur ${\mathcal {P}}$ génère aléatoirement une chaîne de $m_{i}$ bits de longueur $n$ qu'il envoie au vérificateur ${\mathcal {V}}$. $n$ étant le nombre de bit de défis émis par le prouveur ${\mathcal {P}}$ lors de la phase $n^o$ 2 (Rapide).
  
  **Phase $n^o$ 2 (Rapide)**
  
  Une série de bits de défis et de réponses est échangée rapidement. Le vérificateur ${\mathcal {V}}$ génère aléatoirement une série de $n$ bits $\alpha _{i}$. Le prouveur ${\mathcal {P}}$ répond aussi vite que possible bit à bit par une série de $n$ bits $\beta _{i}$. $\beta _{i}$ est calculé par le prouveur ${\mathcal {P}}$ en effectuant un ou exclusif $\oplus$ entre le bit $\alpha _{i}$ reçu et le bit $m_{i}$. Le temps d'aller-retour (RTT) des bits échangés est mesuré par le vérificateur ${\mathcal {V}}$.
  
  **Phase $n^o$ 3 (Lente)**
  
  Le prouveur ${\mathcal {P}}$ concatène deux à deux la série de bits $\alpha _{i}$ et $\beta _{i}$ échangés puis signe la chaîne de bits obtenue $x$ avec sa clé secrète et envoie le résultat de l'opération au vérificateur ${\mathcal {V}}$. Le vérificateur ${\mathcal {V}}$ calcule $x$ de la même manière que ${\mathcal {P}}$ puis vérifie si la signature qu'il a reçue est correcte. Si c'est le cas, ${\mathcal {V}}$ calcule la distance maximum à laquelle se trouve le prouveur ${\mathcal {P}}$ en utilisant le temps mesuré d'aller-retour Round-Trip Time des bits échangés pendant la Phase $n^o$ 2 par la vitesse d'une onde électromagnétique. ${\mathcal {V}}$ valide l'identité de ${\mathcal {P}}$ uniquement si celui-ci est suffisamment proche.
  
  Cette approche fonctionne tant que ${\mathcal {P}}$ se comporte correctement. Si ${\mathcal {V}}$ sait que l'interlocuteur qui a exécuté la phase rapide d'échange de bits est à proximité et que l'interlocuteur qui a exécuté la phase signature connaît la clé privée, ${\mathcal {V}}$ ne peut être sûr que cet interlocuteur est unique. En d'autres termes, ce protocole ne permet pas d'éviter les attaques de type terrorist fraud.
  
  Dans le protocole Brands et Chaum, il y a une probabilité de réussite de $\textstyle \left({\frac {1}{2}}\right)^{n}$ qu'un pirate trouve la réponse au défi dans le cadre de la mafia fraud
  
  ### Protocole de Hancke et Kuhn
  
  Proposé en 2005 par Hancke and Kuhn, il s'agit du premier protocole délimiteur de distance dédié aux réseaux RFID. Le protocole de Brands et Chaum et le MAD Protocole n'ont pas été conçus pour faire face aux erreurs de bit durant la phase rapide d'échange de bits. Une erreur de bit unique peut causer l'échec du protocole. Cela peut être un important problème dans des environnements bruyants tels que le RFID. C'est pourquoi Hancke et Kuhn proposent un protocole délimiteur de distance qui peut être facilement étendu pour faire face à des erreurs sur la transmission des bits.
  
  Il a une grande importance dans le milieu des protocoles délimiteurs de distance, en représentant la 2e famille de protocole et servira de référence pour de futurs travaux tels que :
  
  * Protocole de Kim et Avoine (Défis mixtes)
  * Protocole de Nikov et Vauclair
  * Protocole de Munilla et Peinado (Défis vides)
  * Protocole Poulidor
  * Protocole de Benfarah et Al. (Radio TH-UWB)
  * Protocole Swiss-knife
  * Protocole de Reid et Al.
  * etc.
  
  Comparé au protocole de Brands et Chaum, il ne possède que 2 phases (une phase lente et une phase rapide), la 3e phase de signature du message n'étant pas nécessaire. Il peut donc être mis en œuvre avec une authentification plus rapide.
  
