Brevet FR2816781A1 — publié le 20020517

PROCEDE ET DISPOSITIF DE SECURISATION D'UN PORTAIL DANS UN SYSTEME INFORMATIQUE La présente invention concerne un procédé et un dispositif de sécurisation d'un portail dans un système informatique, utilisant sans le modifier un annuaire organisationnel existant. L'art antérieur Les systèmes informatiques d'entités telles que des entreprises, des universités, des administrations publiques... comprennent très souvent un annuaire définissant des personnes physiques, groupes de personnes, unités organisationnelles ou autre appartenant à ladite entité. L'annuaire mentionne une désignation desdites personnes, une localisation, un rôle dans ladite entité et/ou toute autre caractéristique. De plus en plus, les entreprises souhaitent sécuriser leur système informatique et notamment l'utilisation par leurs employés du réseau de la toile ou d'un réseau particulier de machines pour accéder audit système. Or, les dispositifs actuels offerts pour sécuriser des systèmes informatiques nécessitent une modification de l'annuaire existant pour y insérer des données de sécurité. La mise en place d'un dispositif de sécurité dans un système informatique requiert très souvent une analyse complète et lourde de l'annuaire existant ainsi qu'une redéfinition des utilisateurs et de leur organisation dans ledit annuaire. L'installation du dispositif de sécurité est coûteuse en temps et en argent. De plus, la modélisation de la sécurité influe sur la constitution du système informatique et notamment sur l'annuaire existant : des mécanismes de sécurisation renforcés de l'annuaire en lui-même doivent "- être ajoutés. Le champ d'utilisation dudit annuaire par les utilisateurs s'en trouve réduit. Un problème posé par la présente invention porte sur la modification de l'annuaire existant d'un système informatique lors de la sécurisation dudit système. Un but de la présente invention consiste à gérer la sécurité d'un système informatique en préservant l'annuaire organisationnel existant dudit système. Un but de la présente invention consiste à installer un dispositif de sécurité dans un système informatique de manière automatique sans intervenir sur les composants du système, à savoir de proposer une solution plug & play d'installation automatique. Résumé de l'invention Dans ce contexte, la présente invention propose un procédé de sécurisation d'un système comportant au moins une machine cliente et au moins une machine serveur, un annuaire organisationnel existant répertoriant une entité à l'aide d'une désignation unique, caractérisé en ce qu'il consiste, à créer un annuaire de sécurité dans lequel sont stockées des données de sécurité et/ou à réception d'une requête d'une entité par une machine serveur, à rechercher dans ledit annuaire de sécurité les données de sécurité relatives à ladite requête et à ladite entité à partir de la désignation unique de ladite entité retrouvée dans l'annuaire. La présente invention concerne également le système de mise en oeuvre dudit procédé, des applications dudit procédés, le programme mettant en oeuvre ledit procédé. Présentation des figures D'autres caractéristiques et avantages de l'invention apparaîtront à la lumière de la description qui suit, donnée à titre d'exemple illustratif et non limitatif de la présente invention, en référence aux dessins annexés dans lesquels : - la figure 1 est une vue schématique d'une forme de réalisation du système selon l'invention ; - la figure 2 représente un exemple d'annuaire organisationnel existant du système représenté sur la figure 1 ; - la figure 3 est un premier exemple de classement de données de sécurité du système selon la présente invention représenté sur la figure 1 ; - la figure 4 est un deuxième exemple de classement de données de sécurité du système selon la présente invention représenté sur la figure 1. Description d'une forme de réalisation de l'invention Le système informatique peut être un système dont l'environnement est de type distribué ou local. Comme le montre la forme de réalisation du système selon l'invention illustrée sur la figure 1, le système 1 est distribué et composé de machines 2a, 2b, 2c, 2d, 2e, 2f, 2g, 2h organisées en un ou plusieurs réseaux 3. Une