Brevet FR2951298A1 — publié le 20110415

La présente invention concerne un système informatique d'accès à des données confidentielles par au moins un boîtier distant ainsi qu'un boîtier distant. Elle a des applications dans le domaine traitement de l'information, plus particulièrement pour la sécurisation de données confidentielles contenues dans un moyen informatisé centralisé et qui doivent être traitées par des utilisateurs distants dudit moyen informatisé centralisé. L'invention objet de cette demande a été développée dans le Groupe des Ecoles Nationales d'Economie et Statistique (GENES) rattaché à l'Institut National de la Statistique et des Etudes Economiques (INSEE) rattaché au Ministère de l'Economie, de l'Industrie et de l'Emploi. Dans de nombreuses industries, commerces ou établissements publics d'enseignement et/ou recherche, il existe des bases de données informatiques contenant des informations sensibles qui doivent rester confidentielles ou, à tout le moins, qu'on ne doit pas pouvoir transférer ou copier en dehors du lieu où elles sont stockées et traitées, en général dans un serveur informatique. Toutefois, il peut être nécessaire à des utilisateurs extérieurs au lieu de stockage et par l'intermédiaire d'un réseau informatique public, en particulier INTERNET®, de pouvoir utiliser ces informations qui sont par exemple des données individualisées pour effectuer des calculs, recherches, etc. afin de produire des résultats à partir de ces données confidentielles, résultats qui ne doivent pas permettre de remonter aux données individuelles de départ. Il est donc souhaitable de disposer d'un système qui permette l'accès et le traitement de ces données confidentielles sans pour autant que l'utilisateur ou même un tiers malveillant ne puisse récupérer, à partir d'un accès à distance, les données confidentielles contenues dans un serveur centralisé. Il est également souhaitable que l'architecture du système proposé puisse répondre dans de bonnes conditions aux besoins des utilisateurs/chercheurs voulant travailler sur ces données sensibles/confidentielles. Il est donc nécessaire de prendre en compte de nombreuses contraintes, comme des contraintes de sécurité élevée sur tous les composants de l'architecture, des contraintes d'ergonomie dont notamment une interface et des outils pour les utilisateurs/chercheurs leur permettant de travailler dans de bonnes conditions, des contraintes d'intégration car il faut pouvoir s'intégrer à l'environnement informatique des établissements distants des utilisateurs/chercheurs quel qu'il soit, et des contraintes économiques. En pratique, le but de sécurisation de l'accès à des données sensibles/confidentielles est atteint grâce à la combinaison de moyens matériels et de moyens logiciels, notamment un boîtier distant spécialement configuré et notamment une liaison tunnel chiffrée sur réseau public. Il est ici proposé, pour accéder à des données confidentielles, de mettre en oeuvre un équipement particulier dans un poste distant qui est une « boîte noire » dédiée et verrouillée au sein d'une architecture matérielle et logicielle particulière. A l'opposé, l'état de l'art dans le champ d'application visé repose sur des solutions purement logicielles. Or, une solution purement logicielle ne répond pas à la problématique exposée : - Elle est moins sure car elle se repose sur un socle non maîtrisé qui est le poste de travail de l'utilisateur distant (PTUD). Ce système est alors exposé à une fuite des données accidentelle ou intentionnelle (logiciel espion, système de capture d'écran avec reconnaissance de caractères...) - Elle est plus coûteuse en terme de déploiement car le PTUD n'est pas forcément compatible, en terme de maintenance car l'évolution du PTUD impose un redéploiement et inversement l'évolution de la solution logicielle peut demander une mise à jour du PTUD, en terme d'assistance car une modification du PTUD peut entraîner des dysfonctionnements de la solution logicielle, etc. C'est cette adhérence avec l'environnement informatique de l'utilisateur distant qui explique qu'une solution purement logicielle ne répond pas aux besoins exposés. L'invention propose donc un système mettant en oeuvre des moyens matériels permettant de s'affranchir des inconvénients ci-dessus cités. L'invention concerne donc un système informatique d'accès à des données confidentielles par au moins un boîtier distant utilisé par un utilisateur, les données étant stockées dans un moyen informatique centralisé sécurisé comportant un moyen de traitement desdites données destiné à produire des résultats, une liaison