WO2008132097A1 - Procédé de sécurisation d'un flux de données. - Google Patents

Procédé de sécurisation d'un flux de données. Download PDF

Info

Publication number
WO2008132097A1
WO2008132097A1 PCT/EP2008/054856 EP2008054856W WO2008132097A1 WO 2008132097 A1 WO2008132097 A1 WO 2008132097A1 EP 2008054856 W EP2008054856 W EP 2008054856W WO 2008132097 A1 WO2008132097 A1 WO 2008132097A1
Authority
WO
WIPO (PCT)
Prior art keywords
data stream
data
terminal
protection
network
Prior art date
Application number
PCT/EP2008/054856
Other languages
English (en)
Inventor
Louis Granboulan
Laurent Bondavalli
Nicolas Ruff
Original Assignee
European Aeronautic Defence And Space Company - Eads France
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by European Aeronautic Defence And Space Company - Eads France filed Critical European Aeronautic Defence And Space Company - Eads France
Publication of WO2008132097A1 publication Critical patent/WO2008132097A1/fr

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H04L63/0464—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload using hop-by-hop encryption, i.e. wherein an intermediate entity decrypts the information and re-encrypts it before forwarding it
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L51/00—User-to-user messaging in packet-switching networks, transmitted according to store-and-forward or real-time protocols, e.g. e-mail

