FR2955727A1

FR2955727A1 - Procede securise d'acces a un reseau et reseau ainsi protege

Info

Publication number: FR2955727A1
Application number: FR1050513A
Authority: FR
Inventors: Yannick Cann
Original assignee: Sagem Defense Securite SA
Current assignee: Safran Electronics and Defense SAS
Priority date: 2010-01-26
Filing date: 2010-01-26
Publication date: 2011-07-29
Anticipated expiration: 2030-01-26
Also published as: EP2529329B1; CA2786963A1; WO2011092183A1; US8780921B2; EP2529329A1; FR2955727B1; US20130044633A1

Abstract

Il est décrit un procédé permettant l'accès sécurisé temporaire à un réseau de communication. Le réseau dispose de ports de connexion au réseau. Certains de ces ports sont dits de confiance, c'est-à-dire que leur accès est contrôlé par l'opérateur du réseau contrairement aux autres ports de connexion dont l'accès est libre. La procédure d'accès revendiquée est basée sur l'offre de deux services distincts accessibles à l'aide de tunnels avantageusement chiffrés. Un premier service n'est accessible qu'à partir des ports de connexion de confiance et ne permet que l'obtention d'un crédit de connexion. Le second service est accessible depuis tous les ports de connexion uniquement à l'aide du crédit de connexion délivré par le premier service.

Description

La présente invention concerne le domaine de la sécurité des accès à un réseau de communication. Plus particulièrement, il s'agit d'un procédé permettant l'accès sécurisé temporaire à un réseau de communication. Les réseaux de communication modernes sont aujourd'hui omniprésents tant au domicile que dans l'entreprise. Ces réseaux permettent la mise en oeuvre de procédures de sécurité pour n'autoriser la connexion qu'à des personnes dument authentifiées. Ces procédures d'accès sont généralement basées sur l'attribution aux personnes devant se connecter de crédits de connexion. Ces crédits de connexion sont alors vérifiés lors des procédures de connexion. Ces procédures sont connues de l'homme du métier sous l'acronyme «AAA» (Authentication, Authorisation and Accounting en anglais). Il s'agit d'autoriser une personne authentifiée à se connecter et d'être en mesure de rendre compte des autorisations ainsi accordées. Les crédits de connexion ainsi accordés sont typiquement des couples nom de connexion et mot de passe, ou encore des certificats cryptographiques ou tout autre moyen d'identification d'un utilisateur. Ces procédures sont bien connues et leur fiabilité éprouvée. Toutefois, la mise en oeuvre de ces crédits de connexion, leur attribution et leur gestion se révèlent souvent lourdes. La mise en oeuvre est justifiée pour des utilisateurs réguliers d'un réseau sécurisé, mais peut se révéler pénalisante dans le cadre d'utilisateurs occasionnels d'un réseau de communication.

L'invention vise à résoudre les problèmes précédents par un procédé d'accès sécurisé à un réseau de communication. Le réseau dispose de ports de connexion au réseau. Certains de ces ports sont dits de confiance, c'est-à-dire que leur accès est contrôlé par l'opérateur du réseau contrairement aux autres ports de connexion dont l'accès est libre. La procédure d'accès revendiquée est basée sur l'offre de deux services distincts accessibles à l'aide de tunnels avantageusement chiffrés. Un premier service n'est accessible qu'à partir des ports de connexion de confiance et ne permet que l'obtention d'un crédit de connexion. Le second service est accessible depuis tous les ports de connexion uniquement à l'aide du crédit de connexion délivré par le premier service.

