Brevet FR2640449A1 — publié le 19900615

Procédé et systèmes de communication à cryptage de l'information L'invention concerne de manière générale le problème du secret de l'information dans des systèmes de communication dans lesquels une pluralité d'installations terminales reçoivent des trames de signaux d'information multiplexés et sont susceptibles de lire dans lesdites trames des signaux d'information qui ne leur sont pas destinés. Plus particulièrement, l'invention concerne le cryptage de communications multiplexées bidirectionnelles à travers des fibres optiques dans un réseau de télécommunications par exemple de type RNIS. Dans un réseau de télécommunications à fibres optiques, la desserte locale des signaux de communication entre un central local et des installations d'abonné est réalisée au moyen d'un réseau de desserte étoilé comprenant plusieurs fibres optiques de transmission reliant le central et les installations d'abonné respectivement à différents accès d'un coupleur directif de fibres optiques constituant le noeud central du réseau de desserte étoilé. La communication entre le central et les installations d'abonné est du type à l'alternat collectif. Pendant des premières périodes de la communication, le central transmet un paquet descendant vers toutes les installations d'abonné. Le paquet descendant est constitué d'une pluralité de mots multiplexés destinés respectivement aux installations d'abonné. Pendant des secondes périodes de la communication, les installations d'abonné transmettent des mots destinés au central respectivement à différents instants déterminés. Au niveau du noeud central du réseau de desserte, les mots transmis par les installations d'abonné s'insèrent dans des intervalles temporels respectifs d'un paquet montant destiné au central. Dans ce type de réseau de desserte -se pose un probleme de secret de l'information selon le sens de transmission descendant du central vers les installations d'abonné. En effet, chacune des installations d'abonné reçoit l'ensemble du paquet descendant et est susceptible de lire dans ledit paquet des mots qui sont -2- destinés à d'autres installations. Selon le sens de transmission montant des installations d'abonné vers le central, le problème de secret ne se pose pas du fait que le coupleur de fibres optiques au centre du réseau est de type directif et qu'un mot transmis par une installation d'abonné vers le central n'est reçu que par celui-ci et ne peut être reçu par les autres installations. La présente invention vise principalement à fournir un procédé pour résoudre le problème de secret de l'information exposé ci-dessus dans le contexte particulier d'un réseau local de desserte à fibres optiques et à l'alternat collectif mais qui convient également de manière générale pour tous réseaux de communication convoyant des communications multiplexées bidirectionnelles du type point à multipoint. A cette fin, le procédé selon l'invention pour crypter l'information dans un système de communication dans lequel des communications multiplexées bidirectionnelles de type point à multipoint sont établies entre une station centrale et une pluralité de stations terminales, la station centrale transmettant des premiers mots multiplexés destinés respectivement aux stations terminales, et les stations terminales délivrant respectivement des seconds mots qui sont multiplexés et transmis vers la station centrale, est caractérisé en ce que dans la station centrale, les premiers mots sont cryptés respectivement en fonction de seconds mots correspondants précédemment reçus dans la station centrale sans erreur de transmission, et des informations relatives aux erreurs de transmission détectées dans les seconds mots sont élaborées et transmises vers les installations terminales, et en ce que dans les stations terminales, les informations relatives aux erreurs de transmission sont détectées et les seconds mots transmis par les stations terminales et reçus sans erreur de transmission par la station centrale sont mémorisés temporairement, et les premiers mots reçus sont décryptés respectivement dans les stations terminales correspondantes en fonction