machine 2 est une unité conceptuelle très large, de nature matérielle et logicielle. Les machines peuvent être très diverses, telles que par exemple des stations de travail, serveurs, routeurs, machines spécialisées, téléphones ou passerelles entre machines. Seuls les composants des machines 2 du système 1 caractéristiques de la présente invention seront décrits, les autres composants étant connus de l'homme du métier. Comme le montre la figure 1, dans la présente invention, le système 1 est un système informatique comprenant au moins une machine 2a dite machine 4 cliente, au moins une machine 2b de sécurisation appelée passerelle 5 de sécurisation, au moins une machine 2c dite machine 6 serveur. La passerelle 5 de sécurisation est accessible par la machine 4 cliente et 6 serveur : elle est placée entre ces deux machines pour intercepter et traiter toutes les requêtes provenant des machines 4 cliente et adressées aux machines 6 serveur. Le système 1 comprend des machines 2d ressource appelées ressources 7 auxquelles souhaitent accéder les machines 4 cliente sur requête d'entités 8 appelantes. Les ressources 7 sont accessibles par la machine 6 serveur et gérées par ladite machine. Le système 1 comporte des moyens 9 d'enregistrement et de traitement d'accès d'un annuaire 10 organisationnel dans lequel les entités 8 du système 1 sont répertoriées et enregistrées. Dans la forme de réalisation illustrée sur les figures 1 à 3, les moyens 9 de mémorisation comprennent un disque dans une machine 2e, la machine 2e étant connectée à la passerelle 5. Selon une autre forme de réalisation, les moyens 9 de mémorisation comprennent une mémoire dans la passerelle 5 de sécurité. Dans la forme de réalisation illustrée, les entités 8 appelantes sont des utilisateurs (personnes physiques) du système ; les utilisateurs 8 sont classés dans l'annuaire 10 selon leur localisation géographique, comme le montre la figure 2. Ainsi, par exemple, l'utilisateur Marc Dupont est localisé à Lille, en France. La passerelle 5 accède à l'annuaire 10 organisationnel par le protocole LDAP (Leightweight Directory Access Protocol) ou par tout protocole équivalent. Un protocole équivalent au protocole LDAP est un protocole pour lequel l'annuaire accédé présente des caractéristiques similaires. Les caractéristiques du protocole LDAP ou d'un protocole équivalent sont les suivantes : - les données sont stockées dans des unités de stockage ; - les données sont organisées de manière à être accessibles lors d'une création, d'une recherche, d'une modification ou d'une suppression ; - une unité de stockage est identifiée de manière unique à travers un identifiant ou un nom ou autre. De manière détaillée pour l'exemple illustré, les caractéristiques d'un annuaire accédé par LDAP sont les suivantes : - Les données sont organisées de manière hiérarchique. Sous une racine unique (France sur la figure 2) dérivent des branches . A chaque noeud , on peut trouver soit d'autres branches, soit des feuilles". - L'unité de stockage est appelée une entrée LDAP 11 (en anglais entry"). L'entrée 11 LDAP est soit un noeud, soit une feuille. Sur la figure 2, une entrée 11 LDAP est représentée par un rectangle. -# A une entrée LDAP est associé un certain nombre d'informations qui lui sont propres ; ces informations sont appelées les attributs de l'entrée (en anglais, attribute ). L'annuaire contient un attribut identifiant de manière unique chaque utilisateur : l'identifiant unique. L'identifiant unique correspond dans l'exemple illustré à la première lettre du prénom accolé au nom de l'utilisateur 8 : MDupont pour Marc Dupont. lu Une entrée 11 est identifiée de manière non ambiguë par l'intermédiaire d'un nom unique, appelé le dn (nom distinctif- distinguished name). Le dn de Marc Dupont sur la figure 2 est le suivant : Dn=Marc. Dupont/Lille/France Le nom unique dépend de l'organisation de l'annuaire. Si l'organisation change (la filiale de Lille disparaît), le nom unique de l'entrée concernant par exemple Marc Dupont change : Dn=Marc. Dupont/Paris/France. En revanche, l'identifiant unique de Marc Dupont reste inchangé : MDupont. Le système 1 comporte des moyens 12 d'enregistrement et de traitement d'accès d'un annuaire 13 de