Brevet FR2960368A1 — publié le 20111125

SYSTEME SECURISE D'INTERCONNEXION ENTRE DEUX RESEAUX PUBLICS La présente demande de brevet concerne un système sécurisé d'interconnexion entre deux réseaux publics de télécommunications. Un des objectifs de l'invention consiste à gérer de bout en bout des communications privées entre un terminal mobile connecté au premier réseau public et des utilisateurs privés ou publics ayant accès au second réseau public. Préférablement, un des deux réseaux est un réseau civil satellite en bande L et l'autre est un réseau public terrestre respectant le protocole IP MPLS (« Multiprotocol Label Switching »). L'invention s'applique notamment aux systèmes de communications entre un aéronef et une infrastructure de communication située au sol. La banalisation des services de télécommunications, notamment mobiles, a conduit les opérateurs satellite civils à développer, sur la base des technologies compatibles du protocole Internet IP telles que la technologie GPRS ou la technologie UMTS, de nouvelles solutions de communications pour des utilisateurs situés à bord d'un avion. Les communications transportées sur les réseaux satellites sont relayées au sol vers des réseaux publics fixes et mobiles par l'intermédiaire d'architectures d'interconnexion terrestres destinées à ces usages. Les satellites civils sont appelés à jouer un rôle important en aéronautique, en complément des systèmes terrestres non seulement pour les services de maintenance et contrôle aérien dit « cockpit » destinés aux pilotes des avions mais aussi pour les services banalisés dit « cabine » destinés aux passagers. Pour bénéficier d'une bande passante globale accrue et d'une couverture internationale, l'utilisation de réseaux de satellites civils est envisagée pour desservir les services de communication à bord d'aéronefs, par exemple gouvernementaux. Un des problèmes à résoudre dans ce contexte concerne l'interconnexion sécurisée entre le réseau satellite et le réseau terrestre. En effet, dans le cadre d'applications qui nécessitent une sécurisation des contenus, il est nécessaire d'authentifier les flux en provenance ou à destination de l'aéronef, de cloisonner les flux de données transmis entre les deux réseaux, de les protéger contre l'intrusion ou le déni de services par des tiers malintentionnés et d'assurer une disponibilité maximum de la solution de transport des flux. Un autre problème réside dans la surveillance du fonctionnement global des services de bout en bout en temps réel depuis un centre de gestion distant au sol de façon efficace et sécurisée en s'affranchissant d'une interrogation systématique des équipements de l'aéronef. Les offres de services existantes permettant d'émettre et de recevoir des données ou des appels depuis ou vers un avion via un lien satellite sont mises en oeuvre par des systèmes d'interconnexion dits APN (« Access Point Name ») raccordés aux réseaux publics de données en particulier Internet. Ces systèmes sont partagés entre les utilisateurs civils et des utilisateurs nécessitant un fort degré de confidentialité tels des utilisateurs gouvernementaux. Interfacés aux réseaux publics, ils sont accessibles depuis l'extérieur et ne sont pas protégés contre l'intrusion. Les flux de données des utilisateurs sont mélangés avec les flux de services (gestion, signalisation). Ils ne sont pas séparés en fonction de leur niveau de sensibilité ni du degré de protection qu'ils nécessitent. Ainsi un tiers peut, depuis une connexion au réseau terrestre par internet ou un réseau téléphonique commuté, récupérer les données émises/reçues depuis l'avion en accédant à un port de gestion d'un des équipements du système d'interconnexion ou en s'introduisant dans le réseau en usurpant l'identification d'un abonné satellite. Ainsi les solutions de l'art antérieur ne permettent pas de fournir à l'usager et à l'exploitant une protection contre les intrusions, les virus ou toute forme d'attaque extérieure ni de fournir une garantie de disponibilité de service élevée. De plus, aucun mécanisme de contrôle en temps réel ressources satellites n'est mis en oeuvre depuis le sol dans les solutions connues. La gestion des ressources est réalisée en temps différé à partir des informations de facturation) fournies à postériori par l'opérateur satellite. La surveillance des communications de bout en bout entre le sol et l'aéronef exige donc de développer au cas par cas, directement sur les moyens de communication satellite des avions, des applications dédiées qui sont interrogées périodiquement depuis le sol et pendant les vols. Cette méthode comporte des risques forts d'intrusion et d'attaque sur les aéronefs et présente des contraintes de bande passante inhérentes à l'introduction de flux de gestion sur le même lien