Brevet FR3050852A1 — publié le 20171103

DOMAINE TECHNIQUE DE L'INVENTION La présente invention vise un périphérique portable de communication, un système de protection d'un terminal portable et un procédé de communication. Elle s'applique, notamment, au domaine de la sécurité informatique. ÉTAT DE LA TECHNIQUE Dans le domaine de la sécurité informatique, en particulier des entreprises et administrations ou organismes dont les données sont sensibles, il est habituel de déconseiller voire d'interdire au personnel l'utilisation d'ordinateurs portables en dehors du réseau de données propre à l'entreprise. En effet, ce réseau de données dans la structure est généralement protégé par un pare-feu qui sécurise l'ensemble des terminaux à l'intérieur du réseau de tentatives malveillantes de piratage informatique. En effet, les accès non-protégés au réseau internet, filaires ou sans-fil, présentent d'importants risques d'intrusion ou de fausses directions, par exemple. Ces accès non-protégés peuvent typiquement être des bornes d'accès Wi-Fi publiques, situées dans des gares, des hôtels ou des aéroports par exemple. Il n'existe, à ce jour, aucune solution fiable, et aussi mobile qu'un ordinateur portable, permettant l'accès de manière sécurisée à un réseau non-protégé. OBJET DE L'INVENTION La présente invention vise à remédier à tout ou partie de ces inconvénients. À cet effet, selon un premier aspect, la présente invention vise périphérique portable de communication avec un réseau de données mettant en oeuvre le protocole internet, qui comporte : - un connecteur pour relier mécaniquement et établir une communication filaire, de manière amovible, entre le périphérique et un terminal portable, - un premier moyen de communication bidirectionnelle filaire avec le terminal portable, 3050852 2 - un deuxième moyen de communication bidirectionnelle avec un réseau de données et - une unité de sécurisation de la communication entre le terminal portable et le réseau de données, cette communication étant réalisée entre le premier et le 5 deuxième moyens de communication, les moyens de communication et l'unité de sécurisation étant embarqués dans un boîtier unique amovible du terminal portable. Grâce à ces dispositions, l'unité de sécurisation embarquée, dont les composantes matérielles et logicielles sont en possession de l'utilisateur, permet de 10 sécuriser l'accès au réseau de données par le terminal portable. Le caractère portable du périphérique le rend tout aussi mobile que le terminal portable et, grâce aux avancées dans le domaine de l'informatique, le boîtier du périphérique peut être assez petit pour tenir dans la poche d'un utilisateur par exemple. Préférentiellement, le boîtier du périphérique présente les dimensions d'une clé USB habituelle du 15 commerce. Dans des modes de réalisation, l'unité de sécurisation comporte un pare-feu filtrant des paquets, reçus du réseau de données et destinés au terminal portable, comportant une unité de calcul configurée pour exécuter un logiciel de pare-feu. Dans des modes de réalisation, l'unité de sécurisation comporte un système 20 de gestion de DNS autonome. Ces modes de réalisation permettent d'éviter les risques d'intrusions de type DNS menteur ou homme du milieu en adressant les paquets de communication directement à l'adresse de destination sans dépendre d'un DNS externe. Dans des modes de réalisation, le périphérique objet de la présente invention 25 comporte, dans le boîtier amovible, un moyen de localisation du périphérique, le pare-feu étant configuré pour bloquer les paquets reçus lorsque la localisation du périphérique n'est pas comprise dans une zone de localisation prédéterminée. Ces modes de réalisation permettent de restreindre l'accès à un réseau de données dans une zone prédéterminée, correspondant par exemple à un terminal d'aéroport ou d'hôtel. De plus, cette fonctionnalité de géolocalisation permet de traquer un périphérique perdu ou volé. Dans des modes de réalisation, le premier moyen de communication filaire comporte un connecteur USB. 3050852 3 Ces modes de réalisation mettent en oeuvre le standard de connectique le plus habituel. Dans des modes de réalisation, le deuxième moyen de communication comporte un connecteur Ethernet. 5 Ces modes de réalisation permettent de sécuriser l'accès filaire à un réseau de données. Dans des modes de réalisation, le deuxième moyen de communication comporte une antenne fonctionnant selon le standard IEEE 802.11 dit « Wi-Fi ». Ces modes de réalisation permettent au terminal portable d'accéder à un 10 réseau de données sans-fil, le standard Wi-Fi étant largement répandu, en particulier dans les lieux publics. Dans des modes de réalisation, le périphérique objet de la présente invention est configuré pour, lors d'un branchement avec le terminal portable, émettre une commande de désactivation d'un moyen de communication sans-fil du terminal 15 portable. Ces modes de réalisation permettent de limiter le risque d'une double connexion au réseau de données, l'une sécurisée par le périphérique et l'autre non sécurisée. Dans des modes de réalisation, le périphérique objet de la présente invention 20 comporte : un verrou électronique empêchant la mise en fonctionnement du périphérique et un moyen de déverrouillage du verrou. Dans des modes de réalisation le moyen de déverrouillage est biométrique. 