Brevet FR2962868A1 — publié le 20120120

Procédé et dispositif de sécurisation d'un canal de communication bidirectionnel inter-niveaux La présente invention concerne un procédé de sécurisation d'un canal de communication bidirectionnel entre au moins un réseau de départ et un réseau de destination à travers un réseau de transit d'un niveau de sécurité plus faible que les réseaux de départ et de destination, comprenant les étapes suivantes : - lors d'une transmission d'au moins un type de premières données du réseau de départ vers le réseau de transit et vers le réseau de destination au travers du réseau de transit : - mise en oeuvre d'une première étape de filtrage desdites premières données, comprenant une application d'au moins un filtre d'analyse sur lesdites premières données pour parer la création d'un canal de communication caché, - transmission desdites premières données filtrées vers le réseau de transit. Elle s'applique en particulier à la transmission de données de signalisation et de 15 contrôle lors de l'établissement et du maintien d'une communication entre deux réseaux sécurisés, à travers un réseau de sécurité plus faible. L'interconnexion de réseaux sécurisés, par exemple des réseaux informatiques de filiales d'une entreprise, est généralement réalisée au travers d'autres réseaux de communications non dédiés et pouvant avoir des niveaux de sécurité moins élevés, par 20 exemple un réseau public d'un opérateur télécom. Les normes de sécurité concernant les communications entre des réseaux de niveaux de sécurité différents imposent souvent des contraintes contradictoires avec les exigences d'interopérabilité entre ces réseaux, mais aussi avec les performances souhaitées en termes de transport de données. 25 Par exemple, pour sécuriser un canal de communication entre deux réseaux sécurisés, à travers un réseau de transit de niveau de sécurité plus faible, il est connu de placer à la périphérie des deux réseaux sécurisés un équipement de sécurité, par exemple un chiffreur IP, de manière à chiffrer, respectivement déchiffrer, les données émises, respectivement reçues par ces réseaux. Ainsi, toutes les données émises par ces 30 réseaux sont transmises à travers le réseau de transit sous forme chiffrée, et aucune donnée issue de ces réseaux sécurisés ne transite en clair, c'est-à-dire sous une forme non chiffrée, sur le réseau de transit. Cependant, ce cloisonnement des réseaux sécurisés a pour conséquence une rupture d'interopérabilité entre les réseaux sécurisés et le réseau de transit, provoquant 35 une limitation des services offerts aux réseaux sécurisés. Notamment, le chiffrement systématique des données émises par les réseaux sécurisés rend impossible une interaction avec le réseau de transit. Or, le transport de données entre deux réseaux sécurisés à travers un réseau de transit nécessite généralement un échange de données de signalisation et de contrôle entre le réseau de transit et les réseaux sécurisés. Ces données de signalisation et de contrôle, qui sont notamment utilisées par les protocoles IP et Ethernet, sont par exemple des acquittements de réception ou des flux de signalisation RSVP (Resource ReSerVation Protocol) permettant de gérer la qualité de service de sessions de transmissions de données. Le chiffrement systématique des données émises par les réseaux sécurisés empêche l'échange de données de signalisation et de contrôle entre les réseaux sécurisés et le réseau de transit, de telle sorte qu'un service demandé pour une session entre les réseaux sécurisés ne peut être satisfait que sur ces réseaux sécurisés, et non sur l'ensemble du parcours des données échangées. Une solution alternative consiste à autoriser certains types de données choisis à transiter en clair et sans contrôle à travers le réseau de transit, c'est-à-dire à créer un canal de communication supplémentaire pour certains types de données, mais cette solution comporte des risques, car un attaquant peut exploiter ce canal pour faire fuir des informations d'un réseau sécurisé. Pour pallier cet inconvénient, on connaît de la demande de brevet FR 2 924 552- Al un procédé de sécurisation d'un canal bidirectionnel de communication, permettant de sécuriser ce canal de communication supplémentaire. Selon ce procédé, lors d'une transmission de données émises par un réseau sécurisé de départ vers un réseau sécurisé de destination à travers un réseau de transit de sécurité plus faible, les données à émettre sont analysées par un module d'aiguillage qui détermine si ces données sont d'un type autorisé à transiter en clair sur le réseau de transit. Si c'est le cas, par exemple si ces données sont des données de signalisation ou de contrôle, ces données sont filtrées, de manière à parer la création d'un canal caché entre les réseaux sécurisés, et transmises en clair sur le réseau de transit puis sur le réseau de destination. Dans le cas contraire, les données sont chiffrées, puis transmises au réseau de destination via le réseau de transit. Ce procédé, s'il permet d'améliorer l'interopérabilité entre des réseaux de niveaux de sécurité différents et de prévenir la création d'un canal caché entre le réseau de départ et le réseau de transit, n'offre cependant pas une sécurité satisfaisante. Notamment, ce procédé ne permet pas de garantir la confidentialité des données des réseaux sécurisés, car les données envoyées après filtrage vers le réseau peuvent contenir des informations sensibles. Par exemple, lorsqu'une requête RSVP est émise par un terminal émetteur du réseau de départ vers un terminal récepteur du réseau de destination et vers le réseau de transit, pour initier une communication entre ces terminaux émetteur et récepteur, cette requête contient notamment les adresses IP des terminaux émetteurs et récepteurs, qui peuvent être confidentielles. Or, ces informations sont transmises en clair sur le réseau de transit. Ainsi, le réseau de transit peut accéder à des informations sensibles ou confidentielles incompatibles avec son niveau de sécurité. De plus, le procédé décrit dans la demande de brevet FR 2 924 552-Al autorise la transmission