Brevet FR3073110A1 — publié le 20190503

Procédé, dispositif et méthode d'établissement d'une communication socksifiée, sécurisée, ségréguée, anonymisée dans un réseau basé sur le protocole IP (Internet protocol) entre différents Îlots analogues, transmis à travers un réseau de proxy socks et routé sur la base du « Domain Name Space » / FQDN (Fully Qualified Domain Name). Abstraction Qui est difficile à comprendre par « manque de référence » à la réalité concrète. Domaine technique de l'invention L'invention concerne l'interconnexion de composants réseau utilisant le Protocole Internet (IP), ces différents réseaux ayant des structures communes ou variées. L'invention augmente la sécurité en permettant de limiter la propagation des attaques virales, de limiter la visibilité et la propagation des outils d'analyse et d'étude du réseau (pentest, Blackbox et Greybox), de limiter les attaques de type Homme du Milieu (MITM - ManIn-The-Middle en anglais), de bloquer les attaques de type DDOS et d'inhiber la possibilité d'injection dans des diagrammes de protocole Internet (IP) en s'appuyant sur une rupture protocolaire. L'invention permet de conserver une grande adaptabilité au besoin technique et une évolutivité accrue de l'infrastructure. Le contexte technologique - Art Antérieur Internet L'Internet est un réseau global de systèmes utilisant le datagramme IP, composé de composants passifs (réseau) et actifs (dispositif). Le « Net », relie des dispositifs utilisant une variété de systèmes d'exploitation ou de langages différents. Pour faciliter et permettre la communication des 2 systèmes et langages, l'utilisation du protocole IP (Internet Protocol) est devenue un standard. TCP/IP 5 La suite TCP/IP comprend deux des protocoles les plus importants : Un protocole de contrôle de transmission (TCP) et un protocole Internet (IP) 10 Le terme usuel TCP/IP est utilisé pour désigner la totalité de la suite. Le premier but qui a été visé au niveau de la conception de TCP/IP a été de construire une interconnexion de réseaux offrant des services de communication universels. 15 L'architecture des réseaux physiques est cachée aux utilisateurs. Le deuxième but du TCP/IP est d'interconnecter différents réseaux physiques pour former ce qui apparaît à l'utilisateur comme étant un grand réseau unique. 20 D'autres protocoles de transport existent sur le réseau pour faire un travail équivalent : l'UDP, l'ICMP. Routeur IP Un « routeur » est un système qui assure 25 l'interconnexion de réseaux et la transmission des messages d'une source vers une destination. Les routeurs sont en mesure de sélectionner le meilleur chemin de transmission entre les réseaux. La fonction de base du routage est assurée dans la 30 couche IP du protocole IP. Adresse uniformisée de Ressource (URL) Une ressource sur Internet est identifiée de façon non ambiguë par une adresse URL (Uniform Resource Locator) 35 définie par la RFC 3986 désignant une ressource particulière en un emplacement particulier. Une URL spécifie le protocole applicatif utilisé pour accéder au service (par exemple : http, ftp, etc.). 40 Nom de Domaine Le système de nom de domaine est hiérarchique, 3 permettant la définition de sous-domaines ou « Domain Name Space ». Le nom de domaine est composé d'au moins un mot : le « label ». S'il y a plusieurs labels, on doit séparer deux labels par un point. 5 Sous-domaine (Domain Name Space) Les sous-domaines ou « Domain Name Space » permettent de structurer un réseau en zones distinctes hiérarchisées dans l'arborescence DNS. Dans un intranet, 10 aucune règle ne s'applique sur le choix des labels. Nom machine (Hostname) Le nom attribué à une machine est son Hostname. Il doit suivre des règles strictes liées au système 15 d'exploitation. En Intranet, les règles d'entreprise peuvent aussi limiter le Hostname. Nom de domaine complètement qualifié (FQDN, Fully Qualified Domain Name) 20 Le nom de domaine formé du Nom Machine et des sous- domaines qui révèle la position absolue d'un noeud dans l'arborescence DNS en indiquant tous les domaines de niveau supérieur jusqu'à la racine. On parle également de domaine absolu, par opposition aux domaines relatifs. Par 25 convention, le FQDN est ponctué par un point final. Serveur de Nom de Domaine (DNS Domain Name Server) Les noms des hôtes tels que « entreprise.com » sont traduits en adresses Internet numériques (183.45.47.4), et 30 vice et versa, en utilisant un procédé appelé DNS (Domain Name Service). Le DNS est supporté par des serveurs résidents sur le réseau, est défini par les RFC 1034 et RFC 1035 35 Intranet Certaines sociétés utilisent le même mécanisme qu'Internet pour communiquer à l'intérieur de leur propre organisation : l'Intranet Ces sociétés utilisent les mêmes protocoles de 40 réseau/transport et serveurs locaux pour permettre une communication interne et un accès aux données. Ces données 4 sont confidentielles ou à usage privé le plus souvent. Les sociétés protègent l'accès à leur