EP2150913A2 - Dispositif électronique de sécurité pour la surveillance d'équipements informatiques, ensembles et procédés associés - Google Patents

Dispositif électronique de sécurité pour la surveillance d'équipements informatiques, ensembles et procédés associés

Info

Publication number
EP2150913A2
EP2150913A2 EP08760029A EP08760029A EP2150913A2 EP 2150913 A2 EP2150913 A2 EP 2150913A2 EP 08760029 A EP08760029 A EP 08760029A EP 08760029 A EP08760029 A EP 08760029A EP 2150913 A2 EP2150913 A2 EP 2150913A2
Authority
EP
European Patent Office
Prior art keywords
cable
network
computer equipment
equipment
circuit
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Ceased
Application number
EP08760029A
Other languages
German (de)
English (en)
Inventor
Frédéric Alexandre Glaubert
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Individual
Original Assignee
Individual
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Individual filed Critical Individual
Publication of EP2150913A2 publication Critical patent/EP2150913A2/fr
Ceased legal-status Critical Current

Links

Classifications

    • G—PHYSICS
    • G08—SIGNALLING
    • G08B—SIGNALLING OR CALLING SYSTEMS; ORDER TELEGRAPHS; ALARM SYSTEMS
    • G08B13/00—Burglar, theft or intruder alarms
    • G08B13/02—Mechanical actuation
    • G08B13/14—Mechanical actuation by lifting or attempted removal of hand-portable articles
    • G08B13/1409—Mechanical actuation by lifting or attempted removal of hand-portable articles for removal detection of electrical appliances by detecting their physical disconnection from an electrical system, e.g. using a switch incorporated in the plug connector
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/70—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer
    • G06F21/82—Protecting input, output or interconnection devices
    • G06F21/85—Protecting input, output or interconnection devices interconnection devices, e.g. bus-connected or in-line devices
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/70—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer
    • G06F21/88—Detecting or preventing theft or loss
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/02—Details
    • H04L12/10—Current supply arrangements
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/06—Management of faults, events, alarms or notifications
    • H04L41/0681—Configuration of triggering conditions
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/08—Monitoring or testing based on specific metrics, e.g. QoS, energy consumption or environmental parameters
    • H04L43/0805—Monitoring or testing based on specific metrics, e.g. QoS, energy consumption or environmental parameters by checking availability
    • H04L43/0811—Monitoring or testing based on specific metrics, e.g. QoS, energy consumption or environmental parameters by checking availability by checking connectivity

