Brevet FR3157598A1 — publié le 20250627

La présente invention décrit un procédé visant à garantir la haute disponibilité et la sécurisation des échanges de données entre deux réseaux de criticité différente, hébergeant respectivement une SOURCE (100) et une DESTINATION (200), chacun associé à une adresse IP et un port TCP ou UDP. Le procédé utilise une paire de serveurs guichet amont (130, 140) et une paire de serveurs guichet aval (210, 220), connectés par des connexions fibres optiques à une data diode (150, 160). Il comprend les étapes suivantes : Initialisation individuelle : Définir les adresses IP virtuelles et physiques des interfaces de guichets connectées aux réseaux amonts et avals, ainsi que les profils des utilisateurs des guichets. Configuration individuelle : Paramétrer un canal de communication en définissant un identifiant unique, le type de données ou protocole utilisé, l'adresse IP et le port TCP ou UDP de la SOURCE et de la DESTINATION, les éventuelles clés ou comptes et mots de passe nécessaires pour l'identification des guichets, ainsi que les chemins des répertoires hébergeant les données sur la SOURCE et la DESTINATION. . Procédé pour assurer la haute disponibilité et la sécurisation des échanges de données entre deux réseaux de criticité différente Domaine de l’invention La présente invention concerne le domaine de la cybersécurité des communications unidirectionnelles dans le cadre des communications entre deux réseaux de niveaux de confidentialité ou de criticité différent et plus précisément des architectures matérielles et fonctionnelles des systèmes d’information hybrides. Dans de nombreux contextes, liés à la sécurité ou industriels, plusieurs environnements informatiques co-existent avec des niveaux de confidentialité ou de criticité différent. Dans les domaines gouvernementaux, ou privés mais traitants des informations classifiées, il est commun d’avoir le besoin d’importer dans un réseau traitant des données classifiées des données provenant d’un réseau d’un niveau classification inférieur. Dans le domaine industriel, il est très souvent nécessaire d’exporter des données du réseau industriel, critique au niveau de la production ou de la sécurité des personnes et/ou de l’environnement, vers le réseau bureautique de l’entreprise. Dans de tels environnements hybrides, le problème de permettre aux utilisateurs du réseau le plus confidentiel ou le moins critique d’accéder de manière sécurisée aux données du réseau moins confidentiel ou le plus critique est de préserver l’environnement critique ou confidentiel d’attaques exploitant des vulnérabilités et de la connectivité de l’informatique moins sensible. Pour cela, on cherche généralement le cloisonnement des réseaux pour limiter les risques. Les échanges entre les réseaux se fait par exemple par des protocoles plus ou moins sécurisés tels que FTP, SFTP ou FTPS. Les logiciels permettant ces transferts d’information sont vulnérables aux cyberattaques à exécution de code à distance (RCE, pour l’acronyme anglais « Remote Code Execution »), ainsi qu’aux changement de configuration détournant les contrôles d’accès. En général, les attaques RCE se déroulent en trois phases : a) Les cyberpirates identifient une vulnérabilité dans le matériel ou le logiciel d’un réseau. b) Ils exploitent cette vulnérabilité pour infecter un terminal à distance avec du code ou un logiciel malveillant. c) Une fois que les cyberpirates ont accès au réseau, ils compromettent les données utilisateur ou exploitent le réseau pour commettre leurs méfaits. D’autres cyberattaques utilisent la faille SQLi, abréviation de « SQL Injection » en anglais. Cette faille de sécurité concerne une application interagissant avec une base de données. Elle permet d'injecter dans la requête SQL en cours un morceau de requête non prévu par le système et pouvant en compromettre la sécurité. Etat de la technique Pour réduire le risque de compromission, il est connu d’organiser l’accès par l’environnement le moins sensible aux données sensibles au travers d’une zone démilitarisée, avec une réplication des données. Toutefois, si le protocole utilisé pour « répliquer » les données sensibles vers le serveur de l’autre côté de la zone démilitarisée (DMZ) présente des vulnérabilités, il sera possible de prendre la main sur le réseau sensible. Par ailleurs, cette solution nécessite la surveillance en temps réelle et en continue de la zone démilitarisée pour détecter les intrusions éventuelles. Une zone démilitarisée (en anglais DMZ pour demilitarized zone) est un sous-réseau séparé du réseau local et isolé de celui-ci ainsi que d'Internet (ou d'un autre réseau) par un pare-feu. Ce sous-réseau contient les machines étant susceptibles d'être accédées depuis Internet, et qui n'ont pas besoin d'accéder au réseau local. Une solution dérivée, beaucoup plus sécurisée, consiste à protéger l’environnement sensible grâce à une diode (« datadiode »). Toutefois les solutions existantes ont tendances à perdre des données et/ou à délivrer des données corrompues. En effet les solutions classiques basées sur les diodes ne supportent pas les problèmes de disponibilité du réseau destination ou des systèmes recevant les données en aval de la diode. Le guichet en aval de la diode peut être comparé à une baignoire se remplissant avec un flux constant mais se vidant avec un flux de même ordre mais étant parfois interrompu complètement ou partiellement sans la capacité d’interrompre le flux la remplissant. Il arrive donc fréquemment