Brevet FR3119503A1 — publié le 20220805

L’invention concerne un dispositif et un procédé de transmission anonyme d’information entre une pluralité N’ de membres d’un même réseau de confiance, les membres du réseau de confiance communiquant entre eux au travers d’une plateforme réseau d’anonymisation, le procédé étant mis en œuvre par ordinateur et comprenant des étapes consistant à : - générer par un membre du réseau de confiance, une pluralité N de fragments complémentaires de données à partir d’un paquet de données initial, tel que la recombinaison des N fragments complémentaires permet de reconstruire le paquet de données initial ; - transmettre par ledit membre émetteur via la plateforme réseau d’anonymisation, chaque fragment complémentaire généré, respectivement à un proxy indépendant parmi une pluralité N de proxies indépendants ; - retransmettre par chaque proxy indépendant via la plateforme réseau d’anonymisation, le fragment complémentaire reçu dudit membre émetteur à la pluralité N’ des membres du réseau de confiance ; et - recombiner par chaque membre récepteur du réseau de confiance, la pluralité N de fragments complémentaires reçus afin de reconstruire le paquet de données initial. Figure pour l’abrégé : Fig.2 Procédé et dispositif de transmission ou d’échange d’information anonyme au sein d’un réseau de confiance Domaine de l’invention L’invention est dans le domaine technique des protocoles de communication, et concerne plus particulièrement un procédé de transmission anonyme monodirectionnel ou d’échange anonyme bidirectionnel d’informations au sein d’un réseau de partenaires, de manière anonyme et sécurisée sans aucun tiers de confiance, en préservant l’anonymat du/des émetteur(s). Etat de la Technique L’anonymisation au niveau réseau est aujourd’hui à un état très embryonnaire. Les solutions actuelles connues que sont l’utilisation d’un réseau privé virtuel (VPN) ou le réseau superposé Tor (« The Onion Router ») ou encore le réseau anonyme I2P pour « Invisible Internet Project », reposent toutes sur un « tiers de confiance » qui par construction voit l’intégralité du trafic montant et descendant échangé entre les points terminaux (« end-points ») de la communication. La demande de brevet WO/2019/072470A1 apporte une solution à ce problème en introduisant deux notions complémentaires – l’asymétrie des routes montantes et descendantes en sortie de la plateforme d’échange et la circulation de bruit anonyme à tous les nœuds intermédiaires d’une route donnée - grâce auxquelles, aucun élément de la plateforme n’est en possession de l’ensemble du contenu. Cependant, cette architecture ne permet qu’une communication anonymisée et sécurisée de point à point et elle ne permet pas une communication (i.e. une transmission ou un échange) de point à multipoints ou de multipoints à multipoints. Il existe par ailleurs un besoin émergent qui est non satisfait pour permettre des échanges sur des réseaux de confiance d’échanges anonymes entre partenaires partageant certains besoins communs mais qui pour des raisons diverses (e.g. réglementaire, concurrence, préservation d’image, risques légaux) ne souhaitent pas communiquer entre eux ces informations de manière directe. Aussi, au vu des besoins émergents et des inconvénients existants, les communications dans le cadre des réseaux de confiance doivent présenter les propriétés suivantes : - permettre la diffusion rapide (voire quasi temps réel) de manière mono ou bidirectionnelle, d’informations aux membres du réseau de confiance (appelé aussi « groupe de confiance ») ou aux membres de sous-groupes (appelés aussi « cercles de confiance ») de ce réseau ; - garantir que seuls les membres du groupe de confiance seront destinataires de l’information et que, par conséquent, aucun tiers extérieur au groupe n’est en mesure d’accéder à cette information. Ceci implique qu’il n’existe pas de tiers de confiance susceptible : (1) de briser l’anonymat de l’émetteur d’une information donnée ; (2) d’accéder ou modifier cette information, indépendamment du niveau de protection (typiquement par chiffrement) intrinsèque de cette information ; (3) de savoir qu’une donnée a été émise selon une déclinaison où un système de génération de bruit a été mis en œuvre ; - permettre, dans une déclinaison particulière dite « garantie », aux membres du réseau d’être en mesure de manière individuelle d’effectuer cette garantie, c’est-à-dire qu’un membre n’a pas besoin d’avoir confiance dans les autres membres, pour bénéficier de cette garantie ; - permettre au(x) récepteur(s) de qualifier l’information par un degré de confiance alors que son expéditeur est (et doit rester) inconnu ; - offrir la possibilité à chaque membre du réseau de contrôler (i.e. vérifier) en temps réel les membres du réseau, et ainsi éviter une association entre plusieurs membres visant à exclure un ou plusieurs autres membres de certaines transmissions ou de certains échanges ou visant à casser l’anonymat de certains membres ou à intercepter ou modifier une partie des transmissions ou des échanges. Or, il n’existe aujourd’hui aucune solution permettant de couvrir l’ensemble de ces besoins, dont celui de permettre à chaque membre d’un réseau de contrôler en temps réel les autres membres du réseau, en particulier dans un cadre de communication à faible latence (« low latency communication »). Les approches suivantes proposent des solutions partielles : « Freenet » est une plateforme « pair à pair » (P2P) décentralisée permettant des communications « résistantes » à la censure. En pratique, c’est un service de partage d’information qui permet à un individu A de diffuser largement des informations, rendant difficile leur interception et leur suppression grâce à la distribution de blocs chiffrés à certains membres du réseau Freenet qui seront chargés, de fait, d’en assurer le stockage et la retransmission sur demande. Chaque bloc est dupliqué chez plusieurs utilisateurs, rendant ainsi difficile toute censure de l’information qu’il contient. L’information est ensuite accessible au travers d’un lien qui permettra d’accéder et de réassembler les différents blocs. Freenet n’est pas anonyme en soit, mais combiné avec Tor, il permet de diffuser l’information de manière anonyme à un nombre important de destinations. Freenet ne peut garantir l’accès