FR3013541A1 - Procede et dispositif pour la connexion a un service distant - Google Patents

Procede et dispositif pour la connexion a un service distant Download PDF

Info

Publication number
FR3013541A1
FR3013541A1 FR1361361A FR1361361A FR3013541A1 FR 3013541 A1 FR3013541 A1 FR 3013541A1 FR 1361361 A FR1361361 A FR 1361361A FR 1361361 A FR1361361 A FR 1361361A FR 3013541 A1 FR3013541 A1 FR 3013541A1
Authority
FR
France
Prior art keywords
service
software module
security
remote service
discovery software
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
FR1361361A
Other languages
English (en)
Other versions
FR3013541B1 (fr
Inventor
Florian Vallee
Nicolas Bousquet
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Idemia France SAS
Original Assignee
Oberthur Technologies SA
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Oberthur Technologies SA filed Critical Oberthur Technologies SA
Priority to FR1361361A priority Critical patent/FR3013541B1/fr
Priority to US14/543,003 priority patent/US9699190B2/en
Publication of FR3013541A1 publication Critical patent/FR3013541A1/fr
Application granted granted Critical
Publication of FR3013541B1 publication Critical patent/FR3013541B1/fr
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0853—Network architectures or network communication protocols for network security for authentication of entities using an additional device, e.g. smartcard, SIM or a different communication terminal
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/12—Discovery or management of network topologies
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0884—Network architectures or network communication protocols for network security for authentication of entities by delegation of authentication, e.g. a proxy authenticates an entity to be authenticated on behalf of this entity vis-à-vis an authentication entity
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/02—Protocols based on web technology, e.g. hypertext transfer protocol [HTTP]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/14—Session management
    • H04L67/141—Setup of application sessions
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/34—Network arrangements or protocols for supporting network services or applications involving the movement of software or configuration parameters 
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/50—Network services
    • H04L67/51—Discovery or management thereof, e.g. service location protocol [SLP] or web services
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/08—Access security
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0281—Proxies

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Telephonic Communication Services (AREA)
  • Telephone Function (AREA)

Abstract

La présente invention concerne le domaine de la connexion à un service distant sécurisé depuis un terminal et notamment de l'établissement d'une connexion entre le service distant sécurisé et un dispositif de sécurité connecté au terminal. Selon l'invention, un dispositif de sécurité comprenant un élément de sécurité est connecté au terminal par un réseau local, physique ou virtuel. Lors d'une tentative d'accès à un service distant sécurisé, un module logiciel est automatiquement téléchargé sur le terminal, sans nécessiter de droits utilisateurs particuliers, depuis le service distant sécurisé pour la découverte et l'interaction avec le dispositif de sécurité. De cette façon, il n'est pas nécessaire d'installer des pilotes ou autre logiciel spécifique pour permettre l'utilisation de l'élément sécurisé lors d'une tentative d'accès à un service distant sécurisé.

