EP4540971A1 - Procédé de communication entre deux équipements, premier équipement, deuxième équipement et programme d'ordinateur correspondants - Google Patents

Procédé de communication entre deux équipements, premier équipement, deuxième équipement et programme d'ordinateur correspondants

Info

Publication number
EP4540971A1
EP4540971A1 EP23733699.5A EP23733699A EP4540971A1 EP 4540971 A1 EP4540971 A1 EP 4540971A1 EP 23733699 A EP23733699 A EP 23733699A EP 4540971 A1 EP4540971 A1 EP 4540971A1
Authority
EP
European Patent Office
Prior art keywords
equipment
mac address
secure connection
address
interface
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
EP23733699.5A
Other languages
German (de)
English (en)
Inventor
Mohamed Boucadair
Christian Jacquenet
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Orange SA
Original Assignee
Orange SA
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Orange SA filed Critical Orange SA
Publication of EP4540971A1 publication Critical patent/EP4540971A1/fr
Pending legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L61/00—Network arrangements, protocols or services for addressing or naming
    • H04L61/50—Address allocation
    • H04L61/5038—Address allocation for local use, e.g. in LAN or USB networks, or in a controller area network [CAN]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L61/00—Network arrangements, protocols or services for addressing or naming
    • H04L61/50—Address allocation
    • H04L61/5092—Address allocation by self-assignment, e.g. picking addresses at random and testing if they are already in use
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0407—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the identity of one or more communicating identities is hidden
    • H04L63/0414—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the identity of one or more communicating identities is hidden during transmission, i.e. party's identity is protected against eavesdropping, e.g. by using temporary identifiers, but is known to the other party or parties involved in the communication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2101/00—Indexing scheme associated with group H04L61/00
    • H04L2101/60—Types of network addresses
    • H04L2101/618—Details of network addresses
    • H04L2101/622—Layer-2 addresses, e.g. medium access control [MAC] addresses
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W8/00—Network data management
    • H04W8/26—Network addressing or numbering for mobility support