sécurité. Dans la forme de réalisation illustrée sur les figures 1 à 3, les moyens 12 d'enregistrement comprennent un disque dans une machine 2f, la machine 2f étant connectée à la passerelle 5. Selon une autre forme de réalisation, les moyens 12 d'enregistrement comprennent une mémoire dans la passerelle 5 de sécurité. Selon une autre forme de réalisation, les moyens 12 d'enregistrement correspondent aux moyens 9 de mémorisation. Les données de sécurité sont enregistrées sur un même support physique que les données existantes concernant les entités 8. Les données de sécurité sont séparées logiquement des données existantes. Par exemple, les données de sécurité se trouvent toutes dans une unique branche rattachée à l'annuaire existant. Quelque soit le support physique et la forme logique utilisée, les données sont dites stockées dans l'annuaire 13 de sécurité sachant que l'annuaire de sécurité peut revêtir la forme d'une branche rattachée à l'annuaire existant sur un même support physique. L'annuaire 13 de sécurité est dans la forme de réalisation illustrée, accédé par LDAP. Dans la forme de réalisation illustrée sur la figure 3, les informations collectées dans l'annuaire 13 de sécurité sont : une ou des informations de correspondance (mapping en anglais) entre des adresses sur la toile, appelés URL (Uniform Resource Locator - localisateur de ressources uniformes) requis par l'utilisateur et des URL protégés par la passerelle 5 de sécurisation : les informations de correspondance ont pour but de cacher les URLs internes réels des machines serveur aux machines cliente. Les adjectifs interne et externe qualifient la position d'une machine par rapport à la passerelle 5. En amont de la passerelle 5, aucun dispositif de sécurité n'est présent et les machines sont externes (au dispositif de sécurité). En aval de la passerelle 5, les machines 2 sont protégées par la passerelle 5 qui intercepte et traite la sécurité de requêtes externes provenant de machines externes : les composants du système sont qualifiés d'internes. Par exemple, comme le montre la figure 3, les informations de correspondance indiquent que l'URL requis http : //www. portail. com/supp correspond à l'URL protégé http ://www. portail. supp. com/ . L'adresse http ://www. portail. com/"est l'URL de la passerelle 5 de sécurité : les requêtes de l'utilisateur 8 sont dirigées vers la passerelle 5 alors que l'utilisateur pense se connecter au serveur supp de l'application de support. L'URL de la machine serveur contient l'URL de la passerelle 5 sans que l'utilisateur 8 n'en soit conscient. En tapant l'URL http ://www. portail. com/supp , l'utilisateur croit se connecter directement à la machine serveur supp gérant l'application support alors qu'en fait, il se connecte à la passerelle ayant pour URL http ://www. portail. com/ . une ou des collections d'URL : dans l'exemple illustré, les collections d'URL indique par des attributs de lien appropriés l'existence d'une liste de contrôle d'accès sur l'application dont l'URL est protégé. Dans l'exemple décrit, les collections d'URL sont définies par compréhension : les URL d'une même collection sont caractérisés par une expression régulière. Par exemple (figure 3), tous les URL caractérisés par l'expression régulière http ://www. portail. supp. com/documents/licenses/*' > dans laquelle * représente un ou plusieurs caractères de tout type, font partie d'une même collection. L'URL protégé http ://www. portail. supp. com/ documents/licenses/ fait partie de ladite collection. Les URL d'une même collection dispose des mêmes droits d'accès sur des applications. Toujours dans l'exemple décrit, l'entrée correspondant à la collection http ://www. portail. supp. com/documents/licenses/* comporte un attribut de lien vers l'application support, l'application support comportant un attribut de lien vers la liste de contrôle d'accès sur ladite application : il existe une liste de contrôle d'accès sur l'application support. une ou des listes de contrôle d'accès : les listes de contrôle d'accès enregistrées (ACLs sur les figures 3 et 4) dans les moyens 12 d'enregistrement indiquent des droits d'accès d'utilisateurs 8 sur des machines 6 serveur. Dans la forme de réalisation illustrée, la