de données du réseau de transit au réseau de destination à l'initiative du réseau de transit. En effet, les données filtrées émises par le réseau de départ sont transmises au réseau de transit, qui transmet ensuite ces données au réseau de destination. Dès lors, un terminal placé sur le réseau de transit peut émettre de sa propre initiative des données vers le réseau de destination, par exemple en simulant un envoi par le réseau de départ, et éventuellement perturber ou rendre indisponible le réseau de destination ou les équipements informatiques de ce réseau. En effet, le réseau de destination ne peut pas déterminer si ces données sont conformes aux données initialement émises par le réseau de départ, ni si ces données ont réellement été émises par ces réseaux. L'invention a donc pour but de sécuriser la transmission de données entre deux réseaux, à travers un réseau de niveau de sécurité plus faible, tout en permettant une interopérabilité entre ces réseaux. A cette fin, l'invention a pour objet un procédé de sécurisation du type précité, caractérisé en ce qu'il comprend en outre, lors de la transmission desdites premières données du réseau de départ vers le réseau de transit et vers le réseau de destination, les étapes suivantes : - duplication desdites premières données, - protection cryptographique desdites premières données dupliquées, - transmission desdites premières données protégées vers le réseau de destination, et en ce que lesdites premières données filtrées ne sont pas transmises par le réseau de transit sur le réseau de destination. Le procédé de sécurisation selon l'invention comporte également les caractéristiques suivantes, prises séparément ou en combinaison : - ladite première étape de filtrage comprend une étape de substitution d'informations sensibles comprises dans lesdites premières données, incompatibles avec le niveau de sécurité du réseau de transit, par des informations compatibles avec le niveau de sécurité du réseau de transit ; - ladite première étape de filtrage comprend une sauvegarde d'un premier contexte de connexion associé auxdites premières données ; - il comprend entre outre, lors d'une transmission de deuxièmes données émises par le réseau de transit vers le réseau de départ, une deuxième étape de filtrage desdites deuxièmes données, comprenant : - une comparaison d'un deuxième contexte de connexion associé auxdites deuxièmes données audit premier contexte de connexion, - si lesdits premier et deuxième contextes sont incohérents, un blocage desdites deuxièmes données, - si lesdits premier et deuxième contextes sont cohérents, une application d'au moins un filtre d'analyse sur lesdites deuxièmes données et une transmission desdites deuxièmes données filtrées vers le réseau N1 ; - ladite deuxième étape de filtrage comprend l'introduction dans lesdites deuxièmes données desdites informations sensibles substituées lors de ladite étape de substitution. L'invention a également pour objetun dispositif de sécurisation d'un canal de communication bidirectionnel entre au moins un réseau de départ et un réseau de destination à travers un réseau de transit d'un niveau de sécurité plus faible que les réseaux de départ et de destination, comprenant : - une premier module de filtrage, comprenant des moyens pour appliquer au moins un filtre d'analyse sur des données à transmettre du réseau de départ vers le réseau de transit, pour parer la création d'un canal de communication caché, - un module de protection cryptographique de données, apte à protéger des données à transmettre du réseau de départ vers le réseau de destination, ledit système étant caractérisé en ce qu'il comprend en outre au moins un module d'aiguillage, apte à aiguiller des premières données à transmettre du réseau de départ vers le réseau de transit et vers le réseau de destination, vers ledit premier module de filtrage, à dupliquer lesdites premières données, et à aiguiller lesdites premières données dupliquées vers ledit module de protection cryptographique. Le dispositif de sécurisation selon l'invention comporte également les caractéristiques suivantes, prises séparément ou en combinaison : - ledit premier module de filtrage comprend des moyens pour substituer des informations sensibles comprises dans lesdites premières données, incompatibles avec le niveau de sécurité du réseau de transit, par des informations compatibles avec le niveau de sécurité du réseau de transit ; - ledit premier module de filtrage comprend des moyens pour sauvegarder un premier contexte de connexion associé auxdites premières données ; - il comprend entre outre un deuxième module de filtrage, comprenant : - des moyens pour comparer un deuxième contexte de connexion associé à des deuxièmes données émises par le réseau de transit vers le réseau de départ audit premier contexte de connexion, - des moyens pour bloquer lesdites deuxièmes données si lesdits premier et deuxième contextes sont incohérents, - des moyens pour appliquer au moins un filtre d'analyse sur lesdites deuxièmes données et pour transmettre lesdites deuxièmes données filtrées vers le réseau de départ si lesdits premier et deuxième contextes sont cohérents ; - ledit deuxième module de filtrage comprend des moyens pour introduire dans lesdites deuxièmes données lesdites informations sensibles substituées par ledit premier module de filtrage. L'invention sera davantage comprise au regard d'exemples de réalisation de l'invention qui vont maintenant être décrits en faisant référence aux figures annexées parmi lesquelles : - la figure 1 est un schéma illustrant l'architecture globale de réseaux adaptés à la mise en oeuvre du procédé selon l'invention ; - la figure 2 est un schéma d'un dispositif de sécurisation selon un mode de réalisation de l'invention ; - la figure 3 est un schéma synoptique illustrant des étapes du procédé selon un mode de réalisation de l'invention, mises en oeuvre par le dispositif de sécurisation de la figure 2; - la figure 4 est un schéma synoptique illustrant d'autres étapes du procédé selon un mode de réalisation de l'invention, mises en oeuvre par le dispositif de