informatique étant établie entre ledit boîtier distant et le moyen informatique centralisé, le boîtier distant étant un microordinateur fonctionnant sous la dépendance d'un système d'exploitation local démarrant par une phase d'amorçage. Selon l'invention, le système est configuré de telle manière que la liaison informatique est une liaison tunnel chiffrée sur réseau public qui est établie au sein du système de sorte que le boîtier distant soit intégré logiquement au moyen informatique centralisé afin que ledit boîtier distant soit administrable uniquement à distance et de sorte que ledit boîtier ne soit pas exploitable en l'absence de l'établissement de la liaison informatique, le système étant en outre configuré de telle manière que lors des accès aux données ledit boîtier distant ne reçoive que des informations d'affichage liées au traitement effectué sur les données et produites par le moyen informatique centralisé, le microordinateur du poste distant étant sous forme d'une carte électronique qui comporte en outre un circuit électronique de cryptage, le système d'exploitation ainsi que les informations nécessaires au fonctionnement dudit boîtier distant étant stockés de manière cryptée dans ledit boîtier distant, et ledit boîtier distant est constitué d'un boîtier scellé contenant la carte électronique et des entrées/sorties dont une entrée/sortie de moyen(s) d'identification(s) reliée à au moins un moyen d'identification de l'utilisateur et une entrée/sortie de réseau informatique destinée à la liaison tunnel chiffrée. Le terme microordinateur pour le boîtier distant couvre en fait tout dispositif de programmable permettant un accès réseau et comportant des moyens d'interfaçage avec un utilisateur. Dans divers modes de mise en oeuvre de l'invention, les moyens 25 suivants pouvant être utilisés seuls ou selon toutes les combinaisons techniquement possibles, sont employés : - le boîtier distant est administrable uniquement à distance par le moyen informatique centralisé, - boîtier distant comporte en outre un moyen de configuration local 30 accessible et visible de l'utilisateur, ledit moyen de configuration local comportant un afficheur et un ensemble de touches disposés dans le boîtier et permettant une configuration sur site de paramètres locaux, - les paramètres locaux configurables sont par exemple des configurations d'affichage, l'adresse réseau du boîtier, 35 - le réseau public est un réseau INTERNET®, - le boîtier distant comporte un nombre réduit d'entrées/sorties physiques connectables, - les entrées/sorties physiques connectables sont une entrée/sortie de clavier, une entrée/sortie pour organe de type pointeur, par exemple souris, une entrée/sortie de moyen(s) d'identification(s), une entrée/sortie d'écran d'affichage, une entrée/sortie de réseau informatique destinée à la liaison tunnel chiffrée, - le circuit électronique de cryptage de la carte électronique du boîtier est du type TPM (« Trusted Platform Module »), - le circuit électronique de cryptage TPM fonctionne avec la technologie BitLocker®, - la carte électronique microordinateur comporte un BIOS verrouillable par mot de passe, - la carte électronique microordinateur présente une ou plusieurs des caractéristiques suivantes : capacité mémoire centrale au moins 2Go, affichage graphique type VGA et/ou DVI, entrée/sortie de réseau informatique au moins 10/100 Mbits/s, deux entrées/sorties de type USB, mémoire de masse d'au moins 32 Go (puce ou mécanique), - l'entrée/sortie de réseau informatique est sur connecteur RJ45, - l'entrée/sortie de réseau informatique est compatible avec un amorçage PXE (« Pre-boot eXecution Environment» : démarrage par le réseau) paramétrable et activable/désactivable à partir du BIOS de la carte électronique, - la carte électronique est basée sur une carte PC industrielle de format 25 réduit, - la carte électronique du boîtier distant est de type Mini-ITX, - le boîtier distant mesure approximativement H 70 mm x P 200 mm x L 240 mm - la liaison tunnel chiffrée sur réseau public s'effectue indirectement à partir 30 du boîtier distant, le boîtier distant étant relié à un réseau local et un équipement d'interconnexion au réseau public étant relié audit réseau local, - la liaison tunnel chiffrée sur réseau public s'effectue directement à partir du boîtier distant, soit un équipement d'interconnexion au réseau public est disposé entre l'entrée/sortie de réseau informatique du boîtier distant et le réseau public, soit l'équipement d'interconnexion au réseau public est incorporé au boîtier distant, - l'équipement d'interconnexion au réseau public