WO2018109303A1 - Management of a local communication network based on classifying communicating objects into trust categories - Google Patents

Management of a local communication network based on classifying communicating objects into trust categories Download PDF

Info

Publication number
WO2018109303A1
WO2018109303A1 PCT/FR2017/053338 FR2017053338W WO2018109303A1 WO 2018109303 A1 WO2018109303 A1 WO 2018109303A1 FR 2017053338 W FR2017053338 W FR 2017053338W WO 2018109303 A1 WO2018109303 A1 WO 2018109303A1
Authority
WO
WIPO (PCT)
Prior art keywords
communicating
communicating objects
communication network
category
local communication
Prior art date
Application number
PCT/FR2017/053338
Other languages
French (fr)
Inventor
Benoît MEUNIER
Eric Bouvet
Original Assignee
Orange
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Orange filed Critical Orange
Publication of WO2018109303A1 publication Critical patent/WO2018109303A1/en

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/104—Grouping of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L61/00—Network arrangements, protocols or services for addressing or naming
    • H04L61/50—Address allocation
    • H04L61/5007—Internet protocol [IP] addresses
    • H04L61/5014—Internet protocol [IP] addresses using dynamic host configuration protocol [DHCP] or bootstrap protocol [BOOTP]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H04W12/069—Authentication using certificates or pre-shared keys
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/08—Access security
    • H04W12/088—Access security using filters or firewalls
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W4/00—Services specially adapted for wireless communication networks; Facilities therefor
    • H04W4/70—Services for machine-to-machine communication [M2M] or machine type communication [MTC]

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

The invention relates to the management of a local communication network comprising a plurality of communicating objects (11-17; 21) that can be connected to the network, and a server (10; 20) for configuration of the access parameters allowing the communicating objects to access the network. According to the invention, the communicating objects are authenticated and the communicating objects are classified into a trust category according to the result of said authentication.

