FR 2946168 A1 20101203 FR 0953511 A 20090527 PROCEDE DE NAVIGATION SUR LE RESEAU INTERNET, SUPPORT D'ENREGISTREMENT, SERVEUR D'ACCES ET POSTE D'UTILISATEUR POUR LA MISE EN OEUVRE DE CE PROCEDE [000li L'invention concerne un procédé de navigation sur le réseau Internet. L'invention concerne également un serveur d'accès, un poste d'utilisateur et un support d'enregistrement d'informations pour la mise en oeuvre de ce procédé de navigation. [0002 Le déposant connaît un procédé de navigation sur le réseau Internet à l'aide : - d'un serveur d'accès connecté au réseau Internet et apte à exécuter en parallèle plusieurs instances d'un navigateur Internet dans des environnements d'exécution indépendants les uns des autres, et - d'un poste d'utilisateur équipé d'un logiciel de prise de contrôle à distance d'un navigateur Internet exécuté sur le serveur d'accès, le poste d'utilisateur étant raccordé à cet effet au serveur d'accès par l'intermédiaire d'un réseau de transmission d'informations. [0003 Ce procédé connu du déposant comporte le contrôle à distance, à partir du poste d'utilisateur, d'un premier navigateur Internet exécuté dans un premier environnement d'exécution sur le serveur d'accès pour que ce premier navigateur Internet se connecte à un site Internet identifié par son URL (Uniform Resource Locator). [0004] Le réseau Internet est également connu sous le terme de toile d'araignée mondiale ou l'expression anglaise � World Wide Web �. [0005] Un navigateur Internet est une application permettant à un utilisateur de naviguer sur le réseau Internet. Typiquement, ces navigateurs Internet sont capables de communiquer avec des serveurs Internet du réseau Internet en utilisant le protocole HTTP (HyperText Transfert Protocol) et à afficher des pages écrites dans un langage SGML (Standard Generalised Markup Language) tel que HTML (HyperText Markup Language). Pour cela, les navigateurs sont capables d'interpréter le langage HTML. De nos jours, les navigateurs Internet sont également capables d'exécuter ou d'interpréter des scripts contenus dans les pages HTML ou transmis par les serveurs Internet afin d'accomplir des opérations qui ne peuvent pas être codées uniquement en langage HTML. Dans la suite de cette description, le terme � exécuté � est utilisé pour désigner aussi bien l'exécution que l'interprétation d'un script. [0006] Les serveurs Internet sont des serveurs de contenu capables d'envoyer des 35 pages HTML et, éventuellement, des scripts vers les navigateurs Internet qui les interrogent en utilisant, notamment, le protocole HTTP. [000n Un logiciel de prise de contrôle à distance est un logiciel qui permet de piloter à distance l'exécution d'un navigateur Internet comme si l'utilisateur se trouvait face à l'écran de la machine sur laquelle est exécuté le navigateur Internet. Toutefois, grâce à ce logiciel, l'utilisateur peut en fait être physiquement très éloigné de cette machine. Pour cela, par exemple, un module client est installé sur le poste d'utilisateur et un module serveur est installé sur le serveur d'accès. [0008] Un environnement d'exécution ou contexte d'exécution désigne un état du serveur d'accès défini par des ressources informatiques uniquement allouées à l'exécution d'un programme d'ordinateur spécifique ainsi qu'un ensemble de valeurs de variables d'environnement auxquelles seul ce programme a accès. Les ressources informatiques sont par exemple du temps de processeur, des espaces de mémoire vive et virtuelle, et un espace de stockage de données sur le disque dur. Ainsi, les environnements d'exécution cloisonnent les ressources informatiques de telle sorte qu'un programme exécuté dans un environnement d'exécution ne peut pas agir sur les ressources allouées à un autre environnement d'exécution. Ainsi, un programme exécuté dans un environnement d'exécution ne peut pas communiquer avec un autre programme exécuté dans un autre environnement d'exécution sauf si cela a été explicitement prévu par les développeurs de ces deux programmes. [0009 Lorsqu'un logiciel de prise de contrôle à distance est utilisé pour contrôler le premier navigateur Internet distant, seules les images affichables à l'écran par ce premier navigateur Internet sont transmises du serveur d'accès au poste d'utilisateur. Ainsi, aucun script exécutable par un navigateur Internet n'est transmis au poste d'utilisateur. Au contraire, tous les scripts exécutables par un navigateur Internet sont uniquement exécutés sur le serveur d'application et plus précisément dans l'environnement d'exécution alloué au premier navigateur Internet. [oo10] Ces scripts sont les principaux vecteurs d'attaques malveillantes contre un navigateur Internet. Par exemple, un premier type d'attaques consiste à envoyer, à partir d'un site Internet malicieux, des scripts conçus pour voler des informations confidentielles enregistrées sur le poste d'utilisateur. Par exemple, les informations confidentielles peuvent être des mots de passe. [0011] Grâce au procédé de navigation ci-dessus, puisque l'exécution de tous les scripts est confinée sur le serveur d'application, l'accès aux informations confidentielles de l'utilisateur stockées sur le poste d'utilisateur n'est pas possible. Au pire, cette attaque permettra de voler des informations enregistrées sur le serveur d'accès mais dans tous les cas, la confidentialité des informations enregistrées sur le poste d'utilisateur est assurée. [0012] Ce procédé est donc très efficace pour lutter contre ce premier type d'attaque. Il permet également d'éviter d'avoir recours à un proxy anti-virus sur le flux d'informations issu du réseau Internet. Enfin, cela permet également de résoudre les problèmes de capacité qui se posent lorsque le poste d'utilisateur est un terminal au capacité bien plus réduite qu'un ordinateur de bureau tel qu'un téléphone mobile ou un PDA (Personal Digital Assistant). En effet, le navigateur Internet n'est pas exécuté sur le poste d'utilisateur. 