Definitions

  • the invention lies in the field of telecommunications and relates more specifically to a method of securing an exchanged data stream, via a transport network, between a telecommunication terminal and a local network access point, wherein the exchange of said data stream is managed by an electronic mail system providing a first protection of said data stream between the terminal and the local network access point.
  • the invention also relates to a device implementing said method and software implementing said method.
  • LAN access point such as a corporate network
  • mobile terminals have their own procedures for securing data to be exchanged between subscribers.
  • These procedures are based on encryption mechanisms using keys generally provided to users by the messaging system.
  • Network Operations Center sometimes referred to as NOC for Network Operation Center
  • NOC Network Operations Center
  • the data received or sent are stored in clear on the terminal and in the local network of the company. They can therefore be retrieved and viewed without even knowing the encryption key of data flows.
  • the encryption keys stored in a database or in a server set up by the operator of the messaging service can be retrieved either by the operator from the flows from said server, or directly by an access directly to the database, or remotely by exploiting a software flaw of the mail operator's server.
  • the recovery of the encryption keys can also be performed by means of an external application, known as the Trojan, fraudulently installed on the terminal.
  • Such an application can also be used to retrieve data stored in the clear in a terminal and to transmit this data to a pirate server.
  • An object of the invention is to provide protection for data exchanged between terminals and corporate servers against all the forms of piracy described above.
  • This object is achieved by means of a method of securing an exchanged data stream, via a transport network, between a telecommunication terminal and a local area access point, in which the exchange of said data stream is managed by an operator having his own electronic mail system providing a first protection of said data stream between said terminal and said LAN access point.
  • the method according to the invention further comprises a step of applying to said data stream at least one additional protection on the transport network, managed independently and transparently with respect to the messaging operator.
  • the management of the additional protection is provided by a system under the exclusive control of the user of the messaging system, the latter is able to prevent the decryption of its data by both the messaging operator and the user. any external organization.
  • the method according to the invention comprises the following steps executed prior to the transmission of the data flow from the local network to the terminal or from the terminal to the local network:
  • the additional protection consists of encrypting the data to be transmitted by a symmetric key using session keys derived from a master key specific to the terminal. Said master key is securely created in the local network when the terminal is initialized.
  • the method according to the invention further comprises the steps of calculating a cryptographic digest of the content of said data stream and associating said cryptographic digest with the data flow exchanged between the terminal and the local network. to ensure the integrity of the data exchanged.
  • the method according to the invention is implemented by a security device comprising a first security module arranged in the terminal and a second security module arranged at the access point to the local network, each of said first and second security modules comprises means for intercepting the flow of data to be exchanged and means for applying to said data flow, over the transport network, additional protection that is transparent to the messaging operator.
  • This method is implemented in the form of a software for securing a data flow exchanged, via a transport network, between a telecommunication terminal and a network access point. local, said data stream being managed by an electronic mail operator providing a first protection of said data stream between said terminal and said access point to the local network.
  • This software comprises a first security module arranged in the terminal and a second security module arranged at the access point to the local network, each of said first and second security modules comprises instructions which, when executed, allow intercepting the data stream to be exchanged and applying to said data stream, over the transport network, additional protection that is transparent to the messaging operator.
  • FIG. 1 schematically illustrates an architecture of a telecommunications network in which is implemented the method according to the invention
  • FIG. 2 represents a flowchart illustrating the application of the method according to the invention to data streams transmitted to a terminal from an enterprise network
  • FIG. 3 represents a flowchart illustrating the application of the method according to the invention to data streams transmitted by a terminal to an enterprise network
  • FIG. 4 represents a flowchart illustrating the essential steps to be applied to a data stream to be transmitted from a terminal according to the method according to the invention
  • FIG. 5 represents a flowchart illustrating the steps to be applied to a data flow; data received by a terminal according to the method according to the invention.
  • FIG. 1 represents a telecommunications architecture in which mobile terminals 2, connected to a wireless network 4, are able to exchange data streams, via the Internet network 10, with connected servers.
  • the enterprise network 20 comprises an infrastructure 22 of the messaging operator comprising a first module 24 providing the link between the mobile terminals 2, the networks Mobile and enterprise applications to enable mobile users to access their email, enterprise instant messaging, and personal information management tools.
  • This first module 24 and connected to a second module 26 intended to provide the essential components that can deploy the applications beyond the messaging to users, including development tools, administrative services.
  • the corporate network also comprises a WEB server 28, a directory server 30 and a messaging server 32.
  • An external firewall 34 is arranged between the Internet network 10 and the infrastructure 22 of the messaging operator and an internal firewall 36 is arranged between the first module 24 and the WEB servers 28, directory 30 and messaging 32.
  • the wireless network 4 comprises, in a manner known per se, at least one base station 34, and at least one module 36 dedicated to the management of the communication and transaction security protocols between the terminals 2 and the servers 28, 32.
  • the data flows exchanged between the terminals 2 and the servers 28, 30, 32 transit in encrypted form by a procedure specific to the messaging operator via a network operation center 40 (NOC) connected to the network.
  • NOC network operation center 40
  • the corporate network further comprises a security box 25, arranged between the external firewall 34, and the first module 24.