à la donnée aux seuls partenaires. En effet, toute personne disposant du lien sera en mesure d’accéder à l’information. Conceptuellement, Freenet est donc plus un moyen de stockage partagé, distribué et persistant qu’un moyen de transmission à faible latence. « Zeronet » est un réseau P2P d’échange d’information, conceptuellement similaire à Freenet mais qui repose sur des technologies plus récentes (blockchain et BitTorrent). La principale différence réside dans le fait que les copies de l’information sont stockées uniquement chez ceux qui ont consulté l’information et non potentiellement par tous les membres du réseau P2P. Par conséquent, Zeronet présente les mêmes limitations que Freenet par rapport au besoin. Des publications anciennes relatives au multicast anonyme ont décrit des mécanismes permettant de masquer à un attaquant le centre de contrôle d’un réseau (qui est aujourd’hui repris pour les Botnet), mais les informations ne vont que dans un sens, car seule la tête du réseau maîtrise celui-ci. Le système d'anonymisation DAISY, décrit dans l’article de Chan, Chi-Bun, and Cristina Nita-Rotaru, "DAISY: Increasing Scalability and Robustness of Anonymity Systems.", s'appuie sur une architecture à 3 niveaux dans laquelle un noyau central de routeurs (« Core Delegate Network ») a pour objectif de complexifier la corrélation entre les entrées et sorties du système d'anonymisation. Mais la description de DAISY précise que cette solution ne peut en l'état rendre possible des communications de groupe anonymes. Les services cachés sur Tor (« Tor hidden services ») peuvent également s’assimiler à un service de diffusion large anonyme, sous réserve que le service caché mette en œuvre également un contrôle d’accès. Par exemple, l’ICIJ « International Consortium of Investigative Journalists » utilise SecureDrop, qui est un service caché sur Tor, pour recevoir des informations de lanceurs d’alertes et les diffuser à l’ensemble de ses journalistes. Cependant, ce service caché est par construction un tiers de confiance car il sera le point focal de l’information diffusée entre les membres du réseau. Il est le seul à contrôler la diffusion aux membres du réseau de partenaires et peut donc « choisir » de restreindre la diffusion d’une information à un ou plusieurs membres du réseau de partenaires. Il voit l’intégralité des flux entrants et sortants et est donc théoriquement susceptible d’accéder ou modifier leurs contenus. De plus, c’est un système intrinsèquement unidirectionnel, qui impose une gestion au niveau de la couche applicative pour le rendre bidirectionnel. Par ailleurs, de même que les autres solutions citées préalablement, un service caché de Tor ne permet pas: - de garantir que les informations sont effectivement diffusées aux seuls membres du réseau et ce même si un mécanisme de contrôle d’accès est ajouté au service ; - d’offrir la possibilité à chaque membre du réseau de contrôler (i.e. vérifier) en temps réel les membres du réseau (et d’éviter ainsi une association de plusieurs membres visant à exclure un ou plusieurs membres de certaines transmissions ou de certains échanges) ; - de garantir que les informations transmises ou échangées ne peuvent être interceptées et/ou modifiées par un tiers susceptible de mener des attaques évoluées contre les techniques de chiffrement de bout-en-bout actuelles et futures ; - de permettre nativement la constitution de différents cercles de confiance au sein du réseau de membres ; - de permettre la possibilité de cacher l’événement d’émission d’un message utile. La présente invention répond à ces différents besoins. Un objet de la présente invention est de proposer une architecture et un mécanisme de transmission anonyme d’informations de point à multipoints ou de multipoints à multipoints à faible latence. La transmission est anonymisée, sécurisée et sans tiers de confiance. L’invention permet l’établissement de réseaux de confiance totalement anonymes pour la transmission anonyme monodirectionnelle ou l’échange anonyme bidirectionnel d’informations. Avantageusement, la présente invention vise à permettre l’échange d’informations entre partenaires, au sein d’un réseau de confiance, de manière réellement anonymisée, sécurisée et sans tiers de confiance. Selon différents modes de réalisation, l’invention permet également : - de garantir aux membres du réseau qu’aucun tiers extérieur au réseau n’est en mesure d’accéder aux, ou de modifier, les informations transférées ; - de garantir aux membres du réseau qu’aucune collusion par un sous-groupe de membres n’est en cours contre un ou plusieurs autres membres ; - d’établir des groupes ou cercles de confiance présentant des niveaux de confiance différenciés, afin de qualifier le degré de confiance de l’information anonyme reçue par les récepteurs. De manière générale, le procédé de l’invention s’appuie sur une architecture comprenant une solution d’anonymisation réseau (en pratique pouvant être un réseau en superposition « overlay network » d’un réseau de communication standard sous-jacent) ; un ensemble ou groupe ou cercle de partenaires souhaitant échanger des informations entre eux de manière anonyme ; et un ensemble (ou « pool ») de proxies opérés par des acteurs indépendants, ces acteurs pouvant être des partenaires du groupe, et chargés de relayer les informations d’un émetteur du groupe de partenaires aux autres partenaires du groupe. Avantageusement la présente invention introduit un nouveau mode de communication aujourd’hui inexistant, nommé mode de communication « multicast anonyme », c’est-à-dire donnant la possibilité de diffuser rapidement, de manière mono ou bidirectionnelle, des informations au sein d’un groupe de confiance, sans qu'aucun des récepteurs ne soit en mesure de déterminer l'émetteur de ces informations, et également sans qu'une quelconque autre entité (typiquement un "tiers de confiance" mais également un tiers extérieur au réseau de confiance) ne soit en mesure d'effectuer cette détermination. Les domaines d’application industrielle de l’invention sont multiples tels que ceux de l’énergie, du transport, de la banque pour ne citer que ceux-là, mais couvrent sans limitation des solutions mettant en œuvre tout réseau de confiance mono ou multi niveaux pour l’échange anonyme de données, dont notamment : - un