FR2806179A1

FR2806179A1 - Organe de controle d'acces sur internet pour permettre des autorisations ou interdictions d'acces

Info

Publication number: FR2806179A1
Application number: FR0103088A
Authority: FR
Inventors: Alain Lardenois
Original assignee: Nilcom
Current assignee: Nilcom
Priority date: 2000-03-09
Filing date: 2001-03-07
Publication date: 2001-09-14
Anticipated expiration: 2021-03-07
Also published as: FR2806179B1

Abstract

Organe de contrôle d'accès sur Internet, caractérisé en ce qu'il comprend un dispositif d'identification de l'adresse de l'appelant, un dispositif dynamique de mémorisation des domaines, un module logiciel qui contrôle les droits du domaine appelant à chaque appel du serveur.

Description

La présente invention concerne un organe de contrôle d'accès sur Internet notamment pour permettre des autorisations ou in terdictions d'accès. Le développement des services offerts sur Internet a créé un besoin croissant d'identification des accédants, c'est-à-dire des internau- tes. L'intérêt d'une telle identification est multiple. L'identification peut servirà la facturation des services ou encoreà présenterà Finternaute le ou les produits qui correspondentà son profil.Il s'agitlà d'une fonctionde ciblage. L'identification peut également servirà la confidentialité de l'information, c'est-à-dire que l'identification ne sera autorisée qu'à cer tains internautes.

En effet, certaines informations doivent avoir des accès li mités.

Or actuellement Internet n'offre pas de tels dispositifs de contrôle d'accès et, de façon générale, l'information est ouverteà tous, pratiquement sans aucune restriction.

La présente invention a pour but de remédierà ces incon vénients et concerne,à cet effet, un organe de contrôle d'accès sur Inter- net caractérisé en ce qu'il comprend un dispositif d'identification de l'adresse de l'appelant, un dispositif dynamiquede mémorisation des do maines, un module logiciel qui contrôle les droits du domaine appelantà chaque appel du serveur.

D'une manière particulièrement avantageuse, le dispositif d'identification est relié directement aux serveurs qui contiennent la tota lité des domaines Internet pour exploiter directement ces serveurs officiels des domaines (RIPE, APNIC, ARIN).

Suivant une autre caractéristique, l'organe de contrôle d'accès comprend un moyen de mémorisation des domaines sous la forme d'un cache ou d'une base de données dynamique qui enregistre des seg ments appartenantà un domaine déterminé.

Le module logiciel comporte avantageusesement un logiciel résidant dans le serveur contenant les informationsà protéger ou encore sur un serveur intermédiaire qui protège les abonnés du domaine pour l'accèsà l'information externe.

De façon avantageuse pour former une table des domaines, l'organe de contrôle explore automatiquement la réponse HTML des ser veurs. Enfin l'organe de contrôle, utilise l'identification pour factu rer des services par un moyende facturation ou encore assurer les sur veillances par un moyen de déclenchement d'alarme ou encore établir des statistiques par un moyen d'établissement de statistiques.

Les différents moyens de l'invention etle contexte seront décritsde manière plus détaillée ci-après par la description de l'identification d'un appel Internet et la description détaillée des moyens de l'invention.

DESCRIPTIONDE L'INVENTION Identification d'un appel Internet Attribution des adresses: Le réseau INTERNET s'appuie sur un protocole de commu nication IP (INTERNET Protocol) qui attribue une adressede 32 bitsà toute station de travail ou serveur situé sur le réseau (par exemple 192.3.177.134). L'adresse doit être unique sur la totalité du réseau.

Le nombre d'adresses distinctes est donc limitéà 4294967296.

L'attribution d'adresses est faite par trois centres dansle monde: RIPE Registre Européen APNIC Registre Asiatique ARIN Registre Américain Pour des raisons historiques, le registre américain,le pre mierà exister, contient une partie des domaines enregistrés dans les au tres registres.

A chaque abonnement, le registre concerné attribue un bloc d'adresses sous un nom de domaine.

Les registres contiennent une base de données qui con tient: le nomde domaine, l'adresse minimum et l'adresse maxi male du bloc d'adresses attribuées.

Adresses situées dans un domaine -privé: Le nombre d'adresses est limité au niveau mondial à 4.294.967.296 ce qui nécessite le déploiement d'un nouveau protocole qui va étendre le nombre d'adresses.

Cependant, un grand nombrede domaines privés (INTRANET) isolés du domaine INTERNET par une machine spécifique (PROXY), utilisent de multiples fois les mêmes adresses, ce qui ne pose aucun problème tant que les stationsde travail ou les serveurs se trou ventà l'intérieur du domaine privé.

Lorsque ces stations de travail veulent adresser un serveur situé dans le domaine public, ils utilisent les services d'une machine spé cifique qui va transformer l'adresse d'origine en sa propre adresse, décla rée dans les registres du réseau global.

Le serveur adressé ne reçoit que l'adresse IP de ce PROXY, et ignore l'identification de la dans le réseau privé.

Dans ce cas, il existe une directive http, qui va permettre au PROXY de renseigner le serveur distant sur l'adresse interne de station de travail d'appel: Adresses dynamiquement attribuées: Il existe par ailleurs de multiples fournisseurs de services (Internet Service Provider) qui permettent accès au réseau INTERNET par l'intermédiaire du réseau téléphonique commuté. La station de travail, pour se connecterà un serveur INTERNET, est raccordéeà un modem qui appelle un numérode téléphone spécifiquede 11SP. LISP dispose sous ce numéro appelé d'une batterie de modems capables de décoder le flot de donnée issues de la station de travail distante. Ils sont eux-mêmes raccor désà un proxy qui va attribuer au hasard une adresse disponible appar tenant au domaine de IISP, afin de faire l'appel du serveur INTERNET. L'adresse IP reçue par le serveur INTERNET distant est une adresse qui changeà chaque connexion, ce qui rend l'identification de la stationde travail d'appel impossible.

