Brevet FR2971871A1 — publié le 20120824

La présente invention concerne le matériel d'un serveur applicatif asti-intrusion permettant, opportunément programmé, d'assurer une protection inviolable contre toute intrusion, infection ou manipulation (par virus, vers, chevaux de Troie, espiogiciels, logiciels de prise en main d'ordinateurs distants, etc.) au niveau de tout serveur informatique offrant un service en réseau selon un protocole client/serveur (requête/ré- ponse). Les dispositifs anti-intrusion utilisés à l'heure actuelle sont, essentiellement, de trois types : anti-virus, anti-espiogiciels (appelés aussi anti-spyware) et pare-feux (appelés aussi coupe-feux, garde-barrières, firewall, watchdog, etc.). A leur sujet, il existe sur Internet une très vaste documentation, reflétant l'état actuel de la tech- nique. Essentiellement complémentaires, ces dispositifs anti-intrusion sont toujours constitués par des logiciels (éventuellement installés, dans le seul cas des pare-feux, sur un matériel dédié) reposant tous sur le principe d'analyser les données ayant vocation à rentrer dans le serveur à protéger, dans le but déclaré d'empêcher les virus et autres codes malveillants (globalement appelés aussi malwares) de pénétrer et infecter la cible, et ce, à l'aide de filtres logiciels n'interdisant et ne pouvant interdire l'accès qu'aux seuls agents infectieux dont la signature est connue (anti-virus et anti-espiogiciels) ou ne laissant passer que les données répondant aux critères de filtrage préétablis (firewall). Dans ces conditions, ces dispositifs ne peuvent opposer que des barrières nécessairement imparfaites aux virus et autres malwares véhiculés par le réseau : les serveurs et les banques de données à protéger demeurant toujours exposés à un risque d'intrusion. En effet, compte tenu : que virus, vers, spyware, chevaux de Troie, etc. se renouvellent sans cesse et que, dès lors, leur signature n'est pas toujours, voire n'est jamais, préalablement connue, que les attaques qu'un serveur peut subir dépendent de l'imagination de l'attaquant et que, dès lors, ces attaques, ainsi que les défenses qu'un pare-feu peut leur opposer, s'inscrivent dans une logique de course poursuite où l'attaquant a toujours une longueur d'avance, qu'une telle mécanique entraîne une multiplication des règles de filtrage qui, loin de garantir l'inviolabilité du système à protéger, témoigne plutôt de leur faiblesse à définitivement cerner l'attaquant, qu'un serveur fait souvent appel à des logiciels complexes, voire très complexes, ne permettant pas tou- jours de formellement en exclure toute faille, notamment dans le cas des systèmes les plus structurés (tels que, par exemple, les sites des grandes entreprises, des banques, des administrations, des universités, des organismes de recherche, etc.), il est toujours possible (et, en fait, largement avéré) que lesdites barrières logicielles, avec leurs milliers, voire dizaines de millier de règles dont il devient de plus en plus problématique d'assurer la cohérence, ne soient pas toujours en mesure d'interdire l'accès aux agents infectieux, ni d'empêcher un pirate de prendre le con- tôle d'un serveur. Dans ce cadre, la finalité de la présente invention est de proposer un dispositif permettant, une fois programmé, de faire table rase de tous les inconvénients ci-dessus et d'assurer donc à tout serveur informatique offrant un service en réseau selon un protocole client/serveur une protection inviolable contre toute intrusion, infection ou manipulation par un quelconque logiciel malveillant. A installer en amont du serveur informatique à protéger, le dispositif selon l'invention est constitué de 2 serveurs interconnectés dont le premier, à relier au réseau : comporte une connexion réseau exploitant le même protocole de communication (port, adresse, protocole d'échange, etc.) que celui du serveur à protéger, ne dispose, en tant que mémoires de stockage (y compris la puce contenant le BIOS), que de mémoires en seule lecture, à savoir, par exemple, des mémoires ROM (Read Only Memory), des mémoires protégées en écriture par une glissière ou un cavalier à déplacer ou n'importe