Brevet FR3039952A1 — publié le 20170210

La présente invention concerne une transmission d'une information à destination d'une première application et/ou d'une seconde application depuis une troisième application, la première application étant exécutée par un premier dispositif d'un premier sous-réseau de type rouge, la seconde application étant exécutée sur un second dispositif d'un second sous-réseau de type rouge, la troisième application étant exécutée par un dispositif d'un réseau de type noir, chaque sous-réseau de type rouge étant de niveau de sécurité supérieur au réseau de type noir, les premier et second sous-réseaux de type rouge étant interconnectés par un tunnel sécurisé via le réseau de type noir et les premier et second sous-réseaux de type rouge appartiennent à un même domaine de sécurité. Des réseaux de communication peuvent avoir des exigences différentes en termes de sécurité des données qui y transitent. Certains réseaux de communication ayant des exigences fortes en termes de sécurité peuvent avoir recours à d'autres réseaux de communication dans lesquels le niveau d'exigences en termes de sécurité est inférieur, pour faire transiter les données d'un sous-réseau de communication à fortes exigences de sécurité à un autre. On parle de réseau de communication de type rouge pour le réseau de communication de plus haut niveau de sécurité et de réseau de communication de type noir pour le réseau de communication de plus bas niveau de sécurité. Par exemple, un premier groupe de dispositifs d'un premier sous-réseau de communication de type rouge communique avec un second groupe de dispositifs d'un second sous-réseau de communication de type rouge via un réseau de communication de transit non sécurisé ou de niveau de sécurité inférieur à celui de type rouge, dit de type noir. On parle aussi de domaine noir pour désigner le réseau de communication de type noir, et de domaine rouge pour désigner l'ensemble formé par les premier et second sous-réseaux de communication de type rouge. Pour que le premier groupe de dispositifs et le second groupe de dispositifs puissent communiquer de manière sécurisée, des passerelles de sécurité (comme par exemple des chiffreurs réseau) sont mises en oeuvre, définissant une frontière entre le domaine noir et le domaine rouge. Ces passerelles de sécurité assurent la confidentialité des communications, par chiffrement/déchiffrement de données devant transiter d'un des sous-réseaux de communication de type rouge vers l'autre des sous-réseaux de communication de type rouge via le réseau de communication de transit de type noir. Ces passerelles de sécurité créent ainsi un tunnel sécurisé de communication à travers le domaine noir, généralement conforme au standard IPSec (Internet Protocole Security en anglais). 3039952 2 Les sous-réseaux de communication de type rouge forment alors un réseau virtuel privé VPN (Virtual Private Network en anglais). Ainsi, les données issues / à destination de sous-réseaux de communication de type rouge transitant sur le réseau de communication de transit de type noir ne sont 5 pas transmises en clair. En particulier le plan d'adressage réseau et le contenu des communications du domaine rouge sont inaccessibles au sein du domaine noir, ce qui permet de répondre aux exigences en termes de sécurité du domaine rouge. Une telle architecture de réseaux de communication à plusieurs niveaux de sécurité est mise en oeuvre par exemple pour les réseaux de grandes entreprises du 10 secteur de l'énergie dans lesquels les différents sites de production sont reliés au siège de l'entreprise au travers d'un réseau de transit utilisant des infrastructures de communications terrestres à grande capacité de ressources ou des infrastructures radiofréquence à capacité de ressources limitée et variable notamment en raison des conditions météorologiques, comme par exemple des infrastructures de 15 communication par satellite. Dans le cadre d'un réseau de transit utilisant des infrastructures de communication par satellite, la variabilité des conditions de transmission en termes de débit, de latence et de gigue a un impact sur la qualité et la capacité de communication. Aussi, pour assurer la qualité des services de télécommunication de type voix et donnée (data en anglais) dans un réseau de 20 communication de domaine rouge, ayant recours à un réseau de transit situé dans un domaine noir pour communiquer entre sous-réseaux distants du domaine rouge, les conditions de transmission du réseau de transit situé dans le domaine noir doivent être prises en compte dans le plan d'admission des services mise en oeuvre dans le domaine rouge. 25 Un inconvénient de ce genre d'infrastructure de communication est que, de par la présence des passerelles de sécurité, il n'existe aujourd'hui pas de solution adéquate pour permettre à un ou plusieurs dispositifs du réseau de communication de transit de type noir de communiquer avec un ou plusieurs dispositifs de l'un ou l'autre des sous-réseaux de communication de type rouge, sans avoir à remettre en cause les exigences 30 de sécurité des sous-réseaux de communication de type rouge, c'est-à-dire sans avoir à créer une brèche de sécurité. De telles informations peuvent être des informations de conditions de transmission dans le réseau de communication de transit de type noir, comme dans l'exemple cité précédemment, ou des commandes, permettant ainsi de coordonner les politiques de qualité de service QoS bout-en-bout (End-to-End Quality 3039952 3 of Service en anglais) entre le réseau de communication de transit de type noir et les sous-réseaux de communication de type rouge. Il est alors souhaitable, dans ces circonstances, de fournir une solution qui permette à un ou plusieurs dispositifs du domaine noir de communiquer des 5 informations à un ou plusieurs dispositifs du domaine rouge, sans avoir à remettre en cause les exigences de sécurité du domaine rouge. Il est aussi souhaitable de fournir une solution qui soit compatible avec la plupart des équipements réseau disponibles sur étagère, en particulier avec les équipements réseau de sécurité (Network Security Equipment en anglais), et qui 10 n'impose, dans sa mise en oeuvre, ni équipement de sécurité ni fonction de sécurité supplémentaire en bordure de domaine de sécurité. Il est enfin souhaitable de fournir une solution qui soit simple à mettre en oeuvre. L'invention concerne un procédé de transmission d'une information à destination d'une première application et/ou d'une seconde application depuis une 15 troisième application, la première application étant exécutée dans un premier sous- réseau de type rouge et la seconde application dans un second sous-réseau de type rouge, la troisième application étant exécutée dans un réseau de type noir, chaque sous-réseau de type rouge étant de niveau de sécurité supérieur au réseau de type noir, les premier et second sous-réseaux de type rouge étant interconnectés via le réseau de 20 type noir par un tunnel sécurisé entre une première passerelle de sécurité du premier sous-réseau de type rouge et une seconde passerelle de sécurité du second sous-réseau de type rouge appliquant des opérations de chiffrement et de déchiffrement telles que chaque premier paquet de plus petite taille qu'un second paquet résulte après chiffrement en un premier paquet chiffré de taille inférieure ou égale à la taille du 25 paquet résultant du chiffrement du second paquet. Le procédé est tel que : la première application transmet à destination de la seconde application une séquence nominale de paquets, les paquets de ladite séquence nominale étant ordonnés selon un ordonnancement prédéfini en fonction de leurs tailles respectives, et ladite séquence nominale étant telle qu'il est possible de déterminer sans ambiguïté en réception la 30 taille de chaque paquet qui aurait été retiré de ladite séquence ; un équipement réseau du réseau de type noir sur un chemin obligatoire dudit tunnel sécurisé route vers la troisième application chaque paquet de ladite séquence nominale après chiffrement de la première passerelle ; lorsque la troisième application souhaite transmettre ladite information à destination de la première application et/ou de la seconde application, la 3039952 4 troisième application effectue des modifications de ladite séquence nominale après chiffrement de la première passerelle, par suppression d'au moins un paquet, chaque paquet supprimé étant fonction de ladite information, et propage les paquets de ladite séquence après chiffrement de la première passerelle qui n'ont pas été supprimés ; 5 lorsque la troisième application ne souhaite pas transmettre d'information à destination de la première application et/ou de la seconde application, la troisième application propage les paquets de ladite séquence nominale après chiffrement de la première passerelle ; sur réception d'une séquence de paquets supposée être la séquence nominale de paquets, la seconde application vérifie si au moins un paquet a 10 été supprimé par la troisième application ; et lorsque la seconde application détecte qu'au moins un paquet a été supprimé par la troisième application, la seconde application retrouve ladite information à partir de la taille de chaque paquet ainsi supprimé de ladite séquence nominale de paquets. Ainsi, en se reposant sur la taille des paquets de ladite séquence nominale, et en permettant à la troisième application de 15 supprimer au moins un de ces paquets sans avoir accès à leur contenu (à cause du chiffrement de la première passerelle), il est possible de faire passer une information de la troisième application (domaine noir) vers la première application et/ou la seconde application (domaine rouge). Dans cette mise en oeuvre, ni équipement de sécurité ni fonction de sécurité supplémentaire n'est implémenté en bordure du 20 domaine de sécurité. Selon un mode de réalisation particulier, la séquence nominale de paquets est délimitée par au moins un paquet de début et au moins un paquet de fin de tailles respectives prédéfinies qui ne sont pas utilisées au sein de ladite séquence nominale de paquets. Ainsi, la séquence nominale de paquets, ayant éventuellement subi des 25 modifications par la troisième application, peut être facilement identifiée. Selon un mode de réalisation particulier, les paquets de la séquence nominale de paquets sont colorés avec une classe de service prédéfinie, et ledit équipement réseau du réseau de type noir route chaque paquet ainsi coloré, en provenant du premier sous-réseau de type rouge, vers la troisième application. Ainsi, les paquets de ladite 30 séquence nominale de paquets sont aisément routés vers la troisième application. Selon un mode de réalisation particulier, lorsque la troisième application a transmis ladite information à destination de la première application et/ou de la seconde application, la première application transmet à destination de la seconde application une autre séquence de paquets représentative d'un acquittement positif de réception de 3039952 5 ladite information, les paquets de ladite autre séquence étant ordonnés selon un ordonnancement prédéfini en fonction de leurs tailles respectives, et ledit équipement réseau du réseau de type noir route vers la troisième application chaque paquet de ladite autre séquence après chiffrement de la première passerelle. Ainsi, l'information 5 passée de la troisième application vers la première application et/ou la seconde application est acquittée. Selon un mode de réalisation particulier, la troisième application maintient les modifications pour chaque séquence nominale de paquets qui est reçue ultérieurement, jusqu'à remplir une condition prédéfinie. Ainsi, les éventuelles pertes de paquets entre 10 la troisième application et la seconde application ne sont pas perturbantes. Selon un mode de réalisation particulier, lorsque la seconde application reçoit une séquence nominale de paquets modifiée, la seconde application attend de recevoir au moins un autre exemplaire de ladite séquence de paquets modifiée avant de déterminer quelle information est transmise par la troisième application à destination 15 de la première application et/ou de la seconde application. Ainsi, la seconde application est apte à distinguer une absence de paquet due à une action délibérée de la troisième application d'une absence de paquet due à une perte entre la troisième application et la seconde application. Selon un mode de réalisation particulier, chaque information potentiellement à 20 transmettre de la troisième application à la première application et/ou à la seconde application correspond à un code dans une table de correspondance prédéterminée, ladite information correspondant à un code binaire MI dans ladite table de correspondance, la troisième application répète les étapes suivantes pour chaque paquet jusqu'à ce que tous les paquets de la séquence nominale de paquets après 25 chiffrement soient traités : récupérer la taille Tc dudit paquet ; appliquer une fonction Fc à la taille Tc récupérée de sorte à obtenir un code binaire Mc, la fonction Fc étant une fonction bijective telle que, pour une taille de paquet donnée en entrée parmi les tailles possibles de la séquence nominale de paquets après chiffrement, la fonction Fc retourne un code binaire avec un unique bit à la valeur « 1 » et les autres bits à la 30 valeur « 0 » ; supprimer ou pas ledit paquet en fonction du résultat d'une opération de ET logique entre les codes binaires MI et Mc ; et la seconde application répète les étapes suivantes pour chaque paquet jusqu'à ce que tous les paquets de la séquence supposée être la séquence nominale de paquets soient traités : récupérer la taille T dudit paquet ; appliquer une fonction F à la taille T récupérée de sorte à obtenir un 3039952 6 code binaire M, la fonction F est une fonction bijective telle que, pour une taille de paquet donnée en entrée parmi les tailles possibles de la séquence nominale de paquets, la fonction F retourne un code binaire avec un unique bit à la valeur « 1 » et les autres bits à la valeur « 0 », et en outre telle que, pour un paquet de taille T 5 résultant après chiffrement par la première passerelle de sécurité en un paquet de taille Tc, F(T)=Fc(Tc) ; et mettre à jour une variable MI', initialisée à la valeur « 0 » pour le tout premier paquet de la séquence supposée être la séquence nominale de paquets, avec le résultat d'une opération de OU logique entre le code binaire Met la variable MI' ; et la variable MI' donne un code binaire représentatif de ladite information au 10 sein de la table de correspondance précédemment évoquée. Ainsi, encoder et décoder ladite information sont des opérations simples. Selon un mode de réalisation particulier, ladite information est représentative d'une commande de changement d'état dans une machine d'états. Ainsi, il est aisé de contrôler des progressions de machines d'état, malgré la présence de domaines de 15 niveaux de sécurité distincts. Selon un mode de réalisation particulier, une taille particulière de paquet est représentative d'une action de passage à un état précédent dans une liste ordonnée prédéfinie des états de la machine d'état, et la première application transmet au moins deux paquets de cette taille particulière dans la séquence nominale de paquets, cette 20 taille particulière n'étant pas utilisée dans le reste de la séquence nominale, et la troisième application supprime une quantité x de paquets de ladite taille particulière au sein de ladite séquence nominale après chiffrement de la première passerelle pour représenter un passage à un état de rang N-x. Ainsi, de plus grandes machines d'états peuvent être contrôlées. 