FR2901939A1

FR2901939A1 - IMPROVED SECURITY ARCHITECTURES IN TWO AND THREE PHYSICALLY SEPARATED PARTS

Info

Publication number: FR2901939A1
Application number: FR0605009A
Authority: FR
Inventors: Patrick Duputz
Original assignee: Thales SA
Current assignee: Thales SA
Priority date: 2006-06-06
Filing date: 2006-06-06
Publication date: 2007-12-07
Anticipated expiration: 2026-06-06
Also published as: FR2901939B1; WO2007141302A1; EP2021969A1

Abstract

Dispositif de cryptographie comprenant au moins une zone rouge (1), une zone noire (2), une zone de gestion (3), une ressource cryptographique (4), comportant au moins les éléments suivants :o un domaine hôte (5) comprenant la zone rouge (1), la zone noire (2) et la zone de gestion (3) séparées logiquement,o la ressource cryptographique (4) communiquant avec les éléments du domaine hôte (5) au moyen des interfaces suivantes :o une interface rouge (10) pour les donnes émises vers la zone rouge,o une interface noire (11) pour les données émises vers la zone noire,o une interface gestion (12) pour les données émises vers la zone de gestion,o les trois interfaces (10, 11, 12) étant séparées physiquement,o le domaine cryptographique étant séparé physiquement du domaine hôte.Cryptographic device comprising at least one red zone (1), a black zone (2), a management zone (3), a cryptographic resource (4), comprising at least the following elements: o a host domain (5) comprising the red zone (1), the black zone (2) and the management zone (3) logically separated, o the cryptographic resource (4) communicating with the elements of the host domain (5) by means of the following interfaces: red (10) for data sent to the red zone, o a black interface (11) for the data sent to the black zone, o a management interface (12) for the data sent to the management zone, o the three interfaces (10, 11, 12) being physically separated, where the cryptographic domain is physically separated from the host domain.

Description

ARCHITECTURES DE SECURITE AMELIOREES EN DEUX ET TROIS PARTIES PHYSIQUEMENTIMPROVED SECURITY ARCHITECTURES IN TWO AND THREE PARTS PHYSICALLY

