Brevet FR2866450A1 — publié le 20050819

Cartouche d'Enregistrement de Données de type Anti-compromission et Procédé anti-compromission correspondant Secteur technique de l'invention: La présente invention concerne le secteur technique des enregistreurs de données, et notamment des cartouches employées dans ce type d'enregistreurs. i o Problème technique posé : Dans de nombreux programmes militaires ou de sécurité, les données acquises par un enregistreur, souvent résultat de la numérisation de signaux sur un support amovible, ont un caractère confidentiel. Jusqu'à un passé récent, les enregistreurs de données utilisaient principalement de la bande magnétique pour laquelle des démagnétiseurs puissants et qualifiés pour cet usage permettent d'éliminer toute trace résiduelle de l'information enregistrée, y compris par analyse via des moyens non conventionnels. De cette façon, des bandes enregistrées peuvent être désensibilisées et perdre leur caractère confidentiel. Ces démagnétiseurs sont par contre lourds, polluants d'un point de vue électromagnétique et très gourmands en énergie, ce qui les rend impropres à un emport à bord d'un véhicule et en particulier d'un aéronef, si bien qu'en cas d'accident ou de capture en cours de mission, il n'existe aucune méthode viable de désensibilisation et la seule procédure possible est une éjection en dehors du véhicule en espérant que le support enregistré ne sera jamais retrouvé. On conçoit d'ailleurs que, dans ce cas de figure, les conditions soient telles, ou que les dommages causés à l'aéronef soient tels, ou l'incident tellement rapide, que l'éjection ne puisse même pas avoir lieu. Ces enregistreurs de données à bandes magnétiques sont progressivement remplacés par des dispositifs où le support amovible du stockage (cartouche) est construit à partir de disques durs au format standard de l'industrie informatique ou de mémoires à semi-conducteurs non-volatiles. Que les champs coercitifs des matériaux magnétiques mis en jeu soient trop élevés ou que la technologie utilisée soit purement électrique, les 1 o démagnétiseurs sont sans effet. Une réécriture de nouvelles données sur le même support n'étant pas suffisante pour éliminer toute trace décelable, une procédure stricte combinant effacements et réécritures successifs est nécessaire pour garantir une destruction effective de l'information. Cette procédure a recueilli un consensus international et est publiée par l'OTAN sous la référence AEDP-3. Cependant, en cas d'accident brutal, attaque ou crash , le pilote ou le navigateur peuvent ne pas avoir le temps de mettre en oeuvre ce type de processus et, lorsqu'il a été mis en oeuvre, qu'il ne puisse être mené à son terme du fait de l'interruption volontaire ou non de l'alimentation électrique, ou que le système effaceur ait été endommagé dans une situation de combat ou de simple atterrissage forcé. Dans le cas d'un aéronef sans pilote, le risque est encore augmenté par la difficulté qu'a le système à décider de façon autonome de détruire les données qu'il est destiné à collecter. Tous ces systèmes comportent donc un risque élevé de lecture par w personnel ou des autorités non autorisées des informations contenues dans la cartouche amovible: on dit alors que ces données sont compromises . La manipulation dans un environnement non protégé de telles cartouches conduit en tout état de cause à appliquer des procédures de sécurité lourdes et coûteuses. Il existe donc un besoin important et reconnu pour des enregistreurs de données à cartouches amovibles ne présentant plus les risques de capture ou de compromission décrits plus hauts. Résumé de l'invention: L'invention consiste à introduire à l'intérieur de la cartouche amovible C, en interface entre le moyen de stockage habituel STK (disques ou mémoire statique) et l'extérieur de ladite cartouche, un module MCD de cryptage - décryptage, ne comportant aucune mémoire nonvolatile, et apte à mettre en 1 o oeuvre une clé de cryptage 10 fournie avant chaque session d'enregistrement de telle sorte que toutes les données soient stockées cryptées et qu'il ne reste aucune trace de ladite clé de cryptage à l'instant