25 Selon un mode de réalisation particulier, une phase d'initialisation est préalablement implémentée comme suit : la première application transmet à destination de la seconde application une séquence de test consistant en un enchaînement prédéfini de l'ensemble des tailles de paquets utilisables pour générer ladite séquence nominale de paquets, chaque paquet de la séquence de test ayant une 30 taille différente et lesdits paquets sont ordonnés par taille croissante ou décroissante ; ledit équipement réseau du réseau de type noir route vers la troisième application chaque paquet de ladite séquence de test après chiffrement de la première passerelle ; la troisième application supprime chaque doublon de taille dans la séquence de test après chiffrement de la première passerelle et propage la séquence de test ainsi 3039952 7 modifiée vers la seconde application ; et lorsque la seconde application reçoit une séquence de paquets supposée être la séquence de test, la seconde application détermine les tailles de paquets qui n'ont pas été supprimés par la troisième application, ces tailles de paquets pouvant alors être distinctement utilisées pour 5 générer ladite séquence nominale de paquets, et en informe la première application. Ainsi, il est possible de détecter que la première passerelle insère des données de bourrage (padding data en anglais) lors des opérations de chiffrement, de sorte que deux paquets de tailles distinctes transmis par la première application se retrouvent avec une même taille après chiffrement. 10 Selon un mode de réalisation particulier, les paquets de la séquence de test sont colorés avec une classe de service prédéfinie, et ledit équipement réseau du réseau de type noir route chaque paquet ainsi coloré, en provenant du premier sous-réseau de type rouge, vers la troisième application. Ainsi, les paquets de ladite séquence de test sont aisément routés vers la troisième application. 15 Selon un mode de réalisation particulier, la phase d'initialisation est préalablement comme suit : la première application transmet à destination de la seconde application une séquence d'initialisation constituée d'un enchaînement remarquable de paquets, la taille de chaque paquet de la séquence d'initialisation est soit égale à une taille maximale sans fragmentation dans les premier et second sous- 20 réseaux de type rouge, soit égale à une taille minimale de paquet dans les premier et second sous-réseaux de type rouge ; et ledit équipement réseau du réseau de type noir route vers la troisième application chaque paquet de ladite séquence d'initialisation après chiffrement de la première passerelle. Ainsi, il est possible de déclencher la phase d'initialisation sans savoir a priori si et comment la première passerelle insère 25 des données de bourrage lors des opérations de chiffrement. Selon un mode de réalisation particulier, les paquets de la séquence d'initialisation sont colorés avec une classe de service prédéfinie, et ledit équipement réseau du réseau de type noir route chaque paquet ainsi coloré, en provenant du premier sous-réseau de type rouge, vers la troisième application. Ainsi, les paquets de 30 ladite séquence d'initialisation sont aisément routés vers la troisième application. Selon un mode de réalisation particulier, chaque information potentiellement à transmettre de la troisième application à la première application et/ou à la seconde application correspond à un code dans une table de correspondance prédéterminée, et : la première application transmet à destination de la seconde application une séquence 3039952 8 de paquets représentative d'une table de correspondance sélectionnée parmi un ensemble prédéfini de tables de correspondance en fonction des tailles de paquets qui n'ont pas été supprimés par la troisième application au sein de la séquence de test, et ladite séquence de paquets représentative de la table de correspondance sélectionnée 5 comporte un premier ensemble de paquets représentatif de la table de correspondance sélectionnée et un second ensemble destiné à permettre à la troisième application d'en effectuer un acquittement par suppression d'au moins un paquet dudit second ensemble, la taille de chaque paquet de la séquence de paquets représentative de la table de correspondance sélectionnée est soit égale à la taille maximale sans 10 fragmentation dans les premier et second sous-réseaux de type rouge, soit égale à la taille minimale de paquet dans les premier et second sous-réseaux de type rouge ; et ledit équipement réseau du réseau de type noir route vers la troisième application chaque paquet de ladite séquence de paquets représentative de la table de correspondance sélectionnée après chiffrement de la première passerelle. Ainsi, la 15 table de correspondance à appliquer pour permettre à la troisième application de passer ladite information à la première application et/ou à la seconde application est aisément partagée entre lesdites première, seconde et troisième applications. L'invention concerne également un système de transmission d'une information à destination d'une première application et/ou d'une seconde application depuis une 20 troisième application, la première application étant exécutée dans un premier sous- réseau de type rouge et la seconde application dans un second sous-réseau de type rouge, la troisième application étant exécutée dans un réseau de type noir, chaque sous-réseau de type rouge étant de niveau de sécurité supérieur au réseau de type noir, les premier et second sous-réseaux de type rouge étant interconnectés via le réseau de 25 type noir par un tunnel sécurisé entre une première passerelle de sécurité du premier sous-réseau de type rouge et une seconde passerelle de sécurité du second sous-réseau de type rouge appliquant des opérations de chiffrement et de déchiffrement telles que chaque premier paquet de plus petite taille qu'un second paquet résulte après chiffrement en un premier paquet chiffré de taille inférieure ou égale à la taille du 30 paquet résultant du chiffrement du second paquet. Le système est tel que : la première application est adaptée pour transmettre à destination de la seconde application une séquence nominale de paquets, les paquets de ladite séquence nominale étant ordonnés selon un ordonnancement prédéfini en fonction de leurs tailles respectives, et ladite séquence nominale étant telle qu'il est possible de déterminer sans ambiguïté en 3039952 9 réception la taille de chaque paquet qui aurait été retiré de ladite séquence ; un équipement réseau du réseau de type noir sur un chemin obligatoire dudit tunnel sécurisé est adapté pour router vers la troisième application chaque paquet de ladite séquence nominale après chiffrement de la première passerelle ; lorsque la troisième 5 application souhaite transmettre ladite information à destination de la première application et/ou de la seconde application, la troisième application est adaptée pour effectuer des modifications de ladite séquence nominale après chiffrement de la première passerelle, par suppression d'au moins un paquet, chaque paquet supprimé étant fonction de ladite information, et pour propager les paquets de ladite séquence 10 après chiffrement de la première passerelle qui n'ont pas été supprimés ; lorsque la troisième application ne souhaite pas transmettre d'information à destination de la première application et/ou de la seconde application, la troisième application est adaptée pour propager les paquets de ladite séquence nominale après chiffrement de la première passerelle ; sur réception d'une séquence de paquets supposée être la 15 séquence nominale de paquets, la seconde application est adaptée pour vérifier si au moins un paquet a été supprimé par la troisième application ; et lorsque la seconde application détecte qu'au moins un paquet a été supprimé par la troisième application, la seconde application est adaptée pour retrouver ladite information à partir de la taille de chaque paquet ainsi supprimé de ladite séquence nominale de paquets. 20 Les caractéristiques de l'invention mentionnées ci-dessus, ainsi que d'autres, apparaîtront plus clairement à la lecture de la description suivante d'un exemple de réalisation, ladite description étant faite en relation avec les dessins joints, parmi lesquels : - la Fig. 1 illustre schématiquement un système de communication dans lequel la 25 présente invention peut être mise en oeuvre, le système de communication comportant un premier sous-réseau de communication de type rouge et un second sous-réseau de communication de type rouge interconnectés par un réseau de communication de type noir ; - la Fig. 2 illustre schématiquement un exemple d'architecture matérielle de 30 dispositifs du système de communication ; - la Fig. 3 illustre schématiquement un algorithme, mis en oeuvre par une première application, localisée dans le premier sous-réseau de communication de type rouge, pour permettre à ladite première application, à l'aide d'une seconde application, localisée dans le second sous-réseau de communication de type rouge, de 3039952 10 recevoir des informations d'une troisième application, localisée dans le réseau de communication de type noir ; - la Fig. 4 illustre schématiquement un algorithme, mis en oeuvre par ladite troisième application, pour permettre à ladite première application de recevoir des 5 informations de ladite troisième application, à l'aide de ladite seconde application ; - la Fig. 5 illustre schématiquement un algorithme, mis en oeuvre par ladite seconde application, pour permettre à ladite première application de recevoir des informations de ladite troisième application, à l'aide de ladite seconde application ; - les Figs. 6A, 6B et 6C illustrent schématiquement des séquences de paquets 10 apparaissant dans des échanges intervenant dans le cadre de l'exécution des algorithmes des Figs. 3 à 5 ; - la Fig. 7 illustre schématiquement une machine d'états, qui peut être contrôlée ou surveillée, grâce à l'exécution des algorithmes des Figs. 3 à 5 ; - les Figs. 8A et 8B illustrent schématiquement des séquences de paquets 15 apparaissant dans des échanges intervenant dans le cadre du contrôle, ou de la surveillance, de la machine d'états de la Fig. 7 ; - la Fig. 9 illustre schématiquement un algorithme, mis en oeuvre par ladite première application, dans le cadre d'une phase d'initialisation ; - la Fig. 10 illustre schématiquement un algorithme, mis en oeuvre par ladite 20 troisième application, dans le cadre de la phase d'initialisation ; et - la Fig. 11 illustre schématiquement un algorithme, mis en oeuvre par ladite seconde application, dans le cadre de la phase d'initialisation. La Fig. 1 illustre schématiquement un système de communication dans lequel la présente invention peut être mise en oeuvre. Le système de communication est un 25 système de communication par paquets, reposant préférentiellement sur la technologie IP (Internet Protocol en anglais). Le système de communication comporte un premier sous-réseau de communication 101 de type rouge et un second sous-réseau de communication 102 de type rouge interconnectés par un réseau de communication 103 de type noir. 30 Le réseau de communication 103 de type noir est donc de plus faible niveau de sécurité que les premier 101 et second 102 sous-réseaux de communication de type rouge. Le réseau de communication 103 de type noir comporte des équipements réseau (network equipment items en anglais) 113, 114, 131, 132 permettant de mettre en communication les premier 101 et second 102 sous-réseaux de communication de 3039952 11 type rouge. Par exemple, les équipements réseau 113, 114 sont des routeurs assurant un routage de paquets au sein du réseau de communication 103 de type noir, et les équipements réseau 131, 132 sont des dispositifs émetteurs-récepteurs (transceiver devices en anglais) communiquant l'un avec l'autre via une liaison satellite. Les 5 équipements émetteurs-récepteurs incluent alors respectivement des modems et des antennes permettant de mettre en oeuvre la liaison satellite. D'autres types de technologies de communication peuvent être mis en oeuvre pour mettre en communication les premier 101 et second 102 sous-réseaux de communication de type rouge, que ces technologies soient filaires ou sans-fil. Les équipements réseau 113, 10 114, 131, 132 agissent préférentiellement au niveau trois du modèle OS1 et plus particulièrement au niveau IP. Le premier sous-réseau de communication 101 de type rouge inclut une première passerelle de sécurité 121 et un premier équipement réseau (network equipment en anglais) 111. Le premier équipement réseau 111 est par exemple un 15 routeur assurant un routage de paquet en provenance du premier sous-réseau de communication 101 de type rouge et de paquets à destination du premier sous-réseau de communication 101 de type rouge. Tout routeur agissant au niveau trois du modèle OSI, le premier équipement réseau 111 est préférentiellement un routeur IP. Le second sous-réseau de communication 102 de type rouge inclut une seconde 20 passerelle de sécurité 122 et un second équipement réseau 112. Le second équipement réseau 112 est par exemple un routeur assurant un routage de paquets en provenance du second sous-réseau de communication 102 de type rouge et de paquets à destination du second sous-réseau de communication 102 de type rouge. Le second équipement réseau 111 est préférentiellement un routeur IP. 25 La première passerelle de sécurité 121 et la seconde passerelle de sécurité 122 sont adaptées pour mettre en place un tunnel sécurisé entre le premier sous-réseau de communication 101 de type rouge et le second sous-réseau de communication 102 de type rouge via le réseau de communication 103 de type noir. Ainsi, pour chaque paquet transmis par un dispositif du premier sous-réseau de communication 101 de 30 type rouge à destination d'un dispositif du second sous-réseau de communication 102 de type rouge, la première passerelle de sécurité 121 applique une opération de chiffrement avant envoi via le réseau de communication 103 de type noir. Et, pour chaque paquet chiffré reçu via le réseau de communication 103 de type noir, la seconde passerelle de sécurité 122 applique une opération de déchiffrement avant de 3039952 12 propager ledit paquet via le second sous-réseau de communication 102 de type rouge. De manière symétrique, pour chaque paquet transmis par un dispositif du second sous-réseau de communication 102 de type rouge à destination d'un dispositif du premier sous-réseau de communication 101 de type rouge, la seconde passerelle de sécurité 5 122 applique une opération de chiffrement avant envoi via le réseau de communication 103 de type noir. Et, pour chaque paquet chiffré reçu via le réseau de communication 103 de type noir, la première passerelle de sécurité 121 applique une opération de déchiffrement avant de propager ledit paquet via le premier sous-réseau de communication 101 de type rouge. Un tunnel sécurisé est ainsi établi entre la 10 première passerelle de sécurité 121 et la seconde passerelle de sécurité 122. Ainsi, selon un exemple illustratif représenté sur la Fig. 1, l'équipement réseau 113 du domaine noir est connecté à la première passerelle de sécurité 121 (définissant la frontière entre le premier sous-réseau de communication 101 de type rouge et le domaine noir) et l'équipement réseau 114 du domaine noir est connecté à la première 15 passerelle de sécurité 122 (définissant la frontière entre le second sous-réseau de communication 102 de type rouge et le domaine noir). L'équipement réseau 113 est en outre connecté à l'équipement réseau 131 et l'équipement réseau 114 est en outre connecté à l'équipement réseau 132 (l'équipement réseau 131 et l'équipement réseau 132 étant interconnectés, par exemple via une liaison satellite), permettant ainsi de 20 mettre en communication sécurisée les sous-réseaux de communication 101 et 102 de type rouge via le réseau de communication 103 de type noir agissant en tant que réseau de transit. Le système de communication présenté à la Fig. 1 est ainsi par exemple adapté pour mettre en oeuvre des communications sécurisées de type VoIP (Voice over IP en 25 anglais) entre un terminal téléphonique du premier sous-réseau de communication 101 de type rouge et un autre terminal téléphonique du second sous-réseau de communication 102 de type rouge. Le système de communication présenté à la Fig. 1 est ainsi par exemple adapté pour mettre en oeuvre des communications sécurisées de type données (data en anglais). 