Brevet FR3131497A1 — publié le 20230630

Ce dispositif de gestion d’une requête de transfert (4) d’au moins une donnée (D1) d’un émetteur (2, 3) vers un récepteur (3, 2), comprend : - des moyens d’acquisition (5) aptes à recevoir la donnée (D1) de l’émetteur (2) ; - des moyens de filtrage (6) aptes à mettre en œuvre un filtrage syntaxique, séquentiel et temporel de la donnée (D1) et, - des moyens de transmission (7) aptes à envoyer la donnée (D1) filtrée au récepteur (2, 3), les moyens de filtrage (6) étant disposés dans un composant distinct des moyens d’acquisition (5) et de transmission (7). Figure pour l’abrégé : Fig 1 Dispositif de gestion d’une requête de transfert de données La présente invention concerne les aéronefs, et se rapporte plus particulièrement aux passerelles virtuelles et/ou filaires de communication de données destinées à être embarquées à bord de tels aéronefs. Etat de la technique antérieure Il est connu qu’un aéronef en vol échange continuellement des données avec un ensemble de stations au sol, dites systèmes électroniques externes. A titre d’exemple, une station terrestre récupère en temps réel, des alarmes et des valeurs de grandeurs physiques acquises par différents capteurs de l’aéronef pour ainsi les transmettre à un centre de maintenance. Cela permet alors d’anticiper les vérifications et les travaux de maintenance à effectuer à l’atterrissage de l’aéronef. Quant à la station terrestre, elle transmet constamment, à titre d’exemple, des données météorologiques à l’aéronef ou toute information à la demande de l’équipage à bord dudit aéronef. L’équipage, les contrôleurs et les compagnies aériennes peuvent donc effectuer un échange de données bidirectionnel en temps réel et ainsi veiller au bon déroulement du vol et/ou réduire le temps de maintenance lorsque l’aéronef est au sol. Des données, dites internes, comme du flux vidéo ou des paramètres avioniques, peuvent également être échangées par liaison filaire ou sans contact à l’intérieur de l’aéronef. Plus particulièrement, l’aéronef est généralement équipé d’une antenne et de modems permettant aux équipements électroniques des passagers, disposant du WI-FI comme moyen de communication sans fil par exemple, de se connecter audit modem. Des passerelles physiques, autrement dit filaires, ou virtuelles de communication de données sont alors embarquées à bord de l’aéronef pour effectuer un transfert d’informations entre l’aéronef et un système électronique disposé à l’extérieur de l’aéronef, en d’autres termes, un équipement au sol, mais aussi entre des systèmes électroniques internes de l’aéronef et donc entre des équipements de bord. Pour ce faire, la passerelle filtre les informations envoyées d’un émetteur à un récepteur. Elle sécurise par conséquent les flux unidirectionnels ou bidirectionnels de données entre deux réseaux de domaines de confiance généralement hétérogènes. Toutefois, le recours à de telles passerelles présente certains inconvénients susceptibles de causer de sérieuses dégradations à bord de l’aéronef ou au niveau des systèmes électroniques internes et/ou externes. En effet, les composants avioniques sont intégrés dans un écosystème informatisé de plus en plus complexe, ce qui les rend sensibles à de potentielles cyberattaques. Des pirates informatiques peuvent donc intercepter des données confidentielles et/ou critiques, voire émettre de fausses informations susceptibles d’altérer le fonctionnement du récepteur. Satisfaire aux contraintes de sécurité revient alors à fermer la passerelle de communication de données, lors d’une attaque pirate, pour éviter toute fuite de données ou toute modification malveillante de celles-ci. Toutefois, pour répondre aux contraintes de sûreté, la passerelle doit toujours être intègre et disponible. Autrement dit, la passerelle doit être en mesure de filtrer et de transmettre les messages sans les altérer d’un système électronique à un autre. Comme les contraintes de sûreté et de sécurité sont difficilement compatibles, il a été proposé de réaliser des solutions électroniques aptes à satisfaire à des contraintes de sécurité (« Evaluation Assurance Level » en anglais) de niveau élevé, c’est-à-dire, supérieur ou égal à 3, et à des contraintes de sûreté (« Design Assurance Level ») de niveau modéré C, D ou E. Une autre solution