Brevet FR3154274A1 — publié le 20250418

L’invention concerne un procédé de détection d’une vulnérabilité dans un réseau de communication comprenant des étapes de détermination (200), à partir d’un corpus de documents, d’au moins une signature caractéristique d’un standard de communication associée à au moins une fonction cryptographique particulière, d’application (201) d’une règle de détection à au moins un paquet de données capturé sur le réseau, ladite règle étant configurée pour s’activer sur détection de ladite au moins une signature caractéristique déterminée, et sur activation de ladite règle, de transmission (202) d’une alerte comprenant au moins un identifiant d’un équipement à l’origine et/ou d’un équipement destinataire dudit flux réseau. Il est également proposé un dispositif adapté pour mettre en œuvre un tel procédé. Figure 2. Procédé, dispositif et programme de détection d’une vulnérabilité dans un réseau de communication L’invention appartient au domaine des télécommunications et concerne en particulier un procédé pour détecter une vulnérabilité dans un réseau de communication, plus précisément une vulnérabilité à des attaques réalisées à partir d’un calculateur quantique. Art antérieur Les progrès réalisés dans le domaine de l’informatique quantique challengent aujourd’hui de manière concrète les dispositifs de sécurité des réseaux communication. En effet, alors que les algorithmes quantiques, tels que les algorithmes de Shor, de Grover et de Simon, permettaient jusqu’ici de résoudre conceptuellement certains problèmes calculatoires sur lesquels sont fondés des mécanismes de sécurité largement déployés, l’apparition de calculateurs adaptés pour mettre en œuvre ces algorithmes rend cette menace très concrète. En effet, alors que les meilleurs algorithmes classiques pour résoudre ces problèmes ont une complexité exponentielle en général, les algorithmes quantiques peuvent produire une réponse en temps polynomial. Bien qu’un calculateur quantique suffisamment dimensionné et fiable ne soit pas encore à la disposition de potentiels hackers, des flux chiffrés capturés aujourd’hui par un attaquant pourront être déchiffrés par des algorithmes quantiques ultérieurement et révéler des secrets qui pourront toujours posséder de la valeur dans le futur. Il est dès lors impératif de mettre en place dès aujourd’hui des mécanismes de sécurité dit post-quantiques, qui conservent un niveau de sécurité élevé face à un calculateur quantique. Les techniques cryptographiques vulnérables à des attaques basées sur des calculateurs quantique sont largement déployées dans les réseaux et infrastructures aujourd’hui en service. Il devient dès lors impératif d’identifier et de mettre à jour dès aujourd’hui les services qui sont susceptibles d’être affectés. Cependant, l’étendue de certains réseaux de communication et la diversité des services qu’ils supportent ne permettent pas d'établir de manière simple une liste des services susceptibles d’être affectés. Cette difficulté à établir une cartographie exhaustive des services vulnérables déployés dans un réseau est d’autant plus exacerbée lorsque des utilisateurs se voient offrir la possibilité d’installer eux-mêmes des applications sur leur poste de travail et que ces applications sont sujettes à de fréquentes mises à jour. Ainsi, les mécanismes de sécurité utilisés pour protéger des services sont susceptibles de varier au cours du temps. Ainsi, identifier de manière exhaustive les services vulnérables à des attaques quantiques est une tâche ardue et chronophage. Il existe donc un besoin pour une technique permettant à des opérateurs de réseau de communication de détecter et d’identifier de manière fiable et exhaustive les services susceptibles d’être vulnérables à des attaques réalisées à partir d’ordinateurs quantiques. A cet effet, il est proposé un procédé de détection d’une vulnérabilité dans un réseau de communication comprenant les étapes suivantes : Détermination, à partir d’un corpus de documents, d’au moins une signature caractéristique d’un standard de communication associée à au moins une fonction cryptographique particulière, Application d’une règle de filtrage à au moins un paquet de données capturé sur un réseau de communication, ladite règle étant configurée pour s’activer sur détection de ladite au moins signature caractéristique déterminée, Sur activation de ladite règle, transmission d’une alerte comprenant au moins un identifiant d’un équipement à l’origine et/ou d’un équipement destinataire dudit paquet de données. Le principe général de l’invention repose ainsi sur l’identification de documents comprenant une référence à une technologie cryptographique particulière jugée vulnérable, et la détermination dans ce document d’une caractéristique technique particulière à partir de laquelle il est possible de détecter la mise en œuvre de ladite technique cryptographique par