Brevet FR2952779A1 — publié le 20110520

La présente invention entre dans le domaine des communications et de l'informatique. L'invention concerne plus particulièrement la connexion d'un terminal à un réseau de communication de type informatique et la sécurisation des données transitant par une telle connexion. L'invention trouvera une application particulière, mais aucunement limitative, dans la sécurisation et la régulation de flux de données entrant ou sortant vers ou depuis un terminal, tel un ordinateur, réciproquement depuis ou vers un réseau de communication, notamment informatique, tel internet, au travers d'une connexion audit réseau. De manière connue, un terminal se connecte à un réseau informatique au travers d'au moins une interface de communication. Via cette interface, transitent des flux de données entrants depuis ledit réseau vers ledit terminal et sortants depuis ledit terminal vers ledit réseau. Un inconvénient majeur des flux de données, en particulier reçus par ledit terminal, réside dans les problèmes de sécurité engendrés. En effet, lesdites données reçues peuvent être dangereuses, à savoir qu'elles comprennent un logiciel ou des données malveillantes (« malware »), par exemple de manière non exhaustive : un virus, un vers, un cheval de Troie, une porte dérobée (« backdoor »), un logiciel espion, un canular (« hoax »), un spam, un hameçonnage (« phishing ») ou analogue. Dès lors, il existe une nécessité absolue de protéger ledit terminal de la réception de telles données malveillantes au travers de la sécurisation de sa connexion et du filtrage des données reçues. D'autre part, la connexion audit réseau peut provoquer des failles de sécurité ou bien des accès à des portails virtuels non souhaités, par exemple des sites internet d'ordre personnel auquel un utilisateur accède depuis un terminal professionnel. Il doit alors être envisagé une restriction de l'accès dudit terminal vers ledit réseau. Pour ce faire, il existe de nombreuses solutions, sous forme matérielle ou logicielle, généralement dédiées à l'un ou l'autre cas. Une solution répandue consiste en un pare-feu limitant les intrusions vers ledit terminal en bloquant certains ports de communication avec ledit réseau et en filtrant les flux de données. Un firewall peut être logiciel, installé sur ledit terminal ou un serveur faisant office de passerelle avec ledit réseau, ou bien matériel. Une autre solution, entièrement logicielle, consiste en des applications dites « anti-virus ». Il s'agit d'applications installées sur ledit terminal, ou bien sur un serveur faisant office de passerelle, et permettant de filtrer les données une fois reçues. De telles solutions, si elles sont adaptées pour des terminaux de type postes fixes, engendrent des problèmes de mise en œuvre dans le cadre de terminaux mobiles, de type ordinateur portable, susceptibles d'être connectés depuis différents emplacements géographiques. Dès lors, les solutions mises en œuvre par un serveur ou bien un matériel annexe physique (tel un pare-feu ou un routeur) ne peuvent être envisagées. Une solution alternative connue consiste en des dispositifs amovibles, aptes à être connectés audit terminal et permettant de configurer pour chaque terminal des paramètres de connexion particuliers et intégrant des logiciels anti-virus ou autres. Un exemple d'un tel dispositif amovible est décrit au travers du document WO 02/095543 concernant la sécurisation par chiffrement des données, en particulier des paquets formant lesdits flux. Si une telle solution améliore la sécurité du transfert des données, elle n'empêche aucunement la transmission, même cryptée, de logiciels ou données malveillants. Une autre solution est décrite dans le document W02007/069245 concernant un dispositif amovible pourvu de moyens de connexion à un terminal et faisant office de passerelle de manière à filtrer les flux de données provenant dudit réseau. Pour ce faire, cet intermédiaire intègre des logiciels exécutés sur ledit terminal depuis le dispositif, mais aussi au niveau matériel de manière à détourner la connexion avec ledit réseau afin qu'elle transite par ledit dispositif amovible. Un tel dispositif est limité au niveau matériel, en rapport avec ledit terminal. En effet, il présente l'inconvénient d'être spécifique à chaque type de connexion, filaire ou non, avec ledit