Brevet FR3038758A1 — publié le 20170113

Description de l'invention : Plateforme de sécurité centralisée de la gestion des identités et des droit d'accès LAN et WAN au système d'information (SI) et cloud au moyen d'un ou plusieurs terminaux mobiles avec système transpondeur à plusieurs facteurs d'authentification indépendant : biométrie, géolocalisation, ID unique, équipé d'un cryptage propriétaire et d'un clavier virtuel dynamique et aléatoire tous les deux unique pour chaque application, comprenant une gestion de présence en temps réel et en continu. Domaine technique: La présente invention concerne un système de sécurité centralisée qui administre, contrôle et surveille l'accès des utilisateurs aux ressources, aux applications et aux informations en interne et par web au moyen d'un mobile (smartphone, tablette) en offrant une sécurité optimale avec plusieurs facteurs d'authentification indépendant (biométrie, ID unique, géolocalisation, cryptage et clavier virtuel dynamique unique) lié à un transpondeur garantissant l'accès aux informations critiques et pertinentes de l'entreprise dans le respect de l'importance de la visibilité et du contrôle concernant les droits et les autorisations d'accès de chacun, la gestion de présence en temps réel et en continu se fera en utilisant la technologie (DTN) Delay Tolerant Networks qui est une technologie pour la communication dans des conditions "extrêmes" qui adoptent une logique «store and forward», plus adaptée aux connectivités intermittentes, et aux liens à latence élevée et taux d'erreur binaire élevé. Technique antérieure: Nous connaissons à ce jour diverses solutions permettant d'administrer, contrôler et surveiller l'accès des utilisateurs aux ressources, aux applications et aux informations. Leurs niveaux de sécurité va par défaut, de la faiblesse du caractère purement déclaratif à l' « identité régalienne » établie de façon forte. Les dispositifs d'authentification disponibles dans les services en ligne sont variés. Les plus courants s'appuient sur des mots de passe, avec des exigences plus ou moins complexes (longueurs, caractères spéciaux, ...) ; les dispositifs d'authentification plus avancés se développent et se répandent : cartes à puce associées à un code secret, envoi de code secret sur le téléphone mobile... Dans un cadre professionnel, pour protéger l'accès au système d'information, les entreprises, les organisations professionnelles et les administrations disposent, pour certaines (notamment lorsqu'il y a d'importants enjeux de confidentialité ou de traçabilité), de dispositifs d'identification appuyées sur des cartes à puce. En interne de l'entité considérée, le système d'identification et le système de 3038758 2 gestion de droits peut s'appuyer sur un annuaire exhaustif de l'ensemble des employés ; la question de l'identifiant commun n'est normalement pas un problème. A contrario, le système d'information interne est souvent très varié technologiquement : si le cadre d'emploi des téléprocédures s'appuie essentiellement sur des technologies de l'internet, fortement standardisées, les systèmes d'information internes sont souvent constitués d'un empilement historique de nombreuses technologies, qui disposent de gestions de droits variées et pas vraiment simples à faire converger. Nous avons effectué des recherches sur cinq critères: -Le premier concerne les solutions complètes de gestion d'identité avec les mots clés " gestion? and identités?" et nous avons trouvé 206 résultats. Sur ces 206 résultats, trois ont retenu notre attention sur des points similaires à savoir: Le brevet N- W02009000276A1 Titre : "Système de Gestion d'identités permettant d'attribuer aux utilisateurs finaux des droits d'accès à des systèmes couplés à un serveur central" Nous avons en commun un serveur qui centralise les droits d'accès mais notre système diffère dans la gestion des accès et dans la manière où notre serveur central corrèle les informations et les droits d'accès, par nos facteurs d'authentification indépendant lié à notre système transpondeur et à l'utilisation de la technologie (DTN) Delay Tolerant Networks. Le brevet N-EP1760647A2 Titre : " Procédé et dispositif de gestion de fichiers avec des dispositifs mobiles, un logiciel correspondant et une mémoire correspondante lisible par ordinateur " Nous avons en commun l'utilisation d'un smartphone pour l'accès au fichier toutefois notre système diffère sur la manière d'accéder au fichier et sur leur utilisation. Nous manipulons des fichiers qui seront stockés sur des machines virtuelles accessibles qu'à cet instant. De plus le smartphone dans notre cas est utilisé en tant que moyen d'authentification et non d'outils pour manipuler des fichiers enfin nous différons de par nos facteurs d'authentification indépendant lié à notre système transpondeur. Le brevet N- FR2963516A1 Titre: "Méthode d'authentification d'un utilisateur du réseau internet disposant d'un téléphone mobile du type smartphone" Nous avons en commun l'utilisation d'un smartphone en tant que moyen d'authentification mais notre système diffère sur le fait que nous utilisons le smartphone pour recevoir des identifiants temporaires, et non comme simple application pour saisir 3038758 3 un mot de passe qui est envoyé au serveur. De plus notre application possède un cryptage qu'il lui est propre et par nos facteurs d'authentification indépendant lié à notre système transpondeur. -Le deuxième concerne les dongle RFID-GPS avec les mots clés "RFID? and GPS?" et nous avons trouvé 54 résultats. Sur ces 54 résultats, tous combine ces deux technologies dans le cadre d'une utilisation de localisation de produits ou d'objets mais aucun n'utilise la combinaison de ces deux technologies dans le cadre d'authentification et de transpondeur comme notre système. -Le troisième concerne les dongle Bluetooth-GPS avec les mots clés "Bluetooth? and GPS?" et nous avons trouvé 69 résultats. Sur ces 69 résultats, deux ont retenu notre attention sur des points similaires à savoir: Le brevet N- W02009073291A2 Titre : "Modification du Fonctionnement d'un dispositif mobile en utilisant des relations de proximité" Ce système inventé par Microsoft permet d'échanger du contenu si deux mobiles