des captures de paquets transitant sur un réseau pour lever des alertes et/ou prendre des mesures de mitigation lorsqu’une mise en œuvre est détectée. De cette façon, il est possible de réaliser en continu un inventaire des services déployées sur un réseau de communication qui utilisent des fonctions cryptographiques dont on estime qu’elles sont vulnérables. Des règles de détection sont générées à partir de documents structurés ou non, par exemple des documents techniques tels que des standards (RFC (Request For Comments) de l’IETF, documents édités par l’ITU ou le 3GPP), ou encore des fichiers de code source informatique, des documents XML ou HTML, de la documentation technique de logiciels, des fichiers de configuration, etc. Les règles sont appliquées à des paquets de données capturés sur un réseau informatique pour détecter l’utilisation de sorte que lorsqu’une règle est activée, une alerte est remontée permettant d’identifier le ou les services concernés. Le processus de détection permet ainsi une surveillance continue des réseaux, autorisant une détection rapide des nouvelles vulnérabilités, par exemple, après qu’une nouvelle fonction cryptographique est mise en œuvre suite à une mise à jour d’un logiciel ou de sa configuration. Selon un mode particulier de réalisation, la fonction cryptographique particulière est une fonction reposant sur un problème de logarithme discret ou le problème de la factorisation d'entiers, une fonction cryptographique symétrique ou une fonction cryptographique de hachage. Les constructions cryptographiques dont la sécurité repose sur le problème du logarithme discret (notamment l'échange de clé de Diffie-Hellman et la signature ECDSA), ou sur le problème de la factorisation d'entiers (notamment le chiffrement et la signature RSA) deviennent vulnérables à un attaquant disposant d'un calculateur quantique correctement dimensionné. Plus généralement, les algorithmes à clef publique reposant sur la factorisation d’entiers sont vulnérables à une attaque mettant en œuvre un calculateur quantique (par exemple, les algorithmes tels que RSA, Paillier, Naccache-Stern, Rabin, Benaloh, Blum-Goldwasser, Damgård–Jurik, Goldwasser-Micali, Okamoto-Uchiyama, Schmidt-Samoa). En outre, les fonctions cryptographiques symétriques telles que AES (Advanced Encryption Standard), ainsi que les fonctions cryptographiques de hachage comme SHA (Secure Hash Algorithm), sont généralement également vulnérables. Leur détection permet ainsi d’augmenter la sécurité des réseaux. Selon un mode de réalisation particulier, le procédé est tel que l’étape de détermination d’au moins une signature caractéristique associée à au moins une fonction cryptographique particulière comprend les sous-étapes suivantes : Analyse du corpus de documents pour détecter au moins une référence à au moins une fonction cryptographique particulière, Lorsqu’au moins une référence est détectée, détermination d’une signature caractéristique d’un standard de communication à partir du document dans lequel la référence est détectée. Lorsqu’une référence à un système cryptographique susceptible d’être vulnérable à une attaque est détectée dans un document du corpus associé à un standard de communication, une caractéristique du standard en question est déterminée à partir de ce document, la caractéristique étant adaptée pour détecter la mise en œuvre de ce standard dans une communication. L’analyse des documents du corpus permet d’identifier un ou plusieurs éléments caractéristiques d’un protocole de communication mettant un système cryptographique particulier. Dans un mode particulier de réalisation, l’étape d’analyse comprend l’application au corpus de documents d’un modèle de classification préalablement entraîné à partir de documents dans lesquels la fonction cryptographique particulière est identifiée au préalable. Dans une réalisation particulière, une signature caractéristique d’un standard de communication comprend au moins l’un des éléments suivants : Un numéro de port de communication, Un identifiant d’un standard de communication, Un champ d’en-tête de protocole, Une taille de paramètres, Un agencement selon un ordre particulier de paramètres. Il est ainsi proposé d’automatiser l’identification et l’extraction d’un numéro de port UDP ou TCP de destination d’un message conforme à un standard de communication décrit dans au moins un document du corpus, un identifiant de standard et/ou une valeur particulière dans un en-tête destiné à être insérés dans un message. De telles informations sont caractéristiques d’un standard de communication et permettent de générer une règle de détection configurée pour être activée lorsqu’un message particulier est capturé sur un réseau de communication. Selon une réalisation particulière, le procédé est tel que l’alerte comprend en outre un identifiant d’un service à l’origine et/ou d’un équipement destinataire dudit paquet