FR2981179A1 - METHOD FOR ACCESSING A SYSTEM OF INFORMATION PROVIDED BEHIND A COMPUTER GATEWAY - Google Patents

METHOD FOR ACCESSING A SYSTEM OF INFORMATION PROVIDED BEHIND A COMPUTER GATEWAY Download PDF

Info

Publication number
FR2981179A1
FR2981179A1 FR1103042A FR1103042A FR2981179A1 FR 2981179 A1 FR2981179 A1 FR 2981179A1 FR 1103042 A FR1103042 A FR 1103042A FR 1103042 A FR1103042 A FR 1103042A FR 2981179 A1 FR2981179 A1 FR 2981179A1
Authority
FR
France
Prior art keywords
gateway
terminal
information system
server
access
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
FR1103042A
Other languages
French (fr)
Other versions
FR2981179B1 (en
Inventor
Jean Francois Tesseraud
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Airbus DS SAS
Original Assignee
Cassidian SAS
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Cassidian SAS filed Critical Cassidian SAS
Priority to FR1103042A priority Critical patent/FR2981179B1/en
Priority to PCT/FR2012/000403 priority patent/WO2013057391A1/en
Publication of FR2981179A1 publication Critical patent/FR2981179A1/en
Application granted granted Critical
Publication of FR2981179B1 publication Critical patent/FR2981179B1/en
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/083—Network architectures or network communication protocols for network security for authentication of entities using passwords
    • H04L63/0838—Network architectures or network communication protocols for network security for authentication of entities using passwords using one-time-passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0876—Network architectures or network communication protocols for network security for authentication of entities based on the identity of the terminal or configuration, e.g. MAC address, hardware or software configuration or device fingerprint
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0272—Virtual private networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0281—Proxies

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Computer Security & Cryptography (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Power Engineering (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Computer And Data Communications (AREA)

Abstract

L'invention concerne un procédé pour accéder à un système d'information disposé derrière une passerelle informatique, depuis un terminal et via un réseau de communication de type Internet. Selon l'invention : - on ouvre un fichier exécutable depuis le terminal de façon à générer une application cliente qui ouvre un lecteur html, établit une connexion sécurisée avec une application serveur installée dans la passerelle et calcule une signature unique d'identification du terminal, - l'application serveur génère et affiche une page web sur le lecteur html, cette page web requérant un code pin ; une fois un code pin saisi, on transmet ce code pin et la signature vers la passerelle, - la passerelle se connecte à un serveur d'authentification forte qui génère le cas échéant un mot de passe à usage unique (OTP) après réception du code pin et de la signature, - ce mot de passe à usage unique et la signature permettent l'accès du terminal au système d'information via la passerelle.The invention relates to a method for accessing an information system disposed behind a computer gateway, from a terminal and via an Internet-type communication network. According to the invention: an executable file is opened from the terminal so as to generate a client application that opens a html reader, establishes a secure connection with a server application installed in the gateway and calculates a unique identification signature of the terminal, the server application generates and displays a web page on the html reader, this web page requiring a pin code; once a pin code is entered, this pin code is transmitted and the signature to the gateway, - the gateway connects to a strong authentication server which, if necessary, generates a one-time password (OTP) after reception of the code pin and signature, - this one-time password and signature allow terminal access to the information system via the gateway.

Description

- 1 - "Procédé pour accéder à un système d'information disposé derrière une passerelle informatique." La présente invention concerne un procédé pour accéder à un système d'information disposé derrière une passerelle informatique, depuis un terminal et via un réseau de communication de type Internet. Actuellement, la plupart des entreprises comportent un système d'information auquel les collaborateurs ont accès pour travailler. Lorsqu'un utilisateur est en déplacement à l'extérieur de l'entreprise, il est nécessaire d'assurer un accès complètement sécurisé au système d'information. De nombreuses solutions existent pour accéder à distance à des ressources d'une entreprise. La présente invention a pour but de permettre la connexion à un système d'information quel que soit le terminal utilisé. Un autre but de l'invention est de garantir une connexion particulièrement sécurisée imperméable à toute fuite de données et à toute attaque du système d'information. On atteint au moins l'un des objectifs précités avec un procédé pour 20 accéder à un système d'information disposé derrière une passerelle informatique, depuis un terminal et via un réseau de communication de type Internet. Selon l'invention, on réalise les étapes suivantes : - on ouvre un fichier exécutable depuis le terminal de façon à générer une application cliente qui ouvre un lecteur html, établit une connexion 25 sécurisée avec une application serveur installée dans la passerelle et calcule une signature unique d'identification du terminal, - l'application serveur, dit serveur pour bureau virtuel, génère et affiche une page web sur le lecteur html, cette page web requérant un code pin ; une fois un code pin saisi, on transmet ce code pin et la signature 30 vers la passerelle, - la passerelle se connecte à un serveur d'authentification forte qui génère le cas échéant un mot de passe à usage unique (OTP, pour « One Time Password ») après réception du code pin et de la signature, - 2 - ce mot de passe à usage unique est ensuite envoyé vers la passerelle qui retourne ce même mot de passe accompagné de la signature vers le serveur d'authentification pour ouverture d'une session, le serveur d'authentification autorise ensuite l'accès du terminal au système d'information via la passerelle. Avec le procédé selon l'invention, on établit une connexion sécurisée et authentifiée. On distingue une première identification lorsque le serveur d'authentification reçoit le code pin et la signature. Une seconde identification intervient lorsque le serveur d'authentification reçoit le mot de passe et la signature. Selon un mode de mise en oeuvre de l'invention, une fois l'accès autorisé, la communication entre le terminal et la passerelle se fait par déport d'affichage dans un tunnel sécurisé. Le déport d'affichage évite le transfert de données, notamment malveillant qui pourraient transiter depuis le terminal utilisateur vers le système d'information. Selon l'invention, le lecteur html est un lecteur spécifique généré à partir de l'exécutable. De ce fait, on n'utilise pas le navigateur du terminal mais un lecteur html léger contenu dans le fichier exécutable. Ce lecteur html est uniquement utilisé durant les opérations de connexion et non pour l'accès au système d'information une fois la connexion établie. Selon une caractéristique avantageuse de l'invention, l'application serveur, dite serveur pour bureau virtuel, est configurée pour exécuter plusieurs sessions, chacune dans un environnement virtuel isolé. Ainsi, différentes sessions d'un même utilisateur ou de plusieurs utilisateurs sont cloisonnées les unes des autres. Avec des sessions ainsi isolées, on préserve l'intégrité des données et applications du système d'information. Par serveur pour bureau virtuel, on entend un serveur permettant d'accéder à un bureau virtuel, mais également à d'autres applications comme par exemple des applications WEB ou applications publiées. Avantageusement, une fois l'accès autorisé, la communication entre la passerelle et le système d'information peut se faire au moyen d'un navigateur installé sur la passerelle. En particulier, l'application serveur, dite serveur pour bureau virtuel, génère et dispose sur le terminal au moins un raccourci, - 3 - chaque raccourci permettant d'accéder à un navigateur donné installé sur la passerelle. Le serveur pour bureau virtuel peut comprendre plusieurs navigateurs pour accéder au système d'information. Chaque navigateur peut être configuré pour accéder à un ensemble d'éléments spécifiques du système d'information. On définit ainsi plusieurs navigateurs, chacun dédié à accéder à un type d'applications du système d'information ; ces applications comprenant notamment la navigation Web, des applications publiées et un bureau du système d'information. Les navigateurs sont exécutés dans la passerelle et non localement dans le terminal utilisateur. Cela garantie l'intégrité du terminal utilisateur contre tout acte malveillant depuis Internet par exemple. Le serveur pour bureau virtuel permet notamment à un terminal utilisateur d'accéder à des applications web, Citrix® ou TSE du système d'information. Selon un mode de mise en oeuvre avantageux de l'invention, la signature est un identifiant élaboré à partir des caractéristiques matérielles et logicielles du terminal. Dans le procédé selon l'invention, on utilise de préférence une signature basée sur le terminal à la place d'un jeton cryptographique (carte à puce, clé USB de sécurité, jeton de sécurité) car ce dernier implique une mise en oeuvre lourde. - 1 - "Method for accessing an information system located behind a computer gateway." The present invention relates to a method for accessing an information system disposed behind a computer gateway, from a terminal and via an Internet type communication network. Currently, most companies have an information system that employees have access to work with. When a user is traveling outside the company, it is necessary to ensure completely secure access to the information system. Many solutions exist to remotely access a company's resources. The present invention aims to allow the connection to an information system regardless of the terminal used. Another object of the invention is to guarantee a particularly secure connection impervious to any data leakage and any attack of the information system. At least one of the above-mentioned objects is achieved with a method for accessing an information system disposed behind a computer gateway, from a terminal and via an Internet type communication network. According to the invention, the following steps are carried out: an executable file is opened from the terminal so as to generate a client application which opens a html reader, establishes a secure connection with a server application installed in the gateway and calculates a signature unique identification of the terminal, - the server application, said server for virtual office, generates and displays a web page on the html reader, this web page requiring a pin code; once a pin code is entered, this pin code and the signature 30 are transmitted to the gateway, the gateway connects to a strong authentication server which generates a one-time password (OTP, for "One Time Password ") after receiving the pin code and the signature, - 2 - this one-time password is then sent to the gateway which returns the same password accompanied by the signature to the authentication server to open the password. a session, the authentication server then authorizes access of the terminal to the information system via the gateway. With the method according to the invention, a secure and authenticated connection is established. A first identification is distinguished when the authentication server receives the pin code and the signature. A second identification occurs when the authentication server receives the password and the signature. According to one embodiment of the invention, once authorized access, the communication between the terminal and the gateway is done by display offset in a secure tunnel. The display offset avoids the transfer of data, including malicious data that could pass from the user terminal to the information system. According to the invention, the html reader is a specific reader generated from the executable. As a result, we do not use the terminal browser but a lightweight html reader contained in the executable file. This html reader is only used during connection operations and not for access to the information system once the connection is established. According to an advantageous characteristic of the invention, the server application, called virtual desktop server, is configured to execute several sessions, each in an isolated virtual environment. Thus, different sessions of the same user or of several users are partitioned from one another. With isolated sessions, the integrity of data and applications of the information system is preserved. A virtual desktop server is a server for accessing a virtual desktop, but also other applications such as web applications or published applications. Advantageously, once authorized access, communication between the gateway and the information system can be done by means of a browser installed on the bridge. In particular, the server application, called virtual desktop server, generates and has on the terminal at least one shortcut, - 3 - each shortcut to access a given browser installed on the gateway. The virtual desktop server can include multiple browsers to access the information system. Each browser can be configured to access a set of specific elements of the information system. We thus define several browsers, each dedicated to accessing a type of applications of the information system; these applications include web browsing, published applications and an information system desktop. Browsers are run in the gateway and not locally in the user terminal. This guarantees the integrity of the user terminal against any malicious act from the Internet for example. The virtual desktop server notably allows a user terminal to access web, Citrix® or TSE applications of the information system. According to an advantageous embodiment of the invention, the signature is an identifier developed from the hardware and software characteristics of the terminal. In the method according to the invention, a signature based on the terminal is preferably used instead of a cryptographic token (smart card, USB security key, security token) because the latter involves a heavy implementation.