Description

La présente invention concerne le domaine de la connexion à un service distant sécurisé depuis un terminal et notamment de l'établissement d'une connexion entre le service distant sécurisé et un dispositif de sécurité connecté au terminal.
Les services distants sécurisés accessibles depuis un terminal de consultation se multiplient. Ces services distants sécurisés sont typiquement des services disponibles sur le réseau de communication Internet mais ne se limitent pas à ce réseau de communication. Ces services distants sécurisés sont utilisés généralement depuis un terminal de consultation également connecté à ce réseau. Ce terminal peut être un ordinateur personnel, un téléphone mobile de type intelligent (smartphone en anglais), une tablette qui est un ordinateur personnel comprenant un écran tactile et typiquement dépourvu de clavier ou tout autre type de terminal connecté à un réseau de communication et permettant à un utilisateur d'interagir avec le service distant sécurisé. Le service distant sécurisé est un ensemble de logiciels hébergé sur un ou plusieurs serveurs. Cet ensemble logiciel est programmé pour recevoir des requêtes provenant du terminal de consultation et y répondre de façon à fournir le service distant sécurisé considéré. Le protocole permettant les échanges entre le terminal de consultation et le service distant sécurisé est typiquement le protocole HTTP (Hyper Text Trans fer Protocol en anglais) et les protocoles associés comme HTTPS pour la version sécurisée. On parle alors de service ou site WEB. Il peut également s'agir d'autres protocoles de communication pouvant être propriétaires.
Le service distant sécurisé peut être authentifié dans le sens qu'il nécessite que l'utilisateur du terminal de consultation s'authentifie pour pouvoir accéder au service. Dans ce cas, le service distant sécurisé comprend typiquement une base d'utilisateurs enregistrés. Lors de l'utilisation du service distant sécurisé, l'utilisateur est invité à fournir une ou plusieurs informations d'authentification visant à permettre de lier l'accès à l'un des utilisateurs enregistrés. L'authentification peut reposer sur l'entrée par l'utilisateur d'un nom et d'un mot de passe associé qui seront envoyés au service distant sécurisé. L'authentification est alors valide si le mot de passe correspond à celui enregistré pour le nom correspondant dans la base d'utilisateurs du service distant sécurisé. Des systèmes d'authentification plus fort peuvent être utilisés, tels les systèmes basés sur la biométrie comme la reconnaissance d'une empreinte digitale ou de l'iris de l'ceil ou autres. Il est également possible d'utiliser des certificats numériques basés sur un système cryptographique, chaque certificat comprenant une clé publique et une clé privée. L'authentification est dite multi facteurs si elle nécessite au moins deux informations d'authentification appartenant typiquement à deux catégories différentes. Par exemple, il est possible d'associer un mot de passe et une empreinte digitale.
Les communications entre le terminal de consultation et le service distant sécurisé peuvent être en clair, c'est-à-dire que les informations sont transmises telles qu'elles. Elles peuvent également être chiffrées. Le chiffrement peut être basé sur la connaissance d'un secret partagé, par exemple DH (Diffie-Hellman) ou DES (Data Encryption Standard en anglais) entre le terminal de consultation et le service distant sécurisé servant au chiffrement et au déchiffrement des informations transmises ou basés sur le système de certificats numérique à clés privée et publique. On parle alors de chiffrement asymétrique, par exemple RSA (Rivest, Shamir et Adleman).
Lorsque le chiffrement est tel qu'il garantisse qu'un tiers sur le chemin des informations est incapable de prendre connaissance des informations échangées ni de modifier ou d'insérer des informations dans le flux échangé, on parle de tunnel chiffré ou de réseau privé virtuel (VPN). En effet, dans ce cas, tout se passe comme si un lien physique unique était utilisé pour la communication entre les deux entités échangeant des informations chiffrées.
Les systèmes cryptographiques incluant les certificats numériques peuvent être mis en oeuvre par des éléments sécurisés pouvant prendre la forme de circuits spécialisés protégés contre des attaques. Ces éléments sécurisés se présentent généralement sous la forme d'une carte à puce ou d'un circuit spécialisé du même type que la puce de la carte à puce intégré au circuit d'un dispositif de traitement de données. Il est connu d'utiliser une carte à puce contenant, par exemple, un certificat numérique pour s'authentifier et/ou chiffrer la communication entre un terminal de consultation et un service distant sécurisé. Typiquement, la carte à puce est introduite dans un lecteur de carte branché sur le terminal. Toutefois, cette solution implique typiquement l'installation de pilotes spécifiques sur le terminal de consultation. De plus, l'installation et la configuration de logiciels spécifiques (middleware en anglais) est également souvent nécessaire. Outre le fait que l'utilisateur n'ait pas toujours les droits nécessaires à ces installations sur le terminal utilisateur pour des raisons de sécurité, celui-ci voit souvent ces opérations comme complexes, problématiques et intrusives. La présente invention a pour but de résoudre les inconvénients précités. Selon l'invention, un dispositif de sécurité comprenant un élément de sécurité est connecté au terminal par un réseau local, physique ou virtuel. Lors d'une tentative d'accès à un service distant sécurisé, un module logiciel est automatiquement téléchargé sur le terminal, sans nécessiter de droits utilisateurs particuliers, depuis le service distant sécurisé pour la découverte et l'interaction avec le dispositif de sécurité. De cette façon, il n'est pas nécessaire d'installer des pilotes ou autre logiciel spécifique pour permettre l'utilisation de l'élément sécurisé lors d'une tentative d'accès à un service distant sécurisé.
L'invention concerne un procédé d'établissement d'une connexion entre un service réseau de sécurité hébergé par un dispositif de sécurité connecté à un terminal de consultation et un service distant lors de la consultation dudit service distant par ledit terminal de consultation, caractérisé en ce qu'il comporte les étapes suivantes : une étape de transmission d'un module logiciel de découverte par le service distant au terminal de consultation, en réponse à une requête émise par ledit terminal de consultation; une étape de découverte, par le module logiciel de découverte reçu exécuté sur ledit terminal de consultation, d'au moins un service réseau de sécurité disponible sur un réseau local ; une étape d'établissement d'une première connexion, par le module logiciel de découverte reçu exécuté sur ledit terminal de consultation, entre celui-ci et le service réseau de sécurité ; et une étape d'établissement, d'une seconde connexion, par le module logiciel de découverte reçu exécuté sur ledit terminal de consultation, entre celui-ci et le service distant, le module logiciel de découverte servant alors de relai entre la première et la seconde connexion. Ainsi il est possible de sécuriser l'accès à un service distant avec un dispositif de sécurité en minimisant l'impact sur l'expérience utilisateur.
Selon un mode de réalisation particulier de l'invention, le procédé comporte en outre, par le module logiciel de découverte reçu exécuté sur ledit terminal de consultation : une étape d'envoi d'une liste des services réseau de sécurité découverts au service distant ; et une étape de réception d'une information désignant un service réseau de sécurité sélectionné par ledit service distant parmi cette liste, la première connexion étant alors établie avec le service réseau de sécurité sélectionné. Ainsi, le service peut choisir le dispositif de sécurité à utiliser s'il y en a plusieurs.
Selon un mode de réalisation particulier de l'invention, le procédé comporte en outre, par le module logiciel de découverte reçu exécuté sur ledit terminal de consultation : une étape de validation des services réseau découverts par une tentative de connexion à ces services réseau de sécurité. Ainsi, on s'assure du bon fonctionnement des services réseau ayant répondu. Selon un mode de réalisation particulier de l'invention, le procédé comporte en outre, par le module logiciel de découverte reçu exécuté sur ledit terminal de consultation : une étape de réception d'un ensemble de paramètres lors de ladite tentative de connexion à ces services réseau de sécurité par le module logiciel de découverte ; et une étape d'ajout des paramètres reçus à la liste des services réseau de sécurité découverts. Ainsi, il est possible de déterminer des paramètres pour la connexion entre le service distant et le dispositif de sécurité. Selon un mode de réalisation particulier de l'invention, la liste des services réseau de sécurité découverts envoyée au service distant est réduite aux seuls services réseau validés.
Ainsi, le service distant ne peut pas sélectionner un service réseau non valide. Selon un mode de réalisation particulier de l'invention, le procédé comporte en outre, par le module logiciel de découverte reçu exécuté sur ledit terminal de consultation : une étape de stockage local sur le terminal des paramètres d'établissement des première et seconde connexions. Ainsi, il est possible de restaurer la connexion sans refaire les étapes de 30 découverte.
Selon un mode de réalisation particulier de l'invention, les première et seconde connexions établies par le module logiciel de découverte reçu exécuté sur ledit terminal de consultation sont chiffrées.
Ainsi, la sécurité de la communication entre le service distant est améliorée. Selon un mode de réalisation particulier de l'invention, le procédé comporte en outre : une étape de chiffrement de bout en bout des première et seconde connexions par le service distant et le service réseau. Ainsi, la sécurité est améliorée, même si le terminal venait à être corrompu par un logiciel malveillant.