Definitions

  • Electronic security device for monitoring computer equipment, assemblies and associated methods
  • the present invention relates to an electronic security device for the surveillance and protection against theft of all types of computer equipment, and in particular, portable and fixed computers connected to the sockets of a local computer network or otherwise.
  • the protection of computer and microcomputer systems and other peripherals can be traditionally performed by different types of protections, including:
  • the local audible alarm especially for laptops and other peripherals that can be moved, this audible alarm is usually in the form of a small box with a combination lock. The alarm attaches to the carrying case, see the laptop itself.
  • this tattoo is typically made of a plate, usually made of metal or composite plastic material. This plate is glued most often well in evidence on the material to be protected. A unique number, paired with a bar code, is engraved with a laser. The identification numbers as well as the coordinates of the owner of the material, are centralized in a database, thus dissuading the thieves as for the resale of the material thus marked.
  • the so-called electronic type marking which consists, on the one hand, of sticking an active electronic identifier that is not removable on the material to be protected, and, on the other hand, to equip with detection beacons all the perimeter outputs of the building where the equipment is located .
  • any identifier detected in an area monitored by beacons will automatically trigger an alarm in a central supervisory position.
  • - Tracking or tracking in French which is based on its imperceptibility and therefore, on total discretion.
  • This method uses a program installed on the equipment to be protected in order to play the role of cookie. So in case of theft of equipment, just alert the monitoring base, which will then locate the material stolen through the snitch, at the same time or the thief, or the recessor, will connect the equipment to the Internet .
  • devices such as that described in patent FR-A-2770013, which is based on the addition of a dedicated housing on the equipment to be monitored. To do this, it uses a pair of unused drivers in the lOBaseT or the OOBaseT standard networks to connect it to its management box.
  • each computer or equipment must be equipped with a key lock or padlock, to be attached and therefore protected.
  • This system therefore lacks flexibility for nomadic (portable) stations, and also requires key management of the locks; as well as an impossibility to set hourly fees for movement authorizations.
  • an anti-theft device with a cable strongly impairs the aesthetics of protected equipment, or even their use.
  • the object of the invention is to provide a continuous and real-time monitoring of the equipment (laptops or fixed computers, but also, all types of equipment located near a local network socket), on or off, directly connected to the sockets of a local computer network or other types of networks, and advantageously also to detect any anomaly at the source of the event itself.
  • the invention thus aims to efficiently exploit the existing cabling of the computer network, to control the presence or absence of equipment, by grouping the entire monitoring device in a set of housings, located in the bay or the local of computer brewing.
  • Non-network equipment may also be monitored and protected by the present invention; but will require for this, the addition of a specific passive network cable, provided with a magnetic protection contact or other devices providing the same function.
  • the monitoring principle of the present invention does not rely on a pair of unused wires of the network cabling. It is therefore perfectly suited to all types of networks, the OBaseT, the OOBaseT and Gigabit Ethernet.
  • the electronic security device for monitoring computer equipment (each device being connected to a computer network by a plug and a cable at a network interface) is arranged between a network device. wired and the network interface of the computer equipment, and includes at each cable connection between the device of wired network management and equipment to monitor:
  • a detection circuit capable of detecting on said cable, without disturbance, the presence of electrical energy coming from the equipment and revealing a normal network activity
  • an isolation circuit capable of being activated in the presence of lack of such detection by the detection circuit, to isolate the cable in question from said cable network
  • an evaluation circuit capable of being activated after the isolation by the isolation circuit, for applying to the cable a signal having a predetermined waveform, for detecting the reflected wave and for determining from the wave reflected an abnormal condition in the circuit constituted by the cable and the network interface of the equipment.
  • the invention comprises at least one of the following characteristics: at least one of the evaluation circuit, the isolation circuit and the detection circuit is situated upstream of an isolation transformer in order to generate no electrical disturbance in the cable, the device comprises a circuit able to detect the signals flowing on the cable and to determine from the signals detected at least one of the following information: the MAC address of the interface the network interface IP address, an identifier corresponding to the user of the computer equipment, as well as the physical port of the device to which the computer equipment is connected, the device comprises a communication interface with a computer interface. physical access control system of a building, in order to determine the geographical position of a user,
  • the invention also relates to a security assembly for monitoring computer equipment, comprising an electronic security device according to the invention characterized in that it further comprises a communication interface at the computer equipment, able to communicate with the device through the wired network.
  • the invention comprises at least one of the following characteristics: the communication interface is able to request a disconnection authorization of the computer equipment and / or a logon authorization for a user on the computer equipment, the assembly further comprises a warning module, placed between the device and a computer equipment, comprising a sound and / or visual device, controlled by the security device through the network cable, the security device is able to generate a random code from at least one of the following data: MAC, IP address, physical port of the device to which the computer equipment is connected, an identifier of the user of the equipment and dynamic data, said code then being shared with the communication interface of the computer equipment, the communication interface is capable of automatically locking the computer equipment and / or forcing the extinction of the computer equipment
  • the invention also relates to a method for monitoring computer equipment, with
  • the invention comprises at least one of the following features: the method further comprises the following steps: detecting the signals on the cable and determining from the detected signals at least one of the following information: MAC address , IP address, identifier of the user of the computer equipment, physical port of the device to which the computer equipment is connected and the user's geographical position, o determine from the information (s) above whether the equipment is authorized to connect to the network and / or if the user is authorized to use said computer equipment, o according to the result of the preceding step, allow or limit the network connection of the computer equipment and / or a login for the user, - the method further comprises the steps of: o creating a random code from at least one of the following information: user identifier, IP address, MAC address, physical port number, dynamic data, o share the random code with the communication interface of the computer equipment, with the aim of subsequently comparing the interface code with that of the device for detecting an attempt to lure, the method further comprises the following step: o determine whether the circuit constituted by
  • FIG. 1 represents the electronic diagram of a possible embodiment of the invention
  • FIG. 2 represents a complete example of the device of the invention
  • FIG. 3 represents the electronic diagram of the invention of another embodiment possible of the invention.
  • FIG. 3a is a simplified diagram of an evaluation circuit according to another possible embodiment of the invention.
  • FIGS. 4a to 4c are graphs representing the waveforms of the signal sent by the evaluation circuit
  • FIG. 5 is a simplified diagram of a possible embodiment of a security assembly according to the invention.
  • FIGS. 6a to 6d are diagrammatic diagrams representing a method for monitoring computer equipment according to one possible embodiment of the invention.
  • a computer equipment 1 (laptop or desktop) is connected to one of the jacks 9 of a computer network through a connecting cable 2.
  • a Fixed cable 3 connects this wall socket 9 to a computer brewing bay, which is in a technical room.
  • An electronic control unit 6 houses an electronic device 10 according to the present invention.
  • each electronic monitoring device 10 is connected to the switch 5 by a patch cable 7, and at the end of a fixed cable by a connecting cable 8.
  • each electronic device 10 is simply connected to the end of a fixed cable by a connecting cable 8.
  • the monitoring device is based on an electronic circuit consisting of:
  • a measurement and isolation circuit B which measures the electrical continuity of the circuit constituted by the whole network cabling, plus the network interface of the equipment under surveillance. This circuit also provides the insulation function of the equipment under surveillance.
  • the detection circuit A is connected to the pair of upright wires E of the network cable in the case of a lOBaseT type network, 10OBaseT, or Gigabit. Thus connected, it continuously measures the various electrical signals emitted by the network interface D of the equipment under surveillance.
  • the detection circuit A delivers a signal r of logic level 1 if a network activity from the equipment is detected, or of logic level 0 if no network activity is detected.
  • the activity of the network interface results in the emission of electrical signals, at close intervals. This interval between the electrical signals is never greater than a T value imposed by the standards lOBaseT, 10OBaseT and Gigabit.
  • the function of the detection circuit A is to measure the amplitude of the signals emitted by the network interface as well as the time interval separating two consecutive signals of significant amplitudes. It is when electrical signals of significant amplitude are emitted at sufficiently close intervals by the equipment network interface D that a logic level signal r is delivered, to signify that the equipment has a network activity. normal.
  • the detection circuit A is imperceptible or even transparent to the traffic of the rising data, because it has a high impedance, so as not to disturb the signal emitted by the network interface D of the equipment.
  • the measurement and isolation circuit B may be on the same pair of uplinks as circuit A or on a pair of downstream wires of the network cable. This alternative will therefore introduce two distinct variants of the electronic device.
  • the measurement and isolation circuit B comprises a relay B1, a control circuit B2 and a measurement circuit B3.
  • the measurement function of the circuit B can be activated or not, according to the value of the logic signal r delivered by the detection circuit A. More precisely, this measurement function is activated when the circuit A delivers a signal r of level 0, it is ie when no network activity from the monitored equipment is detected, and inactivated otherwise.
  • the measurement function of the circuit B When the measurement function of the circuit B is activated, it delivers a signal of logic level 1 if the circuit constituted by all the network cabling, denoted by E, and the network interface D of the equipment under surveillance is closed, that is, when the interface of the monitored equipment is connected to the network. Likewise, the measurement function delivers a logic level signal t if the circuit constituted by the network wiring assembly E and the network interface D is open.
  • the isolation of the equipment under surveillance is controlled by a logic signal.
  • this logic signal is at logic level 1, it means that the equipment under surveillance is isolated from the local computer network.
  • the relay B1 has two positions x or y. In its position x, the network interface D of the equipment is in direct contact with the network interface of the network switch, denoted F. In this position, the network signal passes from one interface to another without alteration. The electronic device remains imperceptible by the local network.
  • the network interface D of the equipment is isolated from the network interface F of the switch, but remains connected directly to the measuring circuit B3.
  • the relay B1 When the logic signal s of the isolation control is at 0, the relay B1 is in the position x which allows the free transmission of the network signal of the equipment with the switch.
  • the measuring circuit B3 can then measure the electrical continuity of the circuit of the network interface D of the monitored equipment.
  • the measurement of electrical continuity with the circuit B3 is carried out using a DC generator of very low intensity (typically of the order of 1 mA). It is when this current flows normally through the loop constituted by the circuit of the network interface D of the equipment that the circuit delivers a level t logic, signifying the presence of the interface D.
  • a DC generator of very low intensity typically of the order of 1 mA
  • the circuit delivers a signal t of level logic 0, meaning the absence of the network interface D.
  • the device further comprises a decision circuit C which makes a logical OR between the signals r and t and whose output is denoted u. Therefore, this circuit loops a level 1 signal u when the equipment under surveillance is connected to the network, and level 0 otherwise.
  • the security device 30 is placed between a set of computer equipment 32 and a cable network management system 34.
  • the cable network management system 34 is preferably a network switch (commonly referred to as a network switch).
  • Switch or a network hub (commonly called “hub”).
  • hub Such a management system of a wired network is known from the state of the art and is not more detailed.
  • Each computer equipment 32 is connected via the wired network to a physical port 305 of the security device 30, the security device 30 also comprising output ports 307 connected to the wired network management system 34.
  • the security device 30 is notably capable of acting as a gateway between the input physical ports 305 and the output ports 307.
  • the device is provided with a dedicated port for connection to the network, thereby enabling it to communicate via the network with the set. machines connected on the network.
  • connection correspond here to the physical link (usually wire) that exists between two devices (connected by a cable).
  • connect correspond to the action of establishing or cutting the wired physical connection between two devices.
  • downstream is understood to mean the end of the cable network located at the network interface of the computer equipment 32 and “upstream” the end of the cable network located at the level of the cable network management system. 34.
  • the device also comprises a detection circuit 304 capable of detecting on the cable 31, connecting a piece of computer equipment 32 and the security device 30, without disturbance, the presence of electrical energy (for example in the form of exchanged signals) coming from the equipment and revealing a normal network activity.
  • electrical energy for example in the form of exchanged signals
  • These signals are for example the usual signals of exchange between a network interface of a computer equipment and a management system of a network (TCP, UDP, ).
  • the detection circuit 304 also makes it possible to simply detect the presence of electrical energy. Thus such detection can be performed on all pairs of a cable and not only on the pairs for the exchange of signals.
  • the device also includes an isolation circuit 308 for isolating the cable in question from said cable network.
  • the isolation circuit 308 preferably comprises controlled relays 308 located on one or more pairs of the cable, thus, to isolate the equipment, the relay (s) open the circuit formed by each pair of the cable. the relay (s) is (are) located on the two son that form the pair thus allowing complete isolation.
  • the device comprises an evaluation circuit 302 able to send a pulse in the cable in the downstream direction, then to measure the wave reflected by the cable and to determine from the wave whether the circuit formed by the cable and by the Network interface of the equipment is closed, open, shorted, or if the circuit impedance has been changed.
  • the circuit also makes it possible to locate any anomalies (short circuit, line break, line opening, modification of the impedance) on the cable by determining from said measurement the cable length between the anomaly and the circuit. 302.