de données. L’activation d’une règle est caractéristique de la détection d’une communication associée à une fonction cryptographique identifiée comme vulnérable. Il est proposé d’émettre une alerte dans laquelle un ou plusieurs équipements ou services associés à cette communication sont identifiés. De cette façon, il est possible de dresser un inventaire exhaustif des services et/ou équipements qui nécessitent une mise à jour de sécurité. Selon un autre aspect, il est proposé un dispositif de détection d’une vulnérabilité dans un réseau de communication, le dispositif comprenant un processeur couplé à une mémoire dans laquelle sont enregistrées des instructions configurées pour mettre en œuvre les étapes suivantes, lorsqu’elles sont exécutées par le processeur : Détermination, à partir d’un corpus de documents, d’au moins une signature caractéristique d’un standard de communication associée à au moins une fonction cryptographique particulière, Application d’une règle de détection à au moins un paquet de données capturé sur un réseau de communication, ladite règle étant configurée pour s’activer sur détection de ladite au moins signature caractéristique déterminée, et Sur activation de ladite règle, transmission d’une alerte comprenant au moins un identifiant d’un équipement à l’origine et/ou d’un équipement destinataire dudit flux réseau. L’invention concerne également un serveur comprenant un dispositif de détection tel que décrit ci-dessus. Dans un mode particulier de réalisation, les différentes étapes du procédé de détection sont déterminées par des instructions de programmes d’ordinateurs. En conséquence, l’invention vise aussi un programme d’ordinateur comportant des instructions adaptées à la mise en œuvre des étapes d'un procédé de détection tel que décrit ci-dessus, lorsque le programme est exécuté par un processeur. Ce programme peut utiliser n’importe quel langage de programmation, et être sous la forme de code source, code objet, ou de code intermédiaire entre code source et code objet, tel que dans une forme partiellement compilée, ou dans n’importe quelle autre forme souhaitable. L’invention vise aussi un support d'enregistrement lisible par un ordinateur sur lequel est enregistré un programme d'ordinateur comprenant des instructions pour l'exécution des étapes d'un procédé de détection tel que décrit ci-dessus. Le support d'informations peut être n'importe quelle entité ou dispositif capable de stocker le programme. Par exemple, le support peut comporter un moyen de stockage, tel qu'une ROM, par exemple un CD ROM ou une ROM de circuit microélectronique, une mémoire flash, ou encore un moyen d'enregistrement magnétique, comme un disque dur. D'autre part, le support d'informations peut être un support transmissible tel qu'un signal électrique ou optique, qui peut être acheminé via un câble électrique ou optique, par radio ou par d'autres moyens. Le programme selon l'invention peut être en particulier téléchargé sur un réseau de type Internet. Alternativement, le support d'informations peut être un circuit intégré dans lequel le programme est incorporé, le circuit étant adapté pour exécuter ou pour être utilisé dans l'exécution des procédés en question. Les différents modes ou caractéristiques de réalisation précités peuvent être ajoutés indépendamment ou en combinaison les uns avec les autres, aux étapes du procédé de détection. Les dispositifs, serveurs et programmes présentent des avantages analogues à ceux du procédé auquel ils correspondent. Brève description des figures D'autres caractéristiques et avantages apparaîtront à la lecture d’un mode de réalisation préféré décrit en référence aux dessins annexés parmi lesquels : FIG. 1 La FIG. 1 représente un exemple de réseau de communication, FIG. 2 La FIG. 2 est un ordinogramme illustrant les principales étapes d’un procédé de détection selon une réalisation particulière, et FIG. 3 La FIG. 3 est un diagramme en bloc illustrant l’architecture d’un dispositif adapté pour mettre en œuvre un procédé de détection selon un mode particulier de réalisation. Description détaillée La FIG. 1 représente de manière simplifiée un réseau de communication R1 comprenant des équipements E1 à E4. Le réseau R1 est par exemple un réseau local d’entreprise (LAN, pour Local Area Network en anglais) comprenant des serveurs et/ou des postes de travail utilisateurs E1 à E4. Bien entendu, l’invention qui va être décrite peut s’appliquer à tout type de réseau et l’exemple de la FIG. 1 n’est donné qu’à titre illustratif. Par exemple, le réseau R1 peut comprendre d’autres équipements non représentés, comme des routeurs ou des passerelles. Le réseau R1 peut être un réseau physique ou bien un réseau virtuel sans limiter l’invention. Le réseau R1 comprend également une sonde S adaptée pour surveiller et/ou capturer le trafic circulant sur le réseau, et en particulier les messages envoyés et/ou