Brevet FR2923967A1 — publié le 20090522

PROCÉDÉ DE SÉCURISATION D'UNE CONNEXION DISTANTE D'UN TERMINAL À UN RÉSEAU D'ENTREPRISE DESCRIPTION DOMAINE TECHNIQUE L'invention se situe dans le domaine des télécommunications et concerne un mécanisme de sécurité permettant l'accès à des données d'un réseau de sensibilité inférieure depuis un réseau de sensibilité supérieure sans surclassement des informations consultées. Plus spécifiquement, l'invention concerne un procédé de sécurisation d'une connexion d'un terminal à un premier réseau comportant une pluralité de serveurs d'applications ayant un premier niveau de sécurité à partir d'un deuxième réseau comportant une pluralité de serveurs d'applications ayant un deuxième niveau de sécurité supérieur audit premier niveau de sécurité. ÉTAT DE LA TECHNIQUE ANTÉRIEURE Actuellement il n'est pas possible d'interconnecter deux réseaux ayant des niveaux et des exigences de sécurité différents sans modifier l'infrastructure des deux réseaux et/ou sans diminuer le niveau de sécurité du réseau le plus sensible en terme de cloisonnement, de confidentialité et de contrôle d'accès. De ce fait, l'utilisateur doit avoir un poste de travail par réseau. Le but de l'invention est de permettre un utilisateur connecté à un serveur comportant des données et des applications protégées situé dans un réseau sensible d'accéder à un serveur comportant des données et des applications moins sensibles, situé dans le réseau d'entreprise de l'utilisateur par exemple, tout en assurant le niveau de sécurité exigé pour les données sensibles. EXPOSÉ DE L'INVENTION Ce but est atteint au moyen d'un procédé de sécurisation d'une connexion d'un terminal à un premier réseau comportant une pluralité de serveurs d'applications ayant un premier niveau de sécurité à partir d'un deuxième réseau comportant une pluralité de serveurs d'applications ayant un deuxième niveau de sécurité supérieur audit premier niveau de sécurité, ledit procédé comportant les étapes suivantes: envoyer une requête de connexion du terminal à un serveur de présentation situé sur un réseau dédié et connecté à un premier pare-feu destiné à assurer le contrôle du flux échangé entre le terminal et le serveur de présentation et entre ledit serveur de présentation et les serveurs d'applications du premier réseau, vérifier l'identité dudit terminal au niveau du serveur de présentation, - établir une liaison sécurisée entre le terminal et le serveur de présentation, - rompre toutes les liaisons du terminal avec les serveurs d'applications connectés au deuxième réseau, connecter le terminal au serveur de présentation, authentifier ledit terminal à partir d'une base de données locale située dans le réseau dédié, accéder aux serveurs d'applications connectés au premier réseau. Le procédé selon l'invention permet ainsi d'assurer la sécurité des données sensibles situées dans deuxième réseau car aucun transfert de données de ce deuxième réseau vers le premier réseau n'est possible. Le procédé selon l'invention permet en outre de contrôler tout trafic de fichier entre les serveurs et le terminal tout en préservant l'étanchéité entre les deux réseaux. Préférentiellement, les données transitant entre le terminal et serveur de présentation sont chiffrées. Dans un mode préféré de mise en oeuvre, le serveur de présentation est configuré pour autoriser uniquement des utilisateurs autorisés à accéder à des applications prédéfinies situées dans le deuxième réseau, et pour interdire tout transfert de fichier dudit deuxième réseau vers le premier réseau. Selon une autre caractéristique du procédé, le premier pare-feu et le serveur de présentation sont administrés exclusivement à partir du deuxième réseau. Le procédé selon l'invention comporte en outre un contrôle en temps réel des utilisateurs connectés au premier pare-feu, du trafic échangé entre le terminal et le serveur de présentation, de la configuration et des règles de sécurité installées et utilisées pour les communications entre le terminal et le serveur de présentation et des informations systèmes. Dans une autre variante de réalisation, le 5 procédé selon l'invention comporte une étape consistant à . connecter le terminal à un serveur d'accès situé dans le réseau dédié, - vérifier l'identité du terminal