FR2865337A1 - Systeme et procede de securite pour coupe-feu et produit associe - Google Patents
Systeme et procede de securite pour coupe-feu et produit associe Download PDFInfo
- Publication number
- FR2865337A1 FR2865337A1 FR0450089A FR0450089A FR2865337A1 FR 2865337 A1 FR2865337 A1 FR 2865337A1 FR 0450089 A FR0450089 A FR 0450089A FR 0450089 A FR0450089 A FR 0450089A FR 2865337 A1 FR2865337 A1 FR 2865337A1
- Authority
- FR
- France
- Prior art keywords
- firewall
- reference parameter
- parameter
- application
- security system
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
- H04L63/029—Firewall traversal, e.g. tunnelling or, creating pinholes
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L12/00—Data switching networks
- H04L12/02—Details
- H04L12/22—Arrangements for preventing the taking of data from a data transmission channel without authorisation
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Computer Hardware Design (AREA)
- Computing Systems (AREA)
- General Engineering & Computer Science (AREA)
- Computer And Data Communications (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
Abstract
La présente invention concerne un système (1) et un procédé de sécurité pour coupe-feu.Le système comprend des moyens de communication (11) avec une application (APP) prévue pour mettre en oeuvre des connexions via le coupe-feu, des moyens d'identification (12) d'au moins un paramètre de délégation fourni par cette application, prévus pour reconnaître cette application comme apte à établir des connexions lorsque le paramètre de délégation est conforme à au moins un paramètre de référence (PARA0), et des moyens de commandes d'établissement (13) de connexions, fondées sur des requêtes en provenance de cette application.Le système de sécurité comprend aussi des moyens de production (20) du paramètre de référence, incluant des moyens de génération automatique (21) et/ou de commande de distribution automatique (22) à une liste d'utilisateurs habilités, du paramètre de référence. On peut ainsi communiquer au préalable à des utilisateurs, le paramètre de référence à fournir en tant que paramètre de délégation.
Description
La présente invention se rapporte à un système et un procédé de sécurité
pour coupe-feu et à un programme d'ordinateur associé.
Le rapide développement des services sur Internet doit son succès pour partie à la grande facilité d'interconnexion et d'échange de données de toutes sortes. Cependant, certains flux non désirés peuvent transiter sur des réseaux et provoquer des effets dommageables (notamment saturation de trafic) ou même transporter des programmes pirates (virus, vers...).
Une solution couramment utilisée pour remédier à ces difficultés consiste à mettre en place à l'entrée d'un réseau à protéger (réseau privé) une passerelle, dite aussi portail ( gateway en anglais), d'accès sécurisé entre le réseau privé et Internet, munie d'un coupe-feu ou firewall . Ce dernier permet de filtrer les flux entrants et sortants. Tout paquet transitant par le portail est ainsi soumis à vérification par rapport à une liste de connexions autorisées.
Trois types de décisions peuvent alors être prises par la passerelle: - si le paquet appartient à un flux déjà répertorié comme autorisé, il traverse la passerelle normalement, - si le paquet appartient à un flux déjà répertorié comme non autorisé, il ne traverse pas la passerelle, - et si le paquet appartient à un flux non encore répertorié, il est momentanément bloqué et l'administrateur est sollicité (interface interactive) pour choisir la marche à suivre (autorisation ou non).
En pratique, avec l'augmentation régulière du trafic Internet, le succès des applications poste à poste ( peer to peer en anglais) et l'apparition d'applications multimédia créant dynamiquement de nouvelles connexions, le niveau de sollicitation d'un administrateur de passerelle sécurisée ne cesse de croître. La situation s'avère donc en général peu satisfaisante, que le réseau privé bénéficiant d'une protection soit constitué d'une seule machine ou de plusieurs.
Ainsi, lorsque ce réseau est réduit à une seule machine, qui joue alors aussi le rôle de passerelle sécurisée, l'utilisateur final des logiciels d'application (ou applicatifs ) est aussi l'administrateur. Son interaction avec la machine est de ce fait constamment interrompue par des tâches rébarbatives d'administration.
Par ailleurs, lorsque le réseau privé est constitué de plusieurs machines, avec plusieurs utilisateurs et plusieurs applications, il est difficile pour l'administrateur de prendre rapidement la bonne décision, surtout s'il ne s'agit pas d'un expert (typiquement pour un réseau domestique). En particulier, connaître les valeurs des ports effectivement choisis par l'application est souvent peu aisé. Dans les réseaux d'entreprise, on limite souvent carrément les passerelles sécurisées en interdisant toute connexion poste à poste, et en bloquant certaines catégories de flux, telles que par exemple les flux selon le protocole UDP (pour User Datagram Protocol ). Les performances et les types d'applications communicantes sont alors réduits d'autant.
Le document EP-A2-0.910.197 divulgue un coupe-feu amélioré, capable de supporter de multiples stratégies de sécurité et/ou de multiples utilisateurs, en appliquant une règle d'accès choisie parmi plusieurs règles disponibles. Le traitement de coupe-feu peut être facilité par l'usage combiné de règles pré-chargées (par un administrateur du coupefeu) et de règles dynamiques. De telles règles dynamiques, qui peuvent par exemple inclure des numéros de ports spécifiques de source et de destination, sont susceptibles d'être chargées à n'importe quel moment par des parties autorisées, telles qu'une application de confiance, un serveur mandataire ( proxy ) ou un administrateur de coupe-feu distant. Ces règles dynamiques peuvent servir pour une unique session, avoir une utilisation limitée dans le temps, ou être exploitées seulement quand certaines conditions sont satisfaites.