sécurisation de la figure 2 ; et - la figure 5 est un schéma synoptique illustrant la mise en oeuvre d'un procédé de sécurisation selon un mode de réalisation de l'invention, entre les réseaux illustrés sur la figure 1 On a représenté sur la figure 1 l'architecture globale de réseaux adaptés à la mise en oeuvre du procédé selon un mode de réalisation de l'invention. Deux réseaux de télécommunication sécurisés NI et N3, appelés par la suite respectivement réseaux de départ et de destination, sont aptes à communiquer à travers un réseau N2 de transit, de niveau de sécurité plus faible que les réseaux sécurisés NI et N3. Les réseaux sécurisés N1 et N3 sont par exemple des réseaux internes d'entreprise, et le réseau de transit N2 un réseau public tel qu'Internet. Le réseau N1 de départ comprend au moins un terminal émetteur 3 et un dispositif 5 de sécurisation, relié par une liaison 7 filaire ou sans fil au terminal émetteur 3. Le terminal émetteur 3, par exemple un ordinateur, est apte à échanger des données avec le réseau N2 de transit et le réseau N3 de destination par l'intermédiaire du dispositif 5 de sécurisation, et notamment des données de signalisation et de contrôle. Le dispositif 5 de sécurisation est en coupure entre le réseau N1 de départ et le réseau N2 de transit, de telle sorte que toutes les données échangées entre le terminal émetteur 3 et le réseau N2 de transit passent obligatoirement par le dispositif 5 de sécurisation. Le dispositif 5 de sécurisation est apte à analyser les données émises par le terminal émetteur 3 à destination du réseau N2 de transit ou du réseau N3 de destination, pour déterminer si elles sont d'un type autorisé à transiter en clair sur le réseau N2 de transit. Dans le suite de la description, on appellera données confidentielles les données qui ne sont pas d'un type autorisé à transiter en clair sur le réseau N2 de transit, et données non confidentielles les données d'un type autorisé à transiter en clair sur le réseau N2 de transit. Les données non confidentielles sont par exemple des données de signalisation ou de contrôle, par exemple des données associées à des requêtes SIP (Session Initialization Protocol), des requêtes de réservation de ressources RSVP, ou des requêtes DNS (Domain Name System). Le dispositif 5 de sécurisation est apte à chiffrer des données jugées confidentielles émises par le terminal émetteur 3 et à transmettre ces données, une fois chiffrées, vers le réseau N3 de destination à travers le réseau N2 de transit. Par ailleurs, le dispositif 5 de sécurisation est apte à dupliquer les données jugées non confidentielles, à appliquer un filtrage sur un premier exemplaire de ces données et à transmettre ces données filtrées vers le réseau N2 de transit. Le dispositif 5 de sécurisation est également apte à chiffrer un deuxième exemplaire de ces données et à transmettre ces données chiffrées vers le réseau N3 de destination. De plus, le dispositif 5 de sécurisation est apte à recevoir toutes les données émises par le réseau N2 de transit ou le réseau N3 de destination vers le terminal émetteur 3 et à transmettre ces données au terminal émetteur 3 après un filtrage ou un déchiffrement de ces données. Plus précisément, le dispositif 5 de sécurisation est apte à déchiffrer des données chiffrées émises par le réseau N3 de destination et à transmettre les données déchiffrées au terminal émetteur 3. Par ailleurs, le dispositif 5 de sécurisation est apte à appliquer un filtrage sur des données émises en clair par le réseau N2 de transit, à bloquer ces données si elles présentent un risque pour le réseau NI de départ, et à transmettre les données filtrées au terminal 3 émetteur dans le cas contraire. Ce dispositif 5 de sécurisation sera décrit plus en détail en référence à la figure 2. Le réseau N3 de destination comprend au moins un terminal récepteur 9 et un dispositif 11 de sécurisation, relié par une liaison 13 filaire ou sans fil au terminal émetteur 3. Le terminal récepteur 9, par exemple un ordinateur, est apte à échanger des données avec le réseau N2 de transit et le réseau NI de départ par l'intermédiaire du dispositif 11 de sécurisation. Le dispositif 11 de sécurisation est installé en coupure entre le réseau N2 de transit et le réseau N3 de destination. Il est de structure et de fonctionnement identique au dispositif 5 de sécurisation du réseau NI de départ. Le réseau N2 de transit comprend notamment plusieurs routeurs R,, R2, R3, Rn, interconnectés par un maillage de liens 13, qui sont par exemple des liens filaires ou des liens radios. Par ailleurs, au moins un routeur RI est relié au dispositif 5 de sécurisation du réseau NI de départ, et au moins un routeur Rn est relié au dispositif de sécurisation du réseau N3 de destination. De manière connue, les routeurs RI, R2, R3, Rn sont aptes à faire transiter des données entre les dispositifs 5, 11 de sécurisation des réseaux NI, N3 de départ et de destination, à recevoir des requêtes de signalisation et de contrôle transmises par ces dispositifs 5, 11 de sécurisation, et à répondre à ces requêtes. La figure 2 illustre, de manière simplifiée, l'architecture d'un dispositif 5 de sécurisation, placé en coupure entre le terminal émetteur 3 et le routeur RI du réseau N2 de transit, tous deux représentés de manière schématique. Le dispositif 5 de sécurisation comporte un premier module 20 d'aiguillage, un module 22 de protection cryptographique, et un premier module 24 de filtrage, ainsi qu'un deuxième module 26 d'aiguillage, un module 28 de vérification cryptographique et un deuxième module 30 de filtrage. Le dispositif 5 comporte une première entrée 5a reliée au terminal émetteur 3 par le lien 7, une deuxième entrée 5b reliée au routeur RI, une première sortie 5c et une deuxième sortie 5d reliées au terminal émetteur 3 par le lien 7, une troisième sortie 5e et une quatrième sortie 5f reliées au routeur R1. Le premier module 20 d'aiguillage comprend une entrée 20a et deux sorties 20b, 20c, son entrée 20a étant connectée à la première entrée 5a du dispositif 5. Le deuxième module 26 d'aiguillage comprend une entrée 26a et deux