Brevet FR2808147A1 — publié le 20011026

Le secteur technique de la présente invention est celui systèmes d'échanges d'informations sécurisées en temps réel sur Internet. Pour plus de clarté on définira la notion de système Internet de la manière suivante. I1 agit d'un moyen constitué d'un ordinateur relié au reseau Internet capable de recevoir et de traiter des demandes d'informations spécifiques dénommé ci-après serveur, d'un ensemble d'ordinateurs reliés par le réseau au serveur, effectuant ces demandes et traitant les réponses, dénommés ci-après clients, et un support physique permettant le transfert des données numériques des clients au serveur dénommé ci-après le réseau Internet. La notion de temps réel doit être comprise la manière suivante. Un traitement en temps réel s'entend de l'ensemble des traitements effectués dynamiquement dès réception du phénomène déclencheur en opposition à la notion de regroupement d'instructions pour traitement ultérieur. Actuellement, les systèmes d'échanges d'information sont principalement sensibles à trois types d'actions malveillantes SATURATION sont des attaques visant à saturer les serveurs jusqu ' cessation forcée de leur activité (sabotage . INTERCEPTION A partir d'une interception/analyse/interprétation, les attaquants peuvent reproduire une séquence logique induisant des actions logiques de comportements injustifiés, aussi bien au niveau du client que du serveur (espionnage). USURPATIONS usurpations d'identité permettent à des acteurs malveillants d'effectuer des opérations en lieu et place d'un autre acteur (vol). Des exemples récents dans l'actualité sont venus semer le trouble dans la solidité et la fiabilité systèmes mis en place. Le but de la présente invention est de fournir système interactif d'échanges d'informations apte à eliminer les actions d'attaques par saturation et les actions d'attaques par interception de données évoqué dessus. Les usurpations d'identité, sous la responsabilité stricte du client, ne sont pas prises en compte dans la présente invention. L'invention a donc pour objet un système interactif permettant à un client d'émettre des informations en recevoir au cours d'opérations de dialogue temps réel avec au moins un automate logique de communication, caractérisé en ce qu'il comprend - au moins un module client permettant au client de se connecter en temps réel et en toute sécurité, - au moins un serveur logique d'identification du client (SLIC) et de sa demande, - au moins un serveur logique de transaction (SLT) permettant au client de transmettre et recevoir des données de manière sécurisée dans le cadre d'une application spécifique en temps réel, - au moins un serveur d'authentification (SLA) permettant de vérifier la qualité du client, - un organe de supervision (SUL) auquel les différents serveurs sont connectés pour faire dialoguer en temps réel les différents serveurs apres identification du client. I1 faut comprendre que par client on désigne ensemble d'instructions qui est livré à un client personne physique désirant participer à une opération. Selon une réalisation particulière, les relations entre le client et le ou les serveurs sont structurés en plusieurs niveaux de protection utilisant le polymorphisme dynamique des protocoles de communication, la résolution dynamique du port d'écoute, la protection en couche par l'intermédiaire des analyses formelles et logiques afin d'interdire toute attaque saturation et toute attaque par interception. Selon réalisation particulière, les applications specifiques sont constituées par la vente aux enchères, actions en bourse ou les jeux du type casino. Avantageusement, les communications clients/serveur sont sans risque interception valide et le serveur ne peut être arrêté une tentative de sabotage de type saturation. Plus particulièrement, le serveur SLIC est configuré pour écouter sur un port, spécifique à l'application, selectionné de manière aléatoire. Le serveur SLIC donc structuré pour analyser le formalisme des informations reçues ainsi que la qualité des dites informations, pour éliminer instantanément toute tentative de communication en dehors des normes et pour déterminer en collaboration avec le serveur SUL et le serveur SLA, les futures normes de communications pour les serveurs SLT. Le client approuvé pourra alors communiquer avec le serveur par l'intermédiaire d'un serveur SLT. Le protocole de communication régissant l'interaction serveur/client utilisé par le serveur SLT aura été déterminé par le serveur SLIC, le serveur SUL et le serveur SLA. Aucun client connecté au serveur n'utilisera un protocole identique et