satellite que les flux de données. La présente invention permet de résoudre les limitations précitées par la mise en oeuvre d'un système d'interconnexion qui permet d'implémenter un haut niveau de sécurisation des données tout en utilisant des réseaux satellites et terrestres publics. De plus elle permet de superviser les connexions en provenance de l'aéronef tout en garantissant la confidentialité des flux, sans nécessiter d'accéder directement aux moyens de communication à bord de l'avion et sans introduire de flux de signalisation supplémentaires sur la liaison satellite. A cet effet l'invention a pour objet un système sécurisé d'interconnexion entre un premier réseau public de communications et un second réseau public de communications, un premier équipement de communications directement relié audit premier réseau public communiquant avec un second équipement de communications directement relié audit second réseau public, ledit système étant caractérisé en ce qu'il comporte au moins: o un premier routeur réceptionnant au moins un flux de communication issu dudit premier réseau public, auquel il est connecté, et à destination dudit second réseau public, o un premier pare-feu directement relié audit premier routeur adapté à séparer au sein desdits flux de communication, les flux de données et les flux de signalisation, o un second routeur qui reçoit les flux de données dudit premier pare-feu et les transmet audit second réseau public auquel il est connecté, o un second pare-feu qui reçoit les flux de signalisation dudit premier pare-feu auquel il est directement connecté, o un serveur lame qui reçoit les flux de signalisation dudit second pare-feu auquel il est directement connecté, ledit second pare-feu effectuant un filtrage des paquets que comportent lesdits flux de signalisation en fonction au moins de leur numéro de port, ledit second pare-feu étant adapté à permettre l'accès sécurisé audit serveur lame depuis un centre de supervision ou une plateforme de test, o ledit système d'interconnexion comportant en outre un premier réseau local virtuel contenant les flux de données échangés entre ledit premier équipement de communications et ledit second équipement de communications, un deuxième réseau local virtuel contenant les flux de gestion et maintenance dudit système échangés entre ledit centre de supervision et ledit serveur lame et un troisième réseau local virtuel contenant les flux d'authentification dudit premier équipement de communications échangés entre ledit second pare-feu et ledit serveur lame, lesdits réseaux locaux virtuels étant conçus de façon à présenter une intersection vide.30 Dans une variante de réalisation de l'invention, ledit serveur lame comporte au moins un serveur d'authentification adapté à authentifier ledit premier équipement de communications et à autoriser l'ouverture d'une connexion entre ledit premier équipement de communications et ledit second équipement de communications, un serveur de capture des flux de signalisation et un serveur de supervision adapté à surveiller l'état desdites connexions et le fonctionnement dudit système en temps réel. Dans une variante de réalisation de l'invention, ledit serveur d'authentification met en oeuvre le protocole d'authentification RADIUS pour 10 centraliser les flux d'authentification. Dans une variante de réalisation de l'invention, ledit serveur de supervision effectue une analyse de l'état desdites connexions à partir des informations d'authentification et d'ouvertures de connexions que contient ledit serveur d'authentification. 15 Dans une variante de réalisation de l'invention, ledit système d'interconnexion comporte en outre un quatrième réseau local virtuel pour la transmission, entre ledit serveur de supervision et une plateforme externe, des flux relatifs à l'analyse de l'état desdites connexions. Dans une variante de réalisation de l'invention, ledit premier réseau public 20 est un réseau satellite et ledit premier équipement de communications est situé à bord d'un avion. Dans une variante de réalisation de l'invention, ledit second réseau public est un réseau terrestre. Dans une variante de réalisation de l'invention, l'ensemble des 25 équipements que comporte le dit système sont dupliqués pour assurer une redondance en cas de panne de l'un d'entre eux. D'autres caractéristiques apparaîtront à la lecture de la description détaillée donnée à titre d'exemple et non limitative qui suit faite en regard de 30 dessins annexés qui représentent : La figure 1, un schéma représentant l'architecture générale d'interconnexion entre un avion et un réseau terrestre par l'intermédiaire d'un réseau satellite, La figure 2, un synoptique de l'architecture physique et logique du 5 système d'interconnexion selon l'invention, La figure 