Brevet FR2928797A1 — publié le 20090918

PROCEDE D'ACCES MAITRISE D'UN SYSTEME D'INFORMATION A AU MOINS UNE UNITE LOGIQUE DISTANTE D'UN AUTRE SYSTEME D'INFORMATION PROTEGE La présente invention se rapporte à un procédé d'accès maîtrisé d'un système d'information, via un réseau de transport de données, à au moins une unité logique distante d'un autre système d'information protégé. Lorsqu'un utilisateur d'un système d'information d'une société A désire accéder à partir de ce système aux systèmes d'information de différentes sociétés B, C ... (avec leur accord), qui sont protégés chacun par une infrastructure de sécurité à base de pare-feux, cet accès doit respecter les conditions suivantes : la sécurité d'accès doit être garantie, les caractéristiques des accès doivent être relativement indépendantes de la distance, les performances de temps de réponse doivent rester suffisantes pour l'activité considérée et la plupart des applications doivent être accessibles. Actuellement, ce problème n'est jamais complètement résolu. Les solutions actuelles sont les suivantes : - Première solution : cette solution consiste à déporter dans les locaux de la société � A � une extension du réseau informatique de la société � B � (� C � ou � D �, .). Le défaut de cette solution est qu'elle implique d'avoir plusieurs postes informatiques (autant que de sociétés). - Deuxième solution : mettre en place un VPN (� Virtual Private Network �, c'est-à-dire un réseau virtuel privé) entre le poste client et l'infrastructure d'accès à la bulle. Le défaut de cette solution est qu'avec un accès VPN, on ne maîtrise pas complètement le contenu des informations et protocoles transportés dans le VPN et en général cette solution ne permet pas d'accéder simultanément à plusieurs sociétés à partir du même poste physique. - Troisième solution : Utiliser un � Reverse Proxy �. Cette solution ne permet pas d'accéder à toutes les applications : en effet le Reverse Proxy ne supporte que le flux HTTP ou HTTPS. De plus cette solution autorise l'entrée d'un même protocole depuis l'extérieur de la société vers l'intérieur de la société...DTD: La présente invention a pour objet un procédé d'accès maîtrisé d'un système d'information à au moins une unité logique distante d'un autre système d'information protégé, via un réseau de transport de données, procédé pouvant être mis en oeuvre avec le matériel le plus simple possible et sans modification de ce matériel, tout en maîtrisant le contenu des informations et protocoles transportés, et en ayant accès à tous les services disponibles en assurant un niveau suffisant de performance. Le procédé conforme à l'invention est caractérisé en ce qu'il comporte les étapes suivantes : - l'utilisateur désirant avoir accès à un système d'information protégé, comportant un serveur sécurisé d'accès distant, avantageusement de type � SUN Secure Global Desktop Software �, dans sa zone � DMZ �, se connecte par l'intermédiaire d'un navigateur de son poste à ce serveur sécurisé à l'aide d'un dispositif d'authentification, - l'authentification est validée soit par le serveur sécurisé, soit par un système d'authentification interne, -l'authentification étant terminée, le serveur sécurisé envoie au poste de l'utilisateur une page d'accueil et un petit programme d'ouverture de session de protocole de transmission, - l'utilisateur sélectionne la ou les entités logiques/physiques distantes auxquelles il veut accéder et à laquelle (auxquelles) il a droit d'accéder, en la (les) désignant sur la page d'accueil, - suite à cette désignation, le petit programme d'ouverture de session ouvre sur le serveur sécurisé une session de travail avec la ou les unités distantes concernées via un protocole de déport d'affichage prenant en compte la qualité des liaisons réseau distantes (WAN) que l'on nommera �protocole A �, - chaque unité concernée envoie à son tour au serveur sécurisé d'accès distant une fenêtre �nom d'utilisateur/mot de passe � pour s'authentifier dans le système d'information dont l'unité est un membre, - le serveur sécurisé envoie via un protocole approprié cette fenêtre à l'utilisateur, lequel s'authentifie avec son nom d'utilisateur et son mot de passe correspondant pour le système d'information dans lequel l'unité est inscrite, - l'utilisateur accède à l'unité (aux unités) choisie(s) et effectue le travail envisagé, - ce travail