3 [0013] Toutefois, il existe un second type d'attaque. Ce second type d'attaque consiste à envoyer un script à partir d'un site Internet malicieux qui envoie des commandes vers d'autres sites Internet auxquels le navigateur Internet est connecté en même temps. [0014 Ainsi, si l'utilisateur est connecté en même temps à ce site malicieux et, par exemple, au site Internet de sa banque, des commandes non souhaitées par l'utilisateur pourront être envoyées au site Internet de la banque. [oo15] L'invention vise à proposer un procédé de navigation sur le réseau Internet sécurisé vis-à-vis du second type d'attaque. [0016 Elle a donc pour objet un procédé de navigation sur le réseau Internet dans lequel : - si l'URL appartient à une liste préenregistrée d'URL de sites Internet sensibles auxquels il n'est pas permis de se connecter à partir du premier environnement d'exécution, alors la connexion à ce site Internet est uniquement autorisée par le contrôle à distance d'un second navigateur Internet exécuté dans un second environnement d'exécution sur le serveur d'accès pour que ce second navigateur Internet soit utilisé, à la place du premier navigateur Internet, pour se connecter au site Internet sensible identifié par cette URL, et - sinon la connexion au site Internet identifié par cette URL à l'aide du premier 20 navigateur Internet. [0017] Dans le procédé ci-dessus, si l'URL du site Internet demandé par l'utilisateur appartient à la liste des URL de sites Internet sensibles, alors l'accès à ce site sensible est bloqué à partir du premier environnement d'exécution. Dès lors, l'accès à ce site sensible est uniquement autorisé par le contrôle à distance du second navigateur 25 Internet exécuté dans un environnement d'exécution différent. Ainsi, si l'utilisateur est connecté à un site Internet malicieux par l'intermédiaire du premier navigateur Internet, alors une attaque du second type ne peut pas affecter le site Internet sensible. En effet, en aucun cas le premier navigateur Internet ne peut transmettre des commandes vers le second navigateur Internet puisqu'ils sont exécutés dans des environnements 30 d'exécution différents. Dès lors, bien que l'utilisateur soit simultanément connecté au site Internet malicieux et au site Internet sensible, le site Internet sensible est protégé contre les attaques du second type. [0018] Dans le procédé ci-dessus, le poste d'utilisateur est également protégé contre les attaques du premier type. 35 [0019 Les modes de réalisation de ce procédé peuvent comporter une ou plusieurs des caractéristiques suivantes : ^ si l'URL appartient à la liste préenregistrée d'URL de sites Internet sensibles, alors le contrôle à distance du premier navigateur Internet est automatiquement remplacé par le contrôle à distance du second navigateur Internet exécuté dans le second environnement d'exécution sur le serveur d'accès pour que ce second navigateur Internet, à la place du premier navigateur Internet, se connecte au site Internet identifié par cette URL ; ^ le serveur d'accès choisit automatiquement le navigateur Internet dont l'utilisateur prend le contrôle à distance à partir de son poste d'utilisateur en fonction du site Internet auquel l'utilisateur souhaite se connecter, parmi plusieurs navigateurs Internet possibles se différenciant les uns des autres soit par leurs configurations soit par leurs numéros de version soit par leurs éditeurs ; ^ en réponse à une commande d'impression d'une page HTML (HyperText Markup Language), le navigateur Internet exécuté sur le serveur d'accès enregistre la page HTML à imprimer dans un fichier imprimable dépourvu de script exécutable par un navigateur Internet, puis le procédé comprend le transfert du fichier imprimable vers le poste d'utilisateur et l'impression localement par le poste d'utilisateur du fichier imprimable ; ^ le procédé comprend : - en réponse à une commande de téléchargement d'un fichier à partir d'un site Internet auquel le navigateur Internet est connecté, le serveur d'accès enregistre le fichier téléchargé dans une mémoire tampon du serveur d'accès, - l'exécution d'un logiciel antivirus par le serveur d'accès pour s'assurer que le fichier enregistré dans la mémoire tampon est dépourvu de virus informatique ou autre programme malicieux, puis - le téléchargement du fichier enregistré dans la mémoire tampon vers le poste d'utilisateur ; ^ en réponse à une commande de téléchargement d'un fichier à partir d'un site Internet auquel le navigateur Internet est connecté, le procédé comprend : - le téléchargement par le navigateur Internet exécuté sur le serveur d'accès du fichier et l'enregistrement de ce fichier dans une mémoire tampon raccordée au serveur d'accès, - au cours du