quel autre type de mémoire permettant d'interdire toute opération d'écriture et/ou d'effacement, et ce, dans le but d'assurer l'inaltérabilité de l'ensemble de son appareil logiciel (BIOS, système d'exploitation, logiciel applicatif et données de ges- tion) et le mettre ainsi à l'abri de toute atteinte, est équipé d'un système d'exploitation ne comportant que les seuls modules strictement indispensables à son fonctionnement, à l'exclusion formelle, notamment, de tout interpréteur de programme et de commande, sauf l'interpréteur de la commande d'amorçage (destinée à assurer son démarrage et son initialisation) et l'interpréteur de la commande de lecture en mode texte (destinée à permettre la lecture et l'ana- lyse des requêtes des clients), et ce, dans le double but d'en permettre la réinitialisation la plus rapide et d'éviter, autant que faire se peut, l'activation de tout éventuel malware qui s'y serait infiltré, est relié au deuxième serveur à l'aide d'une connexion exploitant un protocole de communication autre que celui de la connexion réseau (différent, donc, du protocole de communication exploité lors des communications avec le serveur à protéger), et dont le deuxième, à relier au serveur informatique à protéger, est un serveur standard du type que l'on retrouve normalement dans le commerce, équipé : d'un système d'exploitation compatible avec le système d'exploitation du premier serveur, d'une carte d'entrée/sortie (telle que, par exemple, une carte UO munie de relais en sortie) installée sur sa carte mère et connectée, d'une part, à la fonction de réinitialisation (reset switch) de la carte mère du pre- mier serveur et, d'autre part, à la fonction d'alimentation (power svvitch) de cette dernière. Afm de mieux illustrer la manière dont le dispositif selon l'invention va fonctionner, il convient d'indiquer, ne serait-ce que sommairement, les caractéristiques et/ou fonctions essentielles des logiciels ap- plicatifs à installer dans les 2 serveurs dont il est constitué. Concernant le premier serveur, la caractéristique essentielle de son applicatif est qu'il ne devra comporter que les seules fonctions strictement nécessaires : 1 au traitement des requêtes/réponses, soit, essentiellement, réception de la requête, analyse de conformité de chacun de ses champs par rapport au protocole applicable selon le réseau exploité, rejet ou acceptation de la requête, respectivement en cas de non-conformité ou de conformité, transmission de la requête, en cas de conformité, au deuxième serveur, réception de la réponse de ce dernier et transmission de celle-ci au client, 2. à la sécurisation des communications entre les 2 serveurs, le transfert de tout paquet de données du premier au deuxième serveur devant être authentifié à l'aide d'un mot de passe d'un type quelconque, per-mettant d'assurer une reconnaissance automatique certaine dans de bonnes conditions de sécurité (tel que, par exemple, des mots de passe à usage unique, des mots de passe à utiliser en boucle, c'est-à-dire du type que les anglophones appellent « rolling code », des mots de passe calculés à l'aide d'un algorithme synchronisé, intégré à l'applicatif des 2 serveur, etc.), et ce, dans le but de permettre la réinitialisation la plus rapide possible du premier serveur (cf page 2, ligne 16 et s.). A l'égard de la sécurisation des communications entre les 2 serveurs, il convient de préciser que l'emploi d'un protocole de communication autre que celui utilisé lors des communications avec le réseau (cf page 2, ligne 22 et s.) leur assure déjà une protection d'un certain degré, du simple fait que le port, l'adresse et le protocole d'échange exploités sont inconnus à l'extérieur du système et que, dès lors, tout éventuel malware ne serait pas en mesure de trouver (ou facilement trouver) l'issue vers le deuxième serveur. Concernant le deuxième serveur, les fonctions essentielles que son logiciel applicatif doit rem- plir sont les suivantes : vérification, à l'aide du mot de passe, de l'authenticité de tout paquet de données reçu du premier serveur, en rejetant tout envoi non accompagné d'un mot de passe ou dont le mot de passe serait