25 Ces modes de réalisation permettent aux seuls utilisateurs autorisés la mise en oeuvre du périphérique. Selon un deuxième aspect, la présente invention vise un système de protection d'un terminal portable contre les intrusions, qui comporte : - un périphérique objet de la présente invention et 30 - le terminal portable, relié de manière filaire au périphérique. Les buts, avantages et caractéristiques particulières du système objet de la présente invention étant similaires à ceux du dispositif objet de la présente invention, ils ne sont pas rappelés ici. 3050852 4 Dans des modes de réalisation, le terminal portable est configuré pour désactiver au moins un moyen de communication sans-fil avec le réseau de données lorsque le périphérique est relié au terminal portable. Ces modes de réalisation permettent de limiter le risque d'une double 5 connexion au réseau de données, l'une sécurisée par le périphérique et l'autre non sécurisée. Selon un troisième aspect, la présente invention vise un procédé de communication avec un réseau de données mettant en oeuvre le protocole internet, qui comporte : 10 une étape de liaison amovible à un terminal portable du boîtier amovible d'un périphérique objet de la présente invention, établissant une communication filaire entre le boîtier et le terminal portable, une première étape de communication bidirectionnelle, par le périphérique, avec le réseau de données, 15 - une étape de filtrage, par un pare-feu du périphérique, des paquets, reçus du réseau de données et destinés au terminal portable relié de manière filaire au périphérique et une deuxième étape de communication bidirectionnelle filaire avec le terminal portable des paquets non filtrés par le pare feu. 20 Les buts, avantages et caractéristiques particulières du procédé objet de la présente invention étant similaires à ceux du dispositif objet de la présente invention, ils ne sont pas rappelés ici. BRÈVE DESCRIPTION DES FIGURES 25 D'autres avantages, buts et caractéristiques particulières de l'invention ressortiront de la description non limitative qui suit d'au moins un mode de réalisation particulier du dispositif, du système et du procédé objets de la présente invention, en regard des dessins annexés, dans lesquels : - la figure 1 représente, schématiquement, un mode de réalisation particulier du 30 périphérique objet de la présente invention, - la figure 2 représente, schématiquement, un mode de réalisation particulier du système objet de la présente invention et 3050852 5 - la figure 3 représente, schématiquement et sous forme d'un logigramme, une succession d'étapes particulière du procédé objet de la présente invention. DESCRIPTION D'EXEMPLES DE RÉALISATION DE L'INVENTION 5 La présente description est donnée à titre non limitatif, chaque caractéristique d'un mode de réalisation pouvant être combinée à toute autre caractéristique de tout autre mode de réalisation de manière avantageuse. On note dès à présent que les figures ne sont pas à l'échelle. On appelle « terminal portable » un dispositif comportant une unité de calcul et 10 une interface homme-machine permettant la commande de l'unité de calcul. Ce terminal portable comporte, ou non, un connecteur filaire ou sans-fil à un réseau 105 de données. On observe, sur la figure 1, une vue schématique d'un mode de réalisation du périphérique 100 objet de la présente invention. Ce périphérique 100 portable de 15 communication avec un réseau 105 de données mettant en oeuvre le protocole internet, comporte : - un connecteur 110 pour relier mécaniquement et établir une communication filaire, de manière amovible, entre le périphérique et un terminal portable, - un premier moyen 115 de communication bidirectionnelle filaire avec le 20 terminal portable, - un deuxième moyen 120 de communication bidirectionnelle avec un réseau de données et - une unité 122 de sécurisation de la communication entre le terminal portable et le réseau de données, cette communication étant réalisée entre le premier 25 et le deuxième moyens de communication, les moyens de communication et l'unité de sécurisation étant embarqués dans un boîtier 130 unique amovible du terminal portable. Le réseau 105 de données mis en oeuvre est le réseau dit « Internet » dont l'architecture, largement documentée dans l'art antérieur et dans de nombreux 30 ouvrages de référence, n'est pas reprise ici. Le périphérique 100 est configuré