de la première coupure d'alimentation du module en énergie, du fait d'une coupure générale d'alimentation, par exemple via la connexion 30, ou du fait de la déconnexion de la cartouche de l'enregistreur. De manière préférée, la mise en oeuvre de la clé de cryptage 10 est effectuée par un module électronique 20 adapté pour qu'il ne reste aucune trace de ladite clé de cryptage à l'instant de la première coupure d'alimentation du module en énergie, du fait d'une coupure générale d'alimentation, par exemple via la connexion 30, ou du fait de la déconnexion de la cartouche de l'enregistreur. Ainsi, en cas d'accident, de capture, de vol, et de manière générale de tentative de lecture, quelles que soient les circonstances, par une personne non autorisée, et situations analogues de risque de compromission des données, le système de l'invention agit automatiquement et instantanément, en totale autonomie, et ladite personne non autorisée ne dispose que de données cryptées sans aucune trace de la clé de cryptage, c'est-à-dire rigoureusement indéchiffrables. Description détaillée de l'invention: Les enregistreurs de données du type sont constitués de fonctions d'acquisition de données numériques, de vidéo, de signaux analogiques concentrant les données dans un format numérique propriétaire ou normalisé (tel que STANAG 4283 pour l'acoustique sous-marine, STANAG 4609 pour la vidéo numérique, STANAG 7024 pour la reconnaissance aérienne, ...) et mettant ces données à disposition d'une cartouche amovible C interchangeable selon une interface de type informatique normalisée, typiquement SCSI, IEEE 1394 ou Fibre Channel; en tout état de cause ces liaisons correspondent à des rythmes soutenus qui peuvent être très élevés de l'ordre d'un Gigabit par seconde et au-dessus (norme STANAG 4575). Ces mêmes matériels comportent souvent des fonctions de relecture à l'identique de tout ou partie des paramètres acquis, y compris lorsque l'enregistrement se poursuit, ce qui est particulièrement apprécié pour les missions de surveillance. Ils sont utilisés à bord de tous types de véhicules aéronautiques, navals ou terrestres. Les données D proviennent de moyens d'acquisition 100 connus, physiquement intégrés ou non à l'enregistreur, alimentés en données par des appareils et systèmes 200 tels que caméras, appareils IR, et autres non décrits ici car connus, et l'invention consiste à introduire à l'intérieur de la cartouche amovible C, en interface entre le moyen de stockage STK habituel de données (disques ou mémoire statique) et l'entrée desdites données D, un module de cryptage décryptage MCD, tel que décrit plus haut, ne comportant aucune mémoire non-volatile. L'algorithme de cryptage retenu pour le module MCD peut être de tout type adapté à l'application et approuvé pour cet usage par les Autorités Gouvernementales. En pratique, la cartouche continue à s'interfacer comme un périphérique informatique standard selon le protocole et via un lien habituels. En début de session d'enregistrement, l'enregistreur ER fournit, sans en garder aucune trace, au travers de ce même lien la clé de cryptage 10 qu'il a reçue en conformité avec les règles de sécurité et par les moyens habituels tels que clavier, clé physique amovible, carte à mémoire, .... Toutes les données D reçues à l'entrée de la cartouche sont alors cryptées en conséquence (DC) avant d'être enregistrées et peuvent être relues, décryptées et reconstituées en suivant le chemin inverse. Ce fonctionnement est représenté schématiquement sur la figure 1 annexée. Si aucune clé de cryptage n'est activée, l'enregistreur peut être programmé pour fonctionner en clair selon les modalités habituelles. Dès la première interruption de l'alimentation électrique de la cartouche, qu'elle intervienne par action de coupure sur l'enregistreur, coupure générale d'alimentation du réseau ou extraction de la cartouche de son réceptacle, toute information, et en particulier la clé de cryptage, disparaît du module de cryptage MCD, et seules demeurent enregistrées dans la cartouche (sur le module de stockage STK) des informations cryptées, qui deviennent dès lors, puisqu'elles ne sont plus