réseau par l'utilisation d'un équipement spécial que l'on appelle un coupefeu (firewall) 5 Coupefeu (firewall) Un coupefeu protège un ou plusieurs systèmes d'information ayant des connexions de datagramme IP. Un coupefeu est un composant matériel et/ou logiciel 10 formant une frontière entre les systèmes (internes et/ou externes). Le système situé à l'intérieur forme une zone sécurisée. Attaque par déni de service (DoS, Denial of Service) 15 Une attaque par déni de service (abr. DoS attack pour Denial of Service attack en anglais) est une attaque informatique ayant pour but de rendre indisponible un service, d'empêcher les utilisateurs légitimes d'un service de l'utiliser. À l'heure actuelle la grande 20 majorité de ces attaques se font à partir de plusieurs sources, on parle alors d'attaque par déni de service distribuée (abr. DDoS attack pour Distributed Denial of Service attack). Il existe plusieurs méthodes techniques pour créer ce type d'attaque. 25 Systèmes de Détection d'Intrusion (IDS, Intrusion Detection System) Les IDS, ou systèmes de détection d'intrusion, sont des systèmes logiciel (software) ou matériel (hardware) 30 conçus afin de pouvoir automatiser la surveillance (monitoring) d'événements survenant dans un réseau ou sur une machine particulière, et de pouvoir signaler à l'administrateur système toute trace d'activité anormale sur ce dernier ou sur la machine surveillée. L'IDS est un 35 système de détection passif. L'administrateur décidera ou non de bloquer cette activité. Systèmes de Prévention d'Intrusion (IPS, Intrusion 40 Prevention System) On peut dire qu'un IPS est un IDS étendu qui a pour 5 principale différence d'intercepter les paquets intrus. Il agit et est donc actif au sein du réseau. Les systèmes IDS et IPS appliquent des méthodes similaires lorsqu'ils essaient de détecter des intrus ou 5 des attaques sur le réseau. En fait, le principe de détection de l'IPS correspond exactement à celui de l'IDS. Il y a donc une certaine symétrie entre IPS et IDS. Un IPS est conçu pour identifier les attaques potentielles et exécuter de façon autonome une contre-10 mesure pour les empêcher, sans affecter le système d'exploitation normale. Serveur Mandataire (Serveur Proxy) Un proxy est un composant logiciel informatique qui 15 joue le rôle d'intermédiaire en se plaçant entre deux hôtes pour faciliter ou surveiller leurs échanges. Dans le cadre plus précis des réseaux informatiques, un proxy est alors un programme servant d'intermédiaire pour accéder à un autre réseau, généralement Internet. Par 20 extension, on appelle aussi « proxy » un matériel comme un serveur mis en place pour assurer le fonctionnement de tels services. Dans l'environnement plus particulier des réseaux, un serveur proxy est une fonction informatique client- 25 serveur qui a pour fonction de relayer des requêtes entre une fonction cliente et une fonction serveur (couches 5 à 7 du modèle OSI). ils assurent les fonctions suivantes : - Accélération de la navigation : mémoire cache, 30 compression de données, filtrage des publicités ou des contenus lourds (java, flash) ; - La journalisation des requêtes (historique) ; - La sécurité du réseau local ; - Le filtrage. 35 L'utilité des serveurs proxy est importante, notamment dans le cadre de la sécurisation des systèmes d'information. Il est presque systématique en entreprise ou dans les lieux publics que l'accès internet se fasse à travers 40 un serveur proxy. L'internaute ne voit pas la différence, sauf quand il tente de naviguer sur un site interdit, 6 auquel cas il pourra recevoir un message d'erreur : un tel proxy est appelé proxy filtrant. Il se peut aussi qu'une boîte de dialogue s'ouvre et demande un identifiant et un mot de passe avant de pouvoir surfer sur internet. 5 À l'inverse, un proxy peut aussi servir à contourner les filtrages. Supposons le cas d'un pays qui bloque l'accès à certains sites considérés comme « subversifs », mais qui effectue ce filtrage uniquement en se basant sur l'adresse 10 du site que l'on souhaite visiter. Dans ce cas, en utilisant un proxy comme intermédiaire (situé dans un autre pays donc non affecté par le filtrage), on peut s'affranchir du filtrage (sauf bien sûr si l'adresse du proxy est elle-même interdite). 