liste de contrôle d'accès comprend une liste d'identifiants et dn d'utilisateurs 8 ou de dn de groupes. Une base de comptes sur des applications : les comptes stockent des identifiants et dn d'utilisateurs ainsi que des noms de connexion (logis dans le langage informatique courant) et des mots de passe propres aux utilisateurs 8 pour accéder aux applications concernées. Une entrée est créée par application. Dans chaque application, une entrée regroupe les informations nécessaires sous forme d'une liste d'attributs. et/ou toute autre information nécessaire à la mise en place d'une sécurisation. Dans l'exemple illustré sur la figure 2, des groupes rassemblent des utilisateurs 8 ayant des privilèges similaires. Un privilège est un attribut de sécurité d'un utilisateur 8 pour permettre le contrôle d'accès de ce dernier à une machine 6 serveur. Par exemple (figure 2), un utilisateur tel que Adrien Loc se voit attribuer le privilège de groupe-résa", privilège qui l'autorise à accéder à l'application de réservation. Le système 1 comprend une machine 2g d'administration appelée console 14 d'administration des utilisateurs, permettant de saisir, modifier, supprimer, rechercher les utilisateurs et des groupes auxquels ils appartiennent et une machine 2h d'administration appelée console 15 d'administration de la sécurité, permettant de saisir, modifier, supprimer, rechercher les données de l'annuaire 13 de sécurité. Selon une forme particulière de réalisation du système selon l'invention, les machines 2 appartiennent au réseau de la toile. La machine 2a cliente comprend un logiciel 15 de navigation au travers duquel l'utilisateur 8 émet ses requêtes vers un site du réseau de la toile. Le point d'entrée vers un ensemble de sites donnés est appelé un portail. Le portail fournit une page sur la toile dans laquelle le propriétaire du site organise et présente les informations dudit site de manière personnalisée. Une page sur la toile (couramment appelées dans la littérature informatique page Web) est un document informatique tel que par exemple un fichier de texte, une image, une vidéo, dans lequel ont été insérés des codes spéciaux (les balises) contrôlant la structure, l'apparence, le comportement dynamique, etc., de la page dans des logiciels de navigation sur la toile (couramment appelés dans la littérature informatique navigateur Web). Un logiciel de navigation sur la toile est un logiciel utilisé pour présenter un document à un utilisateur, et pour suivre les relations établies entre ce document et d'autres documents au moyen de liens sur la toile. La passerelle 5 sécurise les portails des sites des machines 6 serveur en interceptant et traitant les requêtes provenant des machines 4 cliente. Le procédé selon la présente invention se déroule de la manière suivante dans le système informatique illustré sur les figures 1 à 4. Il est à noter que le procédé est susceptible d'être utilisé dans tout autre système. La première étape consiste à constituer l'annuaire 13 de sécurité dans le système 1 informatique. Les informations de correspondance, les informations relatives aux collections d'URL protégées et les listes de contrôle d'accès (ACLs) sont directement saisies par un utilisateur administrateur 8bis à partir de la console 15 d'administration de la sécurité. La passerelle 5 recherche dans l'annuaire 10 organisationnel l'identifiant et le dn de l'utilisateur 8 concerné nécessaires pour classer les données de sécurité dans l'annuaire 13 de sécurité. Dans l'exemple illustré sur la figure 2, l'administrateur 8bis saisit à partir de la console 14 d'administration les données suivantes : la correspondance entre l'URL externe http ://www. portail. com/supp)) et l'URL interne protégé http ://www. portail. supp. com/ ainsi que la correspondance entre l'URL externe http ://www. portail. com/resa et et l'URL interne protégé http ://www. portail. resa. com/ . - la collection d'URL caractérisée par l'expression http ://www. portail. supp. com/documents/licenses * et celle caractérisée par l'expression http : //www. portail. resa. com/reservation/lancer/ *. Chacune de ces collections d'URL dispose d'un attribut de lien vers une liste de contrôle d'accès. - un liste de contrôle d'accès