FR3034279A1

FR3034279A1 - Dispositif de connexion pour permettre la connexion d'un terminal utilisateur a un point d'acces d'un reseau sans fil

Info

Publication number: FR3034279A1
Application number: FR1552494A
Authority: FR
Inventors: Thibaud Simonnin; Raphael Geslain; Cyrille Pepin
Original assignee: Morpho SA
Current assignee: Idemia Identity and Security France SAS
Priority date: 2015-03-25
Filing date: 2015-03-25
Publication date: 2016-09-30

Abstract

La présente invention concerne un dispositif de connexion (100) pour permettre la connexion d'un terminal utilisateur (200) à un point d'accès (310) d'un réseau sans fil prédéterminé (300) auquel sont associés des droits d'accès. Il est caractérisé en ce qu'il comporte: - un module de gestion (30) pour mémoriser les droits d'accès de terminaux utilisateurs (200) ainsi que lesdits droits d'accès dudit dispositif de connexion (100) à un point d'accès (310) dudit réseau prédéterminé (300), - un module radio client (10) pour l'établissement d'une connexion avec un terminal utilisateur (200) compte tenu de ces droits d'accès et pour l'échange de données utiles avec ledit terminal utilisateur (200), - un module radio réseau (20) pour l'établissement d'une connexion avec un point d'accès (310) compte tenu des droits d'accès dudit dispositif de connexion (100) et pour l'échange de données utiles avec ledit réseau (300), - un bus (50) pour le transfert des données utiles entre ledit module radio client (10) et ledit module radio réseau (20).

Description

1 La présente invention concerne un dispositif de connexion pour permettre la connexion d'un terminal utilisateur à un point d'accès d'un réseau sans fil, tel qu'un réseau Wifi. La technologie Wifi (normes IEEE 802.11) est une technologie très largement utilisée à travers le monde du fait qu'elle permet à un utilisateur de connecter facilement son terminal (ordinateur, téléphone portable, tablette, etc.) à un point d'accès d'un réseau sans fil Wifi. Néanmoins, elle pose deux problèmes qui sont la contrepartie de cette facilité d'utilisation.

D'abord, tout tiers potentiellement mal intentionné qui se trouve dans le rayon d'action d'un point d'accès Wifi peut capter les données de tous les utilisateurs connectés à ce point d'accès et les analyser et, ainsi, en tirer profit. Il devra pour ce faire, usurper l'identité du point d'accès considéré ce qui lui permettra de récupérer l'identifiant du réseau concerné et la clé de sécurité qui sont nécessaires à la connexion au point d'accès, lorsqu'un utilisateur les entrera pour se connecter à ce qu'il croit être le véritable point d'accès. Ensuite, un utilisateur, pour pouvoir se connecter à un point d'accès, doit connaître l'identifiant du réseau concerné et la clé de sécurité nécessaires. Bien souvent, ceux-ci et en particulier la clé de sécurité sont générés par le gestionnaire du réseau afin qu'il puisse les retrouver facilement par un quelconque moyen mnémotechnique. Il peut s'agir d'un nom commun ou d'un nom propre liés au gestionnaire lui-même ou encore un numéro, un identifiant de badge, etc. Il est ainsi rare de voir des mots de passe de plus de huit caractères alphanumériques aléatoires, si bien que des attaques, dites par dictionnaire, permettent de les retrouver relativement facilement. Ces problèmes peuvent s'avérer délicats à gérer lorsque des institutions, telles que des hôtels, des restaurants, des cabinets médicaux, des musées, des universités, des entreprises, qui accueillent des clients veulent leur offrir un accès, par connexion sans fil Wifi, à un réseau privé qu'elles gèrent. Aujourd'hui, ces institutions donnent à leurs clients une clé de sécurité à un point d'accès, sans se soucier des répercussions et des dangers que cela induit. Le but de la présente invention est donc de proposer un dispositif pour permettre la connexion d'un terminal utilisateur à un point d'accès d'un réseau sans fil, tel qu'un réseau Wifi qui permette de résoudre les problèmes évoqués ci-dessus.

