Brevet FR2990538A1 — publié le 20131115

La présente invention concerne le matériel d'un serveur applicatif anti-intrusion permettant, opportunément programmé, d'assurer une protection inviolable contre toute intrusion, infection ou manipulation (par virus, vers, chevaux de Troie, espiogiciels, logiciels de prise en main d'ordinateurs distants, etc.) au niveau de tout serveur informatique offrant un service en réseau selon un protocole client/serveur (requête/ré- ponse). Les dispositifs anti-intrusion utilisés à l'heure actuelle sont, essentiellement, de trois types : an- ti-virus, anti-espiogiciels (appelés aussi anti-spyware) et pare-feux (appelés aussi coupe-feux, garde-barrières, firewall, watchdog, etc.). A leur sujet, il existe sur Internet une très vaste documentation, reflétant l'état actuel de la tech- nique. Essentiellement complémentaires, ces dispositifs anti-intrusion sont toujours constitués par des logiciels (éventuellement installés, dans le seul cas des pare-feux, sur un matériel dédié) reposant tous sur le principe d'analyser les données ayant vocation à rentrer dans le serveur à protéger, dans le but déclaré d'empêcher les virus et autres codes malveillants (globalement appelés aussi malwares) de pénétrer et infecter la cible, et ce, à l'aide de filtres logiciels n'interdisant et ne pouvant interdire l'accès qu'aux seuls agents infec- tieux dont la signature est connue (anti-virus et anti-espiogiciels) ou ne laissant passer que les données répondant aux critères de filtrage préétablis (firewall). Dans ces conditions, ces dispositifs ne peuvent opposer que des barrières nécessairement impar- faites aux virus et autres malwares véhiculés par le réseau : les serveurs et les banques de données à protéger demeurant toujours exposés à un risque d'intrusion. En effet, compte tenu : que virus, vers, spyware, chevaux de Troie, etc. se renouvellent sans cesse et que, dès lors, leur signature n'est pas toujours, voire n'est jamais, préalablement connue, que les attaques qu'un serveur peut subir dépendent de l'imagination de l'attaquant et que, dès lors, ces attaques, ainsi que les défenses qu'un pare-feu peut leur opposer, s'inscrivent dans une logique de course poursuite où l'attaquant a toujours une longueur d'avance, qu'une telle mécanique entraîne une multiplication des règles de filtrage qui, loin de garantir l'inviolabilité du système à protéger, témoigne plutôt de leur faiblesse à définitivement cerner l'attaquant, qu'un serveur fait souvent appel à des logiciels complexes, voire très complexes, ne permettant pas tou- jours de formellement en exclure toute faille, notamment dans le cas des systèmes les plus structurés (tels que, par exemple, les sites des grandes entreprises, des banques, des administrations, des universités, des organismes de recherche, etc.), il est toujours possible (et, en fait, largement avéré) que ces barrières logicielles, avec leurs milliers de règles dont il devient de plus en plus problématique d'assurer la cohérence, ne soient pas toujours en mesure d'in- terdire l'accès aux agents infectieux, ni d'empêcher un pirate de prendre le contrôle d'un serveur. Dans ce cadre, la finalité de la présente invention est de proposer un dispositif permettant de faire table rase de tous les inconvénients ci-dessus et d'assurer donc à tout serveur informatique offrant un service en réseau selon un protocole client/serveur une protection inviolable contre toute intrusion, infection ou manipulation par un quelconque logiciel malveillant A installer en amont du serveur informatique à protéger, le dispositif selon l'invention est cons- titué de 2 serveurs interconnectés dont le premier, à relier au réseau : comporte une connexion réseau exploitant le même protocole de communication (port, adresse, protocole d'échange, etc.) que celui du serveur à protéger, ne dispose, en tant que mémoires de stockage (y compris la puce contenant le BIOS), que de mémoires en seule lecture, à savoir, par exemple, des mémoires ROM (Read Only Memory), des mémoires protégées en écriture par une glissière ou un cavalier à déplacer ou n'importe quel autre type de mémoire permettant d'interdire toute opération d'écriture et/ou d'effacement, et cela, dans le but d'assurer l'inaltérabilité de l'ensemble de son appareil logiciel (BIOS, système d'exploitation, logiciel applicatif et données de