sur l'application support et une sur l'application reservation. Lorsque l'utilisateur 8 souhaite s'inscrire auprès d'une application donnée, il envoie à la machine 6 serveur gérant ladite application une requête de création de compte. La passerelle 5 de sécurisation intercepte ladite requête de création de compte sur l'application en question. La passerelle 5 de sécurisation transmet à la machine 4 cliente une page dédiée à l'ouverture d'un compte sur l'application concernée. L'utilisateur saisit les informations requises dans ladite page et renvoie la page complétée à la machine 6 serveur à laquelle l'utilisateur souhaite se connecter. La passerelle 5 de sécurisation intercepte ladite réponse, extrait les informations saisies par l'utilisateur 8 et complète l'annuaire 13 de sécurité. Pour ce faire, il commence par rechercher l'utilisateur 8 dans l'annuaire 10 organisationnel, et plus particulièrement son identifiant et son nom distinctif (dn). Il crée une entrée 11 LDAP dans l'annuaire 13 correspondant à l'application dans la branche des bases de compte et une entrée dans la branche des comptes créée correspondant à l'utilisateur 8. L'entrée 11 de l'utilisateur 8 comprend les attributs suivant : - l'identifiant unique de l'utilisateur ( MDupont exemple de la fig. 3) ; - le dn unique de l'utilisateur (Marc. Dupont/Lille/France) ; -le nom de connexion (Dupont) et le mot de passe (tipiti) requis pour accéder à l'application concernée. L'annuaire 13 de sécurité se construit pour partie à son installation et pour partie pendant le fonctionnement du système 1. La passerelle 5 de sécurisation intercepte une requête d'accès d'un utilisateur 8 à un URL protégé. La passerelle 5 vérifie si l'utilisateur 8 s'est authentifié selon le procédé décrit dans la demande de brevet intitulée Procédé et dispositif de gestion d'une authentification dans une communication utilisant HTTP et déposée par le présent déposant le même jour que la présente demande. Si l'utilisateur 8 n'a pas déjà été authentifié, la passerelle 5 de sécurisation requiert l'authentification de l'utilisateur 8 auprès de la machine 2a cliente. La machine 2a cliente présente une fenêtre d'authentification à l'utilisateur 8. L'utilisateur remplit ladite fenêtre en indiquant notamment son identifiant, les informations nécessaires pour former un nom distinctif. Les informations saisies sont renvoyées à la passerelle 5. Lorsque l'utilisateur est authentifié, la passerelle 5 de sécurisation recherche dans l'annuaire 10 organisationnel l'utilisateur 8 authentifié et plus particulièrement son identifiant unique et son nom distinctif. Les requêtes d'accès à un URL indique selon les machines 4 cliente l'identifiant ou le dn de l'utilisateur 8. La prise en compte des deux désignations par le présent dispositif permet de traiter toutes les requêtes provenant de machines 4 cliente. La passerelle 5 vérifie si l'utilisateur 8 fait partie d'un groupe dans l'annuaire organisationnel. La passerelle 5 extrait de l'annuaire 10 organisationnel l'identifiant unique, le nom distinctif de l'utilisateur 8 et le nom éventuel d'un ou de plusieurs groupes auxquels appartient l'utilisateur 8, appelés groupes de l'utilisateur 8. Par exemple, si Adrien Loc souhaite se connecter à l'application de réservation, la passerelle 5 extrait de l'annuaire 10 l'identifiant ALoc, le dn Adrien. Loc/Paris/France, et le groupe groupe-résa. La passerelle 5 recherche dans l'annuaire 13 de sécurité l'information de correspondance attachée à l'URL requis par l'utilisateur. Si l'information de correspondance est inexistante dans l'annuaire 13, la passerelle 5 renvoie une erreur à la machine 4 cliente : l'URL est inexistant. Si l'information de correspondance est présente dans l'annuaire 13, la passerelle 5 récupère l'URL interne protégé correspondante. La passerelle 5 recherche dans l'annuaire 13 de sécurité si l'URL interne récupéré fait partie d'une collection d'URLs protégés par une liste de contrôle d'accès. Si tel n'est pas le cas, la machine 2b considère l'accès à l'URL comme libre et transmet la requête d'accès à l'URL interne récupéré. Si l'URL interne récupéré fait partie d'une collection d'URLs protégés, la passerelle 5 consulte l'attribut de lien vers