pour être connecté au réseau 105 de données de toutes les manières habituelles, de manière filaire ou sans-fil. 3050852 6 Dans des variantes où le périphérique 100 se connecte de manière filaire, le deuxième moyen de communication 120 du périphérique 100 comporte un connecteur 140 Ethernet. Ce connecteur 140 est, par exemple, une prise femelle Ethernet configurée pour recevoir un câble dit « RJ45 ». Dans des variantes, le 5 connecteur 140 comporte à la fois la prise femelle et un câble de connexion (non référencé) à une prise femelle du réseau 105 de données. Dans des variantes où le périphérique 100 se connecte de manière sans-fil, le deuxième moyen 120 de communication comporte une antenne 150 fonctionnant selon le standard IEEE 802.11 dit « Wi-Fi ». Les antennes Wi-Fi sont largement 10 détaillées à la fois dans l'art antérieur et dans les ouvrages de référence du domaine, leur détail d'implémentation ou de fonctionnement n'est donc pas repris ici. Dans des variantes, non représentées, où le périphérique 100 se connecte de manière sans-fil, le deuxième moyen 120 de communication comporte une antenne 150 fonctionnant selon le standard Bluetooth (marque déposée). Les antennes 15 Bluetooth sont largement détaillées à la fois dans l'art antérieur et dans les ouvrages de référence du domaine, leur détail d'implémentation ou de fonctionnement n'est donc pas repris ici. Cette antenne 150 est configurée pour se connecter à un point d'accès (non représenté) sans-fil du réseau 105 de données. Les informations et paramètres zo transférés pour établir la connexion entre le périphérique 100 et le point d'accès dépendent des particularités d'implémentation du standard Wi-Fi ou Bluetooth au niveau de ce point d'accès. Dans des variantes, le deuxième moyen 120 de communication comporte à la fois un connecteur pour liaison filaire et une antenne pour liaison sans-fil avec le 25 réseau 105 de données. Dans des variantes, le deuxième moyen 120 de communication comporte : une pluralité de connecteurs filaires et/ou une pluralité d'antennes sans-fil. Le périphérique 100 est connecté au terminal portable par le biais du 30 connecteur 110. La nature de ce connecteur 110 dépend de la nature d'au moins un connecteur du terminal portable visé lors de la conception du périphérique 100. 3050852 7 Préférentiellement, ce connecteur 110 est une prise mâle définie selon la norme USB (pour « Universal Serial Bus », traduit par bus universel en série) configurée pour être insérée dans un port USB femelle du terminal. Ce connecteur 110 relie mécaniquement le périphérique 100 au terminal 5 portable et, conjointement, permet l'établissement d'une communication entre ce terminal et le périphérique 100. Dans des variantes, le connecteur 110 mécanique et la liaison de communication entre le terminal portable et le périphérique sont distincts. Le périphérique 100 communique avec le terminal portable par la mise en 113 oeuvre du premier moyen 115 de communication. Le premier moyen 115 de communication est, par exemple, une carte réseau associée au connecteur USB du périphérique 100. L'unité de sécurisation 122 est un circuit électronique comportant au moins un élément parmi : 15 - un pare-feu 125 filtrant des paquets, reçus du réseau de données et destinés au terminal portable, comportant une unité de calcul configurée pour exécuter un logiciel de pare-feu et - un système 127 de gestion de DNS autonome. Le premier moyen 115 et le deuxième moyen 120 de communication peuvent 20 ainsi être situés de part et d'autre du pare-feu 125. Ce pare-feu 125 agit selon une politique de sécurité prédéterminée lors de la fabrication du périphérique 100 et éventuellement mise à jour par la connexion du périphérique 100 à un serveur sécurisé (non représenté) du constructeur du périphérique 100. Ce pare-feu 125 fonctionne, structurellement, comme tout pare-feu existant et 25 déjà amplement décrit dans la littérature de référence. Le système 127 de gestion de DNS (pour « Domain Name System », traduit par système de noms de domaines) comporte un registre de traduction de noms de domaines en adressage sur le réseau 105 de données. Ce système 145 est prédéterminé lors de la fabrication du périphérique 100 et éventuellement mis à jour 30 par la connexion du périphérique 100 à un serveur sécurisé (non représenté) du constructeur du périphérique 100. Dans un mode de fonctionnement, le système 127 de gestion de DNS permet l'obtention directe de l'adresse d'un nom de domaine pour une transmission. 