Brevet FR2932043A1 — publié le 20091204

Procédé de traçabilité et de résurgence de flux pseudonymisés sur des réseaux de communication, et procédé d'émission de flux informatif apte à sécuriser le trafic de données et ses destinataires La présente invention concerne un procédé de traçabilité et de résurgence de flux pseudonymisés dans des réseaux de communication, notamment de télécommunication et de télédiffusion, susceptible de faciliter la détection de flux non autorisés, ou recherchés pour d'autres motifs tels que des traitements statistiques ou analyses métrologiques. Elle concerne également un procédé d'émission d'un flux informatif dans un tel réseau, apte à sécuriser le trafic ou l'accès à des données, ses destinataires et les équipements terminaux utilisés par ceux-ci. Elle concerne aussi un dispositif de garantie d'identité d'interlocuteur apte à s'affranchir du recours à la 1 o divulgation d'identités réelles. L'invention s'applique notamment pour lutter contre les téléchargements illégaux d'oeuvres de l'esprit (ascendant ou descendant û � uploading �, � downloading � - et toute forme de mise à disposition pour une diffusion ou une activation de flux), ainsi encore que l'envoi de messages non sollicités 15 ou la sollicitation massive d'abonnés pour inciter au rappel de numéros en réalité facturés notamment. Elle s'applique également pour analyser et protéger les interdépendances dans les infrastructures critiques d'information et de communication. Elle s'applique aussi pour instaurer de la confiance dans des relations entre communicants. 20 Par la suite, le mot � flux � désignera notamment des envois de fichiers, documents, émissions de flux, courriers, appels téléphoniques, sous une forme analogique ou numérique, ainsi qu'une émission via une activation de ses équipements par un tiers, suite à leur mise à disposition volontaire ou 25 non. Ce flux peut intervenir entre tous types de terminaux ou de supports de communication. L'activation comme les destinataires ou le contenu du flux peuvent être voulus ou non, et choisis ou aléatoires. Par la suite, le mot � serveur � désignera autant un serveur, qu'un 30 ordinateur, qu'une machine informatique, ou que tout support participant à une opération informatique de distribution d'information. Ceci englobe tout support de communication, tout équipement susceptible d'émettre un flux sur un réseau de télécommunication ou de télédiffusion, à l'instar des téléphones portables comme des agendas électroniques ou encore des réseaux de capteurs ou d'actuateurs. Elle englobe plus généralement les équipements annexes aux premiers et susceptibles de participer à cette action, par exemple des mémoires électroniques externes. Les réseaux, ouverts ou fermés, utilisés en télécommunication pour l'émission et la circulation de tous types de flux voient la coexistence d'usages licites ou illicites, amicaux ou intempestifs. Leur grand nombre, en 1 o termes de diversité et de débits, réduit la possibilité d'y détecter aisément ces usages déviants. Aux difficultés techniques s'ajoutent des contraintes d'ordres légaux, réglementaires, éthiques, culturels ou économiques. Les téléchargements notamment sur Internet, ou variantes telles que le pair 15 à pair, la mise à disposition en vue d'un flux ponctuel aussi bien que continu de type � streaming �, sont essentiellement apparus avec l'émergence du haut débit chez l'abonné (ADSL ou fibre optique). Ce problème est d'actualité, dans le monde mais particulièrement en France, suite au succès présent du haut débit et en particulier des contraintes suivantes, parfois 20 contradictoires : - les créateurs et les producteurs désirent être rémunérés pour l'accès à leurs oeuvres ; - les fournisseurs d'accès internet (FAI) ne souhaitent pas exercer une fonction de police sur le réseau ; 25 - la majorité des internautes veulent bien consommer en toute légalité, à la condition que ce soit simple et peu cher ; - enfin des organismes de protection des libertés, à l'instar de la CNIL en France, sont réticents à ce que l'on observe, hors de tout cadre légal, les comportements privés des internautes et que l'on accède aux contenus et 30 aux données privées des citoyens sur un réseau. L'adresse IP faisant, notamment en France, l'objet de débats quant à son appartenance à la sphère privée. La protection des libertés individuelles peut ainsi favoriser incidemment le piratage, puisqu'elle protège aussi les pirates. Un besoin existe donc de lutter contre le téléchargement illégal (ascendant, descendant, ou toute variante) à grande échelle, tout en respectant les contraintes précédentes. Il s'agit essentiellement de repérer, tracer et identifier les pirates importants qui engrangent des contenus audiovisuels ou des fichiers informatiques pour les remettre dans le circuit commercial, ce repérage respectant les lois en vigueur. Inciter l'utilisateur standard à consommer légalement signifie être notamment plus facile et moins cher que consommer illégalement. Plusieurs solutions anti-piratage connues pourraient être envisagées, mais 1 o elles ne répondent pas au besoin, ni à l'ensemble des contraintes imposées. Le filtrage des contenus sur les réseaux fonctionne difficilement à l'échelle de I'Internet ou d'un réseau 3G. Les "radars" placés à des endroits stratégiques sur le réseau pour contrôler les contenus ne sont que partiellement autorisés, et avec diverses restrictions, car ils constituent la voie ouverte à l'espionnage 15 des contenus sur les réseaux de la convergence, assimilable souvent à de l'écoute illicite. Tout procédé trop intrusif et non discriminant éthiquement étant par ailleurs susceptible d'enclencher en réponse une fuite en avant vers des modes de protection durs, tel que le chiffrement de données, qui a son tour hausserait la difficulté de leur observation et enclencherait une 20 surenchère réciproque de moyens aboutissant à la coexistance d'espaces avec excès d'opacité ou excès de porosité. Par ailleurs, les générations techniques d'attaquants évoluent rapidement, typiquement tous les 3 ans. Les outils de téléchargement deviennent rapidement obsolètes d'autant que, au sein de chaque génération technique, 25 les fraudeurs savent se convertir brusquement, dès que la méthode de piratage s'avère trop périlleuse pour eux. Il est donc peu efficace de pister les méthodes des attaques actuelles et d'imaginer un système de sécurité durablement à jour, car ce système serait déverrouillé quelques mois plus tard, sans possibilité d'évolution suffisante. L'invention a au contraire pour 30 but de proposer une solution ouverte dotée d'une pérennité suffisante pour supprimer ou limiter les diverses méthodes illicites sur Internet tout en respectant les différentes contraintes en jeu. Les réseaux de télécommunication connaissent un abaissement des coûts 35 d'utilisation courante mais une sophistication concommittante des services dits à valeur ajoutée. Cette divergence crée une asymétrie où l'envoi par exemple de messages ou d'appels téléphoniques à des fins d'escroquerie, coûte de moins en moins cher à l'assaillant mais de plus en plus aux victimes par le truchement notamment de numéros rappelables, à forte facturation. Il en résulte une facilité technique et financière d'envois massifs de flux à un grand nombre d'interlocuteurs, occasionnant des nuisances générales et un taux suffisant de particuliers susceptibles de tomber dans le piège. Un besoin existe de trier et ausculter au sein des énormes flux circulant sur les réseaux de télécommunication, les messages présentant un profil caractéristique de 1 o ce type d'envois. De même, la tendance à la baisse des coûts d'émission d'un flux, jumelée à la facilité d'envois massifs, ouvre une dangereuse fenêtre favorable par exemple aux � pourriels �, aux vers ou virus informatiques. Ces déviances 15 sont facilitées par l'absence, pour des motifs techniques ou sociaux, de mise en oeuvre aisée par exemple de protocoles cryptographiques de non-répudiation à l'envoi, ou à la réception, qui permettrait de connaître l'origine et la destination des messages. Ces obstacles appellent des solutions nouvelles d'auscultation des flux, permettant de diminuer ces risques tout en 20 respectant la légalité ainsi que les règles relatives à la vie privée, l'intimité et le désir d'anonymat de nombreux utilisateurs. Parmi les autres contraintes se trouve le fait que, sur le réseau universel de la convergence numérique -Internet mais aussi par exemple le réseau des 25 opérateurs de télécoms GPRS ou 3G-, les serveurs sont parfois hors de portée spatio-temporelle. Ils peuvent par exemple être hors d'atteinte aisée de la justice d'un pays, pour deux raisons notamment : soit le serveur est situé à l'étranger, soit il est dans le pays ou dans une zone limitrophe mais procède constamment par évasion d'identité (� il zappe �) : la durée de vie 30 du serveur est éphémère, celui-ci nait, exécute ses méfaits et disparait pour réapparaître sous une autre identité. Enfin un problème est lié à l'éparpillement ou la coopération (� naptérisation �) des serveurs. Il existe de plus en plus de l'activité pair à pair (Bittorrent, eDonkey, eMule), des applications en recouvrement 35 (� overlay �) sur Internet, ou de l'informatique répartie, à savoir que les contenus multimédia peuvent provenir de plusieurs serveurs, simultanément ou non. Une première particularité de l'invention tient à son constat que mieux sécuriser la distribution de contenus demandera d'être autant que possible à la fois au début et à la fin de la chaine du périmètre de distribution, ou