30 Le premier sous-réseau de communication 101 de type rouge comporte en outre une première application 141, c'est-à-dire un module de communication agissant au niveau sept du modèle OSI, à savoir la couche du modèle OSI la plus proche de « l'utilisateur » (au sens large) et qui fournit des services réseau à « l'utilisateur ». La première application 141 peut être implémentée par un dispositif du premier sous- 3039952 13 réseau de communication 101 de type rouge connecté au premier équipement réseau 111. En variante, la première application 141 peut être implémentée par le premier équipement réseau 111. De manière similaire, le second sous-réseau de communication 102 de type rouge comporte en outre une seconde application 142, 5 c'est-à-dire un module de communication agissant au niveau sept du modèle OSI. La seconde application 142 peut être implémentée par un dispositif du second sous-réseau de communication 102 de type rouge qui est connecté au second équipement réseau 112. En variante, la seconde application 142 peut être implémentée par le second équipement réseau 112. De plus, le réseau de communication 103 de type noir 10 comporte en outre une troisième application 143, c'est-à-dire un module de communication agissant au niveau sept du modèle OSI. La troisième application 143 peut être implémentée par un dispositif du réseau de communication 103 de type noir qui est connecté aux équipements réseau 131, 132 (dans le réseau de communication 103 de type noir, tout dispositif est directement ou indirectement connecté aux 15 équipements réseau 131, 132). En variante, la troisième application 143 peut être implémentée par l'un ou l'autre des équipements réseau 131, 132. Les première 141, seconde 142 et troisième 143 applications interagissent de manière à permettre à la troisième application de transmettre des informations à la première application 141 et/ou à la seconde application 142 (c'est-à-dire au domaine 20 rouge), malgré la présence des première 121 et seconde 122 passerelles de sécurité. Dans ce cadre, le comportement de la première application 141 est décrit ci-après en relation avec la Fig. 3, le comportement de la seconde application 142 est décrit ci-après en relation avec la Fig. 5 et le comportement de la troisième application 143 est décrit ci-après en relation avec la Fig. 4. Dans un mode de réalisation particulier, les 25 première 141, seconde 142 et troisième 143 applications mettent en oeuvre une phase d'initialisation. Dans ce cadre, le comportement de la première application 141 est décrit ci-après en relation avec la Fig. 9, le comportement de la seconde application 142 est décrit ci-après en relation avec la Fig. 11 et le comportement de la troisième application 143 est décrit ci-après en relation avec la Fig. 10. 30 La Fig. 2 illustre schématiquement un exemple d'architecture matérielle de dispositifs du système de communication. Plus particulièrement, la Fig. 2 illustre schématiquement un exemple d'architecture matérielle adaptée à l'implémentation des première 141, seconde 142 et troisième 143 applications. Considérons à titre illustratif 3039952 14 que l'exemple d'architecture matérielle représenté schématiquement à la Fig. 2 correspond à une machine sur laquelle est exécutée la première application 141. La machine sur laquelle est exécutée la première application 141 inclut alors, reliés par un bus de communication 210: un processeur ou CPU (Central Processing 5 Unit en anglais) 201 ; une mémoire vive RAM (Random Access Memory en anglais) 202 ; une mémoire morte ROM (Read Only Memory en anglais) 203 ; une unité de stockage 204 ou un lecteur de support de stockage, tel qu'un lecteur de cartes SD (Secure Digital en anglais) ou un disque dur HDD (Hard Disk Drive en anglais) ; et au moins une interface 205 permettant à la machine sur laquelle est exécutée la première 10 application 141 de communiquer au sein du système de communication. Le processeur 201 est capable d'exécuter des instructions chargées dans la RAM 202 à partir de la ROM 203, ou d'une mémoire externe, ou d'un support de stockage, ou d'un réseau de communication. Lorsque la machine sur laquelle est exécutée la première application 141 est mise sous tension, le processeur 201 est capable de lire 15 de la RAM 202 des instructions et de les exécuter. Ces instructions forment un programme d'ordinateur causant la mise en oeuvre, par le processeur 201, de tout ou partie des algorithmes et étapes décrits ci-après en relation avec la première application 141. Il en va de même pour la machine sur laquelle est exécutée la seconde application 142 et la machine sur laquelle est exécutée la troisième application 143. 20 Tout ou partie des algorithmes et étapes décrits ci-après peut ainsi être implémenté sous forme logicielle par exécution d'un ensemble d'instructions par une machine programmable, tel qu'un DSP (Digital Signal Processor en anglais) ou un microcontrôleur, ou être implémenté sous forme matérielle par une machine ou un composant dédié, tel qu'un FPGA (Field-Programmable Gate Array en anglais) ou un 25 ASIC (Application-Specific Integrated Circuit en anglais). La Fig. 3 illustre schématiquement un algorithme, mis en oeuvre par la première application 141, pour permettre à ladite première application 141 de recevoir des informations de la part de la troisième application 143, à l'aide de la seconde application 142. 30 Dans une étape 5301, la première application 141 obtient une séquence de paquets de tailles respectives prédéfinies. Cette séquence de paquets est appelée par la suite séquence nominale de paquets, car c'est la séquence de paquets qui est supposée passer telle quelle du premier sous-réseau de communication 101 de type rouge au second sous-réseau de communication 102 de type rouge lorsque la troisième 3039952 15 application 143 n'a pas d'information à fournir au domaine rouge. Dans la séquence nominale de paquets, les paquets sont ordonnés selon un ordonnancement prédéfini en fonction de leurs tailles respectives, et cet ordonnancement est connu des première 141, seconde 142 et troisième 143 applications. La séquence nominale de paquets est 5 telle que, lorsqu'un ou plusieurs paquets sont retirés de ladite séquence nominale de paquets, il est possible de déterminer sans ambiguïté en réception quel ou quels paquets ont été retirés et plus particulièrement quelle taille avait chaque paquet ainsi retiré. Comme il sera apparent à la lecture de la description qui suit, ce qui importe pour permettre à la troisième application 143 de faire passer des informations au 10 domaine rouge est la taille des paquets propagés dans le système de communication plus que leurs contenus respectifs (étant donné que les première 121 et seconde 122 passerelles de sécurité effectuent des opérations de chiffrement et de déchiffrement). Le contenu des paquets de la séquence nominale de paquets n'a pas d'importance dans le cadre de la présente invention. En effet, ce qui importe est la 15 taille de ces paquets. Il en va de même pour les autres séquences de paquets transmises depuis la première application 141 à destination de la seconde application 142 destinées à permettre à la troisième application 143 de fournir une information au domaine rouge par suppression d'au moins un paquet de ladite séquence. Ainsi, les paquets des ces séquences peuvent contenir des données fictives (dummy data en 20 anglais), c'est-à-dire que les séquences sont créées spécifiquement pour le besoin de faire passer une information du domaine noir au domaine rouge sans que les paquets concernés ne contiennent de données utiles. Dans une variante de réalisation, les paquets des ces séquences peuvent contenir des données à transmettre du premier sous-réseau de communication 101 de type rouge au second sous-réseau de 25 communication 102 de type rouge (le chiffrement effectué par la passerelle de sécurité 121 empêchant tout dispositif du domaine noir d'avoir accès au contenu effectif de ces paquets). Selon un mode de réalisation préférentiel, la séquence nominale de paquets est constituée d'une succession de paquets ordonnancés par taille croissante. 30 Alternativement, la séquence nominale de paquets est constituée d'une succession de paquets ordonnancés par taille décroissante. Tout autre ordonnancement prédéfini et connu des première 141, seconde 142 et troisième 143 applications est applicable. Selon un mode de réalisation préférentiel, la séquence nominale de paquets est délimitée par au moins un paquet de début et par au moins un paquet de fin, de tailles 3039952 16 respectives prédéfinies. Les tailles des paquets de début et de fin sont connues des première 141, seconde 142 et troisième 143 applications, et ne sont pas utilisées au sein de ladite séquence nominale de paquets. Un exemple de séquence nominale de paquets comportant de tels paquets de début et de fin est présenté ci-après en relation 5 avec la Fig. 6A. Dans une variante de réalisation, la première application 141 transmet la séquence nominale de paquets au cours de périodes temporelles prédéfinies (e.g. régulièrement) et connues des seconde 142 et troisième 143 applications. Dans une étape S302 suivante, la première application 141 transmet, à destination de la seconde application 142, la séquence nominale de paquets obtenue à 10 l'étape S301. Les paquets de la séquence nominale de paquets obtenue à l'étape S301 sont transmis en s'appuyant sur un protocole de transport sans acquittement ni retransmission en cas de perte. Dans un mode de réalisation préféré, les paquets de la séquence nominale de paquets sont transmis en s'appuyant sur le protocole UDP (User Datagram Protocol en anglais), tel que défini par la norme RFC 768. 15 La séquence nominale de paquets (après chiffrement) est destinée à être interceptée par la troisième application 143. Un équipement réseau du domaine noir sur un chemin obligatoire du tunnel sécurisé depuis le premier sous-réseau de communication 101 de type rouge jusqu'au second sous-réseau de communication 102 de type rouge, comme par exemple l'équipement réseau 113, est adapté pour 20 discriminer les paquets de la séquence nominale de paquets (après chiffrement) parmi les paquets transportés dans le domaine noir et pour router lesdits paquets jusqu'à la troisième application 143. Les paquets de ladite séquence nominale sont alors reçus par la passerelle de sécurité 121 qui procède alors à un chiffrement desdits paquets. Cette opération de 25 chiffrement modifie en général la taille des paquets. Cependant, un premier paquet de plus petite taille qu'un second paquet résulte en un premier paquet chiffré de taille en général moindre que (et au plus égale à) la taille du paquet résultant du chiffrement du second paquet. Dans le cas où le chiffrement de deux paquets de tailles différentes peut mener à deux paquets chiffrés respectifs de même taille, les première 141, 30 seconde 142 et troisième 143 applications mettent préférentiellement en place une phase d'initialisation telle que décrite ci-après en relation avec les Figs. 9 à 11. Les différentes tailles des paquets de ladite séquence nominale sont telles que le chiffrement desdits paquets par la passerelle de sécurité 121 génère des paquets chiffrés respectifs de tailles distinctes. Après chiffrement, les paquets de ladite 3039952 17 séquence nominale sont transmis dans le domaine noir, et y sont routés afin que la troisième application 143 puisse traiter lesdits paquets comme décrit ci-après en relation avec la Fig. 5. Dans un mode de réalisation particulier, la séquence nominale de paquets est 5 colorée avec une classe de service CoS (Class of Service en anglais) dédiée, e.g. en utilisant un code de classe de service DSCP (DiffServ CodePoint en anglais, tel que défini dans le document normatif RFC 2474) dédié. Préférentiellement, la séquence nominale de paquets est colorée avec la classe de service CoS de plus forte priorité parmi les classes de service CoS non utilisées dans le plan de qualité de service QoS 10 mis en oeuvre dans le système de communication (préférentiellement, en utilisant un code de classe de service DSCP de niveau CS5 ou d'ordre supérieur), afin de réduire les latences de transport subies par la séquence nominale de paquets et diminuer les risques de pertes de paquets au sein de la séquence nominale de paquets). Cette classe de service CoS bénéficie dans le plan de QoS d'une politique d'acheminement garanti 15 au titre la signalisation réseau, afin d'éliminer les risques de pertes de paquets liées aux mécanismes de QoS au sein de ladite séquence nominale de paquets. Les informations de classe de service CoS sont typiquement recopiées dans un entête en clair par les passerelles de sécurité 121, 122 (afin de permettre au domaine noir de mettre en oeuvre une politique de gestion de trafic basée sur les classes de services 20 CoS des paquets transportés dans le domaine noir). Une autre approche consiste à utiliser des adresses de routage, au niveau des passerelles de sécurité 121 et 122, qui sont spécifiques pour la séquence nominale de paquets (tunnel spécifique), et qui sont connues des équipements réseau du domaine noir devant router les paquets de ladite séquence nominale via la troisième application 143. Les paquets de ladite séquence 25 nominale peuvent donc être aisément discriminés des autres paquets transportés dans le domaine noir. Dans une étape S303 suivante, la première application 141 se met en attente d'une information en provenance de la troisième application 143, par l'intermédiaire de la seconde application 142. Cet aspect est détaillé ci-après en relation avec les 30 Figs. 4 et 5. Si dans un laps de temps prédéterminé, aucune information en provenance de la troisième application 143 n'est reçue par l'intermédiaire de la seconde application 142, l'étape S302 est réitérée avec un nouvel envoi de ladite séquence nominale de paquets. Sinon, une étape S306 est effectuée, dans laquelle ladite information est traitée par la première application 141. La première application 141 3039952 18 peut alors propager ladite information à une station de gestion réseau NMS (Network Management Station en anglais), en charge de mettre en oeuvre des mécanismes FCAPS (Fault, Configuration, Administration, Performance, Security en anglais) pour le domaine rouge, selon le modèle ISO (International Organization for 5 Standardization en anglais) de gestion de réseau. Dans un mode de réalisation particulier, ladite information est représentative de conditions de transmission dans le domaine noir (e.g. indication de congestion). Dans un autre mode de réalisation particulier, ladite information est représentative d'une commande à appliquer par la première application 141 ou par la station de gestion réseau NMS, voire une 10 commande de changement d'état dans une machine d'états mise en oeuvre dans le domaine rouge (e.g. par la première application 141 ou par la station de gestion réseau NMS du domaine rouge). Un exemple de telles commandes peut être la mise en oeuvre d'un plan de qualité de service QoS de repli, consistant à ajuster une admission de service (e.g. fermeture/ouverture de certaines interfaces physiques et/ou de certains 15 ports, limitation du trafic de type FTP (File Transfer Protocol en anglais) ou HTTP (HyperText Transport Protocol en anglais), réduction d'un nombre d'appels vocaux simultanés autorisés,...), ce plan qualité de service QoS de repli s'appliquant à tout ou partie de l'ensemble des équipements réseaux aux interfaces avec le domaine noir. Dans un autre mode de réalisation particulier, ladite information est une information 20 de changement d'état dans une machine d'états mise en oeuvre dans le domaine noir (e.g. par la troisième application 143). Dans un mode de réalisation en variante, lorsqu'une information en provenance de la troisième application 143 est reçue par l'intermédiaire de la seconde application 142, la première application 141 effectue une étape 5304 dans laquelle la première 25 application 141 obtient, en fonction de l'information reçue à l'étape 5303, une autre séquence de paquets de tailles prédéfinies, cette autre séquence de paquets étant représentative d'un acquittement positif de la réception par la première application 141 de ladite information en provenance de la troisième application 143. Comme pour la séquence nominale de paquets, les paquets sont ordonnés selon un ordonnancement 30 