Selon encore un mode de mise en oeuvre avantageux de l'invention, le fichier exécutable est disposé dans un moyen de stockage portable connecté au terminal. Ce moyen de stockage peut être une clé USB (standard), un téléphone évolué (« smartphone » en anglais). On peut ainsi utiliser un terminal quelconque pour se connecter de façon sécurisée à un système d'information. Ce terminal peut être un ordinateur d'un cybercafé jamais connecté au système d'information. Bien entendu, les différentes caractéristiques, formes et variantes de réalisation de l'invention peuvent être associées les unes avec les autres 30 selon diverses combinaisons dans la mesure où elles ne sont pas incompatibles ou exclusives les unes des autres. D'autres avantages et caractéristiques de l'invention apparaîtront à l'examen de la description détaillée d'un mode de mise en oeuvre nullement 35 limitatif, et des dessins annexés, sur lesquels : - 4 - - La figure 1 est une illustration schématique simplifiée d'un système d'accès à des systèmes d'information selon l'invention, - La figure 2 est une illustration schématique simplifiée d'une passerelle informatique d'accès sécurisé selon l'invention, - La figure 3 est une illustration schématique simplifiée d'un processus d'authentification selon l'art antérieur, - La figure 4 est une illustration schématique simplifiée d'un processus d'authentification selon l'invention, - La figure 5 est une illustration schématique simplifiée d'un boîtier d'accès sécurisé intégrant un système d'information. Sur les figures 1 à 5, les différents éléments communs aux diverses variantes ou formes de réalisation portent les mêmes références. Sur la figure 1 on voit un schéma simplifié d'un système d'accès à des systèmes d'information selon l'invention. On distingue un système d'information 1 d'une entreprise. Ce système d'information est représenté par des serveurs physiques ou virtuels comprenant toutes les composantes d'un système d'information classiques notamment une publication d'applications, des moyens de stockage, des moyens de gestions centralisées des adresses IP, un gestionnaire d'impression et une application d'administration du système d'information de l'entreprise, des applications métiers, (liste non exclusive et non exhaustive). Ce système d'information est intégré dans un réseau local 2 qui peut être un réseau local avec ou sans fil ou un réseau étendu. Des terminaux utilisateurs 3 peuvent accéder au système d'information 1 via le réseau local. La passerelle selon l'invention a pour objectif de développer les usages suivants : mobilité individuelle, - mobilité d'équipe, travail collaboratif, - télétravail, et - travail sédentaire. Par ailleurs, le système selon l'invention permet de répartir un système d'information et de mettre en place une publication d'applications en mode « SaaS » pour « Software as a Service », application en tant que service permettant l'utilisation d'une application sans l'installer en local. - 5 - Pour ce faire, on utilise une nouvelle passerelle d'accès sécurisé 4 reliée d'une part au système d'information 1, et d'une autre part à Internet (5). La passerelle d'accès sécurisé 4 a pour objet de permettre l'accès au système d'information 1 à partir de terminaux 6 à 9 de différents types. Ces terminaux peuvent être connus du système d'information 1 car appartenant par exemple au réseau local 2, mais ils peuvent avantageusement être tout autre terminal utilisateur. D'autres terminaux 10 et un second réseau local 11 constituent un site déporté sans système d'information propre. La passerelle 4 permet de proposer à ce site tous les accès réseaux et les moyens de connexion disponibles sur le site local 2, mais au travers d'une liaison Internet ou WAN (accès Internet direct, accès distant, accès invité, ségrégation des réseaux clients ....) La répartition du système d'information est obtenue en intégrant tout ou partie du système d'information dans un boîtier infrastructure 12 qui sera décrit plus en détail ci-dessous. Plusieurs boîtiers infrastructure peuvent être connectés en un groupe ou « cluster » 13 comprenant tout ou partie du système d'information. Les terminaux utilisateurs 6 à 9 se connectant au système d'information 1 peuvent également accéder, via la passerelle 4, à un serveur de publication d'applications en mode « SaaS » 14 pour bénéficier d'un certains nombres d'applications sans les télécharger localement sur le terminal utilisateur. Ces terminaux 6 à 9 peuvent également accéder via la passerelle 4 à un serveur de stockage 15. On prévoit un module gestion centralisée de services 16 et un module de supervision centralisée 17 de la sécurité des échanges dans le système. According to another advantageous embodiment of the invention, the executable file is disposed in a portable storage means connected to the terminal. This storage means can be a USB key (standard), a smartphone ("smartphone"). One can thus use any terminal to connect securely to an information system. This terminal can be a computer of a cybercafé never connected to the information system. Of course, the various features, shapes and embodiments of the invention may be associated with each other in various combinations to the extent that they are not incompatible or exclusive of each other. Other advantages and features of the invention will appear on examining the detailed description of an embodiment which is in no way limitative, and the appended drawings, in which: FIG. 1 is a diagrammatic illustration A simplified schematic illustration of a secure access computer gateway according to the invention is shown in FIG. 2. FIG. 3 is a diagrammatic illustration of the present invention. simplified version of an authentication process according to the prior art, - Figure 4 is a simplified schematic illustration of an authentication process according to the invention, - Figure 5 is a simplified schematic illustration of a housing of secure access integrating an information system. In Figures 1 to 5, the various elements common to the various variants or embodiments have the same references. FIG. 1 shows a simplified diagram of a system for accessing information systems according to the invention. There is an information system 1 of a company. This information system is represented by physical or virtual servers comprising all the components of a conventional information system including an application publication, storage means, centralized management means IP addresses, a manager of printing and application of administration of the information system of the company, business applications, (non-exclusive and non-exhaustive list). This information system is integrated in a local area network 2 which may be a wired or wireless local area network or a wide area network. User terminals 3 can access the information system 1 via the local network. The gateway of the invention aims to develop the following uses: individual mobility, - team mobility, collaborative work, - telecommuting, and - sedentary work. Furthermore, the system according to the invention makes it possible to distribute an information system and to set up an application publication in "SaaS" mode for "Software as a Service", an application as a service allowing the use of an application without installing it locally. To do this, a new secure access gateway 4 is used, linked on the one hand to the information system 1, and on the other hand to the Internet (5). The secure access gateway 4 is intended to allow access to the information system 1 from terminals 6 to 9 of different types. These terminals can be known from the information system 1 because belonging for example to the local network 2, but they can advantageously be any other user terminal. Other terminals 10 and a second local area network 11 constitute a remote site without its own information system. The gateway 4 makes it possible to propose to this site all the network accesses and the connection means available on the local site 2, but through an Internet or WAN link (direct Internet access, remote access, guest access, segregation of the client networks The distribution of the information system is obtained by integrating all or part of the information system into an infrastructure box 12 which will be described in more detail below. Several infrastructure boxes can be connected in a group or "cluster" 13 comprising all or part of the information system. The user terminals 6 to 9 connecting to the information system 1 can also access, via the gateway 4, a SaaS application publishing server 14 to benefit from a certain number of applications without downloading them. locally on the user terminal. These terminals 6 to 9 can also access via gateway 4 to a storage server 15. A centralized service management module 16 and a centralized supervision module 17 for the security of exchanges in the system are provided.