SEPAREESSEPARATED

L'invention concerne notamment une architecture de sécurité améliorée et un équipement cryptographique. Sous l'expression équipement cryptographique on désigne un produit matériel et logiciel qui intègre des fonctions cryptographiques. Dans un équipement cryptographique, le cloisonnement des fonctions cryptographiques et la séparation rouge / noir constituent les points criti- lo ques qui sont analysés au moment de l'évaluation de sécurité. Le passage de cette évaluation conditionne l'obtention de l'agrément, qui autorise le déploie-ment de l'équipement dans une infrastructure cliente. Un premier problème technique est la définition de l'architecture de l'équipement cryptographique. L'architecture doit garantir un niveau de cloison-15 nement et de séparation adapté à l'agrément visé. La recommandation courante [Recommandation pour l'intégration des fonctions cryptographiques dans les systèmes d'information] favorise le cloisonnement physique des fonctions cryptographiques (un domaine cryptographique autonome) et la séparation physique des ressources de traitements 20 des données sensibles et flux non sensibles. Cette recommandation induit automatiquement une forte complexité matérielle et logicielle. Un second problème technique est l'optimisation des coûts de développement et de production. A niveau de sécurité fixé, l'objectif est d'obtenir l'équipement cryptographique le plus compétitif du marché. 25 Un équipement cryptographique représenté à la figure 1 comporte en général quatre sous ensembles fonctionnels : la zone rouge 1, la zone noire 2, la zone de gestion 3 et la ressource cryptographique 4. La zone rouge 1 regroupe les fonctions de sécurité qui traitent des données sensibles en clair. La zone noire 2 regroupe les fonctions de sécurité qui traitent des données chif- 30 frées. La zone de gestion 3 regroupe les fonctions de supervision qui traitent des données non sensibles. Et la ressource cryptographique 4 regroupe les fonctions cryptographiques. Selon le niveau de sécurité visé, l'architecture de l'équipement cryptographique est généralement en deux, trois ou quatre parties physiquement séparées. L'architecture en deux parties représentée à la figure 2 permet de cloisonner les fonctions de sécurité en un domaine hôte 5 et un domaine cryptographique 6. Les zones rouge, noire et de gestion sont regroupées dans un domaine hôte formé d'un seul et unique composant logiciel et/ou matériel. La io ressource cryptographique 4 constitue le domaine cryptographique 6 de l'équipement. L'architecture en trois parties représentée à la figure 3 permet de cloisonner les fonctions de sécurité en un domaine cryptographique 6, un domaine hôte rouge 7 et un domaine hôte noir 8. La zone rouge 1 et une partie de 15 la zone de gestion 3a sont regroupées dans le domaine hôte rouge. La zone noire 2 et une partie de la zone de gestion 3b sont regroupées dans le domaine hôte noir. La ressource cryptographique 4 constitue le domaine cryptographique qui est placée en coupure dans l'équipement. Les architectures de sécurité en deux et trois parties présentent un 20 niveau insuffisant de séparation rouge/noir vis à vis des agréments pour les niveaux confidentiel défense et secret défense et ne conviennent donc pas aux équipements cryptographiques destinés à assurer la protection d'informations classifiées de défense. L'architecture de sécurité en quatre parties présente un niveau de 25 cloisonnement et de séparation rouge/noir maximum. Elle convient parfaitement aux équipements cryptographiques destinés à assurer la protection d'informations classifiées de défense. Cependant, elle engendre des coûts élevés de développement et de production. L'architecture de sécurité en quatre parties est aussi inadaptée au besoin de mobilité du client. Elle pénalise les 30 performances (autonomie énergétique) et l'ergonomie (encombrement) de l'équipement dans un contexte d'utilisation mobile. The invention particularly relates to an improved security architecture and cryptographic equipment. Cryptographic equipment is a hardware and software product that integrates cryptographic functions. In cryptographic equipment, the partitioning of the cryptographic functions and the red / black separation are the critical points that are analyzed at the time of the security assessment. The passage of this assessment determines the approval, which allows the deployment of the equipment in a client infrastructure. A first technical problem is the definition of cryptographic equipment architecture. The architecture must guarantee a level of partitioning and separation appropriate to the intended approval. The current recommendation [Recommendation for the Integration of Cryptographic Functions in Information Systems] promotes the physical partitioning of cryptographic functions (an autonomous cryptographic domain) and the physical separation of processing resources from sensitive and non-sensitive data. This recommendation automatically induces high hardware and software complexity. A second technical problem is the optimization of development and production costs. At fixed security level, the goal is to obtain the most competitive cryptographic equipment on the market. Cryptographic equipment shown in FIG. 1 generally comprises four functional subsets: the red zone 1, the black zone 2, the management zone 3 and the cryptographic resource 4. The red zone 1 groups together the security functions that deal with sensitive data in clear. Black zone 2 groups together the security functions that process encrypted data. Management Zone 3 groups together the supervisory functions that process non-sensitive data. And the cryptographic resource 4 groups the cryptographic functions. Depending on the level of security sought, the architecture of the cryptographic equipment is usually in two, three, or four physically separated parts. The two-part architecture shown in FIG. 2 makes it possible to partition the security functions into a host domain 5 and a cryptographic domain 6. The red, black and management zones are grouped together in a host domain formed of a single and unique domain. software component and / or hardware. The cryptographic resource 4 constitutes the cryptographic domain 6 of the equipment. The three-part architecture shown in FIG. 3 makes it possible to partition the security functions into a cryptographic domain 6, a red host domain 7 and a black host domain 8. The red zone 1 and a part of the management zone 3a are grouped in the red host domain. The black zone 2 and part of the management zone 3b are grouped in the black host domain. The cryptographic resource 4 constitutes the cryptographic domain which is placed in a break in the equipment. The two- and three-party security architectures have an insufficient level of red / black separation with respect to the levels of confidential defense and defense secrecy and are therefore not suitable for cryptographic equipment intended to protect classified information. defense. The four-part security architecture has a maximum level of partitioning and red / black separation. It is ideally suited to cryptographic equipment designed to protect classified defense information. However, it generates high costs of development and production. The four-part security architecture is also inadequate for the customer's mobility needs. It penalizes the 30 performances (energy autonomy) and the ergonomics (congestion) of the equipment in a context of mobile use.