sont à proximités et utilise un réseau non cellulaire (Bluetooth RFID wifi ect...) la position GPS est utilisée pour définir la position des deux mobiles pour envoyer une alerte indiquant que l'autre dispositif mobile est à proximité. Notre système est diffèrent puisqu'il permet de donner la localisation d'un PC afin que cette information soit confrontée à la position d'un smartphone. Cette confrontation donnera lieu ou non à une connexion ou à une interruption de connexion si toute fois le smartphone s'éloigne du PC. Le brevet N-W00158098A2 Titre : "Détermination de la position à l'aide de dispositif Bluetooth" Ce système permet de partager la position GPS à tous les dispositifs à proximité. Notre système lui différe en ce qu'il utilise un dongle qui fournit une position GPS au PC et le smartphone qui possède sa propre position GPS qui sera confrontée pour une authentification forte et comme transpondeur pour maintenir la connexion. -Le quatrième concerne les serrures NFC avec les mots clés "serrure? and NFC?" et nous avons trouvé 7 résultats. Sur ces 7 résultats, les 7 ont retenu notre attention sur le point similaire qu'elles sont toutes pilotables par un portable comme notre système mais diffèrent dans le sens à savoir pour: 3038758 4 Le brevet N- FR 2945177 (A1) Titre : "Système de programmation et de gestion sécurisées pour serrures comportant des moyens de communication sans contact et commandables par un téléphone portable NFC Ce système utilise un smartphone pour programmer une serrure électronique avec un algorithme unique pour chaque serrure couplée. Nous avons en commun l'utilisation d'un smartphone et d'une serrure électronique qui communique par NFC. Toutefois nous utilisons le smartphone comme moyen d'authentification auprès du serveur gérant les accès au travers de la serrure NFC qui ne sert que de moyen de liaison. Le brevet N-FR 2945137 (A1) Titre : "Système de programmation d'une serrure comportant des moyens de communication sans contact de type NFC " Ce système utilise un smartphone pour programmer et ensuite pouvoir actionner la serrure électronique par NFC. Notre système diffère dans le fait que le smartphone en lui seul ne permet pas d'actionner la serrure électronique, la gestion d'ouverture étant effectuée par le serveur après authentification du smartphone par le biais de la NFC via la serrure. Le brevet N-FR 2945162 (A1) Titre :" Système d'alimentation externe d'une serrure comportant des moyens de communication sans contact de type NFC" Ce système permet d'actionner une serrure électronique avec un smartphone par le biais de la NFC. La serrure électronique ne recoit pas d'alimentation extérieure mais la reçoit par le smartphone pour son fonctionnement via la NFC. Notre système diffère dans un premier temps sur le fait que le smartphone communique seulement au travers de la serrure avec le serveur via la NFC de la serrure. En suite que l'alimentation et l'ordre d'ouverture sont fournis par le serveur. Le brevet EP 2425581 (A1) Titre : "Système de programmation d'une serrure comportant des moyens de communication sans contact de type NFC" et le brevet EP 2425405 (A1) Titre : "Système de programmation et de gestion sécurisées pour serrures comportant des moyens de communication sans contact et commandables par un téléphone portable NFC" Ces 2 systèmes permettent de programmer une serrure électronique via la NFC chacun de façon différente. Notre système ne gère pas la programmation de la serrure. 3038758 Le brevet EP 2425516 (A2) Titre :" Système d'alimentation externe d'une serrure comportant des moyens de communication sans contact de type NFC" Ce système permet une alimentation de la serrure par le smartphone. Notre système ne gère pas l'alimentation de la serrure par la NFC Le brevet WO 2012073265 (A1) Titre : "Procédé de contrôle et de gestion de clés d'accès à des espaces délimités par des serrures électroniques et éléments analogues, et dispositif pouvant être activé en tant que clé conformément audit procédé" Dans ce système la demande d'authentifiant ce fait par un ordinateur qui envoi à un serveur, qui génère à son tour des clés envoyées sous GPRS au smartphone pour actionner la serrure via NFC. Notre système fonctionne de façon similaire dans son architecture mais diffère dans le sens que l'ensemble des échanges se fait uniquement via NFC; que nous utilisons un cryptage unique pour chaque smartphone; que notre serrure n'est pas autonome la vérification se faisant par le serveur qui autorise ou non l'ouverture; que nous utilisons un élément supplémentaire, une caméra IP qui à chaque demande d'accès va zoomer sur la zone et procédera d'une part à un enregistrement en cas d'échec mais aussi s'assurera qu'une autre personne ne profitera pas de l'accès en même temps. Ce système permet de programmer une serrure électronique via la NFC. Notre système ne gère pas la programmation de la serrure. -Le cinquième concerne la technologie DTN Delay Tolerance Networks avec les mots clés "delay? and tolerance? and network?" et nous avons trouvé 22 résultats. Sur ces 22 résultats aucun n'est pertinent au regard de notre invention. Exposé de l'invention: Problème Technique : Selon le CLUSIF aujourd'hui, la multiplication et la diversité de systèmes de contrôle d'accès liés aux systèmes d'exploitation et aux applications est devenue particulièrement contre-productive. En effet, chaque « système» (OS, NOS, messagerie, groupware, applications métiers, ERP, CRM, etc.) est protégé par une procédure de contrôle d'accès spécifique. De fait, chaque fonction à réaliser peut nécessiter un code d'accès et des droits associés. Cette multiplicité de contrôles d'accès est source de confusion pour l'utilisateur qui, par exemple, perd ou oublie ses mots de passe. Il lui reste alors deux solutions : soit il sollicite le service de help-desk, au risque de l'engorger en lui faisant perdre trop de temps à réinitialiser très souvent des mots de passe, soit il note lesdits codes sur un support à sa portée pour ne plus les oublier ! Bien 3038758 6 entendu, aucune de ces solutions n'est satisfaisante... D'une manière générale, chaque système d'exploitation et/ou application est géré par un administrateur unique ; de fait, toute