FR2675602A1

FR2675602A1 - Procede et dispositif de protection d'un systeme informatique.

Info

Publication number: FR2675602A1
Application number: FR9104898A
Authority: FR
Inventors: Larvoire Jean-Francois; Ribollet Thierry; Hays Bertrand
Original assignee: Hewlett Packard Co
Current assignee: HP Inc
Priority date: 1991-04-16
Filing date: 1991-04-16
Publication date: 1992-10-23
Anticipated expiration: 2011-04-16
Also published as: FR2675602B1; EP0514289B1; JP3204725B2; JPH05143319A; US5535409A; US5781793A; DE69230193D1; DE69230193T2; EP0514289A1

Abstract

La présente invention concerne un dispositif de protection d'un système informatique comprenant des périphériques (P1, P2), des mémoires et une unité centrale de traitement dans lequel sont prévus: des moyens pour comparer, à la mise sous tension, un mot de passe fourni par un opérateur à un mot de passe prédéterminé stocké dans une première mémoire non volatile reprogrammable (20) contenant aussi des données de configuration du système informatique; des moyens pour lire les données de configuration dans la première mémoire (20) et, à partir de celles-ci, régler la configuration du système; et des moyens de sélection permettant à l'opérateur, s'il le souhaite, de se servir de moyens pour écrire des nouvelles données de configuration dans la première mémoire (20); les données lues par les moyens pour lire étant écrites dans une deuxième mémoire volatile (16) à mode d'accès standardisé pour l'utilisation par un système d'exploitation, et la première mémoire (20) étant une mémoire à mode d'accès différent de celui de la deuxième mémoire.

Description

PROCEDE ET DISPOSITIF DE PROTECTION

D'UN SYSTÈME INFORMATIQUE

La présente invention conoerne la protection d'un système informatique et en particulier la protection de données

confidentielles stockées dans une mémoire. La figure 1 illustre schématiquement un système infor-

matique classique, tel qu'un micro ordinateur Il comprend une unité centrale de traitement 10 (CPU) reliée à un terminal 11

comprenant un écran et un clavier; à une mémoire centrale vola- tile (RAM) 12; à une mémoire non volatile 13 (ROM); à une mémoire de masse 14, tel qu'un disque dur non amovible ou une10 disquette amovible; à des ensembles de périphériques Pl et P 2, tels que des imprimantes, des lecteurs de disque supplémentai-

res, etc; et à une mémoire volatile (a MOS) sauvegardée par pile 16 o sont stockées des données de configuration définies par l'opérateur Les données de configuration contiennent des15 indications pour adapter et régler, ou "configurer", la machine en fonction d'options initiales souhaitées par l'opérateur et notamment pour que la machine puisse employer correctement les accessoires dont elle dispose, comme par exemple l'écran, le clavier, le disque dur, les périphériques, etc. Certains systèmes informatiques actuels sont invulné- rables à une personne qui ne connaît pas un mot de passe à la

mise sous tension de la machine En effet, dès la mise sous tension et avant que l'on puisse se servir de la machine, un mot 5 de passe est demandé Les problèmes que l'on tente de résoudre sont liés à la vulnérabilité de la machine sous tension.

Un système informatique évolué, comme par exemple les modèles de microordinateur 286 N et 386 N proposés par la société

Campaq, offrent des fonctions de sécurité Parmi les données de10 configuration figurent un mot de passe et des interdictions d'accès à un ensemble de périphériques ou accessoires, par exem-

ple Pl; les interdictions ne pouvant être levées, théorique- ment, que si on connaît le mot de passe On peut, par exemple, interdire l'accès à un lecteur de disque sur une machine qui15 reste allumée sans surveillance pour empêcher qu'une personne non autorisée accède à des données contenues sur le disque.