sorties 26b, 26c, son entrée 26a étant connectée à la deuxième entrée 5b du dispositif 5. Le module 22 de protection cryptographique comprend une entrée 22a, connectée à la première sortie 20b du premier module 20 d'aiguillage, et une sortie 22b, connectée à la troisième sortie 5e du dispositif 5. Le module 28 de vérification cryptographique comprend une entrée 28a, connectée à la première sortie 26b du deuxième module 26 d'aiguillage, et une sortie 28b, connectée a la première sortie 5c du dispositif 5. Le premier module 24 de filtrage comprend une entrée 24a, connectée à la deuxième sortie 20c du premier module d'aiguillage, et deux sorties 24b, 24c, sa première sortie 24b étant connectée a la quatrième sortie 5f du dispositif 5. Le deuxième module 30 de filtrage comprend une première entrée 30a, connectée à la deuxième sortie 26c du deuxième module d'aiguillage, une deuxième entrée 30b, connectée à la deuxième sortie du premier module 24 de filtrage, et une sortie 30c, connectée a la deuxième sortie 5d du dispositif 5. Le premier module 20 d'aiguillage est apte à recevoir des données émises par le terminal émetteur 3 à destination du terminal récepteur 9, et à analyser ces données pour déterminer si celles-ci doivent également être transmises à destination du réseau N2. Par exemple, le premier module 20 d'aiguillage est apte à analyser les métadonnées associées à ces données par le protocole de transport utilisé, et à déterminer à partir de ces métadonnées la nature des données émises par le terminal émetteur 3. Ces métadonnées sont par exemple les métadonnées du protocole IP relatives à la couche 3 du modèle OSI (« Open System Interconnection ») comprenant les adresses IP, les numéros de protocole des terminaux émetteur et récepteur et les ports de communication employés. En effet, certaines adresses IP et/ou numéros de ports de communication sont associés à des services ou à des types de flux, par exemple des flux de signalisation, autorisés à transiter au travers du réseau N2 de transit. D'autres types de flux sont dédiés à des transferts d'informations confidentielles, donc nécessitant une protection cryptographique systématique. Par ailleurs, le premier module 20 d'aiguillage est apte à dupliquer les données devant être transmises à la fois à destination du réseau N2 et du terminal récepteur 9, à transmettre un premier exemplaire de ces données au premier module 24 de filtrage, et à transmettre un deuxième exemplaire de ces données au module 22 de chiffrement. Le premier module 20 d'aiguillage est apte à transmettre les données au module 22 de protection cryptographique si celles-ci doivent être transmises uniquement à destination du réseau N3. Le module 22 de protection cryptographique comprend des moyens pour analyser des données transmises par le premier module 20 d'aiguillage, suivant une politique de sécurité prédéfinie, pour déterminer si ces données sont autorisées à être transmises au réseau N3 de destination et quel type de protection cryptographique doit être appliqué, en fonction du niveau de confidentialité de ces données. Les mécanismes IPsec sont un exemple de protection cryptographique applicable. Le module 22 de protection cryptographique comprend également des moyens de protection cryptographique des données autorisées à être transmises au réseau N3 de destination, suivant un type de protection cryptographique déterminé, et pour transmettre des données protégées, par exemple chiffrées, vers le réseau N3 de destination, à travers le réseau N2. Le module 22 de protection cryptographique est en outre apte à bloquer des données non autorisées à être transmises au réseau N3 de destination. Le premier module 24 de filtrage est apte à recevoir des données transmises par le premier module 20 d'aiguillage, à déterminer la nature de ces données, à appliquer plusieurs filtres à ces données, en fonction de la nature de ces données, notamment un filtre d'analyse syntaxique, un filtre d'analyse sémantique et un filtre de substitution, à transmettre ces données, après filtrage, vers le réseau N2 de transit, ou à bloquer la transmission de ces données si les filtres d'analyse syntaxique, ou d'analyse sémantique détectent une anomalie. Le premier module 24 de filtrage comprend pour cela une base de données de filtres, chaque filtre correspondant à un type de données à contrôler. Un filtre est formé, par exemple, d'un ensemble de paramètres et/ou de composants logiciels. Notamment, la base de données comprend un filtre pour contrôler les demandes de réservation de ressources du protocole RSVP. Les filtres d'analyse syntaxique, d'analyse sémantique et de substitution sont aptes à parer la création d'un canal de communication caché. En particulier, le filtre d'analyse syntaxique est apte à vérifier que les données à transmettre respectent le format défini dans les standards et normes du protocole utilisé, et qu'aucun champ de ces données n'est détourné de son objet. Notamment, le filtre d'analyse syntaxique est apte à détecter des anomalies dans les valeurs des champs, qui pourraient cacher une fuite de données. Le filtre d'analyse sémantique est apte à vérifier l'automate des états possibles pour un protocole donné, et la cohérence des enchaînements de ces états, et à détecter un éventuel sens caché dissimulé dans une requête. Par exemple, le filtre d'analyse sémantique est apte à interdire l'émission de données correspondant à un état intermédiaire du protocole utilisé si les données correspondant aux états précédents n'ont pas été transmises. De plus, le filtre d'analyse sémantique est apte à extraire des données à transmettre un contexte de connexion qui leur est associé, à sauvegarder ce contexte et à le transmettre au second module 30 de filtrage. Le filtre de substitution est apte à remplacer des informations sensibles contenues dans les données à transmettre, d'un niveau de sécurité incompatible avec le niveau de sécurité du réseau N2 de transit, par des informations d'un niveau de sécurité compatible avec le réseau N2, de manière à diminuer le risque de fuite d'information du réseau N1 vers le réseau N2, et