Description

Gestion d'un réseau de communication local par classification d'objets communicants en catégories de confiance  Management of a local communication network by classification of communicating objects into categories of trust
1. Domaine de l'invention 1. Field of the invention
Le domaine de l'invention est celui des réseaux de communication locaux, notamment, mais non exclusivement, des réseaux de communication domestiques, comprenant une passerelle d'accès et une pluralité d'objets communicants, tels que des ordinateurs, tablettes, téléphones intelligents (en anglais « smartphones »), mais également des caméras de type webcams, des stations météo, des capteurs, des thermostats, etc.  The field of the invention is that of local communication networks, including, but not limited to, home communication networks, comprising an access gateway and a plurality of communicating objects, such as computers, tablets, smartphones ( in English "smartphones"), but also cam-type cameras, weather stations, sensors, thermostats, etc.
Plus précisément, l'invention concerne la gestion d'une politique de sécurité au sein d'un tel réseau de communication local.  More specifically, the invention relates to the management of a security policy within such a local communication network.
2. Art antérieur et ses inconvénients  2. Prior art and its disadvantages
Actuellement, lorsqu'un objet communicant est connecté dans un réseau de communication, et souhaite échanger des données sur ce réseau, il lui est nécessaire d'obtenir certains paramètres de configuration, et notamment une adresse I P (pour l'anglais « Internet Protocol »). Le protocole de configuration automatique le plus couramment utilisé pour ce faire est le protocole DHCP (pour l'anglais « Dynamic Host Configuration Protocol », protocole de configuration dynamique des hôtes).  Currently, when a communicating object is connected in a communication network, and wishes to exchange data on this network, it is necessary for it to obtain certain configuration parameters, including an IP address (for the English "Internet Protocol" ). The most commonly used automatic configuration protocol for this is DHCP (Dynamic Host Configuration Protocol).
Classiquement, l'objet communicant diffuse sur le réseau un datagramme DHCP DISCOVER. A réception, un serveur DHCP, présent par exemple dans la passerelle d'accès au réseau, envoie en réponse à l'objet communicant une offre DHCP OFFER, s'il est en mesure de proposer une adresse sur le réseau auquel appartient l'objet communicant. Une telle offre DHCP comporte l'adresse IP du serveur, ainsi que l'adresse I P et le masque de sous-réseau qu'il propose à l'objet communicant.  Classically, the communicating object diffuses on the network a DHCP DISCOVER datagram. On reception, a DHCP server, present for example in the network access gateway, sends in response to the communicating object a DHCP OFFER offer, if it is able to propose an address on the network to which the object belongs. communicating. Such a DHCP offer includes the IP address of the server, as well as the IP address and the subnet mask it proposes to the communicating object.
S'il retient cette offre, l'objet communicant diffuse sur le réseau un datagramme de requête DHCP (DHCP REQUEST), qui comporte l'adresse I P du serveur et celle qui vient de lui être proposée. Elle a pour effet, notamment, de demander au serveur DHCP l'assignation de cette adresse, et l'envoi éventuel des valeurs de certains paramètres.  If it retains this offer, the communicating object broadcasts on the network a DHCP request datagram (DHCP REQUEST), which includes the I P address of the server and that which has just been proposed to it. It has the effect, among other things, of asking the DHCP server to assign this address, and possibly sending the values of certain parameters.
Le serveur DHCP élabore un datagramme d'accusé de réception (DHCP ACK pour acknowledgement) qui assigne à l'objet communicant l'adresse I P et son masque de sous-réseau, la durée du bail de cette adresse, et éventuellement d'autres paramètres, parmi lesquels l'adresse IP de la passerelle par défaut, et les adresses I P des serveurs DNS.  The DHCP server builds an acknowledgment datagram (DHCP Acknowledge) that assigns the communicating object the IP address and its subnet mask, the lease duration of this address, and possibly other parameters. , including the IP address of the default gateway, and the IP addresses of the DNS servers.
Le serveur DHCP, qui est le plus souvent intégré dans la passerelle d'accès au réseau local (la passerelle résidentielle dans le cas d'un réseau domestique), alloue ainsi des paramètres de configuration, de même nature et de même portée, à tous les objets communicants du réseau qui en font la demande, leur permettant, d'une part, d'accéder aux ressources et données du réseau local, et d'autre part, d'accéder au réseau mondial Internet. The DHCP server, which is most often integrated into the local network access gateway (the residential gateway in the case of a home network), thus allocates configuration parameters, of the same nature and scope, to all the communicating objects of the network that on request, allowing them to access local network resources and data, and access the global Internet network.
Si ceci posait peu de problèmes à la genèse des réseaux locaux, lorsque seuls un ou deux ordinateurs personnels de type PC étaient présents sur le réseau, la multiplication du nombre d'objets communicants, de tous types, et de toutes provenances, pose à cette approche des problèmes de sécurité.  If this posed few problems to the genesis of the local networks, when only one or two personal computers of type PC were present on the network, the multiplication of the number of communicating objects, of all types, and from all sources, poses to this approach to security issues.
En effet, le risque est accru que l'un de ces objets communicants présente une ou plusieurs failles de sécurité, susceptibles de permettre à un individu malveillant de pénétrer sur le réseau local, par exemple par installation sur l'objet communicant d'un logiciel malveillant (en anglais « malware »), en vue d'y opérer des activités malveillantes, telles que du vol de données, ou une attaque de déni de service par exemple.  Indeed, the risk is increased that one of these communicating objects has one or more security vulnerabilities, likely to allow a malicious individual to enter the local network, for example by installing on the communicating object of a software malware, for the purpose of carrying out malicious activities, such as data theft, or a denial of service attack for example.
Il existe donc un besoin d'une technique de gestion des réseaux de communication locaux qui ne présente pas ces inconvénients de l'art antérieur, et permettre d'accroître leur sécurité vis- à-vis d'objets communicants susceptibles de présenter une faille de sécurité.  There is therefore a need for a technique for managing local communication networks that does not have these drawbacks of the prior art, and makes it possible to increase their security vis-à-vis communicating objects likely to present a fault of security.
3. Exposé de l'invention 3. Presentation of the invention
L'invention répond à ce besoin en proposant un procédé de gestion d'un réseau de communication local comprenant une pluralité d'objets communicants aptes à être connectés au réseau et un serveur de configuration de paramètres d'accès des objets communicants au réseau. Un tel procédé de gestion met en œuvre une authentification des objets communicants et une classification des objets communicants dans une catégorie de confiance en fonction d'un résultat de l'authentification.  The invention responds to this need by proposing a management method of a local communication network comprising a plurality of communicating objects able to be connected to the network and a configuration server for access parameters of the communicating objects to the network. Such a management method implements an authentication of the communicating objects and a classification of the communicating objects in a category of trust as a function of a result of the authentication.
Ainsi, l'invention repose sur une approche tout à fait nouvelle et inventive de la gestion de la sécurité des réseaux de communication locaux, et notamment des réseaux domestiques, auxquels accèdent de multiples objets communicants de fiabilités diverses.  Thus, the invention is based on a completely new and inventive approach to managing the security of local communication networks, and in particular home networks, which are accessed by multiple communicating objects of various reliability.
En effet, l'invention propose d'authentifier ces objets communicants, puis de les classer, en fonction du résultat de cette authentification, dans une catégorie de confiance adaptée. Le résultat de ce classement peut être mémorisé au sein du réseau de communication, par exemple dans une passerelle d'accès au réseau, afin d'être aisément accessible aux équipements du réseau local. Ainsi, par mise en place d'un simple mécanisme d'authentification, il est possible de vérifier si l'objet communicant qui souhaite accéder au réseau est fiable, et ainsi d'accroître la sécurité du réseau. Une telle authentification peut reposer sur tout mécanisme d'authentification connu, par exemple une certification avec clé publique et clé privée, une signature numérique, un jeton d'authentification, une cryptographie asymétrique, etc.  Indeed, the invention proposes to authenticate these communicating objects, then classify them, according to the result of this authentication, in a suitable confidence category. The result of this classification can be stored within the communication network, for example in a network access gateway, in order to be easily accessible to the equipment of the local network. Thus, by setting up a simple authentication mechanism, it is possible to check whether the communicating object that wishes to access the network is reliable, and thus increase the security of the network. Such authentication may be based on any known authentication mechanism, for example certification with public key and private key, digital signature, authentication token, asymmetric cryptography, etc.
Selon un mode de réalisation, la catégorie de confiance appartient à un ensemble d'au moins deux catégories de confiance, comprenant : une catégorie d'objets communicants de confiance ; According to one embodiment, the trust category belongs to a set of at least two trust categories, including: a category of trusted communicating objects;
une catégorie d'objets communicants non fiables.  a category of unreliable communicating objects.