  • an opening present on the line can be evaluated as a simple disconnection if it is located at the connection socket or a fault in the circuit formed by the cable if the opening is elsewhere than the wall outlet.
  • the device comprises when it is connected (and before the connection of the computer equipment) a self-calibration process on all of its cables connected to its ports to know the length of each cable separating the device to the connection jacks.
  • the evaluation circuit 302a is arranged upstream of the isolation circuit 308a, such that the isolation circuit 308, by isolating the computer equipment, switches the evaluation circuit 302a on the circuit formed by the computer equipment and the downstream cable thus avoiding that the evaluation circuit 302a does not electrically disturb the network when the equipment is not isolated.
  • the operation of the evaluation circuit 302 is based on the propagation properties of electromagnetic waves guided by two conductors (in this case a pair of the cable 31).
  • the operation of the evaluation circuit 302 comprises the following steps: - emitting a signal having a predetermined waveform, such as a rectangular pulse train, analyzing the reflected waves, evaluating whether the line is closed, open, or short circuit, or if its impedance has been modified, - in the event of a short-circuit or opening of the circuit, evaluate the location of the opening or short-circuit by expressing the cable length, between the circuit of evaluation 302 and the opening or the short circuit, for example to determine whether it is a simple disconnection or an electrical anomaly.
  • a signal having a predetermined waveform such as a rectangular pulse train
  • the evaluation circuit also comprises a device able to measure the wave reflected in amplitude and the time t AR elapsed since the start of transmission.
  • graph 41 represents the pulse transmitted on a time axis and graph 42 represents the feedback pulse according to the same time axis
  • the pulse if the pulse is returned as it was sent to the evaluation circuit, its round trip during I AR as illustrated, it means that the line is open.
  • the pulse width ⁇ is sent and it returns as it has sent to the evaluation circuit to determine that the line is open.
  • L and C are data which can be informed to the evaluation circuit for example in a configuration phase of the device.
  • u is approximately equal to 1.9 ⁇ 10 8 m / s.
  • This evaluation circuit makes it possible to carry out the evaluations previously described on all types of cable and not only on the network cables.
  • the evaluation circuit can also detect any change in the impedance of the circuit, thus making it possible to detect a parallel connection of a second piece of computer equipment on the same cable in the case of a decoy attempt.
  • the safety device also comprises a unit of control 306 for controlling and coordinating the detection circuits 304, isolation 308 and evaluation 302.
  • the detection and evaluation circuits 304 and 302 are arranged on different pairs of the network cable to avoid any interference between the operations of the two circuits.
  • Each pair comprising the detection circuit 304 and / or the evaluation circuit 302 comprises an isolation circuit 308.
  • a warning module 33 is arranged on the downstream cable between the device of the invention. 32.
  • this warning module 33 comprises a sound indicator 331 and a visual indicator 332.
  • This module is controlled by the security device via the network cable.
  • this warning module 33 does not include any local power source and uses a power supply delivered via the network cable (for example by the "Power Over Ethernet" technology - IEEE 802.3af standard). Preferred pairs are preferably used for the supply and control of the warning module 33.
  • This module is intended to be permanently arranged in the downstream network cable, the user of the computer equipment then directly connecting / disconnecting his equipment on the / of the warning module 33.
  • the warning module 33 may be arranged downstream of a wall socket of the wired network (the socket being connected to the safety device 30).
  • the security device 30 is connected to a physical access control system 50.
  • the physical access control system 50 is a system for controlling the requests and the authorizations of inputs and outputs for example within a building or an industrial site. Generally the building is divided into several geographical areas, each region having specific access rights.
  • Each user for example, an employee in a building
  • the latter checks the compatibility of the rights of the user and the zone geographically requested in order to make the decision to let or not to enter / exit the user in said area. Physically the physical control of access is guaranteed for example by automatic opening and closing doors or gates.
  • the access request device 53 of the user is preferably an access card using an RF technology (for example RFID or NFC technology).
  • the request is thus established with the physical access control system 50 via a request terminal 52, for example an RFID or NFC antenna terminal.
  • the security device 30 communicates with the control unit 51 of the physical access control system 50 using the wired network, which avoids providing other communication interfaces for the device.
  • the device in communication with the physical access control system 50 can know the geographical position of a user.
  • the security device 30 also comprises means for reading the frames passing through it in order to determine information relating to the connection of the network information equipment, for example the MAC address and IP address or other information concerning the user.
  • computer equipment as an identifier of the user. This identifier (usually accompanied by a password) is used to identify the user on the computer equipment. This allows on the one hand the user to make a request to log on to the computer equipment but also to identify with the computer network, possibly for the purpose of updating items of equipment computer corresponding to the user (for example, access to custom storage spaces).
  • the device comprises storage spaces of the geographical location of the wall outlets of the network corresponding to each physical input port of the security device.
  • certain wall outlets of the network corresponding to certain input ports of the device are dedicated to an "anonymous" use of the network; that is to say, they are dedicated to the connection of computer equipment not listed on the network (for example a computer equipment of a person "visitor").
  • an administration access 54 for example using a computer connected to the network, is provided so that a user can administer and configure the security device 30. It is intended that the user can have access to the log of events (in English "log") grouping by example connection requests, access attempts, alerts, ....
  • a real-time alert can also be triggered at the administration port 54 to alert the administrator of a specific event.
  • a warning to the user or the administrator is defined as "alert” or “alarm”.
  • This alert can take the form of an interface triggered at the administrative access 54 to the administrator but also the activation of the sound device and / or visual warning module 33 for the purpose of 'warn the user.
  • These alarms can be of different priority (eg low, medium and high) depending on the severity of the event. It can be expected that these alerts can be disabled by the administrator via the administration port 54.
  • the computer equipment is furthermore provided with a communication interface 321.
  • This interface may be a device added to the computer equipment (for example an improved network interface device) or an intrinsic element to the equipment. for example in the form of a program executable by the processing unit of the computer equipment.
  • This communication interface is able to communicate with the device via the wired network even when the computer equipment is isolated from the network by the device.
  • the interface allows the user to make requests to the device such as logon requests or disconnect requests from the computer equipment.
  • the interface also makes it possible to warn the user of the triggering of an alarm or a warning issued by the device.
  • the communication interface is capable of automatically locking the computer equipment and / or forcing the extinction of the computer equipment.
  • a method of connecting a piece of equipment Network consists of the following steps:
  • a physical connection (step 602) of a computer equipment is performed. This connection is made either at a network wall outlet or at a warning module 33 (see Figure 5).
  • the security device detects the presence of the equipment and possibly the absence of anomaly on the cable using the evaluation circuit (step 604). It should be noted that by default the isolation circuit isolates the computer equipment from the network when it is connected until the device authorizes its connection to the network. If the security device detects the presence of the equipment (closed circuit) without any anomaly, it carries out an anonymity check of the input port to which the equipment is connected (step 606). If the equipment is connected to an anonymous port, then it is automatically monitored with or without access to the computer network according to the institution's security policy (step 608). It is noted that the "anonymous" type of computer equipment may also be non-network equipment such as a video projector or a computer screen. In this case, the connection cable will not be a network cable with a specific termination fixed on the protected equipment.
  • the device checks whether the port is not locked (step 610). Indeed, the port may have been locked during an earlier procedure for security reasons, thus prohibiting the connection to this port; it is planned to be able to lock the ports at the administration port. An alarm (for example of high priority) can be triggered until the disconnection of the computer equipment. Such an alarm may for example be acknowledged at the administration port (step 612).
  • the device checks that the schedule is allowed (step 614). Indeed, it is expected that an alarm is triggered if a connection is made during certain time periods configurable for example during the night. If the schedule is not allowed an alarm is triggered (step 616) for example with an average level.
  • the device verifies that the equipment is energized using its detection circuit by checking in particular the presence of energy in the cable (step 618). If the equipment is not powered up, then the device verifies whether the equipment is still connected using its evaluation circuit (step 620). If the equipment is still connected, the device loops to the previous step 618. If the equipment is no longer connected, the device verifies whether the equipment has been disconnected after an authorized procedure (step 622). If this is not the case, an alarm, for example of high priority is triggered (step 624).
  • the device If the equipment is powered on, the device establishes a connection with the network interface of the network equipment to recover the MAC address of the network interface (step 626). At this point, the equipment is still isolated from the network.
  • the device then makes an association between the retrieved MAC address and the number of the physical port to which the equipment is connected (step 628).
  • the device then verifies that the MAC address is allowed to connect, for example by verifying that it is not part of a configurable black list (step 630).
  • the equipment remains isolated from the network and an alarm, for example of high priority, is triggered (step 632). If the equipment comprises a communication interface with the device, then the device communicates with the interface so that the latter forces the PC off (step 634).
  • the device then verifies that the port is not exclusive, that is to say reserved for a single MAC address (step 636). If the port is exclusive, the device then verifies that the MAC address corresponds to this exclusivity (step 638); if it is not the case, an alarm, for example low priority is engaged (step 640). If the MAC address corresponds to this exclusivity or if the port is not exclusive, the device is then connected to the network (step 641). The device then establishes a dialogue with the network management system in order to establish an IP address (DHCP or fixed address). The device detects (or “listens") this address in the exchanged frames (step 642). Once the IP address is detected, the device establishes a first pairing between the MAC address, the IP address and the port number (step 646).
  • the device initiates a dialogue with the communication interface to open a secure channel (step 648).
  • the communication interface then opens a secure channel, for example of the SSL type with the device.
  • the security interface then verifies that the certificate corresponds to a valid certificate 654. If the certificate is not valid, then the equipment is isolated from the network and an alarm for example high level is engaged.
  • the communication interface requests an identification from the user.
  • the user enters an identifier and a password to perform this identification (step 658).
  • the interface then delays the logon pending authorization of the device (step 660).
  • the communication interface sends the identification information to the device for verification (step 662) from the corresponding received frames.
  • the device verifies whether the user is authorized to use the computer equipment, for example by checking whether it is not part of a user's blacklist (step 666).
  • an alarm for example of high priority is triggered (step 668).
  • the device isolates the equipment and communicates with the communication interface so that the latter forces the extinction of the computer equipment (step 670). If the user is authorized to use the computer equipment, the device then verifies that the geographical location of the user (communicating for example with the physical access control system) is the same as that of the computer equipment. (comparing the location of the user with that of the wall socket on which the equipment is connected) (step 674). If the location is not the same, an alarm (for example high level) is triggered, and it is expected that the user must identify himself (for example on the badge reader) in the same geographical area as the computer equipment and possibly to try a new identification ..
  • an alarm for example high level
  • a second pairing is performed between the user identifier, the MAC address and the IP address and the physical port number to which the computer equipment is connected (step 678).
  • the device then creates a random match code; for example establishes to from the user ID, the MAC address and the IP address and the physical port number to which the computer equipment is connected and dynamic data such as the date and time of the connection; the device then shares this random code pairing with the communication interface (step 680).
  • the device then sends to the communication interface the rights restricted or not to the network resources for the user (step 682).
  • a user tries to disconnect a first piece of equipment and reconnects a second piece of decoy equipment instead of the latter.
  • a first alarm is triggered because the equipment has been disconnected without a request for authorization.
  • the device determines the MAC address and / or integrity of the random match code that was shared in step 680 and / or the integrity of the certificate of secure communication between the device and the communication interface. In the event that any of this information is not identical to that established when connecting the first device, an alarm can be triggered, alerting the administrator of a luring attempt.
  • the benefit of the shared match random code is that, in the event that the decoy equipment is configured to provide the same MAC address as the first unplugged device, it can not determine and provide the correct random code.
  • the lure is automatically detected.
  • computer equipment disconnected and reconnected to a decoy device detects the decoy with the shared random match code that is not the same. It is expected then that the switching interface alerts the user and / or forces the extinction of the equipment.
  • a start-up process may not take up all of the steps previously described.
  • the computer equipment in question does not have a communication interface, the steps concerning communications between the device and the communication interface are not implemented.
  • the warning module 33 includes means for requesting disconnection of the equipment. These means are for example an RF (RFID or NFC) device allowing the user to use his badge to make a request for authorization to disconnect.
  • the warning module having detected the presence of a badge (RF technology) transmits to the device the authorization request with an identifier of the badge concerned. The device then verifies that the badge holder is authorized to disconnect the equipment and, if so, authorizes the disconnection of the equipment, allowing the user to disconnect the equipment without triggering an alarm.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Software Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Environmental & Geological Engineering (AREA)
  • Small-Scale Networks (AREA)
  • Burglar Alarm Systems (AREA)
  • Monitoring And Testing Of Transmission In General (AREA)

