Brevet FR2806179A1 — publié le 20010914

La présente invention concerne un organe de contrôle d'accès sur Internet notamment pour permettre des autorisations ou in terdictions d'accès. Le développement des services offerts sur Internet a créé un besoin croissant d'identification des accédants, c'est-à-dire des internau- tes. L'intérêt d'une telle identification est multiple. L'identification peut servir à la facturation des services ou encore à présenter à Finternaute le ou les produits qui correspondent à son profil. Il s'agit là d'une fonction de ciblage. L'identification peut également servir à la confidentialité de l'information, c'est-à-dire que l'identification ne sera autorisée qu'à cer tains internautes. En effet, certaines informations doivent avoir des accès li mités. Or actuellement Internet n'offre pas de tels dispositifs de contrôle d'accès et, de façon générale, l'information est ouverte à tous, pratiquement sans aucune restriction. La présente invention a pour but de remédier à ces incon vénients et concerne, à cet effet, un organe de contrôle d'accès sur Inter- net caractérisé en ce qu'il comprend un dispositif d'identification de l'adresse de l'appelant, un dispositif dynamique de mémorisation des do maines, un module logiciel qui contrôle les droits du domaine appelant à chaque appel du serveur. D'une manière particulièrement avantageuse, le dispositif d'identification est relié directement aux serveurs qui contiennent la tota lité des domaines Internet pour exploiter directement ces serveurs officiels des domaines (RIPE, APNIC, ARIN). Suivant une autre caractéristique, l'organe de contrôle d'accès comprend un moyen de mémorisation des domaines sous la forme d'un cache ou d'une base de données dynamique qui enregistre des seg ments appartenant à un domaine déterminé. Le module logiciel comporte avantageusesement un logiciel résidant dans le serveur contenant les informations à protéger ou encore sur un serveur intermédiaire qui protège les abonnés du domaine pour l'accès à l'information externe. De façon avantageuse pour former une table des domaines, l'organe de contrôle explore automatiquement la réponse HTML des ser veurs. Enfin l'organe de contrôle, utilise l'identification pour factu rer des services par un moyen de facturation ou encore assurer les sur veillances par un moyen de déclenchement d'alarme ou encore établir des statistiques par un moyen d'établissement de statistiques. Les différents moyens de l'invention et le contexte seront décrits de manière plus détaillée ci-après par la description de l'identification d'un appel Internet et la description détaillée des moyens de l'invention. DESCRIPTION DE L'INVENTION Identification d'un appel Internet Attribution des adresses: Le réseau INTERNET s'appuie sur un protocole de commu nication IP (INTERNET Protocol) qui attribue une adresse de 32 bits à toute station de travail ou serveur situé sur le réseau (par exemple 192.3.177.134). L'adresse doit être unique sur la totalité du réseau. Le nombre d'adresses distinctes est donc limité à 4294967296. L'attribution d'adresses est faite par trois centres dans le monde: RIPE Registre Européen APNIC Registre Asiatique ARIN Registre Américain Pour des raisons historiques, le registre américain, le pre mier à exister, contient une partie des domaines enregistrés dans les au tres registres. A chaque abonnement, le registre concerné attribue un bloc d'adresses sous un nom de domaine. Les registres contiennent une base de données qui con tient : le nom de domaine, l'adresse minimum et l'adresse maxi male du bloc d'adresses attribuées. Adresses situées dans un domaine -privé: Le nombre d'adresses est limité au niveau mondial à 4.294.967.296 ce qui nécessite le déploiement d'un nouveau protocole qui va étendre le nombre d'adresses. Cependant, un grand nombre de domaines privés (INTRANET) isolés du domaine INTERNET par une machine spécifique (PROXY), utilisent de multiples fois les mêmes adresses, ce qui ne pose aucun problème tant que les stations de travail ou les serveurs se trou vent à l'intérieur du domaine privé. Lorsque ces stations de travail veulent adresser un serveur situé dans le domaine public, ils utilisent les services d'une machine spé cifique qui va transformer l'adresse d'origine en sa propre adresse, décla rée dans les registres du réseau global. Le serveur adressé ne reçoit que l'adresse IP de ce PROXY, et ignore l'identification de la dans le réseau privé. Dans ce cas, il existe une directive http, qui va permettre au PROXY de renseigner le serveur distant sur l'adresse interne de station de travail d'appel: Adresses dynamiquement attribuées: Il existe par ailleurs de multiples fournisseurs de services (Internet Service Provider) qui permettent accès au réseau INTERNET par l'intermédiaire du réseau téléphonique commuté. La station de travail, pour se connecter à un serveur INTERNET, est raccordée à un modem qui appelle un numéro de téléphone spécifique de 11SP. LISP dispose sous ce numéro appelé d'une batterie de modems capables de décoder le flot de donnée issues de la station de travail distante. Ils sont eux-mêmes raccor dés à un proxy qui va attribuer au hasard une adresse disponible appar tenant au domaine de IISP, afin de faire l'appel du serveur INTERNET. L'adresse IP reçue par le serveur INTERNET distant est une adresse qui change à chaque connexion, ce qui rend l'identification de la station de travail