gestion) et le mettre ainsi à l'abri de toute atteinte, est équipé d'un système d'exploitation ne comportant que les seuls modules strictement indispensables à son fonctionnement, à l'exclusion formelle, notamment, de tout interpréteur de programme et de commande, sauf l'interpréteur de la commande d'amorçage (destinée à assurer son démarrage et son initialisation) et l'interpréteur de la commande de lecture en mode texte (destinée à permettre la lecture et l'analyse des requêtes des clients), et ce, dans le double but d'en permettre la réinitialisation la plus rapide et d'interdire l'exécution de tout éventuel malware qui s'y serait infiltré, est relié au deuxième serveur à l'aide d'une connexion exploitant un protocole de communication autre que celui de la connexion réseau (différent, donc, du protocole de communication exploité lors des communications avec le serveur à protéger), et dont le deuxième, à relier au serveur informatique à protéger, est un serveur standard du type que l'on re- trouve normalement dans le commerce, équipé : d'un système d'exploitation compatible avec le système d'exploitation du premier serveur, d'une carte d'entrée/sortie (telle que, par exemple, une carte I/O munie de relais en sortie) installée sur sa carte mère et connectée à la fonction d'alimentation (power switch) de la carte mère du premier serveur. Ceci étant et pour autant que l'on sache, il n'existe aucun dispositif semblable, un tant soit peu, au dispositif électronique anti-intrusion selon l'invention, les seuls matériels pouvant lui être rapprochés mais uniquement au niveau d'un arrière-plan technologique général étant ceux décrits dans les 2 brevets suivants : - US 2010/192216 Al (Komatsu Satoshi - Japan) publié le 29 juillet 2010, - US 7 549 167 B1 (Huang Yih et al. - US) publié le 16 juin 2009. Afin de mieux illustrer la manière dont le dispositif selon l'invention va fonctionner, il convient d'indiquer, ne serait-ce que sommairement, les caractéristiques et/ou fonctions essentielles des logiciels ap- plicatifs à installer dans les 2 serveurs dont il est constitué. Concernant le premier serveur, la caractéristique essentielle de son applicatif est qu'il ne devra comporter que les seules fonctions strictement nécessaires : 1. au traitement des requêtes/réponses, soit, essentiellement, réception de la requête, analyse de conformité de chacun de ses champs par rapport au protocole applicable selon le réseau exploité, rejet ou acceptation de la requête, respectivement en cas de non-conformité ou de conformité, transmission de la requête, en cas de conformité, au deuxième serveur, réception de la réponse de ce dernier et transmission de celle-ci au client, 2. à la sécurisation des communications entre les 2 serveurs, le transfert de tout paquet de données du pre- mier au deuxième serveur devant être authentifié à l'aide d'une signature d'un type quelconque (tel que, par exemple, des mots de passe à usage unique, des mots de passe à utiliser en boucle, c'est-à-dire du type que les anglophones appellent « rolling code », des mots de passe calculés à l'aide d'un algorithme synchronisé, intégré à l'applicatif des 2 serveurs, etc.), permettant d'en assurer la reconnaissance automatique certaine par le deuxième serveur dans de bonnes conditions de sécurité, et ce, dans le but de permettre la réinitialisation la plus rapide possible du premier serveur (cf. page 2, ligne 15 et s.). A l'égard de la sécurisation des communications entre les 2 serveurs, il convient de préciser que l'emploi d'un protocole de communication autre que celui utilisé lors des communications avec le réseau (cf. page 2, ligne 21 et s.) leur assure déjà une protection d'un certain degré, du simple fait que le port, l'adresse et le protocole d'échange exploités sont inconnus à l'extérieur du système et que, dès lors, tout éventuel mal- ware ne serait pas en mesure de trouver (ou facilement trouver) l'issue vers le deuxième serveur. Concernant le deuxième serveur, les fonctions essentielles que son logiciel applicatif doit remplir sont les suivantes : vérification de l'authenticité de tout paquet de données reçu du premier serveur, en rejetant tout envoi non accompagné d'une signature ou dont la signature serait erronée, traitement des requêtes/réponses, soit, essentiellement, réception de la requête, réitération de l'analyse de