  **Phase $n^o$ 1 (Lente)**
  
  
      Le vérificateur ${\mathcal {V}}$ envoie au prouveur ${\mathcal {P}}$ une séquence de bits générée de manière aléatoire $N_{v}$ appelée nonce. Les deux parties utilisent une fonction pseudo-aléatoire $h$ pour calculer deux séquences de n bits $R^{0}$ et $R^{1}$.
  
  **Phase $n^o$ 2 (Rapide)**
  
  
      Une série d'échanges rapides de n bits est effectuée. À chaque tour, le vérificateur ${\mathcal {V}}$ envoie un bit de défi $C_{i}$ aléatoire au prouveur ${\mathcal {P}}$. Si ce bit de défi est égal à 0, alors le prouveur ${\mathcal {P}}$ répond avec le n-ième bit de $R^{0}$. Si le bit de défi est égal à 1, alors le prouveur envoie le n-ième bit de $R^{1}$. De cette manière, seule la moitié des bits calculés sont révélés.
  
  Dans un environnement réel (présence de bruit électronique), le protocole de Hancke et Kuhn a de meilleures performances que celui de Brands et Chaum. Le temps d'exécution du protocole de Hancke et Kuhn est plus rapide, sa mise en œuvre est plus simple ce qui le rend plus adapté aux applications où ces qualités sont requises.
  
  Son principal défaut est d'offrir une trop grande probabilité de réussite $\textstyle \left({\frac {3}{4}}\right)^{n}$ à un adversaire pour la réponse aux $défis^,$ et d'être vulnérable à la terrorist fraud.
  
  Le protocole Hancke et Kuhn devient une référence en matière de protocole délimiteur de distance grâce à sa popularité dans les framework RFID.
  
  ## Historique
  
  Si les concepts du protocole délimiteur de distance ont été définis en 1993 pour répondre à un besoin de sécurité réel, ce n'est qu'à partir de 2003 que d'autres contributions sur ce protocole apparaissent. Dès lors, la communauté de chercheurs développe des évolutions de ce protocole avec de plus en plus d'applications potentielles dans le domaine civil ou $militaire^,.$
  
  La chronologie, ci-dessous met en lumière les dates clés de cette évolution.
  
  ### 1988
  
      L'attaque appelée mafia fraud est décrite pour la première fois par Yvo Desmedt lors du SecuriCom 88 SEDEP, Paris, $France^,.$
  
  ### 1991
  
      Thomas Beth et Yvo Desmedt publient une méthode pour se protéger de l'attaque mafia fraud en mesurant les temps de transmission et en utilisant la constance de la vitesse de la lumière, pour en déduire une distance relative entre un vérificateur ${\mathcal {V}}$ et un prouveur ${\mathcal {P}}$.
  
  ### 1993
  
      Publication du premier concept d'un protocole délimiteur de distance par Stefan Brands et David Chaum. Cette publication apporte un début de réponse avec la proposition d'une parade à l'attaque mafia fraud.
  
  ### 2003
  
      Publication du protocole MAD de Čapkun et Al. qui permet d'autoriser la mesure de distance mutuellement entre 2 nœuds (un vérificateur ${\mathcal {V}}$ joue aussi le rôle de prouveur ${\mathcal {P}}$) et pour éviter d'utiliser des signatures électroniques.
  
  ### 2005
  
      En septembre, Gerhard P. Hancke et Markus G. Kuhn publient la première implémentation du protocole adaptée aux réseaux RFID pour se protéger des attaques par relais sur des équipements tels que les cartes à puce sans-contact.
  
  ### 2007
  
      Dave Singelée et Bart Preneel publient leur protocole qui vise à améliorer le protocole MAD de Čapkun et Al. en le rendant plus tolérant aux erreurs de transmissions durant la 2e phase. Ils utilisent l'ECC pour corriger ces erreurs de bit.
  
  ### 2010
  
      Reid et al.'s publient une évolution du protocole délimiteur de distance adaptée aux équipements RFID à bas coût pour être résistant aux attaques mafia fraud et terrorist fraud.
      Benfarah et Al. publient deux protocoles dont un adapté aux réseaux de capteurs sans fil. Ces protocoles ont été expérimentés en utilisant l'UWB comme support de communication, un support qui s'est avéré être fiable et précis.
  