Ainsi, si l'authentification est un succès en ce qu'elle permet de vérifier que l'objet communicant fait partir d'une liste d'objets communicants équipés d'une version de logiciel embarqué fiables, alors l'objet communicant est classé dans la catégorie des objets communicants de confiance.  Thus, if the authentication is successful in that it makes it possible to verify that the communicating object is from a list of communicating objects equipped with a reliable embedded software version, then the communicating object is classified in the category of trusted communicating objects.
A l'inverse, si l'authentification échoue, par exemple parce que l'objet communicant ne dispose pas de données d'authentification propres aux objets communicants de confiance, ce dernier est classé dans une catégorie d'objets communicants non fiables.  On the other hand, if the authentication fails, for example because the communicating object does not have authentication data specific to trusted communicating objects, the latter is classified in a category of unreliable communicating objects.
Selon un mode de réalisation, l'ensemble d'au moins deux catégories de confiance comprend également au moins une catégorie d'objets communicants insuffisamment fiables.  According to one embodiment, the set of at least two categories of trust also comprises at least one category of communicating objects which are not sufficiently reliable.
Une telle catégorie peut être assimilée à une catégorie d'objets communicants « en quarantaine », qui nécessitent par exemple de subir une mise à jour de leur logiciel embarqué (en anglais « firmware ») pour y corriger une faille de sécurité récemment détectée ou une opération de maintenance (par exemple une mise à jour des paramètres d'identification, tels qu'un mot de passe).  Such a category can be likened to a category of communicating objects "in quarantine", which require for example to undergo an update of their embedded software (in English "firmware") to fix a recently detected security flaw or a maintenance operation (eg an update of identification parameters, such as a password).
Ainsi, un objet communicant de la catégorie des objets communicants de confiance peut être classé dans la catégorie des objets communicants insuffisamment fiables lorsqu'on détecte que cette mise à jour du firmware ou cette opération de maintenance est nécessaire. Dès que la mise à jour ou l'opération de maintenance est effectuée, l'objet communicant peut réintégrer la catégorie des objets communicants de confiance, à l'issue d'une nouvelle authentification réussie.  Thus, a communicating object of the class of trusted communicating objects can be classified in the category of insufficiently reliable communicating objects when it is detected that this firmware update or this maintenance operation is necessary. As soon as the updating or the maintenance operation is performed, the communicating object can re-enter the category of trusted communicating objects, after a successful new authentication.
Selon un mode de réalisation, préalablement à ladite authentification, un desdits objets communicants est par défaut classé dans ladite catégorie d'objets communicants non fiables.  According to one embodiment, prior to said authentication, one of said communicating objects is by default classified in said category of unreliable communicating objects.
Ainsi, par sécurité, un objet communicant qui rejoint le réseau de communication local sans utiliser le mécanisme de configuration automatique de l'invention est classé par défaut dans la catégorie des objets communicants non fiables. Il peut ensuite se déclarer de confiance, en procédant à une authentification selon un mode de réalisation de l'invention, et ainsi rejoindre la catégorie des objets communicants de confiance.  Thus, for security, a communicating object that joins the local communication network without using the automatic configuration mechanism of the invention is classified by default in the category of unreliable communicating objects. It can then declare confidence, by performing an authentication according to one embodiment of the invention, and thus join the category of trusted communicating objects.
Selon un mode de réalisation, un tel procédé comprend une adaptation d'une offre d'accès audit réseau par lesdits objets communicants, en fonction de ladite catégorie de confiance dans laquelle ils sont classés.  According to one embodiment, such a method comprises an adaptation of an offer of access to said network by said communicating objects, according to said confidence category in which they are classified.
Il est ainsi possible d'allouer des droits d'accès différents aux objets communicants, en fonction de la catégorie de confiance à laquelle ils appartiennent. Notamment, il est possible de mettre en place plusieurs sous-réseaux, présentant des politiques de sécurité différentes, au sein du réseau de communication local. Par exemple, les équipements appartenant à la catégorie des objets communicants non fiables peuvent avoir des droits d'accès restreints par rapport aux objets communicants de confiance, et être cloisonnés dans un sous-réseau, sans possibilité d'accéder au reste du réseau de communication local : on réduit ainsi leur pouvoir de nuisance, et on évite leur accès à des données sensibles ou protégées (pas de possibilité pour l'objet potentiellement malveillant de « sniffer » le réseau local). It is thus possible to allocate different access rights to the communicating objects, according to the category of trust to which they belong. In particular, it is possible to set up several subnetworks, with different security policies, within the local communication network. For example, devices belonging to the category of unreliable communicating objects may have restricted access rights over trusted communicating objects, and be partitioned in a subnet, without access to the rest of the communication network. local: this reduces their nuisance power, and avoids their access to sensitive or protected data (no possibility for the potentially malicious object to "sniff" the local network).
De même, un équipement appartenant à la catégorie des objets communicants insuffisamment fiables peut par exemple se voir refuser tout droit d'accès au réseau de communication local tant qu'il n'a pas procédé à la mise à jour requise de son logiciel embarqué. En variante, si cette mise à jour doit viser à corriger une faille de sécurité détectée sur l'un de ses ports de communication, il est aussi possible de bloquer ce port jusqu'à ce que la mise à jour ait été effectuée.  Similarly, a device belonging to the category of insufficiently reliable communicating objects may for example be denied access to the local communication network until it has made the required update of its embedded software. Alternatively, if this update is to correct a security vulnerability detected on one of its communication ports, it is also possible to block this port until the update has been performed.
Selon un mode de réalisation, un tel procédé met en œuvre un protocole de configuration dynamique de type DHCP (« Dynamic Host Configuration Protocol », en français, protocole de configuration dynamique des hôtes) et, lors de ladite authentification, il comprend :  According to one embodiment, such a method implements a dynamic configuration protocol of the Dynamic Host Configuration Protocol (DHCP) type and, during said authentication, it comprises:
une étape d'envoi à un des objets communicants à authentifier d'une offre DHCP comprenant un challenge d'authentification à résoudre ;  a step of sending to one of the communicating objects to authenticate a DHCP offer including an authentication challenge to be solved;
une étape de vérification d'une résolution du challenge d'authentification par l'objet communicant.  a step of verifying a resolution of the authentication challenge by the communicating object.
Un tel challenge d'authentification est par exemple transmis, avec le DHCP Offer, dans un champ d'option du protocole DHCP : il peut consister à demander à l'objet communicant de signer une chaîne unique aléatoire au moyen d'une clé privée de certification qu'il détient, et de renvoyer cette chaîne signée vers le serveur DHCP. Ce dernier peut alors procéder à la vérification de cette signature, à partir d'une clé publique de certification de l'objet communicant, dont il a connaissance.  Such an authentication challenge is for example transmitted, with the DHCP Offer, in an option field of the DHCP protocol: it may consist in asking the communicating object to sign a random unique string by means of a private key of certification it holds, and return that signed string to the DHCP server. The latter can then proceed to the verification of this signature, from a public key certification of the communicating object, which he knows.
Cette mise en œuvre est simple et fiable, en ce qu'elle repose sur le protocole DHCP couramment utilisé, et exploite avantageusement un champ option de ce protocole déjà existant.  This implementation is simple and reliable, in that it relies on the commonly used DHCP protocol, and advantageously exploits an optional field of this already existing protocol.
L'invention concerne également un produit programme d'ordinateur comprenant des instructions de code de programme pour la mise en œuvre d'un procédé tel que décrit précédemment, lorsqu'il est exécuté par un processeur.  The invention also relates to a computer program product comprising program code instructions for implementing a method as described above, when executed by a processor.
L'invention vise également un support d'enregistrement lisible par un ordinateur sur lequel est enregistré un programme d'ordinateur comprenant des instructions de code de programme pour l'exécution des étapes du procédé de gestion d'un réseau de communication local selon l'invention tel que décrit ci-dessus.  The invention is also directed to a computer-readable recording medium on which is recorded a computer program comprising program code instructions for executing the steps of the method of managing a local communication network according to the present invention. invention as described above.
Un tel support d'enregistrement peut être n'importe quelle entité ou dispositif capable de stocker le programme. Par exemple, le support peut comporter un moyen de stockage, tel qu'une ROM, par exemple un CD ROM ou une ROM de circuit microélectronique, ou encore un moyen d'enregistrement magnétique, par exemple une clé USB ou un disque dur. Such a recording medium may be any entity or device capable of store the program. For example, the medium may include storage means, such as a ROM, for example a CD ROM or a microelectronic circuit ROM, or a magnetic recording means, for example a USB key or a hard disk.