Une telle solution offre une très grande souplesse d'adaptation des règles de filtrage dans le coupe-feu, et peut permettre de réduire sensiblement les interventions de l'administrateur de la passerelle sécurisée. En particulier, elle peut autoriser une délégation de certaines tâches d'autorisations de connexions, à une application, un serveur mandataire ou un administrateur distant, répondant à certains critères (typiquement validés par vérification de la source des messages reçus et/ou du type d'applications).
Cependant, cette technique introduit une vulnérabilité du système vis-àvis d'une incursion malveillante, et rend possible en particulier une pénétration et un changement des règles de sécurité par une application pirate, pourtant habilitée selon les critères retenus.
On connaît aussi des systèmes anti-virus, implémentés dans des passerelles sécurisées et chargées de stopper toutes les applications contenant des virus identifiés.
De telles techniques, si utiles ou même indispensables soient-elles, ne permettent d'effectuer qu'un filtrage assez limité, reposant sur la reconnaissance de programmes parasites et nuisibles déjà connus, ou répondant à des critères d'exclusion spécifiques. En revanche, elles sont inopérantes vis-à-vis d'applications susceptibles de porter préjudice, lorsque ces dernières ne contiennent pas de virus identifiables à partir des critères retenus. De plus, elles ne résolvent pas les problèmes d'autorisations ou non de connexions en cas d'applications a priori acceptables.
Une solution tentante pour améliorer les conditions de sécurité du coupefeu consisterait à renforcer les règles de sélection en vigueur, en multipliant les contrôles. Ce renforcement des règles pourrait s'appliquer non seulement aux autorisations de connexions, mais aussi aux critères d'habilitation d'une application de confiance, d'un serveur mandataire ou d'un administrateur de coupe-feu distant selon la technique divulguée dans l'antériorité EP-A2-0.910.197. Par exemple, la délégation des tâches à un administrateur distant passerait non seulement par la vérification de son adresse source, mais aussi du port de destination et de la nature de l'application.
Cette solution permettrait d'accroître la fiabilité du système, mais au détriment de la souplesse d'utilisation. De plus, elle nécessiterait des traitements d'autant plus complexes et coûteux en opérations au niveau du coupe-feu, pour récupérer les données à tester et exécuter les algorithmes de validation.
La présente invention concerne des systèmes de sécurité pour coupe-feu rendant possible une grande fiabilité du filtrage de paquets au niveau du coupe-feu, tout en pouvant avoir recours à des traitements relativement simples et peu coûteux en opérations. De plus, les systèmes de sécurité de l'invention sont susceptibles d'autoriser une réduction significative des risques d'intrusions malveillantes et de simplifier considérablement la tâche de l'administrateur de la passerelle sécurisée munie du coupe- feu.
L'invention concerne aussi un procédé de sécurité et un programme d'ordinateur ayant les avantages précités. Elle s'applique notamment à une connexion entre un réseau domestique et un réseau extérieur étendu, tel que notamment Internet.
A cet effet, l'invention concerne en particulier un procédé de 30 sécurité pour coupe-feu, comprenant des étapes de: - communication avec une application prévue pour mettre en oeuvre des connexions via le coupe-feu, - identification automatique d'au moins un paramètre de délégation fourni par cette application et reconnaissance automatique de l'application comme apte à établir des connexions via le coupe-feu lorsque ce paramètre de délégation est conforme à au moins un paramètre de référence enregistré dans un espace de stockage, - et commandes d'établissement automatique de connexions via le coupe-feu, ces commandes étant fondées sur des requêtes en provenance de l'application.
Selon l'invention, le procédé comprend en outre une étape d'envoi préalable à au moins un utilisateur de cette application, du paramètre de référence à fournir en tant que paramètre de délégation.
Ainsi, le procédé de l'invention se distingue de l'état de la technique sur les anti-virus par une reconnaissance d'un ou plusieurs paramètres de délégation, par comparaison avec un ou plusieurs paramètres de référence, l'application étant apte à établir des connexions en cas de conformité. Par contraste, les systèmes avec anti-virus procèdent par élimination, en écartant les applications estimées porteuses de virus. Dans le cas contraire, elles se contentent de les laisser passer.
Par rapport à la technique divulguée dans le document EP-A2- 0.910.197, le procédé de l'invention met en jeu un paramètre de délégation qui est communiqué au préalable aux utilisateurs habilités. Ce paramètre fait ainsi office d'identifiant de licence, qui permet ensuite à ces utilisateurs d'obtenir pour leur(s) application(s) le droit d'établir des connexions au niveau du coupe-feu, sous réserve de présenter au préalable cet identifiant de licence. Au contraire, dans l'antériorité ci-dessus, le paramètre de délégation est imposé par la provenance ou la nature des messages reçus, et consiste par exemple en une adresse source ou en l'identité du protocole utilisé pour l'application. Il est donc automatiquement et implicitement présent dans les données communiquées au coupe-feu par l'application.
Le mode de validation du procédé de l'invention par un acte volontaire de l'utilisateur contraste de façon surprenante avec les techniques connues, dans lesquelles l'utilisateur n'a en pratique aucune démarche particulière à accomplir, le coupe-feu se chargeant de faire le tri en fonction de paramètres intrinsèquement liés à des données de l'application.