réseau de confiance pour l’échange d’informations afin d’accélérer la détection de fraude bancaire, au moyen de paiement ou à l’assurance ; - un réseau de confiance pour l’échange d’informations sur les attaques cyber ; - un réseau de confiance pour l’échange d’informations entre services d’intelligence étatiques ; - un réseau de confiance pour l’échange d’informations entre journalistes ; - un réseau de confiance pour l'échange d'informations commerciales confidentielles (par exemple au sujet de fournisseurs) entre partenaires commerciaux. Dans une variante de réalisation, la présente invention permet la réalisation d’une architecture de messagerie instantanée anonyme, devant rester compatible avec les obligations en termes d’interceptions légales. Pour obtenir les résultats recherchés, il est proposé un procédé de transmission anonyme d’information entre une pluralité N’ de membres d’un même réseau de confiance, les membres du réseau de confiance communiquant entre eux au travers d’une plateforme réseau d’anonymisation (104), le procédé étant mis en œuvre par ordinateur et comprenant des étapes consistant à : - générer par un membre du réseau de confiance, une pluralité N de fragments complémentaires de données à partir d’un paquet de données initial, tel que la recombinaison des N fragments complémentaires permet de reconstruire le paquet de données initial ; - transmettre par ledit membre émetteur via la plateforme réseau d’anonymisation, chaque fragment complémentaire généré, respectivement à un proxy indépendant parmi une pluralité N de proxies indépendants ; - retransmettre par chaque proxy indépendant via la plateforme réseau d’anonymisation, le fragment complémentaire reçu dudit membre émetteur à la pluralité N’ des membres du réseau de confiance ; et - recombiner par chaque membre récepteur du réseau de confiance, la pluralité N de fragments complémentaires reçus afin de reconstruire le paquet de données initial. L’invention peut être mise en œuvre selon des modes de réalisation alternatifs ou combinés, où : - le procédé peut comprendre une étape initiale consistant à définir parmi la pluralité N’ des membres du réseau de confiance, au moins trois membres récepteurs, et/ou à définir parmi la pluralité N de proxies indépendants, au moins deux proxies pour relayer la transmission des fragments complémentaires aux membres récepteurs. - l’étape de générer une pluralité N de fragments complémentaires peut consister à appliquer une fonction de secret-partagé F() sur ledit paquet de données initial, et l’étape de recombiner la pluralité N de fragments complémentaires reçus consiste à appliquer la fonction de secret-partagé inverse F -1 () sur lesdits fragments complémentaires. - la fonction de secret-partagé peut par exemple être une fonction XOR avec ou sans latence. - l’étape de générer une pluralité N de fragments complémentaires peut consister à générer N-1 fragments aléatoires de longueur égale à la longueur du paquet de données initial, et où le dernier fragment N est un fragment complémentaire des précédents. - l’étape initiale peut comprendre de plus une étape consistant à définir une fonction de secret-partagé F() pour un sous-ensemble de la pluralité N’ des membres du réseau de confiance. - l’étape de transmission par le membre émetteur des fragments complémentaires, peut également inclure, en même temps ou séquentiellement, la transmission à chaque proxy de la fonction de secret-partagé, ou peut inclure directement la fonction de réassemblage via les fragments complémentaires. - le procédé peut comprendre de plus après l’étape de recombinaison, des étapes consistant pour au moins un membre récepteur du réseau de confiance, à mettre en œuvre les étapes du procédé de transmission anonyme, afin d’envoyer une réponse anonyme audit membre émetteur anonyme. - l’étape de retransmission par les proxies, peut consister en ce qu’au moins deux proxies retransmettent leur fragment complémentaire reçu, à un sous-ensemble de la pluralité des membres récepteurs. - l’étape de transmission aux proxies des fragments complémentaires, peut consister à transmettre, en plus des fragments complémentaires, des données ou des fragments aléatoires dénués de sens et reconnus comme du bruit au niveau applicatif. - le procédé peut comprendre préalablement à l’étape de retransmission par les proxies des fragments complémentaires reçus, une étape de stockage par les proxies desdits fragments complémentaires reçus. - l’étape de retransmission des fragments complémentaires par les proxies peut comprendre de plus une étape consistant pour chaque proxy à notifier la transmission du fragment complémentaire, à un membre du réseau de confiance en charge de l’accès à la plateforme réseau d’anonymisation, ladite notification pouvant être un message incluant des informations relatives à la performance de la transmission, notamment des informations relatives à la taille, au débit, à la nature mono ou bidirectionnelle du paquet de données. - le procédé peut comprendre de plus après l’étape de recombinaison des fragments, une étape de génération d’une notation du paquet de données reçu. - un, plusieurs ou tous les proxies peuvent être hébergés par un ou plusieurs membres du réseau de confiance. L’invention concerne aussi un dispositif pour transmettre via une plateforme réseau d’anonymisation, des données entre une pluralité N’ de membres d’un même réseau de confiance, le dispositif comprenant des moyens pour mettre en œuvre les étapes du procédé de l’invention. L’invention concerne aussi un produit programme d’ordinateur qui comprend des instructions de code permettant d’effectuer les étapes du procédé de l’invention, lorsque le programme est exécuté sur un ordinateur. Description des figures D’autres caractéristiques et avantages de l’invention apparaîtront à l’aide de la description qui suit et des figures des dessins annexés dans lesquels : illustre de manière simplifiée un environnement permettant de mettre en œuvre la présente invention ; illustre un mode de réalisation d’une architecture de l’invention ; est un diagramme de flux du procédé de transmission anonyme de l’invention, dans un mode de réalisation monodirectionnel point à multipoints ; illustrent les étapes du procédé de transmission anonyme monodirectionnel du diagramme de flux de la ; illustrent les étapes additionnelles du procédé d’échange anonyme bidirectionnel selon un mode de réalisation de l’invention ; illustre un mode de réalisation de l’invention dit « multi-cercles » ; illustrent un mode de réalisation de l’invention dit « garantie ». Description détaillée de l’invention Le contexte 100 pour une mise en œuvre de l’invention est illustré de manière simplifiée sur la , comprenant un réseau de communication 102 sur lequel existe une solution d’anonymisation réseau 104. Dans un mode de réalisation, la solution d’anonymisation réseau 104 est un réseau d’anonymisation de couverture du réseau de communication traditionnel sous-jacent 102. Avantageusement, la solution d’anonymisation 104 ne doit pas forcément présenter des propriétés très évoluées d’anonymisation. Néanmoins le niveau d’anonymat offert par l’invention est dépendant en partie de la robustesse de la solution d’anonymisation réseau. Ainsi, un simple service VPN d’anonymisation n’est pas conseillé, et l’homme du métier mettra l’invention en œuvre de manière privilégiée via des réseaux d’anonymisation tels que Tor, I2P ou de manière préférentielle selon une plateforme basée sur l’architecture de la demande de brevet précitée WO2019/072470A1 de la Demanderesse. L’architecture pour la mise en œuvre du procédé de l’invention comprend aussi un réseau 106 de N’ partenaires (M 1 à M N’ ) souhaitant échanger des informations entre eux de manière anonyme, et un réservoir de N proxies indépendants 108 (P 1 à P N ). Les proxies et les membres du réseau de confiance (i.e. les partenaires), disposent d’adresses réseaux (par exemple des adresses IP) du réseau traditionnel sous-jacent 102. Les proxies sont chargés de relayer les informations d’un membre émetteur aux partenaires ou destinataires du réseau de confiance 104. Les proxies ne sont pas en mesure de savoir et de déterminer si les données qu’ils font transiter sont des données utiles ou non. La illustre une mise en œuvre 200 de l’invention dans le contexte 100 de la . Bien qu’un réseau de communication traditionnel 102 soit montré, ce dernier ne participe pas à la mise en œuvre du procédé de l’invention, où les communications se font uniquement au travers du réseau d’anonymisation 104. Les composants impliqués pour l’implémentation de l’invention sont au moins: - une solution d’anonymisation réseau 104, qui en pratique est un réseau overlay « au-dessus » du réseau classique 102 ; - un réseau ou cercle de confiance (« Trust ring ») 106, composé d’une pluralité N’ de membres M N’ ou partenaires souhaitant échanger des informations entre eux de manière anonyme ; - un réservoir 108 d’une pluralité N de proxies P N , opérés par des acteurs indépendants, et chargés de relayer les informations d’un émetteur du réseau de confiance aux partenaires du réseau de confiance. Optionnellement, une ou plusieurs bases de données (202, 204) peuvent être constituées, et agir comme registres des proxies, des partenaires, et définir l’appartenance de ces partenaires aux différents cercles de confiance (i.e. sous-groupes du réseau de confiance initial). Les bases de données (202, 204) sont contrôlées par tous les membres du réseau de confiance, qui peuvent donc les consulter, de manière sécurisée ou non, à tout moment, soit via le réseau d’anonymisation 104, soit directement via le réseau classique 102. En effet, tant le pool de proxies 108 que les membres du réseau de confiance 106 disposent d’adresses réseaux (par exemple des adresses IP) visibles de tous les éléments du réseau traditionnel sous-jacent 102. Dans un mode de réalisation préférentiel de l’invention, les membres et les proxies communiquent entre eux de manière anonyme au travers du réseau d’anonymisation 104. Cependant, dans le cas d’une communication monodirectionnelle, la connexion des proxies vers les membres du réseau de confiance, peut être faite de manière non anonyme. Ainsi, les partenaires du réseau de confiance 106 ont accès à tout moment à la liste des proxies, à la liste des autres partenaires et de l’appartenance de ces partenaires aux différents cercles de confiance éventuels (sous-groupes). La consultation de ces bases étant des plus communes pour l’homme du métier, celle-ci n’est pas détaillée dans la description. Dans un mode de réalisation, les bases de données (202, 204) sont définies comme des tables de routage telles qu’illustrées sur les tables I, II, III ci-dessous. Les sous-groupes (ou cercles de confiance) sont définis en amont entre les membres du groupe de confiance. Chaque membre choisit ensuite le (ou les) cercle de confiance auquel il veut envoyer des informations en sélectionnant les couples (proxies, groupes) pertinents selon les tables de routage prédéfinies. Dans une réalisation pratique, l’utilisateur communique un identifiant de groupe visé à chaque proxy sélectionné. La table I illustre la constitution générale de groupes G i (par accord entre les membres M i d’un réseau de confiance), avec pour chaque groupe, la liste des proxies P i et des membres du cercle de confiance M i qui font partie de ce groupe. A titre d’exemple, les membres M 1 , M 2 , M 4 appartiennent au groupe G 1 , et ils peuvent relayer leurs informations par les proxies P 1 , P 2 et P 4 . Global Group e s G i Proxies P i Membr e s M i G1 P 1 P 2 P 4 M 1 M 2 M 4 G2 P 2 P 3 P 4 M 2 M 3 M 4 G3 P 1 P 2 P 3 M 1 M 2 M 3 … … … Table I La table II illustre les paramètres d’appartenance à un groupe, de proxies correspondants, et de fonction de secret-partagée utilisée par un membre M 1 selon son appartenance à un groupe. Ainsi à titre d’exemple, lors des échanges dans le groupe G 1 (regroupant selon la table I les membres M 1 , M 2 , M 4 , et les relais P 1 , P 2 , P 4 ), la fonction de secret-partagé utilisée par M 1 est la fonction XOR. Lors des échanges dans le groupe G 3 , (regroupant selon la table I les membres M 1 , M 2 , M 3 , et les relais P 1 , P 2 , P 3 ), la fonction de secret-partagé utilisée par M 1 est la fonction ‘XOR avec latence’. Dans une réalisation de l’invention, la fonction de secret-partagé pourra être définie par les membres du groupe lors de leurs premiers échanges et modifiée au cours du temps, de manière périodique ou non. M 1 Group e s Proxies F o nction F() G1 P 1 P 2 P 4 XOR G3 P 1 P 2 P 3 XOR + latence … … … Table II La table III