Brevet FR2876521A1 — publié le 20060414

La présente invention concerne un procédé d'authentification d'un utilisateur, et un dispositif mettant en oeuvre un tel procédé. Elle concerne également un serveur de signalisation d'un réseau de télécommunication pour la fourniture d'un service de transmission de voix sur IP comportant ce dispositif. On connaît déjà un procédé d'authentification d'un utilisateur souhaitant établir une connexion depuis un terminal client vers un réseau de télécommunication. Ce procédé comprend les étapes suivantes: on reçoit un identifiant de connexion de la part de l'utilisateur; - on détermine un point d'accès du réseau auquel le terminal client est connecté ; - on compare un identifiant associé au point d'accès avec l'identifiant de connexion reçu de la part de l'utilisateur. Si l'identifiant de connexion est différent de l'identifiant associé au point d'accès, l'authentification échoue et la connexion est rejetée. Dans le cas contraire, l'authentification réussit et la connexion est établie. L'utilisateur peut alors établir une communication avec un autre terminal, par l'intermédiaire du réseau de télécommunication, afin, par exemple, d'échanger des données. Ce procédé est bien adapté à un type de connexion, dite "connexion fixe", dans laquelle l'utilisateur souhaite établir une connexion à partir d'un point d'accès prédéterminé, par exemple celui correspondant à la ligne téléphonique de son domicile, dans le cas d'une connexion ADSL. Un tel procédé est considéré comme particulièrement fiable car il impose que l'utilisateur fournisse un identifiant et tente de se connecter depuis un point d'accès associé lui aussi à ce même identifiant. Une usurpation d'identité à distance est donc très difficile. En revanche, ce procédé n'est pas adapté à un autre type de connexion, dite "connexion mobile", dans laquelle l'utilisateur souhaite établir une connexion à partir d'un point d'accès quelconque, autre que son point d'accès prédéterminé. L'invention a pour but de pallier cet inconvénient en proposant un procédé d'authentification adapté aux deux types de connexion, fixe et mobile, sans réduire la fiabilité de l'authentification dans le cas d'une connexion de type fixe. A cet effet, l'invention a pour objet un procédé d'authentification d'un utilisateur souhaitant établir une connexion depuis un terminal client vers un réseau de télécommunication, dans lequel: - on reçoit un identifiant de connexion de la part de l'utilisateur; - on détermine un point d'accès du réseau auquel le terminal client est connecté ; - on compare un identifiant associé au point d'accès avec l'identifiant de connexion reçu de la part de l'utilisateur; caractérisé en ce que si au moins une condition, selon laquelle l'identifiant de connexion est différent de l'identifiant associé au point d'accès, est vérifiée: - on requiert et on reçoit de la part de l'utilisateur un mot de passe de connexion; et - on compare le mot de passe requis avec un mot de passe prédéfini et associé à l'identifiant de connexion. Grâce à l'invention, le procédé d'authentification gère le cas des connexions de type mobile en prévoyant de requérir un mot de passe en cas de connexion mobile. De plus, un utilisateur souhaitant établir une connexion de type fixe peut toujours être authentifié de manière fiable, car les étapes du procédé concernant ce type de connexion restent inchangées. Dans un mode de réalisation particulier, le réseau étant un réseau de transmission de données en mode paquet conforme au protocole IP, pour déterminer le point d'accès, on détecte une adresse IP attribuée au terminal client lors de la connexion de ce dernier au réseau. Ainsi, l'invention tient compte du fait qu'il est aisé de déterminer l'adresse IP attribuée au terminal client et qu'il existe généralement dans l'infrastructure du réseau une table de correspondance entre l'adresse IP attribuée et le point d'accès du terminal client. Dans un autre mode de réalisation particulier, on requiert le mot de passe de connexion si une autre condition, selon laquelle l'identifiant de connexion reçu fait partie d'une liste prédéterminée d'identifiants, est vérifiée. Cette liste prédéterminée peut regrouper par exemple les identifiants d'un groupe d'utilisateurs autorisés à établir une connexion de type mobile. Un procédé selon l'invention peut en outre comporter une ou plusieurs des caractéristiques suivantes: - la connexion est une connexion de fourniture d'un service de transmission de voix sur IP; - la connexion est une connexion de fourniture d'un service de transmission de visioconférence sur IP. L'invention a également pour objet un dispositif d'authentification d'un utilisateur souhaitant établir une connexion depuis un terminal client vers un réseau de télécommunication, comportant: - des moyens de