des seconds mots mémorisés. Un autre objectif de l'invention est de fournir des systèmes de communication a cryptage de l'information. -3 - A cette fin, un système de communication à cryptage de l'information selon l'invention comprenant une station centrale reliée par des supports de transmission à une pluralité de stations terminales entre lesquelles sont établies des communications multiplexées bidirectionnelles du type point à multipoint, la station centrale transmettant des premiers mots multiplexés destinés respectivement aux stations terminales et les stations terminales délivrant respectivement des seconds mots qui sont multiplexés et transmis vers la station centrale, est caractérisé en ce que la station centrale et les stations terminales sont équipées respectivement d'un dispositif de cryptage et de dispositifs de décryptage mettant en oeuvre le procédé selon l'invention. L'invention sera mieux comprise à la lecture de la description suivante du procédé et de plusieurs réalisations préférées de systèmes de communication selon l'invention en référence aux dessins annexés correspondants dans lesquels: - la Fig. 1 montre schématiquement la structure d'un système de communication selon l'invention constitué par un réseau de communication étoilé à l'alternat collectif et à fibres optiques; - les Figs. 2A et 2B montrent des diagrammes respectivement de paquets montants et descendants échangés entre un central et des installations d'abonné compris dans le système de communication représenté à la Fig. 2; et - la Fig. 3 montre des circuits de cryptage et de décryptage inclus respectivement dans le central et les installations d'abonné du système de communication. En référence à la Fig. I, un système de communication selon l'invention à cryptage de l'information est par exemple constitué d'un réseau de communication à l'alternat collectif à fibres optiques du type à structure en étoile. Le réseau de communication comprend un central i connecté à J-12 installations d'abonné 31 à 3j à travers un coupleur de fibres optiques 2 ayant un premier accès relié au central 1 par une fibre optique 12 et J-12 seconds accès reliés respectivement aux J-12 installations d'abonné 31 à 3 à travers J-12 fibres optiques 231 à 23j. - 4 - Des paquets sont transmis à l'alternat collectif entre le central 1 et les installations d'abonné 31 à 3j. Pendant des premières périodes de la communication, le central I transmet des paquets descendants cryptés PD qui sont reçus par toutes les installations d'abonné 31 à 3j. Pendant des secondes périodes de la communication, les installations d'abonné 31 à 3j transmettent respectivement des mots de données montants MM destinés au central 1, o j est un indice compris entre 1 et J. Selon l'invention, les mots de données MM sont transmis en clair et ne sont pas cryptés du fait que le coupleur 2 est de type directif et qu'un mot MM transmis par l'installation 3 n'est reçu que par le central 1. Au niveau du coupleur 2 constituant le centre du réseau étoilé, les différents mots MM transmis par les installations d'abonné coincident respectivement avec différents intervalles temporels et forment un paquet montant PM qui est convoyé jusqu'au central 1 à travers la fibre optique 12. Les premières et secondes périodes de la communication sont alternées et pendant chaque période est transmis un unique paquet. Les structures des paquets descendants et montants PD et PM sont montrées respectivement aux Figs. 2A et 2B. Comme montré à la Fig. 2A, un paquet descendant PD comprend N-=J=12 intervalles temporels de mot IT1 à ITN=12 de même durée. Les intervalles temporels IT à IT contiennent des mots de données cryptés MD j destinés spécifiquement aux installations d'abonné 3 à 3j. Les intervalles temporels IT1 à ITN sont par exemple attribués par le central 1 aux installations d'abonné 31 à 3j en fonction de l'ordre de connexion des installations. A une installation d'abonné 3 connectée est attribué un intervalle temporel IT dont l'indice n compris entre 1 et N=J-12 représente n un rang de connexion de l'installation 3. Comme montré également à la Fig. 2A, un mot de données MD est constitué