  • This box 25 comprises a first software module intended to filter the flows of data exchanged between the mobile terminals and the servers 28, 30, 32 of the company, a second software module for decrypting the data transmitted in encrypted form according to the secure procedure of the messaging operator and a third software module for decapsulating and re ⁇ encapsulate said data (respectively from and into) the specific format to the email provider.
  • the housing 25 further comprises encryption software using a procedure specific to company 20 and managed exclusively by the company 20.
  • each data flow exchanged between a terminal 2 and one of the servers 28, 30, 32 is encrypted according to the encryption procedure specific to the messaging operator before being encapsulated in a data format specific to this operator. messaging.
  • the data flow is either an email, a request for access to the Internet or data from an electronic organizer or company data downloaded by the user of the terminal 2.
  • terminals of type A will be used to designate the terminals for which the transmission of e-mails on the transport network is secured by the method according to the invention, and by type B terminals those for which the transfer e-mails on the transport network is not secured by the method according to the invention.
  • FIG. 2 represents a flowchart illustrating an application of the method according to the invention for securing e-mails transmitted from the company network 20 to the terminals 2.
  • the security box 25 processes the flows from the first module 24 and to destination of the mobile terminals 2 as follows:
  • Step 50 is to check the headers of the data packets to determine that the transmitted packets are an email.
  • the packets are not constituted by an email, they are transmitted (step 52) without processing by the security box 25. This is the case for example packets transmitted via an outgoing TCP connection.
  • the security box determines (step 54) the type of the terminal receiving the email from the identifier of said terminal. If the terminal is of type B, the packets are transmitted (step 56) without being processed by the security box 2.
  • the security box 25 unencapsulates the packets and decrypts the data transmitted in said packets (step 58).
  • step 60 the enclosure 25 applies to the decrypted data additional protection on the transport network managed exclusively by the enterprise network 20 transparently with respect to the messaging operator.
  • This additional protection consists, for example, in an encryption of the data to be transmitted by a symmetric key using session keys derived from a master key specific to the destination terminal.
  • the master key is stored in the security box.
  • the master key is associated with a public key also stored in the security box.
  • said symmetric encryption consists of successively using the Snake and AES algorithms in counter mode.
  • the additional security further comprises the steps of calculating a cryptographic digest of the data to be transmitted and associating said cryptographic digest to the email exchanged between the corporate network and the destination terminal so as to ensure the integrity of said data. data.
  • step 62 the box 25 applies the encryption specific to the messenger operator to the data, re-encapsulates said data in the format specific to this operator, and transmits (step 64) said packets to the destination terminal.
  • FIG. 3 represents a flowchart illustrating an application of the method according to the invention to secure e-mails transmitted from a terminal 2 to the corporate network 20.
  • the security box 25 processes the flows from the terminals 2 and to the first module 24 as follows:
  • the security box 25 performs steps 70 to 78 identical to steps 50 to 58.
  • step 80 the housing 25 removes the enterprise-specific security applied in step 60.
  • step 82 the security box re-encrypts the data according to the procedure specific to the messaging operator, re-encapsulates (step 84) the data thus encrypted in the format proper to this operator, and transmits (step 84) the packets obtained. to the first module 24.
  • the method according to the invention applies symmetrically to the type A terminals 2 which exchange data with the enterprise network 20.
  • each type A terminal is equipped with an extension software module (plug-in, in English) intended to intercept the e-mails to be sent and the e-mails received by the terminal and to apply to them the own security procedure. to the company 20.
  • an extension software module plug-in, in English
  • FIG. 4 represents a flowchart illustrating an application of the method according to the invention for securing an e-mail to be transmitted from a terminal 2 to the company network 20.
  • the plug-in intercepts the e-mail to be sent before it is fragmented into encrypted packets according to the e-mail operator's own procedure, and applies the additional security procedure specific to the enterprise 20 according to the following steps:
  • step 90 the plug-in breaks down (step 90) the emails to determine the parts to be included in each data packet to be sent to the company's network 20.
  • step 92 the plug-in encrypts the said data packets. parties according to the company's own procedure 20.
  • step 94 the plug-in reconstructs the e-mail and transmits it (step 96) to the company's network 20.
  • Figure 5 illustrates the process steps for e-mails received by the terminal.
  • the plug-in breaks down (step 100) the emails to determine which parts were included in each data packet sent from the company's network.
  • step 102 the plug-in removes the enterprise-specific encryption applied to the data by the security box 25.
  • step 104 the plug-in reconstructs the e-mail and transmits it (step 106) to a display device or terminal memory for storage in encrypted form.
  • the master keys are created at the initialization of the mobile terminals 2, for example by the security officer of the information system (RSSI) of the company 20.
  • RSSI information system
  • the keys are created and stored in the plug-in terminals 2 as follows:
  • the RSSI connects from his station to the security box 25 via a web interface, which allows him to manage the mobile device users,
  • this web interface Via this web interface, it generates the keys for the user and determines the parameters to be configured: choice of the algorithm, size of the keys.
  • the RSSI uploads the plug-in via the web interface to its workstation, and then installs the plug-in on the terminals 2 by applying the appropriate procedure to the terminals 2 provided by the messaging operator.
  • Keys that are used to encrypt packet-level data are session keys that are derived from symmetric master keys.
  • a different session key is used for each packet or group of packets.
  • the renewal of the master keys is done at the request of the RSSI. This renewal is exactly like initialization, except that the plug-in must first be uninstalled from the terminal using the appropriate terminal procedure provided by the messaging operator, before being reinstalled with the new keys.
  • an SA list is managed on the security box 25 and on each terminal. This SA list contains the following information:
  • the management of this list is particularly advantageous when the emails are stored in encrypted form in the terminals.