consiste à assurer un niveau de sûreté élevé A ou B à la passerelle de communication ainsi qu’un niveau de sécurité modéré compris entre 0 et 2. Il existe donc un besoin de répondre simultanément à un niveau de sécurité et de sûreté élevé afin de garantir l’intégrité des données échangées tout en protégeant la passerelle contre d’éventuelles attaques malveillantes. Au vu de ce qui précède, l’invention a donc pour objet, selon un premier aspect, un dispositif de gestion d’une requête de transfert d’au moins une donnée d’un émetteur vers un récepteur. Le dispositif comprend : - des moyens d’acquisition aptes à recevoir la donnée de l’émetteur ; - des moyens de filtrage, aptes à mettre en œuvre un filtrage syntaxique, séquentiel et temporel de la donnée et, - des moyens de transmission aptes à envoyer la donnée filtrée au récepteur, les moyens de filtrage étant disposés dans un composant distinct des moyens d’acquisition et de transmission. Les moyens d’acquisition et de transmission peuvent recevoir sans contact ou par liaison filaire ladite donnée. De même, les moyens de transmission sont destinés à émettre sans contact ou par liaison filaire la donnée. Autrement dit, le transfert de la requête peut être sans contact ou par liaison filaire. De tels moyens d’acquisition assurent par ailleurs un niveau élevé de sûreté (« Design Assurance Level ») généralement supérieur à C. Quant aux moyens de filtrage, ils permettent de satisfaire à un niveau élevé de sécurité généralement supérieur ou égal à 3. En d’autres termes, comme les moyens de filtrage sont disposés dans un composant distinct des moyens d’acquisition et de transmission, le dispositif garantit de manière simultanée un niveau de sécurité élevé et un niveau de sûreté élevé. Avantageusement, le dispositif comprend des moyens de calcul aptes à chiffrer et/ou déchiffrer la donnée. A titre d’exemple, les moyens de calcul peuvent être sous la forme de circuits composés de cellules logiques élémentaires librement assemblables FPGA (pour « Field Programmable Gate Array » en anglais) ou bien sous la forme d’un processeur CPU (pour « Processing Unit » selon le vocable anglo-saxon). Il est à noter que les moyens de calcul peuvent être disposés dans le même composant que les moyens de filtrage. De préférence, le dispositif comprend des moyens de traitement aptes à authentifier et/ou signer la donnée. Il est à noter que les moyens de traitement peuvent être disposés dans le même composant que les moyens de filtrage. Préférentiellement, les moyens d’acquisition et de transmission sont sous forme d’un composant programmable. Un tel composant programmable, qui peut être sous la forme de circuits composés de cellules logiques élémentaires librement assemblables, est communément nommé FPGA (pour « Field-Programmable Gate Array » en anglais). En variante, le composant programmable désigne un processeur (CPU pour « Processing Unit » selon le vocable anglo-saxon). Avantageusement, les moyens de filtrage sont sous forme d’une unité de traitement. Par « unité de traitement » on entend un processeur (CPU pour « Processing Unit » selon le vocable anglo-saxon). En variante, « unité de traitement » désigne un réseau logique de cellules programmables de type FPGA par exemple. De préférence, les couplages entre au moins deux desdits moyens sont réalisés par des bus locaux, des câbles Ethernet ou par une mémoire partagée. A titre d’exemple, les bus locaux peuvent être des connecteurs PCI (pour « Peripheral Component Interconnect » en anglais). Préférentiellement, la mémoire partagée est une mémoire vive à double accès. La mémoire vive à double accès (DPRAM pour « Dual Ported Random Access Memory » en anglais) permet de donner des accès multiples quasi-simultanés en entrée et en sortie. L’invention a en outre pour objet un aéronef comprenant au moins un dispositif de gestion d’une requête de transfert tel que défini ci-dessus. L’invention a également pour objet un procédé de gestion d’une requête de transfert d’au moins une donnée d’un émetteur vers un récepteur. Le procédé comprend : - une étape d’acquisition de la donnée de l’émetteur ; - une étape de filtrage syntaxique, séquentiel et temporel de la donnée et, - une étape de transmission de la donnée filtrée au récepteur. L’invention a encore pour objet un programme