téléchargement, la réception par le serveur d'accès d'une commande de fin de contrôle à distance du navigateur Internet, et - en réponse à cette commande, l'arrêt immédiat du contrôle à distance et la poursuite de l'exécution du navigateur Internet, par le serveur d'accès, de manière à télécharger le fichier complet puis l'enregistrer dans la mémoire tampon ; ^ le serveur d'accès autorise et, en alternance, inhibe automatiquement une fonctionnalité du navigateur Internet en fonction du site Internet auquel l'utilisateur souhaite se connecter ; ^ la fonctionnalité autorisée et, en alternance, inhibée est le transfert d'un fichier imprimable ou le téléchargement d'un fichier enregistré dans la mémoire tampon. [0020] Ces modes de réalisation du procédé présentent en outre les avantages suivants : - le fait de remplacer automatiquement le contrôle à distance du premier navigateur Internet par le second navigateur Internet lorsque ceci est requis simplifie la mise en oeuvre du procédé puisque l'utilisateur n'a aucune opération supplémentaire à effectuer par rapport au cas où le même navigateur Internet serait utilisé pour se connecter aux différents sites Internet ; - le choix automatique par le serveur d'accès du navigateur Internet dont l'utilisateur doit prendre le contrôle à distance permet de résoudre, sans intervention de l'utilisateur, les problèmes de compatibilité entre les navigateurs Internet et les sites Internet auxquels l'utilisateur souhaite se connecter ; - l'enregistrement de la page à imprimer puis son transfert vers le poste d'utilisateur permet d'imprimer localement une page HTML sur le poste d'utilisateur tout en conservant un haut niveau de protection contre les attaques du premier et du second types ; - l'exécution du logiciel antivirus sur le serveur d'accès permet d'enregistrer sur le poste d'utilisateur, en toute sécurité, des fichiers téléchargés à partir d'un site Internet sans que ce poste d'utilisateur soit nécessairement équipé d'un logiciel antivirus ; - la poursuite de l'exécution du navigateur Internet sur le serveur d'accès permet de continuer le téléchargement d'un fichier même si l'utilisateur ne contrôle plus à distance le navigateur Internet; - l'autorisation et, en alternance, l'inhibition de fonctionnalités du navigateur Internet en fonction du site Internet auquel l'utilisateur souhaite se connecter permet de restreindre certaines fonctionnalités du navigateur Internet, non pas en fonction du navigateur Internet utilisé, mais en fonction du site Internet auquel l'utilisateur se connecte. [0021] L'invention a également pour objet un support d'enregistrement d'informations comportant des instructions pour l'exécution du procédé de navigation ci-dessus, lorsque ces instructions seront exécutées par un calculateur électronique. [0022] L'invention a également pour objet un serveur d'accès pour la mise en oeuvre du procédé de navigation ci-dessus, ce serveur étant apte à exécuter en parallèle plusieurs navigateurs Internet dans des environnements d'exécution indépendants les uns des autres de manière à ce qu'un poste d'utilisateur puisse prendre le contrôle à distance d'un premier navigateur Internet exécuté dans un premier environnement d'exécution sur le serveur d'accès pour que ce premier navigateur Internet se connecte à un site Internet identifié par son URL. Ce serveur d'accès est également apte : - si l'URL appartient à une liste préenregistrée d'URL de sites Internet sensibles auxquels il n'est pas permis de se connecter à partir de ce premier environnement d'exécution, à autoriser uniquement la connexion à ce site Internet par le contrôle à distance d'un second navigateur Internet exécuté dans un second environnement d'exécution sur le serveur d'accès pour que ce second navigateur Internet soit utilisé à la place du premier navigateur Internet pour se connecter au site Internet sensible identifié par cette URL, et - sinon à se connecter au site Internet identifié par cette URL à l'aide du premier navigateur Internet. [0023] Enfin, l'invention a également pour objet un poste d'utilisateur pour la mise en oeuvre du procédé de navigation ci-dessus, ce poste d'utilisateur étant équipé d'un logiciel de prise de contrôle à distance d'un navigateur Internet exécuté sur le serveur d'accès ci-dessus, lorsque le poste d'utilisateur est raccordé à cet effet au serveur d'accès par l'intermédiaire d'un réseau de transmission d'informations. [0024] L'invention sera mieux comprise à la lecture de la description qui va suivre, donnée uniquement à titre d'exemple non limitatif et faite en se référant aux dessins sur lesquels : - la figure 1 est une illustration schématique d'un système de navigation sur le réseau Internet ; - la figure 2 est une illustration schématique d'une table de configuration de sessions Internet ; - les figures 3 et 4 sont des illustrations schématiques de listes d'URL sensibles utilisées dans le système de la figure 1 ; - la figure 5 est une illustration schématique d'une liste de paramètres de configuration 20 d'un navigateur Internet utilisée dans le système de la figure 1 ; et - la figure 6 est un organigramme d'un procédé de navigation sur le réseau Internet à l'aide du système de la figure 1. [0025] La figure 1 représente un système 2 de navigation sur le réseau Internet 4. [0026] Le réseau 4 est formé d'une