prédéfini en fonction de leurs tailles respectives, et cet ordonnancement est connu des première 141, seconde 142 et troisième 143 applications. Comme détaillé par la suite, la troisième application 143 génère ladite information par suppression d'au moins un paquet de la séquence nominale de paquets (telle qu'obtenue après chiffrement) ; cette séquence modifiée de paquets est représentative de l'information que la troisième 3039952 19 application 143 souhaite fournir au domaine rouge. Ainsi, dans un mode de réalisation particulier, la séquence de paquets obtenue par la première application 141 à l'étape S304 est la même que la séquence nominale de paquets telle que reçue par la seconde application 142 après modification par la troisième application 143 pour faire passer 5 ladite information au domaine rouge. Par exemple, supposons que la séquence nominale de paquets soit une succession de cinq paquets de tailles respectives Tl, T2, T3, T4, T5. Après chiffrement, la séquence nominale de paquets devient une succession de cinq paquets de tailles respectives TC1, TC2, TC3, TC4, TC5. Supposons aussi que la troisième 10 application supprime le paquet de taille TC3 pour fournir une information au domaine rouge. Après déchiffrement, la séquence modifiée de paquets devient une succession de quatre paquets de tailles respectives Tl, T2, T4, T5. La seconde application 142 utilise une table de correspondance (look-up table en anglais) prédéterminée, pour déterminer à quelle information correspond la succession des quatre paquets de tailles 15 respectives Tl, T2, T4, T5 reçus. La seconde application 142 transmet alors ladite information à la première application 141. La première application 141 génère alors la séquence de paquets à l'étape 5304 de sorte à consister en une succession de quatre paquets de tailles respectives Tl, T2, T4, T5. Les seconde 142 et troisième 143 applications sont alors informées d'un acquittement positif, indiquant que ladite 20 information a bien été reçue par ladite première application 141. Comme pour la séquence nominale de paquets transmise à l'étape S302, la séquence de paquets obtenue à l'étape S304 est destinée à être interceptée par la troisième application 143. Un équipement réseau du domaine noir sur le chemin de transit depuis le premier sous-réseau de communication 101 de type rouge jusqu'au 25 second sous-réseau de communication 102 de type rouge, comme par exemple l'équipement réseau 113, est adapté pour discriminer les paquets de la séquence de paquets obtenue à l'étape S304 (après chiffrement) parmi les paquets transportés dans le domaine noir et pour router lesdits paquets jusqu'à la troisième application 143. Dans un mode de réalisation particulier, la séquence de paquets obtenue à 30 l'étape S304 est colorée avec une classe de service CoS dédiée, e.g. en utilisant un code de classe de service DSCP dédié. Préférentiellement, la séquence de paquets obtenue à l'étape S304 est colorée avec la même classe de service CoS que la séquence nominale de paquets. Ainsi, la séquence de paquets obtenue à l'étape 5304 est préférentiellement colorée avec la classe de service CoS de plus forte priorité 3039952 20 parmi les classes de service CoS non utilisées dans le plan de qualité de service QoS mis en oeuvre dans le système de communication (préférentiellement, en utilisant un code de classe de service DSCP de niveau CS5 ou d'ordre supérieur), afin de réduire les latences de transport subies par la séquence de paquets obtenue à l'étape S304 et 5 diminuer les risques de pertes de paquets au sein de la séquence de paquets obtenue à l'étape S304). Cette classe de service CoS bénéficie dans le plan de QoS d'une politique d'acheminement garanti au titre la signalisation réseau, afin d'éliminer les risques de pertes de paquets liées aux mécanismes de QoS au sein de ladite séquence de paquets obtenue à l'étape S304. 10 Comme pour la séquence nominale de paquets transmise à l'étape S302, la séquence de paquets obtenue à l'étape S304 peut être délimitée par au moins un paquet de début et par au moins un paquet de fin. Dans une variante de réalisation, la première application 141 transmet ladite séquence de paquets au cours de périodes temporelles prédéfinies et connues des seconde 142 et troisième 143 applications, 15 dans lesquelles la première application 141 est supposée transmettre la séquence nominale de paquets. Comme pour la séquence nominale de paquets transmise à l'étape S302, les paquets de la séquence de paquets obtenue à l'étape S304 sont transmis en s'appuyant sur un protocole de transport sans acquittement ni retransmission en cas de perte. Dans 20 un mode de réalisation préféré, les paquets de la séquence de paquets obtenue à l'étape S304 sont transmis en s'appuyant sur le protocole UDP. Dans une étape S305 suivante, la première application 141 transmet au moins une fois, à destination de la seconde application 142, cette autre séquence de paquets obtenue à l'étape S304. Préférentiellement, ladite séquence de paquets est transmise 25 au moins deux fois, de manière à contrer des pertes de paquets qui pourraient survenir en chemin. Préférentiellement, ladite séquence de paquets est colorée avec la classe de service CoS que la séquence nominale de paquets. Ensuite, la première application 141 effectue l'étape 5306. Il convient donc de noter que les étapes S304 et S305 sont optionnelles et 30 permettent avantageusement à la première application 141 d'indiquer à la troisième application 143 que l'information envoyée par la troisième application 143 à destination du domaine rouge a bien été reçue dans le domaine rouge. La Fig. 4 illustre schématiquement un algorithme, mis en oeuvre par la troisième application 143, pour permettre à la première application 141 de recevoir des 3039952 21 informations de la part de ladite troisième application 143 via la seconde application 142. Dans une étape 5401, la troisième application 143 reçoit une séquence de paquets de tailles respectives prédéfinies. Les paquets de ladite séquence sont 5 ordonnés selon un ordonnancement prédéfini en fonction de leurs tailles respectives. La séquence de paquets reçue à l'étape 5401 par la troisième application 143 correspond à une version chiffrée de la séquence nominale de paquets transmise par la première application 141 à l'étape 5302. Dans une étape S402 suivante, la troisième application 143 vérifie si la troisième 10 application doit fournir une information à la première application 141 et/ou à la seconde application 142 (i.e. au domaine rouge). Ladite information peut provenir d'une station de gestion réseau NMS, en charge de mettre en oeuvre des mécanismes FCAPS pour le domaine noir, selon le modèle ISO de gestion de réseau. D'une manière générale, ladite information peut provenir d'un équipement réseau du 15 domaine noir. Dans un mode de réalisation particulier, ladite information est représentative de conditions de transmission dans le domaine noir (e.g. indication de congestion). Dans un autre mode de réalisation particulier, ladite information est représentative d'une commande à appliquer par la première application 141 ou par la station de gestion 20 réseau NMS, voire une commande de changement d'état dans une machine d'états mise en oeuvre dans le domaine rouge (e.g. par la première application 141 ou par la station de gestion réseau NMS du domaine rouge). Dans un autre mode de réalisation particulier, ladite information est une information de changement d'état dans une machine d'états mise en oeuvre dans le domaine noir (e.g, par la troisième application 25 143). Si la troisième application 143 doit fournir une information à la première application 141 et/ou à la seconde application 142, une étape 5404 est effectuée ; sinon, une étape 5403 est effectuée. Dans l'étape 5403, la troisième application 143 propage sans modification, à 30 destination de la seconde application 142, la séquence de paquets reçue à l'étape S401. Puis, il est mis fin à l'algorithme de la Fig. 4. Dans l'étape 5404, la troisième application 143 obtient l'information à fournir à la première application 141 et/ou à la seconde application 142. 3039952 22 Dans une étape 5405 suivante, la troisième application 143 détermine un code correspondant à l'information à fournir. Chaque information potentiellement à transmettre à la première application 141 et/ou à la seconde application 142 correspond à un code dans une table de correspondance prédéterminée, dont les 5 première 141, seconde 142 et troisième 143 applications ont connaissance. Dans une étape 5406 suivante, la troisième application 143 applique des modifications à la séquence de paquets reçue à l'étape S401, par suppression d'au moins un paquet de ladite séquence, de manière représentative du code déterminé. La troisième application 143 encode ainsi l'information à fournir au domaine rouge. En 10 reprenant l'exemple abordé en relation avec la Fig. 3, la séquence de paquets reçue à l'étape 5401 est une succession de cinq paquets de tailles respectives TC1, TC2, TC3, TC4, TC5. Supposons que le code auquel correspond l'information à fournir implique de supprimer le paquet de taille TC3 pour fournir ladite information à la première application 141 et/ou à la seconde application 142, alors la troisième application 143 15 supprime le paquet de taille TC3 de la séquence de paquets reçue à l'étape 5401. Une telle modification de séquence de paquets est présentée ci-après en relation avec la Fig. 6B. Selon le code déterminé, plus d'un paquet peut être à supprimer de la séquence de paquets reçue à l'étape 5401. Une telle modification de séquence de paquets est présentée ci-après en relation avec la Fig. 6C. 20 Selon un mode de réalisation particulier reposant sur des codes binaires, la troisième application 143 obtient, grâce à la table de correspondance précédemment évoquée, un code binaire MI qui correspond à l'information à transmettre au domaine rouge. Le nombre de bits utilisables pour définir le code binaire MI, quelle que soit l'information à transmettre, est égal au nombre de paquets de tailles distinctes dans la 25 séquence nominale de paquets après chiffrement (qui est donc le même que le nombre de paquets de tailles distinctes dans la séquence nominale de paquets telle que transmise par la première application 141). Ensuite, chaque paquet de la séquence nominale de paquets après chiffrement telle que reçue par la troisième application 143 est stocké dans une mémoire tampon de type FIFO (First-In First-Out en anglais). Les 30 paquets sont traités les uns après les autres par la troisième application 143 de la manière suivante (sans obligatoirement attendre que tous les paquets de la séquence nominale de paquets après chiffrement ne soient reçus par la troisième application 143) : 3039952 23 - la troisième application 143 dépile un paquet de la mémoire tampon de type FIFO et en récupère la taille Tc ; - la troisième application 143 applique une fonction Fc à la taille Tc récupérée de sorte à obtenir un code binaire Mc. Le nombre de bits définissant le code binaire 5 Mc est égal au nombre de paquets de tailles distinctes dans la séquence nominale de paquets après chiffrement (qui est donc le même que le nombre de paquets de tailles distinctes dans la séquence nominale de paquets telle que transmise par la première application 141). La fonction Fc est une fonction bijective telle que, pour une taille de paquet donnée en entrée parmi les tailles possibles de la séquence nominale de 10 paquets après chiffrement, la fonction Fc retourne un code binaire avec un unique bit à la valeur « 1 » et les autres bits à la valeur « 0 ». Le code binaire Mc est donc représentatif de la taille du paquet dépilé ; - la troisième application 143 effectue une opération de ET logique entre les codes binaires MI et Mc. Lorsque le résultat de l'opération de ET logique est égal au 15 code binaire Mc, alors la troisième application 143 décide de ne pas supprimer ledit paquet et de le propager à destination de la seconde application 142 ; sinon, la troisième application 143 décide de supprimer ledit paquet et de ne pas le propager à destination de la seconde application 142. En d'autres termes, la troisième application 143 décide de supprimer ou pas ledit paquet en fonction du résultat d'une opération de 20 ET logique entre les codes binaires MI et Mc ; et - la troisième application 143 réitère ces opérations jusqu'à ce que tous les paquets de la séquence nominale de paquets après chiffrement telle que reçue par la troisième application 143 soient dépilés et traités. Dans une étape 5407 suivante, la troisième application 143 propage, à 25 destination de la seconde application 142, la séquence de paquets ainsi modifiée. Dans une étape S408 optionnelle suivante, la troisième application 143 maintient ces modifications pour chaque séquence nominale de paquets qui est reçue ultérieurement, jusqu'à remplir une condition prédéfinie. Dans un mode de réalisation particulier, la troisième application 143 maintient ces modifications pour chaque 30 séquence nominale de paquets qui est reçue ultérieurement, jusqu'à ce qu'une quantité prédéfinie Q de telles séquences nominales de paquets ait été ainsi modifiée. Cette quantité prédéfinie Q est telle que, après avoir maintenu ces modifications pour Q séquences nominales de paquets successives, il est considéré que la seconde application 142 a été capable de discriminer les modifications apportées par la 3039952 24 troisième application 143 d'éventuelles pertes de paquets liées à de mauvaises conditions de transmission entre le premier sous-réseau de communication 101 de type rouge et le second sous-réseau de communication 102 de type rouge. Selon un autre mode de réalisation particulier, la troisième application 143 maintient ces 5 modifications pour chaque séquence nominale de paquets qui est reçue ultérieurement, jusqu'à ce que la première application 141 acquitte positivement la réception de l'information qui a été fournie par la troisième application 143 grâce à ces modifications. Il est ainsi possible de s'affranchir de pertes de paquets pouvant survenir en chemin. 