Abstract

Dispositif électronique de sécurité pour la surveillance d'équipements informatiques (32), chacun des équipements (32) étant relié à un réseau informatique par une prise et un câble au niveau d'une interface réseau, le dispositif étant agencé entre un appareil du réseau câblé (34) et l'interface réseau de l'équipement informatique, le dispositif comprenant au niveau de chaque câble de liaison entre l'appareil de gestion du réseau câblé (34) et l'équipement à surveiller (32) : - un circuit de détection (304) apte à détecter sur ledit câble, sans perturbation, la présence d'une énergie électrique en provenance de l'équipement et révélatrice d'une activité réseau normale, et un circuit d'isolation (308) apte a être activé en l'absence d'une telle détection par le circuit de détection (304), pour isoler le câble en question dudit réseau câblé, et un circuit d'évaluation (302) apte à être activé après l'isolation effectuée par le circuit d'isolation (308), pour appliquer sur le câble un signal ayant une forme d'onde prédéterminée, pour détecter l'onde réfléchie et pour déterminer à partir de l'onde réfléchie une condition anormale dans le circuit constitué par le câble et par l'interface réseau de l'équipement.

Description

Dispositif électronique de sécurité pour la surveillance d'équipements informatiques, ensembles et procédés associés
La présente invention concerne un dispositif électronique de sécurité pour la surveillance et la protection contre le vol de tous types d'équipements informatiques, et en particulier, des ordinateurs portables et fixes raccordés aux prises d'un réseau informatique local ou autre. La protection des systèmes informatiques et micro-informatiques et autres périphériques peut être effectuée traditionnellement par différents types de protections, notamment :
- la fixation par câble métallique ou autres types de câbles à un point d'ancrage tel qu'une table, un mur etc. - l'alarme sonore locale, notamment pour les PC portables et autres périphériques pouvant être déplacés, cette alarme sonore se présentant généralement sous la forme d'un petit boîtier muni d'un cadenas à combinaison. L'alarme s'attache à la sacoche de transport, voir au portable lui-même.
- le tatouage permanent, de type passif ; ce tatouage est typiquement constitué d'une plaque, généralement en métal ou en matière plastique composite. Cette plaque est collée le plus souvent bien en évidence sur le matériel à protéger. Un numéro unique, doublé d'un code barre, y est gravé au laser. Les numéros d'identification ainsi que les coordonnées du propriétaire du matériel, sont centralisés dans une base de données, dissuadant ainsi les voleurs quant à la revente du matériel ainsi marqué. - le marquage dit de type électronique, qui consiste d'une part à coller un identifiant électronique actif inarrachable sur le matériel à protéger, et d'autre part, à équiper de balises de détections toutes les sorties périmétriques du bâtiment ou se trouve le matériel. Ainsi, tout identifiant détecté dans une zone surveillée par des balises, déclenchera automatiquement une alarme dans un poste de supervision central. - le Tracking ou pistage en français, qui repose sur son imperceptibilité et donc, sur une totale discrétion. Cette méthode utilise un programme installé sur l'équipement à protéger afin de jouer le rôle de mouchard. Ainsi en cas de vol du matériel, il suffit d'alerter la base de surveillance, qui va alors localiser le matériel dérobé par le biais du mouchard, au moment même ou le voleur, ou le receleur, va connecter l'équipement au réseau Internet. - des dispositifs tels que celui décrit dans le brevet FR-A-2770013, qui repose sur l'adjonction d'un boîtier dédié sur l'équipement à surveiller. Il exploite pour ce faire, une paire de conducteurs inutilisée dans les réseaux aux standard lOBaseT ou lOOBaseT pour le raccorder à son boiter de gestion. Les inconvénients des systèmes de protection mentionnés ci-dessus, sont essentiellement les suivants :
- pour la fixation par câble : chaque ordinateur ou équipement doit être équipé d'une prise antivol à clé ou d'un cadenas, pour être attaché et donc protégé. Ce système manque donc de flexibilité pour les postes nomades (portables), et nécessite en outre, la gestion des clés des antivols; ainsi, qu'une impossibilité de fixer des droits horaires concernant les autorisations de mouvements. De plus, l'ajout d'un antivol avec un câble, nuit fortement à l'esthétisme des équipements protégés, voir même à leur utilisation.
- pour les alarmes sonores locales : outre un manque d'esthétisme évident, il existe un risque de déclenchements intempestifs, donc d'efficacité et de fiabilité du système. De plus, l'autonomie réduite des alarmes est un risque majeur pour la fiabilité et l'efficacité du dispositif. Manque également, comme pour la protection par câble, la possibilité de fixer des droits horaires pour les autorisations de mouvements.
- pour le tatouage définitif : celui-ci est inadapté à la revente ou à la location des parcs informatiques des grandes entreprises. De plus, il est inefficace contre les vols pour espionnage industriel et donc, n'est aucunement dissuasif contre ce type de vol.
- pour le tracking : son efficacité est limitée sur les trafics organisés. Il ne protège que les ordinateurs et exige que l'appareil volé soit connecté au réseau Internet pour être localisé. De plus, le système peut être facilement contourné ou neutralisé par un formatage de type bas niveau, ou par le remplacement du disque dur. - pour le marquage actif : ce système nécessite l'obligation de protéger tous les accès périmétriques, entraînant ainsi un coût très élevé de la protection. Il nécessite aussi le tirage de nombreux câbles, ainsi que l'intégration esthétique des détecteurs. De plus, la durée de vie des piles (non remplaçable) des identifiants, limite à deux ans leur efficacité. En outre, le système étant sensible aux environnements radioélectriques et électromagnétiques, il ne peut donc être utilisé partout. De même, il y a une possibilité de détruire ou masquer les identifiants. Enfin, étant donné que ce système de protection ne détecte qu'au franchissement, il laisse très peu de temps pour réagir à un vol, à moins que l'entreprise utilise des vigiles présents sur place, à toutes les sorties.
— Pour le dispositif du type décrit dans FR-A-2770013 : il suppose fixer un identifiant passif inarrachable sur chaque équipement à protéger. Et surtout il nécessite une distance minimum à respecter entre le matériel protégé et le boîtier de détection, qui peut occasionner ainsi, des fausses alarmes si cette distance n'est pas respectée. De plus, étant donné qu'il nécessite un paire libre de conducteurs, il n'est pas applicable en l'état pour la surveillance sur des réseaux de type Gigabit, mais uniquement pour les réseaux standards, lOBaseT et lOOBaseT. Enfin, cette procédure nécessite une intervention spécialisée sur tout équipement à surveiller. C'est donc un obstacle majeur pour le développement de ce système pour de grands sites.
L'invention a pour objet d'assurer une surveillance de préférence continue et en temps réel des équipements (ordinateurs portables ou fixes; mais aussi, tous types d'équipements situés prés d'une prise de réseau local), allumés ou éteints, directement connectés aux prises d'un réseau informatique local ou autres types de réseaux, et avantageusement de détecter également toute anomalie à la source même de l'événement.
L'invention vise ainsi à exploiter efficacement le câblage existant du réseau informatique, pour contrôler la présence ou l'absence des équipements, en regroupant l'intégralité du dispositif de surveillance dans un ensemble de boîtiers, se trouvant dans la baie ou le local de brassage informatique. Quant aux équipements non réseau, ils pourront également être surveillés et protégés par la présente invention; mais nécessiteront pour cela, l'adjonction d'un câble réseau passif spécifique, muni d'un contact de protection magnétique ou autres dispositifs assurant la même fonction.
Le principe de surveillance de la présente invention ne repose pas sur une paire de fils inutilisés du câblage réseau. Il est donc parfaitement adapté à tous les types de réseaux, lOBaseT, lOOBaseT et Gigabit Ethernet.
Plus particulièrement, le dispositif électronique de sécurité pour la surveillance d'équipements informatiques selon l'invention (chacun des équipements étant relié à un réseau informatique par une prise et un câble au niveau d'une interface réseau) est agencé entre un appareil du réseau câblé et l'interface réseau de l'équipement informatique, et comprend au niveau de chaque câble de liaison entre l'appareil de gestion du réseau câblé et l'équipement à surveiller :
- un circuit de détection apte à détecter sur ledit câble, sans perturbation, la présence d'une énergie électrique en provenance de l'équipement et révélatrice d'une activité réseau normale, et - un circuit d'isolation apte a être activé en l'absence d'une telle détection par le circuit de détection, pour isoler le câble en question dudit réseau câblé, et
- un circuit d'évaluation apte à être activé après l'isolation effectuée par le circuit d'isolation, pour appliquer sur le câble un signal ayant une forme d'onde prédéterminée, pour détecter l'onde réfléchie et pour déterminer à partir de l'onde réfléchie une condition anormale dans le circuit constitué par le câble et par l'interface réseau de l'équipement.
Avantageusement mais facultativement l'invention comprend au moins l'une des caractéristiques suivantes : - au moins l'un parmi le circuit d'évaluation, le circuit d'isolement et le circuit de détection est situé en amont d'un transformateur d'isolement afin de ne générer aucune perturbation électrique dans le câble, le dispositif comprend un circuit apte à détecter les signaux circulant sur le câble et à déterminer à partir des signaux détectés au moins l'une parmi informations suivantes : l'adresse MAC de l'interface réseau, l'adresse IP de l'interface réseau, un identifiant correspondant à l'utilisateur de l'équipement informatique, ainsi que le port physique du dispositif sur lequel est branché l'équipement informatique, le dispositif comprend une interface de communication avec un système de contrôle d'accès physique d'un bâtiment, afin de déterminer la position géographique d'un utilisateur,
L'invention concerne également un ensemble de sécurité pour la surveillance d'équipements informatiques, comprenant un dispositif électronique de sécurité selon l'invention caractérisé en ce qu'il comprend en outre une interface de communication au niveau de l'équipement informatique, apte à communiquer avec le dispositif à travers le réseau câblé. Avantageusement mais facultativement l'invention comprend au moins l'une des caractéristiques suivantes : l'interface de communication est apte à demander une autorisation de débranchement de l'équipement informatique et/ou une autorisation d'ouverture de session pour un utilisateur sur l'équipement informatique, l'ensemble comprend en outre un module d'avertissement, placé entre le dispositif et un équipement informatique, comprenant un dispositif sonore et/ou visuel, contrôlé par le dispositif de sécurité à travers le câble réseau, le dispositif de sécurité est apte à générer un code aléatoire à partir au moins une des données suivantes : adresse MAC, adresse IP, port physique du dispositif sur lequel est branché l'équipement informatique, un identifiant de l'utilisateur de l'équipement et des données dynamiques, ledit code étant ensuite partagé avec l'interface de communication de l'équipement informatique, l'interface de communication est apte à verrouiller automatiquement l'équipement informatique et/ou à forcer l'extinction de l'équipement informatique, L'invention concerne également un procédé pour la surveillance d'équipements informatiques, avec un dispositif ou un ensemble de sécurité selon l'invention, le dispositif (ou l'ensemble) étant agencé entre un appareil d'un réseau câblé et un équipement informatique à surveiller, caractérisé en ce que le procédé comprend les étapes suivantes : - détecter sur le câble reliant l'équipement informatique et le dispositif, sans perturbation, la présence d'une énergie électrique en provenance de l'équipement informatique et révélatrice d'une activité réseau normale, si aucun signal n'est détecté, isoler le câble du réseau, appliquer alors sur le câble un signal ayant une forme d'onde prédéterminée, - détecter l'onde réfléchie, et déterminer à partir de l'onde réfléchie une condition anormale dans le circuit constitué par le câble et par l'interface réseau de l'équipement.
Avantageusement mais facultativement l'invention comprend au moins l'une des caractéristiques suivantes : - le procédé comprend en outre les étapes suivantes : o détecter les signaux sur le câble et déterminer à partir des signaux détectés au moins une parmi les informations suivantes : adresse MAC, adresse IP, identifiant de l'utilisateur de l'équipement informatique, port physique du dispositif sur lequel est branché l'équipement informatique et position géographique de l'utilisateur, o déterminer à partir de la ou des information(s) ci-dessus si l'équipement est autorisé à se connecter sur le réseau et/ou si l'utilisateur est autorisé à utiliser ledit équipement informatique, o en fonction du résultat de l'étape précédente, autoriser ou limiter la connexion réseau de l'équipement informatique et/ou une ouverture de session pour l'utilisateur, - le procédé comprend en outre les étapes suivantes : o créer un code aléatoire à partir d'au moins une des informations suivantes : identifiant utilisateur, adresse IP, adresse MAC, numéro de port physique, données dynamiques, o partager le code aléatoire avec l'interface de communication de l'équipement informatique, dans le but de comparer ultérieurement le code de l'interface avec celui du dispositif pour détecter une tentative de leurre, le procédé comprend en outre l'étape suivante : o déterminer si le circuit constitué par le câble et par l'interface réseau de l'équipement est ouvert et si l'équipement informatique est débranché sans autorisation préalable de débranchement, et o dans l'affirmative, déclencher une alarme, l'étape de déclenchement d'une alarme est réalisée envoyant au module d'avertissement un ordre de déclenchement du dispositif sonore et/ou visuel.
D'autres aspects, buts et avantages de la présente invention apparaîtront mieux à la lecture de la description détaillée suivante de formes de réalisation préférées de celle-ci, donnée à titre d'exemple non limitatif et faite en référence aux dessins annexés, sur lesquels :
- la figure 1 représente le schéma électronique d'une réalisation possible de l'invention,
- la figure 2 représente un exemple complet du dispositif de l'invention,
- la figure 3 représente le schéma électronique de l'invention d'une autre réalisation possible de l'invention,
- la figure 3a est un schéma simplifié d'un circuit d'évaluation selon une autre réalisation possible de l'invention,
- les figures 4a à 4c sont des graphes représentant les formes d'onde du signal envoyé par le circuit d'évaluation,
- la figure 5 est un schéma simplifié d'une réalisation possible d'un ensemble de sécurité selon l'invention, et
- les figures 6a à 6d sont des diagrammes schématiques représentant un procédé de surveillance d'équipements informatiques selon une réalisation possible de l'invention. En référence tout d'abord à la figure 2, un équipement informatique 1 (ordinateur portable ou de bureau) est lui connecté à l'une des prises 9 d'un réseau informatique par l'intermédiaire d'un câble de raccordement 2. Un câble fixe 3 relie cette prise murale 9 à une baie de brassage informatique, qui se trouve dans un local technique.
A l'intérieur de la baie de brassage, se trouvent les extrémités des câbles fixes 7 et 8, rassemblées sur des borniers 4 ainsi que les commutateurs informatiques 5.
Un boîtier électronique de surveillance 6 abrite un dispositif électronique 10 selon la présente invention.
Dans l'exemple de la figure 2, un ou plusieurs boîtiers électroniques 6 peuvent se trouver dans la baie de brassage ou le local de brassage. Dans le cas de la surveillance d'un équipement réseau, chaque dispositif électronique de surveillance 10 est connecté au commutateur 5 par un câble de brassage 7, et à l'extrémité d'un câble fixe par un câble de raccordement 8. Dans le cas de la surveillance d'un équipement non réseau, chaque dispositif électronique 10 est simplement connecté à l'extrémité d'un câble fixe par un câble de raccordement 8. Le dispositif de surveillance est basé sur un circuit électronique constitué de :