à transmettre ces informations sensibles substituées au second module 30 de filtrage. En effet, ces données peuvent contenir des informations considérées comme sensibles, qui ne doivent pas être communiquées au réseau N2, par exemple les adresses IP des terminaux émetteur et récepteur, les numéros de téléphone des ces terminaux s'il s'agit de téléphones, ou toute autre information relative à l'identité de l'émetteur et du récepteur. Le filtre de substitution est ainsi apte à substituer les adresses IP des terminaux émetteur 3 et récepteur 9 par les adresses IP respectives des dispositifs 5 et 11 de sécurisation. Le deuxième module 26 d'aiguillage est apte à recevoir des données transmises par routeur R1 à destination du réseau NI, par exemple du terminal émetteur 3. Ces données sont par exemple des données chiffrées émises par le terminal récepteur 9, via le dispositif 11 de sécurisation, ou des données non chiffrées émises par le réseau N2. Le deuxième module 26 d'aiguillage est ainsi apte à aiguiller les données protégées cryptographiquement vers le module 28 de vérification cryptographique, et les données non protégées vers le deuxième module 30 de filtrage. Le module 28 de vérification cryptographique est apte à appliquer un traitement cryptographique, suivant les données transmises par le deuxième module 26 d'aiguillage, et à transmettre ces données, une fois déchiffrées, vers le terminal émetteur 9. Le deuxième module 30 de filtrage est apte à recevoir des données transmises par le deuxième module 26 d'aiguillage, à déterminer la nature de ces données, à appliquer plusieurs filtres à ces données, en fonction de leur nature, notamment un filtre d'analyse syntaxique, un filtre d'analyse sémantique et un filtre de transposition, à transmettre ces données, après filtrage, vers le terminal émetteur 9, ou à bloquer la transmission de ces données si les filtres d'analyse syntaxique ou d'analyse sémantique détectent une anomalie. Par ailleurs, le deuxième module 30 de filtrage est apte à recevoir des contextes de connexion transmis par le premier module 24 de filtrage et à les sauvegarder. Le deuxième module 30 de filtrage comprend également une base de données de filtres, chaque filtre correspondant à un type de données à contrôler. Le filtre d'analyse syntaxique est similaire au filtre d'analyse syntaxique du premier module 24 de filtrage. Le filtre d'analyse sémantique est apte à comparer le contexte de connexion des données à transmettre à un ou plusieurs contextes de connexion sauvegardés et à bloquer la transmission de ces données si ces contextes sont incohérents, c'est-à-dire si ces données ne correspondent pas à une réponse à une requête émise par le terminal émetteur 3. Le filtre d'analyse sémantique est donc apte à empêcher la transmission au terminal émetteur 3, donc sur le réseau N1, de requêtes à l'initiative du réseau N2. Le filtre de transposition est apte à introduire dans les données à transmettre les informations sensibles remplacées par le filtre de substitution du premier module 24 de filtrage, par exemple les adresses IP du terminal émetteur 3 et du terminal récepteur 9, de telle sorte que ces données puissent par la suite être transmises jusqu'au terminal émetteur 3. Le dispositif 5 de sécurisation est préférablement installé dans un espace contrôlé, par exemple dans une enceinte du réseau NI, afin de protéger physiquement ses entrées et sorties contre des attaquants potentiels. Avantageusement, le dispositif 5 de sécurisation est physiquement blindé, notamment, pour éviter les attaques par canaux auxiliaires, via notamment l'analyse du courant électrique consommé par le dispositif ou le rayonnement électromagnétique émis par le dispositif. On a représenté sur la figure 3 les étapes mises en oeuvre par le dispositif 5 de sécurisation lorsqu'il reçoit des données D émises par le terminal émetteur 3 à destination du terminal récepteur 9, les données D étant émises suivant un protocole donné P. Les données D émises par le terminal émetteur 3 sont reçues par le premier module 20 d'aiguillage. Dans une étape 40 d'aiguillage, celui-ci analyse les données D pour déterminer si elles sont à émettre ou non à destination du réseau N2. Si ces données D doivent être transmises uniquement vers le réseau N3, le premier module 20 d'aiguillage les envoie vers le module 22 de protection cryptographique. Lors d'une étape 42 de chiffrement, le module 22 de protection cryptographique chiffre les données D, puis transmet ces données chiffrées lors d'une étape 44 vers le réseau N3, à travers le réseau N2. Si les données D doivent être émises vers le réseau N2 et le réseau N3, dans une étape 46 de duplication, le premier module 20 d'aiguillage duplique les données D, envoie un premier exemplaire D, de ces données vers le module 22 de protection cryptographique et un deuxième exemplaire D2 vers le premier module 24 de filtrage. Par exemple, une requête émise par un service de réservation de ressources depuis le terminal émetteur 3 à destination d'équipement relais intermédiaires, dont certains sont situés sur le réseau N2, est orientée vers le premier module 24 de filtrage avant d'être transmise aux équipements du réseau N2. Cette même requête est aussi orientée vers le module 22 de chiffrement afin qu'elle puisse être transmise, de façon sécurisée, au réseau distant N3 de niveau de sécurité supérieur à N2. Cet exemple peut, bien entendu, être étendu à une multitude de services. Les données DI sont alors chiffrées et envoyées vers le réseau N3 suivant les étapes 42 et 44. Parallèlement, les données D2 sont reçues par le premier module 24 de filtrage, qui applique, lors d'une première étape 48 de filtrage, plusieurs filtres à ces données, notamment un filtre d'analyse syntaxique, un filtre d'analyse sémantique et un filtre de substitution, tels que décrits en référence à la figure 2. Notamment, lors d'une étape 50 d'analyse syntaxique, le premier module 24 de filtrage vérifie que les données D2 respectent le format défini dans les standards et normes du protocole P, et qu'aucun champ de ces données D2 n'est détourné de son