une liste de contrôle d'accès. La passerelle vérifie l'appartenance de l'utilisateur 8 ou d'un ou de plusieurs groupes de l'utilisateur à la liste de contrôle d'accès sur l'application concernée. Comme vu plus haut, la passerelle a récupéré dans l'annuaire 10 organisationnel l'identifiant et le dn de l'utilisateur 8 ainsi que le dn du ou des groupes de l'utilisateur. La passerelle recherche l'identifiant et le dn de l'utilisateur ainsi que le dn du ou des différents groupes de l'utilisateur, s'il y a lieu, dans la liste de contrôle d'accès de l'application concernée. Dans l'exemple des figures 2 à 4, la passerelle retrouve dans l'annuaire 13 de la figure 3 l'utilisateur Marc Dupont et le groupe groupe-résa de l'utilisateur Adrien Loc, si Marc ou Adrien ont émis des requêtes d'accès respectivement à l'application de support et de réservation depuis une machine 4 cliente. La passerelle 5 en déduit que Marc a le droit d'accéder à l'application de support et Adrien à l'application de réservation sous réserve d'un compte sur lesdites applications. Si la recherche est infructueuse, à savoir que ni l'identifiant ni le dn de l'utilisateur ni le dn d'un groupe de l'utilisateur n'a été retrouvé dans la liste de contrôle d'accès, la passerelle 5 en déduit que l'accès est refusé : une réponse de refus d'accès est immédiatement transmise à l'utilisateur 8 sur la machine 2a. Si la passerelle retrouve l'identifiant ou le dn de l'utilisateur ou le dn du ou des différents groupes de l'utilisateur 8 dans la liste de contrôle d'accès, la passerelle 5 poursuit le traitement de la requête en analysant le compte de l'utilisateur 8 ou du groupe auquel il appartient sur l'application concernée. La passerelle 5 recherche dans la base de comptes la branche correspondant à l'application dont l'URL est protégé : s'il existe un compte pour ladite application, la passerelle 5 recherche dans ledit compte l'identifiant unique ou le nom distinctif de l'utilisateur récupéré dans l'annuaire organisationnel. Si la machine 2b retrouve l'identifiant unique ou le nom distinctif dans la branche de l'application en question, elle extrait de l'annuaire 13 de sécurité le nom de connexion et mot de passe nécessaire pour accéder à ladite application. Si la machine ne retrouve pas de compte direct pour l'utilisateur, elle cherche un compte enregistré au nom d'un groupe de l'utilisateur. Si un tel compte est retrouvé, la machine extrait de l'annuaire 13 de sécurité le nom de connexion et mot de passe nécessaire pour accéder à ladite application (au nom du groupe). Dans l'exemple de la figure 3, sur requête d'accès de Marc Dupont à l'application de support, la passerelle 5 extrait de l'annuaire 13 le nom de connexion Dupont et la mot de passe Tipiti. Dans l'exemple de la figure 4, aucun compte n'est prévu pour le groupe groupe-resa ou pour Adrien Loc. La passerelle transmet le nom de connexion et le mot de passe de l'utilisateur 8 concerné à la machine 6 serveur dont l'URL est protégé suivi de la requête dudit utilisateur. La machine 6 serveur reçoit le nom de connexion et le mot de passe de l'utilisateur et autorise son accès. La passerelle 5 effectue du Single Sign On , à savoir une procédure de connexion unique pour un ensemble d'applications : l'utilisateur s'est authentifié une seule fois ; ses noms de connexions et mots de passe ne sont pas requis à chaque accès à une application. La passerelle mémorise les noms de connexion et mots de passe par application pour l'utilisateur 8. La présente invention propose donc un dispositif et un procédé de gestion de la sécurité dans un système informatique 1 comportant un annuaire 10 organisationnel existant, permettant, à réception d'une requête d'accès d'une entité 8 à une machine 6 serveur du système 1, de créer ou rechercher dans un annuaire 13 de sécurité des données de sécurité attachées à ladite entité 8 sans modifier les données d'annuaire 10 existant. La présente invention concerne donc un procédé de sécurisation d'un système 1 comportant au moins une machine 4 cliente et au moins une machine 6 serveur, un annuaire 10 organisationnel existant répertoriant une entité 8 à l'aide d'une désignation unique, caractérisé en ce qu'il consiste, à créer un annuaire 13 