erroné. traitement des requêtes/réponses, soit, essentiellement, réception de la requête, réitération de l'analyse de conformité de chacun de ses champs par rapport au protocole applicable selon le réseau exploité, rejet ou acceptation de la requête, respectivement en cas de non-conformité ou de conformité, transmission de la requête au serveur à protéger, réception de la réponse de ce dernier et transmission de celle-ci au premier serveur, déclenchement (à l'aide de la carte d'entrée/sortie dont le deuxième serveur est équipé : cf page 2, ligne 28 et s.) d'une réinitialisation du premier serveur, cette opération se faisant à chaud (via le reset switch) à des intervalles réguliers d'une durée paramétrable préétablie (par exemple, tous les quarts d'heure, toutes les demi-heures, toutes les heures, etc.) ou bien à froid (via le power switch) en présence d'une quelconque irrégularité, à savoir soit un silence du premier serveur dépassant une durée paramétrable préétablie, soit un nombre de requêtes successives protocolairement irrecevables, dépassant une limite paramétrable préétablie. Aux traitements ci-dessus, il convient d'ajouter : la stérilisation, en cas de conformité, de tout éventuel champ de la requête non soumis à une quelconque contrainte protocolaire (tel que, par exemple, le champ « content » des requêtes http effectuées selon 1a méthode POST) et susceptible donc de véhiculer d'éventuels agents intrusifs, la neutralisation de tous fichiers joints à la requête (tels, par exemple, les fichiers accompagnant les cour-riels dans un service de messagerie), ces derniers pouvant être infectés. Bien évidemment, les 2 opérations ci-dessus pourraient aussi bien se faire au niveau du premier serveur que du deuxième. Néanmoins, il convient de les exécuter au niveau du deuxième serveur car le choix du premier irait au détriment de ses délais de réinitialisation, son applicatif devenant forcément plus lourd, du fait qu'il devrait inclure, en plus, ces fonctions. 10 Concernant la manière dont ces fonctions pourraient être réalisées, il suffit de dire : en ce qui est de la stérilisation, qu'elle pourrait se faire à l'aide d'un mécanisme permettant de `casser' la syntaxe de tout éventuel code malveillant, et ce, par exemple, en encapsulant un ou plusieurs caractères incontournables de tout code informatique quelconque (tels que, par exemple, les signes =, $, &, ;, etc., même en format binaire) entre des caractères convenus (tels que, par exemple, des guillemets simples an- 15 glo-saxons), précédés d'un caractère d'échappement (tel que, par exemple, le caractère « escape ») : ce qui, tout en préservant le caractère informatif des données concernées, permettrait de revenir aux données d'origine à l'aide d'un simple utilitaire, mais avec l'avantage de pouvoir le faire en pleine connaissance de cause, c'est-à-dire après les avoir examinées, sans risquer de se faire infecter ; en ce qui est de la neutralisation, qu'elle pourrait se faire, par exemple, en convertissant les fichiers dans 20 un autre format adéquat, à l'aide d'un ou plusieurs logiciels de conversion de fichiers. Dans ces conditions, compte tenu : 1. que tout éventuel code malveillant qui aurait réussi à s'infiltrer dans le premier serveur, ne saurait aucunement endommager un quelconque élément de l'appareil logiciel de ce dernier (cf page 2, ligne 10 et s.), 25 2. que le transfert de tout paquet de données du premier au deuxième serveur est soumis à authentification par ce dernier, 3. que, dès lors, tout agent intrusif éventuellement présent dans le premier serveur ne saurait point s'exfiltrer vers le deuxième, faute, d'une part, de pouvoir trouver (ou facilement trouver) l'issue vers ce dernier (cf page 3, ligne 14 et s.) et, d'autre part, de pouvoir se faire `reconnaître' par l'applicatif du premier serveur 30 et en obtenir donc le mot de passe qui seul peut lui permettre de se faire accepter par le deuxième serveur, 4. que, par suite, sauf à rester dans la plus totale inactivité, la seule action nuisible qui lui resterait possible, consisterait à endommager le contenu de la RAM du premier serveur, avec pour seuls résultats possibles soit un