reçus par les différents équipements. Bien que cela ne soit pas représenté sur la FIG. 1 pour simplifier la description qui va suivre, le réseau R1 peut comprendre une pluralité de sondes S afin de surveiller différentes branches du réseau. Ainsi, lorsqu’un message est par exemple envoyé par l’équipement E1 vers l’équipement E4, la sonde S peut détecter et capturer un paquet de données dans lequel le message est transmis et en obtenir une copie. La sonde S peut être adaptée pour capturer ainsi des flux de données à différents niveaux, par exemple sur la couche physique, la couche de liaison de données, la couche de transport ou encore au niveau applicatif. La sonde S est par exemple un dispositif informatique tel qu’un serveur comprenant un processeur, une mémoire et une interface réseau (par exemple une interface Ethernet ou WiFi®). La mémoire du dispositif comprend des instructions de programme configurées pour piloter l’interface réseau afin de capturer et décoder les paquets de données. La sonde S est adaptée pour mettre en œuvre un procédé de détection selon une réalisation particulière. La FIG. 2 est un ordinogramme illustrant les principales étapes d’un procédé de détection selon une réalisation particulière. Le procédé comprend une première étape 200 au cours de laquelle un corpus de documents est analysé afin d’en extraire au moins une signature caractéristique d’un standard de communication associée à au moins une fonction cryptographique particulière. Le corpus peut être constitué de documents structurés ou non. Il comprend par exemple un ensemble de documents de standard, comme des RFC, des documents proposés par le 3GPP, des notices techniques, du code source, des fichiers de configuration, etc. Dans un mode de réalisation particulier, l’analyse du corpus de document est réalisée par un module d’extraction d’information configuré pour détecter des mots clefs caractéristiques d’au moins une fonction cryptographique particulière. Par exemple, le module d’extraction peut comprendre un analyseur lexical configuré pour détecter le mot clef « RSA » dans un corpus de document comprenant des RFC publiées par l’IETF. Lorsque le mot clef est détecté dans au moins un document, par exemple dans le document « RFC4253 », le module d’extraction d’information est configuré pour déterminer un élément caractéristique d’un standard de communication à partir du contenu du document, par exemple un numéro de port ou un indicateur de format. En l’espèce, un tel analyseur peut extraire une indication selon laquelle le port 22 est impliqué dans le standard de communication défini par la RFC4253. On entend par indicateur de format une séquence de caractères ou une constante numérique permettant d’identifier un format de fichier ou un protocole particulier. Un tel indicateur est connu sous la dénomination « magic number » ou « magic cookie » en anglais. Par exemple, le protocole DHCP utilise un indicateur de format composé de la séquence « 63 82 53 63 » au début de la section option de tous les paquets, les transactions SSL/TLS commencent toujours par le message « client hello ». Lorsqu’une telle association entre une fonction cryptographique et un élément caractéristique d’un protocole de communication (tel qu’un numéro de port ou un indicateur de format) est établie à partir d’un document ou d’une combinaison de documents, l’association est mémorisée dans une base de données. Bien entendu, toute technique d’extraction adaptée peut être envisagée pour identifier des caractéristiques de protocoles de communications mettant en œuvre des fonctions cryptographiques particulières à partir d’un corpus de documents non structurés ou semi-structurés. Par exemple, l’analyse et l’extraction peuvent être réalisées par application d’un modèle d’apprentissage supervisé préalablement entraîné à cet effet. Un tel modèle est par exemple un réseau de neurones récurrent (RNN pour Recurrent Neural Network en anglais) ou un modèle auto-attentif comme un transformeur. De tels modèles d’apprentissage sont particulièrement adaptés à une telle tâche d’analyse car ils sont conçus pour gérer des données séquentielles, notamment le langage naturel. Le modèle d’apprentissage est préalablement entraîné à partir de bribes de texte ou de documents étiquetés comme contenant des références aux fonctions cryptographiques et/ou aux signatures caractéristiques en question. Dans un mode particulier de réalisation, le module d’extraction d’information est configuré pour détecter dans les documents du corpus des références aux algorithmes AES (Advanced Encryption Standard), SHA (Secure Hash Algorithm), SHA-3, RSA (Rivest-Shamir-Adelman), ECDSA (Elliptic curve digital signature algorithm) et ECDH ou encore DSA (Algorithme de signature numérique ou Digital signature Algorithm en anglais), ou tout autre algorithme dont on souhaite détecter l’utilisation. Le procédé comprend une étape 