Cependant, les ISP identifient les abonnés par un nom et un mot de passe qui va les autoriser d'utiliser leurs services.

L'organe de contrôle d'accès comprend les composants suivants a- Un logiciel d'interrogation logicielle capable d'appeler par une transaction HTTP successivement les serveurs officiels, RIPE (Eu rope), et en cas d'échec APNIC (Asie), puis ARIN (Amérique), avec l'adresse IP à identifier. Les différents répertoires renvoient une page codée au for mat HTML qui contient le nom de domaine et les adresses min. et max. du domaine. Ce logiciel est capable de dépouiller le texte contenu dans ces pages pour en extraire: - le nom de domaine - l'adresse minimum du domaine - l'adresse maximale du domaine - le pays ou ce domaine a été déclaré Exemple - Illinois-inst-of-tech; 216.047-128.000-.216-047.159.255; Illinois Institude of Technology; USA b- Un logiciel de gestion de cache; lors de l'appel des ser veurs RIPE, APNIC ou ARIN, il enregistre les trois informations ci dessus en table, qu'il trie par adresse minimale décroissante. En effet certains domaines incluent des domaines plus petits. La recherche en table se fait par dichotomie, et les adresses étant triées par ordre décroissant, le plus petit domaine inclus dans un domaine plus grand sera identifié en pre mier.

c- Un logiciel qui est appeléà chaque entrée HTTP, et qui explore en premier lieu le cache ci dessus décrit, et en cas d'échec appelle le logiciel d'interrogation. Puis ayant identifié le domaine, va explorer son fichier interne d'autorisation: Domaine INTERNET: L'adresse IP est discriminante, elle est soit autorisée soit interdite.

Domaine INTRANET: Si le domaine est autorisé, le logiciel exploite l'en-tête HTTP-X-FORWARDED-FOR: 1943 117 143 qui a été garnie par le Proxy, et qui permet d'identifier l'appelant par son adresse dans le domaine privé. Si cette information est absente (Le proxy n'a pas été configuré pour la fournir), l'appel ne peut pas être identifié. Seul les appels issus du Proxy seront autorisés Domaine ISP: LISP peut renseigner une directive identique à la précédente qui fournit l'identification de l'abonné. Cette directive si tuée dans l'en-tête HTTP est variable selon les ISPs. L'appel ne peut être identifié que si elle est présente.

Par exemple WANADOO exploite l'en-tête X-FT-ID-Client: identification du client .

Dans tous les cas ce logiciel renseigne une variable globale exploitable par le serveur HTTP qui donne le nom du domaine, le pays (utile pour définir la langue), l'identification de la station de travail, et un indicateur d'autorisation ou d'interdiction.

d- Un logiciel de trace qui trace tous les appels et leur iden tification a des fins de contrôle ou de facturation.

DESCRIPTIONDES OPERATIONS l/ La page principale du serveur lance l'exécution d'un CGI, qui va en chaîner les opérations. Il exécute en premier lieu le logiciel c. 2/ Le logiciel c va exploiter le cache géré par le logicielb. Ce cache est primitivement vide, il se garnit dynamiquement.

3/ En cas d'échec, il va appeler le logiciel a, qui se charge d'explorer suc cessivement les répertoires Européens, Asiatiques et Américains.

4/ Le logiciel c va ensuite garnir les variables globales, qui vont permettre à l'application située sur ce serveur de connaître l'identification de l'appelant (Domaine, Identificationde la station de travail, pays). Si l'authentification est réussie, il explore un fichier d'autorisation (Black list) et d'interdiction (Red list) des appelants autorisés. En casde suc cès il renvoie une page HTML qui va enchaîner sur le browser de la station de travail l'entrée sur le serveur. (Link: URL ou META http- equiv=refresh Content= 0; URL= url d'entrée surle serveur . En cas d'échec il va interdire accès au serveur.

Claims

REVENDICATIONS 1') Organede contrôle d'accès sur Internet, caractérisé en ce qu' il comprend un dispositif d'identification de l'adresse de l'appelant, un dispositif dynamique de mémorisation des domaines, un module logiciel qui contrôle les droits du domaine appelantà chaque appel du serveur. 2') Organe de contrôle d'accès sur Internet selon la revendication1, caractérisé en ce que le dispositif d'identification est relié directement aux serveurs qui contien nentla totalité des domaines Internet et exploitent directement ces ser veurs officiels des domaines (RIPE, APNIC, ARIN). 3") Organede contrôle d'accès sur Internet selon la revendication1, caractérisé en ce qu' il comprend un moyen de mémorisation des domaines sous la forme d'un cache ou d'une base de données dynamique qui enregistre des segments appartenantà un domaine déterminé. 4') Organe de contrôle d'accès sur Internet selon la revendication1, caractérisé en ce qu' il comporte un logiciel résidant dans le serveur contenant les informations à protéger. 5') Organe de contrôle d'accès sur Internet selon la revendication1, caractérisé en ce que l'organe de contrôle comporte un logiciel résidant sur un serveur intermé diaire qui protège les abonnés du domaine pour l'accèsà l'information externe. 6') Organe de contrôle d'accès sur Internet selon la revendication 2, caractérisé en ce qu' il explore automatiquement la réponse (HTML) des serveurs pour former une table des domaines. 7') Organe de contrôle selon la revendication1, caractérisé en ce qu' il comprend un moyende facturation, un moyende déclenchement d'alarme et un moyen d'établissement de statistiques.