3, un exemple d'établissement de connexion entre un avion et un équipement au sol par l'intermédiaire du système d'interconnexion selon l'invention, La figure 4, une illustration du traitement des flux de supervision au 10 sein du système d'interconnexion selon l'invention, La figure 5, une illustration de la gestion de la qualité de services par le système d'interconnexion selon l'invention. L'invention est décrite dans un mode de réalisation qui concerne une 15 communication sécurisée entre un avion et un centre de communication situé au sol. Sans sortir du cadre de l'invention, la présente demande s'applique également à tout terminal mobile ou fixe relié au premier réseau public par des moyens de communications adaptés et situé dans un moyen de transport aérien, naval ou terrestre. 20 La figure 1 représente l'architecture générale d'interconnexion entre un système de communication embarqué à bord d'un avion 101, et un centre de communication terrestre 102 éventuellement relié à un réseau téléphonique public commuté 103 et à un réseau internet 104. L'avion 101 25 communique avec les systèmes au sol par l'intermédiaire d'un réseau satellite civil 105 qui diffuse les communications vers un système d'interconnexion 106 relié au centre de communication terrestre 102 par une liaison de données dédiée 107 de type Ethernet, par exemple fournie par un opérateur de services IP-MPLS. L'avion 101 comporte à son bord au moins un modem qui gère de façon dynamique les flux de données entre le réseau local de l'avion 101 et le système satellite 105. Le système d'interconnexion 106 selon l'invention a pour rôle l'authentification des modems à bord de l'avion 101, la gestion des requêtes et des flux en provenance ou en direction du satellite, et la transmission sécurisée des flux de données entre le centre de communication terrestre 102 et l'avion 101. A cet effet, il ne comporte aucun lien de communication non sécurisé vers des réseaux publics ou des réseaux Internet. Le centre de communication terrestre 102 est relié à des réseaux publics 103,104. II réalise l'aiguillage des communications vers les utilisateurs internes au système et les utilisateurs publics. Le système satellitaire 105 constitue également un réseau public. Les flux de communication entre l'avion 101 et le centre terrestre 102 sont des communications privées, le problème visé par la présente invention consiste alors à sécuriser de façon efficace les flux de données entre ces deux entités malgré le fait que tous les réseaux utilisés sont publics et accessibles à des tiers. Ce problème est résolu par le système d'interconnexion 106 selon l'invention qui met en oeuvre un ensemble de mécanismes de sécurisation des données échangées entre l'avion et le sol. La figure 2 illustre l'architecture physique et logique du système d'interconnexion 106 selon l'invention. II comporte un ensemble d'équipements qui sont tous dupliqués et fonctionnent en mode principal/secours sans coupure de trafic en cas de basculement afin d'assurer une redondance globale. Pour chaque paire d'équipements, une des deux entités fonctionne en mode nominal et l'autre intervient comme équipement de secours au cas où un disfonctionnement impacterait le premier équipement. Toutes les bases de données du système sont répliquées en temps réel sans perte d'informations de contexte et sans coupure de session en cas de basculement. Par souci de clarté, on ne décrira par la suite que les équipements nominaux sachant que comme cela est illustré sur la figure 2, ils peuvent tous être dupliqués. Le système d'interconnexion 106 selon l'invention comporte un premier routeur 202 qui joue le rôle de passerelle d'interconnexion vis-à-vis du système satellitaire 105 et qui est directement relié à une station terrestre satellite 201 qui réceptionne les flux de données satellite, en particulier ceux provenant de l'avion 101. Le routeur 202 possède une adresse IP publique qui n'est pas routable sur un réseau Internet. Il est directement relié par l'intermédiaire d'un tunnel crypté à un pare-feu 203 qui présente une adresse IP privée et qui a pour fonction d'aiguiller les flux de données provenant de l'avion 101 et à destination du centre terrestre 102. Un second routeur 205 est chargé de véhiculer lesdits flux de données filtrés par le pare-feu 203 vers le centre terrestre 102 à travers un tunnel crypté, il joue le rôle de point d'accès vers le réseau de transport terrestre et possède une adresse IP privée non routable sur Internet. Les flux de signalisation servant à l'authentification des abonnés satellite et à l'établissement de requêtes de sessions provenant du réseau satellitaire sont également filtrés par le pare-feu 203. Ils sont de plus aiguillés, via un commutateur réseau 204 vers un second pare-feu 206 