tout au moins à des points stratégiques des réseaux où l'on peut intervenir ou recueillir l'ensemble de l'information. Pour rappel, le routage IP sur Internet permet une grande liberté d'acheminement des paquets d'information à l'intérieur d'un réseau. L'invention vise donc à intervenir ou à distribuer un secret en début de chaine (ou le plus en amont possible), pour chaque interlocuteur homologué, et à retrouver cette intervention ou ce secret ultérieurement, de manière à savoir que ces flux sont répertoriés et à pouvoir les présumer moins ou plus indifférents au regard d'une recherche. De la sorte sera éliminé, si besoin après des filtrages en cascades (en série et/ou en parallèle), un volume important de flux présumés ayant une plus forte probabilité de correspondance avec l'objet de la recherche. Ne restera alors qu'à se focaliser prioritairement sur le flux résiduel détecté dans les tamis successifs, utilisant par exemple dans ce cas de figure des protocoles non associés à cette intervention ou ce secret, pour l'ausculter davantage. Cette possibilité de tri sélectif par filtrage en cascade apporte au présent procédé une souplesse d'usage et de reconfiguration, pour s'adapter à toute évolution des modes et des préférences d'emploi pour des usages illicites. Elle lui confère par ailleurs des qualités de machine porte-outils, pouvant utiliser simultanément un nombre illimité d'outils d'auscultation. C'est par sa capacité conjointe de variabilité et de variété du marquage, que le dispositif propose de remédier aux faiblesses évoquées précédemment. L'un des intérêts majeurs apporté par la présence de cet élément secret tient à sa capacité à être modifié périodiquement selon des intervalles soit à définir, soit aléatoires, soit corrélés à un taux de risque de découverte, soit avantageusement laissés à la discrétion de l'instance homologatrice. Ces modifications prenant intérêt à ne pas être prévisibles ou reconstituables ni dans leur moment de survenue, ni dans la variation apportée au griffage, tel que défini ci-après. Aucune limite à la brièveté d'existence d'un secret n'est nécessaire, autre que déterminée par les contraintes techniques du dispositif de marquage puis d'auscultation. A effet de proposer une solution d'observation des flux respectant les 5 différentes contraintes en jeu, l'invention a notamment pour objet un procédé de détection pseudonymisée de flux. Elle utilise d'une part des identités cryptonymiques d'émetteurs, sortes à la fois de griffe arbitraire et de signe extérieur de référencement. Ces cryptonymes seront appelées par la suite � griffage � en analogie avec la 1 o fonction habituelle des griffages dans d'autres domaines de la technique, et notamment en horticulture (action de griffer des plantes en vue de les désigner grâce à cette marque à l'attention d'un intervenant ultérieur), et par allusion plus générale au terme griffe, désignant le fait d'imprimer une marque ou un style personnel sur un objet. Les cryptonymes électroniques 15 utilisés dans le procédé selon l'invention définissent un ensemble de possibilités techniques de marquage ou d'encapsulation, soit d'un équipement technique, soit d'un fichier ou d'un flux, ou enfin de tous ces éléments (à titre d'exemple extrême, un griffage peut être aussi un protocole particulier tels qu'IPSec, MPLS, etc). L'invention établit un cryptonyme, ou 20 � cryptonyme masquant � pour en souligner la fonction de masquage, de la vraie identité du flux ou de son émetteur. Elle met à disposition un système de marquage ou d'encapsulation séparément apposable tant à un émetteur qu'à un fichier ou un flux, mais sans avoir ultérieurement la nécessité de le connaître par une identité réelle. 25 Un autre avantage de l'invention tient en sa capacité à créer puis faire respecter une procédure pseudonymisante. Cette procédure repose sur la coordination et la complémentarité entre d'une part le moyen de faire naître cette pseudonymisation, représenté précédemment par la notion de 30 � griffage masquant �, et d'autre part le moyen de faire respecter cette pseudonymisation lors d'une observation de flux, articulée autour d'une segmentation d'entités complétée par un cloisonnement particulier entre ces instances. Le procédé comporte au moins trois étapes : 35 une étape d'attribution d'une identité cryptonymique à des supports de communication par une première instance A homologatrice, les flux émis par un support portant un griffage, fonction de son cryptonyme, le cryptonyme d'un support étant distinct de son identité réelle, le support de communication ne pouvant s'affranchir définitivement du griffage sans un signal d'autorisation de la première instance A ; une étape de lecture, d'analyse et de tri (filtrage) des flux par une deuxième instance B, ladite analyse comportant une phase ~o d'identification de flux à leurs supports de communication par recherche de similitude entre le � grillage masquant � des flux et l'identité cryptonymique des supports à l'aide d'une table référençant les cryptonymes, et une phase de relevé de caractéristiques observables des flux à travers le réseau ; 15 Un comportement, défini par un ensemble de caractéristiques, étant déclaré typique ou atypique par comparaison à un ensemble de critères donné, la table des cryptonymes n'ayant pas de lien avec les identités réelles. L'analyse de comportement est par exemple effectuée en priorité sur les flux n'ayant pas de griffage masquant rapporté à un support de communication 20 pourvu d'un cryptonyme. L'usager peut être utilement informé de cette particularité, en vue de l'inciter à se doter d'un cryptonyme. L'efficacité du procédé tient en partie à ce qu'un taux élevé de personnes volontairement homologuées permet de faciliter des recherches en restreignant d'autant le champ résiduel à observer en priorité. 25 Un support de communication peut par exemple s'affranchir provisoirement ou de manière sélective d'un griffage masquant sans un signal d'autorisation de la première instance. Un support de communication peut par exemple s'affranchir provisoirement ou de manière sélective d'un griffage masquant via un signal d'autorisation 30 de la première instance. Le terme griffage recouvre une fonction, qui est de masquer l'identité réelle d'un expéditeur, puisqu'elle interdit fonctionnellement à l'instance B de rechercher cette dernière sur un flux donné. B est habilité à regarder ou 35 mémoriser une identité réelle après constat d'absence de griffage. La deuxième instance B peut effectuer la lecture de flux en tout point du réseau, et peut mener avantageusement cette lecture de flux par exemple à l'entrée et/ou à la sortie des supports de communication des gestionnaires de réseau, afin de ne pas impliquer directement ces derniers. Avantageusement, l'analyse des flux est par exemple effectuée sur leurs protocoles de communication. Le procédé peut comporter une troisième étape de réception des signalements de comportements typiques ou atypiques, par une troisième instance C, ladite instance étant apte à vérifier la licéité des flux correspondants. L'instance C est par exemple apte à vérifier le contenu des flux correspondants. Avantageusement, les instances A, B, C peuvent être cloisonnées sans accès mutuels à leurs données respectives autrement que par requêtes, selon un degré prédéfini d'autorisation à les émettre ou y répondre, en différé ou en temps réel. Le procédé trouve sa pleine efficacité de respect de la vie privée dans un cloisonnement fort entre A, B et C. II est notamment à souligner l'intérêt double présenté par ce référencement aboutissant à un griffage masquant, à la fois d'anonymat en cas d'observation, et de probabilité plus grande de ne pas être observé dans son comportement global. Des formes différentes d'utilité sont envisageables dans d'autres configuration d'auscultation, à l'exemple d'une possibilité pour une structure homologuée, de choisir et posséder son griffage personnalisé et exclusif, puis de recevoir de manière privée et confidentielle un décompte de relevé de ses flux constatés. Ce dans l'optique par exemple d'un possesseur de gros serveurs craignant une mise sous influence de ses équipements par un pirate, pour un usage détourné tel que l'émission en grande quantité de fichier musicaux piratés. Une troisième particularité de l'invention tient à son constat que les trafics multimédia, tels que les téléchargements de musique ou de vidéo ainsi que de flux en continu de type � streaming �, sont trop volumineux pour pouvoir aisément se permettre de les examiner explicitement, par un tatouage incrusté à l'intérieur du contenu par exemple. Le procédé selon l'invention va donc simplement inspecter le trafic du réseau, en ce qui concerne par exemple sa nature, son volume, sa fréquence, sa forme, sa syntaxe ou encore sa complexité, et cela sans vérifier initialement le contenu des utilisateurs et sans toucher à ce contenu, indépendamment des applications et des utilisateurs. L'invention diffère donc des habituels dispositifs de contrôle axés sur la gestion des contenus (étiquetage de contenu, empreinte, signature électronique, � fingerprinting �, � hash code �) puisqu'elle permet d'identifier préalablement des comportements lors de télécommunications, sans besoin à certains stades d'identifier nominativement, par leur identité réelle, ni leurs protagonistes ni les contenus échangés. L'invention a donc notamment pour but de marquer le contenant, mais pas le contenu propre de la communication. Elle ne touche initialement pas au contenu des informations des émetteurs et des récepteurs, ni