Pour améliorer la sécurité, pour des raisons qui seront évoquées plus loin, le mot de passe est stocké dans une zone de la mémoire CMOS 16, dont 1 'accès peut être coupé de façon irréversible tant que la machine est sous tension L'accès aux autres données de configuration ne doit pas être coupé car

elles doivent pouvoir être utilisées par le système d'exploita-

tion Le fonctionnement d'un tel système informatique est le suivant. A la mise sous tension du système (démarrage à froid), celui- ci doit réaliser un certain nombre d'opérations avant que

l'opérateur puisse s'en servir Ces opérations sont généralement les suivantes. a) Un programme d'initialisation et de test, couram-

ment appelé POST (du terme anglo-saxon "Power On Self Test"), qui est stocké en permanence dans la mémoire ROM 13, est exécuté

par l'unité centrale 10 Ce programme lit les données de confi- guration dans la mémoire CMOS 16, ces données comprenant le mot de passe et les interdictions d'accès, puis demande à l'opéra-

teur de fournir un mot de passe et continue son exécution si le mot de passe fourni est bon. b) Le programme POST configure la machine, règle les accessoires et coupe 1 ' accès aux accessoires non autorisés, par

exemple Pl.

c) Pendant l'exécution du programme POST, l'opérateur peut choisir de modifier la configuration Ce choix est généra-

lement effectué en frappant une touche avant 1 ' écoulement d'un délai prédéterminé Dans ce cas, le programme POST fait exécuter10 un programme de configuration, couramment désigné par le terme anglo- saxon "SETUP", stocké dans la mémoire ROM Lors du dérou-

lement du programme SETUP, l'opérateur peut visualiser la confi- guration actuelle qui est stockée dans la mémoire CMOS, et imposer des modifications La configuration modifiée est alors15 transférée dans la mémoire CMOS Pour valider la nouvelle confi- guration, il faut reprendre l'opération b), ce qui ne peut être effectué, en général, qu'en redémarrant la machine après la fin de l'exécution du programme POST. d) Avant de se terminer, le programme POST coupe 1 'accès au mot de passe stocké dans la mémoire CMOS et charge dans la mémoire centrale 12 un système d'exploitation stocké dans la mémoire de masse 14 Le système d'exploitation est un programme qui utilise les données de configuration stockées dans

la mémoire CMOS, gère le système informatique et permet à l'opé-

rateur de l'exploiter de manière simple.

Quand la mémoire de masse 14 est un disque dur conte-

nant de façon permanente le système d'exploitation, l'opérateur

a en pratique toujours aussi la possibilité d'utiliser un sys-

tème d'exploitation stocké sur une disquette Pour cela, il dispose d'un lecteur de disquette dans lequel il placera la disquette et, lors du redémarrage du système, le programme POST cherchera en priorité à charger le système d'exploitation à

partir de cette disquette Cette opération est couramment appe-

lée démarrage sur disquette On considèrera ci-après des systè-

mes dans lesquels la mémoire de masse 14 est un disque auquel peut se substituer une disquette, et o le chargement du système d'exploitation se fait par priorité à partir de la disquette quand celle-ci est utilisée. 5 Pour effectuer un démarrage du système on a aussi la possibilité d'effectuer un démarrage à chaud, c'est-à-dire une remise à zéro pendant laquelle la machine reste sous tension. Dans des systèmes informatiques non protégés, cela a le même effet qu'un démarrage à froid, sauf qu'il est plus rapide.10 Un inconvénient des systèmes informatiques connus réside dans la facilité d'accès à la mémoire CMOS 16 L'accès à

cette mémoire est standardisé pour être compatible avec la plu-

part des systèmes d'exploitation disponibles Ainsi, un pirate connaissant un peu la technique, saura modifier le contenu accessible de la mémoire CMOS en utilisant, par exemple, le clavier et un programme généralement disponible avec le système d'exploitation, qui permet d'écrire et de lire des données dans des zones de mémoire, notamment dans la mémoire CMOS Le pirate

pourra également démarrer sur une disquette contenant un pro-

gramme pirate qui s'exécutera automatiquement et modifiera le

contenu de la mémoire CMOS en un temps particulièrement bref.