Selon un mode de réalisation particulier de l'invention, l'étape de transmission du module logiciel de découverte comporte : une étape d'insertion de ce module au sein d'une page WEB sous la forme d'un programme interprété.
Ainsi le transfert est automatique et transparent pour l'utilisateur. Selon un mode de réalisation particulier de l'invention, le module est inséré dans un cadre caché.
Ainsi, la connexion établie devient résistante à un changement de page de l'utilisateur. Selon un mode de réalisation particulier de l'invention, l'étape de transmission du module logiciel de découverte comporte : une étape de 30 transmission de ce module sous la forme d'un module d'extension d'un navigateur WEB.
Ainsi, d'éventuelles restrictions appliquées à un module en langage interprété, typiquement dans les accès aux réseaux locaux, peut être contournée.
Selon un mode de réalisation particulier de l'invention, le service réseau de sécurité est hébergé sur un téléphone mobile. L'invention concerne également un dispositif pour l'hébergement d'un service caractérisé en ce qu'il comporte : un module logiciel de découverte ; des moyens pour transmettre le module logiciel de découverte à un terminal de consultation, en réponse à une requête d'accès reçue dudit terminal de consultation ; le module logiciel de découverte comprenant, destinés à être exécuté sur le terminal : des moyens pour découvrir au moins un service réseau de sécurité disponible sur un réseau local ; des moyens d'établissement d'une première connexion avec le service réseau de sécurité ; et des moyens d'établissement d'une seconde connexion avec le service hébergé, le module logiciel de découverte servant alors de relai entre la première et la seconde connexion.
Selon un mode de réalisation particulier de l'invention, le dispositif comporte en outre au sein du module logiciel de découverte : des moyens pour envoyer une liste des services réseau de sécurité découverts au service distant ; et des moyens pour recevoir une information désignant un service réseau de sécurité sélectionné par ledit service distant parmi cette liste, la première connexion étant alors établie avec le service réseau de sécurité sélectionné. Selon un mode de réalisation particulier de l'invention, le dispositif comporte en outre au sein du module logiciel de découverte : des moyens pour 30 valider des services réseau découverts par une tentative de connexion à ces services réseau de sécurité.
L'invention concerne également un programme d'ordinateur comprenant des instructions adaptées à la mise en oeuvre de chacune des étapes du procédé selon l'invention lorsque ledit programme est exécuté sur un ordinateur.
L'invention concerne également un moyen de stockage d'informations, amovible ou non, partiellement ou totalement lisible par un ordinateur ou un microprocesseur comportant des instructions de code d'un programme d'ordinateur pour l'exécution de chacune des étapes du procédé selon l'invention. Dans un mode particulier de réalisation, les différentes étapes du procédé précité sont déterminées par des instructions de programmes d'ordinateurs.
En conséquence, l'invention vise aussi un programme d'ordinateur sur un support d'informations, ce programme étant susceptible d'être mis en oeuvre par un microprocesseur, ce programme comprenant des instructions adaptées à la mise en oeuvre des étapes du procédé tel que mentionné ci-dessus.
Ce programme peut utiliser n'importe quel langage de programmation, et être sous la forme de code source, code objet, ou de code intermédiaire entre code source et code objet, tel que dans une forme partiellement compilée, ou dans n'importe quelle autre forme souhaitable.
L'invention vise aussi un support d'informations lisible par un microprocesseur, et comprenant des instructions d'un programme d'ordinateur tel que mentionné ci-dessus.
Le support d'informations peut être n'importe quelle entité ou dispositif capable de stocker le programme. Par exemple, le support peut comprendre un moyen de stockage, tel qu'une ROM, par exemple une ROM de microcircuit, ou encore un moyen d'enregistrement magnétique, par exemple un disque dur, une mémoire flash ou encore un moyen d'enregistrement optique, par exemple CD, DVD ou Blu-ray.
D'autre part, le support d'informations peut être un support transmissible tel qu'un signal électrique ou optique, qui peut être acheminé via un câble électrique ou optique, par radio ou par d'autres moyens. Le programme selon l'invention peut être en particulier téléchargé sur une plateforme de stockage d'un réseau de type Internet.
Alternativement, le support d'informations peut être un circuit intégré dans lequel le programme est incorporé, le circuit étant adapté pour exécuter ou pour être utilisé dans l'exécution du procédé en question.
Le support d'informations et le programme d'ordinateur précités présentent des caractéristiques et avantages analogues au procédé qu'ils mettent en oeuvre. D'autres particularités et avantages de l'invention apparaîtront encore dans la description ci-après. Aux dessins annexés, donnés à titre d'exemples non limitatifs : - La Figure 1 représente schématiquement un dispositif de traitement de données implémentant un élément sécurisé; - La Figure 2 représente une carte à microcircuit qui constitue un exemple de dispositif de traitement de données incluant un élément de sécurité tel que représenté à la figure 1 ; - La Figure 3 illustre l'architecture logicielle des différents éléments du système selon un mode de réalisation de l'invention ; - La Figure 4 illustre les échanges entre les éléments du système lors de l'établissement d'une connexion sécurisée entre le service distant sécurisé et l'élément sécurisé selon un mode de réalisation de l'invention.
La Figure 1 représente schématiquement un dispositif de traitement de données 40 implémentant un élément sécurisé. Ce dispositif 40 comprend un microprocesseur 10, auquel est associée d'une part une mémoire vive 60, par exemple au moyen d'un bus 70, et d'autre part une mémoire non volatile 20 (par exemple du type EEPROM), par exemple à travers un bus 50. Le dispositif de traitement de données 40, et précisément le microprocesseur 10 qu'il incorpore, peuvent échanger des données avec des dispositifs extérieurs au moyen d'une interface de communication 30.
On a schématiquement représenté sur la Figure 1 la transmission d'une donnée d'entrée X reçue d'un dispositif extérieur (non représenté) et transmise de l'interface de communication 30 au microprocesseur 10. De manière similaire, on a représenté la transmission d'une donnée de sortie Y du microprocesseur 10 vers l'interface de communication 30 à destination d'un dispositif extérieur. Cette donnée de sortie Y est issue d'un traitement de données par le microprocesseur 10, généralement sur la donnée d'entrée X à l'aide d'une donnée secrète 80 interne au système, par exemple une clé privée.
Bien que, pour l'illustration, les données d'entrée et les données de sortie figurent sur deux flèches différentes, les moyens physiques qui permettent la communication entre le microprocesseur 10 et l'interface 30 pourront être réalisés par des moyens uniques, par exemple un port de communication série ou un bus.
Le microprocesseur 10 est apte à exécuter un logiciel (ou programme d'ordinateur) qui permet au dispositif de traitement de données 40 d'exécuter un procédé conforme à l'invention dont des exemples sont donnés dans la suite. Le logiciel est composé d'une série d'instructions de commande du microprocesseur 10 qui sont par exemple stockées dans la mémoire 20. 3 0 1 3 5 4 1 11 En variante, l'ensemble microprocesseur 10 - mémoire non-volatile 20 - mémoire vive 60 peut être remplacé par un circuit à application spécifique qui comprend alors des moyens de mise en oeuvre des différentes étapes du procédé de traitement de données. 5 La Figure 2 représente une carte à microcircuit qui constitue un exemple de dispositif de traitement de données incluant un élément de sécurité tel que représenté à la Figure 1. L'interface de communication 30 est dans ce cas réalisée au moyen des contacts de la carte à microcircuit. La carte à 10 microcircuit incorpore un microprocesseur 10, une mémoire vive 60 et une mémoire non volatile 20 comme cela est représenté sur la Figure 1. Cette carte à microcircuit est par exemple conforme à la norme ISO 7816 et munie d'un microcontrôleur sécurisé qui regroupe le microprocesseur 15 (ou CPU) 20 et la mémoire vive 60. En variante, le dispositif de traitement de données peut être une clef USB, un document ou un support d'informations papier comportant dans l'une de ses feuilles un microcircuit associé à des moyens de communication sans 20 contact. Il s'agit de manière préférée d'une entité électronique portable ou de poche. Il peut également s'agir d'un circuit dédié à la sécurité (secure element en anglais) pouvant être intégré directement au sein d'un appareil, par exemple soudé dans un téléphone mobile. 25 Lorsqu'un terminal de consultation cherche à établir une connexion à un service distant sécurisé, de manière générale, un aspect de l'invention consiste à fournir un module logiciel audit terminal par ledit service. Ce module logiciel est alors téléchargé automatiquement par le terminal de consultation et exécuté. Ce module logiciel est chargé de lancer une découverte sur le ou les 30 réseaux locaux auxquels le terminal de consultation est connecté. Cette découverte vise à identifier le ou les dispositifs de sécurité connectés à ces réseaux locaux ou plus précisément des services réseau de sécurité hébergés 3 0 1 3 5 4 1 12 par le dispositif de sécurité. Un service réseau est un ensemble de fonctionnalités offertes par un noeud du réseau. Ce service est typiquement identifiable par un nom. Il dispose également des capacités pour s'identifier sur le réseau en réponse à une requête de découverte. La liste des services réseau 5 de sécurité découverts est alors transmise au service distant sécurisé qui en sélectionne un. La communication est alors établie entre le service distant sécurisé et le service réseau de sécurité intégré au dispositif de sécurité via le module logiciel téléchargé sur le terminal de sécurité de façon à établir un tunnel. Ce tunnel peut être avantageusement chiffré de bout en bout par le 10 service distant et le service réseau du dispositif de sécurité. Ce tunnel est ensuite utilisé en fonction des besoins du service distant sécurisé, typiquement pour l'authentification ou le chiffrement des communications entre le terminal de consultation et le service distant sécurisé. 