D'autre part, un tel support d'enregistrement peut être un support transmissible tel qu'un signal électrique ou optique, qui peut être acheminé via un câble électrique ou optique, par radio ou par d'autres moyens, de sorte que le programme d'ordinateur qu'il contient est exécutable à distance. Le programme selon l'invention peut être en particulier téléchargé sur un réseau par exemple le réseau Internet.  On the other hand, such a recording medium may be a transmissible medium such as an electrical or optical signal, which may be conveyed via an electrical or optical cable, by radio or by other means, so that the program computer that it contains is executable remotely. The program according to the invention can in particular be downloaded to a network, for example the Internet network.
Alternativement, le support d'enregistrement peut être un circuit intégré dans lequel le programme est incorporé, le circuit étant adapté pour exécuter ou pour être utilisé dans l'exécution du procédé de contrôle d'affichage précité.  Alternatively, the recording medium may be an integrated circuit in which the program is incorporated, the circuit being adapted to execute or to be used in the execution of the aforementioned display control method.
L'invention concerne également un serveur de configuration de paramètres d'accès d'un objet communicant à un réseau de communication local, et une passerelle d'accès à un réseau de communication présentant en combinaison tout ou partie des caractéristiques exposées dans l'ensemble de ce document.  The invention also relates to an access parameter configuration server of an object communicating with a local communication network, and a communication network access gateway having in combination all or some of the features exhibited in the set. of this document.
Notamment, un tel serveur de configuration comprend un processeur apte à mettre en œuvre le procédé décrit précédemment, et la passerelle d'accès, par exemple une passerelle résidentielle de type Livebox®, intègre un serveur de configuration de paramètres d'accès d'un objet communicant à un réseau de communication local, par exemple un serveur DHCP. In particular, such a configuration server comprises a processor adapted to implement the method described above, and the access gateway, for example a residential gateway type Liveboxes ®, integrates an access parameter configuration server of a communicating object to a local communication network, for example a DHCP server.
Le serveur de configuration de paramètres d'accès d'un objet communicant à un réseau de communication local, la passerelle d'accès et le programme d'ordinateur correspondants précités présentent au moins les mêmes avantages que ceux conférés par le procédé de gestion d'un réseau de communication local selon la présente invention.  The access parameter configuration server of an object communicating with a local communication network, the access gateway and the corresponding computer program mentioned above have at least the same advantages as those conferred by the management method of a local communication network according to the present invention.
4. Liste des figures  4. List of figures
D'autres buts, caractéristiques et avantages de l'invention apparaîtront plus clairement à la lecture de la description suivante, donnée à titre de simple exemple illustratif, et non limitatif, en relation avec les figures, parmi lesquelles :  Other objects, features and advantages of the invention will appear more clearly on reading the following description, given as a simple illustrative and non-limiting example, in relation to the figures, among which:
la figure 1 présente une vue schématique d'un réseau local de communication et des différents objets communicants qui y sont connectés, selon un mode de réalisation de l'invention;  FIG. 1 shows a schematic view of a local communication network and the various communicating objects connected to it, according to one embodiment of the invention;
la figure 2 présente sous forme de logigramme les différentes étapes du procédé de gestion selon un mode de réalisation de l'invention;  FIG. 2 presents in logic diagram form the various steps of the management method according to one embodiment of the invention;
la figure 3 propose un schéma synoptique d'un serveur DHCP ou d'une passerelle d'accès mettant en œuvre le procédé de la figure 2.  FIG. 3 provides a block diagram of a DHCP server or an access gateway implementing the method of FIG. 2.
5. Description détaillée de modes de réalisation de l'invention Le principe général de l'invention repose sur la classification, en différentes catégories de confiance, des objets communicants susceptibles d'être connectés dans un réseau de communication local, en fonction du résultat d'une phase d'authentification au sein de ce réseau. 5. Detailed Description of Embodiments of the Invention The general principle of the invention is based on the classification, in different categories of confidence, communicating objects that can be connected in a local communication network, depending on the result of an authentication phase within this network.
On s'attache plus en détail dans la suite de ce document à décrire la mise en œuvre d'un mode de réalisation de l'invention dans le cadre d'un réseau domestique, chez un utilisateur particulier. L'invention s'applique bien sûr également à tout autre type de réseau de communication local (LAN, pour « Local Area Network »), auquel une pluralité d'équipements de communication sont connectés.  In the remainder of this document, the implementation of an embodiment of the invention in the context of a home network, in a particular user, is described in more detail below. The invention is of course also applicable to any other type of local area network (LAN), to which a plurality of communication equipment are connected.
Dans un tel réseau domestique, représenté schématiquement sur la figure 1, une passerelle résidentielle HGW référencée 10 permet de relier un réseau de communication local et un réseau étendu tel que le réseau Internet (non représenté). Une telle passerelle résidentielle HGW 10 intègre un serveur DHCP : elle effectue le routage des paquets de données sur le réseau, et peut également jouer le rôle de pare-feu, de proxy, ...  In such a home network, shown schematically in FIG. 1, a residential gateway HGW referenced 10 makes it possible to connect a local communication network and a wide area network such as the Internet network (not shown). Such a residential gateway HGW 10 integrates a DHCP server: it performs the routing of data packets on the network, and can also play the role of firewall, proxy, ...
Le serveur DHCP peut bien sûr également être dissocié de la passerelle résidentielle HGW 10, dans un autre mode de réalisation.  The DHCP server can of course also be dissociated from the residential gateway HGW 10, in another embodiment.
Dans l'exemple de la figure 1, de nombreux équipements sont présents sur le réseau local, à savoir :  In the example of Figure 1, many devices are present on the local network, namely:
un téléphone intelligent (ou « smartphone ») 11 ;  a smartphone (or "smartphone") 11;
un ordinateur portable 12 ;  a laptop 12;
un ordinateur de type PC 13 ;  a computer of PC type 13;
une tablette 14 ;  a tablet 14;
une station météo 15 ;  a weather station 15;
une webcam 16 ;  a webcam 16;
un thermostat 17.  a thermostat 17.
Cette liste n'est bien sûr pas exhaustive, et de nombreux autres objets communicants peuvent être présents sur le réseau local de l'utilisateur. Ces objets communicants peuvent être reliés au réseau par voie filaire (câble Ethernet, port USB (pour l'anglais « Universal Sériai Bus »)...) ou sans fil (Wi-Fi®, Bluetooth, zigbee). Ils comprennent tous types d'objets physiques, aptes à communiquer numériquement sur le réseau local, en vue d'un échange de données, et qui sont compatibles avec le réseau DHCP. Ils comprennent également les applications logicielles associées à certains objets connectés non IP (« Internet Protocol »), fonctionnant sur des technologies sans fil tels que BLE (po ur « Bluetooth® Low Energy »), Z-wave®, Thread®, etc. This list is of course not exhaustive, and many other communicating objects may be present on the local network of the user. These communicating objects can be connected to the network by wire (Ethernet cable, USB (Universal Serial Bus) ...) or wireless (Wi-Fi ® , Bluetooth, zigbee). They include all types of physical objects, capable of communicating digitally on the local network, for data exchange, and which are compatible with the DHCP network. They also include software applications associated with certain objects connected non-IP ( "Internet Protocol"), running on wireless technologies such as BLE (fo r "Bluetooth ® Low Energy"), Z-Wave ®, ® Thread, etc.
En effet, l'utilisation de tels objets communicants requiert le plus souvent l'installation d'une application de gestion sur une passerelle d'accès au réseau de communication local. Une telle application s'appuie sur une machine virtuelle, ou un conteneur, à qui le serveur de configuration de paramètres d'accès (serveur DHCP) fournit une adresse IP. De tels objets communicants qui ne sont pas naturellement compatibles avec le protocole IP nécessitent la mise en œuvre d'une passerelle loT vers I P et/ou du protocole « 6LowPan ». Indeed, the use of such communicating objects most often requires the installation of a management application on an access gateway to the local communication network. Such an application relies on a virtual machine, or container, to which the server of Access parameter configuration (DHCP server) provides an IP address. Such communicating objects that are not naturally compatible with the IP protocol require the implementation of a loT gateway to IP and / or the "6LowPan" protocol.
Ainsi, dans la suite, on désigne par objet communicant, aussi bien les objets physiques connectés au réseau que les applications logicielles « virtualisées » associées à certains de ces objets.  Thus, in the following, the term "communicating object" refers to both the physical objects connected to the network and the "virtualized" software applications associated with some of these objects.
De tels objets communicants peuvent être désignés par l'acronyme loT, pour l'anglais « Internet of Things », en français « Internet des objets ».  Such communicating objects may be designated by the acronym loT, for the English "Internet of Things", in French "Internet of Things".