Dans le système des modèles 286 N et 386 N susmentionnés de la société Compaq, lors d'un démarrage à chaud, l'accès au mot de passe dans la mémoire CMOS n' est pas libéré et ne peut être utilisé par le programme POST Lors d'un tel démarrage, le programme POST doit pourtant s'exécuter pour régler à nouveau la configuration Ainsi, comme le programme POST ne bloque alors pas l'utilisation de la machine par le mot de passe, un pirate peut effectuer un démarrage à chaud sur disquette dans un30 lecteur dont l'accès n'aura pas été interdit Bien qu'alors il n'ait pas accès au mot de passe, le pirate pourra lever les interdictions d'accès et modifier la configuration. Un démarrage sur disquette peut être interdit, mais cette interdiction ne peut être effectuée que par un programme

qu'un pirate compétent pourra court-circuiter.

En outre, des instructions erronées dans un programme

peuvent par accident modifier le contenu de la mémoire CMOS.

De plus, la mémoire CMOS 16 est généralement une mémoire volatile sauvegardée par pile pour diverses raisons techniques, notamment cette mémoire est associée à une horloge temps réel Ainsi, à la fin de la durée de vie de la pile (de

l'ordre de 5 ans) le contenu de la mémoire CMOS disparaîtra.

Un objet de la présente invention est de prévoir un système informatique dans lequel les données de configuration

sont stockées avec une durée de vie illimitée.

Un autre objet de la présente invention est de prévoir une protection de système informatique plus difficile à violer

par un pirate.

Un autre objet de la présente invention est de prévoir

une protection de système informatique inviolable par un pira-

te ne connaissant pas un mot de passe.

Ces objets sont atteints grâce à un dispositif de

protection d'un système informatique comprenant des périphéri-

ques, des mémoires et une unité centrale de traitement dans lequel sont prévus: des moyens pour comparer, à la mise sous tension, un mot de passe fourni par un opérateur à un mot de passe prédéterminé stocké dans une première mémoire non volatile reprogrammable contenant aussi des données de configuration du

système informatique; des moyens pour lire les données de con-

figuration dans la première mémoire et, à partir de celles-ci, régler la configuration du système; et des moyens de sélection permettant à l'opérateur, s'il le souhaite, de se servir de moyens pour écrire des nouvelles données de configuration dans la première mémoire; les données lues par les moyens pour lire étant écrites dans une deuxième mémoire volatile à mode d'accès standardisé pour l'utilisation par un système d'exploitation, et la première mémoire étant une mémoire à mode d'accès différent

de celui de la deuxième mémoire.

Selon un mode de réalisation de la présente invention, le dispositif comprend des interrupteurs commandés par l'unité

centrale, qui, quand les données ont été écrites dans la deu- xième mémoire, coupent les accès du système informatique à, 5 d'une part, la première mémoire, et à, d'autre part, des péri- phériques définis par l'opérateur dans les données de configura-

tion, les positions initiales des interrupteurs ne pouvant être rétablies par l'unité centrale qu'après une remise sous tension. Selon un mode de réalisation de la présente invention, le dispositif comprend: une troisième mémoire dans laquelle l'unité centrale écrit, à la mise sous tension, le mot de passe prédéterminé stocké dans la première mémoire, des moyens étant prévus pour rendre la troisième mémoire accessible une seule fois par l'unité centrale; et un circuit vérificateur de mot de passe capable de rétablir les positions initiales des inter- rupteurs et seul capable de lire le contenu de la troisième mémoire, ce circuit étant invoqué lors d'un démarrage à chaud du système informatique et lorsque l'opérateur le souhaite pour comparer le mot de passe fourni par l'opérateur au mot de passe20 prédéterminé stocké dans la troisième mémoire, signaler le résultat de la comparaison à l'unité centrale, et rétablir les positions initiales des interrupteurs. Selon un mode de réalisation de la présente invention, les interrupteurs sont commandés par une bascule qui peut être

mise à un premier état qui ferme les interrupteurs, par un cir-

cuit fournissant une impulsion à la mise sous tension à une pre-

mière entrée, et qui peut être mise à un deuxième état qui ouvre les interrupteurs par une impulsion fournie par l'unité centrale

à une deuxième entrée.