que la baignoire déborde. Pour le guichet en aval de la diode, cela se traduit par des données qui sont écrasées partiellement ou complètement avant d’être envoyées. C’est un problème inhérent aux diodes. On connait dans l’état de la technique la demande de brevet WO2019055948A1 présentant des techniques pouvant s'appliquer à une plateforme d'orchestration et de sécurité d'un réseau destiné à un réseau tel qu'un réseau de système de commande industriel (ICS). Ces techniques comprennent par exemple des procédés pour caractériser et classer des dispositifs industriels en réseau sur la base de modèles de conversation, générant des zones de sécurité pour des actifs en réseau ICS sur la base de caractéristiques et de modèles de conversation, pour identifier et enregistrer des dispositifs en réseau ICS d'une manière non intrusive, pour créer des passages sécurisés entre des zones de sécurité pour des dispositifs en réseau ICS, sans impact sur les dispositifs de terminaux flexibles et les systèmes associés. Elle décrit un système comprenant : un réseau de systèmes de contrôle industriel (ICS) ; une première zone de sécurité couplée au réseau ICS ; une deuxième zone de sécurité couplée au réseau ICS ; une plateforme d'orchestration de réseau et de sécurité couplée au réseau ICS pour générer une empreinte digitale afin de garantir qu'une source dans la première zone de sécurité est autorisée à envoyer vers une destination (200) dans la seconde zone de sécurité ; La plateforme d'orchestration et de sécurité du réseau initie une connexion opérationnelle de la source à la destination (200), la source envoie ensuite un message en clair à un port de sortie de zone de sécurité de la première zone de sécurité. Le port de sortie de zone de sécurité envoie le message via un conduit sécurisé à un port d'entrée de zone de sécurité de la seconde zone de sécurité et en retour le port d'entrée de la zone de sécurité envoie le message en clair à la destination (200). Lorsque la connexion opérationnelle est réactivée, la destination (200) valide l'empreinte d’identification. Inconvénients de l’art antérieur Les solutions logicielles connues restent hautement vulnérables aux attaques des hackeurs. Ces solutions logicielles dans le domaine de l’informatique de gestion qui assurent des objectives de cyber sécurité similaires sont en outre très complexes à mettre en place et ne permettent pas un niveau de sécurité suffisant pour protéger les informations classifiées ou les réseaux industriels critiques. Quant aux solutions matérielles actuelles basées sur des diodes (150, 160) et des guichets, elles sont complexes à maintenir, exigent des interventions manuelles pour relancer le transfert des données corrompues ou pour les réinitialiser après des fautes comme l’indisponibilité d’un des composant de leur solution, soit un des deux guichet soit de la diode, soit l’indisponibilité du réseau ou des systèmes recevant les données transmises en aval de la diode. Solution apportée par l’invention Afin de remédier à ces inconvénients, l’invention concerne selon son acception la plus générale un équipement informatique présentant les caractéristiques suivantes. L’invention concerne selon son acception la plus générale un procédé pour assurer la haute disponibilité et la sécurisation des échanges de données entre deux réseaux de criticité différente présentant les caractéristiques énoncées par la revendication 1. Ce procédé met en œuvre une paire de serveurs guichets amonts et une paire de serveurs guichets avals, chacun desdits guichets amonts connecté à un des desdits guichets avals uniquement par l’intermédiaire de connexions fibres optiques à une data diode, en ce qu’il comporte les étapes suivantes : Une étape d’initialisation individuelle desdits guichets amont et desdits guichets avals consistant à définir la ou les adresses IP virtuelles et leurs types, et les adresses IP physiques des interfaces de guichets connectées aux réseaux amonts et avals, ainsi que les différents profils des utilisateurs une étape de configuration individuelle desdits guichets amont (130,140) et desdits guichets avals consistant à paramétrer une canal de communication en définissant un identifiant unique, le type de données ou de protocole utilisé par ce canal, l’adresse IP et le port TCP ou UDP de la SOURCE de donnée, les éventuelles clés ou compte & mot de passe nécessaire pour l’identification des guichet amont sur la SOURCE et le chemin éventuel du répertoires hébergeant les données sur la SOURCE, puis en définissant sur les guichets avals un canal de communication avec un identifiant identique à celui utilisé pour le canal sur les guichet amont, le type de données ou de protocole utilisé par ce canal, l’adresse IP et le port TCP ou UDP de la DESTINATION de donnée, les éventuelles clés ou compte et mot de passe nécessaire pour l’identification des guichets avals sur la DESTINATION, et le chemin éventuel du répertoires hébergeant les données sur la DESTINATION. Optionnellement, le procédé comporte une étape additionnelle de paramétrage desdits guichets amont et desdits guichets avals consistant à paramétrer des fonctions de pare-feu desdits guichet amont et avals pour autoriser uniquement certains nœuds des réseaux SOURCE et DESTINATION à avoir accès auxdits guichet. Avantageusement, ladite étape additionnelle commande la configuration d’un mécanisme de sauvegarde automatique de la configuration des guichets soit localement soit à distance. Selon une variante, ladite fonction de