donc pour les marquer ni de prime abord pour y accéder en vue de les connaître. Ce griffage va se faire sur le contenant de la communication, c'est-à-dire sur les règles, les protocoles utilisés par les machines de communication, indépendamment des acteurs physiques. Il n'est donc pas de la responsabilité de l'utilisateur final ni de l'émetteur, mais d'une tierce entité (A). Ainsi, ce griffage échappe grandement aux volontés et aux acteurs, au sens où ces marques n'interagissent pas avec la vie privée et dans les comportements de ces acteurs. Il échappe aussi aux parades des pirates par chiffrement des contenus. Le terme � grillage � recouvre un mode opératoire consistant en un ajout, une amputation ou une modification caractéristique, sur un protocole de communication, tout en respectant le standard de ce protocole. A ce titre, du fait de cette altération, la marque peut être considérée comme un griffage porté au protocole originel, renvoyant pour un instant donné à un seul expéditeur homologué. Il s'agit donc aussi d'une griffe au sens de signature, mais d'une signature ne renvoyant cependant pas directement à une identité réelle. Cette signature cryptonymique est avantageusement choisie par l'instance A. Ce griffage n'est que partiellement assimilable à un secret absolu, puisque son degré de lisibilité, sa facilité ou non à être détectée, et plus généralement ses capacités à être invisible, inaccessible ou incompréhensible, seront à la discrétion de l'instance A. La griffe apporte face à d'éventuels contrevenants un élément d'incertitude supplémentaire, puisque ceux-ci ne peuvent anticiper le degré de camouflage choisi à un instant donné, et pour une durée provisoire. ~o Par la suite, le terme � grillage � doit être compris au sens large, désignant donc notamment : • un étiquettage, un label, visible, effaçable ou indélébile, un étiquettage d'un paquet IP ou d'un flux (par exemple, un étiquetage peut consister dans le remplissage d'un champ d'une entête d'un 15 protocole) ; • un tatouage indétectable, lessivable ou indélébile d'une session, d'une connexion, d'un flux ou d'un paquet IP (par exemple, l'écriture cryptographique d'un signe distinctif) ; • un marquage stéganographique de type spatial (par exemple 20 marquage dans un champ du protocole, avant ou après le contenu utile de l'utilisateur) ou temporel (par exemple utilisation spécifique de la durée ou du rythme de transmission de l'information, respectant toutefois les standards) ; • l'utilisation d'un protocole avec des paramètres spécifiques (par 25 exemple, l'utilisation de IPSec dans IP avec une association de sécurité donnée) ; • l'empaquetage d'une communication par une composition de protocoles (par exemple, l'utilisation du protocole MPLS, en plus du protocole IP) ; 30 l'utilisation d'un protocole supplémentaire ou d'un trafic additionnel. Ce système de marque et de traçage possède des propriétés de sécurité. La confidentialité des marques et la discrétion du système constitue un atout. 35 Un constat original sur lequel s'appuie l'invention est de considérer qu'une seule stratégie de marquage, à un moment donné et dans tous les réseaux de communication, serait grandement inopérante, inefficacité renforcée avec l'évolution des usages et des manières de contourner employées par les pirates. En conséquence, le procédé doit être à même de prendre en charge simultanément plusieurs types de griffage. Plusieurs stratégies de griffage sont effectivement possibles, stratégies dépendant de la politique de sécurité des ayants-droits. Certains voudront appliquer une politique de sécurité très stricte et très coûteuse, d'autres voudront peut être n'appliquer qu'un marquage de dissuasion. Par exemple un serveur peut griffer de manière standard avec un VPN MPLS et un autre avec une association de sécurité IPSec AH en mode transport, dans le but notamment de présenter des cas standards très simples. Diverses stratégies sont également envisageables quant au degré d'automaticité du griffage relevant d'un émetteur homologué. Il peut être soit obligatoire et sans possibilité de s'en affranchir provisoirement, soit relever d'un droit encadré à l'exception, par exemple pour une situation où un propriétaire prêterait à autrui son terminal de communication homologué. Le système de marquage ou d'encapsulation proposé par l'invention peut se subdiviser en deux parties : Tout d'abord, le dispositif de marquage lui-même. Ce dispositif peut se trouver soit dans le support de communication de l'émetteur, soit à sa sortie, soit en un point ultérieur, sur le réseau, soit chez un intermédiaire prédéterminé, tel que l'instance A ; La seconde partie consiste en un élément dit secret. Cet élément relève de deux grandes familles. - La première famille concerne les éléments secrets transmis par A et matériellement alors détenus par leur porteur homologué. Elle englobe 30 divers types de porteurs possibles : o Un support technique d'émission du déclarant homologué, tel que son ordinateur ou son téléphone portable. L'élément secret peut par exemple être stocké comme fichier témoin (� cookie �) dans un répertoire temporaire. Il peut aussi s'agir de plusieurs 35 supports d'émission de ce même déclarant ; o Un support amovible ou mobile, tel qu'une clé USB, une carte à puce. Ce support peut être détenu au nom d'une personne ou d'une structure homologuée telle qu'une entreprise, en tant que personne morale, agissant au nom de ses divers membres utilisateurs du support amovible ou mobile commun ; o Une personne physique connaissant l'élément secret ou un identifiant personnel l'activant en vue de procéder à ce marquage ; o Ou toute composition de ces précédentes solutions. L'élément secret peut faire autant l'objet d'un stockage sur la durée que d'une écriture de manière dynamique, à partir de données puisées à chaque fois à l'extérieur, tout en aboutissant à un marquage du flux par l'équipement expéditeur lui-même. La deuxième famille englobe les éléments secrets conservés en gestion directe soit : o par l'entité A ; o par un opérateur de réseau ou un fournisseur d'accès, à titre d'exemples d'intermédiaires. o par un tiers de confiance choisi par le déclarant homologué. Dans cette deuxième approche, l'élément secret est activé en termes de marquage lorsque A ou toute autorité déléguée constate un raccordement au réseau ou un flux relevant d'une identité préalablement homologuée. L'identité concernée pouvant être notamment soit celle d'un support de communication (code technique d'identité), soit celle d'une personne physique ou morale (tel qu'un abonné : individu ou entreprise). Ces deux familles ne s'excluent pas l'une l'autre, et peuvent aboutir à des solutions mixtes.30 Le porteur peut donc être autant une entité fixe que mobile, autant un objet physique que logique, autant une personne physique que morale. Selon la politique de sécurité choisie, sera ainsi à disposition une palette de choix, présentant respectivement des qualités et des faiblesses différentes. Chaque politique de sécurité quant au choix du porteur relève d'une recherche d'optimum. Le procédé n'a pas pour objectif une absence totale de risque de contournement, mais une minoration de ce risque, dans une optique constante d'incitation à ne pas la contourner, par intérêt statistique. Le dispositif qui en résulte peut être taxé de � sécurité faible �, au sens où elle vise à se maintenir en permanence suffisante pour dissuader un nombre significatif de contrevenants. II s'agit d'une tactique de � juste assez �, qui intègre donc les pans économique et sociologique dans la fixation de ce niveau optimal. Avantageusement, un procédé selon l'invention effectue par exemple un marquage à caractère informatif, destiné à produire un message, tel que d'alerte ou de mise en garde sur une nocivité du contenu. Ce marquage adoptera le terme de macaron en analogie avec la fonction habituelle des macarons dans d'autres domaines de la vie publique. Il est par exemple apposé par la deuxième instance B ou la troisième C, sur requête ou encore par saisine d'une autorité morale. Cette marque peut être rendue lisible par tel ou tel communicant choisi. Avantageusement, elle peut être lisible par les supports de communication réceptionnaires du flux. Dans une mise en oeuvre particulière, elle peut donner lieu à envoi d'un message informatif cette fois à l'adresse d'expédition, pour signaler par exemple des remarques. Le marquage informatif peut être effectué par des moyens de marquage en un quelconque point déporté, tel qu'un point de passage du réseau. Une identité réelle d'émetteur de flux peut être associée séparément d'une part à un pseudonyme invariant, d'autre part à un cryptonyme variant, fonctionnellement dissimulateur de la vraie identité, ces deux attributs bénéficiant de passerelles possibles entre eux, mais aucun ni leur addition ne permettant à un tiers extérieur de remonter, par leur connaissance ou leur détention, à cette identité réelle. Les identités sont personnelles et incessibles à des tiers. Le pseudonyme peut être porté à la connaissance explicite de tiers par son porteur, le cryptonyme ne l'étant pas. Avantageusement, il est par exemple déployé, en matière de gestion d'identité, trois entités partiellement cloisonnées entre elles : une instance A précitée, une 5 instance Z et une autorité d'anonymisation : - l'instance A connaissant explicitement le lien entre identité réelle et griffage. - l'instance Z connaissant explicitement le lien entre identité réelle et pseudonyme. ~o - l'autorité d'anonymisation connaissant explicitement le lien entre pseudonyme et griffage. Avantageusement, un pseudonyme invariant d'une identité donnée et un cryptonyme variant de cette même identité se trouvent par exemple en 15 bijection constante, au sein de l'instance chargée de cette bijection, sans intercession de cette identité réelle à aucun moment. L'invention a aussi pour objet un procédé d'émission d'un flux pseudonymisé sur un support de communication à travers des réseaux de 20 télécommunication ou de télédiffusion apte à sécuriser le trafic de données, le flux comportant un griffage représentant un cryptonyme indépendant de l'identité réelle de son support de communication d'émission et du contenu qu'il véhicule, ledit cryptonyme étant référencé dans une première instance A, le référencement indiquant le lien avec l'identité réelle correspondante, et 25 ledit cryptonyme étant repérable par une deuxième instance B n'ayant pas accès à l'identité réelle correspondante. Avantageusement, le cryptonyme a par exemple la forme d'un élément secret, considérant que les procédés de lutte contre le téléchargement illicite ou contre la diffusion de messages dangereux doivent être eux-mêmes 30 sécurisés. Le griffage est par exemple inséré dans le format du protocole de communication utilisé, tel que par exemple dans l'en-tête protocolaire, tout en respectant le standard du protocole, sans interférer avec les données propres de l'utilisateur. 