Selon un mode de réalisation de la présente invention, les interrupteurs sont commandés par une bascule qui peut être

mise à un premier état qui ferme les interrupteurs, par le cir-

cuit vérificateur qui fournit une impulsion à une première entrée, d'une part, à la mise sous tension et, d'autre part,

lors d'une bonne comparaison des mots de passe lorsque le cir-

cuit vérificateur est invoqué, et qui peut être mis à un deu-

xième état qui ouvre les interrupteurs par l'unité centrale

fournissant une impulsion à une deuxième entrée.

Selon un mode de réalisation de la présente invention, les moyens pour rendre la troisième mémoire accessible une seule fois comprennent un compteur de tentatives d'accès remis à zéro

à la mise sous tension.

La présente invention prévoit aussi un procédé de pro-

tection d'un système informatique comprenant les étapes suivan-

tes: a) à la mise sous tension, comparer un mot de passe fourni par un opérateur à un mot de passe prédéterminé stocké dans une première mémoire non volatile reprogrammable contenant aussi des données de configuration du système informatique, et poursuivre en cas d'égalité de ces mots de passe; b) lire les données de

configuration dans la première mémoire et, à partir de celles-

ci, régler la configuration du système; et c) si 1 ' opérateur

en a signalé le souhait, écrire des nouvelles données de confi-

guration fournies par celui-ci dans la première mémoire; les données lues dans l'étape c) étant écrites dans une deuxième mé- moire volatile à mode d'accès standardisé pour l'utilisation par un système d'exploitation, et la première mémoire étant une mé- moire à mode d' accès différent de celui de la deuxième mémoire. Selon un mode de réalisation de la présente invention,

le procédé comprend l'étape suivante: après l'étape c), décon- necter les accès du système informatique à, d'une part, la pre-

mière mémoire, et à, d'autre part, des périphériques définis par l'opérateur dans les données de configuration dans l'étape b), les connexions ne pouvant être rétablies qu'à la remise sous30 tension.

Selon un mode de réalisation de la présente invention, à la mise sous tension, le mot de passe prédéterminé stocké dans la première mémoire est écrit dans une troisième mémoire lisible seulement par un circuit vérificateur de mot de passe aussi capable de rétablir les connexions des accès, ce circuit étant invoqué lors d'un démarrage à chaud du système au niveau de l'étape a) et lorsque l'opérateur le souhaite pour: comparer le mot de passe donné par l'opérateur avec le mot de passe stocké dans la troisième mémoire; signaler le résultat de la comparai- son à l'unité centrale; et rétablir les connexions des accès si

la comparaison est bonne.

Ces objets, caractéristiques et avantages ainsi que d'autres de la présente invention seront exposés plus en détail

dans la description suivante d'un mode de réalisation parti-

culier faite en relation avec les figures jointes parmi les-

quelles: la figure 1, précédemment décrite, illustre un schéma bloc d'un système informatique classique; et les figures 2 à 4 représentent chacune un schéma bloc d'un système informatique selon un mode de réalisation de la

présente invention.

A la figure 2, on retrouve tous les éléments de la

figure 1, les mêmes références désignant les mêmes éléments.

Selon la présente invention, le système informatique comprend

une mémoire non volatile reprogrammable et effaçable électrique-

ment (EEPROM) 20 reliée à l'unité centrale 10, cette mémoire étant associée à un circuit d'effacement et de programmation 22 La mémoire CMOS 16 n'a plus besoin d'être sauvegardée par

pile.

Dans la mémoire EEPROM sont stockées les données de configuration comprenant un mot de passe et des interdictions d'accès à des accessoires Pl Les mémoires EEPROM 20 et CMOS 16

sont utilisées de la manière suivante.