silence persistant de ce dernier, soit une suite de requêtes protocolairement non conformes et donc inacceptables par le deuxième serveur, 35 5. que, dans les 2 cas ci-dessus et, en tout état de cause, à des intervalles réguliers, le deuxième serveur dé- clenche la réinitialisation du premier, tout éventuel virus ou autre malware qui se serait infiltré dans le premier serveur serait condamné à être rapidement éliminé sans qu'il ait pu durablement endommager quoi que ce soit, ni même atteindre le deuxième serveur et encore moins le serveur à protéger. Ainsi, disposant d'un premier serveur : ne comportant aucun élément pouvant être durablement endommagé, n'utilisant aucune logique de filtrage à constamment réadapter aux nouveaux virus, vers, spyware, chevaux de Troie, etc., ni aux nouvelles méthodes d'intrusion susceptibles d'être `inventées' par des pirates, n'offrant qu'un accès gabarié où ne passe que ce qui a le format requis par le protocole réseau utilisé, n'étant équipé d'aucun interpréteur de programme, ni non plus d'un interpréteur général de commandes, les seules commandes interprétées et interprétables étant, à l'exclusion de toute autre, la commande d'amorçage et la commande de lecture en mode texte, comportant un BIOS, un système d'exploitation et un applicatif absolument inattaquables, car enregistrés dans des mémoires en seule lecture, en interdisant toute altération, utilisant un système d'exploitation réduit aux seules fonctions strictement indispensables à assurer ce qu'il doit faire, c'est-à-dire, essentiellement, la gestion des communications et celle de la pile des requêtes /réponses, comportant un applicatif très `léger' par rapport aux applicatifs normalement exploités par les serveurs, pouvant être, de par sa configuration très allégée, très rapidement réinitialisé, et d'un deuxième serveur : - ne laissant rentrer que les paquets de données authentifiés par un mot de passe correct, réitérant le contrôle de conformité et rejetant toute requête dont un seul des champs n'aurait pas le format requis par le protocole utilisé, comportant une carte d'entrée/sortie installée sur sa carte mère, permettant de déclencher la réinitialisa-25 tion du premier serveur, donc le `nettoyage' inéluctable de tout éventuel malware, en présence du moin- dre trouble et, en tout cas, à des intervalles réguliers, le dispositif selon l'invention fait table rase de tous les inconvénients susmentionnés, éliminant toute possibilité quelconque d'illicitement pénétrer dans un serveur ainsi protégé. Selon une variante du premier mode de réalisation ci-dessus, le dispositif électronique anti-in- 30 trusion selon l'invention est caractérisé en ce que le deuxième serveur et le serveur à protéger ne font qu'un. Selon ce mode de réalisation, le contenu logiciel du serveur à protéger est déporté sur le deuxième serveur du dispositif selon l'invention, et ce, en y créant, par exemple, une machine virtuelle destinée à héberger le système d'exploitation et tous les applicatifs du serveur à protéger. En agissant de la sorte, l'on éviterait, en effet, tout problème de compatibilité entre les systèmes 35 d'exploitation et l'on permettrait au deuxième serveur du dispositif selon l'invention de simuler, lors de ses communications avec la machine virtuelle, le protocole de communication (port, adresse, protocole d'échange, etc.) du serveur à protéger. La présente invention sera mieux comprise à la lecture de la description détaillée de son premier mode de réalisation, donnée ci-après. Destiné à constituer le support matériel d'un serveur applicatif anti-intrusion permettant de sécuriser tout serveur informatique offrant un service sur un réseau quelconque (internet, intrant, extranet, ré-seaux locaux, connexions de bout en bout, etc.) selon un protocole client/serveur (http, https, ftp, ftps, rtsp, smtp, pop, protocoles propriétaires, etc.) contre tout type de code malveillant (virus, vers, chevaux de Troie, espiogiciels, logiciels de prise en main d'ordinateurs distants, etc.), le dispositif électronique selon l'inven- tion est constitué de 2 serveurs interconnectés à installer en amont du serveur à protéger, autrement