vision globale est impossible. Dans ce cas, l'administration autonome de chaque système est particulièrement source d'erreurs, de vulnérabilités et de perte de temps. Généralement, les nouveaux arrivants se voient attribuer plus ou moins rapidement certaines ressources (un bureau, un téléphone, un badge d'accès, un PC, etc.), mais ne peuvent pas travailler, faute de droits d'accès. Ceci est notamment du au fait que le délai d'attribution des ressources et des droits est trop long, que les circuits d'attribution sont trop « lourds», etc. Ils doivent même souvent se débrouiller seuls : trouver le bon responsable pour l'accès à telle base de données, à telle application, à l'Intranet, etc. La liste des interlocuteurs est à la mesure de la complexité du Système d'Information. D'autre part, on est rarement certain d'avoir supprimé tous les droits dont disposait un employé partant ou d'avoir mis à jour les droits d'un employé en cas de changement de fonction et de ce fait le Système d'Information regorge souvent de comptes dits « fantômes» (dormants et/ou périmés). De plus, les comptes techniques génériques, installés par défaut, par les systèmes d'exploitation et/ou les applications, ne sont pas toujours modifiés, voire supprimés, induisant d'autres failles. Ceci étant d'autant plus grave que ces mots de passe sont facilement accessibles sur Internet... De même, certaines personnes utilisent, lorsqu'elles arrivent dans l'entreprise, des comptes utilisateurs « génériques» et partagés, simplement du fait de la durée importante de création de leur propre compte. Enfin, l'audit et la traçabilité sont souvent les parents pauvres de la mise en oeuvre des droits d'accès des utilisateurs. Pourtant, de plus en plus, les entreprises doivent respecter des normes, des lois et/ou des réglementations strictes en matière de politique de contrôle interne. Par défaut, les éléments de « création de compte » sont déclaratifs. Dans de nombreux cas, la délivrance d'un service commercial peut se contenter de ce caractère déclaratif des informations. Néanmoins, certaines obligations légales peuvent s'imposer à l'offreur de service, qui doit « s'assurer de l'identité de la personne ». Certains services délivrés par des entreprises nécessitent réellement un très haut niveau de garantie des éléments d'identité pour l'accès aux ressources. Une fois le compte créé, une fois l'utilisateur connu du service en ligne, il est nécessaire à chaque nouvelle occasion, de se connecter, de se faire reconnaître par le service, avec un dispositif d'authentification servant à s'assurer que la personne qui se connecte est bien celle qui est associée au compte. Les dispositifs d'authentification 3038758 7 disponibles dans les services en ligne sont variés. Les plus courants s'appuient sur des mots de passe, avec des exigences plus ou moins complexes (longueurs, caractères spéciaux, ...) ; les dispositifs d'authentification plus avancés se développent et se répandent : cartes à puce associées à un code secret, envoi de code secret sur le téléphone mobile... La multiplicité des moyens d'authentification, notamment lorsqu'il s'agit de mots de passe, est pénalisante pour les utilisateurs des services, qui sont tentés de réutiliser de nombreuses fois les mêmes mots de passe, ce qui constitue un risque important de captation et d'utilisation frauduleuse. En parallèle, le fournisseur de service doit multiplier les dispositifs de vérification, qui peuvent finir par être coûteux. Pour les administrations la gestion des accès et des identités consiste le plus souvent à faire le lien entre la personne qui se connecte et le « compte » dont dispose l'administration. Dans la situation et dans ce cadre, il est généralement nécessaire que l'administration et l'usager en question partagent une information qu'un tiers ne pourra pas connaître (un secret), que l'usager saisira pour prouver qu'il est bien celui qui correspond au dossier. Pour exemples : Le service de consultation sur internet du solde des points du permis de conduire exige de l'internaute la production d'un code secret qu'il obtiendra auprès de la préfecture ; les services numériques de la CAF exigeront de l'allocataire la production d'un code secret qu'il aura obtenu par courrier de sa CAF ; les services numériques des impôts exigeront du représentant du foyer fiscal qu'il communique des informations qui figurent sur un avis d'imposition envoyé à domicile. Ainsi, le « dossier personnel » peut être rattaché à l'individu mais Il est important de noter que la mise en place d'un tel dispositif présente de nombreuses failles de sécurité en aucun cas ne peuvent garantir d'authentification forte. Par ailleurs une forme de carte d'identité numérique, ne permettrait pas à elle seule de résoudre simplement la difficulté pour un système donné de « faire le lien » entre l'individu qui décline son identité, et le « dossier individuel » lui correspondant ceci est fondamentalement lié au fait que les différents systèmes d'information des administrations s'appuient sur des identifiants distincts exemple : le système de gestion des permis de conduire est organisé autour du numéro de permis de conduire, le système d'information des caisses d'allocations familiales est organisé autour du numéro d'allocataire, le système d'information des impôts est organisé autour de l'identifiant fiscal, attaché au foyer fiscal. La multiplicité des identifiants différents constitue, de façon évidente, un frein à la capacité de mutualiser les moyens 3038758 8 d'identification et d'authentification des usagers et un frein à l'organisation de procédures transverses entre plusieurs administrations et cela conduit néanmoins à rendre complexe et peu performant le développement des services en ligne et de la transversalité entre administrations. Et paradoxalement, le recoupement des informations entre ensembles de données constituées d'un agrégat de traces, d'informations publiquement disponibles et de données stockées dans les systèmes d'information, n'a jamais été aussi simple avec les technologies de « big data » appliquées au « data mining » Le développement de procédures numériques transverses à plusieurs administrations demande un alignement de la gestion