Lors d'un démarrage, un programme POST adéquat est exécuté Celui-ci lit les données dans la mémoire EEPROM et les

recopie, à l'exception du mot de passe, dans la mémoire CMOS Il demande le mot de passe et poursuit son exécution de manière classique si le mot de passe fourni est bon.

L'opérateur peut invoquer un programme SETUP adéquat en mémoire ROM de manière connue Les modifications des données

de configuration proposées par 1 ' opérateur sont alors écrites dans la mémoire EEPROM 20 La suite du déroulement des opéra- 5 tions est classique.

Un deuxième programme SETUP adéquat sur disque pourra aussi être invoqué pour modifier la configuration Celui-ci demandera le mot de passe stocké dans la mémoire EEPROM et effectuera les modifications dans cette mémoire si le mot de

passe fourni est bon.

Ainsi, à chaque démarrage, les données de configura-

tion stockées dans la mémoire EEPROM seront écrites dans la mémoire CMOS dont le contenu a été effacé à la mise hors tension de la machine Cette mémoire CMOS 16 n'est en fait conservée que

pour des raisons de compatibilité car elle doit pouvoir être utilisée par les systèmes d'exploitation.

Comme on l'a mentionné précédemment, l'accès à la mémoire CMOS est standard Cet accès s'effectue généralement en écrivant une adresse dans un registre qui lui est attribué, les données, constituées de mots d'un certain nombre de bits, étant

lues ou écrites mot par mot dans un deuxième registre attribué.

Il est donc facile de lire ou écrire dans cette mémoire sans

passer par le programme SETUP.

La mémoire EEPROM n'est pas soumise à des exigences de compatibilité et son accès est rendu volontairement plus complexe Par exemple, on peut envisager d'y écrire et lire les données en série, c'est-à-dire que chacun des mots constituant les données seront lus ou écrits bit par bit dans la mémoire EEPROM.30 Ainsi, la probabilité pour qu'un programme écrive par accident des données dans la mémoire EEPROM est faible et un pirate est soumis aux deux difficultés suivantes: d'une part, il lui sera difficile de détecter la présenoe de la mémoire EEPROM car il pourra accéder, mais sans que cela ait des effets, à la mémoire CMOS qui lui apparaîtra comme contenant les données qui l'intéressent, et d'autre part, s'il détecte la présence de cette mémoire EEPROM, il lui sera très difficile de trouver

comment y accéder car l'accès à cette mémoire n'est pas standar-

disé et ne sera pas communiqué au public. Toutefois, comme la mémoire EEPROM est théoriquement accessible par l'opérateur et comme les fonctions de sécurité, qui sont généralement réalisées par des programmes, peuvent être court-circuitées par un pirate compétent, on prévoit d'empêcher cela dans un autre mode de réalisation de la présente invention

illustré à la figure 3.

A la figure 3, on retrouve les mêmes éléments que dans

la figure 2, des mêmes références désignant les mêmes éléments.

Les accès à la mémoire EEPROM 20 et aux périphériques Pl déter-

minés par l'opérateur, peuvent être coupés de façon irréversible par des interrupteurs 30 commandés, par exemple, par une bascule RS 31 reliée à l'unité centrale 10 Le fonctionnement de ce

système est le suivant Les interrupteurs 30 pourront être pla-

cés sur les lignes de sélection de puce (couramment désignées

lignes "Chip Select") de la mémoire EEPROM et des périphériques.

Lors d'un démarrage à froid, un circuit de remise à zéro, généralement compris dans l'unité centrale 10, fournit, à chaque mise sous tension, une impulsion destinée à remettre à

zéro divers circuits du système dont l'état inital est incer-

tain Cette impulsion est aussi fournie à l'entrée de remise à zéro R de la bascule 31 en entraînant la fermeture de tous les

interrupteurs 30.