au niveau 10 dudit serveur d'accès, - établir une liaison sécurisée entre le serveur d'accès et le serveur de présentation via un deuxième pare-feu assurant le contrôle du flux échangé entre le terminal et le serveur d'accès et entre le 15 serveur d'accès et le serveur de présentation, - transférer la requête de connexion dudit serveur d'accès au serveur de présentation. Avantageusement, ledit deuxième pare-feu étant adapté pour assurer un masquage d'adresse source, 20 et ledit le serveur d'accès étant configuré pour authentifier le terminal et les droits qui lui sont associés, vérifier si ledit terminal remplit des critères de sécurité prédéfinis, créer une liaison sécurisée entre ledit terminal et le serveur d'accès, 25 transférer la requête de connexion du serveur d'accès vers le serveur de présentation. Selon une caractéristique supplémentaire de l'invention, l'administration des serveurs d'application situés dans le deuxième réseau est 30 effectuée à partir d'un réseau d'administration situé dans ledit deuxième réseau et l'administration des serveurs d'application situés dans le premier réseau est effectuée à partir d'un réseau d'administration situé dans ledit premier réseau. BRÈVE DESCRIPTION DES DESSINS D'autres caractéristiques et avantages de l'invention ressortiront de la description qui va suivre, prise à titre d'exemple non limitatif en référence aux figures annexées dans lesquelles - la figure 1 illustre schématiquement une 10 première topologie de réseau pour la mise en oeuvre du procédé selon l'invention. - la figure 2 illustre schématiquement une deuxième topologie de réseau pour la mise en oeuvre du procédé selon l'invention. 15 EXPOSÉ DÉTAILLÉ DE MODES DE RÉALISATION PARTICULIERS L'architecture réseau de la figure 1 comprend un premier réseau 3 comportant une pluralité de serveurs d'applications 4 ayant un premier niveau de 20 sécurité, un deuxième réseau 6 comportant une pluralité de serveurs d'applications 8 ayant un deuxième niveau de sécurité supérieur audit premier niveau de sécurité, et un réseau dédié 7 comportant un serveur de présentation 10 connecté à un premier pare-feu 12 25 destiné à assurer le contrôle du flux échangé entre, d'une part, un terminal 11 situé connecté au deuxième réseau 6 et le serveur de présentation 10, et d'autre part, entre ledit serveur de présentation 10 et les serveurs d'applications 8 du premier réseau 6. Les applications accessibles à partir du deuxième réseau 6 sont par exemple la messagerie de l'entreprise, au système GED (Gestion électronique de document), ou à l'intranet. L'accès à ces applications se fait à travers le serveur de présentation 10 au moyen d'une interface WEB selon les étapes suivantes : - envoi par l'utilisateur du terminal 11 d'une requête de connexion au serveur de présentation 10, - demande d'établissement d'un tunnel VPN IPSEC (pour Virtual Private Network IP Security), - vérification de l'identité du terminal 11 par le serveur 10, rupture de toutes les liaisons dudit terminal 11 avec les serveurs d'applications 8 connectés au deuxième réseau 6, et établissement du tunnel VPN IPSEC, - authentification dudit terminal 11 à partir d'une base de données locale située dans le réseau dédié 7, - accès aux serveurs 4 autorisés du premier réseau 3. Dans l'architecture décrite à la figure 1, le pare-feu 12 délimite le deuxième réseau 6 et le premier réseau 3 qui peut être un réseau d'entreprise. La matrice des flux échangés entre le terminal 11 et le serveur de présentation est représentée sur le tableau ci-dessous :30 Définition Adresse Adresse Port Port protocole Application source destination source destination Client vers @client @serveur de >1024 1494 ICA � Flux serveur de présentation 80 ICA over affichage présentation HTTP Serveur de @Serveur de @serveur >1024 80 Intranet Application présentati présentation d'application RPC Exchange autorisée vers on DCOM GED serveur d'application CHIFFREMENT Le client VPN demande automatiquement le chiffrement de toutes les communications en provenance du terminal 11 vers le serveur de présentation 10 de manière à permettre l'authentification du terminal 11 et la vérification de la validité du certificat de l'utilisateur. En outre tous les flux transitant du serveur de présentation 10 vers le réseau d'entreprise 3 sont filtrés (adresse et port source/ adresse et port destination/conformité des protocoles aux normes/Signature). Préférentiellement, le pare-feu 12 n'est 15 pas applicatif et est configuré pour assurer une translation d'adresse source. Le chiffrement peut être du type chiffrement AES ou tout autre procédé de chiffrement sans sortir du cadre de l'invention. 