sécurité est l’envoi d’un message de type syslog et de consignation dudit message dans un service de journal d'événements des systèmes informatiques desdits réseaux SOURCE et DESTINATION. Selon une autre variante, ladite fonction de sécurité est la coupure de la communication et le blocage des communications par les guichets provenant de l’adresse IP/ PORT TCP/ adresse MAC excepté celle autorisée De préférence, ladite haute disponibilité des serveurs guichet amont et avals est basée sur des adresses IP virtuelles, des bases de données tampon distribuées respectivement sur la paire de guichets avals et amonts, sur l’envoie d’une copie des données par le guichet amont Maitre au guichet amont Esclave et par le guichet aval Maitre au guichet aval Esclave, des mécanisme de surveillance de la disponibilité des chaque guichet membre d’une paire par l’autre membre de sa paire déclenchant un basculement Maitre/ Esclave dans certains cas, des mécanismes de surveillance de la disponibilité respective de la SOURCE et de la DESTINATION de chaque canal de donnée, et de mécanisme de reprise automatique des communications en cas d’indisponibilité totale des réseaux amont et/ou aval, ou de la SOURCE et/ou de la DESTINATION des données. Selon une variante, ladite haute sécurité du réseau le plus critique étant garantie par la propriété de la data diode qui ne permet de transmettre de l’information que entre le réseau amont et le réseau aval, et que cette propriété est réalisé par le dispositif physique de la data diode ne comprenant aucune configuration, logiciel ou logique. Selon une autre variante ladite haute disponibilité des serveurs guichet au niveau de la résistance aux dénis de service étant réalisé en autre par le durcissement du système d’opération desdits guichets pour offrir un surface d’attaque très restreinte, une politique stricte du contrôle d’accès au guichet sans compte super utilisateur ou administrateur disponible, et un pare-feu intégré. Avantageusement, ladite haute disponibilité de la transmission des données étant assurée par des mécanismes de contrôle d’intégrité des donnés à l’échelle des paquets envoyés par multiplexage aux data diodes et à l’échelle des données elle-même. L’invention concerne aussi un système informatique sécurisé connecté à un réseau public de données pour assurer la haute disponibilité et la sécurisation des échanges de données entre deux réseaux de criticité différente hébergeant respectivement une SOURCE et une DESTINATION de donnée, caractérisé en ce qu’il comprend une paire de serveurs guichet amont et une paire de serveurs guichet aval, chacun desdits guichet amont connecté à un des desdits guichets avals uniquement par l’intermédiaire de connexions fibres optiques à une data diode. Chacun desdits guichets amont et desdits guichets avals étant configuré pour : définir la ou les adresses IP virtuelles et leurs types, et les adresses IP physiques des interfaces de guichets connectées aux réseaux amonts et avals, ainsi que les différents profils des utilisateurs, paramétrer une canal de communication en définissant un identifiant unique, le type de données ou de protocole utilisé par ce canal, l’adresse IP et le port TCP ou UDP de la SOURCE de donnée, les éventuelles clés ou compte & mot de passe nécessaire pour l’identification des guichet amont sur la SOURCE, et le chemin éventuel du répertoires hébergeant les données sur la SOURCE, puis en définissant sur les guichets avals un canal de communication avec un identifiant identique à celui utilisé pour le canal sur les guichet amont, le type de données ou de protocole utilisé par ce canal, l’adresse IP et le port TCP ou UDP de la DESTINATION de donnée, les éventuelles clés ou compte & mot de passe nécessaire pour l’identification des guichets avals sur la Destination, et le chemin éventuel du répertoires hébergeant les données sur la DESTINATION. Avantageusement le système comporte de deux sous-ensembles en parallèle, chacun composé d’un guichet amont associant un numéro de canal amont, un type de protocole d’échange supporté et une source identifiée par une adresse IP et un port TCP/UDP et comportant une mémoire tampon synchronisée par un lien réseau dédié et directe entre lesdits deux guichets amonts d’une diode (150, 160), et d’un guichet aval, associant un numéro de canal aval, un type de protocole d’échange supporté et une destination identifiée par une adresse IP et un port TCP/UDP, et comportant une mémoire tampon synchronisée par un lien réseau dédié et directe entre lesdits deux guichets avals L’un desdits guichets amonts est commandé, lors du démarrage du système, en mode « Maître » pour recevoir seul les données transmises par une source connectée, Puis, épisodiquement, le guichet Maitre est configuré pour vérifier qu’il est bien connecté à la source des données et en cas de perte de cette connexion, pour interroger l’autre guichet commandé en mode Esclave pour vérifier s’il a accès à la source et si oui, l’état du guichet Maitre est modifié en Esclave et l’état du guichet Esclave est modifié en Maitre ainsi assure la connexion à la source le guichet Maître et le guichet Esclave appliquant un traitement de marquage de chaque paquet de données reçues de ladite source consistant à ajouter une séquence numérique comportant le numéro du canal correspondant à leur source et un numéro séquentiel d’identification Chaque paquet étiqueté étant transmis en parallèle par le guichet amont Maître et le guichet amont Esclave sur la diode correspondante