FR3129052A1 - Procédé de traitement d’au moins un paquet de données, dispositif et système associés. - Google Patents

Procédé de traitement d’au moins un paquet de données, dispositif et système associés. Download PDF

Info

Publication number
FR3129052A1
FR3129052A1 FR2111978A FR2111978A FR3129052A1 FR 3129052 A1 FR3129052 A1 FR 3129052A1 FR 2111978 A FR2111978 A FR 2111978A FR 2111978 A FR2111978 A FR 2111978A FR 3129052 A1 FR3129052 A1 FR 3129052A1
Authority
FR
France
Prior art keywords
terminal
pap
data
processing device
data packet
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
FR2111978A
Other languages
English (en)
Inventor
Mohamed Boucadair
Christian Jacquenet
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Orange SA
Original Assignee
Orange SA
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Orange SA filed Critical Orange SA
Priority to FR2111978A priority Critical patent/FR3129052A1/fr
Priority to PCT/EP2022/081045 priority patent/WO2023083769A1/fr
Publication of FR3129052A1 publication Critical patent/FR3129052A1/fr
Pending legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/08—Access security
    • H04W12/088—Access security using filters or firewalls
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0281—Proxies
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/02—Protecting privacy or anonymity, e.g. protecting personally identifiable information [PII]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/60—Context-dependent security
    • H04W12/63—Location-dependent; Proximity-dependent
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/60—Context-dependent security
    • H04W12/65—Environment-dependent, e.g. using captured environmental data
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/60—Context-dependent security
    • H04W12/69—Identity-dependent

Abstract

Procédé de traitement d’au moins un paquet de données, dispositif et système associés L’invention concerne un procédé de traitement d’au moins un paquet de données généré par au moins un terminal (UE) connecté à un réseau (NET_GLOB), des informations d’identification relatives à l’identité et/ou à l’environnement d’une entité à laquelle appartient ledit au moins un terminal pouvant être déterminées à partir de données dites sensibles ayant été insérées dans ledit au moins un paquet avant qu’il n’atteigne un équipement de destination. Ledit procédé est mis en œuvre par au moins un dispositif de modification (UE, PAP), chaque dispositif de modification exécutant un ensemble d’étapes de : - obtention (E10, E20, E50) d’au moins une règle (PROFIL_UE, PROFIL_PAP) de contrôle de la diffusion d’au moins une donnée sensible déterminée, - et, si ladite au moins une donnée sensible est détectée dans ledit au moins un paquet de données, application (E70, E120) de ladite au moins une règle audit au moins un paquet de données. Figure pour l’abrégé : Fig. 4