1) un circuit A de détection de toute activité réseau de l'équipement à surveiller,
2) un circuit B de mesure et d'isolement, qui assure la mesure de la continuité électrique du circuit constitué par l'ensemble câblage réseau, plus interface réseau de l'équipement sous surveillance. Ce circuit assure également la fonction d'isolation de l'équipement sous surveillance.
3) un circuit logique de décision C de l'état connecté ou déconnecté de l'équipement sous surveillance. Le circuit de détection A est connecté sur la paire de fils montants E du câble réseau dans le cas d'un réseau de type lOBaseT, lOOBaseT, ou Gigabit. Ainsi connecté, il mesure de façon continue les divers signaux électriques émis par l'interface réseau D de l'équipement sous surveillance. Le circuit de détection A délivre un signal r de niveau logique 1 si une activité réseau en provenance de l'équipement est détectée, ou de niveau logique 0 si aucune activité de réseau n'est détectée.
Lorsque l'équipement 1 à protéger et à surveiller, connecté au réseau, est sous tension, son interface réseau D est activée. Cette activité est constante dès la mise sous tension de l'équipement à protéger ou à surveiller et perdure jusqu'à sa mise hors tension.
L'activité de l'interface réseau se traduit par l'émission de signaux électriques, à intervalles rapprochés. Cet intervalle entre les signaux électriques n'est jamais supérieur à une valeur T imposée par les normes lOBaseT, lOOBaseT et Gigabit. Le circuit de détection A a pour fonction de mesurer l'amplitude des signaux émis par l'interface réseau ainsi que l'intervalle de temps séparant deux signaux consécutifs d'amplitudes significatives. C'est lorsque des signaux électriques d'amplitudes significatives sont émis à intervalles suffisamment rapprochés par l'interface réseau D de l'équipement qu'un signal r de niveau logique 1 est délivré, afin de signifier que l'équipement a une activité réseau normale.
Au contraire, lorsqu' aucun signal électrique d'amplitude significative n'est émis par l'interface réseau D, ou lorsque des signaux apparaissent de façon anormale voir erratique, alors un signal r de niveau logique 0 est délivré, pour signifier que l'équipement n'a pas d'activité réseau ou est déconnecté. On notera que le circuit de détection A est imperceptible voir transparent au trafic des données montantes, car il présente une impédance élevée, de façon à ne pas perturber le signal émis par l'interface réseau D de l'équipement.
Le circuit de mesure et d'isolation B peut se trouver sur la même paire de fils montants que le circuit A ou sur une paire de fils descendant, du câble réseau. Cette alternative introduira dès lors deux variantes distinctes du dispositif électronique.
Le circuit de mesure et d'isolation B comprend un relais Bl, un circuit de commande B2 et un circuit de mesure B3. La fonction mesure du circuit B peut être activée ou non, selon la valeur du signal logique r délivré par le circuit de détection A. Plus précisément, cette fonction mesure est activée lorsque le circuit A délivre un signal r de niveau 0, c'est-à-dire lorsqu'aucune activité réseau en provenance de l'équipement sous surveillance n'est détectée, et inactivé dans le cas contraire.
Lorsque la fonction mesure du circuit B est activée, il délivre un signal t de niveau logique 1 si le circuit constitué par l'ensemble du câblage réseau, désigné par E, et l'interface réseau D de l'équipement sous surveillance est fermé, c'est-à-dire lorsque l'interface de l'équipement sous surveillance est connectée au réseau. De même, la fonction mesure délivre un signal t de niveau logique 0 si le circuit constitué par l'ensemble câblage réseau E et l'interface réseau D est ouvert.
L'isolation de l'équipement sous surveillance est commandée par un signal logique s. Lorsque ce signal logique s est au niveau logique 1, cela signifie que l'équipement sous surveillance est isolé du réseau informatique local. Le relais Bl est à deux positions x ou y. Dans sa position x, l'interface réseau D de l'équipement est en contact direct avec l'interface réseau du commutateur réseau, notée F. Dans cette position, le signal réseau transite d'une interface à l'autre sans altération. Le dispositif électronique reste quant à lui imperceptible par le réseau local.
Dans la position y, l'interface réseau D de l'équipement est isolée de l'interface réseau F du commutateur, mais reste connectée directement au circuit de mesure B3.
Lorsque le signal logique s de la commande d'isolation est à 0, le relais Bl est dans la position x ce qui permet la libre transmission du signal réseau de l'équipement avec le commutateur.
Lorsque la fonction mesure du dispositif est active, et que le relais Bl est dans la position y, le circuit de mesure B3 peut alors mesurer la continuité électrique du circuit de l'interface réseau D de l'équipement surveillé.
Dans le présent exemple, la mesure de continuité électrique avec le circuit B3 est réalisée à l'aide d'un générateur de courant continu de très faible intensité (typiquement de l'ordre de 1 mA). C'est lorsque ce courant circule de façon normale à travers la boucle constituée par le circuit de l'interface réseau D de l'équipement que le circuit délivre un logique t de niveau 1, signifiant la présence de l'interface D.
Par contre, si le courant ne peut circuler, le circuit délivre un signal t de niveau logique 0, signifiant l'absence de l'interface réseau D.
On a vu que la fonction mesure du dispositif était activée ou non selon l'état du signal logique r.
Le dispositif comprend en outre un circuit de décision C qui réalise un OU logique entre les signaux r et t et dont la sortie est notée u. Par conséquent, ce circuit délibre un signal u de niveau 1 lorsque l'équipement sous surveillance est connecté au réseau, et de niveau 0 dans le cas contraire.
En référence maintenant à la figure 3, on va décrite une autre forme de réalisation de l'invention. On notera ici que les signes de référence sont établis selon une nomenclature différente.
Le dispositif de sécurité 30 est placé entre un ensemble d'équipement informatique 32 et un système de gestion du réseau câblé 34. Le système de gestion du réseau câblé 34 est préférentiellement un commutateur réseau (communément appelé
« switch ») ou un concentrateur réseau (communément appelé « hub »). Un tel système de gestion d'un réseau câblé est connu de l'état de l'art et n'est pas plus détaillé.
Chaque équipement informatique 32 est branché via le réseau câblé sur un port physique 305 du dispositif de sécurité 30, le dispositif de sécurité 30 comprenant également des ports de sortie 307 branchés au système de gestion du réseau câblé 34. Le dispositif de sécurité 30 est notamment apte à effectuer un rôle de passerelle entre les ports physiques d'entrée 305 et les ports de sortie 307. Avantageusement il est prévu que le dispositif comprenne un port dédié à connexion au réseau, lui permettant ainsi de communiquer via le réseau avec l'ensemble des machines connecté sur le réseau.
Les termes « branché », « branchement » ou « débranchement » correspondent ici à la liaison physique (généralement filaire) qu'il existe entre deux appareillages (reliés par un câble). Ainsi les termes « brancher »/ « débrancher » correspondent à l'action d'établissement ou de coupure de la connexion physique filaire entre deux appareillages.
On entend ici par « aval » l'extrémité du réseau câblé se situant au niveau de l'interface réseau de l'équipement informatique 32 et par « amont » l'extrémité du réseau câblé se situant au niveau du système de gestion du réseau câblé 34.
Le dispositif comprend également un circuit de détection 304 apte à détecter sur le câble 31, reliant un équipement informatique 32 et le dispositif de sécurité 30, sans perturbation, la présence d'une énergie électrique (par exemple sous forme de signaux échangés) en provenance de l'équipement et révélateurs d'une activité réseau normale. Ces signaux sont par exemple les signaux habituels d'échange entre une interface réseau d'un équipement informatique et un système de gestion d'un réseau (TCP, UDP, ...). Le circuit de détection 304 permet également de détecter simplement la présence d'énergie électrique. Ainsi une telle détection peut être effectuée sur toutes les paires d'un câble et pas seulement sur les paires destinés à l'échange de signaux.
Le dispositif comprend également un circuit d'isolation 308 pour isoler le câble en question dudit réseau câblé. Ainsi une fois le l'équipement informatique isolé, ce dernier ne communique plus avec le système de gestion de réseau 34 (car le dispositif de sécurité ne joue plus sont rôle de passerelle entre les ports d'entrée 305 et les ports de sortie 307. Le circuit d'isolement 308 comprend préférentiellement des relais 308 commandés situés sur un ou plusieurs paires du câble. Ainsi, pour isoler l'équipement, le ou les relais ouvrent le circuit formé par chaque paire du câble. Il est à noter que le ou les relai(s) est(sont) situé(s) sur les deux fils que forment la paire permettant ainsi une isolation complète.
Le dispositif comprend un circuit d'évaluation 302 apte à envoyer une impulsion dans le câble en direction aval, puis à mesurer l'onde réfléchie par le câble et déterminer à partir de l'onde si le circuit constitué par le câble et par l'interface réseau de l'équipement est fermé, ouvert, en court-circuit, ou si l'impédance du circuit a été modifiée. Le circuit permet également la localisation d'éventuelles anomalies (court- circuit, coupure de ligne, ouverture de ligne, modification de l'impédance) sur le câble en déterminant à partir de ladite mesure la longueur de câble entre l'anomalie et le circuit d'évaluation 302. Ainsi une ouverture présente sur la ligne peut être évaluée comme étant un simple débranchement si celle-ci est située au niveau de la prise de branchement ou un défaut dans le circuit formé par le câble si l'ouverture se situe ailleurs que la prise murale. Bien évidemment, il est prévu d'avoir une base de données contenant l'ensemble des longueurs de câble séparant le dispositif au prises de branchement afin de pouvoir comparer la mesure de la longueur de l'anomalie avec la longueur de câble jusqu'à la prise et déterminer ainsi s'il s'agit d'un simple débranchement ou d'un défaut électrique. Il est à noter que le dispositif comprend lors de son branchement (et avant le branchement des équipements informatiques) un procédé d'auto-calibration sur l'ensemble de ses câbles branchés sur ses ports permettant de connaître la longueur de chaque câble séparant le dispositif au prises de branchement.
En référence à la figure 3a et selon une réalisation possible de l'invention, le circuit d'évaluation 302a est agencé en amont du circuit d'isolation 308a, tel que le circuit d'isolation 308, en isolant l'équipement informatique, commute le circuit d'évaluation 302a sur le circuit formé par l'équipement informatique et le câble aval évitant ainsi que le circuit d'évaluation 302a ne perturbe électriquement le réseau quand l'équipement n'est pas isolé.
Le fonctionnement du circuit d'évaluation 302 est basé sur les propriétés de propagation des ondes électromagnétiques guidées par deux conducteurs (dans notre cas une paire du câble 31). Le fonctionnement du circuit d'évaluation 302 comprend les étapes suivantes : - émettre un signal ayant une forme d'onde prédéterminé, tel qu'un train d'impulsions rectangulaires, analyser les ondes réfléchies, évaluer si la ligne est fermée, ouverte ou en court-circuit, ou si son impédance a été modifiée, - en cas de court-circuit ou d'ouverture du circuit, évaluer la localisation de l'ouverture ou du court-circuit en exprimant la longueur de câble, entre le circuit d'évaluation 302 et l'ouverture ou le court-circuit, par exemple afin de déterminer s'il s'agit d'un simple débranchement ou d'une anomalie électrique. En référence aux figures 4a à 4c, le circuit d'évaluation 302 génère une impulsion de largeur τ à t = 0 sur une ligne de longueur 1. le circuit d'évaluation comprend également un dispositif apte à mesurer l'onde réfléchie en amplitude et le temps tAR écoulé depuis le début d'émission.
En référence à la figure 4a, où le graphe 41 représente l'impulsion émise sur un axe temporelle et le graphe 42 représente l'impulsion en retour selon le même axe temporelle, si l'impulsion est renvoyée telle qu'elle a été envoyée vers le circuit d'évaluation, son aller et retour durant IAR comme illustré, cela signifie que la ligne est ouverte. Ainsi à t=0, l'impulsion de largeur τ est envoyée et elle revient telle qu'elle a été envoyée vers le circuit d'évaluation permettant de déterminer que la ligne est ouverte.
Si l'impulsion est renvoyée inversée vers le circuit d'évaluation, son aller-retour durant IAR comme illustré sur la figure 4b, alors cela signifie que la ligne est en court- circuit.
Si aucune impulsion de retour n'est pas renvoyée, comme illustré sur la figure 4c, alors cela signifie que la ligne est fermée avec une charge. Nous définissons par « fermée », le fait que la ligne soit fermée avec une charge dont la charge est non nulle (contrairement à un court-circuit). La connaissance de IAR permet de connaître la longueur 1 de câble entre l'événement précité (court-circuit ou ligne ouverte) à partir de la formule suivante : l = u.( tAR /2)
avec u = . , L et C étant respectivement la self linéique et la capacité linéique du
V LC câble. L et C sont des données qui peuvent être renseignées au circuit d'évaluation par exemple dans une phase de configuration du dispositif. Dans le cas, d'un câble Ethernet (comprenant du polypropylène), u est environ égal à 1.9xlO8 m/s. Il est à noter que dans le cas d'une ligne avec pertes (la résistance linéique du câble étant non négligeable), les résultats restent identiques mais les impulsions émises et réfléchies sont affaiblies et déformées en fonction de la longueur de la ligne. En circuit ouvert, même avec une ligne sans perte l'impulsion réfléchie a une amplitude un peu plus faible que l'impulsion émise car dans ce cas la ligne se comporte comme une antenne avec rayonnement d'énergie électromagnétique à l'extérieur.
Ce circuit d'évaluation permet d'effectuer les évaluations précédemment décrites sur tout type de câble et pas seulement sur les câbles réseau.
Il est à noter que le circuit d'évaluation peut également détecter toute modification de l'impédance du circuit, permettant ainsi de détecter un branchement en parallèle d'un deuxième équipement informatique sur le même câble dans le cas d'une tentative de leurre.
De retour à la figure 3, le dispositif de sécurité comprend également une unité de contrôle 306 destiné à contrôler et à coordonner les circuits de détection 304, d'isolement 308 et d'évaluation 302. Préférentiellement l'ensemble de ces circuits sont situés entre un transformateur aval 301 et un transformateur amont 303 dans le but de ne générer aucunes perturbation électrique dans les câbles aval et amont, de préserver l'isolation galvanique et de ne pas déséquilibrer la ligne. Facultativement, les circuits de détection 304 et d'évaluation 302 sont agencés sur des paires différences du câble réseau pour éviter toute interférence entre les fonctionnements des deux circuits. Chaque paire comprenant le circuit de détection 304 et/ou le circuit d'évaluation 302 comportent un circuit d'isolement 308. Selon une réalisation possible de l'invention, un module d'avertissement 33 est agencé sur le câble aval entre le dispositif de sécurité 30 et l'équipement informatique 32. Avantageusement, ce module d'avertissement 33 comprend un indicateur sonore 331 et un indicateur visuel 332. Ce module est commandé par le dispositif de sécurité via le câble réseau. Préférentiellement ce module d'avertissement 33 ne comprend aucune source d'alimentation électrique locale et utilise une alimentation délivrée via le câble Réseau (par exemple par la technologie « Power Over Ethernet » - norme IEEE 802.3af). On utilise préférentiellement des paires non utilisées pour l'alimentation et le contrôle du module d'avertissement 33.
Ce module est destiné à être agencé de manière permanente au câble réseau aval, l'utilisateur de l'équipement informatique venant alors brancher/débrancher directement son équipement sur le/du module d'avertissement 33.