L'invention permet à un utilisateur occasionnel d'obtenir de manière contrôlée un crédit de connexion via un port de connexion de confiance. Ensuite, l'utilisateur peut utiliser ce crédit de connexion pour un accès en tout point du réseau. Il est ainsi possible, par exemple, de distribuer à l'accueil d'une entreprise des crédits de connexion temporaire à des visiteurs. Ces crédits pouvant alors être utilisés par le visiteur dans toute salle de réunion de l'entreprise. L'invention concerne un procédé d'accès à un réseau de données par un terminal qui comporte une étape de connexion du terminal à un port de connexion du réseau particulier identifié comme port de confiance ; une étape d'établissement d'un tunnel à un premier service dit de configuration, ledit service de configuration n'étant accessible qu'auprès desdits ports de connexion de confiance ; une étape d'obtention d'un crédit de connexion auprès dudit service de configuration ; une étape de connexion du terminal à un port de connexion quelconque du réseau et une étape d'établissement d'un tunnel à un second service dit service opérationnel à l'aide du crédit de connexion obtenu auprès du service de configuration. Selon un mode particulier de réalisation de l'invention, les crédits de connexion délivrés par le service de configuration étant limités dans le temps, l'étape d'établissement d'un tunnel au service opérationnel comporte une étape de vérification de la validité du crédit. Selon un mode particulier de réalisation de l'invention, le procédé comporte en outre une étape de fermeture du port auquel est connecté le terminal lorsqu'un nombre donné d'échecs lors de l'étape d'établissement d'un tunnel au service est opérationnel. Selon un mode particulier de réalisation de l'invention, le procédé comporte en outre une étape d'ouverture des ports de connexion libres lorsqu'un crédit de connexion est délivré par le service de configuration et une étape de fermeture des ports de connexion libres lorsque aucun crédit de connexion non utilisé n'est disponible. Selon un mode particulier de réalisation de l'invention, le procédé comporte en outre une étape d'ouverture des ports de connexion libres lorsqu'un terminal se déconnecte d'un port alors qu'il dispose d'un crédit de connexion encore valide. Selon un mode particulier de réalisation de l'invention, le procédé comporte en outre une étape de surveillance périodique des durées de validité des crédits de connexion non utilisés et une étape de fermeture des ports de connexion libres lorsque tous les crédits de connexion non utilisés cessent d'être valides. Selon un mode particulier de réalisation de l'invention, le procédé comporte en outre une étape de fermeture du port auquel est connecté un terminal si un tunnel vers l'un des services n'est pas établi au bout d'un temps donné.

Selon un mode particulier de réalisation de l'invention, le procédé comporte une étape d'obtention d'un ensemble d'outils logiciels auprès du service de configuration, l'étape d'établissement du tunnel au service opérationnel étant alors géré par cet ensemble d'outils logiciels.

Selon un mode particulier de réalisation de l'invention, le procédé comporte en outre une étape de surveillance périodique de la validité du crédit de connexion par l'ensemble d'outils logiciels et une étape de suppression du crédit de connexion et de l'ensemble d'outils logiciels lorsque ce crédit de connexion n'est plus valide. Selon un mode particulier de réalisation de l'invention, les étapes de fermeture de port de connexion comportent une étape de fermeture physique dudit port à l'aide d'un dispositif permettant d'interrompre physiquement la connexion audit port de connexion. L'invention concerne également un réseau de données comportant des moyens d'accès pour un terminal qui comporte un ensemble de ports de connexion au réseau, dont au moins un port particulier identifié comme port de confiance ; des moyens d'établissement d'un tunnel à un premier service dit de configuration, ledit service de configuration n'étant accessible qu'auprès desdits ports de connexion de confiance ; des moyens de délivrer un crédit de connexion par ledit service de configuration et des moyens d'établissement d'un tunnel à un second service dit service opérationnel à l'aide du crédit de connexion obtenu auprès du service de configuration. Les caractéristiques de l'invention mentionnées ci-dessus, ainsi que d'autres, apparaîtront plus clairement à la lecture de la description suivante d'un exemple de réalisation, ladite description étant faite en relation avec les dessins joints, parmi lesquels : La Fig. 1 illustre l'architecture du système selon l'exemple de réalisation de l'invention, La Fig. 2 décrit les grandes étapes du processus de connexion au réseau selon l'exemple de réalisation de l'invention, La Fig. 3 illustre de manière plus détaillée le processus de connexion au service 30 de configuration selon l'exemple de réalisation de l'invention, La Fig. 4 illustre la connexion au service opérationnel du terminal selon l'exemple de réalisation de l'invention. La Fig. 1 illustre l'architecture du système selon l'exemple de réalisation de l'invention. Le coeur de l'invention est basé sur une passerelle de routage (switch en anglais) 1.1 permettant l'accès au réseau. Cette passerelle de routage est dotée d'une fonction de filtre (firewall en anglais) du trafic permettant de mettre en place une politique d'accès limitant les possibilités offertes à un terminal venant se connecter sur ses ports 1.2 et 1.3. Dans un souci de simplification de la description, nous parlons d'une passerelle de routage. Dans un cas réel, cette passerelle de routage est généralement implémentée sous la forme d'un réseau de passerelles de routage fonctionnant sur le principe de celle ici décrite pour s'adapter à la taille du réseau dont on souhaite sécuriser l'accès selon l'invention. Cette passerelle de routage permet de servir un ensemble de ports de connexion 1.2, 1.3. Typiquement, selon l'exemple de réalisation, ces ports de connexion sont des prises selon la norme Ethernet connue sous le nom de ISO/IEC 8802-3. L'invention ne se limite pas à ce type de connexion, on peut l'utiliser sur toute couche de transport réseau, en particulier il est possible de sécuriser de la même façon des points d'accès sans fil, par exemple du type WiFi.