  ## Protocoles dérivés
  
  ### Synthèse
  
  En 2008, Chong Hee Kim, Gildas Avoine, François Koeune, François-Xavier, Standaert et Olivier Pereira publient un tableau comparatif des différents protocoles délimiteurs de distance existant à cette date. Ce tableau met en évidence la résistance aux attaques de type mafia fraud et terrorist fraud avec la probabilité (Prob. MF et Prob. TF) de réussite pour un pirate à résoudre les défis.
  
  Ils comparent aussi ces protocoles à la tolérance aux erreurs de transmissions (Résist. Err.) et s'ils présentent des fuites d'informations sur des données privées. Enfin, la colonne MA indique si la fonctionnalité d'authentification mutuelle est supportée et la colonne Comp indique le nombre de calcul à réaliser dans l’exécution du protocole (fonctions de hashage, chiffrement à clé symétrique, etc.).
  
  Comparatif des principaux protocoles délimiteurs de distance :
  
  | | Mafia F. | Prob. MF | Terrorist F. | Prob. TF | Résist. Err. | Vie privée | MA | Comp |
  | - | - | - | - | - | - | - | - | - |
  | Brands et Chaum | Oui | $(^1⁄_2)^n$ | Non | - | Non | - | Non | 2 |
  | Hancke et Kuhn | Oui | $(^3⁄_4)^n$ | Non | - | Oui | - | Non | 1 |
  | Reid et Al. | Oui | $(^7⁄_8)^n$ | Oui | $(^3⁄_4)^v$ | Oui | Non | Non | 2 |
  | Singelée et Preneel | Oui | $(^1⁄_2)^n$ | Non | - | Oui | - | Non | 1+ECC |
  | Čapkun et al. | Oui | $(^1⁄_2)^n$ | Non | - | Non | - | Oui | 4 |
  | Nikov et Vauclair | Oui | $(^1⁄_2)^n$ | Non | - | Non | - | Non | 2$k$ |
  | Swiss-knife (MA) | Oui | $(^1⁄_2)^n$ | Oui | $(^3⁄_4)^v$ | Oui | Oui | Oui | 3 (2) |
  | Swiss-knife (sans MA) | Oui | $(^1⁄_2)^n$ | Oui | $(^3⁄_4)^v$ | Oui | Oui | Non | 2 (1) |
  
  ### Protocole MAD de Čapkun et al.
  
  * Proposé en 2003 par Srdjan Čapkun, Levente Buttyán et Jean-Pierre Hubaux
  * Dérivé du protocole de Brands et Chaum
  
  Le projet SECTOR est une collection de protocoles pour la vérification sécurisée du temps entre des nœuds. Parmi ces protocoles, apparaît le protocole MAD qui dérive légèrement du protocole initial de Brands et $Chaum^,.$
  
  Čapkun et Al. ont modifié ses propriétés pour permettre d'autoriser la mesure de distance mutuellement entre 2 nœuds (un vérificateur ${\mathcal {V}}$ joue aussi le rôle de prouveur ${\mathcal {P}}$) et pour éviter d'utiliser des signatures électroniques. En effet, le protocole MAD est utilisé à chaque fois que l'on rencontre un nouveau nœud, ce qui entraînerait une surcharge de ces mêmes nœuds. De plus, l'authentification étant assurée avec un principe de clé symétrique, chaque paire (un ensemble de 2 nœuds) se partage cette clé avant de faire appel au protocole délimiteur de distance. Cette clé sert aussi à générer les messages de code d'authentification (MAC) pour prouver l'authenticité des échanges liés au protocole MAD.
  
  ### Protocole Echo
  
  * Proposé en 2003 par Naveen Sastry, Umesh Shankar et David Wagner
  * Dérivé du protocole de Brand et Chaum
  
  Ce protocole se veut sécurisé, léger et adapté aux réseaux de capteurs sans fil. Il ne requiert pas de cryptographie, de synchronisation de temps ou d'accord préalable entre le vérificateur ${\mathcal {V}}$ et le prouveur ${\mathcal {P}}$. La particularité de ce protocole est d'utiliser les ultrasons et l'écho (qui est renvoyé en retour) pour déterminer la distance entre ${\mathcal {V}}$ et ${\mathcal {P}}$, en utilisant la vitesse du son dans l'air.
  