est incorporé au boîtier distant et l'entrée/sortie de réseau informatique du boîtier distant est omise, - l'équipement d'interconnexion au réseau public est incorporé au boîtier distant et l'entrée/sortie de réseau informatique du boîtier distant est présente, ce qui permet d'utiliser le boîtier distant en direct ou indirect sur le réseau public, - l'équipement d'interconnexion au réseau public est du type filaire ou radio, 10 - la liaison tunnel chiffrée est du type VPN-SSL (« Secure Sockets Layer virtual private network» ), - le chiffrage sur la liaison tunnel chiffrée est double, des types SSTP (« Secure Socket Tunneling Protocol»), RDP (« Remote Desktop Protocol »), - le système d'exploitation du poste distant est choisi parmi les produits de la 15 famille WINDOWS®, - le boîtier distant comporte en outre un pare-feu, le protégeant du réseau local hôte, - l'afficheur comporte un afficheur alphanumérique à cristaux liquides, - l'afficheur alphanumérique à cristaux liquides est du type 1 ligne 16 20 caractères, - l'afficheur alphanumérique à cristaux liquides est du type 2 lignes 16 caractères, - l'ensemble de touches est un ensemble réduit de moins de 7 touches, - le boîtier distant est alimenté électriquement par une source d'alimentation 25 extérieure au boîtier, - la source d'alimentation extérieure au boîtier est une alimentation secteur, - le moyen informatique centralisé comporte en outre un pare-feu sur la liaison tunnel chiffrée, - le pare-feu interdit toute connexion sortante du moyen informatique 30 centralisé, - le moyen informatique centralisé comporte un serveur SSTP (« Secure Socket Tunneling Protocol») de liaison tunnel SSL (« Secure Sockets Layer» ), au moins un serveur de traitement comportant les données confidentielles, un serveur de gestion de la sécurité, lesdits serveurs du 35 moyen informatique centralisé étant sur un réseau local dédié, - le moyen informatique centralisé comporte en outre un serveur de sauvegarde disque sur le réseau local dédié, - lesdits serveurs du moyen informatique centralisé sont physiquement un ou plusieurs appareils informatiques, en effet, les fonctions des serveurs distincts peuvent être séparées ou regroupées dans un ou plusieurs appareils informatiques du type ordinateur physique, microordinateur physique, serveur physique, - le serveur de gestion de la sécurité est gestionnaire de certificats, contrôleur de domaine, de la politique de sécurité du/des boîtiers distants, de 10 leur supervision et leur répudiation, - les moyens d'identifications sont choisis parmi un ou plusieurs des moyens suivants : un lecteur de carte à puce, un lecteur biométrique, un lecteur d'empreinte digitale, - un moyen d'identification est un mot de passe. 15 L'invention concerne également un boîtier distant pour mise en oeuvre dans un système informatique d'accès à des données confidentielles par au moins un boîtier distant utilisé par un utilisateur, les données étant stockées dans un moyen informatique centralisé sécurisé comportant un moyen de traitement desdites données destiné à produire des résultats, une liaison 20 informatique étant établie entre ledit boîtier distant et le moyen informatique centralisé, le boîtier distant étant un microordinateur fonctionnant sous la dépendance d'un système d'exploitation local démarrant par une phase d'amorçage, ledit boîtier ayant une ou plusieurs des caractéristiques décrites et notamment étant tel qu'il est spécialement adapté au système de 25 l'invention et qu'il permet que la liaison informatique soit une liaison tunnel chiffrée sur réseau public et que ledit boîtier ne soit pas exploitable en l'absence de l'établissement de la liaison informatique, la liaison tunnel chiffrée permettant l'intégration logique du boîtier distant au moyen informatique centralisé afin que ledit boîtier distant soit administrable 30 uniquement à distance, le microordinateur du poste distant étant sous forme d'une carte électronique qui comporte en outre un circuit électronique de cryptage, le système d'exploitation ainsi que les informations nécessaires au fonctionnement dudit boîtier distant étant stockés de manière cryptée dans ledit boîtier distant, et ledit boîtier distant est constitué d'un boîtier scellé 35 contenant la carte électronique et des entrées/sorties dont une entrée/sortie de moyen(s) d'identification(s) reliée à au moins un moyen d'identification de l'utilisateur et une entrée/sortie de réseau informatique destinée à la liaison tunnel chiffrée. L'invention sera mieux comprise, grâce à la description ci-après, qui se rapporte à un mode de réalisation préféré, donné