Description

Procédé de traitement d’au moins un paquet de données, dispositif et système associés.
La présente invention appartient au domaine général des télécommunications. Elle concerne plus particulièrement un procédé de traitement d’au moins un paquet de données généré par au moins un terminal connecté à un réseau. Elle concerne également un dispositif configuré pour mettre en œuvre ledit procédé de modification, ainsi qu’un système comportant une pluralité de tels dispositifs. L’invention trouve une application particulièrement avantageuse, bien que nullement limitative, dans un contexte où un utilisateur d’un terminal souhaite maitriser la nature des informations que son terminal est susceptible de fournir à un ou plusieurs équipements accessibles via un réseau tel que le réseau Internet ou un réseau Intranet.
Le développement continu des technologies de l’information, ainsi que leur adoption et leur utilisation toujours plus importantes par les utilisateurs, contribuent à la transmission d’une quantité considérable de données sur les réseaux de communication exploitant ces technologies.
La transmission de ces données repose de manière conventionnelle sur l’échange de paquets de données émis par les terminaux en possession des utilisateurs. Il peut s’agir bien entendu de données délibérément transmises par un utilisateur, par exemple lorsqu’un appel téléphonique est passé au moyen d’un téléphone mobile.
Cela peut néanmoins aussi concerner des données insérées dans des paquets par un logiciel équipant un terminal en possession d’un utilisateur et transmises, depuis le terminal vers un équipement distant (serveur, instance logicielle, etc.), à l’insu dudit utilisateur. En particulier, il est connu que le ou les systèmes d’exploitation équipant le terminal d’un utilisateur, ainsi que la ou les applications logicielles installées sur ce terminal, peuvent transmettre des données à l’insu dudit utilisateur vers des équipements distants, comme par exemple des serveurs accessibles via un réseau (p. ex. le réseau Internet), données dont la gestion est assurée par le fabricant/concepteur dudit système d’exploitation/de ladite ou desdites applications.
A titre d’exemple nullement limitatif, des données transmises à l’insu d’un utilisateur par le système d’exploitation d’un téléphone mobile de cet utilisateur peuvent correspondre à l’un quelconque des éléments parmi :
- un numéro IMEI (« International Mobile Equipment Identity » en anglais),
- un numéro de série du téléphone mobile,
- un numéro de série de la carte SIM insérée dans le téléphone mobile,
- un numéro de téléphone,
- une adresse IP locale,
- une adresse matérielle MAC ( « Media Access Control » en anglais) dudit téléphone mobile, voire éventuellement une ou plusieurs adresses matérielles MAC de terminaux situés dans le voisinage du téléphone mobile (par exemple, suite à l’exécution automatique par le téléphone mobile d’une procédure de découverte d’adresses matérielles MAC en vue d’une éventuelle association (appairage)), etc.
Il peut d’ailleurs être noté que de telles données sont susceptibles d’être transmises à l’insu de l’utilisateur alors même qu’aucune carte SIM n’est activée par le terminal mobile.
Des données ainsi transmises à l’insu d’un utilisateur peuvent faire l’objet d’une collecte systématisée par les équipements distants en question (et être ainsi qualifiées de « données de télémétrie »), pour finalement être utilisées dans la mise en œuvre de différents traitements.
De tels traitements peuvent, par exemple, consister en l’analyse d’une activité de la source (système d’exploitation, application logicielle, comme mentionné ci-avant) à l’origine de la transmission des données, permettant ainsi légitimement de contribuer à améliorer le fonctionnement de ladite source, par exemple via le développement et la mise à disposition de mises à jour ou correctifs (patchs) que l’utilisateur peut installer sur son terminal.
Cela étant, même en prenant en compte l’hypothèse d’une intention initialement louable de la part d’un fabricant/concepteur d’un système d’exploitation/d’une application logicielle (p. ex. amélioration logicielle comme évoqué ci-avant), la transmission de données à l’insu d’un utilisateur n’en reste pas moins problématique dans la mesure où elle contribue au risque que des informations relatives à l’identité dudit utilisateur puissent être déterminées à l’aide des données transmises. De telles informations sont des « informations d’identification » telles que définies par l’IETF (« Internet Engineering Task Force » en anglais) dans le document RFC 6973 de Juillet 2013.
On note que le fait de pouvoir obtenir de telles informations d’identification à partir des données transmises permet de qualifier ces dernières de « données sensibles ».
Cette détermination d’informations d’identification peut typiquement s’effectuer en corrélant ou en combinant entre elles des données sensibles transmises par différentes sources (système d’exploitation, application logicielle, etc.) et/ou en corrélant ou en combinant des données sensibles de différents types transmises par une même source et/ou encore en corrélant ou en combinant des données sensibles transmises par une ou plusieurs sources avec des données transmises par d’autres moyens logiciels, comme par exemple des données de localisation de type GPS ( « Global Positioning System » en anglais), etc.
En outre, lesdites informations d’identification ne se limitent pas nécessairement à l’identité même de l’utilisateur du terminal à l’origine de la transmission de données sensibles, mais peuvent aussi concerner plus généralement l’environnement dudit utilisateur, comme par exemple d’autres utilisateurs dont les terminaux respectifs sont situés dans le voisinage du terminal émetteur.
On note que la notion de « voisinage » fait ici référence à des terminaux situés à proximité d’un terminal donné et dont la présence peut être découverte, par exemple, à l’aide de mécanismes de diffusion (« broadcast » en anglais) mis en œuvre par ledit terminal donné en vue d’une éventuelle association (appairage), de maintien d’une table « ARP » (« Address Resolution Protocol » en anglais) ou « ND » (« Neighbor Discovery » en anglais).