multitude de serveurs Internet connectés les uns 25 aux autres par l'intermédiaire d'un ensemble 6 de réseaux grandes distances de transmission d'informations. Cet ensemble 6 incorpore notamment de nombreux routeurs de manière à pouvoir router les informations délivrées par un serveur vers tout terminal connecté à l'un des réseaux de l'ensemble 6. A titre d'illustration, seuls deux serveurs Internet 8 et 10 ont été représentés. Le serveur 8 est un serveur Internet 30 sensible. Par sensible, on désigne dans ce mode de réalisation un serveur qui doit être protégé contre les attaques du second type. Par exemple, le serveur Internet 8 est un serveur Internet permettant de gérer des comptes bancaires en ligne. [0027] A l'inverse, le serveur 10 est un serveur Internet � malicieux �. Par malicieux, dans ce mode de réalisation, on désigne un serveur hébergeant des applications 35 conçues pour réaliser des attaques du premier ou second type contre les navigateurs Internet. [0028] Le système 2 comprend : - un serveur 20 d'accès au réseau Internet 4 ; - plusieurs postes d'utilisateur connectés au serveur 20 par l'intermédiaire d'un réseau 40 local 22 ; et - un poste 24 de configuration du serveur 20 par l'intermédiaire du réseau 22. [0029] Pour simplifier l'illustration, seuls deux postes d'utilisateur 26 et 28 ont été représentés. Par exemple, les postes 26 et 28 sont identiques et seul le poste 26 sera décrit en détail. [0030] Le serveur 20 est connecté au réseau Internet 4 par l'intermédiaire d'une liaison 30 de transmission d'informations. Il est apte à exécuter simultanément plusieurs navigateurs Internet dans des environnements d'exécution distincts. Par exemple, sur la figure 1, trois environnements d'exécution distincts 32, 33 et 34 sont schématiquement représentés par des rectangles en pointillés. Les navigateurs Internet exécutés dans chacun de ces environnements 32 à 34 sont représentés par des carrés 36, 37 et 38 en traits pleins. [0031] Le serveur 20 comprend également un module serveur 40 d'un logiciel de prise de contrôle à distance des navigateurs Internet exécutés sur le serveur 20. Par exemple, la prise de contrôle à distance des navigateurs Internet exécutés sur le serveur 20 se fait à l'aide du protocole NX distribué notamment par la société italienne NOMACHINE (www.nomachine.com). [0032] Le serveur 20 comprend également un logiciel 42 antivirus. Le serveur 20 est raccordé à une mémoire 44 contenant les instructions et informations nécessaires à l'exécution du procédé de la figure 6. En particulier, la mémoire 44 comprend une mémoire tampon 46 et des fichiers 48 de configuration des différentes sessions Internet possibles. [0033] Chaque poste d'utilisateur comprend un calculateur électronique 50 exécutant un module client 52 du logiciel de prise de contrôle à distance. Par exemple, le calculateur 50 est celui d'une unité centrale d'un ordinateur de bureau. Chaque poste d'utilisateur comprend également une interface homme-machine 54 permettant : - d'afficher les images générées par le navigateur Internet contrôlé à distance, et - d'envoyer des instructions de navigation au navigateur contrôlé à distance. [0034] Par exemple l'interface 54 est formée d'un écran 58, d'un clavier 60 et d'une souris informatique 62. [0035] Le calculateur 50 est également raccordé à une mémoire 64 comportant les instructions nécessaires à l'exécution du procédé de la figure 6. La mémoire 64 permet également, par exemple, de stocker des fichiers téléchargés. [0036] Le module 52 coopère avec le module 40 par l'intermédiaire du réseau 22 de manière à ce que l'utilisateur du poste 26 puisse contrôler l'utilisation du navigateur Internet exécuté sur le serveur 20 comme si ce navigateur Internet était exécuté localement par le calculateur 50. Les navigateurs Internet contrôlés à distance sont les mêmes que ceux qui pourraient être directement exécutés sur les postes d'utilisateur sans l'aide des modules 40 et 52. [0037] La figure 2 représente sous la forme d'une table 70 une liste de sessions 40 Internet configurées sur le serveur 20. Une session Internet est un ensemble d'informations utilisé par le serveur 20 pour configurer et gérer l'utilisation d'un navigateur Internet dans un environnement d'exécution qui lui est dédié. Cette table 70 fait par exemple partie des fichiers 48 de configuration. Ici, la première colonne de cette table liste des identifiants Si de différentes sessions Internet que peut lancer l'utilisateur du poste 26. La seconde colonne de la table 70 associe à chacun des identifiants Si une liste Lit préenregistrée d'URL de sites Internet sensibles qui doivent être protégés contre les attaques du second type. La troisième colonne contient pour chaque session Si une seconde liste Li2 d'URL de sites Internet autorisés et, éventuellement, accessible à partir d'autres sessions. Enfin, la quatrième colonne contient pour chaque sessions Si une liste Ci de paramètres de configuration du navigateur Internet. Parmi les quatre sessions Si à S4 représentées ici, les sessions Si à S3 sont des sessions sécurisées car elles sont associées chacune à une liste Lit non vide. Seule la session S4 est une session non sécurisée. Cette session non sécurisée permet de se connecter à tous les sites Internet sauf les sites Internet sensibles. En particulier, la session S4 permet à