15 Le principe fonctionne également dans l'autre sens. Supposons qu'un site web n'accepte que les internautes d'un certain pays (exemple concret : un site de campagne présidentielle américain qui n'accepte que les connexions venant des États-Unis). Dans ce cas, en passant par un 20 proxy situé aux États-Unis, un internaute français pourra visiter le site. Un troisième rôle du proxy est de compliquer la remontée vers l'internaute (anonymisation). Dans l'exemple précédent, on a trompé le site américain qui n'était pas 25 capable de remonter jusqu'à l'internaute à travers le proxy. Certaines techniques avancées permettent de remonter à travers le proxy. Dans ce cas, un internaute pourra utiliser de nombreux proxys en chaîne comme le réseau The Onion Router 30 (TOR) et stopper la connexion avant que ceux qui le traquent ne soient remontés jusqu'à lui. Les fournisseurs d'accès à Internet (FAI) peuvent proposer des proxy pour la connexion de leurs abonnés. Il faut pour cela que l'abonné paramètre correctement son 35 système (via un logiciel d'installation fourni par le FAI). Mais il est également possible que le fournisseur d'accès utilise un proxy transparent (sans configuration par l'utilisateur). Ce proxy permet par exemple au 40 fournisseur d'accès de connaître les habitudes de navigation de ses abonnés ou de réduire le nombre d'accès 7 effectifs aux sites distants. Translation d'adresses réseau, (NAT - Network address Translation) 5 Lorsque l'on fait correspondre des adresses IP d'autre adresse IP. En particulier, un cas courant est de permettre à des machines disposant d'adresses qui font partie d'un Intranet et ne sont ni uniques ni routables à l'échelle 10 d'Internet, de communiquer avec le reste d'Internet en semblant utiliser des adresses externes uniques et routables. Ainsi, il est possible de faire correspondre une seule adresse externe publique visible sur Internet à 15 toutes les adresses d'un réseau privé, afin de pallier l'épuisement des adresses IPv4. La fonction NAT dans un routeur de service intégré (ISR) traduit une adresse IP source interne en adresse IP globale. 20 Ce procédé est très largement utilisé par les box internet (ou modem/routeur) des fournisseurs d'accès pour permettre l'existence et la connexion d'un ensemble d'équipements derrière une identification publique unique. Il est également utilisé de façon similaire dans des 25 réseaux privés virtuels. Socks et serveurs socks Socks est un protocole qui effectue une certaine forme d'encapsulation des protocoles de niveau 30 « applicatif » (FTP, Telnet, etc.). En utilisant socks, le trafic au niveau application - dans un système faisant fonctionner un logiciel client socks et un système faisant fonctionner un logiciel serveur socks - est encapsulé dans un tunnel socks virtuel entre les deux systèmes. 35 Socks est principalement utilisé par les systèmes évoluant dans l'Intranet afin d'obtenir un accès sécurisé auprès des systèmes placés à l'extérieur de l'Intranet. Un serveur socks agit comme un relais entre les systèmes situés à l'intérieur de l'Intranet, cachant ainsi 40 les systèmes situés à l'extérieur de l'Intranet. Un serveur Socks peut contenir des fonctionnalités 8 de coupefeu (firewall) Un serveur socks (appelé passerelle socks) est un logiciel permettant à des ordinateurs situés à l'intérieur d'une zone protégée par un coupefeu d'avoir accès à 5 l'Internet. Étant donné que le serveur socks agit comme une couche sous-jacente aux protocoles (http, etc.), il ne peut mettre des données en antémémoire (comme le proxy web le fait) parce qu'il ne décode pas le protocole pour 10 connaître le type de données qu'il transfère. Certains serveurs socks peuvent crypter les données lors du transport. Coeur de réseau (backbone) 15 Il constitue le centre névralgique d'un réseau. Dans le contexte des réseaux, désigne la partie qui supporte le gros du trafic, en utilisant les technologies les plus rapides et une grande bande passante sur des distances importantes. Les petits réseaux (internes à une entreprise 20 ou à une région) se rattachent à ce réseau fédérateur, comme les rivières viennent grossir le cours d'un fleuve. Composants Informatique (CI, Component Item) Tout composant permettant de fournir un service 25 Informatique. Les CI comprennent habituellement les services informatiques, le matériel et les logiciels. Architecture PoD (Point Of Delivery) Un point de livraison, ou PoD, est une zone du 30 réseau pouvant contenir des Composants Informatiques qui fonctionnent ensemble pour fournir des services distincts sur le réseau. Le PoD est un motif de conception répétable et ses composants maximisent la modularité, l'évolutivité et la capacité de gestion de Centres de données 35 (Datacenter, Cloud). Le principe de la conception modulaire a été appliqué aux réseaux téléphoniques et de données, par exemple grâce à un design de noeud répétable décrivant la configuration des équipements logés dans les 40 installations. Le terme est utilisé de manière similaire dans les 9 réseaux vidéo par câble pour décrire le composant modulaire qui fournit un service vidéo à un abonné. La distinction d'un PoD par rapport à d'autres modèles de conception est qu'il s'agit d'un module « déployable » qui 5 délivre un service. Le modèle de conception PoD est particulièrement important dans l'infrastructure des fournisseurs de services, par exemple dans les centres de données prenant en charge les services de Cloud Computing, afin de 10 maintenir l'évolutivité à mesure que l'utilisation augmente. HDM Attaque de l'homme du milieu (MITM Man-in-themiddle) 15 Parfois appelée attaque de l'intercepteur, est une attaque qui a pour but d'intercepter les communications entre deux