Parmi les ports de connexions servis par la passerelle de routage 1.1, certains ports sont identifiés comme étant de confiance. C'est le port 1.2 sur le dessin. Physiquement, rien ne distingue ces ports de connexion de confiance. Il est supposé que l'accès à ces ports est sécurisé ou du moins contrôlé par l'opérateur du réseau. La façon de mettre en place ce contrôle sort du cadre de l'invention ici décrite. Il peut s'agir de ports situés dans une zone sous le contrôle d'une personne, par exemple à l'accueil de l'entreprise ou dans le bureau d'une personne en charge de la gestion des accès réseau. Les autres ports de connexion, référencés 1.3 sur la Fig. 1, sont supposés être en libre accès pour l'utilisateur du système. Il s'agit typiquement des ports de connexion réseau disponibles dans les salles de réunion de l'entreprise. La situation des ports de connexion de confiance et des ports de connexion en libre accès va dépendre du contexte d'utilisation de l'invention. Toutefois, la gestion par la passerelle de routage de ces ports diffère. Cette gestion s'opère sous le contrôle d'un module 1.4 de gestion de la passerelle de routage appelé module SM (Switch Manager en anglais). Ce module de gestion est capable d'ouvrir et de fermer les différents ports de connexion liés à la passerelle de routage. Il est également capable d'interroger l'état des ports de connexion et en particulier savoir si un terminal est connecté au port ou si le port est libre. Pour gérer les accès et commander les ouvertures et fermetures des ports, le module de gestion de la passerelle coopère avec un serveur d'authentification 1.5 qui gère l'authentification et les autorisations d'accès. Il coopère également avec un serveur d'annuaire 1.6, typiquement du type LDAP qui va enregistrer les crédits de connexion accordés et diverses informations relatives à chaque crédit accordé. Il coopère également avec un serveur 1.7 de tunnel sécurisé ou VPN (Virtual Private Network en anglais) qui va gérer les communications chiffrées entre le terminal qui se connecte à l'un des ports et les services du réseau. Il coopère aussi avec un serveur de notification 1.8 pour générer des notifications, notamment d' alerte, lors de l'apparition de certains événements. Le système offre deux services aux terminaux venant se connecter au réseau par la passerelle de routage. Un premier service 1.9 est appelé service de configuration. Ce service est celui qui permet à un terminal inconnu venant se connecter de se faire attribuer un crédit de connexion pour accéder au réseau. Cette fonction de délivrance d'un crédit de connexion est la seule fonctionnalité de ce service. Le second service 1.10, appelé service opérationnel est le service qui offre les fonctionnalités générales du réseau. C'est le service dont l'accès est recherché et soumis à la disposition d'un crédit de connexion distribué par le service de configuration. La passerelle de routage est configurée pour n'autoriser que le routage des données correspondant à un tunnel chiffré entre un terminal et le serveur de tunnel 1.7.

