Brevet FR2829332A1 — publié le 20030307

Procédé de gestion d'éléments secrets relatifs à des postes dispersés et système destiné à la mise en oeuvre d'un tel procédé. L'invention se rapporte aux systèmes de transfert d'information comportant un ensemble de postes dispersés et des centres de gestion, dans lesquels des éléments secrets sont prévus pour assurer la sécurité du transfert de l'information. Ces systèmes peuvent être notamment des réseaux de communications, utilisant par exemple sur certaines portions des liaisons des communications radio, lorsque ces réseaux doivent transporter des informations confidentielles dont on souhaite assurer la sécurité. Généralement, de tels réseaux utilisent pour la transmission des informations des procédés numériques de chiffrement des communications. Ces procédés de chiffrement mettent en oeuvre des clés de trafic, chaque communication étant chiffrée par une clé de trafic connue de l'émetteur et du récepteur. Pour limiter les risques d'interception des communications radio, les clés de trafic doivent être fréquemment modifiées. En conséquence des systèmes de gestion de clés doivent être prévus dans de tels réseaux. Ces systèmes de gestion des clés dans les grands réseaux sécurisés peuvent être assez complexes, notamment lorsque les abonnés du réseau sont mobiles. Dans les systèmes connus, lorsque la taille du réseau devient importante, il n'est plus envisageable d'utiliser une distribution manuelle des clés de chiffrement à tous les abonnés, et le procédé de sécurisation du réseau met en oeuvre une distribution des clés par l'intermédiaire du réseau. Le principe le plus couramment utilisé est dit principe de distribution à clés de base ou l'on distingue deux niveaux d'éléments secrets, ou clés : - Des clés dites de session ou de trafic qui servent à chiffrer les communications entre deux abonnés ; ces clés varient fréquemment et ne sont généralement connues que de deux correspondants. - Des clés dites clés de base qui servent uniquement à chiffrer les clés de session : chaque abonné dispose d'une clé de base particulière, connue de lui seul et du centre de gestion des clés, qui lui permet de recevoir, à travers le réseau, la clé de trafic chiffrée par cette clé de base. Ainsi, lorsqu'un abonné A désire établir une communication chiffrée avec un abonné B, il en fait la demande à un centre de gestion des clés centralisé qui élabore une clé de session K qu'il transmet d'une part à l'abonné A, chiffrée par la clé de base de cet abonné, soit KA, et d'autre part à l'abonné B, chiffrée par la clé de base de cet abonné KB. Après déchiffrement des messages reçus, les abonnés A et B possèdent en commun une clé de session K avec laquelle ils peuvent établir une communication chiffrée. Un tel système de gestion centralisé des clés pose un problème lorsque le réseau comporte beaucoup d'abonnés : le trafic avec le centre de gestion des clés augmente en fonction du nombre d'abonnés. Il y a donc un risque d'avoir une saturation du centre de gestion des clés, centralisé, dès que le nombre d'abonnés devient important ou, pour éviter ce risque, le centre de gestion des clés doit être surdimensionné de façon à assurer les demandes de clés pendant les périodes de trafic intense. En conséquence, un centre de gestion des clés centralisé, n'est plus utilisable dans les réseaux destinés à interconnecter un grand nombre d'abonnés. Pour remédier à cet inconvénient, la gestion de clés peut être décentralisée, plusieurs"petits"centres de gestion des clés étant prévus. Cependant pour assurer une gestion correcte, il est nécessaire de conserver une fonction de gestion centralisée dont le rôle essentiel est de superviser et d'initialiser les centres de gestion de clés délocalisés. Dans un réseau sécurisé comportant des abonnés mobiles, du type "HADES"ou"RITA", ayant une infrastructure composée d'artères reliant des commutateurs, et des abonnés mobiles communiquant par radio avec les commutateurs du réseau, où chaque commutateur prend en charge les abonnés mobiles situés dans sa proximité à un instant donné, les centres de gestion de clés délocalisés peuvent être prévus dans les commutateurs. Ces commutateurs ont alors les fonctions classiques de commutation pour le routage des communications et de raccordement des abonnés, et en plus la fonction de gestion des clés des artères radio qui lui sont rattachées. Mais du fait que chaque abonné peut être raccordé à n'importe quel commutateur, chaque commutateur doit pouvoir connaître les clés de base de tous les abonnés. Une fonction de gestion centralisée subsiste donc dont le rôle est de superviser et d'initialiser les centres délocalisés. Deux possibilités sont alors offertes : - le centre principal de gestion des clés peut diffuser de façon sécurisée à chaque centre, ou commutateur, délocalisé la liste des clés de base