Le programme POST est exécuté comme précédemment, à

savoir qu'il lit le contenu de la mémoire EEPROM 20 et le trans-

fère, à l'exception du mot de passe, dans la mémoire CMOS 16 Le mot de passe est vérifié et le programme se poursuit de manière classique si le mot de passe fourni est bon. L'opérateur peut invoquer le programme SETUP stocké

dans la mémoire ROM 13 pour modifier les données de configura-

il tion et les interdictions d'accès à des périphériques dans la

mémoire EEPROM.

Le programme POST se poursuit et avant de charger le système d'exploitation, il provoque l'envoi par l'unité centrale 10 d'une impulsion sur l'entrée de mise à un S de la bascule 31 qui ouvre les interrupteurs 30 en interdisant l'accès à la

mémoire EEPROM et aux périphériques Pl déterminés par les don-

nées contenues dans la mémoire EEPROM au démarrage.

Quoi que fasse un pirate, il lui est impossible d'accéder à la mémoire EEPROM et aux périphériques interdits En effet, les interrupteurs 30 interdisant cet accès, ne peuvent être refermés que par le circuit de mise à zéro susmentionné lors d'un démarrage à froid qui nécessite la connaissance du mot

de passe.

Lors d'un démarrage à chaud d'un tel système, les interrupteurs 30 restent ouverts, coupant toujours l'accès aux données de la mémoire EEPROM, notamment au mot de passe Ces données ne peuvent donc être utilisées par le programme POST qui, lors d'un tel démarrage, doit pourtant s'exécuter pour régler à nouveau la configuration réversible, c'est-à-dire non fixée par les interrupteurs 30 Sans demander de mot de passe, le programme POST réglera la configuration réversible à partir des données stockées dans la mémoire CMOS, le contenu de cette mémoire CMOS ayant pu être modifié par un pirate ou un programme défectueux Ainsi, comme le programme POST ne bloque alors pas l'utilisation de la machine par le mot de passe, un pirate peut effectuer un redémarrage à chaud sur disquette dans un lecteur

dont l'accès n'aura pas été interdit.

De plus, l'opérateur qui veut reconfigurer son systè-

me, doit obligatoirement rétablir l'accès à la mémoire EEPROM, c'est-àdire qu'il doit éteindre et remettre sous tension la machine, ce qui est fastidieux. La figure 4 illustre un mode de réalisation qui permet de supprimer ès inconvénients On y retrouve les mêmes éléments que dans la figure 3, les mêmes références désignant les mêmes

éléments L'entrée de remise à zéro R de la bascule 31 est ici pilotée par un circuit vérificateur de mot de passe 40 Le fonc-

tionnement de ce système est le suivant. 5 A la mise sous tension, le circuit vérificateur 40 envoie une impulsion sur l'entrée de remise à zéro de la bascule 31 qui ferme les interrupteurs 30 Un programme POST adéquat débute, lit le contenu de la mémoire EEPROM 20 et l'écrit, à l'exception du mot de passe, dans la mémoire CMOS 16.10 Le programme POST demande à l'opérateur de fournir un mot de passe et poursuit si le mot de passe est bon Le mot de passe contenu dans la mémoire EEPROM est recopié dans une mémoire 42 du circuit vérificateur 40 La mémoire 42 du circuit vérificateur ne peut être écrite qu'une seule fois à la mise15 sous tension Pour cela, on prévoit de préférence dans le circuit 40 un compteur (non représenté) de tentatives d'accès remis à zéro à la mise sous tension Le programme POST se

poursuit de manière classique.

L'opérateur peut invoquer le programme SETUP en mémoire ROM comme précédemment et mettre à jour la mémoire

EEPROM avec de nouvelles données de configuration.

Le programme POST se poursuit et, avant de charger le système d'exploitation, provoque l'envoi par l'unité centrale d'une impulsion sur l'entrée de mise à un S de la bascule 31 qui

ouvre les interrupteurs 30 de la mémoire EEPROM et des accessoi-

res sélectionnés Pl.