Definitions

  • TITLE Method of communication between two pieces of equipment, first piece of equipment, second piece of equipment and corresponding computer program.
  • the field of the invention is that of communications within at least one communication network, for example a computer network implementing the IP protocol.
  • the invention relates to the management of at least one MAC address (in English “Media Access Control”) assigned to at least one interface of equipment connected to a communications network.
  • MAC address in English “Media Access Control”
  • the invention notably proposes a solution making it possible to offer continuity of service in the event of MAC address renewal.
  • MAC addresses are identifiers assigned to network interfaces for communication purposes. These identifiers are generally assigned by network card manufacturers. A MAC address is often considered unique and permanent (i.e. not modified over time), which makes it possible to track and identify equipment such as a terminal, even when it is moving . As a result, it is possible for network access equipment (for example a router or a CPE (“Customer Premises Equipment”), etc.) to dynamically acquire the MAC address of other connected equipment to the network or to declare this MAC address to said access equipment. Furthermore, it is possible to configure the network access equipment so that it filters certain declared or dynamically acquired MAC addresses, for example so that it authorizes incoming or outgoing traffic only for declared or trusted equipment.
  • network access equipment for example a router or a CPE (“Customer Premises Equipment”), etc.
  • MAC addresses are based on messages exchanged on the network to which said other equipment and said access equipment are connected. These messages are not encrypted, and MAC addresses can therefore be hacked and used to track equipment, including determining its location. This may thus harm the confidentiality of data exchanged by users of such equipment or data characteristic of these users.
  • More and more equipment now uses a procedure for random generation (or “randomization”) of MAC addresses, that is to say, this equipment uses MAC addresses random to communicate with other equipment connected to the same network (for example local network, public access points) or to a separate network, which makes it possible in particular to contribute to the preservation of the confidentiality of data exchanged by users or user characteristic data.
  • Randomization or “randomization”
  • this equipment uses MAC addresses random to communicate with other equipment connected to the same network (for example local network, public access points) or to a separate network, which makes it possible in particular to contribute to the preservation of the confidentiality of data exchanged by users or user characteristic data.
  • Inadequate configuration of a MAC address generation mode can have negative implications on the stability of services offered in certain networks.
  • IPv4 or IPv6 IP addresses
  • the access network seeks to isolate the or the source(s) of the attack (i.e. the local network that initiated the attack).
  • filters based in particular on the IPv4 address or the IPv6 prefix allocated to the access equipment which connects said local network and the access network can be set up in the one of the access equipment.
  • filtering based on an IPv4 address is not optimal because the IPv4 address that is subject to such filtering is generally used to transmit traffic sent by, or to, all equipment connected to the access equipment, which makes it difficult, if not impossible, to identify the equipment behind the attack by this single shared IPv4 address.
  • the access equipment will filter the traffic coming from or destined for said equipment, and it will not be possible to precisely identify the malicious equipment among the different equipment connected to the access equipment via the local network.
  • Such filters also have the disadvantage of impacting access to different services by legitimate equipment connected to the same access equipment (and therefore foreign to the attack).
  • the client is then on the one hand the victim of a malicious entity which uses some of the equipment connected to its local network to serve as a relay for attack traffic (for example an IP camera or any other connected object), and on the other hand On the other hand, it undergoes a significant deterioration in quality or even the unavailability of the services to which he has subscribed as soon as such filters are activated by the access network operator.
  • Such degradation may in particular be caused by a traffic clipping procedure (“rate-limiting” in English) implemented by one or more pieces of equipment in the access operator's network.
  • the message corresponds for example to at least one frame belonging to the group comprising: a frame which describes the current MAC address that the first equipment uses to communicate with or via the second equipment, for example a Q.UIC frame called here " CURRENT_MAC_ADDRESS”, a frame which describes a candidate MAC address that the first device plans to use to communicate with or via the second device, for example a Q.UIC frame called here "CANDIDATE_MAC_ADDRESS”, a frame which describes a list of MAC addresses that the first equipment plans to use to communicate with or via the second equipment, for example a Q.UIC frame called here “LIST_MAC_ADDRESS”.
  • the proposed solution makes it possible to offer continuity of service, even in the event of MAC address renewal.
  • the proposed solution is, in the rest of this document, called MUSC (in English “Efficient MAC address Update for Service Continuity”).
  • the first equipment and the second equipment can be connected to the same network, for example a local network, such as a home network or a corporate intranet network, or to separate networks.
  • a local network such as a home network or a corporate intranet network
  • Such a network may possibly be a hierarchical network, that is to say a network within which one or more IP routers have been deployed.
  • IP connectivity can be provided via a wired network, or wireless (e.g. 5G), or both.
  • the first equipment is a terminal (fixed or mobile, such as a computer, a smartphone, etc.) and the second equipment is access equipment such as a CPE, an access point (in English "hotspot”). ), an STB (in English “Set-Top Box” or TV decoder), a router, a gateway, etc.
  • access equipment makes it possible, for example, to connect equipment to a local network, particularly if it is a CPE.
  • such access equipment makes it possible to connect equipment from a local network to an external network, particularly if it is an access router.
  • the first interface of the first equipment is for example a WLAN (Wireless LAN) interface, an Ethernet interface, etc.
  • the intermediate equipment may be another router located on the path between the first equipment and the second equipment.
  • the proposed solution does not require explicit authentication or establishment of a security association between the first equipment (terminal for example) and the second equipment (CPE for example) for each exchange of packets with equipment external to the network.
  • said at least one MAC address comprises a current MAC address associated with the first interface and used to communicate with or via the second equipment or the intermediate equipment, and the first equipment implements the reception, using the first secure connection, of a message verifying the absence of a conflict in the use of the current MAC address.
  • the first device can generate a (new) MAC address, assign it to the first interface, then the second device can check the absence of conflict in the use of this current MAC address. If a conflict is detected, the second device can transmit to the first device a request to renew the current MAC address.
  • said at least one MAC address comprises at least one candidate MAC address capable of being associated with the first interface and used to communicate with or via the second equipment or the intermediate equipment, and the first equipment puts implements the reception, using the first secure connection, of a message verifying the absence of conflict in the use of at least one of the candidate MAC addresses, and, in the event of absence of conflict, the association of the first interface with a verified candidate MAC address.
  • the first equipment can generate at least one candidate MAC address
  • the second equipment can check the absence of conflict of use of this or these candidate MAC addresses, then assign one of the verified candidate MAC addresses (i.e. not presenting no usage conflict) at the first interface. If a conflict is detected, the second equipment can transmit to the first equipment a request for renewal of the candidate MAC address(es) concerned.
  • the method implemented by the first equipment comprises receiving, using the first secure connection, a security key generated by the second equipment.
  • Such a key can be used permanently or be renewed dynamically, and possibly regularly.
  • a key can be generated randomly, periodically or following a triggering event.
  • the first equipment can use this key to transmit the encrypted message comprising at least one MAC address associated or able to be associated with the first interface, which makes it possible to improve the security of the exchanges and possibly to detect a theft of the identity of the first equipment.
  • MAC_TOKEN when the Q.UIC protocol is used for the first secure connection, such a key can be received in a Q.UIC frame, called for example MAC_TOKEN.
  • a temporary IP address is allocated to the first equipment for transmitting the message, and the method implements an allocation of a new IP address to the first equipment after validation, by the second equipment, of said at minus a MAC address.
  • a temporary IP address makes it possible to establish communication with the second equipment, but not with other equipment on the network. Only once said at least one MAC address is validated by the second equipment (ie in the event of no conflict in the use of said at least one MAC address and possible verification of a security context), the IP address temporary can be reconfigured into a permanent IP address, and used by the first device to communicate with other devices on the network or external networks. This temporary address is used to check more generally whether the first device is authorized to connect to the network.
  • This approach has the advantage of ensuring tight communications, by using a temporary IP address for exchanges linked to the verification of access rights, particularly the declaration of MAC address to the second equipment, and another IP address for communications with local network equipment or external networks.
  • This solution also makes it possible to ensure the security of connections (including access control to a WLAN network) without requiring a security function at layer 2 (Layer 2 (L2) of the OSI model).
  • the method comprises the reception, by the first equipment, of a request for generation of at least one new MAC address capable of being associated with the first interface of the first equipment
  • Such a request may come from the second equipment or from another equipment, for example from a remote server.
  • the first equipment can contact the remote server for a given service, receive a request for generation of at least one new MAC address coming from the remote server, then implement the steps making it possible to associate its first interface with a new MAC address as presented above.
  • the first equipment may have a list of at least one candidate MAC address that the first equipment plans to use to communicate with the second equipment (“LIST_MAC_ADDRESS”), and associate its first interface with an address candidate from the list following receipt of the request to generate at least one new MAC address.
  • LIST_MAC_ADDRESS a list of at least one candidate MAC address that the first equipment plans to use to communicate with the second equipment
  • Receiving the request to generate at least one new MAC address can therefore be implemented before or after obtaining at least one candidate MAC address.
  • the invention further relates to a method of communication between the first equipment and the second equipment, implemented by the second equipment, and comprising: establishing a first secure connection between the first equipment and the second equipment, via a first communication interface of the first equipment, receiving, using the first secure connection, a message comprising at least one encrypted MAC address, associated or able to be associated with the first interface and used to communicate with or via the second equipment or intermediate equipment located on a path communication between the first equipment and the second equipment, validation of said at least one MAC address.
  • the first equipment can thus declare to the second equipment the current MAC address which it uses to communicate with or via the second equipment, or at least one candidate MAC address which it wishes to use to communicate with or via the second equipment.
  • the second equipment can in particular validate said at least one MAC address; more particularly, it can check the absence of conflict in the use of said at least one MAC address, and possibly check a security context shared between the first equipment and the second equipment.
  • said validation implements the verification of the absence of conflict in the use of said at least one MAC address and, if no conflict is detected, the transmission to the first equipment of a verification message absence of conflict of use.
  • the second equipment can transmit to the first equipment a Q.UIC frame, for example called "MAC_IN_USE", if the current MAC address or the candidate MAC address is not available (because it is, for example, already used by other network equipment or because it has been used recently).
  • the second equipment can transmit to the first equipment an acknowledgment message (“ACK”) in response to the message comprising the encrypted MAC address.
  • ACK acknowledgment message
  • said validation implements the verification of a security context shared between the first equipment and the second equipment, associated with said at least one MAC address.
  • such a security context belongs to the group comprising: a security key known to the first equipment and the second equipment, information representative of an authentication certificate of the first equipment, such as for example: o the authentication certificate itself, o an identifier of an authentication certificate of the first equipment, o a digest of a certificate authentication of the first equipment, etc.
  • the second equipment implements the creation, or updating, of at least one filtering rule associated with the first equipment, with said at least one MAC address.
  • a filtering rule can thus be associated with at least one MAC address and possibly a security context.
  • a filter rule may or may not be active. By default, it is active if it is associated with a MAC address.
  • a validity period can be configured for a filter rule.
  • the method implements a preliminary phase of configuring the filtering rules.
  • a configuration phase can for example be implemented by an administrator via an administration interface and/or using a configuration protocol.
  • the method implemented by the second equipment comprises the transmission, using the first secure connection, of a security key generated by the second equipment.
  • such a key can be used permanently or be renewed dynamically.
  • the security key can be generated randomly, periodically, following a triggering event, etc.
  • Such a key can for example be transmitted in a Q.UIC “MAC_TOKEN” frame.
  • a temporary IP address being allocated to the first equipment for transmitting the message implements an allocation of a new IP address to the first equipment after said validation of said at least one address
  • the second equipment thus allocates a new IP address to the first equipment only once said at least one MAC address is validated by the second equipment and more generally when the rules of access to the service have been validated (for example, taking into account access time slots for parental control purposes).
  • the second equipment transmits to the first equipment a proposal for at least one new MAC address capable of being associated with the first interface of the first equipment, using the first secure connection between the first equipment and the second equipment .
  • such a proposal can be transmitted following the detection of a conflict with the current MAC address or an encrypted candidate MAC address, as declared by the first equipment in the message. If the first secure connection is based on the Q.UIC protocol, such a proposal can be transmitted in the Q.UIC “MAC_IN_USE” frame.
  • the first equipment and the second equipment can exchange messages to confirm that they are capable of implementing the invention, according to at least one embodiment.
  • the first equipment implements the transmission of a first parameter signaling to the second equipment that the first equipment is capable of transmitting a message comprising at least one encrypted MAC address, associated or capable of being associated with the first interface and used to communicate with or via the second equipment or the intermediate equipment.
  • this first parameter signals to the second equipment that the first equipment is able to change its current MAC address (either spontaneously or upon receipt of a MAC address renewal request), to transmit at least one candidate MAC address, etc.
  • the second equipment also implements, for example upon receipt of this first parameter, the transmission of a second parameter signaling to the first equipment that the second equipment is capable of receiving the message comprising at least one encrypted MAC address, associated or capable of be associated with the first interface and used to communicate with or via the second equipment or the intermediate equipment.
  • such parameters are Q.UIC transport parameters called here "mac-update", and valued at 1 to indicate that the equipment transmitting the Q.UIC message comprising such a parameter supports the method according to the invention.
  • the exchange of such parameters can be implemented before transmission, by the first equipment, of the message comprising at least one encrypted MAC address.
  • the invention relates to corresponding first equipment and second equipment.
  • One embodiment of the invention also aims to protect one or more computer programs comprising instructions adapted to the implementation of the communication method according to at least one embodiment of the invention as described above, when this or these programs are executed by a processor, as well as at least one computer-readable information medium comprising instructions for at least one computer program as mentioned above.
  • Figure 1 presents an example of network architecture
  • Figure 2 illustrates the main steps of a communication method according to at least one embodiment of the invention
  • Figure 3 illustrates the exchange of parameters to check the compatibility of two pieces of equipment according to one embodiment of the invention
  • Figures 4, 5 and 6 illustrate examples of messages exchanged between a first piece of equipment and a second piece of equipment to declare MAC addresses according to one embodiment of the invention
  • Figure 7 presents a particular embodiment based on the use of a temporary IP address for connection to the network
  • Figure 8 shows the simplified structure of a first piece of equipment, respectively second piece of equipment, according to a particular embodiment.
  • the general principle of the invention is based on the use of a secure connection between a first piece of equipment and a second piece of equipment, allowing the first piece of equipment to manage the current MAC address(es) that it uses to communicate with or via the second equipment, or at least one candidate MAC address that it plans to use to communicate with or via the second equipment.
  • the second equipment can validate the current MAC address or addresses or a list of at least one candidate MAC address, that is to say in particular verify the absence of conflict in the use of the current MAC addresses. or candidates, and possibly verify a security context shared between the first equipment and the second equipment.
  • the first device can thus renew its addresses current MACs using at least one candidate MAC address previously validated by the second equipment, upon decision of the first equipment or upon receipt of a MAC address renewal request coming from the second equipment or from another equipment, for example a remote server.
  • a local network LAN Local Area Network
  • a first piece of equipment 11 for example a terminal Hll
  • a second piece of equipment 12 for example a gateway residential, also called HG for “Home Gateway” or CPE.
  • the first equipment 11 can in particular be in communication with a remote server S 13, via the second equipment 12.
  • a residential gateway typically serves as an interface between the user's local network and the network of an operator with whom the user has subscribed to a service offer (ISP, "Internet Service Provider” in English). It is therefore access equipment to an operator's network through which all the traffic characteristic of the different services subscribed to by the user passes, and which also supports a set of services provided locally to terminals (for example FTP service “File Transfer Protocol”, “Network File System” NFS service, media server, etc.).
  • ISP Internet Service Provider