des abonnés qui lui sont rattachés. Chaque commutateur a alors sa propre clé de base utilisée par le centre de supervision pour transmettre les clés de base des abonnés qui lui sont rattachés. Au début d'une session chaque commutateur indique donc les abonnés à sa charge à cet instant et le centre de gestion transmet les clés de ces abonnés, chiffrées par la clé de base du commutateur correspondant. Cette solution est intéressante dans le cas de réseaux hiérarchisés ou dans les réseaux où les abonnés sont fixes. En revanche, lorsque les abonnés sont mobiles, le centre principal doit continuellement remettre à jour la liste des clés de base demandées par les centres délocalisés, ce qui pose à nouveau un problème de saturation et de fiabilité du centre principal. - Une autre solution consiste, pour le centre principal, à distribuer les clés de base de tous les abonnés à tous les centres délocalisés. Cette solution règle le problème des abonnés mobiles, de la saturation et de la fiabilité du centre principal. Mais son inconvénient majeur réside dans le fait que la compromission d'un centre secondaire de gestion des clés compromet la totalité du réseau. La vulnérabilité du réseau s'en trouve donc gravement augmentée. L'invention a pour objet un procédé de gestion d'éléments secrets relatifs à des postes dispersés, par exemple les clés de base des postes abonnés dans un réseau de communications, permettant d'éviter ce problème, en augmentant les procédures de sécurité mises en oeuvre pour la gestion de ces éléments secrets. L'invention concerne un procédé de gestion d'éléments secrets relatifs à des postes dispersés d'indices i = 1 à n dans un système comportant un centre de gestion principal, des centres secondaires qui lui sont rattachés, et les postes dispersés, reliés par des artères de transfert d'information, et dans lequel chaque poste dispose d'un élément secret qui lui est propre. Le procédé est caractérisé en ce que le transfert d'information d'un poste à un centre secondaire n'utilise pas directement cet élément secret mais utilise une clé de base secondaire élaborée localement par le poste en suivant une fonction pratiquement non inversible de son propre élément secret et de l'indice du centre secondaire, cette clé de base secondaire propre à un couple poste-centre secondaire étant transmise au centre secondaire correspondant par le centre principal qui dispose de l'ensemble des éléments secrets relatifs aux postes dispersés et de l'ensemble des indices des centres secondaires, et calcule les clés de base secondaires en suivant les mêmes fonctions non inversibles que les postes correspondants. L'invention a également pour objet un système destiné à la mise en oeuvre de ce procédé. L'invention sera mieux comprise et d'autres caractéristiques apparaîtront à l'aide de la description qui suit en référence aux figures annexées. La figure 1 est un schéma simplifié d'un exemple de réseau sécurisé selon l'invention. La figure 2 est un schéma de détail d'un moyen utilisé pour la mise en oeuvre du procédé de gestion d'éléments secrets selon l'invention. Les systèmes auxquels s'appliquent le procédé de gestion d'éléments secrets peuvent comporter, comme représenté sur la figure 1, un ensemble d'artères de communications sécurisées associées à un centre de gestion de clés principal CP, et à des centres de gestion secondaires CS., j = 1 à k, qui peuvent être les commutateurs du réseau. Un ensemble de postes d'abonnés, éventuellement mobiles, 1, 2... i... n, communiquent par radio avec le réseau sécurisé 10, et sont pris en charge par l'un ou l'autre des centres secondaires CS. suivant leurs localisations. D'une manière générale la sécurité des communications radio à l'intérieur du réseau avec le procédé suivant l'invention met en oeuvre deux niveaux de clés de base : - Des clés de base primaires, Ki propres à chaque abonné i. Ces clés de base primaires ne sont connues par ailleurs que du centre principal de gestion. - Des clés de base secondaires, qui peuvent être calculées seulement par les abonnés mobiles et par le centre principal de gestion. Ces clés secondaires sont fonction de la clé de base primaire de l'abonné et du numéro du centre de gestion secondaire auquel il est rattaché à un instant donné. Soit K.. une telle clé de base secondaire, pour l'abonné i 1,) lorsqu'il est rattaché au centre de gestion secondaire j : K.