Parmi les objets communicants de la figure 1, on peut imaginer que le téléphone intelligent 11 et la tablette 14 aient été fournis à l'utilisateur par un Fournisseur d'Accès Internet (FAI), qui a également fourni à l'utilisateur l'équipement de terminaison de réseau que constitue la passerelle résidentielle HGW 10. De ce fait, le fournisseur d'accès connaît ces équipements 11, 14, et peut en garantir la fiabilité. A l'inverse, d'autres objets communicants comme la webcam 16 ou la station météo 15 peuvent provenir d'autres sources et d'autres provenances : le fournisseur d'accès ne dispose a priori d'aucun contrôle sur l'existence de potentielles failles de sécurité sur ces objets communicants, ni sur la possibilité de procéder à une mise à jour des logiciels qu'ils embarquent (« firmware »), en cas de détection d'une éventuelle faille de sécurité.  Among the communicating objects of FIG. 1, it can be imagined that the smartphone 11 and the tablet 14 were provided to the user by an Internet Service Provider (ISP), which also provided the user with the equipment. network termination that constitutes the residential gateway HGW 10. As a result, the access provider knows the equipment 11, 14, and can guarantee its reliability. Conversely, other communicating objects such as the webcam 16 or the weather station 15 may come from other sources and from other sources: the access provider has a priori no control over the existence of potential security breaches on these communicating objects, nor on the possibility of updating the software they ship ("firmware"), in case of detection of a possible security breach.
Il est donc important de pouvoir classer ces différents objets communicants référencés 11 à 17 dans des catégories de confiance appropriées, afin notamment d'adapter les droits alloués à ces différents objets par le serveur DHCP embarqué dans la passerelle résidentielle HGW 10, et ce, afin d'améliorer la sécurité du réseau local vis-à-vis d'éventuelles attaques malveillantes.  It is therefore important to be able to classify these different communicating objects referenced 11 to 17 in appropriate trust categories, in particular to adapt the rights allocated to these different objects by the DHCP server embedded in the residential gateway HGW 10, in order to improve the security of the local network against possible malicious attacks.
Pour ce faire, un mode de réalisation de l'invention repose sur le logigramme de la figure To do this, one embodiment of the invention is based on the logic diagram of FIG.
2. 2.
Un objet communicant loT 21 (par exemple l'ordinateur portable 12 de la figure 1), présent sur le réseau domestique, est dépourvu d'adresse IP, mais souhaite accéder aux ressources du réseau, ou au réseau Internet. Il envoie alors en mode de diffusion (« broadcast ») un datagramme DHCP DISCOVER 25 qui s'adresse aux serveurs DHCP présents sur le réseau local. Ce datagramme comporte notamment l'adresse physique (MAC pour Media Access Control) de l' IoT 21.  A communicating object loT 21 (for example the laptop 12 of FIG. 1), present on the home network, does not have an IP address, but wishes to access the resources of the network, or the Internet network. It then sends in broadcast mode a DHCP DISCOVER 25 datagram which addresses the DHCP servers present on the local network. This datagram includes the physical address (MAC for Media Access Control) of the IoT 21.
Dans l'exemple du réseau de la figure 1, un unique serveur DHCP référencé 20 est présent sur le réseau local, par exemple intégré dans la passerelle résidentielle HGW 10. S'il est en mesure de proposer une adresse sur le réseau local, ce dernier envoie alors une offre DHCP (DHCP OFFER 26) à l'attention de l'objet communicant loT 21, identifié par son adresse physique. Cette offre comporte l'adresse I P du serveur 20, ainsi que l'adresse IP et le masque de sous-réseau qu'il propose à l' IoT 21. Selon un mode de réalisation de l'invention, cette offre DHCP 26 comporte également un challenge Chall., par exemple sous la forme d'une chaîne unique aléatoire, que l'objet communicant 21 va devoir signer au moyen d'une clé privée de certification KPR 233, s'il dispose d'une telle clé. Un tel challenge Chall. est par exemple inséré par le serveur SERV. DHCP 20 dans un champ d'option du protocole DHCP. In the example of the network of FIG. 1, a single referenced DHCP server 20 is present on the local network, for example integrated in the residential gateway HGW 10. If it is able to propose an address on the local network, this The last then sends a DHCP offer (DHCP OFFER 26) to the attention of the communicating object loT 21, identified by its physical address. This offer includes the IP address of the server 20, as well as the IP address and the subnet mask that it proposes to the IoT 21. According to one embodiment of the invention, this DHCP offer 26 also includes a challenge Chall., For example in the form of a random unique string, that the communicating object 21 will have to sign by means of a private key of K PR 23 3 certification, if he has such a key. Such a challenge Chall. is for example inserted by the server SERV. DHCP 20 in a DHCP option field.
A réception, si l'objet communicant loT 21 dispose d'une clé privée de certification KPR 233, il diffuse sur le réseau un datagramme de requête DHCP (DHCP REQUEST 27), auquel il a ajouté un drapeau (en anglais « flag ») d'acceptation du challenge Chall. Acc. On reception, if the communicating object loT 21 has a private key certification K PR 23 3 , it broadcasts on the network a DHCP request datagram (DHCP REQUEST 27), to which it has added a flag (in English "flag ") To accept the challenge Chall. Acc.
Ce datagramme comporte l'adresse IP du serveur 20 et celle qui vient d'être proposée à l'objet communicant loT 21. Elle a pour effet de demander au serveur 20, l'assignation de cette adresse et l'envoi éventuel des valeurs de certains paramètres.  This datagram includes the IP address of the server 20 and that which has just been proposed to the communicating object loT 21. It has the effect of asking the server 20, the assignment of this address and the possible sending of the values of some parameters.
L'objet communicant loT 21 envoie ensuite au serveur 20 la résolution du challenge qui lui a été adressé RES (Chall., KPR) 28. Cette résolution correspond à la chaîne aléatoire Chall. signée par l'IoT 21 au moyen de la clé privée KPR 233. The communicating object loT 21 then sends the server 20 the resolution of the challenge addressed to it RES (Chall., K PR ) 28. This resolution corresponds to the random string Chall. signed by IoT 21 using private key K PR 23 3 .
A réception, le serveur SERV. DHCP 20 vérifie cette signature au moyen de la clé publique Upon receipt, the SERV server. DHCP 20 checks this signature using the public key
KPU 232, associée à l'objet communicant loT 21, et à la version du logiciel qu'il embarque. Cette clé publique KPU 232 est par exemple mémorisée dans la passerelle résidentielle HGW 10, en association avec un identifiant de l'objet communicant loT 21, et un identifiant d'une version de firmware. K PU 23 2 , associated with the communicating object loT 21, and the version of the software that it embeds. This public key K PU 23 2 is for example stored in the residential gateway HGW 10, in association with an identifier of the communicating object loT 21, and an identifier of a firmware version.
Cette clé publique KPU 232, ainsi que l'ensemble des clés publiques des objets communicants du réseau, est envoyée (flèche référencée 24) au serveur DHCP 20 par un serveur magasin de clés publiques de certifications MAG(KPU) 22. This public key K PU 23 2 , as well as all the public keys of the communicating objects of the network, is sent (arrow referenced 24) to the DHCP server 20 by a MAG public key store (K PU ) 22.
La synchronisation des données stockées dans le serveur magasin MAG(KPU) 22 et dans la passerelle résidentielle HGW 10, ou dans le serveur DHCP 20, s'effectue à intervalles de temps réguliers, par exemple la nuit, par envoi 24 des mises à jour des clés publiques de certification KPU The synchronization of the data stored in the magazine server MAG (K PU ) 22 and in the residential gateway HGW 10, or in the DHCP server 20, is carried out at regular time intervals, for example at night, by sending 24 updates. K PU PU public key day
23x. 23 x .
Les clés publiques de certification KPU 231 peuvent être directement fournies au serveur magasin MAG(KPU) 22 par les fabricants d'objets communicants. Public K PU 23 1 certification keys can be directly supplied to the MAG (K PU ) 22 store server by the communicating object manufacturers.
Après vérification par le serveur DHCP 20 que la résolution du challenge RES (Chall., KPR) 28 est exacte, ce dernier élabore un datagramme d'accusé de réception 29 (DHCP ACK pour acknowledgement) qui assigne au client 21 l'adresse IP et son masque de sous-réseau, la durée du bail de cette adresse, et éventuellement d'autres paramètres, tels que l'adresse IP de la passerelle 10, et les adresses IP des serveurs DNS (pour « Domain Name Server »). En l'espèce, l'adresse IP indiquée dans le datagramme 29 DHCP ACK (IPTRUST), correspond à une adresse I P du sous-réseau des objets communicants de confiance, qui offre à ces derniers des droits et un accès étendus aux ressources du réseau local. After verification by the DHCP server 20 that the resolution of the challenge RES (Chall., K PR ) 28 is correct, the latter develops an acknowledgment datagram 29 (DHCP ACK for acknowledgment) which assigns the client 21 the IP address and its subnet mask, the lease duration of this address, and possibly other parameters, such as the IP address of the gateway 10, and the IP addresses of the DNS servers (for "Domain Name Server"). In this case, the IP address indicated in the DHCP ACK datagram 29 (IP T RUST), corresponds to an IP address of the subnet of trusted communicating objects, which provides them with extensive rights and access to resources. of the local network.
Ainsi, l'objet communicant loT 21 va pouvoir bénéficier d'un routage spécifique aux objets communicants de confiance, ou « trustés », à partir :  Thus, the communicating object loT 21 will be able to benefit from a routing specific to trusted communicating objects, or "trusted", from:
d'une adresse I P « trustée », par exemple 192.168.2.22 ;  an I P address "trusted", for example 192.168.2.22;
d'un masque de réseau « trusté », par exemple 255.255.0.0 ;  a "trusted" network mask, for example 255.255.0.0;
de l'adresse IP d'un routeur spécifique, par exemple 192.168.2.1 ;  the IP address of a specific router, for example 192.168.2.1;
de l'adresse IP d'un serveur DNS spécifique, par exemple 192.168.2.1. the IP address of a specific DNS server, for example 192.168.2.1.