illustre une table de routage d’un proxy indiquant les paramètres de groupe G i et les membres appartenant au groupe respectif. Par exemple, le proxy P 4 va relayer une information émise par un membre du groupe G2 vers l’ensemble des membres de ce groupe, i.e. M 2 , M 3 et M 4 . Group e s Membr e s G1 M 1 M 2 M 4 G2 M 2 M 3 M 4 … … Table III La montre un diagramme de flux 300 du procédé de transmission anonyme de l’invention, dans un mode de réalisation monodirectionnel point à multipoints. Le procédé débute quand un membre, par exemple ‘M1’, d’un cercle de confiance {M1, M2, …, MN} souhaite transmettre de manière anonyme aux membres du cercle, une information « Data ». Le réseau de confiance de partenaires 206 est composé d’au moins trois membres (N’≥3). Dans la suite de la description, pour des raisons de simplification, les termes ‘membres’, ‘partenaires’, ‘émetteur’ désignent des entités physiques et/ou des moyens matériels et logiciels configurés pour ces entités physiques pour mettre en œuvre toute fonction permettant entre autre de fragmenter, transmettre, recevoir, reconstruire des données via le réseau d’anonymisation, selon les étapes du procédé de l’invention. Dans une première étape 302, le procédé permet à l’émetteur de fragmenter l’information à transmettre en une pluralité N de fragments, puis dans une étape suivante 304, le procédé permet à l’émetteur de transmettre chaque fragment N i généré à un proxy P i du réservoir de proxies. La illustre les étapes 302 et 304 du procédé de transmission anonyme monodirectionnel du diagramme de flux de la , sur l’exemple de l’architecture de la . Ainsi, à l’étape 302, à partir d’un paquet « Data », l’émetteur M 1 génère N fragments complémentaires (Fragment 1, Fragment 2, … Fragment N) au travers d’une fonction de secret-partagé F(), de telle façon que la recombinaison de ces N fragments complémentaires permette de retrouver le paquet initial « Data », et pouvant s’énoncer selon l’équation suivante : F -1 ({fragment complémentaire i } i =1..N ) = Data) . Dans un mode de réalisation, l’émetteur définit les destinataires ou un groupe de confiance, de l’information à recevoir. Dans un mode de réalisation, la fonction de secret-partagé F() peut-être un XOR (⊕). L’émetteur M 1 génère N-1 fragments aléatoires de longueur égale à la longueur du paquet « Data », et tel que le dernier fragment soit complémentaire et égal à : . A l’étape suivante 304, l’émetteur M 1 transmet via la plateforme réseau d’anonymisation 104 chaque fragment à un proxy différent. Ainsi, il transmet le premier fragment ‘Fragment 1’ à un premier proxy, par exemple P 1 , au travers d’une connexion anonyme M 1 -P 1 ; il transmet le deuxième fragment ‘Fragment 2’ à un deuxième proxy, par exemple P 2 , au travers d’une connexion anonyme M 1 -P 2 ; etc jusqu’au dernier fragment ‘Fragment N’ transmis à un Nième proxy, par exemple P N , au travers d’une connexion anonyme M 1 -P N . Il est à noter que la connexion anonyme M 1 -P i établie pour transmettre un fragment vers un proxy P i peut être établie uniquement pendant le délai de la transmission du fragment de l’émetteur vers le proxy, ou alors être maintenue si une réponse est attendue de la part des proxies Pi. Ainsi, l’étape 304 permet que chaque proxy P i reçoive un bruit aléatoire (i.e. un fragment) de la part d’un membre inconnu du réseau de confiance. Selon des variantes de réalisation, le nombre de proxies peut être prédéfini ou être défini par l’émetteur avant l’envoi d’une information. Le nombre de proxies constituant le réservoir de proxies 108 est d’au moins deux proxies (N≥2). Le procédé poursuit par une étape 306 dans laquelle chaque proxy qui a reçu un fragment complémentaire, retransmet via la plateforme réseau d’anonymisation, ce fragment à l’ensemble des membres du réseau de confiance (ou à l’ensemble des membres d’un sous-groupe de réseau de confiance), puis par une étape 308 où chaque membre qui a reçu une pluralité de fragments, reconstitue le paquet « Data » grâce à la fonction inverse de secret-partagé F -1 (). Selon des variantes de réalisation, la fonction de secret-partagé F() peut être prédéfinie pour un cercle de confiance et donc connue de chaque membre du groupe ; elle peut être définie par l’émetteur et transmise via les proxies avec les fragments complémentaires, et relayée aux destinataires à l’étape de retransmission 306 ; elle peut aussi être définie selon l’application pour laquelle le procédé de l’invention est mis en œuvre. Ainsi, l’homme du métier, au-delà de l’exemple indiqué d’une fonction XOR, peut implémenter toute autre fonction permettant d’établir une fonctionnalité de secret-partagé entre partenaires. La illustre les étapes 306 et 308 du procédé de transmission anonyme monodirectionnel du diagramme de flux de la , sur l’exemple de l’architecture de la . Ainsi, à l’étape 306, chaque proxy Pi relaie et retransmet à l’ensemble des partenaires du réseau de confiance {Mi} i =1,…, N’ , le fragment complémentaire ‘Fragment i ’ qu’il a reçu de l’émetteur M1, au travers d’une connexion anonyme M 1 -Pi préalablement établie. Il est à noter que la connexion anonyme P i -M i établie pour retransmettre un fragment d’un proxy P i vers un destinataire M i peut être établie uniquement pendant le délai de la transmission du fragment du proxy vers ce destinataire, ou alors être maintenue si une réponse est attendue de la part des membres du cercle de confiance {Mi}. Quand les membres du cercle de confiance ont reçu les fragments envoyés par les proxies, le procédé permet à l’étape 308, que chaque membre du réseau Mi recombine l’ensemble des fragments complémentaires relayés par le pool des proxies {Pi}, au travers de la fonction inverse de secret-partagé F -1 (), et ainsi obtenir le paquet initial « Data » de l’information que l’émetteur souhaite partagée. Des variantes de réalisation du procédé d’échange d’information de l’invention sont décrites selon les figures 5 à 7. Dans une variante de réalisation, le procédé de l’invention est mis en œuvre pour une transmission bidirectionnelle entre un émetteur M 1 et l’ensemble des membres {M i } d’un cercle de confiance dont fait partie l’émetteur, et impliquant une réponse de chacun des M i . Une telle situation peut par exemple être dans le cas où l’information « Data » est une requête