En référence à la figure 5, le module d'avertissement 33 peut être agencé en aval d'une prise murale du réseau câblé (la prise étant relié au dispositif de sécurité 30).
Avantageusement, le dispositif de sécurité 30 est connecté à un système de contrôle d'accès physique 50. Le système de contrôle d'accès physique 50 est un système de contrôle des demandes et des autorisations d'entrées et sorties par exemple au sein d'un bâtiment ou d'un site industriel. Généralement le bâtiment est découpé en plusieurs zones géographiques, chacune des régions ayant des droits d'accès spécifique.
Chaque utilisateur (par exemple un employé dans un bâtiment) possède un dispositif de demande d'accès qui lui permet de faire un demande d'autorisation d'accès et/ou de sortie à/d'une zone géographique auprès du système de contrôle d'accès physique 50. Ce dernier vérifie la compatibilité des droits de l'utilisateur et la zone géographique demandée afin de prendre la décision de laisser ou non rentrer/sortir l'utilisateur dans ladite zone. Physiquement le contrôle physique de l'accès est garanti par exemple par des portes à ouverture et fermeture automatiques ou des portillons. Le dispositif de demande d'accès 53 de l'utilisateur est préférentiellement une carte d'accès utilisant une technologie RF (par exemple la technologie RFID ou NFC). La demande est donc établie avec le système de contrôle d'accès physique 50 via une borne de demande 52, par exemple une borne antenne RFID ou NFC. Le dispositif de sécurité 30 communique avec l'unité de contrôle 51 du système de contrôle d'accès physique 50 à l'aide du réseau câblé, ce qui évite de prévoir d'autres interfaces de communication pour le dispositif.
Ainsi le dispositif en communication avec le système de contrôle d'accès physique 50 peut connaître la position géographique d'un utilisateur.
Avantageusement, le dispositif de sécurité 30 comprend également des moyens de lecture des trames le traversant afin de déterminer des informations concernant la connexion de l'équipement information réseau, par exemple l'adresse MAC et adresse IP ou d'autre information concernant l'utilisateur de l'équipement informatique comme un identifiant de l'utilisateur. Cet identifiant (généralement accompagné d'un mot de passe) est utilisé pour identifié l'utilisateur sur l'équipement informatique. Cela permet d'une part à l'utilisateur de faire une demande d'ouverture de session sur l'équipement informatique mais également de pouvoir s'identifier auprès du réseau informatique, éventuellement dans le but de mettre à jour des éléments de l'équipement informatique correspondant à l'utilisateur (par exemple des accès à des espaces de stockage personnalisés).
Avantageusement, le dispositif comprend des espaces de stockage de l'emplacement géographique des prises murales du réseau correspondant à chaque port physique d'entrée du dispositif de sécurité.
Avantageusement, certaines prises murales du réseau correspondant à certains ports d'entrée du dispositif sont dédiées à une utilisation dite « anonyme » du réseau ; c'est-à-dire qu'elles sont dédiées au branchement d'un équipement informatique non répertorié au réseau (par exemple un équipement informatique d'une personne « visiteur »).
Avantageusement un accès d'administration 54, par exemple à l'aide d'un ordinateur connecté au réseau, est prévu pour qu'un utilisateur habilite puisse administrer et paramétrer le dispositif de sécurité 30. Il est prévu notamment que l'utilisateur puisse avoir accès au journal d'enregistrement des événements (en anglais « log ») regroupant par exemple les demandes de connexion, les tentatives d'accès, les alertes, ....
Une alerte en temps réel peut également être déclenchée au niveau de l'accès d'administration 54 afin de prévenir l'administrateur d'un événement spécifique.
De manière générale, on définit comme « alerte » ou « alarme », un avertissement porté à l'utilisateur ou à l'administrateur. Cette alerte peut prendre la forme d'une interface déclenchée au niveau de l'accès d'administration 54 à destination de l'administrateur mais aussi de l'activation du dispositif sonore et/ou visuel du module d'avertissement 33 dans le but d'avertir l'utilisateur. Ces alarmes peuvent être de priorité différente (par exemple faible, moyenne et forte) selon la gravité de l'événement. Il peut être prévu que ces alertes soient désactivables par l'administrateur via l'accès d'administration 54.
Si un équipement informatique sous surveillance est débranché sans autorisation préalable de l'utilisateur, alors une alerte est activée (par exemple au niveau du module d'avertissement 33) alerte ainsi de toute tentative de vol de l'équipement informatique. Avantageusement, il est prévu que l'équipement informatique comprenne en outre une interface de communication 321. Cette interface peut être un dispositif rajouté à l'équipement informatique (par exemple un dispositif d'interface réseau amélioré) ou un élément intrinsèque à l'équipement, par exemple sous forme d'un programme exécutable par l'unité de traitement de l'équipement informatique. Cette interface de communication est apte à communiquer avec le dispositif via le réseau câblé même lorsque l'équipement informatique est isolé du réseau par le dispositif. L'interface permet à l'utilisateur d'effectuer des demandes auprès du dispositif comme des demandes d'ouverture de session ou des demandes de débranchement de l'équipement informatique. Facultativement, l'interface permet également d'avertir l'utilisateur du déclenchement d'une alarme ou d'un avertissement émis par le dispositif. Avantageusement, l'interface de communication est apte à verrouiller automatique l'équipement informatique et/ou à forcer l'extinction de l'équipement informatique.
En référence aux figures 6a à 6d, un procédé de connexion d'un équipement réseau est composé des étapes suivantes :
Un branchement physique (étape 602) d'un équipement informatique est effectué. Ce branchement est effectué soit au niveau d'une prise murale du réseau soit au niveau d'un module d'avertissement 33 (voir figure 5). Le dispositif de sécurité détecte alors la présence de l'équipement et éventuellement l'absence d'anomalie sur le câble à l'aide du circuit d'évaluation (étape 604). Il est à noter que par défaut le circuit d'isolation isole l'équipement informatique du réseau lors de son branchement jusqu'à ce que le dispositif autorise sa connexion au réseau. Si le dispositif de sécurité détecte bien la présence de l'équipement (circuit fermé) sans anomalie, il procède à une vérification de l'anonymat du port d'entrée auquel est branché l'équipement (étape 606). Si l'équipement est branché sur un port anonyme, alors il est automatiquement mis sous surveillance avec ou sans accès au réseau informatique selon la politique de sécurité de l'établissement (étape 608). Il est noté que l'équipement informatique du type « anonyme » peut également être un équipement non réseau tel qu'un vidéoprojecteur ou un écran d'ordinateur. Dans ce cas, le câble de branchement ne sera pas un câble réseau avec une terminaison spécifique fixée sur l'équipement protégé.
Si le port n'est pas anonyme, le dispositif vérifie alors si le port n'est pas verrouillé (étape 610). En effet, le port peut avoir été verrouillé lors d'une procédure antérieure pour des raisons de sécurité, interdisant ainsi la connexion à ce port ; il est prévu de pouvoir verrouiller les ports au niveau de l'accès d'administration. Une alarme (par exemple de haute priorité) peut être enclenchée jusqu'au débranchement de l'équipement informatique. Une telle alarme peut par exemple être acquittée au niveau de l'accès d'administration (étape 612).
Si le port n'est pas verrouillé, le dispositif vérifie alors que l'horaire est autorisé (étape 614). En effet, il est prévu qu'une alarme se déclenche si un branchement est effectué durant certaines plages horaire paramétrables par exemple durant la nuit. Si l'horaire n'est pas autorisé une alarme est déclenchée (étape 616) par exemple avec un niveau moyen.
Si l'horaire est autorisé, alors le dispositif vérifie que l'équipement est bien sous tension à l'aide de son circuit de détection en vérifiant notamment la présence d'énergie électrique dans le câble (étape 618). Si l'équipement n'est pas sous tension, alors le dispositif vérifie si l'équipement est toujours branché à l'aide de son circuit d'évaluation (étape 620). Si l'équipement est toujours branché, le dispositif boucle sur l'étape précédente 618. Si l'équipement n'est plus branché, le dispositif vérifie si l'équipement a bien été débranché après une procédure autorisée (étape 622). Si ce n'est pas le cas, une alarme, par exemple de haute priorité est déclenchée (étape 624).
Si l'équipement est sous tension, le dispositif établit une connexion avec l'interface réseau de l'équipement réseau afin de récupérer l'adresse MAC de l'interface réseau (étape 626). A ce stade, l'équipement est toujours isolé du réseau.
Le dispositif effectue alors une association entre l'adresse MAC récupérée et le numéro du port physique sur lequel est branché l'équipement (étape 628).
Le dispositif vérifie alors que l'adresse MAC est autorisée à se connecter, en vérifiant par exemple qu'elle ne fait pas partie d'une liste noire paramétrable (étape 630).
Si l'adresse MAC n'est pas autorisée à se connecter, l'équipement reste isolé du réseau et une alarme, par exemple de priorité haute, est enclenchée (étape 632). Si l'équipement comprend une interface de communication avec le dispositif, alors le dispositif communique avec l'interface afin de cette dernière force l'extinction du PC (étape 634).
Le dispositif vérifie alors que le port n'est pas exclusif, c'est-à-dire réservé à une seule adresse MAC (étape 636). Si le port est exclusif, le dispositif vérifie alors que l'adresse MAC correspond bien à cette exclusivité (étape 638) ; si ce n'est pas le cas, une alarme, par exemple de faible priorité est enclenchée (étape 640). Si l'adresse MAC correspond bien à cette exclusivité ou si le port n'est pas exclusif, le dispositif est alors connecté au réseau (étape 641). L'équipement établit alors un dialogue alors avec le système de gestion du réseau afin d'établir une adresse IP (DHCP ou adresse fixe). Le dispositif détecte (ou « écoute ») cette adresse dans les trames échangée (étape 642). Une fois l'adresse IP détectée, le dispositif établit un premier jumelage entre l'adresse MAC, l'adresse IP et le numéro de port (étape 646).
Le dispositif initie un dialogue avec l'interface de communication afin d'ouvrir un canal sécurisé (étape 648). L'interface de communication ouvre alors un canal sécurisé, par exemple du type SSL avec le dispositif. L'interface de sécurité vérifie alors que le certificat correspond à un certificat valide 654. Si le certificat n'est pas valide, alors l'équipement est isolé du réseau et un alarme par exemple de niveau haute est enclenchée.
Si le certificat est valide, l'interface de communication demande une identification de l'utilisateur. Préférentiellement, l'utilisateur rentre un identifiant et un mot de passe afin d'effectuer cette identification (étape 658).
L'interface temporise alors l'ouverture de session en attendant une autorisation du dispositif (étape 660).
L'interface de communication envoie les informations d'identification au dispositif pour vérification (étape 662) à partir des trames correspondantes reçues.
Le dispositif vérifie si l'utilisateur est autorisé à utiliser l'équipement informatique, en vérifiant par exemple s'il ne fait pas partie d'une liste noire d'utilisateur (étape 666).
Si l'utilisateur n'est pas autorisé, une alarme, par exemple de priorité haute est déclenchée (étape 668). Le dispositif isole l'équipement et communique avec l'interface de communication pour que ce dernier force l'extinction de l'équipement informatique (étape 670). Si l'utilisateur est autorisé à utiliser l'équipement informatique, le dispositif vérifie alors que la localisation géographique de l'utilisateur (en communicant par exemple avec le système de contrôle d'accès physique) est la même que celle de l'équipement informatique (en comparant la localisation de l'utilisateur avec celle de la prise murale sur laquelle est branchée l'équipement) (étape 674). Si la localisation n'est pas la même, une alarme (par exemple de niveau haut) est enclenchée, et il est prévu que l'utilisateur doive s'identifier (par exemple sur le lecteur de badge) dans la même zone géographique que l'équipement informatique et éventuellement de tenter une nouvelle identification..
Si la localisation est la même, un deuxième jumelage est effectuée entre l'identifiant de utilisateur, l'adresse MAC et l'adresse IP et le numéro de port physique sur lequel est branché l'équipement informatique (étape 678).
Le dispositif créé alors un code aléatoire de jumelage ; par exemple établit à partir de l'identifiant de utilisateur, l'adresse MAC et l'adresse IP et le numéro de port physique sur lequel est branché l'équipement informatique et des données dynamiques tel que la date et l'heure du branchement ; le dispositif partage alors ce code aléatoire de jumelage avec l'interface de communication (étape 680). Le dispositif envoie alors à l'interface de communication les droits restreints ou non aux ressources du réseau pour l'utilisateur (étape 682).
Une vérification est effectuée afin de vérifier si l'utilisateur est autorisé à se connecter sur ce port physique (étape 684). Si ce n'est pas le cas, l'accès au réseau est bloqué et une alarme, par exemple de priorité faible, est enclenchée (étape 686). Si l'utilisateur est autorisé à se connecter sur ce port, le dispositif communique avec l'interface de communication afin que ce dernier autorise l'ouverture de session de l'utilisateur. Il est prévu que cette ouverture de session soit dans la limite des droits conférés par le dispositif à l'étape 682 (étape 688).
L'ensemble des étapes précédemment décrites permet de détecter un ensemble de tentatives de fraude.
Dans un premier cas, un utilisateur tente de débrancher un premier équipement et rebranche un deuxième équipement leurre à la place de ce dernier. Une première alarme est enclenchée car l'équipement a été débranché sans demande d'autorisation. Le dispositif détermine alors l'adresse MAC et/ou l'intégrité du code aléatoire de jumelage qui a été partagé à l'étape 680 et/ou l'intégrité du certificat de la communication sécurisé entre le dispositif et l'interface de communication. Dans le cas où l'une de ces informations ne serait pas identique à celle établie lors du branchement du premier équipement, une alarme peut être déclenchée, alertant l'administrateur d'une tentative de leurre. L'avantage apporté par le code aléatoire de jumelage partagé est que, dans le cas où l'équipement leurre serait configuré de telle manière à fournir la même adresse MAC que le premier équipement débranché, il ne peut pas déterminer et fournir le bon code aléatoire de jumelage partagé ; le leurre est donc automatiquement détecté. De la même manière, un équipement informatique débranché et rebranché sur un dispositif leurre, détecte le leurre grâce au code aléatoire de jumelage partagé qui n'est pas le même. Il est prévu alors que l'interface de commutation alerte l'utilisateur et/ou force l'extinction de l'équipement.
Bien entendu, un procédé de démarrage peut ne pas reprendre la totalité des étapes décrites précédemment. Notamment, si l'équipement informatique en question ne possède pas d'interface de communication, les étapes concernant les communications entre le dispositif et l'interface de communication ne sont pas mises en œuvre.
Il peut être également prévu que le module d'avertissement 33 comprenne des moyens de demande de débranchement de l'équipement. Ces moyens sont par exemple un dispositif RF (RFID ou NFC) permettant à l'utilisateur d'utiliser son badge afin d'effectuer une demande d'autorisation de débranchement. Le module d'avertissement ayant détecté la présence d'un badge (technologie RF) transmets au dispositif la demande d'autorisation avec un identifiant du badge concerné. Le dispositif vérifie alors que le détenteur du badge est bien autorisé à débrancher l'équipement et, si c'est le cas, autorise le débranchement de l'équipement, permettant à l'utilisateur de débrancher l'équipement sans déclencher d'alarme.

