Brevet FR2717333A1 — publié le 19950915

Protection de réseaux de t8lécommunications La présente invention concerne de manière générale la sécurité de réseaux de télécommunications, et notamment leur protection contre des attaques, intérieures ou extérieures, pouvant constituer de véritables menaces pour ces réseaux. Plus particulièrement, l'invention vise à fournir un procédé de protection d'un réseau contre chaque communication établie entre deux entités, ou stations terminales, de réseau et présentant un caractère illicite. L'invention est notamment destinée à être mise en oeuvre dans un réseau local (LAN pour Local Area Network en terminologie anglosaxonne). Un tel réseau local peut être sujet à des attaques intérieures, résultant d'un comportement imprévu ou non autorisé d'un utilisateur dudit réseau, et à des attaques extérieures lorsque le réseau local est connecté avec un système de télécommunications extérieur. L'augmentation des interconnexions établies avec le réseau local accroît en conséquence les risques encourus pour la sécurité du réseau. Les attaques possibles offertes par l'ouverture d'un réseau local au monde extérieur sont par exemple le branchement clandestin, et le "déguisement" d'un utilisateur malintentionné en utilisateur autorisé. De nombreuses techniques existent pour détecter de telles attaques intérieures et extérieures. Sont notamment connues des tables d'autorisation d'accès limitant les accès autorisés relativement à chaque utilisateur ou station terminale et des mécanismes d'authentification d'une communication visant à vérifier les véritables stations destinataire et à l'origine d'une communication. L'objet de la présente demande de brevet ne réside pas dans une telle détection d'attaque, intérieure ou extérieure, contre un réseau informatique, mais réside dans une étape de déconnexion d'une communication établie, en réponse à une détection d'attaque. Le terme "attaque" revêt, en outre, dans la suite de la description l'ensemble des significations qui lui sont données dans la Norme Française NF ISO 7498-2, Septembre 1990, Annexe A. Selon la technique antérieure, en référence à la figure 1, deux procédés principaux sont utilisés pour la mise en oeuvre d'une protection d'un réseau contre une communication illicite ou falsifiée. Dans cette figure 1 sont représentés deux réseaux locaux R1 et R2 interconnectés à travers un réseau public RP. Le réseau R1, respectivement R2, comprend un nombre prédéterminé N1 = 4, respectivement N2 = 4, de stations terminales S10 à S13, respectivement S20 à S23, et présente une topologie en anneau, respectivement de type bus. L'interconnexion des deux réseaux R1 et R2 à travers le réseau public RP est assurée respectivement par deux routeurs RO1 et R02. Chaque routeur Roi, R02 interface l'un respectif des réseaux locaux R1 et R2 avec le réseau public RP. Les deux routeurs RO1 et R02 assurent des fonctions de conversion de protocoles de couche basse, typiquement PHYSIQUE, LIAISON et RESEAU, telles que réadressage des stations, etc... Si l'on suppose que les deux réseaux R1 et R2 mettent en oeuvre respectivement des protocoles de couche basse de type "TOKEN-RING" et "ETHERNET", les deux routeurs RO1 et R02 assurent alors notamment la conversion de protocoles RESEAU PUBLIC/TOKEN-RING et RESEAU PUBLIC/ETHERNET, respectivement. Le premier procédé connu de protection d'un réseau local, tel que le réseau R1, selon la technique antérieure consiste à protéger ledit réseau uniquement contre des attaques extérieures, c'est-àdire des attaques provenant de l'extérieur du réseau, par exemple provenant du réseau R2. Pour cela, dans le routeur RO1 du réseau R1 sont prévus des moyens de détection d'attaque sur la base d'une table d'autorisation d'accès et/ou de moyens d'authentification de communication. Lors de l'établissement d'une communication entre l'une des stations, telle que la station S10, du réseau R1 et une station extérieure au réseau R1, telle que la station S20 du réseau R2, un message de demande d'établissement de connexion, sous la forme d'une trame, est acheminé de la station appelante, ici la station S20, vers la station appelée, ici la station S10, à travers le routeur RO1. Le routeur, monté "en coupure relativement à la liaion relative à la connexion, laisse diffuser le message d'établissement de connexion à travers le réseau R1 uniquement dans le cas où les moyens d'authentification et la table d'autorisation d'accès autorisent une telle connexion. Dans le cas contraire, le message de demande d'établissement de connexion est mémorisé ou détruit dans le routeur RO1 sans être diffusé dans le réseau R1 incluant la station destinataire S10 du message. En raison de temporisations connues lors de l'établissement d'une connexion, la station S20 émettrice du message de demande d'établissement de connexion abandonne sa demande d'établissement après un délai sans réponse, succédant à l'émission du message de demande d'établissement