20 Notons que l'établissement du tunnel IPSEC entre le serveur de présentation 10 et le terminal 11 entraîne automatiquement une rupture des communications du terminal 11 avec le premier réseau 3. Notons également que le serveur de présentation 10 est configuré pour interdire tout transfert de fichiers du premier réseau 3 vers le deuxième réseau 6 et réciproquement et pour accéder uniquement aux applications autorisées pour des utilisateurs définis. De ce fait, les seules données transitant du serveur de présentation 10 vers le deuxième réseau 6 sont des données d'affichage. Les fichiers temporaires et les fichiers utilisateurs, non protégés, sont stockés uniquement sur le serveur de présentation. Au niveau du terminal, l'utilisateur ne dispose d'aucun droit d'administration. Plus spécifiquement, si le terminal accède à des ressources du premier réseau 3 via le serveur de présentation, les données accédées sont chiffrées automatiquement. Par contre, aucun chiffrement n'est appliqué si le terminal 11 accède à des ressources du réseau local d'entreprise (premier réseau 3). L'administration des équipements de sécurité, pare-feu 10 et serveur de présentation 12, est effectuée à partir du deuxième réseau 6 depuis un poste spécifique dédié et à travers un tunnel dédié. L'administration du pare-feu consiste à créer des règles de filtrage du flux, des tunnels, et des listes d'utilisateurs autorisés. L'administration du serveur de présentation consiste à créer et détruire des comptes, et à configurer des services. Des fichiers journaux sont conservés sur un 30 serveur dédié appelé serveur Syslog, connecté au serveur de présentation 10. Les communications sont toujours orientées dans le sens pare-feu 12 et serveur de présentation 10 vers le serveur Syslog. Pour les connexions entre le terminal 11 et le pare-feu, les informations conservées sont : - les données de connexion entre le terminal 11 et le pare-feu 12 telles que par exemple les certificats utilisés et la durée de la connexion, - les données de connexion entre le serveur de présentation 10 et le réseau local (réseau 3 d'entreprise) telles que par exemple les règles utilisées, les tentatives de connexion illicites (paquets rejetés), et - les modifications de configuration. Pour les connexions au serveur de présentation 10, les informations conservées sont : - les données de connexions et les applications accédées (non de l'utilisateur, durée de la connexion, ressources accédées), - les erreurs d'authentification sur le serveur de présentation 10, et, - les modifications de configurations. Les fichiers journaux de l'ensemble des équipements de sécurité sont accessibles directement à partir de consoles d'administration dédiées et sont archivés et gardés sur le serveur Syslog. Notons qu'il est possible à l'administrateur de voir en temps réel, depuis une console d'administration connectée sur le deuxième réseau 6 : • Sur la passerelle de connexion - les utilisateurs connectés (tunnels VPN actifs) sur le pare-feu, - le trafic (paquets rejetés, paquets acceptés) -les fichiers journaux, - la configuration et les règles installées et utilisées, - les informations système (charge CPU, charge réseau...). • Sur le serveur de présentation 10 - les applications accédées, - le nombre de connexions simultanées/trafic Ethernet, - les paramètres du serveur 10 (charge CPU, mémoire, disque...). L'architecture réseau de la figure 2 comprend un premier réseau 3 comportant une pluralité de serveurs d'applications 4 ayant un premier niveau de sécurité, un deuxième réseau 6 comportant une pluralité de serveurs d'applications 8 ayant un deuxième niveau de sécurité supérieur audit premier niveau de sécurité, et un réseau dédié 7 comportant un serveur de présentation 10 connecté à un premier pare-feu 12 destiné à assurer le contrôle du flux échangé entre, d'une part, un terminal 11 connecté au deuxième réseau 6 et le serveur