A titre d’exemple, si des données sensibles transmises par un premier terminal divulgue des adresses matérielles MAC (ou tout autre identifiant persistant) d’autres terminaux situés dans le voisinage dudit premier terminal, il est possible d’accéder (modulo la mise en œuvre de corrélations idoines avec d’autres données) à des informations d’identification relatives aux utilisateurs de ces autres terminaux, comme par exemple des informations relatives aux fréquentations sociales, aux centres d’intérêt, aux lieux visités, etc. Qui plus est, la détermination de ces informations d’identification peut se faire alors même que ces autres terminaux supportent un système d’exploitation distinct de celui supporté par le premier terminal transmettant lesdites données sensibles.
En définitive, la transmission de données sensibles à l’insu des utilisateurs de terminaux représente une menace pour la préservation de leurs vies privées, et ce d’autant plus que l’évolution de la complexité des systèmes d’exploitation, ainsi que la multiplication des applications logicielles, tendent à accroitre toujours plus le volume de ces données sensibles transmises dans les réseaux de communication.
La présente invention a pour objectif de remédier à tout ou partie des inconvénients de l’art antérieur, notamment ceux exposés ci-avant, en proposant une solution qui permet de contrôler la diffusion de données sensibles transmises par au moins un terminal (typiquement à son insu). En d’autres termes, la solution proposée par l’invention offre la possibilité de limiter l’exposition d’informations d’identification d’une entité à laquelle appartient ledit au moins un terminal, ce qui contribue, en conséquence, à limiter les possibilités d’identification univoque de cette entité.
Au sens de la présente invention, une entité peut désigner un utilisateur ou un administrateur dudit au moins un terminal. La notion d’administrateur fait typiquement référence à une personne (physique ou morale) en charge de la gestion dudit au moins un terminal. A titre d’exemple nullement limitatif, il peut s’agir d’un parent responsable de la gestion d’une pluralité de téléphones mobiles respectivement utilisés par ses enfants, ou bien encore d’une entreprise responsable de la gestion d’une pluralité de terminaux déployés dans les locaux qu’elle occupe et utilisés par des employés.
On comprend donc que lorsque le terme « entité » fait référence à une personne physique, la limitation de l’exposition d’informations d’identification de cette personne revient avantageusement à améliorer la préservation de la vie privée de cette dernière.
La notion d’ « entité » ne se limite néanmoins pas aux cas précédents, et concerne également, dans le cadre de la présente invention, les cas où l’entité en question désigne :
- un réseau d’accès auquel est connecté ledit au moins un terminal et connecté au réseau via lequel ledit équipement de destination est accessible, ou
- un réseau local auquel est connecté ledit au moins un terminal et connecté audit réseau d’accès.
La prise en compte de ces autres cas d’application résulte notamment du fait qu’un réseau (plus précisément tout ou partie des composantes de ce réseau) est susceptible d’insérer des données dans des paquets émis par au moins un terminal.
Pour permettre de contrôler la diffusion d’informations d’identification, l’invention concerne, selon un premier aspect, un procédé de traitement d’au moins un paquet de données généré par au moins un terminal connecté à un réseau, ledit au moins un paquet de données étant destiné à un équipement dit « de destination » accessible via ledit réseau, des informations d’identification relatives à l’identité et/ou à l’environnement d’une entité à laquelle appartient ledit au moins un terminal pouvant être déterminées à partir de données dites sensibles ayant été insérées dans ledit au moins un paquet avant qu’il n’atteigne l’équipement de destination. Ledit procédé est mis en œuvre par au moins un dispositif de traitement distinct dudit équipement de destination, chaque dispositif de traitement exécutant un ensemble d’étapes comprenant :
- une obtention d’au moins une règle de contrôle de la diffusion d’au moins une donnée sensible déterminée,
- et, si ladite au moins une donnée sensible est détectée dans ledit au moins un paquet de données, une application de ladite au moins une règle de contrôle audit au moins un paquet de données.
Ainsi, le procédé de traitement selon l’invention propose d’effectuer une détection d’au moins une donnée sensible dans au moins un paquet de données généré par au moins un terminal, cette détection étant réalisée par un dispositif qui diffère de l’équipement distant auquel ledit au moins un paquet de données est initialement destiné. De cette manière, la détection de données sensibles peut par exemple être réalisée avant même que ledit au moins paquet n’atteigne sa destination.
En procédant de cette manière, l’invention permet de déterminer si des données sensibles ont été insérées par une ou plusieurs sources (p. ex. système d’exploitation d’un terminal, application logicielle installée sur un terminal, réseau d’accès ou éventuellement réseau local) dans ledit au moins un paquet de données, notamment à l’insu de l’utilisateur dudit au moins un terminal.
On note que la notion d’ « insertion » de données sensibles dans un paquet de données couvre, au sens de la présente invention, deux cas, à savoir :
- un premier cas selon lequel des données sensibles sont contenues dans un paquet de données dès son émission par ledit au moins un terminal. A titre d’exemple, un tel paquet peut être émis par un système d’exploitation ou une application logicielle installés sur ledit au moins un terminal ;
- un deuxième cas selon lequel un paquet de données originellement transmis par ledit au moins un terminal est modifié, au cours de son acheminement vers ledit équipement de destination, par une entité (source) autre que ledit au moins un terminal, de sorte à y intégrer des données sensibles.
Cette détection de données sensibles dans au moins un paquet de données est plus particulièrement mise en œuvre à partir de règles, dites « règles de contrôle », configurées pour désigner la ou les données sensibles à identifier dans ledit au moins un paquet de données ainsi que pour fournir des instructions de traitement (p.ex. : suppression, remplacement, déplacement, etc.) des données ainsi désignées.
