Réponse rapide
Les secrets d’un robot sont isolés autant que possible, séparés par usage et appareil, accessibles au minimum nécessaire et renouvelés selon une procédure qui tolère coupure et échec. Nouveau secret est vérifié avant activation ; ancien reste valable dans une fenêtre courte. Secrets de développement et secours universels ne doivent pas entrer dans le produit livré.
Protéger la racine de confiance
Élément sécurisé, mémoire protégée ou attestation limitent extraction. Identités de démarrage, communication et maintenance sont distinctes. Sauvegarde chiffrée ne devient pas copie utilisable partout, et accès sont journalisés.
Orchestrer une rotation réversible
Robot vérifie origine, intégrité et communication avant d’activer nouveau secret. Fenêtre de coexistence est courte, bornée et fermée après succès. Horloge incohérente, appareil hors ligne et reprise interrompue ont des états explicites.
Ne pas publier une clé de secours permanente
Clé identique transforme fuite locale en compromission de parc. Récupération exige authentification, limite, audit et révocation après usage. Journaux et fichiers de diagnostic n’enregistrent jamais la valeur secrète.
Sources et références
- [1] Robotics and Autonomous Systems — NIST