lisibles, non classifiées ou notablement moins sensibles. Un système activateur 40, lui-même activé par ladite première interruption de l'alimentation électrique de la cartouche, peut éventuellement activer le module 20 adapté pour faire disparaître toute trace de la clé de cryptage 10. Les réalisations électriques et électroniques de ces modules 20 et 40 sont à la portée de l'homme de métier et ne seront pas décrites, de même que toutes les variantes, sous-systèmes, améliorations, circuits annexes etc... qui seront accessibles sans difficulté à l'homme de métier. Ceci est schématiquement représenté sur la figure 2 annexée. L'intérêt de cette approche apparaît de façon évidente dans le cas d'un crash d'aéronef: que l'équipage (s'il y en a un) ait eu le temps de réagir ou non, que le système anti-compromission soit endommagé ou non, une coupure d'alimentation intervient au plus tard au contact du sol, désensibilisant ainsi la cartouche avant son éventuelle capture. Pour couvrir le cas d'une intervention non autorisée sur une chaîne d'enregistrement qui serait restée alimentée, la disposition mécanique de l'enregistreur peut être telle que l'accès physique au contenu interne de la 1 o cartouche par démontage ne peut physiquement se faire sans que ladite cartouche soit désolidarisée de sa liaison électrique et donc subisse une coupure d'alimentation. Plus généralement et suivant les applications, il est aisé de prévoir: ^ Un système temporisé qui coupe automatiquement l'alimentation après toute période préprogrammée d'absence d'échange entre l'enregistreur et la cartouche. ^ Un système 500 (figure 3) réagissant aux accélérations qui coupe l'alimentation électrique de l'interface en cas d'accélération correspondant à une valeur nettement supérieure aux accélérations encaissées lors d'évolutions normales de l'appareil, ce qui doit être le cas en cas d'atterrissage sur le ventre, ou de crash pas assez violent pour tout détruire. ^ Un blindage mécanique 600 (figure 4) empêchant d'accéder à l'alimentation, de l'extérieur, sans exercer avec des outils des forces telles que des déformations sont obligatoires, un capteur de déformation 700 genre pont de Wheatstone ou autre coupant alors l'alimentation. Et autres dispositifs de coupures de l'alimentation dans des conditions détectées comme anormales, comme par exemple exposition d'une cellule à la lumière du jour (mission de jour) ou détectant un changement de luminosité (mission de nuit) - par ouverture de la trappe d'accès, soit à l'atterrissage normal, soit en cas d'accident ou de capture). De la même façon, toute cartouche non alimentée est automatiquement désensibilisée, ce qui facilite grandement sa sortie de zone protégée, en particulier à des fins de maintenance. Au cas où une désensibilisation supplémentaire serait nécessaire, les méthodes usuelles (AEDP-3) restent utilisables avec un degré de sévérité naturellement réduit. La mise en oeuvre de l'invention peut se faire simplement en logeant les composants nécessaires du module MCD sur le circuit imprimé miniature de 1 o quelques millimètres d'épaisseur qui gère habituellement les interfaces, sans impact sur la réalisation de la cartouche ni sur les interfaces avec l'enregistreur. Dans de nombreux cas, les composants de cryptage ci-dessus pourront être du type de ceux utilisés pour protéger les disques durs des enregistreurs portables destinés aux applications sensibles. La seule fonctionnalité demandée à l'enregistreur (et de façon duale au lecteur) étant de transmettre la clé par une commande logicielle, il est facile d'imaginer qu'un même enregistreur, voire même des enregistreurs déjà en service, puissent fonctionner indifféremment avec des cartouches standard ou des cartouches résultant de la présente invention. On notera enfin que l'architecture obtenue présente l'avantage par rapport à celle où les données seraient fournies déjà cryptées à l'enregistreur, de s'appliquer à tous types d'entrées, y compris analogiques et de décorréler les fonctions de cryptage d'enregistrement qui correspondent souvent à des rythmes très élevés de celles prévues pour les canaux de communication. L'invention