Chacun desdits guichets aval reçoit lesdits paquets unitaires de donnés, vérifie leur intégrité au niveau du paquet et leur numéro de séquences unitaires, puis les transmet à la DESTINATION (200) avec le protocole associé au canal dans sa configuration. Selon une variante, chacun desdits paquets étiquetés est transmis en parallèle par le guichet amont Maître et le guichet amont Esclave sur la diode correspondante, et renvoyé jusqu’à bonne réception du retour TX de la diode avant l’envoi du paquet suivant. Description détaillée d’un exemple non limitatif de réalisation de l’invention La présente invention sera mieux comprise à la lecture de la description qui suit, concernant un exemple non limitatif de réalisation, illustré par les figures annexées, où : FIG. 1 la FIG. 1 représente une vue schématique de l’architecture matérielle d’un système selon l’invention FIG. 2 la FIG. 2 représente une vue schématique de l’architecture fonctionnelle d’un système selon l’invention. Principe général de l’invention L’équipement objet de la présente invention vise à assurer un très haut de niveau de cybersécurité, de disponibilité et d’intégrité, pour les connexions unidirectionnelles les plus sensibles entre deux réseaux de niveaux de confidentialité ou de criticité différents. Les objectifs sont quadruples : Bloquer toutes les communications du réseau le plus confidentiel vers le réseau le moins confidentiel (pour empêcher les fuites de données confidentielles) ou du réseau le moins critique vers le réseau le plus critique (pour empêcher les incidents industriels) Permettre l’envoie de données en temps réel et à haut débit depuis le réseau le moins confidentiel vers le réseau le plus confidentiel ou depuis le réseau le plus critique vers le réseau le moins critique. Continuer à transmettre des données sans interruption ou pertes lors du dysfonctionnement d’un seul des éléments constituant la solution. Permettre le redémarrage automatique de la transmission des données après une indisponibilité de la source ou de la destination (200) (200) sans perte de données pour une durée déterminée. L’invention vise à apporter un excellent niveau de cyber sécurité et un haut niveau de disponibilité grâce une sécurité implémentée par une diode « hardware » sans configuration ni logique et par des logiciels guichets qui assurent la haute disponibilité de très haut niveau sans intervention manuelle. L’enjeu est critique car ces interconnexions sont celles qui sont le principal point d’entrée dans le réseau par les hackeurs. La solution proposée se compose de deux systèmes en parallèle, chacun composé de guichet amont (130, 140) – diode (150, 160) – guichet aval (210, 220). Les guichet amont (130, 140) et avals (210, 220) doivent être configurés par un port management dédié non connecté au réseau de données. La configuration en amont est l’association d’un numéro de canal amont avec d’une part un type d’échange parmi les types supporté : FTP, SFTP, FTPS, SMTP, UDP, TCP streaming, Protocoles industriels, et d’autre part une source (100) identifiée par une adresse IP et un port TCP ou UDP. Eventuellement, des utilisateurs d’application sur la source (100) et leur accès doivent aussi être configurés, comme l’identifiant d’un compte utilisateur FTP et son mot de passe sur la source (100) de type FTP. La configuration en aval est l’association d’un numéro de canal aval avec d’une part un type d’échange parmi les types supporté : FTP, SFTP, FTPS, SMTP, UDP, TCP streaming, Protocoles industriels, et d’autre part une destination (200) identifiée par une adresse IP et un port TCP ou UDP. Éventuellement, des utilisateurs d’application sur la destination (200) et leur accès doivent aussi être configurés, comme l’identifiant d’un compte utilisateur FTP et son mot de passe sur la destination (200) de type FTP. Un des deux guichet amont (130, 140) a le rôle de Maitre, noté 20 sur la FIG. 2 , et l’autre celui d’Esclave, noté 30 sur la FIG. 2 . Seul le Maitre reçoit les données à transmettre par la source (100). Le guichet Maitre vérifie en périodiquement qu’il est bien connecté à la source (100) des données. S’il perd cette connexion, il interroge le guichet Esclave pour vérifier s’il a accès à la source (100). Si oui, le guichet Maitres devient Esclave et le guichet Esclave devient Maitre et ainsi assure la connexion à la source (100). Les données reçues par la source (100) sur le Maitre sont ensuite taguées avec un numéro de canal qui correspond à leur source (100), identifiée dans la configuration du guichet par adresse IP et port, et un numéro séquentiel d’identification. Elles sont transmises au guichet amont esclave par une connexion directe et dédié (108) sur la FIG. 1 . Les guichet amont (130, 140) prennent en charge le stockage des données à transmettre dans un tampon rotatif FIFO, First In First Out, noté 22 sur la FIG. 2 . Ce tampon est une base de données distribuée entre les deux guichet amonts. Les données stockées dans le tampon FIFO des deux guichet aval (210, 220) sont synchronisée par un lien réseau dédié et directe entre les deux guichets, noté (107) sur la FIG. 1 . Sur chaque guichet amont, les données taguées sont transmises, dans leur ordre d’arrivée dans leur tampon, à un service d’envoie sur la diode unidirectionnelle (150, 160). En fonction de leur type (fichier, TCP, UDP), le service utilise des algorithmes de CRC, Contrôle de Redondance Cyclique et/ou de hashing de type MD5, pour calculer leur signature, et envoie, par multiplexage en multicanaux