Lors d'un démarrage à chaud, le programme POST tente de lire la mémoire EEPROM et détecte que l'accès est bloqué Le programme POST demande quand même le mot de passe à l'opérateur et transmet celui-ci, par l'intermédiaire de l'unité centrale , au circuit vérificateur 40 qui le compare au mot de passe stocké dans sa mémoire 42 Le circuit vérificateur transmet le résultat de la comparaison à l'unité centrale Si la comparaison est bonne, le circuit vérificateur 40 envoie une impulsion sur l'entrée de remise à zéro R de la bascule 31 qui referme tous les interrupteurs 30, la poursuite du programme POST est autori- sée et 1 'opérateur peut invoquer le programme SETUP en mémoire ROM pour modifier le contenu de la mémoire EEPROM; le programme 5 POST provoquant à nouveau l'ouverture des interrupteurs 30 avant de charger le système d 'exploitation, comme dans le système précédent. L'opérateur pourra aussi, lorsque la machine est en marche, invoquer un deuxième programme SETUP adéquat sur disque,

qui demandera le mot de passe et le transmettra au circuit véri-

ficateur 40 par 1 'intermédiaire de 1 'unité oentrale 10 Dans ce cas aussi, si la comparaison est bonne, le circuit vérificateur refermera les interrupteurs 30 et permettra à 1 ' opérateur de

modifier les données dans la mémoire EEPROM.

Ainsi, un tel système est pratique pour 1 ' opérateur qui peut à tout instant changer la configuration mais invulnéra-

ble à un pirate qui ne connaît pas le mot de passe En effet, le pirate doit fournir le mot de passe à tout démarrage et, s'il trouve la machine en marche, il ne peut accéder ni à la mémoire20 EEPROM, ni aux périphériques qui lui sont interdits De plus, le fait que 1 ' on ne puisse écrire dans la mémoire 42 du circuit

vérificateur 40 qu' à la mise sous tension, supprime la possibi-

lité théorique qu'a le pirate de modifier le contenu de la mémoire du circuit vérificateur en y effaçant le mot de passe ou

en y écrivant un autre mot de passe.

La présente invention est susceptible de nombreuses variantes et modifications qui apparaîtront à l'homme du métier,

notamment en ce qui concerne la réalisation des interrupteurs irréversibles 30 et du circuit vérificateur 40.

Claims

REVENDICATIONS

1 Dispositif de protection d'un système informatique comprenant des périphériques (Pi, P 2), des mémoires et une unité centrale de traitement ( 10) dans lequel sont prévus: des moyens pour comparer, à la mise sous tension, un mot de passe fourni par un opérateur à un mot de passe prédéter- miné stocké dans une première mémoire non volatile reprogrammable ( 20) contenant aussi des données de configuration du système informatique; des moyens pour lire les données de configuration dans la première mémoire ( 20) et, à partir de celles-ci, régler la configuration du système; et des moyens de sélection permettant à l'opérateur,

s'il le souhaite, de se servir de moyens pour écrire des nouvel-

les données de configuration dans la première mémoire ( 20); caractérisé en ce que les données lues par les moyens pour lire sont écrites dans une deuxième mémoire volatile ( 16) à

mode d'accès standardisé pour l'utilisation par un système d'exploitation, et en ce que la première mémoire ( 20) est une mémoire à mode d'accès différent de celui de la deuxième20 mémoire.

2 Dispositif selon la revendication 1, caractérisé en ce qu'il comprend des interrupteurs ( 30) commandés par l'unité centrale ( 10) qui, quand les données ont été écrites dans la deuxième mémoire ( 16), coupent les accès du système informatique25 à, d'une part, la première mémoire ( 20), et à, d'autre part, des périphériques (Pl) définis par l'opérateur dans les données de

configuration, les positions initiales des interrupteurs ne pouvant être rétablies par l'unité centrale qu'après une remise sous tension.