15 Le dispositif de sécurité intègre un élément de sécurité tel que celui décrit à la Figure 1 qui implémente typiquement un système de cryptographie et au moins un certificat numérique associé à l'utilisateur du service distant sécurisé. L'élément de sécurité peut également prendre la forme d'une carte à puce telle que celle illustrée Figure 2. Cette carte à puce peut être insérée au 20 dispositif de sécurité dans un lecteur de carte. Elle peut également être connectée à ce dispositif, par exemple par une liaison sans fil du type NFC. Il intègre également au moins un moyen d'établir une connexion à un réseau local pour permettre une communication avec le terminal de consultation. Ce réseau local peut être établi par exemple au-dessus d'un lien filaire connectant 25 directement le dispositif au terminal. Par exemple, il peut être connecté par un lien série de type USB (Universal Serial Bus en anglais). Il peut également s'agir d'un lien filaire permettant la connexion à un réseau local auquel le terminal est également connecté, par exemple un lien Ethernet ou encore un lien IEEE 1394 ou autre. Il peut également s'agir d'un lien radio, par exemple du 30 type Bluetooth, Wifi ou encore une connexion en champ proche du type NFC (Near Field Communication en anglais). Quel que soit le lien physique établi, une communication réseau typiquement du type IF (Internet Protocol en anglais) est établie sur ce lien physique pour permettre la communication entre le terminal et le dispositif de sécurité à l'aide des protocoles courants sur ce type de réseau. En particulier, les protocoles de découverte du type SSDP (Simple Service Discovery Protocol en anglais) intégré au standard UPnP (Universal Plug and Play en anglais) ou encore alternativement DNS-SD (Domain Name Service based Service Discovery en anglais) défini par la RFC 6763 sont implémentés au sein du dispositif de sécurité. Les protocoles de communications WEB tels que HTTP ou HTTPS sont également typiquement implémentés au sein du dispositif de sécurité. Ces protocoles sont donnés à titre d'exemples et d'autres protocoles peuvent être utilisés pour effectuer les mêmes fonctions. Lorsque le dispositif de sécurité est connecté au terminal ou au réseau local sur lequel le terminal est également connecté, sa connexion réseau est automatiquement configurée. Cette configuration peut, par exemple, se faire grâce à un protocole de configuration automatique tel que le protocole Zeroconf défini par la RFC 5889. La configuration peut également être obtenue d'un serveur de configuration DHCP (Dynamic Host Control Protocol en anglais) disponible sur le réseau local ou même directement embarqué sur le dispositif de sécurité. Ce dernier apparaît donc sur le réseau local comme un noeud réseau pouvant communiquer avec le terminal de consultation et ceci sans aucune intervention de l'utilisateur. Le dispositif de sécurité implémente également un service réseau de sécurité permettant de répondre aux exigences de sécurité du service distant sécurisé. Ce service réseau de sécurité implémente typiquement les fonctions d'authentification et/ou de chiffrement nécessaires aux besoins de sécurité du service distant sécurisé. Il s'appuie typiquement pour ce faire sur le système de cryptographie intégré dans l'élément sécurisé du dispositif de sécurité.
L'accès au service distant sécurisé est fait depuis un client logiciel sur le terminal de consultation. Ce client est typiquement un navigateur WEB mais peut également être tout type de logiciel permettant une communication avec le service distant sécurisé. Lorsque ce client tente d'accéder au service distant sécurisé ou à certaines fonctionnalités du service qui requièrent des besoins de sécurité, un module logiciel est alors proposé au client par le service distant sécurisé. Ce module peut prendre la forme d'un programme interprété (script en anglais) typiquement exprimé en langage Javascript intégré au sein d'une page WEB. Dans certains modes de réalisation, typiquement pour contourner certaines limitations dans l'accès aux ressources réseaux du terminal aux programmes interprétés téléchargés, le module logiciel peut également être proposé sous la forme d'un module d'extension du navigateur (plugin en anglais). Généralement dans ce cas, le téléchargement du module d'extension nécessite une validation de la part de l'utilisateur. Ce mode de réalisation est le seul qui nécessite une intervention de l'utilisateur. Celle-ci est alors limitée à cette validation et reste bien plus légère que l'installation de pilotes. Alternativement, un mode mixte peut également être utilisé. Dans un tel mode, un module d'extension peut être utilisé pour fournir les fonctionnalités d'accès réseau nécessaires. Un module logiciel interprété étant introduit dans le contenu du service utilise alors ces fonctionnalités du module d'extension. De cette façon, le transfert est automatique et transparent pour l'utilisateur.
Avantageusement, le module logiciel interprété peut être inséré dans un cadre caché (Hidden Frame en anglais) différent du cadre du contenu WEB. Ainsi, la connexion reste active lors d'un changement de page par l'utilisateur. Une fois ce module téléchargé, il est alors exécuté par le client logiciel du terminal utilisateur. Le module se charge alors de lancer une phase de découverte des dispositifs de sécurité susceptible de remplir la fonction complémentaire de sécurité requise par le service distant sécurisé. Cette phase de découverte (discovery en anglais) consiste typiquement en l'envoi en mode de diffusion (broadcast en anglais) de messages de découverte incluant une désignation du service réseau recherché. Ce dernier est typiquement désigné par son nom. Ces messages sont envoyés sur l'ensemble des interfaces réseau actives du terminal de consultation et donc sur l'ensemble des réseaux locaux, physique et virtuels, basés sur une interface USB ou autre, auxquels ce dernier est connecté. Tous les noeuds du réseau possédant le service réseau de sécurité désigné dans les messages de découverte vont répondre à ce message sous la forme d'un message de réponse renvoyé au module téléchargé sur le terminal. Ce message de réponse contient typiquement l'identification du noeud réseau répondant, du service réseau disponible et éventuellement de paramètres complémentaires liés à ce service réseau.
Le module reçoit l'ensemble des réponses émises par les différents noeuds de réseau hébergeant un service réseau correspondant au service réseau recherché par la phase de découverte. Si aucune réponse n'est reçue, le service distant sécurisé ne peut accéder à un service réseau de sécurité requit et ne permettra typiquement pas l'accès à son service distant sécurisé ou à certaines de ses fonctionnalités ou ressources. Plusieurs tentatives peuvent être faites avant de déterminer une absence de service réseau de sécurité. Avantageusement, le module logiciel de sécurité procède à une étape de validation des services réseau de sécurité découverts. Cette validation peut consister en un test d'accès. Dans ce cas, la liste des services réseau découverts est réduite aux services validés. Des données issues de l'ensemble des réponses, ou des réponses validées, sont envoyées vers le service distant sécurisé. Celui-ci sélectionne l'un des noeuds ayant répondu à la découverte. Cette sélection se fait en fonction de l'identité du noeud ayant répondu et éventuellement en fonction des paramètres supplémentaires fournis dans les réponses. Le résultat de cette sélection est alors renvoyé vers le module téléchargé sur le terminal de consultation. Deux liens de communication sont alors établis, un premier entre le service distant sécurisé et le module téléchargé et un second entre le module téléchargé et le dispositif de sécurité sélectionné, plus précisément entre le module téléchargé et l'élément de sécurité intégré à ce module. Le module fonctionne alors en mode relai entre ces deux liens. Ce fonctionnement s'effectue typiquement de manière transparente et automatique. Ainsi, un lien de communication directe est établi au travers de ces deux liens entre le service réseau sécurisé et l'élément de sécurité intégré dans le dispositif de sécurité. Avantageusement, les données sont chiffrées sur ces liens pour fournir un tunnel sécurisé entre le service distant sécurisé et l'élément de sécurité. Le chiffrement peut être effectué au niveau de chacune des connexions et/ou de bout en bout entre le service distant sécurisé et l'élément de sécurité. Une fois la communication établie entre le service distant sécurisé et l'élément de sécurité, le service peut communiquer avec celui-ci pour les besoins du service. Ces besoins peuvent être diverses et ils dépendent du service distant sécurisé. Typiquement ils comprennent l'authentification de l'utilisateur à l'aide d'un certificat numérique intégré au sein de l'élément de sécurité. Il peut également comprendre des services de chiffrement et déchiffrement par l'élément de sécurité ou autres selon le service distant sécurisé. Ainsi, une connexion est établie entre le service distant sécurisé et un élément de sécurité connecté à un terminal de consultation dudit service.
Cette connexion est établie sans nécessiter l'installation par l'utilisateur de pilotes spécifiques à l'élément de sécurité ou logiciels supplémentaires sur le terminal. Elle s'établie de manière totalement transparente ou en ne nécessitant qu'une validation par l'utilisateur pour le mode de réalisation basé sur un module d'extension du navigateur. Elle permet d'apporter un haut niveau de sécurité à un service distant sécurisé sur la base d'un élément de sécurité tout en préservant la facilité d'utilisation du service distant sécurisé. La Figure 3 illustre l'architecture logicielle des différents éléments du système selon un mode de réalisation de l'invention.