d’interrogation sur une base de données BDD i particulière qui est hébergée par chaque M i . Le procédé pour cette variante comprend les étapes de transmission anonyme 302 à 308 précédemment décrites depuis un émetteur M 1 . Dans cette variante, les connexions anonymes M 1 -P i établies pour transmettre un fragment vers un proxy P i , et les connexions anonymes P i -M j établies pour retransmettre un fragment d’un proxy P i vers un destinataire M j sont maintenues. Le procédé 300 comprend de plus des étapes où chaque membre du cercle de confiance qui a reçu la requête d’un émetteur qui lui est inconnu, va mettre en œuvre les mêmes mécanismes de transmission anonyme du procédé de l’invention, pour envoyer à son tour de manière anonyme une réponse à l’émetteur anonyme. Ainsi, un membre qui envoie une information de type « Réponse » devient un émetteur au sens du procédé 300 de l’invention. Les figures 5a et 5b illustrent l’enchainement des étapes du procédé d’échange anonyme bidirectionnel selon un mode de réalisation de l’invention. Un partenaire M j d’un groupe ayant reçu après recomposition d’un paquet, une requête appelant une réponse, met en œuvre le procédé de transmission anonyme. Il décompose dans une étape 502, par application de la fonction de secret-partagé F(), son paquet de données « Réponse » en une pluralité N de fragments complémentaires (Fragment Mj 1, Fragment MJ 2, …, Fragment MJ N) correspondant au nombre de proxies, puis transmet dans une étape 504 chaque fragment de cette réponse vers chaque proxy, au travers de la connexion anonyme Pi-Mj qui a été précédemment établie par le proxy P i avec le membre M j et qui a été maintenue. Dans une étape suivante 506, chaque proxy retransmet le fragment reçu vers le membre destinataire M 1 au travers de la connexion anonyme M 1 -Pi précédemment établie et qui a été maintenue. Puis, dans une étape suivante 508 qui est fonctionnellement similaire à l’étape 308, le membre destinataire M 1 applique la fonction inverse de secret-partagé F -1 () sur la pluralité de fragments Mj, pour reconstruire le paquet « Réponse » envoyé par le membre M j du cercle de confiance, qui lui reste inconnu. Dans le cas où des transmissions ou des échanges simultanés pourraient intervenir au sein du réseau de confiance, l’émetteur M1 peut associer aux fragments complémentaires i un identifiant commun qu’il aura généré, et permettre ainsi aux destinataires Mi d’associer les bons fragments entre eux. Dans une variante de réalisation de l’invention, la retransmission par les P i proxies du fragment i au pool de destinataires {Mi}, peut se faire directement sans passer par le réseau d’anonymisation. Cependant, dans un tel cas, et aussi dans le cas où la transmission impliquerait également une réponse par chaque Mi, afin de garantir l’anonymat de la réponse, il est nécessaire que le niveau applicatif commande que la transmission de ces réponses suive le principe de l’invention (i.e. les étapes 302 à 308). Cette procédure est recommandée afin d’éviter une analyse potentielle de son contenu, typiquement une lecture de la taille de la réponse dans le cas où des techniques de « traffic flow confidentiality », comme le « padding » par exemple, ne pourraient pas être mises en œuvre. Une variante de l’invention dite variante « multi-cercles », est illustrée sur la . Dans ce mode de réalisation, un ou plusieurs ou tous les proxies disposent de règles de retransmission différentes, c’est-à-dire, que chacun envoie le fragment qu’il a reçu d’un émetteur M1 à un sous-ensemble des membres {Mi} du cercle de confiance, qui est propre à cet émetteur (sous-ensemblej de {Mi}). Les règles de retransmission peuvent être préétablies par les membres du cercle de confiance. Elles peuvent être centralisées dans la base de données des membres 204 et des proxies 202. Ainsi, un émetteur M 1 peut ainsi décider d’envoyer un paquet « Data » qu’à un sous-ensemble choisi de destinataires de telle façon que les membres récepteurs de ce sous-ensemble ne soient composés que de l’ensemble des membres qui sont à l’intersection des sous-ensembles des proxies choisis. Les membres en-dehors de cette intersection mais qui sont compris dans certains sous-ensembles, ne vont alors pas recevoir l’intégralité des fragments, et ne seront donc pas en mesure de retrouver le paquet initial « Data ». Ainsi avantageusement, plusieurs cercles de confiance peuvent être créés, comme illustré sur la où l’émetteur M1 choisit de transmettre un paquet de données « Data » sur deux fragments complémentaires (Fragment1, Fragment2), relayés par deux proxies P2 et PN (étapes 602, 604). Selon le procédé de transmission anonymisé de l’invention, les proxies P 2 et P N , retransmettent chacun à un sous-ensemble différent de destinataires les fragments reçus. Ainsi le proxy P 2 retransmet le fragment Fragment1 aux destinataires M 1 et M 2 , le proxy P N retransmet le fragment Fragment2 aux destinataires M 2 et M N . Il ressort que M2 étant le seul à recevoir les deux fragments complémentaires (Fragment1, Fragment2), il est donc le seul à pouvoir les recombiner, selon les principes d’application de la fonction inverse de secret-partagé, et ainsi accéder à l’information « Data ». Une variante de l’invention dite variante « Garantie », est illustrée sur les figures 7a et 7b. Dans ce mode de réalisation, un ou plusieurs ou tous les proxies peuvent être hébergés par un ou plusieurs des partenaires du réseau de confiance. La illustre plus spécifiquement l’étape 304 du procédé de l’invention où l’émetteur envoie les fragments complémentaires du paquet de données vers tous les proxies dont celui qu’il héberge et contrôle, et la illustre plus spécifiquement l’étape 306 du procédé de l’invention où chaque proxy, dont celui hébergé par l’émetteur M1, retransmet le fragment reçu vers les membres du cercle de confiance. Dans cette configuration, les partenaires qui disposent d’un proxy ont une garantie, lorsqu’ils émettent ou qu’ils reçoivent une information transitant par le proxy qu’ils contrôlent, que nul, en dehors du groupe de destinataires identifié par l’émetteur, n’est en mesure d’accéder à (ou de modifier) l’information « Data », et ce même en cas de collusion de l’ensemble des autres membres (ou proxies) du réseau de confiance. Une autre variante de l’invention dite