3050852 8 Dans un autre mode de fonctionnement, le système 127 de gestion de DNS compare une adresse enregistrée correspondant à un nom de domaine avec une adresse du nom de domaine reçu d'un DNS externe mis en oeuvre par le réseau de donnée. Si les deux adresses sont différentes, la communication avec le réseau de 5 donnée est interrompue en raison de risques de sécurité. Les moyens, 115 et 120, de communication et l'unité 122 de sécurisation sont embarqués dans le boîtier 130 unique amovible du terminal portable. Préférentiellement, ce boîtier 130 est configuré pour pouvoir être transporté à la main. 10 Dans des modes de réalisation préférentiels, tel que celui représenté en figure 1, le périphérique 100 comporte, dans le boîtier 130 amovible, un moyen 135 de localisation du périphérique, le pare-feu 125 étant configuré pour bloquer les paquets reçus lorsque la localisation du périphérique n'est pas comprise dans une zone de localisation prédéterminée. 15 Le moyen 135 de localisation est, par exemple, une balise mettant en oeuvre le système GPS (pour Global Positioning System, traduit par système de positionnement global). La zone de localisation prédéterminée est inscrite dans une mémoire (non représentée) du périphérique 100 lors de la fabrication du périphérique 100 et éventuellement mise à jour par la connexion du périphérique 100 à un serveur 20 sécurisé (non représenté) du constructeur du périphérique 100. Dans des modes de réalisation préférentiels, tel que celui représenté en figure 1, le périphérique 100 est configuré pour, lors d'un branchement avec le terminal portable, émettre une commande de désactivation d'un moyen de communication sans-fil du terminal portable. 25 Cette commande est émise par une unité de calcul du périphérique 100 via le premier moyen 115 de communication. Dans des modes de réalisation, non représentés, le périphérique 100 comporte un moyen de constitution d'un réseau privé virtuel (traduit de « Virtual Private Network », abrégé VPN) avec un dispositif sur le réseau 105 de données. Ce 30 moyen de constitution est, par exemple, un logiciel embarqué sur une unité de calcul du périphérique 100. Dans des modes de réalisation, tel que celui représenté en figure 1, le périphérique comporte : 3050852 9 un verrou 145 électronique empêchant la mise en fonctionnement du périphérique et - un moyen 147 de déverrouillage du verrou 145. Le moyen de déverrouillage 147 est, par exemple, un système de 5 reconnaissance biométrique, de la rétine ou des empreintes digitales par exemple. Dans des variantes, le moyen de déverrouillage 147 est une puce de communication selon une technologie de communication sans-fil à champs proche, telles les technologies NFC (pour « Near Field Communication », traduit par Communication en champs proche), Bluetooth (Marque déposée) ou RFID (pour 10 « Radio Frequency Identification », traduit par identification par radio-fréquences). Dans ces variantes, un dispositif tiers, tel un terminal portable communicant, doit être à proximité du périphérique 100 pour que le périphérique 100 fonctionne. Ce terminal portable communicant émet un signal comportant un mot de passe ou un identifiant correspondant à un mot de passe ou un identifiant enregistré par le verrou 15 145. On observe, sur la figure 2, une vue schématique d'un mode de réalisation du système 200 objet de la présente invention. Ce système 200 de protection d'un terminal portable contre les intrusions, comporte : - un périphérique 100 tel que décrit en regard de la figure 1 et 20 - le terminal 300 portable, relié de manière filaire au périphérique 100. La liaison entre le périphérique 100 et le terminal 300 portable est assurée, par exemple, au moyen d'une connectique compatible avec la norme USB, le périphérique 100 comportant une prise USB mâle et le terminal 300 comportant une prise USB femelle. 25 Dans des modes de réalisation préférentiels, tel que celui représenté en figure 2, le terminal 300 portable est configuré pour désactiver au moins un moyen 305 de communication sans-fil avec le réseau 105 de données lorsque le périphérique est relié au terminal portable. Le moyen 305 de communication est, par exemple, une antenne configurée 30 pour communiquer selon le standard Wi-Fi. La désactivation de cette antenne entraîne la nécessité de communiquer avec le réseau 105 de données via le périphérique 100. De cette manière, la communication entre le terminal 300 portable 3050852 10 et le réseau 105 de donnée est sécurisée dès que le périphérique 100 est branché au terminal 300. On observe, sur la figure 3, un logigramme d'étapes particulier du procédé 400 objet de la présente invention. Ce procédé 400 de communication avec un 5 réseau de données mettant en oeuvre le protocole internet comporte : - une étape 405 de liaison amovible à un terminal portable du boîtier amovible d'un périphérique tel que décrit en regard de la figure 1, établissant une communication filaire entre le boîtier et le terminal portable, - une première étape 410 de communication bidirectionnelle, par le 10 périphérique, avec le réseau de données, - une étape 415 de sécurisation de la communication entre le terminal portable et le réseau de données et - une deuxième étape 420 de communication bidirectionnelle