201 au cours de laquelle au moins une règle de détection est appliquée à des paquets de données capturés sur le réseau, ladite règle étant configurée pour s’activer sur détection de ladite au moins signature caractéristique déterminée. Pour cela, des paquets circulant sur le réseau sont capturés par un dispositif de capture classique comprenant une interface réseau configurée pour intercepter ou copier des paquets de données et un module d’analyse configuré pour appliquer des règles de filtrage au trafic capturé de manière à sélectionner les paquets correspondant à un ou plusieurs critères particuliers, et en particulier pour sélectionner les paquets comprenant un ou plusieurs éléments caractéristiques d’un protocole de communication déterminés à l’étape 200. Ainsi, par exemple, la règle de détection est configurée pour inspecter les paquets IP et sélectionner les paquets dont le port de destination signalé dans l’en-tête IP correspond à un port IP identifié dans un document du corpus dans lequel une référence à une fonction cryptographique particulière est détectée. Selon un autre exemple, la règle de détection inspecte les paquets capturés afin d’identifier un indicateur de format particulier déterminé à l’étape 200, et sélectionner le paquet lorsqu’un indicateur de format particulier est détecté. Suivant un mode particulier de réalisation, l’étape 201 comprend l’application d’un modèle d’apprentissage entrainé au préalable par apprentissage supervisé pour détecter la présence d’une signature caractéristique dans les messages capturés. Pour cela, un modèle d’apprentissage tel qu’un réseau de neurones artificiel (par exemple un CNN pour Convolutional Neural Network) entrainé au préalable à partir d’exemples labelisés peut être mis en œuvre pour détecter des motifs dans les paquets de données, des entêtes particuliers, un ou plusieurs numéros de port, etc.). Le procédé comprend enfin une étape 202 de transmission d’une alerte lorsqu’au moins un flux de paquets provoque l’activation d’une règle appliquée à l’étape 201. L’alerte peut être transmise dans un message et/ou enregistrée dans une base de données. Une telle alerte comprend au moins un identifiant d’un équipement source et/ou d’un équipement destinataire du message ayant déclenché l’activation de la règle de filtrage, par exemple une adresse IP, un port UDP ou TCP, un nom de machine, etc. L’alerte peut en outre comprendre une donnée permettant d’identifier un protocole et/ou un standard, ou une application impliquée dans la transmission du message ou du flux de message ayant déclenché l’activation de la règle. Dans un mode de réalisation particulier, le déclenchement de l’alerte provoque une reconfiguration d’un équipement de filtrage, par exemple sur détection d’un flux de données associé à une fonction cryptographique jugée vulnérable, l’alerte peut provoquer l’isolement de la machine à l’origine du flux de données en configurant des règles d’un pare-feu ou une table de routage. La FIG. 3 représente une architecture simplifiée d’un dispositif 300 adapté pour mettre en œuvre le procédé de détection selon un réalisation particulière. Le dispositif 300 comprend un module de traitement de données comprenant un espace de stockage 301, par exemple une mémoire (MEM), une unité de traitement 302, équipée par exemple d'un microprocesseur (PROC), et pilotée par un programme d'ordinateur (PGR) 303 dont les instructions sont configurées pour mettre en œuvre le procédé de détection tel que décrit précédemment en relation avec la FIG. 2 . A l'initialisation, les instructions de code du programme d'ordinateur 303 sont par exemple chargées dans la mémoire 301 avant d'être exécutées par le processeur de l'unité de traitement 302. Le microprocesseur de l'unité de traitement 302 met en œuvre, selon les instructions du programme d'ordinateur 303, les étapes du procédé de détection décrit ci-avant en référence à la FIG. 2 Pour cela, le dispositif 300 comprend des moyens de communication 304, par exemple une interface réseau Ethernet ou WiFi® configurée en mode promiscuité pour capturer tout le trafic circulant sur la partie du réseau à laquelle l’interface réseau est connecté, et pas seulement les paquets qui lui sont adressés. Autrement dit, l’interface réseau est configurée pour ne pas filtrer les paquets sur l’adresse MAC et accepter tous les paquets. Le dispositif 300 comprend également un module d’analyse 305 adapté pour appliquer une règle de détection à au moins un paquet de données capturé sur le réseau, ladite règle étant configurée pour s’activer sur détection d’au moins une signature caractéristique d’un standard de communication associée à au moins une fonction cryptographique particulière, ladite signature étant déterminée par analyse d’un corpus de documents ou réalisation de tests d’exécution. Dans un mode particulier de réalisation, le module 305 est mis en œuvre par des