FR3016714A1

FR3016714A1 - Procede de securisation de dispositifs routeurs wi-fi

Info

Publication number: FR3016714A1
Application number: FR1450426A
Authority: FR
Inventors: Stephane Guindolet
Original assignee: Societe Francaise du Radiotelephone SFR SA
Current assignee: Societe Francaise du Radiotelephone SFR SA
Priority date: 2014-01-20
Filing date: 2014-01-20
Publication date: 2015-07-24
Anticipated expiration: 2034-01-20
Also published as: FR3016714B1

Abstract

La présente invention se rapporte à un procédé de sécurisation de dispositifs routeurs (10, 20, 30) mettant en œuvre le protocole de communication local sans-fil Wi-Fi, caractérisé en ce qu'il comporte les étapes suivantes : • Transmission, par un serveur distant (100), d'un élément logiciel (50), à une pluralité d'utilisateurs desdits dispositifs routeurs (10, 20, 30) ; • Exécution dudit élément logiciel (50) par au moins un dispositif routeur (10) desdits dispositifs routeurs (10, 20, 30) ; • Création d'un profil Wi-Fi différent du profil par défaut sur ledit dispositif routeur (10) ; • Création dudit profil Wi-Fi sur un ordinateur (60) de l'utilisateur dudit dispositif routeur (10), ledit utilisateur étant lié à une entreprise ; • Définition de réglage de paramètres techniques au niveau d'un réseau local (15) créé par ledit dispositif routeur (10) ; • Création d'un profil administrateur dudit dispositif routeur (10) interdisant la modification desdits paramètres techniques ; et • Enregistrement dudit profil Wi-Fi sur ledit ordinateur (60) de l'utilisateur ; et en ce que la création dudit profil Wi-Fi, le profil administrateur, la définition du code PIN d'une carte SIM, sont calculés de façon automatique sur la base d'une variable définie par un responsable de la sécurité informatiques de l'entreprise de l'utilisateur.

Description

PROCEDE DE SECURISATION DE DISPOSITIFS ROUTEURS WI-FI Domaine de l'invention La présente invention se rapporte au domaine des télécommunications. La présente invention se rapporte plus particulièrement à un procédé de sécurisation de dispositifs routeurs mettant en oeuvre le protocole de communication sans-fil Wi-Fi, c'est-à-dire conforme à la norme IEEE 802.11.

Etat de la technique Initialement, les connexions à Internet sur un réseau de mobilité étaient assurées par le biais d'un périphérique type clé 3G sur port USB. Ce type de périphérique présente l'avantage de nécessiter une liaison physique matérielle avec l'ordinateur utilisateur. Il n'est dès lors possible de ne connecter simultanément qu'un seul et unique ordinateur à Internet par le biais d'une clé USB. La connexion IP à Internet est établie via un client PPPoE intégré à l'ordinateur. La clé USB ne joue que le rôle de transporteur physique type modulateur / démodulateur sur les fréquences du réseau mobile utilisé. L'évolution des produits de connexion mobile, la réduction des coûts et la miniaturisation de certains éléments électroniques a permis l'avènement d'appareils autonomes, apte à établir la connexion IP. Il s'agit de modems routeurs Wi-Fi : l'appareil, doté d'une batterie, établit la connexion à Internet. L'ordinateur de l'utilisateur se connecte au modem routeur par le biais d'une connexion Wi-Fi.