10 La Fig. 5 illustre schématiquement un algorithme, mis en oeuvre par la seconde application 142, pour permettre à la première application 141 de recevoir des informations de la part de la troisième application 143, à l'aide de ladite seconde application 142. Dans une étape S501, la seconde application 142 reçoit une séquence de 15 paquets. La séquence de paquets reçue est supposée être la séquence nominale de paquets transmise par la première application 141 à l'étape S302 (puisque la seconde passerelle de sécurité 122 a procédé à un déchiffrement), à moins que la troisième application 143 n'ait procédé à des modifications par suppression d'au moins un paquet par rapport à la séquence de paquets résultant du chiffrement par la passerelle 20 de sécurité 121 de la séquence nominale de paquets telle que transmise par la première application 141 à l'étape 5302. Il est aussi possible, en fonction des conditions de transmission dans le domaine noir, qu'un ou plusieurs paquets aient été perdus en chemin. Tous les paquets de ladite séquence sont supposés être reçus lorsqu'un délimiteur de fin de séquence est reçu par la seconde application 142, ou lorsqu'une 25 temporisation de durée prédéfinie est écoulée après réception du dernier paquet sans qu'un nouveau paquet pouvant correspondre à la même séquence de paquets ne soit reçu. Dans une étape S502 suivante, la seconde application 142 vérifie si la séquence de paquets reçue à l'étape S501 est complète, c'est-à-dire si la séquence de paquets 30 reçue à l'étape 5501 correspond à la séquence nominale de paquets. Dans un mode de réalisation particulier, si la séquence de paquets reçue à l'étape S501 est incomplète, la seconde application 142 attend de recevoir au moins un autre exemplaire de ladite séquence de paquets avant de déterminer quelle information est transmise par la troisième application 143 au domaine noir, pour confirmer que chaque paquet 3039952 25 manquant n'est pas dû à une perte en chemin. Si la séquence de paquets reçue à l'étape 5501 est complète, une étape 5503 est effectuée ; sinon, une étape 5504 est effectuée. Dans l'étape 5503, la seconde application 142 jette la séquence (nominale) de 5 paquets reçue à l'étape 5501, lorsqu'il est prévu que les paquets de ladite séquence contiennent des données fictives (dummy data en anglais). La seconde application 142 traite le contenu des paquets de ladite séquence, lorsqu'il est prévu que les paquets de ladite séquence contiennent des données utiles. Dans l'étape 5504, la seconde application 142 obtient une information qui a été 10 encodée par la troisième application 143 dans la séquence de paquets incomplète reçue à l'étape 5501. Comme détaillé en relation avec la Fig. 4, la troisième application 143 a encodé ladite information par suppression d'au moins un paquet par rapport à la séquence de paquets reçue en provenance de la première application 141. La seconde application 142 détecte chaque paquet manquant dans la séquence de 15 paquets incomplète et en déduit un code correspondant. Grâce à une table de correspondance prédéterminée, la seconde application 142 détermine à partir dudit code quelle information est fournie par la troisième application 143. En reprenant l'exemple abordé en relation avec les Figs. 3 et 4, la séquence de paquets reçue à l'étape 5501 est une succession de quatre paquets de tailles respectives Tl, T2, T4, T5 20 (la troisième application ayant supprimé le paquet de taille TC3). Le paquet de taille T3 ayant disparu de la séquence attendue de la part de la première application 141, la seconde application en déduit quelle information la troisième application 142 a voulu faire passer dans le domaine rouge. Dans ledit mode de réalisation particulier reposant sur des codes binaires, 25 chaque paquet de la séquence de paquets telle que reçue par la seconde application 142 est stocké dans une mémoire tampon de type FIFO. Les paquets sont traités les uns après les autres par la seconde application 142 de la manière suivante : - la seconde application 142 dépile un paquet de la mémoire tampon de type FIFO et en récupère la taille T ; 30 - la seconde application 142 applique une fonction F à la taille T récupérée de sorte à obtenir un code binaire M. Le nombre de bits définissant le code binaire M est égal au nombre de paquets de tailles distinctes dans la séquence nominale de paquets telle que transmise par la première application 141. La fonction F est une fonction bijective telle que, pour une taille de paquet donnée en entrée parmi les tailles 3039952 26 possibles de la séquence nominale de paquets, la fonction F retourne un code binaire avec un unique bit à la valeur « 1 » et les autres bits à la valeur « 0 ». La fonction F est en outre telle que, pour un paquet de taille T résultant après chiffrement par la passerelle de sécurité 121 en un paquet de taille Tc, F(T)=Fc(Tc). Le code binaire M 5 est donc représentatif de la taille du paquet dépilé ; - la seconde application 142 effectue une opération de OU logique entre le code binaire Met une variable MI' qui est un code binaire de même taille que le code binaire M. La variable MI' est initialisée à la valeur « 0 » avant de dépiler le tout premier paquet de la séquence de paquets telle que reçue par la seconde application 10 142. La variable MI' est mise à jour avec le résultat de ladite opération de OU logique ; et - la seconde application 142 réitère ces opérations jusqu'à ce que tous les paquets de la séquence de paquets telle que reçue par la seconde application 142 soient dépilés et traités. 15 Ainsi, après avoir dépilé et traité tous les paquets de la séquence de paquets telle que reçue par la seconde application 142, la variable MI' donne un code binaire représentatif de l'information que la troisième application 143 a voulu faire passer au domaine rouge. L'information que la troisième application 143 a voulu faire passer au domaine rouge peut alors être retrouvée grâce au code binaire de la variable MI' et de 20 la table de correspondance précédemment évoquée. Dans une étape 5505 suivante, la seconde application 142 transmet, à la première application 141, l'information obtenue à l'étape 5504. Dans un mode de réalisation préférentiel, la seconde application 142 transmet ladite information en utilisant un message dans un paquet coloré avec une classe de service CoS différente 25 de celle utilisée par la première application 141 pour transmettre la séquence nominale de paquets à l'étape 5302. Cela permet d'implémenter en parallèle un mécanisme similaire à celui décrit en relation avec les Figs. 3 à 5, mais dans le sens de communication depuis la seconde application 142 vers la première application 141, sans interférence entre ces mécanismes parallèles. Ce message est préférentiellement 30 envoyé en s'appuyant sur un protocole de transport avec acquittement et retransmission, afin de s'assurer de la bonne réception dudit message par la première application 141. Préférentiellement, ledit message est transmis en s'appuyant sur le protocole TCP (Transmission Control Protocol en anglais), tel que défini dans la norme RFC 793. 3039952 27 Les Figs. 3 à 5 détaillent un mécanisme dans lequel une information est transmise par la troisième application 143, localisée dans le domaine noir, vers la première application 141, localisée dans le domaine rouge et génératrice de la séquence nominale de paquets que la troisième application 143 est susceptible de 5 modifier, par suppression d'au moins un paquet, pour fournir ladite information. Ce mécanisme repose notamment sur un retour de la seconde application 142 vers la première application 141, ce qui permet à la première application 141 de recevoir ladite information fournie par la troisième application 143. Cela suppose que la première application 141 est destinataire de ladite information fournie par la troisième 10 application 143. Dans le cas où la seconde application 142 est destinataire de ladite information fournie par la troisième application 143, le retour de la seconde application 142 vers la première application 141 peut être omis, ou utilisé pour requérir que la première application 141 transmette une séquence de paquets représentative d'un acquittement positif de réception par la seconde application 142 de 15 ladite information fournie par la troisième application 143. La seconde application 142 ne transmet pas, dans ce cas, à la première application 141, ladite information fournie par la troisième application 143, mais une requête d'acquittement positif. De plus, dans ce cas, ladite information est traitée par la seconde application 142. La seconde application 142 peut alors propager ladite information à la station de gestion réseau 20 NMS, en charge de mettre en oeuvre des mécanismes FCAPS pour le domaine rouge, selon le modèle ISO de gestion de réseau. Comme mentionnée précédemment, ladite information peut être représentative de conditions de transmission dans le domaine noir (e.g. indication de congestion), ou d'une commande à appliquer par la seconde application 142 ou par la station de gestion réseau NMS. Ladite information peut aussi 25 être une commande de changement d'état dans une machine d'états mise en oeuvre dans le domaine rouge (e.g. par la seconde application 142 ou par la station de gestion réseau NMS du domaine rouge). Ladite information peut aussi être une information de changement d'état dans une machine d'états mise en oeuvre dans le domaine noir (e.g. par la troisième application 143). 30 Les Figs. 6A, 6B et 6C illustrent schématiquement des séquences de paquets apparaissant dans des échanges intervenant dans le cadre de l'exécution des algorithmes des Figs. 3 à 5. Les paquets sont représentés schématiquement par des rectangles, dont les hauteurs respectives sont représentatives des tailles desdits 3039952 28 paquets (ou dont les différences de hauteurs sont représentatives des différences relatives de tailles desdits paquets). La Fig. 6A représente schématiquement un exemple de succession de paquets telle qu'émise par la première application 141 à l'étape S302. La succession de 5 paquets commence par un paquet de début 60. Commence alors ladite séquence nominale de paquets, telle qu'obtenue par la première application 141 à l'étape 5301. Ladite séquence nominale de paquets présentée comporte un ensemble de cinq paquets 61, 62, 63, 64, 65 ordonnancés par taille croissante. Vient ensuite un paquet de fin 66. Les paquets de début 60 et de fin 66 ont des tailles respectives prédéfinies 10 distinctes, et ces tailles ne sont pas utilisées pour générer ladite séquence nominale de paquets. Lorsque la troisième application 143 n'a pas d'information à faire passer au domaine rouge, la seconde application 142 est supposée recevoir la succession de paquets telle qu'émise par la première application 141 à l'étape S302. Lorsque la troisième application 143 a une information à faire passer au domaine rouge, la 15 troisième application 143 retire au moins un paquet de la séquence reçue de la première application 141, et la seconde application 142 reçoit une séquence modifiée de paquets par rapport à la séquence nominale de paquets telle qu'émise par la première application 141 à l'étape S302. La Fig. 6B représente schématiquement un exemple de succession de paquets reçue par la seconde application 142 à l'étape S501, 20 lorsque la première application 141 a transmis à l'étape S302 la séquence nominale de paquets représentée à la Fig. 6A et que la troisième application a retiré le paquet 63 (dans sa version chiffrée) pour faire passer une information au domaine rouge. La Fig. 6C représente schématiquement un exemple de succession de paquets reçue par la seconde application 142 à l'étape 5501, lorsque la première application 141 a transmis 25 à l'étape S302 la séquence nominale de paquets représentée à la Fig. 6A et que la troisième application a retiré les paquets 61 et 63 (dans leurs versions chiffrées respectives) pour faire passer une information au domaine rouge. Par exécution des algorithmes des Figs. 3 à 5, la troisième application 143 peut faire passer une information au domaine rouge. La variété d'informations que la 30 troisième application 143 peut faire passer au domaine rouge dépend de la taille de la séquence nominale de paquets utilisée, c'est-à-dire la quantité de modifications possibles que la troisième application 143 est autorisée à appliquer sur la version chiffrée de la séquence nominale de paquets. Si par exemple la séquence nominale de paquets comporte cinq paquets de tailles respectives distinctes et que la troisième 3039952 29 application 143 est autorisée à ne supprimer qu'un paquet de la version chiffrée de la séquence nominale de paquets, alors la troisième application 143 peut faire passer cinq informations distinctes au domaine rouge. Si par exemple la séquence nominale de paquets comporte cinq paquets de tailles respectives distinctes et que la troisième 5 application 143 est autorisée à supprimer plusieurs paquets de la version chiffrée de la séquence nominale de paquets sans toutefois supprimer tous les paquets, alors la troisième application 143 peut faire passer trente informations distinctes au domaine rouge. Les informations que la troisième application 143 peut faire passer au domaine rouge sont par exemple des commandes prédéfinies, voire des commandes de 10 changement d'état dans une machine d'état implémentée au sein du domaine rouge. Ces informations que la troisième application 143 peut faire passer au domaine rouge sont par exemple des informations de changement d'état dans une machine d'état implémentée au sein du domaine noir. Un exemple de telles machines d'état est présenté ci-après en relation avec la Fig. 7. 15 La machine d'états représentée à la Fig. 7 comporte trois états 701, 702, 703, et est, de manière illustrative, décrite comme étant implémentée dans le domaine noir et la troisième application 143 informe la première application 141 de la progression au sein de la machine d'états. Un événement de transition 710 permet de passer de l'état 701 à l'état 702, un événement de transition 711 permet de passer de l'état 702 à l'état 20 703, un événement de transition 712 permet de passer de l'état 701 à l'état 703, un événement de transition 721 permet de revenir de l'état 702 à l'état 701, un événement de transition 722 permet de revenir de l'état 703 à l'état 702 et un événement de transition 723 permet de revenir de l'état 703 à l'état 701. Une séquence nominale de paquets comportant trois paquets de tailles respectives distinctes permet donc à la 25 troisième application 143 de passer des informations représentatives des événements de changement d'état dans la machine d'état représentée à la Fig. 7. Dans ce cadre de machine d'état, il est possible de réduire la quantité d'événements nécessaires pour gérer la machine d'états. L'événement de transition 721, permettant de revenir de l'état 702 à l'état 701, et l'événement de transition 722, permettant de revenir de l'état 30 703 à l'état 702, peuvent être identiques et signifier « passer à un état précédent dans une liste ordonnée prédéfinie des états de la machine d'état ». Pour ce faire, une taille particulière prédéfinie de paquets est utilisée. Cette taille particulière n'est pas utilisée dans le reste de la séquence nominale. La première application 141 transmet deux paquets de cette taille particulière dans la séquence nominale de paquets, par exemple 3039952 30 à la fin de ladite séquence nominale. Lorsque la troisième application 143 retire un paquet correspondant à la version chiffrée d'un de ces paquets de taille particulière, la troisième application 143 requiert de passer à un état de rang N-1 (en considérant que l'état actuel est de rang /V) dans une liste ordonnée prédéfinie des états de la machine 5 d'état (c'est-à-dire à l'état 701 si l'état actuel est l'état 701 et à l'état 702 si l'état actuel est l'état 703). 11 est possible de faire un saut de passer à un état de rang N-x, x> 1, dans la liste ordonnée prédéfinie des états de la machine d'état, en utilisant plus de paquets de cette taille particulière dans la séquence nominale de paquets. Par exemple, la première application 141 transmet trois paquets de cette taille particulière 10 dans la séquence nominale de paquets, par exemple à la fin de ladite séquence nominale. Lorsque la troisième application 143 retire un paquet correspondant à la version chiffrée d'un de ces paquets de taille particulière, la troisième application 143 requiert de passer à un état de rang N-1 dans la liste ordonnée prédéfinie des états de la machine d'état (i.e. à l'état 701 si l'état actuel est l'état 701 et à l'état 702 si l'état 15 actuel est l'état 703), et lorsque la troisième application 143 retire un paquet correspondant à la version chiffrée d'un de ces paquets de taille particulière, la troisième application 143 requiert de passer à un état de rang N-2 dans la liste ordonnée prédéfinie des états de la machine d'état (i.e. à l'état 701 si l'état actuel est l'état 703). Cette approche est particulièrement intéressante dans le cas où la machine 20 d'états comporte une grande quantité d'états. Les Figs. 8A et 8B illustrent schématiquement des séquences de paquets apparaissant dans des échanges intervenant dans le cadre de la gestion de la machine d'états présentée à la Fig. 7. Comme pour les Figs. 6A à 6C, les paquets sont représentés schématiquement par des rectangles, dont les hauteurs respectives sont 25 représentatives des tailles desdits paquets (ou dont les différences de hauteurs sont représentatives des différences relatives de tailles desdits paquets). La Fig. 8A représente schématiquement un exemple de succession de paquets telle qu'émise par la première application 141 à l'étape S302. La succession de paquets commence par le paquet de début 60. Commence alors ladite séquence 30 nominale de paquets, telle qu'obtenue par la première application 141 à l'étape S301. Ladite séquence nominale de paquets présentée comporte un ensemble de cinq paquets. Les paquets 61, 62, 63 déjà présents à la Fig. 6A, et deux paquets 64 de taille particulière identique. Les paquets sont ordonnancés dans ladite séquence nominale par taille croissante. Vient ensuite le paquet de fin 66. Lorsque la troisième application 3039952 31 143 n'a pas d'information à faire passer au domaine rouge, la seconde application 142 est supposée recevoir la succession de paquets telle qu'émise par la première application 141 à l'étape S302. Lorsque la troisième application 143 a une information à faire passer au domaine rouge, la troisième application 143 retire au moins un 5 paquet de la séquence reçue de la première application 141, et la seconde application 142 reçoit une séquence modifiée de paquets par rapport à la séquence nominale de paquets telle qu'émise par la première application 141 à l'étape S302. La Fig. 8B représente schématiquement un exemple de succession de paquets reçue par la seconde application 142 à l'étape S501, lorsque la première application 141 a transmis 10 à l'étape S302 la séquence nominale de paquets représentée à la Fig. 8A et que la troisième application 143 a retiré un des paquets 64 (dans sa version chiffrée) pour demander au domaine rouge de passer à un état de rang N-1 dans la liste ordonnée prédéfinie des états de la machine d'état. Les tables de correspondance utilisées par les première 141, seconde 142 et 15 troisième 143 applications peuvent être prédéfinies à l'installation du système de communication. Il est cependant possible que les première 141, seconde 142 et troisième 143 applications ne connaissent a priori pas toutes les spécificités des passerelles de sécurité 121, 122, de sorte que les première 141, seconde 142 et troisième 143 applications ne savent a priori pas quelles modifications de taille 20 apporte la passerelle de sécurité 121 lors du chiffrement, en fonction des tailles des paquets transmis par la première application 141. En effet, il est possible que, pour certaines tailles de paquets transmis par la première application 141, la passerelle de sécurité 121 insère des données de bourrage (padding data en anglais) lors de l'opération de chiffrement, de sorte que deux paquets de tailles distinctes transmis par 25 la première application 141 se retrouvent avec une même taille après chiffrement. Pour déterminer les tailles de paquets utilisables pour construire la séquence nominale de paquets, les première 141, seconde 142 et troisième 143 applications mettent préférentiellement en place une phase d'initialisation, décrite ci-après en relation avec les Figs. 9 à 11. 