  Au niveau précision, avec la vitesse du son, chaque milliseconde correspond à ≈33 cm, ce qui signifie pour le traitement de l'information, que l'on pourra utiliser des unités de calcul plus lente et plus économe en énergie. Cet aspect a donc un impact positif sur l'autonomie des capteurs.
  
  Sa vulnérabilité tient dans le fait qu'il est possible pour un attaquant d'exploiter les propriétés physiques du son dans différents milieux (exemple : la vitesse du son dans l'acier est de 5 032 m/s soit 15 fois plus rapide que dans l'air) dans le but de tromper le vérificateur ${\mathcal {V}}$ sur la distance de ${\mathcal {P}}$.
  
  Les auteurs du protocole énoncent aussi un concept d'attaque par relais en utilisant les ondes électromagnétiques (radio) et sonores. Le support radio sert à transporter un signal sonore de ${\mathcal {P}}'$ vers ${\mathcal {P}}$, pour le restituer auprès de ${\mathcal {V}}$.
  
  Exemple : Un pirate ${\mathcal {P}}'$ appelle ${\mathcal {P}}$ sur téléphone mobile, le convainc d'activer son haut parleur. Ainsi, ${\mathcal {P}}'$ peut émettre un signal ultrason via le canal radio, depuis ${\mathcal {P}}$ vers ${\mathcal {V}}$ et faire croire à ${\mathcal {V}}$ que ${\mathcal {P}}'$ est à la place de ${\mathcal {P}}$.
  
  ### Protocole de Singelée et Preneel
  
  * Proposé en 2007 par Dave Singelée et Bart Preneel
  * Dérivé du protocole de Brands et Chaum
  
  Leur protocole vient améliorer le protocole MAD de Čapkun et Al. en le rendant plus tolérant aux erreurs de transmissions durant la 2e phase (phase rapide, défis-réponses). Ils utilisent l'ECC pour corriger les erreurs de bit, ${\mathcal {V}}$ et ${\mathcal {P}}$ ne pouvant corriger qu'un nombre maximum d'erreurs, mis en paramètre.
  
  Comparé au protocole de Hancke et Kuhn, dans un environnement réel (bruit électronique), il nécessite moitié moins d'échange pour un niveau de sécurité identique (taux de réussite pour un attaquant).
  
  En contrepartie, durant les phases lentes, leur protocole a besoin d'échanger plus de bits, pour un coût total (en bit) dépendant du vecteur de communication et du niveau de sécurité choisi.
  
  ### Protocole de Tu et Piramuthu
  
  * Proposé en 2007 par Tu et Piramuthu
  * Dérivé du protocole de Brands et Chaum
  
  Leur protocole est adapté aux réseaux RFID et a pour but de réduire la probabilité de réussite d'un attaquant lors de la phase de défi/réponse (phase $n^o$ 2 du protocole de Brands et Chaum) dans le cadre de l'attaque par relais.
  
  La fiabilité de ce protocole a été mis en défaut par Chong Hee Kim et Al. en 2008 en prouvant qu'une attaque permet à un adversaire de deviner la clé symétrique partagée dans la phase $n^o$ 1.
  
  ### Protocole Swiss-knife
  
  * Proposé en 2008 par Chong Hee Kim, Gildas Avoine, François Koeune, Françcois-Xavier Standaert, Olivier Pereira
  * Dérivé du protocole de Hancke et Kuhn
  
  Leur protocole se décline en deux parties, l'une avec une authentification mutuelle et l'autre sans. Il se veut tolérant aux erreurs qui pourraient avoir lieu durant la phase $n^o$ 2 (phase rapide d'échange, pour les défis / réponses).
  
  ### Protocole de Nikov et Vauclair
  
  * Proposé en 2008 par Ventzislav Nikov et Marc Vauclair
  * Dérivé du protocole de Hancke et Kuhn
  
  Ce protocole a été pensé pour être léger et non-interactif, adapté à des exécutions fréquentes en adéquation avec la mesure de proximité des périphériques mobiles. Par contre, il est sensible au bruit électronique et donc, il nécessiterait l'utilisation d'un code de contrôle HMAC ou AES.
  