35 D'autres caractéristiques et avantages de l'invention apparaîtront à l'aide de la description qui suit, faite en regard de dessins annexés qui représentent : la figure 1, une présentation de deux grandes étapes dans la mise en oeuvre du procédé selon l'invention ; - la figure 2, une présentation de l'entité de supervision des flux segmentée en trois instances ; la figure 3, une illustration d'une phase d'autorisation de marquage à des supports de communication par une première instance ; - la figure 4, une illustration d'une phase d'analyse des flux par une deuxième instance ; la figure 5, un exemple de réalisation d'un type de marquage informatif effectué par le procédé selon l'invention ; - la figure 6, une illustration des différentes étapes possibles d'un procédé selon l'invention appliqué à un flux émis ; la figure 7, un exemple d'accès à un pseudonyme à partir de la possession ou de la connaissance d'un griffage masquant ; la figure 8, un mode de fonctionnement particulier où une identité, hors identité réelle, se rapportant à l'émetteur d'un flux, est susceptible de se subdiviser en deux. La figure 1 présente deux grandes étapes d'un procédé selon l'invention qui seront largement détaillées par la suite, d'une part la création 1 de cryptonymes des émetteurs, traduite par l'utilisation de griffages masquants et d'autre part la segmentation 2 de la supervision des trafics et des contenus, à partir des griffages. Avant d'aller plus loin dans la description, on rappelle que les trafics multimédia, tels que les téléchargements de musique ou de vidéo ainsi que de flux continu de type � streaming � notamment, sont trop volumineux pour qu'on puisse aisément se permettre de les examiner explicitement, par un tatouage incrusté à l'intérieur du contenu par exemple. Par ailleurs un organisme comme la CNIL en France, Commission Nationale Informatique et Libertés, peut ne pas autoriser ce type de lecture directe pour des motifs de protection de la vie privée. De plus, un fournisseur d'accès ou de service sur Internet peut ne pas souhaiter assurer un service de filtrage de contenus illicites pour ne pas entrer dans une spirale de nouvelles responsabilités. Le procédé selon l'invention va donc simplement inspecter le trafic du réseau, sans vérifier initialement le contenu des utilisateurs et sans toucher à ce contenu. L'invention utilise donc d'une part des cryptonymes des émetteurs, sortes à la fois de griffage arbitraire et de signe extérieur de référencement. Ces cryptonymes sont séparément apposables tant à un émetteur qu'à un document ou un flux. Ces griffages électroniques utilisés dans le procédé selon l'invention définissent un ensemble de possibilités techniques de 1 o marquage ou d'encapsulation, soit d'un équipement technique, soit d'un document ou d'un flux, ou enfin de tous ces éléments, D'autre part l'invention met en oeuvre une segmentation d'une entité de contrôle ou de supervision des trafics et des contenus. Trois instances 15 distinctes peuvent par exemple être utilisées. Ces instances sont cloisonnées de telle façon qu'elles n'ont pas d'accès mutuels, ou réciproques, à leurs banques de données respectives. Seules certaines informations prédéfinies peuvent être transmises directement ou sur requêtes. Les éventuelles délégations citées ci-après sont à considérer comme susceptibles d'affaiblir 20 les qualités du procédé, et ne peuvent s'envisager que comme des palliatifs techniques auxquels appliquer ensuite les mêmes moyens et finalités de cloisonnement. La figure 2 présente ces trois instances 21, 22, 23. Une première instance 25 21, appelée par la suite instance A, intervient au niveau du marquage ou de l'encapsulation des serveurs ou supports de communication. Elle référencie les intervenants. Elle accepte, refuse ou retire un référencement, un référencement étant source de marquage par griffage. Ce griffage peut être effectué au niveau de l'émetteur sur ses équipements, directement ou par 30 éventuelle délégation notamment par l'entremise des opérateurs de réseaux, fournisseurs d'accès ou tout autre acteur en charge de l'organisation ou de l'acheminement des flux sur ces réseaux. Le marquage d'un émetteur utilise un dispositif technique entraînant le griffage masquant de tout document, et tout flux, sortant de cet émetteur. Un tel système de marquage peut être fourni par l'instance A, ayant ici par ailleurs la fonction d'un tiers de confiance par exemple, auprès d'acteurs du système de télécommunication tels que des FAI, des utilisateurs ou des distributeurs. Le griffage d'un fichier ou d'un flux peut être effectif indépendamment du type d'intervenant ayant activé l'envoi, qu'il s'agisse d'un gestionnaire du support de communication ou d'un tiers. L'activation de cet envoi peut être faite à partir de l'équipement émetteur aussi bien qu'à distance ou en divers points du réseau, à partir d'autres installations. Cette activation peut être concomitante à l'envoi ou programmée. Le griffage d'un fichier ou d'un flux est également possible en cours de transfert par un support dédié à cette tâche et contrôlé par l'instance A, ou tout tiers autorisé, en tout point du réseau. Le griffage masquant d'un flux peut être lu ou enregistré par un contrôleur agréé tel que l'instance B définie ci-après, ou par éventuelle délégation un opérateur par exemple, à tout moment et à toute étape du transfert. Le griffage des documents peut être rendu discret, par un secret notamment, de manière à ne pouvoir être lu ou détecté que par une instance autorisée. Une deuxième instance 22, appelée instance B par la suite, effectue un constat d'activité. En particulier elle identifie des comportements en rapportant des flux à des cryptonymes d'émetteurs dans le cas d'un griffage masquant. Cela dans le but de repérer des comportements susceptibles d'être fautifs ou recherchés pour tout autre motif. Cette instance recherche en priorité la présence ou non de griffage masquant : en cas de présence, elle se contente de mener ses analyses à partir de ce cryptonyme, et ne recherche une identité réelle qu'en son absence. De ce fait, le griffage est assimilable fonctionnellement à un masque de carnaval qui ne supprimerait pas un visage mais le recouvrirait aux yeux d'un observateur attitré, sans droit pour ce dernier de le retirer. Il ne peut alors que constater un comportement durant le carnaval. L'instance B n'a pas l'autorisation ni l'accès aux véritables identités référencées par leurs griffages, ces identités étant seulement connues de l'instance A. L'instance B possède seulement par exemple un annuaire, ou table, des cryptonymes notamment pour rapprocher les flux émis à leur support de communications, ou émetteurs, respectifs. Cet annuaire peut être actualisé en temps réel, eu égard à la nécessité de se calquer sur la permutation des griffages par l'instance A. L'instance B n'a pas non plus la possibilité de vérifier si une suspicion de faute est exacte ou non, ce rôle étant dévolu à l'instance suivante 23. Suite à cette lecture de flux, un second type de marquage, à caractère informatif, peut par ailleurs avoir pour fonction de porter à la connaissance de communicants, tels que des destinataires ou des intermédiaires du flux, un message notamment d'alerte sur ce flux. Ce message, dit macaron, peut s'exprimer sous toute forme telle que sonore ou visuelle par exemple. Il peut être explicitement formulé ou ramené à une signalétique éventuellement normée. Une troisième instance 23, appelée par la suite instance C, est réceptionnaire des signalements de constats comportementaux recherchés, car étant par exemple atypiques ou présumés fautifs, émis par l'instance B. Elle a la possibilité de valider ou d'infirmer les hypothèses émanant de ces constats, notamment par une vérification de contenu des émissions. Toutefois, l'instance C n'a pas accès aux données constatées par l'instance B à propos d'un émetteur quant à son comportement détaillé. Elle ne sait pas si ces données sont considérées représentatives d'un comportement illicite ou licite, typique ou atypique, et utile ou indifférent au regard des critères de recherche de B. C. L'instance C n'est