3034279 2 Pour ce faire, la présente invention concerne un dispositif de connexion pour permettre la connexion d'un terminal utilisateur à un point d'accès d'un réseau sans fil prédéterminé auquel sont associés des droits d'accès qui est caractérisé en ce qu'il comporte: 5 - un module de gestion pour mémoriser les droits d'accès dudit terminal utilisateur dudit dispositif de connexion ainsi que lesdits droits d'accès dudit dispositif de connexion à un point d'accès dudit réseau prédéterminé, - un module radio client pour l'établissement d'une connexion avec un terminal utilisateur compte tenu des droits d'accès dudit terminal mémorisés dans le module de 10 gestion et pour l'échange de données utiles avec ledit terminal utilisateur, - un module radio réseau pour l'établissement d'une connexion avec un point d'accès dudit réseau sans fil compte tenu des droits d'accès dudit dispositif de connexion à un point d'accès dudit réseau mémorisés dans ledit module de gestion et pour l'échange de données utiles avec ledit réseau, 15 - un bus pour le transfert des données utiles entre ledit module radio client et ledit module radio réseau. Avantageusement, lesdits droits d'accès dudit dispositif à un point d'accès dudit réseau incluent un certificat d'authentification mémorisé dans ledit module de gestion et vérifié par un serveur d'authentification dudit réseau. Ledit certificat 20 d'authentification a par exemple une durée de validité restreinte. Avantageusement, lesdits droits d'accès dudit dispositif de connexion à un point d'accès dudit réseau incluent l'identifiant dudit réseau, une clé de sécurité et/ou l'adresse MAC dudit dispositif. Avantageusement, ledit module de gestion est prévu pour limiter 25 temporellement les droits d'accès dudit dispositif de connexion à un point d'accès dudit réseau prédéterminé. Préférentiellement, ledit module de gestion est constitué d'une carte à puce intégrant une mémoire pour le stockage desdits droits d'accès et des moyens de sécurisation de ladite mémoire.

30 Avantageusement, les droits d'accès dudit dispositif de connexion à un point d'accès dudit réseau sont mémorisés dans ledit module de gestion lors de la première connexion dudit dispositif de connexion à un point d'accès dudit réseau.

3034279 3 Selon un mode de réalisation, les droits d'accès dudit dispositif de connexion à un point d'accès dudit réseau sont mémorisés par accès direct au module de gestion par l'administrateur dudit réseau. Préférentiellement, le module radio client choisit le canal radio de la liaison 5 radio dispositif-terminal qui est différent du canal radio de la liaison radio dispositif- point d'accès. De même, le module radio client choisit le type de modulation des signaux radio sur la liaison radio dispositif-terminal différent du type de modulation de la liaison radio dispositif-point d'accès. Avantageusement, ledit dispositif de connexion comporte un bouton pour 10 l'appairage dudit dispositif de connexion à un terminal utilisateur. Préférentiellement, ledit module radio client est prévu pour fonctionner à une puissance d'émission réduite. Avantageusement, ledit module radio réseau est prévu pour limiter le temps de connexion dudit dispositif de connexion à un point d'accès dudit réseau à un crédit de 15 temps préprogrammé. De même, ledit module radio réseau est prévu pour limiter géographiquement l'accès dudit dispositif de connexion à un point d'accès dudit réseau. Les caractéristiques de l'invention mentionnées ci-dessous, ainsi que d'autres, apparaîtront plus clairement à la lecture de la description suivante d'un exemple de 20 réalisation, ladite description étant faite en relation avec la Fig. unique jointe montrant un schéma synoptique d'un dispositif de connexion selon l'invention connectée d'une part à un terminal utilisateur et d'autre part à un point d'accès d'un réseau prédéterminé. Le dispositif de connexion 100 représenté sur cette Fig. unique est 25 essentiellement constitué d'un premier module radio 10, dit module radio client, d'un second module radio 20, dit module radio réseau et d'un module de gestion 30. Un bus 50 entre le module radio client 10 et le module radio réseau 20 permet le transfert des données utiles de l'un à l'autre. Ce bus peut être du type USB. Un bus 60, par exemple du type USB, entre le module radio client 10 et le module de gestion 30 30 permet le transfert des données de configuration et de commande de l'un à l'autre. De même, un bus 70, par exemple du type USB, entre le module radio réseau 20 et le module de gestion 30 permet le transfert des données de configuration et de commande de l'un à l'autre.