L’invention permet donc de modifier (le cas échéant, i.e. si la détection est positive c’est-à-dire qu’au moins une donnée sensible est détectée) le contenu de paquets émis vers des équipements de destination, ce qui se révèle particulièrement avantageux pour limiter l’exposition d’informations d’identification de l’entité à laquelle appartient ledit au moins un terminal. Cette manière de procéder contribue donc à limiter les possibilités d’identification univoque de cette entité. De manière plus particulière, lorsque cette entité correspond à un individu, le procédé de traitement selon l’invention permet avantageusement d’améliorer la préservation de la vie privée de celui-ci.
Il est à noter que le procédé de traitement selon l’invention peut s’inscrire dans le cadre d’un service proposé par un fournisseur de services en charge de la gestion d’un ou plusieurs dispositifs de traitement distincts dudit au moins un terminal, comme par exemple le fournisseur d’accès responsable de la gestion et de la maintenance du réseau via lequel ledit équipement de destination est accessible.
Dans des modes particuliers de mise en œuvre, le procédé de traitement peut comporter en outre l’une ou plusieurs des caractéristiques suivantes, prises isolément ou selon toutes les combinaisons techniquement possibles.
Dans des modes particuliers de mise en œuvre, un dispositif de traitement est intégré audit au moins un terminal, l’étape d’obtention exécutée par ledit dispositif de traitement comportant une réception de ladite au moins une règle de contrôle, l’ensemble d’étapes exécutées par ledit dispositif de traitement comportant en outre une étape d’émission dudit au moins un paquet mise en œuvre après l’étape d’application si ladite au moins une donnée sensible est détectée dans ledit au moins un paquet de données.
Suivant ces dispositions, il est possible de mettre en œuvre le procédé de modification selon l’invention au niveau d’un terminal à l’origine de l’émission d’un paquet comportant des données sensibles, c’est-à-dire en amont de la chaîne de transmission dudit paquet avant qu’il n’atteigne sa destination finale.
Dans des modes particuliers de mise en œuvre, l’étape d’obtention exécutée par le dispositif de traitement intégré audit au moins un terminal comporte en outre une émission d’une requête d’obtention de ladite au moins une règle de contrôle, ladite au moins une règle de contrôle étant reçue par ledit au moins un terminal en réponse à ladite requête d’obtention.
On comprend que dans de tels modes, ledit au moins un terminal sollicite lui-même l’obtention de la ou les règles de contrôle qu’il est amené à appliquer ensuite à des paquets de données.
En variante, la ou les règles de contrôle peuvent être reçues par le terminal de façon non sollicitée, c’est-à-dire sans que celui-ci ne soit à l’origine d’une requête d’obtention explicite de cette ou ces règles de contrôle.
Dans des modes particuliers de mise en œuvre, l’ensemble d’étapes exécutées par le dispositif de traitement intégré audit au moins un terminal comporte en outre une étape de mise à jour de ladite au moins une règle de contrôle obtenue.
De telles dispositions sont avantageuses en ce qu’elles permettent à l’entité à laquelle appartient ledit au moins un terminal de mettre à jour ladite au moins une règle de contrôle obtenue. Une telle mise à jour est par exemple réalisée par l’utilisateur dudit au moins un terminal, par exemple au moyen d’une interface (écran, clavier, etc.) dudit au moins un terminal. Alternativement, l’entité peut informer le fournisseur d’accès qu’elle souhaite que ce dernier mette à jour ladite au moins une règle de contrôle puis la transmette à un équipement dédié (par exemple un dispositif intermédiaire selon l’invention et décrit ci-après). Ledit équipement dédié peut ensuite relayer ladite au moins une règle de contrôle mise à jour audit au moins terminal, par exemple en réponse à une requête d’obtention ou de façon spontanée sans sollicitation particulière du terminal.
La mise à jour de ladite au moins une règle de contrôle peut consister, par exemple, en la suppression d’une ou plusieurs règles de contrôle et/ou en le remplacement d’une ou plusieurs règles de contrôle par une ou plusieurs autres règles de contrôle.
En alternative, ou bien en complément, la mise à jour de ladite au moins une règle de contrôle peut consister, par exemple, en l’ajout d’une ou plusieurs règles de contrôle, de sorte à limiter encore davantage l’exposition d’informations d’identification relative à ladite entité.
Dans des modes particuliers de réalisation, un dispositif de traitement est intégré à un au moins un dispositif distinct dudit au moins un terminal et dit « dispositif intermédiaire », ledit ensemble d’étapes exécutées par ledit dispositif de traitement comportant en outre :
- une réception dudit au moins un paquet de données,
- une émission consistant à relayer ledit au moins un paquet de données vers l’équipement de destination, ladite émission étant mise en œuvre après l’étape d’application si ladite au moins une donnée sensible est détectée dans ledit au moins un paquet de données.
De telles dispositions permettent au dispositif intermédiaire de jouer un rôle de relais (« proxy » en anglais) entre ledit au moins un terminal et l’équipement de destination auquel est destiné un paquet de données. Dit autrement, le dispositif intermédiaire dispose ici des informations de routage nécessaires à la retransmission du paquet (autrement dit pour relayer ledit paquet) vers ledit équipement de destination.
Il importe de noter que ledit dispositif intermédiaire est localisé de manière appropriée pour recevoir (et non intercepter) ledit au moins un paquet de données, et ainsi en analyser le contenu. Dit autrement, le dispositif intermédiaire est localisé de sorte que ledit au moins un paquet de données qu’il reçoit lui est effectivement destiné, sans avoir à réaliser une interception à l’insu de l’utilisateur dudit au moins un terminal. Il ressort donc aussi de ces éléments que la procédure proposée par l’invention est initialisée à la demande de l’entité à laquelle appartient ledit au moins un terminal.