réseau. De plus, il est spécifique au système d'exploitation opérant sur ledit terminal, étant donné qu'il agit dans les couches du noyau dudit système. L'invention a pour but de pallier les inconvénients de l'état de la technique en proposant une solution entièrement applicative permettant de sécuriser la connexion d'un terminal à un réseau de communication. En particulier, l'invention permet de filtrer les flux de données au moyen d'applications dédiées et de configurer des restrictions d'accès d'un utilisateur audit réseau. Avantageusement, le traitement des flux est rendu possible au travers d'une reproduction virtuelle des interfaces de connexion dudit ordinateur et en rendant ces dernières indisponibles. Pour ce faire, la présente invention concerne un procédé de sécurisation et de la connexion d'un terminal à un réseau de communication, notamment de type informatique, dans lequel ledit terminal est connecté audit réseau au travers d'au moins une interface de communication de manière à émettre et recevoir au moins un flux de données, caractérisé en ce qu'il consiste à : - créer une passerelle virtuelle de contrôle applicatif dudit flux de données ; - créer une interface virtuelle au niveau de ladite passerelle par duplication de ladite interface de 35 communication ; - rendre indisponible ladite interface de communication vis-à-vis dudit réseau de sorte que ledit flux soit redirigé vers ladite interface virtuelle ; - contrôler ledit flux au niveau de ladite passerelle puis 5 le router contrôlé vers ledit terminal. Selon d'autres caractéristiques préférentielles, ladite duplication consiste en la création d'un pont entre ladite interface de communication et ladite nouvelle interface virtuelle. 10 Avantageusement, ledit procédé consiste a rendre indisponible ladite interface de communication en modifiant l'interface avec le réseau par affectation d'une adresse incompatible avec ledit réseau. De plus, le routage consiste à créer une nouvelle 15 interface au niveau dudit terminal afin de lui transmettre ledit flux contrôlé. En particulier, ledit contrôle applicatif consiste en un ensemble de modules de protection, de filtre et de traitement dudit flux de données. 20 De préférence, ladite passerelle virtuelle est constituée par une image virtuelle exécutée à partir d'une machine virtuelle. Ainsi, l'invention bloque les interfaces existantes d'un terminal, les rendant inaccessibles et duplique ces interfaces 25 de manière virtuelle afin de les substituer aux interfaces bloquées. Dès lors, cette dernière reçoit les flux de données en lieu et place dudit terminal, effectue un traitement sur ces flux pour les renvoyer traités vers ledit terminal. De plus, l'invention étant entièrement applicative, elle 30 s'affranchit des contraintes liées au matériel et peut être introduite sur tout type de support. D'autres caractéristiques et avantages de l'invention ressortiront de la description détaillée qui va suivre des modes de réalisation non limitatifs de l'invention, en 35 référence à la figure annexée représentant une vue schématisée d'un exemple d'architecture au sein de laquelle est mis en oeuvre le procédé de sécurisation selon l'invention. La présente invention concerne la sécurisation de la connexion d'un terminal 1 à un réseau de communication 2. On notera que ledit terminal 1 et ledit réseau 2 peuvent être de tout type, notamment de type informatique. Dans ce cas, ledit terminal 1 peut être un ordinateur, préférentiellement portable, tandis que ledit réseau 2 peut avantageusement être un intranet ou internet. De manière générale, ledit terminal 1 est connecté audit 10 réseau 2 au travers d'au moins une interface de communication, préférentiellement plusieurs interfaces distincts. Dans l'exemple d'architecture visible sur la figure, ledit terminal 1 comprend deux interfaces de communication 3 et 4 reliés audit réseau 2. En particulier, la liaison s'effectue au 15 travers d'un routeur 5, servant de passerelle avec le reste du réseau 2, en particulier internet. A ce titre, ledit routeur 5 comprend un paramétrage dudit réseau au niveau local, à savoir entre le routeur 5 et ledit terminal 1. Plus particulièrement, ledit routeur 5 peut 20 comprendre des paramètres de type adressage des interfaces 3 et 4 dudit terminal 1. On notera que, suivant le mode préférentiel de réalisation, ledit adressage