à titre d'exemple non limitatif, et expliqué avec référence au dessin annexé, dans lequel la figure 1 est une représentation schématique de l'architecture générale du système. Dans l'exemple de réalisation décrit par la suite, on considère le cas d'un environnement de recherche dans lequel l'utilisateur est un chercheur qui doit accéder à distance aux données confidentielles stockées dans un centre sécurisé comportant un serveur desdites données. Dans ce contexte, le boîtier distant constitue un terminal sur lequel le chercheur travaille. Ce boîtier distant, qui est sous forme d'un boîtier de taille réduite comportant une carte électronique de microordinateur, est sécurisé physiquement et fonctionnellement contre des utilisations non conformes et non autorisées. Ces moyens de sécurisation sont notamment des blocages physiques et/ou logiques des ports externes non prévus pour l'exploitation du système. Par exemple un éventuel port série RS232 ou parallèle de la carte électronique n'est pas relié à son connecteur ou le connecteur est omis ou il est masqué/rendu inutilisable. A noter que comme toute entrée/sortie du microordinateur, le blocage peut également être logique/logiciel : le/les ports en question n'ont pas de pilote(s) dans le système d'exploitation du boîtier distant ou le pilote est désactivé. Le boîtier est également physiquement protégé contre les intrusions par sa structure (résistance mécanique, absence d'ouverture dans certaines parties du boîtier...), son mode d'assemblage (utilisation de vis de sécurité), détection d'intrusion par un contacteur électrique, par une cellule photoélectrique... De plus, pour l'établissement de la liaison tunnel chiffrée entre le boîtier distant de l'utilisateur et le centre sécurisé avec son serveur de données, la séquence d'amorçage est préétablie par programmation préalable du poste distant. En outre, le système d'exploitation local est verrouillé et les informations mémorisées dans le boîtier du poste distant, programmes ou données locales, le sont sous forme cryptées. Le poste distant est donc un boîtier autonome bridé embarquant son 35 propre système d'exploitation (Windows Vista® dans cet exemple). Ce boîtier est protégé du réseau local hôte par un pare-feu embarqué et ses ports USB® sont restreints au périphériques autorisés par logiciel grâce au dispositif d'administration centralisé qui se met en place à l'amorçage du boîtier Pour utiliser son boîtier distant, le chercheur doit y ouvrir une session, ce qui ne peut se faire qu'en s'authentifiant à l'aide d'un moyen d'identification qui est ici une carte à puce contenant un certificat valide, accès par code pin, et qui est lue par un lecteur relié au poste par une liaison USB. Dans un mode préféré de réalisation, un capteur biométrique est également mis en oeuvre pour l'authentification du chercheur, de préférence du type lecteur d'empreinte digitale. D'une manière générale, en ce qui concerne les utilisateurs, une formation adéquate des utilisateurs concernant le système est préférable et la première connexion du poste distant s'effectue de préférence sous le contrôle du gestionnaire du système ce qui permet une initialisation du code pin de la carte à puce et la prise des empreintes au cas où un tel capteur est mis en oeuvre. Une fois la session ouverte sur le poste distant, un programme d'accès au serveur de données confidentielles du moyen informatique centralisé sécurisé s'exécute afin de créer la liaison informatique tunnel chiffrée sur réseau public, par exemple INTERNET®, et c'est le seul programme qui peut s'exécuter après une ouverture de session. En conséquence, l'utilisateur ne voit et ne peut utiliser qu'un seul programme prédéfini à l'avance. Un utilitaire logiciel du boîtier distant surveille l'activité du chercheur (frappe clavier notamment) et lorsqu'il détecte une absence d'activité pendant un temps déterminé (un compteur de temps d'inactivité s'incrémentant automatiquement est remis à zéro à chaque action du chercheur), il ferme la session qui était ouverte et/ou donne la possibilité pendant un temps déterminé au chercheur d'effectuer une action qui remet à zéro le compteur de temps d'inactivité. De cette façon, si le chercheur oublie de fermer sa session à la fin de son travail, elle le sera automatiquement ce qui limitera les risques d'utilisation du poste distant par une personne tierce une fois le chercheur parti. Dans un mode préféré de réalisation, un utilitaire particulier demandera à l'utilisateur du boîtier distant une authentification biométrique à intervalle de temps régulier. Ceci afin de