conformité de chacun de ses champs par rapport au protocole applicable selon le réseau exploité, rejet ou acceptation de la requête, respectivement en cas de non-conformité ou de conformité, transmission de la requête au serveur à protéger, réception de la réponse de ce dernier et transmission de celle-ci au premier serveur, déclenchement, par voie logicielle, d'une réinitialisation à chaud du premier serveur à des intervalles réguliers d'une durée fixe ou paramétrable préétablie, déclenchement (à l'aide de la carte d'entrée/sortie dont le deuxième serveur est équipé : cf. page 2, ligne 27 et s.) d'une réinitialisation à froid du premier serveur (via le power switch) en présence d'une quelcon- que irrégularité, à savoir soit un silence du premier serveur dépassant une durée fixe ou paramétrable pré- établie, soit un nombre de requêtes successives protocolairement irrecevables dépassant une limite fixe ou paramétrable préétablie, soit une requête non accompagnée d'une signature ou dont la signature est erronée. Aux traitements ci-dessus, il convient d'ajouter : la stérilisation, en cas de conformité, de tout éventuel champ de la requête non soumis à une quelconque contrainte protocolaire (tel que, par exemple, le champ « content » des requêtes http effectuées selon la méthode POST) et susceptible donc de véhiculer d'éventuels agents intrusifs, la neutralisation de tous fichiers joints à la requête (tels que, par exemple, les fichiers accompagnant les couniels dans un service de messagerie), ces derniers pouvant être infectés. Bien évidemment, les 2 opérations ci-dessus pourraient aussi bien se faire au niveau du premier serveur que du deuxième. Néanmoins, il convient de les exécuter au niveau du deuxième serveur car le choix du premier irait au détriment de ses délais de réinitialisation, son applicatif devenant forcément plus lourd, du fait qu'il devrait inclure, en plus, ces fonctions. Concernant la manière dont ces fonctions pourraient être réalisées, il suffit de dire : en ce qui est de la stérilisation, qu'elle pourrait se faire à l'aide d'un mécanisme permettant de 'casser' la syntaxe de tout éventuel code malveillant, et ce, par exemple, en encapsulant un ou plusieurs caractères incontournables de tout code informatique quelconque (tels que, par exemple, les signes =, $, &, ;, etc., quel que soit leur encodage) entre des caractères convenus (tels que, par exemple, des guillemets simples anglo-saxons), précédés d'un caractère d'échappement (tel que, par exemple, le caractère « escape ») : ce qui, tout en préservant le caractère informatif des données concernées, permettrait de revenir aux données d'origine à l'aide d'un simple utilitaire, mais avec l'avantage de pouvoir le faire en pleine connaissance de cause, c'est-à-dire après les avoir examinées, sans risquer de se faire infecter ; en ce qui est de la neutralisation, qu'elle pourrait se faire, par exemple, en convertissant les fichiers dans un autre format adéquat, à l'aide d'un ou plusieurs logiciels de conversion de fichiers. Dans ces conditions, compte tenu : 1. que tout éventuel code malveillant qui aurait réussi à s'infiltrer dans le premier serveur, ne saurait aucunement endommager un quelconque élément de l'appareil logiciel de ce dernier (cf. page 2, ligne 9 et s.), 2. que le transfert de tout paquet de données du premier au deuxième serveur est soumis à authentification par ce dernier, 3. que, dès lors, tout agent intrusif éventuellement présent dans le premier serveur ne saurait point s'exfiltrer vers le deuxième, faute, d'une part, de pouvoir trouver (ou facilement trouver) l'issue vers ce dernier (cf. page 3, ligne 16 et s.) et, d'autre part, de pouvoir se faire 'reconnaître' par l'applicatif du premier serveur et en obtenir donc le mot de passe qui seul pourrait lui permettre de se faire accepter par le deuxième serveur (cf. page 3, ligne 9 et s.), 4. que, par suite, sauf à rester dans la plus totale inactivité, la seule action nuisible qui lui resterait possible, consisterait à endommager le contenu de la RAM du premier serveur, avec pour seuls résultats possibles soit un silence persistant de ce dernier, soit une suite de requêtes protocolairement non conformes et donc inacceptables par le deuxième serveur, soit des requêtes non accompagnées d'un mot de passe ou accompagnées d'un mot de passe erroné, 5. que, dans