instructions de programme d’ordinateur configurées pour examiner au moins un paquet capturé par les moyens de communication 304, et comparer au moins un élément du message, par exemple un en-tête, un numéro de port ou un identifiant de format, avec au moins ladite signature caractéristique, et pour activer ladite règle en cas de correspondance de la signature avec un élément du message. Le dispositif 300 comprend aussi un module d’alerte 306, configuré pour transmettre une alerte lorsqu’une règle de détection est activée pour au moins un message capturé par les moyens de communication. Le module d’alerte est par exemple mis en œuvre par des instructions de programme configurées pour identifier un équipement et/ou un service émetteur et/ou destinataire du message ayant activé la règle, et pour enregistrer au moins une caractéristique de l’alerte dans une base de données. Dans une réalisation particulière, le module d’alerte est configuré par les instructions de programme pour transmettre un message d’alerte vers un équipement particulier. Dans une réalisation particulière, le dispositif 300 est compris dans un nœud réseau, par exemple dans une sonde, une passerelle ou un serveur. Procédé de détection d’une vulnérabilité dans un réseau de communication caractérisé en ce qu’il comprend les étapes suivantes : Détermination (200), à partir d’un corpus de documents, d’au moins une signature caractéristique d’un standard de communication associée à au moins une fonction cryptographique particulière, Application (201) d’une règle de détection à au moins un paquet de données capturé sur le réseau, ladite règle étant configurée pour s’activer sur détection de ladite au moins une signature caractéristique déterminée, Sur activation de ladite règle, transmission (202) d’une alerte comprenant au moins un identifiant d’un équipement à l’origine et/ou d’un équipement destinataire dudit paquet de données. Procédé selon la revendication 1 dans lequel la fonction cryptographique particulière est une fonction reposant sur un problème de logarithme discret ou le problème de la factorisation d'entiers, une fonction cryptographique symétrique ou une fonction cryptographique de hachage. Procédé selon l’une quelconque des revendications précédentes dans lequel l’étape de détermination d’au moins une signature caractéristique associée à au moins une fonction cryptographique particulière comprend les étapes suivantes : Analyse du corpus de documents pour détecter au moins une référence à au moins une fonction cryptographique particulière, Lorsqu’au moins une référence est détectée, détermination d’une signature caractéristique d’un standard de communication à partir du document dans lequel la référence est détectée. Procédé selon la revendication 3 dans lequel l’étape d’analyse comprend l’application au corpus de documents d’un modèle de classification préalablement entraîné à partir de documents dans lesquels la fonction cryptographique particulière est identifiée au préalable. Procédé selon l’une quelconque des revendications précédentes dans lequel l’au moins une signature caractéristique d’un standard de communication comprend au moins l’un des éléments suivants : Un numéro de port de communication, Un identifiant d’un standard de communication, Un entête de protocole, Une taille de paramètres, Un agencement selon un ordre particulier de paramètres. Procédé selon l’une quelconque des revendications précédentes dans lequel l’alerte comprend en outre un identifiant d’un service à l’origine et/ou d’un équipement destinataire dudit flux réseau. Dispositif de détection d’une vulnérabilité dans un réseau de communication, le dispositif comprenant un processeur (302) couplé à une mémoire (301) dans laquelle sont enregistrées des instructions (303) configurées pour mettre en œuvre les étapes suivantes, lorsqu’elles sont exécutées par le processeur : Détermination, à partir d’un corpus de documents, d’au moins une signature caractéristique d’un standard de communication associée à au moins une fonction cryptographique particulière, Application d’une règle de détection à au moins un paquet capturé sur un réseau de communication, ladite règle étant configurée pour s’activer sur détection de ladite au moins signature caractéristique déterminée, et Sur activation de ladite règle, transmission d’une alerte comprenant au moins un identifiant d’un équipement à l’origine et/ou d’un équipement destinataire dudit paquet de données. Serveur comprenant un dispositif selon la revendication 7. Programme d’ordinateur comprenant des instructions configurées pour mettre en œuvre un procédé de détection selon l’une quelconque des revendication 1 à 6, lorsque lesdites instructions sont exécutées par un processeur. Support d’information sur lequel sont enregistrées des instructions configurées pour mettre en œuvre un procédé de détection selon l’une quelconque des revendication 1 à 6