WO2006051197A1 - Procédé d'autorisation d'accès d'un terminal client d'un réseau nominal à un réseau de communication différent du réseau nominal, système, serveur d'authentification et programme informatique correspondants - Google Patents

Procédé d'autorisation d'accès d'un terminal client d'un réseau nominal à un réseau de communication différent du réseau nominal, système, serveur d'authentification et programme informatique correspondants Download PDF

Info

Publication number
WO2006051197A1
WO2006051197A1 PCT/FR2005/002757 FR2005002757W WO2006051197A1 WO 2006051197 A1 WO2006051197 A1 WO 2006051197A1 FR 2005002757 W FR2005002757 W FR 2005002757W WO 2006051197 A1 WO2006051197 A1 WO 2006051197A1
Authority
WO
WIPO (PCT)
Prior art keywords
access
client terminal
authentication server
communication network
messages
Prior art date
Application number
PCT/FR2005/002757
Other languages
English (en)
Inventor
Laurent Butti
Florent Bersani
Franck Veysset
Original Assignee
France Telecom
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by France Telecom filed Critical France Telecom
Publication of WO2006051197A1 publication Critical patent/WO2006051197A1/fr

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic

Definitions

  • the present invention relates to a method for authorizing access of a terminal to a communication network. It also relates to a system, an authentication server and a computer program for implementing this method.
  • An access authorization method is generally implemented by the operator of a communication network who must decide whether or not to authorize a client terminal of a different nominal network to use his network, when this network requires establishing a call from a network access point.
  • customer terminal of a nominal network is generally meant a terminal subscribed to this nominal network, and / or having subscribed to a service contract, this service contract defining in particular the access rights of the terminal to a number communication networks.
  • the access authorization method implemented by the operator of the communication network to which the terminal wishes to access then generally comprises a step of verifying the access rights of the terminal to this network, in which: authentication of the communication network to which the terminal wishes to access exchanges messages, on the one hand, with the terminal, and, on the other hand, with the nominal network, to check the access rights of the terminal to the communication network; and if at least some of the messages exchanged during this verification step do not fulfill certain predetermined criteria, the authentication server limits the access of the terminal to the communication network.
  • the authentication server serves as a simple relay between the terminal and the nominal network.
  • the authentication server transmits to the management server access rights any message it receives from the terminal and transmits to the terminal mutually any message it receives from the nominal network.
  • the nominal network checks whether or not the terminal has the access rights to the communication network to which it wishes to access. If the terminal does not have sufficient access rights to access the communication network requested, the nominal network transmits a failure message to the authentication server. Upon receipt of this message, the authentication server transmits this message to the terminal and denies access to the terminal of the communication network.
  • the EAP-PSK method which can be used to verify access rights in accordance with the IEEE 802.1 X protocol, allows Ie.
  • the invention aims to solve this disadvantage by providing an access authorization method to avoid this type of fraud.
  • the invention therefore relates to a method for authorizing access of a terminal to a communication network, the terminal being a client of a nominal network different from the communication network to which it wishes to access, and having access rights. to a number of communication networks, the method comprising a step of verifying the access rights of the terminal during which: an authentication server of the communication network to which the terminal wishes to access exchanges messages with the terminal, on the one hand, and with the nominal network of the terminal, on the other hand, to check the access rights of the terminal to the communication network;
  • the authentication server limits the access of the terminal to the communication network, characterized in that at least part of the predetermined criteria is checked by the authentication server on the basis of an analysis, carried out by the authentication server, of messages that it has exchanged with the terminal.
  • the authentication server Thanks to this analysis performed by the authentication server, it no longer plays the role of a simple relay. He also has his own criteria allowing him to limit terminal access to the communication network, without having to blindly trust the nominal network.
  • the analysis performed by the authentication server comprises at least one of the elements of the set consisting of:
  • a suspicious exchange results for example from a large number of messages exchanged during the step of verification of access rights, messages exchanged size too large, which suggests that they include data other than data of checking the access rights, or a too long communication established between the authentication server and the terminal to perform this step of verifying the access rights.
  • the analysis performed by the authentication server comprises verifying the access rights of the terminal to the communication network on the basis of access rights information provided by the network. nominal value of the terminal.
  • This embodiment is particularly well suited to the case where the authentication server is able to understand the content of the messages that it exchanges with the terminal. In this case, it replaces the nominal network. This substitution is possible on the condition that the nominal network provides the authentication server with a minimum of information on the access rights of the terminal. Thus, the predetermined criteria according to which the terminal is authorized or not to access the communication network are fully verified by the authentication server.
  • one of the messages that the authentication server exchanges with the terminal may include an identifier of the authentication server.
  • the terminal is informed of the identity of the server with which it exchanges messages to check its access rights. He can not be deceived and believe -AT-
  • the authentication server adds a predetermined delay in the transmission of the messages it sends to the terminal and / or the nominal network during the verification step.
  • This artificial addition of a predetermined delay by the authentication server makes it possible to increase the duration of the communication established between the authentication server and the terminal to perform the step of verifying the access rights. This makes this verification step less interesting for fraudulent exchange.
  • the predetermined time increases over time during the verification step.
  • the subject of the invention is also an authentication server for authorizing access of a terminal to a communication network, the terminal being a client of a nominal network different from the communication network to which it wishes to access, and having rights of access to a certain number of communication networks, comprising: means for exchanging messages with the terminal, on the one hand, and with the nominal network, on the other hand, for verifying the rights of terminal access to the communication network; and
  • means for limiting the access of the terminal to the communication network if at least part of the exchanged messages does not fulfill certain predetermined criteria characterized in that it also comprises means for analyzing the messages exchanged with the terminal and means for verifying at least a portion of the predetermined criteria based on a result provided by the analysis means.
  • the subject of the invention is also a system for authorizing access of a terminal to a communication network, the terminal being a customer of a nominal network different from the communication network to which it wishes to access, and having rights of access. access to a number of communication networks, the system comprising:
  • a terminal access management server linked to the nominal network, comprising. means for exchanging messages with the server authentication to check the access rights of the terminal to the communication network.
  • the subject of the invention is also a computer program intended to be executed by an authentication server arranged for, when a client terminal of a nominal network is accessing a communication network different from the nominal network and having access rights to a certain number of communication networks, exchange messages with the terminal, on the one hand, and with the nominal network, on the other hand, to check the access rights of the terminal to the network of communication, the computer program comprising program instructions for controlling a limitation by the authentication server of the access of the terminal to the communication network if at least part of the exchanged messages does not fulfill certain predetermined criteria, characterized in that He understands :
  • program instructions for controlling an analysis by the authentication server of the messages exchanged between the authentication server and the terminal and
  • a computer program according to the invention is therefore intended to implement an access authorization method as described above, by being executed on a device such as the authentication server described above.
  • a data carrier such as:
  • a storage medium for example a CD-ROM, a magnetic diskette or a hard disk; or a transmissible medium such as an electrical, optical or radio signal.
  • FIG. 1 schematically represents the general structure of a system of access authorization according to the invention
  • FIGS. 2 to 4 represent several possible embodiments of an access authorization method implemented by the system of FIG. 1.
  • the system represented in FIG. 1 is adapted to manage the authorization of access of a client terminal 10 to a communication network 12.
  • the client terminal 10 is for example a mobile phone and the network 12 is a wireless communication network managed by a first operator and covering a first geographical area.
  • the client terminal 10 has, for example, subscribed to a service contract with a nominal network 14 different from the communication network 12 to which it wishes to access.
  • the nominal network 14 is managed by a second operator, different from the first operator, and covers a second geographical area, different from the first geographical area.
  • the service contract to which the client terminal 10 has subscribed includes, in particular, at least one clause defining rights of access to a certain number of telecommunication networks other than the nominal network 14.
  • the number of communication networks for which the client terminal 10 has access rights and the nature of these access rights depends on the contract to which he has subscribed. Thus, when the client terminal 10 wishes to access the communication network
  • the system must be able to determine if the contract to which the client terminal 10 subscribes authorizes the latter to access the communication network 12.
  • the access authorization system comprises an authentication server 18 attached to the communication network 12.
  • the authentication server 18 comprises means 20 for exchanging messages with the client terminal 10, to perform a verification step of access rights. It further comprises means 22 for exchanging messages with a server 24 for managing the access rights of the client terminal 10, this server being linked to the nominal network 14, to effectively check the access rights of the client terminal 10 to the communication network 12.
  • the access rights management server 24 comprises means 26 for exchanging messages with the authentication server 18. It furthermore comprises a database 28 storing all the information necessary for defining the access rights of the server. client terminal 10 to communication networks other than the nominal network 14.
  • the authentication server 18 comprises an interface 30 between the message exchange means 20 with the client terminal 10 and the message exchange means 22 with the access rights management server 24.
  • This interface 30 comprises means 32 for analyzing the messages exchanged with the client terminal, these analysis means being further adapted to trigger the sending of information requests to the access management server 24 and to receive the answers.
  • analysis means 32 provide a result of their analysis to means 34 for checking predetermined criteria of the authentication server 18.
  • verification means 34 are adapted to possibly trigger an action, this action being performed by means 36 for limiting the access of the client terminal 10 to the communication network 12.