dit entre ce dernier et le réseau. Les 2 serveurs du dispositif électronique anti-intrusion selon l'invention peuvent être reliés entre eux à l'aide d'une quelconque connexion filaire d'un type adéquat (par exemple, un câble RJ 45 reliant 2 cartes ethernet installées, chacune, dans l'un des 2 serveurs, un liaison en fibre optique, etc.), à la seule con- dition que la connexion ait un débit correspondant à celui du serveur à protéger (par exemple, 100 mégabits, 1 gigabit/s,10 gigabits/s, etc.) et que les 2 serveurs disposent de systèmes d'exploitation compatibles ou rendus compatibles. A cet égard, il convient de préciser que le recours à une connexion non filaire est à proscrire du fait qu'une telle connexion peut être interceptée et n'assure donc pas la sécurité des transmissions entre les 2 serveurs, sauf à utiliser une connexion infrarouge qui présente néanmoins l'inconvénient d'être plus onéreuse et de ne pas assurer, à ce jour, des débits satisfaisants. De même, le deuxième serveur peut être relié au serveur à protéger à l'aide d'une quelconque connexion filaire d'un débit adéquat, alors que la connexion du premier serveur avec le réseau peut se faire à l'aide d'un quelconque moyen normalisé existant (connexion filaire via une carte ethernet, connexion sans fil, connexion satellite, connexion via modem, connexion adsl, etc.) ayant un débit correspondant à la bande passante du serveur à protéger. Par ailleurs, se substituant au serveur à protéger dans ses communications avec le réseau, le premier serveur du dispositif selon l'invention doit nécessairement exploiter le même protocole de communication que le serveur à protéger (port, adresse, protocole d'échange, etc.). Par contre, les communications entre les 2 serveurs du dispositif selon l'invention doivent impérativement se faire selon un protocole autre que celui du serveur à protéger, afm de constituer ainsi (en association avec l'authentification par mot de passe de tout paquet de données transféré au deuxième serveur) une zone de confinement, autrement dit un « no man's land » où tout éventuel malware qui s'y serait infiltré se retrouverait piégé et se verrait condamné à une élimination certaine grâce au mécanisme de réinitialisation piloté par le deuxième serveur à l'aide d'une carte d'entrée/sortie installée sur sa carte mère et reliée, d'une part, à la fonction de réinitialisation (reset switch) de la carte mère du premier serveur et, d'autre part, à la fonction d'alimentation (power switch) de cette dernière. Concernant les mémoires de stockage dont doit être équipé le premier serveur du dispositif antiintrusion selon l'invention, il convient de préciser : qu'elles incluent la mémoire affectée à la sauvegarde du BIOS (normalement, une puce intégrée en usine à la carte mère par le fabricant de cette dernière), qu'elles doivent être, physiquement, en seule lecture, car, bien que l'on puisse admettre d'y interdire l'accès en écriture ou effacement par des moyens logiciels, il serait préférable que cette condition soit remplie sur le plan matériel, en adoptant donc soit des véritables mémoires ROM, soit des mémoires protégées en écriture par une glissière ou un cavalier à déplacer (tels qu'on en trouve, par exemple, dans les disquettes de 3 pouces et demi, dans certaines mémoires flash, etc.), soit n'importe quel autre type de mémoire per-mettant d'interdire toute opération autre que la lecture à l'aide d'un dispositif physique. La contrainte ci-dessus vise à garantir que l'ensemble et n'importe quel élément isolé de l'appareil logiciel du premier serveur (à savoir BIOS, système d'exploitation, logiciel applicatif et données de ges- tion, c'est-à-dire, essentiellement, les mots de passe utilisés pour l'authentification des paquets de données à transférer au deuxième serveur) ne puisse pas être altéré par un quelconque éventuel agent intrusif venant du réseau. Concernant la carte d'entrée/sortie à installer sur la carte mère du deuxième serveur, il peut s'agir de n'importe quel type de carte d'entrée/sortie du commerce (série, USB, etc. ), prête à être reliée, à l'aide de relais et d'une connectique adéquate, aux fonctions de