d’ordinateur comprenant des instructions qui, lorsque le programme est exécuté par un ordinateur, conduisent celui-ci à mettre en œuvre les étapes du procédé de gestion tel que défini ci-dessus. D’autres buts, caractéristiques et avantages de l’invention apparaîtront à la lecture de la description suivante, donnée uniquement à titre d’exemple non limitatif, et faite en référence aux dessins annexés sur lesquels : illustre schématiquement un dispositif de gestion d’une requête de transfert d’une donnée d’un émetteur vers un récepteur selon un mode de réalisation de l’invention et, , représentent deux ordinogrammes d’un procédé de gestion d’une requête de transfert mis en œuvre par ledit dispositif selon des modes de mise en œuvre de l’invention. Exposé détaillé d’au moins un mode de réalisation de l’invention Sur la est représentée une passerelle, ici virtuelle, de communication 1 entre un premier système électronique 2 et un deuxième système électronique 3. De tels systèmes électroniques 2 et 3 peuvent être tous les deux embarqués à bord d’un aéronef. Il s’agit alors de systèmes électroniques internes, autrement dit des équipements de bord. Le premier système électronique 2 peut être en possession d’un des passagers et dispose d’une antenne WI-FI qui permet d’envoyer au moins une donnée D1 sans fil vers le deuxième système électronique 3, ici une antenne WI-FI et un modem dont l’aéronef est équipé. Dans ce cas, la donnée D1 est potentiellement d’origine malveillante et donc susceptible d’altérer le deuxième système électronique 3. Le premier système électronique 2 est alors nommé « domaine non protégé » tandis que le deuxième système électronique 3 correspond à un « domaine protégé ». Par ailleurs, le transfert de données sans fil peut être également bidirectionnel. Le deuxième système électronique 3 est alors apte à envoyer la donnée D1 au premier système électronique 2. De même, l’aéronef communique en outre avec un ensemble de stations terrestres pour leur transmettre en temps réel et sans contact la donnée D1 via ladite passerelle 1. A titre d’exemple, le premier système électronique 2 comprend un capteur embarqué à bord de l’aéronef et destiné à envoyer des valeurs D1 d’une grandeur physique à une des stations terrestres, ici le deuxième système électronique 3. Les données D1 seront alors transmises à un centre de maintenance pour anticiper les vérifications et les travaux de maintenance à réaliser sur certains composants dudit aéronef. Bien entendu, la communication entre l’aéronef et la station au sol peut être bidirectionnelle. Le deuxième système électronique 3 envoie alors sans fil des données météorologiques D1 au premier système électronique 2 de manière à actualiser en temps réel la carte météorologique des zones que l’aéronef doit survoler. Afin de protéger l’intégrité des données D1 pouvant être échangées entre le premier système électronique 2 et le deuxième système électronique 3 ainsi que la passerelle 1 des attaques malveillantes, il est proposé d’intégrer, à l’intérieur de la passerelle 1, un dispositif 4 de gestion d’une requête de transfert, ici sans contact, de la donnée D1. Un tel dispositif 4 comprend des moyens d’acquisition 5, des moyens de transmission 7 ainsi que des moyens de filtrage 6 disposés dans un composant distinct des moyens d’acquisition 5 et des moyens de transmission 6. Il est par ailleurs à noter que les moyens d’acquisition 5 et les moyens de transmission 6 peuvent être disposés au sein d’un même composant. Dans cet exemple, les moyens d’acquisition 5 sont aptes à recevoir la donnée D1 issue du premier système électronique 2. Quant aux moyens de transmission 7, ils sont aptes à envoyer à distance la donnée D1 si celle-ci est filtrée par les moyens de filtrage 6. Pour ce faire, les moyens d’acquisition 5 et les moyens de transmission 7 sont sous forme d’un réseau logique de cellules programmables. Par ailleurs, pour filtrer la donnée D1 pour la transmettre au deuxième système électronique 3, les moyens de filtrage 6 sont couplés aux moyens d’acquisition 5 et aux moyens de transmission 7. Les moyens de filtrage 6 sont ainsi aptes à mettre en œuvre un filtrage syntaxique, séquentiel et temporel de la donnée D1. Plus particulièrement, le filtrage syntaxique vérifie si le format de la donnée D1 respecte celui établi