  • the system described above is adapted to implement an access authorization management protocol of the IEEE 802.1 X type.
  • This protocol conventionally provides the following two situations:
  • the client terminal when a client terminal tries to access the communication network 12, the latter communicates with the client terminal to authenticate it and possibly authorize it to establish a communication, only the traffic corresponding to this authentication / authorization dialogue being authorized between the communication network and the client terminal; and when the client terminal obtains its authorization, it can establish a communication via the communication network 12.
  • the IEEE 802.1 X protocol also provides for the intervention of the following three actors in the authentication / authorization dialog: - the client terminal (terminal 10);
  • the authentication server used by the communication network 12 to process the message exchange during which the verification of the access rights of the client terminal (server 18) is performed.
  • the access point 16 and the authentication server 18 of the communication network 12 exchange their messages using the RADIUS protocol, which is particularly well suited to exchanging data concerning authorizations, authentications or billing.
  • An EAP method is furthermore chosen to implement the IEEE protocol
  • the authentication server 18 merely plays the role of relay between the client terminal 10 and the access management server 24 of the nominal network, for the implementation of the method EAP chosen.
  • the access authorization system implements a method in which the authentication server 18 not only plays this relay role, but analyzes the messages exchanged through its interface 30.
  • the operation of the authentication server will now be detailed.
  • a first embodiment of an access authorization method implemented by the system described above is shown in FIG.
  • This embodiment is particularly well suited to the case where the authentication server 18 is able to understand the content of the messages exchanged during the step of verification of access rights.
  • the access point 16 detects that the client terminal 10 is trying to access the communication network 12. During this step, it transmits to the client terminal 10 an identification request message. type:
  • the client terminal 10 In response to this message, the client terminal 10 returns an identification message in which it also identifies the nominal network 14 with which it has subscribed to a service contract.
  • This identification message takes the following form:
  • This message received by the access point 16 during a step 102, is retransmitted to the authentication server 8 during a step 104.
  • the authentication server 18 Upon receipt of this message, the authentication server 18 understands that it must then communicate with the management server 24 of access rights related to the nominal network 14, to determine whether to allow the client terminal 10 to access to the communication network 12. It therefore transmits the identification message sent by the client terminal 10 to the server
  • the access rights management server 24 transmits the following message to the authentication server 18 during a step 108: EAP-Req / PSK / Flags II RANDJS II ID_S
  • This message is transmitted during a step 110 by the authentication server 18 to the access point 16, which itself retransmits it to the client terminal 10 during a step 112.
  • the client terminal 10 sends the following message to access point 16, in a step 114: EAP-Resp / PSK / Flags II RANDJS II RANDJP II MACJP II IDJP.
  • This message is retransmitted by the access point 16 to the authentication server 18 during a step 116.
  • the authentication server 18 Upon receipt of this message, the authentication server 18 performs an analysis of its contents in order to verify itself the access rights of the client terminal 10 to the communication network 12. To perform this verification, the authentication server needs additional access rights information to be provided by the management server 24 access rights. During a step 118, it therefore transmits to the access management server 24, an identifier ID_P of the communication terminal 10 and a random number RAND_P (which will have to be used by the access management server 24). to scramble the identifier of the client terminal 10) that were provided in the message analyzed.
  • the access rights management server 24 transmits additional information to the authentication server 18.
  • This additional information includes: an expected XMAC_P authentication code from the client terminal 10 when it will communicate later with the authentication server 18,
  • MAC_S authentication code of the access management server 24 a set of keys TEK, MSK and EMSK used for the encryption of the messages intended to be exchanged between the client terminal 10 and the authentication server 18; and
  • the authentication server 18 is able to substitute for the access rights management server 24 to check the access rights of the client terminal 10 to the communication network 12.
  • the authentication server 18 transmits to the access point 16 the following message:
  • EAP-Req / PSK / Flags II RAND_S II MAC_S II PCHANNEL_S_0 (EXT).
  • the access point 16 retransmits this message to the client terminal 10 during a step 124.
  • the client terminal 10 transmits to the access point 16 the following message:
  • EAP-Resp / PSK / Flags II PCH RAND_S II ANNEL_P_1 EXT. This message is retransmitted by the access point 16 to the authentication server 18 during a step 128.
  • the authorization server 18 and the client terminal 10 exchange as many messages as necessary, in accordance with the EAP-PSK method, to perform the step of verifying the access rights.
  • the step of verifying the access rights ends with the transmission by the authentication server 18 to the access point 16 during a step 130, of the following message: EAP-Req / PSK / II Flags II RAND_S II PCHANNEL_S_2i (EXT).
  • EXT EAP-Req / PSK / II Flags II RAND_S II PCHANNEL_S_2i
  • the client terminal 10 sends the following message to the access point 16, during a step 134:
  • EAP-Resp / PSK / Flags II PCH RAND_S II ANNEL_P_1 EXT. This message is retransmitted by the access point 16 to the authentication server 18 during a step 136.
  • the verification step being closed and resulting in a success, the authentication server 18 transmits to the access point 16 an access authorization message from the client terminal 10 to the communication network 12, during a step 138.
  • This message takes for example the following form:
  • the access point 16 retransmits this access authorization message to the client terminal 10 during a last step 140.
  • the client terminal 10 is then authorized to access the communication network 12.
  • the advanced mode can be implemented by the system of FIG. 1, in accordance with one embodiment of the access authorization method as represented in FIG. 3.
  • This embodiment provides for the use of an EAP method which takes into account the substitution of the access rights management server 24 by the authentication server 18, by transmitting to the client terminal 10 data informing it of this substitution.
  • EAP-DECT A similar method is used in the DECT standard. For this reason, we will name this method EAP-DECT in the rest of the description.
  • Steps 200, 202, 204 and 206 of this embodiment may be identical to steps 100, 102, 104 and 106 described above.
  • the access rights management server 24 transmits the following message to the authentication server 18:
  • the authentication server is able to substitute for the access rights management server 24 to check the access rights of the client terminal 10 to the communication network 12.
  • the authentication server 18 transmits to the access point 16 the following message, comprising the identifier supplied to it by the access rights management server 24, in accordance with the method EAP-DECT chosen:
  • This message is retransmitted by the access point 16 to the client terminal 10 during a step 212.
  • the client terminal 10 receives this message, it deduces the value of the K_Roaming encryption key which it will henceforth use for all its exchanges of messages with the authentication server 18, from the RoaminglD identifier that has just been transmitted to it and a master key K that it shares with the access management server 24.
  • the authentication server 18 and the client terminal 10 exchange as many messages as necessary, via the access point 16, in accordance with the EAP method. DECT, to execute the step of checking access rights.
  • default mode Another embodiment of an access authorization method implemented by the system described with reference to FIG. 1, called “default mode”, can be provided in cases where the authentication server 18 is not able to understand the content of the messages exchanged between the client terminal 10 and the access rights management server 24, to allow or not the client terminal 10 to access the communication network 12. This case occurs when the chosen EAP method is not known to the authentication server 18. This default mode will now be described with reference to Figure 4.
  • Steps 300, 302, 304 and 306 of this method are identical to steps 100, 102, 104 and 106 described above.
  • the access rights management server 24 and the client terminal 10 exchange messages, through the authentication server 18 and the access point 16.
  • the point access 16 merely fill a relay function.
  • the authentication server 18 also performs this relay function, but in addition its analysis means 32 perform measurements relating in particular to the messages exchanged between the client terminal 10 and the authentication server 18.
  • analysis 32 can comprise: an estimate of the number of messages exchanged between the authentication server 18 and the client terminal 10 during the step of verification of the access rights;
  • These measurements can be compared to predetermined threshold values, forming predetermined criteria known to the authentication server 18, such as a maximum number of messages that can be exchanged during the verification step, a maximum message size that can be exchanged during the verification step, or a maximum allowed duration of the established call to perform the verification step.
  • predetermined criteria known to the authentication server 18 such as a maximum number of messages that can be exchanged during the verification step, a maximum message size that can be exchanged during the verification step, or a maximum allowed duration of the established call to perform the verification step.
  • the authentication server 18 detects that one of its predetermined criteria is not fulfilled during the exchange of messages between the client terminal 10 and the server 24 of the management of the access rights of the nominal network 14, which has the consequence of triggering means 36 for limiting the access of the client terminal 10 to the communication network 12.
  • This limitation may simply consist of a refusal to establish a communication between the terminal 10 and another terminal via the communication network 12.
  • the authentication server 18 transmits the following message to the access point 16: EAP-Failure.
  • This message indicates that the access of the client terminal 10 to the communication network 12 is denied.
  • This message is transmitted by the access point 16 to the client terminal 10 during a last step 340, this step also ending the communication session dedicated to the verification of the access rights.
  • the authentication server 18 adds a predetermined delay in the transmission of the messages it sends to the client terminal 10 and / or the server
  • This delay may increase over time during the verification step.
  • predetermined criteria may be defined to enable the authentication server 18 to limit the access of the client terminal 10 to the communication network 12. These predetermined criteria depend on the measurements that the analysis means 32 the authentication server can perform, which are not limited to the measures described in the previous embodiments.
  • the analysis capabilities of the authentication server 18 are in fact dependent in particular on the protocols used during the step of verifying the access rights and the methods used to execute these protocols. However, the protocols and methods described above have only been mentioned as examples.
  • the management of access rights is not necessarily localized on a single server such as server 24.
  • an access authorization system as described above implementing one of the access authorization methods described above, allows a better verification by a communication network to which a terminal wishes to access , access rights of the terminal to this communication network.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer And Data Communications (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