des identités dans ces procédures ; il ne s'agit pas seulement d'organiser l'interopérabilité des moyens d'authentification, mais véritablement d'organiser le transfert ou le partage de données entre administrations. Ceci exige un alignement des formats, des définitions, de l'organisation des données, voir des règles de gestion sur ces données, dans les systèmes d'information de l'Etat qui doivent s'appuyer sur les données d'identité, ou des données attachées à un individu (adresse par exemple). Les données relatives aux moyens d'identification et authentification (système de mot de passe, de certificats, de carte, ...), à l'identité de la personne telle qu'elle est connue dans le système, aux rôles et aux droits associés à cette personne, doivent nécessairement être distingués dans les systèmes d'information, à défaut de quoi l'interopérabilité ou l'évolutivité peuvent être difficiles. Dans un cadre professionnel, pour protéger l'accès au système d'information, les entreprises, les organisations professionnelles et les administrations disposent, pour certaines (notamment lorsqu'il y a d'importants enjeux de confidentialité ou de traçabilité), de dispositifs d'identification appuyées sur des cartes à puce. Les réflexions précédentes s'appliquent à ce cadre professionnel, avec néanmoins quelques différences : En interne de l'entité considérée, le système d'identification et le système de gestion de droits peut s'appuyer sur un annuaire exhaustif de l'ensemble des employés ; la question de l'identifiant commun n'est normalement pas un problème. A contrario, le système d'information interne est souvent très varié technologiquement : si le cadre d'emploi des téléprocédures s'appuie essentiellement sur des technologies de l'internet, fortement standardisées, les systèmes d'information internes sont souvent constitués d'un empilement historique de nombreuses technologies, qui disposent de gestions de droits variées et pas vraiment simples à faire converger. Les employés ou agents de 3038758 9 l'entité considérée peuvent être amenés à devoir utiliser des systèmes tiers, sur lesquels il paraît pertinent de pouvoir utiliser le même moyen d'identification. Il faut que le système tiers puisse accorder des droits d'accès, après « enrôlement », à chacun des employés ou agents qui doivent en bénéficier. Les mécanismes à mettre en place peuvent à nouveau être de plusieurs natures, en fonction de la répartition des responsabilités : Dans le cas idéal, le droit d'accès se déduit du « rôle » dont dispose l'employé ou l'agent, que son employeur a défini et enregistré dans un système accessible aux tiers ; A défaut, un enrôlement « au cas par cas » est nécessaire. Et s'agissant des administrations de l'Etat et ses agences à ce jour, les systèmes d'identification internes des structures, des annuaires, des gestions de droits, ... ne sont pas mutualisés, et faiblement interopérables. Ils sont uniquement alignés, s'agissant de l'authentification par carte à puce et certificat, sur le respect du RGS, et sur les couches technologiques les plus profondes. Au moment où les systèmes d'information transversaux et mutualisés de l'Etat se multiplient, et avec le partage d'infrastructures communes, il apparaît indispensable de mettre en place un Socle commun de gestion des identités et des accès pour les agents au sein du système d'information de l'Etat, Socle contenant à minima un référentiel commun des agents, un système harmonisé d'authentification, des schémas de partage et de reconnaissance de rôles (un cadre de sécurité et un cadre technique communs, des cadres d'usages liés aux besoins de l'entité) Le déploiement de dispositifs référencés RGS permet d'assurer un alignement progressif vers des moyens d'authentification mutualisés, utilisables dans l'ensemble des systèmes. Néanmoins, la chaîne de certification ne garantit que la qualité de l'identification (le cas échéant de la signature électronique) de l'agent, mais n'est pas conçue pour gérer le rôle de la personne identifiée, et par voie de conséquence les droits associés à ce rôle. A ce jour certains moyens d'authentification de la gestion d'identité et de la gestion des rôles ont recours à un service de « porte-clés » d'authentification, indépendant ou non de l'identité régalienne en ligne, qui trouve son usage par l'utilisation du smartphone objet utilisé dans tous les foyers. Toutefois si l'usage du smartphone permet d'éviter divers moyens d'authentifications tel que carte à puce, dongle, token les solutions développées ne proposent que des facteurs d'identifications indépendant présentés comme fort mais qui malheureusement ne solutionnent pas les points de problématique évoqués plus haut et présentent des failles de sécurité. 3038758 Concernant la gestion de présence dans l'entreprise elle se fait souvent par le biais de badge qui peuvent être oublié ou égaré, qui ne garantissent pas le plus souvent que le porteur est bien le détenteur et qui, si ils font appel à des technolologies biométriques ne permettent pas de savoir avec assurance et en temps réel si le porteur est toujours bien présent et où il se trouve avec certitude dans l'entreprise. Solution Technique: Notre solution de Gestion des Identités et des Accès est une solution de cybersécurité sur mesure et unique à chaque utilisateur et pour chaque SI mais aussi dans la manière dont nous combinons diverses technologies propriétaire pour gérer la totalité du SI. Ce système est innovant de part: - 1) Ses cinq facteurs d'authentification indépendant fort : ID unique lié à l'IMEI et au numéro de téléphone du terminal mobile ou au numéro de série du processeur et toute autre information unique et pertinente liée à l'appareil selon le terminal utilisé, Un cryptage des données qui est unique à chaque utilisateur avec une corrélation de position GPS valeur de répudiation, Un clavier virtuel crypté aléatoire et dynamique unique à chaque utilisateur, Une identification biométrique, Un password. - 2) Par sa conception architecturale que nous avons étudié et qui centralise la gouvernance en un seul point du SI permettant entre autre la gestion des profils fantômes et des droits d'accès en temps réel, et dans sa gestion des habilitations