Brevet FR2963131A1 — publié le 20120127

PROCEDE DE PROTECTION DES DONNEES PRIVEES SUR UN RESEAU L'invention concerne la protection de la vie privée (privacy) dans un réseau. La protection de la vie privée présente quatre aspects : anonymat, pseudonymité, non-chaînabilité, non observabilité. L'anonymat assure l'impossibilité pour d'autres utilisateurs de déterminer le véritable nom de l'utilisateur associé à un sujet, une opération, un objet. La pseudonymité permet à l'utilisateur d'être tenu responsable de ses actes, tout en préservant l'anonymat. La non-chaînabilité assure l'impossibilité pour d'autres utilisateurs d'établir un lien entre différentes opérations effectuées par un même utilisateur. La nonobservabilité assure l'impossibilité pour d'autres utilisateurs de déterminer si une opération est en cours. L'invention concerne plus particulièrement la protection des données liées à la vie privée telles que par exemple le domicile, l'état de santé, l'âge, la vie sentimentale, les opinions et croyances, la correspondance, les enregistrements audio, photographiques et vidéo des personnes. De nombreuses utilisations des réseaux impliquent des risques de diffusion incontrôlée de données personnelles. C'est le cas par exemple du profilage des utilisateurs, qui permet une personnalisation de l'information qui leur est délivrée : publicité, données de localisation, catalogue de produits et services par exemple. Le profilage d'un utilisateur de services comprend conventionnellement les étapes suivantes : collecte des données relatives à l'utilisateur ; - construction du profil de l'utilisateur ; - modélisation de l'utilisateur. La collecte des données est conventionnellement une extraction de données dans une banque de données d'utilisateurs. Pour l'internaute, par exemple, le protocole TCP/IP implique la fourniture d'une adresse IP, et permet aussi au serveur de connaître les données suivantes : marque du logiciel de navigation, version de ce logiciel de navigation, date et heure de la connexion, page sur laquelle est mise en oeuvre un A001 B121 FR - TQD hyperlien invisible. Un grand nombre d'outils permettent de collecter automatiquement des données relatives à l'internaute, par exemple cookies, PSN (Processor Serial Number), numéro d'identification unique GUID (Global Unique Identifier), BHO (Browser Helper Objects), images GIF (web bug) ou pointeur (tag) html cachés en micro image dans une page web. La modélisation de l'utilisateur de services prend en compte les informations personnelles (par exemple âge, langue), les préférences et centre d'intérêts, et l'historique d'utilisation des services par l'utilisateur. La construction du profil de l'utilisateur de services peut être explicite, implicite ou supervisée. Dans une construction explicite, les informations sont fournies directement par l'utilisateur. Ces informations peuvent être saisies par l'utilisateur ou bien encore obtenues automatiquement par le système. La construction implicite du profil de l'utilisateur repose sur un procédé d'inférence du contexte et préférences de l'utilisateur via son comportement lors de l'utilisation des services. La construction supervisée demande au consommateur son degré de satisfaction pour chaque réponse générée par le fournisseur de services. De nombreuses utilisations des réseaux impliquent la transmission de données personnelles aux acteurs qui en ont besoin pour réaliser la tâche qui leur est confiée. C'est le cas, par exemple, du commerce électronique qui implique clients, marchands, services de livraison, établissements bancaires et fournisseurs d'accès internet. Chacun de ces acteurs a besoin d'une partie de l'information liée à l'achat. Ainsi par exemple, le marchand doit être assuré de la validité du moyen de paiement utilisé par le client mais n'a en principe pas besoin de connaître l'identité du client, la société de livraison doit connaître l'identité et l'adresse du destinataire mais n'a pas besoin de connaître l'identité de l'acheteur, l'établissement bancaire du client doit connaître les références du compte à créditer et le montant mais n'a pas à être informé de la nature des achats effectués. De nombreuses utilisations des réseaux poussent à la transmission de données personnelles. C'est le cas par exemple des communautés virtuelles et réseaux sociaux. C'est le cas également des échanges de A001 B121 FR - TQD données par courrier électronique qui ne permettent pas facilement la mise en place de solutions de cryptage. Les méthodes de cryptographie symétriques emploient la même clef pour chiffrer de déchiffrer les données. II en résulte que la même clef doit être en possession de l'émetteur et du récepteur de messages, ce qui s'avère en pratique difficile. De plus, tous les services de messagerie n'acceptent pas toutes les solutions de cryptage symétrique. Les méthodes de cryptographie asymétrique mettent en oeuvre une paire de clefs asymétriques (une clef publique et une clef privée correspondante) pour chiffrer et déchiffrer les données. La clef privée est gardée en secret par le propriétaire et utilisée pour déchiffrer les messages reçus. La clef publique est distribuée à tous les utilisateurs qui veulent envoyer des messages au propriétaire de la clef. Les méthodes asymétriques, également employées pour créer des signatures numériques, sont complexes et ne peuvent être employées dans tous les contextes. II existe également des méthodes mixtes grand public, par exemple openSSH dans lesquelles une clef symétrique n'est créée que pour la durée d'une session. Les courriers électroniques peuvent être des sources de fuite de données sensibles, par exemple de données commerciales. L'envoi de messages électronique peut par ailleurs engager la responsabilité de l'émetteur ou de son employeur, par exemple lorsque certains fichiers échangés dans un contexte privé sont adressés par erreur à une liste de diffusion. L'installation de fichiers ou de programme peut également engager la responsabilité de l'utilisateur ou de son employeur, par exemple en cas de non respect du droit d'auteur. Dans l'exercice de certaines professions, par exemple médicales, des données personnelles peuvent être communiquées par courrier électronique, tout en devant rester couvertes par le secret médical. II existe donc un besoin de techniques permettant d'assurer que des informations sensibles ne pourront être délibérément ou accidentellement transmises à un destinataire inapproprié. Il existe par ailleurs une demande croissante pour des services personnalisés, tenant compte des goûts et aspirations réelles des utilisateurs et non de leurs goûts et aspirations probables, issus de profilage. A001 B121 FR - TQD Le besoin de mieux connaître l'utilisateur de services est souvent perçu comme un risque de dissémination de données personnelles et d'affaiblissement de la frontière entre sphère privée et sphère publique. Dans ce contexte, la législation en matière de protection des données personnes est abondante. Pour la France, par exemple, la 78-17 du 6 janvier 1978 (modifiée par la loi 2004-801 du 6 août 2004) vise à protéger les personnes physiques à l'égard des traitements des données à caractère personnel. A l'échelle de l'UE, la directive 95/46 vise à établir un équilibre entre la protection de la vie privée des personnes et la libre circulation des données à caractère personnel au sein de l'UE. On peut se référer également à la directive 2009/136CE. Les techniques de protection de la vie privée sur Internet visent à assurer la protection des adresses IP (par exemple par une affectation dynamique des adresses DHCP Dynamic Host Configuration Protocol, PPP, NAT Network Address Translation, ou par routeurs d'anonymat MIX, Onion Routing, Crowds) et à permettre un accès anonyme à des services (par exemple par relais d'anonymat ou par serveur de pseudonymes). Les autorisations sur Internet fonctionnent conventionnellement sur un modèle client-serveur, le serveur accordant ou refusant des privilèges au client en fonction de son identité déclarée, le cas échéant vérifiée par des mécanismes d'authentification. Le serveur doit enregistrer des données personnelles pouvant servir de preuve en cas de litige et ces données peuvent être employées par exemple pour le profilage des clients. L'action P3P (W3C Platform for Privacy Preferences) permet aux sites Internet d'exprimer leurs pratiques de protection des données dans un format standard XML facilement interprétable par des agents P3P qui comparent les politiques de confidentialité des sites Internet avec les contraintes imposées par les utilisateurs. Les agents P3P créent une identité cryptographique PUID (Pairwise Unique Identifier) avec chaque site Internet et il n'y a pas de lien entre ce PUID et l'identité de l'utilisateur. Diverses solutions ont été proposées pour assurer l'anonymat. On 35 peut se reporter par exemple au document US 2005/0114218. A001 B121 FR - TQD L'invention vise à fournir des moyens permettant d'assurer le respect de la vie privée lorsque des données personnelles doivent être communiquées à des fournisseurs de services ou à des tiers (utilisateurs ou services). L'invention vise en outre à fournir des moyens permettant un contrôle de ce que les règles de respect de vie privée ont été respectées, ces règles pouvant être personnalisées par l'utilisateur. L'invention vise également à fournir des moyens permettant à un fournisseur de services ou d'application d'afficher une politique attractive de protection des données personnelles. A ces fins, l'invention se rapporte, selon un premier aspect, à un procédé de protection de données privées sur un réseau, ce procédé comprenant côté émetteur de données privées, notamment propriétaire de ces données privées, une étape de choix d'informations sensibles, une étape d'association de propriétés de protection à chaque information