Ce procédé d'autorisation d'accès d'un terminal (10) client d'un réseau nominal à un réseau de communication différent du réseau nominal comporte une étape de vérification des droits d'accès du terminal lors de laquelle : - un serveur d'authentification (18) du réseau de communication auquel le terminal souhaite accéder échange des messages, d'une part, avec le terminal, et, d'autre part, avec le réseau nominal, pour vérifier les droits d'accès du terminal au réseau de communication ; - si au moins une partie des messages échangés lors de cette étape de vérification ne remplit pas certains critères prédéterminés, le serveur d'authentification limite l'accès du terminal au réseau de communication. Au moins une partie des critères prédéterminés est vérifiée par le serveur d'authentification sur la base d'une analyse, réalisée par le serveur d'authentification, des messages qu'il a échangés avec le terminal.

Description

Procédé d'autorisation d'accès d'un terminal client d'un réseau nominal à un réseau de communication différent du réseau nominal, système, serveur d'authentification et programme informatique correspondants
La présente invention concerne un procédé d'autorisation d'accès d'un terminal à un réseau de communication. Elle concerne également un système, un serveur d'authentification et un programme informatique pour la mise en œuvre de ce procédé.
Un procédé d'autorisation d'accès est généralement mis en œuvre par l'opérateur d'un réseau de communication qui doit décider d'autoriser ou non un terminal client d'un réseau nominal différent à utiliser son réseau, lorsque celui-ci requiert l'établissement d'une communication à partir d'un point d'accès du réseau. Par « terminal client d'un réseau nominal », on entend généralement un terminal abonné à ce réseau nominal, et/ou ayant souscrit à un contrat de service, ce contrat de service définissant notamment des droits d'accès du terminal à un certain nombre de réseaux de communication.
Lorsque le terminal est mobile, il est fréquent qu'il soit client d'un réseau nominal différent du réseau de communication auquel il souhaite accéder, ce contrat de service définissant notamment des droits d'accès à un certain nombre de réseaux de communication. Le procédé d'autorisation d'accès mis en œuvre par l'opérateur du réseau de communication auquel le terminal souhaite accéder comporte alors généralement une étape de vérification des droits d'accès du terminal à ce réseau, lors de laquelle : - un serveur d'authentification du réseau de communication auquel le terminal souhaite accéder échange des messages, d'une part, avec le terminal, et, d'autre part, avec le réseau nominal, pour vérifier les droits d'accès du terminal au réseau de communication ; et si au moins une partie des messages échangés lors de cette étape de vérification ne remplit pas certains critères prédéterminés, le serveur d'authentification limite l'accès du terminal au réseau de communication. En pratique, le serveur d'authentification sert de simple relais entre le terminal et le réseau nominal. Ainsi, le serveur d'authentification transmet au serveur de gestion des droits d'accès tout message qu'il reçoit de la part du terminal et transmet réciproquement au terminal tout message qu'il reçoit de la part du réseau nominal.
Lors de cette étape de vérification, le réseau nominal vérifie si le terminal possède ou non les droits d'accès au réseau de communication auquel il souhaite accéder. Si le terminal n'a pas les droits d'accès suffisants pour accéder au réseau de communication demandé, le réseau nominal transmet un message d'échec au serveur d'authentification. A la réception de ce message, le serveur d'authentification transmet ce message au terminal et refuse l'accès du terminal au réseau de communication.
Cette façon de procéder est dictée généralement par l'utilisation de protocoles de vérification qui ne sont notamment pas connus du serveur d'authentification. Ainsi, celui-ci sert de simple relais, les vérifications étant exécutées sous la responsabilité du réseau nominal. Cependant, ce procédé suppose que l'opérateur du réseau de communication auquel le terminal souhaite accéder fait confiance au réseau nominal pour prendre la décision d'autoriser ou non l'accès à son réseau de communication. II pourrait donc arriver que le terminal et le réseau nominal établissent une communication frauduleuse qui, sous prétexte de vérifier les droits d'accès du terminal, servirait en fait à transmettre des données d'une autre nature.
Ainsi, il est concevable de jouer sur la taille ou le nombre des messages échangés lors de l'étape de vérification des droits d'accès, pour transmettre un contenu de façon frauduleuse. Par exemple, la méthode EAP-PSK, qui peut être utilisée pour vérifier des droits d'accès conformément au protocole IEEE 802.1 X, Ie permet.
L'invention vise à résoudre cet inconvénient en fournissant un procédé d'autorisation d'accès visant à éviter ce type de fraude.
L'invention a donc pour objet procédé d'autorisation d'accès d'un terminal à un réseau de communication, le terminal étant client d'un réseau nominal différent du réseau de communication auquel il souhaite accéder, et disposant de droits d'accès à un certain nombre de réseaux de communication, le procédé comportant une étape de vérification des droits d'accès du terminal lors de laquelle : un serveur d'authentification du réseau de communication auquel le terminal souhaite accéder échange des messages avec le terminal, d'une part, et avec le réseau nominal du terminal, d'autre part, pour vérifier les droits d'accès du terminal au réseau de communication ;
- si au moins une partie des messages échangés lors de cette étape de vérification ne remplit pas certains critères prédéterminés, le serveur d'authentification limite l'accès du terminal au réseau de communication, caractérisé en ce qu'au moins une partie des critères prédéterminés est vérifiée par le serveur d'authentification sur la base d'une analyse, réalisée par le serveur d'authentification, des messages qu'il a échangés avec le terminal.
Grâce à cette analyse réalisée par Ie serveur d'authentification, celui-ci ne joue plus le rôle d'un simple relais. Il possède lui aussi ses propres critères lui permettant de limiter l'accès du terminal au réseau de communication, sans être obligé de faire aveuglément confiance au réseau nominal.
Selon un mode de réalisation possible de l'invention, l'analyse réalisée par le serveur d'authentification comporte au moins l'un des éléments de l'ensemble constitué de :
- une estimation du nombre de messages échangés entre le serveur d'authentification et le terminal ; une estimation de la taille des messages échangés entre le serveur d'authentification et le terminal ; et - une estimation de la durée de la communication établie entre le serveur d'authentification et le terminal pour l'échange des messages.
Ainsi, même lorsque le serveur d'authentification n'est pas capable de comprendre le contenu des messages qu'il échange avec Ie terminal du fait du protocole utilisé, certains paramètres liés au nombre de messages, à la taille des messages ou à la durée de la communication sont suffisants pour lui permettre de générer une alerte lorsqu'un échange suspect se produit. Un échange suspect résulte par exemple d'un nombre important de messages échangés lors de l'étape de vérification des droits d'accès, de messages échangés de taille trop importante, ce qui laisse supposer qu'ils comportent des données autres que des données de vérification des droits d'accès, ou d'une communication trop longue établie entre le serveur d'authentification et le terminal pour exécuter cette étape de vérification des droits d'accès.
Selon un autre mode de réalisation de l'invention, l'analyse réalisée par le serveur d'authentification comporte la vérification des droits d'accès du terminal au réseau de communication sur la base d'informations de droits d'accès fournies par le réseau nominal du terminal.
Ce mode de réalisation est particulièrement bien adapté au cas où le serveur d'authentification est capable de comprendre le contenu des messages qu'il échange avec le terminal. Dans ce cas, il se substitue au réseau nominal. Cette substitution est possible à la condition que le réseau nominal fournisse au serveur d'authentification un minimum d'informations sur les droits d'accès du terminal. Ainsi, les critères prédéterminés selon lesquels on autorise ou non le terminal à accéder au réseau de communication sont intégralement vérifiés par le serveur d'authentification.
