Brevet FR2902587A1 — publié le 20071221

La présente invention concerne un procédé de mise en communication de réseaux locaux comportant des portions de réseau local de catégories différentes, et un système de mise en communication de portions de réseaux locaux appartenant à des catégories différentes, ainsi qu'un support d'informations et un programme d'ordinateur. ARRIERE PLAN DE L'INVENTION On connaît le développement extraordinaire des réseaux assurant une communication entre différents ordinateurs. Afin de permettre une séparation entre différents groupes d'utilisateurs, soit en raison de différents ni-veaux de confidentialité des informations auxquelles dit-férents groupes d'utilisateurs peuvent avoir accès, soit d'une façon plus générale pour permettre un accès dédié à des informations selon des catégories différentes les unes des autres, il est connu d'utiliser des réseaux locaux dédiés dans lesquels les différents ordinateurs for- tuant un réseau local sont reliés entre eux par des liai-sons dédiées et cloisonnées. Une telle solution est très onéreuse en matériel et très complexe à mettre en oeuvre lors d'une extension ou d'un déport d'une partie du ré-seau dédié en raison de l'implantation nécessaire de nou-velles lignes dédiées ou de la connexion des lignes existantes pour réaliser un réseau dédié. Il est également connu de réaliser des réseaux dédiés en implantant des logiciels dans les routeurs utilisés pour le fonctionnement d'un réseau ayant différen- tes applications. Toutefois, en raison de la complexité des logiciels de routage, en particulier lorsqu'ils sont destinés à gérer un très grand nombre d'utilisateurs à débit élevé, il n'est pas possible de garantir une séparation effective totale des communications entre des ré- seaux locaux de catégories différentes. Or la transmis- sion de messages à des utilisateurs auxquels ces messages ne sont pas destinés peut dans certains cas avoir une importance considérable. OBJET DE L'INVENTION Un but de l'invention est de proposer un procédé de mise en communication de réseaux locaux et le système de mise en communication correspondant permettant d'effectuer une séparation fiable entre des portions de ré-seaux locaux tout en mettant en oeuvre des moyens moins onéreux que dans l'art antérieur. RESUME DE L'INVENTION En vue de la réalisation de ce but, on propose selon l'invention un procédé de mise en communication de réseaux locaux dont l'un au moins comporte des portions de réseau local de catégories différentes les unes des autres, la communication étant effectuée selon une transmission par paquets, chaque paquet comportant un champ de données et un en-tête comportant un champ d'adresses, le procédé comportant les étapes d'introduire dans un champ d'en-tête de chaque paquet une information de catégorie à laquelle appartient une portion de réseau local émetteur dont le paquet est issu, de détecter l'information de catégorie d'un paquet au moment d'une introduction du paquet sur un réseau de transport commun, d'établir une liaison physique exclusive entre une portion du réseau local émetteur et le réseau de transport commun en fonction de l'information de catégorie et d'assurer une sécurisation du champ d'information de catégorie avant l'introduction du paquet sur le réseau de transport commun. Ainsi, la réalisation d'une liaison physique exclusive évite tout risque d'une transmission incontrôlée d'un paquet dans une portion de réseau local de catégorie non souhaitée et l'utilisation d'un réseau de transport commun permet de réaliser à moindre coût une liaison dé- portée à grande distance, la protection de la transmis- sion dans le réseau de transport commun pouvant être effectuée en utilisant des moyens de sécurisation propres au réseau de transport commun. En outre il n'est pas nécessaire de configurer à priori le réseau récepteur, puisque chaque message indique clairement le réseau ou son niveau à accéder : on a donc une configuration dynamique qui s'auto configure en fonction des messages reçus. Dans le cas de portions de réseaux locaux hiérar- chisées selon différents niveaux de confidentialité, la sécurisation des paquets est de préférence adaptée au ni-veau de confidentialité. BREVE DESCRIPTION DES DESSINS D'autres caractéristiques et avantages de l'in- vention apparaîtront à la lecture de la description qui suit d'un