Un identifiant de l'objet communicant loT 21, qui vient donc d'être authentifié comme faisant partie de la catégorie des objets communicants de confiance, peut être mémorisé dans la passerelle HGW 10, dans une zone dédiée à cette catégorie de confiance, ou en association avec une donnée représentative de cette catégorie de confiance. An identifier of the communicating object loT 21, which has therefore just been authenticated as belonging to the category of trusted communicating objects, can be stored in the gateway HGW 10, in an area dedicated to this category of trust, or in association with data representative of this category of trust.
Si, en revanche, l'objet communicant loT 21 (par exemple la webcam 16) ne dispose pas d'une clé privée de certification KPR 233, il peut choisir, à réception du datagramme DHCP OFFE 26, d'accepter ou non le challenge Chall. If, on the other hand, the communicating object loT 21 (for example the webcam 16) does not have a private key of certification K PR 23 3 , it can choose, on reception of the datagram DHCP OFFE 26, to accept or not the challenge Chall.
S'il n'accepte pas le challenge Chall., il renvoie au serveur DHCP 20 un datagramme DHCP REQUEST 27, dans lequel il n'a pas positionné de flag (« drapeau ») d'acceptation du challenge.  If it does not accept the challenge Chall., It sends back to DHCP server 20 a DHCP datagram REQUEST 27, in which it did not set a flag ("flag") of acceptance of the challenge.
A réception, le serveur DHCP 20 en déduit donc directement qu'il ne s'agit pas d'un objet communicant à classer dans la catégorie des objets communicants de confiance, dans la mesure où il ne dispose pas de la clé privée de certification KPR 233 lui permettant de s'authentifier avec succès. Il classe alors cet objet communicant loT 21 dans la catégorie des objets communicants non fiables, et mémorise un identifiant de cet objet communicant loT 21 en conséquence, en association avec cette catégorie non fiable. On reception, the DHCP server 20 therefore directly deduces that it is not a communicating object to be classified in the category of trusted communicating objects, since it does not have the private key certification K PR 23 3 allowing it to authenticate successfully. It then classifies this communicating object loT 21 in the category of unreliable communicating objects, and stores an identifier of this communicating object loT 21 accordingly, in association with this unreliable category.
Il renvoie un datagramme DHCP ACK 29, dans lequel l'adresse IP allouée à l'objet communicant loT 21 correspond à un sous-réseau dans lequel sont cloisonnés les objets communicants non fiables, qui disposent d'accès restreints aux ressources du réseau local. Par exemple, l'objet communicant loT 21 peut accéder au réseau Internet, mais ne peut pas accéder au reste du réseau local, afin notamment de l'empêcher de « sniffer » ce réseau. On limite ainsi la possibilité que cet objet communicant non fiable loT 21 soit utilisé pour des attaques malveillantes contre le réseau. De même, les paramètres du routeur ou l'adresse du serveur DNS renvoyé dans ce datagramme DHCP ACK 29 peuvent être adaptés à cette catégorie d'objets communicants non fiables.  It returns a DHCP ACK datagram 29, in which the IP address allocated to the communicating object loT 21 corresponds to a sub-network in which the unreliable communicating objects, which have restricted access to the resources of the local network, are partitioned. For example, the communicating object loT 21 can access the Internet, but can not access the rest of the local network, in particular to prevent it from "sniffing" this network. This limits the possibility that this unreliable communicating object loT 21 is used for malicious attacks against the network. Similarly, the router settings or the DNS server address returned in this DHCP ACK 29 datagram can be adapted to this category of unreliable communicating objects.
Lorsque l'objet communicant loT 21 (par exemple le thermostat 17) ne dispose pas d'une clé privée de certification KPR 233, mais qu'il choisit, à réception du datagramme DHCP OFFER 26, d'accepter le challenge Chall. il renvoie au serveur DHCP 20 un datagramme DHCP REQUEST 27, dans lequel il a positionné le flag (« drapeau ») d'acceptation du challenge. When the communicating object loT 21 (for example the thermostat 17) does not have a private key certification K PR 23 3 , but chooses, upon receipt of the datagram DHCP OFFER 26, to accept the challenge Chall. it sends back to the DHCP server 20 a DHCP datagram REQUEST 27, in which it has positioned the flag ("flag") of acceptance of the challenge.
Cependant, ne disposant pas de clé privée de certification KPR 233, il n'est pas en mesure de fournir au serveur DHCP 20 une résolution de challenge RES (Chall., KPR) 28 exacte ou correcte. However, since it does not have a K PR 23 3 certification private key, it is not able to provide the DHCP server 20 with an exact or correct challenge resolution RES (Chall., K PR ) 28.
Le serveur DHCP en déduit donc que cet objet communicant loT 21 doit être classé dans la catégorie des objets communicants non fiables, et mémorise un identifiant de cet objet communicant loT 21 en conséquence, en association avec cette catégorie non fiable.  The DHCP server therefore deduces that this communicating object loT 21 must be classified in the category of unreliable communicating objects, and stores an identifier of this communicating object loT 21 accordingly, in association with this unreliable category.
Il renvoie un datagramme DHCP ACK 29, dans lequel l'adresse IP allouée à l'objet communicant loT 21 correspond au sous-réseau dans lequel sont cloisonnés les objets communicants non fiables, qui disposent de droits restreints. De même, les paramètres du routeur ou l'adresse du serveur DNS renvoyé dans ce datagramme DHCP ACK 29 peuvent être adaptés à cette catégorie d'objets communicants non fiables. Par exemple, comme précédemment, l'objet communicant loT 21 peut accéder au réseau Internet, mais ne peut pas accéder au reste du réseau local, afin notamment de l'empêcher de « sniffer » ce réseau. On limite ainsi la possibilité que cet objet communicant non fiable loT 21 soit utilisé pour des attaques malveillantes contre le réseau.  It returns a DHCP ACK datagram 29, in which the IP address allocated to the communicating object loT 21 corresponds to the subnet in which the unreliable communicating objects, which have restricted rights, are partitioned. Similarly, the router settings or the DNS server address returned in this DHCP ACK 29 datagram can be adapted to this category of unreliable communicating objects. For example, as before, the communicating object loT 21 can access the Internet, but can not access the rest of the local network, in particular to prevent it from "sniffing" the network. This limits the possibility that this unreliable communicating object loT 21 is used for malicious attacks against the network.
Il est également possible que l'objet communicant loT 21 dispose d'une clé privée de certification KPR 233, mais que cette dernière corresponde à un certificat révoqué par le fournisseur d'accès, suite à la détection d'une faille de sécurité sur cet objet 21. It is also possible for the communicating object loT 21 to have a private key of certification K PR 23 3 , but that the latter corresponds to a certificate revoked by the service provider, following the detection of a security breach. on this object 21.
Une telle faille de sécurité peut nécessiter une mise à jour du logiciel embarqué sur l'objet communicant loT 21 ; elle peut également nécessiter une simple maintenance de cet objet (par exemple, un changement des identifiant et mot de passe, qui auraient été laissés par l'utilisateur dans leur paramétrage par défaut, sans être personnalisés).  Such a security breach may require an update of the embedded software on the communicating object loT 21; it may also require a simple maintenance of this object (for example, a change of username and password, which would have been left by the user in their default setting, without being personalized).
Dans ce cas, à détection de cette faille, le serveur magasin MAG (KPU) 22 envoie (24) au serveur DHCP 20 une clé publique mise à jour 231( 232 pour l'objet communicant loT 21. In this case, when this fault is detected, the magazine server MAG (K PU ) 22 sends (24) to the DHCP server 20 an updated public key 23 1 ( 23 2 for the communicating object loT 21.
Ainsi, lorsque l'objet communicant loT 21 cherche à obtenir une adresse IP, il diffuse un datagramme DHCP DISCOVER 25, puis une requête DHCP REQUEST 27, dans laquelle il accepte le challenge Chall. proposé par le serveur DHCP 20.  Thus, when the communicating object loT 21 seeks to obtain an IP address, it broadcasts a DHCP DISCOVER datagram 25, then a DHCP REQUEST request 27, in which it accepts the Chall challenge. offered by the DHCP server 20.
Il tente ensuite de résoudre le challenge, au moyen de sa clé privée de certification KPR 233, et renvoie le résultat RES (Chall., KPR) 28 au serveur DHCP 20. Cependant, la vérification de cette résolution échoue, car la clé privée de certification KPR 233 utilisée pour la signature correspond par exemple à une version du firmware obsolète, qui nécessite d'être mise à jour. It then tries to solve the challenge, by means of its private key certification K PR 23 3 , and returns the result RES (Chall., K PR ) 28 to the DHCP server 20. However, the verification of this resolution fails, because the private key certification K PR 23 3 used for the signature corresponds for example to an outdated version of the firmware, which needs to be updated.
Le serveur DHCP 20 en déduit donc que l'objet communicant loT 21 doit être classé dans une catégorie de mise en quarantaine, qui correspond à celle des objets communicants non suffisamment fiables, car ils nécessitent une mise à jour logicielle, ou une opération de maintenance. Il mémorise un identifiant de l'objet communicant loT 21, en association avec la catégorie de mise en quarantaine. The DHCP server 20 therefore deduces that the communicating object loT 21 must be classified in a quarantine category, which corresponds to that of the communicating objects not sufficiently reliable, because they require a software update, or an operation of maintenance. It stores an identifier of the communicating object loT 21, in association with the quarantine category.
On peut bien sûr envisager qu'il existe plusieurs catégories de mise en quarantaine, en fonction de la gravité de la faille de sécurité détectée sur l'objet communicant, ou en fonction de la nature de l'action à effectuer (mise à jour, maintenance) pour réparer cette faille.  We can of course consider that there are several categories of quarantine, depending on the severity of the security breach detected on the communicating object, or depending on the nature of the action to be performed (update, maintenance) to repair this fault.