Dans ce mode de réalisation, l'un des messages que le serveur d'authentification échange avec le terminal peut comporter un identifiant du serveur d'authentification. Dans ce cas, le terminal est informé de l'identité du serveur avec lequel il échange des messages pour vérifier ses droits d'accès. Il ne peut donc pas être trompé et croire -A-
qu'il correspond avec un serveur du réseau nominal pour la vérification de ses droits d'accès, alors que le serveur d'authentification s'est substitué au réseau nominal.
Avantageusement, le serveur d'authentification ajoute un délai prédéterminé dans la transmission des messages qu'il émet à destination du terminal et/ou du réseau nominal lors de l'étape de vérification.
Cet ajout artificiel d'un délai prédéterminé par le serveur d'authentification permet d'augmenter la durée de la communication établie entre le serveur d'authentification et le terminal pour réaliser l'étape de vérification des droits d'accès. Ceci rend cette étape de vérification moins intéressante pour réaliser un échange frauduleux. Avantageusement encore, le délai prédéterminé augmente au cours du temps lors de l'étape de vérification.
Ainsi, plus le nombre de messages échangés lors de cette étape de vérification des droits d'accès est important, plus le serveur d'authentification intervient pour gêner la communication en cours et ainsi rendre de moins en moins intéressante l'utilisation frauduleuse de cette étape de vérification.
L'invention a également pour objet un serveur d'authentification pour l'autorisation d'accès d'un terminal à un réseau de communication, le terminal étant client d'un réseau nominal différent du réseau de communication auquel il souhaite accéder, et disposant de droits d'accès à un certain nombre de réseaux de communication, comportant : - des moyens d'échange de messages avec le terminal, d'une part, et avec le réseau nominal, d'autre part, pour vérifier les droits d'accès du terminal au réseau de communication ; et
- des moyens de limitation de l'accès du terminal au réseau de communication si au moins une partie des messages échangés ne remplit pas certains critères prédéterminés, caractérisé en ce qu'il comporte en outre des moyens d'analyse des messages échangés avec Ie terminal et des moyens de vérification d'au moins une partie des critères prédéterminés sur la base d'un résultat fourni par les moyens d'analyse.
L'invention a également pour objet un système d'autorisation d'accès d'un terminal à un réseau de communication, le terminal étant client d'un réseau nominal différent du réseau de communication auquel il souhaite accéder, et disposant de droits d'accès à un certain nombre de réseaux de communication, le système comportant :
- un serveur d'authentification tel que décrit précédemment ; et
- un serveur de gestion des droits d'accès du terminal, lié au réseau nominal, comportant des. moyens d'échange de messages avec le serveur d'authentification pour vérifier les droits d'accès du terminal au réseau de communication.
Enfin, l'invention a également pour objet un programme informatique destiné à être exécuté par un serveur d'authentification agencé pour, lors de l'accès d'un terminal client d'un réseau nominal à un réseau de communication différent du réseau nominal et disposant de droits d'accès à un certain nombre de réseaux de communication, échanger des messages avec le terminal, d'une part, et avec le réseau nominal, d'autre part, pour vérifier les droits d'accès du terminal au réseau de communication, le programme informatique comportant des instructions de programme pour commander une limitation par le serveur d'authentification de l'accès du terminal au réseau de communication si au moins une partie des messages échangés ne remplit pas certains critères prédéterminés, caractérisé en ce qu'il comprend :
- des instructions de programme pour commander une analyse par le serveur d'authentification des messages échangés entre le serveur d'authentification et le terminal, et
- des instructions de programme pour commander une vérification par le serveur d'authentification d'au moins une partie des critères prédéterminés sur la base d'un résultat fourni par l'analyse des messages.
Un programme informatique selon l'invention est donc destiné à mettre en œuvre un procédé d'autorisation d'accès tel que décrit précédemment, en étant exécuté sur un dispositif tel que le serveur d'authentification décrit précédemment.
En pratique, il est stocké dans ou transmis par un support de données tel que :
- un support matériel de stockage, par exemple un CD-ROM, une disquette magnétique ou un disque dur ; ou - un support transmissible tel qu'un signal électrique, optique ou radio.
L'invention sera mieux comprise à l'aide de la description qui va suivre, donnée uniquement à titre d'exemple et faite en se référant aux dessins annexés dans lesquels : - la figure 1 représente schématiquement la structure générale d'un système d'autorisation d'accès selon l'invention ; et - les figures 2 à 4 représentent plusieurs modes de réalisation possibles d'un procédé d'autorisation d'accès mis en œuvre par le système de la figure 1. Le système représenté sur la figure 1 est adapté pour gérer l'autorisation d'accès d'un terminal client 10 à un réseau de communication 12. Le terminal client 10 est par exemple un téléphone mobile et le réseau 12 est un réseau de communication sans fil géré par un premier opérateur et couvrant une première zone géographique. Le terminal client 10 a par exemple souscrit à un contrat de service avec un réseau nominal 14 différent du réseau de communication 12 auquel il souhaite accéder. Le réseau nominal 14 est géré par un second opérateur, différent du premier opérateur, et couvre une seconde zone géographique, différente de la première zone géographique. Le contrat de service auquel le terminal client 10 a souscrit comporte notamment au moins une clause définissant des droits d'accès à un certain nombre de réseaux de télécommunication autres que le réseau nominal 14. Le nombre de réseaux de communication pour lesquels le terminal client 10 a des droits d'accès et la nature de ces droits d'accès dépendent du contrat auquel il a souscrit. Ainsi, lorsque le terminal client 10 souhaite accéder au réseau de communication
12, à partir d'un point d'accès 16 de ce réseau de communication 12, le système doit être capable de déterminer si le contrat auquel a souscrit le terminal client 10 autorise celui-ci à accéder au réseau de communication 12.
Pour ce faire, le système d'autorisation d'accès comporte un serveur d'authentification 18 rattaché au réseau de communication 12. Le serveur d'authentification 18 comporte des moyens 20 d'échange de messages avec le terminal client 10, pour réaliser une étape de vérification de ses droits d'accès. Il comporte en outre des moyens 22 d'échange de messages avec un serveur 24 de gestion des droits d'accès du terminal client 10, ce serveur étant lié au réseau nominal 14, pour vérifier effectivement les droits d'accès du terminal client 10 au réseau de communication 12.
Le serveur 24 de gestion des droits d'accès comporte des moyens 26 d'échange de messages avec le serveur d'authentification 18. Il comporte en outre une base de données 28 stockant toutes les informations nécessaires permettant de définir les droits d'accès du terminal client 10 aux réseaux de communication autres que le réseau nominal 14.
Le serveur d'authentification 18 comporte une interface 30 entre les moyens 20 d'échange de messages avec le terminal client 10 et les moyens 22 d'échange de messages avec le serveur 24 de gestion des droits d'accès.
Cette interface 30 comporte des moyens 32 d'analyse des messages échangés avec le terminal client, ces moyens d'analyse étant en outre adaptés pour déclencher l'envoi de requêtes d'informations au serveur 24 de gestion des droits d'accès et pour recevoir les réponses.
Ces moyens d'analyse 32 fournissent un résultat de leur analyse à des moyens 34 de vérification de critères prédéterminés du serveur d'authentification 18. En fonction du résultat d'une comparaison entre les résultats fournis par les moyens d'analyse 32 et les critères prédéterminés du serveur d'authentification 18, les moyens de vérification 34 sont adaptés pour déclencher éventuellement une action, cette action étant exécutée par des moyens 36 de limitation de l'accès du terminal client 10 au réseau de communication 12.