étant terminé, il se déconnecte de l'unité (des unités) choisie(s) et du serveur sécurisé. La présente invention sera mieux comprise à la lecture de la description détaillée d'un mode de réalisation, pris à titre d'exemple non limitatif et illustré par le dessin annexé, sur lequel : - la figure unique est un bloc-diagramme simplifié de l'architecture générale d'un dispositif de mise en oeuvre du procédé de l'invention, présentant les trois étapes principales de la connexion d'un PC physique de la société A aux machines situées dans les sociétés B ou C. On a choisi d'illustrer l'invention avec un mode de mise en oeuvre décrit ci-dessous en référence à un utilisateur faisant partie d'une société A désirant utiliser des unités logiques (serveurs d'applications) de deux sociétés B et C, qui peuvent être ou non géographiquement proches de la société A, mais il est bien entendu que l'invention n'est pas limitée à cet exemple, et qu'elle peut être mise en oeuvre dans d'autres cas pour lesquels un utilisateur disposant d'un poste d'accès à partir duquel il désire accéder à au moins une unité logique ou physique de tout système d'information protégé, via un réseau de transport de données, quelle que soit la nature de ce réseau (internet, intranet, liaison HF,...), la seule condition étant que le poste d'accès et le réseau de transport acceptent le protocole IP et que la société accédée l'ait formellement autorisé. Dans l'exemple illustré par le dessin, un utilisateur d'un poste de travail 1 de la société A désire accéder à un serveur d'applications 2 d'une société B et à un serveur d'applications 3 d'une société C. Le poste 1 est équipé d'un dispositif d'authentification forte de l'utilisateur, cela peut-être un lecteur de carte à puce, ou tout autre système (reconnaissance biométrique par exemple). Cet utilisateur désire sélectionner l'application du serveur 2 (de la société B) ou 3 (de la société C) à laquelle il souhaite accéder. Pour cela, cet utilisateur connecte, via un réseau de communication 1A, le poste 1 à un serveur sécurisé d'accès distant 4 (de la société B) ou 5 (de la société C) installé sur la DMZ 4A ou 5A (zone �démilitarisée �), connectée à un pare-feu 4B ou 5B de la société concernée, et il s'authentifie en utilisant le système d'authentification forte en utilisant le principe du système à clés publiques (dite � PKI � pour Public Key Infrastructure). Les serveurs sécurisés d'accès distant installés dans les DMZ permettent à l'utilisateur de se connecter à l'intérieur des sociétés en jouant un rôle de � proxy � avec une rupture protocolaire : l'utilisateur se connecte au serveur sécurisé d'accès distant concerné avec le protocole AIP (ou AIPS) par exemple, et le serveur sécurisé d'accès distant refait une connexion vers la machine interne à la société B ou C avec un autre protocole, par exemple le protocole RDP, ICA ou X11. Les pare-feux ne doivent laisser passer que les flux nécessaires, c'est à dire les flux HTTP, HTTPS, AIP et AIPS. Optionnelle ment, les protocoles AIP et AIPS peuvent être véhiculés dans HTTP ou HTTPS, car si les entreprises ouvrent en général les ports HTTP et HTTPS, elles ne permettent pas, par défaut, le passage d'un flux tel que celui de AIPS (5307). Il s'agit de connexions entrantes uniquement depuis la société A au travers du réseau de transport vers le réseau DMZ de la société B ou C. Lorsque l'utilisateur est reconnu par le serveur sécurisé d'accès distant auquel il s'est connecté, il accède, en s'identifiant à nouveau, à une machine ou unité logique (PC physique, PC virtuel, station de travail Unix, serveur Citrix�, serveurs TSE,...) du système d'information de la société B (unités 6) ou C (unité 7), comportant tous les clients applicatifs et outils logiciels dont il a besoin. Les machines possédant la partie cliente des applications sont installées sur le réseau de la société B ou C, et dans la mesure du possible, sur le réseau local des serveurs d'applications des Unités afin de conserver des temps de réponse d'accès optimaux aux applications choisies. Le serveur sécurisé d'accès distant D accède au travers d'un pare-feu aux 30 machines (PC physique, PC virtuel, station de travail Unix, serveur Citrix, serveurs TSE) qui sont à l'intérieur de la Société B ou C uniquement à partir des protocoles de déport d'affichage autorisés sur le pare-feu, c'est à dire