renforcée par un système embarqué virtuel que ne se forme qu'au moment où la personne se logge pour avoir accès à ses ressources, - 3) Par notre technologie qui génèrent des identifiants temporaires cryptés et utilisés pour garantir les accès aux ressources conçu pour mettre en échec toutes les techniques d'interception et d'usurpation connues à ce jour tel que : Social Engineering, Man In The Middle (MITM) Virus (trojan), Screenschot, Watering hole. - 4) Par la corrélation de diverses informations ou appareils afin d'empêcher toute utilisation frauduleuse qui en plus d'une authentification par biométrie, utilise la géo localisation pour vérifier l'authentification. Un système de répudiation étant utilisé au cas où une anomalie ce produirait pendant l'authentification. De plus par notre liaison 3038758 11 transpondeur utilisée pour renforcer la sécurité si un client s'éloigne de son poste la communication sera interrompue immédiatement. - 5) Par l'utilisation de la technologie DTN Delay Tolerant Networks qui est une technologie pour la communication dans des conditions "extrêmes" qui adoptent une logique «store and forward», plus adaptée aux connectivités intermittentes, et aux liens à latence élevée et taux d'erreur binaire élevé qui permet la gestion de présence en temps réel et en continu Avantages apportés par l'invention: Notre solution offre: o une Fédération et partage d'identité, permettant la réutilisation simple des identités au travers différents services, o un Terminal mobile "Porte-clés" d'authentification, permettant de limiter les effets de la profusion des dispositifs d'authentification, o L'Audit et le Reporting permanent de l'activité des utilisateurs afin de vérifier le respect des règles et contribuer à la conformité, o un Socle Administration, pour mutualiser les systèmes d'authentification, mettre en commun les annuaires et rendre effectivement interopérables les systèmes d'information, ce qui limite la profusion des solutions d'identification et de gestion d'accès à des systèmes d'informations de l'Etat o un Socle entreprises, pour simplifier les relations entre les entreprises, les administrations, avec une dématérialisation plus complète et aboutie s'appuyant sur une simplification des processus rendue possible par le numérique, o Une fédération des plateformes d'échange pour favoriser l'échange de système à système en substitution de formulaires dématérialisés et de dispositifs techniques et réglementaires permettant le développement des usages du système dans la sphère commerciale . o Un module de gestion de présence qui permet la gestion de présence en temps réel et en continu avec une messagerie instantanée L'avantage de l'ensemble de ce système est son procédé d'identification unique et d'authentification, qui nous permet de faire le lien avec un identifiant unique connu garantissant un niveau fort de confidentialité et de sécurité ainsi qu'une inviolabilité de l'identité évitant toute usurpation d'identité selon les méthodes connues à ce jour. Il permet de définir, pour accéder aux ressources, les moyens d'identification et 3038758 12 d'authentification acceptables et modulables en fonction de la confiance qui pourra être accordée au moyen d'authentification selon le niveau des habilitations requis. Il sécurise le système d'information en profondeur des attaques potentielles garantissant à la fois la surveillance, la détection et la réaction. Il répond aux attaques ciblées collectées par l'inginierie Sociale (facebook, linkedin,...) à l'aide d'identifiants et code dynamique inconnu de l'utilisateur et géré aléatoirement dans une combinaison infinie. Il offre un niveau de sécurité optimum en l'état de la technique, maîtrise des coûts, facilité, optimisation du temps de travail, réactivité, suivi audit-reporting . Il permet de s'assurer en toute simplicité de la présence du porteur dans l'espace défini en ayant sa position en temps réel et en continu et de pouvoir bénéficier d'une messagerie instantanée dans cet espace défini Description des dessins : Figure 1: Méta-annuaire : Annuaire lié à l'Active Directory ou toute autre annuaire. SGBD SI ERP : SGBD de l'ERP du SI de la Société déjà en place. SGBD SI : Tout autre SGBD d'application nécessitant des droits d'accès sur le SI (CRM, .) Filer : Filer ou serveur d'impression déjà en place dans la Société Contenu : Serveur de gestion de contenu déjà en place dans la Société SGBD Centrale : SGBD centralisant l'ensemble des bases de paramètre de gestion des droits des applications déjà existantes sur le SI. Un système de réplication prendra en compte chaque modification effectuée sur les bases de données applicatives. Cette base permettra de centraliser l'administration des différentes applications nécessitant une authentification. Brain : C'est le cerveau du système, c'est ce serveur qui va faire le lien entre un(e) utilisateur/identité, un profil et le système qui lui sera attribué. Ce serveur sera chargé de construire les OS et de les rendre accessible à chaque machine authentifiée pour être chargée en « Live » SoC /SGBD SoC : Intégration du système SoC pour retransmettre les identifiants de manière cryptée. Ce système pourra être adapté pour transmettre les identifiants entre le téléphone et l'ordinateur client. SSO : Système d'authentification unique lié aux annuaires via le méta-annuaire ainsi qu'à chaque paramètre d'authentification centralisés sur la SGBD Centrale. 