Le procédé de l'invention rend possible une amélioration sensible de la fiabilité du coupe-feu par rapport au document EP-A2-0.910.197, tout en déchargeant l'administrateur de la passerelle associée. En effet, il peut éviter une pénétration du système et un changement de ses règles de sécurité par une application pirate qui répondrait à des critères figés. De plus, il parvient à ce résultat sans requérir une multiplication des règles de filtrage, qui risquerait d'alourdir sensiblement les ressources de traitement nécessaires.
L'application autorisée connaît les spécificités des connections en cours et à venir, et est à même de mettre à jour rapidement à la passerelle sécurisée la liste des connexions autorisées. Ces opérations sont susceptibles d'être effectuées de manière transparente vis-à-vis de l'administrateur de la passerelle, avec un niveau de sécurité élevé.
Le procédé de sécurité procure dans des modes de mise en oeuvre préférés les avantages suivants: - possibilité de déléguer à une application l'autorisation de traverser la passerelle sécurisée, en combinant cette autorisation avec des filtres élaborés, - simplification de la tâche de l'administrateur de la passerelle, - obtention d'un niveau de sécurité au moins équivalent à celui d'un système traditionnel, car prenant en compte les spécificités de l'application, - fiabilité renforcée vis-à-vis d'intrusions malveillantes. 5 L'invention porte également sur des systèmes de sécurité particuliers, destinés à exécuter au moins partiellement le procédé de sécurité de l'invention. Un tel système de sécurité peut être incorporé au coupe-feu ou prendre la forme d'un dispositif extérieur autonome. II peut aussi être partagé en plusieurs parties, dont certaines peuvent être intégrées au coupe-feu et d'autres non.
Un système de sécurité pour coupe-feu adapté au procédé de sécurité de l'invention comprend - des moyens de communication avec une application prévue pour mettre en oeuvre des connexions via le coupe-feu, - des moyens d'identification d'au moins un paramètre de délégation fourni par cette application, ces moyens d'identification étant prévus pour reconnaître l'application comme apte à établir des connexions via le coupe-feu lorsque le paramètre de délégation est conforme à au moins un paramètre de référence, - et des moyens de commandes d'établissement de connexions via le coupe- feu, ces commandes étant fondées sur des requêtes en provenance de l'application.
Le procédé de sécurité de l'invention est alors mis en oeuvre au moyen du système de sécurité (intégré au coupe-feu ou autonome), capable de déléguer au moins partiellement à cette application le droit d'établir des connexions si le paramètre de délégation est conforme au paramètre de référence. Le système de sécurité est appliqué au paramètre de délégation sur la base d'un envoi préalable du paramètre de référence à des utilisateurs de l'application (et non sur la base de propriétés intrinsèques à l'application ou à sa source). L'utilisateur doit alors produire ce code chaque fois que l'application concernée cherche à effectuer des transmissions via le coupe-feu.
Dans une forme de base du système de sécurité, la détermination du paramètre de référence et sa communication aux utilisateurs sont effectuées indépendamment du système de sécurité. Pour ce faire, par exemple, un opérateur du coupe-feu choisit le paramètre de référence sous forme d'un code secret ou mot de passe, et le transmet à tout utilisateur habilité, de façon sécurisée. Cette transmission peut être effectuée notamment par courrier, par e-mail, ou par téléphone. Les utilisateurs habilités peuvent en particulier être identifiés au moyen d'une liste mise à jour régulièrement, l'habilitation pouvant éventuellement reposer sur le versement de cotisations spécifiques.
D'autres formes de réalisation du système de sécurité incluent dans ce système des modules spécifiques à l'invention.
Ainsi, dans une première forme spécifique du système de sécurité pour coupe-feu, celui-ci comprend aussi des moyens de production du paramètre de référence, ces moyens de production incluant des moyens de génération automatique du paramètre de référence destiné à être enregistré dans l'espace de stockage.
La génération automatique du paramètre de référence peut alléger la tâche de l'administrateur du coupe-feu, et est susceptible de produire des codes complexes avec un niveau de sécurité accrue par rapport à un choix fait par l'administrateur. De plus, dans des réalisations préférées, le paramètre de référence est régulièrement modifié, par exemple tous les mois. Ces dernières réalisations, qui accroissent la fiabilité du contrôle de délégation, risquent cependant de rendre particulièrement fastidieux pour l'administrateur du réseau le choix d'un nouveau code et sa transmission à tous les utilisateurs habilités, à chaque modification du paramètre de référence. De plus, la tentation de choisir des codes voisins de ceux déjà choisis auparavant peut être grande, au détriment du niveau de sécurité du système.
L'inclusion des moyens de génération automatique dans le système de sécurité est ainsi susceptible d'alléger sensiblement la tâche de l'administrateur, en étant apte à lui fournir automatiquement le nouveau code à utiliser, à chaque modification.
Matériellement, les moyens de génération automatiques peuvent être implémentés séparément par rapport aux autres moyens du dispositif de sécurité. Ils peuvent aussi en particulier être regroupés avec ces autres moyens dans un dispositif séparé du coupe-feu, ou encore être intégrés directement dans le coupe-feu.
Dans une deuxième forme spécifique du système de sécurité pour coupe-feu, celui-ci comprend aussi des moyens de production du paramètre de référence, ces moyens de production incluant des moyens de commande de distribution automatique du paramètre de référence à une liste d'utilisateurs habilités, lors de tout nouvel enregistrement du paramètre de référence dans l'espace de stockage.