parties, sans que ni l'une ni l'autre ne puisse se douter que le canal de communication entre elles a été compromis. Le canal le plus courant est une connexion à 20 Internet de l'internaute lambda. L'attaquant doit d'abord être capable d'observer et d'intercepter les messages d'une victime à l'autre. L'attaque « homme du milieu » est particulièrement applicable dans la méthode d'échange de clés Diffie-Hellman quand cet échange est utilisé sans 25 authentification. Avec authentification, Diffie-Hellman est en revanche invulnérable aux écoutes du canal, et est d'ailleurs conçu pour cela. L'Internet des objets (I0T, ou Internet Of Things) 30 L'Internet des objets est un scénario dans lequel les objets, les animaux et les personnes se voient attribuer des identifiants uniques, ainsi que la capacité de transférer des données sur un réseau sans nécessiter aucune interaction humain-à-humain ou humain-à-machine. 35 Dans l'Internet des objets, un « objet » peut être une personne équipée d'un pacemaker, un animal de ferme qui porte une puce (transpondeur), une voiture qui embarque des capteurs pour alerter le conducteur lorsque la pression des pneumatiques est trop faible, ou encore 40 tout objet naturel ou fabriqué par l'être humain auquel peuvent être attribuées une adresse IP et la capacité de 10 transférer des données sur un réseau. Pentest, Blackbox ou Greybox Pentest : Tests de pénétration du réseau. Les outils 5 dits de Pentest permettent de pénétrer dans un réseau sécurisé en contournant ou détournant les protections dudit réseau attaqué. Blackbox : Méthode de Pentest ou de détection d'infrastructure sans connaissance de l'environnement 10 informatique ciblé. Simule l'exécution de tâches à l'insu des utilisateurs réalisé par un pirate externe malveillant. Greybox : Méthode de Pentest ou de détection d'infrastructure avec connnaissance de l'environnement 15 informatique ciblé. Simule l'éxecution de tâches à l'insu des utilisateurs réalisé par un collaborateur interne malveillant. Les méthodes Greybox et Blackbox peuvent être effectuées légitimement, à la demande du service 20 informatique dans des buts d'analyse des failles de l'environnement informatique. Les publications ci-après, citées ici à titres informels, permettent d'obtenir des explications 25 complémentaires concernant le domaine technique présenté ci-dessus : https://fr.wikipedia.org/wiki/Internet 30 https://www.t-systems.com/fr/fr/a-propos-de-t- systems/newsroom/perspectives/security/ict/security-by-design-570656 35 40 11 Inconvénient de l'art antérieur Flexibilité limitée nécessitant des compromis d'architecture pour gérer la sécurité entre les zones. 5 Évolutivité limitée due au nombre restreint d'adresses IPv4 obligeant une migration coûteuse vers IPv6. Obligation de mettre en place des translations 10 d'adresses (NAT - Network Address Translation en anglais) en cas de fusion de réseau commun (même plage d'adresses) ou de structures incompatibles. Le contexte actuel de transition IPv4 et IPv6, 15 l'ajout des objets connectés et du smart-city, ainsi que la généralisation de la résolution des noms de domaine facilite la globalisation des attaques. Seul le coupefeu (firewall) intègre une rupture de 20 protocole, les routeurs et commutateurs (coeur de réseau), n'en possèdent pas, cela favorise les propagations des virus dans les infrastructures. Le coupefeu fonctionne par relation IP/flux. Plus le nombre de flux est important, plus il y a de règles 25 ouvertes. Une attaque profitera de la multiplication de ces règles. Les utilisateurs malveillants arrivant dans le coeur de réseau ont accès à une large partie de l'infrastructure. Il n'y a pas ou peu de protection entre les composants. 30 La taille des réseaux et les mécanismes du temps font perdre la réalité de l'existant et des règles implémentées : l'ouverture de nombreux flux est contraire aux règles de sécurité informatique. Les attaques virales, 35 les démons, les chevaux de Troie (etc.) utilisent ces failles pour se propager. Les outils IDS/IPS nécessitent de lire la totalité des flux du réseau pour être efficace, Les composants 40 réseaux nécessitent de réserver des connecteurs ou de dupliquer les flux pour ce travail, ce qui à un coût 12 notable. L'anonymisation est difficile à mettre en oeuvre entre les différentes zones d'un réseau. Des solutions actuelles 5 traitent partiellement de ce problème, mais nécessitent une technique prohibitive pour obtenir une sécurité équivalente. Les brevets ci-dessous sont les bases de notre étude 10 et de dépôt : Le brevet W02017149050-2017-09-08 « NOEUD INTELLIGENT POUR RÉSEAU DISTRIBUÉ SELON UN MAILLAGE » 15 Le brevet 2888695/05-07532 « DÉTECTIONS D'UNE INTRUSION PAR DÉTOURNEMENT DE PAQUETS DE DONNÉES DANS UN RÉSEAU DE TÉLÉCOMMUNICATION » Traite la détection d'intrusion de type Man-In-TheMiddle, mais ne l'irradie pas. Ce brevet ne traite pas de 20 l'usurpation de MAC. Le brevet 3033343/15-51784 « TRANSFERTS SÉCURISE D'INFORMATION D'AUTHENTICATION » ne traite pas l'authentification utilisateur/mot de passe de 25 l'application. 