d'appel impossible. Cependant, les ISP identifient les abonnés par un nom et un mot de passe qui va les autoriser d'utiliser leurs services. L'organe de contrôle d'accès comprend les composants suivants a- Un logiciel d'interrogation logicielle capable d'appeler par une transaction HTTP successivement les serveurs officiels, RIPE (Eu rope), et en cas d'échec APNIC (Asie), puis ARIN (Amérique), avec l'adresse IP à identifier. Les différents répertoires renvoient une page codée au for mat HTML qui contient le nom de domaine et les adresses min. et max. du domaine. Ce logiciel est capable de dépouiller le texte contenu dans ces pages pour en extraire : - le nom de domaine - l'adresse minimum du domaine - l'adresse maximale du domaine - le pays ou ce domaine a été déclaré Exemple - Illinois-inst-of-tech; 216.047-128.000-.216-047.159.255; Illinois Institude of Technology; USA b- Un logiciel de gestion de cache ; lors de l'appel des ser veurs RIPE, APNIC ou ARIN, il enregistre les trois informations ci dessus en table, qu'il trie par adresse minimale décroissante. En effet certains domaines incluent des domaines plus petits. La recherche en table se fait par dichotomie, et les adresses étant triées par ordre décroissant, le plus petit domaine inclus dans un domaine plus grand sera identifié en pre mier. c- Un logiciel qui est appelé à chaque entrée HTTP, et qui explore en premier lieu le cache ci dessus décrit, et en cas d'échec appelle le logiciel d'interrogation. Puis ayant identifié le domaine, va explorer son fichier interne d'autorisation: Domaine INTERNET: L'adresse IP est discriminante, elle est soit autorisée soit interdite. Domaine INTRANET: Si le domaine est autorisé, le logiciel exploite l'en-tête HTTP-X-FORWARDED-FOR: 194 3 117 143 qui a été garnie par le Proxy, et qui permet d'identifier l'appelant par son adresse dans le domaine privé. Si cette information est absente (Le proxy n'a pas été configuré pour la fournir), l'appel ne peut pas être identifié. Seul les appels issus du Proxy seront autorisés Domaine ISP: LISP peut renseigner une directive identique à la précédente qui fournit l'identification de l'abonné. Cette directive si tuée dans l'en-tête HTTP est variable selon les ISPs. L'appel ne peut être identifié que si elle est présente. Par exemple WANADOO exploite l'en-tête X-FT-ID-Client: identification du client . Dans tous les cas ce logiciel renseigne une variable globale exploitable par le serveur HTTP qui donne le nom du domaine, le pays (utile pour définir la langue), l'identification de la station de travail, et un indicateur d'autorisation ou d'interdiction. d- Un logiciel de trace qui trace tous les appels et leur iden tification a des fins de contrôle ou de facturation. DESCRIPTION DES OPERATIONS l/ La page principale du serveur lance l'exécution d'un CGI, qui va en chaîner les opérations. Il exécute en premier lieu le logiciel c. 2/ Le logiciel c va exploiter le cache géré par le logiciel b. Ce cache est primitivement vide, il se garnit dynamiquement. 3/ En cas d'échec, il va appeler le logiciel a, qui se charge d'explorer suc cessivement les répertoires Européens , Asiatiques et Américains. 4/ Le logiciel c va ensuite garnir les variables globales, qui vont permettre à l'application située sur ce serveur de connaître l'identification de l'appelant (Domaine, Identification de la station de travail, pays). Si l'authentification est réussie, il explore un fichier d'autorisation (Black list) et d'interdiction (Red list) des appelants autorisés. En cas de suc cès il renvoie une page HTML qui va enchaîner sur le browser de la station de travail l'entrée sur le serveur. (Link: URL ou META http- equiv=refresh Content= 0; URL= url d'entrée sur le serveur . En cas d'échec il va interdire accès au serveur. REVENDICATIONS 1') Organe de contrôle d'accès sur Internet, caractérisé en ce qu' il comprend un dispositif d'identification de l'adresse de l'appelant, un dispositif dynamique de mémorisation des domaines, un module logiciel qui contrôle les droits du domaine appelant à chaque appel du serveur. 2') Organe de contrôle d'accès sur Internet selon la revendication 1, caractérisé en ce que le dispositif d'identification est relié directement aux serveurs qui contien nent la totalité des domaines Internet et exploitent directement ces ser veurs officiels des domaines (RIPE, APNIC, ARIN). 3") Organe de contrôle d'accès sur Internet selon la revendication 1, caractérisé en ce qu' il comprend un moyen de mémorisation des domaines sous la forme d'un cache ou d'une base de données dynamique qui enregistre des segments appartenant à un domaine déterminé. 4') Organe de contrôle d'accès sur Internet selon la revendication 1, caractérisé en ce qu' il comporte un logiciel résidant dans le serveur contenant les informations à protéger. 5') Organe de contrôle d'accès sur Internet selon la revendication 1, caractérisé en ce que l'organe de contrôle comporte un logiciel résidant sur un serveur intermé diaire qui protège les abonnés du domaine pour l'accès à l'information externe. 6') Organe de contrôle d'accès sur Internet selon la revendication 2, caractérisé en ce qu' il explore automatiquement la réponse (HTML) des serveurs pour former une table des domaines. 7') Organe de contrôle selon la revendication 1, caractérisé en ce qu' il comprend un moyen de facturation, un moyen de déclenchement d'alarme et un moyen d'établissement de statistiques.