Cette réalisation peut permettre de réduire les opérations à effectuer par un administrateur du réseau, en particulier lorsque des modifications périodiques du paramètre de référence sont effectuées. Elle est particulièrement intéressante lorsque la liste d'utilisateurs habilités est importante, par exemple en cas de réseau local d'entreprise ou d'immeuble.
En effet, cette liste risque alors d'être complexe et mouvante, variant par exemple en fonction des arrivées et des départs, ou des droits accordés aux uns et aux autres. La distribution automatique, préférentiellement sécurisée (par exemple selon des moyens connus tels que cryptage, authentification, et/ou réseau de communication contrôlé), est ainsi susceptible d'éviter des opérations manuelles fastidieuses, de réduire les coûts de transmission, et/ou de réduire les risques d'erreurs.
Le terme production est entendu au sens large de mise à disposition, que cette dernière soit effectuée au profit d'un administrateur du réseau, d'utilisateurs d'applications, ou les deux.
Dans une version améliorée, les moyens de commande de distribution automatique sont également aptes à communiquer le paramètre de référence à tout nouvel utilisateur habilité, lors de l'inscription de cet utilisateur dans la liste d'utilisateurs habilités.
La première et la deuxième formes spécifiques sont avantageusement combinées, le paramètre de référence étant alors déterminé automatiquement puis communiqué automatiquement à tous les utilisateurs habilités.
De plus, le système de sécurité de l'invention admet de préférence, en plus des moyens automatiques de génération et de transmission, des moyens d'introduction manuelle du paramètre de référence et/ou de validation de transmission indépendante à des utilisateurs habilités. On peut ainsi, notamment, communiquer à un nouvel utilisateur le paramètre de référence en vigueur, sans qu'il soit nécessaire que les moyens de commande de distribution automatique soient activés. La validation de transmission peut alors permettre d'informer les moyens de commande de distribution que l'utilisateur concerné dispose déjà du paramètre de référence en cours, et qu'il n'est donc plus nécessaire de le lui transmettre.
De préférence, ainsi qu'indiqué plus haut, le système de sécurité comprend des moyens d'activation périodique des moyens de production. Cette activation peut porter en particulier sur la génération automatique d'un nouveau paramètre de référence (première forme spécifique) et/ou sur la commande de distribution automatique du paramètre de référence aux utilisateurs habilités (deuxième forme spécifique).
La transmission périodique automatisée du paramètre de référence repose de préférence sur l'utilisation conjointe de la génération automatique du nouveau paramètre, mais elle peut aussi s'appuyer sur un enregistrement manuel préalable du nouveau paramètre de référence, notamment par l'administrateur du coupe-feu. Dans ce dernier cas, selon une modalité avantageuse, la distribution périodique est effectuée à la périodicité voulue, que le paramètre ait été modifié ou non auparavant.
Préférentiellement, le système de sécurité comprend des moyens de filtrage de connexions, prévus pour filtrer les commandes d'établissement de connexions par les moyens de commandes, en fonction de critères de sélection prédéfinis.
Ce couplage entre d'une part la prise en compte du champ joint par l'utilisateur avec l'application, et d'autre part l'exploitation d'autres paramètres relatifs aux connexions, est particulièrement intéressant. En effet, il permet de valider de façon fiable les droits accordés à une application, sans pour autant lui octroyer l'autorisation d'établir des connexions de façon illimitée.
Ainsi, selon une première forme de filtrage, les moyens de filtrage de connexions sont prévus pour exclure au moins une des connexions sur la base d'une ou plusieurs adresses et/ou ports de source et/ou de destination.
Selon une deuxième forme de filtrage (avantageusement combinée avec la première), les moyens de filtrage de connexions sont prévus pour n'autoriser les commandes d'établissement de connexions par les moyens de commandes pour le paramètre de délégation, que pendant une durée de validité prédéfinie.
On peut ainsi octroyer des licences à des utilisateurs pour pouvoir autoriser les connexions au niveau de la passerelle sécurisée, mais seulement pour une durée limitée. Cette précaution permet de réduire les risques de détournement du paramètre de délégation, par des tiers non autorisés qui parviendraient à se procurer un identificateur de licence. D'autre part, cette forme de filtrage autorise un octroi de droits renouvelable périodiquement, avec une éventuelle contrepartie définie par exemple par l'administrateur d'un réseau privé.
Selon d'autres formes de filtrage, avantageusement combinées avec les précédentes, les moyens de filtrage de connexions sont prévus pour n'autoriser les commandes d'établissement de connexions que pour certaines adresses et/ou ports de source et/ou de destination, pour n'autoriser que certains utilisateurs, et/ou pour exclure certains utilisateurs.
Préférentiellement, les moyens d'identification sont prévus pour identifier le paramètre de délégation sous forme d'un identifiant de licence.
De plus, le système de sécurité comprend avantageusement: - des moyens d'authentification du paramètre de délégation; et/ou des moyens de décryptage du paramètre de délégation. 25 Ces réalisations permettent d'accroître encore la fiabilité du système, en évitant les contrefaçons de licences (grâce à des certificats d'authenticité), seules les licences certifiées par l'administrateur étant valides, et/ou en utilisant des techniques connues de cryptage pour sécuriser le paramètre de délégation.
L'invention concerne aussi un coupe-feu caractérisé en ce qu'il comprend un système de sécurité conforme à l'une quelconque des formes de l'invention.