réinitialisation (reset switch) et d'alimentation (po- wer switch) de la carte mère du premier serveur. Enfin, concernant les communications entre le deuxième serveur et le serveur à protéger, celles-ci devront, impérativement, se faire selon le même protocole que celui exploité par le premier serveur à l'égard du réseau : ce qui signifie que le premier serveur et le serveur protégé devront exploiter le même port (par exemple, s'agissant d'internet, le port $0), la même adresse (par exemple, s'agissant d'internet, l'adresse IP assigné au serveur à protéger) et le même protocole d'échanges (par exemple, s'agissant d'internet, le protocole TCP/1P). Enfm, en ce qui concerne les autres éléments constitutifs des 2 serveurs du dispositif anti-intrusion selon l'invention (cartes mères, processeurs, mémoires vives, disques durs, blocs d'alimentation, venti- lateurs, boîtiers, etc.), l'homme du métier, à savoir un électronicien spécialisé en informatique, sait qu'il s'a- git là de pièces standardisées qu'il peut aisément se procurer dans le commerce. Ainsi qu'il a été vu, le but de la présente invention étant de proposer une solution universelle permettant de sécuriser tout serveur informatique proposant un service quelconque en ligne selon un protocole client/serveur (tel que, par exemple, s'agissant d'internet, le service de vente d'un site web marchand, le service clients d'un site web bancaire, un service d'information d'un site web statique, un service de messa- gerie, etc., ou bien, s'agissant, par exemple, d'un intrant, un service de partage de fichiers, un service d'accès à un database, etc.), le dispositif selon l'invention se caractérise par le fait de créer une zone de confine-ment, autrement dit une « zone étanche » où tout éventuel intrus demeurerait captif et n'aurait d'autre issue possible que celle de se faire rapidement éliminer. Par ailleurs, il convient de noter que, ne comportant que des composants électroniques connus et faisant donc partie de l'état de la technique, le dispositif électronique anti-intrusion faisant l'objet de la présente invention est à regarder comme une combinaison nouvelle de moyens connus dont la nouveauté et l'inventivité par rapport aux dispositifs anti-intrusion actuellement existants ou dont la description est connue tient, tout particulièrement, au résultat technique qu'il permet d'atteindre, à savoir une protection inviolable contre tout type d'intrusion quelconque que le dispositif électronique anti-intrusion selon l'invention est à même d'assurer à tout serveur offrant un service en réseau selon un protocole client/serveur. La très grande simplicité du principe sur lequel repose, pour l'essentiel, la solution technique proposée, à savoir la création d'un sas de confinement permettant d'y enfermer tout éventuel intrus, sans lui laisser la moindre chance de s'enfuir ou d'endommager quoi que ce soit, et le condamnant en outre à une éli- mination tout aussi rapide que certaine, permet (sans, pour autant, grand ouvrir les portes aux pirates) de ne plus craindre leur entrée. Par ailleurs, l'extrême simplicité de ce principe, conjugué avec le fait qu'il n'existe actuelle-ment aucune machine un tant soit peu semblable au dispositif selon l'invention, témoigne aussi de l'inventivité de la solution proposée qui est fort loin de découler de manière évidente de l'état de la technique. En effet, le problème du piratage informatique ou, plus généralement, des intrusions dans des systèmes informatiques reliés en réseau existant depuis la naissance même de ces réseaux (c'est-à-dire depuis des décennies, les premiers réseaux intégrés, tels qu'aujourd'hui internet, datant du début des années '70), si la solution proposée avait été évidente, il y aurait eu largement le temps de la mettre au point bien avant. A cet égard, en effet, il suffit de penser, d'une part, à tous les problèmes et aux graves consé- quences économiques que les intrusions posent de plus en plus aux entreprises ou autres organismes exploitant un service en réseau (et ce, notamment, depuis l'explosion commerciale de l'intemet programmée et mi-se en place dès la moitié des années '90) et, d'autre