peut consister à l'affectation d'adresses IP (pour « Internet Protocol ») et/ou de masque de 25 sous-réseau, de manière automatique (par exemple au travers du protocole d'affectation réseau DHCP pour « Dynamic Host Configuration Protocol ») ou bien manuelle par l'intermédiaire d'un administrateur dudit routeur 5. Ainsi, de base, chaque interface 3,4 se voit affecter 30 initialement une adresse IP lui permettant de se connecter audit réseau 2 par le biais dudit routeur 5. Dès lors, ainsi configuré initialement, ledit terminal 1 est connecté audit réseau 2 de manière à émettre et recevoir au moins un flux de données, notamment un flux par interface 3 et 4. 35 Cette connexion initiale est représentée sur la figure sous la forme de deux flux de données grisés en pointillés entre ledit terminal 1 et le routeur 5. Avantageusement, la présente invention consiste à créer une passerelle virtuelle 6 à même d'assurer la sécurisation et la régulation du ou des flux de données. Ladite passerelle 6 peut consister en une image virtuelle, construite et configurée à partir des caractéristiques dudit terminal 1. A ce titre, il est possible d'introduire au sein de ladite image un système d'exploitation similaire ou différent de celui opérant sur ledit terminal 1. Dans le cas d'un système différent, les risques d'exécution de logiciels malveillants ou bien d'attaques par un tiers, seront d'autant plus diminués. En particulier, ladite image virtuelle est exécutée à partir d'une machine virtuelle installée sur ledit terminal 1 ou s'exécutant à partir d'un support distinct. Dans l'un ou l'autre cas, une partie de la mémoire dudit terminal 1 peut être allouée pour cette exécution. Ainsi, ladite passerelle virtuelle 6 peut être configurée, en particulier en lui rattachant la totalité des interfaces 3,4 dudit terminal 1, notamment en les bridgeant. L'état de l'image de ladite passerelle virtuelle 6 peut alors être sauvegardé pour être restauré lors d'une prochaine exécution. De plus, l'invention prévoit de rediriger chaque flux de données vers ladite passerelle 6 afin de le contrôler. Avantageusement, ledit contrôle s'effectue de manière applicative, à savoir qu'il intervient uniquement au travers de logiciels de la couche applicative. Dès lors, l'invention est portable et compatible, à savoir qu'elle peut être adaptée à tout système d'exploitation, et elle s'affranchit de tout type de support. En effet, dans ce dernier cas, elle peut être directement installée sur ledit terminal 1, ou bien sur un dispositif matériel pourvu de moyens d'interaction avec ledit terminal 1, tel une mémoire de masse équipée d'une connectique standard, comme par exemple une clef équipée d'une connectique USB (pour « Universal Serial Bus »). Plus précisément, ledit contrôle applicatif consiste en un ensemble 7 de modules de protection, de filtre et de traitement dudit flux de données. De tels modules peuvent être, de manière non exhaustive, un pare-feu, un antivirus, un anti-espion, un anti-spam, un proxy, un filtre d'adressage (telle une URL pour « Uniform Resource Locator »), un système de détection et de prévention d'intrusion (IDPS), un réseau privé virtuel (RPV), une sécurisation et la régulation de certains types de flux, notamment la voix sur réseau IP (VoIP pour « Voice over Internet Protocol »). Après traitement, les flux de données filtrés et donc sains, sont renvoyés vers ledit terminal 1. Il en va de même en sens inverse pour des demandes d'accès à des portails virtuels autorisés ou non en fonction de la configuration d'un module. Pour permettre le transit des flux de données au travers de ladite passerelle virtuelle 6, l'invention prévoit de court-circuiter le chemin de connexion existant entre ledit terminal 1 et ledit réseau 2, notamment ledit routeur 5. D'une part, l'invention fait en sorte de substituer les interfaces de communication 3,4 existants au niveau dudit terminal 1 par des interfaces virtuelles 30,40 au niveau de ladite passerelle 6. La création de chaque interface virtuelle 30 (ou 40) au niveau de la passerelle 6 s'effectue par duplication de l'interface de communication correspondant 3 (ou réciproquement 4). De manière préférentielle, ladite duplication consiste en la création d'un pont entre ladite interface de communication 3 (ou 4) et ladite nouvelle interface virtuelle 30 (ou 40). En d'autres