Le procédé de sécurité de l'invention est préférentiellement mis en oeuvre au moyen d'un système de sécurité conforme à l'un quelconque des modes de réalisation de l'invention, tels que ceux mentionnés plus haut.
L'invention s'applique également à un produit programme d'ordinateur comprenant des instructions de code de programme pour l'exécution des étapes du procédé de sécurité selon l'invention, lorsque ce programme est exécuté sur un ordinateur. Par produit programme d'ordinateur , on entend un support de programme d'ordinateur, qui peut consister non seulement en un espace de stockage contenant le programme, tel qu'une disquette ou une cassette, mais aussi en un signal, tel qu'un signal électrique ou optique.
L'invention sera mieux comprise et illustrée au moyen des exemples suivants de réalisation et de mise en oeuvre, nullement limitatifs, 20 en référence aux figures annexées sur lesquelles: - la Figure 1 montre une passerelle interposée entre un réseau local et un réseau étendu, munie d'un système de sécurité conforme à l'invention; - et la Figure 2 est un schéma bloc de principe détaillant le système de sécurité de la Figure 1.
Sur les Figures 1 et 2, les modules représentés sont des unités fonctionnelles, qui peuvent ou non correspondre à des unités physiquement distinguables. Par exemple, ces modules ou certains d'entre eux peuvent être regroupés dans un unique composant, ou constituer des fonctionnalités d'un même logiciel. A contrario, certains modules peuvent éventuellement être composés d'entités physiques séparées.
Une passerelle sécurisée 10 (Figure 1) interposée entre un réseau local 4 ou LAN (pour Local Area Network ), tel qu'un réseau domestique, et un réseau étendu 5 ou WAN (pour Wide Area Network ), tel qu'Internet, fait office de coupe-feu et comprend un système de sécurité 1 et un module de traduction d'adresses de réseau 2 ou NAT (pour Network Address Translation ).
Le réseau local 4 interconnecte des appareils tels que par exemple des terminaux Al et A2, et le réseau étendu 5 à des appareils tels que par exemple un serveur B. Le système de sécurité 1 (Figure 2) comprend plus précisément 15 les entités suivantes: - un module de communication 11 du système de sécurité 1 avec des applications APP, en provenance du réseau local 4 ou du réseau étendu 5; un module d'identification 12 d'un identifiant de licence valide fourni par l'application APP, par comparaison avec un paramètre de référence PARAO enregistré dans un espace de stockage 30 de la passerelle 10; pour qu'une délégation d'autorisation de connexions puisse être effective, l'identifiant de licence a été au préalable joint par l'utilisateur à l'application APP soit directement, soit par le biais d'un mécanisme prévu à cet effet à partir de données fournis par l'utilisateur; ce paramètre de référence PARAO est modifiable à volonté par l'administrateur de la passerelle 10; - un module de commandes d'établissement 13 de connexions via la passerelle 10, en fonction de requêtes en provenance de l'application APP; l'application APP, une fois reconnue comme digne de confiance, peut ainsi se substituer à l'administrateur pour émettre des commandes CMD autorisant ou non l'établissement de nouvelles connexions; - un module de filtrage 14 de connexions, prévu pour filtrer les commandes d'établissement de connexions par le module de commande 13 en fonction de critères de sélection CRIT enregistrés dans l'espace de stockage 30; ces critères CRIT permettent par exemple de limiter la portée de la licence accordée, dans le temps, ainsi qu'à certains utilisateurs et/ou à certaines adresses et/ou ports externes et/ou internes (source / destination), par autorisations explicites ou par exclusions; les critères CRIT sont modifiables par l'administrateur, mais il peut être aussi prévu des modifications à distance par une application ou un utilisateur habilité ; - un module d'authentification 15 de l'identifiant de licence, par le biais d'un certificat d'authenticité ; et un module de décryptage 16 de l'identifiant de licence. 15 Le système de sécurité 1 comprend également un ensemble de production 20 du paramètre de référence PARAO, qui inclut: - un module de génération automatique 21 du paramètre de référence PARAO, par exemple selon des techniques connues de génération aléatoire; le module de génération 21 génère un code suffisamment complexe pour éviter qu'il puisse être facilement cassé ; un module d'introduction 22 du paramètre de référence PARAO par un administrateur du système de sécurité 1 (qui est a priori mais non nécessairement l'administrateur de la passerelle sécurisée 10) ; ce module d'introduction 22 offre une solution manuelle en complément de la solution automatique du module de génération 21; - un module d'enregistrement automatique 23 du paramètre PARAO, provenant du module de génération automatique 21 ou du module d'introduction 22, dans l'espace de stockage 30; - et un module de commande de distribution automatique 24 du paramètre de référence PARAO à une liste LIST d'utilisateurs habilités, disponible dans l'espace de stockage 30, via un module d'envoi sécurisé 25; le module de commande 24 est prévu pour être activé lors de toute nouvelle entrée du paramètre de référence PARAO, à partir soit du module de génération 21, soit du module d'introduction 22; il est également capable de transmettre le paramètre PARAO à tout utilisateur nouvellement inscrit dans la liste LIST.
De plus, un module d'activation périodique 26 du système de sécurité 1 est chargé d'activer périodiquement l'ensemble de production du paramètre deréférence PARAO, ce qui permet automatiquement de renouveler le paramètre PARAO et de le communiquer aux utilisateurs habilités.