3034279 4 Le module radio client 10 est par exemple conforme aux normes IEEE 802.11 plus connues sous le nom de Wifi et permet l'établissement d'une connexion avec un terminal utilisateur 200 puis l'échange de données utiles entre lui et ce terminal. On a représenté par une double flèche C la liaison radio établie entre le module radio client 5 10 et le terminal 200. La connexion du terminal utilisateur 200 avec le module radio client 10 du dispositif de connexion est également réalisée conformément aux normes IEEE 802.11. Trois processus sont donc mis en oeuvre lorsqu'un utilisateur d'un terminal utilisateur 200 souhaite établir une connexion à un dispositif de connexion selon 10 l'invention. Un premier processus de recherche (passive ou active) est mis en oeuvre par le terminal utilisateur 200 pour découvrir la présence des points d'accès à portée et des éléments d'information relatifs aux configurations de ces points d'accès, notamment l'identifiant SSID des réseaux qu'ils supportent et les protocoles de sécurité et les 15 méthodes de chiffrement qu'ils peuvent mettre en oeuvre. Parmi les points d'accès que le terminal utilisateur 200 découvre, il y a le module radio client 10 qu'il sélectionne par son identifiant SSID. Il choisit également un protocole de sécurité et une éventuelle méthode de chiffrement. Un second processus est un processus d'authentification du terminal utilisateur 20 200 par le module radio client 10 au cours duquel est mis en oeuvre le protocole de sécurité sélectionné. Ce protocole de sécurité peut utiliser une clé de sécurité qui est, par exemple, une clé WEP, WPA, WPA2 ou autre. Ce protocole de sécurité est avantageusement sans échange de clé de sécurité (Open Authentication) si bien que le processus d'authentification est transparent pour 25 l'utilisateur. Par ailleurs, avantageusement, le filtrage MAC n'est pas mis en oeuvre, ceci aussi afin de faciliter le processus d'authentification. A l'issue de ce processus d'authentification, s'il s'agit d'une première connexion, les droits d'accès (identifiant de réseau SSID du module radio client 10, éventuelle clé de sécurité, etc.) sont mémorisés par le terminal utilisateur 200 ainsi que par le module 30 de gestion 30 du dispositif de connexion 100. Lors de connexions ultérieures, les droits d'accès utilisés pendant le processus d'authentification sont ceux qui sont mémorisés par le module de gestion 30. Si le terminal utilisateur 200 possède les droits permettant son accès au dispositif de connexion 100, est mis en oeuvre un troisième processus qui est un 3 03 42 79 5 processus d'association au cours duquel sont prises en compte les caractéristiques de la connexion (identifiant de réseau SSID, canal radio utilisé, méthode de chiffrement, etc.) pour le transfert des données utiles entre le terminal utilisateur 200 et le module radio client 10.

5 Ce processus de connexion constitué de ces trois processus, lorsqu'il est mis en oeuvre lors d'une première connexion, est appelé appairage. Il peut être déclenché par un protocole dit WPS soit à code PIN, soit par la méthode PBC (Push Button Connect) utilisant alors un bouton 40 du dispositif de connexion 100. Le module radio réseau 20 est aussi par exemple conforme aux normes IEEE 10 802.11 et permet l'établissement d'une connexion avec un point d'accès d'un réseau prédéterminé puis l'échange de données entre lui et ce point d'accès. Cette connexion peut être établie avec un point d'accès 310 du réseau 300. Ce point d'accès 310 peut appartenir à un ensemble de points d'accès du même réseau 300.

15 L'établissement d'une connexion du module radio réseau 20 avec un point d'accès 310 est réalisé, à l'instar de celle du terminal utilisateur 200 avec le module radio client 10, conformément aux normes IEEE 802.11, c'est-à-dire selon trois processus. On a représenté par une double flèche PA la liaison radio établie entre le module radio réseau 21 du dispositif de connexion 100 et le point d'accès 310.