  ### Protocole de Munilla et Peinado (Défis vides)
  
  * Proposé en 2008 par Jorge Munilla et Alberto Peinado
  * Dérivé du protocole de Hancke et Kuhn
  
  Ils proposent un protocole pour diminuer la probabilité de succès d'un pirate et de réduire le temps moyen pour exécuter ce protocole. La modification consiste à introduire des défis vides. Un défi vide est un défi pour lequel ${\mathcal {P}}$ ne renvoie volontairement pas de défi, ce qui permet de détecter un pirate tentant de donner une réponse en avance à ${\mathcal {V}}$. Si le pirate est détecté, alors ${\mathcal {V}}$ arrête la communication.
  
  Ils démontrent aussi que leur protocole est moins sensible au bruit électronique.
  
  ### Protocole de Kim et Avoine (Défis mixtes)
  
  * Proposé en 2009 par Chong Hee Kim et Gildas Avoine
  * Dérivé du protocole de Munilla et Peinado, donc de Hancke et Kuhn
  
  Trouvant que le protocole de Munilla et Peinado (Défis vides) est difficile à implémenter, ils proposent leur solution pour tenter de pallier cette constatation. Ils font le choix de définir deux types de défi : les défis aléatoires et les défis prédéfinis. Les défis aléatoires sont générés par P alors que les défis prédéfinis sont connus par V et par P. De cette manière P est en mesure de connaître par avance un défi aléatoire. Si une erreur est détectée, alors P renverra des réponses aléatoires à V pour tous les défis suivants.
  
  Dernière différence, à la fin de la phase $n^o$ 2 (échanges rapides de défi / réponse), il n'y a pas de messages envoyés afin d'améliorer l'efficacité sur le plan du calcul et de la communication.
  
  ### Protocole Poulidor
  
  * Proposé en 2010 par Rolando Trujillo-Rasua, Benjamin Martin et Gildas Avoine
  * Dérivé du protocole de Hancke et Kuhn
  
  Leur but n'est pas de fournir le meilleur protocole en matière de protection contre la mafia fraud ou terrorist fraud, mais de concevoir un protocole qui assure un bon compromis entre ces 2 aspects tout en ayant une empreinte mémoire faible.
  
  Ils ne proposent pas seulement un protocole simple, rapide et flexible, mais ils introduisent le concept de protocole basé sur un graphe.
  
  ### Protocole de Benfarah et al. (Radio TH-UWB)
  
  * Proposé en 2010 par Ahmed Benfarah, Benoit Miscopein, Jean-Marie Gorce, Cédric Lauradoux et Bernard Roux
  * Dérivé du protocole de Hancke et Kuhn
  
  Ils proposent 2 protocoles (A et B), utilisant la technologie TH-UWB, un support de communication fiable et précis. Leur but est d'améliorer la protection à la mafia fraud dans un environnement réel (bruit électronique).
  
  Le protocole A offre une meilleure sécurité que le protocole B, en contre-partie, il consomme une énergie plus importante. Cette caractéristique rend le protocole B plus intéressant dans le cadre des réseaux de capteurs sans fil (WSN).
  
  Ces 2 protocoles sont issus d'un partenariat entre Orange Labs, Université de Lyon, INRIA, INSA Lyon, Laboratoire CITI, CNRS et l'Institut Camille Jordan (École centrale de Lyon).
  
  ### Protocole de Reid et al.
  
  * Proposé en 2010 par A. Mitrokotsa, C. Dimitrakakis, P. Peris-Lopez et J.C. Hernandez-Castro
  * Dérivé du protocole de Hancke et Kuhn
  
  Il s'agit du premier protocole à clé symétrique adapté aux équipements RFID à bas coût et étant résistant aux attaques mafia frauds et terrorist frauds.
  
  Durant leurs travaux, ils ont tenu compte du fait que ces équipements sont sensibles au bruit, par conséquent, ils ont étudié le comportement de leur protocole dans ce type d'environnement.
  
  Ils expliquent qu'il est encore possible de diminuer la probabilité de réussite pour un pirate en ajoutant un message signé et envoyé pendant la phase $n^o$ 2 (échange rapide de bits). Toutefois, dans ce cas, il faut utiliser la gestion de correction d'erreur, ce qui augmente les temps d'authentification.
  
  