sensible, ce procédé comprenant côté récepteur, une étape de requête d'action aux informations sensibles enveloppées de leurs propriétés de protection, ce procédé comprenant une étape de notification côté réception et/ou côté émission d'un premier message en cas de requête d'action aux informations par un récepteur ne satisfaisant pas aux propriétés de protection associées à ces informations, ce procédé comprenant une étape de notification côté émission et/ou côté réception d'un deuxième message en cas de requête d'action aux informations par un récepteur satisfaisant les propriétés de protection associées à ces informations. Par « requête d'action », on désigne ici une requête visant à accéder aux informations sensibles, à les stocker, les transformer ou les transmettre. Les informations sensibles sont de type élémentaire (par exemple homme/femme, majeur/mineur), ou de type complexe formé par regroupement de données élémentaires, ou de type méta-information formée par regroupement de données complexes. Avantageusement, l'association dans la couche de transport des propriétés de protection à chaque information sensible est réalisée par incorporation dans un modèle. Les propriétés de protection d'une information élémentaire enveloppent ou étiquettent cette information élémentaire. De sorte A001 B121 FR - TQD qu'une information complexe enveloppée ou étiquetée par ses propriétés de protection, contient, dans la couche de transport, chaque information élémentaire associée à ses propres propriétés de protection. Avantageusement, le choix des informations sensibles et l'association de propriétés de protection à chaque information sensible est assurée par un module utilisateur, le procédé comprenant une étape de détermination de propriétés de protection par défaut pour au moins un type d'information sensible, par un module de gestion distinct du module utilisateur. Avantageusement, le procédé comprend une mémorisation des propriétés de protection et une étape de contrôle de bonne exécution des propriétés de protection mémorisées. Dans une mise en oeuvre, l'étape de contrôle de bonne exécution des propriétés de protection mémorisées est assurée par un module de certification, distinct du module de gestion et du module utilisateur. D'autres objets et avantages de l'invention apparaîtront à la lumière de la description faite ci-après de modes de réalisation actuellement préférés, description qui va être effectuée en se référant au dessin annexé. Pour chaque service ou application, les informations sensibles sont définies par l'utilisateur. Ainsi, dans son profil, l'utilisateur pourra décider que sont sensibles les informations relatives à son âge, sa situation familiale. Dans sa navigation, l'utilisateur pourra décider que sont sensibles les informations relatives à ses requêtes d'achat de biens et services, ses demandes de vidéos en streaming. Dans ses messages, l'utilisateur pourra décider que certaines pièces jointes, par exemple fichiers au format JPEG, sont sensibles, parce que pouvant être des photos personnelles. Les informations que l'utilisateur défini comme sensibles peuvent être élémentaires (homme/femme, majeur/mineur), ou complexes par regroupement de données élémentaires (situation de famille) ou bien encore de type méta-information formée du regroupement de données complexes (préférences musicales). A001 B121 FR - TQD A chaque information élémentaire, chaque information complexe, chaque méta-information est associée des propriétés, définies par l'utilisateur. Cette association est réalisée avantageusement par une application client au moyen d'une interface homme machine proposant à l'utilisateur des paramètres et pour chaque paramètre des options de valeurs. Les paramètres sont avantageusement : le temps de vie (TTL Time To Live) et le niveau d'exposition des informations, le propriétaire et le ou les destinataire(s) des informations. A titre d'exemple, un niveau d'exposition de « zéro » permet un accès aux données (ou à un type particulier de données) sans restriction, et un niveau d'exposition de « un » ne permet l'accès aux données que pour le propriétaire des données et le récepteur. Cette association entre chaque information et ses propriétés, après sa définition par l'utilisateur dans la couche d'application, conduit à l'association entre ces propriétés et ces informations dans la couche de transport. Avantageusement, cette association dans la couche de transport est réalisée par incorporation dans un modèle (template). Par exemple, les propriétés de l'information sont contenues dans une étiquette au format XML (eXtensible Markup Language) selon un modèle de diffusion. Cette étiquette contient avantageusement la description du contenu de l'information (fichier audio, vidéo, message). Une configuration par défaut des propriétés est définie par un module de gestion. Par exemple, la valeur par défaut du temps de vie pour un courrier électronique