30 La Fig. 9 illustre schématiquement un algorithme, mis en oeuvre par la première application 141, dans le cadre de la phase d'initialisation. Dans une étape S901, la première application 141 effectue, avec la seconde application 142, un échange de déclenchement de la phase d'initialisation. Pour ce faire, la première application 141 transmet à la seconde application un message 3039952 32 indiquant que la première application 141 souhaite déclencher la procédure d'initialisation. Ce message est préférentiellement envoyé en s'appuyant sur un protocole de transport avec acquittement et retransmission, afin de s'assurer de la bonne réception dudit message par la seconde application 142. Préférentiellement, 5 ledit message est transmis en s'appuyant sur le protocole TCP. La première application 141 reçoit alors un message de réponse de la part de la seconde application 142. Si le message de réponse inclut une information indiquant que la seconde application 142 est prête à déclencher la procédure d'initialisation, une étape S902 est effectuée ; sinon, l'étape 5901 est réitérée ultérieurement. 10 Au moment où la phase d'initialisation est déclenchée, les première 141, seconde 142 et troisième 143 applications considèrent qu'il existe deux tailles de paquets utilisables pour construire la séquence nominale de paquets qui permet de faire passer des informations du domaine noir au domaine rouge : une taille minimale et une taille maximale. Du point de vue des première 141 et seconde 142 applications, 15 la taille minimale correspond à la taille que chaque paquet transmis par la première application 141 à destination de la seconde application 142 doit avoir au minimum, et la taille maximale correspond à la taille que chaque paquet transmis par la première application 141 à destination de la seconde application 142 peut avoir au maximum. Du point de vue de la troisième application 143, la taille minimale correspond à la 20 taille après chiffrement d'un paquet ayant une taille égale à la taille que chaque paquet transmis par la première application 141 à destination de la seconde application 142 doit avoir au minimum, et la taille maximale correspond à la taille après chiffrement d'un paquet ayant une taille égale à la taille que chaque paquet transmis par la première application 141 à destination de la seconde application 142 peut avoir au 25 maximum. La taille que chaque paquet transmis par la première application 141 à destination de la seconde application 142 doit avoir au minimum et la taille maximale correspond à la taille que chaque paquet transmis par la première application 141 à destination de la seconde application 142 peut avoir au maximum sont telles que, après chiffrement, les paquets correspondants ont des tailles distinctes. 30 Dans l'étape S902, la première application 141 obtient une séquence d'initialisation. La séquence d'initialisation est constituée d'un enchaînement remarquable de paquets de tailles respectives prédéfinies. Chaque paquet de la séquence d'initialisation est soit de taille égale à la taille maximale MTU (Maximum Transmission Unit en anglais) des paquets transmis sans fragmentation dans le 3039952 33 domaine rouge, soit de taille égale à la taille minimale des paquets transmis dans le domaine rouge. Pour les réseaux de communication cités en partie introductive, une taille maximale MTU de 1300 octets est généralement admise au niveau des équipements réseau du domaine rouge, pour rester cohérente avec la taille d'entêtes 5 ajoutés par les passerelles de sécurité et ne pas dépasser dans le domaine noir la taille maximale fixée par des modems satellites (taille maximale MTU égale à 1500 octets à ce niveau). L'agencement de la séquence d'initialisation est connu des première 141, seconde 142 et troisième 143 applications. La séquence d'initialisation comporte préférentiellement en outre un autre 10 ensemble de paquets destinés à permettre à la troisième application 143 d'effectuer un acquittement, par suppression d'au moins un des paquets dudit autre ensemble. Par exemple, ledit autre ensemble comporte au moins deux paquets, au moins un paquet de taille égale à ladite taille minimale et au moins un paquet de taille égale à ladite taille maximale. La troisième application 143 est alors supposée supprimer au moins 15 un paquet de taille égale à ladite taille minimale lorsque la troisième application 143 ne souhaite pas lancer la phase d'initialisation (acquittement négatif), et est supposée supprimer au moins un paquet de taille égale à ladite taille maximale sinon (acquittement positif). Cet aspect est détaillé ci-après en relation avec la Fig. 10. Dans une étape S903 suivante, la première application 141 transmet, à 20 destination de la seconde application 142, la séquence d'initialisation obtenue à l'étape S901. Comme pour la séquence nominale de paquets transmise à l'étape 5302, la séquence d'initialisation (après chiffrement) est destinée à être interceptée par la troisième application 143. Un équipement réseau du domaine noir sur le chemin de 25 transit depuis le premier sous-réseau de communication 101 de type rouge jusqu'au second sous-réseau de communication 102 de type rouge, comme par exemple l'équipement réseau 113, est adapté pour discriminer les paquets de la séquence d'initialisation (après chiffrement) parmi les paquets transportés dans le domaine noir et pour router lesdits paquets jusqu'à la troisième application 143. 30 Comme pour la séquence nominale de paquets transmise à l'étape S302, les paquets de la séquence d'initialisation sont transmis en s'appuyant sur un protocole de transport sans acquittement ni retransmission en cas de perte. Dans un mode de réalisation préféré, les paquets de la séquence d'initialisation sont transmis en s'appuyant sur le protocole UDP. 3039952 34 Les paquets de la séquence d'initialisation sont alors reçus par la passerelle de sécurité 121 qui procède alors à un chiffrement desdits paquets. Après chiffrement, les paquets de la séquence d'initialisation sont transmis dans le domaine noir, afin d'être traités par la troisième application 143 comme décrit ci-après en relation avec la 5 Fig. 10. Dans un mode de réalisation particulier, la séquence d'initialisation est colorée avec une classe de service CoS dédiée, e.g en utilisant un code de classe de service DSCP dédié. Préférentiellement, la séquence d'initialisation est colorée avec la même classe de service CoS que la séquence nominale de paquets. Ainsi, la séquence d'initialisation est préférentiellement colorée avec la classe de service CoS de plus 10 forte priorité parmi les classes de service CoS non utilisées dans le plan de qualité de service QoS mis en oeuvre dans le système de communication (préférentiellement, en utilisant un code de classe de service DSCP de niveau CS5 ou d'ordre supérieur), afin de réduire les latences de transport subies par la séquence d'initialisation et diminuer les risques de pertes de paquets au sein de la séquence d'initialisation. Cette classe de 15 service CoS bénéficie dans le plan de QoS d'une politique d'acheminement garanti au titre la signalisation réseau, afin d'éliminer les risques de pertes de paquets liées aux mécanismes de QoS au sein de ladite séquence d'initialisation. Dans une étape S904 suivante, la première application 141 se met en attente d'un acquittement positif en provenance de la seconde application 142. Comme 20 détaillé ci-après en relation avec les Figs. 10 et 11, un tel acquittement positif est représentatif du fait que la seconde application 142 a détecté la séquence d'initialisation transmise par la première application 141 à l'étape S903 et que la troisième application 143 a indiqué avoir reconnu la version chiffrée de la séquence d'initialisation transmise par la première application 141 à l'étape S903. Si dans un 25 laps de temps prédéterminé, aucun acquittement positif n'est reçu en provenance de la seconde application 142, ou si un acquittement négatif est reçu en provenance de la seconde application 142, une étape S905 est effectuée. Sinon, une étape S907 est effectuée. Dans l'étape S905, la première application 141 vérifie si une quantité maximum 30 prédéfinie d'essais a été atteinte pour mettre en oeuvre la phase d'initialisation. Si tel est le cas, une étape S906 est effectuée, au cours de laquelle il est mis fin à l'algorithme de la Fig. 9 ; sinon, l'étape 5903 est réitérée. L'implémentation d'un mécanisme d'acquittement vis-à-vis de la séquence d'initialisation est optionnelle, et permet avantageusement de s'assurer que les 3039952 seconde 142 et troisième 143 applications ont bien détecté la séquence d'initialisation transmise par la première application 141 à l'étape S903. Dans l'étape 5907, la première application 141 obtient une séquence de test. La séquence de test consiste en un enchaînement prédéfini de l'ensemble des tailles de 5 paquets utilisables (sans prendre en compte d'éventuelles restrictions liées à la passerelle de sécurité 121) pour générer la séquence nominale de paquets qui permet de faire passer des informations du domaine noir au domaine rouge. Chaque paquet de la séquence de test a une taille différente. Dans la séquence de test, les paquets sont ordonnés par taille croissante ou par taille décroissante. 10 Dans une étape S908 suivante, la première application 141 transmet, à destination de la seconde application 142, la séquence de test obtenue à l'étape S907. Comme pour la séquence d'initialisation transmise à l'étape S903, la séquence de test (après chiffrement) est destinée à être interceptée par la troisième application 143. Un équipement réseau du domaine noir sur le chemin de transit depuis le premier 15 sous-réseau de communication 101 de type rouge jusqu'au second sous-réseau de communication 102 de type rouge, comme par exemple l'équipement réseau 113, est adapté pour discriminer les paquets de la séquence de test (après chiffrement) parmi les paquets transportés dans le domaine noir et pour router lesdits paquets jusqu'à la troisième application 143. 20 Les paquets de la séquence de test sont alors reçus par la passerelle de sécurité 121 qui procède alors à un chiffrement desdits paquets. Après chiffrement, les paquets de la séquence de test sont transmis dans le domaine noir, afin d'être traités par la troisième application 143 comme décrit ci-après en relation avec la Fig. 10. Dans un mode de réalisation particulier, la séquence de test est colorée avec une 25 classe de service CoS dédiée, e.g. en utilisant un code de classe de service DSCP dédié. Préférentiellement, la séquence de test est colorée avec la même classe de service CoS que la séquence nominale de paquets. Ainsi, la séquence de test est préférentiellement colorée avec la classe de service CoS de plus forte priorité parmi les classes de service CoS non utilisées dans le plan de qualité de service QoS mis en 30 oeuvre dans le système de communication (préférentiellement, en utilisant un code de classe de service DSCP de niveau CS5 ou d'ordre supérieur), afin de réduire les latences de transport subies par la séquence de test et diminuer les risques de pertes de paquets au sein de la séquence de test). Cette classe de service CoS bénéficie dans le plan de QoS d'une politique d'acheminement garanti au titre la signalisation réseau, 3039952 36 afin d'éliminer les risques de pertes de paquets liées aux mécanismes de QoS au sein de ladite séquence de test. Comme pour la séquence nominale de paquets transmise à l'étape S302, les paquets de la séquence de test sont transmis en s'appuyant sur un protocole de 5 transport sans acquittement ni retransmission en cas de perte. Dans un mode de réalisation préféré, les paquets de la séquence de test sont transmis en s'appuyant sur le protocole UDP. Dans une étape S909 suivante, la première application 141 se met en attente d'une liste de paquets en provenance de la seconde application 142. Cette liste 10 contient un descriptif de chacun des paquets de la séquence de test que la seconde application 142 a effectivement reçu. En effet, comme détaillé ci-après en relation avec la Fig. 10, la troisième application 143 est susceptible de supprimer un ou plusieurs paquets de la séquence de test, pour signifier que plusieurs paquets après chiffrement sont de même taille, alors que les paquets de la séquence de test avant 15 chiffrement ont des tailles respectives distinctes. Dans une étape S910 suivante, la première application 141 sélectionne une table de correspondance applicable d'après la liste de paquets reçue à l'étape S909, et ce parmi un ensemble prédéfini de tables de correspondance possibles. Plus la liste reçue à l'étape S909 contient de paquets de tailles distinctes, plus la variété d'informations 20 que la troisième application 143 peut faire passer au domaine rouge est grande. Sélectionner la table de correspondance définit la séquence nominale de paquets à utiliser, puisque cela définit le nombre de paquets de tailles distinctes que la première application 141 peut utiliser pour permettre à la troisième application 143 de faire passer une information au domaine rouge. 25 Dans ledit mode de réalisation particulier à base de codes binaires, chaque table de correspondance est associée de manière prédéfinie à une fonction F et à une fonction Fc. Sélectionner la table de correspondance revient à imposer la fonction F et aussi la fonction Fc, de sorte que les traitements effectués par les première 141, seconde 142 et troisième 143 applications soient cohérents entre eux. 30 Dans une étape S911 suivante, la première application 141 transmet, à destination de la seconde application 142, une séquence de paquets représentative de la table de correspondance sélectionnée à l'étape S910. Ladite séquence comporte donc un premier ensemble de paquets qui est représentatif de la table de correspondance sélectionnée à l'étape S910. Chaque paquet dudit premier ensemble 3039952 37 est de taille égale soit à ladite taille maximale, soit à ladite taille minimale, et ledit premier ensemble est une succession de tels paquets de telle sorte que les tailles respectives des paquets successifs dudit premier ensemble représentent la table de correspondance sélectionnée à l'étape 5910. 