par un protocole défini, par exemple le protocole TFTP (pour « Trivial File Transfer Protocol » en anglais). Quant au filtrage séquentiel, celui-ci permet de s’assurer que la donnée D1 est reçue par les moyens de transmission 7 selon un ordre chronologique prédéfini par le protocole. Enfin, lors du filtrage temporel, on vérifie si la donnée D1 est réceptionnée par les moyens de transmission 7 dans un laps de temps établi par ledit protocole. Toutefois, si l’un desdits filtrages échoue, la donnée D1 sera détruite et ne sera donc pas envoyée au deuxième système électronique 3. Il est à noter que le dispositif 4 comprend optionnellement des moyens de calcul 8, aptes à chiffrer et/ou déchiffrer la donnée D1, ainsi que des moyens de traitement 9, également optionnels, aptes à authentifier et/ou signer la donnée D1. Les moyens de calcul 8 et les moyens de traitement 9 peuvent être disposés dans le composant comprenant les moyens de filtrage 6. Par ailleurs, de tels moyens de calcul 8 peuvent être sous la forme de circuits composés de cellules logiques élémentaires librement assemblables FPGA (pour « Field Programmable Gate Array » en anglais) ou bien sous la forme d’un processeur CPU (pour « Processing Unit » selon le vocable anglo-saxon). Plus particulièrement, les moyens de calcul 8 sont aptes à chiffrer la donnée D1 lorsqu’elle est transmise du premier système électronique 2, qui est un domaine protégé, vers le deuxième système électronique 3, domaine non protégé. A titre d’exemple, le chiffrement est de type RSA (pour « Rivest Shamir Aldeman algorithm » selon le vocable anglosaxon), algorithme de cryptographie asymétrique. De même, le chiffrement peut être symétrique de type AES (pour « Advanced Encryption Standard » en anglais). Dans le sens contraire, les moyens de calcul 8 sont aptes à déchiffrer la donnée D1 lorsque la donnée D1 est transmise du deuxième système électronique 3, domaine non protégé, au premier système électronique 2, domaine protégé. Parmi les algorithmes de déchiffrement asymétrique, on peut citer l’algorithme de type RSA (pour « Rivest Shamir Aldeman algorithm » selon le vocable anglosaxon). De même, les moyens de calcul 8 sont aptes à déchiffrer symétriquement la donnée D1. A titre d’exemple, on peut citer l’algorithme de type AES (pour « Advanced Encryption Standard » en anglais »). Ainsi, si le chiffrement ou le déchiffrement est requis, la donnée D1 sera détruite lorsqu’elle est mal déchiffrée ou mal chiffrée. La donnée D1 ne pourra donc pas être envoyée à distance par les moyens de transmission 7. Quant aux moyens de traitement 9, ils sont aptes à signer la donnée D1 lorsqu’elle est transmise du premier système électronique 2, qui est un domaine protégé, vers le deuxième système électronique 3, domaine non protégé. La signature peut être mise en œuvre par l’algorithme DSA (pour «Digital Signature Algorithm » en anglais), par l’algorithme ECDSA (pour « Elliptic Curve Digital Signature Algorithm » en anglais) ou par une combinaison d’algorithmes cryptographiques RSA et SHA (pour « Secure Hash Algorithm » en anglais) par exemple. Dans le sens contraire, les moyens de traitement 9 sont aptes à authentifier la donnée D1 lorsque la donnée D1 est transmise du deuxième système électronique 3, domaine non protégé, au premier système électronique 2, domaine protégé. Parmi les algorithmes d’authentification, on peut citer l’algorithme DSA, l’algorithme ECDSA ou une combinaison d’algorithmes cryptographiques RSA et SHA par exemple. Ainsi, si l’authentification ou la vérification de la signature est requise, la donnée D1 peut être détruite lorsque celle-ci échoue. Par conséquent, la donnée D1 ne sera pas envoyée à distance par les moyens de transmission 7. On se réfère aux figures 2 et 3 qui illustrent le procédé de gestion d’une requête de transfert mis en œuvre par le dispositif 4. En référence à la , le procédé de gestion est mis en œuvre pour effectuer le transfert de la donnée D1 du premier système électronique 2, qui est un domaine protégé, vers le deuxième système électronique 3, domaine non protégé. Le procédé débute alors par une étape E1, au cours de laquelle les moyens d’acquisition 5 récupèrent la donnée D1 du premier système électronique 2. A l’étape E2, les moyens de filtrage 6 effectuent un filtrage syntaxique, séquentiel