  • FIG. 2 illustrates the main steps implemented by the first equipment 11 and the second equipment 12 for the implementation of the communication method according to one embodiment of the invention.
  • a first secure connection is established between the first equipment 11 and the second equipment 12, via a first communication interface of the first equipment 11.
  • a secure connection uses a Q.UIC protocol , CoAP/DTLS, PCP, etc.
  • Q.UIC protocol a Q.UIC protocol
  • CoAP/DTLS a secure connection that uses a Q.UIC protocol
  • PCP a secure connection that uses a Q.UIC protocol
  • the establishment of such a secure connection being classic, it is not described in more detail here.
  • the first equipment 11 transmits a message to the second equipment 12, using the first secure connection.
  • a message includes at least one encrypted MAC address, associated or capable of being associated with the first interface and used to communicate with or via the second equipment or an intermediate equipment located on a communication path between the first equipment and the second equipment.
  • the second equipment 12 can thus receive such a message during a step 121, and validate the MAC address(es) received during a step 122.
  • filtering rules associated with the MAC addresses are configured in the second equipment 12 (CPE).
  • CPE second equipment 12
  • Such rules make it possible to accept traffic coming from/destining for equipment having an interface configured with a given MAC address (if this MAC address is associated with an action such as “authorization to send traffic with this MAC address”). or belongs to an "accept-list”) or to reject traffic coming from or destined for a given MAC address (if this MAC address is associated with an action such as "reject traffic using this MAC address”, or belongs to a “discard-list”).
  • Certain rules can be configured or pre-configured in the second equipment, for example via an administration interface and/or the use of a configuration protocol, for example such as PCP, NETCONF, RESTCONF, etc. They can in particular be updated when a new MAC address is associated with an interface of the first equipment.
  • a configuration protocol for example such as PCP, NETCONF, RESTCONF, etc.
  • filtering rules include several parameters: a “MAC address” type parameter, an “action” type parameter, for example an authorization (“accept”) or a rejection (“discard”) of traffic , a “rule status” type parameter, for example active or candidate rule, a “security context” type parameter, a “rule validity” type parameter, for example permanent validity, validity up to one certain date, etc.
  • the following table presents an example of a table of filtering rules which can be maintained by the second equipment 12. Of course, some of these parameters may be optional.
  • the filtering rule is activated (state of the rule set to “Active”), that is to say that the rule is taken into account when the second device processes traffic to or from this MAC address (for example rejecting traffic to or from address @MAC2).
  • the rule is identified with a status set to “Candidate”).
  • a rule can enter the "Active" state when at least one MAC address is associated with the rule, as described below.
  • domain name authentication mechanisms can be implemented, such as ACME (“Automatic Certificate Management Environment”, as described in document RFC 8555 dated March 2019), o a summary of a certificate of authentication of the first equipment (“Certificate Digest”, in English) whose production is based on a hashing algorithm (“Hash algorithm” in English) such as SHA2-256 (“Secure Hash Algorithm v2”, 256 bits) .
  • This digest can be used, for example, to validate a request to modify a MAC address filtering rule.
  • a rule can be instantiated and activated when connecting equipment to the local network and/or following receipt by the second equipment 12 of a consent message from a local network administrator.
  • a default rule can be configured on the second equipment 12 to control the processing of packets which do not correspond to any of the explicitly declared MAC address filtering rules. For example, this default rule could be to prohibit access to local network or Internet connectivity for all undeclared MAC addresses.
  • a rule can also be associated with a validity period, for example permanent, or indicate an expiry date for the rule.
  • a rule can be automatically deleted from the table on this deadline.
  • the table can also include a configuration parameter that allows sharing a key (“Token ”, in English) with equipment that connects to a network for the first time.
  • a key (“Token ”, in English) with equipment that connects to a network for the first time.
  • Such a key can be used to initialize the association between the first equipment and the second equipment (for example during a first association with the network). It can subsequently be replaced by another security key, which can be transmitted by the second equipment in the Q.UIC “MAC_TOKEN” frame as described subsequently.
  • the first equipment can communicate with other equipment on the network using one or more communication interfaces, for example a WLAN interface, an Ethernet interface, etc.
  • the first equipment 11 detects its default gateway, which may possibly be different for each of its interfaces.
  • the default gateway is the second equipment, i.e. the CPE connected to the same local network as the first equipment.
  • the second equipment 12 (CPE) is the default gateway for the first interface of the first equipment 11.
  • DHCP_OFFER DHCP_OFFER message
  • MTU Maximum Transmission Unit
  • the first equipment then establishes a first secure connection with the second equipment 12 (CPE), which is the default gateway for the first interface of the first equipment 11.
  • CPE the second equipment 12
  • the first equipment can use as destination address the IP address of the default gateway, discovered for example from the DHCP_OFFER message. If no IP address allowing the default gateway to be reached is acquired by the first device, it uses a dedicated anycast address such as 192.0.0.9/32 or 2001:l::l/128, as proposed in the document RFC 6890 (April 2013).
  • the first secure connection uses a QUIC/UDP protocol.
  • the first secure connection may use the CoAP/DTLS protocol or any other protocol allowing the establishment of a secure connection.
  • the first equipment uses a new Q.UIC transport parameter (as provided in section 7.4.2 of document RFC 9000, May 2021), called here “mac-update”, to signal to the second equipment that it supports the MUSC procedure which ensures continuity of service even when the MAC addresses are generated randomly (“randomization”).
  • the first equipment uses a new Q.UIC transport parameter (as provided in section 7.4.2 of document RFC 9000, May 2021), called here “mac-update”, to signal to the second equipment that it supports the MUSC procedure which ensures continuity of service even when the MAC addresses are generated randomly (“randomization”).
  • the first equipment uses a new Q.UIC transport parameter (as provided in section 7.4.2 of document RFC 9000, May 2021), called here “mac-update”, to signal to the second equipment that it supports the MUSC procedure which ensures continuity of service even when the MAC addresses are generated randomly (“randomization”).
  • the first equipment uses a new Q.UIC transport parameter (as provided in section 7.4.2 of document RFC 9
  • the second equipment 12 that the first equipment 11 is able to change its current MAC address (either spontaneously or upon receipt of a MAC address renewal request), to transmit at least one candidate MAC address, etc. If the second device also supports the MUSC procedure, it can respond using the new Q.UIC transport parameter “mac-update”. In other words, the second equipment 12 implements the transmission 32 of a second parameter signaling to the first equipment 11 that the second equipment 12 is capable of processing the MAC address(es) received from the first equipment 11.
  • the second equipment 12 sends, to the first equipment 11 at the origin of the establishment of a first secure connection Q.UIC, a frame comprising a security key shared by the two equipment.
  • a frame is transmitted using the first secure connection (Q.UIC frame according to the example considered).
  • Q.UIC frame is transmitted using the first secure connection (Q.UIC frame according to the example considered).
  • MAC_TOKEN such a frame is called “MAC_TOKEN”.
  • the security key is preferably generated by the second equipment, randomly.
  • the security key for example by transmitting it with the MAC address encrypted in a Q.UIC frame
  • the security key is therefore an example of a security context that can be associated with a rule.
  • the second device can also renew its security key (for example periodically) and transmit the new key to the first device in a new “MAC_TOKEN” frame, using the first secure connection.
  • the first equipment can transmit a message to the second equipment using the first secure connection.
  • a message includes at least one encrypted MAC address, associated or able to be associated with the first interface of the first equipment and used to communicate with or via the second equipment (CPE) or an intermediate equipment (router) located on a communication path between the first equipment and the second equipment.
  • CPE second equipment
  • router intermediate equipment
  • Different types of messages can be sent from the first equipment 11 to the second equipment 12 (step 111 of Figure 2).
  • the message corresponds to at least one Q.UIC frame which describes the current MAC address that the first equipment uses to communicate with or via the second equipment, called for example here "CURRENT_MAC_ADDRESS".
  • CURRENT_MAC_ADDRESS Such a current MAC address is therefore already assigned to the first interface used to contact the second equipment.
  • the insertion of the current MAC address in the new frame, and therefore its encryption linked to the use of the Q.UIC secure connection allows the second equipment to compare information carried in the encrypted part of the message (for example the current MAC address) with information conveyed in clear in the Q.UIC connection (for example the source MAC address) and to detect possible manipulation of the information conveyed in clear.
  • Inserting the current MAC address in the new frame also makes it possible to communicate the current MAC address to the second device even if it is not directly connected to the first device (case of an intermediate device such as a router for example ).
  • Figure 4 illustrates an example of messages exchanged between the first equipment 11 and the second equipment 12.
  • the first equipment 11 and the second equipment 12 can exchange messages 31, 32 to verify that they support both the MUSC procedure.
  • Several “CURRENT_MAC_ADDRESS” frames can be present in a message.
  • the first equipment 11 can send a message comprising at least one “CURRENT_MAC_ADDRESS” frame 41 on the first secure connection, from its current MAC address @MAC1 assigned to the first interface of the first equipment 11 to communicate with or via the second equipment 12.
  • this message includes the encrypted current address @MAC1.
  • the second equipment 12 can in particular carry out a step of validating the current MAC address @MAC1.
  • the second equipment 12 can check whether the source MAC address @MAC1 and the encrypted current MAC address @MAC1 are identical.
  • the second equipment 12 can also implement a verification of the absence of conflict to use the current MAC address @MAC1.
  • the second equipment 12 is conventionally an access equipment to the network of an operator through which passes all the traffic characteristic of the different services subscribed to by the user. It therefore has knowledge of the different MAC addresses used in the network. For example, if no conflict of use is detected with the current MAC address @MAC1, the second equipment 12 transmits (42) an acknowledgment message (ACK) to the first equipment 11.
  • ACK acknowledgment message
  • the second equipment 12 can also implement a verification of a security context between the first equipment 11 and the second equipment 12. For example, the second equipment 12 verifies the reception of a “MAC_TOKEN” frame comprising a security key to authenticate the first equipment 11 before transmitting the acknowledgment message (ACK) to the first equipment 11.
  • MAC_TOKEN MAC_TOKEN
  • the second equipment 12 can accept or refuse the first secure connection depending on the security context(s) that it maintains with the first equipment 11, or according to a consent that the second equipment 12 requests from an administrator.
  • the first equipment 11 can communicate with equipment connected to the local network and with equipment connected to the Internet network, in application of the filtering rules set up by the second equipment 12.
  • the first equipment 11 can generate at least one new MAC address (for example d6:e2:d6:33:bb:61), and transmit this new MAC address (d6:e2:d6:33:bb:61) encrypted in a transmitted message that uses the first secure connection.
  • the second equipment 12 can then update the filtering rules, as described above.
  • the updating of the filtering rules can take place before or after the change of the MAC address, in a preventive or corrective mode.
  • the first equipment 11 can prepare the MAC address migration by previously indicating to the second equipment 12 at least one MAC address that it plans to use, called a candidate MAC address.
  • the first equipment 11 can verify with the second equipment 12 that the candidate MAC address is available. This makes it possible in particular to avoid a conflict with the MAC addresses used by other equipment connected to the same network and avoids impacting the service access delay induced by a change of MAC address.
  • the message sent by the first equipment 11 to the second equipment 12, via the first secure connection corresponds to a Q.UIC frame, called for example here "CANDIDATE_MAC_ADDRESS", comprising at least one encrypted candidate address.
  • the second equipment 12 can return an ACK 52 acknowledgment message via the first secure connection, and the candidate MAC address @MAC2 (a5:c7:ef:82:58:e9 ) can be assigned to the first interface of the first equipment 11.
  • the second equipment 12 can return a message, called for example here “MAC_IN_USE” 61 via the first secure connection.
  • the second equipment 12 can return an ACK 63 acknowledgment message via the first secure connection, and the candidate MAC address @MAC3 (3f:el:48:la:13:6c ) can be assigned to the first interface of the first equipment 11.
  • the second equipment 12 can transmit to the first equipment 11 a proposed MAC address to be used for the first interface of the first equipment 11, for example in a dedicated field of the “MAC_IN_USE” frame. This field is called here “SUGGESTED_MAC”.
  • the frame may also include a recommendation for the validity period of MAC addresses used in this network.
  • the first equipment 11 can accept or refuse the MAC address proposal coming from the second equipment 12.
  • the first equipment 11 can then send the “CURRENT_MAC_ADDRESS” frame or the “LIST_MAC_ADDRESSES” frame depending on the use or not of the candidate address.
  • multiple messages including encrypted MAC addresses can be transmitted using the first secure connection.
  • a temporary IP address @ IPI is allocated to the first equipment 11.
  • Such a temporary IP address is used to allow the configuration of local information to the first equipment 11 during a step of configuration 71 (identification of the default gateway associated with the first interface of the first equipment in particular).
  • Such a temporary IP address can thus be used to establish communication with the second equipment 12 (i.e. the default gateway), but not with other equipment on the network or an external network.
  • a first secure connection can then be established via the first interface of the first equipment 11 and the second equipment 12, and messages comprising encrypted MAC addresses such as messages comprising at least one “CURRENT_MAC_ADDRESS”, “CANDIDATE_MAC_ADDRESS”, or “LIST_MAC_ADDRESS” frame. » can be transmitted from the first equipment 11 to the second equipment 12 using the first secure connection, during the MUSC 72 procedure.
  • IP address reconfiguration procedure 73 can be triggered by the second equipment 12.
  • IP address reconfiguration procedure 73 makes it possible to assign to the first equipment 11 an IP address extracted from another range (@IP2 according to Figure 7), which allows the first equipment 11 to be reachable on the network.
  • the second equipment 12 can generate a Q.UIC PATH_CHALLENGE 74 message to the source IP address of a received packet (@IP2), upon receipt of an IP packet with a source address (@IP2 ) different from that known to the second equipment 12 (@IP1) for the associated MAC address (@MAC1).
  • the first equipment 11 must return a valid PATH_RESPONSE 75 response to the second equipment 12, which allows the second equipment 12 to validate the new IP address (@IP2) and grant the access privileges associated with said MAC address (@ MAC1) used by the first equipment 11 which used the new IP address (@IP2) to communicate (with the second equipment 12 or via the second equipment 12).
  • Another implementation variant is based on the establishment of a first secure connection using the PCP protocol, as described in document RFC 7652 of September 2015.
  • a new message comprising at least one encrypted MAC address, called for example MAC_FILTER message , is transmitted from the first equipment to the second equipment.
  • the encrypted MAC address corresponds for example to a new MAC address associated or capable of being associated with a first interface of the first equipment and used to communicate with or via the second equipment or an intermediate equipment located on a communication path between the first equipment and the second equipment.
  • the presence of the MAC_FILTER message indicates that the new MAC address can be used to instantiate an entry from a MAP or PEER request.
  • the second equipment 12 calculates the digest of the certificate presented by the first equipment 11 using the same algorithm (for example an SHA2-256 type algorithm). If the digest thus obtained corresponds to a trusted digest maintained by the second equipment 12, the latter proceeds to create or update a MAC address filtering rule with the new MAC address.
  • a first piece of equipment can renew its MAC address without impacting the services (for example, parental control) and the filtering rules implemented within a network.
  • the coordination of the first equipment with the second equipment to update a filtering rule using a Secure connection is advantageous because it helps detect MAC address spoofing.
  • the procedure described above can be implemented for one or more interfaces of the first equipment, and for one or more network equipment. Different second devices (gateways, routers, etc.) can in particular be contacted via the different interfaces of the same first device (for example a WLAN interface, an Ethernet interface, etc.).
  • security identifiers per second device can be used to condition the establishment of the secure connection (that is to say that these identifiers are used to confirm that the first equipment contacts, via its communication interface, the second equipment authorized to establish a secure connection with the first equipment through this interface).
  • a first piece of equipment El (respectively a second piece of equipment E2), according to one embodiment of the invention, comprises a memory 81 E I (respectively 81 E 2), a processing unit 82 E I (respectively 82 E2 ), equipped by example of a programmable calculation machine or a dedicated calculation machine, for example a processor P, and controlled by the computer program 83 E I (respectively 83 E2 ), implementing steps of the communication method according to at least one embodiment of the invention.
  • the code instructions of the computer program 83 E I are for example loaded into a RAM memory before being executed by the processor of the processing unit 82 E I (respectively 82 E2 ).
  • the processor of the processing unit 82 E I of the first equipment implements steps of the communication method described previously, according to the instructions of the computer program 83 E I, to: establish a first secure connection with the second equipment E2 , via a first communication interface of the first equipment, transmit, using the first secure connection, a message comprising at least one encrypted MAC address, associated or capable of being associated with the first interface and used to communicate with or via the second equipment or intermediate equipment located on a communication path between said first equipment and said second equipment.
  • the processor of the processing unit 82 E 2 of the second equipment implements steps of the communication method described previously, according to the instructions of the computer program 83 E 2, to: establish a first secure connection with the first equipment El , via a first communication interface of the first equipment, receive, using the first secure connection, a message comprising at least one encrypted MAC address, associated or able to be associated with said first interface and used to communicate with or via said second equipment or intermediate equipment located on a communication path between said first equipment and said second equipment, validate said at least one MAC address.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Small-Scale Networks (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Computer And Data Communications (AREA)