L'objet de l'invention concerne une nouvelle architecture pour un dis-positif cryptographique dans lequel le niveau de cloisonnement et de séparation rouge/noir des architectures en deux et trois parties est amélioré dans le but de concevoir des équipements cryptographiques, capables d'assurer la protection s d'informations classifiées de défense, à plus faible coût. L'invention concerne un dispositif de cryptographie comprenant au moins une zone rouge, une zone noire, une zone de gestion, une ressource cryptographique, caractérisé en ce qu'il comporte au moins les éléments suivants : io o un domaine hôte comprenant la zone rouge, la zone noire et la zone de gestion séparées logiquement, o la ressource cryptographique communiquant avec les éléments du domaine hôte au moyen des interfaces suivantes : o une interface rouge pour les donnes émises vers la zone rouge, 15 o une interface noire pour les données émises vers la zone noire, o une interface gestion pour les données émises vers la zone de gestion, o les trois interfaces étant séparées physiquement, o le domaine cryptographique étant séparé physiquement du do- 20 maine hôte. L'invention présente notamment les avantages suivants : En combinant la séparation logique et physique des différentes zones, la séparation physique des interfaces externes et des interconnexions in-ternes entre zones, et l'utilisation d'un procédé de transmission sécurisé de 25 données en clair, à travers la ressource cryptographique, on assure un bon ni-veau de cloisonnement et de séparation rouge/noir. En cas de défaillance, la ressource cryptographique empêche les échanges de données en clair entre les zones séparées logiquement ou physi- quement. L'architecture logicielle basée sur la virtualisation logicielle/matérielle empêche les échanges directs de données entre les zones séparées logique-ment : le contournement de la ressource cryptographique par débordement ou injection mémoire est détecté et bloqué. Et le procédé de transmission sécuri- sée de données en clair à travers la ressource cryptographique empêche les échanges anormaux de données en clair en provenance ou à destination de la zone de gestion, engendrés par un disfonctionnement de l'une des zones. D'autres caractéristiques et avantages de la présente invention apparaîtront mieux à la lecture de la description qui suit donnée à titre illustratif et io nullement limitatif annexé des figures qui représentent : o La figure 1 une découpe fonctionnelle d'un moyen de cryptographie, o La figure 2 une architecture de sécurité en deux parties physiquement séparées selon l'art antérieur, o La figure 3 une architecture de sécurité en trois parties physiquement 15 séparées selon l'art antérieur, o La figure 4a un premier exemple d'architecture de sécurité améliorée en deux parties physiquement séparées selon l'invention et la figure 4b le découpage logiciel correspondant, o La figure 5a un deuxième exemple d'architecture de sécurité améliorée 20 en trois parties physiquement séparées et la figure 5b le découpage logiciel correspondant, o La figure 6 un exemple d'implémentation pour l'architecture de la figure 4, o Les figures 7, 8 et 9 des exemples d'implémentation pour l'architecture 25 de la figure 5a. Les architectures de sécurité en deux et trois parties proposées selon l'invention reposent notamment sur l'application d'un ensemble cohérent des quatre mesures de sécurité suivantes : 1. le cloisonnement physique des zones fonctionnelles, intrinsèque aux architectures de sécurité en deux ou trois parties, 2. le cloisonnement logique des zones fonctionnelles physiquement regroupées, apporté par l'utilisation des technologies logicielles de 5 virtualisation logicielle/matérielle et/ou multi-niveaux de sécurité connues de l'Homme du métier, 3. le placement de la ressource cryptographique en coupure physique sur l'ensemble des flux de données échangés en interne de l'équipement entre les zones fonctionnelles, io 4. le contrôle des échanges de données en clair entre les zones fonctionnelles par la ressource cryptographique, apporté par l'application d'un procédé de transmission sécurisée de données en clair (par exemple le principe de Transmission de données en clair à travers une ressource cryptographique sans canal clair phy- 15 sique ). La figure 4a schématise un exemple d'architecture pour un moyen de cryptographie comprenant un domaine hôte 5 contenant une zone rouge 1, une zone noire 2 et une zone de gestion 3. Ces trois zones communiquent avec l'extérieur du moyen de cryptographie à l'aide de trois interfaces physiques distinctes respectivement une interface 10 pour les données sensibles, une inter-face 11 pour les données chiffrées, une interface 12 pour les données de gestion. Les trois zones sont séparées les unes des autres par des moyens logiciels, respectivement 13 entre la zone rouge et la zone de gestion et 14 entre la zone de gestion et la zone noire. II comporte aussi un domaine cryptographique 25 6 comprenant la ressource cryptographique 4 avec un canal clair sécurisé. Le domaine cryptographique communique avec l'extérieur au moyen d'une inter-face externe 15. La ressource cryptographique 4 communique avec les éléments du domaine hôte en utilisant trois interfaces physiquement distinctes : 30 • une interface rouge moyen/haut débit 16, pour les données sensi- bles (vers zone rouge), • une interface noire moyen/haut débit 17, pour les données chiffrées (vers zone noire), • une interface gestion bas/moyen débit 18, pour les données de gestion (vers zone gestion). The object of the invention relates to a new architecture for a cryptographic dis-positive in which the level of partitioning and separation red / black architectures in two and three parts is improved for the purpose of designing cryptographic equipment, capable of provide protection for classified defense information at a lower cost. The invention relates to a cryptographic device comprising at least one red zone, a black zone, a management zone, a cryptographic resource, characterized in that it comprises at least the following elements: a host domain comprising the red zone , the black zone and the management zone logically separated, where the cryptographic resource communicates with the elements of the host domain by means of the following interfaces: a red interface for the data transmitted to the red zone, a black interface for the data transmitted to the black zone, o a management interface for the data sent to the management zone, where the three interfaces are physically separated, where the cryptographic domain is physically separated from the host domain. The invention has the following advantages in particular: By combining the logical and physical separation of the different zones, the physical separation of the external interfaces and the internal interconnections between zones, and the use of a method for the secure transmission of data in Clear, through the cryptographic resource, a good level of partitioning and red / black separation is ensured. In the event of a failure, the cryptographic resource prevents clear data exchanges between the logically or physically separated zones. The software / hardware virtualization-based software architecture prevents the direct exchange of data between the logically separated zones: the bypass of the cryptographic resource by overflow or memory injection is detected and blocked. And the method of securely transmitting plaintext data through the cryptographic resource prevents abnormal exchanges of plaintext data from or to the management area, caused by a malfunction of one of the areas. Other features and advantages of the present invention will appear better on reading the following description given by way of illustration and not limited to the appended figures which represent: FIG. 1 a functional cutout of a cryptographic means, FIG. 2 is a two-part security architecture physically separated according to the prior art; and FIG. 3 a three-part security architecture physically separated according to the prior art. FIG. 4a is a first example of an improved security architecture. in two physically separated parts according to the invention and FIG. 4b the corresponding software division, FIG. 5a a second example of an improved security architecture 20 in three physically separated parts and FIG. 5b the corresponding software division, FIG. an example of implementation for the architecture of FIG. 4, FIGS. 7, 8 and 9 of the examples of implé for the architecture of Figure 5a. The security architectures in two and three parts proposed according to the invention are based in particular on the application of a coherent set of the following four security measures: 1. the physical partitioning of functional areas, intrinsic to security architectures in two or three parts, 2. the logical partitioning of physically clustered functional areas, brought about by the use of software virtualization / hardware and / or multi-level security software technologies known to those skilled in the art, 3. the placement of the resource cryptographic in physical cut-off on all the internally exchanged data flows of the equipment between the functional zones, 4. control of the clear data exchanges between the functional areas by the cryptographic resource, provided by the application of a secure method of transmitting data in clear form (for example, the principle of data transmission in clear through a cryptographic resource without a physical clear channel). FIG. 4a schematizes an exemplary architecture for a cryptographic means comprising a host domain 5 containing a red zone 1, a black zone 2 and a management zone 3. These three zones communicate with the outside of the cryptographic means at the same time. using three separate physical interfaces respectively an interface 10 for the sensitive data, an inter-face 11 for the encrypted data, an interface 12 for the management data. The three zones are separated from each other by software means, respectively 13 between the red zone and the management zone and 14 between the management zone and the black zone. It also comprises a cryptographic domain 25 6 comprising the cryptographic resource 4 with a secure clear channel. The cryptographic domain communicates with the outside by means of an external interface 15. The cryptographic resource 4 communicates with the elements of the host domain using three physically distinct interfaces: a medium / high speed red interface 16, for the sensitive data (to red zone), • medium / high speed black interface 17, for encrypted data (to black zone), • low / medium rate management interface 18, for management data (to management zone) .

