Brevet FR3095707A1 — publié le 20201106

Description Titre de l'invention : Procédé de sécurisation d'une communication et dispositif correspondant. 1. Domaine de l'invention [0001] Le domaine de l'invention est celui de la simplification et sécurisation (le transfert de données entre des équipements électroniques quel que soit leur système d'exploitation (Windows / Apple / Linux / Android (marque déposées)), et en particulier de l'établissement de connexions sécurisées sans fil (wifi, Bluetooth (marque déposée), etc) avec authentification forte. [0002] Selon une variante l'activation d'un service WEB et d'un tunnel SSL. [0003] Selon une variante l'activation sur le serveur se fera après authentification bio- métrique. 2. Art antérieur [0004] La sécurisation des connexions entre deux équipements, appelés par la suite « serveur » et « client » est une préoccupation importante, et de nombreuses solutions ont été proposées. [0005] Selon une approche particulière, on utilise des codes-barres 2D, par exemple, pour confirmer l'identité d'un utilisateur lorsqu'il tente de se connecter à un service en ligne par exemple. Dans ce cas d'usage, l'utilisateur va utiliser la caméra de son téléphone pour lire un code-barres fourni par le serveur et restituer sur l'écran d'un ordinateur client, et transmettre, via une liaison sans fil, un retour au serveur confirmant l'identité de l'utilisateur au serveur. Le serveur sert alors le client. 100061 Mais ceci se fait dans le cadre de connexions réseau préalablement établies. Le fait que ces connexions sont préétablies introduit une faille importante, en termes de sécurité. 100071 Par ailleurs pour établir une connexion sans fil il faut saisir une clé de cryptage souvent longue et difficile à retenir. 100081 Si l'on veut partager des fichiers en multiplateforme il faut installer un logiciel spécifique à votre client ou serveur, (à chaque logiciel système) outre la difficulté de trouver ce logiciel adapté, cela introduit un risque élevé sur la sécurité et l'intégrité de votre appareil, puisque vous devez donner des droits étendus pour pouvoir partager des données par exemple. 3. Présentation de l'invention 100091 11 y a donc un besoin de solutions plus sûres, et également simples à mettre en oeuvre. 100101 Dans ce but l'invention propose un procédé de simplification et de sécurisation d'une connexion entre un équipement client, comprenant un écran, et un équipement serveur. 2 Selon l'invention, ledit équipement serveur est un dispositif mobile équipé d'une caméra, et le procédé comprend, dans ledit équipement serveur : - une étape de transmission audit équipement client d'une commande dans une fenêtre de connexion pour générer pictogramme unique sur l'écran du client ou d'un générateur pour le générer sur le poste client lui-même, contenant ou non une clé de cryptographie publique, ainsi que d'éléments de sécurité ; - une étape de lecture dudit pictogramme, affiché sur ledit écran, à l'aide de ladite caméra (rendant forte l'authentification puisque le serveur choisit le client) ; - une étape d'ouverture d'une connexion sécurisée et d'un accès à un service correspondant pour ledit équipement client. [0011] Dans le cas ou plusieurs clients potentiels essaieraient de se connecter en même temps chacun obtiendra un pictogramme différent. Selon une variante, le pictogramme unique pourra être généré par le serveur et envoyé lors de la demande de connexion du client. [0012] Il est à noter que cette connexion sera unique et temporaire, puisque à chaque nouvelle activation de service, le procédé sera à reproduire en totalité. Cela garantit r impossibilité pour un pirate de reproduire une connexion ou de tenter de récupérer des clés de cryptographie. [0013] On dispose ainsi d'une approche particulièrement simple et efficace. Il est important de noter que, selon l'invention, c'est l'équipement portable équipé d'une caméra qui joue le rôle de serveur, et établit les connexions. Ceci est très différent de l'approche classique, selon laquelle l'établissement des connexions est assuré par un routeur, par exemple un routeur wifi, qui ne peut pas être déplacé au niveau de l'équipement client. Il en est de même, plus généralement, de tout serveur. [0014] De même cela fournit au service une authentification forte et un cryptage de la com- munication sans avoir à saisir aucun « login »/ mot de passe. [0015] 11 est par ailleurs connu de filmer, par exemple avec un téléphone portable, un code- bancs, pour le retransmettre à un serveur (souvent en confirmation d'une authentification sur un ordinateur par exemple). Mais dans ce cas, l'équipement portant la caméra est un élément intermédiaire, destiné à renvoyer l'image saisie vers un serveur. Ceci ajoute un intermédiaire, donc des complexités et des risques, et nécessite généralement des applications adaptées, sur le