pourra être illimitée et le niveau d'exposition fixé à « un » ne permettant l'accès aux données que pour le propriétaire des données et le récepteur (le dernier n'ayant pas droit de transmettre ledit message à une tierce partie). Le module de gestion détermine également avantageusement les effets associés à chaque niveau de protection. Ainsi, par exemple, un niveau de protection de « un » permet l'accès aux informations pour le propriétaire des informations et le destinataire uniquement avec possibilité pour ce propriétaire et ce destinataire de modifier les propriétés associées à l'information. A001 B121 FR - TQD Cette configuration par défaut et le module de gestion sont par exemple placés sous la responsabilité d'un superviseur, lui-même placé sous la responsabilité d'un administrateur fixant des règles transversales. Par exemple, l'administrateur pourra fixer une configuration pour certaines informations telle que : si le propriétaire de l'information est monsieur Z et que le type d'information est un courrier électronique, alors le niveau d'exposition est de trois. Dans les utilisations en messagerie et courriers électroniques, les enveloppes associées aux (ou englobant les) données élémentaires contiennent avantageusement des paramètres de protection des données telles que durée de stockage autorisée, liste fermée de diffusion (ou de rediffusion par les récepteurs) du message et/ou d'une ou plusieurs pièces jointes. Toutes les décisions relatives aux propriétés des informations sont stockées, par exemple dans une base de données et un tiers, par exemple une autorité de certification, peut s'assurer que ces propriétés sont effectivement mises en oeuvre. Cette autorité a accès aux propriétés de chaque information mais non aux informations elles mêmes. La figure annexée présente schématiquement une mise en oeuvre d'un mode de réalisation de l'invention. Pour chaque application 1, 2, 3, un utilisateur final 4 définit à l'aide d'un module 5 des informations sensibles, notamment des données liées à la vie privée, ainsi que des propriétés de protection de ces informations sensibles. L'association des informations sensibles à leurs données de protection, dans la couche application est orchestrée par un module 6. Cette association entre chaque information et ses propriétés, après sa définition par l'utilisateur dans la couche d'application, conduit à l'association entre ces propriétés et ces informations dans la couche de transport, dans une enveloppe PDE (privacy data envelop). Ces enveloppes PDE sont stockées dans une base de données 7 ou placées en mémoire programme 8. Les données de création, lecture et modifications éventuelles de ces enveloppes PDE sont stockées dans une mémoire 9 par un module 10. A001 B121 FR - TQD La définition, par l'utilisateur 4, de la politique de protection des informations sensibles peut être effectuée intégralement, sur la base d'un modèle généré par un module 11 de création de configuration par défaut des enveloppes PDE. Ce module 11 appartient avantageusement à un module de gestion 12 placé sous la responsabilité d'un superviseur 13. La définition, par l'utilisateur 4, de la politique de protection des informations sensibles peut être uniquement personnalisée par l'utilisateur, à partir d'options prévues dans un modèle généré par un module 14 placé sous la responsabilité d'un superviseur 13. Lorsqu'un utilisateur 15 souhaite effectuer une action pour des informations sensibles, par exemple accéder à des informations sensibles enveloppées de leurs propriétés de protection, un module 16 contrôle la conformité de ce souhait aux propriétés de protection de ces données. Une notification côté réception et/ou côté émission d'un premier message est effectuée en cas de requête d'action (par exemple accès) aux informations par un récepteur ne satisfaisant pas aux propriétés de protection associées à ces informations. Cette notification est stockée dans la mémoire 9. Une notification côté émission et/ou côté réception d'un deuxième message est effectuée en cas de requête d'action (par exemple accès) aux informations par un récepteur satisfaisant les propriétés de protection associées à ces informations. Cette notification est stockée dans la mémoire 9. Un module de certification 18, placée sous le contrôle d'une autorité de certification indépendante, permet de déceler a posteriori la conformité des actions des récepteurs des informations aux propriétés de protection des informations qu'ils ont reçues. Ainsi, par exemple, lorsqu'un courrier électronique est adressé par un émetteur A à une liste de diffusion B, et que cet émetteur A ne permet la lecture des pièces jointes qu'aux personnes membres du groupe C et non à la totalité des membres de la liste de diffusion B, une personne recevant le courrier électronique et n'appartenant pas au groupe C cherchant à ouvrir une pièce jointe recevra une notification lui indiquant que