les 3 cas ci-dessus et, en tout état de cause, à des intervalles réguliers, le deuxième serveur dé- clenche la réinitialisation du premier, tout éventuel virus ou autre malware qui se serait infiltré dans le premier serveur serait condamné à être rapidement éliminé sans qu'il ait pu durablement endommager quoi que ce soit, ni même atteindre le deuxième serveur, ni donc, a fortiori, le serveur à protéger. Ainsi, disposant d'un premier serveur : ne comportant aucun élément pouvant être durablement endommagé, n'utilisant aucune logique de filtrage à constamment réadapter aux nouveaux virus, vers, spyware, che- vaux de Troie, etc., ni aux nouvelles méthodes d'intrusion susceptibles d'être 'inventées' par des pirates, n'offrant qu'un accès gabarié où ne passe que ce qui a le format requis par le protocole réseau utilisé, n'étant équipé d'aucun interpréteur de programme, ni non plus d'un interpréteur général de commandes, les seules commandes interprétées et interprétables étant, à l'exclusion de toute autre, la commande d'amorçage/initialisation et la commande de lecture en mode texte, comportant un BIOS, un système d'exploitation et un applicatif absolument inattaquables, car enregistrés dans des mémoires en seule lecture, en interdisant toute altération, utilisant un système d'exploitation réduit aux seules fonctions strictement indispensables à assurer ce qu'il doit faire, c'est-à-dire, essentiellement, la gestion des communications et celle de la pile des requêtes /réponses, - comportant un applicatif très 'léger' par rapport aux applicatifs normalement exploités par les serveurs, - pouvant être, de par sa configuration très allégée, très rapidement réinitialisé, et d'un deuxième serveur : - ne laissant rentrer que les paquets de données authentifiés par une signature correcte, réitérant le contrôle de conformité et rejetant toute requête dont un seul des champs n'aurait pas le format requis par le protocole utilisé, déclenchant, à des intervalles réguliers, la réinitialisation à chaud du premier serveur (cf. page 3, ligne 31) ou, en présence du moindre trouble (cf. page 3, ligne 33), la réinitialisation à froid de ce dernier (ce qui revient à effectuer un 'nettoyage' inéluctable de tout éventuel malware présent dans le premier serveur), le dispositif selon l'invention fait table rase de tous les inconvénients susmentionnés, éliminant toute possibilité quelconque d'illicitement pénétrer dans un serveur ainsi protégé. Selon un premier mode de réalisation simplifié, le dispositif électronique anti-intrusion selon l'invention est constitué de 2 serveurs interconnectés, installés en amont du serveur informatique à protéger : dont le premier est relié au réseau à l'aide d'une connexion exploitant le même protocole de communication que celui du serveur à protéger, est connecté au deuxième serveur l'aide d'un protocole de communication autre que celui du serveur à protéger, est équipé d'un système d'exploitation allégé, ne comportant notamment aucun interpréteur, sauf l'interpréteur de la commande d'amorçage/initialisation et de la com- mande de lecture en mode texte, et dont le deuxième, relié au serveur à protéger, est équipé d'un système d'exploitation compatible avec le système d'exploitation du premier serveur, est équipé d'une carte d'entrée/sortie installée sur sa carte mère et connectée à la fonction d'alimentation de la carte mère du premier serveur, déclenche la réinitialisation à froid du premier serveur suite soit à un silence de ce serveur dépassant une durée préétablie, soit à la réception d'un nombre de requêtes successives protocolairement irrecevables, dépassant une limite préétablie, soit à la réception d'une requête non signée ou erronément signée, et ce, à l'aide de sa connexion à la fonction d'alimentation de la carte mère du premier serveur. Selon ce premier mode de réalisation simplifié, la configuration des 2 serveurs du dispositif électronique anti-intrusion selon l'invention répond aux exigences les plus réduites en termes de fonctionne- ment du système. En effet, tout en assurant toujours la protection du serveur à protéger, le dispositif anti-intrusion selon ce mode de réalisation n'est pas à même de se protéger contre les dommages que d'éventuels malwares pourraient causer au premier des 2 serveurs dont il est constitué, du fait que l'appareil logiciel de celui-ci (logiciel applicatif, système d'exploitation et BIOS) est enregistré dans des mémoires non protégées et que, dès lors, en cas d'attaque et/ou d'intrusion, il pourrait ne pouvoir plus fonctionner, avec pour conséquence d'a- voir à le reconfigurer manuellement. Selon une variante du mode de réalisation 1 ci-dessus, le dispositif électronique anti-intrusion selon l'invention est caractérisé en ce que le système d'exploitation et le logiciel applicatif du premier serveur sont enregistrés dans des mémoires de stockage en seule lecture. Selon ce deuxième mode de réalisation, le système d'exploitation et le logiciel applicatif du premier serveur sont protégés contre toute altération du fait qu'ils sont enregistrés dans des mémoires de type ROM n'autorisant que la seule opération de lecture de leur contenu : ce qui apporte une meilleure garantie de continuité du service, sans que le dispositif anti-intrusion selon ce mode de réalisation soit pour autant protégé contre les dommages que d'éventuels malwares pourraient causer au BIOS du premier des 2 serveurs dont il est constitué. Selon une variante des modes de réalisation 1 et 2 ci-dessus, le dispositif électronique anti-in- trusion selon l'invention est caractérisé en ce que le BIOS du premier serveur est enregistré dans une mémoire de stockage en seule lecture. Selon ce troisième mode de réalisation, la sécurisation du premier serveur du dispositif électro- nique anti-intrusion selon l'invention peut être intégralement assurée, en évitant ainsi toute éventuelle inter- vention humaine visant à rétablir la configuration du premier serveur. Selon une variante de tous les modes de réalisation ci-dessus, le dispositif électronique anti-in- trusion selon l'invention est caractérisé en ce que le deuxième serveur déclenche une réinitialisation à chaud du premier serveur à des intervalles préétablis, et ce, en lui transmettant une commande de réinitialisation par voie logicielle. Selon ce quatrième mode de réalisation, le dispositif anti-intrusion selon l'invention lance périodiquement la réinitialisation à chaud du premier serveur, et ce, à l'aide d'une commande transmise au logiciel de ce dernier : ce qui permet de procéder à un 'nettoyage' préventif de tout éventuel malware présent dans le premier serveur, sans attendre qu'un trouble plus sérieux se manifeste (cf. page 3, ligne 33 et s.) et qu'il soit donc nécessaire de procéder à sa réinitialisation à froid. Selon une variante de tous les modes de réalisation ci-dessus, le dispositif électronique anti-in- trusion selon l'invention est caractérisé en ce que la réinitialisation à chaud du premier serveur est déclenchée est déclenchée par le logiciel du premier serveur lui-même. Selon ce cinquième mode de réalisation, le logiciel applicatif du premier serveur déclenche lui- même sa réinitialisation à chaud à des intervalles préétablis, définis, par exemple, dans l'une des mémoires du premier serveur, voire dans le logiciel lui-même. Selon une variante de tous les modes de réalisation ci-dessus, le dispositif électronique anti-in- trusion selon l'invention est caractérisé en ce que le deuxième serveur est équipé d'un système d'exploitation allégé. Selon ce sixième mode de réalisation, le deuxième serveur est lui aussi, à l'instar du premier, équipé d'un système d'exploitation allégé, c'est-à-dire réduit aux seuls modules strictement nécessaires pour l'exécution des tâches qu'il a à accomplir : ce qui permet réduire l'occupation de la RAM du deuxième serveur et d'accélérer en dernière analyse l'exécution des tâches qui sont à accomplir par ce dernier. Selon une variante de tous les modes de réalisation ci-dessus, le dispositif électronique anti-in- trusion selon l'invention est caractérisé en ce que le deuxième serveur et le serveur à protéger ne font qu'un. Selon ce septième mode de réalisation, le contenu logiciel du serveur à protéger est déporté sur le deuxième serveur du dispositif selon l'invention, et ce, en y créant, par exemple, une machine virtuelle destinée à héberger le système d'exploitation et tous les applicatifs du serveur à protéger. En agissant de la sorte, l'on éviterait, en effet, tout problème de compatibilité entre les systèmes d'exploitation et l'on permettrait au deuxième serveur du dispositif selon l'invention de simuler, lors de ses communications avec la machine virtuelle, le