qui a pour fonction le filtrage des requêtes de signalisation vers le serveur d'authentification 209 et le contrôle d'accès au serveur de supervision 211 du système pour les administrateurs autorisés. Le pare-feu 206 présente une adresse IP publique non routable sur Internet. II permet de gérer l'accès pour les administrateurs autorisés au serveur de supervision 211 du système depuis un centre de supervision distant 207b, et le transfert des bases de données 213 vers la plate forme de tests 207a en temps différé et sur demande pour des administrateurs autorisés. Enfin, le système d'interconnexion 106 comporte un serveur lame 208, également connu sous le terme anglo-saxon blade server. Un serveur lame est un serveur conçu pour un très faible encombrement. Le serveur lame 208 comporte deux serveurs d'authentification 209 pour le traitement des requêtes et signalisation provenant du réseau satellite, un serveur 210 de capture des trames de signalisation, de surveillance et de gestion, deux serveurs de supervision 211 pour la surveillance en temps réel des équipements du système, deux serveurs d'application 212 et deux bases de données 213 utilisées pour la gestion des notifications et des informations d'alarmes et le stockage des informations de gestion. Tous les serveurs internes au serveur lame 208 possèdent des adresses IP privées sauf le serveur d'authentification 209 qui possède une adresse IP publique qui n'est pas routable sur un réseau Internet. Avantageusement, le serveur d'authentification 209 met en oeuvre le protocole d'authentification RADIUS (« Remote Authentication Dial-In User Service ») permettant de centraliser les données d'authentification. Ce protocole est normalisé par le groupe IETF sous les références RFC 2865 et RFC 2866. Le serveur lame 208 est connecté aux autres équipements par l'intermédiaire d'un commutateur réseau 214. Le système d'interconnexion 106 comporte également une architecture logique et physique composée de plusieurs réseaux locaux virtuels ou VLAN qui ont pour objectif de réaliser une séparation physique et logique des différents types de flux qui traversent ledit système 106 dans le but d'assurer le cloisonnement des données et leur protection contre l'intrusion. Un premier réseau local virtuel 10 est associé aux flux de données transmis entre le sol et l'avion 101 ou inversement. Le trafic sur ce premier réseau local virtuel 10 n'est pas accessible depuis un réseau public extérieur autre que le réseau satellitaire 105 et le réseau de transport terrestre 102. Un deuxième réseau local virtuel 20 permet la surveillance et la gestion à distance des équipements du système d'interconnexion 106 depuis le système de supervision 207b. II permet d'une part de restreindre l'accès à distance des seules personnes autorisées à gérer la configuration, l'exploitation et l'administration dudit système 106. D'autre part, il permet également de transporter vers le centre de supervision distant 207b toutes les notifications et alarmes émanant du serveur de supervision 211. Les flux de gestion sont véhiculés sur une connexion sécurisée et cryptée, par exemple une connexion utilisant le protocole IP-sec. Grâce à ce deuxième réseau local virtuel 20, il n'est pas possible d'accéder aux configurations dudit système 106 ni aux informations de surveillance depuis le réseau Internet ou même depuis les réseaux publics satellitaires 105 et terrestres 102. Un troisième réseau local virtuel 30 est dédié aux demandes d'accès et d'authentifications en provenance du réseau satellite 205 vers le système d'interconnexion 106. Il est utilisé à chaque demande d'enregistrement, d'ouverture ou de fermeture de canaux satellite. Un quatrième réseau local virtuel 40 permet la récupération, en temps différé, d'informations statistiques depuis le serveur de supervision 211 afin de réaliser des analyses de qualité de service. Ce réseau 40 permet également d'effectuer des tests du système via des flux de tests transmis depuis l'avion vers la plate forme de test 207a. Les quatre réseaux locaux virtuels 10,20,30,40 sont identifiés sur la figure 2 par les chemins de données couverts pour chacun desdits réseaux. Ils sont conçus de façon à présenter une intersection vide, c'est-à-dire qu'aucun flux de communication appartenant à l'un de ces réseaux locaux virtuels ne transite sur un des autres réseaux locaux virtuels. Gestion des flux transitant dans le système d'interconnexion selon l'invention La figure 3 illustre un exemple d'établissement de connexion entre un 30 avion et un équipement au sol par l'intermédiaire du système d'interconnexion 106 selon l'invention. Dans une première étape 301, le modem satellite que comporte l'avion 101 s'enregistre sur le réseau satellitaire 105, par le biais d'une demande