l'utilisateur de se connecter éventuellement à des sites Internet malicieux tels que ceux hébergés par le serveur 10. A cet effet, les listes L41 et L42 sont inexistantes et représentées par le symbole O. [0038] La figure 3 représente un exemple de liste L11. Dans cet exemple, la liste L11 comprend au moins trois URL notées respectivement URLa, URLb, URLc. Ces URL correspondent à des URL de sites Internet sensibles qui doivent être protégés contre les attaques du second type. Ces URL sont uniquement accessibles à partir de la session Si. [0039] La figure 4 représente un exemple de liste L12 contenant à titre d'illustration trois URL, URLX, URLy et URLZ. Les URL contenues dans cette liste L12 sont des URL accessibles au cours de la session Si mais également au cours d'autres sessions Internet. [0040] La figure 5 représente un exemple possible de liste C1 de paramètres de configuration. Par exemple, la liste C1 comporte les champs suivants : - un champ Ed identifiant l'éditeur du navigateur Internet à utiliser parmi plusieurs 30 navigateurs Internet possibles comprenant notamment Internet Explorer, Firefox, Mozilla, ... ; - un champ Vers contenant le numéro de version du navigateur Internet à utiliser ; - un champ Conf définissant la configuration du navigateur Internet à utiliser telle que par exemple les modules d'extension supplémentaires à exécuter en même temps que 35 le navigateur Internet (les modules d'extension supplémentaires sont plus connus sous le terme anglais de � plug-in �) ; - un champ T contenant une autorisation ou, au contraire, une interdiction de télécharger des fichiers à partir du réseau Internet ; - un champ TP contenant une autorisation ou, au contraire, une interdiction de 40 poursuivre le téléchargement d'un fichier après la fin du contrôle à distance ; - un champ P contenant une autorisation ou, au contraire, une interdiction d'imprimer des fichiers téléchargés à partir du réseau Internet ; et - un champ SA indiquant si la session SI associée à la liste CI est une session anonyme ou non. [0041] On qualifie ici de � session anonyme � une connexion au réseau Internet à partir d'un navigateur Internet à la fin de laquelle l'historique de navigation est effacé ainsi que toute trace de navigation sur le réseau Internet telle que les cookies ou autres. [0042] Le fonctionnement du système 2 va maintenant être décrit plus en détail en 10 regard du procédé de la figure 6. [0043] Initialement, lors d'une étape 80, un administrateur du système 2 se connecte au serveur 20 par l'intermédiaire du poste 24 et du réseau 22. L'administrateur utilise cette connexion pour définir la table 70 ainsi que les différentes listes Lm, Li2 et C. Après avoir défini les différentes sessions Internet possibles au travers du serveur 20, 15 l'administrateur enregistre ces sessions dans les fichiers 48. [0044] Une fois le serveur 20 configuré, il est utilisé pour naviguer sur le réseau Internet 4 à partir du poste 26 en toute sécurité. En particulier, lors d'une étape 82, lorsqu'un utilisateur souhaite se connecter au réseau Internet 4 il lance l'exécution du module 52 sur son poste d'utilisateur. Le module 52 se connecte alors au module 40 et 20 télécharge automatiquement la liste des sessions Internet définies dans la table 70. Cette liste est présentée à l'utilisateur par l'intermédiaire de l'interface homme-machine 54 [0045] Lors d'une étape 84, le module 52 acquiert l'identifiant Si de la session sélectionnée par l'utilisateur du poste 26 et transmet cet identifiant au module 40. 25 [0046] En réponse, lors d'une étape 86, le serveur 20 crée un environnement d'exécution et lance l'exécution dans cet environnement du navigateur Internet identifié et configuré comme indiqué dans la liste C; associée à l'identifiant Si acquis lors de l'étape 84. Ainsi, un site sensible tel qu'un site Internet permettant de gérer des comptes bancaires d'un utilisateur ne sera accessible que par l'intermédiaire d'un 30 navigateur Internet dont la configuration, définie dans la liste C;, est appropriée à cette utilisation. On évite donc les problèmes de compatibilité entre les navigateurs Internet et les sites Internet consultés. [0047] Dans la suite de cette description, on suppose que lors de l'étape 86, le serveur 20 a créé l'environnement d'exécution 32 et a lancé l'exécution du navigateur 35 Internet 36. [0048] Lors d'une étape 88, le module 52 prend le contrôle à distance du navigateur 36. A partir de ce moment, les images affichées par le navigateur Internet 36 sont transmises par le module 40 au module 52 par l'intermédiaire du réseau 22. Le module 52 les présente à l'utilisateur par l'intermédiaire de l'interface homme-machine 54. Les 40 fichiers transmis du module 40 vers le module 52 codent uniquement une image à afficher sur l'interface 54. En particulier, ces fichiers sont dépourvus de script exécutable par un navigateur Internet. Ainsi, le poste d'utilisateur 26 est protégé contre toute attaque du premier type. [0049] Si lors de l'étape 84, l'identifiant Si acquis correspond à une session Internet non sécurisée telle que par exemple la session S4, alors on procède à une phase 90 de navigation non sécurisée sur le réseau Internet 4. Lors de la phase 90, l'utilisateur peut naviguer sur tous les sites Internet accessibles sur le réseau Internet 4 à l'exception de ceux