3 Dispositif selon la revendication 2, caractérisé en ce qu'il comprend: une troisième mémoire ( 42) dans laquelle 1 ' unité

centrale écrit, à la mise sous tension, le mot de passe prédé-

terminé stocké dans la première mémoire ( 20), des moyens étant prévus pour rendre la troisième mémoire ( 42) accessible une seule fois par l'unité centrale ( 18); et un circuit vérificateur de mot de passe ( 40) capable de rétablir les positions initiales des interrupteurs et seul capable de lire le contenu de la troisième mémoire, ce circuit

étant invoqué lors d'un démarrage à chaud du système informa-

tique et lorsque l'opérateur le souhaite pour: comparer le mot de passe fourni par l'opérateur au mot de passe prédéterminé stocké dans la troisième mémoire ( 42), signaler le résultat de la comparaison à l'unité centrale, et

rétablir les positions initiales des interrupteurs.

4 Dispositif selon la revendication 2, caractérisé en ce que les interrupteurs ( 30) sont commandés par une bascule

( 31) qui peut être mise à un premier état qui ferme les inter-

rupteurs ( 30), par un circuit fournissant une impulsion à la mise sous tension à une première entrée (R), et qui peut être mise à un deuxième état qui ouvre les interrupteurs ( 30) par une impulsion fournie par l'unité centrale à une deuxième entrée (S). Dispositif selon la revendication 3, caractérisé en ce que les interrupteurs ( 30) sont commandés par une bascule

( 31) qui peut être mise à un premier état qui ferme les inter-

rupteurs ( 30), par le circuit vérificateur ( 40) qui fournit une impulsion à une première entrée, d'une part, à la mise sous tension et, d'autre part, lors d'une bonne comparaison des mots

de passe lorsque le circuit vérificateur est invoqué, et qui peut être mis à un deuxième état qui ouvre les interrupteurs par l'unité centrale fournissant une impulsion à une deuxième entrée35 ( 5).

6 Dispositif selon la revendication 5, caractérisé en

ce que les moyens pour rendre la troisième mémoire ( 42) accessi-

ble une seule fois comprennent un compteur de tentatives d'accès

remis à zéro à la mise sous tension.

7 Procédé de protection d' un système informatique comprenant les étapes suivantes: a) à la mise sous tension, comparer un mot de passe fourni par un opérateur à un mot de passe prédéterminé stocké dans une première mémoire non volatile reprogrammable ( 20)

contenant aussi des données de configuration du système infor-

matique, et poursuivre en cas d'égalité de oes mots de passe; b) lire les données de configuration dans la première mémoire ( 20) et, à partir de celles-ci, régler la configuration du système; et c) si l'opérateur en a signalé le souhait, écrire des nouvelles données de configuration fournies par celui-ci dans la première mémoire ( 20); caractérisé en ce que les données lues dans l'étape c) sont écrites dans une deuxième mémoire volatile ( 16) à mode

d'accès standardisé pour l'utilisation par un système d'exploi-

tation, et en ce que la première mémoire ( 20) est une mémoire à

mode d'accès différent de celui de la deuxième mémoire.

8 Procédé de protection selon la revendication 7, caractérisé en ce qu'il comprend l'étape suivante: après l'étape c), déconnecter les accès du système informatique à, d'une part, la première mémoire ( 20), et à, d'autre part, des périphériques (Pl) définis par l'opérateur dans les données de configuration dans l'étape b), les connexions ne pouvant être rétablies qu'à la remise sous

tension.

9 Procédé de protection selon la revendication 8, caractérisé en ce qu' à la mise sous tension, le mot de passe prédéterminé stocké dans la première mémoire ( 20) est écrit dans une troisième mémoire ( 42) lisible seulement par un circuit vérificateur de mot de passe ( 40) aussi capable de rétablir les connexions des accès, ce circuit étant invoqué lors d'un démar- rage à chaud du système au niveau de 1 ' étape a) et lorsque l'opérateur le souhaite pour: 5 comparer le mot de passe donné par l'opérateur avec le mot de passe stocké dans la troisième mémoire ( 42); signaler le résultat de la comparaison à l'unité centrale; et rétablir les connexions des accès si la comparaison

est bonne.