mode de mise en oeuvre particulier non limitatif du procédé selon l'invention, en référence à la figure unique ci-jointe qui est une représentation schématique d'un système de mise en communication de portions de ré- seaux locaux selon l'invention. DESCRIPTION DETAILLEE DE L'INVENTION En référence à la figure, le procédé et le système de mise en communication selon l'invention sont destinés à permettre une liaison totalement sécurisée entre une portion d'un premier réseau local 1 et une portion d'un second réseau local 2. Dans le mode de réalisation illustré, le premier réseau local 1 comporte trois portions de réseau local LAN Al, LAN B1 et LAN Cl. Les portions de réseaux locaux sont physiquement séparées les unes des autres et correspondent à des catégories différentes les unes des autres. Par exemple la portion LAN Al est une portion réservée à des communications de confidentialité élevée, la portion LAN Bl est réservée à des communications de confidentialité moyenne et la portion LAN Cl est réservée à des communications de confidentia- lité faible. De même le second réseau local 2 comporte des portions de réseau local de catégories différentes LAN A2, LAN B2 et LAN C2 qui correspondent aux catégories du premier réseau local 1. Selon l'invention, on cherche à mettre les portions de réseau locaux en communication en utilisant un réseau de transport commun 3, ce réseau étant non seule-ment commun aux différentes portions de réseaux locaux mais pouvant également être relié à d'autres utilisateurs selon un protocole connu en soi, par exemple un protocole TCP/IP assurant une transmission par paquets 4. Dans le mode de mise en oeuvre illustré, le système fonctionne selon la norme IPsec. A cet effet chaque paquet 4 comporte un en-tête comprenant un champ 5 pour recevoir les adres- ses émetteur et destinataire, un champ 6 contenant un en-tête d'authentification faisant partie de la norme IPsec et servant à assurer l'authenticité et l'intégrité du paquet. Chaque paquet 4 comprend un champ 8 pour les don-nées. Si le service de confidentialité est activé, le pa-quet 4 comporte alors un champ 7 recevant les données de sécurité d'encapsulation et le champ 8 comporte une forme protégée des données. Dans le cas où la confidentialité n'est pas requise, le champ 7 est absent et le champ 8 contient les données en clair. Dans tous les cas un champ 9 est présent qui reçoit une signature garantissant l'in- tégrité du paquet 4. Selon l'invention, la liaison entre les réseaux locaux et le réseau de transport commun est assurée par un dispositif de liaison 10 comportant successivement dans le sens montant trois organes 11 d'introduction d'information de catégorie, chacun associé à une des portions de réseau local et destiné à introduire dans l'en-tête d'authentification une information de catégorie sur la portion de réseau local de l'émetteur. Le dispositif de liaison 10 comporte ensuite un détecteur de catégorie 12 qui assure la commande (illustrée par la flèche en trait épais 13) d'un commutateur 14 qui assure une liai-son physique exclusive entre l'une des lignes 15 associée à l'une des portions de réseau local, LAN Bi dans l'exem- ple illustré, et la ligne de liaison 16 avec le réseau de transport commun 3. Cette liaison physique est réalisée par exemple par des interrupteurs électroniques 19 dont l'un est fermé et les autres sont ouverts selon la commande effectuée par un circuit logique inclus dans le commutateur 14 et utilisant l'information de catégorie du paquet 4 en cours de transmission. Le dispositif de liai-son 10 comporte en outre un organe de chiffrement/déchiffrement 17 qui, selon le mode de réalisation préféré illustré, est également relié à l'organe de dé- tection de catégorie 12 (selon une commande symbolisée par une flèche 18) pour assurer un chiffrement des don-nées en fonction de la catégorie de la portion de réseau local à partir de laquelle le paquet considéré est émis. Le procédé de mise en oeuvre de l'invention a été illustré dans le sens montant à partir du réseau 1 vers le réseau de transport commun puis descendant vers le ré-seau local 2 au moyen de flèches en trait continu, c'est-à-dire que l'information de catégorie est introduite dans le champ d'en-tête d'authentification 6 par l'organe d'introduction 11 puis cette information de catégorie est détectée par l'organe de