idéalement informée que du souhait de vérification, assorti éventuellement d'hypothèses sur un possible contenu supposable ou recherché. La figure 3 illustre une première phase de mise en oeuvre de l'invention. Plus particulièrement elle illustre le griffage masquant en association avec la première instance de supervision 21, l'instance A. Pour lever le verrou des vulnérabilités des serveurs hors d'atteinte, pirates, anonymes, éphémères ou éparpillés notamment, l'invention utilise le système du griffage. Ce recours au griffage permet de séparer en deux le trafic sur les réseaux. D'une part se trouvent les serveurs qui font de la distribution de contenu avec un griffage et d'autre part les autres contenus, sans griffage, qui pourront être considérés a priori plus suspects. Une analyse pourra ainsi être effectuée en priorité sur ces contenus sans griffage masquant. La figure 3 illustre des acteurs de l'Internet 31, 32, 33 symbolisés par des noms propres Barnabé, Paul et Jean. Ils émettent des fichiers, des appels téléphoniques, des courriers, ou tous autres flux tels que définis précédemment. Ils peuvent aussi mettre à disposition des équipements pour émettre ces flux. Les trois acteurs de la figure 3 illustrent trois cas différents. Barnabé 31 demande un référencement à l'instance A, c'est-à-dire l'autorisation de marquer ses flux d'un griffage. Dans l'exemple de la figure 3, l'instance A refuse cette autorisation à Barnabé. Paul 32 demande une autorisation de référencement qui lui est accordée par l'instance A. Enfin, Jean 33 ne demande pas l'utilisation de griffages. Le serveur de Paul 32 reçoit par exemple un élément sécurisé, avec un secret. Cet élément sécurisé peut être installé et stocké sur l'ordinateur par exemple sur une clé USB, une carte à puce ou stocké comme fichier témoin � cookie � dans un répertoire temporaire, ou de toute autre manière relevant tant d'un support physique que logique. Le secret peut être modifié selon des périodes de temps à définir ou laissées à la discrétion de l'instance homologatrice, par exemple tous les jours, aléatoirement ou sur demande. Ce secret est un moyen d'identifier et d'authentifier des flux, des paquets, des entités circulant sur un réseau, en particulier une application, une session, une connexion, un flux, des paquets IP, des paquets MPLS, etc ... A cet effet, les entités sont marquées par un griffage 34 qui contient ce secret. Par exemple, on peut décider de créer un réseau virtuel privé (VPN) entre le serveur, de Paul dans l'exemple de la figure 3, et le FAI 35, via IPSec ou via MPLS notamment. MPLS agit en entrée sur le serveur et en sortie sur le serveur FAI. Le réseau virtuel privé est dans ce cas seulement une association de sécurité. Il est encore possible d'ajouter un dispositif matériel IPSec devant le serveur de Paul et devant le FAI, IPSec étant ici en mode transport et sous le protocole AH, avec la marque du serveur d'entrée. Les acteurs 31, 32, 33 vont émettre des flux 36 à destination d'autres acteurs 37, 38, 39 qui sont des réceptionnaires passifs ou actifs. Ils sont par exemple actifs lorsqu'ils exécutent un téléchargement. Les flux sont transmis via un réseau géré par un FAI 35. Parmi ces flux, ceux provenant de Paul seront marqués d'un griffage masquant, les autres issus de Barnabé et Jean ne le seront pas et seront plus recherchés a priori. L'instance A n'a pas pour fonction de détecter la présence de griffages dans les flux, elle interagit seulement avec les responsables de distribution de contenu, tels que Barnabé, Paul ou Jean, de façon automatique ou non. Les requêtes de demandes de griffages peuvent par exemple se faire automatiquement depuis les serveurs des acteurs 31, 32, 33 à un serveur constituant l'instance A. De façon générale l'instance A est apte à homologuer l'identité de serveurs, ou de tous supports de communication, en autorisant des griffages d'une part sur ces supports de communication et d'autre part sur tout flux émis par ces entités. L'instance A peut ainsi être réceptionnaire de déclarations d'existence susceptibles d'émaner de tous types de supports de communications aptes à émettre des flux. Une déclaration peut résulter autant d'une obligation légale, réglementaire ou contractuelle, que d'une option facultative. Il peut par exemple s'agir : - d'une démarche spontanée d'un utilisateur ; - d'une obligation ou d'une demande émanant d'un tiers, pour avoir droit d'accès à ses équipements ou données, tel qu'un site internet commercial, scolaire ou associatif ou un guichet électronique ; - d'une obligation à caractère judiciaire, s'appliquant à des utilisateurs soumis à des clauses comportementales ou une surveillance décidée par un tribunal. L'instance A accepte ou refuse l'utilisation du griffage. A cet effet, il est possible d'enclencher des vérifications d'activités et des enquêtes d'identité ou de comportement préalablement au fait d'accorder un cryptonyme. L'acceptation enclenche un griffage des supports techniques d'émission du déclarant autorisé, Paul dans l'exemple de la figure 3. Les griffages décernés et l'identité de leurs bénéficiaires sont par exemple enregistrés dans un annuaire actualisé. Parallèlement à l'autorisation du griffage des supports techniques, l'instance A peut effectuer une homologation des codes techniques indiquant l'identité des émetteurs, tel que le champ adresse de la source ou paquet IP par exemple. Les identités homologuées sont par exemple réunies dans un annuaire actualisé. Dans un mode de mise en oeuvre particulier, il est possible d'envisager une homologation initiale d'un émetteur permettant d'apposer ultérieurement, en tout point du réseau, par l'instance A ou tout tiers autorisé, un griffage masquant sur les flux portant ses codes techniques d'identité. Les annuaires de cryptonymes sont fournis à l'instance B, ou par délégation par exemple aux gestionnaires des réseaux, fournisseurs d'accès ou tout acteur en charge de l'organisation, de la régulation, de l'acheminement ou du contrôle des flux sur ces réseaux. - Dans une première variante de mise en oeuvre, ces interlocuteurs 1 o n'ont pas accès à l'annuaire exhaustif mais transmettent à l'instance A, alors seule détentrice de l'annuaire les copies des griffages masquants relevés, à des fins de vérification par exemple de leur authenticité ou de leur validité. L'instance transmet une réponse sur chaque requête individuelle. 15 - Dans une seconde variante, il est possible d'utiliser une boîte noire mise à disposition de l'instance B ou d'un tiers délégué, cette mise à disposition étant faite par l'instance A. La boîte noire reste sous la maîtrise de cette instance A pour la gestion et la modification des données qu'elle contient. 20 - Dans une troisième variante, l'instance B ou tout tiers délégué aura a disposition copie actualisée, en accès et gestion directs. La figure 4 illustre la phase d'analyse d'activité exercée par l'instance B. Comme décrit précédemment, le secret délivré par l'instance A génère un 25 marquage par un griffage dit masquant. Ce griffage est inséré dans le format des protocoles de communication, par exemple au niveau des champs IP, et non sur les contenus propres des utilisateurs. L'instance B va donc observer ces protocoles en des points stratégiques de préférence sur les chemins empruntés par les flux. En pratique, des systèmes d'observation tels que des 30 sondes sont situées en ces points. Avantageusement, il est possible de prendre comme point stratégique d'observation l'entrée ou la sortie des serveurs des fournisseurs d'accès FAI 35. La figure 4 illustre cette vérification pour les acteurs 31, 32, 33 de la figure 3. Dans l'exemple de la figure 4, les positions des points de lecture sont en amont 41 et en aval 42 35 du FAI ou de tout autre gestionnaire de réseau ou d'accès 35. Les griffages masquants peuvent être lus par l'instance B, ou tout autre acteur autorisé par délégation tel que les gestionnaires de réseaux ou les fournisseurs d'accès. La lecture peut être automatisée par l'utilisation notamment d'analyseurs de protocoles. Elle peut être menée à l'occasion de relais déjà existants sur les réseaux, soit par un fonctionnement par exemple en dérivation établi en tout point de ce réseau. La figure 5 illustre un second type de marquage établi par l'invention, dit marquage informatif, destiné à produire un message, éventuellement ramené à une signalétique, s'affichant à l'un des communicants, automatiquement ou à sa demande, ou en corollaire destiné à rester invisible pour certains tiers ou réceptionnaires intermédiaires, non désirés dans le cercle d'information. Certains flux 36, homologués ou non, peuvent se voir munis à l'issue de leur analyse 40, 41, 42 de macarons informatifs 100, destinés notamment à prévenir le réceptionnaire 37, 38, 39 d'une éventuelle dangerosité pour lui, ceci notamment lorsque le contenu identifié par C ou le comportement de l'expéditeur constaté par B, laisse supposer une volonté de nuisance, ou inversement lui signaler que l'émetteur ou son flux bénéficie d'un label de confiance a priori. Avantageusement, la décision d'apposer ce macaron informatique peut être déléguée à une tierce entité 101, ici nommée � autorité morale �, afin de ne pas conférer aux instances B et C un pouvoir de jugement, ni une capacité d'analyse sur l'opportunité. Le destinataire du macaron informatif peut également être l'expéditeur tel qu'indiqué dans les champs du protocole, pour lui communiquer des remarques. L'invention élabore globalement un système de marquage dont le rôle tient à la variété des fonctions