-= f (K., j) ; la fonction f est telle qu'elle ne permet pas de 1,) 1 retrouver la clé de base primaire K. lorsqu'on connaît K.., et j. La liste 1 1, J des clés de base secondaires K.. pour tous les mobiles i est transmise au 1, J centre secondaire d'indice j par le centre principal. Ce centre secondaire, ne connaissant pas les clés de base primaires, ne peut les calculer luimême. Ainsi la compromission du centre secondaire d'indice j peut éventuellement permettre de connaître toutes les clés de base secondaires de ce centre j mais ne permet pas d'en déduire les clés de base secondaires d'un autre centre de gestion décentralisé d'indice différent de j. En conséquence, les liaisons radio entre tous les abonnés et les autres centres secondaires restent sécurisées car les clés de session utilisées pour chiffrer les communications entre les abonnés et les autres centres secondaires sont transmises chiffrées au moyen de clés de base secondaires différentes. En résumé, pour assurer la sécurité des artères radio dans un réseau de communications, l'invention met en oeuvre des clés de session pour une communication radio entre un centre délocalisé et un abonné de son ressort, cette clé de session élaborée par le centre délocalisé étant transmise à l'abonné chiffrée par une clé de base secondaire directement transmise du centre principal au centre secondaire, particulière à chaque abonné, et élaborée localement par l'abonné par connaissance de sa clé de base primaire et du numéro du centre secondaire auquel il est temporairement rattaché. Pour la mise en oeuvre de ce procédé de gestion de clés, il est nécessaire de faire calculer par le centre principal les clés secondaires de tous les abonnés pour chaque centre secondaire de gestion, et de faire calculer de la même manière par chaque abonné ses clés secondaires pour les différents centres de gestion secondaires auxquels il est susceptible d'être rattaché, soit toutes en même temps, à la mise en route du système, soit au fur et à mesure des changements de centre secondaire de rattachement. Comme indiqué ci-dessus la fonction f doit être pratiquement non inversible : la connaissance d'une clé secondaire K IYJ et de j ne doit pas I, J permettre de retrouver la clé de base primaire K. de l'abonné correspondant, et donc éventuellement les autres clés de base secondaires du même abonné pour ses liaisons avec les autres centres secondaires. A cette fin le réseau utilise dans le centre principal et dans les postes des abonnés un générateur pseudo-aléatoire dont les propriétés intrinsèques permettent de garantir la non inversibilité de la fonction f de calcul de la clé de base secondaire. La figure 2 représente schématiquement un tel générateur de pseudo-aléas, initialisé avec la clé de base primaire K. et avec le numéro j du centre de gestion secondaire j, c'est-à-dire par un couple de valeurs caractéristiques de l'abonné et du centre secondaire correspondant. La suite de clés pseudo-aléatoire qui résulte de cette initialisation permet d'élaborer les clés de base secondaires K... A titre d'exemple Ksi j peut 1, J 1, J être constituée des 100 premiers bits de la suite de clés. Ce calcul ne peut être effectué que par le centre principal d'une part, et par l'abonné i d'autre part, qui seuls connaissent la clé de base primaire K. associée à cet abonné. A la place d'un générateur de clé du type décrit ci-dessus, il est possible d'utiliser un système de chiffrement par blocs, du type"DES" par exemple (pour Data Encryption Standard), qui utilise K. en tant que 1 clé et j en tant que bloc de données à chiffrer. Le bloc de données résultant du chiffrement de j par K. est la clé de base secondaire Ki,j = DESKi(j). Dans tous les cas, les machines de chiffrement utilisées pour le calcul des clés de base peuvent être celles utilisées pour le chiffrement des communications par les clés de session. Ces machines fournissent les mêmes suites lorsqu'elles sont initialisées par les mêmes valeurs et des suites complètement décorrélées dès qu'un bit d'initialisation diffère. Le fonctionnement d'un tel réseau peut être le suivant : à la mise en route du système, ou à chaque fois que les clés doivent être renouvelées, le centre principal CP calcule toutes les clés de base secondaires Ksi j à partir de l'ensemble des clés de base primaires K ; des abonnés et des numéros j des centres secondaires, comme indiqué ci-dessus. Le centre principal CP transmet alors à chaque centre secondaire CS. la liste des clés de base secondaires de tous les abonnés calculées à J partir du numéro j, et des {Ki1'Vi = 1 à n : K.. . Parallèlement, chaque abonné i calcule, à partir de sa clé de base primaire K. et des numéros j des centres secondaires auxquels il peut être rattaché K.. pour tout j : Vj. lak. Lorsqu'un abonné mobile i s'incrit auprès d'un centre secondaire j, la clé de base correspondante K.. étant calculée, le centre j et 1, J l'abonné mobile i ont en commun la clé de base K.. qui servira à chiffrer 1, J les clés de trafic élaborées au centre secondaire correspondant, j, elles- mêmes utilisées pour chiffrer les communications entre l'abonné i et le centre secondaire j. Le procédé de gestion de clés selon l'invention s'applique particu- lièrement aux réseaux de communications comportant des centres de clés délocalisés et des abonnés