Brevet FR3041493A1 (20170324)
REVENDICATIONS1) Equipement (110) adapté pour offrir des services de résolution de noms de domaine, ledit équipement étant destiné à être connecté à un réseau de communication implémentant des domaines de sécurité, ledit équipement étant destiné à être déclaré comme serveur de noms de domaine auprès de dispositifs clients (100) dans ledit réseau de communication, ledit équipement incluant une unité d'interface client (111) adaptée pour recevoir (S301) des requêtes de résolution de nom de domaine en provenance desdits dispositifs clients et pour répondre (S309) auxdites requêtes, chaque requête de résolution de nom de domaine incluant une adresse IP du dispositif client ayant émis ladite requête et un nom de domaine à résoudre ; caractérisé en ce que ledit équipement inclut en outre : - une unité d'authentification (112) adaptée pour effectuer (S304) des premières opérations d'authentification vérifiant, pour chaque requête de résolution de nom de domaine, au moins grâce à l'adresse IP du dispositif client ayant émis ladite requête, si ledit dispositif client ou un utilisateur dudit dispositif client a été préalablement enregistré auprès dudit équipement ou d'un serveur d'authentification externe auquel ledit équipement est connecté ; - une unité d'autorisation (113) adaptée pour effectuer (S305) des premières opérations d'autorisation vérifiant, pour chaque requête de résolution d'un nom de domaine authentifiée par l'unité d'authentification, si le dispositif client ayant émis ladite requête ou l'utilisateur dudit dispositif client a effectivement droit d'accès aux ressources dudit nom de domaine ; et - une unité de résolution de noms de domaine (114) adaptée pour effectuer (S306) des opérations de résolution de nom de domaine grâce à un cache (116) dans lequel ledit équipement stocke des associations d'adresses IP et de noms de domaine respectifs, ledit cache étant peuplé (S307) grâce à des résultats de résolutions de noms de domaine effectuées par des serveurs de noms externes (124a, 124b) auxquels ledit équipement est destiné à être connecté via des tunnels sécurisés respectifs et auxquels ledit équipement fait appel, indépendamment desdits domaines de sécurité, lorsque ledit cache n'inclut pas de données permettant d'effectuer la résolution de nom de domaine requise. 3041493 2/ Equipement selon la revendication 1, caractérisé en ce que l'unité d'interface client déclenche les opérations de résolution de nom de domaine en parallèle desdites premières opérations d'authentification et d'autorisation. 5 3/ Equipement selon l'une quelconque des revendications 1 et 2, caractérisé en ce que l'unité d'interface client effectue un filtrage (S302) des requêtes de résolution de nom de domaine reçues en vérifiant que chaque requête contient effectivement, en données utiles, une information de nom de domaine formatée comme attendu par ledit 10 équipement. 4/ Equipement selon l'une quelconque des revendications 1 à 3, caractérisé en ce que l'unité d'interface client effectue un autre filtrage (S303) sur la base d'un historique d'usage des services dudit équipement par les dispositifs clients ayant 15 respectivement émis lesdites requêtes de résolution de nom de domaine. 5/ Equipement selon l'une quelconque des revendications 1 à 4, caractérisé en ce que l'unité d'authentification est en outre adaptée pour obtenir, dans chaque requête traitée par ladite unité d'authentification, des informations d'identification d'un 20 utilisateur dont l'utilisation du dispositif client ayant émis ladite requête a entraîné l'émission de ladite requête, et en ce que lesdites premières opérations d'authentification vérifient en outre que lesdites informations d'identification correspondent à un utilisateur préalablement enregistré auprès dudit équipement ou du serveur d'authentification externe en association avec l'adresse IP dudit dispositif 25 client. 6/ Equipement selon l'une quelconque des revendications 1 à 5, caractérisé en ce que l'unité d'autorisation dispose localement d'un référentiel de données au sein duquel l'unité d'autorisation vérifie, pour chaque requête de résolution d'un nom de 30 domaine authentifiée par l'unité d'authentification, si le dispositif client ayant émis ladite requête ou l'utilisateur dudit dispositif client a effectivement droit d'accès aux ressources dudit nom de domaine, ledit référentiel de données étant peuplé grâce à des résultats d'autorisations effectuées par un serveur d'autorisation externe auquel ledit équipement est connecté 3041493 36 et auquel ledit équipement fait appel lorsque ledit référentiel de données n'inclut pas de données permettant d'effectuer l'autorisation requise. 7/ Equipement selon la revendication 6, caractérisé en ce que ledit référentiel de 5 données définit, pour chaque utilisateur ou dispositif client préalablement enregistré, quels sont les noms de domaine dont les ressources sont accessibles audit utilisateur ou audit dispositif client. 8/ Equipement selon l'une quelconque des revendications 1 à 7, caractérisé en ce 10 que l'unité d'authentification dispose localement d'un référentiel de données contenant des données d'authentification de dispositifs clients préalablement enregistrés et au sein duquel l'unité d'authentification vérifie, pour chaque requête de résolution d'un nom de domaine, si le dispositif client ayant émis ladite requête ou un utilisateur dont l'utilisation dudit dispositif client a entraîné l'émission de ladite 15 requête a effectivement été préalablement enregistré, ledit référentiel de données étant peuplé grâce à des résultats d'authentifications effectuées par le serveur d'authentification externe et auquel ledit équipement fait appel lorsque ledit référentiel de données n'inclut pas de données permettant d'effectuer l'authentification requise. 