filaire avec le terminal portable des paquets non filtrés par le pare feu. 15 Ce procédé 400 est réalisé, par exemple, par la mise en oeuvre du périphérique 100 objet de la présente invention. Préférentiellement, en amont du procédé 400, toutes les connexions du terminal portable au réseau de données sont désactivées, par mise en mode avion, par exemple. Dans des variantes, le terminal désactive toutes ces connexions lors du zo branchement du périphérique au terminal. Lors du branchement du périphérique, le périphérique scanne les points d'accès au réseau de données si ce périphérique met en oeuvre un premier moyen de communication sans-fil. Chaque point d'accès au réseau est affiché sur le terminal portable, dans un 25 navigateur internet par exemple. Lorsque l'utilisateur sélectionne l'un de ces points d'accès, le périphérique se connecte au point d'accès correspondant. Dans des variantes, l'activation du périphérique nécessite la saisie d'un identifiant et d'un mot de passe sur le terminal portable. REVENDICATIONS1. Périphérique (100) portable de communication avec un réseau (105) de données mettant en oeuvre le protocole internet, caractérisé en ce qu'il comporte : un connecteur (110) pour relier mécaniquement et établir une communication filaire, de manière amovible, entre le périphérique et un terminal portable, un premier moyen (115) de communication bidirectionnelle filaire avec le terminal portable, un deuxième moyen (120) de communication bidirectionnelle avec un réseau de données et une unité (122) de sécurisation de la communication entre le terminal portable et le réseau de données, cette communication étant réalisée entre le premier et le deuxième moyens de communication, les moyens de communication et l'unité de sécurisation étant embarqués dans un boîtier (130) unique amovible du terminal portable. 2. Périphérique (100) selon la revendication 1, dans lequel l'unité (122) de sécurisation comporte un pare-feu (125) filtrant des paquets, reçus du réseau de données et destinés au terminal portable, comportant une unité de calcul configurée pour exécuter un logiciel de pare-feu. 3. Périphérique (100) selon la revendication 2, qui comporte, dans le boîtier (130) amovible, un moyen (135) de localisation du périphérique, le pare-feu (125) étant configuré pour bloquer les paquets reçus lorsque la localisation du périphérique n'est pas comprise dans une zone de localisation prédéterminée. 4. Périphérique (100) selon l'une des revendications 1 à 3, dans lequel l'unité (122) de sécurisation comporte un système (127) de gestion de DNS autonome. 5. Périphérique (100) selon l'une des revendications 1 à 4, dans lequel le premier moyen (115) de communication filaire comporte un connecteur (110) USB. 3050852 12 6. Périphérique (100) selon l'une des revendications 1 à 5, dans lequel le deuxième moyen (120) de communication comporte un connecteur (140) Ethernet. 7. Périphérique (100) selon l'une des revendications 1 à 6, dans lequel le deuxième 5 moyen (120) de communication comporte une antenne (150) fonctionnant selon le standard IEEE 802.11 dit « Wi-Fi ». 8. Périphérique (100) selon l'une des revendications 1 à 7, configuré pour, lors d'un branchement avec le terminal portable, émettre une commande de désactivation 10 d'un moyen de communication sans-fil du terminal portable. 9. Périphérique (100) selon l'une des revendications 1 à 8, qui comporte : - un verrou (145) électronique empêchant la mise en fonctionnement du périphérique et 15 - un moyen (147) de déverrouillage du verrou. 10. Périphérique (100) selon la revendication 9, dans lequel le moyen (147) de déverrouillage est biométrique. 20 11. Système (200) de protection d'un terminal portable contre les intrusions, caractérisé en ce qu'il comporte : - un périphérique (100) selon l'une des revendications 1 à 10 et - le terminal (300) portable, relié de manière filaire au périphérique. 25 12. Système (200) selon la revendication 11, dans lequel le terminal (300) portable est configuré pour désactiver au moins un moyen (305) de communication sans-fil avec le réseau (105) de données lorsque le périphérique est relié au terminal portable. 13. Procédé (400) de communication avec un réseau de données mettant en oeuvre le protocole internet, caractérisé en ce qu'il comporte : 3050852 13 - une étape (405) de liaison amovible à un terminal portable du boîtier amovible d'un périphérique selon l'une des revendications 1 à 10, établissant une communication filaire entre le boîtier et le terminal portable, - une première étape (410) de communication bidirectionnelle, par le 5 périphérique, avec le réseau de données, - une étape (415) de sécurisation de la communication entre le terminal portable et le réseau de données et - une deuxième étape (420) de communication bidirectionnelle filaire avec le terminal portable des paquets non filtrés par le pare feu.