objet. Par ailleurs, lors d'une étape 52 d'analyse sémantique, le premier module 24 de filtrage vérifie l'automate des états possibles pour le protocole P, et la cohérence des enchaînements de ces états, et détecte un éventuel sens caché dissimulé dans ces données. De plus, lors de l'étape 52, le premier module 24 de filtrage extrait des données D2 le contexte de connexion qui leur est associé, sauvegarde ce contexte et le transmet au second module 30 de filtrage. Puis, lors d'une étape 54 de substitution, le premier module 24 de filtrage remplace les informations sensibles contenues dans les données D2, d'un niveau de sécurité incompatible avec le niveau de sécurité du réseau N2, par des informations d'un niveau de sécurité compatible avec le réseau N2. Le premier module 24 de filtrage transmet les informations sensibles substituées au second module 30 de filtrage. Si les filtres d'analyse syntaxique ou d'analyse sémantique détectent une anomalie, les données sont bloquées en 56 et non transmises vers le réseau N2. Si aucune anomalie n'est détectée, le premier module de filtrage transmet lors d'une étape 58 les données obtenues après le filtrage 48 vers le réseau N2. On a par ailleurs représenté sur la figure 4 les étapes mises en oeuvre par le dispositif 5 de sécurisation lorsqu'il reçoit des données D' émises par le terminal récepteur 9 ou le réseau N2 à destination du terminal émetteur 3, à la suite d'une émission de données telle que décrite en référence à la figure 3. Les données D' sont reçues par le deuxième module 30 d'aiguillage. Dans une étape 60 d'aiguillage, le deuxième module 30 d'aiguillage transmet les données D' au module 28 de vérification cryptographique si elles sont protégées cryptographiquement, et au deuxième module 30 de filtrage si elles ne le sont pas. Si les données D' sont protégées cryptographiquement, lors d'une étape 62 de déchiffrage, le module 28 de vérification cryptographique applique un traitement de vérification cryptographique (par exemple, un déchiffrement) sur les données D'. Puis, dans une étape 64, il transmet les données résultantes du traitement au terminal émetteur 3. Si les données D' ne sont pas protégées cryptographiquement, le deuxième module 30 de filtrage applique sur ces données, lors d'une deuxième étape 66 de filtrage, un filtre d'analyse syntaxique, un filtre d'analyse sémantique et un filtre de transposition. Notamment, lors d'une étape 68 d'analyse syntaxique, le deuxième module 30 de filtrage vérifie que les données D' respectent le format défini dans les standards et normes du protocole P, et qu'aucun champ de ces données D' n'est détourné de son objet. Lors d'une étape 70 d'analyse sémantique, le deuxième module 30 de filtrage compare le contexte de connexion des données D' au contexte de connexion transmis par le premier module 24 de filtrage lors de l'étape 52. Si une anomalie est détectée lors des étapes 68 ou 70, par exemple si le contexte de connexion des données D' ne correspond à aucun contexte de connexion, le deuxième module 30 de filtrage bloque en 72 la transmission des données D'. Si aucune anomalie n'est détectée, lors d'une étape 74 de transposition, le deuxième module 30 de filtrage réintroduit dans les données D' les informations sensibles remplacées par le premier module 24 de filtrage lors de l'étape 54, par exemple les adresses IP du terminal émetteur 3 et du terminal récepteur 9. Puis, lors d'une étape 76, le deuxième module 30 de filtrage transmet les données filtrées au terminal émetteur 3. La figure 5 est un schéma illustrant un exemple de mise en oeuvre du procédé selon l'invention, lors de l'initiation d'une communication par réservation de ressources entre le terminal émetteur 3 du réseau N1 et le terminal récepteur 9 du réseau N3, puis lors de la transmission des données de cette communication entre les terminaux émetteur 3 et récepteur 9. Les routeurs R,, R2, R3, Rn du réseau N2 de transit ne sont pas représentés sur cette figure. Pour initier cette communication, par exemple un échange de données multimédia avec le terminal récepteur 9, le terminal émetteur 3 émet un message RSVP M, demandant une réservation de ressources entre le terminal émetteur 3 et le terminal récepteur 9. Le message RSVP M doit donc être transmis à la fois sur le réseau N2, entre les dispositifs 5 et 11 de sécurité, de manière à réserver les ressources nécessaires entre les routeurs du réseau N2, et sur le réseau N3, pour réserver les ressources nécessaires entre le dispositif 11 de sécurité et le terminal récepteur 9. Ce message RSVP M, généralement appelé « Path », est envoyé par le terminal émetteur 3 pour établir la liste des routeurs du chemin qui sera suivi par les données de la communication. Il comprend un en-tête, comprenant notamment un champ indiquant qu'il s'agit d'un message de type « Path », et plusieurs objets indiquant l'adresse IP du terminal émetteur 3, notée IP3, l'adresse IP du terminal récepteur 9, notée IP9, les numéros de port des terminaux émetteur 3 et récepteur 9, notés respectivement P3 et P9, ainsi que la quantité Q de ressources à réserver. Le message M peut ainsi être écrit sous la forme M = (Path, IP3, IP9, P3, P9, Q). Le message M émis par le terminal émetteur 3 est transmis au dispositif 5 de sécurisation, et plus précisément au premier module 20 d'aiguillage. Celui-ci analyse le message M et détermine qu'il s'agit d'un flux de signalisation qui doit être transmis au réseau N2. Le premier module 20 d'aiguillage duplique le message M, et transmet un premier un premier exemplaire de ce message au premier module 24 de filtrage et un deuxième exemplaire de ce message au module 22 de protection cryptographique. Après réception du message M, le premier module 24 de filtrage détermine la nature de ce message, dans le cas présent détecte qu'il s'agit d'un message de réservation, et applique les filtres d'analyse syntaxique et sémantique de sa base de données adaptés aux messages de réservation. Le filtre d'analyse syntaxique vérifie ainsi que le message M respecte le format défini dans les standards et normes du protocole RSVP utilisé. Par