variante « Protection externe », consiste en ce qu’un, ou plusieurs, ou tous les partenaires du cercle de confiance, génèrent du « bruit », c’est-à-dire envoient des données non-utiles ou des fragments aléatoires dénués de sens, afin de noyer les données utiles (les fragments complémentaires d’un paquet « Data » ou « Réponse ») dans un trafic plus large. Ces données ou fragments inutiles sont reconnus comme du bruit par le niveau applicatif. Avantageusement, ceci permet d’empêcher les proxies ou un observateur extérieur qui analyserait les flux réseau et les proxies, de savoir si les données qui transitent sont des données utiles ou non. Un tel bruit peut être généré au moins de deux manières. Dans une première approche, le bruit peut être généré au niveau applicatif, c’est-à-dire au niveau des paquets « Data » et donc avant la fragmentation par la fonction de secret-partagé F(). Cela se fait en générant un contenu, aléatoire ou non, qui est marqué par le protocole et avant fragmentation comme contenu non-utile (par exemple via un bit particulier dans l’entête du protocole). Dans une autre approche, le bruit peut être généré au niveau du protocole du réseau de confiance. Cela se fait en générant, de manière aléatoire ou non, et en les envoyant, un nombre de fragments inférieurs au nombre N de proxies ou au nombre de proxies requis pour le cercle de confiance considéré (i.e. sous-ensemble j de {Mi}). Cette génération peut être pseudo aléatoire ou être effectuée à partir de dispositifs intelligents se basant sur le flux d’échanges actuel, en réaction à une évolution du flux par rapport aux flux de trafic tant totaux qu’utiles. Une autre variante de l’invention dite variante « Boite aux lettres », consiste en ce qu’un ou plusieurs ou tous les partenaires du cercle de confiance, peuvent choisir d’interroger les proxies auxquels ils ont accès afin de récupérer tous les fragments auxquels ils ont le droit d’avoir accès. Dans cette configuration, les messages ne sont pas automatiquement relayés par les proxies. Ce mode peut également être utilisé à la reprise d’une connexion. Une autre variante de l’invention dite variante « Stockage » consiste en ce qu’un ou plusieurs ou tous les proxies peuvent stocker les fragments qu’ils relaient. Ces fragments restent alors accessibles aux partenaires autorisés. Une autre variante de l’invention dite variante « Paiement » consiste en ce que le procédé de l’invention est établi entre l’ensemble des membres d’un réseau de confiance et un membre particulier qui est en charge de l’accès au réseau. Dans cette configuration, à chaque transmission de flux, les proxies relaient l’information à tous les membres du réseau de confiance (comme détaillé par le procédé de la présente invention) avec un message particulier notifiant le transfert de données au membre particulier en charge de l’accès au réseau, ce message pouvant inclure des informations relatives à la performance de ce transfert, comme par exemple, des informations relatives à la taille, au débit, à la nature mono ou bidirectionnelle du paquet, etc. Ce message particulier peut par exemple être composé de l’entête du message utile avec un bruit aléatoire à la place du fragment, ceci évite que les proxies envoient des messages particuliers indus. Avantageusement, cette variante permet de définir une manière de déduire le coût sur objectif de l’utilisation de la plateforme d’anonymisation pour l’ensemble du réseau de confiance. A partir de cela, une facture peut être émise à l’ensemble des membres du réseau de confiance, le réseau de confiance ayant la charge de définir une méthode de répartition de cette charge, par exemple une division du montant de la facture par le nombre de membres du réseau de confiance. Une autre variante de l’invention dite variante « Reward » consiste en ce que les échanges soient notés par l’ensemble des récepteurs de l’information, sur une base qui est définie par chacun des réseaux de confiance. Avantageusement, une telle notation permet de rémunérer les partenaires apportant des informations jugées utiles à la plateforme. La rémunération peut être déléguée aux différents proxies. La rémunération peut éventuellement être basée sur un système de crypto monnaie. L’homme du métier comprend que les différentes variantes de l’invention – « Garantie », « Multi-cercles », « Protection externe », « Boite aux lettres », « Stockage », « Paiement » et « Reward » - peuvent être combinées entre elles pour offrir l’ensemble du spectre de propriétés additionnelles de manière flexible. Il a ainsi été décrit un procédé de communication, dit « multicast anonyme », et des variantes dérivées, qui offrent de nombreux avantages qui sont : - de permettre aux partenaires de bâtir un réseau de confiance dans lequel ces partenaires peuvent transmettre (communication unidirectionnelle) ou échanger (communication bidirectionnelle) entre eux des informations de manière anonyme ; - que la transmission ou l’échange est fait sans tiers de confiance susceptible de casser l’anonymat et/ou d’accéder (ou modifier) au contenu de la transmission ou de l’échange ; - de bâtir un réseau de confiance composé d’un ou d’une pluralité de cercles de confiance différents ; - de permettre à un émetteur ou initiateur d’un échange d’être le seul à contrôler le niveau de confiance utilisé ; - d’offrir à un ou à une pluralité de membres du réseau, une garantie leur permettant de vérifier que les informations ont été effectivement diffusées aux seuls membres du réseau tout en préservant l’anonymat de l’émetteur ; - de permettre à un émetteur mais aussi à chacun des récepteurs d’un cercle de confiance choisi, d’être en mesure de pouvoir vérifier par soi-même que le contenu de l’information n’a pas pu être intercepté ou modifié par un tiers, et qu’il n’y a pas pu y avoir de collusion des autres membres du réseau contre lui. Ceci offre la garantie que les autres membres du réseau n’ont pas pu reconstruire un tiers de confiance ; - de garantir que lors d’une transmission, seuls les membres du groupe de partenaires seront destinataires de l’information et que, par conséquent, aucun tiers extérieur au groupe n’est en mesure d’accéder à cette information. Ceci implique qu’il n’existe pas de tiers de confiance susceptible de briser l’anonymat de l’émetteur d’une information