internes de taille élastique, les données découpées en paquets unitaires de taille fixe. Un nombre variable de canal interne est associé à chaque type de données et peut être configuré pour optimiser l’envoie sur la diode en fonction du spectre des données reçues par type. Par exemple, pour une utilisation demandant l’envoie de nombreux petits fichiers, le service d’envoie peut utiliser un millier de canaux internes dédiés aux fichiers et deux autres canaux internes respectivement pour UDP et TCP. Les paquets unitaires ne sont transmis sur la diode que si le paquet précédent a été reçu par le port RX du guichet connecté au port TX de la connexion entrante de la diode. Sinon, le guichet renvoie sur la diode toujours le paquet unitaire encours jusqu’à bonne réception du retour TX de la diode. Ceci permet de stopper les transmissions si la diode n’est pas fonctionnelle mais garantit en aucune façon que le paquet unitaire a bien été reçu par le guichet aval (210, 220). L’opération précédente étant réalisée en parallèle sur le guichet amont Maitre (20) et sur celui Esclave (30), chaque donnée est transmise en parallèle sur chaque diode. Chaque guichet aval (210, 220) reçoit les paquets unitaires de donnés, vérifie leur intégrité au niveau du paquet et leur numéro de séquences unitaires, puis les démultiplexe en les introduisant dans le bon ordre dans les canaux internes avals qui sont le miroir des canaux internes en amont. En cas d’erreur d’intégrité ou de séquence, le paquet n’est pas transmis et tous les autres paquets unitaires liés à une donnée unique, comme un fichier, ne seront pas transmis et un code d’erreur est envoyé soit par email soit par Syslog identifiant la donnée unique originale. Chaque guichet aval (210, 220) réassemblent les paquets unitaires pour reconstituer la donnée initiale envoyée en amont et vérifie leur intégrité au niveau de la donnée réassemblée. En cas d’erreur, un message est envoyé par email ou par Syslog. Le guichet esclave aval (50) envoie la donnée initiale reconstituée et vérifiée au guichet aval maitre (40) par une connexion directe et dédiée noté 216 sur la FIG. 1 . Chaque guichet aval (210, 220) copie la donnée originale, dont l’intégrité a été vérifiée, dans la base de données tampon distribuée (42,52) entre les deux guichets. Le guichet aval maitre (40) identifie l’adresse IP et le port de la destination (200) par le numéro de canal tagué avec la donnée. Le canal est préalablement configuré en aval de façon miroir de la configuration amont. Après avoir vérifié que la destination (200) est accessible et en fonctionnement, le guichet maitre aval (40) envoie la donnée à la destination (200). Une fois la donnée envoyée, si la base de données tampon distribuée (42) a atteint un certain seuil de taille, la donnée du même type la plus ancienne sera effacée. Les données stockées dans le tampon FIFO des deux guichet aval (210, 220) sont synchronisées par un lien réseau dédié et directe entre les deux guichets aval, noté (215) sur la FIG. 1 . Si le guichet maitre aval (40) ne peut pas atteindre la destination (200), il vérifie que le guichet aval esclave (50) y a accès par un lien réseau dédié et directe entre les deux guichets aval, noté (215) sur la FIG. 1 . Si oui, le guichet aval maitre (40) devient esclave et celui esclave devient maitre. Si ni le guichet aval maitre ni celui esclave n’a accès à la destination (200), celui maitre reste maitre et continue périodiquement d’essayer d’envoyer la donnée à la destination (200). Les deux guichets avals (210, 220) sont connectés à la destination des informations (200) par l’intermédiaire typiquement de deux switches réseaux (230, 240), ou deux pares-feux, eux même connectés à la destination (200). Chacun des guichets avals (210, 220) est connecté physiquement et directement à la diode hardware (150, 160) par une connexion fibre optique avec un unique brin de fibre optique branché entre le port TX de sortie de la diode et le RX du guichet aval (210, 220). Architecture matérielle La solution proposée se compose de deux systèmes en parallèle, chacun composé d’un serveur guichet amont (130, 140) connecté à la source de données (100) par le réseau le moins classifié ou le plus critique et connecté directement et physiquement à la diode – une diode « hardware » munie d’un port entrant fibre optique connecté au serveur guichet amont (130, 140) et d’un port sortant fibre optique connecté guichet aval (210, 220) – un serveur guichet aval (210, 220) connecté à destination (200) des données par le réseau le plus classifié ou le moins critique. La source (100) de données est connectée à deux switches/routeurs réseau ou à deux pares-feux par les câbles (105) et (106). La destination (200) de données est connectée à deux switches/routeurs réseau ou à deux pares-feux par les câbles (213, 214). Les deux serveurs guichet amont (130, 140) sont connectés aux équipements réseau connecté à la source (100) d’information par respectivement les câbles (101 ) et (102) ainsi que (103) et (104) sur la FIG. 1 , par l’intermédiaire typiquement de deux switches réseaux (110, 120), ou deux pares-feux, eux même connectés à la source (100). Chacun des serveurs guichet amont (130, 140) est connecté physiquement et directement à la diode hardware (150, 160) par son port d’entrée avec une connexion fibre optique à deux brins RX/TX. Les deux serveurs guichets avals (210,220) sont connectés aux équipements réseau connecté à la destination (200) d’information par respectivement les câbles (209) et (210) ainsi que (211) et (212) sur la FIG. 1 , par l’intermédiaire typiquement de deux switches réseaux (230, 240), ou deux pares-feux, eux même connectés à la destination (200). Chacun des serveurs guichets avals est connecté physiquement et directement à la diode hardware (150, 160) par son port de sortie avec une connexion fibre optique à un seul brins TX côté diode et RX côté serveur guichet aval (210, 220). Chaque élément de chaque paire de serveurs guichets est interconnecté physiquement et directement par les câbles (107) et (108), (215) et (216) respectivement, pour synchroniser la base de données tampon distribuée en amont et en aval, et pour assurer les fonctions de bascule Maitre/Esclave. Architecture fonctionnelle La FIG. 2 illustre l’architecture fonctionnelle du système selon l’invention. Il comprend un serveur source (10) amont et un serveur destination (90) aval. Le serveur destination (10) amont comprend un module de transmission des données (11), qui envoie les données au serveur guichet amont maitre (20). Les serveurs guichets amonts (20, 30) comprenant chacun un module (25, 35) de réception des données, de répartition des données reçues dans des canaux préconfigurés et de la gestion maitre/esclave, un module (24), sur le maitre uniquement, de stockage sur la base tampon distribuée (22, 32), un module (26,36) d’envoie des donnés depuis la base tampon vers les deux module (27, 37) de transmission vers la diode « hardware » (150, 160) sur le maitre et l’esclave simultanément. Les modules (23,35) assurent la réception amont des données en fonction des protocoles, la bonne réception des données au niveau applicatif ou protocolaire, la gestion du basculement maitre / esclave et la surveillance de la disponibilité du réseau amont et de la SOURCE (10). Sur le guichet amont maitre (20), le module (25) transmet les données applicatives ou protocolaires, par exemple comme un fichier entier, au module (24) qui assure le taguage et la répartition des données dans le canal correspondant aux informations préconfigurée (adresse IP, port, protocole). Le module (24) envoie les données des canaux vers la base tampon distribué amont, modules (22, 32). Les modules (22,32) gèrent la synchronisation des données entre les bases tampons sur les deux guichets amonts (20,30) grâce à une connexion réseau physique, directe et dédiée. Sur le guichet amont maitre (20), le module (22) envoie les données, arrivée en premier canal par canal, au module (26). Le module (26) envoie simultanément les données aux modules (27,37) respectivement sur le guichet amont maitre (20) et esclave (30) grâce à une connexion réseau physique, directe et dédié. Les modules (27,37) assurent le découpage des données en paquets unitaires, l’ajout d’information supplémentaire assurant leur intégrité et leur numéro unique de séquence, leur multiplexage sur des canaux interne de taille élastiques mais de nombre fixé préalablement comme mentionné précédemment. Les modules (27,37) assurent également l’envoi des paquets sur les diodes « hardware » (150, 160) Les serveurs guichets avals (40,50) comprenant chacun un module (47, 57) de réception des données provenant de la diode « hardware » (150, 160), assurant la reconstitution des données initiales depuis les paquets unitaires reçus de la diode tout en vérifiant leur intégrité, et envoyant également une copie des donnée depuis le guichet aval maitre (40) vers l’esclave (50), d’un module (44) sur le maitre de répartition des données reçues dans des canaux préconfigurés et d’écriture sur la base tampon distribuée , un module (42, 52) de gestion de la base tampon distribuée et de sa synchronisation, de stockage sur la base tampon distribuée (22, 32), un module (45,55) d’envoie des donnés depuis la base tampon vers le module de réception des données (91), hébergé par le serveur destination (90), selon le protocole correspondant au canal préconfiguré. Comme précédemment exposé, en cas de défaillance, le rôle « maitre » et « esclave » des deux serveurs guichet aval (40, 50) est automatiquement interverti par le module (45, 45). Toute détection par un module d’une erreur d’intégrité ou de toutes autres erreurs ou interruptions de disponibilité, entrainera l’envoi d’un message de type syslog et de consignation dudit message dans un service de journal d'événements. Description détaillée d’un exemple de mise en œuvre du procédé selon l’invention La fonction de Haute Disponibilité de très haut niveau sera réalisée par le redondance physique et logique des guichets, des liens réseaux et des diodes (150, 160) en mode actif-actif. Dans cet exemple, considérons que la source (100) envoie un fichier sur le guichet amont avec FTP. Un disfonctionnement affecte le guichet amont maitre qui devient indisponible. Le mécanisme d’IP virtuelle entre le guichet maitre et le guichet esclave permet à l’esclave de s’approprier l’IP physique réseau lié à l’IP virtuelle et il devient maitre. Il n’y pas d’interruption de service car la couche TCP/IP va absorber le changement d’IP physique pour l’IP virtuelle et le protocole FTP va relancer la transmission du fichier en cours en fonction du script d’envoie grâce au module (11) si nécessaire. Le guichet amont maitre teste en permanence sa connectivité à la source (100), s’il ne peut plus atteindre la source (100) en cas de dysfonctionnement du réseau avec la source (100), il vérifie que le guichet amont esclave peut bien accéder à la source (100), et si oui, il bascule l’esclave en maitre et