correspondant aux URL listées dans les listes Lm. Pour cela, lors d'une étape 92, à chaque fois que l'utilisateur tape une nouvelle URL ou qu'il est redirigé vers une nouvelle URL suite, par exemple, à la sélection d'un lien Internet, cette nouvelle URL est comparée aux URL contenues dans toutes les listes Lm. Si la nouvelle URL n'appartient à aucune des listes Lm, alors la connexion à ce site Internet est autorisée. Dès lors, lors d'une étape 94, le navigateur Internet 36 se connecte au site Internet correspondant à cette nouvelle URL et télécharge à partir de ce site Internet les pages HTML demandées. [0050] Dans le cas contraire, lors d'une étape 96, la connexion au site Internet correspondant à cette nouvelle URL n'est pas autorisée. Dès lors, la connexion à ce site Internet n'est pas établie. Ceci empêche donc l'utilisateur de se connecter à un site Internet sensible lors d'une session Internet non sécurisée. Ainsi, une connexion simultanée à un site Internet malicieux et à un site Internet sensible à partir d'un navigateur Internet exécuté dans le même environnement d'exécution est automatiquement rendue impossible. [0051] Si la nouvelle URL appartient à l'une des listes Li2, alors la connexion au site Internet correspondant est autorisée. On procède alors à l'étape 94. [0052] En parallèle, si l'utilisateur commande l'impression d'une page téléchargée par le navigateur 36, alors le serveur 20 vérifie, lors d'une étape 98, si le champ P de la liste C4 autorise l'impression ou non à partir du réseau Internet. Lors d'une étape 100, si l'impression n'est pas autorisée, alors l'impression est bloquée. A l'inverse, si l'impression est autorisée, lors d'une étape 102, la page à imprimer est enregistrée dans la mémoire tampon 46 dans un format ne contenant aucun script exécutable par un navigateur Internet. Par exemple, le format utilisé est le format PDF (Portable Document Format). Ensuite, lors de l'étape 102, le fichier enregistré au format PDF est téléchargé vers le poste d'utilisateur 26 de manière à ce qu'il puisse être imprimé localement par le poste 26. [0053] Egalement en parallèle, si l'utilisateur contrôle le navigateur 36 pour télécharger un fichier, alors le serveur 20, lors d'une étape 104, vérifie si le téléchargement de fichier est autorisé ou non. Pour cela, il consulte la valeur du champ T de la liste C4. Si le téléchargement n'est pas autorisé, alors lors d'une étape 106, le téléchargement du fichier est bloqué. [0054] Si au contraire, le téléchargement de fichiers est autorisé, alors lors d'une étape 108, le navigateur 36 télécharge le fichier et l'enregistre dans la mémoire tampon 46. Ensuite, lors de l'étape 108, une fois le téléchargement terminé, le logiciel 42 est automatiquement exécuté pour vérifier que le fichier enregistré dans la mémoire 46 est dépourvu de virus ou de logiciel malveillant. Eventuellement, le logiciel 42 élimine les virus ou logiciels malveillants détectés. [0055] Le module 52 permet à l'utilisateur du poste 26 de consulter la liste des fichiers téléchargés et enregistrés dans la mémoire tampon 46. En réponse à la sélection par l'utilisateur d'un des fichiers de cette liste, celui-ci est téléchargé de la mémoire tampon 46 vers la mémoire 64 du poste 26. Ainsi, le poste 26 n'a pas besoin d'être équipé lui-même d'un logiciel antivirus pour pouvoir télécharger en toute sécurité des fichiers à partir du réseau Internet. [0056] Si lors de l'étape 84, l'identifiant de session acquis correspond à une session Internet sécurisée, alors à l'issue de l'étape 88, on procède à une phase 110 de navigation dans un environnement d'exécution sécurisé. Cette phase 110 est identique à la phase 90 à l'exception que les étapes 92, 94 et 96 sont remplacées par des étapes 112, 114 et 116. [0057] Lors de l'étape 112, à chaque fois que l'utilisateur tape une nouvelle URL ou qu'il est redirigé vers une nouvelle URL, la nouvelle URL est comparée aux listes Lis et Lie associées à la session Internet sécurisée Si sélectionnée. Si la nouvelle URL appartient à l'une de ces listes Lis ou Li2, alors, la connexion à ce site Internet à partir de cet environnement d'exécution est autorisée. Dès lors, lors de l'étape 114, le navigateur Internet 36 se connecte au site Internet sensible et télécharge les données à afficher à partir de ce site. [0058] Si la nouvelle URL n'appartient pas ni à la liste Lis ni à la liste Li2, alors la connexion au site Internet correspondant n'est pas autorisée. Cette nouvelle URL est bloquée et le navigateur Internet ne se connecte pas à ce site Internet. Ainsi, on rend automatiquement impossible l'accès à un site Internet malicieux tel que ceux hébergés par le serveur 10 dans le même environnement d'exécution que celui utilisé pour accéder à des sites Internet sensibles tels que ceux hébergés par le serveur 8. Dès lors, les attaques du second type sont empêchées. [0059] Après les phases 90 ou 110, l'utilisateur peut lancer en parallèle une nouvelle session Internet et retourne pour cela à l'étape 84. [0060] Il peut également décider de mettre fin à une session. Lorsqu'une commande de fin de session est reçue, lors d'une étape 120, les modules 40 et 52 mettent immédiatement fin au contrôle à distance du navigateur Internet exécuté lors de cette session. Dès lors, les images du site Internet ne sont plus affichées sur