30 35 40 13 Description globale de l'invention Procédé, dispositif et méthode d'établissement d'une communication socksifiée, sécurisée, ségréguée, anonymisée 5 dans un réseau basé sur le protocole IP (Internet protocol) entre différents Îlots analogues, transmis à travers un réseau de proxy socks et routée sur la base du « Domain Name Space » / FQDN (Fully Qualified Domain Name). 10 L'invention a pour but de palier aux inconvénients de l'art antérieur en proposant la capacité d'interconnecter un « écosystème » sécurisé et anonyme permettant de réduire la propagation des attaques virales, de supprimer l'attaque de l'homme du milieu (HDM ou man-in-the-middle attack - 15 MITM), et endiguer les attaques de piraterie : l'« Îlot ». Réduction drastique des flux ouverts dans un réseau basé sur le protocole IP, à l'idéal, UN et [1] SEUL et UNIQUE flux ; 20 Ce but est atteint par un « Îlot » intelligent interconnecté, chaque « Îlot » permettant une communication bidirectionnelle avec d'autres « Îlot » et une interconnexion analysée, sécurisée et autorisée par des 25 règles définies. Chaque « Îlot » comportant une architecture identique, le plus petit que possible et le plus analogue que possible, cela nous autorise à utiliser les mêmes 30 plages d'adresses IP et la possibilité de réutiliser des adresses MAC (Media Access Control en anglais) semblables. A cet effet, l'invention concerne selon son acceptation la plus générale, un procédé de sécurité 35 optimum, garantissant un accès à des ressources diverses. Conformément à l'invention, ce procédé comprend un ensemble d'étapes et de fonctionnalités qui sont les suivantes : 40 - L'application (11c) communicante, socksifiée par un 14 outils de socksification (11d) configuré pour atteindre le serveur Socks primaire (13). - L'outil de socksification peut faire des requêtes DNS aux entités (11a, 12a, 13a) dans son « Îlot » ; En aucun 5 cas, l'application (11c) ne doit pas effectuer de requête DNS, une fuite DNS peut avoir lieu ; - À l'entrée du socks primaire (13), Les datagrammes IP sont analysés par des outils de détection et de préventions d'intrusion (13c), Les règles de coupe-feu (13d) autorisent 10 les datagrammes IP à franchir l'entrée du composant socks, les règles « client » (13e) sont validées. - L'analyse du FQDN de la destination et du « Domain Name Space », les services de noms (12a, 13a) sont interrogés pour en déduire l'adresse IP d'interconnexion du 15 socks destinataire (23). - La configuration des règles des moteurs « Socks » et « Route » garantissent la ségrégation des « Îlot ». - L'instanciation du tunnel (A) et l'encapsulation des datagrammes IP avec le chaînage socks depuis le socks 20 primaire (13) vers le socks destinataire (23) est créé. - Le datagrammes IP transite entre les socks primaire (13) et destinataire (23). Le protocole utilisé est Socks v4a et Socks 5 garantissant des options suivantes : - A minima deux ruptures protocolaires entre les 25 Îlots sont garanties. - Compte utilisateur et mot de passe requis pour accéder au socks primaire (13). - Aucune mémorisation des demandes ne peut-être entretenue, Les annuaires DNS (12, 22) gèrent 30 respectivement leur propre « Îlot ». - Seules les ressources accessibles depuis le primaire vers le(s) destinataire(s) doivent être déclarées. Deux options sont possibles : - L'adresse IP réelle, est une adresse IP déclarée 35 dans l'annuaire DNS quelque soit l'Îlot (1) et qui reflète l'adresse réelle de la destination (2) ; - L'adresse IP menteuse est une adresse IP déclarée dans l'annuaire DNS de l'Îlot primaire (1) qui ne reflète pas la véritable IP déclarée dans l'annuaire 40 DNS (2) de la destination ; seul le FQDN est défini 15 correctement dans l'annuaire DNS du primaire (11). L'Îlot primaire contient une adresse IP menteuse. - Le datagramme IP entre dans le socks destinataire (23), l'analyse de détection et de prévention des 5 intrusions sont optionnelles (23c), les règles du coupefeu (23d) autorisent les datagrammes IP à franchir l'entrée du composant socks, les règles « Client » (23e) et « Socks » (23f) sont validées. - L'analyse du FQDN et des services de noms (22) 10 définit les règles pour atteindre la ressource demandée lors de l'émission du datagramme IP depuis l'application (11c) du composant (11) Avoir un environnement aussi petit et analogue que 15 possible garantit une défense naturelle contre les propagations virales et réduit les vulnérabilités contre les pirates. L'Homme du milieu (HDM, MITM) n'est plus aussi simple, il impose de connaître complètement l'infrastructure, les règles, les flux de socksification, 20 des sources et les destinations des tunnels. La déclaration de FQDN dans des Îlots différents ayant des adresses IP équivalentes mais un « Domain Name Space » différent n'est pas illogique dans les infrastructures de nos jours (internet et nos box en sont un exemple). 