La ressource cryptographique doit contrôler deux canaux clairs sécurisés qui résultent de la mise en œuvre d'un procédé de transmission sécurisée des données en clair entre : • la zone de gestion 3 et la zone rouge 1, • la zone de gestion 3 et la zone noire 2. lo Toutes les exigences techniques relatives au procédé de transmission de données en clair à travers la ressource cryptographique sans canal clair sont applicables dans ce contexte. Le domaine hôte 5 et le domaine de cryptographie 6 sont physiquement séparés 25. La ressource cryptographique doit pouvoir multiplexer sur les interfaces physiques rouge 16 et noire 17 des 15 données utilisateur (données sensibles ou données chiffrées) et des données non sensibles de gestion. La solution est compatible d'un mécanisme de cloisonnement visant à interdire la transmission simultanée de données en clair entre la zone de gestion et les zones rouges et noires. La figure 4b représente le découpage logiciel correspondant : le dé-20 coupage logiciel zone rouge 60, le logiciel zone de gestion 61 et le logiciel zone noire 62, un logiciel de virtualisation 63, et l'architecture à microprocesseur 64. La figure 5a représente une autre architecture de sécurité améliorée en trois parties physiquement séparées. Dans cette variante de réalisation, le moyen de cryptographie comprend un domaine hôte rouge 7 contenant une 25 partie de la zone de gestion 3a et la zone rouge 1, les deux zones étant séparées logiquement par un moyen logiciel 19. II comprend aussi un domaine hôte noir 8 comprenant une zone noire 2 et une partie de la zone de gestion 3b, les deux zones étant séparées logiquement par un moyen logiciel 20. The cryptographic resource must control two secure clear channels that result from the implementation of a secure data transmission method in clear between: • the management zone 3 and the red zone 1, • the management zone 3 and the zone black 2. lo All the technical requirements for the clear data transmission method through the cryptographic resource without a clear channel are applicable in this context. The host domain 5 and the cryptographic domain 6 are physically separated 25. The cryptographic resource must be able to multiplex on the red 16 and black 17 physical interfaces 17 of the user data (sensitive data or encrypted data) and non-sensitive management data. The solution is compatible with a partitioning mechanism to prohibit the simultaneous transmission of data in clear between the management area and the red and black areas. FIG. 4b represents the corresponding software division: the red-zone software de-cutoff 60, the management zone software 61 and the black-zone software 62, a virtualization software 63, and the microprocessor architecture 64. FIG. another improved security architecture in three physically separated parts. In this alternative embodiment, the cryptographic means comprises a red host domain 7 containing a portion of the management area 3a and the red area 1, the two areas being logically separated by software means 19. It also includes a host domain black 8 comprising a black zone 2 and a part of the management zone 3b, the two zones being logically separated by software means 20.