Selon l'exemple de réalisation de l'invention, le serveur de tunnel est un serveur selon le protocole PPPoE (Point to Point Protocol over Ethernet en anglais décrit dans la RFC 2516). D'autres protocoles de tunnels chiffrés peuvent être utilisés tel que PPTP (Point to Point Tunnel Protocol en anglais de Microsoft), L2TP (Layer 2 Tunneling Protocol en anglais) ou encore des solutions utilisant une version du protocole IP sécurisée ou IPsec (Internet Protocol Security en anglais, RFC 2401). Certaines de ces technologies peuvent éventuellement être combinées, PPPoE et IPSEC par exemple. Le service opérationnel 1.10 est accessible sous condition d'un crédit de connexion valide à partir de tous les ports de connexion, ports de confiance et ports en accès libre, de la passerelle de routage. À la différence du service de configuration qui n'est accessible que depuis une connexion sur un port de confiance. La Fig. 2 décrit les grandes étapes du processus de connexion au réseau selon l'invention. Un utilisateur se présente avec un terminal pour une connexion au réseau. L'utilisateur ne disposant pas de crédit de connexion, une connexion sur un port en accès libre n'est pas possible. En effet, ces ports ne donnent accès qu'au service opérationnel et nécessitent pour ce faire de disposer d'un crédit de connexion. L'utilisateur doit donc se connecter à un port de confiance lors d'une étape 2.1. Depuis ce port de confiance, le service de configuration est également accessible. Pour y accéder, il est nécessaire de configurer un tunnel chiffré d'accès à ce service.

Avantageusement, l'établissement de ce tunnel chiffré nécessite un crédit de connexion qui peut être, par exemple, un nom de connexion et un mot de passe. Ce crédit de connexion est moins sensible que celui donnant accès au service opérationnel. Selon l'exemple de réalisation, il s'agit d'un identifiant et d'un mot de passe unique constituant un secret partagé entre les terminaux des utilisateurs et le système. À l'aide de ce crédit de connexion, lors d'une étape 2.2, le terminal établit le tunnel VPN avec le service de configuration. Avantageusement, ce service de configuration est isolé sur le réseau et une utilisation malveillante de cette connexion au service de configuration ne peut pas permettre un accès frauduleux à d'autres ressources que le service de configuration.

Lors de l'étape 2.3, le terminal s'identifie auprès du service de configuration et obtient un crédit de connexion, également appelé ticket, pour le service opérationnel. Une entrée dans le service d'annuaire, ici LDAP, est alors créée ou mise à jour si elle existe déjà, pour le terminal. Ce service d'annuaire mémorise l'identité du terminal et les informations associées, telles que l'heure de connexion et le crédit de connexion délivré. Dans l'exemple de réalisation de l'invention, ce crédit de connexion est constitué d'un nom de connexion correspondant à l'adresse de la carte réseau du terminal ou adresse MAC (Media Access Contrat en anglais). Le mot de passe est une chaîne de caractère aléatoire générée à la demande. Ce crédit de connexion peut prendre toute forme autre qu'un couple nom de connexion et mot de passe. En particulier, il peut s'agir d'un certificat cryptographique de connexion. Le terminal ferme alors le tunnel chiffré établi avec le service de configuration lors de l'étape 2.4. Le terminal dispose donc d'un crédit de connexion qui lui permet maintenant d'accéder au service opérationnel. Ce crédit de connexion est alors utilisable en utilisant n'importe quel port de connexion de la passerelle de routage, que ce port soit un port de confiance ou un port en accès libre. Lors d'une étape 2.5, le terminal se connecte de nouveau physiquement à l'un des ports de connexion de la passerelle de routage.