Ainsi, et comme décrit plus en détail ci-après, le dispositif intermédiaire peut par exemple être localisé sur une route d’acheminement de paquets de données. Une telle route est par exemple configurée par défaut au niveau dudit au moins un terminal, ou bien encore peut correspondre à une route établie de manière dynamique pour permettre l’acheminement dudit au moins un paquet de données.
En alternative (si le dispositif intermédiaire n’est placé sur aucune route d’acheminement de paquets de données) ou en complément de ces dispositions, le dispositif intermédiaire peut être connecté au terminal à l’aide d’au moins un tunnel de communication apte à forcer l’acheminement de paquets de données dudit au moins un terminal vers le dispositif intermédiaire. Avantageusement, ledit au moins un tunnel est configuré pour mettre en œuvre une connexion sécurisée.
Dans des modes particuliers de mise en œuvre, ledit ensemble d’étapes exécutées par le dispositif de traitement intégré audit dispositif intermédiaire comporte en outre :
- une réception de la requête d’obtention émise par ledit au moins un terminal,
- en réponse à ladite requête d’obtention, une transmission audit au moins un terminal d’au moins une règle de contrôle.
On comprend que dans de tels modes, le dispositif intermédiaire est sollicité par ledit au moins un terminal pour que celui-ci obtienne la ou les règles de contrôle qu’il se destine à appliquer ensuite à des paquets de données.
Dans des modes particuliers de mise en œuvre, ledit ensemble d’étapes exécutées par le dispositif de traitement intégré audit dispositif intermédiaire comporte en outre une transmission, de la propre initiative dudit dispositif de traitement, d’au moins une règle de contrôle à destination dudit au moins un terminal.
De tels modes sont donc différents de ceux où le dispositif intermédiaire est sollicité par ledit au moins un terminal pour obtenir une ou plusieurs règles de contrôle.
Dans des modes particuliers de mise en œuvre, ledit procédé comporte en outre une étape mise en œuvre par le dispositif de traitement intégré audit dispositif intermédiaire et consistant à exécuter un algorithme d’apprentissage pour détecter au moins un motif de données récurrent contenu dans un ensemble de paquet de données émis par ledit au moins un terminal, ladite étape d’application exécutée par ledit dispositif de traitement comportant en outre, si au moins un motif de données récurrent est détecté, une application d’une règle de contrôle de la diffusion dudit au moins un motif de données récurrent détecté.
Dans des modes particuliers de mise en œuvre, ledit ensemble d’étapes exécutées par le dispositif de traitement intégré audit dispositif intermédiaire comporte en outre une étape de recherche de ladite au moins une donnée sensible associée à ladite au moins une règle de contrôle dans ledit au moins un paquet de données, ladite étape de recherche étant mise en œuvre par ledit dispositif de traitement si un critère d’autorisation de recherche de données sensibles pour ledit au moins un terminal est satisfait.
Ledit critère d’autorisation est par exemple représentatif d’une souscription de la part de l’utilisateur d’un terminal mobile (ou « User Equipment (UE) » en anglais) d’un contrat auprès du fournisseur d’accès responsable de la gestion d’un réseau d’accès. Ce contrat concerne plus particulièrement un service payant, proposé par ledit fournisseur d’accès pour permettre la recherche, et la modification le cas échéant, de données sensibles par un dispositif intermédiaire.
A l’inverse, il peut aussi être envisagé, par exemple, que le service fourni par le fournisseur d’accès est gratuit, ledit critère d’autorisation désignant alors l’accord donné par l’entité pour que des données sensibles soient recherchées, et modifiées le cas échéant, dans des paquets émis par ledit au moins un terminal.
Dans des modes particuliers de mise en œuvre, des données sensibles sont insérées dans ledit au moins un paquet par au moins l’un quelconque des éléments parmi :
- un système d’exploitation équipant ledit au moins un terminal,
- une application logicielle installée sur ledit au moins un terminal,
- un réseau d’accès auquel est connecté ledit au moins un terminal et connecté au réseau via lequel ledit équipement de destination est accessible,
- un réseau local auquel est connecté ledit au moins un terminal et connecté audit réseau d’accès.
On note qu’il est conventionnel de considérer un système d’exploitation ou une application logicielle comme source de données sensibles. Néanmoins, et comme déjà évoqué ci-avant, l’invention ne se limite pas à ce type de sources, mais couvre également le cas de données sensibles transmises (typiquement à l’insu de l’utilisateur dudit au moins un terminal) par le réseau local et/ou par le réseau d’accès. Ces réseaux sont en effet susceptibles d’injecter des données sensibles dans des paquets émis par ledit au moins un terminal vers le réseau via lequel ledit équipement de destination est accessible. L’injection de ces données est par exemple réalisée au niveau applicatif (p. ex. : dans les en-têtes du protocole de communication utilisé pour la transmission de données tel que, par exemple, le protocole HTTP (pour « HyperText Transfer Protocol » en anglais), dans les options TCP (pour « Transmission Control Protocol » en anglais), dans les options IPv4, dans les en-têtes d’extension IPv6, dans les options UDP (pour « User Datagram Protocol » en anglais), etc.).
Autrement dit, le fait de considérer comme données sensibles certaines données injectées par le réseau local et/ou par le réseau d’accès permet avantageusement d’élargir la notion de données sensibles, et donc en définitive d’améliorer l’évaluation du risque selon lequel des informations d’identification relatives à l’entité à laquelle appartient ledit au moins un terminal et/ou à son environnement seraient accessibles à son insu.
Dans des modes particuliers de mise en œuvre, une règle de contrôle de la diffusion d’au moins une donnée sensible est l’un quelconque des éléments d’une liste comprenant :
- une suppression de tout ou partie de ladite au moins une donnée sensible,