En fonctionnement, l'administrateur de la passerelle 10 octroie 15 tout d'abord des licences à certains utilisateurs, en leur communiquant un identifiant de licence (un code) par des moyens sécurisés.
A chaque communication d'une application APP avec la passerelle 10, les utilisateurs habilités joignent alors à l'application APP cet identifiant de licence. Lorsque le système de sécurité 1 de la passerelle 10 reconnaît la licence comme valide, il délègue les autorisations de connexions à l'application APP (substitution à l'administrateur), sous réserve de conditions restrictives pouvant être imposées.
Périodiquement (par exemple tous les mois), l'identifiant de licence est modifié, et les utilisateurs habilités reçoivent un nouveau code 25 correspondant à utiliser avec leurs applications APP.
Dans une variante de réalisation, le système de sécurité 1 ne s'applique qu'à des messages en provenance du réseau local 4. Quant aux connexions requises par une application en provenance du réseau étendu 5, elles sont par exemple décidées à chaque fois en fonction de critères prédéfinis ou par autorisation explicite de l'administrateur de la passerelle 10. On limite ainsi aux utilisateurs du réseau local 4, les capacités d'habilitation par le système de sécurité 1.
Dans une autre variante, le système de sécurité 1 ne s'applique au contraire qu'à des messages venant du réseau étendu 5. Des règles prédéterminées sont alors par exemple exploitées pour les applications en provenance du réseau local 4, pour établir si elles sont habilitées à autoriser des connexions. On peut ainsi alléger les démarches à suivre pour les utilisateurs du réseau local 4.
En général, l'application du système de sécurité 1 à toutes les applications passant par la passerelle 10 est cependant peu contraignante pour les utilisateurs et potentiellement utile tant en interne qu'en externe.
Claims (13)
1. Système de sécurité (1) pour coupe-feu (10), comprenant: - des moyens de communication (11) avec une application (APP) prévue pour mettre en oeuvre des connexions via ledit coupe-feu (10), - des moyens d'identification (12) d'au moins un paramètre de délégation fourni par ladite application (APP), lesdits moyens d'identification (12) étant prévus pour reconnaître ladite application comme apte à établir des connexions via le coupe-feu (10) lorsque ledit paramètre de délégation est conforme à au moins un paramètre de référence (PARAO) enregistré dans un espace de stockage (30), - et des moyens de commandes d'établissement (13) de connexions via le coupe-feu (10), lesdites commandes (CMD) étant fondées 15 sur des requêtes en provenance de ladite application (APP), caractérisé en ce que ledit système de sécurité (1) comprend aussi des moyens de production (20) dudit paramètre de référence (PARAO), lesdits moyens de production (20) incluant des moyens de génération automatique (21) dudit paramètre de référence (PARAO) destiné à être enregistré dans l'espace de stockage (30) .
2. Système de sécurité (1) pour coupe-feu (10), comprenant: - des moyens de communication (11) avec une application (APP) prévue pour mettre en oeuvre des connexions via ledit coupe-feu (10), - des moyens d'identification (12) d'au moins un paramètre de délégation fourni par ladite application (APP), lesdits moyens d'identification (12) étant prévus pour reconnaître ladite application comme apte à établir des connexions via le coupe-feu (10) lorsque ledit paramètre de délégation est conforme à au moins un paramètre de référence (PARAO) enregistré dans un espace de stockage (30), - et des moyens de commandes d'établissement (13) de connexions via le coupe-feu (10), lesdites commandes (CMD) étant fondées sur des requêtes en provenance de ladite application (APP), caractérisé en ce que ledit système de sécurité (1) comprend aussi des moyens de production (20) dudit paramètre de référence (PARAO), lesdits moyens de production (20) incluant des moyens de commande de distribution automatique (22) dudit paramètre de référence (PARAO) à une liste d'utilisateurs habilités, lors de tout nouvel enregistrement dudit paramètre de référence (PARAO) dans l'espace de stockage (30).
3. Système de sécurité (1) selon la revendication 2, caractérisé en ce qu'il est également conforme à la revendication 1.
4. Système de sécurité (1) pour coupe-feu (10) selon l'une des revendications 2 ou 3, caractérisé en ce que les moyens de commande de distribution automatique (22) sont également aptes à communiquer le paramètre de référence (PARAO) à tout nouvel utilisateur habilité, lors de l'inscription dudit utilisateur dans ladite liste d'utilisateurs habilités.
5. Système de sécurité (1) selon l'une quelconque des revendications précédentes, caractérisé en ce qu'il comprend des moyens d'activation périodique (26) desdits moyens de production (20).
6. Système de sécurité (1) selon l'une quelconque des revendications précédentes, caractérisé en ce qu'il comprend des moyens de filtrage (14) de connexions, prévus pour filtrer les commandes d'établissement de connexions par lesdits moyens de commandes (13), en fonction de critères de sélection prédéfinis (CRIT).
7. Système de sécurité (1) selon la revendication 6, caractérisé en ce que lesdits moyens de filtrage (14) de connexions sont prévus pour exclure au moins une desdites connexions sur la base d'au moins une information de sélection choisie parmi au moins une adresse de source, au moins une adresse de destination, au moins un port de source et au moins un port de destination.
8. Système de sécurité (1) selon l'une des revendications 6 ou 7, caractérisé en ce que lesdits moyens de filtrage (14) de connexions sont prévus pour n'autoriser les commandes d'établissement de connexions par les moyens de commandes (13) pour ledit paramètre de délégation, que pendant une durée de validité prédéfinie.