Il établit lors de l'étape 2.6 un tunnel chiffré vers le service opérationnel à l'aide du crédit de connexion reçu précédemment du service de configuration. Il peut dès lors utiliser les ressources du réseau mis à sa disposition via ce service opérationnel. À l'issue de la session de l'utilisateur, le terminal ferme le tunnel chiffré vers le service opérationnel et se déconnecte du port utilisé. C'est l'étape 2.7. Un tel schéma d'accès à un réseau de communication permet d'en sécuriser l'accès en minimisant les opérations de gestion et de contrôle nécessaires à la gestion des crédits de connexion. En effet, l'obtention du crédit de connexion se fait de manière sécurisée auprès de certains ports de connexion bien identifiés. Ensuite, l'utilisateur doté de ce crédit de connexion est libre d'accéder au réseau depuis n'importe quel point d'accès. Il est alors reconnu et obtient l'accès au réseau. À l'inverse, un terminal n'ayant pas obtenu de crédit de connexion se voit interdire l'accès au réseau opérationnel sur les ports en accès libre. Ceux-ci ne pouvant donner accès au service de configuration, seule source possible de crédits de connexion valide, il n'est pas possible de forcer une connexion frauduleuse et un accès illégitime au réseau opérationnel. L'utilisation de tunnels chiffrés permet de limiter les attaques possibles de la passerelle à la couche 2 ou couche de liaison. La Fig. 3 illustre de manière plus détaillée le processus de connexion au service de configuration selon l'exemple de réalisation de l'invention. Lors d'une première étape 3.1, l'utilisateur branche le terminal sur un port de confiance. Le terminal initie alors une connexion au serveur PPPoE pour établir le tunnel lors de l'étape 3.2. Pour ce faire, il doit s'authentifier, étape 3.3. Il envoie une requête en authentification au serveur PPPoE avec un crédit de connexion qui est un secret partagé entre tous les terminaux et le serveur PPPoE. L'authentification est donc validée directement par le serveur PPPoE. Lorsque cette authentification réussit, le tunnel est établi lors de l'étape 3.4. Le terminal est dès lors connecté au service de configuration au travers du tunnel. I1 envoie alors une requête pour un crédit de connexion au serveur de configuration lors de l'étape 3.5. Le serveur génère le crédit, étape 3.6, dans l'exemple de réalisation il génère un mot de passe aléatoire qu'il associe au nom de connexion constitué de l'adresse réseau Ethernet du terminal appelée adresse MAC. Le serveur de configuration enregistre lors de l'étape 3.7 le crédit ainsi généré dans l'annuaire. Les éventuels compteurs temporels associés sont initialisés. Le crédit ainsi généré est envoyé au terminal sous la forme d'une réponse à sa requête, étape 3.8. Une fois que le crédit est stocké par le terminal, le tunnel entre celui-ci et le service de configuration est fermé lors de l'étape 3.9. La Fig. 4 illustre la connexion au service opérationnel du terminal. Lors de l'étape 4.1, le terminal est branché sur un port quelconque. Ce port peut être un port de confiance ou un port en accès libre. Lors de l'étape 4.2, le terminal se connecte au serveur PPPoE. Il fait une requête en authentification avec le crédit de connexion qu'il a reçu précédemment du service de configuration, étape 4.3. Cette requête est relayée avec le crédit de connexion par le serveur PPPoE au serveur d'authentification, un serveur RADIUS en l'espèce lors de l'étape 4.4. Le serveur RADIUS valide alors le crédit et vérifie auprès de l'annuaire d'éventuelles contraintes associées au crédit. Par exemple, une durée de validité peut être enregistrée dans l'annuaire, il est alors vérifié que cette durée n'a pas expiré. C'est l'étape 4.5. Avantageusement, la connexion est également enregistrée dans l'annuaire avec l'étiquette temporelle (timestamp en anglais) associée. Si l'authenticité du crédit est reconnue ainsi que sa validité au regard des contraintes associées, le serveur RADIUS valide l'authentification. Le tunnel peut alors être établi, étape 4.6, entre le terminal et le service opérationnel. Lorsque le terminal n'a plus besoin de sa connexion, il initie la fermeture du tunnel lors de l'étape 4.7. Cette fermeture est notifiée par le serveur PPPoE à l'annuaire pour signaler que le crédit n'est plus utilisé lors de l'étape 4.8.