et temporel de la donnée D1. Puis, au cours de l’étape E3, les moyens de filtrage 6 vérifient si l’un des filtrages a échoué. Si non, les moyens de filtrage 6 envoient à l’étape E4 la donnée D1 filtrée au deuxième système électronique 3 via les moyens de transmission 7. Dans le cas contraire, la donnée D1 est détruite au cours de l’étape E5 et ne sera donc pas envoyée au deuxième système électronique 3. Le procédé peut comporter des étapes supplémentaires optionnelles telles que le chiffrement de la donnée D1 et/ou sa signature, préalablement ou postérieurement à son filtrage. Ainsi, lorsque le chiffrement de la donnée D1 est requis, celle-ci sera détruite si elle a été mal chiffrée. La donnée D1 ne pourra donc pas être envoyée à distance par les moyens de transmission 7. De même, si la signature de la donnée D1 est exigée, celle-ci sera détruite si elle n’a pas pu être signée. Bien entendu, l’étape du chiffrement peut être effectuée préalablement à l’étape de la signature et vice-versa. On se réfère à la qui illustre un transfert de la donnée D1 du deuxième système électronique 3, qui est un domaine non protégé, vers le premier système électronique 2, domaine protégé. Le procédé débute alors par une étape E6, au cours de laquelle les moyens d’acquisition 5 récupèrent la donnée D1 du deuxième système électronique 3. A l’étape E7, les moyens de filtrage 6 effectuent un filtrage syntaxique, séquentiel et temporel de la donnée D1. Puis, au cours de l’étape E8, les moyens de filtrage 6 vérifient si l’un des filtrages a échoué. Le procédé peut comporter des étapes supplémentaires optionnelles telles que le déchiffrement de la donnée D1 et/ou son authentification, préalablement ou postérieurement à son filtrage. Ainsi, lorsque le déchiffrement de la donnée D1 est requis, celle-ci sera détruite si elle a été mal déchiffrée. De même, si l’authentification de la donnée D1 est exigée, celle-ci sera détruite si elle n’a pas pu être authentifiée. Bien entendu, l’étape du déchiffrement peut être effectuée préalablement à l’étape de l’authentification et vice-versa. Dispositif de gestion d’une requête de transfert (4) d’au moins une donnée (D1) d’un émetteur (2, 3) vers un récepteur (3, 2), le dispositif comprenant : - des moyens d’acquisition (5) aptes à recevoir la donnée (D1) de l’émetteur (2) ; - des moyens de filtrage (6) aptes à mettre en œuvre un filtrage syntaxique, séquentiel et temporel de la donnée (D1) et, - des moyens de transmission (7) aptes à envoyer la donnée (D1) filtrée au récepteur (2, 3), caractérisé en ce que les moyens de filtrage (6) sont disposés dans un composant distinct des moyens d’acquisition (5) et de transmission (7). Dispositif selon la revendication 1, comprenant des moyens de calcul (8) aptes à chiffrer et/ou déchiffrer la donnée (D1). Dispositif selon la revendication 1 ou 2, comprenant des moyens de traitement (9) aptes à authentifier et/ou signer la donnée (D1). Dispositif selon l’une quelconque des revendications 1 à 3, dans lequel les moyens d’acquisition (5) et de transmission (7) sont sous forme d’un composant programmable. Dispositif selon l’une quelconque des revendications 1 à 4, dans lequel les moyens de filtrage (6) sont sous forme d’une unité de traitement. Dispositif selon l’une quelconque des revendications précédentes, dans lequel les couplages entre au moins deux desdits moyens (5, 6, 7, 8, 9) sont réalisés par des bus locaux, des câbles Ethernet ou par une mémoire partagée. Dispositif selon la revendication 6, dans lequel la mémoire partagée est une mémoire vive à double accès. Aéronef comprenant au moins un dispositif de gestion d’une requête de transfert (4) selon l’une quelconque des revendications 1 à 7. Procédé de gestion d’une requête de transfert d’au moins une donnée d’un émetteur (2, 3) vers un récepteur (2, 3), caractérisé en ce que le procédé comprend : - une étape d’acquisition (E1, E6) de la donnée (D1) de l’émetteur (2, 3) ; - une étape de filtrage (E2, E7) syntaxique, séquentiel et temporel de la donnée (D1) et, - une étape de transmission (E4, E9) de la donnée (D1) filtrée au récepteur (2, 3). Programme d’ordinateur comprenant des instructions qui, lorsque le programme est exécuté par un ordinateur, conduisent celui-ci à mettre en œuvre les étapes du procédé de gestion selon la revendication 9.