ailleurs, le filtre d'analyse sémantique détermine le contexte de connexion du message M, notamment le fait qu'il s'agisse d'une requête de réservation de type « Path », et transmet ce contexte de connexion au second module 30 de filtrage. Le premier module 24 de filtrage applique ensuite au message M un filtre de substitution, qui remplace notamment, dans le message M, les adresses IP3 et IP9 des terminaux émetteur 3 et récepteur 9 par les adresse IP des dispositifs de sécurisation 5 et 11, notés IP5 et IP11. A l'issue de ce filtrage, le premier module 24 de filtrage transmet un message filtré M = (Path, IP5, IP11, P3, P9, Q) vers le réseau N2 de transit. Parallèlement, après réception du message M, le module 22 de protection cryptographique chiffre ce message, par exemple suivant des mécanismes cryptographiques IPsec, et transmet le message chiffré M , de la forme IV/ = f (Path, IP3, 1P9, P3, P9, Q), où f désigne une fonction de cryptage, vers le réseau N3 de destination, à travers le réseau N2 de transit. Le message filtré M ne contient aucune information sensible relative à l'identité des terminaux émetteur 3 et récepteur 9, de telle sorte que ces informations ne circulent pas en clair sur le réseau N2. De plus, puisque ce message filtré M ne comprend que les adresses IP5 et IP~1 des dispositifs 5 et Il de sécurisation, il est seulement transmis sur le réseau N2 entre ces dispositifs 5 et Il, et n'est à aucun moment transmis dans le réseau N3. Le message filtré M est donc une demande de réservation de ressources entre les dispositifs 5 et 11 de sécurisation. II est transmis sur le réseau N2 via au moins certains des routeurs R,, R2, R3, Rn, jusqu'au dispositif 11 de sécurisation, et la réservation des ressources demandées est effectuée sur le réseau N2. Il n'est donc jamais transmis sur le réseau N3. En cas d'échec de la réservation, le réseau N2, par exemple l'un des routeurs du réseau N2, émet vers le dispositif 5 de sécurisation un message d'erreur E= (ErrRes, IP5, IP11, P3, P9, Q), indiquant que les ressources demandées n'ont pas pu être réservées entre les dispositifs 5 et 11 de sécurisation. Le message E est reçu par le deuxième module 26 d'aiguillage, qui le transmet vers le deuxième module 30 de filtrage puisque ce message E n'est pas chiffré. Le deuxième module 30 de filtrage analyse alors le message E pour contrer toute tentative de création d'un canal de communication caché et d'intrusion sur le réseau NI par le réseau N2. Notamment, le deuxième module 20 de filtrage applique un filtre sémantique sur le message E et vérifie que son contexte de connexion correspond bien à un contexte de connexion sauvegardé. Dans le cas présent, le message E étant effectivement une réponse à une requête envoyée par le dispositif 5 de sécurisation, il est autorisé à être transmis vers le terminal émetteur 3. Avant cette transmission, le deuxième module 20 de filtrage applique un filtre de transposition au message E, de manière à réintroduire dans ce message les adresses IP3 et IP9 des terminaux émetteur 3 et récepteur 9. Le deuxième module 20 de filtrage transmet alors un premier message de confirmation filtré E = (ErrRes, IP3, IP9, P3, P9, Q) vers le terminal émetteur 3, qui reçoit donc le message d'erreur indiquant un échec de la réservation. Parallèlement, le message chiffré Û = f (Path, IP3, IP9, P3, P9, Q) est transmis à travers le réseau N2 vers le réseau N3. Ce message Û est reçu par le module d'aiguillage du dispositif 11 de sécurisation, qui le transmet vers le module de vérification cryptographique de ce dispositif. Le message chiffré Û est alors déchiffré, et le message déchiffré M transmis sur le réseau N3 jusqu'au terminal récepteur 9. Les ressources nécessaires sont alors réservées entre le dispositif 11 et le terminal récepteur 9. Si le terminal émetteur 3 ne reçoit aucun message d'erreur indiquant un échec lors de la réservation de ressources, il émet alors les données DM pour lesquelles les ressources ont été réservées. Ces données DM sont reçues par le dispositif 5 de sécurisation, chiffrées car il s'agit de données confidentielles non autorisées à être transmises à destination du réseau N2, puis les données chiffrées DÛ = f(DM) sont transmises à travers le réseau N2 vers le dispositif 11 de sécurisation. Le dispositif 11 déchiffre alors ces données, puis transmet les données déchiffrées DM vers le terminal récepteur 9. On comprend de la description qui précède comment le procédé et le dispositif selon l'invention permettent d'améliorer la sécurité de réseaux sécurisés communiquant à travers un réseau de sécurité plus faible, tout en assurant une interopérabilité entre ces réseaux. Notamment, la vérification du contexte de connexion associé à toute donnée transmise par le réseau N2 au réseau NI ou au réseau N3 permet d'empêcher toute communication, potentiellement dangereuse, à l'initiative du réseau N2. De plus, puisque toutes les données émises par le réseau N1 vers le réseau N3 sont des données chiffrées, aucune donnée en clair n'est relayée par le réseau N2 vers le réseau N3, empêchant également une communication à l'initiative du réseau N2 vers le réseau N3. Par ailleurs, la substitution des informations sensibles par des informations non sensibles lors de l'émission de données du réseau N1 vers le réseau N2 permet d'éviter que circulent sur le réseau N2 des informations potentiellement confidentielles. En outre, l'interopérabilité entre les réseaux NI, N2 et N3 est maintenue, puisque les données non confidentielles peuvent être émises à la fois sur le réseau N2 et le réseau N3. Le procédé selon l'invention peut donc être vu comme un procédé de protection cryptographique à interopérabilité contrôlée. Le niveau d'interopérabilité avec des réseaux à sécurité moindre est configuré selon la proportion de services autorisés à transmettre des informations au réseau N2 de sécurité moindre via l'étape de filtrage et selon le contexte d'emploi et du niveau de menaces associé. Il devra toutefois être compris que les exemples de réalisation présentés ci-dessus ne sont pas limitatifs. Notamment, selon d'autres modes de