détection 12 qui commande la fermeture de l'interrupteur électronique correspondant 19 tandis que les deux autres interrupteurs électroniques 19 sont maintenus ouverts pour isoler les autres lignes de liaison 15. Le chiffrement des données et l'encapsulation des paquets sont assurés par l'organe de chiffrement 17 et le paquet est acheminé à travers le réseau de transport commun 3 et atteint le dispositif de liaison 10 associé au réseau local 2. Chaque paquet est désencapsulé et déchiffré dans l'organe de chiffrement/déchiffrement 17 correspondant et une lecture de l'en-tête d'authentification permet d'effectuer une commande (symbolisée par la flèche en trait double 20) du commutateur 14 pour assurer une liaison avec la portion de réseau local carres- pondante, en l'espèce la portion LAN B2. La communication peut s'établir non seulement entre des portions de réseaux locaux de même catégorie comme décrit ci-dessus mais dans le cas de catégories correspondant à des niveaux de confidentialité, il est également possible d'établir des règles permettant d'en-voyer un paquet non seulement dans une portion de réseau de même niveau de confidentialité mais également dans une portion de réseau de niveau de confidentialité supérieur à celui défini par l'information de catégorie contenue dans l'en-tête d'authentification. Cette mise en œuvre est illustrée sur la figure par des flèches en trait mixte dans le sens montant depuis le réseau local 2. Un paquet émis par la portion de réseau local LAN C2 est ainsi transmis à la portion de réseau local LAN Bl. On notera que dans ce cas il est nécessaire de prévoir à un point de la chaîne de transmission une prise en compte d'une information permettant de commander le commutateur 14 associé au réseau local 1 de façon que celui réalise une liaison avec la portion de réseau local LAN B1 et non la portion de réseau local LAN Cl. Cette information complémentaire peut être l'adresse du destinataire en pré-voyant une fonction de routage associée à l'organe de chiffrement/-déchiffrement 17. L'invention est de préférence mise en œuvre au moyen d'un programme d'ordinateur comportant des instruc-tions exécutables lorsque le programme est chargé sur un système informatique. A cet effet, l'invention concerne également un support d'informations lisible par un sys- tème informatique, éventuellement amovible, totalement ou partiellement, notamment CD-ROM ou support magnétique, tel un disque dur ou une disquette, ou support transmissible, tel un signal électrique ou optique, comportant des instructions d'un programme ordinateur permettant la mise en œuvre du procédé selon l'invention lorsque ce programme est chargé dans un système informatique et exécuté par celui-ci. Bien entendu, l'invention n'est pas limitée au mode de réalisation décrit et on peut y apporter des va-riantes de réalisation sans sortir du cadre de l'inven- tion tel que défini par les revendications. En particulier, bien que l'invention ait été décrite avec deux réseaux locaux comportant chacun trois portions de réseau local selon des niveaux hiérarchisés, l'invention peut être mise en œuvre avec des réseaux lo- Caux comportant un nombre quelconque de portions de ré-seau y compris une seule portion de réseau, le dispositif de liaison 10 servant alors à assurer un contrôle physique de l'accès au réseau local. On notera à ce propos que l'information de catégorie peut être introduite dans les paquets par chaque ordinateur branché sur la portion de réseau local considérée. On remarquera également que le dispositif selon l'invention permet une liaison sécurisée particulièrement simple en raison de la relation directe entre la commande du commutateur et l'information de catégorie. L'information de catégorie peut être considérée comme une information de commande dédiée qui remplace la liaison dédiée qui était jusqu'à présent établie entre des portions de réseau local de même catégorie. Selon la norme IPsec l'intégrité de tous les champs d'un paquet est garantie par la signature. L'invention peut également être mise en œuvre avec une norme de sécurité qui assure une sécurité différentiée selon la catégorie. REVENDICATIONS 1. Procédé de mise en communication de réseaux locaux (1, 2) dont l'un au moins comporte des portions de réseau local de catégories différentes les unes des autres, la communication étant