d'appel, ce délai étant supérieur à une durée prédéterminée. Ainsi, la connexion entre la station S20 et la station S10 n'est jamais établie. Ce premier procédé présente l'inconvénient principal de nécessiter un organe, ici routeur Roi, RO2, placé "en coupure" par rapport à la liaison à travers laquelle transitent toutes les communications à surveiller. Si de nombreux messages de demande d'établissement de connexion sont reçus quasisimultanément par le routeur RO1, le traitement de ces messages augmente sensiblement les délais de connexion des stations. Par ailleurs, un tel procédé n'autorise pas la protection du réseau R1 pour des communications internes établies entre des stations du réseau R1. Le second procédé de protection d'un réseau local de télécommunications connu selon la technique antérieure et remédiant à l'inconvénient du premier procédé précité, consiste à implanter des mécanismes de protection de type table d'autorisation d'accès et/ou d'authentification de communication dans l'une des stations, telle que la station S11, du réseau local R1 à protéger. Selon ce procédé, aucune demande d'établissement de communication n'est rejetée et seul est produit par la station S11 un rapport de protection du réseau. Un tel rapport de protection énumère chaque détection d'attaque, telle qu'intrusion par un tiers indésirable dans le réseau protégé, déguisement, etc...Chacune de ces attaques détectées est par exemple affichée sur un écran de la station S11 et/ou mémorisée dans un fichier informatique de la station. Ce second procédé est ainsi incapable de rompre une connexion établie et déclarée falsifiée ou illicite. La présente invention vise à remédier aux inconvénients relatifs aux deux procédés précités selon la technique antérieure, en fournissant des procédé et système de protection d'un réseau informatique n'augmentant pas les délais d'attente de connexion des stations, une demande d'établissement de connexion n'étant jamais rejetée, et autorisant la rupture d'une connexion établie. A cette fin, un procédé de protection d'un réseau comprenant une détection de communication illicite établie entre des première et seconde stations, l'une au moins desdites première et seconde stations appartenant audit réseau, est caractérisé en ce qu'il comprend, en réponse à ladite étape de détection de communication illicite, une transmission de première et seconde trames de déconnexion respectivement, à destination desdites première et seconde stations, ladite première trame de déconnexion incluant une adresse de destinataire correspondant à l'adresse de la première station et une adresse d'origine correspondant à l'adresse de la seconde station, et ladite seconde trame de déconnexion incluant une adresse de destinataire correspondant à l'adresse de la seconde station et une adresse d'origine correspondant à l'adresse de la première station. Contrairement au premier procédé précité selon la technique antérieure, l'étape de détection de chaque communication illicite peut être opérée relativement à des trames transmises distinctes d'une trame d'établissement de demande de connexion entre les deux stations, bien qu'une telle détection puisee être réalisée à partir des trames de demande de connexion transmises entre les deux stations. Typiquement, l'étape de détection de communication illicite résulte directement de défaut d'authentification de ladite communication illicite, ou de ce que ladite communication illicite est déclarée interdite dans une table d'autorisation d'accès. Selon une première variante de l'invention, les étapes de détection et transmission sont mises en oeuvre dans un moyen de commutation du réseau n'appartenant à aucune de stations dudit réseau, tel que routeur. Selon une seconde variante de l'invention, le réseau est un réseau à diffusion, tel que réseau local, et les étapes de détection et transmission sont mises en oeuvre dans une station, dite station de protection, du réseau à diffusion. D'autres caractéristiques et avantages de la présente invention apparaîtront plus clairement à la lecture de la description suivante de plusieurs réalisations préférées de l'invention en référence aux dessins annexés correspondants dans lesquels - la figure 1, déjà commentée, est un blocdiagramme de deux réseaux locaux interconnectés à travers un réseau public selon la technique antérieure; - la figure 2 montre schématiquement en couches une station d'un réseau local connectée à un support de communication formant la topologie du réseau local; et - la figure 3 montre schématiquement une station de protection conjointement avec des étapes de protection d'un réseau selon l'invention. Le procédé selon l'invention est décrit ci-après pour une implantation dans une station terminale d'un réseau local. Cependant le procédé selon l'invention peut être implanté dans une passerelle ou un routeur utiles à l'interconnexion de deux réseaux. Comme montré à la figure 2, une station terminale S d'un réseau