Brevet FR2858146A1 — publié le 20050128

La présente invention concerne un procédé de sécurisation du flux d'information empruntant un réseau sans fil de type WIFI , WIFI voulant dire Wireless Fidelity. WIFI fait l'objet d'une recommandation IEEE déposée et numérotée 802-1 lB. La vitesse théorique de ce type de lien est de 1 1Mb/S. En revanche, cette recommandation ne prévoit pas de système de sécurisation à la hauteur de ce que peuvent attendre les entreprises (ou les particuliers) en mesure d'utiliser cette technologie. La solution technique au problème posé permet de résoudre la sécurisation des liens WIFI à la hauteur de ce qui peut exister aujourd'hui sur l'interconnexion Internet. Le but recherché est de protéger les ressources informatiques de l'entreprise afin qu'elles ne puissent pas être accédées d'une manière frauduleuse, en empruntant les liens WIFI. Les ressources critiques de l'entreprise sont en général regroupées sur un Intranet sécurisé.. On peut considérer que l'intranet d'entreprise est un réseau privé utilisant pour protocole majoritaire TCP/IP. Ce réseau Intranet est composé d'un ensemble de réseaux locaux (LAN: local area network), et éventuellement d'un réseau étendu (WAN: wide area network), interconnectant ces réseaux locaux. Sur ces réseaux locaux, sont connectées les ressources informatiques critiques des entreprises.. Ce sont en général des serveurs abritant des applications de type métier, et renfermant également des données sous forme de fichiers ou des bases de données, qui sont extrêmement critiques pour l'entreprise... ce sont ces ressources informatiques qu'il faut protéger. Ces ressources informatiques sont en général protégées à leur niveau, en revanche, toute chaîne de liaison étant susceptible d'atteindre ces ressources informatiques doivent protégées également.. C'est l'objet de cette invention: sécurisation du WIFI. Comme mentionné en début de document, WIFI répond à une recommandation, mais celleci n'est pas suffisamment sécurisée à ce jour.. L'idée de l'invention porte sur plusieurs axes de réflexions et plusieurs approches afin d'obtenir le même niveau de sécurisation que pour les flux provenant de l'Internet. En effet, la majorité des entreprises dont interconnectées au réseau Internet pour des raisons diverses et variées. (Recherches documentaires, échanges de courriers informatiques, échange de fichiers... etc...) Cette interconnexion peut engendrer une faille de sécurité au niveau du système d'information de l'entreprise.. (SI: ensemble des composants matériels et logiciels permettant le traitement de l'information au sein de l'entreprise.). L'invention va donc proposer une architecture comparable à celle de l'interconnexion Internet, et de mettre en oeuvre les techniques de sécurisation éprouvées en les appliquant au WIFI. La première innovation de l'invention porte sur une architecture basée sur la technologie actuelle de l'Internet et qui n'est pas utilisée actuellement dans l'environnement WIFI...Cette architecture s'appuie sur un premier réseau local d'accueil, connecté ensuite au réseau local d'entreprise où les données se trouvent et doivent être protégées. Une fois le flux identifié sur le réseau local d'accueil et provenant des bornes WIFI, on pourra alors utiliser des mécanismes de filtrage classique, soit au moyen d'un routeur filtrant ou même d'un pare- feu, d'un commutateur évolué pouvant filtrer les adresses MAC ou enfin interroger un serveur d'authentification de type radius par exemple) pour s'assurer que l'utilisateur a bien le droit de venir se connecter sur les ressources du réseau local de l'entreprise..... La deuxième innovation de l'invention porte sur l'idée de prolonger le flux à protéger au-delà de la borne WIFI, et par conséquent sortir de la problématique du flux WIFI restreint entre le PC et la borne WIFI. En effet, les mécanismes actuels permettant de sécuriser WIFI son assez facilement falsifiables par les hackers (comme le WEP par exemple: WEP: Wireless encryption Protocol)...Ceci nous amène à utiliser la technologie VPN ( Virtual Private Network utilisant une encryption de type IPsec IPsec: IP security), technologie éprouvée dans le monde des grandes entreprises et de l'Internet. On pourra donc implémenter cette technologie entre le PC (client VPN) et un routeur hébergeant la terminaison VPN. (Routeur situé au niveau du réseau local)..On aura alors un flux complètement sécurisé entre le PC et le routeur, et ceci au travers de la liaison WIFI, ce qui nous permet de nous affranchir de la technologie peu fiable à l'heure actuelle de la sécurisation WIFI. En résumé, l'invention porte sur trois grands axes: Reproduire une architecture de type interconnexion à l'Internet et l'appliquer au WIFI Sélectionner les mécanismes de sécurisation utilisés pour l'interconnexion de l'Internet l'appliquer au WIFI Mettre en oeuvre d'une manière ordonnée les systèmes de sécurisation qui existent afin de limiter au minimum les possibilités d'accès (protection de la borne WIFI par mot de passe, suppression des flux de supervision entrants...etc....) Voici listé en référence un descriptif succint des dessins de l'annexe, ainsi que la démarche pour pouvoir mettre en oeuvre l'invention. Dessin 1: Limitation du champ de fréquence: Il peut être judicieux de choisir une borne (ou tout type de dispositif terrestre) qui permet de réduire le champ de portée, ce qui restreint la zone, et par conséquent le risque de piratage. Dessin 2: Blocage des Flux entrants: Au niveau des bornes WIFI, Il est possible de bloquer les flux entrants,et de les limiter aux flux de données, ce qui interdit les autres