d'enregistrement. Une première authentification du modem de l'avion est réalisée par le système d'authentification propre au réseau satellitaire. Pour activer un service de transport, le modem de l'avion émet une demande d'adresse IP vers le système d'interconnexion 106 en utilisant le nom de domaine réservé audit système 106. Cette requête contient aussi une information sur la bande passante souhaitée pour l'établissement de la connexion. Dans une deuxième étape 302, la requête d'authentification est reformatée par le réseau satellitaire qui la transmet au premier routeur 202. La requête est ensuite présentée 303 à l'un des deux pare-feux 203 sur une adresse privée. Celui-ci la redirige 304 à travers le réseau virtuel local VLAN 10 à l'un des deux second pare-feux 206 pour que ce dernier effectue une vérification des règles de filtrage vers le serveur d'authentification 209. Sur les seconds pare-feux 206, les listes de permissions sont configurées pour autoriser seulement les paquets comportant un numéro de port donné via lequel est transmis le trafic de requête vers le réseau virtuel local VLAN 30. Ainsi seuls les messages d'authentification à destination ou en provenance du serveur 209 et les messages de connexion peuvent pénétrer le réseau virtuel local VLAN 30. Le serveur d'authentification 209 réalise une authentification 305 effectuée au moins à partir d'un des paramètres suivants: un numéro d'identification du modem de l'avion 101, par exemple un numéro IMSI (« International Mobile Suscriber Identity ») et un nom d'utilisateur et son mot de passe associé. Le serveur 209 alloue ensuite une adresse IP spécifique en fonction du type de service demandé ou d'un niveau de qualité de service donné. L'adresse IP allouée par le serveur 209 est ensuite renvoyée 306,307,308 au modem authentifié de l'avion 101. Ce flux d'information est vu comme une opération au niveau de la supervision et est véhiculé vers le réseau satellite 105 sur le réseau virtuel local VLAN 30 puis le réseau virtuel local VLAN 10 en passant successivement par les deux pare-feux 206,203 et le routeur 202. Une fois authentifié, le modem satellite de l'avion 101 dispose de son adresse IP et peut communiquer 309 avec le réseau terrestre 102. Le trafic de communication transmis par le modem de l'avion 101 arrive sur le pare-feu 203 qui établit un lien privé vers le réseau terrestre sur le réseau virtuel privé VLAN 10 et redirige le trafic directement vers le réseau terrestre 102 à travers le routeur 205. Ce trafic de données n'est pas accessible depuis les autres réseaux virtuels privés. Le système d'interconnexion 106 selon l'invention réalise à cet effet un cloisonnement des données afin de sécuriser complètement l'accès aux communications à bord de l'avion 101. Le fait que les requêtes d'authentification transitent sur un réseau virtuel privé VLAN 30 distinct de celui sur lequel transitent les données permet d'éviter un accès non autorisé au système de communication à bord de l'avion 101 qui serait possible si tous les flux, données et signalisation, transitaient par le même canal logique entre l'avion 101, le réseau satellitaire 105 et le réseau terrestre 102. Les quatre réseaux privés virtuels 10,20,30,40 selon l'invention permettent la séparation entre les flux de données, d'authentification ou encore de surveillance et de gestion. En particulier l'invention permet de séparer les flux associés à la maintenance des équipements de ceux qui concernent le trafic de données. Un utilisateur qui a l'autorisation d'accéder au réseau privé virtuel 20 pour la maintenance du serveur-lame 208 n'a pas d'accès au réseau privé virtuel 10 qui contient les données échangées entre l'avion 101 et le réseau terrestre 102. Ainsi, l'intrusion au sein du système d'un tiers non autorisé est évitée. Ce principe est illustré à la figure 4. La gestion à distance du serveur-lame 208 est effectuée à partir du système de supervision 207b situé à distance. Les flux de gestion transitent via le réseau virtuel privé VLAN 20. Gestion de la qualité de service et des requêtes d'authentification À Le réseau satellitaire 105 permet de différencier plusieurs types de services. Un premier service peut fournir un débit élevé crête mais sans garantie d'un maintien de ce débit tout au long de la connexion. On parle de service « best effort ». Un autre service peut allouer des débits plus faibles mais qui sont garantis tout au long de la connexion, on parle alors de services à débit garanti. En général, les données diffusées en clair et l'accès au réseau internet passent par le canal associé au service « best effort » alors que les communications sécurisées utilisent des canaux à débit garanti. Ces différents services sont activés par des demandes d'ouverture de canaux associés audit