possibles d'une marque, selon aussi le moment et le lieu où elle est apposée, ainsi que selon son caractère volontairement apparent ou non au vu de tel ou tel acteur social ou technique. L'instance B surveille et analyse, en tout point possible du réseau, et avantageusement aux points de lecture 41, 42, le trafic des griffages masquants. Elle surveille de même et souvent en priorité les flux qui ne sont pas marqués par des griffages. L'instance B surveille et analyse préférentiellement à l'extérieur des frontières de chacune des entités, ces entités allant des serveurs de distribution aux utilisateurs finaux en passant par les FAI. La phase d'analyse permet à l'instance B d'identifier des comportements. A cet effet, l'instance B peut procéder à des recensements de parentés entre émetteurs et flux émis. A cet effet, l'instance B dispose de moyens de lecture et de traitement des données. Ces moyens rapportent ainsi, à des fins de comparaison, le griffage de l'envoi à un marquage parallèle de l'expéditeur. De cette façon, l'instance B peut identifier des comportements rapportés à chaque communicant sans connaître les identités correspondantes. Un 1 o comportement est l'ensemble de caractéristiques observables relatives à un ou des flux. Pour caractériser un comportement typique ou atypique, on peut alors comparer ces caractéristiques avec un ensemble de critères ou de caractéristiques de référence. Ces comportements peuvent donc se traduire par les caractéristiques 15 suivantes, par exemple par le nombre d'envois, le volume des envois ou encore leur récurrence, leurs horaires, leur cadencement, leur apparence automatisée, et plus généralement par tout caractère susceptible de traduire un comportement sous-jacent ou une intention. Le procédé selon l'invention s'appuie donc comme indiqué précédemment sur la recherche de similitudes, 20 ou parentés, entre un griffage répertorié comme étant apposé à l'émetteur et le même griffage apposé à un fichier circulant ou à un flux, toujours sans connaître l'identité réelle de l'émetteur ou le contenu du flux. Cette identification des comportements peut se faire soit à un instant donné, simultané ou a posteriori, soit sur la durée et cela sur tous les échanges ou 25 sur une partie seulement des échanges. Avantageusement, l'analyse peut être de type quantitatif ou temporel. Le traçage réalisé par l'instance B consiste donc notamment à découvrir, retrouver, suivre et analyser les marques ou leur absence afin de déceler de manière précoce les anomalies ou comportements atypiques, ainsi plus 30 généralement que tout comportement recherché. Une période d'apprentissage peut être nécessaire pour appréhender l'effervescence du mouvement et l'agitation de toutes ces marques ou griffages. Des outils d'analyse de trafic classique utilisés généralement dans les grands réseaux peuvent ici être utilisés. Des lois statistiques peuvent être érigées au cours du temps pour faire évoluer le cas échéant les critères d'appréciation des comportements atypiques. La figure 6 illustre toutes les étapes possibles pour la mise en oeuvre du procédé selon l'invention tel que décrit précédemment. La figure illustre le cas de l'émission d'un flux 36 par le support de communication 32 de Paul à destination du support de communication réceptionnaire 37 d'Astrid. La première instance 21, l'instance A, a autorisé le support de communication de Paul à marquer les flux sortant d'un griffage 34 indiquant l'identité 1 o cryptonymique du support d'émission 32. L'instance A est l'unique instance qui connaît 51 l'identité réelle du support 32, par référencement. Cette identité réelle peut être l'identité du responsable Paul, personne physique ou morale, ou encore toute identité permettant d'identifier sans ambiguïté le support de communication 32, en particulier son lieu d'implantation. 15 La deuxième instance 22, l'instance B, effectue un constat d'activé sans connaître 52 l'identité réelle de Paul ni le contenu véhiculé par le flux. L'instance B n'a accès qu'au cryptonyme de Paul représenté par exemple par un élément secret contenu dans le griffage masquant, cet élément secret pouvant être modifié périodiquement. L'instance B effectue l'identification de 20 parentés 53 entre les griffages des contenants, c'est-à-dire les flux, et les émetteurs, support de communication de Paul dans l'exemple de la figure. L'instance B effectue aussi l'analyse des comportements, en priorité sur les flux dépourvus de griffages, mais l'analyse peut aussi porter sur des flux pourvus de griffages masquants, par exemple selon un échantillonnage 25 moins dense que pour les flux dépourvus de griffage. L'instance suivante 23, l'instance C, peut à l'issue des analyses de comportement effectuées par l'instance B, engager des procédures de vérification notamment de contenu de flux suspects ou recherchés. Un flux suspect ou recherché est un flux, pourvu ou non de griffage, dont le 30 comportement est considéré comme typique ou atypique à la suite de l'analyse de l'instance B. En d'autres termes, l'instance C ne connaît 54 que les seuls communicants aux comportements constatés par B comme étant recherchés. Elle peut par ailleurs ignorer en quoi ce comportement a été considéré typique ou atypique, en prévision notamment de cas où la 35 suspicion ou la recherche initiales s'avéreraient in fine infondées. Selon le degré désiré de cloisonnement, C peut ne pas connaître le comportement global concerné, par exemple ignorer les autres flux émanant de la même source, ou se dirigeant vers le même destinataire, mais n'ayant pas été jugés recherchés ou suspects, ainsi que des données susceptibles d'aider à connaître ce comportement global, tels que les horaires, nombres, degré de régularité et de répétitivité de ces flux, voire aider à en déduire une identité réelle, individuelle ou se rattachant à une communauté identifiable. En cas de désir de cloisonnement extrême, l'instance C peut elle-même être fragmentée en interne de manière à ce que les officiants en charge de l'observation du contenu et ceux qui participent à l'action préalable d'interception ou de stockage du flux concerné ne communiquent pas, afin que les premiers ignorent les identités (cryptonymiques ou réelles) des expéditeurs et réceptionnaires du flux. En fin de procédé, l'instance C peut communiquer, de manière automatique ou non, des informations concernant un flux a priori illicite à une autorité dotée d'un pouvoir judiciaire apte à engager une procédure officielle d'investigation. Celle-ci est à même de recouper les comportements globaux recueillis par l'instance B, et l'analyse par exemple des contenus menée par l'instance C. Cette autorité dotée d'un pouvoir tel que judiciaire par exemple pourra donc être l'unique détentrice finale d'informations venant des trois instances : - les contenus, à obtenir auprès de C ; - les comportements, à obtenir auprès de B ; - les identités réelles des utilisateurs portant un griffage masquant, à 25 obtenir auprès de A. Avantageusement, l'ordre inversé à partir duquel cette autorité dotée de pouvoir judiciaire est préférentiellement activable, permet dans ce cas de figure de ne la saisir et lui donner possibilité de fusionner toutes les 30 informations, qu'une fois le processus d'analyse avancé au moins jusqu'à l'instance B, et idéalement jusqu'à l'instance C. Cette dernière étant prévue pour être après constat des contenus, la plus légitime à saisir l'autorité dotée de pouvoirs judiciaires. En vis-à-vis, l'invention établit donc plusieurs types d'autorités, différentes selon leurs fonctions et leurs attributions. Ces autorités seront en charge de réceptionner des requêtes ou signalements, et plus généralement toutes informations, venant en tout ou partie des entités A, B ou C, en vue de les traiter et éventuellement pour donner suite. Elles pourront réceptionner également des demandes ou propositions venant de tiers externes, tels que des organismes de recherche ou des enquêteurs judiciaires, avec lesquelles elles joueront un rôle d'interface et de tampon pour conforter le cloisonnement cette fois externe de A, B et C. Sont notamment identifiées : - une première forme d'autorité revêtue d'un pouvoir judiciaire, susceptible par exemple de bénéficier d'un droit à connaître des contenus auscultés, et à initier ou participer à une procédure judiciaire ; - une deuxième forme d'autorité, précédemment nommée � autorité morale �, disposant ou non de pouvoirs judiciaires, et susceptible de juger de l'opportunité d'accoler une marque informative à un flux, en vue d'indiquer à un communicant, tel que son réceptionnaire, des éléments relatifs par exemple à une éventuelle innocuité ou dangerosité supposée ; - une troisième forme d'autorité, dépourvue de pouvoir judiciaire et de capacité de marquage informatif vers le réceptionnaire. Cette autorité étant activée dans le cas de recherches sur les flux et les utilisateurs de réseaux ne portant pas sur leur caractère licite. Elle est investie du droit de recevoir les données issues par exemple essentiellement de l'instance B. Ceci afin de faire l'interface avec des utilisateurs des données statistiques collectées, en vue par exemple de recherche sociologique, statistique ou encore métrologique. Cette autorité étant apte à juger de l'opportunité de transmission des données, et restant en charge de la garantie de respect d'anonymat de ces données transmises. L'accès aux diverses informations, et le droit de les fusionner, restera soumis aux contraintes du droit et à la règle du cloisonnement édictée par le superviseur du