réception d'un identifiant de connexion de la part de l'utilisateur, - des moyens de détermination d'un point d'accès du réseau auquel le terminal client est connecté, des moyens de comparaison d'un identifiant associé au point d'accès avec l'identifiant de connexion reçu de la part de l'utilisateur, caractérisé en ce qu'il comporte: - des moyen de vérification d'au moins une condition, selon laquelle l'identifiant de connexion est différent de l'identifiant associé au point d'accès, - des moyens de requête et des moyens de réception de la part de l'utilisateur d'un mot de passe de connexion, et - des moyens de comparaison du mot de passe requis avec un mot de passe prédéfini et associé à l'identifiant de connexion. L'invention a enfin pour objet un serveur de signalisation d'un réseau de télécommunication pour la fourniture d'un service de transmission de voix sur IP comportant un dispositif d'authentification tel que décrit précédemment. L'invention sera mieux comprise à l'aide de la description qui va suivre, donnée uniquement à titre d'exemple et faite en se référant aux dessins annexés, dans lesquels: - la figure 1 représente une installation de transmission de voix sur IP entre deux terminaux, comportant un dispositif d'authentification selon l'invention; et - la figure 2 représente les étapes successives d'un procédé d'établissement d'un service de voix sur IP comportant un procédé d'authentification selon l'invention. On a représenté sur la figure 1 une installation, désignée par la référence générale 10, de transmission de voix sur IP entre un terminal client 12 et un autre terminal 14. Dans cette installation 10, le terminal client 12 et l'autre terminal 14 sont connectés à un réseau 16 de télécommunication, apte à transmettre des données en mode paquet, conformément au protocole IP. Le réseau 16 est par exemple le réseau Internet. Plus précisément, le terminal client 12 est connecté à un point d'accès 18 du réseau 16. Le réseau 16 comporte un serveur 20 d'attribution d'une adresse IP au terminal client 12 au moment de sa connexion au point d'accès 18. Ce type d'attribution, dite dynamique, est bien connu de l'homme du métier, et peut être réalisé en utilisant par exemple le protocole DHCP (de l'anglais "Dynamic Host Configuration Protocol"). Le serveur 20 d'attribution d'une adresse IP est également apte à mettre à jour une table 22 de correspondance entre des point d'accès et des adresses IP, notamment entre le point d'accès 18 et l'adresse IP attribuée au terminal client 12. La table de correspondance 22 peut être installée dans un serveur DNS (de l'anglais "Domain Name System") du réseau 16, et mise à jour en utilisant le protocole DDNS (de l'anglais "Dynamic Domain Name System"). Dans l'exemple illustré, le terminal client 12 est connecté au réseau 16 au moyen d'une connexion de type ADSL, c'est à dire par l'intermédiaire d'une ligne téléphonique. Dans ce cas, le point d'accès peut être représenté dans la table de correspondance 22 par un identifiant de la ligne utilisé par l'opérateur téléphonique de cette ligne. Le réseau de télécommunication 16 comporte également un ensemble 24 de serveurs dédiés à la gestion de transmission de voix sur IP, dits serveurs de signalisation. Cet ensemble de serveurs dédiés 24 comporte un serveur 26 de signalisation, dit serveur périphérique, dédié plus particulièrement à la gestion de transmission de voix sur IP depuis et vers le terminal client 12. L'ensemble de serveurs dédiés 24 comporte en outre un serveur 28 de signalisation, dit serveur central, généralement connecté à plusieurs serveurs périphériques, comme le serveur 26. Ainsi, la transmission de voix sur IP se fait notamment par l'intermédiaire des deux serveurs de signalisation 26 et 28. D'autres serveurs de signalisation peuvent également intervenir, par exemple un autre serveur de signalisation périphérique dédié à la gestion de l'autre terminal 14, pour la fourniture du service de voix sur IP. Néanmoins, par souci de simplification, ils n'ont pas été représentés sur la figure 1. Le serveur périphérique 26 comporte un dispositif 30 d'authentification d'un utilisateur souhaitant établir une connexion en vue de la fourniture d'un service de transmission de voix sur IP depuis le terminal client 12 vers le réseau 16, afin d'établir une communication avec l'autre terminal 14 pour l'échange de données de voix sur IP. L'établissement de cette connexion s'appuie dans l'exemple illustré sur le protocole SIP (de l'anglais "Session Initiation Protocol"). Le dispositif d'authentification 30 comporte des moyens 32 de réception d'un message d'enregistrement au service de voix sur IP, message appelé SIP REGISTER dans le protocole SIP, pour établir la connexion avec le réseau 16. Afin d'authentifier l'utilisateur, le dispositif 30 est d'une part