lui en esclave. Il n’y pas d’interruption de service car la couche TCP/IP va absorber le changement d’IP physique pour l’IP virtuelle et le protocole FTP va relancer la transmission du fichier en cours en fonction du script d’envoie. Si la source (100) est indisponible ou le réseau est totalement indisponible, la transmission des fichiers par FTP reprendra automatique sans intervention manuelle dès que la source (100) se reconnectera au serveur FTP hébergé par le guichet amont maitre en fonction du script d’envoie grâce au module (11). Si lors du basculement maitre/esclave se produit alors que certains fichiers, qui sont stockés dans la base de données tampon distribuée, sont en attente de transmission vers la diode, comme l’esclave devenu maitre possède une copie de ses fichiers sur sa propre base de données tampon distribuée, la transmission de ces fichiers en attente reprendra automatique sans interruption. Si un fichier était en cours de transmission vers la diode par le maitre, comme le maitre a aussi envoyé une copie de ce fichier vers l’esclave pour qu’il le transmette vers sa diode, l’esclave enverra un fichier complet vers la diode et son guichet aval (210, 220). Le guichet aval (220) esclave stockera ce fichier dans la base données tampon distribuée et donc le guichet aval (210) maitre assura la transmission de ce fichier sans interruption et sans intervention manuelle. Si la diode (150) connectée au guichet amont maitre (130) est indisponible, elle ne fonctionne pas ou la fibre optique est déconnectée, le guichet aval (210,) maitre ne reçoit plus les fichiers. Mais comme le guichet amont maitre (130) a envoyé une copie de chaque fichier au guichet amont esclave (140), ils seront envoyés au guichet aval (220) esclave qui reçoie tous les fichiers et les stocke dans la base de données tampon distribué. Le guichet aval (210) maitre les envoie donc vers la destination (200) depuis la base de données distribuée sans interruption et sans intervention manuelle. Si le guichet aval (210) maitre est cours de disfonctionnement, il bascule le guichet aval (220) esclave en maitre et il lance son redémarrage. Si un fichier était en cours de transmission par la diode du guichet amont maitre (130) vers le guichet aval (210) maitre, une copie du fichier a été envoyée par le guichet amont esclave (130) vers le guichet aval (220) esclave. Le guichet aval (220) esclave, après être basculé en maitre, transmettra ce fichier depuis la base de données tampon distribué vers la destination (200) sans interruption et sans intervention manuelle. Si le réseau aval est indisponible entre le guichet aval (210) maitre et la destination (200), le guichet aval (210) maitre vérifie si le guichet aval (220) esclave a accès au serveur FTP de la destination (200), si oui, l’esclave bascule en maitre et le maitre en esclave. Si un fichier était en cours de transmission par FTP entre le guichet aval (210) maitre et le serveur FTP de la destination (200), la session FTP sera interrompue. Puis une autre session FTP entre le nouveau guichet aval ( 220) maitre et le serveur FTP de la destination (200) sera établie et le fichier en cours de transmission sera transmis par le nouveau guichet aval (220) maitre sans perte de fichier et sans intervention manuelle. Si le réseau aval est totalement indisponible entre les guichets avals et la destination (200), ou si la destination (200) est indisponible, le guichet aval (210) maitre vérifie si le guichet aval (220) esclave a accès au serveur FTP de la destination (200), comme le guichet aval (220) esclave n’a pas accès au serveur FTP destination (200), le guichet aval (210) maitre reste le maitre. Si un fichier est en cours de transmission par FTP, la session FTP sera interrompue. Le guichet aval (220) maitre essayera continuellement d’établir une nouvelle session FTP avec la destination (200) jusqu’au moment quand le serveur FTP de la destination (200) sera à nouveau disponible. Il n’y aura donc pas de perte de fichier et ni intervention manuelle. Les guichets eux-mêmes sont protégés contre les attaques de dénis de service, DoS, le seul type d’attaque à distance pouvant affecter la transmission des données. La résistance au DoS est réalisée par la réduction de la surface d’attaque offerte par les éventuelles vulnérabilités des logiciels et du systèmes d’opération des guichets par le durcissement des guichets grâce à la recompilation du leur système d’exploitation en sélectionnant uniquement les modules, les services et les drivers strictement nécessaires, par l’absence de compte super utilisateur ou administrateur utilisable sur les guichets, et par un pare-feu sur chaque guichet qui bloque toutes les communications sauf celles autorisées provenant de nœuds réseaux définis par leur adresse IP, MAC et port TCP ou UDP, le blocage des communications ICMP (ping). Procédé pour assurer la haute disponibilité et la sécurisation des échanges de données entre deux réseaux de criticité différente hébergeant respectivement une SOURCE (100) associée à une adresse IP et un port TCP ou UDP, et une DESTINATION (200) associée à une adresse IP et un port TCP ou UDP de données, mettant en œuvre une paire de serveurs guichet amont (130, 140) et une paire de serveurs guichet aval (210, 220), chacun desdits guichet amont (130, 140) connecté à un des desdits guichets avals (210, 220) uniquement par l’intermédiaire de connexions fibres optiques à une data diode (150, 160), en ce qu’il comporte les étapes suivantes : Une étape d’initialisation