Abstract

L'invention concerne un procédé de communication entre un premier équipement (11) et un deuxième équipement (12), mis en œuvre par ledit premier équipement, comprenant: l'établissement (21) d'une première connexion sécurisée entre ledit premier équipement et ledit deuxième équipement, via une première interface de communication dudit premier équipement, la transmission (111), en utilisant ladite première connexion sécurisée, d'un message comportant au moins une adresse MAC chiffrée, associée ou apte à être associée à ladite première interface et utilisée pour communiquer avec ou via ledit deuxième équipement ou un équipement intermédiaire localisé sur un chemin de communication entre ledit premier équipement et ledit deuxième équipement.

Description

DESCRIPTION
TITRE : Procédé de communication entre deux équipements, premier équipement, deuxième équipement et programme d'ordinateur correspondants.
1. Domaine de l'invention
Le domaine de l'invention est celui des communications au sein d'au moins un réseau de communication, par exemple un réseau informatique mettant en œuvre le protocole IP.
Plus précisément, l'invention concerne la gestion d'au moins une adresse MAC (en anglais « Media Access Control ») affectée à au moins une interface d'un équipement connecté à un réseau de communication.
L'invention propose notamment une solution permettant d'offrir une continuité de service en cas de renouvellement d'adresse MAC.
2. Art antérieur
Les adresses MAC sont des identifiants affectés à des interfaces réseau pour les besoins de communication. Ces identifiants sont généralement affectés par les fabricants des cartes réseau. Une adresse MAC est souvent considérée comme unique et permanente (c'est-à-dire non modifiée dans le temps), ce qui permet de suivre et d'identifier un équipement tel qu'un terminal, même lorsque celui-ci est en mouvement. De ce fait, il est possible pour un équipement d'accès au réseau (par exemple un routeur ou un CPE (« Customer Premises Equipment »), etc.) d'acquérir de façon dynamique l'adresse MAC d'un autre équipement connecté au réseau ou de déclarer cette adresse MAC audit équipement d'accès. Par ailleurs, il est possible de paramétrer l'équipement d'accès au réseau pour qu'il filtre certaines adresses MAC déclarées ou acquises dynamiquement, par exemple pour qu'il autorise le trafic entrant ou sortant uniquement pour les équipements déclarés ou de confiance.
Toutefois, l'acquisition dynamique ou la déclaration d'adresses MAC repose sur des messages échangés sur le réseau auquel sont connectés ledit autre équipement et ledit équipement d'accès. Ces messages ne sont pas chiffrés, et les adresses MAC peuvent donc être piratées et utilisées pour suivre un équipement, et notamment déterminer son emplacement. Ceci peut ainsi nuire à la confidentialité des données échangées par des utilisateurs de tels équipements ou des données caractéristiques de ces utilisateurs.
De plus en plus d'équipements (machines, systèmes d'exploitation, etc.) utilisent désormais une procédure de génération aléatoire (ou « randomisation ») d'adresses MAC, c'est-à-dire que ces équipements utilisent des adresses MAC aléatoires pour communiquer avec d'autres équipements connectés au même réseau (par exemple réseau local, points d'accès public) ou à un réseau distinct, ce qui permet notamment de contribuer à la préservation de la confidentialité des données échangées par des utilisateurs ou des données caractéristiques des utilisateurs. Une configuration inadéquate d'un mode de génération d'adresses MAC peut avoir des implications négatives sur la stabilité des services offerts dans certains réseaux. En effet, plusieurs services reposent sur l'adresse MAC pour l'identification des équipements et l'application de certaines politiques, telles que les règles d'accès aux services, la priorisation d'accès aux ressources locales (imprimante, par exemple), les règles de mitigation d'attaques de déni de service (DDoS, en anglais « Distributed Denial of Service »), le contrôle parental, l'allocation d'adresses IP fixes, etc., ou lorsqu'il s'agit de solliciter l'approbation d'un administrateur lorsqu'un nouvel équipement se connecte au réseau. L'utilisation d'adresses MAC aléatoires peut alors conduire au filtrage ou au rejet du trafic d'un équipement normalement autorisé par un équipement d'accès (par exemple un CPE), parce qu'il n'aurait pas reconnu l'adresse MAC affectée à l'équipement. L'utilisation d'adresses MAC aléatoires peut ainsi empêcher un équipement « légitime », habilité à communiquer par l'équipement d'accès, d'accéder à des services locaux ou distants (Internet, etc.), ce qui est préjudiciable à l'expérience client.
Des solutions reposant sur l'utilisation d'adresses IP (IPv4 ou IPv6) ont également été proposées dans le contexte des attaques DDoS pour les besoins d'identification et de mitigation. Par exemple, lorsqu'une attaque DDoS est détectée (soit par un signalement d'une victime ou d'un opérateur tiers, soit par détection locale effectuée par le fournisseur de connectivité, par exemple), le réseau d'accès cherche à isoler la ou les source(s) de l'attaque (c.-à-d. le réseau local qui est à l'origine de l'attaque). Pour ce faire, des filtres reposant notamment sur l'adresse IPv4 ou le préfixe IPv6 alloués à l'équipement d'accès (par exemple au CPE) qui connecte ledit réseau local et le réseau d'accès peuvent être mis en place dans l'un des équipements d'accès.
Cependant, le filtrage reposant sur une adresse IPv4 n'est pas optimal car l'adresse IPv4 qui fait l'objet d'un tel filtrage est généralement utilisée pour transmettre le trafic envoyé par, ou à destination de, tous les équipements connectés à l'équipement d'accès, ce qui rend difficile, voire impossible, l'identification de l'équipement à l'origine de l'attaque par cette seule adresse IPv4 partagée. En d'autres termes, si les différents équipements connectés à l'équipement d'accès via le réseau local partagent une même adresse IPv4, l'équipement d'accès filtrera le trafic en provenance ou à destination desdits équipements, et il ne sera pas possible d'identifier précisément l'équipement malveillant parmi les différents équipements connectés à l'équipement d'accès via le réseau local.
De tels filtres ont par ailleurs l'inconvénient d'impacter l'accès aux différents services par des équipements légitimes connectés au même équipement d'accès (et donc étrangers à l'attaque). Le client est alors d'une part victime d'une entité malveillante qui utilise certains des équipements connectés à son réseau local pour servir de relais du trafic d'attaque (par exemple une caméra IP ou tout autre objet connecté), et d'autre part, il subit une dégradation sensible de la qualité voire l'indisponibilité des services auxquels il a souscrit dès que de tels filtres sont activés par l'opérateur du réseau d'accès. Une telle dégradation peut notamment être provoquée par une procédure d'écrêtage du trafic (« rate-limiting », en anglais) mise en œuvre par un ou plusieurs équipements du réseau de l'opérateur d'accès.
On note également que maintenir et appliquer des filtres reposant sur une liste d'adresses autorisées ou non (liste couramment appelée ACL (« Access Control List ») en anglais) par un routeur provoque très souvent une dégradation de ses performances, puisqu'un tel routeur doit balayer l'intégralité des entrées de ces listes avant de décider d'acheminer (ou non) un paquet reçu. Le filtrage reposant sur une adresse ou un préfixe IPv6 n'est pas plus efficace car un équipement malveillant peut générer de nouvelles adresses IPv6 (264 adresses disponibles) et échapper ainsi aux règles de filtrage mises en place par un réseau d'accès. L'application de règles de filtrage reposant sur des adresses ou des préfixes IPv6 peut ainsi être détournée de son objectif initial pour générer une attaque DDoS contre le routeur qui maintient ladite liste de filtrage. En effet, un équipement malveillant peut générer un grand nombre d'adresses IPv6 à une fréquence élevée afin d'atteindre rapidement la capacité maximale de traitement des paquets par un équipement d'accès, de sorte que celui-ci devienne hors service.
Afin de s'affranchir de telles limitations, une solution a été documentée dans le document RFC 9066 (« Distributed Denial-of-Service Open Threat Signaling (DOTS) Signal Channel Call Home ») daté de décembre 2021, pour signaler à l'équipement d'accès, typiquement à un CPE, qu'un équipement du réseau local émet/relaie du trafic d'attaque. Ce signalement comporte plusieurs informations telles que l'adresse source, le numéro de port source, le protocole, etc. Ces informations sont utilisées par l'équipement d'accès pour identifier (par exemple par consultation de sa table ARP (« Address Resolution Protocol » en anglais, ou protocole de résolution d'adresses)) l'adresse IP interne (par exemple l'adresse IPv4 privée) affectée à l'équipement malveillant (ou exploitée à des fins malveillantes) et qui correspond aux informations ainsi signalées. Ensuite, l'équipement d'accès configure des filtres sur la base de l'adresse MAC de l'équipement ainsi identifié pour contrôler l'accès aux services (trafic entrant, trafic sortant, etc.). Ce contrôle consiste typiquement à restreindre l'accès au réseau audit équipement.
Toutefois, une telle solution est difficile à mettre en œuvre en cas de renouvellement de l'adresse MAC.
Il existe donc un besoin d'une nouvelle solution permettant par exemple d'assurer une continuité de service en cas de renouvellement d'adresse MAC.
3. Exposé de l'invention
L'invention propose une solution sous la forme d'un procédé de communication entre un premier équipement et un deuxième équipement. Selon l'invention, le premier équipement met en œuvre les étapes suivantes : l'établissement d'une première connexion sécurisée entre le premier équipement et le deuxième équipement, via une première interface de communication du premier équipement, la transmission, en utilisant la première connexion sécurisée, d'un message comportant au moins une adresse MAC chiffrée, associée ou apte à être associée à la première interface et utilisée pour communiquer avec ou via le deuxième équipement ou un équipement intermédiaire localisé sur un chemin de communication entre le premier équipement et le deuxième équipement.
Ainsi, selon ce mode de réalisation de l'invention, le premier équipement peut déclarer au deuxième équipement l'adresse MAC courante qu'il utilise pour communiquer avec ou via le deuxième équipement, ou au moins une adresse MAC candidate qu'il souhaite utiliser pour communiquer avec ou via le deuxième équipement. Le chiffrement d'au moins une adresse MAC permet de renforcer la confidentialité de l'information transmise. De plus, ce mode de réalisation permet de communiquer cette ou ces adresses MAC au deuxième équipement lorsqu'il n'est pas directement connecté au premier équipement (cas d'un réseau hiérarchique par exemple). Enfin, il est possible pour un équipement destinataire dudit message de comparer l'adresse MAC source du message (qui peut être transportée en clair dans l'entête du message) avec l'adresse MAC chiffrée telle que déclarée dans le message, pour détecter une éventuelle manipulation frauduleuse des adresses MAC.
La solution proposée permet ainsi, selon au moins un mode de réalisation, de contribuer à la préservation de la confidentialité des communications.
Par exemple, la première connexion sécurisée repose sur un protocole de transport sécurisé, comme le protocole Q.UIC, ou sur un protocole applicatif sécurisé tel que le protocole CoAP (en anglais « Constrained Application Protocol ») sur DTLS (en anglais « Datagram Transport Layer Security »), ou le protocole PCP (en anglais « Port Control Protocol »), etc. La solution proposée offre ainsi l'avantage d'utiliser des fonctions supportées par un protocole sécurisé, et ne repose pas simplement sur l'utilisation d'adresses MAC. L'utilisation d'un canal sécurisé et le chiffrement des adresses MAC permet notamment d'obtenir une autorisation d'accès au réseau sur la base de l'adresse MAC même si le contrôle d'accès est activé par un équipement qui n'est pas sur le même lien (c'est-à-dire, situé à plusieurs sauts IP).
Ainsi, le message correspond par exemple à au moins une trame appartenant au groupe comprenant : une trame qui décrit l'adresse MAC courante que le premier équipement utilise pour communiquer avec ou via le deuxième équipement, par exemple une trame Q.UIC appelée ici « CURRENT_MAC_ADDRESS », une trame qui décrit une adresse MAC candidate que le premier équipement envisage d'utiliser pour communiquer avec ou via le deuxième équipement, par exemple une trame Q.UIC appelée ici « CANDIDATE_MAC_ADDRESS », une trame qui décrit une liste d'adresses MAC que le premier équipement prévoit d'utiliser pour communiquer avec ou via le deuxième équipement, par exemple une trame Q.UIC appelée ici « LIST_MAC_ADDRESS ».
Dans un mode de réalisation particulier, la solution proposée permet d'offrir une continuité de service, même en cas de renouvellement d'adresse MAC. La solution proposée est, dans la suite de ce document, dénommée MUSC (en anglais « Efficient MAC address Update for Service Continuity »).
Le premier équipement et le deuxième équipement peuvent être connectés à un même réseau, par exemple un réseau local, tel qu'un réseau domestique ou un réseau intranet d'entreprise, ou à des réseaux distincts. Un tel réseau peut éventuellement être un réseau hiérarchique, c'est-à-dire un réseau au sein duquel un ou plusieurs routeurs IP ont été déployés. La connectivité IP peut être fournie via un réseau filaire, ou sans fil (par ex. 5G), ou les deux.
Par exemple, le premier équipement est un terminal (fixe ou mobile, comme un ordinateur, un smartphone, etc.) et le deuxième équipement est un équipement d'accès tel qu'un CPE, un point d'accès (en anglais « hotspot »), une STB (en anglais « Set-Top Box » ou décodeur TV), un routeur, une passerelle, etc. Un tel équipement d'accès permet par exemple de connecter un équipement à un réseau local, notamment s'il s'agit d'un CPE. En variante, un tel équipement d'accès permet de connecter un équipement d'un réseau local à un réseau externe, notamment s'il s'agit d'un routeur d'accès.
La première interface du premier équipement est par exemple une interface WLAN (Wireless LAN), une interface Ethernet, etc. L'équipement intermédiaire peut être un autre routeur localisé sur le chemin entre le premier équipement et le deuxième équipement. Aucune hypothèse n'est faite quant à la nature des équipements impliqués ou l'architecture du ou des réseaux. De même, aucune hypothèse n'est faite quant à la nature du ou des services mis en place sur la base des adresses MAC.
En particulier, la solution proposée ne requiert pas d'authentification explicite ou d'établissement d'association de sécurité entre le premier équipement (terminal par exemple) et le deuxième équipement (CPE par exemple) pour chaque échange de paquets avec des équipements externes au réseau.
Selon un mode de réalisation particulier, ladite au moins une adresse MAC comprend une adresse MAC courante associée à la première interface et utilisée pour communiquer avec ou via le deuxième équipement ou l'équipement intermédiaire, et le premier équipement met en œuvre la réception, en utilisant la première connexion sécurisée, d'un message de vérification d'absence de conflit d'utilisation de l'adresse MAC courante.
Dans ce cas, le premier équipement peut générer une (nouvelle) adresse MAC, l'affecter à la première interface, puis le deuxième équipement peut vérifier l'absence de conflit d'utilisation de cette adresse MAC courante. Si un conflit est détecté, le deuxième équipement peut transmettre au premier équipement une demande de renouvellement de l'adresse MAC courante.