procédé, dans le respect de l'invention ; - une quatrième, nommé � autorité d'anonymisation �, aura pour 35 fonction de gérer des pseudonymes, selon le motif expliqué ci-après. Dans un mode de fonctionnement particulier illustré notamment par la figure 8, l'identité hors identité réelle, se rapportant à l'émetteur d'un flux, est susceptible de se subdiviser en deux, l'une et l'autre indirectement liées puisque se rattachant à une seule et même identité réelle d'expéditeur, mais répondant à des fonctions, des modes de modification et des modalités d'accès différents. L'intérêt de ce procédé reposant dans l'aptitude de l'une ou l'autre identité à donner accès à l'autre, sous la restriction d'autorisations préalables, sans avoir à en passer par révéler ou connaître l'identité réelle : - la première identité, déjà vue précédemment, étant présente sur le flux et correspondant au griffage masquant lui-même, reste protégée autant que désiré, au sens notamment d'indétectable, d'indélébile, inaccessible ou inintelligible face à tout acteur ou réceptionnaire autre que les instances A, B et éventuellement C. Cette partie pouvant être modifiée périodiquement et sans enchaînement logique à la discrétion de A, et n'étant donc pas stable ni prévisible ou reconstituable dans son expression formelle ; - la seconde identité, nommée par la suite � pseudonyme �, absente sur le flux, sera stable dans le temps et par rapport à son porteur, susceptible de ne pouvoir en porter un autre parallèlement ou à suivre. Cette seconde identité sera éventuellement choisissable par l'émetteur. La gestion du pseudonyme et du cryptonyme exprimé par un griffage, renvoie à des cloisonnements entre trois entités : l'instance A 21, l'autorité d'anonymisation 72, et une entité 81 nommée par la suite Z. L'instance Z étant dédiée à la seule gestion du lien entre une identité réelle et son pseudonyme, sans connaissance explicite des griffages. Un émetteur homologué 82 reçoit une proposition de choisir un pseudonyme, soit de la part de l'instance A, soit de la part de Z. Z sera réceptionnaire de ce choix, à l'exclusion de l'instance A, qui n'a pas vocation à en avoir connaissance. L'instance Z est fonctionnellement dans l'incapacité de repérer un griffage dans les courriers électroniques ou autres flux qu'elle reçoit de l'émetteur. Elle transmet le pseudonyme choisi à l'autorité d'anonymisation 72, accompagné du courrier électronique ou autre flux venant de l'émetteur et précisant ce choix, ce courrier portant un griffage décerné par A, mais que Z ne sait pas détecter et lire. Tout comme l'instance B, l'autorité d'anonymisation est dotée de la capacité fonctionnelle à détecter les griffages, qui sont sa recherche prioritaire, mais leur présence lui interdit de constater ensuite l'identité réelle de cet émetteur 82. L'autorité d'anonymisation reçoit de ce fait connaissance à la fois du pseudonyme et du griffage d'un émetteur, dont elle n'a pas vocation à connaître l'identité réelle. L'instance A transmet, par la suite, à l'autorité d'anonymisation les versions actualisées de ce griffage, sans se référer à l'identité réelle de son 1 o émetteur mais en se référant soit à un précédent griffage de cet émetteur, soit au griffage originel ici nommé griffage mère, soit à un identifiant arbitraire couplé à cette généalogie de griffages. L'autorité d'anonymisation a reçu une fois une copie de ce griffage mère ou d'une de ses variations suivantes par l'entremise de l'instance Z. L'autorité d'anonymisation effectue un 15 recoupement entre ses deux sources. Il ressort de ce dispositif : - que l'instance A connaît l'identité réelle d'un émetteur et son griffage, mais pas son pseudonyme ; - que l'instance Z connaît l'identité réelle d'un émetteur et son pseudonyme, sans savoir détecter et lire son griffage ; 20 - que l'autorité d'anonymisation 72 connaît le pseudonyme et la généalogie des griffages, sans avoir fonctionnellement accès à la véritable identité concernée. L'instance B ne s'intéresse qu'à la première identité, correspondant au griffage masquant. Elle ne mène aucune recherche concernant la seconde, 25 correspondant au pseudonyme, tout comme elle ne mène aucune recherche sur l'identité réelle du flux et de son émetteur. Divers usages peuvent s'envisager. Un premier usage est l'accès au pseudonyme à partir de la possession ou de la connaissance du griffage masquant tel qu'illustré par exemple par la figure 7. Dans cet exemple, Paul 30 32 est muni d'un griffage et d'un pseudonyme. Il demande accès au site de Julie 39 qui souhaite savoir s'il a une homologation donnant griffage et s'il est déjà venu sur son site. Ce pseudonyme peut être communiqué ou rendu ponctuellement accessible, visible ou lisible aux yeux de certains interlocuteurs tel par exemple qu'un 35 site internet de Julie 39 qui en ferait une demande en règle. La demande peut être accompagnée par exemple en transmettant copie de l'en-tête protocolaire 71 du protocole de communication, ou copie plus générale du flux porteur de la griffe. L'accès au pseudonyme s'obtiendra auprès de ceux habilités à le conserver ainsi qu'à le communiquer : o dans une première variante, par ou auprès d'une autorité d'anonymisation 72 ; o dans une deuxième variante, par un tiers, digne de confiance, qu'il aura délégué à cet effet ; o dans une troisième variante, par ou auprès de l'autorité 1 o d'anonymisation, avec permission de visibilité accordée par l'émetteur du flux. Un second usage possible se restreint de la part de l'autorité d'anonymisation non plus à informer d'un pseudonyme mais simplement à le confirmer, à savoir confirmer que tel pseudonyme connu par un récepteur, 15 correspond bien au griffage contenu dans un message se revendiquant de ce pseudonyme. Dans cette variante, le fait que l'émetteur n'ait pas fait connaître son pseudonyme au réceptionnaire, empêcherait à ce dernier d'accéder à sa connaissance en l'obtenant de l'autorité d'anonymisation. Il s'agit donc d'un des cas de figure où l'acceptation, par l'émetteur, que son 20 pseudonyme soit connu par un tiers 83, est préalable, indispensable, voire nominative. Une autre voie consistant à ce que l'émetteur autorise l'autorité d'anonymisation à la communiquer ultérieurement à tel tiers désigné ou tel type de tiers, comme indiqué précédemment dans la dite troisième variante. Ces dispositifs sont envisageables notamment pour les cas où un 25 engagement de sincérité serait demandé auprès de cet émetteur, à l'image d'un site autorisant l'accès à un service qu'il offre gratuitement, par exemple en contrepartie ultérieure d'un autre service réciproque venant de l'émetteur, dans une logique ici de troc, ou encore d'éthique, tel que l'engagement à conserver un secret obtenu lors de la première visite. Au cas où cette 30 contrepartie n'aurait pas été remplie par la suite, le site serait en mesure de reconnaître cet émetteur lors d'une future visite et de lui refuser un nouvel accès tant que la contrepartie n'aura pas été obtenue ou réparée. L'intérêt de ce procédé tient au fait de fournir un pseudonyme stable accolé à un masque changeant (griffage) se rapportant lui-même à une identité réelle stable mais restant inconnue. A l'instar d'un masque de carnaval pouvant changer régulièrement aux yeux d'un observateur posté à l'entrée ou à l'intérieur, mais ne pouvant durant les bals successifs que rester attaché à un même pseudonyme constant dans le temps. Paul peut changer régulièrement de masque, mais chaque masque nouveau et différent ne sera accolé qu'au seul pseudonyme stable d'Arlequin 73, choisi originellement par Paul. � Paul � et � Arlequin � sont pérennes, tandis que le masque évolue. Le pseudonyme est montrable uniquement à qui soit l'émetteur le souhaite, soit l'autorité détenant ce pseudonyme, ou les deux conjointement. 1 o De la sorte, tout observateur présent sur le réseau et ayant connaissance ou détention (par réception mais sans pouvoir le reconnaître ou le lire) de la griffe de l'expéditeur ou de son flux, ne pourrait accéder au pseudonyme stable sans l'accord de cet émetteur et/ou de l'autorité d'anonymisation. Et tout réceptionnaire autorisé de ce pseudonyme stable ne pourrait connaître 15 par ce truchement la véritable identité de l'émetteur. L'avantage de ce procédé tient à ce que le réceptionnaire aurait toutefois la certitude que le pseudonyme stable se rattache soit à un griffage masquant quelconque, au sens où il émane d'un émetteur non précisé mais ayant été jugé digne d'être homologué, soit à un griffage masquant précis, au sens où il correspond 20 effectivement à l'émetteur de tel message. Dans ce second cas de figure, le réceptionnaire bénéficie de la garantie apportée par l'autorité d'anonymisation qu'il s'agit bien du même émetteur que lors d'un précédent contact, quand bien même le griffage de cet émetteur aurait entretemps été modifié par l'instance A. 25 Cette garantie d'interlocuteur peut se mener tant sur un mode asymétrique, comme dans le précédent cas de figure où un seul des deux interlocuteurs demande garantie, que sur un mode symétrique. Ce dispositif présentant pour originalité de ne pas reposer sur des identités réelles, mais sur des identités dotées de la triple caractéristique complémentaire d'être artificielle, 30 stable et unique. Un autre usage est l'obtention d'une confirmation de possession par Paul d'un griffage d'homologation, à partir de la possession ou de la connaissance du pseudonyme. Dans ce procédé inversé, le pseudonyme peut être utilisé en s'adressant à 35 son autorité d'anonymisation détentrice, ou tout tiers délégué. Sur