- un remplacement de tout ou partie de ladite au moins une donnée sensible par une ou plusieurs autres données,
- un ajout d’au moins une donnée dans ledit au moins un paquet,
- une modification de l’ordre d’apparition de ladite au moins une donnée sensible dans ledit au moins un paquet.
Selon un deuxième aspect, l’invention concerne un programme d’ordinateur comportant des instructions pour la mise en œuvre d’un procédé de traitement selon l’invention lorsque ledit programme d’ordinateur est exécuté par un ordinateur.
Ce programme peut utiliser n’importe quel langage de programmation, et être sous la forme de code source, code objet, ou de code intermédiaire entre code source et code objet, tel que dans une forme partiellement compilée, ou dans n’importe quelle autre forme souhaitable.
Selon un troisième aspect, l’invention concerne un support d’informations ou d’enregistrement lisible par un ordinateur sur lequel est enregistré un programme d’ordinateur selon l’invention.
Le support d'informations ou d’enregistrement peut être n'importe quelle entité ou dispositif capable de stocker le programme. Par exemple, le support peut comporter un moyen de stockage, tel qu'une ROM, par exemple un CD ROM ou une ROM de circuit microélectronique, ou encore un moyen d'enregistrement magnétique, par exemple un disque dur.
D'autre part, le support d'informations ou d’enregistrement peut être un support transmissible tel qu'un signal électrique ou optique, qui peut être acheminé via un câble électrique ou optique, par radio ou par d'autres moyens. Le programme selon l'invention peut être en particulier téléchargé sur un réseau tel qu’un réseau IP, comme typiquement le réseau Internet.
Alternativement, le support d'informations ou d’enregistrement peut être un circuit intégré dans lequel le programme est incorporé, le circuit étant adapté pour exécuter ou pour être utilisé dans l'exécution du procédé en question.
Selon un quatrième aspect, l’invention concerne un dispositif de de traitement d’au moins un paquet de données généré par au moins un terminal connecté à un réseau, ledit au moins un paquet de données étant destiné à un équipement dit « de destination » accessible via ledit réseau, des informations d’identification relatives à l’identité et/ou à l’environnement d’une entité à laquelle appartient ledit au moins un terminal pouvant être déterminées à partir de données dites sensibles ayant été insérées dans ledit au moins un paquet avant qu’il n’atteigne l’équipement de destination. Ledit dispositif de traitement est distinct dudit équipement de destination et comporte :
- un module d’obtention configuré pour obtenir au moins une règle de contrôle de la diffusion d’au moins une donnée sensible déterminée,
- un module d’application configuré pour appliquer ladite au moins une règle de contrôle audit au moins un paquet de données si ladite donnée sensible associée à ladite au moins une règle de contrôle est détectée dans ledit au moins un paquet de données.
Selon un cinquième aspect, l’invention concerne un terminal de communication comportant un dispositif de traitement selon l’invention, ledit dispositif de traitement comportant en outre un module d’émission configuré pour émettre ledit au moins un paquet, ladite émission étant effectuée après que ladite au moins une règle de contrôle est appliquée par le module d’application si ladite au moins une donnée sensible est détectée dans ledit au moins un paquet de données.
Selon un sixième aspect, l’invention concerne un dispositif, dit « dispositif intermédiaire », comportant un dispositif de traitement selon l’invention, ledit dispositif intermédiaire étant distinct dudit au moins un terminal, ledit dispositif de traitement comportant en outre :
- un module de réception configuré pour recevoir ledit au moins un paquet de données,
- un module d’émission configuré pour relayer ledit au moins un paquet de données vers l’équipement de destination, le relais dudit au moins un paquet de données reçu étant effectué après que ladite au moins une règle de contrôle est appliquée par le module d’application si ladite donnée sensible est détectée dans ledit au moins un paquet de données.
Dans des modes particuliers de réalisation, le dispositif intermédiaire peut comporter en outre l’une ou plusieurs des caractéristiques suivantes, prises isolément ou selon toutes les combinaisons techniquement possibles.
Dans des modes particuliers de réalisation, ledit dispositif intermédiaire est localisé sur une route d’acheminement dudit au moins un paquet de données vers ledit équipement de destination ou est connecté au terminal par un tunnel.
Dans des modes particuliers de réalisation, ledit dispositif intermédiaire est déployé dans :
- le réseau via lequel ledit équipement de destination est accessible,
- un réseau d’accès connecté au réseau via lequel ledit équipement de destination est accessible,
- un réseau local auquel est connecté ledit au moins un terminal et connecté audit réseau d’accès.
Selon un septième aspect, l’invention concerne un système de gestion de données dites sensibles comportant un terminal de communication selon l’invention ainsi qu’un dispositif intermédiaire selon l’invention.
D’autres caractéristiques et avantages de la présente invention ressortiront de la description faite ci-dessous, en référence aux dessins annexés qui en illustrent un exemple de réalisation dépourvu de tout caractère limitatif. Sur les figures :
la représente schématiquement, dans son environnement, un mode particulier de réalisation d’un système de gestion de données sensibles selon l’invention ;
la représente schématiquement un exemple d’architecture matérielle d’un dispositif de traitement selon l’invention et intégré à un terminal de communication appartenant au système de gestion de données sensibles de la ;
la représente schématiquement un exemple d’architecture matérielle d’un autre dispositif de traitement intégré à un dispositif, dit « dispositif intermédiaire », distinct du terminal de la , et appartenant au système de gestion de données sensibles de la ;
la représente, sous forme d’ordinogramme, un mode particulier d’un procédé de de traitement d’au moins un paquet de données mis en œuvre par le système de gestion de données sensibles de la .