25 Solution apportée par l'invention Un autre objet de la présente invention est d'avoir une architecture globale simplifiée et sécurisée. 30 Un autre objet de la présente invention est la notion et la conception d'Îlots éphémères. Un autre objet de la présente invention est de 35 pouvoir gérer autant d'Îlots que nécessite le besoin dans l'instant. Un autre objet de la présente invention est de permettre à des structures incompatibles (IPv6) ou ayant la 40 même plage d'adressage IP de communiquer entre elles. 16 Un autre objet de la présente invention est de réduire les coûts d'outils physiques tels que coupefeu entre les Îlots. La virtualisation est préconisée. 5 Un autre objet de la présente invention est de découper les chemins réseau entre Îlots en parties nécessitant toujours de passer deux systèmes de sécurités consécutifs. 10 Un autre objet de la présente invention est de surveiller tous les flux dans leur intégralité par IDS/IPS. Un autre objet de la présente invention est de rendre complexe la détection du réseau, par une personne ou un 15 logiciel malveillant, dans le cadre de pentest en Blackbox ou de pentest en Greybox et d'empêcher l'exhaustivité de la détection. Un autre objet de la présente invention est d'obliger 20 un pirate à prendre des risques pour comprendre et repérer les Îlots, ce qui permettra de le détecter plus rapidement et plus facilement. Un autre objet de la présente invention est d'avoir 25 des communications anonymes entre les Îlots. Un autre objet de la présente invention est de pouvoir filtrer les droits des utilisateurs entre les Îlots, de gérer la non-répudiation pour garantir 30 l'intégrité. Un autre objet de la présente invention est de pouvoir filtrer les droits des applications communiquant entre les Îlots. 35 40 17 Description détaillée de l'invention On donne ci-après des explications supplémentaires concernant le système DNS décrit notamment dans les RFC 5 1034 et 1035 de l'IETF. Comme mentionné, il peut être géré de deux façons : Le service DNS, repose sur trois composants essentiels : un espace de noms de domaine, un système de serveurs distribués, appelés serveurs de noms, et des 10 programmes clients appelés « résolveurs » (resolvers en anglais). L'espace de noms de domaine (Domain Name Space) possède une structure arborescente dans laquelle sont définis des domaines de niveau supérieur (appelés TLD, pour 15 Top Level Domain), rattaché à un noeud racine (root node) représenté par un point. On appelle « nom de domaine » chaque noeud/étiquette de l'arbre. Le nom complet correspondant à l'ensemble des noeuds/étiquettes, séparés par des points et terminé par un 20 point final, est appelé adresse FQDN. La profondeur maximale de l'arborescence est de 127 niveaux et la longueur maximale d'un nom FQDN est de 255 caractères. Ainsi un nom FQDN permet de repérer de façon unique un CI, et permet donc d'identifier un service fourni 25 par ce CI dans un réseau basé sur le protocole IP. Par exemple : l'adresse « web.monsite.org. » représente un FQDN. Les services de noms (Name Services) permettent d'établir une correspondance entre un nom de domaine et une 30 ou plusieurs adresses IP identifiant des équipements réseaux (CI). Dans un système DNS, le mécanisme permettant d'obtenir une adresse IP (par exemple : 172.16.50.99) d'un équipement réseau considéré, à partir d'un nom de domaine 35 attribué à cet équipement (par exemple : proxy.monsite.org) est désigné par « résolution de noms de domaine », le processus contraire (obtenir le nom de domaine à partir d'une adresse IP) étant désigné par « résolution inverse ». Afin de pouvoir permettre de résoudre un nom de 40 domaine, chaque CI doit être équipé d'une fonctionnalité, appelée résolveur (resolver), généralement intégrée dans le 18 système d'exploitation du CI. Lorsqu'une application souhaite accéder à un CI connu par son nom de domaine (par exemple : donnees.monsite.org), celle-ci va interroger son résolveur qui se chargera de répondre soit avec un 5 traitement local soit en contactant un service de noms défini dans sa configuration réseau. Ainsi dans l'exemple de l'adresse « donnee.mosite.org » l'application cliente (navigateur) envoie une requête au résolveur. Si celui-ci possède 10 l'enregistrement dans son dictionnaire interne ou dans le dictionnaire du service de résolution des noms, il l'envoie à l'application cliente. Le mécanisme de résolution tel qu'expliqué ci-dessus, repose sur un protocole de communication, le protocole DNS, 15 comprenant la définition de messages DNS de différents type (requête, réponse en particulier) et d'informations (Resource Records - RR) associées à chaque nom de domaine. Se référer à la RFC 1035 de l'IETF, sections 3.2 et 4. Le fichier local, l'utilisation d'un fichier interne 20 qui contient le duo IP/FQDN est l'étape qu'effectuent les systèmes de nos jours, le fichier local (holt file) est souvent utilisé pour la transposition d'un nom de machine FQDN en adresse IP au sein des équipements - le dispositif (100, 200), illustré sur la figure {1} en est la 25 représentation logique. La figure 1 représente un environnement fonctionnel dans le lequel la présente invention peut être mise en oeuvre. 