3038758 13 Syslog : Ce serveur centralise les logs de l'ensemble de l'infrastructure afin de pouvoir les gérer de manière plus productive via l'interface web d'administration.Cette centralisation permet la remontée d'information a chaque erreur d'authentification, de deconnexion, de tentative d'usurpation, quelque soit l'attaque utilisée. NFS : Ce serveur hébergera les données des différents niveaux. Ces montages seront montés automatiquement au démarrage du nouvel OS une fois l'authentification biométrique validée. Admin Web/SGBD Admin : Application principale de gestion d'identité. Figure 2 : SE : serrure électronique SU : Mobile de l'utilisateur. Soc : Serveur Soc identifié en partie 1 de la figure 1 Figure 3 : SU : Mobile ou smartphone de l'utisateur Brain : Serveur central Sco : Serveur de corrélation pour la technologie DTN Exposé détaillé de l'invention : Nous utilisons un terminal mobile (SU) muni d'une application propriétaire installée au préalable qui aura été téléchargée depuis nos serveur via une URL ou une des plateformes proposant nos solutions (ex : appstore, samsapp, windows mobile ) Cette application comporte un système d'identification biométrique requis pour son utilisation ainsi qu'un code à 4 chiffres déterminé par l'utilisateur. Cette application fait appel à un clavier virtuel aléatoire et dynamique et un cryptage propriétaire dont les caractéristiques principales sont: Pour le clavier virtuel, un clavier virtuel numérique ou alpha-numérique qui est à la fois dynamique et aléatoire avec un cryptage unique propriétaire qui est généré à chaque utilisation comprenant un nombre de combinaisons infinies. Ce clavier a été étudié pour répondre à toutes les techniques de détournement d'information connues à ce jour permettant de résister aux intrusions de type keylogger, virus muni de keylogger, Man In The Middle (MITM screenshot, dernière faille Watering hole sur i.e. Pour notre cryptage propriétaire, il fonctionne sous une architecture Client/Serveur avec la génération d'un ID unique qui est déterminé à chaque installation et qui est lié à l'IMEI et au numéro de téléphone du smartphone (SU), ou au N° de série du processeur et 3038758 14 toute autre information unique et pertinente liée à l'appareil selon le terminal utilisé. Le tout est combiné à une géolocalisation de cet ID qui grâce à cela permet de garantir que l'utilisateur qui accède à une ressource ou une serrure électronique est bien au même endroit que l'utilisateur ayant demandé l'accès. A ceci s'ajoute un ID de transaction renouvelable à chaque connexion. Pour la gestion de présence en temps réel et en continu nous utilisons la technologie (DTN) Delay Tolerant Networks qui est une technologie pour la communication dans des conditions "extrêmes" qui adoptent une logique «store and forward», plus adaptée aux connectivités intermittentes, et aux liens à latence élevée et taux d'erreur binaire élevé. L'architecture de la présente invention est un système de gestion centralisée composé de 4 parties majeur: Partie 1 Gest° d'identité Un serveur central (brain). Méta annuaire Base de données centrale (SGBD CENTRALE). Un système d'authentification unique (SSO). Un serveur NFS. Un serveur Sco. Ce serveur est un serveur de corrélation pour le DTN Un serveur Syslog. Ce serveur est partagé avec SoC Une application centrale gérant la construction des jails. Un serveur Web d'administration (Admin Web) Une base de données pour l'administration (SGBD Admin) Partie 2 Cryptage propriétaire Le système SoC (SoC ). Base de données SoC (SGBD SoC ). Un serveur Syslog. Ce serveur est partagé avec le système centralisé Partie 3 Interface de communication avec SoC et système centralisé Un transpondeur Bluetooth/RFID/GPS (Tr) Une serrure électronique (SE) Un smartphone avec RFID/Bluetooth (SU) embarquant une application coffre-fort (Keystore maison). Une caméras IP (Cip) connectée sur le réseaux. 3038758 Partie 4 SI du client. Pour une solution clé en main tous ces éléments (en fonction du besoin du client) sont embarqués dans la partie 1. Un serveur de fichiers (SF) Un serveur de contenu (SC). Base de données ERP (SGBD SI ERP). Base de données du SI (SGBD SI: SGBD COMPTA...) A l'arrivée de l'utilisateur dans le périmètre défini par l'administrateur, il est reconnu par le serveur Sco et son entrée avec tout le temps de présence sur les lieux sont enregistrés sur le serveur Syslog. Dans le cas d'un accès muni de notre serrure électronique (SE) l'utilisateur pour accéder à son bureau utilise son terminal mobile en lançant l'application propriétaire qui va lui permettre d'ouvrir la porte. Au lancement de l'application il est procédé à une reconnaissance faciale au travers de son terminal mobile (SU) . Si la reconnaissance est validée, l'application peut être utilisée. Sinon il est procédé à une autre demande, avec une sécurité qui à la 3ème tentative procède au blocage et envoi un message au serveur centrale (brain) qui désactivera ce compte le temps de résoudre le problème. Une fois l'application lancée, l'utilisateur place son terminal mobile près de la serrure électronique (SE). Une communication via NFC est alors entamée entre le terminal mobile (SU) et la serrure électronique (SE). Lors de cet échange la serrure électronique (SE) envoi une requête au serveur central (brain) pour une demande d'ouverture. Le serveur reçoit la demande de la serrure électronique (SE) et envoi un code aléatoire et temporaire à 4 chiffres qui est transmis via NFC au terminal mobile (SU). Ce code est crypté avec le cryptage propriétaire, et il est envoyé au serveur central (brain) par deux moyens possibles: via le réseau wifi/edge/3G/4G ou tout autre moyen de communication ou en utilisant le réseau auquel est connectée la serrure électronique (SE) via la NFC. Le serveur central (brain) reçoit donc les informations cryptées de demande d'ouverture de la serrure électronique ( SE). Ces informations comportent: l'ID de la serrure électronique (SE), le code à 4 chiffres qui permettent de s'assurer que l'utilisateur est bien devant cette porte. Ces informations sont décryptées par le serveur qui vérifie le code envoyé via le smartphone de l'utilisateur avec le code affecté à la serrure électronique (SE) pour cette demande d'ouverture. 