de neuf octets de données et d'un octet de gestion, soit de 72 bits de données dd 1 à dd 72 et de 8 bits de gestion * * 1* 72* gd 1 à gd 8. Les bits de gestion gd 1 à gd 8 ne sont pas cryptés en fonction d'informations variables connues du central 1 et de l'installation d'abonné 3 destinatrice; ils sont de préférence -5 codés selon un code à redondance afin d'autoriser dans les installations d'abonné une détection et une correction des erreurs de transmission. De plus, selon l'invention, une information utilisée pour le décryptage des mots MD recus par les installations d'abonné est également convoyée par les bits de gestion gd1 à gd 8- De même qu'un paquet descendant PD, un paquet montant PM comme montré à la Fig. 2B, est composé de N-J-12 intervalles temporels de mot IT1 à ITN, 12 de même durée. Les intervalles temporels IT1 à ITN d'un paquet PH contiennent les mots de données MM destinés au central 1. Les mots de données MDj et MM occupent respectivement dans les paquets PD et PH des intervalles temporels IT de même rang n. De même qu'un mot de données descendant MD j, un mot de données montant MM est constitué de neuf octets de données et d'un j octet de gestion, soit de 72 bits de données dm1 à dm72 et de 8 bits de gestion gm1 à gm8. Les bits de gestion gml à gm8 sont de meme que les bits gd 1 à gd 8 codés selon un code à redondance afin d'autoriser dans le central 1 une détection et une correction des erreurs de transmission. En référence à la Fig. 3, il est maintenant décrit un circuit de cryptage 10 et un circuit de décryptage 30 inclus respectivement dans le central 1 et dans une installation d'abonné 3j. Comme montré à gauche de la Fig. 3, le central 1 est équipé d'une interface de ligne 11 reliée à la fibre optique 12 et au circuit de cryptage 10. Un accès 110 de l'interface 11 est relié à la fibre optique 12. Des premier et second ports d'entrée 111 et 112 de l'interface 11 reçoivent octet par octet respectivement les bits de gestion gd 1 à gd 8 et les bits de données dd 1 à dd 72 d'un paquet descendant PD à transmettre vers les installations d'abonné pendant une première période de communication. Des premier et second ports de sortie 113 et 114 de l'interface 11 délivrent octet par octet respectivement les bits de gestion gm1 à gm8 et les bits de données dm1 à dm2 contenus dans un paquet montant PH recu pendant une seconde période de la communication. Le circuit de cryptage 10 comprend essentiellement une base de temps 100, un détecteur d'erreur de transmission 101, des première - 6 - et seconde mémoires de paquet 102 et 103, un codeur de bits de gestion 104, et un circuit à portes OU-exclusif 105. La base de temps 100 produit plusieurs signaux d'horloge et de séquencement HC qui sont fournis aux éléments 101 à 104 du circuit de cryptage 10 afin de commander et synchroniser leur fonctionnement. Le détecteur d'erreur de transmission 101 est un circuit classique du type à contrôle cyclique de redondance (CRC4). Le détecteur 101 comprend des premier et second ports d'entrée 1010 et 1011 qui sont reliés respectivement aux premier et second ports de sortie 113 et 114 de l'interface 11 afin de recevoir les bits de gestion et de données du paquet montant PH. Le détecteur 101 réalise un calcul de redondance à partir des bits de données dd1 à dd72 reçus et compare le résultat de ce calcul à une information correspondante qui est convoyée par les bits de gestion gm1 à gm8 et qui indique le résultat auquel doit aboutir le calcul de redondance dans le cas d'un paquet PH recu sans erreur de transmission. Par une sortie 1012, le détecteur 101 délivre un signal logique TC indiquant à l'état "1" une réception sans erreur du paquet PM. Le signal TC est appliqué à une entrée de commande d'un amplificateur-buffer 106 de type à trois états. Les première et seconde mémoires de paquet 102 et 103 sont analogues. Chacune des mémoires 102 et 103 comprend 9xJ-108 cellules de mémoire d'un octet chacune destinées à mémoriser respectivement les 9xJ=108 octets de données de paquets montants PM. La première mémoire 102 a pour fonction de mémoriser les octets de données du paquet PM en cours de réception. Elle