La ressource cryptographique communique avec les éléments des domaines hôtes rouge et noir en utilisant quatre interfaces physiquement distinctes : • une interface rouge moyen/haut débit 16, pour les données sensi-5 bles (vers zone rouge), • une interface noire moyen/haut débit 17, pour les données chiffrées (vers zone noire), • une interface gestion bas/moyen débit 21, pour les données de gestion (vers zone gestion coté rouge). to ^ une interface gestion bas/moyen débit 22, pour les données de gestion (vers zone gestion coté noir). La ressource cryptographique doit contrôler trois canaux clairs sécurisés qui résultent de la mise en oeuvre d'un procédé de transmission sécurisée des données en clair entre : 15 • la zone de gestion coté rouge 3a et la zone rouge 1, • la zone de gestion coté noir 3b et la zone noire 2, • la zone de gestion coté rouge 3a et la zone de gestion coté noir 3b. Toutes les exigences relatives au procédé de transmission de données en clair à travers la ressource cryptographique sans canal clair sont 20 applicables dans ce contexte. Dans cette architecture, les 3 domaines sont séparés physiquement : le domaine hôte rouge est séparé physiquement 27 du domaine cryptographique, lui-même séparé physiquement 28 du domaine hôte noir. La figure 5b représente le découpage logiciel correspondant. Sur 25 cette figure le logiciel zone rouge 1 et le logiciel zone gestion 3a, sur un logiciel de virtualisation commune 65 associé à un matériel commun domaine hôte rouge 66, et le logiciel zone gestion 3b et le logiciel zone noire 2 associés à un logiciel de virtualisation commune 67 associé à un matériel commun domaine hôte noir 68. Architectures matérielles : La ressource cryptographique est en général un circuit intégré (programmable) intégrant l'ensemble des algorithmes de chiffrement et déchiffre-ment, symétriques et asymétriques. Ce composant offre une interface directe pour le bouchon CIK (mémoire externe utile démarrage cryptographique du composant) et l'injection des éléments secrets afin de confiner et de cloisonner le traitement des éléments très sensibles (clés cryptographiques). L'implémentation matérielle typique de l'architecture de sécurité lo améliorée en deux parties physiquement séparées est présentée figure 6. Les zones rouge 30, noire 31 et de gestion 32 sont implémentées séparément en logiciel. Ces trois logiciels s'exécutent de manière concurrente sur une architecture à microprocesseur unique 34 grâce à la technologie de virtualisation logicielle/matérielle. The cryptographic resource communicates with the elements of the red and black host domains using four physically distinct interfaces: • a medium / high speed red interface 16, for sensi-5 data (towards red zone), • a medium / high black interface flow rate 17, for the encrypted data (to black zone), • a low / medium flow management interface 21, for the management data (to management zone red side). to ^ a low / medium rate management interface 22, for the management data (to management zone black side). The cryptographic resource must control three secure clear channels that result from the implementation of a secure data transmission method in clear between: • the red-rated management zone 3a and the red zone 1, • the rated management zone black 3b and black zone 2, • the red-rated management zone 3a and the black-rated management zone 3b. All the requirements for the clear data transmission method through the clear channel cryptographic resource are applicable in this context. In this architecture, the 3 domains are physically separated: the red host domain is physically separated from the cryptographic domain, itself physically separated from the black host domain. Figure 5b shows the corresponding software division. In this figure the red zone software 1 and the management zone software 3a, on a common virtualization software 65 associated with a common hardware red host domain 66, and the management zone software 3b and the black zone software 2 associated with a software of common virtualization 67 associated with a common hardware black host domain 68. Hardware architectures: The cryptographic resource is generally an integrated (programmable) circuit integrating all the encryption and deciphering algorithms, symmetrical and asymmetric. This component provides a direct interface for the CIK plug (useful external memory crypto startup component) and the injection of secret elements to confine and compartmentalize the processing of highly sensitive elements (cryptographic keys). The typical hardware implementation of the improved security architecture lo in two physically separated parts is shown in FIG. 6. The red 30, the black 31 and the management 32 zones are implemented separately in software. These three programs run concurrently on a single microprocessor architecture 34 through software / hardware virtualization technology.