flux de supervision de type SNMP ou Telnet, et interdit ainsi le piratage de la borne par cette voie. Dessin 3: Protection de la borne Wi-fi: Au niveau des bornes WIFI, l'accès à la configuration doit être protégée par un mot de passe. Ceci évite ainsi toute modification facile de la configuration, et protège les paramètres positionnés qui renforce la sécurité. Dessin 4: Sécurisation du protocole 802-11 Entre la borne WIFI et les PC's, On peut configurer se que l'on appelle un "SSID". Les "SSID" rentrés doivent être identiques de part et d'autre pour que la borne accepte de propager le flux de données. Dessin 5: Sécurisation du protocole 802-11 (suite) Entre la borne WIFI et les PC's, un dispositif appelé "WEP" (Wireless Encryption Protocol) permet de sécuriser le protocole à base de clés échangées entre les deux parties.. Plus la taille de la clé est grande, plus son temps éventuel de découverte est long. (64, 128 et 256 bits de long). Dessin 6: Restrictions d'accès au réseau local: L'architecture préconisée devient extrêmement importante à ce stade. Il s'agit d'utiliser le standard "802.3" du réseau local de type Ethernet pour en sécuriser l'accès.Chaque PC comporte une adresse de type MAC (media access control). Ce type d'adresse est unique au monde puisque chaque constructeur utilisant cette technologie est tenu de produire ces adresses dans la plage qui lui a été attribuée. Il est alors possible par des mécaniques de filtrage de MAC, d'interdire tout PC non identifié de rentrer sur le réseau local (ex de Mac: 82-42-F6-C9-63-33) Dessin 7: Mise en oeuvre d'un tunnel sécurisé VPN (Virtual Private Network) est une technique couramment utilisée pour protéger le flux des grandes entreprises qui empruntent l'Intemrnet. C'est une encryptions très efficace et reconnue du marché. Il s'agit ici de combiner cette technologie avec les mécanismes déjà cités. Il est donc possible d'encrypter une session de type VPN entre un PC WIFI et l'Intranet d'entreprise (ou type de réseau avec une terminaison VPN). Cette technique renforce complètement l'accès WIFI et le place au même niveau de sécurité que lorsqu'une entreprise souhaite se protéger des pirates venant de l'internet ou d'autres intrusions venant d'une autre origine. Dessin 8: Solution technique au problème technique On construit un réseau local d'accueil pour le flux des bornes WIFI. On peut considérer alors que ce réseau local d'accueil s'identifie à la zone démilitarisée que l'on construit pour protéger les entreprises des attaques provenant de l'internet (appelée DMZ). L'idée est d'additionner cette technique pour sécuriser d'une manière optimale les flux provenant des bornes WIFI. On aura donc un premier niveau de sécurisation entre les PC's WIFI et ce réseau local (SSID, WEP ou VPN), avec le filtrage des adresses MAC. Puis ensuite, on pourra mettre en oeuvre le filtrage des pare-feux entre les réseaux locaux. On pourra également y associer la technologie NAT (Network address Translation) qui permet de masquer les adresses publiées à l'extérieur du réseau local. Revendications Les revendications portent sur l'ensemble des schémas numérotés (dessin 1 à 8) et présent en annexe. Dessin 1: Limitation du champ de fréquence Dessin 2 Blocage des flux entrants Dessin 3 Protection de la borne WIFI Dessin 4 Sécurisation du protocole 802-11 Dessin 5 Sécurisation du protocole 802-11 (suite) Dessin 6 Restriction d'accès au réseau local Dessin 7: Mise en oeuvre d'un tunnel sécurisé Dessin 8: Solution technique au problème technique... Le détail des revendications est complété dans le corps du document explicatif. Aujourd'hui, le WIFI est très mal sécurisé.. Certes, 11 existe des mécanismes de sécurité, mais elles sont très rarement mises en oeuvre d'une manière sérieuse, et d'une manière exhaustive...La première innovation de l'invention porte sur l'implémentation sérieuse et exhaustive des mécanismes de sécurité existants. Pour ce qui concerne ces mécanismes, certains d'entre eux sont assez facilement falsifiables par les hackers informatiques actuels (comme le WEP par exemple)...La deuxième innovation de l'invention porte sur l'idée de prolonger le flux à protéger au-delà de la borne WIFI, et par conséquent sortir de la problématique du flux WIFI restreint entre le PC et la borne WIFI.Ceci nous amène à utiliser la technologie VPN ( Virtual Private Network), technologie éprouvée dans le monde des grandes entreprises et de l'Internet. On pourra donc implémenter cette technologie entre le PC (client VPN) et un routeur hébergeant la terminaison VPN. (Routeur situé au niveau du réseau local)..On aura alors un flux complètement sécurisé entre le PC et le routeur, et ceci au travers de la liaison WIFI, ce qui nous permet de nous affranchir de la technologie peu fiable à l'heure actuelle de la sécurisation WIFI. La troisième innovation de l'invention porte sur une architecture basée sur la technologie actuelle de l'Internet et qui n'est pas utilisée actuellement dans l'environnement WIFI...Cette architecture s'appuie sur un premier réseau local d'accueil, connecté ensuite au réseau local d'entreprise où les données se trouvent et doivent être protégées. Une fois le flux identifié sur le réseau local d'accueil et provenant des bornes WIFI, on pourra alors utiliser des mécanismes de filtrage classique, soit au moyen d'un routeur filtrant ou même d'un pare-feu, d'un commutateur évolué pouvant filtrer les adresses MAC ou enfin interroger un serveur d'authentification de type radius par exemple) pour s'assurer que l'utilisateur a bien le droit de venir se connecter sur les ressources du réseau local de l'entreprise.....