5 La séquence de paquets représentative de la table de correspondance sélectionnée à l'étape S910 est destinée à être interceptée par la troisième application 143. Un équipement réseau du domaine noir sur le chemin de transit depuis le premier sous-réseau de communication 101 de type rouge jusqu'au second sous-réseau de communication 102 de type rouge, comme par exemple l'équipement réseau 113, est 10 adapté pour discriminer les paquets de ladite séquence (après chiffrement) parmi les paquets transportés dans le domaine noir et pour router lesdits paquets jusqu'à la troisième application 143. La séquence de paquets représentative de la table de correspondance sélectionnée à l'étape S910 comporte préférentiellement en outre un second ensemble 15 de paquets destiné à permettre à la troisième application 143 d'effectuer un acquittement, par suppression d'au moins un des paquets dudit second ensemble. Par exemple, ledit second ensemble comporte au moins deux paquets, au moins un paquet de taille égale à ladite taille minimale et au moins un paquet de taille égale à ladite taille maximale. La troisième application 143 est alors supposée supprimer au moins 20 un paquet de taille égale à ladite taille minimale lorsque la troisième application 143 est en désaccord avec la table de correspondance sélectionnée par la première application 141 (acquittement négatif), et est supposée supprimer au moins un paquet de taille égale à ladite taille maximale sinon (acquittement positif), ou vice versa. Cet aspect est détaillé ci-après en relation avec la Fig. 10. 25 Dans un mode de réalisation particulier, la séquence de paquets représentative de la table de correspondance sélectionnée à l'étape S910 est colorée avec une classe de service CoS dédiée, e.g. en utilisant un code de classe de service DSCP dédié. Préférentiellement, la séquence de paquets représentative de la table de correspondance sélectionnée à l'étape S910 est colorée avec la même classe de service 30 CoS que la séquence nominale de paquets. Ainsi, la séquence de paquets représentative de la table de correspondance sélectionnée à l'étape S910 est préférentiellement colorée avec la classe de service CoS de plus forte priorité parmi les classes de service CoS non utilisées dans le plan de qualité de service QoS mis en oeuvre dans le système de communication (préférentiellement, en utilisant un code de 3039952 38 classe de service DSCP de niveau CS5 ou d'ordre supérieur), afin de réduire les latences de transport subies par la séquence de paquets représentative de la table de correspondance sélectionnée à l'étape S910 et diminuer les risques de pertes de paquets au sein de la séquence de paquets représentative de la table de correspondance 5 sélectionnée à l'étape S910. Cette classe de service CoS bénéficie dans le plan de QoS d'une politique d'acheminement garanti au titre la signalisation réseau, afin d'éliminer les risques de pertes de paquets liées aux mécanismes de QoS au sein de ladite séquence de paquets représentative de la table de correspondance sélectionnée à l'étape S910. 10 Comme pour la séquence nominale de paquets transmise à l'étape S302, les paquets de la séquence de paquets représentative de la table de correspondance sélectionnée à l'étape S910 sont transmis en s'appuyant sur un protocole de transport sans acquittement ni retransmission en cas de perte. Dans un mode de réalisation préféré, les paquets de la séquence de paquets représentative de la table de 15 correspondance sélectionnée à l'étape 5910 sont transmis en s'appuyant sur le protocole UDP. Dans une étape S912 suivante, la première application 141 se met en attente d'un acquittement positif en provenance de la seconde application 142. Comme détaillé ci-après en relation avec les Figs. 10 et 11, cet acquittement positif est 20 représentatif du fait que la seconde application 142 a détecté que la troisième application 143 a indiqué avoir reçu la version chiffrée de la séquence de paquets représentative de la table de correspondance sélectionnée à l'étape S910, et donc à appliquer dans le cadre de l'exécution des Figs. 3 à 5. Si un acquittement positif est reçu, une étape S913 est effectuée, au cours de laquelle la première application 141 25 décide d'appliquer, dans le cadre de l'exécution des Figs. 3 à 5, la table de correspondance sélectionnée à l'étape S910 ; sinon, une étape S914 est effectuée, au cours de laquelle il est mis fin à l'algorithme de la Fig. 9. La Fig. 10 illustre schématiquement un algorithme, mis en oeuvre par la troisième application 143, dans le cadre de la phase d'initialisation. 30 Dans une étape S1001, la troisième application 143 reçoit une version chiffrée de la séquence d'initialisation transmise par la première application 141 à l'étape S903 Dans une étape S1002 optionnelle suivante, la troisième application 143 modifie la séquence d'initialisation par suppression d'au moins un paquet, pour indiquer que la 3039952 39 troisième application 143 a reconnu la version chiffrée de la séquence d'initialisation transmise par la première application 141 à l'étape S903. Dans un mode de réalisation particulier déjà évoqué, la séquence d'initialisation comporte en outre un autre ensemble de paquets destinés à permettre à la troisième application 143 d'effectuer un 5 acquittement, par suppression d'au moins un des paquets dudit autre ensemble. Par exemple, ledit autre ensemble comporte au moins deux paquets, au moins un paquet de taille égale à ladite taille minimale et au moins un paquet de taille égale à ladite taille maximale. La troisième application 143 est alors supposée supprimer au moins un paquet de taille égale à ladite taille minimale lorsque la troisième application 143 10 ne souhaite pas lancer la phase d'initialisation (acquittement négatif), et est supposée supprimer au moins un paquet de taille égale à ladite taille maximale sinon (acquittement positif). Dans une étape SI003 suivante, la troisième application 143 propage, à destination de la seconde application 142, la séquence d'initialisation (sous forme 15 chiffrée), éventuellement modifiée à l'étape S1002. Dans une étape 51004 suivante, la troisième application 143 reçoit une autre séquence de paquets. Cette autre séquence de paquets est une version chiffrée de la séquence de test transmise par la première application 141 à l'étape S908. Dans une étape 51005 suivante, la troisième application 143 modifie 20 éventuellement la séquence de paquets reçue à l'étape 51004. La troisième application 143 parcourt les paquets de ladite séquence de paquets dans leur ordre d'arrivée, et en analyse les tailles respectives. Lorsque la troisième application 143 rencontre une taille de paquet déjà rencontrée dans le parcours de ladite séquence de paquets, la troisième application 143 supprime le paquet correspondant de ladite séquence de 25 paquets. En d'autres termes, la troisième application 143 supprime les doublons de taille dans la séquence de paquets reçue à l'étape S1004. Comme déjà mentionné, ces doublons de taille peuvent survenir suite à une insertion de données de bourrage par la passerelle de sécurité 121 pendant les opérations de chiffrement des paquets de la séquence de test émise par la première application 141 à l'étape 5908. Etant donné 30 que la séquence de test émise par la première application 141 repose sur des paquets ordonnancés par taille croissante ou décroissante, les doublons de taille sont des paquets successifs dans la séquence de paquets reçue à l'étape 51004. 3039952 Dans une étape S1006 suivante, la troisième application 143 propage, à destination de la seconde application 142, la séquence de test (sous forme chiffrée) éventuellement modifiée à l'étape S1005. Dans une étape 51007 suivante, la troisième application 143 se met en attente de 5 recevoir une séquence de paquets représentative de la table de correspondance sélectionnée par la première application 141. Ladite séquence de paquets est celle transmise par la première application 141 à l'étape S911. Dans une étape S1008 suivante, la troisième application 143 stocke une information représentative de la table de correspondance sélectionnée par la première 10 application 141, de manière à appliquer, dans le cadre de l'exécution des Figs. 3 à 5, la table de correspondance sélectionnée par la première application 141. Si la troisième application 143 est en désaccord avec la table de correspondance sélectionnée par la première application 141, la troisième application 143 n'effectue pas l'étape S1008. Dans le mode de réalisation particulier à base de codes binaires déjà évoqué, 15 chaque table de correspondance est associée de manière prédéfinie à une fonction Fc à appliquer pour retrouver un code binaire à partir d'une taille de paquet chiffré. La troisième application 143 sélectionne donc la fonction Fc à appliquer dans le cadre de l'exécution des Figs. 3 à 5. Dans une étape S1009 optionnelle suivante, la troisième application 143 modifie 20 la séquence de paquets reçue à l'étape S1007, par suppression d'au moins un paquet, pour indiquer si la troisième application 143 est d'accord avec la table de correspondance sélectionnée par la première application 141. Comme indiqué en relation avec la Fig. 9, ladite séquence de paquets comporte préférentiellement un ensemble de paquets destinés à permettre à la troisième application 143 d'effectuer un 25 acquittement, par suppression d'au moins un des paquets dudit ensemble. Par exemple, ledit ensemble comporte au moins deux paquets de tailles distinctes, à savoir au moins un paquet de taille égale à ladite taille minimale et au moins un paquet de taille égale à ladite taille maximale. La troisième application 143 supprime au moins un paquet de taille égale à ladite taille minimale lorsque la troisième application 143 30 est en désaccord avec la table de correspondance sélectionnée par la première application 141 (acquittement négatif), et supprime au moins un paquet de taille égale à ladite taille maximale sinon (acquittement positif).. Dans une étape S1010 suivante, la troisième application 143 propage, à destination de la seconde application 142, la séquence modifiée à l'étape S1009. 3039952 41 La Fig. 11 illustre schématiquement un algorithme, mis en oeuvre par la seconde application 142, dans le cadre de la phase d'initialisation. Dans une étape 51101, la seconde application 142 effectue, avec la première application 141, un échange de déclenchement de la phase d'initialisation. Pour ce 5 faire, la seconde application 142 reçoit de la première application 141 un message indiquant que la première application 141 souhaite déclencher la procédure d'initialisation. Sur réception de ce message, la seconde application 142 répond à la première application 141 avec un message de réponse. Si la seconde application 142 est prête à déclencher la procédure d'initialisation, le message de réponse inclut une 10 information indiquant que la seconde application 142 est prête à déclencher la procédure d'initialisation, et une étape S1102 est effectuée ; sinon, l'étape 51101 est réitérée ultérieurement. Ce message de réponse est préférentiellement envoyé en s'appuyant sur un protocole de transport avec acquittement et retransmission, afin de s'assurer de la bonne réception dudit message par la première application 141. 15 Préférentiellement, ledit message est transmis en s'appuyant sur le protocole TCP. Dans l'étape S1102, la seconde application 142 reçoit une séquence de paquets. Cette séquence de paquets est supposée correspondre à la séquence d'initialisation transmise par la première application 141 à l'étape S903, éventuellement modifiée par la troisième application 143 à l'étape S1002. Considérons par la suite que la troisième 20 application 143 est supposée modifier la séquence d'initialisation (dans sa version chiffrée) pour fournir un acquittement. Dans une étape S1103 suivante, la seconde application 142 vérifie si la séquence de paquets reçue à l'étape S1102 est complète, c'est-à-dire si la séquence de paquets reçue à l'étape SI 101 correspond à la séquence d'initialisation telle que transmise par 25 la première application 141 à l'étape S903. Si tel est le cas, cela signifie que la troisième application 143 n'a pas reconnu la version chiffrée de la séquence d'initialisation transmise par la première application 141 à l'étape S903, et la seconde application 142 envoie alors, dans une étape 51103, un acquittement négatif à la première application 141. Si la séquence de paquets reçue à l'étape SI 101 est 30 incomplète et que la modification correspond à une indication que la troisième application 143 a reconnu la version chiffrée de la séquence d'initialisation transmise par la première application 141 à l'étape 5903 (modification optionnellement appliquée par la troisième application 143 à l'étape S1002), alors la seconde application 142 envoie, à l'étape S1103, un acquittement positif à la première 3039952 42 application 141 ; sinon, la seconde application 142 envoie, à l'étape S1103, un acquittement négatif à la première application 141. Ensuite, une étape S1104 est effectuée. Dans le cas où la troisième application n'est pas supposée modifier la séquence d'initialisation (dans sa version chiffrée) pour fournir un acquittement, 5 l'algorithme de la Fig. 11 passe directement de l'étape S1102 à l'étape S1104. Dans l'étape 51104 suivante, la seconde application 142 reçoit une séquence de test, éventuellement modifiée suite aux opérations effectuées par la troisième application 143 à l'étape S1005. La séquence de test reçue par la seconde application 142 peut donc être différente de celle transmise par la première application 141 à 10 l'étape S908. La séquence de test reçue par la seconde application 142 à l'étape S1104 contient des paquets qui sont de tailles distinctes, puisque les éventuels doublons ont été supprimés par la troisième application 143 à l'étape S1005. Dans une étape S1105 suivante, la seconde application 142 détermine une liste de tailles de paquets présents dans la séquence de test reçue à l'étape S1104. Ce sont 15 ces tailles de paquets qui peuvent être distinctement utilisées par la première application 141 pour générer la séquence nominale de paquets qui permet à la troisième application 143 de faire passer des informations au domaine rouge. Dans une étape S1106 suivante, la seconde application 142 transmet, à la première application 141, la liste de tailles de paquets déterminée à l'étape S1105. 