L'objet communicant loT 21 pouvait avoir été précédemment mémorisé dans la passerelle HGW 10 dans la catégorie des objets communicants de confiance, mais être ainsi basculé dans la catégorie des objets communicants non suffisamment fiables, ou en attente de mise à jour.  The communicating object loT 21 could have been previously stored in the HGW gateway 10 in the category of trusted communicating objects, but thus be switched to the category of communicating objects not sufficiently reliable, or waiting to be updated.
Dans ce cas, plusieurs options peuvent être envisagées par le serveur DHCP 20.  In this case, several options may be considered by the DHCP server 20.
Il peut par exemple décider d'empêcher toute utilisation de l'objet communicant loT 21, tant que la mise à jour de son logiciel embarqué n'a pas été effectuée. Dans ce cas, il renvoie à l'objet communicant loT 21 un datagramme DHCP ACK 29, dans lequel l'adresse IP qui lui est allouée ne lui permet d'accéder qu'au seul serveur de mise à jour logicielle.  It may for example decide to prevent any use of the communicating object loT 21, as long as the update of its embedded software has not been performed. In this case, it refers to the communicating object loT 21 a DHCP ACK datagram 29, in which the IP address allocated to it only allows it to access the only software update server.
Si la faille de sécurité détectée est associée à un port de communication spécifique de l'objet communicant 21, par exemple le port 153, le serveur DHCP 20 peut choisir de bloquer uniquement ce port de communication 153, mais d'autoriser l'accès aux ressources du réseau par les autres ports de communication de l'objet communicant 21.  If the detected security flaw is associated with a specific communication port of the communicating object 21, for example the port 153, the DHCP server 20 can choose to block only this communication port 153, but to allow access to network resources by the other communication ports of the communicating object 21.
Dès que la mise à jour est faite, et que l'objet communicant loT 21 a en conséquence récupéré une nouvelle clé privée de certification KPR 233 associée à la dernière version à jour de son firmware, il peut à nouveau s'authentifier avec succès auprès du serveur DHCP 20, qui le classe à nouveau dans la catégorie des objets communicants de confiance, et lui réalloue la totalité des droits d'accès accordés à ces objets de confiance. Once the update is done, and the communicating object Lot 21 has therefore recovered a new private key certification K PR March 23 associated with the last updated version of its firmware, it can again authenticate with success with the DHCP server 20, which classifies it again in the category of trusted communicating objects, and reallocates all the access rights granted to these objects of confidence.
A chaque expiration du bail alloué aux adresses IP, les objets communicants du réseau local doivent relancer une demande d'adresse IP auprès du serveur DHCP 20, et réussir à s'authentifier avec succès auprès de ce dernier, comme décrit ci-dessus. A cette occasion, les objets communicants peuvent changer de catégorie de confiance, et passer par exemple d'une catégorie d'objets communicants non fiables (« untrusted »), à une catégorie d'objets communicants de confiance (« trusted »), ou passer d'une catégorie d'objets communicants de confiance (« trusted »), à une catégorie d'objets communicants non suffisamment fiables (« need update » ou « need maintenance »).  At each expiry of the lease allocated to the IP addresses, communicating objects of the local network must restart an IP address request from the DHCP server 20, and successfully authenticate with the latter, as described above. On this occasion, communicating objects can change from a trusted category, for example from a category of untrusted communicating objects, to a class of trusted communicating objects, or to move from a category of trusted communicating objects to a category of communicating objects that are not sufficiently reliable ("need update" or "need maintenance").
On notera que dans l'exemple particulier de réalisation présenté en relation avec la figure 2, l'authentification des objets communicants repose sur l'utilisation de certificats, et sur un mécanisme de challenge cryptographique au moyen de clés privée et publique. Tout autre mécanisme d'authentification peut bien sûr être mis en œuvre dans le cadre de la présente invention, tel qu'un simple échange de mot de passe par exemple. On présente désormais, en relation avec la figure 3, la structure matérielle d'une passerelle résidentielle HGW 10 selon un mode de réalisation de l'invention, dans lequel le serveur DHCP 20, intégrant une unité d'authentification et de classification des objets communicants, est dans la passerelle 10. Note that in the particular embodiment shown in relation to Figure 2, the authentication of communicating objects is based on the use of certificates, and a cryptographic challenge mechanism by means of private and public keys. Any other authentication mechanism can of course be implemented in the context of the present invention, such as a simple exchange of password for example. FIG. 3 shows the hardware structure of a residential gateway HGW 10 according to one embodiment of the invention, in which the DHCP server 20 integrates a unit for authentication and classification of communicating objects. , is in the gateway 10.
Le terme « unité» peut correspondre aussi bien à un composant logiciel qu'à un composant matériel ou un ensemble de composants matériels et logiciels, un composant logiciel correspondant lui-même à un ou plusieurs programmes ou sous-programmes d'ordinateur ou de manière plus générale à tout élément d'un programme apte à mettre en œuvre une fonction ou un ensemble de fonctions.  The term "unit" can be either a software component or a hardware component or a set of hardware and software components, a software component itself corresponding to one or more computer programs or subprograms or more general to any element of a program able to implement a function or a set of functions.
Plus généralement, une telle passerelle résidentielle HGW 10 comprend une mémoire vive 33 (par exemple une mémoire RAM), une unité de traitement 32 équipée par exemple d'un processeur, et pilotée par un programme d'ordinateur, représentatif de l'unité d'authentification et de classification des objets communicants, stocké dans une mémoire morte 61 (par exemple une mémoire ROM ou un disque dur). A l'initialisation, les instructions de code du programme d'ordinateur sont par exemple chargées dans la mémoire vive 33 avant d'être exécutées par le processeur de l'unité de traitement 32. La mémoire vive 63 contient notamment les clés publiques KPU des objets communicants décrites ci-avant en relation avec la figure 2, ainsi que, pour chaque objet communicant, une association identifiant de l'objet/catégorie de confiance. Le processeur de l'unité de traitement 32 pilote l'émission des datagrammes DHCP OFFER 26, la vérification de l'authentification (par exemple la vérification des résolutions de challenge RES (Chall., KPR) 28), ainsi que l'affectation des ressources réseau aux objets communicants, en fonction du résultat de l'authentification (émission du datagramme DHCP ACK 29) conformément au logigramme de la figure 2. More generally, such a residential gateway HGW 10 comprises a random access memory 33 (for example a RAM memory), a processing unit 32 equipped for example with a processor, and driven by a computer program, representative of the data processing unit. authentication and classification of communicating objects, stored in a read-only memory 61 (for example a ROM or a hard disk). At initialization, the code instructions of the computer program are for example loaded into the random access memory 33 before being executed by the processor of the processing unit 32. The random access memory 63 contains in particular the public keys K PU communicating objects described above in relation to Figure 2, and for each communicating object, an identifying association of the object / category of confidence. The processor of the processing unit 32 controls the issuance of the DHCP OFFER datagrams 26, the verification of the authentication (for example the verification of the RES challenge resolutions (Chall., K PR ) 28), as well as the assignment network resources to the communicating objects, according to the result of the authentication (transmission of the DHCP datagram ACK 29) in accordance with the logic diagram of FIG. 2.
La figure 3 illustre seulement une manière particulière, parmi plusieurs possibles, de réaliser la passerelle résidentielle HGW, afin qu'elle effectue les étapes du procédé détaillé ci- dessus, en relation avec la figure 2. En effet, ces étapes peuvent être réalisées indifféremment sur une machine de calcul reprogrammable (un ordinateur PC, un processeur DSP ou un microcontrôleur) exécutant un programme comprenant une séquence d'instructions, ou sur une machine de calcul dédiée (par exemple un ensemble de portes logiques comme un FPGA ou un ASIC, ou tout autre module matériel).  FIG. 3 only illustrates one of several possible ways of realizing the residential gateway HGW so that it performs the steps of the method detailed above, in relation to FIG. on a reprogrammable calculation machine (a PC computer, a DSP processor or a microcontroller) executing a program comprising a sequence of instructions, or on a dedicated calculation machine (for example a set of logic gates such as an FPGA or an ASIC, or any other hardware module).
Dans le cas où la passerelle résidentielle HGW 10 est réalisée avec une machine de calcul reprogrammable, le programme correspondant (c'est-à-dire la séquence d'instructions) pourra être stocké dans un médium de stockage amovible (tel que par exemple une disquette, un CD- ROM ou un DVD-ROM) ou non, ce médium de stockage étant lisible partiellement ou totalement par un ordinateur ou un processeur. Les différents modes de réalisation ont été décrits ci-avant en relation avec une passerelle résidentielle de type Livebox®, mais peuvent plus généralement être mis en œuvre dans toutes les passerelles, routeurs, serveurs DHCP... In the case where the residential gateway HGW 10 is made with a reprogrammable calculation machine, the corresponding program (that is to say the sequence of instructions) can be stored in a removable storage medium (such as for example a floppy disk, a CD-ROM or a DVD-ROM) or not, this storage medium being readable partially or completely by a computer or a processor. The various embodiments have been described above in connection with a residential gateway type Livebox ®, but can generally be implemented in all gateways, routers, DHCP servers ...