Claims (18)

  1. Procédé de traitement d’au moins un paquet de données généré par au moins un terminal (UE) connecté à un réseau (NET_GLOB), ledit au moins un paquet de données (PAQ_OS) étant destiné à un équipement dit « de destination » (EQUIP_OS) accessible via ledit réseau, des informations d’identification relatives à l’identité et/ou à l’environnement d’une entité à laquelle appartient ledit au moins un terminal pouvant être déterminées à partir de données dites sensibles ayant été insérées dans ledit au moins un paquet avant qu’il n’atteigne l’équipement de destination, ledit procédé étant mis en œuvre par au moins un dispositif de traitement (DT_UE, DT_PAP) distinct dudit équipement de destination, chaque dispositif de traitement exécutant un ensemble d’étapes comprenant :
    - une obtention (E10, E20, E50) d’au moins une règle (PROFIL_UE, PROFIL_PAP) de contrôle de la diffusion d’au moins une donnée sensible déterminée,
    - et, si ladite au moins une donnée sensible est détectée dans ledit au moins un paquet de données, une application (E70, E120) de ladite au moins une règle de contrôle audit au moins un paquet de données.
  2. Procédé selon la revendication 1, dans lequel un dispositif de traitement (DT_UE) est intégré audit au moins un terminal (UE), l’étape d’obtention exécutée par ledit dispositif de traitement comportant une réception (E50) de ladite au moins une règle de contrôle, l’ensemble d’étapes exécutées par ledit dispositif de traitement comportant en outre une étape d’émission (E80) dudit au moins un paquet mise en œuvre après l’étape d’application (E70) si ladite au moins une donnée sensible est détectée dans ledit au moins un paquet de données.
  3. Procédé selon la revendication 2, l’étape d’obtention exécutée par le dispositif de traitement (DT_UE) intégré audit au moins un terminal comportant en outre une émission (E20) d’une requête d’obtention (REQ_UE) de ladite au moins une règle de contrôle (PROFIL_UE), ladite au moins une règle de contrôle étant reçue par ledit au moins un terminal en réponse à ladite requête d’obtention.
  4. Procédé selon l’une quelconque des revendications 2 à 3, dans lequel l’ensemble d’étapes exécutées par le dispositif de traitement (DT_UE) intégré audit au moins un terminal (UE) comporte en outre une étape de mise à jour de ladite au moins une règle de contrôle obtenue.
  5. Procédé selon l’une quelconque des revendications 1 à 4, dans lequel un dispositif de traitement (DT_PAP) est intégré à un au moins un dispositif distinct dudit au moins un terminal (UE) et dit « dispositif intermédiaire » (PAP), ledit ensemble d’étapes exécutées par ledit dispositif de traitement comportant en outre :
    - une réception (E90) dudit au moins un paquet de données,
    - une émission (E130) consistant à relayer ledit au moins un paquet de données vers l’équipement de destination, ladite émission étant mise en œuvre après l’étape d’application (E120) si ladite au moins une donnée sensible est détectée dans ledit au moins un paquet de données.
  6. Procédé selon la revendication 5 et la revendication 3, ou selon la revendication 5 et la combinaison des revendications 3 et 4, dans lequel ledit ensemble d’étapes exécutées par le dispositif de traitement (DT_PAP) intégré audit dispositif intermédiaire (PAP) comporte en outre :
    - une réception (E30) de la requête d’obtention (REQ_UE) émise par ledit au moins un terminal (UE),
    - en réponse à ladite requête d’obtention, une transmission (E40) audit au moins un terminal d’au moins une règle de contrôle (PROFIL_UE).
  7. Procédé selon la revendication 5 et la revendication 2, ou selon la revendication 5 et la combinaison des revendications 2 et 4, dans lequel ledit ensemble d’étapes exécutées par le dispositif de traitement (DT_PAP) intégré audit dispositif intermédiaire (PAP) comporte en outre une transmission, de la propre initiative dudit dispositif de traitement, d’au moins une règle de contrôle à destination dudit au moins un terminal (UE).
  8. Procédé selon l’une quelconque des revendications 5 à 7, ledit procédé comportant en outre une étape mise en œuvre par le dispositif de traitement (DT_PAP) intégré audit dispositif intermédiaire (PAP) et consistant à exécuter un algorithme d’apprentissage pour détecter au moins un motif de données récurrent contenu dans un ensemble de paquet de données émis par ledit au moins un terminal (UE), ladite étape d’application (E120) exécutée par ledit dispositif de traitement comportant en outre, si au moins un motif de données récurrent est détecté, une application d’une règle de contrôle de la diffusion dudit au moins un motif de données récurrent détecté.
  9. Procédé selon l’une quelconque des revendications 5 à 8, dans lequel ledit ensemble d’étapes exécutées par le dispositif de traitement (DT_PAP) intégré audit dispositif intermédiaire (PAP) comporte en outre une étape de recherche (E110) de ladite au moins une donnée sensible associée à ladite au moins une règle de contrôle dans ledit au moins un paquet de données, ladite étape de recherche étant mise en œuvre par ledit dispositif de traitement si un critère (CRIT_AUTH) d’autorisation de recherche de données sensibles pour ledit au moins un terminal (UE) est satisfait (E100).
  10. Procédé selon l’une quelconque des revendications 1 à 9, dans lequel des données sensibles sont insérées dans ledit au moins un paquet par au moins l’un quelconque des éléments parmi :
    - un système d’exploitation (OS) équipant ledit au moins un terminal (UE),
    - une application logicielle (APP_1,…, APP_N) installée sur ledit au moins un terminal,
    - un réseau d’accès (NET_ACC) auquel est connecté ledit au moins un terminal et connecté au réseau via lequel ledit équipement de destination est accessible,
    - un réseau local (NET_LOC) auquel est connecté ledit au moins un terminal et connecté audit réseau d’accès.
  11. Procédé selon l’une quelconque des revendications 1 à 8, dans lequel une règle de contrôle de la diffusion d’au moins une donnée sensible est l’un quelconque des éléments d’une liste comprenant :
    - une suppression de tout ou partie de ladite au moins une donnée sensible,
    - un remplacement de tout ou partie de ladite au moins une donnée sensible par une ou plusieurs autres données,
    - un ajout d’au moins une donnée dans ledit au moins un paquet,
    - une modification de l’ordre d’apparition de ladite au moins une donnée sensible dans ledit au moins un paquet.
  12. Programme d’ordinateur comportant des instructions pour la mise en œuvre d’un procédé de traitement selon l’une quelconque des revendications 1 à 11 lorsque ledit programme est exécuté par un ordinateur.
  13. Dispositif de traitement (DT_UE, DT_PAP) d’au moins un paquet de données généré par au moins un terminal (UE) connecté à un réseau (NET_GLOB), ledit au moins un paquet de données (PAQ_OS) étant destiné à un équipement dit « de destination » (EQUIP_OS) accessible via ledit réseau, des informations d’identification relatives à l’identité et/ou à l’environnement d’une entité à laquelle appartient ledit au moins un terminal pouvant être déterminées à partir de données dites sensibles ayant été insérées dans ledit au moins un paquet avant qu’il n’atteigne l’équipement de destination, ledit dispositif de traitement étant distinct dudit équipement de destination et comportant :
    - un module d’obtention (MOD_OBT_UE, MOD_OBT_PAP) configuré pour obtenir au moins une règle (PROFIL_UE, PROFIL_PAP) de contrôle de la diffusion d’au moins une donnée sensible déterminée,
    - un module d’application (MOD_EXEC_UE, MOD_EXEC_PAP) configuré pour appliquer ladite au moins une règle de contrôle audit au moins un paquet de données si ladite donnée sensible associée à ladite au moins une règle de contrôle est détectée dans ledit au moins un paquet de données.
  14. Terminal de communication (UE) comportant un dispositif de traitement (DT_UE) selon la revendication 13, ledit dispositif de traitement comportant en outre un module d’émission (MOD_TX_UE) configuré pour émettre ledit au moins un paquet, ladite émission étant effectuée après que ladite au moins une règle de contrôle est appliquée par le module d’application (MOD_EXEC_PAP) si ladite au moins une donnée sensible est détectée dans ledit au moins un paquet de données.
  15. Dispositif, dit « dispositif intermédiaire » (PAP), comportant un dispositif de traitement (DT_PAP) selon la revendication 13, ledit dispositif intermédiaire étant distinct dudit au moins un terminal (UE), ledit dispositif de traitement comportant en outre :
    - un module de réception (MOD2_RX_PAP) configuré pour recevoir ledit au moins un paquet de données,
    - un module d’émission (MOD2_TX_PAP) configuré pour relayer ledit au moins un paquet de données vers l’équipement de destination (EQUIP_OS), le relais dudit au moins un paquet de données reçu étant effectué après que ladite au moins une règle de contrôle (PROFIL_PAP) est appliquée par le module d’application (MOD_EXEC_PAP) si ladite donnée sensible est détectée dans ledit au moins un paquet de données.
  16. Dispositif intermédiaire (PAP) selon la revendication 15, ledit dispositif intermédiaire étant localisé sur une route d’acheminement dudit au moins un paquet de données vers ledit équipement de destination (EQUIP_OS) ou est connecté au terminal par un tunnel (TUN).
  17. Dispositif intermédiaire (PAP) selon l’une quelconque des revendications 15 à 16, ledit dispositif intermédiaire étant déployé dans :
    - le réseau (NET_GLOB) via lequel ledit équipement de destination (EQUIP_OS) est accessible,
    - un réseau d’accès (NET_ACC) connecté au réseau via lequel ledit équipement de destination est accessible,
    - un réseau local auquel est connecté ledit au moins un terminal (UE) et connecté audit réseau d’accès (NET_ACC).
  18. Système de gestion de données dites sensibles (SYS) comportant un terminal de communication selon la revendication 14 ainsi qu’un dispositif intermédiaire (PAP) selon l’une quelconque des revendications 15 à 17.
FR2111978A 2021-11-10 2021-11-10 Procédé de traitement d’au moins un paquet de données, dispositif et système associés. Pending FR3129052A1 (fr)