actuellement RDP, ICA ou X11.I1 s'agit de connexions entrantes uniquement depuis la DMZ de la société B ou C vers le réseau interne de la société B ou C respectivement. Le fait que le protocole réseau entrant depuis la société A vers la DMZ (HTTP ou HTTPS) soit différent du flux entrant de la DMZ vers la société B (RDP, ICA ou X11) créé une rupture protocolaire qui renforce considérablement la sécurité d'accès aux sociétés B ou C, puisque le protocole réseau permettant d'accéder à l'intérieur de la société (RDP, ICA ou X11) est complètement interdit en entrée du pare-feu. Tous les protocoles de communication cités ici sont des protocoles qui aujourd'hui permettent à la solution de fonctionner, mais ils sont cités à titre indicatif et non limitatif. De façon détaillée, l'accès des unités logiques ou physiques des sociétés B et C se réalise suivant le processus suivant : 1. l'utilisateur du PC de la société A., que nous appellerons PCA, se connecte à partir de son navigateur, par exemple un navigateur classique Internet, via le réseau lA en utilisant le protocole HTTPS (ou http) sur le serveur sécurisé d'accès distant 4 ou 5 de la DMZ 4A ou 5A de la société B ou C à laquelle il veut accéder en utilisant un moyen d'authentification tel qu'une carte à puce autorisée, 2. Le serveur sécurisé d'accès distant correspondant valide l'authentification ou délègue l'authentification à un système d'authentification interne correspondant (SSO, ...) 3. L'authentification étant terminée, le serveur sécurisé d'accès distant renvoie au poste PCA de l'utilisateur un petit programme d'ouverture de session de protocole de transmission, par exemple un � applet Java � et une page d'accueil contenant la liste des machines ou unités logiques (machine (PC physique, PC virtuel, station de travail Unix, serveur Citrix, serveurs TSE) auquel cet utilisateur a le droit d'accéder, ces machines ou unités logiques étant figurées par exemple par des icônes de la page d'accueil, 4. L'utilisateur de la société A clique alors sur l'icône de la machine ou unité logique à laquelle il souhaite accéder, 5. suite à cette action 1' applet java ouvre une session via le protocole AIPS (ou AIP, protocole de déport d'affichage de SUN) sur le serveur sécurisé d'accès distant considéré, 6. Le serveur sécurisé d'accès distant concerné ouvre une session RDP, ou ICA ou X11 vers la machine ou l'unité logique concernée, 7. La machine ou unité logique concernée renvoie au serveur sécurisé d'accès distant une fenêtre de � nom d'utilisateur/mot de passe � pour s'authentifier dans le système d'information (AI), NT4, NIS, ..) dont la machine ou unité logique est un membre, 8. Le serveur sécurisé d'accès distant renvoie via le protocole AIPS (ou AIP) cette fenêtre de � nom d'utilisateur/mot de passe � à l'utilisateur de la société A, lequel s'authentifie avec son �nom d'utilisateur/mot de passe � dans le système d'information où la machine est inscrite, 9. Une fois l'étape 8 réalisée, l'utilisateur de la société A accède à la machine de la société B ou C et peut utiliser les outils lui permettant de réaliser son travail. Le système de l'invention présente également des fonctions annexes. Les utilisateurs de la société A ont la possibilité d'imprimer, de rapatrier des données ou de faire des � copier/coller � à l'intérieur de la société A, ce qui peut être nécessaire pour certaines activités. Toutes ces fonctionnalités peuvent être activées ou désactivées à volonté à partir du paramétrage des serveurs sécurisés d'accès distant correspondants. En conclusion, la solution de l'invention utilise une architecture d'infrastructure informatique qui intègre différents composants permettant de répondre aux quatre aspects du problème .que sont la sécurité, l'accès à distance, les performances et la totale disposition des applications accessibles : - La sécurité est prise en compte de manière globale en intégrant : l'authentification forte réalisée à base de PKI avec les solutions du marché, la protection réseau en utilisant grâce à un pare- feu à l'entrée des machines des sociétés B et C, du chiffrement des flux transitant par le réseau (réalisée ici avec la solution proposée par � SUN Secure Global DeskTop Software �), un serveur d'accès sécurisé dans les DMZ gérant toutes les connexions mettant en oeuvre une rupture protocolaire (c'est à dire que les connexions depuis la société