l'écran 58. Ensuite, le serveur 20 ferme immédiatement la connexion au site Internet consulté lors de cette session Internet sauf si un téléchargement est en cours et que le champ TP autorise la poursuite du téléchargement du fichier après la fin du contrôle à distance. Dans ce dernier cas, l'exécution du navigateur Internet continue jusqu'à ce que la totalité du fichier soit téléchargée dans la mémoire tampon 46. Ainsi, bien que l'utilisateur ait l'impression qu'il est déconnecté du site Internet, le téléchargement se poursuit. Le serveur 20 vérifie également s'il s'agit d'une session anonyme en consultant le champ SA associé à cette session Internet. Dans l'affirmative, le serveur Internet efface l'historique de navigation ainsi que toutes les informations téléchargées à partir du réseau Internet destinées à être réutilisées lors de la prochaine connexion au même site. [0061] Enfin, après que le téléchargement du fichier complet, ou immédiatement si le champ TP n'autorise pas la poursuite du téléchargement, l'exécution du navigateur Internet est arrêtée et l'environnement d'exécution dans lequel était exécuté ce navigateur Internet est détruit. En détruisant l'environnement d'exécution, les éventuels virus ou autres logiciels malicieux téléchargés sont également détruits. [0062] Le procédé décrit ici oblige l'utilisateur à cloisonner les sessions Internet sécurisées des sessions Internet non sécurisées. Ce cloisonnement est réalisé à l'aide de navigateurs Internet exécutés dans des environnements d'exécution différents. Dès lors, même si simultanément l'utilisateur se connecte à un site Internet malicieux et en parallèle à un site Internet sensible, le site Internet malicieux ne peut pas affecter le fonctionnement du site Internet sensible puisque les navigateurs Internet utilisés pour se connecter à ces deux sites sont exécutés dans des environnements d'exécution indépendants l'un de l'autre. [0063] De nombreux autres modes de réalisation sont possibles. Par exemple, le serveur d'accès à Internet peut être composé de plusieurs machines raccordées les unes aux autres pour fournir les mêmes services que le serveur d'accès 20. [0064] Le module client 52 peut être enregistré sur un support d'enregistrement amovible connectable au poste d'utilisateur 26. Par exemple, le support d'enregistrement amovible est une clé USB (Universel Serial Bus). [0065] En variante, les postes d'utilisateur sont connectés au serveur 20 par un réseau grande distance et typiquement par un réseau public grande distance de transmission d'informations. Par exemple, dans ce dernier cas, le serveur 20 peut être hébergé par un fournisseur d'accès à Internet. [0066] Pour la prise de contrôle à distance, d'autres protocoles que le protocole NX peuvent être utilisés. Par exemple, le protocole RDP (Remote Desktop Protocol) de Microsoft� ou ICA (Independent Computing Architecture) de Citrix� peut être utilisé en lieu et place du protocole NX. [0067] En variante, plutôt que bloquer une URL à laquelle il n'est pas possible de se connecter à l'aide du navigateur Internet exécuté dans l'environnement d'exécution actuel, le serveur 20 lance automatiquement l'exécution d'un autre navigateur Internet dans un autre environnement d'exécution à partir duquel la connexion à cette URL est possible et le contrôle à distance du second navigateur Internet remplace automatiquement le contrôle à distance du premier navigateur Internet. [0068] Lorsque plusieurs sessions Internet sont simultanément exécutées, celles-ci sont affichées dans des fenêtres distinctes sur l'écran 58 ou au contraire dans une seule et même fenêtre. Dans ce dernier cas, les différentes sessions Internet exécutées simultanément sont affichées, par exemple, dans différents onglets d'une même fenêtre. REVENDICATIONS1. Procédé de navigation sur le réseau Internet à l'aide : - d'un serveur d'accès connecté au réseau Internet et apte à exécuter en parallèle plusieurs instances d'un navigateur Internet dans des environnements d'exécution indépendants les uns des autres, et - d'un poste d'utilisateur équipé d'un logiciel de prise de contrôle à distance d'un navigateur Internet exécuté sur le serveur d'accès, le poste d'utilisateur étant raccordé à cet effet au serveur d'accès par l'intermédiaire d'un réseau de transmission d'informations, ce procédé comportant le contrôle à distance (88), à partir du poste d'utilisateur, d'un premier navigateur Internet exécuté dans un premier environnement d'exécution sur le serveur d'accès pour que ce premier navigateur Internet se connecte à un site Internet identifié par son URL (Uniform Resource Locator), caractérisé en ce que : - si l'URL appartient à une liste préenregistrée d'URL de sites Internet sensibles auxquels il n'est pas permis de se connecter à partir du premier environnement d'exécution, alors la connexion à ce site Internet est uniquement autorisée (96, 114) par le contrôle à distance d'un second navigateur Internet exécuté dans un second environnement d'exécution sur le serveur d'accès pour que ce second navigateur Internet soit utilisé, à la place du premier navigateur Internet, pour se connecter au site Internet sensible identifié par cette URL, et - sinon la connexion (94) au site Internet identifié par cette URL à l'aide du premier navigateur Internet. 