Ce type d'appareils présente l'avantage de ne pas imposer une liaison matérielle entre l'ordinateur et le périphérique ; de plus, le Wi-Fi étant présent en standard sur l'ensemble des PC portables actuellement commercialisés, l'utilisation de ce périphérique ne nécessite aucune phase d'installation ou de paramétrage matériel sur l'ordinateur. L'utilisation de ce type d'appareil est donc très largement recommandée pour un usage de type « grand public », puisqu'il est simple d'utilisation, simple d'installation et permet en outre de connecter plusieurs ordinateurs ou tablettes simultanément. Dans le cadre d'un usage en entreprise ou d'une administration, le mode de fonctionnement est identifié par les responsables de la sécurité informatique comme étant présentant un risque. En effet, un tiers malintentionné peut profiter d'un moment d'inattention de l'utilisateur pour noter la clé de cryptage du réseau Wi-Fi du modem routeur. Il peut alors utiliser à son insu la connexion mobile aux frais de l'utilisateur, ce qui occasionne un dommage d'ordre financier. De plus, étant introduit dans le même réseau local que l'utilisateur, il peut procéder à l'exploration de l'ordinateur de la cible, voire y installer un logiciel de type « Cheval de Troie », ce qui présente un risque encore plus important. Il lui également possible de procéder à une modification technique de l'appareil (modification des DNS) afin de pouvoir à terme gérer des fausses redirections de l'utilisateur vers des sites de type « phishing ». Exposé de l'invention La présente invention entend remédier aux inconvénients de l'art antérieur en proposant un procédé permettant de garantir le respect des normes de sécurité en entreprise lors de l'utilisation de routeurs Wi-Fi. 3 0 II a été identifié que les éléments suivants pouvaient être avantageusement modifiés tout en conservant la facilité d'usage permise par le protocole Wi-Fi : - Clé Wi-Fi positionnée à une valeur différente de la valeur par défaut imprimée sur l'appareil. - Nombre d'ordinateurs simultanés en usage sur l'appareil limité à un unique appareil. - Rendre les réglages non modifiables par l'utilisateur. - Garantir que la modification des paramètres ci-dessus entraînera une mise hors état d'usage de l'appareil. - Donner une visibilité du niveau de sécurisation de chaque appareil au gestionnaire de flotte de l'entreprise. - Faire en sorte que cette opération soit automatisée et ne donner aucune information à l'utilisateur sur les paramètres mis en oeuvre. 10 A cet effet, la présente invention concerne, dans son acception la plus générale, un procédé de sécurisation de dispositifs routeurs mettant en oeuvre le protocole de communication local sans-fil Wi-Fi, caractérisé en ce qu'il 15 comporte les étapes suivantes : - Transmission, par un serveur distant, d'un élément logiciel, à une pluralité d'utilisateurs desdits dispositifs routeurs ; - Exécution dudit élément logiciel par au moins un dispositif routeur desdits dispositifs routeurs ; 20 - Création d'un profil Wi-Fi différent du profil par défaut sur ledit dispositif routeur ; - Création dudit profil Wi-Fi sur un ordinateur de l'utilisateur dudit dispositif routeur, ledit utilisateur étant lié à une entreprise ; - Définition de réglage de paramètres techniques au niveau d'un réseau 25 local créé par ledit dispositif routeur ; - Création d'un profil administrateur dudit dispositif routeur interdisant la modification desdits paramètres techniques ; et - Enregistrement dudit profil Wi-Fi sur ledit ordinateur de l'utilisateur ; et en ce que la création dudit profil Wi-Fi, le profil administrateur, la définition du 30 code PIN d'une carte SIM, sont calculés de façon automatique sur la base d'une variable définie par un responsable de la sécurité informatiques de l'entreprise de l'utilisateur. Ainsi, le procédé selon la présente invention permet de réaliser des opérations de « provisionning » personnalisées de façon automatique, évitant un surcoût dans le cas où cette opération serait réalisée par un opérateur dans le cadre du déploiement d'une flotte d'entreprise. Outre les aspects de sécurité, il est possible, grâce au procédé selon la présente invention, de procéder à des opérations de personnalisation du poste, comme par exemple la définition d'une page d'accueil sur le navigateur installé sur l'ordinateur. Le procédé selon la présente invention permet également à l'entreprise de restreindre les usages possibles du périphérique. L'utilisateur ne connaissant pas les caractéristiques du profil Wi-Fi paramétré, il est dans l'incapacité de pouvoir utiliser l'appareil sur un autre ordinateur (ou tablette). Si l'utilisateur procède à la réinitialisation de son appareil (via le bouton physique « Effacer les réglages »), dans le cas d'une initialisation via l'ICC-ID, l'appareil ne connaîtra plus le code PIN de la carte SIM. Il sera alors possible à l'utilisateur de se connecter en local via les paramètres Wi-Fi présent par défaut, mais l'appareil sera dans l'incapacité de mettre en oeuvre une connectivité IP à internet, la carte SIM restant verrouillée. Selon un mode de réalisation, ladite variable est l'ICC-ID de ladite carte SIM. Ceci permet de forger une association durable et inflexible entre l'appareil (qui contient les paramètres définis), l'ordinateur (qui contient le profil Wi-Fi) et la carte SIM. Selon un autre mode de réalisation, ladite variable est le numéro de série 3 0 du terminal. Ceci permet de forger une association durable entre l'appareil et l'ordinateur. Selon un autre mode de réalisation, ladite variable est une variable propre à chaque utilisateur, saisie par l'utilisateur et vérifiée à sa saisie par rapport à un référentiel identifié. Cette variable peut être par exemple un numéro de matricule, un identifiant d'entreprise, une référence de badge d'accès. Ceci permet de forger une association durable entre l'appareil, l'ordinateur et l'utilisateur.