toute cette procédure est transparente pour le client. Dans le cadre par exemple d'une application ventes aux enchères en temps réel, le serveur SLT relié à un serveur de gestion des offres et à serveur gestion de catalogues, le serveur SLA est relié à base de données clients et à un serveur vérification bancaire, le serveur SLIC est relié à serveur client. Les avantages du système dans le cadre d'attaques de type INTERCEPTION sont - résolution dynamique du port d'écoute serveurs déterminé par le serveur SLIC et agresseurs savent jamais où écouter, - polymorphisme dynamique des protocoles de communication entre le client et le serveur, - l'organisation physique des données n'est jamais identique d'un client à l'autre et peut varier manière aléatoire au cours d'une même cession. Les informations transmises bénéficient permanence d'une triple protection caractérisée par - une réorganisation interne des bits, - une réorganisation physique des données logiques - un cryptage classique. Ce triple niveau de protection garantit une inviolabilité quasi parfaite. Sachant qu'il n'existe pas de code inviolable, ce système permet de garantir qu'un code percé, ne peut l'être que quelques secondes et que l'effort en terme de puissance de calcul et de délai fourni pour le trouver est toujours infiniment supérieur à son délai de validité. I1 existe un dernier niveau de protection logique utilisé qui consiste à ne jamais transmettre une information en clair, mais seulement des identifiants de ces références, ce qui interdit l'utilisation d'automates de décryptage (transfert des données sous forme de langage compilé) Les avantages du système dans le cadre d'attaques de type SATURATION sont multiples - système de protection par couches, - quelles que soient nature de la transaction et la typologie du serveur logique concerné, chaque message est analysé, de manière formelle et de manière logique. L'analyse formelle fait en fonction du polymorphisme dynamique protocoles. Le principe de base protection est toujours le même : le rapport de puissance de calcul et le temps nécessaire à un intrus pour essayer de pénétrer le système par rapport à puissance de calcul et au délai nécessaire au serveur pour détecter et rejeter l'intrus doit être de l'ordre de 1/500 000. L'analyse logique fait suivant des critères classiques (mots de passe, identifiants) avec une corrélation en temps réel auprès d'organismes officiels par le biais du serveur Dans l'hypothèse de violation d'une couche de protection par un intrus, l'effort nécessaire pour percer la suivante est minimum égal à l'effort pour percer la première, souvent supérieur, dû au faux apprentissage du premier décryptage, toujours différent du suivant. Sachant que le polymorphisme dynamique des protocoles fait que la validité d'une clé est de l'ordre de 3 secondes et que cette clé est directement liée à la nature du message transmis, un intrus, disposant d'une puissance de calcul infinie, doit être capable de percer la nature d'un message au mieux en 80 ms et au pire 1 ms (cela dépend directement de la distance à parcourir). D'autres caractéristiques, détails et avantages l'invention ressortiront plus clairement de description donnée ci-après à titre indicatif en relation avec des dessins sur lesquels - la figure 1 illustre le synoptique d'organisation générale du système, - la figure 2 illustre la gestion des échanges avec un serveur de type SLIC, - la figure 3 illustre la gestion des échanges avec un serveur de type SLT, - figure 4 illustre la gestion des échanges au niveau client, et - figure 5 illustre l'activité du serveur SUL. la figure 1, on a représenté les clients 1, Ci, Cn susceptibles de se connecter au serveur 2 exemple par le réseau Internet. Chaque opérateur peut donc interroger le serveur 2 en temps réel comme expliqué précédemment et passer des ordres, poser question, effectuer une transaction, etc.... Le serveur 2 est connecté aux serveurs logiques, à savoir au serveur SLIC 3, au serveur SLT 4, au serveur SLT 5, au serveur SLM 6- et au serveur SLA 7. serveurs logiques 3-7 sont en communication avec serveur superviseur logique SUL 8. Les liaisons entre les différents serveurs sont régies comme précédemment indiqué et illustré et cet ensemble constitue un automate logique de communication. Sur la figure 2, on a illustré le schéma d'organisation d'un serveur SLIC où on voit qu'à réception d'une demande d'identification client 1 exemple, ce serveur SLIC est structuré pour effectuer les opérations suivantes 1) une première analyse de formalisme ), en cas d'échec le client est impérativement déconnecté (24). 