Dans ce mode de réalisation de l'invention le service distant sécurisé 1010 est un service WEB hébergé sur un ou plusieurs serveurs (cluster en 301 3 5 4 1 17 anglais) connectés à un réseau de données, typiquement le réseau Internet. Ce service distant sécurisé comprend un serveur WEB 1101 pour la réception de requêtes et la génération des messages de réponses à ces requêtes. Le service héberge du contenu 1102 destiné à être utilisé par le serveur WEB 5 1101 pour générer ses réponses aux requêtes. Ce contenu définit le service distant sécurisé offert. Le service distant sécurisé comprend également un module logiciel de découverte 1103 selon l'invention typiquement écrit en langage interprété ou script pour gérer l'accès distant. Le service distant sécurisé comprend également un service 1104 pour l'établissement et la 10 gestion de communications chiffrées ou tunnels avec des tiers au travers du réseau Internet. Le service distant sécurisé est géré par un service central 1105 (backend en anglais) qui est chargé, entre autre, de la gestion des comptes utilisateurs et de leurs droits d'accès à tout ou partie du service distant sécurisé. 15 Le terminal de consultation 1020 comprend un navigateur 1210. Il s'agit typiquement d'un navigateur WEB, tels que Opera (marque déposée), Safari (marque déposée), Firefox (marque déposée), Internet Explorer (marque déposée) ou autres. Ce navigateur est utilisé comme client de consultation du service distant sécurisé 1010. Il comprend typiquement un interpréteur de 20 langage interprété 1211, typiquement un moteur d'exécution Javascript (Javascript engine en anglais), lui permettant d'exécuter localement sur le terminal des modules logiciels téléchargés depuis un service WEB, par exemple, le module de découverte 1103. Il peut également comprendre dans certains modes de réalisation un module 1212 de gestions d'extensions. Ces 25 extensions sont des modules logiciels qu'il est possible de télécharger et qui viennent s'interfacer avec le navigateur. Ces modules d'extension viennent enrichir les fonctionnalités du navigateur. Dans certains modes de réalisation, le module de découverte 1103 peut être offert sous forme d'un tel module d'extension. Avantageusement, le navigateur intègre une interface logicielle 30 (API pour Application Programming Interface en anglais) NSD (Network Service Discovery en anglais) telle que définie par le consortium W3C (World Wide Web Consortium en anglais). Cette interface logicielle permet la gestion de paquets 301 3 5 4 1 18 de découverte de services réseau sur les différentes interfaces réseaux actives du terminal. La Figure 3 illustre la pile réseau 1220, typiquement une pile de réseau virtuel implémentée sur le lien physique 1230 connectant le terminal et le dispositif de sécurité. Le navigateur communique avec la pile réseau par le 5 lien 1240. Par exemple, dans le cas d'une connexion USB du dispositif de sécurité, le standard USB intègre une émulation Ethernet qui peut être mise à profit par des piles réseaux intégrées dans les systèmes d'exploitation comme Linux (marque déposée) ou Mac OS (marque déposée). Dans le cas du système d'exploitation Windows (marque déposée), un module RNDIS (Remote 10 Network Driver Interface Specification en anglais) permet d'offrir le même service. Ces piles sont supportées par défaut par les systèmes d'exploitation. Cette communication réseau peut également être basée sur un lien radio comme Bluetooth avec le profil BT-PAN (Personal Area Networking en anglais) ou encore directement en WiFi. Selon le mode de réalisation, cette interface 15 réseau peut être commune avec l'interface réseau, typiquement Wifi ou Ethernet, utilisée par le terminal pour accéder à Internet, ou elle peut être différente, typiquement dans le cas USB ou Bluetooth. Le dispositif de sécurité 1003 comporte un ensemble de composants 20 intégrés 1030. Cet ensemble comprend un élément de sécurité 1390 qui comprend de la mémoire sécurisée pour les clés cryptographiques 1391, un module de calcul cryptographique 1392 et une application (type Applet) chargée de l'implémentation des fonctionnalités du service réseau. Ce sont les fonctionnalités de sécurité requises par le service distant sécurisé et offertes 25 sous la forme d'un service réseau détectable. Le dispositif de sécurité comprend également un pilote 1394 pour la gestion des fonctionnalités de l'application 1393. Cette application peut dialoguer avec un service de gestion 1313 d'une connexion sécurisée ou tunnel. Avantageusement, le dispositif comprend également un serveur WEB interne 1310 couplé avec un serveur 30 1311 typiquement supportant le procédé CORS (Cross Origin Resource Sharing en anglais) comme détaillé plus bas. Le dispositif de sécurité comprend de la mémoire intégrée 1321 servant au fonctionnement de ces modules logiciel. Avantageusement, il peut également disposer d'un module de mémoire amovible 1322 permettant d'augmenter ses capacités. Il dispose également éventuellement d'une interface homme machine 1323. Cette interface comporte typiquement un écran et/ou une série d'indicateurs lumineux permettant d'indiquer des informations pour l'utilisateur. Elle peut également comprendre un ensemble de boutons permettant à ce dernier d'interagir avec le dispositif. De façon à permettre une authentification supplémentaire de l'utilisateur, le dispositif peut être doté de capteurs biométriques 1324, tels qu'un lecteur d'empreinte digitale, un lecteur d'iris ou autres. Avantageusement, le dispositif comporte également un module de communication radio en champ proche de type NFC 1325. Pour la communication avec d'autres dispositifs, typiquement le terminal de consultation, le dispositif de sécurité dispose d'une interface physique 1301 qui est généralement le pendant de l'interface physique du terminal 1230. Cette interface physique supporte une pile réseau 1302 qui est également typiquement le pendant de l'interface réseau 1220 du terminal. Les mêmes technologies que celles décrites pour le terminal peuvent être ici utilisées. Avantageusement, le dispositif comporte un serveur de configuration dynamique DHCP 1321 qui permet la configuration du réseau local créé entre le terminal de consultation et le dispositif de sécurité. Ceci est particulièrement utile lorsque le terminal de consultation et le dispositif de sécurité communiquent en établissant un réseau local virtuel point à point ce qui est le cas lors de l'utilisation de la technologie Bluetooth ou USB par exemple. Dans le cas où le dispositif de sécurité et le terminal de consultation sont connecté par un réseau local préexistant, typiquement le cas d'un réseau Wifi, le point d'accès Wifi peut alors gérer la configuration réseau du dispositif de sécurité. Le dispositif de sécurité dispose enfin d'un service de découverte 1320 qui lui permet de recevoir et de répondre à des requêtes de découverte. Ce dispositif de sécurité peut être implémenté sous la forme d'un appareil spécifique. Dans certains modes de réalisation, il peut également s'agir d'un téléphone intelligent intégrant un élément de sécurité ou connecté, par exemple par une liaison NFC, à un élément de sécurité. Le service réseau de sécurité est alors typiquement implémenté sous la forme d'une application tournant sur le 301 3 5 4 1 20 téléphone. Ce téléphone peut se connecter au terminal via Wifi ou Blutooth, technologies couramment implémentées dans les téléphones aujourd'hui, ou la technologie USB également couramment implémentée dans les téléphones. 5 Le terminal de consultation est connecté au service distant par un lien de communication 1060, typiquement une connexion Internet. Il est également connecté au dispositif sécurisé par un lien réseau local 1050. Une connexion sécurisée ou tunnel 1070 est établi par le procédé selon l'invention entre le service tunnel 1104 du service distant et le service tunnel 1313 du 10 dispositif sécurisé passant par le module logiciel 1103 téléchargé et typiquement exécuté par le module JavaScript 1211. La Figure 4 illustre les échanges entre les éléments du système lors de l'établissement d'une connexion sécurisée entre le service distant sécurisé 15 et l'élément sécurisé selon un mode de réalisation de l'invention. Ces échanges interviennent entre le service distant sécurisé, le client de consultation exécuté par le terminal de consultation et le dispositif de sécurité 1003. Au sein du dispositif de sécurité les échanges sont décrits entre le service de découverte, le service WEB embarqué et l'élément de sécurité. 20 Lors d'une consultation du service distant sécurisé par le client de consultation depuis le terminal de consultation une requête (1) est envoyée par le client de consultation au service distant sécurisé. Cette requête (1) fait appel au sein du service distant sécurisé à des ressources ou à une fonctionnalité 25 nécessitant une opération de sécurité. Cette opération de sécurité peut, par exemple, être une authentification de l'utilisateur, une opération de signature numérique ou une opération de chiffrement ou de déchiffrement d'opération. Pour pouvoir exécuter cette opération de sécurité, le service distant sécurisé requiert le service de l'élément sécurisé intégré au sein du dispositif de sécurité. 30 Cette requête (1) est typiquement une requête HTTP ou HTTPS. L'injection du module logiciel de découverte peut être fait à la demande lorsque la fonctionnalité de sécurité est requise ou dès le début de la consultation pour être disponible ensuite et améliorer ainsi le temps de réponse. Il peut arriver que dans certains cas, le module logiciel de découverte soit déjà présent, par exemple il peut avoir été téléchargé lors d'un précédent accès à une ressource nécessitant le service réseau de sécurité.
