Brevet FR2799077A1 — publié le 20010330

Description L'invention présentée concerne un serveur informatique sécurisé pour des applications Web. Il s'agit de contrôler de manière très sûre l'accès par le Web à certaines données et services de systèmes d'information contenus sur le serveur, tout en autorisant l'accès libre à des services non privés. L'ensemble des services concernés comprend : - les bases de données interfacées par le Web - les sites Web - les applications de commerce électronique sur Internet. Les données et services sont implantés sur un serveur accessible soit depuis l'extérieur par Internet soit de l'intérieur depuis un réseau d'entreprise, les deux réseaux d'accès étant attachés à des niveaux de sécurité différents. Les serveurs de réseaux locaux d'entreprise sont usuellement protégés de l'extérieur par des équipements "pare-feu" réseau, matériellement séparés des serveurs. L'accès aux bases de données se fait soit à l'aide de protocoles ne passant généralement pas les pare-feux (ex: SSL) ou par des mécanismes de mot de passe qui sont très vulnérables du point de vue de la sécurité. La séparation pare-feu /serveur est la source de plusieurs problèmes : - configuration complexe du pare-feu qui doit en général gérer des sous-réseaux différents, ce qui fréquemment la cause de failles de sécurité dans les réseaux - la possibilité de modifier la connexion serveur sur les ports TCP/IP du pare-feu, en intervertissant les câbles de connexion. Par ailleurs, les serveurs Web sont placés en zone dite "démilitarisée", accessibles par le protocole HTTP et éventuellement sécurisés par des mécanismes de mot de passe, moyennement robustes même lorsque des protocoles de sécurité du type SSL sont utilisés. Ceci peut devenir critique, lorsque des données sensibles comme les sites commerciaux sont concernés. Le dispositif de l'invention est caractérisé par : - le couplage fort de la fonction pare-feu à la fonction serveur ; ce couplage est réalisé grâce à deux éléments : 1 . un coffrage physique dans le même boîtier d'une carte n#ud processeur dédié à la fonction pare-feu et de n#uds serveurs ; la version la plus simple comprend deux n#uds (cluster bi-nodal), dont un n#ud est réservé au pare-feu et un n#ud aux applications serveur (figure 1) 2. la configuration du système d'exploitation du serveur et du pare-feu pour ne permettre l'échange du serveur avec le pare-feu ; ceci peut se faire en introduisant des paramètres uniques, liés à la configuration matérielle des composants du système (exemples : adresse Ethernet des cartes réseaux, numéro du processeur unique). - l'usage d'un protocole tunnel sur le protocole HTTP permettant d'établir une communication chiffrée et signée entre le serveur et un client accédant à des données ou des services depuis un terminal connecté à Internet (extérieur (1 ; les droits d'accès au services sont introduits sur le serveur de manière personnalisée pour chaque terminal utilisateur configuré ; la configuration de sécurité consiste à générer une paire de clés publique /privée et à transmettre la clé publique au serveur sécurisé. L'administrateur du serveur peut alors définir les droits attachés à ce terminal particulier. De plus, le serveur utilise des configurations de protection prédéfinies, avec un paramétrage simple et un nombre limité de services autorisés sur le serveur. Ceci permet de limiter les risques de faille de protection dues à un mauvais paramétrage du pare-feu à l'installation de services. Les services autorisés doivent en effet être signés par le fournisseur, qui garantit leur intégrité. Ce type de serveur peut être exploité pour des applications de commerce électronique en entreprise ou chez un hébergeur d'applications Internet. Un tel serveur a été réalisé avec un boîtier serveur intégrant deux blocs accueillant des cartes PC, disposant d'une double alimentation redondée, selon la configuration figure 1, sous l'appellation de serveur "WebShield" (bouclier-Web) . La fonction de couplage logique a été réalisée en utilisant un câble Ethernet inversé direct (2) pour connecter en direct les deux cartes des n#uds (fig2). L'invalidation du protocole ARP et le forçage de la résolution adresse IP -> adresse Ethernet par paramétrage d'un fichier système permettent . de durcir le- cloupLage. Une connexion sur réseau, séparée sur le pare-feu (3/1), permet de connecter optiormellement le serveur à un réseau privé. L'accès depuis le réseau privé peut fonctionner en HTTP ou avec d'autres protocoles selon les configurations autorisées. Le pare-feu peut, en outre, servir de passerelle de sécurité du réseau interne vers Internet (exemple : masquage d'adresse du réseau interne vers le réseau externe, de même que les n#uds serveurs peuvent servir de passerelle de services vers Internet (messagerie, proxy-HTTP, ... ). Le tunnel sécurisé, permettant à un utilisateur d'accéder depuis un réseau extérieur (exemple l'Internet) des services Web protégés (exemple : mise à jour de bases ou visibilité d'informations privées), est réalisé - côté client : par un module d'extension (4/1) pour navigateur, formatant /déformatant des messages en langage XML et réalisant le chiffrement /déchiffrement des champs désirés - côté serveur : par une module de tannelage couplé au serveur HTTP (7/1) qui vérifie l'identité des clients par signature électronique, le chiffrement /déchiffrement des échanges et la signature des messages vers le terminal client ; les droits sont définis dans une base de données du serveur (6/1), gérée par un administrateur local du serveur. D'autres réalisations sont possibles en utilisant côté client un serveur mandataire réalisant le tunnel chiffré (figure 3). Dans ce cas, le dispositif permet de réaliser un réseau privé virtuel entre les deux serveurs et d'attacher des droit d'accès à des services par réseau utilisateur distant sur les serveurs sécurisés. Revendications 1) Dispositif de contrôle d'accès Web aux données d'un serveur, caractérisé en ce qu'il comporte un couplage fort d'un serveur Web avec un pare-feu, réalisé par un coffrage physique et une liaison des composants matériels et logiciels réseaux pour ne permettre l'accès au serveur que par l'intermédiaire du n#ud pare-feu. 2) Dispositif selon la revendication 1, pour l'accès distant sécurisé à des applications Web (base de données et services accessibles par le protocole HTTP), caractérisé en ce qu'il utilise un tunnel sécurisé sur HTTP transportant des messages entre le client externe et le serveur, formatés en langage XML et qu'il utilise des algorithmes de sécurité forte (algorithmes à clés publiques /privée) pour le chiffrement et l'authentification.