cette requête du réceptionnaire d'un flux se réclamant d'un pseudonyme donné, l'autorité peut confirmer la réalité de possession d'un griffage par l'expéditeur, sans en préciser le contenu. Cette confirmation d'homologation d'interlocuteur peut se mener tant sur un 5 mode asymétrique que symétrique. Ces pseudonymes facilitent la constitution de relations entre communicants sur des bases totalement ou partiellement anonymisées, mais immodifiables, immutables et incessibles autrement que par éventuelles règles restrictives 1 o définies par l'autorité. REVENDICATIONS1. Procédé d'identification de flux susceptibles d'être recherchés dans un réseau de communications comportant des supports de communication (31, 32, 33) émettant des flux (36) vers des réceptionnaires (37, 38, 39), caractérisé en ce qu'il comporte au moins : - une étape d'attribution d'une identité cryptonymique (34) à des supports de communications par une première instance (A, 21), les flux (36) émis par un support portant un griffage masquant, fonction de son identité cryptonymique, le cryptonyme d'un support étant distinct de son identité réelle (21, 22, 23) ; - une étape de lecture et d'analyse (41, 42) des flux par une deuxième instance (B, 22), ladite analyse comportant une phase d'identification de flux à leurs supports de communications (31, 32, 33) par recherche de similitude entre l'éventuel griffage des flux et l'éventuelle identité cryptonymique des supports à l'aide d'une table référençant les cryptonymes, et une phase de relevé de caractéristiques observables des flux à travers le réseau ; un comportement, défini par un ensemble de caractéristiques, étant déclaré typique ou atypique par comparaison à un ensemble de critères donné, la table des identités cryptonymiques n'ayant pas de lien avec les identités réelles. 2. Procédé selon la revendication 1, caractérisé en ce que l'analyse de comportement est effectuée en priorité sur les flux n'ayant pas de griffage (34) rapporté à un support de communication pourvu d'un cryptonyme. 3. Procédé selon l'une quelconque des revendications précédentes, caractérisé en ce qu'il comporte une troisième étape de réception des signalements de comportements typiques ou atypiques par une troisième instance (C, 23), ladite instance étant apte à vérifier la licéité des flux correspondants. 4. Procédé selon la revendication 3, caractérisé en ce que la troisième instance (C, 23) est apte à vérifier le contenu des flux correspondants. 5. Procédé selon l'une quelconque des revendications 3 ou 4, caractérisé en 5 ce que la troisième instance (C, 23) n'est pas informée du résultat de la comparaison qui a conduit à déclarer un flux typique ou atypique. 6. Procédé selon l'une quelconque des revendications précédentes, caractérisé en ce que les instances (A, B, C) sont cloisonnées sans accès 1 o mutuels à leurs données respectives autrement que par requêtes émises selon un degré d'autorisation susceptible d'être prédéfini. 7. Procédé selon l'une quelconque des revendications précédentes, caractérisé en ce que la deuxième instance (B) effectue la lecture de flux en 15 un point du_réseau (35). 8. Procédé selon l'une quelconque des revendications précédentes, caractérisé en ce que l'identité cryptonymique fournie à un support de communication (32) est un élément secret, le secret déterminant le 20 cryptonyme du support, les flux (36) émis par ce support comportant (32) un griffage contenant cet élément secret. 9. Procédé selon la revendication 8, caractérisé en ce que l'élément secret peut être stocké sur le support ou faire l'objet d'une écriture de manière 25 dynamique à partir de données puisées à chaque fois à l'extérieur, tout en aboutissant à un griffage du flux par l'équipement expéditeur. 10. Procédé selon la revendication 8 caractérisé en ce que l'élément secret peut être détenu par un tiers extérieur, susceptible de l'apposer après la 30 sortie du flux, relevant d'une identité préalablement homologuée. 11. Procédé selon l'une quelconque des revendications 8 à 10, caractérisé en ce que l'élément secret est modifiable périodiquement par la première instance (A). 35 12. Procédé selon l'une quelconque des revendications 1 à 9, caractérisé en ce que le griffage masquant des flux est établi automatiquement dans ou à la sortie du support de communication d'émission (32) lors de chaque envoi. 13. Procédé selon l'une quelconque des revendications 1 à 11, caractérisé en ce que le griffage masquant d'un flux est effectué en un point de passage du réseau par des moyens de marquage. 10 14. Procédé selon l'une quelconque des revendications précédentes, caractérisé en ce qu'une marque à caractère informatif est apposée par des moyens de marquage sur requête d'un signal issu de la deuxième instance (B) ou de la troisième instance (C). 15 15. Procédé selon l'une quelconque des revendications précédentes, caractérisé en ce qu'une marque à caractère informatif est apposée par des moyens de marquage sur requête d'un signal issu d'une autorité indépendante pouvant en apprécier l'opportunité. 20 16. Procédé selon l'une quelconque des revendications 14 ou 15, caractérisé en ce que le marquage informatif d'un flux (36) est effectué en un point de passage du réseau par des moyens de marquage. 17. Procédé selon l'une quelconque des revendications 14 à 16, caractérisé 25 en ce que l'information contenue dans la marque informative est lisible par des supports de communication réceptionnaires (37, 38, 39) ou expéditeurs (31, 32, 33) du flux. 18. Procédé selon l'une quelconque des revendications précédentes, 30 caractérisé en ce qu'un support de communication (31, 32, 33) ne peut s'affranchir définitivement d'un griffage masquant sans un signal d'autorisation de la première instance (A, 21). 19. Procédé selon l'une quelconque des revendications précédentes, 35 caractérisé en ce qu'un support de communication (31, 32, 33) peut5s'affranchir provisoirement ou de manière sélective d'un griffage masquant sans un signal d'autorisation de la première instance (A). 20. Procédé selon l'une quelconque des revendications 1 à 18, caractérisé en ce qu'un support de communication (31, 32, 33) peut s'affranchir provisoirement ou de manière sélective d'un griffage masquant via un signal d'autorisation de la première instance (A). 21. Procédé selon l'une quelconque des revendications précédentes, 1 o caractérisé en ce que l'analyse des flux est effectuée sur leurs protocoles de communication. 22. Procédé selon la revendication 21, caractérisé en ce que le griffage est insérée dans le format du protocole de communication utilisé, tout en 15 respectant le standard du protocole, sans interférer avec les données de l'utilisateur. 23. Procédé selon la revendication 22, caractérisé en ce que le griffage est inséré dans l'en-tête protocolaire. 20 24. Procédé selon l'une quelconque des revendications précédentes, caractérisé en ce qu'une identité réelle d'émetteur de flux (82) est associée séparément d'une part à un pseudonyme invariant, d'autre part à un cryptonyme variant, fonctionnellement dissimulateur de la vraie identité, ces 25 deux attributs bénéficiant de passerelles possibles entre eux, mais aucun ni leur addition ne permettant à un tiers extérieur de remonter, par leur connaissance ou leur détention, à cette identité réelle. 25. Procédé selon la revendication 24, caractérisé en ce que les identités sont 3o personnelles et incessibles à des tiers. 26. Procédé selon l'une quelconque des revendications 24 ou 25, caractérisé en ce que le pseudonyme est porté à la connaissance explicite de tiers par son porteur, le cryptonyme ne l'étant pas. 27. Procédé selon l'une quelconque des revendications 24 à 26, caractérisé en ce qu'il est déployé, en matière de gestion d'identité, trois entités partiellement cloisonnées entre elles : une instance A (21), une instance Z (81) et une autorité d'anonymisation (72) : - l'instance A connaissant explicitement le lien entre identité réelle et griffage. - l'instance Z connaissant explicitement le lien entre identité réelle et pseudonyme. - l'autorité d'anonymisation (72) connaissant explicitement le lien entre 1 o pseudonyme et griffage. 28. Procédé selon l'une quelconque des revendications précédentes, caractérisé en ce qu'un pseudonyme invariant d'une identité donnée et un cryptonyme variant de cette même identité se trouvent en bijection constante, 15 au sein de l'instance chargée de cette bijection, sans intercession de cette identité réelle à aucun moment. 29. Procédé d'émission d'un flux (36) par un support de communication à travers un réseau de télécommunication ou de télédiffusion apte à sécuriser 20 le trafic de données, caractérisé en ce qu'il comporte un griffage représentant un cryptonyme indépendant de l'identité réelle de son support de communication d'émission et du contenu qu'il véhicule, ledit cryptponyme étant référencé dans une première instance (A), le référencement indiquant le lien avec l'identité réelle correspondante et ledit crytonyme étant repérable 25 par une deuxième instance (B) n'ayant pas accès à l'identité réelle correspondante. 30. Procédé selon la revendication 29, caractérisé en ce que le cryptonyme a la forme d'un élément secret. 31. Procédé selon l'une quelconque des revendications 29 ou 30, caractérisé en ce que le griffage est inséré dans le format du protocole de communication utilisé, tout en respectant le standard du protocole, sans interférer avec les données de l'utilisateur. 30 32. Procédé selon la revendication 31, caractérisé en ce que le griffage est inséré dans l'en-tête protocolaire.