protocole de communication (port, adresse, protocole d'échange, etc.) du serveur à protéger. La présente invention sera mieux comprise à la lecture de la description détaillée du quatrième mode de réalisation, donnée ci-après. Destiné à constituer le support matériel d'un serveur applicatif anti-intrusion permettant de sé- curiser tout serveur informatique offrant un service sur un réseau quelconque (internet, intranet, extranet, réseaux locaux, connexions de bout en bout, etc.) selon un protocole client/serveur (http, https, ftp, ftps, rtsp, smtp, pop, protocoles propriétaires, etc.) contre tout type de code malveillant (virus, vers, chevaux de Troie, espiogiciels, logiciels de prise en main d'ordinateurs distants, etc.), le dispositif électronique selon l'inven- tion est constitué de 2 serveurs interconnectés à installer en amont du serveur à protéger, autrement dit entre ce dernier et le réseau. Les 2 serveurs du dispositif électronique anti-intrusion selon l'invention peuvent être reliés en- tre eux à l'aide d'une quelconque connexion filaire d'un type adéquat (par exemple, un câble RJ 45 reliant 2 cartes ethernet installées, chacune, dans l'un des 2 serveurs, une liaison en fibre optique, etc.), à la seule con- dition que la connexion ait un débit correspondant à celui du serveur à protéger (par exemple, 100 mégabit/s, 1 gigabit/s, 10 gigabits/s, etc.) et que les 2 serveurs disposent de systèmes d'exploitation compatibles ou rendus compatibles. A cet égard, il convient de préciser que le recours à une connexion non filaire est à proscrire du fait qu'une telle connexion peut être interceptée et n'assure donc pas la sécurité des transmissions entre les 2 serveurs, sauf à utiliser une connexion infrarouge qui présente néanmoins l'inconvénient d'être plus onéreuse et de ne pas assurer, à ce jour, des débits satisfaisants. De même, le deuxième serveur peut être relié au serveur à protéger à l'aide d'une quelconque connexion filaire d'un débit adéquat, alors que la connexion du premier serveur avec le réseau peut se faire à l'aide d'un quelconque moyen normalisé existant (connexion filaire via une carte ethernet, connexion sans fil, connexion satellite, connexion via modem, connexion adsl, etc.), ayant un débit correspondant à la bande passante du serveur à protéger. Par ailleurs, se substituant au serveur à protéger dans ses communications avec le réseau, le pre- mier serveur du dispositif selon l'invention doit nécessairement exploiter le même protocole de communication que le serveur à protéger (port, adresse, protocole d'échange, etc.). Par contre, les communications entre les 2 serveurs du dispositif selon l'invention doivent im- pérativement se faire selon un protocole autre que celui du serveur à protéger, afin de constituer ainsi (en association avec l'authentification par mot de passe de tout paquet de données transféré au deuxième serveur) une zone de confinement, autrement dit un « no man's land » où tout éventuel malware qui s'y serait infiltré se retrouverait piégé et se verrait condamné à une élimination certaine grâce au mécanisme de réinitialisation piloté par le deuxième serveur à l'aide d'une commande transmise au premier serveur soit par voie logicielle, soit via la carte d'entrée/sortie connectée à la fonction d'alimentation (power switch) de la carte mère du premier serveur. Concernant les mémoires de stockage dont doit être équipé le premier serveur du dispositif antiintrusion selon l'invention, il convient de préciser : - qu'elles incluent la mémoire affectée à la sauvegarde du BIOS (normalement, une puce intégrée en usine à la carte mère par le fabricant de cette dernière), qu'elles doivent être, physiquement, en seule lecture, car, bien que l'on puisse admettre d'y interdire l'accès en écriture ou effacement par des moyens logiciels, il serait préférable que cette condition soit remplie sur le plan matériel, en adoptant donc soit des véritables mémoires ROM, soit des mémoires protégées en écriture par une glissière ou un cavalier à déplacer (tels qu'on en trouve, par exemple, dans les disquettes de 3 pouces et demi, dans certaines mémoires flash, etc.), soit n'importe quel autre type de mémoire permettant d'interdire toute opération autre que la lecture à l'aide d'un dispositif physique. La contrainte ci-dessus vise à garantir que l'ensemble et n'importe quel élément