part, au nombre d'experts et d'entreprises multinationales qui se sont penchés et se penchent toujours sur la question aujourd'hui, sans pour autant qu'une solution efficace et définitive n'ait jamais été proposée. A cet égard, il n'est pas non plus sans intérêt de noter que le dispositif selon l'invention n'assure pas seulement la plus parfaite sécurisation du serveur à protéger, mais également - et nécessairement - sa propre protection, sans quoi il ne pourrait rien garantir du tout. C'est bien pourquoi, d'ailleurs, il a été prévu que le premier serveur ait une structure matérielle permettant de mettre hors d'atteinte tous ses composants logiciels. C'est bien pourquoi, aussi, il a été prévu que sa structure logicielle soit la plus allégée possible. C'est bien pourquoi, enfin, le premier serveur ne comporte aucun élément matériel autre que les composants strictement indispensables pour assurer son fonctionnement. Ce n'est que grâce à une telle configuration qu'il est possible de procéder à sa réinitialisation périodique sans pénaliser le système avec des arrêts prolongés. C'est du fait de cette architecture matérielle et logicielle que le dispositif selon l'invention élimine toute possibilité quelconque d'illicitement accéder au serveur à protéger, faisant définitivement table rase de toute possibilité pour un pirate d'y pénétrer, en prendre le contrôle, en voler des données sensibles, les modifier, voire les détruire, ainsi que de la nécessité de constamment mettre à jour les anti-virus, anti-spyware et pare-feux installés et de l'incertitude permanente qui en découle quant à leur véritable efficacité. Le fléau du piratage informatique à l'égard de tout service mis en ligne sur un réseau quelconque sera ainsi définitivement enrayé, pour le plus grand bien des opérateurs du secteur, le développement de leurs activités et l'essor de la communauté des internantes qui trouveront dans le système par ricochet la tranquillité de pouvoir visiter tous sites ainsi protégés sans craindre de s'y faire infecter. Pour conclure, il est utile de préciser : que d'autres modules peuvent être, bien évidemment, rajoutés à l'appareil logiciel du dispositif selon l'invention afin de répondre à des besoins particuliers (tels que, par exemple, un processus de détection et signalisation automatique des pannes), que le dispositif peut être rendu plus puissant et, en tout cas, redondant, afin d'assurer un service à tolérance de pannes, en l'associant à un deuxième, voire plusieurs autres dispositifs, que, dans le cas ci-dessus, la réinitialisation des premiers serveurs des différents dispositifs pourrait se faire alternativement, en éliminant ainsi toute interruption du service, ne serait-ce que minime. REVENDICATIONS1) Dispositif électronique anti-intrusion permettant, opportunément programmé, de neutraliser tout code malveillant s'attaquant à tout serveur informatique offrant un service sur un réseau quelconque se- lon un protocole client/serveur, caractérisé en ce qu'il est constitué de 2 serveurs interconnectés, à installer en amont du serveur informatique à protéger, dont le premier, à relier au réseau : comporte une connexion réseau exploitant le même protocole de communication que celui du serveur à protéger, ne dispose, en tant que mémoires de stockage, que de mémoires en seule lecture, est équipé d'un système d'exploitation allégé, ne comportant aucun interpréteur, sauf l'interpréteur de la commande d'amorçage et de la commande de lecture en mode texte, est relié au deuxième serveur à l'aide d'une connexion exploitant un protocole de communication autre que celui du serveur à protéger, et dont le deuxième, à relier au serveur à protéger, est équipé : d'un système d'exploitation compatible avec le système d'exploitation du premier serveur, d'une carte d'entrée/sortie installée sur sa carte mère et connectée, d'une part, à la fonction de réinitialisation de la carte mère du premier serveur et, d'autre part, à la fonction d'alimentation de cette dernière. 2) Dispositif électronique anti-intrusion selon la revendication 1 ci-dessus caractérisé en ce que le deuxième serveur et le serveur à protéger ne font qu'un.