Priority Applications (2)

Application Number Priority Date Filing Date Title
FR2111978A FR3129052A1 (fr) 2021-11-10 2021-11-10 Procédé de traitement d’au moins un paquet de données, dispositif et système associés.
PCT/EP2022/081045 WO2023083769A1 (fr) 2021-11-10 2022-11-08 Procédé de traitement d'au moins un paquet de données, dispositif et système associés.

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
FR2111978 2021-11-10
FR2111978A FR3129052A1 (fr) 2021-11-10 2021-11-10 Procédé de traitement d’au moins un paquet de données, dispositif et système associés.

Publications (1)

Publication Number Publication Date
FR3129052A1 true FR3129052A1 (fr) 2023-05-12

Family

ID=80786991

Family Applications (1)

Application Number Title Priority Date Filing Date
FR2111978A Pending FR3129052A1 (fr) 2021-11-10 2021-11-10 Procédé de traitement d’au moins un paquet de données, dispositif et système associés.

Country Status (2)

Country Link
FR (1) FR3129052A1 (fr)
WO (1) WO2023083769A1 (fr)

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8856869B1 (en) * 2009-06-22 2014-10-07 NexWavSec Software Inc. Enforcement of same origin policy for sensitive data
US20160191545A1 (en) * 2014-12-31 2016-06-30 Symantec Corporation Systems and methods for monitoring virtual networks

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8856869B1 (en) * 2009-06-22 2014-10-07 NexWavSec Software Inc. Enforcement of same origin policy for sensitive data
US20160191545A1 (en) * 2014-12-31 2016-06-30 Symantec Corporation Systems and methods for monitoring virtual networks

Non-Patent Citations (3)

* Cited by examiner, † Cited by third party
Title
ANASTASIA SHUBA ET AL: "AntMonitor: System and Applications", ARXIV.ORG, CORNELL UNIVERSITY LIBRARY, 201 OLIN LIBRARY CORNELL UNIVERSITY ITHACA, NY 14853, 14 November 2016 (2016-11-14), XP080731493 *
ANASTASIA SHUBA ET AL: "AntShield: On-Device Detection of Personal Information Exposure", ARXIV.ORG, CORNELL UNIVERSITY LIBRARY, 201 OLIN LIBRARY CORNELL UNIVERSITY ITHACA, NY 14853, 4 March 2018 (2018-03-04), XP080857567 *
SHUBA ANASTASIA ASHUBA@UCI EDU ET AL: "AntMonitor Network Traffic Monitoring and Real-Time Prevention of Privacy Leaks in Mobile Devices", USER INTERFACE SOFTWARE AND TECHNOLOGY, ACM, 2 PENN PLAZA, SUITE 701 NEW YORK NY 10121-0701 USA, 11 September 2015 (2015-09-11), pages 25 - 27, XP058523527, ISBN: 978-1-4503-4531-6, DOI: 10.1145/2801694.2801707 *

Also Published As

Publication number Publication date
WO2023083769A1 (fr) 2023-05-19

Similar Documents

Publication Publication Date Title
EP3417591B1 (fr) Procédé et serveur de sélection d'un serveur d'entrée d'un réseau de communication ims
EP3503508B1 (fr) Procédé de traitement de requêtes et serveur proxy
FR3053197A1 (fr) Procede de communication udp via des chemins multiples entre deux terminaux
EP3117640A1 (fr) Module d'identité de souscripteur embarque apte a gérer des profils de communication
FR3110795A1 (fr) Procédé de configuration d’un équipement pare-feu dans un réseau de communication, procédé de mise à jour d’une configuration d’un équipement pare-feu, dispositif, équipement d’accès, équipement pare-feu et programmes d’ordinateur correspondants.
FR3129052A1 (fr) Procédé de traitement d’au moins un paquet de données, dispositif et système associés.
WO2023083770A1 (fr) Procédé de recherche de données sensibles dans au moins un paquet de données, dispositif et système associés
FR3089731A1 (fr) Procédé de configuration d’un nœud d’un réseau
EP4066461B1 (fr) Procédé de coordination de la mitigation d'une attaque informatique, dispositif et système associés
WO2020229219A1 (fr) Procede et dispositif de traitement d'une demande d'anonymisation d'une adresse ip source, procede et dispositif de demande d'anonymisation d'une adresse ip source
WO2023083772A1 (fr) Procédés de contrôle et de transmission, et entités configurées pour mettre en œuvre ces procédés
WO2019243706A1 (fr) Procédé de découverte de fonctions intermédiaires et de sélection d'un chemin entre deux équipements de communication
FR3080967A1 (fr) Procede d'envoi d'une information et de reception d'une information pour la gestion de reputation d'une ressource ip
EP3824676A1 (fr) Dispositifs et procedes de gestion d'un attachement d'un dispositif de communication a un reseau d'un operateur
EP3149902B1 (fr) Technique d'obtention d'une politique de routage de requêtes émises par un module logiciel s'exécutant sur un dispositif client
WO2024068722A1 (fr) Procedes de resolution de nom, de communication, de traitement de messages et serveur, dispositif client et noeud relais correspondants
EP3632089B1 (fr) Optimisation de la fréquence de rafraîchissement d'un enregistrement dns
WO2023083771A1 (fr) Procédés de contrôle, de vérification et de configuration, et entités configurées pour mettre en œuvre ces procédés
FR3067538A1 (fr) Procede de controle de l'obtention par un terminal d'un fichier de configuration
WO2022117941A1 (fr) Procédé de détection d'un équipement malveillant dans un réseau de communication, équipement de communication et programme d'ordinateur correspondants
WO2021260290A1 (fr) Procedes et serveurs de gestion des services d'un terminal additionnel dans un reseau de coeur sip
WO2023247459A1 (fr) Procédé de suspension d'un jeton de certification permettant d'authentifier l'établissement d'une connexion entre deux équipements de communication, dispositifs et programmes d'ordinateur correspondants
FR2953082A1 (fr) Acces a un contenu reference par un serveur de contenu d'un reseau local

Legal Events

Date Code Title Description
PLFP Fee payment

Year of fee payment: 2

PLSC Publication of the preliminary search report

Effective date: 20230512