15 L'implémentation matérielle de l'architecture de sécurité améliorée en trois parties physiquement séparées prend différentes formes selon le ni-veau de performance de l'équipement (débit). Trois cas typiques d'implémentation sont présentés dans les figures 7, 8, et 9. Les zones rouge 40 (tout ou partie), noire 41 (tout ou partie) et de 20 gestion 42 sont implémentées séparément en logiciel. Les fonctions de traite-ment rapide des zones rouge 44/54 et noire 45 sont implémentées en matériel. La technologie de virtualisation logicielle/matérielle garantit une séparation entre le logiciel de gestion coté rouge et le logiciel de la zone rouge (processeur rouge) et entre le logiciel de gestion coté noir et le logiciel de la zone noire (pro- 25 cesseur noir). Les différents éléments sont en liaison par des interfaces 47a, 47b 47c et 47d, avec un circuit cryptographique. Sur la figure 8, la zone rouge 40 est en liaison avec un circuit programmable FPGA 44 field programmable gate array) au moyen d'une interface 30 rouge interne 49, et la zone noire 41 avec la fonction de traitement rapide par 8 une interface noire interne 50. L'équipement cryptographique communique avec l'extérieur au moyen d'écran clavier 51, de liaison ethernet 52. Une entrée/sortie 53 permet notamment d'injecter la clé et le CIK 54. Architectures logicielles : Le socle logiciel commun aux logiciels des zones rouge, noire et de gestion est formé d'un système d'exploitation de confiance et d'une couche d'adaptation matérielle. Ce système d'exploitation assure principalement la séparation des ressources de l'architecture à microprocesseur (registres, mémoires, périphériques) et de la puissance de calcul offerte par le coeur microprocesseur. En effet, il alloue à chaque logiciel un temps d'exécution fixe et réalise de manière périodique la commutation de tache logicielle de manière stricte et en temps réel. 15The hardware implementation of the improved three-part physically separated security architecture takes different forms depending on the performance level of the equipment (throughput). Three typical implementation cases are shown in FIGS. 7, 8, and 9. The red 40 (all or part), black 41 (all or part) and management areas 42 are implemented separately in software. Fast processing functions for red 44/54 and black 45 are implemented in hardware. The software / hardware virtualization technology ensures a separation between the red-rated management software and the red zone software (red processor) and between the black-side management software and the black zone software (black processor) . The different elements are connected by interfaces 47a, 47b 47c and 47d, with a cryptographic circuit. In FIG. 8, the red zone 40 is connected to a programmable FPGA 44 field programmable gate array) by means of an internal red interface 49, and the black zone 41 to the fast processing function via a black interface. internal 50. The cryptographic equipment communicates with the outside by means of keyboard screen 51, ethernet link 52. An input / output 53 allows in particular to inject the key and the CIK 54. Software architectures: The software base common to red, black and management area software is formed of a trusted operating system and a hardware adaptation layer. This operating system mainly ensures the separation of the resources of the microprocessor architecture (registers, memories, peripherals) and the computing power offered by the microprocessor core. Indeed, it allocates each software a fixed execution time and periodically performs the software task switching strictly and in real time. 15