A vers le serveur d'accès sécurisé sont réalisées avec un protocole réseau et que les connexions faites depuis le serveur d'accès sécurisé vers la société B sont faites avec un autre protocole), - Ce dispositif présente l'avantage de favoriser le principe de développement durable dans la mesure ou il permet de réduire le nombre de poste de travail physique. - L'accès à distance est réalisé en utilisant un client léger permettant l'accès aux environnements Windows et UNIX (réalisée avec la solution proposée par SUN Secure Global DeskTop Software) -Les performances ne dépendent que très faiblement des applications accédées car les accès distants sont réalisées avec un protocole de déport d'affichage s'adaptant à la qualité du réseau informatique utilisée et non pas avec les clients spécifiques aux applications. - Toutes les applications peuvent être accédées car le principe est de se connecter depuis la société A à un PC, un serveur ou une station de travail de la société B qui elle va se connecter aux applications de la société B. REVENDICATIONS 1. Procédé d'accès maîtrisé d'un système d'information à au moins une unité logique distante d'un autre système d'information protégé, via un réseau de transport de données, caractérisé en ce qu'il comporte les étapes suivantes : - l'utilisateur désirant avoir accès à un système d'information protégé, comportant un serveur sécurisé d'accès distant dans sa zone � DMZ �, se connecte par l'intermédiaire d'un navigateur de son poste à ce serveur sécurisé à l'aide d'un dispositif d'authentification, -l'authentification est validée soit par le serveur sécurisé, soit par un système d'authentification interne, l'authentification étant teirninée, le serveur sécurisé envoie au poste de l'utilisateur une page d'accueil et un petit programme d'ouverture de session de protocole de transmission, -l'utilisateur sélectionne la ou les entités logiques/physiques distantes auxquelles il veut accéder et à laquelle (auxquelles) il a droit d'accéder, en la (les) désignant sur la page d'accueil, - suite à cette désignation, le petit programme d'ouverture de session ouvre sur le serveur sécurisé une session de travail avec la ou les unités distantes concernées via un protocole de déport d'affichage prenant en compte la qualité des liaisons réseau distantes (WAN) que l'on nommera � protocole A �, - chaque unité concernée envoie à son tour au serveur sécurisé d'accès distant une fenêtre � nom d'utilisateur/mot de passe � pour s'authentifier dans le système d'information dont l'unité est un membre, le serveur sécurisé envoie via un protocole approprié cette fenêtre à l'utilisateur, lequel s'authentifie avec son nom d'utilisateur et son mot de passe correspondant pour le système d'information dans lequel l'unité est inscrite, - l'utilisateur accède à l'unité (aux unités) choisie(s) et effectue le travail envisagé, - ce travail étant terminé, il se déconnecte de l'unité (des unités) choisie(s) et du serveur sécurisé. 2.Procédé selon la revendication 1, caractérisé en ce que le serveur sécurisé est un serveur de type � SUN Secure Global Desktop Software�. 3. Procédé selon la revendication 1 ou 2, caractérisé en ce que le réseau de transport de données est l'un des réseaux suivants : Internet, intranet, liaison HF. 4. Procédé selon la revendication 3, caractérisé en ce que l'utilisateur se connecte au serveur sécurisé par un protocole HTTP ou HTTPS. 5. Procédé selon l'une des revendications précédentes, caractérisé en ce que le petit programme d'ouverture de session de protocole de transmission est un � applet JAVA �. 6. Procédé selon l'une des revendications précédentes, caractérisé en ce que ledit protocole de déport d'affichage est ouvert par le petit programme d'ouverture de session de protocole de transmission via un protocole AIP ou AIPS. 7. Procédé selon l'une des revendications précédentes, caractérisé en ce que lorsque l'utilisateur a désigné l'unité (les unités) à laquelle (auxquelles) il désire accéder, le serveur sécurisé ouvre une session RDP, ICA ou X11. 8. Procédé selon l'une des revendications précédentes, caractérisé en ce que lorsque l'unité logique a envoyé au serveur sécurisé une fenêtre � nom d'utilisateur/mot de passe � pour s'authentifier dans le domaine dont l'unité est un membre, le serveur sécurisé envoie cette fenêtre à l'utilisateur via un protocole AIP ou AIPS.