Le module logiciel de découverte est alors téléchargé sur le terminal de consultation au sein du client de consultation lors de l'étape (2). Ce téléchargement est typiquement implémenté par une insertion du module en langage interprété au sein d'une page du contenu WEB servi par le service distant. Il peut également s'agir de l'offre d'installation du module logiciel de découverte sous la forme d'un module d'extension ou encore d'une combinaison entre un module en langage interprété et un module d'extension le complétant. Une fois téléchargé, ce module logiciel de découverte est exécuté par le client de consultation.
Pour pouvoir fonctionner le module de découverte logiciel doit pouvoir accéder à une interface de programmation permettant l'envoi de paquets de découverte vers les réseaux locaux connectés au terminal. Cette interface peut être typiquement l'interface NSD 1213 sur le Figure 3. Si le module identifie qu'il ne dispose pas de cet accès, il peut alors proposer le téléchargement d'un module d'extension offrant les mêmes fonctionnalités que le module logiciel de découverte et qui n'est pas soumis aux mêmes limitations qu'un module interprété par le client de consultation.
Le module de découverte lance alors une phase de découverte sur l'ensemble des interfaces réseaux actives du terminal de consultation. Cette phase de découverte consiste à envoyer des messages de découverte (3) en mode de diffusion sur l'ensemble de ces réseaux. Le message de découverte est alors reçu par le dispositif de sécurité 1003 et est géré par le service de découverte. Le service de découverte répond alors à la requête de découverte par le message (4) qui contient les paramètres relatifs au service réseau de sécurité implémenté par le dispositif et sur la façon de s'y connecter. Ces 3 0 13 54 1 22 paramètres comportent typiquement le nom du service réseau, son adresse IF et un numéro de port associé. Avantageusement, ces paramètres intègrent une clé cryptographique pouvant servir à sécuriser la communication avec le dispositif de sécurité. Le message de réponse peut, par exemple, être envoyé 5 par un appel CORS AJAX au serveur WEB embarqué. Une fois que le client de consultation a récupéré l'ensemble des réponses, celles-ci sont passées au module logiciel de découverte qui possède donc une liste des noeuds du réseau qui possèdent le service réseau de 10 sécurité recherché ainsi qu'un moyen d'y accéder. Ce moyen consiste typiquement en une adresse IF et un numéro de port associé éventuellement associé au nom du service. Avantageusement, le module logiciel de découverte effectue alors 15 une étape de pré-sélection des services réseau découverts. Pour ce faire, il tente d'accéder à ces services, ce sont les échanges (5) de la Figure 4. Du fait de la politique de sécurité généralement intégrée dans les navigateurs modernes qui interdit aux requêtes HTTP de sortir de leur domaine, il est possible que le service réseau de sécurité ne soit pas accessible. Cette 20 limitation peut être contournée par l'utilisation de requête HTTP utilisant la technologie CORS (Cross-Origin Ressource Sha ring en anglais). Cela nécessite que le serveur HTTP intégré au dispositif soit compatible avec cette technologie. Dans le cas contraire, les requêtes ne peuvent aboutir et déclenchent l'affichage d'un message d'erreur. 25 Les services réseau de sécurité non compatibles avec la technologie CORS sont alors retirés de la liste des services réseau de sécurité disponibles. Il en est de même des services qui n'ont pas répondus à la tentative d'accès. D'une manière générale, cette tentative d'accès permet de vérifier l'accessibilité 30 du service réseau de sécurité. Les tests effectivement réalisés peuvent varier en fonction des modes de réalisation de l'invention.
Cette procédure de vérification peut inclure une négociation pour déterminer une clé cryptographique pouvant être utilisée pour chiffrer les communications entre le service distant sécurisé et le dispositif de sécurité. Il est alors supposé que le dispositif de sécurité comporte, typiquement stocké dans l'élément de sécurité, ce secret partagé. La procédure de partage de ce secret n'est pas décrite dans ce document. Les éventuels résultats de la procédure de vérification sont alors ajoutés à la description des services réseau de sécurité acceptables.
Cette liste est alors renvoyée vers le service distant sécurisé lors de l'étape (6). Ceci peut être fait, par exemple, sous la forme d'une requête AJAX POST envoyée vers le serveur qui renvoie l'information vers le service central gérant le service distant sécurisé.
Avantageusement, une étape de vérification des services réseau reçus est alors faite par le service distant sécurisé. Une sélection de l'un de ces services est opérée. Cette sélection est basée sur les paramètres recueillis accompagnant la liste des services réseau disponibles. Eventuellement, cette sélection peut être basée sur la vérification d'une signature contenue dans ces paramètres. Le service sélectionné est alors communiqué au module logiciel de découverte lors de l'étape (7), par exemple par l'envoi de son index dans la liste des services réseau découverts. Avantageusement, un identifiant unique est généré et également communiqué, cet identifiant est également mémorisé par le service de tunnel 1104 Figure 3 du service distant sécurisé. Il pourra être utilisé conjointement avec la clé cryptographique négociée pour l'établissement de la connexion sécurisée. Lorsqu'il reçoit le service réseau sécurisé sélectionné, le module logiciel de découverte bascule dans un mode opérationnel. Il établit alors deux connexions persistantes. Une première connexion persistante est établie avec le service de tunnel du service distant sécurisé (8) et une seconde connexion est établie avec le service de tunnel du dispositif sécurisé (9). 301 3 5 4 1 24 Avantageusement, ces connexions sont chiffrées à l'aide de la clé cryptographique négociée de façon à former un tunnel sécurisé entre le dispositif de sécurité et le service distant sécurisé. Lorsque ces deux connexions ont été établies avec succès, le module logiciel de découverte 5 fonctionne en simple relai entre les deux connexions. Ces connexions peuvent être implémentées, par exemple, en utilisant la technologie WebSocket, normalisée dans la RFC 6455, intégrée dans les navigateurs modernes. Cette technologie fournie des communications 10 asynchrones bidirectionnelles compatibles avec les technologies WEB telles que HTTP ou HTTPS. Elle peut être utilisée pour ouvrir des liens persistants entre un client et un serveur là où les technologies AJAX offrent des communications orientées chaines de caractères non persistantes et uniquement à l'initiative du client. 15 Un lien direct virtuel (10) est ainsi créé entre le service distant sécurisé et le dispositif de sécurité et plus précisément le service WEB embarqué dans ce dernier. Le service WEB embarqué est lui-même connecté par le lien (11) avec l'élément de sécurité intégré, il communique avec 20 l'application paire 1393 Figure 3. Les communications peuvent maintenant avoir lieu à l'initiative du service distant sécurisé pour effectuer la ou les opérations de sécurité requises par ce service. Le service distant sécurisé peut tirer parti des fonctions cryptographiques de l'élément de sécurité intégré dans le dispositif de sécurité pour effectuer des opérations telles que authentification, 25 signature, chiffrement ou toute autre opération désirée. Ces échanges peuvent être basés sur le protocole standard d'accès à un élément sécurisé APDU défini par le standard IS07816. Certaines requêtes du service distant sécurisé peuvent ne pas 30 nécessiter l'accès direct à l'élément sécurisé mais seulement, par exemple, demander une authentification de l'utilisateur par l'utilisation d'un capteur biométrique intégré au dispositif de sécurité. Dans ce cas, la requête est directement interprétée par le serveur WEB embarqué. Dans un mode de réalisation particulier, le module logiciel de découverte n'est pas injecté au sein du contenu normal du service. Le contenu est alors encapsulé dans un cadre de navigation pleine taille tandis que le module logiciel est encapsulé dans un cadre caché. Ceci permet au module logiciel de découverte et donc au tunnel entre le service distant sécurisé et le dispositif de sécurité de survivre à un changement de page pendant la navigation. Dans un autre mode de réalisation particulier, le module logiciel de découverte est inséré normalement dans un contenu WEB. Lorsque la connexion est établie, le module logiciel de découverte utilise la fonctionnalité de stockage DOM (Document Object Model en anglais) pour mémoriser en local sur le terminal de consultation les informations de connexion. Cette technologie de stockage DOM offerte par HTML 5 permet aux applications WEB de disposer d'un espace de stockage local sur le terminal de consultation. Ces informations de connexion comportent typiquement un identifiant de session ainsi que les adresses IF et ports associés pour rétablir la connexion. Ainsi, lorsque l'utilisateur quitte la page courante, la connexion est perdue. Lorsqu'il y revient, le module logiciel de découverte peut rétablir la connexion à l'aide des informations de connexion mémorisées sans devoir reprendre toute la procédure à zéro. Avantageusement, pour éviter un usage malicieux des informations de connexion, le service distant sécurisé implémente un compteur temporel invalidant l'identifiant de session après un temps donné. Il peut également invalider une tentative d'établissement de la connexion issue d'une autre session de navigation.
Naturellement, pour satisfaire des besoins spécifiques, une personne compétente dans le domaine de l'invention pourra appliquer des modifications dans la description précédente.
Bien que la présente invention ait été décrite ci-dessus en référence à des modes de réalisation spécifiques, la présente invention n'est pas limitée aux modes de réalisation spécifiques, et les modifications qui se trouvent dans le champ d'application de la présente invention seront évidentes pour une personne versée dans l'art.