de présentation 10, et d'autre part, entre ledit serveur de présentation 10 et les serveurs d'applications 8 du premier réseau 6. Dans cette architecture, le deuxième réseau 6 comporte en outre une passerelle d'accès 20 et un deuxième pare-feu 22 assurant le contrôle du flux échangé entre, d'une part, le terminal 11 et la passerelle d'accès 20 et d'autre part, entre la passerelle d'accès 20 et le serveur de présentation 10. Dans cette configuration, le procédé comporte en outre les étapes suivantes : - connecter le terminal 11 au serveur d'accès 20, vérifier l'identité du terminal 11 au niveau dudit serveur d'accès 20, - établir une liaison sécurisée entre la passerelle d'accès 20 et le serveur de présentation 10 via le deuxième pare-feu 22, - transférer la requête de connexion dudit serveur d'accès 20 au serveur de présentation 10. La passerelle d'accès 20 est configurée pour authentifier le terminal 11 et les droits qui lui sont associés, vérifier si ledit terminal 11 remplit des critères de sécurité prédéfinis, créer une liaison sécurisée entre ledit terminal 11 et, transférer la requête de connexion du serveur d'accès 20 vers le serveur de présentation 10. Dans ce mode de mise en oeuvre du procédé selon l'invention, l'administration des serveurs d'application 8 du deuxième réseau 6 est effectuée à partir d'un réseau d'administration situé dans ledit deuxième réseau 6 et l'administration des serveurs d'application 4 du premier réseau 3 est effectuée à partir d'un réseau d'administration situé dans ledit premier réseau 3. Les applications accédées sont déclarées sur le serveur de présentation 10 et publiées par ce dernier. L'accès à ces applications se fait via une interface WEB selon les étapes suivantes : - envoi par l'utilisateur du terminal 11 d'une requête de connexion au serveur de présentation 10, -accès au serveur de présentation 10, - vérification de l'identité de l'utilisateur du terminal 11, - établissement d'un tunnel VPN SSL (pour Virtual Private Network SSL (pour Secure Socket Layer)) (identification dd l'utilisateur par token ou username/password), - vérification de la conformité du terminal 11, - contrôle du split tunneling au niveau du driver NDIS (pour Network Driver Interface Specification), - transfert de la requête vers le serveur de présentation 10 et transfert de la requête de l'authentification, - accès aux applications autorisées via un portail dédié aux utilisateurs, - accès aux données après authentification de l'utilisateur par l'application demandée si cela est nécessaire. La matrice des flux échangés entre le terminal 11 et le serveur de présentation 10 est représentée sur le tableau ci-dessous:30 Définition Adresse Adresse Port Port protocole Application source destination ù source destination Client vers �client @AccessGW >1024 443 ICA over � Flux serveur de authentifié HTTP affichage présentation Passerelle @AccessGW @ serveur de >1024 443 HTTP d'accès vers présentation authentifié serveur de présentation serveur de @ serveur de @serveur >1024 80 RPC Intranet Application présentation présentation d'application DCOM EGExDchange autorisée vers Application Configuration du deuxième pare-feu 22 Pour le flux circulant entre le deuxième réseau 6 et la passerelle d'accès 20, le deuxième pare-feu 22 est configuré de manière à masquer l'adresse source et à filtrer les flux HTTPS autorisés. Configuration du premier pare-feu 12 Notons qu'il n'y a pas de rupture de session au niveau du premier pare-feu 12 dans la mesure où ce dernier n'est pas applicatif. Pour le flux circulant entre la passerelle d'accès 20 et le serveur de présentation 10, le premier pare-feu 12 est configuré de manière à filtrer les flux HTTPS autorisés, tandis que pour le flux circulant entre le serveur de présentation 10 et la passerelle d'accès 20, tous les flux sont filtrés (adresse et port source/ adresse et port destination/conformité des protocoles aux normes/signature IDPS). Le premier pare-feu 12 assure une translation d'adresse source en utilisant (masquage par l'adresse du pare-feu). Configuration de la passerelle d'accès 20 La passerelle d'accès 20 est configurée pour . authentifier les utilisateurs et les droits associés à ces derniers, vérifier que le terminal connecté remplit les critères de sécurité, créer