téléphone. [0016] En revanche, selon l'invention, c'est le même équipement qui propose la connexion, fournit le pictogramme contenant la clé publique de cryptage, le photographie sur le client, l'analyse et finalise la connexion en fournissant un service associé. [0017] Selon une mise en oeuvre particulière, le procédé de l'invention comprend les étapes suivantes : - authentification biométrique de l'utilisateur du serveur (faciale, iris , voix ou 3 autre) ; - choix d'un service à activer, pouvant selon une variante se faire par reconnaissance vocale ou par bouton physique sur le serveur (voire s'il en est équipé d'un bouton sur l'écran du serveur) ; - activation d'un service de demande de connexion sécurisée dans ledit équipement serveur ; - activation dans ledit équipement serveur d'un service de communication sans fil ; - sélection, sur l'équipement client, du service de communication sans fil activé par l'équipement serveur et demande d'une connexion ; - établissement d'une connexion entre l'équipement serveur et l'équipement client ; - affichage, sur l'écran de l'équipement client, dudit pictogramme unique généré sur le client ou transmis par le serveur ; - lecture du pictogramme affiché sur ledit écran par la caméra dudit serveur (pour choisir le client parmi les clients potentiels) ; - authentification dudit équipement client par ledit l'équipement serveur, en fonction des données du pictogramme qu'il a lui-même envoyé et des données relevées par ladite caméra ; - ouverture d'une connexion par ledit serveur, activation service WEB et du tunnel SSL, et fourniture d'un service associé (partage de fichiers par exemple). [0018] L'invention concerne également le dispositif, ou équipement, mobile apte à assurer des fonctions de sécurisation d'une communication et de serveur, dans le procédé décrit ci-dessus. Un tel dispositif comprend : - une caméra, apte à saisir un pictogramme affiché sur un écran d'un équipement client ; - des moyens de génération et de transmission audit équipement client d'un pictogramme unique, suite à une demande d'établissement de connexion par celui-ci ; - des moyens d'ouverture d'une connexion sécurisée et de fourniture d'un accès à un service correspondant pour ledit équipement client. 4. Exposé des figures [0019] D'autres objectifs et avantages de l'invention apparaitront à la lecture de la des- cription suivante, d'un mode de réalisation de l'inventif, donné à titre de simple exemple illustratif et non limitatif, et des dessins annexés, parmi lesquels [0020] [fig.1] illustre schématiquement le principe de l'invention ; [0021] [fig.2] illustre un mode de réalisation du procédé de l'invention ; et [0022] [fig.3] est un exemple d'équipement serveur mettant en oeuvre l'invention. [0023] 5. Description d'un mode de réalisation particulier [0024] L'invention concerne donc une nouvelle approche de la sécurisation d'échanges de données, comme illustré sur la figure 1. L'utilisateur souhaite établir une connexion sécurisée pour accéder à un service particulier, par exemple un partage de fichiers, depuis son équipement client 11, par exemple un ordinateur ou une tablette, muni d'un écran 111. Il utilise pour ceci un équipement serveur dédié 12, sous la forme d'un dispositif portable et équipé d'une caméra 112, qui va assurer lui-même l'établissement d'une connexion 13 sécurisée et unique avec l'équipement client 111, lui permettant l'accès 14 au service de partage de fichier. [0025] Selon un mode de réalisation, illustré par la figure 2, le procédé de l'invention comprend les étapes suivantes : - étape 21 : activation d'un service de connexion sécurisée dans l'équipement serveur 12; - étape 22 : activation dans ledit équipement serveur 12 d'un service sans fil embarqué, en wifi par exemple ; - étape 23 : sur l'équipement client, sélection du service sans fil « serveur » correspondant et demande d'une connexion ; - étape 24 : établissement d'une connexion IP entre le serveur 12 et le client 11 (aucun routage du serveur n'étant en revanche disponible à ce stade) ; - étape 25 : affichage, sur l'écran 111, d'un pictogramme unique (si plusieurs « clients » tentent de se connecter ils reçoivent chacun un pictogramme différent). Chaque pictogramme contient une clé publique de cryptographie différente ; - étape 26 : à l'aide de la caméra 211 du serveur, lecture du pictogramme affiché sur l'écran ; - étape 27 : le serveur compare en interne les données du pictogramme qu'il a lui-même envoyé avec les données relevées par la caméra pour confirmer la source, en utilisant la clé de cryptographie unique associée ; - étape 28 : le serveur ouvre directement une connexion et offre le service associé (partage de fichiers par exemple). [0026] Ainsi, la connexion est sécurisée sans transmission de clé sans fil, puisque l'authentification et l'établissement de la connexion sont