Le système décrit précédemment est adapté pour mettre en œuvre un protocole de gestion des autorisations d'accès du type IEEE 802.1 X. Ce protocole prévoit de façon classique les deux situations suivantes :
- lorsqu'un terminal client cherche à accéder au réseau de communication 12, celui-ci dialogue avec le terminal client pour l'authentifier et éventuellement l'autoriser à établir une communication, seul le trafic correspondant à ce dialogue d'authentification/autorisation étant autorisé entre le réseau de communication et le terminal client ; et lorsque le terminal client obtient son autorisation, il peut établir une communication via le réseau de communication 12.
Le protocole IEEE 802.1 X prévoit en outre l'intervention des trois acteurs suivants dans le dialogue d'authentification/autorisation : - le terminal client (terminal 10) ;
- le point par lequel le terminal client souhaite obtenir l'accès au réseau de communication (point d'accès 16) ; le serveur d'authentification utilisé par le réseau de communication 12 pour traiter l'échange de messages au cours duquel est réalisée la vérification des droits d'accès du terminal client (serveur 18).
De façon classique également, le point d'accès 16 et le serveur d'authentification 18 du réseau de communication 12 s'échangent leurs messages en utilisant le protocole RADIUS, particulièrement bien adapté à l'échange de données concernant des autorisations, des authentifications ou de la facturation. Une méthode EAP est en outre choisie pour mettre en œuvre le protocole IEEE
802.1 X de vérification des droits d'accès du terminal client 10 au réseau de communication 12. Des messages sont alors échangés d'une part entre le terminal client 10 et le serveur d'authentification 18, d'autre part entre le serveur d'authentification 18 et le serveur 24 de gestion des droits d'accès, conformément à la méthode EAP choisie. Dans l'état de la technique, le serveur d'authentification 18 se contente de jouer le rôle de relais entre le terminal client 10 et le serveur 24 de gestion des droits d'accès du réseau nominal, pour la mise en œuvre de la méthode EAP choisie.
Conformément à l'invention, le système d'autorisation d'accès met en œuvre un procédé au cours duquel le serveur d'authentification 18 ne se contente pas de jouer ce rôle de relais, mais analyse les messages échangés grâce à son interface 30. Le fonctionnement du serveur d'authentification va maintenant être détaillé. Un premier mode de réalisation d'un procédé d'autorisation d'accès mis en œuvre par le système décrit précédemment est représenté sur la figure 2.
Ce mode de réalisation, appelé "mode évolué", est particulièrement bien adapté au cas où le serveur d'authentification 18 est capable de comprendre le contenu des messages échangés au cours de l'étape de vérification des droits d'accès.
Lors d'une première étape ,100, le point d'accès 16 détecte que le terminal client 10 tente d'accéder au réseau de communication 12. Lors de cette étape, il transmet au terminal client 10 un message de demande d'identification du type :
EAP-Req/ldentity. En réponse à ce message, le terminal client 10 renvoie un message d'identification dans lequel il identifie également le réseau nominal 14 avec lequel il a souscrit à un contrat de service. Ce message d'identification prend la forme suivante:
EAP-Resp/ldentity=user@home.
Ce message, reçu par le point d'accès 16 lors d'une étape 102, est retransmis au serveur d'authentificationi 8 lors d'une étape 104.
Dès la réception de ce message, le serveur d'authentification 18 comprend qu'il doit alors communiquer avec le serveur 24 de gestion des droits d'accès liés au réseau nominal 14, pour déterminer s'il doit autoriser le terminal client 10 à accéder au réseau de communication 12. II transmet donc le message d'identification émis par le terminal client 10 au serveur
24 de gestion des droits d'accès, lors d'une étape 106.
Conformément à la méthode EAP choisie, par exemple la méthode EAP-PSK, le serveur 24 de gestion des droits d'accès transmet le message suivant, au serveur d'authentification 18, lors d'une étape 108: EAP-Req/PSK/Flags II RANDJS II ID_S
Ce message est transmis lors d'une étape 110 par le serveur d'authentification 18 au point d'accès 16, qui lui-même le retransmet au terminal client 10 lors d'une étape 112. Conformément à la méthode EAP-PSK, le terminal client 10 renvoie le message suivant au point d'accès 16, lors d'une étape 114 : EAP-Resp/PSK/Flags II RANDJS II RANDJP II MACJP II IDJP.
Ce message est retransmis par le point d'accès 16 au serveur d'authentification 18 lors d'une étape 116.
Dès la réception de ce message, le serveur d'authentification 18 réalise une analyse de son contenu dans le but de vérifier lui-même les droits d'accès du terminal client 10 au réseau de communication 12. Pour réaliser cette vérification, le serveur d'authentification a besoin d'informations complémentaires de droits d'accès devant être fournies par le serveur 24 de gestion des droits d'accès. Lors d'une étape 118, il transmet donc au serveur 24 de gestion des droits d'accès, un identifiant ID_P du terminal de communication 10 et un nombre aléatoire RAND_P (qui devra être utilisé par le serveur 24 de gestion des droits d'accès pour brouiller l'identifiant du terminal client 10) qui lui ont été fournis dans le message analysé.
Lors de l'étape suivante 120, le serveur 24 de gestion des droits d'accès transmet des informations complémentaires au serveur d'authentification 18. Ces informations complémentaires comprennent : - un code d'authentification XMAC_P attendu de la part du terminal client 10 lorsqu'il communiquera par la suite avec le serveur d'authentification 18,
- un code d'authentification MAC_S du serveur 24 de gestion des droits d'accès ; un ensemble de clefs TEK, MSK et EMSK utilisées pour le chiffrement des messages destinés à être échangés entre le terminal client 10 et le serveur d'authentif ication 18; et
- des informations définissant de façon précise les droits d'accès du terminal client 10 au réseau de communication 12.
A partir de cette étape, le serveur d'authentification 18 est capable de se substituer au serveur 24 de gestion des droits d'accès pour vérifier les droits d'accès du terminal client 10 au réseau de communication 12.
Ainsi, lors d'une étape 122, conformément à la méthode EAP-PSK le serveur d'authentification 18 transmet au point d'accès 16 le message suivant :
EAP-Req/PSK/Flags II RAND_S II MAC_S II PCHANNEL_S_0(EXT). Le point d'accès 16 retransmet ce message au terminal client 10 lors d'une étape 124.
En réponse, lors d'une étape 126, le terminal client 10 transmet au point d'accès 16 le message suivant :
EAP-Resp/PSK/Flags II RAND_S II PCH ANNEL_P_1 (EXT). Ce message est retransmis par le point d'accès 16 au serveur d'authentification 18 lors d'une étape 128.
Ensuite, le serveur d'autorisation 18 et le terminal client 10 s'échangent autant de messages que nécessaire, conformément à la méthode EAP-PSK, pour réaliser l'étape de vérification des droits d'accès.
Par exemple, l'étape de vérification des droits d'accès se termine par la transmission par le serveur d'authentification 18 au point d'accès 16 lors d'une étape 130, du message suivant : EAP-Req/PSK/Flags II RAND_S II PCHANNEL_S_2i(EXT). Ce message est retransmis par le point d'accès 16 au terminal client 10, lors d'une étape 132.
En réponse, le terminal client 10 renvoie le message suivant au point d'accès 16, lors d'une étape 134 :
EAP-Resp/PSK/Flags II RAND_S II PCH ANNEL_P_1 (EXT). Ce message est retransmis par le point d'accès 16 au serveur d'authentif ication 18 lors d'une étape 136.
L'étape de vérification étant close et se soldant par un succès, le serveur d'authentification 18 transmet au point d'accès 16 un message d'autorisation d'accès du terminal client 10 au réseau de communication 12, lors d'une étape 138. Ce message prend par exemple la forme suivante :
EAP-Success.
Enfin, le point d'accès 16 retransmet ce message d'autorisation d'accès au terminal client 10 lors d'une dernière étape 140. Le terminal client 10 est alors autorisé à accéder au réseau de communication 12.