un tunnel VPN SSL entre le terminal client et la passerelle d'accès 20, créer et utiliser un ticket d'authentification valable durant toute la communication, contrôler le Split tunneling de sorte que le flux SSL circule à travers une interface réseau virtuelle isolée de l'interface connectée sur le réseau locale (réseau d'entreprise 3), - définir et contrôler des stratégies pour l'accès aux applications en fonction des droits spécifiques à ces applications, authentifier l'utilisateur, s'interfacer complètement avec le serveur de présentation 10 de manière à authentifier les communications entre le client et la passerelle d'accès 20 et entre cette dernière et le serveur de présentation 10. Configuration du serveur de présentation 10 Le serveur de présentation 10 est configuré pour . accéder uniquement aux applications autorisées (applications publiées) et pour des utilisateurs définis par installation des composantes clientes des applications dns le cas d'applications client serveur, interdire tout transfert de fichier du deuxième réseau 6, notamment à partir du disque dur local, vers le premier réseau 3 (réseau d'entreprise), les seules données transitant du serveur de présentation 10 vers le deuxième réseau 6 sont des données d'affichage. Les fichiers temporaires et les fichiers utilisateurs comportant des données non protégées sont stockés uniquement sur le serveur de présentation 10. Configuration du terminal d'utilisateur 11 Notons qu'aucune installation n'est nécessaire si l'authentification de l'utilisateur se fait par username/Mot de passe. Par contre, si l'authentification se fait par jeton cryptographique, une librairie spécifique et un driver cryptographique doivent être installés sur le terminal pour que le navigateur utilisé puisse récupérer la clé privé dans le jeton et non dans le magasin de certificat Internet Explorer). Administration des équipements du premier réseau 3 et du deuxième réseau 6 Notons que l'administration des équipements du deuxième réseau 6 est effectuée à partir d'un réseau d'administration situé dans ledit deuxième réseau 6 et l'administration des serveurs d'application 4 du premier réseau 3 est effectuée à partir d'un réseau d'administration situé dans ledit premier réseau 3. En ce qui concerne les équipements du deuxième réseau 6, l'administration du deuxième pare- feu 22 est réalisée au moyen des outils d'administration du pare-feu (WEB et SSH (Secure Shell)) à partir d'une console dédiée et consiste à : créer des règles de filtrage de flux entre le deuxième réseau 6 et la passerelle d'accès 20, créer des règles de flux entre la passerelle d'accès 20 et le serveur de présentation 10, visualiser les états des équipements en temps réel, générer des rapports. En ce qui concerne les équipements du premier réseau d'entreprise (premier réseau 3), l'administration du premier pare-feu 12 est réalisée en SSH ou selon un protocole propriétaire authentifié et chiffré depuis le réseau d'administration de l'entreprise commun à l'administration de tous les équipements de sécurité et isolé dudit réseau d'entreprise. Cette administration consiste à : créer des règles de flux entre la passerelle d'accès et le serveur de présentation 10, 20 visualiser les états des équipements en temps réel, générer des rapports. Notons que des fichiers journaux sont conservés sur deux serveurs dédiés appelés (Serveurs Syslog) sur le réseau d'administration des équipements du deuxième réseau 6 et sur le réseau d'administration des équipements d'entreprise. Les communications sont toujours dans le sens pare-feu et serveur de présentation vers le serveur de log. Les informations collectées au niveau du deuxième pare-feu 22 concernent l'ensemble du trafic transitant par le deuxième pare-feu 22 et toutes les modifications de configuration. Les informations collectées au niveau de la passerelle d'accès 20 sont les données de connexion sur le serveur de présentation 10, les erreurs d'authentification, et les modifications de configuration. Les fichiers journaux collectés par le pare-feu en zone d'entreprise comportent les connexions entre la passerelle d'accès 20 et le serveur de présentation 10, les données de connexion entre le serveur de présentation et le réseau d'entreprise 3, les tentatives de connexions