2. Procédé selon la revendication 1, dans lequel si l'URL appartient à la liste préenregistrée d'URL de sites Internet sensibles, alors le contrôle à distance du premier navigateur Internet est automatiquement remplacé par le contrôle à distance du second navigateur Internet exécuté dans le second environnement d'exécution sur le serveur d'accès pour que ce second navigateur Internet, à la place du premier navigateur Internet, se connecte au site Internet identifié par cette URL. 3. Procédé selon l'une quelconque des revendications précédentes, dans lequel le serveur d'accès choisit (86) automatiquement le navigateur Internet dont l'utilisateur prend le contrôle à distance à partir de son poste d'utilisateur en fonction du site Internet auquel l'utilisateur souhaite se connecter, parmi plusieurs navigateurs Internet possibles se différenciant les uns des autres soit par leurs configurations soit par leurs numéros de version soit par leurs éditeurs. 4. Procédé selon l'une quelconque des revendications précédentes, dans lequel : - en réponse à une commande d'impression d'une page HTML (HyperText Markup Language), le navigateur Internet exécuté sur le serveur d'accès enregistre (102) la page HTML à imprimer dans un fichier imprimable dépourvu de script exécutable par un navigateur Internet, puis - le procédé comprend le transfert (102) du fichier imprimable vers le poste d'utilisateur et l'impression localement par le poste d'utilisateur du fichier imprimable. 5. Procédé selon l'une quelconque des revendications précédentes, dans lequel le procédé comprend : - en réponse à une commande de téléchargement d'un fichier à partir d'un site Internet auquel le navigateur Internet est connecté, le serveur d'accès enregistre (108) le fichier téléchargé dans une mémoire tampon du serveur d'accès, - l'exécution (108) d'un logiciel antivirus par le serveur d'accès pour s'assurer que le fichier enregistré dans la mémoire tampon est dépourvu de virus informatique ou autre programme malicieux, puis - le téléchargement du fichier enregistré dans la mémoire tampon vers le poste d'utilisateur. 6. Procédé selon l'une quelconque des revendications précédentes, dans lequel en réponse à une commande de téléchargement d'un fichier à partir d'un site Internet auquel le navigateur Internet est connecté, le procédé comprend : - le téléchargement (108) par le navigateur Internet exécuté sur le serveur d'accès du fichier et l'enregistrement de ce fichier dans une mémoire tampon raccordée au serveur d'accès, - au cours du téléchargement, la réception (120) par le serveur d'accès d'une commande de fin de contrôle à distance du navigateur Internet, et - en réponse à cette commande, l'arrêt immédiat (120) du contrôle à distance et la poursuite de l'exécution du navigateur Internet, par le serveur d'accès, de manière à télécharger le fichier complet puis l'enregistrer dans la mémoire tampon. 7. Procédé selon l'une quelconque des revendications précédentes, dans lequel le serveur d'accès autorise et, en alternance, inhibe (98, 104) automatiquement une fonctionnalité du navigateur Internet en fonction du site Internet auquel l'utilisateur souhaite se connecter. 8. Procédé selon la revendication 7, dans lequel la fonctionnalité autorisée et, en alternance, inhibée est le transfert d'un fichier imprimable ou le téléchargement d'un fichier enregistré dans la mémoire tampon. 9. Support d'enregistrement d'informations, caractérisé en ce qu'il comporte des instructions pour l'exécution d'un procédé conforme à l'une quelconque des revendications précédentes, lorsque ces instructions sont exécutées par un calculateur électronique. 10.Serveur d'accès (20) pour la mise en oeuvre d'un procédé de navigation conforme à l'une quelconque des revendications 1 à 8, ce serveur étant apte à exécuter en parallèle plusieurs navigateurs Internet (36 à 38) dans des environnements d'exécution (32 à 34) indépendants les uns des autres de manière à ce qu'un poste d'utilisateur puisse prendre le contrôle à distance d'un premier navigateur Internet exécuté dans un premier environnement d'exécution sur le serveur d'accès pour que ce premier navigateur Internet se connecte à un site Internet identifié par son URL, caractérisé en ce que le serveur d'accès est apte : - si l'URL appartient à une liste préenregistrée d'URL de sites Internet sensibles auxquels il n'est pas permis de se connecter à partir de ce premier environnement d'exécution, à autoriser uniquement la connexion à ce site Internet par le contrôle à distance d'un second navigateur Internet exécuté dans un second environnement d'exécution sur le serveur d'accès pour que ce second navigateur Internet soit utilisé à la place du premier navigateur Internet pour se connecter au site Internet sensible identifié par cette URL, et - sinon à se connecter au site Internet identifié par cette URL à l'aide du premier navigateur Internet. 11. Poste d'utilisateur (26, 28) pour la mise en oeuvre d'un procédé de navigation sur le réseau Internet conforme à l'une quelconque des revendications 1 à 8, ce poste d'utilisateur étant équipé d'un logiciel (52) de prise de contrôle à distance d'un navigateur Internet exécuté sur un serveur d'accès conforme à la revendication 10, lorsque le poste d'utilisateur est raccordé à cet effet au serveur d'accès par l'intermédiaire d'un réseau de transmission d'informations.