Sur la figure 2, on voit un peu plus en détail le contenu de la passerelle d'accès sécurisé 4 selon l'invention. Il s'agit d'un caisson contenant un concentrateur 25 qui est connecté à une architecture de réseaux locaux, représentée simplement ici par le réseau local 2. Ce concentrateur permet 30 l'accès aux terminaux utilisateurs reliés au réseau local 2. Il s'agit généralement des terminaux de l'entreprise. Il permet également de gérer les droits d'accès à des services définis. Le pare-feu 26 permet de laisser passer des communications autorisées provenant du réseau local 2 via le concentrateur 25 ou provenant des terminaux distants 6 à 9 (sur la figure 1) 35 via Internet 5, vers une unité de traitement 27 et/ou vers le système - 6 - d'information 1. Le pare-feu permet également de contrôler les communications à destination d'Internet, (navigation standard avec filtrage d'URL, antivirus et sonde anti intrusion) ainsi que l'établissement des tunnels IPSEC à destination des différents sites ou administration. En particulier, les communications provenant d'Internet sont dirigées vers l'unité de traitement 27 pour établissement d'une communication sécurisée et pour une authentification forte des terminaux et utilisateurs. En fonction du terminal distant 6 à 9, la communication est dirigée vers un serveur pour bureau virtuel 28, un serveur pour nomade 29 ou un serveur pour voix 30. Chacun des serveurs virtuels 28 à 30 interagit étroitement avec un serveur d'authentification 31. A titre d'exemple non limitatif, le serveur pour bureau virtuel peut être obtenu à partir du produit Virtual Browser® de Common It, du produit Login People ® qui est un serveur d'authentification, ainsi que d'une interface développée pour permettre l'interaction entre le produit Virtual Browser® et le produit Login People®. Un produit Virtual Browser est notamment décrit dans le document WO 2010136317. Le serveur pour nomade peut être de façon également non limitative implémenté au moyen du produit Nomadio® de la société Ibelem en tant que composeur 29A, associé au produit IPDIVA® en tant qu'application d'accès à distance 29B, ces produits étant adaptés pour collaborer avec le Login People® comme serveur d'authentification forte. Ces serveurs virtuels sont avantageusement disposés dans une zone démilitarisée pour protéger le système d'information contre toute intrusion malveillante. In Figure 2, we see a little more in detail the contents of the secure access gateway 4 according to the invention. This is a box containing a concentrator 25 which is connected to a local network architecture, simply represented here by the local network 2. This concentrator allows access to the user terminals connected to the local network 2. It is Usually acts on the company's terminals. It also manages access rights to defined services. The firewall 26 makes it possible to pass authorized communications from the local network 2 via the concentrator 25 or from the remote terminals 6 to 9 (in FIG. 1) via the Internet 5, to a processing unit 27 and / or to the information system 1. The firewall can also be used to control communications to the Internet (standard navigation with URL filtering, antivirus and intruder probe) as well as the establishment of IPSEC tunnels. destination of different sites or administration. In particular, the communications from the Internet are directed to the processing unit 27 for establishment of secure communication and for strong authentication of the terminals and users. Depending on the remote terminal 6 to 9, the communication is directed to a virtual office server 28, a nomadic server 29 or a voice server 30. Each of the virtual servers 28 to 30 closely interacts with an authentication server 31. By way of non-limiting example, the virtual office server can be obtained from the Common It's Virtual Browser® product, the Login People® product which is an authentication server, as well as an interface developed to enable the virtual desktop server to be used. interaction between the Virtual Browser® product and the Login People® product. A Virtual Browser product is notably described in the document WO 2010136317. The server for nomad can also be nonlimitingly implemented by means of the Nomadio® product from the company Ibelem as a dialer 29A, associated with the product IPDIVA® as a 29B remote access application, these products being adapted to collaborate with the Login People® as a strong authentication server. These virtual servers are advantageously arranged in a demilitarized zone to protect the information system against any malicious intrusion.

Lorsqu'un utilisateur est au sein du réseau local 2, il peut se connecter grâce à son terminal au concentrateur 25 pour identification. Ce dernier identifie l'utilisateur ainsi que le ou les réseaux pour lesquels il a un droit d'accès. Lorsque cet utilisateur est à l'extérieur du réseau local 2, s'il utilise un terminal non connu, c'est-à-dire non répertorié dans le réseau local, tel que par exemple la machine d'un cyber café ou un ordinateur personnel, ce sont les serveurs pour bureau virtuel et d'authentification qui vont intervenir. Lorsque cet utilisateur est à l'extérieur du réseau local 2, s'il utilise un terminal connu, c'est le concentrateur 25 qui intervient pour l'identification du 35 terminal. - 7- La mise en oeuvre du serveur pour bureau virtuel répond à la problématique de se connecter au système d'information quelque soit le terminal utilisé et de garantir que cette connexion ne permet pas la fuite de données ni l'attaque du système d'information. Ce mode permet un travail collaboratif (accès à l'espace partagé et accès au système d'information personnel de l'utilisateur tout en garantissant qu'aucun transfert ne peut être effectué d'un espace à l'autre). Comme mentionné précédemment, le serveur pour bureau virtuel peut 10 être mis en oeuvre au moyen du produit Virtual Browser® en mode connecté permettant l'accès à des applications en mode web à partir d'un navigateur virtuel installé sur une zone démilitarisée (DMZ) du pare-feu. L'accès à ce navigateur virtuel se fait au moyen d'exécutables stockés soit sur un terminal (PDA, Smartphone) soit sur clé de type USB (clé standard), disques externes 15 ou autres. Le serveur d'authentification peut être mis en oeuvre avec le produit LOGIN PEOPLE® permettant d'effectuer une authentification forte sans utilisation de « token » cryptographique ou de mécanisme cryptographique spécifique. Cette solution s'appuie sur des paramètres spécifiques d'un 20 terminal afin de rendre son identification unique et non falsifiable. En mode bureau virtuel, le serveur pour bureau virtuel et le serveur d'authentification sont interopérables. En pratique, le processus d'accès en mode bureau virtuel peut être tel que décrit ci-après. 25 L'utilisateur lance un exécutable bureau virtuel stocké soit sur le terminal soit sur une clé USB. Cet exécutable ne nécessite aucune installation ni de privilège particulier. La communication entre le terminal et la passerelle est chiffrée, et authentifiée dans le cas d'utilisation de certificat. 30 Le chiffrement est effectué via OPENSSL. Une fois la communication établie, l'utilisateur a accès au serveur pour bureau virtuel et aux différents services qui lui sont autorisés en fonction de son profil. Le choix d'un service ouvre automatiquement une session spécifique sur le système d'information concerné. Par défaut, il n'y a aucun - 8 - transfert d'information entre le client et le serveur pour bureau virtuel. On peut envisager un échange de données en fonction du contexte. En ce qui concerne l'implémentation du serveur d'authentification à partir du produit Login People®, l'authentification du terminal se fait au moyen de plusieurs paramètres intrinsèques au terminal. Cette authentification est effectuée au moyen d'un module d'extension ou « plugin » installé dans un navigateur (ActiveX/Applet Java ou composants spécifiques en fonction des navigateurs). When a user is within the local network 2, he can connect through his terminal to the hub 25 for identification. The latter identifies the user as well as the network or networks for which he has a right of access. When this user is outside the local network 2, if he uses an unknown terminal, that is to say not listed in the local network, such as for example the machine of a cyber café or a computer staff, it is the servers for virtual office and authentication that will intervene. When this user is outside the local network 2, if he uses a known terminal, the hub 25 intervenes for the identification of the terminal. The implementation of the virtual desktop server responds to the problem of connecting to the information system whatever the terminal used and to guarantee that this connection does not allow the data leak or the attack of the system. information. This mode allows collaborative work (access to the shared space and access to the user's personal information system while ensuring that no transfer can be made from one space to another). As previously mentioned, the virtual desktop server can be implemented using the connected-mode Virtual Browser® product allowing access to web mode applications from a virtual browser installed on a DMZ (Demilitarized Zone). firewall. Access to this virtual browser is done by means of executables stored either on a terminal (PDA, Smartphone) or USB type key (standard key), external disks 15 or others. The authentication server can be implemented with the product LOGIN PEOPLE® for performing strong authentication without the use of a cryptographic "token" or specific cryptographic mechanism. This solution relies on specific parameters of a terminal in order to make its identification unique and not falsifiable. In virtual desktop mode, the virtual desktop server and the authentication server are interoperable. In practice, the virtual desktop access process may be as described below. The user launches a virtual desktop executable stored either on the terminal or on a USB key. This executable does not require any installation or special privilege. The communication between the terminal and the gateway is encrypted, and authenticated in the case of certificate use. The encryption is performed via OPENSSL. Once the communication is established, the user has access to the virtual desktop server and to the various services authorized to him according to his profile. The choice of a service automatically opens a specific session on the information system concerned. By default, there is no transfer of information between the client and the virtual desktop server. We can consider a data exchange depending on the context. Regarding the implementation of the authentication server from the product Login People®, the authentication of the terminal is done using several parameters intrinsic to the terminal. This authentication is performed by means of an extension module or "plugin" installed in a browser (ActiveX / Java Applet or specific components depending on browsers).