illicites par paquets rejetés et les modifications de configuration. Le procédé selon l'invention permet ainsi à un utilisateur connecté à un serveur comportant des données et des applications protégées situé dans le deuxième réseau 6 d'accéder à un serveur comportant des données et des applications moins sensibles, situé dans le réseau d'entreprise 3 de l'utilisateur tout en assurant le niveau de sécurité exigé pour les données sensibles. REVENDICATIONS 1. Procédé de sécurisation d'une connexion d'un terminal de communication (1) à un premier réseau (3) comportant une pluralité de serveurs d'applications (4) ayant un premier niveau de sécurité à partir d'un deuxième réseau (6) comportant une pluralité de serveurs d'applications (8) ayant un deuxième niveau de sécurité supérieur audit premier niveau de sécurité, procédé caractérisé par les étapes suivantes . envoyer une requête de connexion du terminal (1) à un serveur de présentation (10) situé sur un réseau dédié (7) et connecté à un premier pare-feu (12) destiné à assurer le contrôle du flux échangé entre le terminal (1) et le serveur de présentation (10) et entre ledit serveur de présentation (10) et les serveurs d'applications (8) du premier réseau (6), - vérifier l'identité dudit terminal au niveau du serveur de présentation (10), -établir une liaison sécurisée entre le terminal (1) et le serveur de présentation (10), - rompre toutes les liaisons du terminal (1) avec les serveurs d'applications (8) connectés au deuxième réseau (6), - connecter le terminal (1) au serveur de présentation (10), - authentifier ledit terminal (1) à partir d'une base local située dans le réseau dédié (7), -accéder aux serveurs d'applications (4) connectés au premier réseau (3). 2. Procédé selon la revendication 1, dans lequel, les données transitant entre le terminal (1) et serveur de présentation (10) sont chiffrées. 3. Procédé selon la revendication 2, dans lequel, le serveur de présentation (1) est configuré pour autoriser uniquement des utilisateurs autorisées à accéder à des applications prédéfinis situées dans le deuxième réseau (6), et pour interdire tout transfert de fichier dudit deuxième réseau (6) vers le premier réseau (3). 4. Procédé selon la revendication 3, dans lequel, le premier pare-feu (12) et le serveur de présentation (10) sont administrés exclusivement à partir du deuxième réseau (6). 5. Procédé selon la revendication 4, comportant un contrôle en temps réel : - des utilisateurs connectés au premier pare-feu (12), - du trafic échangé entre le terminal (1) et le serveur de présentation (10), - de la configuration et des règles de sécurité installées et utilisées pour les communications entre le terminal (11) et le serveur de présentation (10), - des informations systèmes. 6. Procédé selon la revendication 4, comportant en outre une étape consistant à :- connecter le terminal (11) à un serveur d'accès (20) situé dans le réseau dédié (7), vérifier l'identité du terminal (11) au niveau dudit serveur d'accès (20); - établir une liaison sécurisée entre le serveur d'accès (20) et le serveur de présentation (10) via un deuxième pare-feu (22) assurant le contrôle du flux échangé entre le terminal (1) et le serveur d'accès (20) et entre le serveur d'accès (20) et le serveur de présentation (10), - transférer la requête de connexion dudit serveur d'accès (20) au serveur de présentation (10). 7. Procédé selon la revendication 6, dans lequel le deuxième pare-feu (22) assure un masquage d'adresse source. 8. Procédé selon la revendication 6, dans lequel le serveur d'accès (20) est configuré pour authentifier le terminal (11) et les droits qui lui sont associés, vérifier si ledit terminal (11) remplit des critères de sécurité prédéfinis, créer une liaison sécurisée entre ledit terminal (11) et le serveur d'accès (20), transférer la requête de connexion du serveur d'accès (20) vers le serveur de présentation (10). 9. Procédé selon la revendication 6, dans lequel l'administration des serveurs d'application (8) du deuxième réseau (6) est effectuée à partir d'un réseau d'administration situé dans ledit deuxièmeréseau (6) et l'administration des serveurs d'application (4) du premier réseau (3) est effectuée à partir d'un réseau d'administration situé dans ledit premier réseau (3).5