20 Le processus de recherche est avantageusement du type actif par lequel le module radio réseau 20 cherche à se connecter à un point d'accès particulier du réseau prédéterminé concerné, en l'occurrence un point d'accès 310 avec l'identifiant SSID du réseau 300 auquel il appartient. Le point d'accès 310 (ou chaque point d'accès du réseau 300) peut être configure 25 par le gestionnaire du réseau 300 de manière à ce qu'il n'émette pas l'identifiant SSID du réseau 300 auquel il appartient. Ainsi, un utilisateur d'un terminal 200 ne peut pas chercher à se connecter à ce réseau 300 du fait qu'il ne connaît pas son identifiant S SID. Le processus d'authentification du module radio réseau 20 par le point d'accès 30 310 peut utiliser un protocole de sécurité à clé de sécurité, du type WEP, WPA ou WPA2. Néanmoins, pour accroître la sécurité par rapport à ces solutions, un protocole de type EAP utilisant un serveur d'authentification 320 (par exemple un serveur d'authentification de type RADIUS) est mis en oeuvre. Ce protocole de sécurité peut utiliser un certificat d'authentification mémorisé à la fois dans le serveur 3034279 6 d'authentification 320 et dans le module de gestion 30 du dispositif de connexion 100. Un filtrage MAC est également rendu opérationnel. Par exemple, ce certificat d'authentification a une durée de validité restreinte. A l'issue de ce processus d'authentification, s'il s'agit d'une première connexion, 5 les droits d'accès, c'est-à-dire l'identifiant SSID du réseau considéré, la clé de sécurité, l'adresse MAC du dispositif de connexion 100, le certificat d'authenticité, etc. sont mémorisés dans le module de gestion 30 ainsi que dans le ou chaque point d'accès 310 du réseau 300. Ces mémorisations peuvent également être effectuées directement par accès 10 direct au moyen de gestion 30 du dispositif de connexion 100 et au point d'accès 310 du réseau 300 par l'administrateur du réseau 300. Lors de connexions ultérieures, les droits d'accès utilisés pendant le processus d'authentification sont ceux qui sont mémorisés par le module de gestion 30. Ledit module de gestion 30 comporte par exemple des moyens pour limiter 15 temporellement les droits d'accès dudit dispositif de connexion 100 à un point d'accès 310 du réseau 300 concerné. Si le dispositif de connexion 100 possède les droits d'accès au réseau 300 considéré, à l'issue de ce processus d'authentification, est lancé le processus d'association afin de prendre en compte les caractéristiques de la connexion 20 (identifiant de réseau SSID, canal radio utilisé, méthode de chiffrement, etc.) pour le transfert des données utiles entre le module radio réseau 20 et le point d'accès 310 du réseau 300. Lors des processus de connexion décrits ci-dessus, le canal radio Wifi utilisé par chaque liaison terminal-dispositif, dispositif-point d'accès est un canal parmi un 25 ensemble de canaux (par exemple, 13 canaux radio dans le cas d'un Wifi selon la norme IEEE 802.11b pour l'Europe). Selon l'invention, les canaux utilisés par les liaisons terminal-dispositif, dispositif-point d'accès respectives sont différents afin que l'un ne soit pas perturbé par l'autre. Le canal utilisé par la liaison dispositif-point d'accès est déterminé par le point 30 d'accès 310. Le module radio client 10 détermine donc le canal utilisé par la liaison terminal-dispositif de manière qu'il soit différent du canal utilisé par la liaison dispositif-point d'accès. Pour ce faire, le module radio client 10 peut mettre en oeuvre un processus de sélection dynamique de fréquences, dit DFS (Dynamic Frequency Selector) qui 3034279 7 consiste à scanner la bande de fréquences allouée aux canaux radio Wifi et à déterminer les canaux qui sont utilisés par les points d'accès des réseaux sains qui sont à sa portée, a fortiori le canal utilisé par le point d'accès 310. Il détermine alors un canal à utiliser pour la liaison entre lui et le terminal 200 qui soit différent de ces 5 canaux utilisés par les points d'accès des réseaux sains qui sont à sa portée. De plus, de manière générale, un canal radio a une zone d'empâtement si bien que pour être sûr que la liaison dispositif-terminal ne soit pas perturbée par une autre liaison, notamment la liaison dispositif-point d'accès, le module radio client 10 cherchera, autant que faire se peut, un canal radio espacé d'au moins 3 canaux de chacun des 10 canaux radio utilisés par les points d'accès des réseaux sains qui sont à sa portée. Cet espace minimal entre chaque canal sera inversement proportionnel au nombre de points d'accès réseaux sains à portée. Dans tous les cas, et ceci quel que soit le nombre de dispositifs à portée, le canal de la liaison dispositif-terminal sera autant que possible le plus éloigné de la liaison dispositif-point d'accès.