Sur la figure 3, on voit un processus d'authentification selon l'art antérieur dans lequel des terminaux utilisateurs 40 veulent accéder à un système d'information 39 à travers un serveur d'authentification 37 (ID_BOX) et une passerelle VPNSSL 38. La connexion s'effectue en général au travers d'une page web. A l'étape 32, l'utilisateur saisit un code PIN et envoie ce code pin et la signature du terminal utilisé pour la connexion (depuis son Smartphone, sa clé USB, son terminal, ...). Le serveur d'authentification vérifie le code pin et la signature et renvoie à l'utilisateur à l'étape 33 un mot de passe à valeur unique (OTP). Un client VPNSSL (non représenté) installé sur le terminal récupère l'OTP et renvoie à l'étape 34 l'identifiant du terminal à la passerelle VPNSSL 38. Cette dernière renvoie, à l'étape 35 pour vérification, l'OTP vers la passerelle d'authentification, en général selon le protocole RADIUS. La communication est ainsi authentifiée et chiffrée. La passerelle VPNSSL 38 autorise l'accès au système d'information à l'étape 36. Sur la figure 4, ce processus d'authentification est modifié en combinaison avec le processus d'accès sécurisé par le serveur pour bureau virtuel. Le processus combiné est indépendant du terminal (zéro adhérence) et fonctionne sur l'ensemble des terminaux. Il permet l'authentification de l'utilisateur et du terminal de manière unique et avant l'accès au système d'information. La communication peut être établie en filaire ou en radio (WiFi, 3G,...). Une authentification unique (SSO, « single sign on ») au niveau du système d'information est également possible. En pratique, la mise en oeuvre peut se faire, sans que cela ne soit limitatif aux produits mentionnés, grâce au développement d'une ou plusieurs - 9 - interfaces permettant de faire dialoguer des produits Virtual Browser® et Login People®. D'autres développement et/ou produits peuvent être envisagés afin d'implémenter les fonctions définies selon l'invention. Les interfaces rendent les deux produits interopérables. En particulier, dans le cas conventionnel, la génération de la signature issue de Login people® nécessite la mise en oeuvre d'un composant logiciel intégré dans le navigateur sur le poste client. Or Virtual Browser® utilise un navigateur installé en central, donc pas sur le poste client. Avec l'interfaçage entre Virtual Browser () et Login People®, on récupère l'empreinte de signature sans installer de composant logiciel sur le poste client. Sur la figure 4, le terminal 40 qui doit être identifié est celui ayant accès à un fichier exécutable adapté à initier une connexion avec le serveur de bureau virtuel (Virtual Browser®). Ce fichier exécutable est stocké dans le terminal 40 ou dans tout moyen de stockage comme une clé USB. Le terminal 40 est un appareil capable de se connecter à Internet, il peut s'agir d'un Smartphone ou d'un PC (tout OS confondu). Aucune installation n'est nécessaire sur le terminal. - Lorsque l'utilisateur ouvre le fichier exécutable, un module client Virtual Browser® modifié s'exécute et se connecte à l'étape 41 au serveur Virtual Browser® modifié (serveur pour bureau virtuel) 28. Par Virtual Browser® modifié, on entend une application de type Virtual Browser® associée à une interface (une application dédiée) permettant l'échange de données entre l'application Virtual Browser® et une autre application telle que par exemple l'application Login People®. La communication est sécurisée par SSL mais non authentifiée. - A l'étape 42, le serveur de bureau virtuel 28 demande un identifiant ou signature unique du terminal. Une page web spécifique s'ouvre. On calcule la signature du terminal par l'exécution d'un programme local au client et intégré dans le module client Virtual Browser® modifié. Un code pin est demandé à l'utilisateur. L'utilisateur saisit le code pin. - Aux étapes 43 et 44, le code pin et la signature sont transmis pour authentification au serveur d'authentification 31 via le serveur de bureau virtuel. - 10 - - Le serveur d'authentification génère à l'étape 45 un mot de passe unique dit OTP (pour « One Time Password ») et le transmet au serveur de bureau virtuel. - A l'étape 46 le serveur de bureau virtuel valide et renvoie le mot de passe ainsi que la signature vers le serveur d'authentification 31 pour demander une ouverture de session. On récupère éventuellement des groupes utilisateurs auprès d'un serveur LDAP (non représenté). - A l'étape 47, le serveur d'authentification autorise l'ouverture d'une session pour le bureau virtuel en fonction des droits de l'utilisateur. - A l'étape 48, le terminal 40 accède au système d'information, en particulier à des applications web, bureau et applications publiées. Lorsque l'utilisateur utilise son terminal habituel de l'entreprise, ce terminal contient un module client apte à communiquer avec un module 15 serveur selon un mode client-serveur avec échanges de données. Le processus de connexion peut être le suivant : L'utilisateur initie une connexion en activant un assistant de connexion. Cet assistant de connexion est par exemple un module client apte à communiquer avec un module serveur formant le composeur 29A, l'ensemble 20 client-serveur peut être par exemple obtenu à partir du produit Nomadio®. L'assistant de connexion installé sur le terminal utilisateur détecte et propose tous les moyens de communication possible du terminal : 3G, WiFi,... L'utilisateur choisit un mode de communication. L'assistant peut indiquer un mode préférentiel en fonction de paramètres divers comme par exemple le 25 lieu de connexion, la qualité, le moment de la connexion... L'assistant de connexion pointe le pare-feu 26 qui dirige la connexion vers le composeur 29. Ce dernier lance un processus d'authentification forte en s'interfaçant avec le serveur d'authentification 31. Ce dernier récupère un identifiant unique du terminal. Cet identifiant a été élaboré à partir des caractéristiques logicielles 30 et matérielles permettant d'identifier simplement et rapidement chaque terminal. Lorsque l'authentification est terminée et acceptée, on lance l'application d'accès à distance 29B, comme par exemple le produit IPDIVA® de façon à mettre en place un tunnel VPN SSL entre une application cliente dans le terminal utilisateur et la partie serveur de l'application d'accès à 35 distance contenu dans l'unité de traitement 27. Le terminal utilisateur est - 11 - ensuite connecté à une passerelle logicielle dans le système d'information pour permettre au terminal utilisateur d'accéder aux différents éléments du système d'information avec échange de données. Le serveur d'authentification utilise un identifiant du terminal, cet identifiant étant un identifiant léger, contrairement aux systèmes de certificat ou de jeton conventionnellement utilisés, qui sont des identifiants lourds en termes de tailles et de manipulation. Sur la figure 5, on voit une passerelle d'accès sécurisé 4 intégrée dans un boîtier infrastructure 50 comprenant un système d'information. Il s'agit d'un boîtier qui, en plus de l'ensemble des composants de la passerelle 4 des figures 1 et 2, comprend en outre : - un pare-feu 51 relié avec le pare-feu 26 (figure 2) présent dans la passerelle 4 pour permettre et surveiller la communication entre la passerelle 4 et les autres éléments du boîtier infrastructure ; - un système d'information intégré 52 comprenant notamment une publication d'applications, un serveur web associé à un relais http, un serveur de dossiers et d'impression, des moyens de gestion centralisée d'adresses IP (DNS, DHCP, AD), et une application d'administration pour gérer la publication d'applications ; - un serveur 53 de stockage en réseau NAS (« Network Attached Storage » en anglais) pour gérer des espaces disques ; - un commutateur 54 pour gérer la communication entre les différents éléments du boîtier infrastructure, il permet également de mettre en cascade plusieurs boîtiers infrastructure du même type ; - une unité de traitement ou carte électronique 55 pour administrer les autres éléments du boîtier infrastructure ; et - une autre unité de traitement ou carte électronique 56 pour gérer l'alimentation du boîtier infrastructure, en particulier l'arrêt et le démarrage séquentiel des éléments du boîtier infrastructure ; par exemple une séquence de démarrage peut être la suivante : le commutateur 54, l'unité de traitement 55, un serveur 53 de stockage en réseau NAS, le système d'information intégré 52, et la passerelle 4 d'accès sécurisé ; l'arrêt se faisant dans le sens inverse. - 1 2 - La mise en cascade des boîtiers infrastructures permet notamment de réaliser un système redondant. Les différents services sont ainsi toujours disponibles en cas de défaillance de l'un des boîtiers infrastructures. FIG. 3 shows an authentication process according to the prior art in which user terminals 40 want to access an information system 39 through an authentication server 37 (ID_BOX) and a VPNSSL gateway 38. connection is usually made through a web page. In step 32, the user enters a PIN code and sends this pin code and the signature of the terminal used for the connection (from his smartphone, his USB key, his terminal, ...). The authentication server verifies the pin code and signature and returns to the user in step 33 a one-time password (OTP). A VPNSSL client (not shown) installed on the terminal retrieves the OTP and returns in step 34 the identifier of the terminal to the VPNSSL gateway 38. The latter returns, in step 35 for verification, the OTP to the terminal. authentication gateway, usually according to the RADIUS protocol. The communication is thus authenticated and encrypted. The VPNSSL gateway 38 authorizes access to the information system in step 36. In FIG. 4, this authentication process is modified in combination with the secure access process by the virtual desktop server. The combined process is terminal independent (zero adhesion) and works on all terminals. It allows user and terminal authentication uniquely and before accessing the information system. Communication can be established wired or radio (WiFi, 3G, ...). Single sign-on (SSO) at the information system level is also possible. In practice, the implementation can be done, without this being limited to the mentioned products, through the development of one or more interfaces for dialogue between Virtual Browser® and Login People® products. Other developments and / or products may be envisaged in order to implement the functions defined according to the invention. The interfaces make the two products interoperable. In particular, in the conventional case, the generation of the signature resulting from Login people® requires the implementation of a software component integrated in the browser on the client computer. Or Virtual Browser® uses a centrally installed browser, so not on the client machine. With the interface between Virtual Browser () and Login People®, the signature fingerprint is retrieved without installing a software component on the client machine. In Figure 4, the terminal 40 to be identified is the one having access to an executable file adapted to initiate a connection with the virtual desktop server (Virtual Browser®). This executable file is stored in the terminal 40 or in any storage means such as a USB key. The terminal 40 is a device capable of connecting to the Internet, it may be a smartphone or a PC (any OS confused). No installation is necessary on the terminal. - When the user opens the executable file, a modified Virtual Browser® client module runs and connects in step 41 to the modified Virtual Browser® server (virtual desktop server) 28. By modified Virtual Browser® means a Virtual Browser® type application associated with an interface (a dedicated application) allowing the exchange of data between the Virtual Browser® application and another application such as, for example, the Login People® application. The communication is secured by SSL but not authenticated. In step 42, the virtual desktop server 28 requests a unique identifier or signature of the terminal. A specific web page opens. The terminal signature is calculated by running a local program to the client and integrated into the modified Virtual Browser® client module. A pin code is requested from the user. The user enters the pin code. In steps 43 and 44, the pin code and the signature are transmitted for authentication to the authentication server 31 via the virtual desktop server. - 10 - - The authentication server generates in step 45 a unique password called OTP (for "One Time Password") and transmits it to the virtual desktop server. In step 46, the valid virtual desktop server returns the password and the signature to the authentication server 31 to request a login. User groups may be retrieved from an LDAP server (not shown). In step 47, the authentication server authorizes the opening of a session for the virtual office according to the rights of the user. In step 48, the terminal 40 accesses the information system, in particular to web applications, desktop and published applications. When the user uses his usual terminal of the company, this terminal contains a client module able to communicate with a server module in a client-server mode with data exchange. The login process can be as follows: The user initiates a connection by activating a connection wizard. This connection wizard is for example a client module able to communicate with a server module forming the dialer 29A, the client-server set 20 can for example be obtained from the product Nomadio®. The connection wizard installed on the user terminal detects and proposes all possible means of communication of the terminal: 3G, WiFi, ... The user chooses a communication mode. The wizard may indicate a preferential mode according to various parameters such as, for example, the place of connection, the quality, the time of the connection, etc. The connection wizard points the firewall 26 which directs the connection to the connection. composer 29. The latter initiates a strong authentication process by interfacing with the authentication server 31. The latter retrieves a unique identifier of the terminal. This identifier has been developed from software and hardware characteristics 30 to identify simply and quickly each terminal. When the authentication is completed and accepted, the remote access application 29B is launched, for example the product IPDIVA® so as to set up an SSL VPN tunnel between a client application in the user terminal and the server part. The user terminal is then connected to a software gateway in the information system to enable the user terminal to access the various elements of the remote access application contained in the processing unit. information system with data exchange. The authentication server uses an identifier of the terminal, this identifier being a lightweight identifier, unlike conventionally used certificate or token systems, which are identifiers that are heavy in terms of size and handling. In Figure 5, there is shown a secure access gateway 4 integrated into an infrastructure box 50 comprising an information system. This is a case which, in addition to all the components of the gateway 4 of FIGS. 1 and 2, furthermore comprises: a firewall 51 connected with the firewall 26 (FIG. 2) present in the gateway 4 to enable and monitor the communication between the gateway 4 and the other elements of the infrastructure box; an integrated information system 52 comprising in particular an application publication, a web server associated with an http relay, a folder and print server, means for centralized management of IP addresses (DNS, DHCP, AD) , and an administration application for managing the publication of applications; a NAS network storage server 53 ("Network Attached Storage") for managing disk spaces; a switch 54 for managing the communication between the different elements of the infrastructure box, it also makes it possible to cascade several infrastructure boxes of the same type; a processing unit or electronic card 55 for administering the other elements of the infrastructure box; and another processing unit or electronic card 56 for managing the power supply of the infrastructure box, in particular stopping and sequential startup of the elements of the infrastructure box; for example, a start sequence may be the following: the switch 54, the processing unit 55, a NAS network storage server 53, the integrated information system 52, and the secure access gateway 4; stopping in the opposite direction. - 1 2 - The cascading of the infrastructure boxes makes it possible to create a redundant system. The different services are thus always available in case of failure of one of the infrastructure boxes.