local est définie par des couches de télécommunications, PHYSIQUE, LIAISON, RESEAU, TRANSPORT, SESSION, et PRESENTATION/APPLICATION reprenant sensiblement l'architecture et les fonctionnalités définies dans le modèle de référence OSI (Open System Interconnection) de l'ISO (International Standardization Organization). En pratique, et selon la nature du réseau, peuvent être définis à titre d'exemple le protocole X25 associé aux couches basses PHYSIQUE, LIAISON et RESEAU, les protocoles TCP et IP respectivement associés aux couches TRANSPORT et RESEAU, ou le protocole FDDI associé aux couches basses PHYSIQUE et LIAISON et à l'interface IN au support de communication SU. L'interface IN de la station S au support de communication est assurée par des moyens électriques ou optiques, en dépendance de la nature du support de communication, câble ou fibre optique. L'implantation du procédé selon l'invention est maintenant décrit en référence à la figure 3 montrant une station de protection S rattaché au réseau local qu'elle protège. Dans la figure 3, la station de protection S assure la protection du réseau auquel elle appartient contre une communication illicite établie entre deux stations STA et STB. Selon la représentation de la figure 1, les deux stations STA et STB peuvent appartenir respectivement aux réseaux locaux R1 et R2, ou toutes deux appartenir au réseau R1, s'il est supposé que la station S appartient à ce réseau. Selon une caractéristique du procédé de l'invention et, contrairement au premier procédé de la technique antérieure dont il a été fait mention dans le préambule de la description, la détection d'une communication illicite est effectuée en analysant une ou plusieurs des trames transmises durant la communication entre les deux stations STA et STB, et pas nécessairement en analysant la trame de demande d'établissement de connexion. Ainsi chaque communication peut être rejetée ou acceptée durant la phase d'établissement de cette communication mais aussi au cours de la communication, après établissement de la connexion. I1 est à noter que le terme "trame" est associé à toute unité de transfert d'informations. Ce terme recouvre donc, selon les protocoles utilisés, les notions de PDU (Protcol Data Unit), paquet, message,... L'implantation du procédé de l'invention dans une station d'un réseau à protéger résulte des propriétés de diffusion de ce réseau. La notion attachée au terme de "diffusion" signifie que chaque station du réseau a un accès potentiel à chacune des trames transmises dans le support de communication du réseau formant la topologie de ce dernier. En pratique, tous les réseaux locaux, quelle que soit les protocoles et la topologie mise en oeuvre, point à-point, multipoint, en anneau ou en bus, possèdent cette propriété de diffusion. Ainsi, à titre d'exemple, dans un réseau local de type token-ring, une trame donnée transmise par une première station vers une seconde station est détruite par ladite première station après un tour complet dans l'anneau. Seule la seconde station, dont l'adresse coïncide avec l'adresse de destination fournie dans la trame, reçoit effectivement, par transmission de la couche PHYSIQUE à la couche APPLICATION, la trame donnée. Néanmoins chaque station de l'anneau reçoit la trame donnée pour effectuer une comparaison de son adresse avec l'adresse de destination contenue dans la trame donnée. Ainsi en revenant à la figure 3, la station S reçoit toute trame transmise ou reçue par une station du réseau auquel elle appartient. Dans une première étape, repérée par (A) dans la figure 3, la station de protection S lit une trame TR convoyée dans le support de communication SU et transmise entre les stations STA et STB. La détection de la communication établie relative à la trame lue, en tant que communication illicite, résulte de mécanismes dépendant de table d'autorisation d'accès, et d'authentification de communication implantés dans la station S. Les mécanismes de table d'autorisation d'accès consistent typiquement en une base de données interdisant ou autorisant explicitement certaines connexions entre certaines stations. Une authentification de communication vise à constater que des stations supposées impliquées dans une connexion, notamment en fonction des adresses transmises dans les trames, sont les stations effectivement concernées par la connexion. Un tel mécanisme remédie aux attaques par déguisement, ou masquarade, où une station donnée simule les caractéristiques d'une autre station afin de bénéficier de ses privilèges. Si la trame TR lue par la station S est interprétée par la station S comme relative à une communication illicite en ce que la trame lue ne satisfait pas aux critères d'authentification de communication et/ou d'autorisation d'accès, alors ladite communication est rompue. La trame lue TR comprend deux champs de données A et B relatifs respectivement à l'adresse d'origine A de la station ayant émise la trame et à l'adresse