3038758 16 Si la vérification est validée le serveur envoi une requête d'ouverture à la serrure électronique (SE) pour ouvrir la porte. Dans le même temps la présence de l'utilisateur avec son heure d'entrée dans l'établissement est enregistrée sur le serveur Syslog. Sinon le serveur centrale (brain) utilise la caméra ip (Cip) pour effectuer un enregistrement de la personne se trouvant devant cette porte, en mettant à jour le fichier d'incident. Pour accéder aux données et aux applications selon son niveau d'habilitation via son PC, il utilise son terminal mobile en lançant notre application. Il est alors procédé à la reconnaissance faciale de l'utilisateur au travers de son terminal mobile (SU), qui une fois validée et accompagnée de son code pin (selon le niveau d'habilitation) va demander au serveur SoC les identifiants pour accéder à ce PC. Une fois les identifiants reçus sur le terminal mobile (SU) ils sont enregistrés dans le keystore de l'application propriétaire du terminal mobile (SU) rendant ainsi aucun mot de passe visible sur le terminal mobile (SU). L'utilisateur lui-même n'ayant aucune connaissance à chaque fois de ces identifiants. L'utilisateur aura alors 5 minutes pour approcher son terminal mobile (SU) du transpondeur (Tr) connecté à l'ordinateur (PC) ou du PC selon le la solution mis en place, sans quoi les identifiants seront périmés. L'authentification sera validée par : Le système SoC intégrant la géolocalisation tenant compte de la position du terminal mobile (SU) devra être dans un périmètre de sécurité définit autour de l'ordinateur (pc) sur lequel va être demandé l'authentification. La validation des identifiants qui seront sécurisés via le système SoC ( cryptage propriétaire , clavier virtuel dynamique aléatoire ) Une fois l'authentification validée et confrontée aux droits de l'utilisateur, un profil de base conforme au niveau d'habilitation autorisé (ex: Niveau 1, 2, 3, 4, 5) est appliqué pour monter le futur système de l'utilisateur qui ne sera accessible qu'une fois validé la corrélation de la position de géolocalisation du terminal mobile (SU) avec la position de géolocalisation du transpondeur (Tr) si transpondeur, ou la position de géolocalisation du pc via son adresse IP, selon le dispositif de sécurité centralisé utilisé. Cette authentification permettra à l'utilisateur de se connecter automatiquement à toutes applications accessibles via le profil de l'utilisateur sans être obligé de se relogger grâce à la technologie d'authentification unique SSO. Ce profil va permettre de lier à une identité 3038758 17 différents accès à des ressources selon le niveau d'habilitation et il sera maintenu connecté aussi longtemps que le terminal mobile (SU) restera à proximité du transpondeur ou du PC. La base de données (SGBD centrale) contiendra l'ensemble des informations des différentes entités composant le SI. Un système de réplication permet de lier la base de données (SGBD centrale) avec les différentes SGBD ainsi qu'un méta-annuaire (Méta annuaire) qui permet de lier les comptes existant d'un AD ou d'un annuaire LDAP. De cette manière la gestion des droits sur les différentes entités du SI pourra être centralisée et manipulée par l'unique interface web d'administration. Une Gestion de cycle de vie des utilisateurs sera faite automatiquement en lien direct avec la SGBD comptable établissant de manière précise les dates d'entrée et de sortie des utilisateurs dans l'entreprise. Une fois ce profil construit, il est appliqué à un skel d'un OS linux minimum. Ce skel sera enrichi par les binaires spécifiques au profil (rm, Is, touch, vim, crontab, tcpdump, ) ainsi que par les librairies qui vont avec comme il se doit, et son répertoire personnel auquel sera ajouté les documents pour lesquels il aura accès selon son niveau d'habilitation. Exemple : Dans le cas où l'utilisateur à une habilitation de Niveau 1 son répertoire personnel lui donnera accès à la totalité des informations à laquelle il aura droit couvrant les Niveau 2, 3, 4, 5. Sachant que: Niveau 1= droits d'accés Niveau 1, 2, 3, 4, 5 Niveau 2 = droits d'accés Niveau 2, 3, 4, 5 Niveau 3 = droits d'accés Niveau 3, 4, 5 Niveau 4 = droits d'accés Niveau 4, 5 Niveau 5= droits d'accés Niveau 5 L'architecture de notre dispositif de sécurité centralisée permet de rendre chaque niveau à la fois indépendant des uns des autres mais aussi, en fonction du niveau des habilitations, de les réunir sous un même environnement qui sera établi à chaque connexion. L'arborescence a laquelle il aura accès aura cette forme. 3038758 18 /usr/lib /usr/lib64 /usr/bin - /usr/sbin /bin - /sbin - /var /sys /proc /home Le profil sera composé des données, commandes et logiciels auxquels l'utilisateur devra avoir accès. Cette configuration sera chargée de composer l'arborescence des partitions suivantes : /etc /lib /lib64 /usr/lib /usr/lib64 /usr/bin /usr/sbin /bin /sbin /var /sys /proc Le répertoire /home sera un montage NFS lié à son niveau d'habilitation et lui proposera donc uniquement les ressources auxquelles il aura droit. Concernant l'accès aux applications web un système de firewall (IpTable) sera configuré de manière à filtrer l'accès aux serveurs hébergeant ces applications. l'utilisateur sera alors bloqué ou autorisé à joindre une application Web en fonction de 3038758 19 son habilitation. Les logs de ce système ainsi que l'historique des actions effectuées par l'utilisateur seront centralisés sur un serveur syslog (Syslog), ainsi la corrélation des différentes actions de l'utilisateur et des logs applicatifs en sera simplifiée grâce à une interface d'administration principale. La construction de ce système étant dynamique à chaque connexion, implique qu'une fois déconnecté le système complet sera supprimé, tout en conservant les actions que l'utilisateur aura faites ainsi que les applications utilisées, le tout transcrit sur le serveur syslog (Syslog). L'utilisateur pourra alors se déconnecter de la manière la plus classique qu'il soit. Un système de sécurité supplémentaire a été mis en place permettant le crash de la session et mécaniquement de la suppression du système si le smartphone est éloigné du transpondeur (Tr) connecté à l'ordinateur ou du PC. Domaine d'Application : Notre dispositif de sécurité centralisée trouve sa place au sein d'organisations (PME-PMI, Administrations, cloud....) qui ont besoin d'accéder à l'information en toute sécurité et sans risque en interne et par web en offrant une sécurité optimal avec plusieurs facteurs d'authentification indépendant garantissant l'accès aux informations critiques et pertinentes de l'entreprise dans le respect de l'importance de la visibilité et du contrôle concernant les droits et les autorisations d'accès de chacun et qui ont besoin de pouvoir gérer tous les mouvements (entrée, sortie, présence) de personnes en temps réel et continu avec certitude. Exemple d'utilisation: - Gestion commerciale force de vente - Gestion de présence et d'accès