Abstract

L' invention concerne un procédé de sécurisation d'un flux de données échangé, via un réseau de transport, entre un terminal de télécommunication (2) et un point d'accès à un réseau local (20), procédé dans lequel l'échange dudit flux de données est géré par un système de messagerie électronique assurant une première protection dudit flux de données entre ledit terminal (2) et ledit point d'accès au réseau local (20). Le procédé selon l'invention comporte en outre une étape consistant à appliquer audit flux de données au moins une protection supplémentaire sur le réseau de transport gérée exclusivement par le réseau local (20) de façon transparente par rapport au système de messagerie.

Description

PROCEDE DE SECURISATION D'UN FLUX DE DONNEES
DESCRIPTION
DOMAINE TECHNIQUE L' invention se situe dans le domaine des télécommunications et concerne plus spécifiquement un procédé de sécurisation d'un flux de données échangé, via un réseau de transport, entre un terminal de télécommunication et un point d'accès à un réseau local, dans lequel l'échange dudit flux de données est géré par un système de messagerie électronique assurant une première protection dudit flux de données entre le terminal et le point d'accès au réseau local.
L' invention concerne également un dispositif mettant en œuvre ledit procédé et un logiciel implémentant ledit procédé.
ÉTAT DE LA TECHNIQUE ANTÉRIEURE
Les systèmes de messagerie connus assurant les échanges de flux de données entre un point d'accès à un réseau local, tel qu'un réseau d'entreprise, et des terminaux mobiles disposent de leurs propres procédures de sécurisation des données à échanger entre des abonnés. Ces procédures sont basées sur des mécanismes de chiffrement utilisant des clés généralement fournies aux usagers par le système de messagerie .
Dans la mesure où tous les flux de données transitent via le centre d'exploitation du réseau (parfois appelé NOC, pour Network Opération Center) , l'opérateur du système de messagerie peut récupérer ces flux de données. La confidentialité de ces flux de données repose donc sur la confidentialité des clés de chiffrement de ces flux de données.
Par ailleurs, les données reçues ou envoyées sont stockées en clair sur le terminal et dans le réseau local de l'entreprise. Elles peuvent donc y être récupérées et visualisées sans même connaître la clé de chiffrement des flux de données.
En outre, les clés de chiffrement stockées dans une base de données ou dans un serveur mis en place par l'opérateur du service de messagerie, peuvent être récupérées soit par l'opérateur à partir des flux provenant dudit serveur, soit directement par un accès direct à la base de données, ou à distance en exploitant une faille logicielle du serveur de l'opérateur de messagerie. La récupération des clés de chiffrement peut également être réalisée au moyen d'une application externe, connue sous le nom de cheval de Troie, installée frauduleusement sur le terminal. Une telle application peut également être utilisée pour récupérer des données stockées en clair dans un terminal et pour transmettre ces données à un serveur pirate .
Un but de l'invention est d'assurer une protection des données échangées entre des terminaux et des serveurs d'entreprise contre toutes les formes de piratage décrites ci-dessus.
EXPOSÉ DE L' INVENTION Ce but est atteint au moyen d'un procédé de sécurisation d'un flux de données échangé, via un réseau de transport, entre un terminal de télécommunication et un point d'accès à un réseau local, dans lequel l'échange dudit flux de données est géré par un opérateur disposant de son propre système de messagerie électronique assurant une première protection dudit flux de données entre ledit terminal et ledit point d'accès au réseau local.
Le procédé selon l'invention comporte en outre une étape consistant à appliquer audit flux de données au moins une protection supplémentaire sur le réseau de transport, gérée indépendamment et de façon transparente par rapport à l'opérateur de messagerie.
Du fait que la gestion de la protection supplémentaire est assurée par un système sous le contrôle exclusif de l'usager du système de messagerie, ce dernier est en mesure d'empêcher le déchiffrement de ses données aussi bien par l'opérateur de messagerie que par tout organisme externe.
Préférentiellement , le procédé selon l'invention comporte les étapes suivantes exécutées préalablement à la transmission du flux de données du réseau local vers le terminal ou du terminal vers le réseau local :
- désactiver la première protection assurée par l'opérateur de messagerie,
- appliquer au flux de données la protection supplémentaire gérée exclusivement par l'usager du système de messagerie,
- réappliquer au flux de données ladite première protection, - transmettre le flux de données auquel sont appliquées conjointement et successivement la première protection et la protection supplémentaire.
Dans une première variante de réalisation de l'invention, la protection supplémentaire consiste à chiffrer les données à transmettre par une clé symétrique utilisant des clés de session dérivées d'une clé maître spécifique au terminal. Ladite clé maître est créée de façon sécurisée dans le réseau local à l'initialisation du terminal.
Dans un mode préféré de mise en œuvre, le procédé selon l'invention comporte en outre les étapes consistant à calculer un condensé cryptographique du contenu dudit flux de données et à associer ledit condensé cryptographique au flux de données échangé entre le terminal et le réseau local de manière à assurer l'intégrité des données échangées.
Le procédé selon l'invention est mis en œuvre par un dispositif de sécurisation comportant un premier module de sécurité agencé dans le terminal et un deuxième module de sécurité agencé au point d' accès au réseau local, chacun desdits premier et deuxième modules de sécurité comporte des moyens pour intercepter le flux de données à échanger et des moyens pour appliquer audit flux de données, sur le réseau de transport, une protection supplémentaire transparente par rapport à l'opérateur de messagerie.