D'une façon générale et en complément notamment de ce qui précède et conformément aux figures 1 à 4, le système selon l'invention peut être défini sous forme de kits pouvant être mis en oeuvre pour chaque famille d'équipements à prendre en compte. Le système selon l'invention comprend notamment les familles suivantes : - Famille d'équipements client (distant ou local) : o Pour le kit nomade : kit d'accès nomade permettant à un poste de l'entreprise d'accéder aux ressources de l'entreprise, au boîtier infrastructure intégrant un système d'information, au serveur SaaS et au serveur Store. Le kit comprend le composeur (« dialer » en anglais), la sécurisation de la communication et l'authentification forte. o Pour le kit bureau virtuel : solution permettant à un utilisateur d'accéder aux ressources de l'entreprise, au boîtier infrastructure intégrant un système d'information, au serveur SaaS et au serveur Store. Il permet également de stocker et utiliser des données stockées dans un espace sécurisé. o Pour le kit voix mobile (Smartphone) : solution identique au serveur pour bureau virtuel et/ou au serveur pour nomade mais dédié au monde des Smartphones. - Famille d'équipements infrastructure o Le boîtier infrastructure intégrant un système d'information : système d'information complet, intégré (réseau - applications publiées - stockage) évolutif (empilage ou mise en réseau) offrant des services de voix données images, intégrant des services de sécurité (sécurité des communications (voix et données), sécurité des accès Internet, sécurité des données (chiffrement et solution DLP (« Data Loss Prevention » pour prévention de perte de données) / Sauvegarde / - 13 - Synchronisation), haute disponibilité), pouvant être facilement déployé. o La passerelle d'accès sécurisé : Passerelle d'accès mutualisés, permettant aux solutions clients d'accéder à un système d'information client. Passerelle d'accès permettant à un site distant de s'intégrer dans l'architecture du système selon l'invention sans déploiement spécifique sur le site distant tout en gardant les fonctionnalités offertes dans le boîtier infrastructure intégrant un système d'information (multi VLAN accès invité, accès LAN to LAN) - Famille service o Serveur SaaS : Portail d'accès à des applications en mode service (publication d'applications et exécution distante) et compatible avec les solutions de la famille client. Le serveur SaaS est mutualisable entre plusieurs sociétés tout en garantissant un cloisonnement des communications et des données et des accès. Il est compatible avec des solutions d'authentification fortes. o Serveur Store : Bibliothèque d'applications virtualisées pouvant être: - utilisée par le serveur SaaS (à partir des solutions d'infrastructure et clientes) - téléchargée et utilisée par les produits de la famille client - utilisée sur un poste client sans installation spécifique - Famille Management o Le serveur gestion centralisée de services : console de management centralisé permettant l'administration complète du système. Administration des clients, infrastructures, et services. La gestion comprend le management des services et la configuration / le déploiement des différentes solutions. o Le serveur de supervision centralisée de la sécurité des échanges dans le système (remontée d'alarmes, corrélation, gestion des logs, vulnérabilité). Ce serveur assure également le management de la sécurité (configuration des pare-feu, des liens - 14 - inter systèmes, politique de sécurité et conformité, patch management....) On va maintenant détailler ci-après, certains principes mis en oeuvre au niveau matériel et applicatif : Le système selon l'invention est une solution cohérente mais adaptable car conçue en mode brique. L'architecture technique du système selon l'invention repose sur des briques assurant les différentes fonctions d'un système d'information allant de la communication (architecture réseau) à la mise à disposition d'application en mode SAAS ou local (virtualisation d'application, publication d'application) en intégrant des mécanismes d'authentification forte et un stockage/sauvegarde de données sécurisées soit dans l'infrastructure centrale soit sur un support distant (nomade, bureau virtuel, Smartphone). Architecture des communications : Toutes les communications entre les différents éléments du système sont sécurisées (chiffrement et authentification). In a general manner and in addition to the above, and in accordance with FIGS. 1 to 4, the system according to the invention can be defined in the form of kits that can be implemented for each family of equipment to be taken into account. The system according to the invention comprises in particular the following families: - Client equipment family (remote or local): o For the nomadic kit: nomadic access kit allowing an office of the company to access the resources of the enterprise, with an infrastructure box integrating an information system, the SaaS server and the Store server. The kit includes dialer, secure communication and strong authentication. o For the virtual desktop kit: A solution that allows a user to access corporate resources, an infrastructure appliance that includes an information system, the SaaS server, and the Store server. It also allows you to store and use data stored in a secure space. o For the mobile voice kit (Smartphone): identical solution to the server for virtual office and / or server for nomad but dedicated to the world of smartphones. - Infrastructure equipment family o The infrastructure package integrating an information system: an integrated information system (network - published applications - storage) that is scalable (stacking or networking) offering voice image data services, integrating security services (communications security (voice and data), Internet access security, data security (encryption and DLP (Data Loss Prevention) / Backup / - 13 - Synchronization), high availability ), which can be easily deployed. o The secure access gateway: Shared access gateway, allowing client solutions to access a customer information system. Access gateway allowing a remote site to integrate into the architecture of the system according to the invention without specific deployment on the remote site while retaining the features offered in the infrastructure box integrating an information system (multi VLAN access guest, LAN to LAN access) - Service family o SaaS server: Portal for access to service mode applications (application publishing and remote execution) and compatible with client family solutions. The SaaS server is shared between several companies while ensuring a partitioning of communications and data and access. It is compatible with strong authentication solutions. o Store server: A library of virtualized applications that can be: - used by the SaaS server (from infrastructure and client solutions) - downloaded and used by the products of the client family - used on a client station without specific installation - Family Management o The centralized management server of services: centralized management console allowing the complete administration of the system. Customer Administration, Infrastructure, and Services. Management includes service management and configuration / deployment of different solutions. o The centralized monitoring server for the security of exchanges in the system (alarm reporting, correlation, log management, vulnerability). This server also provides security management (configuration of firewalls, links - 14 - inter systems, security policy and compliance, patch management ....) We will now detail below, some principles implemented at the hardware and application level: The system according to the invention is a coherent solution but adaptable because designed in brick mode. The technical architecture of the system according to the invention is based on bricks providing the various functions of an information system ranging from communication (network architecture) to the provision of application in SAAS or local mode (virtualization of application, application publishing) by integrating strong authentication mechanisms and storage / backup of secure data either in the central infrastructure or on a remote support (nomad, virtual office, Smartphone). Communications Architecture: All communications between the various elements of the system are secure (encryption and authentication).