Claims

REVENDICATIONS
1. Dispositif électronique de sécurité pour la surveillance d'équipements informatiques (32), chacun des équipements (32) étant relié à un réseau informatique par une prise et un câble au niveau d'une interface réseau, le dispositif étant agencé entre un appareil du réseau câblé (34) et l'interface réseau de l'équipement informatique, le dispositif comprenant au niveau de chaque câble de liaison entre l'appareil de gestion du réseau câblé (34) et l'équipement à surveiller (32) : - un circuit de détection (304) apte à détecter sur ledit câble, sans perturbation, la présence d'une énergie électrique en provenance de l'équipement et révélatrice d'une activité réseau normale, et un circuit d'isolation (308) apte a être activé en l'absence d'une telle détection par le circuit de détection (304), pour isoler le câble en question dudit réseau câblé, et un circuit d'évaluation (302) apte à être activé après l'isolation effectuée par le circuit d'isolation (308), pour appliquer sur le câble un signal ayant une forme d'onde prédéterminée, pour détecter l'onde réfléchie et pour déterminer à partir de l'onde réfléchie une condition anormale dans le circuit constitué par le câble et par l'interface réseau de l'équipement.
2. Dispositif selon la revendication 1 dans lequel au moins l'un parmi le circuit d'évaluation (302), le circuit d'isolement (308) et le circuit de détection (304) est situé en amont d'un transformateur d'isolement (301) afin de ne générer aucune perturbation électrique dans le câble.
3. Dispositif selon l'une des revendications 1 à 2, lequel comprend un circuit apte à détecter les signaux circulant sur le câble et à déterminer à partir des signaux détectés au moins l'une parmi informations suivantes : l'adresse MAC de l'interface réseau, l'adresse IP de l'interface réseau, un identifiant correspondant à l'utilisateur de l'équipement informatique (32), ainsi que le port physique du dispositif sur lequel est branché l'équipement informatique.
4. Dispositif selon l'une des revendications 1 à 3, lequel comprend une interface de communication (321) avec un système de contrôle d'accès physique (50) d'un bâtiment, afin de déterminer la position géographique d'un utilisateur.
5. Ensemble de sécurité pour la surveillance d'équipements informatiques, comprenant un dispositif électronique de sécurité selon l'une des revendications 1 à 4, caractérisé en ce qu'il comprend en outre une interface de communication (321) au niveau de l'équipement informatique (32), apte à communiquer avec le dispositif à travers le réseau câblé.
6. Ensemble de sécurité selon la revendication 5, dans lequel l'interface de communication (321) est apte à demander une autorisation de débranchement de l'équipement informatique (32) et/ou une autorisation d'ouverture de session pour un utilisateur sur l'équipement informatique (32).
7. Ensemble selon la revendication 5 ou 6, comprenant en outre un module d'avertissement (33), placé entre le dispositif et un équipement informatique (32), comprenant un dispositif sonore (331) et/ou visuel (332), contrôlé par le dispositif de sécurité à travers le câble réseau.
8. Ensemble de sécurité selon l'une des revendications 5 à 7, dans lequel le dispositif de sécurité est apte à générer un code aléatoire à partir au moins une des données suivantes : adresse MAC, adresse IP, port physique du dispositif sur lequel est branché l'équipement informatique, un identifiant de l'utilisateur de l'équipement et des données dynamiques, ledit code étant ensuite partagé avec l'interface de communication (321) de l'équipement informatique (32).
9. Ensemble de sécurité selon l'une des revendications 5 à 8, dans lequel l'interface de communication (321) est apte à verrouiller automatiquement l'équipement informatique (32) et/ou à forcer l'extinction de l'équipement informatique (32).
10. Procédé pour la surveillance d'équipements informatiques, avec un dispositif de sécurité selon la revendication 1 à 4, le dispositif étant agencé entre un appareil d'un réseau câblé (34) et un équipement informatique (32) à surveiller, caractérisé en ce que le procédé comprend les étapes suivantes : - détecter sur le câble reliant l'équipement informatique (32) et le dispositif, sans perturbation, la présence d'une énergie électrique en provenance de l'équipement informatique et révélatrice d'une activité réseau normale, - si aucun signal n'est détecté, isoler le câble du réseau, - appliquer alors sur le câble un signal ayant une forme d'onde prédéterminée, détecter l'onde réfléchie, et déterminer à partir de l'onde réfléchie une condition anormale dans le circuit constitué par le câble et par l'interface réseau de l'équipement.
11. Procédé selon la revendication 10, lequel comprend en outre les étapes suivantes : détecter les signaux sur le câble et déterminer à partir des signaux détectés au moins une parmi les informations suivantes : adresse MAC, adresse IP, identifiant de l'utilisateur de l'équipement informatique, port physique du dispositif sur lequel est branché l'équipement informatique et position géographique de l'utilisateur, déterminer à partir de la ou des information(s) ci-dessus si l'équipement est autorisé à se connecter sur le réseau et/ou si l'utilisateur est autorisé à utiliser ledit équipement informatique, en fonction du résultat de l'étape précédente, autoriser ou limiter la connexion réseau de l'équipement informatique et/ou une ouverture de session pour l'utilisateur.
12. Procédé selon la revendication 10 ou 11 mis en œuvre dans un ensemble selon la revendication 5, lequel comprend en outre les étapes suivantes : créer un code aléatoire à partir d'au moins une des informations suivantes : identifiant utilisateur, adresse IP, adresse MAC, numéro de port physique, données dynamiques, partager le code aléatoire avec l'interface de communication de l'équipement informatique, dans le but de comparer ultérieurement le code de l'interface avec celui du dispositif pour détecter une tentative de leurre.
13. Procédé selon la revendication 10, lequel comprend en outre l'étape suivante : - déterminer si le circuit constitué par le câble et par l'interface réseau de l'équipement est ouvert et si l'équipement informatique est débranché sans autorisation préalable de débranchement, et dans l'affirmative, déclencher une alarme,
14. Procédé selon la revendication 13, mis en œuvre dans un ensemble selon la revendication 7, dans lequel l'étape de déclenchement d'une alarme est réalisée envoyant au module d'avertissement (33) un ordre de déclenchement du dispositif sonore (331) et/ou visuel (332).
EP08760029A 2007-05-24 2008-05-26 Dispositif électronique de sécurité pour la surveillance d'équipements informatiques, ensembles et procédés associés Ceased EP2150913A2 (fr)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
FR0703690A FR2916557A1 (fr) 2007-05-24 2007-05-24 Dispositif electronique de securite,servant a la surveillance et a la protection en continu et temps reel de tous types d'equipements informatiques et en particulier des ordinateurs portables et fixe.
PCT/EP2008/056430 WO2008142171A2 (fr) 2007-05-24 2008-05-26 Dispositif électronique de sécurité pour la surveillance d'équipements informatiques, ensembles et procédés associés