2) Apres validation du formalisme, analyse d'identité alors effectuée (3). En cas d'échec, le client est impérativement déconnecté (24). 3) Après validation de l'identité, l'analyse des informations du client (4) suivra le même principe - dans le cas d'un échec le client est impérativement déconnecté (24), - dans cas contraire, une demande d'autorisation de connexion est envoyée au superviseur (5) qui vérifiera auprès de chaque serveur SLT son taux de charge (6). 4) En de saturation le serveur SUL analysera l'état du système (8), il cherchera à réorganiser les serveurs de type serveur SLT (9) afin de pouvoir permettre la connexion de nouveaux clients. 5) Pour cela il va tenter de libérer les connections mortes ou dans le pire des cas déconnecter les simples visiteurs (14). En cas d'échec, il affinera ses critères jusqu'à trouver une solution ou refuser la connexion, pour ce faire 6) il activera un -contrôleur (20) chargé de vérifier le nombre de tentatives à effectuer (22), si aucune solution n'est trouvée, 7) le contrôleur désactivera le programme de recherche de solution (21) et renverra un message au superviseur (5) qui informera le client de la saturation système et le déconnectera (24). 8) Si système n'est pas saturé, il réservera une adresse (1 pour la future connexion sur le serveur de transaction, il déterminera le futur protocole à utiliser (11) et le futur port d'écoute (12), enfin il préparera la configuration de l'environnement (13) de la future connexion. 9) Deux processus seront alors lancés simultanément: 9.1) premier processus est une préparation à réception futures transactions sur les serveurs type SLT ( et un programme d'écoute sur le port l'adresse déterminée en utilisant le protocole protection choisi est alors lancé. Un contrôleur alors informé de ce lancement (17) et pendant un laps de temps assez court (1 s) le contrôleur va vérifier le client se connecte au serveur SLT suivant les modalités prédéterminées. Le contrôleur anti-saturation est activé (18), et donnera l'ordre au contrôleur d'écoute de cesser son activité si le délai imparti est dépassé ). 9.2) deuxième processus est un regroupement et une mise forme de l'ensemble de ces informations ainsi que des informations complémentaires spécifiques à l'activité de l'application dédiée (7) par exemple des données sur un lot actuellement en vente dans le cadre d'une vente aux enchères. Ces informations sont ensuite transmises au client, qui devra en accuser bonne réception et compréhension (28). Si le client n'est pas capable de comprendre l'ensemble informations transmises une déconnexion forcée alors effectuée (24). Dans le cas contraire, un ordre de déconnexion est alors envoyé au client (25). 10) si cet ordre est correctement interprété le client initialisera alors une procédure au serveur SLT suivant les modalités spécifiées (27) sinon le module client cessera son activité (26). Sur la figure 3, on a schématisé le mode de fonctionnement et la structure du serveur SLT. On comprend qu'à la réception d'une demande d'identification client (1), le SLT réalise 1) première vérification de l'identité du client (2), cas de non reconnaissance une déconnexion 5 forcée est effectuée (8), 2) client identifié, une analyse du formalisme (3) rapport au formalise attendu (déterminé lors la connexion au SLIC) va donner lieu soit à déconnexion forcée (8) si le formalisme n'est pas 10 correct soit à 3) 'analyse détaillée de l'identité du client (4) En cas d'échec, le client est impérativement déconnecté (8). Puis ces vérifications étant menées à bien, 4) analyse de la demande du client est alors 15 effectuée (5). Dans le cas d'une demande non standard le client est automatiquement déconnecté (8). Si demande du client est valide, le serveur SLT va 5) vérifier que la réservation est parfaitement valide (6) (comparaison entre la demande du client et 20 les informations mémorisées par le contrôleur anti- saturation). Si la réservation est reconnue valide, le controleur anti-saturation (9) va 6) se charger de libérer la réservation, désactiver l'écoute spécifique, informer le superviseur de cette 25 connexion... (10), 7) le message contenant les informations demandées est alors préparé (7) puis transmis au client (11), 8) lors de cette préparation une requête adressée au contrôleur de protocole pour vérifier 30 les normes de communications doivent changer (12). Le cas echéant des références aux nouvelles normes sont alors incluses dans le message de retour. la connexion n'est pas reconnue valide, le client sera déconnecté. Sur la figure 4, on a schématise l'organisation la structure du serveur client et les