Réponse rapide
La protection contre le rejeu associe identité, compteur ou nonce, échéance, contexte de mission et authentification d’intégrité. Tout message ancien, dupliqué ou hors séquence est rejeté, avec invalidation des fenêtres lors d’un changement de mode.
Lier la commande au contexte
Type d’action, robot cible, mission, validité et numéro de séquence sont authentifiés ensemble. Une commande copiée vers un autre contexte n’est pas acceptée.
Suivre fraîcheur et ordre
Compteur, nonce, timestamp et fenêtre tolérée sont vérifiés même après perte de liaison. Redémarrage, reprise et changement d’autorité réinitialisent la session selon une procédure.
Refuser dans le doute
Synchronisation incertaine conduit à attente, état sûr ou commande locale limitée. Le robot journalise le rejet sans exécuter le message pour “rattraper” la file.
Avertissement
Avertissement : chiffrement seul ne bloque pas le rejeu. Une commande authentique mais ancienne peut être dangereuse si compteur, contexte et échéance ne sont pas vérifiés.
Sources et références
- [1] Robotics and Autonomous Systems — NIST