Avantageusement, les crédits de connexion délivrés sont limités dans le temps. Dans un tel cas, le moment d'obtention du crédit de connexion est mémorisé dans l'annuaire ainsi qu'une durée de validité. Lors de la tentative d'établissement du tunnel chiffré vers le réseau opérationnel, le module de contrôle de la passerelle vérifie auprès de l'annuaire si le moment courant n'excède pas le moment d'obtention du crédit ajouté de la durée de validité du crédit. Si la tentative de connexion est faite en dehors de la validité du crédit, l'accès est refusé. On peut ainsi contrôler la durée des autorisations d'accès que l'on délivre et s'assurer qu'un utilisateur qui se voit délivrer un crédit de connexion ne peut pas en faire un usage illégitime plus tard. On s'assure aussi qu'une personne mal intentionnée ne puisse dérober un crédit de connexion et l'utiliser ensuite. Avantageusement, un nombre limité de tentatives est autorisé sur un port de connexion donné. Lorsqu'un terminal se connecte, il tente de s'authentifier à l'aide d'un nom de connexion et d'un mot de passe. Cette authentification est vérifiée auprès du serveur d'authentification. Ce serveur est un serveur RADIUS dans l'exemple de réalisation de l'invention. Si, l'authentification échoue, un compteur d'échecs est incrémenté dans l'annuaire. Lorsque le nombre maximum de tentatives, typiquement 3, est atteint, le module de contrôle de la passerelle ferme le port de connexion de façon à interdire toute connexion depuis ce port. Alternativement, la gestion du nombre maximum de tentatives de connexion en échec peut être faite directement par le serveur de tunnel, le serveur PPPoE en l'occurrence. Celui-ci se charge alors d'indiquer un dépassement au module de contrôle de la passerelle. Avantageusement, le module de contrôle de la passerelle n'ouvre les ports de connexion libres que lorsqu'un terminal est susceptible de se connecter. Un port de connexion est dit libre lorsque aucun terminal n'y est connecté. Pour cela, il maintient un compteur des crédits de connexion délivrés et non utilisés. À l'initialisation du système, tous les ports en accès libre sont fermés. Lorsqu'un crédit de connexion est délivré à un terminal, les ports en libre accès sont alors ouverts. Dès que le terminal a établi le tunnel vers le service opérationnel signifiant la consommation du crédit délivré, tous les ports en accès libre autres que le port utilisé par le terminal sont alors fermés. De même si plusieurs crédits de connexion sont délivrés, dès que tous sont consommés, les ports non utilisés sont fermés. Avantageusement, si l'on souhaite autoriser l'itinérance (roaming en anglais) d'un utilisateur, on rouvre les ports de connexion lorsqu'un utilisateur se déconnecte d'un port alors qu'il dispose encore d'un crédit de connexion valide, c'est-à-dire que la durée de connexion associée au crédit de connexion n'est pas expirée. Avantageusement, la même adresse IP est alors assignée au terminal pour permettre d'éviter de devoir réinitialiser les connexions réseau. Avantageusement, le module de contrôle de la passerelle surveille de manière périodique les durées de validité des crédits de connexion non utilisés. De cette façon, si un crédit est délivré et n'est pas utilisé, il est possible de fermer les ports en accès libre lorsque ce crédit arrive à échéance, s'il n'y a pas d'autres crédits non consommés délivrés. Avantageusement, un compteur temporel est associé à chaque port de connexion. Ce compteur est initialisé lorsqu'un terminal se connecte physiquement au port. Ce compteur permet alors de limiter à une durée donnée, typiquement 45 secondes dans l'exemple de réalisation, le temps dont dispose le terminal pour établir le tunnel chiffré vers le service opérationnel ou le service de configuration. Passé ce délai, le module de contrôle de la passerelle ferme le port de connexion rendant impossible toute connexion. De cette façon, un utilisateur malveillant ne dispose que d'un temps limité pour tenter d'attaquer le système. Avantageusement, les crédits de connexion sont gérés sur le terminal par un ensemble d'outils logiciels dédiés. Cet ensemble d'outils logiciels est alors téléchargé par le terminal conjointement au téléchargement du crédit de connexion lors de la connexion au service de configuration. Cet ensemble d'outils logiciels peut alors être chargé de différentes tâches. Avantageusement, c'est lui qui est alors chargé de l'établissement du tunnel chiffré avec le service opérationnel à l'aide du crédit de connexion téléchargé. Il peut également être chargé de la destruction de ce crédit dans certaines circonstances. Par exemple, il peut surveiller la validité du crédit de connexion et détruire un crédit qui cesse d'être valide, par exemple par échéance de sa durée de validité. I1 peut également détruire le crédit de connexion lorsque le compteur de tentatives de connexion arrive au seuil autorisé, donc après un nombre donné d'échecs de connexion. I1 peut également détruire le crédit de connexion lorsque le compteur temporel pour l'établissement du tunnel chiffré vers le service opérationnel indique que la durée limite est atteinte sans succès de connexion. Avantageusement, l'ensemble d'outils logiciels s'efface lui même du terminal après la destruction du crédit de connexion auquel il est associé. Avantageusement, la connexion entre chaque port de connexion et la passerelle de routage est dotée d'un dispositif permettant d'interrompre physiquement la connexion, appelé e-breaker. Ce système permet de couper physiquement le lien Ethernet entre le switch et la carte mère de l'équipement. Une fois activés, les ports de la passerelle restent en l'état, mais plus aucune trame Ethernet ne peut joindre le système. Ces e-breaker sont alors sous le contrôle du module de contrôle de la passerelle de routage. Elles permettent à ce module de fermer physiquement les ports de connexion de façon à interdire physiquement toute tentative de connexion lorsque le port est fermé.