comprend un port d'entrée 1020 relié au second port de sortie 114 de l'interface 11 afin de recevoir octet par octet les bits de données dm1 à dm72 au fur et à mesure de leur transmission par l'interface 11 et de les charger dans les cellules de mémoire. Un port de sortie 1021 de la première mémoire 102 est relié à un port d'entrée 1030 de la seconde mémoire 103 à travers l'amplificateur-buffer 106. A la fin de la transmission en cours du paquet PM par l'interface 11, dans le cas o aucune erreur de transmission n'a -7- été détectée par le détecteur 101, le détecteur 101 transmet le signal TC="1" qui active l'amplificateur-buffer 106, et le contenu de la première mémoire 102 est transféré à cadence rapide vers la seconde mémoire 103. La seconde mémoire 103 contient donc à tout instant les bits de données dm1 à dm72 du dernier paquet montant PM recu sans erreur de transmission. Les bits de données mémorisés dans la mémoire 103 sont notés Dm1 à Dm72. Le codeur de bits de gestion 104 produit les bits de gestion gd 1 à gd 8 du paquet descendant PD en fonction du signal TC et de bits de gestion gd1 à gd8 inclus dans un paquet descendant correspondant PD fourni en clair par le central 1 pour cryptage en le paquet PD et transmission veis les installations d'abonné. Le codeur 104 reçoit à une entrée 1040 et à un port d'entrée 1041 respectivement le signal TC et les bits de gestion gd1 à gd8. Les bits de gestion gd 1 à gd 8 sont fournis en sortie par le codeur 104 et sont appliqués au premier port d'entrée 111 de l'interface 11. Sous forme codée, les bits de gestion gd 1 à gd 8 convoient l'information fournie par le signal TC. Le circuit à portes OU-exclusif 105 est représenté schématiquement à la Fig. 3 par une unique porte OU-exclusif pour des raisons de commodité. Le circuit 105 est en fait constitué de 8 portes OU-exclusif à 2 entrées, en parallèle, pour crypter, octet par octet, les octets de bits de données dd à dd72 en fonction des 1 7 octets correspondants de bits de données Dm1 à Dm72. Les bits de données dd1 à dd72 sont appliqués à des premières entrées du circuit 105; les bits de données Dm1 à Dm72 sont appliqués à des secondes entrées du circuit 105. Le circuit 105 délivre en sortie les bits de données cryptées dd 1 ddl Dm à * I 1 1 dd 72 = dd72 * Dm72' le symbole * représentant l'opération logique OU-exclusif. Comme montré à droite de la Fig. 3, l'installation d'abonné 3 est équipée d'un interface de ligne 31. Un accès 310 de l'interface 31 est relié à la fibre optique 23j. Des premier et second ports d'entrée 311 et 312 de l'interface 31 reçoivent respectivement octet par octet les bits de gestion gm à gm8 et de données dm1 à dm72 d'un mot de paquet montant M à transmettre vers le central 1 pendant une seconde période de communication. Des premier et second - 8- ports de sortie 313 et 314 de l'interface 31 délivrent respectivement octet par octet les bits de gestion gd1 à gd8 et * * * de données dd 1 à dd 72 d'un paquet descendant crypté PD reçu pendant une première période de communication. Le circuit de décryptage 30 comprend essentiellement une base de temps 300, des première et seconde mémoires de mot 301 et 302, un décodeur de bits de gestion 303, un multiplexeur 304, et un circuit à portes OU-exclusif 305. La base de temps 300 produit plusieurs signaux d'horloge et de séquencement BD qui sont fournis aux éléments 301 à 304 du circuit de décryptage 30 afin de commander et de synchroniser leur fonctionnement. Les première et seconde mémoires de mot 301 et 302 sont analogues. Chacune des mémoires 301 et 302 comprend 9 cellules de mémoire d'un octet chacune destinées à mémoriser octet par octet les bits de données dm1 à dm72 de mots montants mH. La première mémoire 301 a pour fonction de mémoriser les bits de données dm1 à dm72 du dernier mot montant MM transmis par l'installation 3j. La mémoire 301 comprend un port d'entrée 3010 relié au second port d'entrée 312 de l'interface 31 pour recevoir et charger dans la mémoire les octets de bits de données dm1 à dm72 au fur et à mesure qu'ils sont fournis au port 312 de l'interface 31. A la fin de la transmission d'un mot montant m, tous les