couvre les cartouches qui viennent d'être décrites, ainsi que les enregistreurs adaptés le cas échéant pour les recevoir, et le procédé anticompromission consistant à employer de telles cartouches. Les cartouches ont été décrites comme amovibles car il s'agit du cas 30 général; l'invention s'applique naturellement aussi, mutatis mutandis, à des cartouches qui ne seraient pas amovibles. L'invention couvre également tous les modes de réalisation et toutes les applications qui seront directement accessibles à l'homme de métier à la lecture de la présente demande, de ses connaissances propres, et 5 éventuellement d'essais simples de routine. REVENDICATIONS 1 Cartouche C d'enregistrement de données, alimentée en données par un enregistreur de données, caractérisée en ce qu'elle comporte à l'intérieur, en interface entre le moyen de stockage habituel STK (disques ou mémoire statique) et l'extérieur de ladite cartouche C, un module MCD de cryptage - décryptage, ne comportant aucune mémoire non- volatile, et apte à mettre en oeuvre une clé de cryptage 10 fournie avant chaque session d'enregistrement de telle sorte que toutes les données soient stockées 1 o cryptées et qu'il ne reste aucune trace de ladite clé de cryptage à l'instant de la première coupure d'alimentation dudit module en énergie, du fait d'une coupure générale d'alimentation, par exemple via la connexion 30, ou du fait de la déconnexion de la cartouche de l'enregistreur, c'est-à-dire accidentelle ou volontaire. 2 Cartouche selon la revendication 1 caractérisée en ce qu'il s'agit d'une cartouche amovible. 3 Cartouche selon la revendication 1 ou 2 caractérisée en ce que la mise en oeuvre de la clé de cryptage 10 est effectuée par un module électronique 20 adapté pour qu'il ne reste aucune trace de ladite clé de cryptage à l'instant de la première coupure d'alimentation dudit module en énergie, du fait d'une coupure générale d'alimentation, par exemple via la connexion 30, ou du fait de la déconnexion de la cartouche de l'enregistreur, c'est-à-dire accidentelle ou volontaire. 4 Cartouche selon l'une quelconque des revendications 1 à 3 caractérisée en ce que les données D arrivent de moyens d'acquisition 100 connus, physiquement intégrés ou non à l'enregistreur, alimentés en données par des appareils et systèmes 200 tels que caméras, appareils IR, et autres non décrits ici car connus, et en ce que ladite cartouche C contient à l'intérieur, en interface entre le moyen de stockage STK habituel de données (disques ou mémoire statique) et l'entrée desdites données D, un module de cryptage décryptage MCD, ne comportant aucune mémoire nonvolatile, l'algorithme de cryptage retenu pour le module MCD étant de tout type adapté à l'application et approuvé pour cet usage par les Autorités Gouvernementales. Cartouche selon l'une quelconque des revendications 1 à 4 caractérisée en ce que la cartouche C continue à s'interfacer comme un périphérique informatique standard selon le protocole et via un lien habituels, en ce que en début de session d'enregistrement, l'enregistreur ER fournit, sans en garder aucune trace, au travers de ce même lien, la clé de cryptage 10 qu'il a reçu en conformité avec les règles de sécurité et par les moyens habituels tels que clavier, clé physique amovible, carte à mémoire, et en ce que toutes les données D reçues à l'entrée de la cartouche sont alors cryptées en conséquence (DC) avant d'être enregistrées et peuvent être relues, décryptées et reconstituées en suivant le chemin inverse, étant entendu que, si aucune clé de cryptage n'est activée, l'enregistreur peut être programmé pour fonctionner en clair selon les modalités habituelles. 6 Cartouche selon l'une quelconque des revendications 1 à 5 caractérisée en ce que dès la première interruption de l'alimentation électrique de la cartouche, et notamment dudit module, qu'elle intervienne par action de coupure sur l'enregistreur, coupure générale d'alimentation du réseau ou extraction de la cartouche de son réceptacle, toute information, et en particulier la clé de cryptage, disparaît dudit module de cryptage MCD et seules demeurent enregistrées dans la cartouche (sur le module de stockage STK) des informations cryptées, qui deviennent dès lors, puisqu'elles ne sont plus lisibles, non classifiées ou notablement moins sensibles. 