s'assurer en permanence de la réelle identité de l'utilisateur. Pour la création de la liaison tunnel chiffrée, tous les éléments d'information permettant la connexion réseau sont disponibles et chiffrés sur la mémoire de masse du poste distant. En effet, la carte électronique de microordinateur, dite carte mère, du boîtier distant comporte une puce de cryptage et la/les clefs de cryptage utilisées sont stockées dans le boîtier distant également d'une manière cryptée. Par construction, aucune donnée confidentielle du moyen informatique centralisé sécurisé n'est transférée et stockée dans le poste distant, seules des copies d'écran ou des instructions d'affichage sont envoyées au poste distant par le serveur sécurisé central contenant les données confidentielles. Tous les échanges entre le poste distant et le serveur sécurisé central se font par le réseau public, INTERNET® dans cet exemple, et il a été mis en place un système de communication chiffré, un tunnel chiffré, de bout en bout. De plus, seuls les boîtiers distants se trouvant physiquement dans des établissements identifiés par leur adresse réseau peuvent atteindre, dans le moyen informatique centralisé sécurisé, le serveur sécurisé central contenant les données confidentielles. Toujours pour des raisons de sécurité, le système a été conçu pour permettre de réaliser à distance toutes les opérations de gestion, de surveillance, de mise à jour logicielle et sécurité de chaque poste distant. Il permet également de pouvoir autoriser ou répudier centralement (coté du moyen informatique centralisé sécurisé) un poste distant ou un certificat donné. Le boîtier distant peut s'intégrer à tout environnement informatique et de réseau local du lieu de l'utilisateur/chercheur. A cause de cela, il est préférable que la configuration de cet environnement informatique et ce réseau local soit connue afin d'efficacement gérer la sécurité des accès par le moyen informatique centralisé sécurisé qui comporte le serveur de données confidentielles. La connexion entre le poste distant et le moyen informatique centralisé sécurisé se passe en deux temps. Dans un premier temps, coté boîtier distant, l'insertion de la carte à puce dans le lecteur de carte et couplé avec l'identification biométrique (empreinte) et un mot de passe, permettent d'ouvrir une session locale sur le poste distant. Une fois ouverte, la session locale permet au chercheur, dans un deuxième temps, de se connecter au moyen informatique centralisé sécurisé et d'y ouvrir une session centrale (par exemple en utilisant le même mot de passe). L'identification permise par la carte à puce est nécessaire pour l'ouverture des deux sessions. A noter que le fait d'enlever la carte du lecteur ne ferme que la session locale, en laissant active la session centrale, on la retrouve dans l'état dans laquelle on l'a laissée en rouvrant la session locale sur le poste distant, c'est-à-dire en remettant la carte à puce dans le lecteur et l'identification biométrique et en redonnant le mot de passe. Pour se déconnecter de la session centrale, il suffit de la fermer. A noter que comme pour le poste distant, en option, une détection d'inactivité au niveau du moyen informatique centralisé sécurisé peut être mise en oeuvre pour fermer au bout d'un temps déterminé toute session démarrée par un poste distant et sur laquelle aucune activité n'a eu lieu dans le moyen informatique centralisé. On vient donc de voir ce qui concerne le poste distant que les utilisateurs utilisent pour accéder aux données confidentielles. On va maintenant voir ce qui concerne le moyen informatique centralisé sécurisé qui stocke les données confidentielles et qui comporte des moyens de traitement desdites données. Le moyen informatique centralisé sécurisé comporte un serveur sécurisé sur lequel les chercheurs se connectent à distance pour travailler. Typiquement, ce serveur possède quatre processeurs, 28 Go de mémoire vive, 1,7 To de disque dur ultrarapide. Il est par ailleurs très largement évolutif (possibilité d'ajout de mémoire et de processeurs si nécessaire et mise en grappe/« cluster »). Il dispose d'une interface Windows® avec les logiciels couramment utilisés en matière de traitement de données statistiques. Afin d'améliorer encore la sécurité, un utilisateur est défini par le couple [identifiant, projet] ce qui a pour conséquence qu'un même chercheur travaillant sur deux projets n'aura pas accès aux données des deux projets au cours de la même session. De même, les espaces de travail contenant les fichiers de données de chaque projet sont isolés les uns des autres. D'une part, les