physique - Gestion des habilitations défense - Gestion de données à distance (cloud) - Club privé - Poker en ligne - Contrôle et gestion des identités ... REVENDICATIONS1. Système de sécurité centralisée (Figure 1) de la gestion intelligente des identités et des droits d'accès périmétrique intra et extra muraux au système d'information (SI) et cloud, au moyen d'équipement mobile (SU Figure 1 et 2) sur lequel est installé une application propriétaire comprenant une identification biométrique, qui une fois son utilisateur authentifié en base génére un ID unique déterminé à chaque installation et qui est lié à l'IMEI et au numéro de téléphone du terminal mobile (SU Figure 1 et 2) , ou au N° de série du processeur et toute autre information unique et pertinente liée à l'appareil selon le terminal utilisé. Cette application utilise un clavier virtuel qui est dynamique et aléatoire à cryptage unique à chaque application et qui communique sous une architecture client-serveur ( Figure 1) au moyen d'un cryptage dynamique aléatoire unique propriétaire (SoC Figure 1) générant un identifiant temporaire crypté à chaque transaction et inconnu de l'utilisateur; ainsi qu'à plusieurs facteurs d'authentification indépendant le tout caractérisé par l'utilisation de la géolocalisation établie comme facteur de répudiation; par un système transpondeur (Tr partie 3-Figure 1) maintenant la connexion établie; par la gestion des habilitations renforcée par un système embarqué virtuel qui ne se forme qu'au moment où la personne se logge pour avoir accès à ses ressources; par la gestion cryptée via NFC d'une serrure électronique (SE Figure 2) en ce que nous utilisons un terminal mobile (SU Figure 2) pour envoyer une demande d'ouverture au serveur (Brain Figure 1) via le protocole de communication NFC de la serrure (SE Figure 2) à la suite de quoi après identification du terminal mobile (SU Figurel et 2), de la serrure électronique (SE Figure 2) et de la vérification des droits d'accès, un code est généré par le serveur (Brain Figure 1) ; transmis via le protocole de communication NFC de la serrure (SE Figure 2) au terminal mobile (SU Figure let 2), code qui une fois réceptionné est crypté au moyen du cryptage propriétaire unique à cet utilisateur, intégré dans l'application propriétaire installée sur le terminal mobile (SU Figure let 2), et transmis au serveur (Brain Figure 1) via le protocole de communication NFC de la serrure. A réception de ce code et après vérification de ce code le serveur autorise ou non l'ouverture; et en ce que nous utilisons un élément supplémentaire, une caméra IP (Cip partie 3-Figure 1) qui à chaque demande d'accés va zoomer sur la zone et procédera d'une part à un enregistrement en cas d'échec mais aussi s'assurera qu'une autre personne ne profitera pas de l'accès en même temps par un système 3038758 21 d'authentification de dénombrement, ainsi que la gestion de présence à l'aide de la technologie DTN Delay Tolerance Networks comprenant une messagerie instantanée. 2 Système de sécurité centralisée (Figure 1) selon la revendication 1 dans laquelle nous utilisons la géolocalisation établie comme facteur de répudiation caractérisé en ce que la connexion ne sera établie qu'après avoir effectué la corrélation entre la position du terminal mobile (SU Figurel) avec la position de l'ordinateur (PC Figure 1) établie au moyen d'un transpondeur (Tr partie 3-Figure 1) ou de l'IP. 3 Système de sécurité centralisée (Figure 1) selon la revendication 1 et 2 dans lesquelles nous utilisons un transpondeur (Tr partie 3-Figure 1) maintenant la connexion établie caractérisé en ce que ce transpondeur utilise la technologie RFID ou Bluetooth combinée à la technolgie Gps afin d'établir, sous un délai prédéterminé, la connexion aux ressources, aux applications et aux informations en interne et par Web via l'ordinateur (PC Figure 1) et maintenir cet accès aussi longtemps que le terminal mobile (SU Figure 1) restera à proximité de l'ordinateur ( PC Figure 1) 4. Système de sécurité centralisée (Figure 1) selon la revendication 1 dans laquelle nous utilisons un système embarqué virtuel qui ne se forme qu'au moment où la personne se logge pour avoir accès à ses ressources caractérisé en ce que nous avons recours pour la construction du système embarqué virtuel à des fichiers binaires et fichiers système combinés aux fichiers et aux applications auxquelles aura droit l'utilisateur. 5. Système de sécurité centralisée (Figure 1) selon la revendication 1 dans laquelle nous utilisons la géolocalisation pour la gestion de présence en temps réel et continu dans un périmètre défini caractérisé en ce que nous faisons appel pour établir une corrélation entre un point défini dans une zone et un point mobile se trouvant dans un périmètre autour de cette zone (Figure 3) à l'utilsation de la fonctionnalité DTN, réseau Delay Tolerant Networks, qui est une technologie pour la communication dans des conditions "extrême" et qui adoptent une logique «store and forward», plus adaptée aux connectivités intermittentes, et aux liens à latence élevée et taux d'erreur binaire élevé. 6. Système de sécurité centralisée (Figure 1) selon la revendication 1 dans laquelle nous utilisons une messagerie instantanée dans la gestion de présence en temps réel et continu caractérisé en ce que nous faisons appel, pour échanger des informations en temps réel et continu entre deux utilisateurs statique ou en mouvement et se 3038758 22 trouvant à portée de transmission dans un périmètre définis, à l'utilsation de la fonctionnalité DTN, réseau Delay Tolerant Networks, qui est une technologie pour la communication dans des conditions "extrême" et qui adopte une logique «store and forward», plus adaptée aux connectivités intermittentes, et aux liens à latence élevée et taux d'erreur binaire élevé. 7. Système de sécurité centralisée (Figure 1) selon la revendication 1 ou nous qualifions dans son ensemble notre invention de Système de sécurité centralisée (Figure 1) de la gestion intelligente des identités et des droits d'accès caractérisé en ce que nous utilisons la SGBD comptable du SI pour valider en temps réel les droits des utilisateurs et remédier ainsi aux problèmes des profils fantômes.