mobiles. Comme indiqué ci-dessus ce procédé permet de limiter les risques de compromission en cas de capture d'un centre de gestion secondaire. L'invention n'est pas limitée à l'exemple précisément décrit. Le procédé de sécurisation peut également s'appliquer aux réseaux à structure hiérarchisée lorsque les abonnés peuvent changer de centre de rattachement. En particulier, dans une structure hiérarchisée, le procédé peut être généralisé sur un nombre de niveaux supérieur à 2. Dans ce cas un centre de niveau intermédiaire dispose, pour les transferts avec un centre de niveau immédiatement inférieur, d'une clé de base secondaire 1 (K..) qui lui est transmise par un centre de niveau supérieur. Ce centre de niveau supérieur et le centre de niveau inférieur, calculent cette clé à partir d'un élément secret propre au centre de niveau inférieur K. et d'un indice j particulier au centre intermédiaire. Ainsi chaque centre de niveau intermédiaire n'a pas de connaissance directe des éléments secrets propres aux centres de niveau inférieur qui lui sont rattachés. Le procédé s'applique aussi à des systèmes qui nécessitent l'utilisation d'éléments secrets relatifs à des abonnés, par exemple des codes d'accès, en plusieurs endroits. C'est le cas dans un système comportant un ensemble de centres serveurs d'informations (qui sont alors les CSj) et un ensemble d'abonnés l... i... n. Un centre principal distribue aux centres serveurs CS. les clés de base secondaires qui les concernent : le centre CS. reçoit les clés K.. pour tous les abonnés à ce centre serveur, ces clés ) 1,) K.. étant calculées à partir de l'indice j du centre serveur et des codes 1,) d'accès secrets K. propres aux abonnés. Pour dialoguer avec le centre serveur d'indice j, un abonné utilise la clé K.. qu'il calcule à partir de son 1,) code secret K. et de l'indice j. Ce procédé s'applique aussi aux systèmes informatiques, lorsque l'on souhaite protéger l'accès à des sous-systèmes de l'ensemble. REVENDICATIONS 1. Procédé de gestion d'éléments secrets relatifs à des postes dispersés d'indices i = 1 à n dans un système comportant un centre de gestion principal (CP), des centres secondaires (CSj I à k) qui lui sont rattachés, et les postes dispersés, reliés par des artères de transfert d'information, et dans lequel chaque poste dispose d'un élément secret qui lui est propre (K.), le procédé étant caractérisé en ce que le transfert d'information d'un poste à un centre secondaire n'utilise pas directement cet élément secret mais utilise une clé de base secondaire élaborée localement par le poste en suivant une fonction pratiquement non inversible de son propre élément secret (K.) et de l'indice (j) du centre secondaire, cette clé de base secondaire (K..) propre à un couple poste- 1, J centre secondaire étant transmise au centre secondaire correspondant par le centre principal qui dispose de l'ensemble des éléments secrets relatifs aux poste dispersés et de l'ensemble des indices des centres secondaires, et calcule les clés de base secondaires en suivant les mêmes fonctions non inversibles que les postes correspondants. 2. Procédé selon la revendication 1, pour un réseau de communications dans lequel des artères de communications sont protégées par chiffrement au moyen de clés de trafic, caractérisé en ce que, pour éviter que la capture d'un centre secondaire de rang j du réseau ne compromette l'ensemble du réseau, les clés de base secondaires K.. pour un centre 1. l, J secondaire d'indice j sont utilisées par le centre secondaire pour chiffrer les clés de trafic et les transmettre respectivement aux abonnés de rangs i, i = 1 à n. 3. Système de transfert d'information dans lequel est mis en oeuvre le procédé de gestion d'éléments secrets selon l'une des revendications 1 et 2, caractérisé en ce qu'il comporte pour le calcul des clés de base secondaires, dans le centre de gestion principal (CP) et dans chaque poste dispersé (i), des machines de chiffrement semblables qui fournissent les mêmes suites lorsqu'elles sont initialisées par les mêmes valeurs et des suites complètement décorrélées dès qu'un bit d'initialisation diffère. 4. Système de transfert d'information selon la revendication 3, caractérisé en ce que, pour une organisation hiérarchisée à plusieurs niveaux, le procédé de gestion d'éléments secrets selon la revendication 1 est mis en oeuvre plusieurs fois, chaque centre d'un niveau intermédiaire utilisant pour les transferts avec un centre de niveau inférieur une clé de base secondaire (K..) propre à ce couple de centres qui lui est transmise 1,) par un centre de niveau supérieur, ce centre de niveau supérieur et le centre de niveau inférieur calculant cette clé en suivant une fonction pratiquement non inversible d'un élément secret (K.) propre au centre de niveau inférieur et d'un paramètre (j) propre au centre intermédiaire.