Claims

REVENDICATIONS
1. Procédé de gestion d'un réseau de communication local comprenant une pluralité d'objets communicants (11-17 ; 21) aptes à être connectés audit réseau et un serveur (10 ; 20) de configuration de paramètres d'accès desdits objets communicants audit réseau, A method of managing a local communication network comprising a plurality of communicating objects (11-17; 21) adapted to be connected to said network and a server (10; 20) for configuring access parameters of said communicating objects. network audit,
caractérisé en ce qu'il met en œuvre une authentification desdits objets communicants (11-17 ; 21) et une classification desdits objets communicants dans une catégorie de confiance en fonction d'un résultat de ladite authentification. characterized in that it implements an authentication of said communicating objects (11-17; 21) and a classification of said communicating objects in a trusted category according to a result of said authentication.
2. Procédé de gestion d'un réseau de communication local selon la revendication 1, caractérisé en ce que ladite catégorie de confiance appartient à un ensemble d'au moins deux catégories de confiance, comprenant :  A method of managing a local communication network according to claim 1, characterized in that said trusted category belongs to a set of at least two trust categories, comprising:
une catégorie d'objets communicants de confiance ;  a category of trusted communicating objects;
une catégorie d'objets communicants non fiables.  a category of unreliable communicating objects.
3. Procédé de gestion d'un réseau de communication local selon la revendication 2, caractérisé en ce que ledit ensemble d'au moins deux catégories de confiance comprend également au moins une catégorie d'objets communicants insuffisamment fiables.  3. A method of managing a local communication network according to claim 2, characterized in that said set of at least two categories of trust also comprises at least one category of communicating objects insufficiently reliable.
4. Procédé de gestion d'un réseau de communication local selon l'une quelconque des revendications 2 et 3, caractérisé en ce que, préalablement à ladite authentification, un desdits objets communicants est par défaut classé dans ladite catégorie d'objets communicants non fiables.  4. Management method of a local communication network according to any one of claims 2 and 3, characterized in that, prior to said authentication, one of said communicating objects is by default classified in said category of unreliable communicating objects .
5. Procédé de gestion d'un réseau de communication local selon l'une quelconque des revendications 2 à 4, caractérisé en ce qu'il comprend une adaptation d'une offre d'accès (29) audit réseau par lesdits objets communicants (11-17 ; 21), en fonction de ladite catégorie de confiance dans laquelle ils sont classés.  5. Management method of a local communication network according to any one of claims 2 to 4, characterized in that it comprises an adaptation of an offer of access (29) to said network by said communicating objects (11). -17; 21), according to said confidence category in which they are classified.
6. Procédé de gestion d'un réseau de communication local selon l'une quelconque des revendications 1 à 5, caractérisé en ce qu'il met en œuvre un protocole de configuration dynamique de type DHCP (« Dynamic Host Configuration Protocol », en français, protocole de configuration dynamique des hôtes) et en ce que, lors de ladite authentification, il comprend : une étape d'envoi (26) à un desdits objets communicants (21) à authentifier d'une offre DHCP comprenant un challenge d'authentification à résoudre ;  6. Management method of a local communication network according to any one of claims 1 to 5, characterized in that it implements a dynamic configuration protocol type DHCP ("Dynamic Host Configuration Protocol", in French). , dynamic host configuration protocol) and in that, during said authentication, it comprises: a step of sending (26) to one of said communicating objects (21) to authenticate a DHCP offer comprising an authentication challenge to solve ;
une étape de vérification d'une résolution (28) dudit challenge d'authentification par ledit objet communicant.  a step of verifying a resolution (28) of said authentication challenge by said communicating object.
7. Produit programme d'ordinateur comprenant des instructions de code de programme pour la mise en œuvre d'un procédé selon l'une quelconque des revendications 1 à 6, lorsqu'il est exécuté par un processeur. A computer program product comprising program code instructions for implementing a method according to any one of claims 1 to 6, when executed by a processor.
8. Support d'enregistrement lisible par un ordinateur sur lequel est enregistré un programme d'ordinateur comprenant des instructions de code de programme pour l'exécution des étapes du procédé de gestion d'un réseau de communication local selon l'une quelconque des revendications 1 à 6. A computer-readable recording medium on which is recorded a computer program comprising program code instructions for performing the steps of the method of managing a local communication network according to any of the claims. 1 to 6.
9. Serveur (10 ; 20) de configuration de paramètres d'accès d'un objet communicant à un réseau de communication local, caractérisé en ce qu'il comprend un processeur (32) apte à mettre en œuvre le procédé selon l'une quelconque des revendications 1 à 6.  9. Server (10; 20) for configuring access parameters of a communicating object to a local communication network, characterized in that it comprises a processor (32) able to implement the method according to one of any of claims 1 to 6.
10. Passerelle (10) d'accès à un réseau de communication, caractérisée en ce qu'elle comprend un serveur (20) de configuration de paramètres d'accès d'un objet communicant à un réseau de communication local selon la revendication 9.  10. Gateway (10) for access to a communication network, characterized in that it comprises a server (20) for configuring access parameters of a communicating object to a local communication network according to claim 9.
PCT/FR2017/053338 2016-12-12 2017-12-01 Management of a local communication network based on classifying communicating objects into trust categories WO2018109303A1 (en)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
FR1662318A FR3060163B1 (en) 2016-12-12 2016-12-12 MANAGING A LOCAL COMMUNICATION NETWORK BY CLASSIFYING COMMUNICATING OBJECTS IN CATEGORIES OF CONFIDENCE.
FR1662318 2016-12-12

Publications (1)

Publication Number Publication Date
WO2018109303A1 true WO2018109303A1 (en) 2018-06-21

Family

ID=58401724

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/FR2017/053338 WO2018109303A1 (en) 2016-12-12 2017-12-01 Management of a local communication network based on classifying communicating objects into trust categories

Country Status (2)

Country Link
FR (1) FR3060163B1 (en)
WO (1) WO2018109303A1 (en)

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20030056093A1 (en) * 2001-09-19 2003-03-20 Microsoft Corporation Peer-to-peer name resolution protocol (PNRP) group security infrastructure and method
US20050177715A1 (en) * 2004-02-09 2005-08-11 Microsoft Corporation Method and system for managing identities in a peer-to-peer networking environment
US20150358332A1 (en) * 2014-06-09 2015-12-10 Qualcomm Incorporated Determining trust levels on a device receiving authorization

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20030056093A1 (en) * 2001-09-19 2003-03-20 Microsoft Corporation Peer-to-peer name resolution protocol (PNRP) group security infrastructure and method
US20050177715A1 (en) * 2004-02-09 2005-08-11 Microsoft Corporation Method and system for managing identities in a peer-to-peer networking environment
US20150358332A1 (en) * 2014-06-09 2015-12-10 Qualcomm Incorporated Determining trust levels on a device receiving authorization

Also Published As

Publication number Publication date
FR3060163B1 (en) 2019-10-04
FR3060163A1 (en) 2018-06-15

Similar Documents

Publication Publication Date Title
US7831997B2 (en) Secure and automatic provisioning of computer systems having embedded network devices
EP3044913B1 (en) Method and system for establishing virtual private networks between local area networks
US11165805B2 (en) Guard system for automatic network flow controls for internet of things (IoT) devices
US11405378B2 (en) Post-connection client certificate authentication
WO2017194864A1 (en) Method and device for the dual-control set up of a configuration rule of an embedded sim card
FR3060163B1 (en) MANAGING A LOCAL COMMUNICATION NETWORK BY CLASSIFYING COMMUNICATING OBJECTS IN CATEGORIES OF CONFIDENCE.
US11582197B1 (en) Configuration of a virtual private network server
US11601401B1 (en) Secure configuration of a virtual private network server
FR3060164B1 (en) MANAGING A LOCAL COMMUNICATION NETWORK BY CLASSIFYING COMMUNICATING OBJECTS IN CATEGORIES OF CONFIDENCE, BASED ON A MALIGNANCE SCORE.
CA3100170C (en) Method for securing data flow between communication equipment and a remote terminal, equipment implementing the method
EP4046457A1 (en) Method for connecting a communication node, and corresponding communication node
FR2932937A1 (en) ROUTER ASSOCIATED WITH A SECURE DEVICE.
WO2019186006A1 (en) Method for wirelessly connecting a communicating object to a local communication network, computer program and access equipment corresponding thereto
FR3110802A1 (en) Method for controlling the allocation of an IP address to a client equipment in a local communication network, method of processing a request for allocation of an IP address to a client equipment in a local communication network, devices , access equipment, server equipment and corresponding computer programs.
WO2022136796A1 (en) Methods for traffic redirection, corresponding terminal, controller, authorisation server, name resolution servers and computer program
EP3729324A1 (en) Method for securing a usb protocol by authentication of a usb peripheral by an apparatus and by encryption of the exchanges between the peripheral and the apparatus, and associated devices
EP4256753A1 (en) Method for detecting a malicious device in a communication network, corresponding communication device and computer program
WO2006035137A1 (en) Filtering method and device for detecting a counterfeit address to an information system
FR3093882A1 (en) Method of configuring a communicating object in a communication network, user terminal, method of connecting a communicating object to the network, access equipment and corresponding computer programs.
FR3116978A1 (en) Access control to a local communication network, and access gateway implementing such control
EP3530036A1 (en) Pairing method at a gateway
FR2943810A1 (en) IMAGE ELECTRONIC APPARATUS ONBOARD SYSTEM FOR SERVICE PLATFORM

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 17822364

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 17822364

Country of ref document: EP

Kind code of ref document: A1