Ce procédé est implémenté sous forme d'un logiciel de sécurisation d'un flux de données échangé, via un réseau de transport, entre un terminal de télécommunication et un point d'accès à un réseau local, ledit flux de données étant géré par un opérateur de messagerie électronique assurant une première protection dudit flux de données entre ledit terminal et ledit point d'accès au réseau local. Ce logiciel comporte un premier module de sécurité agencé dans le terminal et un deuxième module de sécurité agencé au point d'accès au réseau local, chacun desdits premier et deuxième modules de sécurité comporte des instructions qui, lorsqu'elles sont exécutées, permettent d'intercepter le flux de données à échanger et d'appliquer audit flux de données, sur le réseau de transport, une protection supplémentaire transparente par rapport à l'opérateur de messagerie.
BRÈVE DESCRIPTION DES DESSINS
D'autres caractéristiques et avantages de l'invention ressortiront de la description qui va suivre, prise à titre d'exemple non limitatif, en référence aux figures annexées dans lesquelles : - la figure 1 illustre schématiquement une architecture d'un réseau de télécommunication dans lequel est mis en œuvre le procédé selon l'invention,
- la figure 2 représente un organigramme illustrant l'application du procédé selon l'invention à des flux de données transmis à un terminal à partir d'un réseau d'entreprise,
- la figure 3 représente un organigramme illustrant l'application du procédé selon l'invention à des flux de données transmis par un terminal à un réseau d'entreprise, - la figure 4 représente un organigramme illustrant les étapes essentielles à appliquer à un flux de données à émettre à partir d'un terminal conformément au procédé selon l'invention, - la figure 5 représente un organigramme illustrant les étapes à appliquer à un flux de données reçu par un terminal conformément au procédé selon l'invention.
EXPOSÉ DÉTAILLÉ DE MODES DE RÉALISATION PARTICULIERS La figure 1 représente une architecture de télécommunication dans laquelle des terminaux mobiles 2, connectés à un réseau sans fil 4, sont susceptibles d'échanger des flux de données, via le réseau Internet 10, avec des serveurs connectés à un réseau d'entreprise 20. Dans l'exemple illustré par la figure 1, le réseau d'entreprise 20 comporte une infrastructure 22 de l'opérateur de messagerie comportant un premier module 24 assurant le lien entre les terminaux mobiles 2, les réseaux mobiles et les applications de l'entreprise pour permettre aux utilisateurs mobiles d'accéder à leurs courriels, à la messagerie instantanée de l'entreprise et aux outils de gestion des informations personnelles. Ce premier module 24 et connecté à un deuxième module 26 destiné à fournir les composants essentiels qui permettent de déployer les applications au-delà de la messagerie vers les utilisateurs, notamment des outils de développement, des services administratifs. Le réseau d'entreprise comporte également un serveur WEB 28, un serveur d'annuaire 30 et un serveur de messagerie 32. Un pare-feu externe 34 est agencé entre le réseau Internet 10 et l'infrastructure 22 de l'opérateur de messagerie et un pare-feu interne 36 est agencé entre le premier module 24 et les serveurs WEB 28, d'annuaire 30 et de messagerie 32.
Le réseau sans fil 4 comporte de façon connue en soi au moins une station de base 34, et au moins un module 36 dédié à la gestion des protocoles de communication et de sécurité des transactions entre les terminaux 2 et les serveurs 28, 30 32.
Les flux de données échangés entre les terminaux 2 et les serveurs 28, 30, 32 transitent sous forme chiffrée par une procédure propre à l'opérateur de messagerie via un centre d'exploitation du réseau 40 (NOC, pour Network Opération Center) connecté au réseau Internet 10.
Dans un mode préféré de réalisation, le réseau d'entreprise comporte en outre un boîtier de sécurité 25, agencé entre le pare-feu externe 34, et le premier module 24. Ce boîtier 25 comporte un premier module logiciel destiné à filtrer les flux de données échangés entre les terminaux mobiles et les serveurs 28, 30, 32 de l'entreprise, un deuxième module logiciel destiné à déchiffrer les données transmises sous forme chiffrée selon la procédure de sécurisation de l'opérateur de messagerie et un troisième module logiciel permettant de désencapsuler et de ré¬ encapsuler lesdites données (respectivement à partir du et dans) le format propre à l'opérateur de messagerie. Le boîtier 25 comporte en outre un logiciel de chiffrement utilisant une procédure propre à l'entreprise 20 et gérée exclusivement par l'entreprise 20.
En fonctionnement normal, chaque flux de données échangé entre un terminal 2 et un des serveurs 28, 30, 32 est chiffré selon la procédure de chiffrement propre à l'opérateur de messagerie avant d'être encapsulé dans un format de données propre à cet opérateur de messagerie.
Le flux de données est soit un courriel, soit une requête d'accès à Internet ou encore des données d'un agenda électronique ou des données de l'entreprise téléchargées par l'utilisateur du terminal 2.
Notons que le procédé selon l'invention permet de gérer les échanges avec une population mixte de terminaux mobiles au sein d'un même parc. Dans la suite de la description, on désignera par terminaux de type A, les terminaux pour lesquels le transfert des courriels sur le réseau de transport est sécurisé par le procédé selon l'invention, et par terminaux de type B, ceux pour lesquels le transfert des courriels sur le réseau de transport n'est pas sécurisé par le procédé selon l'invention.
La figure 2 représente un organigramme illustrant une application du procédé selon l'invention pour sécuriser des courriels transmis à partir du réseau de l'entreprise 20 à destination des terminaux 2.
Dans cet exemple, le boîtier de sécurité 25 traite les flux en provenance du premier module 24 et à destination des terminaux mobiles 2 de la manière suivante :
L'étape 50 consiste à vérifier les entêtes des paquets de données pour déterminer que les paquets transmis sont constitués par un courriel.
Si les paquets ne sont pas constitués par un courriel, ils sont transmis (étape 52) sans traitement par le boîtier de sécurité 25. Ceci est le cas par exemple de paquets transmis via une connexion TCP sortante.
Si les paquets sont constitués par un courriel, le boîtier de sécurité détermine (étape 54) le type du terminal destinataire du courriel à partir de l'identifiant dudit terminal. Si le terminal est du type B, les paquets sont transmis (étape 56) sans être traités par le boîtier de sécurité 2.
Si le terminal est du type A, le boîtier de sécurité 25 désencapsule les paquets et déchiffre les données transmises dans lesdits paquets (étape 58).
A l'étape 60, le boîtier 25 applique aux données déchiffrées une protection supplémentaire sur le réseau de transport gérée exclusivement par le réseau de l'entreprise 20 de façon transparente par rapport à l'opérateur de messagerie.
