Signaux TPMS : suivi de voiture sans GPS

Suivi des véhicules via les signaux passifs des TPMS : Analyse d'une menace pour la vie privée

Les signaux des systèmes de surveillance de la pression des pneus directs (dTPMS) sont transmis en clair avec des identifiants uniques et fixes. Le déploiement d'un réseau de récepteurs SDR peu coûteux le long des routes permet de collecter des millions de messages, détectant ainsi la présence, le type, la charge et le style de conduite des véhicules. Lors d'une expérience de 10 semaines, plus de 6 millions de transmissions provenant de 20 000 véhicules ont été enregistrées, dont 12 vérifiées. Le coût d'un seul récepteur est d'environ 100 €, rendant cette menace très accessible.

Structure et modes de fonctionnement des dTPMS

Les dTPMS diffèrent des iTPMS indirects en mesurant directement la pression et la température via des capteurs à l'intérieur des pneus. Les transmissions ont lieu à 315/433 MHz avec une modulation ASK/FSK ; la longueur des paquets est de 100 bits à 20 Kbit/s (5 ms par transmission). Le paquet comprend :

• Un préambule (0x55555556 ou 0xaaaaaaa9) ;
• Un identifiant de capteur (24–32 bits) ;
• La température et la pression ;
• Des indicateurs (état de la batterie) ;
• Un CRC.

Activation : en mouvement — intervalles de 30 à 120 secondes, ou via une impulsion LF (125 kHz). Modes (selon Schrader) : conduite (1 message/7,5 s), repos (1/heure), identification. Certains systèmes transmettent en continu, même à l'arrêt.

Modèle de menace : Un réseau de récepteurs SDR

La surveillance passive est réalisée avec RTL-SDR + Raspberry Pi. Les récepteurs captent les signaux dans un rayon allant jusqu'à 40 mètres, les données étant agrégées pour le suivi. Des algorithmes associent les identifiants des quatre pneus à un seul véhicule en fonction des motifs temporels, du RSSI et des paramètres (pression, température).

Données clés extraites :

• Présence et itinéraires : Une séquence de détections à travers le réseau de récepteurs permet de reconstituer une trajectoire.
• Type de véhicule : Regroupement des identifiants par marque/modèle (protocoles propriétaires).
• Charge : Les variations de pression sont corrélées au poids.
• Style de conduite : Fréquence de transmission, accélérations déduites des variations de RSSI et des données des capteurs de mouvement.

Sur 12 véhicules tests, la précision d'appariement des pneus était supérieure à 95 %, et les profils de mouvement ont été reconstitués avec une erreur inférieure à 5 %.

Méthodes d'analyse des signaux

Collecte : 5 unités RTL-SDR sur les routes, 10 semaines, >6 millions de paquets. Traitement :

• Démodulation et décodage des préambules/identifiants ;
• Regroupement par identifiant (fixe pour la durée de vie du pneu) ;
• Appariement des pneus aux véhicules : fenêtre temporelle + contexte géographique + motifs RSSI ;
• Profilage : modèles d'apprentissage automatique sur des caractéristiques (intervalles de transmission, variations de pression, température).

Exemple d'un paquet décodé (typique pour Schrader) :

Préambule : 0x55555556
ID : 0x1A2B3C4D
Pression : 2,2 bar
Température : 25°C
Batterie : OK
CRC : 0xE7

Le déploiement est évolutif : des milliers de véhicules peuvent être suivis automatiquement.

Points clés à retenir

• Les identifiants fixes transmis en clair permettent un suivi permanent sans le consentement du propriétaire ;
• Un réseau de 5 récepteurs pour 500 € peut couvrir une zone, capturant plus de 20 000 véhicules ;
• Les données extraites incluent non seulement les itinéraires, mais aussi la charge et le style de conduite à partir de métriques passives ;
• L'absence de chiffrement dans les dTPMS est négligée par les réglementations (UNECE R155) ;
• Recommandation : rotation des identifiants, chiffrement et saut de fréquence pour les nouveaux systèmes.

— Editorial Team