termes, lesdites interfaces de communication 3,4 et lesdites nouvelles interfaces virtuelles 30,40 sont « bridgées ». D'autre part, l'invention prévoit de rendre indisponible ladite interface de communication 3,4 vis-à-vis dudit réseau 2. Pour ce faire, l'invention modifie l'interface avec le réseau 2 par affectation d'une adresse incompatible avec ledit réseau 2. En d'autres termes, l'invention change la configuration réseau initiale du terminal 1. Chaque interface de communication 3,4 se voit affecter une adresse IP invalide sur le réseau 2, non routable par ledit routeur 5. Dès lors, ledit flux de données est automatiquement redirigé vers ladite interface virtuelle 30,40. En effet, la duplication des interfaces conserve les paramètres valides de la configuration initiale et les déporte au niveau de ladite passerelle virtuelle 6 qui est alors automatiquement connectée audit réseau 2, notamment le routeur 5, à la place dudit terminal 1. Ainsi, les flux de données transitent par la passerelle 6 et peuvent être contrôlés puis routés après traitement vers ledit terminal 1. On notera que plusieurs flux entrant au niveau de ladite 15 passerelle 6 peuvent être contrôlés puis renvoyés sous forme d'un unique flux vers ledit terminal 1. A ce titre, le routage consiste à créer une nouvelle interface 8 au niveau dudit terminal 1 afin de lui transmettre ledit flux contrôlé depuis ladite passerelle virtuelle 6. 20 Plus précisément, une interface 80 virtuelle complémentaire de routage est créée de manière à créer une connexion, d'une part, avec ladite interface 8 et, d'autre part, avec les autres interfaces virtuelles 30 et 40. La liaison entre les interfaces virtuelles 30,40 et l'interface 25 complémentaire 80 transite par les modules de contrôle 7 afin d'opérer le traitement sur les flux de données. Ainsi, les flux parviennent sains au niveau dudit terminal 1 par l'intermédiaire de la passerelle virtuelle 6. L'invention permet audit terminal 1 de recevoir des flux 30 de données depuis le réseau 2 mais de les rediriger vers ladite passerelle 6 avant de pouvoir accéder à leurs contenus. Bien entendu, l'invention n'est pas limitée aux exemples illustrés et décrits précédemment qui peuvent présenter des variantes et modifications sans pour autant sortir du cadre de 35 l'invention. REVENDICATIONS1. Procédé de sécurisation de la connexion d'un terminal (1) à un réseau (2) de communication, notamment de type informatique, dans lequel ledit terminal (1) est connecté audit réseau (2) au travers d'au moins une interface de communication (3,4) de manière à émettre et recevoir au moins un flux de données, caractérisé en ce qu'il consiste à : créer une passerelle virtuelle (6) de contrôle l0 applicatif dudit flux de données ; - créer une interface virtuelle (30,40) au niveau de ladite passerelle (6) par duplication de ladite interface de communication (3,4) ; rendre indisponible ladite interface de communication 15 (3,4) vis-à-vis dudit réseau (2) de sorte que ledit flux soit redirigé vers ladite interface virtuelle (30,40) ; - contrôler ledit flux au niveau de ladite passerelle (6) puis le router contrôlé vers ledit terminal (1). 2. Procédé de sécurisation selon la revendication 1, 20 caractérisé en ce que ladite duplication consiste en la création d'un pont entre ladite interface de communication (3,4) et ladite nouvelle interface virtuelle (30,40). 3. Procédé de sécurisation selon l'une des revendications 1 ou 2, caractérisé en ce qu'il consiste à rendre indisponible 25 ladite interface de communication (3,4) en modifiant l'interface avec le réseau (2) par affectation d'une adresse incompatible avec ledit réseau (2). 4. Procédé de sécurisation selon l'une quelconque des revendications précédentes, caractérisé en ce que le routage 30 consiste à créer une nouvelle interface (8) au niveau dudit terminal (1) afin de lui transmettre ledit flux contrôlé. 5. Procédé de sécurisation selon l'une quelconque des revendications précédentes, caractérisé en ce que ledit contrôle applicatif consiste en un ensemble (7) de modules de 35 protection, de filtre et de traitement dudit flux de données. 9 2952779 lo 6. Procédé de sécurisation selon l'une quelconques des revendications précédentes, caractérisé en ce que ladite passerelle virtuelle (6) est constituée par une image virtuelle exécutée à partir d'une machine virtuelle. 5