bits de données dm1 à dm72 du mot sont mémorisés dans la mémoire 301. La mémoire 301 comprend un port de sortie 3011 relié à un premier port d'entrée 3040 du multiplexeur 304. La seconde mémoire 302 a pour fonction de mémoriser les bits de données dm à dmà 2 du dernier mot MM transmis par l'installation d'abonné 3j et reçu sans erreur de transmission par le central 1. La mémoire 302 comprend un port d'entrée 3020 relié au port de sortie 3011 de la mémoire 301 à travers un amplificateur-buffer 306 de type à trois états. Un port de sortie 3021 de la mémoire 302 est relié à un second port d'entrée 3041 du multiplexeur 304. Le décodeur de bits de gestion 303 réalise une opération de décodage inverse de l'opération de codage réalisée par le codeur 104 et a pour fonction de restituer les bits de gestion gd1 à gd8 - 9 - et le signal TC à partir des bits de gestion codés gd1 à gd8 du mot descendant MD j reçu. Un port d'entrée 3030 du décodeur 303 est relié au premier port de sortie 313 de l'interface 31 pour recevoir les bits de gestion gd 1 à gd 8. Le décodeur 303 délivre le signal TC et les bits de gestion gd1 à gd8 respectivement par une sortie 3031 et un port de sortie 3032. Le signal TC est appliqué à des premières entrées de deux portes ET à deux entrées 307 et 308. Des secondes entrées des portes 307 et 308 reçoivent respectivement des signaux d'horloge HID et H2D fournis par la base de temps 300. En sortie, les portes 307 et 308 délivrent respectivement des signaux de commande S1 et S2. Les signaux S1 et S2 sont appliqués à des entrées de -commande respectivement du multiplexeur 304 et de l'amplificateur-buffer 306. Pendant la réception d'un mot descendant MD dans le circuit de décryptage 30, les signaux d'horloge RID et H2D sont respectivement à l'état "1" et à l'état "0". Les portes 307 et 308 sont alors respectivement "ouverte" et "fermée". Dans le cas o le signal TC est à l'état "1", le premier port d'entrée 3040 du multiplexeur 304 est sélectionné par le signal SI1 et le multiplexeur 304 délivre octet par octet par un port de sortie 3042 le contenu de la première mémoire 301. La mémoire 301 contient alors, puisque TC="1", les bits de données Dm! à Dm72 du mot MM du dernier paquet PH transmis par l'installation 3 et recu sans erreur de transmission par le central 1. Dans le cas o le signal TC est à l'état "0", le second port d'entrée 3041 du multiplexeur 304 est sélectionné par le signal SI et le multiplexeur 304 délivre octet par octet le contenu de la seconde mémoire 302. La mémoire 302 contient alors les bits de données Dm1 à Dm72 du mot Mj du dernier paquet PH transmis par l'installation 3 et recu sans erreur de transmission par le central 1, paquet qui est différent, puisque TC- "0", du dernier paquet transmis vers le central 1 et dont le mot correspondant MM transmis par l'installation 3 est mémorisé dans la premi&re mémoire 301. A la fin de la réception du mot MD par le circuit de décryptage 30, les signaux d'horloge H1D et H2D viennent respectivement à l'état "0" et à l'état "1". Les portes 307 et 308 - 10 - sont alors respectivement fermée et ouverte. Dans le cas o le signal TC est à l'état "1" et indique que le dernier paquet PM transmis vers le central I a été reçu sans erreur de transmission, le signal S2 fourni par la porte 308 est à l'état "1", l'amplificateur-buffer 306 est activé et le contenu de la première mémoire 301 est transféré à cadence rapide dans la seconde mémoire 302. Dans la mémoire 302 sont ainsi sauvegardés les bits-Dm1 à Dm72 du mot MM du dernier paquet PH reçu sans erreur de transmission par le central 1. Le circuit à portes OU-exclusif 305 est analogue au circuit inclus dans le circuit de cryptage 10. Un premier port d'entrée du circuit 305 reçoit les octets de bits de données dd1 à dd72 transmis par le second port de sortie 314 de l'interface 31; un second port d'entrée du circuit 305 reçoit les octets de bits de données Dm à Dm72 transmis par le multiplexeur 304. Le circuit 305 1 72* délivre en sortie les octets de bits de données dd1 dd 1 Dml à dd72 = dd 72 % Dm72' Le mot descendant MD constitué des bits de données dd! à dd72 et de gestion gd1 à gd8 est