isolé de l'appa- reil logiciel du premier serveur (à savoir BIOS, système d'exploitation, logiciel applicatif et éventuelles don- nées de gestion, c'est-à-dire, par exemple, délai de réinitialisation, mots de passe utilisés pour l'authentifica- tion des paquets de données à transférer au deuxième serveur, etc.) ne puisse pas être altéré par un quelconque éventuel agent intrusif venant du réseau. Concernant la carte d'entrée/sortie à installer sur la carte mère du deuxième serveur, il peut s'a- gir de n'importe quel type de carte d'entrée/sortie du commerce (série, USB, etc. ), prête à être reliée, à l'aide d'un relais et d'une connectique adéquate, à la fonction d'alimentation (power switch) de la carte mère du premier serveur. Enfin, concernant les communications entre le deuxième serveur et le serveur à protéger, celles- ci devront, impérativement, se faire selon le même protocole que celui exploité par le premier serveur à l'égard du réseau : ce qui signifie que le premier serveur et le serveur à protéger devront exploiter le même port (par exemple, s'agissant d'internet, le port 80), la même adresse (par exemple, s'agissant d'internet, l'adresse IP assigné au serveur à protéger) et le même protocole d'échanges (par exemple, s'agissant d'internet, le protocole TCP/IP). En dernier lieu, en ce qui concerne les autres éléments constitutifs des 2 serveurs du dispositif anti-intrusion selon l'invention (cartes mères, processeurs, mémoires vives, disques durs, blocs d'alimenta- tion, ventilateurs, boîtiers, etc.), l'homme du métier, à savoir un électronicien spécialisé en informatique, sait qu'il s'agit là de pièces standardisées qu'il peut aisément se procurer dans le commerce. Ainsi qu'il a été vu, le but de la présente invention étant de proposer une solution universelle permettant de sécuriser tout serveur informatique proposant un service quelconque en ligne selon un protocole client/serveur (tel que, par exemple, s'agissant d'internet, le service de vente d'un site web marchand, le service clients d'un site web bancaire, un service d'information d'un site web statique, un service de messa- gerie, etc., ou bien, s'agissant, par exemple, d'un intranet, un service de partage de fichiers, un service d'accès à un database, etc.), le dispositif selon l'invention se caractérise par le fait de créer une zone de confinement, autrement dit une « zone étanche » où tout éventuel intrus demeurerait captif et n'aurait d'autre issue possible que celle de se faire rapidement éliminer. Par ailleurs, il convient de noter que, ne comportant que des composants électroniques connus et faisant donc partie de l'état de la technique, le dispositif électronique anti-intrusion faisant l'objet de la présente invention est à regarder comme une combinaison nouvelle de moyens connus dont la nouveauté et l'inventivité par rapport aux dispositifs anti-intrusion actuellement existants ou dont la description est connue tient, tout particulièrement, au résultat technique qu'il permet d'atteindre, à savoir une protection inviolable contre tout type d'intrusion quelconque que le dispositif électronique anti-intrusion selon l'invention est à même d'assurer à tout serveur offrant un service en réseau selon un protocole client/serveur. La très grande simplicité du principe sur lequel repose, pour l'essentiel, la solution technique proposée, à savoir la création d'un sas de confinement permettant d'y enfermer tout éventuel intrus, sans lui laisser la moindre chance de s'enfuir ou d'endommager quoi que ce soit, et le condamnant en outre à une éli- mination tout aussi rapide que certaine, permet (sans, pour autant, grand ouvrir les portes aux pirates) de ne plus craindre leur entrée. Par ailleurs, l'extrême simplicité de ce principe, conjugué avec le fait qu'il n'existe actuelle- ment aucune machine un tant soit peu semblable au dispositif selon l'invention, témoigne aussi de l'inventivité de la solution proposée qui est fort loin de découler de manière évidente de l'état de la technique. En effet, le problème du piratage informatique ou, plus généralement, des intrusions dans des systèmes informatiques reliés en réseau existe depuis la naissance même de ces réseaux, c'est-à-dire depuis des décennies, les premiers réseaux intégrés, tels qu'aujourd'hui internet, datant du début des années '70. Dès lors, si la solution proposée