7 Cartouche selon la revendication 6 caractérisée en ce que un système activateur 40, lui même activé par ladite première interruption de l'alimentation électrique de la cartouche, active le module 20 adapté pour faire disparaître toute trace de la clé de cryptage 10. 8 Cartouche selon l'une quelconque des revendications 1 à 7 caractérisée en ce que pour couvrir le cas d'une intervention non autorisée sur une chaîne d'enregistrement qui serait restée alimentée, la disposition mécanique de l'enregistreur est adaptée de telle sorte que l'accès physique au contenu interne de la cartouche par démontage ne peut physiquement se faire sans que ladite cartouche soit désolidarisée de sa liaison électrique et donc subisse une coupure d'alimentation qui efface toute trace de la clé de cryptage, comme décrit dans les revendications 1 à 7. 9 Cartouche selon la revendication 8 caractérisée en ce que ladite disposition mécanique de l'enregistreur est adaptée comme suit: ^ Un système temporisé coupe automatiquement l'alimentation de la cartouche après toute période préprogrammée d'absence d'échange entre l'enregistreur et la cartouche; et/ou ^ Un système 500 réagissant aux accélérations coupe l'alimentation électrique de l'interface en cas d'accélération correspondant à une valeur nettement supérieure aux accélérations encaissées lors d'évolutions normales de l'appareil, comme en cas d'atterrissage sur le ventre , ou de crash pas assez violent pour détruire l'enregistreur, et/ou ^ Un blindage mécanique 600 empêche d'accéder à l'alimentation de la cartouche, de l'extérieur, sans exercer avec des outils des forces telles que des déformations sont obligatoires, un capteur de déformation 700 genre pont de Wheatstone ou autre coupant alors l'alimentation. ^ autres dispositifs de coupures de l'alimentation dans des conditions détectées comme anormales, comme exposition d'une cellule à la lumière du jour (mission de jour) ou détectant un changement de luminosité (mission de nuit) - par ouverture de la trappe d'accès, soit à l'atterrissage normal , soit en cas d'accident ou de capture. Cartouche selon l'une quelconque des revendications 1 à 9 caractérisée en ce que la mise en oeuvre se fait simplement en logeant les composants nécessaires du module MCD sur le circuit imprimé miniature de quelques millimètres d'épaisseur qui gère habituellement les interfaces, sans impact sur la réalisation de la cartouche ni sur les interfaces avec l'enregistreur. 11 Cartouche selon l'une quelconque des revendications 1 à 10 caractérisée en ce qu'elle est alimentée en données par un enregistreur de données constitué de fonctions d'acquisition de données numériques, de vidéo, de signaux analogiques concentrant les données dans un format numérique propriétaire ou normalisé (tel que STANAG 4283 pour l'acoustique sous-marine, STANAG 4609 pour la vidéo numérique, STANAG 7024 pour la reconnaissance aérienne,...) et mettant ces données à disposition d'une cartouche amovible C interchangeable selon une interface de type informatique normalisée, typiquement SCSI, IEEE 1394 ou Fibre Channel; en tout état de cause ces liaisons correspondent à des rythmes soutenus qui peuvent être très élevés de l'ordre d'un Gigabit par seconde et au-dessus (norme STANAG 4575), ces mêmes matériels comportant souvent des fonctions de relecture à l'identique de tout ou partie des paramètres acquis, y compris lorsque l'enregistrement se poursuit, ce qui est particulièrement apprécié pour les missions de surveillance. Ils sont utilisés à bord de tous types de véhicules aéronautiques, navals ou terrestres. 12 Procédé anti-compromission des données enregistrées dans une cartouche d'enregistreur de données, caractérisé en ce qu'il consiste à munir ladite cartouche des systèmes décrits dans l'une quelconque des revendications 1 à 11. 13 Enregistreurs de données à cartouche amovible, caractérisés en ce qu'ils sont adaptés pour recevoir une cartouche selon l'une quelconque des revendications 1 à 11.