reconstitué et est délivré en sortie par le circuit de décryptage 30. - 11 - R E V E N D I CATIONS 1 - Procédé pour crypter l'information dans un système de communication dans lequel des communications multiplexées bidirectionnelles de type point à multipoint sont établies entre une station centrale (1) et une pluralité de stations terminales (3j), la station centrale (1) transmettant des premiers mots multiplexés (MD) destinés respectivement aux stations terminales (3i), et les stations terminales (3j) délivrant respectivement des seconds mots (MMj) qui sont multiplexés et transmis vers la station centrale (1), caractérisé en ce que dans la station centrale (1), les premiers mots (MD j) sont cryptés respectivement en fonction de seconds mots (MMj) correspondants précédemment reçus dans la station centrale (1) sans erreur de transmission, et des informations (TC) relatives aux erreurs de transmission détectées dans les seconds mots (MM) sont élaborées et transmises vers les installations terminales (3j), et en ce que dans les stations terminales (3j), les informations (TC) relatives aux erreurs de transmission sont détectées et les seconds mots (MM) transmis par les stations terminales (3j) et reçus sans erreur de transmission par la station centrale (1) sont mémorisés temporairement, et les premiers mots reçus (MD) sont décryptés respectivement dans les stations terminales correspondantes (3j) en fonction des seconds mots mémorisés (MM). 2 - Système de communication & cryptage de l'information comprenant une station centrale (1) reliée par des supports de transmission (12, 23j) à une pluralité de stations terminales (3j) et entre lesquelles sont établies des communications multiplexées bidirectionnelles du type point à multipoint, la station centrale (1) transmettant des premiers mots multiplexés (MD) destinés respectivement aux stations terminales (3j) et les stations terminales (3j) délivrant respectivement des seconds mots (MM) qui sont multiplexés et transmis vers la station centrale (1), caractérisé an ce que la station centrale (1) et les stations terminales (3) sont équipées respectivement d'un dispositif de cryptage (10) et de dispositifs de décryptage (30) mettant en oeuvre le procédé conforme à la revendication 1. - 12 - 3 - Système de communication conforme & la revendication 2, caractérisé en ce que le dispositif de cryptage (10) comprend des moyens (101) pour détecter les erreurs de transmission dans les seconds mots (MM) recus et pour produire les informations relatives aux erreurs de transmission, des moyens (102, 106, 103) pour mémoriser temporairement les seconds mots (MM) recus sans erreur de transmission, des moyens (104) pour inclure dans les premiers mots à transmettre (MD j) les informations (TC) relatives aux erreurs de transmission, et des moyens (105) pour crypter les premiers mots à transmettre (MD) en fonction des seconds mots mémorisés (MM). 4 - Système de communication conforme à la revendication 2 ou 3, caractérisé en ce que les dispositifs de décryptage (30) comprennent des moyens (303) pour détecter les informations (TC) relatives aux erreurs de transmission dans les premiers mots reçus (MD), des moyens (301, 306, 302) pour mémoriser temporairement les seconds mots (MM i) transmis par les stations terminales (3j) et reçus sans erreur de transmission par la station centrale (1), et des moyens (305) pour décrypter les premiers mots recus (MD) en fonction des seconds mots mémorisés (MM i). - Système de communication conforme aux revendications 3 et 4, caractérisé en ce que lesdits moyens pour crypter et pour décrypter comprennent des portes logiques du type OU-exclusif (105, 305). 6 Système de communication conforme à l'une quelconque des revendications 2 à 5, caractérisé en ce que les supports de transmission (12, 23j) sont du type fibre optique et le système comprend un coupleur directif de fibres optiques (2). 7 - Système de communication conforme à l'une quelconque des revendications 2 à 6, caractérisé en ce que les communications multiplexées bidirectionnelles entre la station centrale (1) et les stations terminales (3;) sont du type à l'alternat collectif.