Cette architecture de communication entre les différents éléments est assurée par plusieurs tunnels IPSEC ( pour « Internet Protocol Security ») et/ou SSL (pour « Secure Socket Layer ») en fonction des éléments à connecter. Toutes les communications sont gérées à partir du serveur de gestion centralisée de services. Une architecture selon l'invention peut être construite soit sur le réseau Internet soit sur un réseau privé, soit les deux. Le débit minimal dépend des services demandés. Les architectures réseaux locaux, implémentées dans la passerelle et dans le boîtier infrastructure permettent la mise à disposition de plusieurs réseaux pour différents usages répartis en trois classes: - Accès au système d'information local: permet à un utilisateur d'accéder à partir d'un poste quelconque au SI local - 15 - - Accès invité: permet à une personne d'accéder à Internet (en mode invité) en assurant un contrôle des communications et une sauvegarde des données de connexion - Accès LAN to LAN. Offre à un groupe d'utilisateurs une extension de son réseau d'entreprise sans utiliser les accès distants. Chaque classe de réseau peut être subdivisée en plusieurs classes isolées les unes des autres. Les architectures de réseaux s'appuient sur des technologies de VLAN et s'appuie sur des architectures WiFi ou filaire ou les deux rendant ainsi un déploiement rapide et aisé. Toutes les communications clients / infrastructure sont chiffrées et authentifiées par différents mécanismes en fonction de la typologie des réseaux. This communication architecture between the different elements is provided by several IPSEC (for "Internet Protocol Security") and / or SSL (for "Secure Socket Layer") tunnels depending on the elements to be connected. All communications are managed from the centralized service management server. An architecture according to the invention can be built either on the Internet or on a private network, or both. The minimum throughput depends on the services requested. The local network architectures, implemented in the gateway and in the infrastructure box, allow the provision of several networks for different uses divided into three classes: - Access to the local information system: allows a user to access from any extension to the local IS - 15 - - Guest access: allows a person to access the Internet (in guest mode) by providing communication control and connection data backup - LAN to LAN access. Provides a group of users with an extension of their corporate network without using remote access. Each network class can be subdivided into several isolated classes of each other. Network architectures rely on VLAN technologies and rely on WiFi or wired architectures or both, making deployment quick and easy. All client / infrastructure communications are encrypted and authenticated by different mechanisms based on network typology.