de destinataire B de la station à laquelle est destinée la trame TR. En réponse à une détection de communication illicite par la station S, cette dernière transmet vers les deux stations STA et STB à l'origine et destinataire de la trame lue TR, respectivement deux trames de déconnexion TRDA et TRDB, comme montré à l'étape (B). I1 est entendu que le terme "trame de déconnexion est relatif à toute unité ou séquences d'unité de transfert d'informations provoquant la fermeture de la connexion. La trame de déconnexion TRDB transmise vers la station STB comprend comme adresse d'origine l'adresse de la STA et comme adresse de destinataire l'adresse B de ladite station STB. Inversement, la trame de déconnexion TRDA transmise vers la station STA comprend comme adresse d'origine l'adresse B de la station STB, et comme adresse de destinataire l'adresse A de ladite station STA. Le terme "adresse" dont il est fait mention ci-dessus recouvre les notions de SAP (Service Access Point), Port, ..., ou tout groupement de ces notions selon les protocoles utilisés. Ainsi chaque station, STA et STB, apparaît être libérée de la communication par l'autre station, STB et STA. La rupture de la communication établie semble "naturelle" à chaque station STA et STB et avoir pour origine l'autre station, STB et STA. L'invention n'est pas limitée à la variante décrite ci-dessus relative à l'implantation du procédé selon l'invention dans une station S connectée à un réseau possédant la propriété de diffusion. Ainsi l'homme du métier appréciera que le procédé de l'invention peut être mis en oeuvre dans un routeur RO1, R02, pour protéger un réseau contre des attaques extérieures, provenant de l'extérieur dudit réseau. Dans ce cas, et contrairement à l'état de la technique décrit dans le préambule de la description, l'établissement d'une communication est toujours validé indépendamment de la nature illicite ou licite de cette communication. La détection d'une communication comme communication illicite peut être effectuée à la suite de l'établissement de ladite communication, sur le flot des trames transmises durant ladite communication, ou à partir des trames de connexion. Ainsi, aucun retard dans l'établissement des communications n'est imputable au traitement de protection selon l'invention. Une communication détectée illicite au cours de son existence est néanmoins rompue par transmission, selon l'invention, de deux trames de déconnexion respectives vers les deux stations concernées par ladite communication. REVENDICATION8 1 - Procédé de protection d'un réseau (R1, R2) comprenant une détection de communication illicite établie entre des première et seconde stations (STA, STB), l'une au moins desdites première et seconde stations appartenant audit réseau (R1, R2), caractérisé en ce qu'il comprend, en réponse à ladite détection de communication illicite, une transmission de première et seconde trames de déconnexion (TRDA, TRDB) respectivement à destination desdites première et seconde stations (STA, STB), ladite première trame de déconnexion (TRDA) incluant une adresse de destinataire (A) correspondant à l'adresse de la première station (STA) et une adresse d'origine (B) correspondant à l'adresse de la seconde station (STB), et ladite seconde trame de déconnexion (TRDB) incluant une adresse de destinataire (B) correspondant à l'adresse de la seconde station (STB) et une adresse d'origine (A) correspondant à l'adresse de la première station (STA). 2 - Procédé conforme à la revendication 1, caractérisé en ce que ladite détection de communication illicite est opérée relativement à des trames transmises (TR) distinctes d'une trame d'établissement de demande de connexion entre les deux stations. 3 - Procédé conforme à la revendication 1 ou 2, caractérisé en ce que ladite détection de communication illicite résulte directement de défaut d'authentification de ladite communication illicite ou de ce que ladite communication illicite est déclarée interdite dans une table d'autorisation d'accès. 4 - Système pour la mise en oeuvre du procédé conforme à l'une quelconque des revendications 1 à 3, dans un réseau de télécommunications (R1, R2), caractérisé en ce que lesdites détection et transmission sont mises en oeuvre dans un moyen de commutation (RO1, RO2) dudit réseau (R1, R2) n'appartenant à aucune de stations (S10-S13, S20-S23) dans ledit réseau. 5 - Système conforme à la revendication 4, caractérisé en ce que ledit moyen de commutation est un routeur (RO1, RO2) et en ce que ledit réseau est un réseau local. 6 - Système pour la mise en oeuvre du procédé conforme à l'une quelconque des revendications 1 à 3, selon lequel ledit réseau est un réseau à diffusion, et en ce que lesdites détection et transmission sont mises en oeuvre dans l'une (S) de stations du réseau à diffusion. 7 - Système pour la mise en oeuvre du procédé conforme à la revendication 5, caractérisé en ce que ledit réseau à diffusion est un réseau local (R1,R2).