individuelle desdits guichets amont et desdits guichets avals consistant à définir une ou plusieurs adresses IP virtuelles et leurs types, et des adresses IP physiques des interfaces de guichets connectées à des réseaux amonts et avals, ainsi que différents profils d’utilisateurs desdits guichets amont et desdits guichets avals une étape de configuration individuelle desdits guichets amont et desdits guichets avals consistant à paramétrer un canal de communication utilisant un type de données ou un protocole en définissant un identifiant unique, ledit type de données ou de protocole utilisé par ledit canal, ladite adresse IP et ledit port TCP ou UDP de ladite SOURCE (100) de donnée, d’éventuelles clés ou compte et mot de passe nécessaire pour l’identification des guichet amont (130, 140) sur la SOURCE (100), et un chemin éventuel du répertoires hébergeant les données sur la SOURCE (100), puis en définissant sur lesdits guichets avals (210,220) un canal de communication avec un identifiant identique à celui utilisé pour le canal sur les guichet amont (130, 140), le type de données ou de protocole utilisé par ce canal, ladite adresse IP et ledit port TCP ou UDP de ladite DESTINATION (200) de donnée, d’éventuelles clés ou compte & mot de passe nécessaire pour l’identification des guichets avals sur la Destination (200), et un chemin éventuel du répertoires hébergeant les données sur la DESTINATION (200). Procédé pour assurer la haute disponibilité et la sécurisation des échanges de données entre deux réseaux de criticité différente hébergeant respectivement une SOURCE (100) et une DESTINATION (200) de donnée, selon la revendication 1 caractérisé en ce qu’il comporte une étape additionnelle de paramétrage desdits guichets amont et desdits guichets avals consistant à paramétrer des fonctions de pare-feu desdits guichet amont (130, 140) et avals (210,220) pour autoriser uniquement certains nœuds des réseaux SOURCE (100) et DESTINATION (200) à avoir accès auxdits guichet. Procédé pour assurer la haute disponibilité et la sécurisation des échanges de données entre deux réseaux de criticité différente hébergeant respectivement une SOURCE (100) et une DESTINATION (200) de donnée, selon la revendication précédente caractérisé en ce que ladite étape additionnelle commande la configuration d’un mécanisme de sauvegarde automatique de la configuration des guichets soit localement soit à distance. Procédé pour assurer la haute disponibilité et la sécurisation des échanges de données entre deux réseaux de criticité différente hébergeant respectivement une SOURCE (100) et une DESTINATION (200) de donnée, selon la revendication 1 caractérisé en ce qu’il comporte une fonction de sécurité par l’envoi d’un message de type syslog et de consignation dudit message dans un service de journal d'événements des systèmes informatiques desdits réseaux SOURCE (100) et DESTINATION (200). Procédé pour assurer la haute disponibilité et la sécurisation des échanges de données entre deux réseaux de criticité différente hébergeant respectivement une SOURCE (100) et une DESTINATION (200) de donnée, selon la revendication 1 caractérisé en ce qu’il comporte une fonction de sécurité par coupure de la communication et blocage des communications provenant de l’adresse IP/ PORT TCP/ adresse MAC excepté celle autorisée. Procédé pour assurer la haute disponibilité et la sécurisation des échanges de données entre deux réseaux de criticité différente hébergeant respectivement une SOURCE (100) et une DESTINATION (200) de donnée, selon la revendication 1 caractérisé en ce que ladite haute disponibilité des serveurs guichet amont (130, 140) et avals (210,220) prévoit des adresses IP virtuelles, des bases de données tampon distribuées respectivement sur la paire de guichets avals et amonts, l’envoi d’une copie des données par un guichet amont Maitre à un guichet amont Esclave et par un guichet aval Maitre à un guichet aval Esclave, et des mécanisme de surveillance de la disponibilité des chaque guichet membre d’une paire par l’autre membre de sa paire déclenchant un basculement Maitre/ Esclave dans certains cas, des mécanismes de surveillance de la disponibilité respective de la SOURCE (100) et de la DESTINATION (200) de chaque canal de donnée, et de mécanisme de reprise automatique des communications en cas d’indisponibilité totale des réseaux amont et/ou aval, ou de la SOURCE (100) et/ou de la DESTINATION (200) des données. Procédé pour assurer la haute disponibilité et la sécurisation des échanges de données entre deux réseaux de criticité différente hébergeant respectivement une SOURCE (100) et une DESTINATION (200) de donnée, selon la revendication 1 caractérisé en ce que ladite haute sécurité du réseaux le plus critique est garantie par la propriété de la data diode qui ne permet de transmettre de l’information que entre le réseau amont et le réseau aval, et que cette propriété est réalisé par le dispositif physique de la data diode ne comprenant aucune configuration, logiciel ni logique. Procédé pour assurer la haute disponibilité et la sécurisation des échanges de données entre deux réseaux de criticité différente hébergeant respectivement une SOURCE (100) et une DESTINATION (200) de donnée, selon la revendication 1 caractérisé en ce que ladite haute disponibilité de la transmission des données étant assurée par des mécanismes de contrôle d’intégrité des donnés à l’échelle de paquets envoyés par multiplexage aux data diodes (150, 160) et à l’échelle des données elle-même.