apte à déterminer si l'utilisateur tente d'établir une connexion de type fixe, et d'autre part apte à déterminer la validité d'une connexion qui n'est pas de type fixe. Pour déterminer si l'utilisateur tente d'établir une connexion de type fixe, le dispositif d'authentification 30 comporte tout d'abord des moyens 33 de détermination du point d'accès 18. Les moyens de détermination 33 du point d'accès 18 auquel le terminal client 12 est connecté, sont aptes, d'une part, à déterminer l'adresse IP du terminal client 12, par exemple à partir de paquets de données formant le message d'enregistrement, et d'autre part, à interroger la table de correspondance 22 pour retrouver le point d'accès 18. Le dispositif d'authentification 30 comporte ensuite des moyens 34 de détermination d'un identifiant, dit "identifiant d'utilisateur", associé au point d'accès 18. Les moyens de détermination 34 sont aptes à interroger une table 36 de correspondance entre des points d'accès, dont notamment le point d'accès 18, et des identifiants d'utilisateurs. Le dispositif d'authentification 30 comporte encore des moyens 38 de comparaison de l'identifiant d'utilisateur avec l'identifiant de connexion reçu de la part de l'utilisateur du terminal client 12, pour établir la connexion avec le réseau 16. Conformément au protocole SIP, cet identifiant de connexion est fourni dans le message d'enregistrement. Le dispositif d'authentification 30 comporte enfin des moyens 40 de vérification d'au moins une condition, selon laquelle l'identifiant de connexion est différent de l'identifiant d'utilisateur associé au point d'accès 18. Pour déterminer la validité de la connexion, le dispositif 30 est apte à authentifier l'utilisateur suivant un système de mot de passe. Ainsi, le dispositif d'authentification 30 comporte des moyens 42 de vérification d'une autre condition selon laquelle l'identifiant reçu fait partie d'une liste 44 prédéterminée d'identifiants d'utilisateurs autorisés à établir une connexion de type mobile. Il comporte de plus des moyens 46 de requête de la part de l'utilisateur d'un mot de passe de connexion, et des moyens 48 de comparaison du mot de passe requis avec un mot de passe prédéfini et associé à l'identifiant de connexion par une table 50 de correspondance d'identifiants avec leurs mots de passe prédéfinis associés. On a représenté sur la figure 2 les étapes successives d'un procédé d'établissement d'un service de voix sur IP mis en oeuvre par le dispositif de la figure 1. Au cours d'une première étape 60 de connexion du terminal client 12 au réseau 16 par l'intermédiaire du point d'accès 18, le serveur 20 attribue une adresse IP au terminal client 12, et met à jour la table de correspondance 22 afin d'associer l'adresse IP attribuée au point d'accès 18. On passe ensuite à une étape 62 au cours de laquelle l'utilisateur transmet depuis le terminal client 12 un message d'enregistrement SIP REGISTER au service de voix sur IP, à destination du serveur de signalisation périphérique 26. Ce dernier reçoit alors le message d'enregistrement comportant un identifiant de connexion fourni par l'utilisateur, ce message d'enregistrement ayant été acheminé par le réseau 16. On passe ensuite à une étape 64 au cours de laquelle on détermine le point d'accès 18 du réseau 16 auquel le terminal client 12 est connecté. A cet effet, on détecte l'adresse IP attribuée au terminal client 12. On en déduit alors, grâce à la table de correspondance 22, le point d'accès 18 du terminal client 12. On passe alors à une étape 66 de détermination de l'identifiant d'utilisateur associé au point d'accès 18 dans la table de correspondance 36. On compare, au cours d'une étape 68, l'identifiant d'utilisateur associé au point d'accès 18 avec l'identifiant de connexion reçu de la part de l'utilisateur dans le message d'enregistrement. Si l'identifiant de connexion et l'identifiant d'utilisateur associé au point d'accès 18 sont identiques, la connexion est alors une connexion de type fixe et on transmet, au cours d'une étape 69, une demande d'enregistrement au serveur de signalisation central 28 afin d'établir la connexion avec l'autre terminal 14. Si l'identifiant de connexion est différent de l'identifiant d'utilisateur associé au point d'accès 18, alors la connexion est soit une connexion valable de type mobile, soit une connexion frauduleuse. Pour déterminer la validité de la connexion, on vérifie au cours d'une étape 70 que l'identifiant de connexion reçu fait partie d'une liste prédéterminée d'identifiants autorisés à établir une connexion de type mobile. Si ce n'est pas le cas, on passe à une étape 72 au cours de laquelle la connexion est rejetée. Si c'est le cas, on passe à une étape 74 de requête de la part de l'utilisateur d'un mot de passe de connexion, puis à une étape 76 au cours de