Cette protection supplémentaire consiste par exemple en un chiffrement des données à transmettre par une clé symétrique utilisant des clés de session dérivées d'une clé maître spécifique au terminal destinataire. Dans un mode de réalisation particulier, la clé maître est mémorisée dans le boîtier de sécurité.
Dans un autre mode de réalisation particulier, la clé maître est associée à une clef publique également mémorisée dans le boîtier de sécurité .
Dans un mode de réalisation particulier du procédé selon l'invention, ledit chiffrement symétrique consiste à utiliser successivement les algorithmes Serpent et AES en mode compteur.
Il peut arriver que certaines données ainsi chiffrées soient altérées volontairement ou non pendant leur traitement, ou pendant leur transfert entre le boîtier de sécurité 25 et le terminal destinataire. II est donc utile d'introduire de l'intégrité au niveau des données chiffrées.
A cet effet, la sécurisation supplémentaire comporte en outre les étapes consistant à calculer un condensé cryptographique des données à transmettre et à associer ledit condensé cryptographique au courriel échangé entre le réseau de l'entreprise et le terminal destinataire de manière à assurer l'intégrité desdites données .
A l'étape 62, le boîtier 25 applique aux données le chiffrement propre à l'opérateur de messagerie, ré-encapsule lesdites données dans le format propre à cet opérateur, et transmet (étape 64) lesdits paquets au terminal destinataire.
La figure 3 représente un organigramme illustrant une application du procédé selon l'invention pour sécuriser des courriels transmis à partir d'un terminal 2 à destination du réseau de l'entreprise 20.
Au niveau du réseau de l'entreprise 20, le boîtier de sécurité 25 traite les flux en provenance des terminaux 2 et à destination du premier module 24 de la manière suivante :
Le boîtier de sécurité 25 exécute des étapes 70 à 78 identiques aux étapes 50 à 58.
A l'étape 80, le boîtier 25 supprime la sécurisation propre à l'entreprise appliquée au cours de l'étape 60.
A l'étape 82, le boîtier de sécurité rechiffre les données selon la procédure propre à l'opérateur de messagerie, réencapsule (étape 84) les données ainsi chiffrées dans le format propre à cet opérateur, et transmet (étape 84) les paquets obtenus au premier module 24.
Le procédé selon l'invention s'applique de façon symétrique au niveau des terminaux 2 de type A qui échangent des données avec le réseau d'entreprise 20.
A cet effet, chaque terminal de type A est équipé d'un module logiciel d'extension (plug-in, en anglais) destiné à intercepter les courriels à émettre et les courriels reçus par le terminal et à leur appliquer la procédure de sécurisation propre à l'entreprise 20.
La figure 4 représente un organigramme illustrant une application du procédé selon l'invention pour sécuriser un courriel à transmettre à partir d'un terminal 2 à destination du réseau de l'entreprise 20. Le plug-in intercepte le courriel à émettre avant qu' il ne soit fragmenté en paquets chiffrés selon la procédure propre à l'opérateur de messagerie, et applique la procédure de sécurisation supplémentaire propre à l'entreprise 20 selon les étapes suivante :
A l'étape 90, le plug-in décompose (étape 90) les courriels pour déterminer les parties à inclure dans chaque paquet de données à émettre au réseau de l'entreprise 20. A l'étape 92, le plug-in chiffre lesdites parties selon la procédure propre à l'entreprise 20.
A l'étape 94, le plug-in reconstitue le courriel et le transmet (étape 96) au réseau de l'entreprise 20. La figure 5 illustre les étapes du procédé pour les courriels reçus par le terminal.
Le plug-in décompose (étape 100) les courriels pour déterminer les parties qui étaient incluses dans chaque paquet de données émis à partir du réseau de l'entreprise 20.
A l'étape 102, le plug-in supprime le chiffrement propre à l'entreprise 20 appliquée aux données par le boîtier de sécurité 25.
A l'étape 104, le plug-in reconstitue le courriel et le transmet (étape 106) vers un dispositif de visualisation ou vers une mémoire du terminal en vue de le stocker sous forme chiffrée.
Selon l'algorithme de chiffrement (simple ou double) utilisé, il sera nécessaire de générer deux ou trois clés symétriques. Une des clés générées est dédiée au chiffrement et déchiffrement du condensé cryptographique .
Les clés maîtres sont créées à l'initialisation des terminaux mobiles 2, par exemple par le responsable de sécurité du système d' information (RSSI) de l'entreprise 20.
Dans une première variante de réalisation, les clés sont créées et stockées dans le plug-in des terminaux 2 de la manière suivante : - Le RSSI se connecte depuis son poste au boîtier de sécurité 25 via une interface web, qui lui permet de gérer les utilisateurs de terminaux mobiles,
- Via cette interface web, il génère les clés pour l'utilisateur et détermine les paramètres à configurer : choix de l'algorithme, taille des clés.
- Les clés sont ensuite insérées dans le code source du plug-in qui est recompilé sur le boîtier de sécurité 25.
Le RSSI télécharge via l'interface web le plug-in sur son poste, puis, installe le plug-in sur les terminaux 2 en appliquant la procédure appropriée aux terminaux 2 fournis par l'opérateur de messagerie.
Les clés qui sont utilisées pour chiffrer les données au niveau des paquets sont des clés de session qui sont dérivées des clés maîtresses symétriques .
Pour chaque paquet ou groupe de paquets, on utilise une clé de session différente. Le renouvellement des clés maîtres se fait sur demande du RSSI. Ce renouvellement s'effectue exactement comme l'initialisation, à ceci près que le plug-in doit d'abord être désinstallé du terminal en appliquant la procédure appropriée aux terminaux fournie par l'opérateur de messagerie, avant d'être réinstallé avec les nouvelles clés. Afin de se prémunir contre la réception de courriels qui ont été chiffrés et envoyés juste avant le renouvellement des clés de chiffrement ou le changement des algorithmes, une liste SA est gérée sur le boîtier de sécurité 25 et sur chaque terminal. Cette liste SA contient les informations suivantes :
- Identifiant unique pour chaque liste SA,
- Algorithme de chiffrement (Serpent+AES, ou AES, etc. ) - Clé de chiffrement
- Algorithme d'intégrité,
- Clé d'intégrité,
La gestion de cette liste est particulièrement avantageuse lorsque les courriels sont stockés sous forme chiffrée dans les terminaux.