Virtualisation système: Les différents serveurs du système fonctionnent sur des équipements spécifiques, intégrés sur mesure mais de base commune. Les systèmes de base fonctionnant sur les différents équipements s'appuient sur des technologies de virtualisation d'OS, permettant une évolution simple et une interopérabilité des éléments entre eux (dans une famille donnée). On peut utiliser la solution logicielle de virtualisation VMWare qui propose des fonctionnalités de haute disponibilité et de partage de charge. Système d'information: Le système d'information peut être par exemple un système Microsoft (Active Directory / File / Print...) avec une architecture dans le boîtier infrastructure capable de dialoguer avec l'architecture du serveur SaaS (mise en place de solution d'approbation de droits entre deux architectures Windows disjointes : fédération des identités) Authentification forte: Plusieurs mécanismes d'authentification forte peuvent être utilisés: - Authentification forte à base de certificat (logiciel ou hardware) - Authentification forte sans certificat (par exemple empreinte de terminal) - 1 6 - L'enrôlement des utilisateurs ou la création des certificats peuvent être soit externe au système soit intégré dans l'architecture. L'authentification forte couplée à de l'identification unique (SSO) permet à un utilisateur donné 5 d'accéder aux données et aux réseaux en n'utilisant qu'une séquence d'authentification. Des mécanismes de fédération d'identité permettent à un utilisateur d'accéder à des systèmes répartis ne disposant pas de cohérence de bases utilisateurs sans rejouer les mécanismes d'authentification Les certificats implémentés peuvent également servir au chiffrement des 10 données. Stockage: Le boîtier infrastructure intégrant le système d'information offre des capacités de stockage par utilisateur, qui peuvent évoluer et être réparties 15 sur plusieurs boîtiers. Des mécanismes de synchronisation permettent d'assurer la haute disponibilité des données en cas de dysfonctionnement de l'une des infrastructures. Les données peuvent être également sauvegardées/synchronisées sur des serveurs spécifiques tout en garantissant le même niveau de sécurité (confidentialité/intégrité) de la 20 donnée initiale. L'architecture de stockage permet également de synchroniser dans les deux sens des données stockées sur un poste local (nomade et Smartphone) ou sur une clé (bureau virtuel) en gardant les mêmes niveaux de sécurité. Dans ce cas, la synchronisation de données nécessite que le terminal soit 25 connecté à une architecture du système (partiel ou complète). Solution Voix : Le système offre une solution de voix sécurisée par défaut (chiffrement de la voix) permettant soit de reboucler sur un IPBX (PABX sur IP) 30 d'entreprise soit d'avoir son propre accès aux réseaux commutés (ceci vaut pour le boîtier infrastructure uniquement). Les infrastructures voix sont compatibles avec le boîtier infrastructure et la passerelle et fonctionnent sur tous les clients du système ainsi que sur des téléphones standards (TOIP pour « Telephony over Internet Protocol »). 35 - 1 7 - Protection des données : Des briques spécifiques permettent d'assurer la protection des données stockées dans les différents produits du système. La protection des données comprend la protection de la donnée elle-même (confidentialité / intégrité) ainsi que l'audit / contrôle de l'utilisation de celle-ci. Publication d'application : Le serveur SaaS et le boîtier infrastructure proposent des solutions de publication d'applications permettant à un utilisateur d'accéder à une application sans installation sur le poste distant. Cette solution est compatible avec tous les clients du système et quel que soit l'endroit où se trouve l'application. Les mécanismes de virtualisation d'applications sont identiques pour le boîtier infrastructure et le serveur SaaS. System virtualization: The various servers of the system work on specific equipment, integrated to measure but of common base. The basic systems running on the different devices rely on OS virtualization technologies, allowing a simple evolution and interoperability of the elements between them (in a given family). VMWare virtualization software solution that offers high availability and load sharing capabilities can be used. Information system: The information system can be for example a Microsoft system (Active Directory / File / Print ...) with an architecture in the infrastructure box able to interact with the architecture of the SaaS server (setting up of rights approval solution between two disjointed Windows architectures: federation of identities) Strong authentication: Several strong authentication mechanisms can be used: - Strong certificate-based authentication (software or hardware) - Strong authentication without certificate (for example, fingerprint terminal) - 1 6 - The enrollment of users or the creation of certificates can be either external to the system or integrated into the architecture. Strong authentication coupled with unique identification (SSO) allows a given user 5 to access data and networks using only one authentication sequence. Identity federation mechanisms enable a user to access distributed systems that do not have user base consistency without replaying the authentication mechanisms The implemented certificates can also be used for data encryption. Storage: The infrastructure box integrating the information system offers storage capacity per user, which can evolve and be distributed over several boxes. Synchronization mechanisms make it possible to ensure the high availability of data in case of malfunction of one of the infrastructures. The data can also be backed up / synchronized on specific servers while guaranteeing the same level of security (confidentiality / integrity) of the initial data. The storage architecture also makes it possible to synchronize in two directions data stored on a local station (nomad and smartphone) or on a key (virtual office) keeping the same security levels. In this case, the data synchronization requires the terminal to be connected to a system architecture (partial or complete). Voice Solution: The system offers a default secure voice solution (voice encryption) that allows you to either loop back to an IPBX (IP PBX) 30 enterprise or to have your own access to switched networks (this applies to infrastructure box only). The voice infrastructures are compatible with the infrastructure box and the gateway and work on all the clients of the system as well as on standard telephones (TOIP for "Telephony over Internet Protocol"). 35 - 1 7 - Data protection: Specific bricks allow to protect the data stored in the various products of the system. Data protection includes the protection of the data itself (confidentiality / integrity) as well as the audit / control of the use thereof. Application Publishing: The SaaS server and infrastructure appliance provide application publishing solutions that allow a user to access an application without installation on the remote machine. This solution is compatible with all system clients and wherever the application is located. The application virtualization mechanisms are identical for the infrastructure appliance and the SaaS server.

Virtualisation du terminal : Cette solution couplée à la publication d'application permet à un utilisateur d'accéder au système d'information à partir d'un terminal quelconque ou à partir d'un terminal spécifique mais appartenant à un autre système d'information. La solution garantit par défaut qu'aucune donnée ne pourra être stockée sur le poste client. Il s'agit d'une configuration par défaut qui peut être modifiée en fonction du groupe auquel appartient le poste client (politique adaptative en fonction du contexte). La politique d'utilisation peut être liée au mécanisme d'authentification forte. Virtualization of the terminal: This solution coupled with the application publication allows a user to access the information system from any terminal or from a specific terminal but belonging to another information system. The solution guarantees by default that no data can be stored on the client computer. This is a default configuration that can be changed based on the group to which the client node belongs (Adaptive policy based on context). The usage policy may be related to the strong authentication mechanism.

Application virtualisée Il s'agit d'une solution permettant de virtualiser des applications afin de les faire fonctionner localement (sur le poste d'un utilisateur) sans avoir à installer ces applications. Les applications sont accessibles en téléchargement à partir par exemple du serveur Store. Virtualized application This is a solution for virtualizing applications to run locally (on a user's computer) without having to install these applications. The applications are available for download from, for example, the Store server.

Sécurité: Tous les éléments de la gamme bénéficient du même niveau de sécurité. On assure ainsi une cohérence du niveau de sécurité. Ce niveau est défini en fonction des risques connus et des exigences des utilisateurs. La sécurité est globale. Dans le cas où cette dernière s'applique à un système - 18 - d'information existant, elle peut soit être indépendante de ce dernier avec une spécification du niveau de sécurité pour les interfaces, soit intégrée avec des mécanismes de sécurité de l'utilisateur. La sécurité englobe: - La sécurité des systèmes et applications (gestion de patch, mise à jour, contrôle de conformité, gestion des outils de contrôles, ...) - La sécurité des données (chiffrement, sauvegarde, contrôle des accès...) - La gestion des utilisateurs et droits associés. Security: All elements of the range enjoy the same level of security. This ensures a consistent level of security. This level is defined according to known risks and user requirements. Security is global. In the case where the latter applies to an existing information system, it can either be independent of the latter with a specification of the security level for the interfaces, or integrated with user security mechanisms. . Security includes: - Security systems and applications (patch management, update, compliance control, control tools management, ...) - Data security (encryption, backup, access control ...) ) - User management and associated rights.

Administration/ supervision Cette solution couvre la supervision et l'administration des différents éléments du système: - Provisionnement des comptes utilisateurs - Démarrage arrêt de service - Ajout de service supplémentaire - Surveillance des systèmes - Mise en production. Administration / supervision This solution covers the supervision and the administration of the various elements of the system: - Provisioning of the user accounts - Start of stoppage of service - Addition of additional service - Surveillance of the systems - Put into production.

Modularité de la gamme La passerelle peut être intégrée dans le boîtier infrastructure ou être utilisée de façon indépendante. Bien sûr, l'invention n'est pas limitée aux exemples qui viennent d'être 25 décrits et de nombreux aménagements peuvent être apportés à ces exemples sans sortir du cadre de l'invention. Modularity of the range The gateway can be integrated into the infrastructure box or used independently. Of course, the invention is not limited to the examples which have just been described and many adjustments can be made to these examples without departing from the scope of the invention.

Claims (9)