Selon un autre mode de réalisation particulier, ladite au moins une adresse MAC comprend au moins une adresse MAC candidate apte à être associée à la première interface et utilisée pour communiquer avec ou via le deuxième équipement ou l'équipement intermédiaire, et le premier équipement met en œuvre la réception, en utilisant la première connexion sécurisée, d'un message de vérification d'absence de conflit d'utilisation d'au moins une des adresses MAC candidates, et, en cas d'absence de conflit, l'association de la première interface avec une adresse MAC candidate vérifiée.
Dans ce cas, le premier équipement peut générer au moins une adresse MAC candidate, le deuxième équipement peut vérifier l'absence de conflit d'utilisation de cette ou ces adresses MAC candidates, puis affecter l'une des adresses MAC candidates vérifiées (i.e. ne présentant pas de conflit d'utilisation) à la première interface. Si un conflit est détecté, le deuxième équipement peut transmettre au premier équipement une demande de renouvellement de la ou des adresses MAC candidates concernées.
Dans un mode de réalisation particulier, le procédé mis en œuvre par le premier équipement comprend la réception, en utilisant la première connexion sécurisée, d'une clé de sécurité générée par le deuxième équipement.
Une telle clé peut être utilisée de manière permanente ou être renouvelée de façon dynamique, et éventuellement régulière. Ainsi, une telle clé peut être générée aléatoirement, de façon périodique ou suite à un événement déclencheur. De cette façon, le premier équipement peut utiliser cette clé pour transmettre le message chiffré comportant au moins une adresse MAC associée ou apte à être associée à la première interface, ce qui permet d'améliorer la sécurité des échanges et éventuellement de détecter une usurpation de l'identité du premier équipement.
Par exemple, lorsque le protocole Q.UIC est utilisé pour la première connexion sécurisée, une telle clé peut être reçue dans une trame Q.UIC, appelée par exemple MAC_TOKEN.
Dans un mode de réalisation particulier, une adresse IP temporaire est allouée au premier équipement pour la transmission du message, et le procédé met en œuvre une allocation d'une nouvelle adresse IP au premier équipement après validation, par le deuxième équipement, de ladite au moins une adresse MAC. En particulier, une telle adresse IP temporaire permet d'établir une communication avec le deuxième équipement, mais pas avec les autres équipements du réseau. Une fois seulement que ladite au moins une adresse MAC est validée par le deuxième équipement (i.e. en cas d'absence de conflit d'utilisation de ladite au moins une adresse MAC et vérification éventuelle d'un contexte de sécurité), l'adresse IP temporaire peut être reconfigurée en adresse IP permanente, et utilisée par le premier équipement pour communiquer avec les autres équipements du réseau ou des réseaux externes. Cette adresse temporaire est utilisée pour contrôler plus généralement si le premier équipement est habilité à se connecter au réseau.
Cette approche a l'avantage d'assurer une étanchéité des communications, en utilisant une adresse IP temporaire pour les échanges liés à la vérification des droits d'accès, particulièrement la déclaration d'adresse MAC auprès du deuxième équipement, et une autre adresse IP pour les communications avec les équipements du réseau local ou des réseaux externes.
Cette solution permet également d'assurer la sécurisation des connexions (y compris le contrôle d'accès à un réseau WLAN) sans nécessiter de fonction de sécurité au niveau de la couche 2 (Layer 2 (L2) du modèle OSI).
Dans un mode de réalisation particulier, le procédé comprend la réception, par le premier équipement, d'une demande de génération d'au moins une nouvelle adresse MAC apte à être associée à la première interface du premier équipement
Une telle demande peut provenir du deuxième équipement ou d'un autre équipement, par exemple d'un serveur distant.
Selon un premier exemple, le premier équipement peut contacter le serveur distant au titre d'un service donné, recevoir une demande de génération d'au moins une nouvelle adresse MAC en provenance du serveur distant, puis mettre en œuvre les étapes permettant d'associer sa première interface avec une nouvelle adresse MAC comme présenté ci-dessus.
Selon un deuxième exemple, le premier équipement peut disposer d'une liste d'au moins une adresse MAC candidate que le premier équipement prévoit d'utiliser pour communiquer avec le deuxième équipement (« LIST_MAC_ADDRESS »), et associer sa première interface avec une adresse candidate de la liste suite à la réception de la demande de génération d'au moins une nouvelle adresse MAC.
La réception de la demande de génération d'au moins une nouvelle adresse MAC peut donc être mise en œuvre avant ou après l'obtention d'au moins une adresse MAC candidate.
L'invention concerne par ailleurs un procédé de communication entre le premier équipement et le deuxième équipement, mis en œuvre par le deuxième équipement, et comprenant : l'établissement d'une première connexion sécurisée entre le premier équipement et le deuxième équipement, via une première interface de communication du premier équipement, la réception, en utilisant la première connexion sécurisée, d'un message comportant au moins une adresse MAC chiffrée, associée ou apte à être associée à la première interface et utilisée pour communiquer avec ou via le deuxième équipement ou un équipement intermédiaire localisé sur un chemin de communication entre le premier équipement et le deuxième équipement, la validation de ladite au moins une adresse MAC.
Comme indiqué ci-dessus, le premier équipement peut ainsi déclarer au deuxième équipement l'adresse MAC courante qu'il utilise pour communiquer avec ou via le deuxième équipement, ou au moins une adresse MAC candidate qu'il souhaite utiliser pour communiquer avec ou via le deuxième équipement.
Le deuxième équipement peut notamment valider ladite au moins une adresse MAC ; plus particulièrement, il peut vérifier l'absence de conflit d'utilisation de ladite au moins une adresse MAC, et éventuellement vérifier un contexte de sécurité partagé entre le premier équipement et le deuxième équipement.
En particulier, comme également indiqué ci-dessus, le deuxième équipement peut vérifier que l'adresse MAC source du message, véhiculée en clair dans le message transmis via la première connexion sécurisée, est conforme à l'adresse MAC courante chiffrée et telle que déclarée dans le message, ce qui permet de détecter la manipulation éventuelle des informations véhiculées en clair dans la première connexion.
Selon un mode de réalisation particulier, ladite validation met en œuvre la vérification d'absence de conflit d'utilisation de ladite au moins une adresse MAC et, si aucun conflit n'est détecté, la transmission au premier équipement d'un message de vérification d'absence de conflit d'utilisation. Par exemple, lorsque le protocole Q.UIC est utilisé pour la première connexion sécurisée, le deuxième équipement peut transmettre au premier équipement une trame Q.UIC, par exemple appelée « MAC_IN_USE », si l'adresse MAC courante ou l'adresse MAC candidate n'est pas disponible (parce qu'elle est par exemple déjà utilisée par un autre équipement du réseau ou parce qu'elle a été utilisée récemment). A l'inverse, si l'adresse MAC est disponible, le deuxième équipement peut transmettre au premier équipement un message d'acquittement (« ACK ») en réponse au message comprenant l'adresse MAC chiffrée.
Selon un mode de réalisation particulier, ladite validation met en œuvre la vérification d'un contexte de sécurité partagé entre le premier équipement et le deuxième équipement, associé à ladite au moins une adresse MAC.
Par exemple, un tel contexte de sécurité appartient au groupe comprenant : une clé de sécurité connue du premier équipement et du deuxième équipement, une information représentative d'un certificat d'authentification du premier équipement, telle que par exemple : o le certificat d'authentification lui-même, o un identifiant d'un certificat d'authentification du premier équipement, o un condensé d'un certificat d'authentification du premier équipement, etc.
Ainsi, le premier équipement peut transmettre, en plus de ladite au moins une adresse MAC associée ou apte à être associée à la première interface et utilisée pour communiquer avec ou via le deuxième équipement ou l'équipement intermédiaire, un contexte de sécurité, que le deuxième équipement peut vérifier pour confirmer l'identité du premier équipement.
Dans un mode de réalisation particulier, le deuxième équipement met en œuvre la création, ou la mise à jour, d'au moins une règle de filtrage associée au premier équipement, avec ladite au moins une adresse MAC.
Une règle de filtrage peut ainsi être associée à au moins une adresse MAC et éventuellement un contexte de sécurité.
Une règle de filtrage peut être associée à une action de type acceptation ou rejet du trafic (incluant le trafic correspondant aux demandes de connexion au réseau) en provenance et/ou à destination du premier équipement, identifié par ladite adresse MAC.
Une règle de filtrage peut être active ou non. Par défaut, elle est active si elle est associée à une adresse MAC.
Éventuellement, une durée de validité peut être configurée pour une règle de filtrage.
Selon un mode de réalisation particulier, le procédé met en œuvre une phase préalable de configuration des règles de filtrage. Une telle phase de configuration peut par exemple être mise en œuvre par un administrateur via une interface d'administration et/ou en utilisant un protocole de configuration.
Dans un mode de réalisation particulier, le procédé mis en œuvre par le deuxième équipement comprend la transmission, en utilisant la première connexion sécurisée, d'une clé de sécurité générée par le deuxième équipement.
Comme indiqué précédemment, une telle clé peut être exploitée de façon permanente ou être renouvelée de façon dynamique. Dans ce dernier cas, la clé de sécurité peut être générée aléatoirement, de façon périodique, suite à un événement déclencheur, etc. Une telle clé peut par exemple être transmise dans une trame Q.UIC « MAC_TOKEN ».
Dans un mode de réalisation particulier, une adresse IP temporaire étant allouée au premier équipement pour la transmission du message, le procédé met en œuvre une allocation d'une nouvelle adresse IP au premier équipement après ladite validation de ladite au moins une adresse
MAC.
Comme indiqué précédemment, le deuxième équipement alloue ainsi une nouvelle adresse IP au premier équipement une fois seulement que ladite au moins une adresse MAC est validée par le deuxième équipement et plus généralement lorsque les règles d'accès au service ont été validées (par exemple, prise en compte des plages horaires d'accès pour les besoins de contrôle parental). Dans un mode de réalisation particulier, le deuxième équipement transmet au premier équipement une proposition d'au moins une nouvelle adresse MAC apte à être associée à la première interface du premier équipement, en utilisant la première connexion sécurisée entre le premier équipement et le deuxième équipement.
Par exemple, une telle proposition peut être transmise suite à la détection d'un conflit avec l'adresse MAC courante ou une adresse MAC candidate chiffrée, telle que déclarée par le premier équipement dans le message. Si la première connexion sécurisée repose sur le protocole Q.UIC, une telle proposition peut être transmise dans la trame Q.UIC « MAC_IN_USE ».
Dans un mode de réalisation particulier, le premier équipement et le deuxième équipement peuvent échanger des messages pour confirmer qu'ils sont aptes à mettre en œuvre l'invention, selon au moins un mode de réalisation.
Par exemple, le premier équipement met en œuvre la transmission d'un premier paramètre signalant au deuxième équipement que le premier équipement est apte à transmettre un message comportant au moins une adresse MAC chiffrée, associée ou apte à être associée à la première interface et utilisée pour communiquer avec ou via le deuxième équipement ou l'équipement intermédiaire. En d'autres termes, ce premier paramètre signale au deuxième équipement que le premier équipement est apte à changer son adresse MAC courante (soit spontanément, soit à la réception d'une demande de renouvellement d'adresse MAC), à transmettre au moins une adresse MAC candidate, etc.
Le deuxième équipement met également en œuvre, par exemple à réception de ce premier paramètre, la transmission d'un deuxième paramètre signalant au premier équipement que le deuxième équipement est apte à recevoir le message comportant au moins une adresse MAC chiffrée, associée ou apte à être associée à la première interface et utilisée pour communiquer avec ou via le deuxième équipement ou l'équipement intermédiaire.
Par exemple, de tels paramètres sont des paramètres de transport Q.UIC appelés ici « mac-update », et valorisés à 1 pour indiquer que l'équipement émetteur du message Q.UIC comportant un tel paramètre supporte le procédé selon l'invention.
L'échange de tels paramètres peut être mis en œuvre avant la transmission, par le premier équipement, du message comprenant au moins une adresse MAC chiffrée. Dans d'autres modes de réalisation, l'invention concerne un premier équipement et un deuxième équipement correspondants.
Un mode de réalisation de l'invention vise aussi à protéger un ou plusieurs programmes d'ordinateur comportant des instructions adaptées à la mise en œuvre du procédé de communication selon au moins un mode de réalisation de l'invention tel que décrit ci-dessus, lorsque ce ou ces programmes sont exécutés par un processeur, ainsi qu'au moins un support d'informations lisible par un ordinateur comportant des instructions d'au moins un programme d'ordinateur tel que mentionné ci-dessus.
4. Liste des figures
D'autres caractéristiques et avantages de l'invention apparaîtront plus clairement à la lecture de la description suivante d'un mode de réalisation particulier, donné à titre de simple exemple illustratif et non limitatif, et des dessins annexés, parmi lesquels : la figure 1 présente un exemple d'architecture de réseaux ; la figure 2 illustre les principales étapes d'un procédé de communication selon au moins un mode de réalisation de l'invention ; la figure 3 illustre l'échange de paramètres pour vérifier la compatibilité de deux équipements selon un mode de réalisation de l'invention ; les figures 4, 5 et 6 illustrent des exemples de messages échangés entre un premier équipement et un deuxième équipement pour déclarer des adresses MAC selon un mode de réalisation de l'invention ; la figure 7 présente un mode de réalisation particulier basé sur l'utilisation d'une adresse IP temporaire pour le raccordement au réseau ; la figure 8 présente la structure simplifiée d'un premier équipement, respectivement deuxième équipement, selon un mode de réalisation particulier.
5. Description d'un mode de réalisation de l'invention
5.1 Principe général
Le principe général de l'invention repose sur l'utilisation d'une connexion sécurisée entre un premier équipement et un deuxième équipement, permettant au premier équipement de gérer l'adresse ou les adresses MAC courante(s) qu'il utilise pour communiquer avec ou via le deuxième équipement, ou au moins une adresse MAC candidate qu'il envisage d'utiliser pour communiquer avec ou via le deuxième équipement. De cette façon, le deuxième équipement peut valider l'adresse ou les adresses MAC courantes ou une liste d'au moins une adresse MAC candidate, c'est- à-dire vérifier notamment l'absence de conflit d'utilisation des adresses MAC courantes ou candidates, et éventuellement vérifier un contexte de sécurité partagé entre le premier équipement et le deuxième équipement. Le premier équipement peut ainsi renouveler ses adresses MAC courantes en utilisant au moins une adresse MAC candidate préalablement validée par le deuxième équipement, sur décision du premier équipement ou à réception d'une demande de renouvellement d'adresse MAC en provenance du deuxième équipement ou d'un autre équipement, par exemple un serveur distant.