permissions d'accès pour chaque projet sont parfaitement définies. Et, d'autre part, il est impératif d'éviter le partage d'information et/ou de ressources (données, programmes ...) pour garantir, par exemple, qu'aucune table temporaire d'un projet ne puisse être accédée par les membres d'un autre projet. Toujours dans le moyen informatique centralisé sécurisé, un serveur de sauvegarde permet de sauvegarder sur disque toutes les configurations système et tous les travaux des chercheurs. A noter que la solution de sauvegarde à base de bandes magnétiques n'a pas été choisie pour éviter toute dissémination de ces bandes et des données qu'elles contiennent. A noter également que pour encore améliorer la sécurité, toute entrée et/ou sortie concernant des données confidentielles dans le moyen informatique centralisé sécurisé ne peut/peuvent se faire que manuellement par déplacement physique d'un opérateur sur le site et, même de préférence, dans le local sécurisé qui contient le moyen informatique centralisé sécurisé. D'une manière générale, toute entrée d'information (données de tous format, programmes sous forme de source...) dans le moyen informatique centralisé sécurisé s'effectue sous le contrôle d'un administrateur du système. Typiquement, les utilisateurs/chercheurs ont accès : - aux données confidentielles auxquelles ils doivent avoir accès dans le cadre de leur projet et qui sont stockées dans un répertoire spécifique («SA-20 Sources»). - à un espace destiné à abriter les fichiers intermédiaires créés dans le cadre de leurs projets : programmes, bases de données, textes, etc. Cet espace est accessible à l'intérieur d'un répertoire spécifique («EA-Projets») et plus particulièrement dans un dossier dont le nom est le «nom court» du projet de 25 recherche et qui figure sur leur carte à puce. A l'intérieur de ce dossier, chaque chercheur participant au projet dispose d'un sous-dossier dont le nom est son propre «nom court» de chercheur. Les projets sont donc cloisonnés. Les chercheurs relevant d'autres projets ne peuvent accéder à aucun des sous-espaces correspondants et les 30 chercheurs travaillant ensemble sur un projet ne peuvent pas accéder aux sous-espaces personnels de chacun, mais accèdent tous au répertoire racine de leur projet où ils peuvent mettre des fichiers et créer des répertoires partagés. Les administrateurs de données n'ont également pas accès aux espaces de travail des chercheurs. Les chercheurs peuvent 35 travailler à l'intérieur du moyen informatique centralisé sécurisé à partir de leurs postes distants, en utilisant ces espaces, ces fichiers et les logiciels disponibles. Cependant, les chercheurs ne peuvent rien exporter de façon autonome, ni sur une imprimante, ni sur un fichier externe et ils ne peuvent pas non plus faire de «copier/couper/coller». Ainsi, les chercheurs ne peuvent exporter que des résultats respectant le secret statistique, c'est-à-dire des résultats qui ne permettent pas l'accès aux données confidentielles individuelles et ils ne peuvent donc pas exporter des informations d'identification, directe ou indirecte, par exemple, d'une personne ou d'une entreprise et qui sont stockées dans le serveur central. Dans un mode de mise en oeuvre particulier, le dispositif d'exportation est configuré de la manière suivante : - Les chercheurs constituent dans leur espace personnel «l'objet» qu'ils souhaitent exporter dans un fichier, en s'assurant qu'il respecte parfaitement le secret statistique et ils accompagnent cet objet d'une courte documentation le décrivant dans un autre fichier. - Les chercheurs déposent ces deux fichiers dans un répertoire de «sortie» qui est non accessible en lecture aux chercheurs, sur le modèle d'une urne : le dépôt est possible, mais pas la consultation ni la modification une fois le dépôt effectué. - Les chercheurs envoient un message à un service d'administration des données du système en signalant la demande de sortie. Un administrateur des données du système examine alors les «objets» contenus dans ledit répertoire de sortie. Si les données sont bien conformes au secret statistique, il les transfère dans un répertoire de «Départ» qui est non accessibles aux chercheurs et une copie de « l'objet » est en même temps archivée. - Des informaticiens transfèrent physiquement les « objets » du répertoire «Départ» sur un compte qui se trouve en dehors du moyen informatique centralisé sécurisé et une fois cette opération effectuée, ces « objets » sont envoyés par messagerie électronique à leurs destinataires. Pour ce qui concerne les informations qui peuvent être importées dans le