Claims

REVENDICATIONS1/ Procédé d'accès à un réseau de données par un terminal comportant : - une étape (2.1) de connexion du terminal à un port de connexion du réseau 5 particulier identifié comme port de confiance ; - une étape (2.2) d'établissement d'un tunnel à un premier service dit de configuration, ledit service de configuration n'étant accessible qu'auprès desdits ports de connexion de confiance ; - une étape (2.3) d'obtention d'un crédit de connexion auprès dudit service de 10 configuration ; - une étape (2.5) de connexion du terminal à un port de connexion quelconque du réseau ; - une étape (2.6) d'établissement d'un tunnel à un second service dit service opérationnel à l'aide du crédit de connexion obtenu auprès du service de 15 configuration. 2/ Procédé d'accès à un réseau de données selon la revendication 1, caractérisé en ce que les crédits de connexion délivrés par le service de configuration étant limités dans le temps, l'étape d'établissement d'un tunnel au service opérationnel comporte 20 une étape de vérification de la validité du crédit. 3/ Procédé d'accès à un réseau de données selon l'une des revendications 1 ou 2, caractérisé en ce qu'il comporte en outre une étape de fermeture du port auquel est connecté le terminal lorsqu'un nombre donné d'échecs lors de l'étape d'établissement 25 d'un tunnel au service est opérationnel. 4/ Procédé d'accès à un réseau de données selon l'une des revendications 1 à 3, caractérisé en ce qu'il comporte en outre : - une étape d'ouverture des ports de connexion libres lorsqu'un crédit de 30 connexion est délivré par le service de configuration ; - une étape de fermeture des ports de connexion libres lorsque aucun crédit de connexion non utilisé n'est disponible.5/ Procédé d'accès à un réseau de données selon la revendication 4 caractérisé en ce qu'il comporte en outre une étape d'ouverture des ports de connexion libres lorsqu'un terminal se déconnecte d'un port alors qu'il dispose d'un crédit de connexion encore valide. 6/ Procédé d'accès à un réseau de données selon l'une des revendications 4 ou 5, caractérisé en ce qu'il comporte en outre : - une étape de surveillance périodique des durées de validité des crédits de connexion non utilisés ; 10 - une étape de fermeture des ports de connexion libres lorsque tous les crédits de connexion non utilisés cessent d'être valides. 7/ Procédé d'accès à un réseau de données selon l'une des revendications 1 à 6, caractérisé en ce qu'il comporte en outre une étape de fermeture du port auquel est 15 connecté un terminal si un tunnel vers l'un des services n'est pas établi au bout d'un temps donné. 8/ Procédé d'accès à un réseau de données selon l'une des revendications 1 à 7, caractérisé en ce qu'il comporte une étape d'obtention d'un ensemble d'outils 20 logiciels auprès du service de configuration, l'étape d'établissement du tunnel au service opérationnel étant alors géré par cet ensemble d'outils logiciels. 9/ Procédé d'accès à un réseau de données selon la revendication 8, caractérisé en ce qu'il comporte en outre : 25 - une étape de surveillance périodique de la validité du crédit de connexion par l'ensemble d'outils logiciels ; - une étape de suppression du crédit de connexion et de l'ensemble d'outils logiciels lorsque ce crédit de connexion n'est plus valide. 30 10/ Procédé d'accès à un réseau de données selon l'une des revendications 1 à 9, caractérisé en ce que les étapes de fermeture de port de connexion comportent une étape de fermeture physique dudit port à l'aide d'un dispositif permettant d'interrompre physiquement la connexion audit port de connexion.5Il/ Réseau de données comportant des moyens d'accès pour un terminal comportant : - un ensemble de ports de connexion au réseau, dont au moins un port particulier 5 identifié comme port de confiance ; - des moyens d'établissement d'un tunnel à un premier service dit de configuration, ledit service de configuration n'étant accessible qu'auprès desdits ports de connexion de confiance ; - des moyens de délivrer un crédit de connexion par ledit service de 10 configuration ; - des moyens d'établissement d'un tunnel à un second service dit service opérationnel à l'aide du crédit de connexion obtenu auprès du service de configuration.