Avantageusement, ladite variable est une variable commune à tous les utilisateurs de l'entreprise. Ceci permet de forger une association durable entre l'ensemble des appareils en possession de l'appareil et l'ensemble des utilisateurs. Cette notion peut être étendue à l'ensemble de l'entreprise ou restreinte à un seul service, par exemple les membres de la Direction Commerciale de l'entreprise partagent la même variable, les membres de la Direction Générale de l'entreprise une autre variable, ce qui permet de forger une association au sein d'une communauté d'utilisateurs.

Selon un mode de mise en oeuvre particulier, ledit élément logiciel transfert des données à un serveur distant de l'entreprise ou d'un opérateur de télécommunications. Ceci permet de confirmer la bonne mise en oeuvre des paramètres techniques.

Selon une variante, ledit élément logiciel reste résident sur ledit dispositif routeur. Ceci permet de réaliser des opérations de mises à jour de paramètres à distance, et la vérification du bon maintien des paramètres, c'est-à-dire pas de « reset » des paramètres par l'utilisateur sans réexécution de l'utilitaire ou de « re-provisionning » automatique à la détection d'un appareil non paramétré ou incorrectement paramétré. Brève description des dessins On comprendra mieux l'invention à l'aide de la description, faite ci-après à titre purement explicatif, d'un mode de réalisation de l'invention, en référence aux Figures dans lesquelles : - la Figure 1 illustre les différentes étapes du procédé selon la présente invention ; et - la Figure 2 représente les différents dispositifs mis en oeuvre dans le procédé selon la présente invention, dans un mode de réalisation.

Description détaillée des modes de réalisation de l'invention La présente invention se rapporte à un procédé de sécurisation de dispositifs routeurs 10, 20, 30 mettant en oeuvre le protocole de communication local sans-fil Wi-Fi, caractérisé en ce qu'il comporte les étapes suivantes : - Transmission, par un serveur distant 100, d'un élément logiciel 50, à une pluralité d'utilisateurs desdits dispositifs routeurs 10, 20, 30 ; - Exécution dudit élément logiciel 50 par au moins un dispositif routeur 10 desdits dispositifs routeurs 10, 20, 30 ; - Création d'un profil Wi-Fi différent du profil par défaut sur ledit dispositif routeur 10 ; - Création dudit profil Wi-Fi sur un ordinateur 60 de l'utilisateur dudit dispositif routeur 10, ledit utilisateur étant lié à une entreprise ; - Définition de réglage de paramètres techniques au niveau d'un réseau local 15 créé par ledit dispositif routeur 10 ; - Création d'un profil administrateur dudit dispositif routeur 10 interdisant la modification desdits paramètres techniques ; et - Enregistrement dudit profil Wi-Fi sur ledit ordinateur 60 de l'utilisateur ; et en ce que la création dudit profil Wi-Fi, le profil administrateur, la définition du code PIN d'une carte SIM, sont calculés de façon automatique sur la base d'une variable définie par un responsable de la sécurité informatiques de l'entreprise de l'utilisateur. La Figure 1 illustre les différentes étapes du procédé selon la présente invention.30 Dans un mode de réalisation, le procédé selon la présente invention fonctionne comme ceci : Un logiciel est transmis à chaque utilisateur de modems routeurs Wi-Fi.

L'exécution de ce logiciel est pré-requise à l'utilisation de la connectivité à Internet de l'appareil. Lors d'une exécution en local, cet outil réalise une première connexion à l'appareil et procède à : - la création d'un profil Wi-Fi différent du profil par défaut ; - la création de ce profil Wi-Fi sur l'ordinateur de l'utilisateur ; - la définition des réglages techniques (DNS, DHCP, activation du firewall, restriction du nombre de personnes connectées simultanément) ; - l'interdiction de modification des paramètres techniques par création d'un profil administrateur de l'appareil ; - l'enregistrement du profil Wi-Fi sur l'ordinateur de l'utilisateur ; La création du profil Wi-Fi (i.e. clé WPA, SSID), le profil administrateur (login et mot de passe), la définition du code PIN de la carte SIM, sont calculés de façon automatique sur la base d'une variable. Cette variable est définie par le responsable de la sécurité de l'entreprise de l'utilisateur.