réalisation, le procédé de sécurisation est mis en oeuvre entre plus de deux réseaux sécurisés, à travers plusieurs réseaux de niveaux de sécurité plus faibles, chacun des réseaux sécurisés étant équipé d'au moins un dispositif de sécurisation selon l'invention. REVENDICATIONS1. Procédé de sécurisation d'un canal de communication bidirectionnel entre au moins un réseau (NI) de départ et un réseau (N3) de destination à travers un réseau (N2) de transit d'un niveau de sécurité plus faible que les réseaux (NI, N3) de départ et de destination, comprenant les étapes suivantes : - lors d'une transmission d'au moins un type de premières données du réseau (NI) de départ vers le réseau (N2) de transit et vers le réseau (N3) de destination au travers du réseau (N2) de transit : - mise en oeuvre d'une première étape (48) de filtrage desdites premières données, comprenant une application (50, 52) d'au moins un filtre d'analyse sur lesdites premières données pour parer la création d'un canal de communication caché, - transmission (76) desdites premières données filtrées vers le réseau (N2) de transit, ledit procédé étant caractérisé en ce qu'il comprend en outre, lors de la transmission desdites premières données du réseau (NI) de départ vers le réseau (N2) de transit et vers le réseau (N3) de destination, les étapes suivantes : - duplication (46) desdites premières données, - protection cryptographique (42) desdites premières données dupliquées, - transmission (44) desdites premières données protégées vers le réseau (N3) de destination, et en ce que lesdites premières données filtrées ne sont pas transmises par le réseau (N2) de transit sur le réseau (N3) de destination. 2.- Procédé de sécurisation selon la revendication 1, caractérisé en ce que ladite première étape (48) de filtrage comprend une étape (54) de substitution d'informations sensibles comprises dans lesdites premières données, incompatibles avec le niveau de sécurité du réseau (N2) de transit, par des informations compatibles avec le niveau de sécurité du réseau (N2) de transit. 3.- Procédé de sécurisation selon l'une des revendications 1 ou 2, caractérisé en ce que ladite première étape (48) de filtrage comprend une sauvegarde d'un premier contexte de connexion associé auxdites premières données. 4.- Procédé de sécurisation selon la revendication 3, caractérisé en ce qu'il comprend entre outre, lors d'une transmission de deuxièmes données émises par le réseau (N2) de transit vers le réseau (NI) de départ, une deuxième étape (66) de filtrage desdites deuxièmes données, comprenant :- une comparaison d'un deuxième contexte de connexion associé auxdites deuxièmes données audit premier contexte de connexion, - si lesdits premier et deuxième contextes sont incohérents, un blocage (72) desdites deuxièmes données, - si lesdits premier et deuxième contextes sont cohérents, une application d'au moins un filtre (68, 70) d'analyse sur lesdites deuxièmes données et une transmission (76) desdites deuxièmes données filtrées vers le réseau N1. 5.- Procédé de sécurisation selon la revendication 4 prise en combinaison avec la revendication 2, caractérisé en ce que ladite deuxième étape (66) de filtrage comprend l'introduction (74) dans lesdites deuxièmes données desdites informations sensibles substituées lors de ladite étape de substitution. 6.- Dispositif (5, 11) de sécurisation d'un canal de communication bidirectionnel entre au moins un réseau (NI) de départ et un réseau (N3) de destination à travers un réseau (N2) de transit d'un niveau de sécurité plus faible que les réseaux (Ni, N3) de départ et de destination, comprenant : - une premier module (24) de filtrage, comprenant des moyens pour appliquer au moins un filtre d'analyse sur des données à transmettre du réseau (Ni) de départ vers le réseau (N2) de transit, pour parer la création d'un canal de communication caché, - un module (22) de protection cryptographique de données, apte à protéger des données à transmettre du réseau (NI) de départ vers le réseau (N3) de destination, ledit système étant caractérisé en ce qu'il comprend en outre au moins un module (20) d'aiguillage, apte à aiguiller des premières données à transmettre du réseau (NI) de départ vers le réseau (N2) de transit et vers le réseau (N3) de destination, vers ledit premier module (24) de filtrage, à dupliquer lesdites premières données, et à aiguiller lesdites premières données dupliquées vers ledit module (22) de protection cryptographique. 7.- Dispositif (5, 11) de sécurisation selon la revendication 6, caractérisé en ce que ledit premier module (24) de filtrage comprend des moyens pour substituer des informations sensibles comprises dans lesdites premières données, incompatibles avec le niveau de sécurité du réseau (N2) de transit, par des informations compatibles avec le niveau de sécurité du réseau (N2) de transit. 8.- Dispositif (5, 11) de sécurisation selon l'une des revendications 6 ou 7, caractérisé en ce que ledit premier module (24) de filtrage comprend des moyens pour sauvegarder un premier contexte de connexion associé auxdites premières données. 9.- Dispositif (5, 11) de sécurisation selon la revendication 8, caractérisé en ce qu'il comprend entre outre un deuxième module (30) de filtrage, comprenant :- des moyens pour comparer un deuxième contexte de connexion associé à des deuxièmes données émises par le réseau (N2) de transit vers le réseau (Ni) de départ audit premier contexte de connexion, - des moyens pour bloquer lesdites deuxièmes données si lesdits premier et deuxième contextes sont incohérents, - des moyens pour appliquer au moins un filtre d'analyse sur lesdites deuxièmes données et pour transmettre lesdites deuxièmes données filtrées vers le réseau (NI) de départ si lesdits premier et deuxième contextes sont cohérents. 10.- Dispositif (5, 11) de sécurisation selon la revendication 9 prise en combinaison avec la revendication 7, caractérisé en ce que ledit deuxième module (30) de filtrage comprend des moyens pour introduire dans lesdites deuxièmes données lesdites informations sensibles substituées par ledit premier module (24) de filtrage.