15 De la même manière, selon l'invention, les types de modulation des données (par exemple : CCK, DBPSK, DQPSK dans le cas d'un Wifi selon la norme IEEE 802.11b) utilisés par les liaisons terminal-dispositif, dispositif-point d'accès respectives sont différents l'un de l'autre afin que l'une ne soit pas perturbée par l'autre. Le module radio client 10 sélectionne donc un type de modulation du signal radio pour sa liaison 20 avec le terminal 200 qui soit différent de celui qui est utilisé par la liaison dispositif- point d'accès. Ce dernier est découvert par un processus de scan comme décrit précédemment pour les canaux. Avantageusement, le module de gestion 30 est constitué d'un composant décisionnel autonome, tel qu'une carte à puce, comportant une mémoire pour la 25 mémorisation des droits d'accès dudit terminal utilisateur 200 audit dispositif de connexion 100 ainsi que lesdits droits d'accès (identifiant de réseau SSID du module radio client 10, clé de sécurité, adresses MAC, certificat d'authenticité, etc.) dudit dispositif de connexion 100 à un point d'accès dudit réseau 300 prédéterminé. Il comporte également des moyens de sécurisation de ladite mémoire.

30 Le dispositif de connexion 100 peut se présenter sous la forme d'une clé USB avec un port USB 80 connectable à un port USB du terminal utilisateur 200 et, ce, uniquement pour son alimentation électrique. Ainsi les canaux de transfert de données D+ et D- prévus par la norme de la technologie USB ne seront pas reliés et donc non utilisés. Sous cette forme, les processus de connexion du terminal utilisateur 200 au 3034279 8 module radio client 10, d'une part, et les processus de connexion du module radio réseau 20 au point d'accès 310, d'autre part, peuvent être déclenchés par l'introduction du dispositif de connexion 100 dans un port USB du terminal utilisateur 200. Le dispositif de connexion 100 peut également se présenter sous la forme d'un 5 appareil fixe recevant son alimentation électrique soit d'une source interne (batterie, pile, etc.), soit d'une source externe, par exemple reliée au secteur (voir représentation symbolique 400). L'avantage pour le dispositif de connexion 100 d'utiliser un module radio pour assurer l'échange de données du terminal utilisateur 200 au dispositif de connexion 10 100, plutôt par exemple qu'une liaison filaire de type USB, est que le fonctionnement de ce dispositif de connexion est indépendant du type de matériel et du système d'exploitation du terminal utilisateur 200 et qu'il ne nécessite pas de charger des drivers spéciaux et des API spéciales dans le terminal utilisateur 200. Afin de limiter les connexions et les intrusions de personnes tierces, ledit 15 module radio client est prévu pour fonctionner à une puissance d'émission réduite. Avantageusement, ledit module radio réseau 20 est prévu pour limiter le temps de connexion dudit dispositif de connexion 100 à un point d'accès 310 dudit réseau à un crédit de temps préprogrammé. Avantageusement également, ledit module radio réseau 20 est prévu pour limiter 20 géographiquement l'accès dudit dispositif de connexion 100 à un point d'accès 310 dudit réseau 300. Le réseau prédéterminé 300 dont il est question ici est celui de l'institution (hôtel, restaurant, cabinet médical, musée, université, entreprise, etc.) qui accueille des clients et leur offre, par l'octroi d'un dispositif de connexion 100 selon l'invention, des 25 accès à ce réseau de manière sécurisée.