A titre d'exemple, comme illustré dans la figure 1, on considère un réseau local LAN (« Local Area Network ») comprenant au moins un premier équipement 11, par exemple un terminal Hll, et un deuxième équipement 12, par exemple une passerelle résidentielle, encore appelée HG pour « Home Gateway » ou CPE. Le premier équipement 11 peut notamment être en communication avec un serveur distant S 13, via le deuxième équipement 12.
On rappelle qu'une passerelle résidentielle sert classiquement d'interface entre le réseau local de l'utilisateur et le réseau d'un opérateur auprès duquel l'utilisateur a souscrit une offre de service (ISP, « Internet Service Provider » en anglais). C'est donc un équipement d'accès au réseau d'un opérateur par lequel transite l'ensemble du trafic caractéristique des différents services souscrits par l'utilisateur, et qui supporte également un ensemble de services fournis localement aux terminaux (par exemple service FTP « File Transfer Protocol », service NFS « Network File System », serveur média, etc.).
Comme indiqué au préalable, d'autres architectures réseau ou d'autres natures d'équipements peuvent être utilisés dans le cadre de l'invention.
La figure 2 illustre les principales étapes mises en œuvre par le premier équipement 11 et le deuxième équipement 12 pour la mise en œuvre du procédé de communication selon un mode de réalisation de l'invention.
Au cours d'une première étape 21, une première connexion sécurisée est établie entre le premier équipement 11 et le deuxième équipement 12, via une première interface de communication du premier équipement 11. Par exemple, une telle connexion sécurisée utilise un protocole Q.UIC, CoAP/DTLS, PCP, etc. L'établissement d'une telle connexion sécurisée étant classique, il n'est pas décrit plus en détail ici.
Au cours d'une étape suivante 111, le premier équipement 11 transmet un message au deuxième équipement 12, en utilisant la première connexion sécurisée. Un tel message comporte au moins une adresse MAC chiffrée, associée ou apte à être associée à la première interface et utilisée pour communiquer avec ou via le deuxième équipement ou un équipement intermédiaire localisé sur un chemin de communication entre le premier équipement et le deuxième équipement.
Le deuxième équipement 12 peut ainsi recevoir un tel message au cours d'une étape 121, et valider la ou les adresses MAC reçues au cours d'une étape 122.
5.2 Exemple de mise en œuvre
On présente ci-après un mode de réalisation particulier, selon lequel le premier équipement 11 peut changer d'adresse MAC tout en bénéficiant d'une continuité de service (c'est-à-dire, l'équipement peut continuer de fournir ou d'accéder à ses services même en cas de changement d'adresse MAC). Pour ce faire, des règles de filtrage associées aux adresses MAC sont configurées dans le deuxième équipement 12 (CPE). De telles règles permettent d'accepter le trafic provenant / à destination d'un équipement ayant une interface configurée avec une adresse MAC donnée (si cette adresse MAC est associée à une action de type « autorisation à émettre du trafic avec cette adresse MAC », ou appartient à une « accept-list ») ou de rejeter le trafic provenant ou à destination d'une adresse MAC donnée (si cette adresse MAC est associée à une action de type « rejet du trafic utilisant cette adresse MAC », ou appartient à une « discard-list »).
5.2.1 Configuration des règles
Certaines règles peuvent être configurées ou pré-configurées dans le deuxième équipement, par exemple via une interface d'administration et/ou l'utilisation d'un protocole de configuration, par exemple tel que PCP, NETCONF, RESTCONF, etc. Elles peuvent notamment être mises à jour lorsqu'une nouvelle adresse MAC est associée à une interface du premier équipement.
On note que la configuration des règles ne suppose pas que l'équipement concerné par la règle est connecté au réseau local au moment de la configuration.
On décrit ci-après quelques exemples de règles de filtrage. On considère par exemple qu'une règle de filtrage comprend plusieurs paramètres : un paramètre de type « adresse MAC », un paramètre de type « action », par exemple une autorisation (« accept ») ou un rejet (« discard ») du trafic, un paramètre de type « état de la règle », par exemple règle active ou candidate, un paramètre de type « contexte de sécurité », un paramètre de type « validité de la règle », par exemple validité permanente, validité jusqu'à une certaine date, etc.
Le tableau suivant présente un exemple d'une table de règles de filtrage qui peut être maintenue par le deuxième équipement 12. Bien entendu, certains de ces paramètres peuvent être facultatifs.
Ainsi, on considère par exemple que si au moins une adresse MAC est associée à une règle, alors la règle de filtrage est activée (état de la règle valorisé à « Active »), c'est-à-dire que la règle est prise en compte lors du traitement par le deuxième équipement du trafic à destination ou en provenance de cette adresse MAC (par exemple rejet du trafic à destination ou en provenance de l'adresse @MAC2). En revanche, si aucune adresse MAC n'est associée à une règle, alors la règle est identifiée avec un état valorisé à « Candidate »).
Une règle peut passer à l'état « Active » quand au moins une adresse MAC est associée à la règle, comme décrit ci-après.
Une règle peut également être associée à un contexte de sécurité entre le premier équipement (identifié par l'adresse MAC) et le deuxième équipement (maintenant les règles de filtrage). Le contexte de sécurité peut être : une clé de sécurité partagée, connue du premier et du deuxième équipement, une information représentative d'un certificat d'authentification du premier équipement, telle que : o un certificat d'authentification du premier équipement ; o un identifiant d'un certificat d'authentification du premier équipement, par exemple un identifiant de certificat PKIX (par exemple, un nom de domaine ou une adresse IP). A titre d'exemple, des mécanismes d'authentification de noms de domaine peuvent être mis en œuvre, comme ACME (« Automatic Certificate Management Environment », tel que décrit dans le document RFC 8555 daté de mars 2019), o un condensé d'un certificat d'authentification du premier équipement (« Certificate Digest », en anglais) dont la production repose sur un algorithme de hachage (« Hash algorithm » en anglais) tel que SHA2-256 (« Secure Hash Algorithm v2 », 256 bits). Ce condensé peut être utilisé, par exemple, pour la validation d'une demande de modification d'une règle de filtrage d'adresse MAC.
Une règle peut être instanciée et activée lors de la connexion d'un équipement au réseau local et/ou à la suite de la réception par le deuxième équipement 12 d'un message de consentement d'un administrateur du réseau local.
Une règle par défaut peut être configurée sur le deuxième équipement 12 pour contrôler le traitement des paquets qui ne correspondent à aucune des règles de filtrage d'adresses MAC explicitement déclarées. Par exemple, cette règle par défaut peut consister à interdire l'accès au réseau local ou à la connectivité Internet pour toutes les adresses MAC non-déclarées.
Une règle peut également être associée à une durée de validité, par exemple permanente, ou indiquer une date d'échéance de la règle. Une règle peut être automatiquement supprimée de la table à cette échéance.
La table peut aussi inclure un paramètre de configuration qui permet de partager une clé (« Token », en anglais) avec un équipement qui se connecte pour la première fois à un réseau. En particulier, une telle clé peut être utilisée pour initialiser l'association entre le premier équipement et le deuxième équipement (par ex. lors d'une première association avec le réseau). Elle peut par la suite être remplacée par une autre clé de sécurité, qui peut être transmise par le deuxième équipement dans la trame Q.UIC « MAC_TOKEN » comme décrit par la suite.
5.2.2 Connexion d'un équipement au réseau
On considère que le premier équipement 11 souhaite se connecter au réseau LAN.
Pour ce faire, le premier équipement peut utiliser son adresse MAC par défaut (adresse MAC courante) ou générer une nouvelle adresse MAC pour se connecter au réseau LAN. Cette adresse MAC peut être utilisée pour générer du trafic de service au moment de la connexion (par exemple un message de broadcast ARP ou un message NS (« Neighbor Solicitation »)).
On note que le premier équipement peut communiquer avec d'autres équipements du réseau en utilisant une ou plusieurs interfaces de communication, par exemple une interface WLAN, une interface Ethernet, etc.
Le premier équipement 11 détecte sa passerelle par défaut, qui peut éventuellement être différente pour chacune de ses interfaces. Selon l'exemple considéré, la passerelle par défaut est le deuxième équipement, i.e. le CPE connecté au même réseau local que le premier équipement. Ainsi, le deuxième équipement 12 (CPE) est la passerelle par défaut pour la première interface du premier équipement 11.
L'identité d'une telle passerelle peut être communiquée par un message DHCP_OFFER, classiquement utilisé pour affecter une adresse IP à un équipement et le renseigner notamment sur sa passerelle par défaut, la valeur MTU (« Maximum Transmission Unit »), etc.
On note que la passerelle par défaut peut être connectée au même réseau LAN que le premier équipement ou se situer à plusieurs sauts IP du premier équipement, par exemple dans le cas où le réseau local est un réseau routé qui comprend un routeur en plus du CPE. Dans ce cas, le CPE peut centraliser la procédure de contrôle d'accès et particulièrement la procédure de gestion et de mise à jour des adresses MAC, et le routeur supplémentaire est un « équipement intermédiaire » au sens de l'invention.
Comme indiqué dans la figure 2, le premier équipement établit alors une première connexion sécurisée avec le deuxième équipement 12 (CPE), qui est la passerelle par défaut pour la première interface du premier équipement 11. Pour ce faire, le premier équipement peut utiliser comme adresse de destination l'adresse IP de la passerelle par défaut, découverte par exemple à partir du message DHCP_OFFER. Si aucune adresse IP permettant de joindre la passerelle par défaut n'est acquise par le premier équipement, celui-ci utilise une adresse anycast dédiée telle que 192.0.0.9/32 ou 2001:l::l/128, comme proposé dans le document RFC 6890 (avril 2013). On considère par la suite que la première connexion sécurisée utilise un protocole QUIC/UDP. Comme déjà indiqué, dans d'autres modes de réalisation, la première connexion sécurisée peut utiliser le protocole CoAP/DTLS ou tout autre protocole permettant l'établissement d'une connexion sécurisée.
Selon un mode de réalisation particulier, illustré dans la figure 3, le premier équipement utilise un nouveau paramètre de transport Q.UIC (comme prévu en section 7.4.2 du document RFC 9000, mai 2021), appelé ici « mac-update », pour signaler au deuxième équipement qu'il supporte la procédure MUSC qui permet d'assurer une continuité de service même lorsque les adresses MAC sont générées de façon aléatoire (« randomisation »). En d'autres termes, le premier équipement
11 met en œuvre la transmission 31 d'un premier paramètre signalant au deuxième équipement
12 que le premier équipement 11 est apte à changer son adresse MAC courante (soit spontanément, soit à réception d'une demande de renouvellement d'adresse MAC), à transmettre au moins une adresse MAC candidate, etc. Si le deuxième équipement supporte également la procédure MUSC, il peut répondre en utilisant le nouveau paramètre de transport Q.UIC « mac- update ». En d'autres termes, le deuxième équipement 12 met en œuvre la transmission 32 d'un deuxième paramètre signalant au premier équipement 11 que le deuxième équipement 12 est apte à traiter la ou les adresses MAC reçues du premier équipement 11.
Ces premier et deuxième paramètres sont par exemple valorisés à « 1 » (mac-update = 0x1) pour indiquer le support de la procédure MUSC. On suppose dans la suite que le premier équipement 11 et le deuxième équipement 12 supportent la procédure MUSC.
Dans un mode de réalisation particulier, le deuxième équipement 12 envoie, au premier équipement 11 à l'origine de l'établissement d'une première connexion sécurisée Q.UIC, une trame comportant une clé de sécurité partagée par les deux équipements. Une telle trame est transmise en utilisant la première connexion sécurisée (trame Q.UIC selon l'exemple considéré). Par exemple une telle trame est appelée « MAC_TOKEN ». La clé de sécurité est de préférence générée par le deuxième équipement, de manière aléatoire. Lorsque le premier équipement souhaite communiquer ultérieurement avec le deuxième équipement, il doit, dans le mode de réalisation décrit ici, présenter la clé de sécurité (par exemple en la transmettant avec l'adresse MAC chiffrée dans une trame Q.UIC), ce qui permet au deuxième équipement de vérifier l'identité du premier équipement. La clé de sécurité est donc un exemple de contexte de sécurité qui peut être associé à une règle.
Le deuxième équipement peut également renouveler sa clé de sécurité (par exemple périodiquement) et transmettre la nouvelle clé au premier équipement dans une nouvelle trame « MAC_TOKEN », en utilisant la première connexion sécurisée.
Comme indiqué dans la figure 2, une fois la première connexion sécurisée établie, le premier équipement peut transmettre un message au deuxième équipement en utilisant la première connexion sécurisée. Un tel message comporte au moins une adresse MAC chiffrée, associée ou apte à être associée à la première interface du premier équipement et utilisée pour communiquer avec ou via le deuxième équipement (CPE) ou un équipement intermédiaire (routeur) localisé sur un chemin de communication entre le premier équipement et le deuxième équipement.
Différents types de messages peuvent être envoyés du premier équipement 11 au deuxième équipement 12 (étape 111 de la figure 2).
Selon un premier exemple, le message correspond à au moins une trame Q.UIC qui décrit l'adresse MAC courante que le premier équipement utilise pour communiquer avec ou via le deuxième équipement, appelée par exemple ici « CURRENT_MAC_ADDRESS ». Une telle adresse MAC courante est donc d'ores et déjà affectée à la première interface utilisée pour contacter le deuxième équipement.
L'insertion de l'adresse MAC courante dans la nouvelle trame, et donc son chiffrement lié à l'utilisation de la connexion sécurisée Q.UIC, permet au deuxième équipement de comparer des informations portées dans la partie chiffrée du message (par exemple l'adresse MAC courante) avec des informations véhiculées en clair dans la connexion Q.UIC (par exemple l'adresse MAC source) et de détecter la manipulation éventuelle des informations véhiculées en clair.
L'insertion de l'adresse MAC courante dans la nouvelle trame permet aussi de communiquer l'adresse MAC courante au deuxième équipement même s'il n'est pas directement connecté au premier équipement (cas d'un équipement intermédiaire de type routeur par exemple).