Cette variable peut être : - ICC-ID de la carte SIM (i.e. numéro de série) : ceci permet de forger une association durable et inflexible entre l'appareil (qui contient les paramètres définies), l'ordinateur (qui contient le profil Wi-Fi) et la carte SIM ; - Numéro de série du terminal : ceci permet de forger une association durable entre l'appareil et l'ordinateur. - Une variable propre à chaque utilisateur, saisie par l'utilisateur et vérifiée à sa saisie par rapport à un référentiel identifié (par exemple un numéro de matricule, un identifiant d'entreprise, une référence de badge d'accès) : ceci permet de forger une association durable entre l'appareil, l'ordinateur et l'utilisateur. - Une variable commune à tous les utilisateurs de l'entreprise : ceci permet de forger une association durable entre l'ensemble des appareils en possession de l'appareil et l'ensemble des utilisateurs. Cette notion peut être étendue à l'ensemble de l'entreprise ou restreinte à un seul service (ex. les commerciaux partagent la même variable, les membres de la direction une autre... permettant ainsi de forger une association au sein d'une communauté d'utilisateurs). Ensuite, le logiciel procède à une remontée d'information vers un serveur de l'entreprise ou de l'opérateur pour confirmer la bonne mise en oeuvre des paramètres. Enfin, on peut imaginer que ce logiciel reste résident, permettant ainsi de réaliser : - Opérations de mises à jour de paramètres à distance. - Vérification du bon maintien des paramètres (i.e. pas de « reset » des paramètres par l'utilisateur sans réexécution de l'utilitaire ; ou « re- provisionning » automatique à la détection d'un appareil non paramétré ou incorrectement paramétré). La Figure 2 représente les différents dispositifs mis en oeuvre dans le procédé selon la présente invention, dans un mode de réalisation. La Figure 2 montre trois dispositifs routeurs 10, 20 et 30 et un serveur distant 100. Un élément logiciel 50 est exécuté par le dispositif routeur 10. Cet élément logiciel 50 a été préalablement transmis par le serveur distant 100 aux dispositifs routeurs 10, 20 et 30. Cette Figure montre également un ordinateur 60 connecté au dispositif routeur 10. Un réseau local sans fil (« Wi-Fi ») 15 est également représenté sur la Figure 2. L'invention est décrite dans ce qui précède à titre d'exemple. Il est 3 0 entendu que l'homme du métier est à même de réaliser différentes variantes de l'invention sans pour autant sortir du cadre du brevet.

Claims

REVENDICATIONS1. Procédé de sécurisation de dispositifs routeurs (10, 20, 30) mettant en oeuvre le protocole de communication local sans-fil Wi-Fi, caractérisé en ce qu'il comporte les étapes suivantes : - Transmission, par un serveur distant (100), d'un élément logiciel (50), à une pluralité d'utilisateurs desdits dispositifs routeurs (10, 20, 30) ; - Exécution dudit élément logiciel (50) par au moins un dispositif routeur (10) desdits dispositifs routeurs (10, 20, 30) ; - Création d'un profil Wi-Fi différent du profil par défaut sur ledit dispositif routeur (10) ; - Création dudit profil Wi-Fi sur un ordinateur (60) de l'utilisateur dudit dispositif routeur (10), ledit utilisateur étant lié à une entreprise ; - Définition de réglage de paramètres techniques au niveau d'un réseau local (15) créé par ledit dispositif routeur (10) ; - Création d'un profil administrateur dudit dispositif routeur (10) interdisant la modification desdits paramètres techniques ; et - Enregistrement dudit profil Wi-Fi sur ledit ordinateur (60) de l'utilisateur ; et en ce que la création dudit profil Wi-Fi, le profil administrateur, la définition du code PIN d'une carte SIM, sont calculés de façon automatique sur la base d'une variable définie par un responsable de la sécurité informatiques de l'entreprise de l'utilisateur.
2. Procédé de sécurisation de dispositifs routeurs (10, 20, 30) selon la revendication 1, caractérisé en ce que ladite variable est l'ICC-ID de ladite carte SIM.
3. Procédé de sécurisation de dispositifs routeurs (10, 20, 30) selon la revendication 1, caractérisé en ce que ladite variable est le numéro de série du terminal.
4. Procédé de sécurisation de dispositifs routeurs (10, 20, 30) selon la revendication 1, caractérisé en ce que ladite variable est une variable propre à chaque utilisateur, saisie par l'utilisateur et vérifiée à sa saisie par rapport à un référentiel identifié.
5. Procédé de sécurisation de dispositifs routeurs (10, 20, 30) selon la revendication 1, caractérisé en ce que ladite variable est une variable commune à tous les utilisateurs de l'entreprise.
6. Procédé de sécurisation de dispositifs routeurs (10, 20, 30) selon l'une au moins des revendications précédentes, caractérisé en ce que ledit élément logiciel (50) transfert des données à un serveur distant de l'entreprise ou d'un opérateur de télécommunications.
7. Procédé de sécurisation de dispositifs routeurs (10, 20, 30) selon l'une au moins des revendications précédentes, caractérisé en ce que ledit élément logiciel (50) reste résident sur ledit dispositif routeur (10). 20