Claims

REVENDICATIONS1) Dispositif de connexion (100) pour permettre la connexion d'un terminal utilisateur (200) à un point d'accès (310) d'un réseau sans fil prédéterminé (300) auquel sont associés des droits d'accès, caractérisé en ce qu'il comporte: - un module de gestion (30) pour mémoriser les droits d'accès de terminaux utilisateurs (200) audit dispositif de connexion (100) ainsi que lesdits droits d'accès dudit dispositif de connexion (100) à un point d'accès (310) dudit réseau prédéterminé (300), - un module radio client (10) pour l'établissement d'une connexion avec un terminal utilisateur (200) compte tenu des droits d'accès dudit terminal mémorisés dans le module de gestion (30) et pour l'échange de données utiles avec ledit terminal utilisateur (200), - un module radio réseau (20) pour l'établissement d'une connexion avec un point d'accès (310) dudit réseau sans fil prédéterminé (300) compte tenu des droits d'accès dudit dispositif de connexion (100) à un point d'accès dudit réseau (300) mémorisés dans ledit module de gestion (30) et pour l'échange de données utiles avec ledit réseau (300), - un bus (50) pour le transfert des données utiles entre ledit module radio client (10) et ledit module radio réseau (20).
2) Dispositif de connexion selon la revendication 1, caractérisé en ce que lesdits droits d'accès dudit dispositif à un point d'accès (310) dudit réseau (300) incluent un certificat d'authentification mémorisé dans ledit module de gestion (30) et vérifié par un serveur d'authentification (320) dudit réseau (300).
3) Dispositif de connexion selon la revendication 2, caractérisé en ce que ledit certificat d'authentification a une durée de validité restreinte.
4) Dispositif de connexion selon une des revendications précédentes, caractérisé en ce que lesdits droits d'accès dudit dispositif de connexion à un point d'accès (310) dudit réseau (300) incluent l'identifiant dudit réseau, une clé de sécurité et/ou l'adresse MAC dudit dispositif 3034279 10
5) Dispositif de connexion selon une des revendications précédentes, caractérisé en ce que ledit module de gestion (30) est prévu pour limiter temporellement les droits d'accès dudit dispositif de connexion (100) à un point d'accès (310) dudit réseau prédéterminé (300). 5
6) Dispositif de connexion selon une des revendications précédentes, caractérisé en ce que ledit module de gestion (30) est constitué d'un composant décisionnel autonome, tel qu'une carte à puce, intégrant une mémoire pour le stockage desdits droits d'accès et des moyens de sécurisation de ladite mémoire. 10
7) Dispositif de connexion selon une des revendications précédentes, caractérisé en ce que les droits d'accès dudit dispositif de connexion (100) à un point d'accès (310) dudit réseau (300) sont mémorisés dans ledit module de gestion (30) lors de la première connexion dudit dispositif de connexion (100) à un point d'accès dudit réseau 15 (300).
8) Dispositif de connexion selon une des revendications 1 à 6, caractérisé en ce que les droits d'accès dudit dispositif de connexion (100) à un point d'accès (310) dudit réseau (300) sont mémorisés par accès direct au module de gestion (30) par 20 l'administrateur dudit réseau (300).
9) Dispositif de connexion selon une des revendications précédentes, caractérisé en ce que le module radio client (10) choisit un canal radio utilisé par la liaison dispositif-terminal qui soit différent de celui qui est utilisé par la liaison dispositif- 25 point d'accès.
10) Dispositif de connexion selon une des revendications précédentes, caractérisé en ce que le module radio client (10) détermine un type de modulation des signaux radio de la liaison dispositif-terminal qui soit différent du type de modulation 30 utilisé par la liaison dispositif-point d'accès.
11) Dispositif de connexion selon une des revendications précédentes, caractérisé en ce qu'il comporte un bouton (40) pour l'appairage dudit dispositif de connexion (100) à un terminal utilisateur (200). 3034279 11
12) Dispositif de connexion selon une des revendications précédentes, caractérisé en ce que ledit module radio client (10) est prévu pour fonctionner à une puissance d'émission réduite.
13) Dispositif de connexion selon une des revendications précédentes, caractérisé en ce que ledit module radio réseau (20) est prévu pour limiter le temps de connexion dudit dispositif de connexion (100) à un point d'accès (310) dudit réseau (300) à un crédit de temps préprogrammé.
14) Dispositif de connexion selon une des revendications précédentes, caractérisé en ce que ledit module radio réseau (20) est prévu pour limiter géographiquement l'accès dudit dispositif de connexion (100) à un point d'accès (310) dudit réseau (300).