La figure 4 illustre un exemple de messages échangés entre le premier équipement 11 et le deuxième équipement 12. Une fois la première connexion sécurisée établie, le premier équipement 11 et le deuxième équipement 12 peuvent échanger des messages 31, 32 pour vérifier qu'ils supportent tous les deux la procédure MUSC. Plusieurs trames « CURRENT_MAC_ADDRESS » peuvent être présentes dans un message.
Si tel est le cas, le premier équipement 11 peut envoyer un message comportant au moins une trame « CURRENT_MAC_ADDRESS » 41 sur la première connexion sécurisée, à partir de son adresse MAC courante @MAC1 affectée à la première interface du premier équipement 11 pour communiquer avec ou via le deuxième équipement 12. Selon ce mode de réalisation, ce message comporte l'adresse courante @MAC1 chiffrée.
Le deuxième équipement 12 peut notamment effectuer une étape de validation de l'adresse MAC courante @MAC1.
Par exemple, le deuxième équipement 12 peut vérifier si l'adresse MAC source @MAC1 et l'adresse MAC courante @MAC1 chiffrée sont identiques.
Le deuxième équipement 12 peut également mettre en œuvre une vérification d'absence de conflit d'utilisation de l'adresse MAC courante @MAC1. En effet, le deuxième équipement 12 est classiquement un équipement d'accès au réseau d'un opérateur par lequel transite l'ensemble du trafic caractéristique des différents services souscrits par l'utilisateur. Il dispose donc d'une connaissance des différentes adresses MAC utilisées dans le réseau. Par exemple, si aucun conflit d'utilisation n'est détecté avec l'adresse MAC courante @MAC1, le deuxième équipement 12 transmet (42) un message d'acquittement (ACK) au premier équipement 11.
Le deuxième équipement 12 peut également mettre en œuvre une vérification d'un contexte de sécurité entre le premier équipement 11 et le deuxième équipement 12. Par exemple, le deuxième équipement 12 vérifie la réception d'une trame « MAC_TOKEN » comportant une clé de sécurité pour authentifier le premier équipement 11 avant de transmettre le message d'acquittement (ACK) au premier équipement 11.
Le deuxième équipement 12 peut alors extraire l'adresse MAC courante @MAC1 du message portant au moins une trame « CURRENT_MAC_ADDRESS » 41 et mettre à jour la ou les règles de filtrage associées au premier équipement 11.
Selon un mode de réalisation particulier, le deuxième équipement 12 peut accepter ou refuser la première connexion sécurisée en fonction du ou des contextes de sécurité qu'il maintient avec le premier équipement 11, ou selon un consentement que le deuxième équipement 12 sollicite auprès d'un administrateur.
Si aucun contexte de sécurité n'est présent ou si le consentement de l'administrateur n'a pas été obtenu, la connexion sécurisée peut être refusée par le deuxième équipement 12. Une règle par défaut selon laquelle toutes les adresses MAC sont filtrées peut alors être appliquée.
Si la première connexion sécurisée est établie, le premier équipement 11 peut communiquer avec des équipements connectés au réseau local et avec des équipements connectés au réseau Internet, en application des règles de filtrage mises en place par le deuxième équipement 12.
On a décrit ci-dessus un premier exemple selon lequel le message transmis via la première connexion sécurisée correspond à une trame Q.UIC « CURRENT_MAC_ADDRESS ».
Selon un deuxième exemple, le premier équipement 11 peut générer au moins une nouvelle adresse MAC (par exemple d6:e2:d6:33:bb:61), et transmettre cette nouvelle adresse MAC (d6:e2:d6:33:bb:61) chiffrée dans un message transmis qui utilise la première connexion sécurisée. Le deuxième équipement 12 peut alors procéder à la mise à jour des règles de filtrage, comme décrit ci-dessus.
En particulier, la mise à jour des règles de filtrage peut avoir lieu avant ou après le changement de l'adresse MAC, selon un mode préventif ou correctif.
Selon un troisième exemple, le premier équipement 11 peut préparer la migration d'adresse MAC en indiquant au préalable au deuxième équipement 12 au moins une adresse MAC qu'il prévoit d'utiliser, dite adresse MAC candidate.
Selon ce troisième exemple, le message envoyé du premier équipement 11 au deuxième équipement 12, via la première connexion sécurisée (étape 111 de la figure 2), correspond à une trame Q.UIC, appelée par exemple ici « LIST_MAC_ADDRESSES », comportant au moins une adresse MAC candidate chiffrée que le premier équipement prévoit d'utiliser pour communiquer avec ou via le deuxième équipement (par exemple a5:c7:ef:82:58:e9, el:44:5c:32:3c:72, ee:3c:50:18:7e:44). A ce stade, aucune de ces adresses MAC candidates n'est associée à la première interface du premier équipement 11.
En particulier, avant d'associer une adresse MAC candidate à une interface du premier équipement 11, le premier équipement 11 peut vérifier auprès du deuxième équipement 12 que l'adresse MAC candidate est disponible. Ceci permet notamment d'éviter un conflit avec les adresses MAC utilisées par d'autres équipements connectés au même réseau et évite d'impacter le délai d'accès au service induit par un changement d'adresse MAC.
Ainsi, selon un quatrième exemple, le message envoyé par le premier équipement 11 au deuxième équipement 12, via la première connexion sécurisée (étape 111 de la figure 2), correspond à une trame Q.UIC, appelée par exemple ici « CANDIDATE_MAC_ADDRESS », comportant au moins une adresse candidate chiffrée.
Comme illustré dans la figure 5, le premier équipement 11 qui souhaite procéder au changement de son adresse MAC courante @MAC1 peut utiliser la trame « CANDIDATE_MAC_ADDRESS » 51, transmise via la première connexion sécurisée, pour demander au deuxième équipement 12 si l'adresse MAC candidate @MAC2 (par exemple @MAC2=a5:c7:ef:82:58:e9) est déjà utilisée par un équipement du réseau.
Si l'adresse MAC candidate @MAC2 est disponible, le deuxième équipement 12 peut retourner un message d'acquittement ACK 52 via la première connexion sécurisée, et l'adresse MAC candidate @MAC2 (a5:c7:ef:82:58:e9) peut être affectée à la première interface du premier équipement 11.
Si l'adresse MAC candidate @MAC2 n'est pas disponible, comme illustré dans la figure 6, le deuxième équipement 12 peut retourner un message, appelé par exemple ici « MAC_IN_USE » 61 via la première connexion sécurisée. Le premier équipement 11 peut générer une nouvelle adresse MAC candidate @MAC3 (par exemple @MAC3=3f:el:48:la:13:6c) et utiliser la trame « CANDIDATE_MAC_ADDRESS » 62, transmise via la première connexion sécurisée, pour demander au deuxième équipement 12 si l'adresse MAC candidate @MAC3 est déjà utilisée par un équipement du réseau.
Si l'adresse MAC candidate @MAC3 est disponible, le deuxième équipement 12 peut retourner un message d'acquittement ACK 63 via la première connexion sécurisée, et l'adresse MAC candidate @MAC3 (3f:el:48:la:13:6c) peut être affectée à la première interface du premier équipement 11. Dans un mode de réalisation particulier, le deuxième équipement 12 peut transmettre au premier équipement 11 une proposition d'adresse MAC à utiliser pour la première interface du premier équipement 11, par exemple dans un champ dédié de la trame « MAC_IN_USE ». Ce champ est appelé ici « SUGGESTED_MAC ». La trame peut également inclure une recommandation de durée de validité des adresses MAC utilisées dans ce réseau. Le premier équipement 11 peut accepter ou refuser la proposition d'adresse MAC en provenance du deuxième équipement 12.
Dans un mode de réalisation particulier, si aucun conflit n'a été détecté, le premier équipement 11 peut ensuite envoyer la trame « CURRENT_MAC_ADDRESS » ou la trame « LIST_MAC_ADDRESSES » selon l'utilisation ou non de l'adresse candidate.
Ainsi, dans un mode de réalisation, plusieurs messages comportant des adresses MAC chiffrées peuvent être transmis en utilisant la première connexion sécurisée.
On présente ci-après un mode de réalisation particulier permettant notamment de vérifier que l'identité du premier équipement 11 n'a pas été usurpée.
Selon ce mode de réalisation, illustré dans la figure 7, une adresse IP temporaire @ IPI est allouée au premier équipement 11. Une telle adresse IP temporaire est utilisée pour permettre la configuration des informations locales au premier équipement 11 au cours d'une étape de configuration 71 (identification de la passerelle par défaut associée à la première interface du premier équipement notamment). Une telle adresse IP temporaire peut ainsi être utilisée pour établir une communication avec le deuxième équipement 12 (i.e. la passerelle par défaut), mais pas avec les autres équipements du réseau ou d'un réseau externe.
Une première connexion sécurisée peut alors être établie via la première interface du premier équipement 11 et le deuxième équipement 12, et des messages comportant des adresses MAC chiffrées tels que les messages comportant au moins une trame « CURRENT_MAC_ADDRESS », « CANDIDATE_MAC_ADDRESS », ou « LIST_MAC_ADDRESS », peuvent être transmis du premier équipement 11 vers le deuxième équipement 12 en utilisant la première connexion sécurisée, au cours de la procédure MUSC 72.
Lorsque la configuration de ces informations est confirmée par le premier équipement 11 auprès du deuxième équipement 12 (procédure d'acquittement au sein de la communication Q.UIC, correspondant par exemples aux messages ACK 42 de la figure 4, ou ACK 52 de la figure 5, ou ACK 63 de la figure 6), alors une procédure de reconfiguration d'adresses IP 73 peut être déclenchée par le deuxième équipement 12. Une telle procédure de reconfiguration d'adresse IP 73 permet d'affecter au premier équipement 11 une adresse IP extraite d'une autre plage (@IP2 selon la figure 7), ce qui permet au premier équipement 11 d'être joignable sur le réseau.
En particulier, afin d'éviter, ou à tout le moins réduire le risque que des équipements usurpent l'adresse MAC d'autres équipements du réseau local pour obtenir des privilèges de communication (c'est-à-dire, bénéficier de leurs capacités/autorisations de communication) notamment, le deuxième équipement 12 peut générer un message Q.UIC PATH_CHALLENGE 74 vers l'adresse IP source d'un paquet reçu (@IP2), sur réception d'un paquet IP avec une adresse source (@IP2) différente de celle connue du deuxième équipement 12 (@IP1) pour l'adresse MAC associée (@MAC1). Le premier équipement 11 doit renvoyer une réponse valide PATH_RESPONSE 75 vers le deuxième équipement 12, ce qui permet au deuxième équipement 12 de valider la nouvelle adresse IP (@IP2) et d'accorder les privilèges d'accès associés à ladite adresse MAC (@MAC1) utilisée par le premier équipement 11 qui a utilisé la nouvelle adresse IP (@IP2) pour communiquer (avec le deuxième équipement 12 ou via le deuxième équipement 12).
Une autre variante d'implémentation repose sur l'établissement d'une première connexion sécurisée utilisant le protocole PCP, tel que décrit dans le document RFC 7652 de septembre 2015. Un nouveau message comportant au moins une adresse MAC chiffrée, appelé par exemple message MAC_FILTER, est transmis du premier équipement vers le deuxième équipement. L'adresse MAC chiffrée correspond par exemple à une nouvelle adresse MAC associée ou apte à être associée à une première interface du premier équipement et utilisée pour communiquer avec ou via le deuxième équipement ou un équipement intermédiaire localisé sur un chemin de communication entre le premier équipement et le deuxième équipement.
La présence du message MAC_FILTER indique que la nouvelle adresse MAC peut être utilisée pour instancier une entrée d'une requête MAP ou PEER. Sur réception d'un message MAC_FILTER transmis en utilisant le protocole PCP, le deuxième équipement 12 calcule le condensé du certificat présenté par le premier équipement 11 en utilisant le même algorithme (par exemple un algorithme de type SHA2-256). Si le condensé ainsi obtenu correspond à un condensé de confiance maintenu par le deuxième équipement 12, ce dernier procède à la création ou la mise à jour d'une règle de filtrage d'adresses MAC avec la nouvelle adresse MAC.
En résumé, grâce à la procédure MUSC, un premier équipement peut procéder au renouvellement de son adresse MAC sans pour autant impacter les services (par exemple, contrôle parental) et les règles de filtrage mises en place au sein d'un réseau. En particulier, la coordination du premier équipement avec le deuxième équipement pour mettre à jour une règle de filtrage à l'aide d'une connexion sécurisée est avantageuse car elle permet de détecter les usurpations d'adresses MAC. On note que la procédure décrite ci-dessus peut être mise en œuvre pour une ou plusieurs interfaces du premier équipement, et pour un ou plusieurs équipements du réseau. Différents deuxièmes équipements (passerelles, routeurs, etc.) peuvent notamment être contactés via les différentes interfaces d'un même premier équipement (par exemple une interface WLAN, une interface Ethernet, etc.).
En particulier, si l'on considère plusieurs deuxièmes équipements contactés via différentes interfaces, des identifiants de sécurité par deuxième équipement peuvent être exploités pour conditionner l'établissement de la connexion sécurisée (c'est-à-dire que ces identifiants sont utilisés pour confirmer que le premier équipement contacte bien, via son interface de communication, le deuxième équipement habilité à établir une connexion sécurisée avec le premier équipement au travers de cette interface).
5.3 Dispositifs correspondants
On présente finalement, en relation avec la figure 8, les structures simplifiées d'un premier équipement El et d'un deuxième équipement E2 selon au moins un mode de réalisation de l'invention.
Un premier équipement El (respectivement un deuxième équipement E2), selon un mode de réalisation de l'invention, comprend une mémoire 81EI (respectivement 81E2), une unité de traitement 82EI (respectivement 82E2), équipée par exemple d'une machine de calcul programmable ou d'une machine de calcul dédiée, par exemple un processeur P, et pilotée par le programme d'ordinateur 83EI (respectivement 83E2), mettant en œuvre des étapes du procédé de communication selon au moins un mode de réalisation de l'invention.
A l'initialisation, les instructions de code du programme d'ordinateur 83EI (respectivement 83E2) sont par exemple chargées dans une mémoire RAM avant d'être exécutées par le processeur de l'unité de traitement 82EI (respectivement 82E2).
Le processeur de l'unité de traitement 82EI du premier équipement met en œuvre des étapes du procédé de communication décrit précédemment, selon les instructions du programme d'ordinateur 83EI, pour : établir une première connexion sécurisée avec le deuxième équipement E2, via une première interface de communication du premier équipement, transmettre, en utilisant la première connexion sécurisée, un message comportant au moins une adresse MAC chiffrée, associée ou apte à être associée à la première interface et utilisée pour communiquer avec ou via le deuxième équipement ou un équipement intermédiaire localisé sur un chemin de communication entre ledit premier équipement et ledit deuxième équipement. Le processeur de l'unité de traitement 82E2 du deuxième équipement met en œuvre des étapes du procédé de communication décrit précédemment, selon les instructions du programme d'ordinateur 83E2, pour : établir une première connexion sécurisée avec le premier équipement El, via une première interface de communication du premier équipement, recevoir, en utilisant la première connexion sécurisée, un message comportant au moins une adresse MAC chiffrée, associée ou apte à être associée à ladite première interface et utilisée pour communiquer avec ou via ledit deuxième équipement ou un équipement intermédiaire localisé sur un chemin de communication entre ledit premier équipement et ledit deuxième équipement, valider ladite au moins une adresse MAC.