laquelle on reçoit de la part de l'utilisateur le mot de passe de connexion. Au cours d'une étape 78, on compare le mot de passe requis de la part de l'utilisateur avec un mot de passe prédéfini et associé à l'identifiant de connexion dans la table de correspondance 50. Si les mots de passe sont identiques, on passe à l'étape 69 pour établir la connexion avec le réseau 16. Si les mots de passe sont différents, on passe à l'étape 72 de rejet de la connexion. En variante, lorsque les mots de passe sont différents, on retourne à l'étape 74 pour requérir à nouveau un mot de passe, le mot de passe étant requis de cette manière un nombre maximum de fois, par exemple trois fois, avant de passer à l'étape 72 de rejet. Il apparaît clairement que le dispositif et le procédé d'authentification selon l'invention permettent de gérer le cas des connexions de type mobile, et qu'un utilisateur souhaitant établir une connexion de type fixe est authentifié de manière fiable. On notera que l'invention ne se limite pas au mode de réalisation décrit. En particulier, la nature de l'autre terminal 14 peut être quelconque. Par exemple, il peut s'agir d'un serveur du réseau 16. De plus, les tables de correspondance 22, 36, 50 et la liste 44 ne sont pas obligatoirement disposées dans le réseau 16 comme cela est représenté sur la figure 1, mais peuvent par exemple se trouver dans l'un ou plusieurs des serveurs de l'ensemble 24. En outre, le dispositif d'authentification 30 peut être réparti sur plusieurs serveurs, par exemple sur plusieurs serveurs de signalisation de l'ensemble 24. Ainsi, les moyens 38, 40, 42, 46 et 48 peuvent être disposés dans le serveur de signalisation central 28. Par ailleurs, les dispositif et procédé d'authentification selon l'invention peuvent être utilisés pour d'autres applications que la voix sur IP, notamment pour une connexion de fourniture d'un service de transmission de visioconférence sur IP. REVENDICATIONS 1. Procédé d'authentification d'un utilisateur souhaitant établir une connexion depuis un terminal client (12) vers un réseau de télécommunication (16), dans lequel: - on reçoit (62) un identifiant de connexion de la part de l'utilisateur; - on détermine (64) un point d'accès (18) du réseau (16) auquel le terminal client (12) est connecté ; - on compare (68) un identifiant associé au point d'accès (18) avec l'identifiant de connexion reçu de la part de l'utilisateur; caractérisé en ce que si au moins une condition, selon laquelle l'identifiant de connexion est différent de l'identifiant associé au point d'accès, est vérifiée: on requiert (74) et on reçoit (76) de la part de l'utilisateur un mot de passe de connexion; et - on compare (78) le mot de passe requis avec un mot de passe prédéfini et associé à l'identifiant de connexion. 2. Procédé selon la revendication 1, dans lequel, le réseau (16) étant un réseau de transmission de donnée en mode paquets conforme au protocole IP, pour déterminer le point d'accès, (18) on détecte (64) une adresse IP attribuée au terminal client (12) lors de la connexion de ce dernier au réseau (16). 3. Procédé selon la revendication 1 ou 2, dans lequel on requiert (74) le mot de passe de connexion si une autre condition, selon laquelle l'identifiant de connexion reçu fait partie d'une liste prédéterminée d'identifiants, est vérifiée. 4. Procédé selon l'une quelconque des revendications 1 à 3, dans lequel la connexion est une connexion de fourniture d'un service de transmission de voix sur IP. 5. Procédé selon l'une quelconque des revendications 1 à 3, dans lequel la connexion est une connexion de fourniture d'un service de transmission de visioconférence sur IP. 6. Dispositif d'authentification (30) d'un utilisateur souhaitant établir une connexion depuis un terminal client (12) vers un réseau de télécommunication (16), comportant: - des moyens de réception (32) d'un identifiant de connexion de la part de l'utilisateur, des moyens de détermination (33) d'un point d'accès (18) du réseau (16) auquel le terminal client (12) est connecté, - des moyens de comparaison (38) d'un identifiant associé au point d'accès avec l'identifiant de connexion reçu de la part de l'utilisateur; caractérisé en ce qu'il comporte: - des moyen de vérification (40) d'au moins une condition, selon laquelle l'identifiant de connexion est différent de l'identifiant associé au point d'accès (18) ; - des moyens de requête (46) et des moyens de réception (32) de la part de l'utilisateur d'un mot de passe de connexion; et - des moyens de comparaison (48) du mot de passe requis avec un mot de passe prédéfini et associé à l'identifiant de connexion. 7. Serveur de signalisation (26) d'un réseau de télécommunication (16) pour la fourniture d'un service de transmission de voix sur IP comportant un dispositif (30) selon la revendication 6.