moyen informatique centralisé sécurisé par les utilisateurs, seuls peuvent être importés des objets «inactifs/non exécutables» (aucun exécutable) ou des programmes d'un type donné documentés. L'importation s'effectue sous le contrôle d'un administrateur à qui les chercheurs envoient par messagerie électronique « l'objet » en question ainsi qu'une description de chaque fichier. Après contrôle, le chercheur est informé de l'importation et il retrouve ses fichiers dans un répertoire spécifique du moyen informatique centralisé sécurisé auquel il a accès. La Figure 1 présente l'architecture générale du système. Sur la gauche de la Figure 1 on a représenté ce qui concerne l'utilisateur avec son poste distant 1 comportant le boîtier distant 4 auquel est relié par liaison USB® un clavier (non représenté), des lecteurs 6 de carte à puce et biométrique ainsi qu'un écran de visualisation 5. Un moyen de pointage (non représenté) peut également être relié par liaison USB® au boîtier. Le boîtier 4 ne contient qu'un système d'exploitation VISTA® verrouillé et toutes les informations de connexion sont chiffrées. Ce boîtier 4 est relié à un réseau local 7 type ETHERNET® relié à un équipement terminal 8 de connexion à un réseau INTERNET® 2. Ainsi, dans cet exemple, la liaison tunnel chiffrée sur INTERNET® s'effectue indirectement à partir du boîtier, l'entrée/sortie de réseau informatique du poste distant étant reliée à un réseau local ayant un accès au réseau INTERNET®. L'établissement dans lequel est disposé le poste distant 1 possède une adresse IP. Sur le réseau INTERNET® 2, entre le moyen informatique centralisé sécurisé et le poste distant, rien ne transite en clair et tout est chiffré doublement (SSTP, RDP) dans un tunnel chiffré. Sur la partie droite de la Figure 1 on a représenté ce qui concerne le moyen informatique centralisé sécurisé 3 dans lequel sont stockées les données confidentielles. Un pare-feu 9 est disposé en interface du moyen informatique centralisé sécurisé sur le réseau INTERNET® 2 sur lequel une liaison tunnel chiffrée VPN SSL est établie entre le poste distant et le moyen informatique centralisé sécurisé 3. Ce dernier comporte un serveur d'application 11 SECHPCO1 permettant le stockage et le traitement sécurisé des données confidentielles, un serveur de gestion de la sécurité 12, un serveur de sauvegarde DPM 2007 et un serveur de communication SSTP pour le tunnel SSL. Cet ensemble de serveurs est sur un réseau local dédié au sein de l'établissement dans lequel se trouve le moyen informatique centralisé sécurisé 3. Sur ce réseau local dédié, les introductions/extractions (entrées/sorties) de données confidentielles ne peuvent être, de préférence, que manuelles par un opérateur. Le pare-feu 9 autorise seulement les entrées de flux chiffrés provenant des établissements déclarés et autorisés possesseurs de boîtiers distants. Aucune connexion sortante n'est autorisée et seulement des copies d'écran ou instructions d'affichage sont renvoyées du moyen informatique centralisé sécurisé vers les boîtiers distants. Aucune donnée confidentielle ne peut sortir du moyen informatique centralisé sécurisé 3. On comprend bien que l'invention peut être déclinée selon de nombreuses autres possibilités sans pour autant sortir du cadre défini par la description et les revendications. Enfin, les dénominations protégées citées dans ce document appartiennent à leurs propriétaires. REVENDICATIONS1. Système informatique d'accès à des données confidentielles par au moins un boîtier distant (4) utilisé par un utilisateur, les données étant stockées dans un moyen informatique centralisé sécurisé (3) comportant un moyen de traitement desdites données destiné à produire des résultats, une liaison informatique (2) étant établie entre ledit boîtier distant et le moyen informatique centralisé, le boîtier distant étant un microordinateur fonctionnant sous la dépendance d'un système d'exploitation local démarrant par une phase d'amorçage, caractérisé en ce qu'il est configuré de telle manière que la liaison informatique est une liaison tunnel chiffrée sur réseau public qui est établie au sein du système de sorte que le boîtier distant soit intégré logiquement au moyen informatique centralisé afin que ledit boîtier distant soit administrable uniquement à distance et de sorte que ledit boîtier ne soit pas exploitable en l'absence de l'établissement de la liaison informatique, le système étant en outre configuré de telle manière que lors des accès aux données ledit boîtier distant ne reçoive que des informations d'affichage liées au traitement effectué sur les données et produites par le moyen informatique centralisé, le microordinateur du poste distant étant sous forme d'une carte électronique qui comporte en outre un circuit électronique de cryptage, le système d'exploitation ainsi que les informations nécessaires au fonctionnement dudit boîtier distant étant stockés de manière cryptée dans ledit boîtier distant, et en ce que ledit boîtier distant est constitué d'un boîtier scellé contenant la carte électronique et des entrées/sorties dont une entrée/sortie de moyen(s) d'identification(s) (6) reliée à au moins un moyen d'identification de l'utilisateur et une entrée/sortie de réseau informatique (7) destinée à la liaison tunnel chiffrée. 