Claims

REVENDICATIONS
1. Procédé de sécurisation d'un flux de données échangé, via un réseau de transport, entre un terminal de télécommunication (2) et un point d'accès à un réseau local (20), procédé dans lequel l'échange dudit flux de données est géré par un système de messagerie électronique assurant une première protection dudit flux de données entre ledit terminal (2) et ledit point d'accès au réseau local (20), ledit procédé comportant une étape consistant à appliquer audit flux de données au moins une protection supplémentaire sur le réseau de transport gérée indépendamment et de façon transparente par rapport au système de messagerie, procédé caractérisé en ce qu'il comporte en outre les étapes suivantes préalablement à la transmission du flux de données du réseau local (20) vers le terminal (2) ou du terminal vers le réseau
(20) : - désactiver ladite première protection,
- appliquer au flux de données la protection supplémentaire,
- réappliquer au flux de données la première protection, - transmettre le flux de données auquel sont appliquées conjointement et successivement la première protection et la protection supplémentaire.
2. Procédé selon la revendication 1, dans lequel la protection supplémentaire consiste à chiffrer le flux de données par une clé symétrique utilisant des clés de session dérivées d'une clé maître spécifique au terminal (2) .
3. Procédé selon la revendication 2, dans lequel ladite clé maître est mémorisée dans le boîtier de sécurité.
4. Procédé selon la revendication 1, dans lequel ladite clé maître est associée à une clef publique mémorisée dans le boîtier de sécurité.
5. Procédé selon la revendication 2, dans lequel ledit chiffrement symétrique consiste à utiliser successivement les algorithmes Serpent et AES en mode compteur.
6. Procédé selon la revendication 2, comportant en outre les étapes consistant à calculer un condensé cryptographique du contenu dudit flux de données et à associer ledit condensé cryptographique au flux de données échangé entre le terminal (2) et le réseau local (20) de manière à assurer l'intégrité des données échangées.
7. Procédé selon la revendication 2, dans lequel, ladite clé maître est créée de façon sécurisée dans le réseau local (20) à l'initialisation du terminal (2) .
8. Procédé selon la revendication 6, dans lequel le contenu du flux de données est stocké dans le terminal (2) sous forme chiffrée.
9. Procédé selon l'une des revendications 1 à 8, dans lequel ledit flux de données est un courriel.
10. Procédé selon l'une des revendications 1 à 8, dans lequel ledit flux de données est une requête d'accès à Internet.
11. Procédé selon l'une des revendications 1 à 8, dans lequel le contenu dudit flux est constitué par des données extraites d'un agenda électronique.
12. Procédé selon l'une des revendications 1 à 11, dans lequel ledit réseau local (20) est un réseau d'entreprise et en ce que ledit terminal (2) est un terminal mobile.
13. Dispositif de sécurisation d'un flux de données échangé, via un réseau de transport, entre un terminal de télécommunication (2) et un point d'accès à un réseau local (20), ledit flux de données étant géré par un système de messagerie électronique assurant une première protection dudit flux de données entre ledit terminal (2) et ledit point d'accès au réseau local
(20), dispositif comportant un premier module de sécurité agencé dans le terminal et un deuxième module de sécurité (25) agencé au point d'accès au réseau local (20), chacun desdits premier et deuxième modules de sécurité comporte des moyens pour intercepter le flux de données à échanger et des moyens pour appliquer audit flux de données, sur le réseau de transport, une protection supplémentaire transparente par rapport au système de messagerie, dispositif caractérisé en ce qu' il comporte en outre :
- des moyens pour désactiver ladite première protection,
- des moyens pour appliquer au flux de données la protection supplémentaire,
- des moyens pour réappliquer au flux de données la première protection,
- des moyens pour transmettre le flux de données auquel sont appliquées conjointement et successivement la première protection et la protection supplémentaire.
14. Programme d'ordinateur comprenant des instructions de code de programme pour l'exécution des étapes du procédé selon l'une des revendications 1 à 13 lorsque ledit programme est exécuté sur un ordinateur, chacun desdits premier et deuxième modules de sécurité comporte des instructions qui, lorsqu'elles sont exécutées, permettent d'intercepter le flux de données à échanger et d'appliquer audit flux de données, sur le réseau de transport, une protection supplémentaire transparente par rapport au système de messagerie, programme d'ordinateur caractérisé en ce qu'il comporte en outre :
- un module pour désactiver ladite première protection, - un module pour appliquer au flux de données la protection supplémentaire, - un module pour réappliquer au flux de données la première protection,
- un module pour transmettre le flux de données auquel sont appliquées conjointement et successivement la première protection et la protection supplémentaire.
PCT/EP2008/054856 2007-04-26 2008-04-22 Procédé de sécurisation d'un flux de données. WO2008132097A1 (fr)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
FR0754702A FR2915648B1 (fr) 2007-04-26 2007-04-26 Procede de securisation d'un flux de donnees
FR07/54702 2007-04-26

Publications (1)

Publication Number Publication Date
WO2008132097A1 true WO2008132097A1 (fr) 2008-11-06

Family

ID=39167666

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/EP2008/054856 WO2008132097A1 (fr) 2007-04-26 2008-04-22 Procédé de sécurisation d'un flux de données.