Claims

REVENDICATIONS
1. Procédé de communication entre un premier équipement (11) et un deuxième équipement (12), mis en œuvre par ledit premier équipement, comprenant :
- l'établissement (21) d'une première connexion sécurisée entre ledit premier équipement et ledit deuxième équipement, via une première interface de communication dudit premier équipement, ladite première connexion sécurisée reposant sur un protocole de transport sécurisé ou sur un protocole applicatif sécurisé, et
- la transmission (111), en utilisant ladite première connexion sécurisée, d'un message comportant au moins une adresse MAC chiffrée, associée ou apte à être associée à ladite première interface et utilisée pour communiquer avec ou via ledit deuxième équipement ou un équipement intermédiaire localisé sur un chemin de communication entre ledit premier équipement et ledit deuxième équipement. Procédé selon la revendication 1, caractérisé en ce que ladite au moins une adresse MAC comprend une adresse MAC courante associée à ladite première interface et utilisée pour communiquer avec ou via ledit deuxième équipement (12) ou ledit équipement intermédiaire, et en ce que ledit premier équipement (11) met en œuvre la réception, en utilisant ladite première connexion sécurisée, d'un message de vérification d'absence de conflit d'utilisation de ladite adresse MAC courante.
3. Procédé selon l'une quelconque des revendications 1 et 2, caractérisé en ce que ladite au moins une adresse MAC comprend au moins une adresse MAC candidate apte à être associée à ladite première interface et utilisée pour communiquer avec ou via ledit deuxième équipement (12) ou ledit équipement intermédiaire, et en ce que ledit premier équipement (11) met en œuvre la réception, en utilisant ladite première connexion sécurisée, d'un message de vérification d'absence de conflit d'utilisation d'au moins une desdites adresses MAC candidates, et, en cas d'absence de conflit, l'association de ladite première interface avec une adresse MAC candidate vérifiée.
4. Procédé selon l'une quelconque des revendications 1 à 3, caractérisé en ce qu'il comprend la réception, en utilisant ladite première connexion sécurisée, d'une clé de sécurité générée par ledit deuxième équipement (12).
5. Procédé selon l'une quelconque des revendications 1 à 4, caractérisé en ce qu'une adresse IP temporaire est allouée audit premier équipement (11) pour la transmission dudit message, et en ce que ledit procédé met en œuvre une allocation d'une nouvelle adresse IP audit premier équipement après validation, par ledit deuxième équipement (12), de ladite au moins une adresse MAC.
6. Procédé selon l'une quelconque les revendications 1 à 5, caractérisé en ce qu'il comprend la réception d'une demande de génération d'au moins une nouvelle adresse MAC apte à être associée à ladite première interface.
7. Procédé de communication entre un premier équipement (11) et un deuxième équipement (12), mis en œuvre par ledit deuxième équipement, comprenant :
- l'établissement (21) d'une première connexion sécurisée entre ledit premier équipement et ledit deuxième équipement, via une première interface de communication dudit premier équipement, ladite première connexion sécurisée reposant sur un protocole de transport sécurisé ou sur un protocole applicatif sécurisé, - la réception (121), en utilisant ladite première connexion sécurisée, d'un message comportant au moins une adresse MAC chiffrée, associée ou apte à être associée à ladite première interface et utilisée pour communiquer avec ou via ledit deuxième équipement ou un équipement intermédiaire localisé sur un chemin de communication entre ledit premier équipement et ledit deuxième équipement, - la validation (122) de ladite au moins une adresse MAC. Procédé selon la revendication 7, caractérisé en ce que ladite validation met en œuvre la vérification d'absence de conflit d'utilisation de ladite au moins une adresse MAC, et, si aucun conflit n'est détecté, la transmission audit premier équipement (11) d'un message de vérification d'absence de conflit d'utilisation. 9. Procédé selon l'une quelconque des revendications 7 et 8, caractérisé en ce que ladite validation met en œuvre la vérification d'un contexte de sécurité entre ledit premier équipement (11) et ledit deuxième équipement (12), associé à ladite au moins une adresse MAC.
10. Procédé selon l'une quelconque des revendications 7 à 9, caractérisé en ce qu'il comprend la création ou la mise à jour d'au moins une règle de filtrage associée audit premier équipement (11) avec ladite au moins une adresse MAC.
11. Procédé selon l'une quelconque des revendications 7 à 10, caractérisé en ce qu'il comprend la transmission audit premier équipement (11) d'une clé de sécurité, en utilisant ladite première connexion sécurisée entre ledit premier équipement et ledit deuxième équipement (12).
12. Procédé selon l'une quelconque des revendications 7 à 11, caractérisé en ce qu'une adresse IP temporaire étant allouée audit premier équipement (11) pour la transmission dudit message, ledit procédé met en œuvre une allocation d'une nouvelle adresse IP audit premier équipement après ladite validation.
13. Procédé selon l'une quelconque des revendications 7 à 12, caractérisé en ce qu'il comprend la transmission d'une proposition d'au moins une nouvelle adresse MAC apte à être associée à ladite première interface dudit premier équipement (11), en utilisant ladite première connexion sécurisée entre ledit premier équipement et ledit deuxième équipement (12).
14. Premier équipement (11), comprenant au moins un processeur configuré pour :
- établir (21) une première connexion sécurisée avec un deuxième équipement (12), via une première interface de communication dudit premier équipement, ladite première connexion sécurisée reposant sur un protocole de transport sécurisé ou sur un protocole applicatif sécurisé,
- transmettre (111), en utilisant ladite première connexion sécurisée, un message comportant au moins une adresse MAC chiffrée, associée ou apte à être associée à ladite première interface et utilisée pour communiquer avec ou via ledit deuxième équipement ou un équipement intermédiaire localisé sur un chemin de communication entre ledit premier équipement et ledit deuxième équipement.
15. Deuxième équipement (12), comprenant au moins un processeur configuré pour :
- établir (21) une première connexion sécurisée avec un premier équipement (11), via une première interface de communication dudit premier équipement, ladite première connexion sécurisée reposant sur un protocole de transport sécurisé ou sur un protocole applicatif sécurisé,
- recevoir (121), en utilisant ladite première connexion sécurisée, un message comportant au moins une adresse MAC chiffrée, associée ou apte à être associée à ladite première interface et utilisée pour communiquer avec ou via ledit deuxième équipement ou un équipement intermédiaire localisé sur un chemin de communication entre ledit premier équipement et ledit deuxième équipement,
- valider (122) ladite au moins une adresse MAC.
EP23733699.5A 2022-06-16 2023-06-15 Procédé de communication entre deux équipements, premier équipement, deuxième équipement et programme d'ordinateur correspondants Pending EP4540971A1 (fr)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
FR2205880A FR3136918A1 (fr) 2022-06-16 2022-06-16 Procédé de communication entre deux équipements, premier équipement, deuxième équipement et programme d’ordinateur correspondants.
PCT/EP2023/066054 WO2023242315A1 (fr) 2022-06-16 2023-06-15 Procédé de communication entre deux équipements, premier équipement, deuxième équipement et programme d'ordinateur correspondants.

Publications (1)

Publication Number Publication Date
EP4540971A1 true EP4540971A1 (fr) 2025-04-23

Family

ID=82850093

Family Applications (1)

Application Number Title Priority Date Filing Date
EP23733699.5A Pending EP4540971A1 (fr) 2022-06-16 2023-06-15 Procédé de communication entre deux équipements, premier équipement, deuxième équipement et programme d'ordinateur correspondants

Country Status (5)

Country Link
US (1) US20250379848A1 (fr)
EP (1) EP4540971A1 (fr)
CN (1) CN119678433A (fr)
FR (1) FR3136918A1 (fr)
WO (1) WO2023242315A1 (fr)

Family Cites Families (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US9609571B2 (en) * 2012-08-29 2017-03-28 Qualcomm Incorporated Systems and methods for securely transmitting and receiving discovery and paging messages
US20150281167A1 (en) * 2014-03-31 2015-10-01 Google Inc. Specifying a MAC Address Based on Location
US11582230B2 (en) * 2019-05-03 2023-02-14 Zte Corporation Dynamic MAC address change mechanism for wireless communications

Also Published As

Publication number Publication date
FR3136918A1 (fr) 2023-12-22
CN119678433A (zh) 2025-03-21
WO2023242315A1 (fr) 2023-12-21
US20250379848A1 (en) 2025-12-11

Similar Documents

Publication Publication Date Title
US9621372B2 (en) Title-enabled networking
CN101471936B (zh) 建立ip会话的方法、装置及系统
EP1965559B1 (fr) Procédé de sécurisation d'un flux de données
EP4268426B1 (fr) Procedes pour la redirection de trafic, terminal, controleur, serveur d'autorisation, serveurs de resolution de noms, et programme d'ordinateur correspondants
EP1753173B1 (fr) Contrôle d'accès d'un équipement mobile à un réseau de communication IP par modification dynamique des politiques d'accès
WO2020002856A1 (fr) Procédés de vérification de la validité d'une ressource ip, serveur de contrôle d'accès, serveur de validation, nœud client, nœud relais et programme d'ordinateur correspondants
EP3788762B1 (fr) Procédé d'envoi d'une information et de réception d'une information pour la gestion de réputation d'une ressource ip
EP4540971A1 (fr) Procédé de communication entre deux équipements, premier équipement, deuxième équipement et programme d'ordinateur correspondants
FR3072527A1 (fr) Gestion de la connexion avec d'autres passerelles residentielles d'une passerelle residentielle mettant en œuvre l'agregation de liens
US20060107310A1 (en) Method for authorization of service requests to service hosts within a network
FR3110802A1 (fr) Procédé de contrôle de l’attribution d’une adresse IP à un équipement client dans un réseau de communication local, procédé de traitement d’une requête d’attribution d’une adresse IP à un équipement client dans un réseau de communication local, dispositifs, équipement d’accès, équipement serveur et programmes d’ordinateur correspondants.
WO2015197978A1 (fr) Procede de protection d'un routeur contre des attaques
EP4033794B1 (fr) Procédé d'attribution dynamique d'identifiants à une carte de circuit intégré universelle embarquée - euicc d'un équipement utilisateur et système associé
FR2985402A1 (fr) Procede de connexion a un reseau local d'un terminal mettant en oeuvre un protocole de type eap et systeme de communication associe
FR3136922A1 (fr) Procédé de communication entre un premier équipement et un serveur distant, procédé de gestion des communications, premier équipement, serveur distant et programme d’ordinateur correspondants.
WO2022117941A1 (fr) Procédé de détection d'un équipement malveillant dans un réseau de communication, équipement de communication et programme d'ordinateur correspondants
FR3157769A1 (fr) Procédé d’accès à un service par un dispositif de communication via au moins un réseau de communication
FR3116978A1 (fr) Contrôle d’accès à un réseau de communication local, et passerelle d’accès mettant en œuvre un tel contrôle
WO2023117802A1 (fr) Procédés d'identification d'au moins un serveur de mitigation et de protection d'un domaine client contre une attaque informatique, dispositifs et signal correspondants
WO2024121281A1 (fr) Procédé de gestion d'un ensemble d'adresses ip, procédé de collaboration et dispositifs configurés pour mettre en œuvre ces procédés
FR3124669A1 (fr) Procede et dispositif de securisation d’un reseau local comprenant un commutateur reseau auquel est reliee une station par liaison filaire
FR2965994A1 (fr) Procede de traitement dans un module d'un dispositif d'acces adapte pour connecter un reseau distant a une pluralite de reseaux locaux, module et programme d'ordinateur associes
Deng et al. PCP WG M. Boucadair, Ed. Internet-Draft France Telecom Intended status: Informational T. Zheng Expires: November 5, 2012 P. NG Tung
WO2006037864A2 (fr) Procede de controle d'acces a un reseau d'un terminal source utilisant un tunnel en mode bloquant, et programmes d'ordinateur pour sa mise en oeuvre

Legal Events

Date Code Title Description
STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: UNKNOWN

STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: THE INTERNATIONAL PUBLICATION HAS BEEN MADE

PUAI Public reference made under article 153(3) epc to a published international application that has entered the european phase

Free format text: ORIGINAL CODE: 0009012

STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: REQUEST FOR EXAMINATION WAS MADE

17P Request for examination filed

Effective date: 20241210

AK Designated contracting states

Kind code of ref document: A1

Designated state(s): AL AT BE BG CH CY CZ DE DK EE ES FI FR GB GR HR HU IE IS IT LI LT LU LV MC ME MK MT NL NO PL PT RO RS SE SI SK SM TR

DAV Request for validation of the european patent (deleted)
DAX Request for extension of the european patent (deleted)