de sécurité dans lequel sont stockées des données de sécurité et/ou à réception d'une requête d'une entité 8 par une machine 6 serveur, à rechercher dans ledit annuaire 13 de sécurité les données de sécurité relatives à ladite requête et à ladite entité 8 à partir de la désignation unique de ladite entité 8 retrouvée dans l'annuaire 10. Le procédé utilise comme désignation unique un identifiant et un nom distinctif. Le procédé consiste à intercepter au moyen de la passerelle 5 toutes les requêtes adressées à la machine serveur par la machine cliente en émettant des requêtes à un URL de la machine serveur contenant l'URL de la passerelle. Les données de sécurité comprennent : au moins une information de correspondance entre un URL requis par l'entité 8 et un URL protégé et/ou au moins une collection d'URL et/ou au moins une liste de contrôle d'accès et/ou au moins un compte sur une application. Le procédé consiste à rechercher dans l'annuaire 13 de sécurité une information de correspondance de la requête concernée, à renvoyer à la machine 4 cliente une erreur si l'information de correspondance est inexistante, à traiter la requête à l'aide de l'URL protégé ou effectuer d'autres recherches de données de sécurité si l'information de correspondance est existante. Le procédé consiste à rechercher dans l'annuaire 13 de sécurité si une liste de contrôle d'accès est attachée à l'application concernée par ladite requête, à considérer l'accès à ladite application comme libre si aucune liste de contrôle d'accès n'est retrouvée, à rechercher l'entité 4 ou un groupe auquel elle appartient dans la liste retrouvée et refuser l'accès à l'application si l'entité et/ou le groupe est absent de la liste, à traiter la requête ou effectuer d'autres recherches de données de sécurité si l'entité et/ou le groupe est présent dans la liste retrouvée. Le procédé consiste à rechercher un compte sur l'application concernée par ladite requête au nom de l'entité 4 ou d'un groupe auquel elle appartient dans l'annuaire 13 de sécurité, à autoriser l'accès à ladite application et à le considérer comme anonyme si aucun compte n'est retrouvé, à traiter la requête avec les données de sécurité du compte retrouvé ou effectuer d'autres recherches de données de sécurité si un compte est retrouvé. La présente invention concerne également un dispositif de sécurisation d'un système 1 comportant au moins une machine 4 cliente et au moins une machine 6 serveur, un annuaire 10 organisationnel existant répertoriant une entité 8 à l'aide d'une désignation unique, caractérisé en ce qu'il comprend une machine 2 et un annuaire 13 de sécurité dans des moyens 12 d'enregistrement, la machine 2 permettant de créer, modifier, supprimer ou rechercher dans l'annuaire 13 de sécurité des données de sécurité en utilisant pour les données de sécurité attachées à l'entité 8 la désignation unique retrouvée dans l'annuaire 10. La machine 2 est une passerelle 5 de sécurité placée entre la machine 4 cliente et la machine 6 serveur qui intercepte toutes les requêtes adressées à la machine serveur par la machine cliente, la machine cliente émettant des requêtes à un URL de la machine serveur contenant l'URL de la passerelle. Le dispositif comprend une console 15 d'administration de la sécurité pour saisir, modifier, supprimer, ou rechercher tout ou partie des données de sécurité dans l'annuaire 13. La présente invention s'applique à la sécurisation d'un portail, la machine 2a comportant un logiciel de navigation au travers duquel l'entité 8 émet des requêtes vers ledit portail. La présente invention s'applique également à une procédure de connexion unique. La présente invention porte sur le programme intégré à une machine 2 d'un système informatique 1 mettant en oeuvre) le procédé selon la présente invention. REVENDICATIONS 1. Procédé de sécurisation d'un système (1) comportant au moins une machine (4) cliente et au moins une machine (6) serveur, un annuaire (10) organisationnel existant répertoriant une entité (8) à l'aide d'une désignation unique, caractérisé en ce qu'il consiste, à créer un annuaire (13) de sécurité dans lequel sont stockées des données de sécurité et/ou à réception d'une requête d'une entité (8) par une machine (6) serveur, à rechercher dans ledit annuaire (13) de sécurité les données de sécurité relatives à ladite requête et à ladite entité (8) à partir de la désignation unique de ladite entité (8) retrouvée dans l'annuaire (10). 