effectués par le même équipement. Le cas échéant, on pourra intégrer une clé publique du client dans un second pictogramme lors de l'initialisation de la connexion sans fil par exemple, si nécessaire. [0027] La connexion est à usage unique et le client est identifié physiquement. Ceci permet de réduire efficacement les risques de piratage pendant l'établissement de la communication sans fil. [0028] Le processus de connexion sans fil est simplifié à l'extrême, puisqu'il n'y a pas de mot de passe laborieux à saisir, ni sur le client ni sur le serveur, et ni aucune application à installer. [0029] L'ensemble est très rapide, sûr, et garantit une unicité de la connexion. [0030] L'invention permet d'offrir une connexion associée à un service « web » embarqué, et donc dc proposer un service dc partage de fichier cross-plateforme (iOS (marque déposée), Android (marque déposée), Windows (marque déposée), Linux (marque déposée), etc) par exemple, sans effort et sans logiciel tiers à installer sur le poste client. Le fait de transmettre des informations par caméra empêche toute attaque de type « de l'homme du milieu » (en anglais : « man in the middle ») et peut par exemple faciliter une connexion Bluctooth (marque déposée) dont la dernière version de la norme a pu être craquée par une équipe Israélienne bien qu'utilisant une cryptographie complexe sur une faille de transmission sans fil de l'initialisation de connexion. [0031] La figure 3 illustre un exemple d'équipement serveur selon l'invention, sous la forme d'un dispositif portable 31 de taille réduite (par exemple 80 mm * 25 mm " 13 mm), autonome (alimenté par batterie rechargeable) muni d'une caméra 32, et intégrant de moyens de traitement, notamment un microprocesseur, et une ou plusieurs mémoires, permettant de mettre en oeuvre les étapes du procédé décrit plus haut. [0032] Selon une variante la mise à disposition des services sur le serveur pourra se faire après l'identification forte de l'utilisateur par un moyen biométrique. [0033] Selon une autre variante, on prévoit une étape de transmission d'un petit programme informatique, par exemple en code Java, qui générera le code-barres sur le poste client. [0034] Selon encore une autre variante, on prévoit une étape de transmission en permanence, par exemple toutes les secondes, d'un nouveau code-barres, rendant difficile la capture de tous les codes-barres pour tenter d'établir une connexion pirate 6 [Revendication 1] [Revendication 2] [Revendication 3] REVENDICATIONSProcédé de simplification et sécurisation d'une connexion entre un équipement client, comprenant un écran, et un équipement serveur, caractérisé en ce que ledit équipement serveur est un dispositif mobile équipé d'une caméra, et en ce que le procédé comprend, dans ledit équipement serveur : - une étape dc connexion sans fil ; - une étape dc transmission audit équipement client d'un pictogramme unique ou d'un générateur pour le générer sur le poste client lui-même, contenant ou non une clé de cryptographie publique, ainsi que d'éléments de sécurité ; - une étape de lecture dudit pictogramme, affiché sur ledit écran, à l'aide de ladite caméra ; - une étape d'authentification finalisant la connexion sécurisée et d'un accès à un service correspondant pour ledit équipement client. Procédé selon la revendication 1, caractérisé en ce qu'il comprend les étapes suivantes - activation d'un service de demande de connexion sécurisée dans ledit équipement serveur ; - activation dans ledit équipement serveur d'un service de communication sans fil; - sélection, sur l'équipement client, du service de communication sans fil activé par l'équipement serveur et demande d'une connexion ; - établissement d'une connexion entre l'équipement serveur et l'équipement client ; - affichage, sur l'écran de l'équipement client, dudit pictogramme unique ; - lecture du pictogramme affiché sur ledit écran par la caméra dudit serveur ; - authentification dudit équipement. client par ledit l'équipement serveur, en fonction des données du pictogramme qu'il a lui-même envoyé et des données relevées par ladite caméra ; - ouverture d'une connexion par ledit serveur ; - ouverture d'un canal sécurisé (tunnel SSL) entre le client et le serveur ; - fourniture d'un service associé. Équipement mobile apte à assurer des fonctions de sécurisation d'une communication et de serveur, clans le procédé des revendications 1 ou 2, caractérisé en ce qu'il comprend : - une caméra, apte à saisir un pictogramme affiché sur un écran d'un équipement client ; - des moyens de génération et de transmission audit équipement client d'un pictogramme unique pour chaque demande de connexion, suite à une demande d'établissement de connexion par celui-ci ; - des moyens d'ouverture d'une connexion sécurisée et de fourniture d'un accès à un service correspondant pour ledit équipement client.