Claims

1 - Cryptographic device comprising at least one red zone (1), a black zone (2), a management zone (3), a cryptographic resource (4), characterized in that it comprises at least the following elements: o a host domain (5) comprising the red zone (1), the black zone (2) and the management zone (3) logically separated, o the cryptographic resource (4) communicating with the elements of the host domain (5) at using the following interfaces: o a red interface (10) for the data sent to the red zone, o a black interface (11) for the data sent to the black zone, o a management interface (12) for the data sent to the red zone. the management zone, where the three interfaces (10, 11, 12) are physically separated, where the cryptographic domain is physically separated from the host domain.

2 - Device according to claim 1, characterized in that it comprises a software separation means (13, 14) between each of the three zones: the red zone 20, the management zone and the black zone. 3. Device according to claim 1, characterized in that it comprises a material separation means (25) between the host domain and the cryptographic domain. 4 - Cryptographic device comprising at least one red zone (1), a black zone (2), a management zone (3a, 3b), a cryptographic resource (4), characterized in that it comprises at least the the following elements: a red host domain (7) comprising the red zone and the management zone (3a) logically separated (19), o a black host domain (8) comprising the black zone (2) and the management zone ( 3b) logically separated (20), where the cryptographic resource communicating with the elements of the red and black host domains by means of the following interfaces: a red interface (16) for the data transmitted towards the red zone, a black interface (17) ) for data sent to the black zone, o a management interface (21) for the data sent to the red-listed management zone lo, o a management interface (22) for the data sent to the black-rated management zone, o the four interfaces (16, 17, 21, 22) being physically separated, 15 o cryptographic hand being physically separated (27, 28) from the red and black host domains. 5 - Device according to claim 4 characterized in that it comprises a software separation means (19) between the red zone and the management zone of the red side, and (20) between the black zone and the management zone of the side. black. 6. Device according to claim 4 characterized in that it comprises a means of material separation between the three domains: a separation (27) between the red host domain and the cryptographic domain, a separation (28) between the black host domain and the cryptographic domain and a separation between the red host domain and the black host domain. 7. Device according to one of claims 1 and 4 characterized in that it comprises a cryptographic resource placed in a cut on all the sensitive, encrypted and non-sensitive data flows exchanged between the red, black and management areas. .