effectuée selon une transmission par paquets (4), chaque paquet comportant un champs de données et un en-tête comportant un champ d'adresses (5), caractérisé en ce qu'il comporte les éta- pes d'introduire dans un champ (6) de l'en-tête de chaque paquet une information de catégorie à laquelle appartient une portion de réseau local émetteur dont le paquet est issu, de détecter (12) l'information de catégorie d'un paquet au moment d'une introduction du paquet sur un ré- seau de transport commun (3), d'établir une liaison physique exclusive entre la portion du réseau local émetteur et le réseau de transport commun en fonction de l'information de catégorie, et d'assurer une sécurisation du champ d'information de catégorie avant l'introduction du paquet sur le réseau de transport commun. 2. Procédé selon la revendication 1, caractérisé en ce qu'il comporte en outre les étapes de détecter à nouveau l'information de catégorie au moment de la sortie du paquet à partir du réseau de transport commun vers un réseau local destinataire (2) comportant des portions de réseau local de catégories différentes les unes des autres, et d'effectuer une liaison physique exclusive entre le réseau de transport commun (3) et une portion du ré-seau local destinataire en fonction de l'information de catégorie du paquet. 3. Procédé selon la revendication 2, caractérisé en ce que les catégories correspondent à des niveaux de confidentialité et en ce que la portion (LAN B1) de ré-seau local destinataire mise en liaison avec le réseau de transport commun (3) est une portion ayant un niveau deconfidentialité égal ou supérieur à l'information de catégorie de la portion (LAN C2) du réseau local émetteur. 4. Procédé selon la revendication 1, caractérisé en ce que l'information de catégorie est introduite dans chaque paquet (4) immédiatement avant la transmission au réseau de transport commun. 5. Procédé selon la revendication 1, caractérisé en ce qu'il comporte en outre l'étape d'effectuer un chiffrement des données et de l'information de catégorie à l'entrée dans le réseau de transport commun et un dé-chiffrement à la sortie du réseau de transport commun. 6. Support d'informations lisible par un système informatique, éventuellement amovible, totalement ou partiellement, notamment CD-ROM ou support magnétique, tel un disque dur ou une disquette, ou support transmissible, tel un signal électrique ou optique, caractérisé en ce qu'il comporte des instructions d'un programme ordinateur permettant la mise en œuvre d'un procédé selon l'une quelconque des revendications 1 à 5, lorsque ce programme est chargé dans un système informatique et exécuté par celui-ci. 7. Programme d'ordinateur stocké sur un support d'informations, ledit programme comportant des instructions permettant la mise en œuvre d'un procédé selon l'une quelconque des revendications 1 à 5, lorsque ce programme est chargé dans un système informatique et exécuté par celui-ci. 8. Système de mise en communication de portions de réseaux locaux appartenant à au moins deux catégories différentes l'une de l'autre, la communication étant effectuée selon une transmission par paquets (4), chaque paquet comportant un champ de données (8) et un champ d'en-tête (6) adapté à recevoir une information de catégorie, caractérisé en ce qu'il comporte un dispositif de liaison (10) comprenant un organe de détection (12) del'information de catégorie d'un paquet en cours de transmission, cet organe de détection (12) étant relié à un commutateur (14) établissant une liaison physique exclusive entre deux lignes de transmission (15, 16) en fonc- tion de l'information de catégorie contenue dans le paquet (4) en cours de transmission. 9. Système selon la revendication 8, caractérisé en ce que le dispositif de liaison (10) comporte un organe (11) d'introduction de l'information de catégorie associé à chaque portion de réseau local. 10. Système selon la revendication 8, caractérisé en ce que le dispositif de liaison (10) comporte un organe de chiffrement/déchiffrement (17) associé à l'organe de détection de catégorie (12). 11. Système selon la revendication 8, caractérisé en ce que la communication est établie par l'intermédiaire d'un réseau de transport commun (3) et en ce que le système comporte un dispositif de liaison (10) entre le réseau de transport commun et chaque réseau local (1, 2).