20 Dans une étape S1107 suivante, la seconde application 142 reçoit une séquence de paquets représentative de la table de correspondance sélectionnée par la première application 141. Ladite séquence de paquets est celle qui a été éventuellement modifiée par la troisième application 143 à l'étape S1009. La modification éventuellement apportée par la troisième application 143 à l'étape S1009 indique si la 25 troisième application 143 est d'accord avec la table de correspondance sélectionnée par la première application 141. Si la troisième application 143 n'est pas d'accord avec la table de correspondance sélectionnée par la première application 141, la seconde application 142 propage un acquittement négatif à destination de la première application 141 et met fin à l'algorithme de la Fig. 11. Sinon, dans une étape S1108 30 suivante, la seconde application 142 stocke une information représentative de la table de correspondance sélectionnée par la première application 141, de manière à appliquer, dans le cadre de l'exécution des Figs. 3 à 5, la table de correspondance sélectionnée par la première application 141. Dans le mode de réalisation particulier à base de codes binaires déjà évoqué, chaque table de correspondance est associée de 3039952 43 manière prédéfinie à une fonction F à appliquer pour retrouver un code binaire à partir d'une taille de paquet non chiffré. La seconde application 142 sélectionne donc la fonction F à appliquer dans le cadre de l'exécution des Figs. 3 à 5. La première application 141 peut faire de même. Puis, dans une étape 51109 suivante, la seconde 5 application 142 propage un acquittement positif à destination de la première application 141 et met fin à l'algorithme de la Fig. 11. Ainsi par exécution des algorithmes des Figs. 9 à 11, une table de correspondance adapté(e) au fonctionnement de la passerelle de sécurité 121 est sélectionnée par la première application 141 parmi un ensemble prédéfini de tables de 10 correspondance. REVENDICATIONS1/ Procédé de transmission d'une information à destination d'une première application (141) et/ou d'une seconde application (142) depuis une troisième application (143), la première application étant exécutée dans un premier sous-réseau (101) de type rouge et la seconde application dans un second sous-réseau de type rouge (102), la troisième application étant exécutée dans un réseau (103) de type noir, chaque sous-réseau de type rouge étant de niveau de sécurité supérieur au réseau de type noir, les premier et second sous-réseaux de type rouge étant interconnectés via le réseau de type noir par un tunnel sécurisé entre une première passerelle de sécurité (121) du premier sous-réseau de type rouge et une seconde passerelle de sécurité (122) du second sous-réseau de type rouge appliquant des opérations de chiffrement et de déchiffrement telles que chaque premier paquet de plus petite taille qu'un second paquet résulte après chiffrement en un premier paquet chiffré de taille inférieure ou égale à la taille du paquet résultant du chiffrement du second paquet, caractérisé en ce que : la première application transmet (S302) à destination de la seconde application une séquence nominale de paquets, les paquets de ladite séquence nominale étant ordonnés selon un ordonnancement prédéfini en fonction de leurs tailles respectives, et ladite séquence nominale étant telle qu'il est possible de déterminer sans ambiguïté en réception la taille de chaque paquet qui aurait été retiré de ladite séquence ; un équipement réseau (113) du réseau de type noir sur un chemin obligatoire dudit tunnel sécurisé route vers la troisième application chaque paquet de ladite séquence nominale après chiffrement de la première passerelle ; lorsque la troisième application souhaite transmettre ladite information à destination de la première application et/ou de la seconde application, la troisième application effectue des modifications (S406) de ladite séquence nominale après chiffrement de la première passerelle, par suppression d'au moins un paquet, chaque paquet supprimé étant fonction de ladite information, et propage (S407) les paquets de ladite séquence après chiffrement de la première passerelle qui n'ont pas été supprimés ; lorsque la troisième application ne souhaite pas transmettre d'information à destination de la première application et/ou de la seconde application, la troisième 3039952 45 application propage (S403) les paquets de ladite séquence nominale après chiffrement de la première passerelle ; sur réception (S501) d'une séquence de paquets supposée être la séquence nominale de paquets, la seconde application vérifie (S502) si au moins un paquet a été 5 supprimé par la troisième application ; et lorsque la seconde application détecte qu'au moins un paquet a été supprimé par la troisième application, la seconde application retrouve (S504) ladite information à partir de la taille de chaque paquet ainsi supprimé de ladite séquence nominale de paquets. 10 2/ Procédé selon la revendication 1, caractérisé en ce que la séquence nominale de paquets est délimitée par au moins un paquet de début (60) et au moins un paquet de fin (66) de tailles respectives prédéfinies qui ne sont pas utilisées au sein de ladite séquence nominale de paquets. 15 3/ Procédé selon l'une quelconque des revendications 1 et 2, caractérisé en ce que les paquets de la séquence nominale de paquets sont colorés avec une classe de service prédéfinie, et en ce que ledit équipement réseau du réseau de type noir route chaque paquet ainsi coloré, en provenant du premier sous-réseau de type rouge, vers la 20 troisième application. 4/ Procédé selon l'une quelconque des revendications 1 à 3, caractérisé en ce que, lorsque la troisième application a transmis ladite information à destination de la première application et/ou de la seconde application, la première application transmet 25 (S305) à destination de la seconde application une autre séquence de paquets représentative d'un acquittement positif de réception de ladite information, les paquets de ladite autre séquence étant ordonnés selon un ordonnancement prédéfini en fonction de leurs tailles respectives, et en ce que ledit équipement réseau du réseau de type noir route vers la troisième application chaque paquet de ladite autre séquence 30 après chiffrement de la première passerelle. 5/ Procédé selon l'une quelconque des revendications 1 à 4, caractérisé en ce que la troisième application maintient (S408) les modifications pour chaque séquence 3039952 46 nominale de paquets qui est reçue ultérieurement, jusqu'à remplir une condition prédéfinie. 6/ Procédé selon la revendication 5, caractérisé en ce que, lorsque la seconde 5 application reçoit une séquence nominale de paquets modifiée, la seconde application attend de recevoir au moins un autre exemplaire de ladite séquence de paquets modifiée avant de déterminer quelle information est transmise par la troisième application à destination de la première application et/ou de la seconde application. 10 7/ Procédé selon l'une quelconque des revendications 1 à 6, caractérisé en ce que chaque information potentiellement à transmettre de la troisième application à la première application et/ou à la seconde application correspond à un code dans une table de correspondance prédéterminée, ladite information correspondant à un code binaire MI dans ladite table de correspondance, 15 en ce que la troisième application répète les étapes suivantes pour chaque paquet jusqu'à ce que tous les paquets de la séquence nominale de paquets après chiffrement soient traités : - récupérer la taille Tc dudit paquet ; - appliquer une fonction Fc à la taille Tc récupérée de sorte à obtenir un code 20 binaire Mc, la fonction Fc étant une fonction bijective telle que, pour une taille de paquet donnée en entrée parmi les tailles possibles de la séquence nominale de paquets après chiffrement, la fonction Fc retourne un code binaire avec un unique bit à la valeur « 1 » et les autres bits à la valeur « 0 » ; - supprimer ou pas ledit paquet en fonction du résultat d'une opération de ET 25 logique entre les codes binaires MI et Mc ; et en ce que la seconde application répète les étapes suivantes pour chaque paquet jusqu'à ce que tous les paquets de la séquence supposée être la séquence nominale de paquets soient traités : - récupérer la taille T dudit paquet ; 30 - appliquer une fonction F à la taille T récupérée de sorte à obtenir un code binaire M, la fonction F est une fonction bijective telle que, pour une taille de paquet donnée en entrée parmi les tailles possibles de la séquence nominale de paquets, la fonction F retourne un code binaire avec un unique bit à la valeur « 1 » et les autres bits à la valeur « 0 », et en outre telle que, pour un paquet de taille T résultant après 3039952 47 chiffrement par la première passerelle de sécurité en un paquet de taille Tc, F(T)=Fc(Tc) ; et - mettre à jour une variable MI', initialisée à la valeur « 0 » pour le tout premier paquet de la séquence supposée être la séquence nominale de paquets, avec le 5 résultat d'une opération de OU logique entre le code binaire Met la variable MI' ; et en ce que la variable MI' donne un code binaire représentatif de ladite information au sein de la table de correspondance précédemment évoquée. 8/ Procédé selon l'une quelconque des revendications 1 à 7, caractérisé en ce 10 que ladite information est représentative d'une commande de changement d'état dans une machine d'états. 9/ Procédé selon la revendication 8, caractérisé en ce qu'une taille particulière de paquet est représentative d'une action de passage à un état précédent dans une liste 15 ordonnée prédéfinie des états de la machine d'état, et la première application transmet au moins deux paquets (64) de cette taille particulière dans la séquence nominale de paquets, cette taille particulière n'étant pas utilisée dans le reste de la séquence nominale, et en ce que la troisième application supprime une quantité x de paquets de ladite taille particulière au sein de ladite séquence nominale après chiffrement de la 20 première passerelle pour représenter un passage à un état de rang N-x. 10/ Procédé selon l'une quelconque des revendications 1 à 9, caractérisé en ce qu'une phase d'initialisation est préalablement implémentée comme suit : - la première application transmet (S908) à destination de la seconde 25 application une séquence de test consistant en un enchaînement prédéfini de l'ensemble des tailles de paquets utilisables pour générer ladite séquence nominale de paquets, chaque paquet de la séquence de test ayant une taille différente et lesdits paquets sont ordonnés par taille croissante ou décroissante ; - ledit équipement réseau du réseau de type noir route vers la troisième 30 application chaque paquet de ladite séquence de test après chiffrement de la première passerelle ; - la troisième application supprime (S1005) chaque doublon de taille dans la séquence de test après chiffrement de la première passerelle et propage (S1006) la séquence de test ainsi modifiée vers la seconde application ; et 3039952 48 - lorsque la seconde application reçoit (S1104) une séquence de paquets supposée être la séquence de test, la seconde application détermine (S1105) les tailles de paquets qui n'ont pas été supprimés par la troisième application, ces tailles de paquets pouvant alors être distinctement utilisées pour générer ladite séquence 5 nominale de paquets, et en informe (S1106) la première application. 11/ Procédé selon la revendication 10, caractérisé en ce que les paquets de la séquence de test sont colorés avec une classe de service prédéfinie, et en ce que ledit équipement réseau du réseau de type noir route chaque paquet ainsi coloré, en 10 provenant du premier sous-réseau de type rouge, vers la troisième application. 12/ Procédé selon l'une quelconque des revendications 10 et 1 I , caractérisé en ce que la phase d'initialisation est préalablement comme suit : - la première application transmet (S903) à destination de la seconde 15 application une séquence d'initialisation constituée d'un enchaînement remarquable de paquets, la taille de chaque paquet de la séquence d'initialisation est soit égale à une taille maximale sans fragmentation dans les premier et second sous-réseaux de type rouge, soit égale à une taille minimale de paquet dans les premier et second sous-réseaux de type rouge ; et 20 - ledit équipement réseau du réseau de type noir route vers la troisième application chaque paquet de ladite séquence d'initialisation après chiffrement de la première passerelle. 13/ Procédé selon la revendication 12, caractérisé en ce que les paquets de la 25 séquence d'initialisation sont colorés avec une classe de service prédéfinie, et en ce que ledit équipement réseau du réseau de type noir route chaque paquet ainsi coloré, en provenant du premier sous-réseau de type rouge, vers la troisième application. 14/ Procédé selon l'une quelconque des revendications 12 et 13, caractérisé en 30 ce que chaque information potentiellement à transmettre de la troisième application à la première application et/ou à la seconde application correspond à un code dans une table de correspondance prédéterminée, et : - la première application transmet (S91 1) à destination de la seconde application une séquence de paquets représentative d'une table de correspondance 3039952 49 sélectionnée parmi un ensemble prédéfini de tables de correspondance en fonction des tailles de paquets qui n'ont pas été supprimés par la troisième application au sein de la séquence de test, et ladite séquence de paquets représentative de la table de correspondance sélectionnée comporte un premier ensemble de paquets représentatif 5 de la table de correspondance sélectionnée et un second ensemble destiné à permettre à la troisième application d'en effectuer un acquittement par suppression d'au moins un paquet dudit second ensemble, la taille de chaque paquet de la séquence de paquets représentative de la table de correspondance sélectionnée est soit égale à la taille maximale sans fragmentation dans les premier et second sous-réseaux de type rouge, 10 soit égale à la taille minimale de paquet dans les premier et second sous-réseaux de type rouge ; et - ledit équipement réseau du réseau de type noir route vers la troisième application chaque paquet de ladite séquence de paquets représentative de la table de correspondance sélectionnée après chiffrement de la première passerelle. 15 15/ Système de transmission d'une information à destination d'une première application (141) et/ou d'une seconde application (142) depuis une troisième application (143), la première application étant exécutée dans un premier sous-réseau (101) de type rouge et la seconde application dans un second sous-réseau (102) de 20 type rouge, la troisième application étant exécutée dans un réseau (103) de type noir, chaque sous-réseau de type rouge étant de niveau de sécurité supérieur au réseau de type noir, les premier et second sous-réseaux de type rouge étant interconnectés via le réseau de type noir par un tunnel sécurisé entre une première passerelle de sécurité (121) du premier sous-réseau de type rouge et une seconde passerelle de sécurité (122) 25 du second sous-réseau de type rouge appliquant des opérations de chiffrement et de déchiffrement telles que chaque premier paquet de plus petite taille qu'un second paquet résulte après chiffrement en un premier paquet chiffré de taille inférieure ou égale à la taille du paquet résultant du chiffrement du second paquet, caractérisé en ce que : 30 - la première application est adaptée pour transmettre (S302) à destination de la seconde application une séquence nominale de paquets, les paquets de ladite séquence nominale étant ordonnés selon un ordonnancement prédéfini en fonction de leurs tailles respectives, et ladite séquence nominale étant telle qu'il est possible de 3039952 50 déterminer sans ambiguïté en réception la taille de chaque paquet qui aurait été retiré de ladite séquence ; un équipement réseau (113) du réseau de type noir sur un chemin obligatoire dudit tunnel sécurisé est adapté pour router vers la troisième application 5 chaque paquet de ladite séquence nominale après chiffrement de la première passerelle ; lorsque la troisième application souhaite transmettre ladite information à destination de la première application et/ou de la seconde application, la troisième application est adaptée pour effectuer (S406) des modifications de ladite séquence 10 nominale après chiffrement de la première passerelle, par suppression d'au moins un paquet, chaque paquet supprimé étant fonction de ladite information, et pour propager (S407) les paquets de ladite séquence après chiffrement de la première passerelle qui n'ont pas été supprimés ; lorsque la troisième application ne souhaite pas transmettre d'information 15 à destination de la première application et/ou de la seconde application, la troisième application est adaptée pour propager (S403) les paquets de ladite séquence nominale après chiffrement de la première passerelle ; sur réception (S501) d'une séquence de paquets supposée être la séquence nominale de paquets, la seconde application est adaptée pour vérifier (S502) si au 20 moins un paquet a été supprimé par la troisième application ; et lorsque la seconde application détecte qu'au moins un paquet a été supprimé par la troisième application, la seconde application est adaptée pour retrouver (S504) ladite information à partir de la taille de chaque paquet ainsi supprimé de ladite séquence nominale de paquets. 25