REVENDICATIONS1. Procédé pour accéder à un système d'information disposé derrière une passerelle informatique, depuis un terminal et via un réseau de communication de type Internet, caractérisé en ce qu'on réalise les étapes suivantes : on ouvre un fichier exécutable depuis le terminal de façon à générer une application cliente qui ouvre un lecteur html, établit une connexion sécurisée avec une application serveur installée dans la passerelle et calcule une signature unique d'identification du terminal, l'application serveur génère et affiche une page web sur le lecteur html, cette page web requérant un code pin ; une fois un code pin saisi, on transmet ce code pin et la signature vers la passerelle, la passerelle se connecte à un serveur d'authentification forte qui génère le cas échéant un mot de passe à usage unique (OTP) après réception du code pin et de la signature, ce mot de passe à usage unique est ensuite envoyé vers la passerelle qui retourne ce même mot de passe accompagné de la signature vers le serveur d'authentification pour ouverture d'une session, le serveur d'authentification autorise ensuite l'accès du terminal au système d'information via la passerelle. REVENDICATIONS1. Method for accessing an information system disposed behind a computer gateway, from a terminal and via an Internet-type communication network, characterized in that the following steps are performed: an executable file is opened from the terminal so as to generate a client application that opens a html reader, establishes a secure connection with a server application installed in the gateway and calculates a unique identification of the terminal, the server application generates and displays a web page on the html reader, this page web requesting a pin code; once a pin code is entered, this pin code is transmitted and the signature to the gateway, the gateway connects to a strong authentication server which, if necessary, generates a one-time password (OTP) after receiving the pin code and the signature, this one-time password is then sent to the gateway that returns the same password accompanied by the signature to the authentication server to open a session, the authentication server then authorizes terminal access to the information system via the gateway. 2. Procédé selon la revendication 1, caractérisé en ce qu'une fois l'accès autorisé, la communication entre le terminal et la passerelle se fait par déport d'affichage dans un tunnel sécurisé. 2. Method according to claim 1, characterized in that once authorized access, the communication between the terminal and the gateway is done by remote display in a secure tunnel. 3. Procédé selon la revendication 1 ou 2, caractérisé en ce qu'une fois l'accès autorisé, la communication entre la passerelle et le système d'information se fait au moyen d'un navigateur installé sur la passerelle. 3. Method according to claim 1 or 2, characterized in that once the authorized access, the communication between the gateway and the information system is done by means of a browser installed on the bridge. 4. Procédé selon l'une quelconque des revendications précédentes, caractérisé en ce qu'une fois l'accès autorisé vers le système d'information, l'application serveur génère et dispose sur le terminal au moins un raccourci, chaque raccourci permettant d'accéder à un navigateur donné installé sur la passerelle.- 20 - 4. Method according to any one of the preceding claims, characterized in that once authorized access to the information system, the server application generates and has on the terminal at least one shortcut, each shortcut allowing access a given browser installed on the gateway. - 20 - 5. Procédé selon la revendication 4, caractérisé en ce que chaque navigateur dans la passerelle est dédié à accéder à un type d'applications du système d'information, ces applications comprenant la navigation Web, des applications publiées ou un bureau du système d'information. 5. Method according to claim 4, characterized in that each browser in the gateway is dedicated to accessing a type of applications of the information system, these applications including web browsing, published applications or a system desktop. information. 6. Procédé selon l'une quelconque des revendications précédentes, caractérisé en ce que le lecteur html est un lecteur spécifique généré à partir de l'exécutable. 6. Method according to any one of the preceding claims, characterized in that the html reader is a specific reader generated from the executable. 7. Procédé selon l'une quelconque des revendications précédentes, caractérisé en ce que la signature est un identifiant élaboré à partir des caractéristiques matérielles et logicielles du terminal. 7. Method according to any one of the preceding claims, characterized in that the signature is an identifier developed from the hardware and software characteristics of the terminal. 8. Procédé selon l'une quelconque des revendications précédentes, caractérisé en ce que le fichier exécutable est disposé dans un moyen de stockage portable connecté au terminal. 8. Method according to any one of the preceding claims, characterized in that the executable file is disposed in a portable storage means connected to the terminal. 9. Procédé selon l'une quelconque des revendications précédentes, caractérisé en ce que l'application serveur est configurée pour exécuter plusieurs sessions, chacune dans un environnement virtuel isolé. 9. A method according to any one of the preceding claims, characterized in that the server application is configured to execute multiple sessions, each in an isolated virtual environment.
FR1103042A 2011-10-06 2011-10-06 METHOD FOR ACCESSING A SYSTEM OF INFORMATION PROVIDED BEHIND A COMPUTER GATEWAY Active FR2981179B1 (en)

Priority Applications (2)

Application Number Priority Date Filing Date Title
FR1103042A FR2981179B1 (en) 2011-10-06 2011-10-06 METHOD FOR ACCESSING A SYSTEM OF INFORMATION PROVIDED BEHIND A COMPUTER GATEWAY
PCT/FR2012/000403 WO2013057391A1 (en) 2011-10-06 2012-10-08 Method for accessing an information system disposed behind a computer gateway

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
FR1103042A FR2981179B1 (en) 2011-10-06 2011-10-06 METHOD FOR ACCESSING A SYSTEM OF INFORMATION PROVIDED BEHIND A COMPUTER GATEWAY

Publications (2)

Publication Number Publication Date
FR2981179A1 true FR2981179A1 (en) 2013-04-12
FR2981179B1 FR2981179B1 (en) 2014-02-14

Family

ID=47263399

Family Applications (1)

Application Number Title Priority Date Filing Date
FR1103042A Active FR2981179B1 (en) 2011-10-06 2011-10-06 METHOD FOR ACCESSING A SYSTEM OF INFORMATION PROVIDED BEHIND A COMPUTER GATEWAY

Country Status (2)

Country Link
FR (1) FR2981179B1 (en)
WO (1) WO2013057391A1 (en)

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2007060016A2 (en) * 2005-11-28 2007-05-31 Koninklijke Kpn N.V. Self provisioning token
WO2010136317A1 (en) * 2009-05-27 2010-12-02 Commonit Method for browsing the internet, recording medium, access server and user station for implementing said method

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2007060016A2 (en) * 2005-11-28 2007-05-31 Koninklijke Kpn N.V. Self provisioning token
WO2010136317A1 (en) * 2009-05-27 2010-12-02 Commonit Method for browsing the internet, recording medium, access server and user station for implementing said method

Non-Patent Citations (3)

* Cited by examiner, † Cited by third party
Title
F5 NETWORKS: "Firepass SSL VPN DATASHEET", WWW.F5.COM, 25 June 2010 (2010-06-25), XP055028324, Retrieved from the Internet <URL:http://www.f5.com/pdf/products/firepass-ds.pdf> [retrieved on 20120529] *
LOGINPEOPLE: "CASE STUDY Strong authentication integration to secure a company's SSL VPN and Webmail accesses in a heterogeneous technical environment.", 1 June 2011 (2011-06-01), XP055027768, Retrieved from the Internet <URL:http://www.infosec.co.uk/ExhibitorLibrary/547/LoginPeople_CaseStudy_VPNSSL_OWA_EN_22.pdf> [retrieved on 20120522] *
NILS GRUSCHKA ET AL: "Browser as a Service (BaaS): Security and Performance Enhancements for the Rich Web", 17TH GI/ITG CONFERENCE ON COMMUNICATION IN DISTRIBUTED SYSTEMS (KIVS'11), 11 March 2011 (2011-03-11), XP055023357, Retrieved from the Internet <URL:http://drops.dagstuhl.de/opus/volltexte/2011/2975/pdf/22.pdf> [retrieved on 20120329], DOI: 10.4230/OASIcs.KiVS.2011.208 *

Also Published As

Publication number Publication date
FR2981179B1 (en) 2014-02-14
WO2013057391A1 (en) 2013-04-25

Similar Documents

Publication Publication Date Title
CN109558721B (en) Method and system for secure single sign-on and conditional access of client applications
EP3008872B1 (en) Method for authenticating a terminal by a gateway of an internal network protected by an entity providing secure access
EP2359302B1 (en) Security apparatus
CN107690793A (en) Micro- VPN tunnellings for mobile platform
CN108028845A (en) Use the mobile device management service of export voucher registered enterprise
CN105379223A (en) Validating the identity of a mobile application for mobile application management
FR2872983A1 (en) FIREWALL PROTECTION SYSTEM FOR A COMMUNITY OF APPLIANCES, APPARATUS PARTICIPATING IN THE SYSTEM AND METHOD FOR UPDATING FIREWALL RULES WITHIN THE SYSTEM
EP2112624A1 (en) Method for managing cryptographic equipment with unified administration
CN113614719A (en) Computing system and method for providing session access based on authentication tokens having different authentication credentials
US20170111269A1 (en) Secure, anonymous networking
WO2009136080A2 (en) System and method for securing a computer comprising a microcore
FR2981178A1 (en) SECURE ACCESS GATEWAY TO AN INFORMATION SYSTEM
EP3549330B1 (en) Method and system for performing a sensitive operation during a communication session
WO2013050674A1 (en) Computer case for securely accessing an information system
FR2981179A1 (en) METHOD FOR ACCESSING A SYSTEM OF INFORMATION PROVIDED BEHIND A COMPUTER GATEWAY
EP2912598B1 (en) Method for downloading at least one software component onto a computing device, and associated computer program product, computing device and computer system
EP3353986A1 (en) Method for secure connection from a client computer device to a computer resource
EP3265948B1 (en) Secure tranfer of authentication information
WO2023247459A1 (en) Method for suspending a certification token for authenticating the establishment of a connection between two items of communication equipment, corresponding devices and computer programs
Yeluri et al. Network security in the cloud
EP4362391A1 (en) Method for managing access of a user to at least one application, associated computer program and system
EP4210277A1 (en) Method for creating a communication channel between a local application and an saas application, and method and system for communication between said applications
EP4340313A1 (en) Trusted virtual machine with exceptional permission for forbidden resource access
FR3031211A1 (en) IP TELEPHONE AUTHENTICATION INFRASTRUCTURE OF AN OWN TOIP SYSTEM BY AN OPEN EAP-TLS SYSTEM
FR3017729A1 (en) REMOTE AUTHENTICATION METHOD

Legal Events

Date Code Title Description
PLFP Fee payment

Year of fee payment: 5

PLFP Fee payment

Year of fee payment: 6

PLFP Fee payment

Year of fee payment: 7

PLFP Fee payment

Year of fee payment: 8

PLFP Fee payment

Year of fee payment: 9

PLFP Fee payment

Year of fee payment: 10

PLFP Fee payment

Year of fee payment: 11

PLFP Fee payment

Year of fee payment: 12

PLFP Fee payment

Year of fee payment: 13