9. Système de sécurité (1) selon l'une quelconque des 15 revendications précédentes, caractérisé en ce qu'il comprend des moyens d'authentification (15) dudit paramètre de délégation.
10. Système de sécurité (1) selon l'une quelconque des revendications précédentes, caractérisé en ce qu'il comprend des moyens 20 de décryptage (16) dudit paramètre de délégation.
11. Coupe-feu (10) caractérisé en ce qu'il comprend un système de sécurité (1) conforme à l'une quelconque des revendications 1 à 10.
12. Procédé de sécurité pour coupe-feu (10), comprenant des étapes de: communication avec une application (APP) prévue pour mettre en oeuvre des connexions via ledit coupe-feu (10), - identification automatique d'au moins un paramètre de délégation fourni par ladite application et reconnaissance automatique de ladite application (APP) comme apte à établir des connexions via le coupe-feu (10) lorsque ledit paramètre de délégation est conforme à au moins un paramètre de référence (PARAO) enregistré dans un espace de stockage (30), - et commandes d'établissement automatique de connexions via le coupe-feu (10), lesdites commandes (CMD) étant fondées sur des requêtes en provenance de ladite application (APP), caractérisé en ce que ledit procédé comprend en outre une étape d'envoi préalable à au moins un utilisateur de ladite application (APP), dudit paramètre de référence (PARAO) à fournir en tant que paramètre de délégation, ledit procédé étant préférentiellement mis en oeuvre au moyen 15 d'un système de sécurité conforme à l'une quelconque des revendications 1 à 10.
13. Produit programme d'ordinateur, caractérisé en ce qu'il comprend des instructions de code de programme pour l'exécution des 20 étapes du procédé de sécurité selon la revendication 12 lorsque ledit programme est exécuté sur un ordinateur.
Priority Applications (6)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| FR0450089A FR2865337B1 (fr) | 2004-01-15 | 2004-01-15 | Systeme et procede de securite pour coupe-feu et produit associe |
| CNA2005100040404A CN1642174A (zh) | 2004-01-15 | 2005-01-10 | 用于防火墙的安全系统和方法及相关产品 |
| MXPA05000541A MXPA05000541A (es) | 2004-01-15 | 2005-01-12 | Sistema y metodo de seguridad para cortafuegos y producto asociado. |
| KR1020050003835A KR20050075308A (ko) | 2004-01-15 | 2005-01-14 | 방화벽용 및 관련 제품을 위한 보안 시스템 및 방법 |
| JP2005008190A JP2005202970A (ja) | 2004-01-15 | 2005-01-14 | ファイアウォールのためのセキュリティシステムおよびセキュリティ方法ならびにコンピュータプログラム製品 |
| US11/036,743 US20050188197A1 (en) | 2004-01-15 | 2005-01-14 | Security system and method for firewall and associated product |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| FR0450089A FR2865337B1 (fr) | 2004-01-15 | 2004-01-15 | Systeme et procede de securite pour coupe-feu et produit associe |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| FR2865337A1 true FR2865337A1 (fr) | 2005-07-22 |
| FR2865337B1 FR2865337B1 (fr) | 2006-05-05 |
Family
ID=34708029
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| FR0450089A Expired - Fee Related FR2865337B1 (fr) | 2004-01-15 | 2004-01-15 | Systeme et procede de securite pour coupe-feu et produit associe |
Country Status (6)
| Country | Link |
|---|---|
| US (1) | US20050188197A1 (fr) |
| JP (1) | JP2005202970A (fr) |
| KR (1) | KR20050075308A (fr) |
| CN (1) | CN1642174A (fr) |
| FR (1) | FR2865337B1 (fr) |
| MX (1) | MXPA05000541A (fr) |
Families Citing this family (4)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US20070276950A1 (en) * | 2006-05-26 | 2007-11-29 | Rajesh Dadhia | Firewall For Dynamically Activated Resources |
| WO2009007985A2 (fr) * | 2007-07-06 | 2009-01-15 | Elitecore Technologies Limited | Système et procédé de sécurité et de gestion de réseau à base d'identification et de règles |
| CN104852909B (zh) * | 2015-04-24 | 2019-07-09 | 新华三技术有限公司 | 一种攻击检测规则的开启方法和设备 |
| US10341293B2 (en) * | 2017-02-22 | 2019-07-02 | Honeywell International Inc. | Transparent firewall for protecting field devices |
Citations (5)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| EP0910197A2 (fr) * | 1997-09-12 | 1999-04-21 | Lucent Technologies Inc. | Procédés et dispositif pour un firewall dans un réseau informatique avec traitement dynamique de règles |
| US6484258B1 (en) * | 1998-08-12 | 2002-11-19 | Kyber Pass Corporation | Access control using attributes contained within public key certificates |
| CA2461418A1 (fr) * | 2001-09-25 | 2003-04-03 | Siemens Aktiengesellschaft | Procede et dispositif de mise en oeuvre d'une application de pare-feu pour des donnees de communication |
| US6609154B1 (en) * | 1999-07-02 | 2003-08-19 | Cisco Technology, Inc. | Local authentication of a client at a network device |
| US20030233582A1 (en) * | 2002-04-09 | 2003-12-18 | Ram Pemmaraju | Methods and apparatus for a computer network firewall which can be configured dynamically via an authentication mechanism |