Country Status (2)

Country Link
FR (1) FR2915648B1 (fr)
WO (1) WO2008132097A1 (fr)

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2003007184A1 (fr) * 2001-07-12 2003-01-23 Research In Motion Limited Systeme et procede de chargement de donnees d'une source d'information dans un dispositif de communication mobile avec transcodage des donnees
US20050244007A1 (en) * 2004-04-30 2005-11-03 Little Herbert A System and method for securing data
WO2006048605A1 (fr) * 2004-11-03 2006-05-11 Qinetiq Limited Communications a liaison sans fil entre un ordinateur et un reseau recepteur exploitant chacun un logiciel de securite vpn et un logiciel de securite sans fil
EP1758310A1 (fr) * 2005-08-22 2007-02-28 Alcatel Procédé pour éviter double cryptage dans des réseaux mobiles

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2003007184A1 (fr) * 2001-07-12 2003-01-23 Research In Motion Limited Systeme et procede de chargement de donnees d'une source d'information dans un dispositif de communication mobile avec transcodage des donnees
US20050244007A1 (en) * 2004-04-30 2005-11-03 Little Herbert A System and method for securing data
WO2006048605A1 (fr) * 2004-11-03 2006-05-11 Qinetiq Limited Communications a liaison sans fil entre un ordinateur et un reseau recepteur exploitant chacun un logiciel de securite vpn et un logiciel de securite sans fil
EP1758310A1 (fr) * 2005-08-22 2007-02-28 Alcatel Procédé pour éviter double cryptage dans des réseaux mobiles

Also Published As

Publication number Publication date
FR2915648B1 (fr) 2009-11-13
FR2915648A1 (fr) 2008-10-31

Similar Documents

Publication Publication Date Title
CA2423024C (fr) Systeme de telecommunication, notamment de type ip, et equipements pour un tel systeme
US7076651B2 (en) System and method for highly secure data communications
EP1903746B1 (fr) Procédé de sécurisation de sessions entre un terminal radio et un équipement dans un réseau
EP1854243B1 (fr) Mise en correspondance de paquet de reseau de protocole http chiffre vers un nom de localisateur de ressources universel et d'autres donnees sans dechiffrement hors d'un serveur securise
US20110154036A1 (en) Method For Implementing Encryption And Transmission of Information and System Thereof
EP2153613A2 (fr) Procede de securisation d'echange d'information, dispositif, et produit programme d'ordinateur correspondant
EP1964361A1 (fr) Architecture et procede pour controler le transfert d'informations entre utilisateurs
WO2007003783A2 (fr) Serveur de distribution de donnees numeriques, serveur de decryptage de donnees numeriques, systeme de transmission et procede de transmission de donnees numeriques
EP3854021A1 (fr) Méthode de traitement confidentiel de logs d'un système d'information
EP1949590A1 (fr) Procede de depot securise de donnees numeriques, procede associe de recuperation de donnees numeriques, dispositifs associes pour la mise en uvre des procedes, et systeme comprenant les dits dispositifs
FR2969881A1 (fr) Procede et dispositif de transmission de donnees entre deux reseaux securises de type ethernet a travers un reseau route
CN116545706B (zh) 一种数据安全传输控制系统、方法、装置及电子设备
EP1413088B1 (fr) Methode pour creer un reseau virtuel prive utilisant un reseau public
WO2003019899A2 (fr) Reseau numerique local, procedes d'installation de nouveaux dispositifs et procedes de diffusion et de reception de donnees dans un tel reseau
WO2008132097A1 (fr) Procédé de sécurisation d'un flux de données.
EP3568964A1 (fr) Procédé de transmission d'une information numérique chiffrée de bout en bout, application de ce procédé et objet mettant en oeuvre ce procédé
US20030191965A1 (en) Method and apparatus to facilitate virtual transport layer security on a virtual network
EP1737191B1 (fr) Procédé de création d'un terminal éclaté entre un terminal de base et des équipements connectés en serie
EP3889809A1 (fr) Protection d'un logiciel secret et de données confidentielles dans une enclave sécurisée
EP2630765B1 (fr) Procede d'optimisation du transfert de flux de donnees securises via un reseau autonomique
CN110995564B (zh) 一种报文传输方法、装置及安全网络系统
JP2003069751A (ja) 安全なインターネットベースのコール会計サービス
JPH0983507A (ja) 暗号鍵の生成および共有方法
EP3829204A1 (fr) Procédé et système de contrôle d'accès à des objets connectés, procédés associés de distribution et de réception de données, et produit programme d'ordinateur associé
CN115348233A (zh) 一种标准邮件系统透明加密方法、介质及计算机设备

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 08736457

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 08736457

Country of ref document: EP

Kind code of ref document: A1