En variante, le mode évolué peut être mis en œuvre par le système de la figure 1 , conformément à un mode de réalisation du procédé d'autorisation d'accès tel que représenté sur la figure 3. Ce mode de réalisation prévoit l'utilisation d'une méthode EAP qui prenne en compte la substitution du serveur 24 de gestion des droits d'accès par le serveur d'authentification 18, en transmettant au terminal client 10 des données l'informant de cette substitution. Une méthode analogue est utilisée dans le standard DECT. Pour cette raison, nous nommerons cette méthode EAP-DECT dans la suite de la description. Les étapes 200, 202, 204 et 206 de ce mode de réalisation peuvent être identiques aux étapes 100, 102, 104 et 106 décrites précédemment.
Ensuite, lors d'une étape 208, le serveur 24 de gestion des droits d'accès transmet le message suivant au serveur d'authentification 18:
Response: RoaminglD, K_roaming, AuthParams. Ce message comporte les informations suivantes :
- un identifiant RoaminglD du serveur d'authentification 18, qui devra être fourni au terminal client 10 dans la suite des échanges ;
- une clef de chiffrement K_Roaming, que le serveur d'authentification 18 devra utiliser pour chiffrer les données qu'il échangera avec le terminal client 10 ; et - des informations définissant de façon précise les droits d'accès du terminal client
10 au réseau de communication 12. A partir de cette étape, le serveur d'authentification est capable de se substituer au serveur 24 de gestion des droits d'accès pour vérifier les droits d'accès du terminal client 10 au réseau de communication 12.
Lors de l'étape 210 suivante, le serveur d'authentification 18 transmet au point d'accès 16 le message suivant, comportant l'identifiant qui lui a été fourni par le serveur 24 de gestion des droits d'accès, conformément à la méthode EAP-DECT choisie :
EAP-Req/DECT/RoaminglD...
Ce message est retransmis par le point d'accès 16 au terminal client 10 lors d'une étape 212. Lorsque le terminal client 10 reçoit ce message, il déduit la valeur de la clef de chiffrement K_Roaming qu'il devra utiliser dorénavant pour tous ses échanges de messages avec le serveur d'authentification 18, à partir de l'identifiant RoaminglD qui vient de lui être transmis et d'une clef maîtresse K qu'il partage avec le serveur 24 de gestion des droits d'accès. Lors des étapes 214, 216, 218, 220, etc., suivantes, le serveur d'authentification 18 et le terminal client 10 s'échangent autant de messages que nécessaire, via le point d'accès 16, conformément à la méthode EAP-DECT, pour exécuter l'étape de vérification des droits d'accès.
Enfin, ces échanges nécessaires pour vérifier les droits d'accès du terminal client 10 au réseau de communication 12 s'achèvent par l'exécution de deux étapes 238 et 240, par exemple identiques aux étapes 138 et 140 décrites en référence à la figure 2, dans le cas où l'accès au réseau de communication 12 est accordé.
Un autre mode de réalisation d'un procédé d'autorisation d'accès mis en œuvre par le système décrit en référence à la figure 1 , appelé "mode par défaut", peut être prévu dans les cas où le serveur d'authentification 18 n'est pas capable de comprendre le contenu des messages échangés entre le terminal client 10 et le serveur 24 de gestion des droits d'accès, pour autoriser ou non le terminal client 10 à accéder au réseau de communication 12. Ce cas se produit lorsque la méthode EAP choisie n'est pas connue du serveur d'authentification 18. Ce mode par défaut va maintenant être décrit en référence à la figure 4.
Les étapes 300, 302, 304 et 306 de ce procédé sont identiques aux étapes 100, 102, 104 et 106 décrites précédemment.
Lors des étapes suivantes, 308, 310, 312, 314, 316, 318, 320, 322, 324, 326, 328 et
330 suivantes, le serveur 24 de gestion des droits d'accès et le terminal client 10 s'échangent des messages, par l'intermédiaire du serveur d'authentification 18 et du point d'accès 16. Au cours de ces étapes, le point d'accès 16 se contente de remplir une fonction de relais. Le serveur d'authentification 18 remplit également cette fonction de relais, mais en outre ses moyens d'analyse 32 effectuent des mesures relatives notamment aux messages échangés entre le terminal client 10 et le serveur d'authentification 18. Les mesures effectuées par les moyens d'analyse 32, peuvent comporter : une estimation du nombre de messages échangés entre le serveur d'authentification 18 et le terminal client 10 au cours de l'étape de vérification des droits d'accès ;
- une estimation de la taille des messages échangés entre le serveur d'authentification 18 et le terminal client 10 au cours de l'étape de vérification des droits d'accès ; et
- une estimation de la durée de la communication établie entre le serveur d'authentification 18 et le terminal client 10 pour l'échange de ces messages.
Ces mesures peuvent être comparées à des valeurs seuil prédéterminées, formant des critères prédéterminés connus du serveur d'authentification 18, tels qu'un nombre maximal de messages pouvant être échangés au cours de l'étape de vérification, une taille maximale de messages pouvant être échangés au cours de l'étape de vérification, ou une durée maximale autorisée de la communication établie pour exécuter l'étape de vérification. La comparaison des mesures réalisées par les moyens d'analyse 32 avec les critères prédéterminés connus du serveur d'authentification 18, est réalisée par les moyens de vérification 34.
Ces mesures permettent ainsi de s'assurer qu'un trop grand nombre de messages n'est pas échangé entre le terminal client 10 et le réseau nominal 14 au cours de l'étape de vérification des droits d'accès, que les messages échangés ne sont pas trop gros, ce qui signifierait que des données autres que des données de vérification ont été introduites dans ces messages, ou que la communication n'est pas trop longue.
Ainsi, par exemple, lors d'une étape 336, le serveur d'authentification 18 détecte que l'un de ses critères prédéterminés n'est pas rempli au cours de l'échange de messages entre le terminal client 10 et le serveur 24 de gestion des droits d'accès du réseau nominal 14, ce qui a pour conséquence de déclencher les moyens 36 de limitation de l'accès du terminal client 10 au réseau de communication 12. Cette limitation peut tout simplement consister en un refus d'établir une communication entre le terminal 10 et un autre terminal par l'intermédiaire du réseau de communication 12. Dans ce cas, lors d'une étape 338, le serveur d'authentification 18 transmet le message suivant au point d'accès 16 : EAP-Failure.
Ce message indique que l'accès du terminal client 10 au réseau de communication 12 est refusé. Ce message est transmis par le point d'accès 16 au terminal client 10 lors d'une dernière étape 340, cette étape mettant également fin à la session de communication dédiée à la vérification des droits d'accès.
Dans chacun des modes de réalisation décrits précédemment, il est possible de prévoir que le serveur d'authentification 18 ajoute un délai prédéterminé dans la transmission des messages qu'il émet à destination du terminal client 10 et/ou du serveur
24 de gestion des droits d'accès lors de l'étape de vérification. Ce délai peut augmenter au cours du temps lors de l'étape de vérification.
On rend ainsi encore plus improbable, parce qu'inintéressante, l'utilisation frauduleuse de cette étape de vérification des droits d'accès.
On notera que l'invention n'est pas limitée aux modes de réalisation décrits précédemment. En effet, en variante, d'autres critères prédéterminés peuvent être définis pour permettre au serveur d'authentification 18 de limiter l'accès du terminal client 10 au réseau de communication 12. Ces critères prédéterminés dépendent des mesures que les moyens d'analyse 32 du serveur d'authentification peuvent effectuer, lesquelles ne sont pas non plus limitées aux mesures décrites dans les modes de réalisation précédents. Les capacités d'analyse du serveur d'authentification 18 sont en effet notamment dépendantes des protocoles utilisés au cours de l'étape de vérification des droits d'accès et des méthodes employées pour exécuter ces protocoles. Or les protocoles et méthodes décrits précédemment n'ont été mentionnés qu'à titre d'exemple.
En variante également, la gestion des droits d'accès n'est pas nécessairement localisée sur un unique serveur tel que le serveur 24.
Il apparaît clairement qu'un système d'autorisation d'accès tel que décrit précédemment, mettant en œuvre l'un des procédés d'autorisation d'accès décrit précédemment, permet une meilleure vérification, par un réseau de communication auquel un terminal souhaite accéder, des droits d'accès du terminal à ce réseau de communication.