Family Cites Families (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US5826014A (en) * | 1996-02-06 | 1998-10-20 | Network Engineering Software | Firewall system for protecting network elements connected to a public network |
| JP4217455B2 (ja) * | 2002-10-15 | 2009-02-04 | キヤノン株式会社 | 周辺装置、情報処理方法、および制御プログラム |
| US20040088176A1 (en) * | 2002-11-04 | 2004-05-06 | Balaji Rajamani | System and method of automated licensing of an appliance or an application |
-
2004
- 2004-01-15 FR FR0450089A patent/FR2865337B1/fr not_active Expired - Fee Related
-
2005
- 2005-01-10 CN CNA2005100040404A patent/CN1642174A/zh active Pending
- 2005-01-12 MX MXPA05000541A patent/MXPA05000541A/es active IP Right Grant
- 2005-01-14 JP JP2005008190A patent/JP2005202970A/ja not_active Withdrawn
- 2005-01-14 US US11/036,743 patent/US20050188197A1/en not_active Abandoned
- 2005-01-14 KR KR1020050003835A patent/KR20050075308A/ko not_active Application Discontinuation
Patent Citations (5)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| EP0910197A2 (fr) * | 1997-09-12 | 1999-04-21 | Lucent Technologies Inc. | Procédés et dispositif pour un firewall dans un réseau informatique avec traitement dynamique de règles |
| US6484258B1 (en) * | 1998-08-12 | 2002-11-19 | Kyber Pass Corporation | Access control using attributes contained within public key certificates |
| US6609154B1 (en) * | 1999-07-02 | 2003-08-19 | Cisco Technology, Inc. | Local authentication of a client at a network device |
| CA2461418A1 (fr) * | 2001-09-25 | 2003-04-03 | Siemens Aktiengesellschaft | Procede et dispositif de mise en oeuvre d'une application de pare-feu pour des donnees de communication |
| US20030233582A1 (en) * | 2002-04-09 | 2003-12-18 | Ram Pemmaraju | Methods and apparatus for a computer network firewall which can be configured dynamically via an authentication mechanism |
Also Published As
| Publication number | Publication date |
|---|---|
| US20050188197A1 (en) | 2005-08-25 |
| CN1642174A (zh) | 2005-07-20 |
| KR20050075308A (ko) | 2005-07-20 |
| MXPA05000541A (es) | 2005-08-29 |
| JP2005202970A (ja) | 2005-07-28 |
| FR2865337B1 (fr) | 2006-05-05 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| EP2819052B1 (fr) | Procédé et serveur de traitement d'une requête d'accès d'un terminal à une ressource informatique | |
| EP3008872B1 (fr) | Procédé d'authentification d'un terminal par une passerelle d'un réseau interne protégé par une entité de sécurisation des accès | |
| EP2692089B1 (fr) | Mécanisme de redirection entrante sur un proxy inverse | |
| EP1683388A2 (fr) | Methode de gestion de la s curit d' applications avec un module de securite | |
| EP1965559B1 (fr) | Procédé de sécurisation d'un flux de données | |
| EP2756626B1 (fr) | Procédé d'échanges sécurisés de données, dispositif et système de communication le mettant en oeuvre | |
| EP2871876A1 (fr) | Technique de configuration d'accès sécurisé d'un terminal invité à un réseau hôte | |
| FR2850503A1 (fr) | Procede et systeme dynamique de securisation d'un reseau de communication au moyen d'agents portables | |
| FR3037686A1 (fr) | Procede de deploiement d'une application dans un element securise | |
| FR2865337A1 (fr) | Systeme et procede de securite pour coupe-feu et produit associe | |
| EP2009571B1 (fr) | Système et procédé de sécurisation utilisant un dispositif de sécurité | |
| FR2946822A1 (fr) | Dispositif et procede d'acces securise a un service distant. | |
| EP2377290B1 (fr) | Procede et dispositif de transfert securise de donnees numeriques | |
| WO2012007693A1 (fr) | Procédé et dispositif de sécurisation d'un canal de communication bidirectionnel inter-niveaux | |
| EP1689144A1 (fr) | Système et procédé de sécurité pour un pare-feu et produit associé | |
| WO2021116555A1 (fr) | Procede de traitement de requetes de resolution de nom de domaine | |
| FR3093882A1 (fr) | Procédé de configuration d’un objet communicant dans un réseau de communication, terminal utilisateur, procédé de connexion d’un objet communicant au réseau, équipement d’accès et programmes d’ordinateur correspondants. | |
| FR3094515A1 (fr) | procédé d’exécution de code sécurisé, dispositifs, système et programmes correspondants | |
| EP3643035A1 (fr) | Procédé de contrôle de l'obtention par un terminal d'un fichier de configuration | |
| EP3729324A1 (fr) | Procédé de sécurisation d'un protocole usb par authentification d'un périphérique usb par un appareil et par chiffrement des échanges entre le périphérique et l'appareil et dispositifs associés | |
| WO2017089710A1 (fr) | Procédé de distribution de droits sur un service et plateforme de service | |
| EP1723773A2 (fr) | Procede de traitement d'un flux de donnees traversant un dispositif place en coupure sur un reseau informatique | |
| FR3076638A1 (fr) | Procede de gestion d'un acces a une page web d'authentification | |
| FR3042362A1 (fr) | Moyens de gestion d'acces a des donnees |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| ST | Notification of lapse |
Effective date: 20100930 |