avait été évidente, il y aurait eu largement le temps de la mettre au point bien avant. A cet égard, en effet, il suffit de penser, d'une part, à tous les problèmes et aux graves consé- quences économiques que les intrusions posent de plus en plus aux entreprises ou autres organismes exploitant un service en réseau (et ce, notamment, depuis l'explosion commerciale de l'internet programmée et mise en place dès la moitié des années '90) et, d'autre part, au nombre d'experts et d'entreprises multinationales qui se sont penchés et se penchent toujours sur la question aujourd'hui, sans pour autant qu'une solution efficace et définitive n'ait jamais été proposée. Pour conclure, il convient de préciser : que d'autres modules peuvent être, bien évidemment, rajoutés à l'appareil logiciel du dispositif selon l'invention afin de répondre à des besoins particuliers (tels que, par exemple, un processus de détection et si- gnalisation automatique des pannes, une couche d'authentification supplémentaire des utilisateurs, etc.), que le dispositif selon l'invention peut être rendu plus puissant et, en tout cas, redondant, afin d'assurer un service à tolérance de pannes, en l'associant à un deuxième, voire plusieurs autres dispositifs, que, dans le cas ci-dessus, la réinitialisation des premiers serveurs des différents dispositifs selon l'invention pourrait se faire alternativement, en éliminant ainsi toute interruption du service, ne serait-ce que minime. REVENDICATIONS1) Dispositif électronique anti-intrusion visant à neutraliser tout code malveillant s'attaquant à tout serveur informatique offrant un service sur un réseau quelconque selon un protocole client/serveur, ledit dispositif étant constitué de 2 serveurs interconnectés, installés en amont du serveur informatique à protéger : dont le premier est relié au réseau à l'aide d'une connexion exploitant le même protocole de communica- tion que celui du serveur à protéger, alors que sa connexion avec le deuxième serveur exploite un protocole de communication autre que celui du serveur à protéger, et dont le deuxième, relié au serveur à protéger, est équipé d'un système d'exploitation compatible avec le système d'exploitation du premier serveur, caractérisé en ce que le premier serveur est équipé d'un système d'exploitation allégé, ne comportant notam- ment aucun interpréteur, sauf l'interpréteur de la commande d'amorçage et de la commande de lecture en mode texte, et en ce que le deuxième serveur : - est équipé d'une carte d'entrée/sortie installée sur sa carte mère et connectée à la fonction d'alimentation de la carte mère du premier serveur, déclenche la réinitialisation à froid du premier serveur suite soit à un silence de ce serveur dépassant une durée préétablie, soit à la réception d'un nombre de requêtes successives protocolairement irrecevables, dépassant une limite préétablie, soit à la réception d'une requête non signée ou erronément signée, et ce, à l'aide de sa connexion à la fonction d'alimentation de la carte mère du premier serveur. 2) Dispositif électronique anti-intrusion selon la revendication 1 ci-dessus caractérisé en ce que le système d'exploitation et le logiciel applicatif du premier serveur sont enregistrés dans des mémoires de stockage en seule lecture. 3) Dispositif électronique anti-intrusion selon la revendication 1 ou 2 ci-dessus caractérisé en ce que le BIOS du premier serveur est enregistré dans une mémoire de stockage en seule lecture. 4) Dispositif électronique anti-intrusion selon l'une quelconque des revendications précédentes, caractérisé en ce que le deuxième serveur déclenche une réinitialisation à chaud du premier serveur à des in- tervalles préétablis, et ce, en lui transmettant une commande de réinitialisation par voie logicielle. 5) Dispositif électronique anti-intrusion selon l'une quelconque des revendications précédentes, caractérisé en ce que la réinitialisation à chaud du premier serveur est déclenchée par le logiciel du premier serveur lui-même. 6) Dispositif électronique anti-intrusion selon l'une quelconque des revendications précédentes, caractérisé en ce que le deuxième serveur est équipé d'un système d'exploitation allégé. 7) Dispositif électronique anti-intrusion selon l'une quelconque des revendications précédentes, caractérisé en ce que le deuxième serveur et le serveur à protéger ne font qu'un.