2. Procédé selon la revendication 1, caractérisé en ce que qu'il utilise comme désignation unique un identifiant et un nom distinctif. 3. Procédé selon l'une des revendications 1 ou 2, caractérisé en ce qu'il consiste à intercepter au moyen d'une passerelle (5) toutes les requêtes adressées à la machine serveur par la machine cliente en émettant des requêtes à un URL de la machine serveur contenant l'URL de la passerelle. 4. Procédé selon l'une des revendications 1 à 3, caractérisé en ce que les données de sécurité comprennent : au moins une information de correspondance entre un URL requis par l'entité (8) et un URL protégé et/ou au moins une collection d'URL et/ou au moins une liste de contrôle d'accès et/ou au moins un compte sur une application. 5. Procédé selon la revendication 4, caractérisé en ce qu'il consiste à rechercher dans l'annuaire (13) de sécurité une information de correspondance de la requête concernée, à renvoyer à la machine (4) cliente une erreur si l'information de correspondance est inexistante, à traiter la requête à l'aide de l'URL protégé ou effectuer d'autres recherches de données de sécurité si l'information de correspondance est existante. 6. Procédé selon l'une des revendications 4 ou 5, caractérisé en ce qu'il consiste à rechercher dans l'annuaire (13) de sécurité si une liste de contrôle d'accès est relative à l'application concernée par ladite requête, à considérer l'accès à ladite application comme libre si aucune liste de contrôle d'accès n'est retrouvée, à rechercher l'entité (4) ou un groupe auquel elle appartient dans la liste retrouvée et refuser l'accès à l'application si l'entité et/ou le groupe est absent de la liste, à traiter la requête ou effectuer d'autres recherches de données de sécurité si l'entité et/ou le groupe est présent dans la liste retrouvée. 7. Procédé selon l'une des revendications 4 à 6, caractérisé en ce qu'il consiste à rechercher un compte sur l'application concernée par ladite requête au nom de l'entité (4) ou d'un groupe auquel elle appartient dans l'annuaire (13) de sécurité, à autoriser l'accès à ladite application et à le considérer comme anonyme si aucun compte n'est retrouvé, à traiter la requête avec les données de sécurité du compte retrouvé ou effectuer d'autres recherches de données de sécurité si un compte est retrouvé. 8. Dispositif de sécurisation d'un système (1) comportant au moins une machine (4) cliente et au moins une machine (6) serveur, un annuaire (10) organisationnel existant répertoriant une entité (8) à l'aide d'une désignation unique, caractérisé en ce qu'il comprend une machine (2) et un annuaire (13) de sécurité dans des moyens (12) d'enregistrement, la machine (2) permettant de créer, modifier, supprimer ou rechercher dans l'annuaire (13) de sécurité des données de sécurité en utilisant pour les données de sécurité attachées à l'entité (8) la désignation unique retrouvée dans l'annuaire (10). 9. Dispositif selon la revendication 8, caractérisé en ce que la machine (2) est une passerelle (5) de sécurité placée entre la machine (4) cliente et la machine (6) serveur qui intercepte toutes les requêtes adressées à la machine serveur par la machine cliente, la machine cliente émettant des requêtes à un URL de la machine serveur contenant l'URL de la passerelle. 10. Dispositif selon l'une des revendications 8 ou 9, caractérisé en ce qu'il comprend une console (15) d'administration de la sécurité pour saisir, modifier, supprimer, ou rechercher tout ou partie des données de sécurité dans l'annuaire (13). 11. Application du procédé selon l'une des revendications 1 à 7 à la sécurisation d'un portail, la machine (2a) comportant un logiciel de navigation au travers duquel l'entité (8) émet des requêtes vers ledit portail. 12. Application du procédé selon l'une des revendications 1 à 7 à une procédure de connexion unique. 13. Programme de machine pour l'exécution des étapes du procédé selon l'une des revendications 1 à 7 lorsque ledit programme est exécuté sur une machine.