30 Dans cet environnement une application cliente (11c), installée sur un CI (11), doit obtenir une communication avec CI distant (21) de l'Îlot (2). Pour communiquer avec la destination (21), l'application cliente (11c) utilise un service d'encapsulation des données (lld) de manière à 35 transmettre ses données à travers un réseau basé sur le protocole IP (Internet Protocol) à un serveur proxy de type socks (13) supérieur ou égal à la version V4a. Le service d'encapsulation des données (lld) utilisera le service de résolution DNS (11a/12a) dans le 40 seul but de connaître, si besoin est, l'adresse IP associée au FQDN du serveur de proxy (13). 19 Le serveur de proxy (13), lors de la réception de la demande de connexion et après validation de l'étape de sécurité client (13e), fait une demande de résolution du FQDN au service de résolution de nom (13a, 12a) dont il 5 doit obtenir une adresse IP durant l'étape socks (13f). L'étape de routage (13g) sélectionne le chemin permettant d'accéder au serveur proxy distant (23) et créer une chaîne de proxy par encapsulation des données. Le chaînage (13-A-23) peut contenir autant de 10 serveurs de proxy que nécessaire. Le serveur de proxy distant (23), lors de la réception de la demande de connexion et après validation de l'étape de sécurité client (23e), fait une demande de résolution du FQDN au service de résolution de nom (23a, 15 22a) dont il doit obtenir une adresse IP durant l'étape socks (23f). L'adresse IP de cette étape doit correspondre à l'adresse connue et réelle du CI distant (21) pour établir la communication entre le serveur proxy distant (23) et le 20 CI distant (21) à travers un modèle standard de communication basé sur le protocole IP (Internet Protocol). On précise qu'ici l'on entend par : - Application cliente, toutes applications 25 logicielles installées sur un équipement communiquant dans un réseau de protocole IP (Internet Protocol) - Équipement communicant, tout CI utilisé ou non par un utilisateur pour accéder à un service sur le réseau de protocole IP (Internet Protocol), sur 30 Internet, dans un réseau d'entreprise ou tous types d'équipements ayant usage du protocole IP (Internet Protocol). - Module Résolution, tout service chargé d'obtenir au moins une adresse IP associée à une destination, le 35 duo IP/FQDN. - Îlots Primaire et Destinataire (1, 2), toute entité ayant un accès à un réseau et offrant un service. 40 - Serveur de proxy, application qui offre un service de communication utilisant le protocole socks 20 en version V4a au minimum. Les services de noms (12) et (22) comprennent en particulier un module « autorité » DNS (12a, 22a) 5 responsable du traitement des requêtes DNS, et une zone de stockage (12b, 22b) contenant des associations entre les adresses réseau des CI de leur Îlot (1) et des adresses réseau des CI qu'ils doivent atteindre (2). Le FQDN du destinataire (21) devra être déclaré. 10 Les adresses réseau générées dans la zone de stockage seront définies par l'architecture de l'Îlot, elles peuvent être du type IPv4 ou IPv6. Dans le cadre de la présente description : 15 - on désigne par « Adresse IP réelle » une adresse IP correspondante à une interface IP active et joignable sur un CI. Selon le contexte de l'Îlot où est formulé l'entité IP/FQDN, cette adresse peut-être IPv4 ou IPv6. 20 - on désigne par « Adresse IP menteuse » une adresse IP ne correspondante pas à une interface IP active ou même existante d'un CI. À la figure 1, les entités (13) et (23) représentent 25 un système réalisant au moins une fonction de communication permettant l'acheminement de datagrammes IP. Les entités (13) et (23) comprennent respectivement au moins un module (13a, 23a) capable d'intercepter et de traiter des blocs d'information DNS ; un module d'analyse de détection et de 30 prévention d'intrusion (13c, 13h, 23c, 23h) ; un module de coupefeu (13d) ; d'un module de gestion des accès (13e, 23e) ; un module contenant des règles de socks (13f, 23f) et un module (13g, 23g) responsable du routage du trafic réseau en provenance de ou destiné à une solution cliente 35 (11) ou destinataire (21). Tous ces modules ont respectivement une zone de stockage pour y intégrer leurs règles (13z, 23z). Selon les environnements considérés, les entités (13) et (23) peuvent être confondues avec une passerelle complétée d'un système sécuritaire associé à un 40 coupefeu et assistée d'une gestion protocolaire socks supérieure à v4a. 21 Selon l'invention, les dispositifs (100) et (200) d'obtention de blocs d'informations DNS, adapté aux contraintes du contexte (réseau d'informations, solution embarquée, IoT) de l'application (11) et du destinataire 5 (21 )- Les modules précités peuvent être répartis selon les modes de réalisation choisie sur