cette pièce jointe ne lui est pas destinée (ou contient des éléments dont il ne doit pas prendre connaissance). A001 B121 FR - TQD Une trace de cette notification est avantageusement conservée en mémoire, côté réception et/ou côté émission du courrier électronique. Dans une mise en oeuvre, en dépit du message d'avertissement de confidentialité, le récepteur peut décider d'ouvrir la pièce jointe. Cette tentative est avantageusement conservée en mémoire côté réception et/ou côté émission du courrier électronique. A titre d'exemple également, lorsqu'un message est adressé par un émetteur A à un destinataire B avec une politique de transfert interdisant à B de transmettre le message à un destinataire C, l'émetteur A recevra une notification au lorsque le destinataire B tente par erreur ou malveillance de transmettre le message au destinataire B. Dans une mise en oeuvre, le destinataire B reçoit une notification indiquant que sa requête n'est pas conforme à la politique de protection des données fixée par l'émetteur. Ce message présente un caractère d'avertissement réduisant les risques d'action involontaire. Ce message peut également présenter un caractère dissuasif informant le destinataire B des risques de toute tentative de non respect des règles de protection. Avantageusement, un module (plug-in) de l'émetteur bloque la tentative de transmission du message au destinataire C. Le contrôle du respect des règles de protection de la vie privée (privacy) peut être effectué à tout moment à l'aide du module de certification 18. Dans une mise en oeuvre, un module (plug in) est mis à la disposition des récepteurs des informations sensibles. Ce module est par exemple téléchargeable depuis une plateforme. Ce module permet l'interprétation des propriétés de protection des informations sensibles et adresse les notifications, côté émetteur et/ou récepteur de ces informations, pour chaque action (par exemple accès) à ces informations sensibles par le récepteur. L'invention renforce la protection de la vie privée dans un réseau de distribution de contenus, en réduisant les risques de diffusion accidentelle de données personnelles et en dissuadant ou interdisant la prise de connaissance ou la transmission de données personnelles. L'invention renforce le sentiment de protection de protection de la vie privée dans les réseaux, notamment les réseaux sociaux. A001 B121 FR - TQD REVENDICATIONS1. Procédé de protection de données privées sur un réseau, ce procédé comprenant côté émetteur de données privées, notamment propriétaire de ces données privées, une étape de choix d'informations sensibles, une étape d'association de propriétés de protection à chaque information sensible, ce procédé comprenant côté récepteur, une étape de requête d'action aux informations sensibles enveloppées de leurs propriétés de protection, ce procédé comprenant une étape de notification côté réception et/ou côté émission d'un premier message en cas de requête d'action aux informations par un récepteur ne satisfaisant pas aux propriétés de protection associées à ces informations, ce procédé comprenant une étape de notification côté émission et/ou côté réception d'un deuxième message en cas de requête d'action aux informations par un récepteur satisfaisant les propriétés de protection associées à ces informations. 2. Procédé selon la revendication 1, caractérisé en ce que les informations sensibles sont de type élémentaire, par exemple homme/femme, majeur/mineur, ou de type complexe formé par regroupement de données élémentaires, ou de type méta-information formée par regroupement de données complexes, l'association dans la couche de transport des propriétés de protection à chaque information sensible étant réalisée par incorporation dans un modèle. 3. Procédé selon les revendications 1 ou 2, caractérisé en ce que le choix des informations sensibles et l'association de propriétés de protection à chaque information sensible est assurée par un module utilisateur (6), le procédé comprenant une étape de détermination de propriétés de protection par défaut pour au moins un type d'information sensible, par un module de gestion (12) distinct du module utilisateur (6). 4. Procédé selon l'une quelconque des revendications 1 à 3, caractérisé en ce qu'il comprend une étape de mémorisation des actions appliquées A001 B121 FR - TQDaux informations sensibles et des notifications adressées côté émission et/ou côté réception des informations sensibles. 5. Procédé selon les revendications 3 ou 4, caractérisé en ce qu'il comprend une mémorisation des propriétés de protection et une étape de contrôle de bonne exécution des propriétés de protection mémorisées. 6. Procédé selon la revendication 5, caractérisé en ce que l'étape de contrôle de bonne exécution des propriétés de protection mémorisées est assurée par un module de certification (18), distinct du module de gestion (12) et du module utilisateur. A001 B121 FR - TQD