service. Dans les communications aéronautiques, les canaux de communication peuvent être dégradés du fait des mauvaises conditions de propagation. Ils sont ainsi soumis à des phénomènes de perte instantanée du signal liés notamment aux inclinaisons des antennes des avions et à son mouvement. Ces pertes de signal entraînent des déconnexions intempestives du modem et rendent instable la liaison avec le réseau satellite. Ces évènements sont une des causes de dysfonctionnement des services. Pour stabiliser le fonctionnement du service et éviter une avalanche de requêtes de reconnexion, les systèmes satellites connus arment des temporisations qui peuvent aller jusqu'à 30 minutes pour maintenir la connexion en cas de perte de signal du modem. Ces évènements ne sont pas gérés en supervision. De ce fait les solutions connues consistent à interroger à une fréquence donnée, par exemple toutes les minutes, le modem de l'avion pendant le vol afin de vérifier la qualité de service fournie à bord. Or l'interrogation systématique depuis le sol du modem satellite de l'avion pendant les phases de vol présente un risque de sécurité important. Pour des raisons de sécurité, il n'est pas souhaitable de transmettre des requêtes d'interrogation depuis le sol vers l'avion pendant les phases de vol. Pour pallier ce problème, le système d'interconnexion selon l'invention permet une gestion de la qualité de services localisée audit système sans interrogation des moyens de communication à bord de l'avion. A cet effet, il réalise une analyse des requêtes d'authentification stockées dans le serveur d'authentification 209 et du nombre de canaux activés en parallèle par ledit système tel qu'illustré à la figure 5. Cette analyse des types de canaux ouverts et de leurs débits permet à un superviseur d'obtenir une indication sur l'activité des applications entre le sol et l'avion. Un avantage important de cette solution réside dans le fait de ne pas utiliser la bande passante satellite pour transmettre des informations de service et d'éviter l'interrogation du modem à bord de l'avion pendant son vol. L'analyse effectuée permet de délivrer des indicateurs en temps-réel pendant les phases de vol et d'établir des historiques et des rapports d'activité à la fin de chaque vol. Les informations de requête d'authentification et de canaux ouverts sont stockées dans le serveur de supervision 211 et sont transmises vers la plateforme 207a sur requête de celle-ci effectuée par l'intermédiaire du réseau virtuel local VLAN 40 et vers le superviseur client 102 sur requête par l'intermédiaire des réseaux virtuels locaux VLAN 10 et VLAN 40. Le procédé mis en oeuvre est le suivant. Périodiquement, une application exécutée sur le serveur de supervision 211 mesure le nombre de canaux activés, la date de début et de fin de session, la durée de la transmission et le débit associé. Cette mesure permet de déterminer le nombre de canaux ouverts simultanément et donc le nombre de communications actives. L'application dédiée à cette mesure interroge le serveur d'authentification 209 qui a procédé à l'ouverture des différents canaux. En parallèle, le nombre de liens de trafic transitant à travers les routeurs 202 et 205 est mesuré ainsi que les débits des flux d'entrée/sortie sur ces routeurs. Si le nombre de liens traversant lesdits routeurs est différent du nombre de canaux ouverts ou si le trafic mesuré sur les différents éléments est incohérent un ticket d'incident est généré par l'application et transmis à la plateforme 207a. Ce ticket d'incident a pour fonction de prévenir une dégradation du service fourni à bord de l'avion. De plus, l'application exécutée sur le serveur de supervision 211 permet également d'analyser les débits réellement alloués par le réseau satellite sur les différents canaux et de les comparer aux débits exigés. Cette analyse est, par exemple, effectuée lors de la déconnexion d'un canal et à une fréquence donnée, par exemple toutes les 30 minutes. L'information de débits alloués permet de déterminer la bande passante réellement disponible sur le réseau satellite et d'identifier les dégradations de service en termes de bande passante A la fin de chaque vol, des statistiques peuvent être générées sur les débits alloués, le nombre de canaux ouverts et le nombre d'incidents détectés. Ces statistiques sont créées par le serveur de supervision 211 puis envoyées vers la plate-forme 207a et vers le centre de communication terrestre 102. La présente invention a pour avantage de permettre un haut niveau de sécurisation des données tout en utilisant des réseaux publics. Elle permet de plus une supervision depuis le sol des connexions en provenance du réseau satellite tout en garantissant la confidentialité des flux et en s'affranchissant d'une interrogation