Publications (1)

Publication Number Publication Date
EP2150913A2 true EP2150913A2 (fr) 2010-02-10

Family

ID=39012153

Family Applications (1)

Application Number Title Priority Date Filing Date
EP08760029A Ceased EP2150913A2 (fr) 2007-05-24 2008-05-26 Dispositif électronique de sécurité pour la surveillance d'équipements informatiques, ensembles et procédés associés

Country Status (5)

Country Link
US (1) US20100180350A1 (fr)
EP (1) EP2150913A2 (fr)
CA (1) CA2687851A1 (fr)
FR (1) FR2916557A1 (fr)
WO (1) WO2008142171A2 (fr)

Families Citing this family (15)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8898446B2 (en) * 2010-01-05 2014-11-25 Microsemi Corp.—Analog Mixed Signal Group, Ltd. Power over ethernet extender suitable for use with multiple powering arrangements
CN102013145A (zh) * 2010-11-25 2011-04-13 富泰华工业（深圳）有限公司 具有防盗报警功能的设备及其防盗方法
DE102010064360A1 (de) * 2010-12-30 2012-07-05 Robert Bosch Gmbh Schutzeinrichtung
US20140267712A1 (en) * 2013-03-15 2014-09-18 Eaton Corporation Theft alert system for electric vehicle charging cable
WO2015148607A1 (fr) * 2014-03-25 2015-10-01 Intelligent Technologies International, Inc. Système et procédé de test sécurisé
US10540907B2 (en) 2014-07-31 2020-01-21 Intelligent Technologies International, Inc. Biometric identification headpiece system for test taking
US10438106B2 (en) 2014-11-04 2019-10-08 Intellignet Technologies International, Inc. Smartcard
RU2601148C1 (ru) 2015-06-30 2016-10-27 Закрытое акционерное общество "Лаборатория Касперского" Система и способ выявления аномалий при подключении устройств
US10678958B2 (en) 2015-12-28 2020-06-09 Intelligent Technologies International, Inc. Intrusion-protected memory component
US9979693B2 (en) * 2016-01-28 2018-05-22 Fiber Logic Communications, Inc. IP allocation method for use in telecommunication network automatic construction
US10235523B1 (en) 2016-05-10 2019-03-19 Nokomis, Inc. Avionics protection apparatus and method
US11212257B2 (en) * 2018-06-22 2021-12-28 Aeronix, Inc. Multi-level secure ethernet switch
JP7476579B2 (ja) * 2020-03-06 2024-05-01 オムロン株式会社 ケーブル異常判定システム、スレーブ装置、及びケーブル異常判定方法
CN112487668B (zh) * 2020-12-21 2021-07-13 广东工业大学 一种基于数字孪生的近物理仿真集成调试方法及其系统
DE102021202155B3 (de) * 2021-03-05 2022-04-14 Sören Maurer Netzwerkmodul

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
FR2336688A1 (fr) * 1975-12-24 1977-07-22 Rasmussen As E Equipement destine a localiser une zone ou un point le long d'un conducteur dans lequel apparait un changement d'impedance
JPS63304727A (ja) * 1987-06-05 1988-12-13 Meidensha Electric Mfg Co Ltd 伝送路の異常検出装置
EP0887651A2 (fr) * 1997-06-23 1998-12-30 Daimler-Benz Aktiengesellschaft Procédé et dispositif pour localiser un court circuit ou un circuit ouvert dans un système de bus

Family Cites Families (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5406260A (en) * 1992-12-18 1995-04-11 Chrimar Systems, Inc. Network security system for detecting removal of electronic equipment
US5905859A (en) * 1997-01-09 1999-05-18 International Business Machines Corporation Managed network device security method and apparatus
FR2770013B1 (fr) * 1997-10-16 1999-11-26 Pierre Mousel Procede de surveillance d'equipements informatiques et systeme de mise en oeuvre
GB9811641D0 (en) * 1998-05-29 1998-07-29 3Com Technologies Ltd Network security
DE10203734A1 (de) * 2002-01-30 2003-08-14 Guenther Klimkeit Computersyst Überwachungsvorrichtung für ein elektrisches Gerät
US7437755B2 (en) * 2005-10-26 2008-10-14 Cisco Technology, Inc. Unified network and physical premises access control server

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
FR2336688A1 (fr) * 1975-12-24 1977-07-22 Rasmussen As E Equipement destine a localiser une zone ou un point le long d'un conducteur dans lequel apparait un changement d'impedance
JPS63304727A (ja) * 1987-06-05 1988-12-13 Meidensha Electric Mfg Co Ltd 伝送路の異常検出装置
EP0887651A2 (fr) * 1997-06-23 1998-12-30 Daimler-Benz Aktiengesellschaft Procédé et dispositif pour localiser un court circuit ou un circuit ouvert dans un système de bus

Also Published As

Publication number Publication date
WO2008142171A3 (fr) 2009-02-12
WO2008142171A2 (fr) 2008-11-27
CA2687851A1 (fr) 2008-11-27
US20100180350A1 (en) 2010-07-15
FR2916557A1 (fr) 2008-11-28

Similar Documents

Publication Publication Date Title
EP2150913A2 (fr) Dispositif électronique de sécurité pour la surveillance d'équipements informatiques, ensembles et procédés associés
US7881209B2 (en) Method and system for protecting communication networks from physically compromised communications
US9130945B2 (en) Detection and response to unauthorized access to a communication device
CN105981079A (zh) 网络保护
EP2136530B1 (fr) Défense collaborative de dispositifs de contrôle et de protection de la distribution énergétique
EP2336990B1 (fr) Système de protection antivol silencieux pour marchandises présentées au public
Neuman et al. Mediating cyber and physical threat propagation in secure smart grid architectures
US20080174428A1 (en) Entrance security system
US7844178B1 (en) Local area warning of optical fiber intrusion
CN103093587B (zh) 一种报警系统
EP3544039B1 (fr) Procédé de consignation d'une fonction d'un appareil électrique et appareil électrique mettant en oeuvre ce procédé
FR2560624A1 (fr) Systeme antivol pour parkings pourvu d'un poste central de surveillance
EP3287402B1 (fr) Touret de cable de transport d'electricite connecte
CN112231781A (zh) 一种边缘计算服务器防盗的方法和服务器
US20200226293A1 (en) Anti-Tampering Switch for Electronic Access Control Readers
CN106150205A (zh) 一种检测异常开锁行为的方法和装置
FR2768227A1 (fr) Dispositif de surveillance d'un appareil electrique, notamment d'une unite informatique d'un parc bureautique, et systeme de mise en oeuvre
FR2553523A1 (fr) Alarme inductive de protection contre le vol par detection de circuits resonnants
EP3816957A1 (fr) Système de sécurité et de surveillance et son procédé de fonctionnement
CN111114672B (zh) 一种电动滑板车及防盗系统
US9514622B1 (en) Tamper-proof building alarm system
CN105897647A (zh) 一种防止专网网络设备连接到普通网络的设备及方法
McCullough Deterrent and detection of smart grid meter tampering and theft of electricity, water, or gas
FR2553047A1 (fr) Dispositif d'echange d'informations entre un vehicule situe sur une aire de stationnement et une centrale electronique de gestion
KR101673930B1 (ko) 임피던스 변화를 이용한 도난 및 침입을 방지하기 위한 방충망 방범시스템

Legal Events

Date Code Title Description
PUAI Public reference made under article 153(3) epc to a published international application that has entered the european phase

Free format text: ORIGINAL CODE: 0009012

17P Request for examination filed

Effective date: 20091207

AK Designated contracting states

Kind code of ref document: A2

Designated state(s): AT BE BG CH CY CZ DE DK EE ES FI FR GB GR HR HU IE IS IT LI LT LU LV MC MT NL NO PL PT RO SE SI SK TR

AX Request for extension of the european patent

Extension state: AL BA MK RS

17Q First examination report despatched

Effective date: 20101014

REG Reference to a national code

Ref country code: DE

Ref legal event code: R003

STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: THE APPLICATION HAS BEEN REFUSED

DAX Request for extension of the european patent (deleted)
18R Application refused

Effective date: 20120319