Claims (17)

  1. REVENDICATIONS1. Procédé d'établissement d'une connexion entre un service réseau de sécurité hébergé par un dispositif de sécurité connecté à un terminal de consultation et un service distant lors de la consultation dudit service distant par ledit terminal de consultation, caractérisé en ce qu'il comporte les étapes suivantes : une étape de transmission d'un module logiciel de découverte par le service distant au terminal de consultation, en réponse à une requête émise par ledit terminal de consultation; - une étape de découverte, par le module logiciel de découverte reçu exécuté sur ledit terminal de consultation, d'au moins un service réseau de sécurité disponible sur un réseau local ; - une étape d'établissement d'une première connexion, par le module logiciel de découverte reçu exécuté sur ledit terminal de consultation, entre celui-ci et le service réseau de sécurité ; et - une étape d'établissement, d'une seconde connexion, par le module logiciel de découverte reçu exécuté sur ledit terminal de consultation, entre celui-ci et le service distant, le module logiciel de découverte servant alors de relai entre la première et la seconde connexion.
  2. 2. Procédé selon la revendication 1, caractérisé en ce qu'il comporte en outre, par le module logiciel de découverte reçu exécuté sur ledit terminal de consultation : une étape d'envoi d'une liste des services réseau de sécurité découverts au service distant ; et une étape de réception d'une information désignant un service réseau de sécurité sélectionné par ledit service distant parmi cette liste, la première connexion étant alors établie avec le service réseau de sécurité sélectionné.
  3. 3. Procédé selon la revendication 2, caractérisé en ce qu'il comporte en outre, par le module logiciel de découverte reçu exécuté sur ledit terminal de consultation : - une étape de validation des services réseau découverts par une tentative de connexion à ces services réseau de sécurité.
  4. 4. Procédé selon la revendication 3, caractérisé en ce qu'il comporte en outre, par le module logiciel de découverte reçu exécuté sur ledit terminal de consultation : une étape de réception d'un ensemble de paramètres lors de ladite tentative de connexion à ces services réseau de sécurité par le module logiciel de découverte ; et une étape d'ajout des paramètres reçus à la liste des services réseau de sécurité découverts.
  5. 5. Procédé selon la revendication 3 ou 4, caractérisé en ce que la liste des services réseau de sécurité découverts envoyée au service distant est réduite aux seuls services réseaux validés.
  6. 6. Procédé selon l'une des revendications 1 à 5, caractérisé en ce qu'il comporte en outre, par le module logiciel de découverte reçu exécuté sur ledit terminal de consultation : - une étape de stockage local sur le terminal des paramètres d'établissement des première et seconde connexions.
  7. 7. Procédé selon l'une des revendications 1 à 6, caractérisé en ce que les première et seconde connexions établies par le module logiciel de découverte reçu exécuté sur ledit terminal de consultation sont chiffrées.
  8. 8. Procédé selon l'une des revendications 1 à 7, caractérisé en ce qu'il comporte en outre :- une étape de chiffrement de bout en bout des première et seconde connexions par le service distant et le service réseau.
  9. 9. Procédé selon l'une des revendications 1 à 7, caractérisé en ce que l'étape de transmission du module logiciel de découverte comporte : une étape d'insertion de ce module au sein d'une page WEB sous la forme d'un programme interprété.
  10. 10. Procédé selon la revendication 9, caractérisé en ce que le module est inséré dans un cadre caché.
  11. 11. Procédé selon l'une des revendications 1 à 7, caractérisé en ce que l'étape de transmission du module logiciel de découverte comporte : - une étape de transmission de ce module sous la forme d'un module d'extension d'un navigateur WEB.
  12. 12. Procédé selon l'une des revendications 1 à 11, caractérisé en ce que le service réseau de sécurité est hébergé sur un téléphone mobile.
  13. 13. Dispositif pour l'hébergement d'un service caractérisé en ce qu'il comporte : - un module logiciel de découverte ; - des moyens pour transmettre le module logiciel de découverte à un terminal de consultation, en réponse à une requête d'accès reçue dudit terminal de consultation ; - le module logiciel de découverte comprenant, destinés à être exécuté sur le terminal : o des moyens pour découvrir au moins un service réseau de sécurité disponible sur un réseau local ; o des moyens d'établissement d'une première connexion avec le service réseau de sécurité ; et 301 3 5 4 1 30 o des moyens d'établissement d'une seconde connexion avec le service hébergé, le module logiciel de découverte servant alors de relai entre la première et la seconde connexion. 5
  14. 14. Dispositif selon la revendication 13, caractérisé en ce qu'il comporte en outre au sein du module logiciel de découverte : des moyens pour envoyer une liste des services réseau de sécurité découverts au service distant ; et 10 des moyens pour recevoir une information désignant un service réseau de sécurité sélectionné par ledit service distant parmi cette liste, la première connexion étant alors établie avec le service réseau de sécurité sélectionné. 15
  15. 15. Dispositif selon la revendication 13 ou 14, caractérisé en ce qu'il comporte en outre au sein du module logiciel de découverte : - des moyens pour valider des services réseau découverts par une tentative de connexion à ces services réseau de sécurité. 20
  16. 16. Programme d'ordinateur comprenant des instructions adaptées à la mise en oeuvre de chacune des étapes du procédé selon l'une quelconque des revendications 1 à 10 lorsque ledit programme est exécuté sur un ordinateur. 25
  17. 17. Moyen de stockage d'informations, amovible ou non, partiellement ou totalement lisible par un ordinateur ou un microprocesseur comportant des instructions de code d'un programme d'ordinateur pour l'exécution de chacune des étapes du procédé selon l'une quelconque des revendications 1 à 10. 30
FR1361361A 2013-11-19 2013-11-19 Procede et dispositif pour la connexion a un service distant Active FR3013541B1 (fr)