opérations déroulent de la manière suivante. Lors de la connexion le client va s'identifier (1) auprès d'un serveur SLIC (3) qui transfère les données caractérisant ce client (2), 1) soit la connexion est brutalement interrompue, car le serveur SLIC ne reconnaît pas le client comme valide, 2) soit serveur SLIC demande au client de se déconnecter ) car il est déjà surchargé, ce donnera lieu une déconnexion définitive (5), 3) le serveur SLIC transmet au client un certain nombre d'informations (6) qui lui permettront de connecter au serveur SLT. Le client se déconnecte alors du serveur SLIC, pour se connecter au serveur SLT en fonction des nouveaux paramètres (8), 4) une nouvelle phase d'identification est alors activée (9). Le client demande la prise en compte de la réservation effectuée préalablement avec le serveur SLIC (10), 5) le serveur SLT effectue la vérification de l'ensemble des informations transmises tant au niveau de la réservation qu'au niveau des protocoles de protection utilisés (11), et, soit le client est rejeté par une déconnexion forcée ou par un ordre de déconnexion ) qui donnera lieu à une déconnexion définitive , soit le client est accepté (13) et 6) le serveur initialise alors la partie transactionnelle (14) qui durera jusqu'à la demande de déconnexion du client (15) qui donnera lieu à 7) une validation de cette demande auprès du serveur SLT 6) qui transmettra l'ordre de déconnexion définitive Sur figure 5, on a schématisé l'organisation serveur pour représenter la phase de traitement l'information délivrée par le serveur SLIC. 1) Le serveur SLIC (1) se connecte au serveur pour vérifier la qualité du client, déterminer protocoles de communications (3), activer réservation automatique (7) pour les serveurs SLT (5), transmettre les informations nécessaires à la gestion de la saturation, 2) le serveur SUL interroge le serveur SLA (4) (module toujours spécifique) pour déterminer la qualite du client et en informer le serveur SLIC (1) et serveurs SLT (5), 3) serveur SLA (4) est un module spécifique qui permet déterminer si le client est reconnu comme valide non (ex : centre autorisation carte bleue), 4) les serveurs SLT (5) se connectent au serveur SUL pour vérifier la qualité du client, déterminer les protocoles de communications (3), transmettre les informations nécessaires à la gestion de la saturation, 5) le serveur SUL gère l'activation et désactivation des contrôleurs (écoute (2), protocole (3), anti-saturation (6)) afin de préserver l'intégrité du système et pour assurer- la pérennité du service fonction des informations transmises par le serveur SLIC et les serveurs SLT. REVENDICATIONS 1. Système interactif permettant à un client d'émettre des informations et d'en recevoir au cours d'opérations de dialogue en temps réel avec au moins un automate logique de communication, caractérisé en ce qu'il comprend - au moins un module client permettant au client de se connecter en temps réel et en toute sécurité, - au moins un serveur logique d'identification du client (SLIC) et de sa demande, - au moins un serveur logique de transaction (SLT) permettant au client de transmettre et recevoir des données de manière sécurisée dans le cadre d'une application spécifique en temps réel, - au moins un serveur d'authentification (SLA) permettant de vérifier qualité du client, - un organe de supervision (SUL) auquel les différents serveurs sont connectés pour faire dialoguer en temps réel différents serveurs après identification du client. 2. Système interactif selon la revendication 1, caractérisé eu ce que relations entre le client et le ou les serveurs sont structurées en plusieurs niveaux de protection utilisant le polymorphisme dynamique des protocoles de communication, la résolution dynamique du port d'écoute, la protection en couche par l'intermédiaire des analyses formelles et logiques afin d'interdire toute attaque par saturation et toute attaque par interception. 3. Système interactif selon la revendication 1 ou 2, caractérisé en ce que serveur SLIC est configuré pour écouter sur un port, spécifique à l'application, sélectionné de manière aléatoire et est structuré pour analyser le formalisme informations reçues ainsi que la qualité des dites informations, et pour éliminer instantanément toute tentative de communication en dehors des normes et pour déterminer en collaboration avec le serveur SUL et le serveur SLA, les futures normes de communications pour les serveurs SLT. 4. Application spécifique système interactif selon l'une quelconque des revendications 1 à 3 à la vente aux enchères, aux actions en bourse ou aux jeux du type casino.