donnée, et d’accéder ou modifier cette information indépendamment du niveau de protection (typiquement chiffrement) intrinsèque de cette information. - d’empêcher les proxies et des tiers extérieurs au réseau de savoir si un contenu utile est envoyé ou récupéré par l’un des membres du réseau. - de permettre au(x) récepteur(s) de qualifier l’information par un « degré de confiance » alors que son expéditeur est (et doit rester) inconnu. Ce degré de confiance est déduit par le récepteur par analyse des proxies qui lui ont relayé l’information définissant ce cercle de confiance ; - de permettre aux membres d’un cercle de confiance d’être en mesure de manière individuelle d'obtenir cette garantie, c’est-à-dire qu’un membre n’a pas besoin d’avoir confiance en les autres membres, pour bénéficier de cette garantie. Procédé (300) de transmission anonyme d’information entre une pluralité N’ de membres d’un même réseau de confiance, les membres du réseau de confiance communiquant entre eux au travers d’une plateforme réseau d’anonymisation (104), le procédé étant mis en œuvre par ordinateur et comprenant des étapes consistant à : - générer (302) par un membre du réseau de confiance, une pluralité N de fragments complémentaires de données à partir d’un paquet de données initial, tel que la recombinaison des N fragments complémentaires permet de reconstruire le paquet de données initial ; - transmettre (304), par ledit membre émetteur via la plateforme réseau d’anonymisation, chaque fragment complémentaire généré, respectivement à un proxy indépendant parmi une pluralité N de proxies indépendants ; - retransmettre (306), par chaque proxy indépendant via la plateforme réseau d’anonymisation, le fragment complémentaire reçu dudit membre émetteur à la pluralité N’ des membres du réseau de confiance ; et - recombiner (308) par chaque membre récepteur du réseau de confiance, la pluralité N de fragments complémentaires reçus afin de reconstruire le paquet de données initial. Le procédé selon la revendication 1 comprenant une étape initiale consistant à définir parmi la pluralité N’ des membres du réseau de confiance, au moins trois membres récepteurs, et/ou à définir parmi la pluralité N de proxies indépendants, au moins deux proxies pour relayer la transmission des fragments complémentaires aux membres récepteurs. Le procédé selon la revendication 1 ou 2 dans lequel l’étape de générer une pluralité N de fragments complémentaires consiste à appliquer une fonction de secret-partagé F() sur ledit paquet de données initial, et l’étape de recombiner la pluralité N de fragments complémentaires reçus consiste à appliquer la fonction de secret-partagé inverse F -1 () sur lesdits fragments complémentaires. Le procédé selon la revendication 3 dans lequel la fonction de secret-partagé est une fonction XOR avec ou sans latence. Le procédé selon la revendication 4 dans lequel l’étape de générer une pluralité N de fragments complémentaires consiste à générer N-1 fragments aléatoires de longueur égale à la longueur du paquet de données initial, et où le dernier fragment N est un fragment complémentaire des précédents. Le procédé selon l’une quelconque des revendications 2 à 5 dans lequel l’étape initiale comprend de plus une étape consistant à définir une fonction de secret-partagé F() pour un sous-ensemble de la pluralité N’ des membres du réseau de confiance. Le procédé selon la revendication 6 dans lequel l’étape de transmission par ledit membre émetteur des fragments complémentaires, comprend en même temps ou séquentiellement la transmission à chaque proxy de la fonction de secret-partagé, ou, comprend directement la fonction de réassemblage, via les fragments complémentaires. Le procédé selon l’une quelconque des revendications 1 à 7 comprenant de plus après l’étape de recombinaison, des étapes consistant pour au moins un membre récepteur du réseau de confiance, à mettre en œuvre les étapes 302 à 308 du procédé de transmission anonyme, afin d’envoyer une réponse anonyme audit membre émetteur anonyme. Le procédé selon l’une quelconque des revendications 1 à 8 dans lequel l’étape de retransmission par les proxies, consiste en ce qu’au moins deux proxies retransmettent leur fragment complémentaire reçu, à un sous-ensemble de la pluralité des membres récepteurs. Le procédé selon l’une quelconque des revendications 1 à 9 dans lequel l’étape de transmission aux proxies des fragments complémentaires, consiste à transmettre, en plus des fragments complémentaires, des données ou des fragments aléatoires dénués de sens et reconnus comme du bruit au niveau applicatif. Le procédé selon l’une quelconque des revendications 1 à 10 comprenant de plus avant l’étape de retransmission par les proxies des fragments complémentaires reçus, une étape de stockage par les proxies desdits fragments complémentaires reçus . Le procédé selon l’une quelconque des revendications 1 à 11 dans lequel l’étape de retransmission des fragments complémentaires par les proxies comprend de plus une étape consistant par chaque proxy à notifier la transmission du fragment complémentaire, à un membre du réseau de confiance en charge de l’accès à la plateforme réseau d’anonymisation, ladite notification pouvant être un message incluant des informations relatives à la performance de la transmission, notamment des informations relatives à la taille, au débit, à la nature mono ou bidirectionnelle du paquet de données. Le procédé selon l’une quelconque des revendications 1 à 12 comprenant de plus après l’étape de recombinaison des fragments, une étape de génération d’une notation du paquet de données reçu. Le procédé selon l’une quelconque des revendications 1 à 13 dans lequel un, plusieurs ou tous les proxies sont hébergés par un ou plusieurs des membres du réseau de confiance. Un produit programme d’ordinateur, ledit programme d’ordinateur comprenant des instructions de code permettant d’effectuer les étapes du procédé selon l'une quelconque des revendications 1 à 14, lorsque ledit programme est exécuté sur un ordinateur. Un dispositif pour transmettre via une plateforme réseau d’anonymisation (104) des données entre une pluralité N’ de membres d’un même réseau de confiance, le dispositif comprenant des moyens pour mettre en œuvre les étapes du procédé selon l’une quelconque des revendications 1 à 14.