Claims

REVENDICATIONS
1. Procédé d'autorisation d'accès d'un terminal client (10) à un réseau de communication (12), le terminal client ayant souscrit à un contrat de service avec un réseau nominal (14) différent du réseau de communication auquel il souhaite accéder, ce contrat de service définissant notamment des droits d'accès à un certain nombre de réseaux de communication, le procédé comportant une étape de vérification des droits d'accès du terminal client lors de laquelle : un serveur d'authentification (18), destiné à autoriser l'accès d'un terminal client (10) à un réseau de communication (12) auquel le terminal client souhaite accéder, échange des messages avec le terminal client ; le serveur d'authentification échange des messages avec un serveur (24) de gestion des droits d'accès du terminal client, lié au réseau nominal, pour vérifier les droits d'accès du terminal client au réseau de communication ; - si au moins une partie des messages échangés lors de cette étape de vérification ne remplit pas certains critères prédéterminés, le serveur d'authentification limite l'accès du terminal client au réseau de communication ; caractérisé en ce qu'au moins une partie des critères prédéterminés est vérifiée par le serveur d'authentification sur la base d'une analyse, réalisée par le serveur d'authentification, des messages qu'il a échangés avec le terminal client.
2. Procédé d'autorisation d'accès selon la revendication 1 , dans lequel l'analyse réalisée par le serveur d'authentification (18) comporte une estimation du nombre de messages échangés entre le serveur d'authentification et le terminal client (10).
3. Procédé d'autorisation d'accès selon la revendication 1 ou 2, dans lequel l'analyse réalisée par le serveur d'authentification (18) comporte une estimation de la taille des messages échangés entre le serveur d'authentification et le terminal client (10).
4. Procédé d'autorisation d'accès selon l'une quelconque des revendications 1 à 3, dans lequel l'analyse réalisée par le serveur d'authentification (18) comporte une estimation de la durée de la communication établie entre le serveur d'authentification et le terminal client (10) pour l'échange des messages.
5. Procédé d'autorisation d'accès selon la revendication 1 , dans lequel l'analyse réalisée par le serveur d'authentification (18) comporte la vérification des droits d'accès du terminal client (10) au réseau de communication (12) sur la base d'informations de droits d'accès fournies par le serveur (24) de gestion des droits d'accès du terminal client au serveur d'authentification.
6. Procédé d'autorisation d'accès selon la revendication 5, dans lequel l'un des messages que le serveur d'authentification (18) échange avec le terminal client (10) comporte un identifiant du serveur d'authentification.
7. Procédé d'autorisation d'accès selon l'une des revendications 1 à 6, dans lequel le serveur d'authentification (18) ajoute un délai prédéterminé dans la transmission des messages qu'il émet à destination du terminal client (10) et/ou du serveur (24) de gestion des droits d'accès lors de l'étape de vérification.
8. Procédé d'autorisation d'accès selon la revendication 7, dans lequel le délai prédéterminé augmente au cours du temps lors de l'étape de vérification.
9. Serveur d'authentification (18) pour l'autorisation d'accès d'un terminal client (10) à un réseau de communication (12), le terminal client ayant souscrit à un contrat de service avec un réseau nominal (14) différent du réseau de communication auquel il souhaite accéder, ce contrat de service définissant notamment des droits d'accès à un certain nombre de réseaux de communication, comportant, pour la vérification des droits d'accès du terminal client : des moyens (20) d'échange de messages avec le terminal client ; des moyens (22) d'échange de messages avec un serveur (24) de gestion des droits d'accès du terminal client, lié au réseau nominal, pour vérifier les droits d'accès, du terminal client au réseau de communication ; - des moyens (36) de limitation de l'accès du terminal client au réseau de communication si au moins une partie des messages échangés ne remplit pas certains critères prédéterminés ; caractérisé en ce qu'il comporte en outre des moyens (32) d'analyse des messages échangés avec le terminal client et des moyens (34) de vérification d'au moins une partie des critères prédéterminés sur la base d'un résultat fourni par les moyens d'analyse.
10. Système d'autorisation d'accès d'un terminal client (10) à un réseau de communication (12), le terminal client ayant souscrit à un contrat de service avec un réseau nominal (14) différent du réseau de communication auquel il souhaite accéder, ce contrat de service définissant notamment des droits d'accès à un certain nombre de réseaux de communication, le système comportant : un serveur d'authentification (18) selon la revendication 9 ; et un serveur (24) de gestion des droits d'accès du terminal client, lié au réseau nominal, comportant des moyens (26) d'échange de messages avec le serveur d'authentification pour vérifier les droits d'accès du terminal client au réseau de communication.
PCT/FR2005/002757 2004-11-05 2005-11-04 Procédé d'autorisation d'accès d'un terminal client d'un réseau nominal à un réseau de communication différent du réseau nominal, système, serveur d'authentification et programme informatique correspondants WO2006051197A1 (fr)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
FR0411818A FR2877789A1 (fr) 2004-11-05 2004-11-05 Procede d'autorisation d'acces d'un terminal client d'un reseau nominal a un reseau de communication different du reseau nominal, systeme, serveur d'authentification et programme informatique correspondants
FR0411818 2004-11-05