des équipements à bord de l'avion. L'infrastructure d'interconnexion selon l'invention peut être utilisée pour interconnecter tout type de réseau public terrestre avec des réseaux satellites pour des applications aéronautiques, terrestres ou maritimes. En particulier l'invention s'applique également à la communication sécurisée entre un navire et un centre terrestre par l'intermédiaire d'un réseau satellite. REVENDICATIONS1. Système sécurisé d'interconnexion (106) entre un premier réseau public (105) de communications et un second réseau public (107) de communications, un premier équipement de communications (101) directement relié audit premier réseau public (105) communiquant avec un second équipement de communications (102) directement relié audit second réseau public (107), ledit système (106) étant caractérisé en ce qu'il comporte au moins: o un premier routeur (202) réceptionnant au moins un flux de communication issu dudit premier réseau public (105), auquel il est connecté, et à destination dudit second réseau public (107), o un premier pare-feu (203) directement relié audit premier routeur (202) adapté à séparer au sein desdits flux de communication, les flux de données et les flux de signalisation, o un second routeur (205) qui reçoit les flux de données dudit premier pare-feu (203) et les transmet audit second réseau public (107) auquel il est connecté, o un second pare-feu (206) qui reçoit les flux de signalisation dudit premier pare-feu (203) auquel il est directement connecté, o un serveur lame (208) qui reçoit les flux de signalisation dudit second pare-feu (206) auquel il est directement connecté, ledit second pare-feu (206) effectuant un filtrage des paquets que comportent lesdits flux de signalisation en fonction au moins de leur numéro de port, ledit second pare-feu (206) étant adapté à permettre l'accès sécurisé audit serveur lame (208) depuis un centre de supervision (207b) ou une plateforme de test (207a), o ledit système d'interconnexion (106) comportant en outre un premier réseau local virtuel (VLAN 10) contenant les flux de données échangés entre ledit premier équipement de communications (101) et ledit second équipement de communications (102), un deuxième réseau local virtuel (VLAN 20) contenant les flux de gestion et maintenance dudit système (106) échangés entre ledit centre de supervision (107b) et ledit serveur lame (208) et un troisième réseau local virtuel (VLAN 30) contenant les flux d'authentification dudit premier équipement de communications (101) échangés entre ledit second pare-feu (206) et ledit serveur lame (208), lesdits réseaux locaux virtuels (VLAN 10,20,30) étant conçus de façon à présenter une intersection vide. 2. Système sécurisé d'interconnexion (106) selon la revendication 1 caractérisé en ce que ledit serveur lame (208) comporte au moins un serveur d'authentification (209) adapté à authentifier ledit premier équipement de communications (101) et à autoriser l'ouverture d'une connexion entre ledit premier équipement de communications (101) et ledit second équipement de communications (102), un serveur (210) de capture des flux de signalisation et un serveur de supervision (211) adapté à surveiller l'état desdites connexions et le fonctionnement dudit système en temps réel. 3. Système sécurisé d'interconnexion (106) selon la revendication 2 caractérisé en ce que ledit serveur d'authentification (209) met en oeuvre le protocole d'authentification RADIUS pour centraliser les flux d'authentification. 4. Système sécurisé d'interconnexion (106) selon l'une des revendications 2 ou 3 caractérisé en ce que ledit serveur de supervision (211) effectue une analyse de l'état desdites connexions à partir des informations d'authentification et d'ouvertures de connexions que contient ledit serveur d'authentification (209). 15 5. Système sécurisé d'interconnexion (106) selon la revendication 4 caractérisé en ce qu'il comporte en outre un quatrième réseau local virtuel (VLAN 40) pour la transmission, entre ledit serveur de supervision (211) et une plateforme (207a) externe, des flux relatifs à l'analyse de l'état desdites connexions. 6. Système sécurisé d'interconnexion (106) selon l'une des revendications précédentes caractérisé en ce que ledit premier réseau public (105) est un réseau satellite et ledit premier équipement de communications (101) est situé à bord d'un avion. 7. Système sécurisé d'interconnexion (106) selon l'une des revendications précédentes caractérisé en ce que ledit second réseau public (102) est un réseau terrestre. 8. Système sécurisé d'interconnexion (106) selon l'une des revendications précédentes caractérisé en ce que l'ensemble des équipements que comporte le dit système sont dupliqués pour assurer une redondance en cas de panne de l'un d'entre eux.