2. Système selon la revendication 1, caractérisé en ce que le boîtier distant comporte en outre un moyen de configuration local accessible et visible de l'utilisateur, ledit moyen de configuration local comportant un afficheur et un ensemble de touches disposés dans le boîtier et permettant une configuration sur site de paramètres locaux. 3. Système selon la revendication 1 ou 2, caractérisé en ce que la liaison tunnel chiffrée sur réseau public s'effectue indirectement à partir du boîtier distant, le boîtier distant étant relié à un réseau local et un équipement d'interconnexion au réseau public étant relié audit réseau local. 4. Système selon la revendication 1 ou 2, caractérisé en ce que la liaison tunnel chiffrée sur réseau public s'effectue directement à partir du poste distant, soit un équipement d'interconnexion au réseau public est disposé entre l'entrée/sortie de réseau informatique du boîtier distant et le réseau public, soit l'équipement d'interconnexion au réseau public est incorporé au boîtier distant. 5. Système selon la revendication 2, caractérisé en ce que l'afficheur comporte un afficheur alphanumérique à cristaux liquides, l'ensemble de 15 touches étant un ensemble réduit de moins de 7 touches. 6. Système selon l'une quelconque des revendications précédentes, caractérisé en ce que le moyen informatique centralisé comporte en outre un pare-feu (9) sur la liaison tunnel chiffrée. 20 7. Système selon l'une quelconque des revendications précédentes, caractérisé en ce que le moyen informatique centralisé comporte un serveur SSTP de liaison tunnel SSL, au moins un serveur d'application comportant les données confidentielles, un serveur de gestion de la sécurité, lesdits 25 serveurs du moyen informatique centralisé étant sur un réseau local dédié. 8. Système selon la revendication 7, caractérisé en ce que le moyen informatique centralisé comporte en outre un serveur de sauvegarde sur le réseau local dédié. 9. Système selon l'une quelconque des revendications précédentes, caractérisé en ce que les moyens d'identifications sont choisis parmi un ou plusieurs des moyens suivants : un lecteur de carte à puce, un lecteur biométrique, un lecteur d'empreinte digitale. 30 10. Boîtier distant pour mise en oeuvre dans un système informatique d'accès à des données confidentielles par au moins un boîtier distant (4) utilisé par un utilisateur, les données étant stockées dans un moyen informatique centralisé sécurisé (3) comportant un moyen de traitement desdites données destiné à produire des résultats, une liaison informatique (2) étant établie entre ledit boîtier distant et le moyen informatique centralisé, le boîtier distant étant un microordinateur fonctionnant sous la dépendance d'un système d'exploitation local démarrant par une phase d'amorçage, caractérisé en ce qu'il est spécialement adapté au système de l'une quelconque des revendications précédentes et qu'il permet que la liaison informatique soit une liaison tunnel chiffrée sur réseau public et que ledit boîtier ne soit pas exploitable en l'absence de l'établissement de la liaison informatique, la liaison tunnel chiffrée permettant l'intégration logique du boîtier distant au moyen informatique centralisé afin que ledit boîtier distant soit administrable uniquement à distance, le microordinateur du poste distant étant sous forme d'une carte électronique qui comporte en outre un circuit électronique de cryptage, le système d'exploitation ainsi que les informations nécessaires au fonctionnement dudit boîtier distant étant stockés de manière cryptée dans ledit boîtier distant, et en ce que ledit boîtier distant est constitué d'un boîtier scellé contenant la carte électronique et des entrées/sorties dont une entrée/sortie de moyen(s) d'identification(s) (6) reliée à au moins un moyen d'identification de l'utilisateur et une entrée/sortie de réseau informatique (7) destinée à la liaison tunnel chiffrée.