20 9/ Equipement selon l'une quelconque des revendications 1 à 8, caractérisé en ce que l'unité de résolution de noms de domaine est adaptée pour, lorsque l'unité de résolution de noms de domaine fait appel aux serveurs de noms externes, demander en parallèle la résolution de nom de domaine auxdits serveurs de noms externes, et en ce 25 que la première réponse positive valide reçue est utilisée pour peupler (S307) ledit cache. 10/ Equipement selon l'une quelconque des revendications 1 à 9, caractérisé en ce que ledit équipement est adapté pour, suite auxdites premières opérations 30 d'authentification, déclarer le dispositif client ayant émis la requête de résolution de nom de domaine au sein du cache en y inscrivant l'adresse IP dudit dispositif client en association avec une autre représentation de ladite adresse IP sous une forme assimilable à un nom de domaine, 3041493 37 et en ce que l'équipement (110) est en outre adapté pour offrir des services de résolution inverse, et pour ce faire : - l'unité d'interface client (111) est adaptée pour recevoir (S401) des requêtes de résolution inverse en provenance desdits dispositifs clients et pour répondre (S409) 5 auxdites requêtes, chaque requête de résolution inverse incluant une adresse IP du dispositif client ayant émis ladite requête et une adresse IP à identifier ; - l'unité d'authentification (112) est adaptée pour effectuer (S404) des secondes opérations d'authentification vérifiant, pour chaque requête de résolution inverse, au moins grâce à l'adresse IP du dispositif client ayant émis ladite requête, si ledit 10 dispositif client ou un utilisateur dudit dispositif client a été préalablement enregistré auprès dudit équipement ou dudit serveur d'authentification externe ; - l'unité d'autorisation (113) est adaptée pour effectuer (S405) des secondes opérations d'autorisation vérifiant, pour chaque requête de résolution inverse authentifiée par l'unité d'authentification, si le dispositif client ayant émis ladite 15 requête ou l'utilisateur dudit dispositif client a effectivement droit d'accès aux ressources concernées par ladite résolution inverse ; et - l'unité de résolution de noms de domaine (114) est adaptée pour effectuer (S406) des opérations de résolution inverse grâce au cache (116), en vérifiant si l'adresse IP à identifier est contenue dans ledit cache et en faisant appel aux serveurs 20 de noms externes (124a, 124b), indépendamment desdits domaines de sécurité, lorsque ledit cache n'inclut pas de données permettant d'effectuer la résolution inverse requise. 11/ Equipement selon la revendication 1, caractérisé en ce que l'unité 25 d'interface client déclenche les opérations de résolution inverse en parallèle desdites secondes opérations d'authentification et d'autorisation. 12/ Equipement selon l'une quelconque des revendications 10 et 11, caractérisé en ce que l'unité de résolution de noms de domaine est adaptée pour, lorsque l'unité 30 de résolution de noms de domaine fait appel aux serveurs de noms externes, demander en parallèle la résolution inverse auxdits serveurs de noms externes, et en ce que la première réponse positive valide reçue est utilisée pour peupler (S407) ledit cache. 3041493 38\n<CLM>\1\tProcédé implémenté par un équipement (110) pour offrir des services de résolution de noms de domaine, ledit équipement étant connecté à un réseau de communication implémentant des domaines de sécurité, ledit équipement étant déclaré comme serveur de noms de domaine auprès de dispositifs clients (100) dans ledit 5 réseau de communication, ledit équipement recevant (S301) des requêtes de résolution de nom de domaine en provenance desdits dispositifs clients et répondant (S309) auxdites requêtes, chaque requête de résolution de nom de domaine incluant une adresse IP du dispositif client ayant émis ladite requête et un nom de domaine à résoudre ; 10 caractérisé en ce que ledit équipement effectue en outre les étapes suivantes : - effectuer (S304) des opérations d'authentification vérifiant, pour chaque requête de résolution de nom de domaine, au moins grâce à l'adresse IP du dispositif client ayant émis ladite requête, si ledit dispositif client ou un utilisateur dudit dispositif client a été préalablement enregistré auprès dudit équipement ou d'un 15 serveur d'authentification externe auquel ledit équipement est connecté ; - effectuer (S305) des opérations d'autorisation vérifiant, pour chaque requête de résolution d'un nom de domaine authentifiée par l'unité d'authentification, si le dispositif client ayant émis ladite requête ou l'utilisateur dudit dispositif client a effectivement droit d'accès aux ressources dudit nom de domaine ; 20 - effectuer (S306) des opérations de résolution de nom de domaine grâce à un cache (116) dans lequel ledit équipement stocke des associations d'adresses IP et de noms de domaine respectifs, ledit cache étant peuplé (S307) grâce à des résultats de résolutions de noms de domaine effectuées par des serveurs de noms externes (124a, 124b) auxquels ledit 25 équipement est connecté via des tunnels sécurisés respectifs et auxquels ledit équipement fait appel, indépendamment desdits domaines de sécurité, lorsque ledit cache n'inclut pas de données permettant d'effectuer la résolution de nom de domaine requise. 30\n<CLM>\1\tProduit programme d'ordinateur, caractérisé en ce qu'il comprend des instructions pour implémenter le procédé selon la revendication 13, lorsque ledit programme est exécuté par un processeur. 3041493 39\n<CLM>\1\tMoyens de stockage, caractérisé en ce qu'ils stockent un programme d'ordinateur comprenant des instructions pour implémenter le procédé selon la revendication 13, lorsque ledit programme est exécuté par un processeur.