Publications (1)

Publication Number Publication Date
WO2006051197A1 true WO2006051197A1 (fr) 2006-05-18

Family

ID=34954072

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/FR2005/002757 WO2006051197A1 (fr) 2004-11-05 2005-11-04 Procédé d'autorisation d'accès d'un terminal client d'un réseau nominal à un réseau de communication différent du réseau nominal, système, serveur d'authentification et programme informatique correspondants

Country Status (2)

Country Link
FR (1) FR2877789A1 (fr)
WO (1) WO2006051197A1 (fr)

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP4109944A1 (fr) * 2021-06-23 2022-12-28 Thales DIS France SA Procédé pour empêcher une communication cachée sur un canal pendant l'authentification, vplmn et hplmn correspondants

Non-Patent Citations (4)

* Cited by examiner, † Cited by third party
Title
"Broadband Radio Access Networks (BRAN); HIPERLAN Type 2; Requirements and Architectures for Interworking between HIPERLAN/2 and 3rd Generation Cellular systems; DTR/BRAN-0020003-1", ETSI STANDARDS, EUROPEAN TELECOMMUNICATIONS STANDARDS INSTITUTE, SOPHIA-ANTIPO, FR, no. V0e, April 2001 (2001-04-01), XP014022497 *
ABOBA B ET AL: "RFC 2607: Proxy chaining and policy implementation in roaming", THE INTERNET SOCIETY. NETWORK WORKING GROUP, June 1999 (1999-06-01), XP015008390 *
BORDERS KEVIN ET AL: "Web tap: Detecting covert web traffic", PROCEEDINGS OF THE 11TH ACM CONFERENCE ON COMPUTER AND COMMUNICATIONS SECURITY, CCS 2004, 25-29 OCTOBER, WASHINGTON DC, USA, October 2004 (2004-10-01), pages 110 - 120, XP002335599 *
WILLIAMSON M M: "Throttling viruses: restricting propagation to defeat malicious mobile code", COMPUTER SECURITY APPLICATIONS CONFERENCE, 2002. PROCEEDINGS. 18TH ANNUAL 9-13 DEC. 2002, PISCATAWAY, NJ, USA,IEEE, 9 December 2002 (2002-12-09), pages 61 - 68, XP010627019, ISBN: 0-7695-1828-1 *

Also Published As

Publication number Publication date
FR2877789A1 (fr) 2006-05-12

Similar Documents

Publication Publication Date Title
EP1683388B1 (fr) Methode de gestion de la sécurité d'applications avec un module de sécurité
EP1687953B1 (fr) Méthode d'authentification d'applications
EP1733533B1 (fr) Procede et systeme de gestion d'autorisation d'acces d'un utilisateur au niveau d'un domaine administratif local lors d'une connexion de l'utilisateur a un reseau ip
EP1427231B1 (fr) Procédé d'établissement et de gestion d'un modèle de confiance entre une carte à puce et un terminal radio
EP2884716B1 (fr) Mécanisme d'authentificaiton par jeton
EP1549011A1 (fr) Procédé et système de communication entre un terminal et au moins un équipment communicant
EP2514166A1 (fr) Acces a un reseau de distribution de contenu numerique
WO2006021661A2 (fr) Procede d'authentification securisee pour la mise en œuvre de services sur un reseau de transmission de donnees
WO2006024732A1 (fr) Procede d'authentification anonyme base sur un algorithme cryptographique de type asymetrique
EP2871876A1 (fr) Technique de configuration d'accès sécurisé d'un terminal invité à un réseau hôte
EP3375133A1 (fr) Procede de securisation et d'authentification d'une telecommunication
WO2013034865A1 (fr) Procede d'authentification
EP2348763A2 (fr) Procédé d'authentification d'un terminal mobile pour accéder à un serveur d'applications
EP1400090B1 (fr) Procede et dispositif de securisation des communications dans un reseau informatique
WO2006051197A1 (fr) Procédé d'autorisation d'accès d'un terminal client d'un réseau nominal à un réseau de communication différent du réseau nominal, système, serveur d'authentification et programme informatique correspondants
EP2911365B1 (fr) Procédé et système de sécurisation de transactions offertes par une pluralité de services entre un appareil mobile d'un utilisateur et un point d'acceptation
EP1677486A1 (fr) Procédé d'authentification d'un terminal
FR3092954A1 (fr) Récupération de clé réseau, envoi de clé réseau, gestion de récupération de clé réseau, terminal, serveur de médiation et point d’accès les mettant en œuvre
CN115022088A (zh) 政务网关系统
EP2146534A1 (fr) Procédé, système, serveur et terminal d'authentification hybride
FR2825213A1 (fr) Systeme d'authentification d'un utilisateur
WO2008037912A2 (fr) Acces d 'un service a l 'aide d 'un serveur d 'authentification
FR2924294A1 (fr) Procede de transmission et systeme de telecommunications
FR2888443A1 (fr) Procede, serveur et systeme de divulgation differee de donnees
WO2007012786A2 (fr) Procede de mise en oeuvre d'une sequence d'authentifications

Legal Events

Date Code Title Description
AK Designated states

Kind code of ref document: A1

Designated state(s): AE AG AL AM AT AU AZ BA BB BG BR BW BY BZ CA CH CN CO CR CU CZ DE DK DM DZ EC EE EG ES FI GB GD GE GH GM HR HU ID IL IN IS JP KE KG KM KN KP KR KZ LC LK LR LS LT LU LV LY MA MD MG MK MN MW MX MZ NA NG NI NO NZ OM PG PH PL PT RO RU SC SD SE SG SK SL SM SY TJ TM TN TR TT TZ UA UG US UZ VC VN YU ZA ZM ZW

AL Designated countries for regional patents

Kind code of ref document: A1

Designated state(s): BW GH GM KE LS MW MZ NA SD SL SZ TZ UG ZM ZW AM AZ BY KG KZ MD RU TJ TM AT BE BG CH CY CZ DE DK EE ES FI FR GB GR HU IE IS IT LT LU LV MC NL PL PT RO SE SI SK TR BF BJ CF CG CI CM GA GN GQ GW ML MR NE SN TD TG

121 Ep: the epo has been informed by wipo that ep was designated in this application
NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 05814897

Country of ref document: EP

Kind code of ref document: A1