Priority Applications (2)

Application Number Priority Date Filing Date Title
FR1361361A FR3013541B1 (fr) 2013-11-19 2013-11-19 Procede et dispositif pour la connexion a un service distant
US14/543,003 US9699190B2 (en) 2013-11-19 2014-11-17 Method and device for the connection to a remote service

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
FR1361361A FR3013541B1 (fr) 2013-11-19 2013-11-19 Procede et dispositif pour la connexion a un service distant

Publications (2)

Publication Number Publication Date
FR3013541A1 true FR3013541A1 (fr) 2015-05-22
FR3013541B1 FR3013541B1 (fr) 2021-02-19

Family

ID=50482915

Family Applications (1)

Application Number Title Priority Date Filing Date
FR1361361A Active FR3013541B1 (fr) 2013-11-19 2013-11-19 Procede et dispositif pour la connexion a un service distant

Country Status (2)

Country Link
US (1) US9699190B2 (fr)
FR (1) FR3013541B1 (fr)

Families Citing this family (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP6512798B2 (ja) * 2014-11-19 2019-05-15 キヤノン株式会社 通信装置、制御方法、及びプログラム
US10673852B2 (en) * 2014-12-23 2020-06-02 Mcafee, Llc Self-organizing trusted networks
US10491685B2 (en) * 2015-03-31 2019-11-26 Microsoft Technology Licensing, Llc Session transfer between resources
EP3113439B1 (fr) * 2015-06-30 2017-04-26 Skidata Ag Procede de fabrication d'une liaison de « connaissance nulle » entre un appareil electronique et un ordinateur
PL418864A1 (pl) * 2016-09-26 2018-04-09 Comarch Spółka Akcyjna Sposób komunikacji urządzenia kryptograficznego z urządzeniem komputerowym oraz urządzenie kryptograficzne
US10581871B1 (en) * 2017-05-04 2020-03-03 Securus Technologies, Inc. Controlled-environment facility resident communications employing cross-origin resource sharing
US11089635B1 (en) * 2017-09-08 2021-08-10 Amazon Technologies, Inc. Wireless network device provisioning
CN113206981A (zh) * 2021-04-20 2021-08-03 江苏瑞影医疗科技有限公司 一种外科手术远程教学与会诊设备及使用方法

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20020013807A1 (en) * 2000-06-19 2002-01-31 Hewlett-Packard Compnay Process for controlling devices of an intranet network through the web
EP1578064A1 (fr) * 2004-03-18 2005-09-21 France Telecom Procédé d'accès à un service par l'intermédiaire d'un terminal relié à un réseau de communication
WO2005104441A1 (fr) * 2004-04-20 2005-11-03 Thomson Licensing Procede permettant de controler un dispositif dans un reseau de stations reparties, et station de reseau
WO2010017828A1 (fr) * 2008-08-14 2010-02-18 Nec Europe Ltd. Accès sécurisé par navigateur à des services web
FR2968494A1 (fr) * 2010-12-03 2012-06-08 Oberthur Technologies Procede de communication entre un serveur embarque et un serveur distant

Family Cites Families (12)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7418486B2 (en) * 2003-06-06 2008-08-26 Microsoft Corporation Automatic discovery and configuration of external network devices
EP1494394A1 (fr) * 2003-06-30 2005-01-05 Sony International (Europe) GmbH Mécanisme de découverte de services tenant en compte la distance pour déterminer la disponibilité de services distants dans un réseau "sans fil" personnel
US20050097087A1 (en) * 2003-11-03 2005-05-05 Punaganti Venkata Murali K. System and method for providing a unified framework for service discovery
US7463637B2 (en) * 2005-04-14 2008-12-09 Alcatel Lucent Public and private network service management systems and methods
US20070039039A1 (en) * 2005-08-10 2007-02-15 Microsoft Corporation Authorization of device access to network services
US9092635B2 (en) * 2006-03-31 2015-07-28 Gemalto Sa Method and system of providing security services using a secure device
US20090080453A1 (en) * 2007-09-21 2009-03-26 Nokia Corporation Context aware ipv6 connection activation in a upnp remote access environment
US8543805B2 (en) * 2010-04-21 2013-09-24 Citrix Systems, Inc. Systems and methods for split proxying of SSL via WAN appliances
CN102377629B (zh) * 2010-08-20 2014-08-20 华为技术有限公司 终端穿越私网与ims核心网中服务器通信的方法、装置及网络系统
US20120182939A1 (en) * 2011-01-14 2012-07-19 Qualcomm Incorporated Telehealth wireless communication hub and service platform system
US20130080603A1 (en) * 2011-09-27 2013-03-28 Microsoft Corporation Fault Tolerant External Application Server
WO2013106947A1 (fr) * 2012-01-18 2013-07-25 Metrologic Instruments, Inc. Système à fonction de tâche de balayage web, et procédé et appareil pour son développement et son déploiement sur un réseau client-serveur

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20020013807A1 (en) * 2000-06-19 2002-01-31 Hewlett-Packard Compnay Process for controlling devices of an intranet network through the web
EP1578064A1 (fr) * 2004-03-18 2005-09-21 France Telecom Procédé d'accès à un service par l'intermédiaire d'un terminal relié à un réseau de communication
WO2005104441A1 (fr) * 2004-04-20 2005-11-03 Thomson Licensing Procede permettant de controler un dispositif dans un reseau de stations reparties, et station de reseau
WO2010017828A1 (fr) * 2008-08-14 2010-02-18 Nec Europe Ltd. Accès sécurisé par navigateur à des services web
FR2968494A1 (fr) * 2010-12-03 2012-06-08 Oberthur Technologies Procede de communication entre un serveur embarque et un serveur distant

Also Published As

Publication number Publication date
US20150143464A1 (en) 2015-05-21
FR3013541B1 (fr) 2021-02-19
US9699190B2 (en) 2017-07-04

Similar Documents

Publication Publication Date Title
FR3013541A1 (fr) Procede et dispositif pour la connexion a un service distant
EP3238474B1 (fr) Procédé de sécurisation de transactions sans contact
EP3032799B1 (fr) Procédé d'authentification d'un utilisateur, serveur, terminal de communication et programmes correspondants
FR2997525A1 (fr) Procede de fourniture d’un service securise
WO2015007958A1 (fr) Procéde d'authentification forte
FR3015078A1 (fr) Authentification de code binaire
EP3991381B1 (fr) Procédé et système de génération de clés de chiffrement pour données de transaction ou de connexion
CA3029154A1 (fr) Procede d'authentification de donnees de paiement, dispositifs et programmes correspondants
EP4078922B1 (fr) Procédé d'obtention d'une commande relative à un profil d'accès réseau d'un module de sécurité de type euicc
EP3667530B1 (fr) Accès sécurise à des données chiffrées d'un terminal utilisateur
EP2793498B1 (fr) Elément sécurisé pour terminal de télécommunications
EP3147794A1 (fr) Procédé de transfert d'informations de configuration d'un objet connecté
EP3820112A1 (fr) Procédé de configuration d accès à un service internet
EP2053532A1 (fr) Procédé d'ouverture sécurisée à des tiers d'une carte à microcircuit
WO2019002733A1 (fr) Procédé de contrôle d'accès à un module de sécurité
EP2710779A1 (fr) Procede de securisation d'une platforme d'authentification, dispositifs materiels et logiciels correspondants
EP2471237A1 (fr) Dispositif électronique nomade configuré pour établir une communication sans fil sécurisé
FR3042362A1 (fr) Moyens de gestion d'acces a des donnees
FR2888437A1 (fr) Procede et systeme de controle d'acces a un service d'un fournisseur d'acces implemente sur un serveur multimedia, module, serveur, terminal et programmes pour ce systeme
EP3330881A1 (fr) Procede et systeme pour securiser des operations sensibles realisees dans un environnement de communication non securise
WO2017162995A1 (fr) Procede d'authentification pour autoriser l'acces a un site web
FR3031609A1 (fr) Procede de traitement d'une transaction a partir d'un terminal de communication
FR3029723A1 (fr) Procede de transmission de secret a duree de vie limitee pour realiser une transaction entre un terminal mobile et un equipement

Legal Events

Date Code Title Description
PLFP Fee payment

Year of fee payment: 3

PLFP Fee payment

Year of fee payment: 4

PLFP Fee payment

Year of fee payment: 5

CD Change of name or company name

Owner name: IDEMIA FRANCE, FR

Effective date: 20180910

CJ Change in legal form

Effective date: 20180910

CA Change of address

Effective date: 20200909

PLFP Fee payment

Year of fee payment: 8

PLFP Fee payment

Year of fee payment: 9

PLFP Fee payment

Year of fee payment: 10

PLFP Fee payment

Year of fee payment: 11