des équipements différents, ce qui est illustré sur la figure 1, par trait pointillé en englobant plusieurs modules d'entités 10 distinctes (11, 12, 13 et 21, 22, 23). Mode de réalisations préférées de l'invention On va à présent décrire le mode de réalisation de 15 l'invention. La figure 1 représente respectivement un environnement selon une première variante et une seconde variante de ce premier mode de réalisation. variante 1 « CI » Selon ce mode de réalisation de l'invention, un 20 service d'encapsulation des données (11d). Les différents modules (13c, 13d, 13e, 13f, 13g, 13h) de l'entité (13) et les différents modules (23c, 23d, 23e, 23f, 23g, 23h) de l'entité (23) autorisent et sécurisent à travers un IDS/IPS, un coupefeu (firewall) et des règles de connexions 25 (13z et 23z) l'initialisation du tunnel et la communication au CI destinataire (21). Selon ce premier mode de réalisation, les entités (11, 12, 13, 23, 22, 21) sont des CI distincts. 30 Variante 2 « Applicative » Spécifique à la seconde variante mentionnée plus haut. Illustrée par la figure 1, et selon laquelle les modules sont instanciés dans un modèle applicatifs étant distinct ou global. Les traitements s'effectuent en interne 35 de la même entité (1) pour l'Îlot source et pour l'Îlot destinataire (2). Tous les modules d'une même entité fonctionnelle sont implémentés dans un outil type « Programme » pour les objets connectés (Internet Of Things en anglais) ou 40 d'applications conteneur (Container). REVENDICATIONS1) Procédé d'établissement d'une communication socksifiée, sécurisée, ségréguée, anonymisée dans un réseau basé sur le protocole IP (Internet protocol) entre différents îlots analogues, transmis à travers un réseau de proxy socks et routé sur la base du « Domain Name Space » / FQDN (Fully Qualified Domain Name). Caractérisée en ce qu'elle comprend les étapes suivantes: a) L'application (11c) communicante avec le serveur socks primaire (13) par une première communication sécurisée (lid) ; b) La requête provenant de l'initiateur de socksification (lid) peut demander la résolution DNS/IP (lia, 12a) de sa passerelle (13) au serveur de noms DNS (12) de son Îlot ; c) Une capture (13c) traite les intrusions (IDS/IPS), associées à des règles de filtrage (13d) du coupefeu (Firewall) valides si le client (11) est autorisé (13e) à effectuer une connexion ; d) En cas de succès, une analyse du « Domain Name Space » porté par la demande de résolution FQDN de la destination (21) adjointe aux règles de destination « socks » (13f) et de « route » (13g) détermine l'adresse Internet (IP) d'interconnexion du proxy destinataire (23) correspondant au « Domain Name Space » ; e) Les différents CI - ceux que l'on souhaite atteindre depuis l'Îlot primaire (1) doivent être obligatoirement déterminés au moyen d'une requête DNS (11a, 12a, 13a) au serveur de noms (12) ou depuis le proxy source (13). f) L'établissement d'une communication sécurisée entre le proxy primaire (13) et le proxy destinataire (23) est valide après une possible capture (23c) du datagramme IP (IDS/IPS optionnelle), suivie d'un filtrage provenant des règles (23d) du coupefeu (23e) et l'approbation de la source (23f) ; La règle « socks » (23f) autorise la source (il) via 23 (13) à atteindre la ressource (21c) de la destination (21) pouvant être agrégée à des règles de routages et d'analyses internes (23g, 23h), valider par les enregistrements des CI au sein de son propre Îlot (23a, 5 22a, 21a). L'accès à la ressource (21c) est valide. 2) Procédé selon la revendication 1, caractérisée en ce que l'architecture des Îlots autorise une réduction drastique des flux ouverts dans un réseau basé sur le 10 protocole IP, à l'idéal, UN et [1] SEUL et UNIQUE flux. 3) Procédé selon la revendication 1, caractérisée en ce que les Îlots doivent contenir des environnements aussi petits que possible, et aussi analogues que possible : 15 Réduit la visibilité et endurcit l'ensemble de l'architecture dans un réseau de communication basé sur le protocole IP (Internet protocol), difficulté d'effectuer une cartographie du système d'information. - une réduction de la propagation virale, 20 - une plage d'adresses IP identique, - l'utilisation des adresses MAC connexes, Réduit la possibilité du HDM (MITM) dans le système, seuls les administrateurs peuvent connaître les règles définies dans les configurations des coupefeu, clients, 25 socks et routes du système. 4) Procédé selon la revendication 1, caractérisée en ce qu'à l'étape (a), l'application ne doit, en aucun cas, 30 résoudre le FQDN du destinataire (21) par les modules internes du système d'exploitation. Tous les traitements de l'application doivent utiliser une socksification. 5) Procédé selon la revendication 1, caractérisé en ce qu'à l'étape (e), la déclaration des CI que l'on 35 souhaite atteindre peut être les entrées des noms/IP {réelle ou fictive = menteuse} des destinataires. 6) Dispositif incluant le procédé selon la revendication 1. 40