FR2906905A1 - Procede et dispositif de securisation des commutations entre plusieurs systemes informatiques - Google Patents

Abstract

Commutateur permettant de mettre en communication un ou plusieurs périphériques avec au moins deux équipements, caractérisé en ce qu'il comporte au moins un module adapté à couper l'alimentation des périphériques ou des dispositifs comprenant des mémoires volatiles à rémanence, lors d'une commande de commutation d'un premier équipement vers un deuxième équipement, pendant une durée t choisie, afin d'assurer l'effacement complet des informations relatives au premier équipement contenues dans les mémoires (M).

Description

1 PROCEDE ET DISPOSITIF DE SECURISATION DES COMMUTATIONS ENTRE PLUSIEURS

SYSTEMES INFORMATIQUES L'invention concerne un dispositif permettant une commutation sécurisée lorsque l'on bascule une connexion d'un périphérique relié à un premier équipement vers un deuxième équipement, en évitant toute fuite possible d'informations ou de données entre les deux équipements. Elle s'applique, par exemple, dans un système comprenant deux postes informatiques reliés à un même périphérique au moyen d'un commutateur.

A l'heure actuelle, on assiste à une augmentation des supports d'informations liée à la multiplication des applications auxquelles les utilisateurs ont accès. Ceci débouche, dans la plupart des cas, à un accroissement du nombre de 15 postes informatiques pour les utilisateurs. Cet accroissement est du, notamment, • à une incompatibilité entre les applications, • à un problème de charge des postes qui nécessitent des machines dédiées, 20 • à une exclusivité des supports des applications suivant des contraintes de garantie, • à une séparation des informations en fonction de leur niveau de confidentialité, etc. De la même façon, on peut rapidement avoir une multiplication de 25 périphériques pour un même poste informatique, par exemple, un poste peut disposer de plusieurs imprimantes. Afin de limiter le nombre d'équipements ou de périphériques, il est connu d'utiliser des produits de mutualisation de type commutateur KVM (dispositif permettant de partager un unique ensemble clavier/moniteur/souris entre 30 plusieurs unités centrales) ou NB commutateur (switch en anglo-saxon, 2906905 2 périphérique permettant de commuter plusieurs périphériques pour un même poste informatique). Dans le cadre des commutateurs KVM, il est nécessaire d'empêcher les fuites d'un microordinateur vers un autre microordinateur via les équipements 5 connectés au commutateur. Dans le cadre des commutateurs A/B, l'utilisateur souhaite être certain qu'aucune information ne transite via le commutateur d'un périphérique vers un autre périphérique. L'utilisation de solutions de commutation engendre l'existence d'un lien 10 physique entre les systèmes connectés à un même périphérique et peut donc potentiellement entraîner des fuites de données vers certains dispositifs, et ainsi compromettre le cloisonnement d'un dispositif vis-à-vis des autres. C'est le cas, par exemple, de l'utilisation d'un commutateur KVM entre deux unités centrales ayant des niveaux de confidentialité différents.

L'un des problèmes posé par ce type de solutions est de garantir, lors d'une commutation d'un premier système vers un deuxième système, qu'il ne subsiste aucune information résiduelle dans un périphérique partagé par les deux systèmes afin que cette information ne soit pas accessible à l'autre système.

La figure 1 illustre le problème posé par l'utilisation d'un commutateur selon l'art antérieur. Un utilisateur dispose de deux microordinateurs, le premier PC1 étant connecté à Internet et le second PC2 connecté au réseau d'entreprise, non connecté à Internet. Pour des raisons ergonomiques, l'utilisateur dispose d'un seul ensemble clavier 1, écran 2, souris 3 et d'un commutateur KVM. Lors de sa connexion sur le réseau d'entreprise, l'utilisateur saisit son mot de passe au clavier relié au PC2. Lorsqu'il souhaite se connecter au réseau Internet disponible sur le PC1, il active le commutateur KVM pour réaliser la connexion au PC1 et entre un nouveau mot de passe pour la connexion Internet. Si le clavier 1 et le commutateur KVM possèdent des mémoires, le premier mot de passe entré pour la connexion au réseau d'entreprise, PC2, 2906905 3 peut être accessible, notamment via le PC1, dans le cas où l'effacement d'une des mémoires des périphériques ne serait pas total. Dans la plupart des dispositifs de commutation selon l'art antérieur, la principale sécurité mis en oeuvre est l'isolation des ports du commutateur les 5 uns vis à vis des autres. Dans le cas des solutions offertes par le constructeur Avocent, la sécurisation passe également par l'envoi par le commutateur, d'instructions d'effacement des mémoires des périphériques après chaque saisie. Ainsi, à chaque fois que l'utilisateur appuie sur une touche du clavier relié à un i 3 ordinateur, le commutateur transmet cette instruction à l'ordinateur contrôlé, puis envoie une instruction au clavier pour que ce dernier efface sa mémoire tampon. De cette manière, lors d'une commutation, les mémoires tampons des périphériques sont vides et aucune information initialement destinée à un ordinateur ne peut fuir accidentellement vers un autre dispositif.

15 Le constructeur Tenix propose un commutateur dont l'architecture évite toute communication du commutateur vers des équipements de saisie. Ainsi, aucune donnée n'étant transmise aux périphériques, il est impossible à ces derniers de diffuser ensuite ces informations vers un nouvel ordinateur commandé après une commande de commutation.

20 Les solutions connues de l'art antérieur nécessitent, en général, la connaissance du type de périphérique connecté. Si l'on considère la solution développée par le constructeur Avocent, dans laquelle une instruction est transmise au clavier afin que celui-ci vide sa mémoire tampon, il est donc nécessaire d'utiliser un périphérique de type clavier dont on est certain qu'il 25 est capable de recevoir, interpréter et exécuter de manière correcte ces instructions. Ceci nécessite donc l'utilisation de claviers sécurisés . Dans la solution proposée par la société Tenix, où il n'y a pas de renvoi d'informations vers le clavier, il est alors nécessaire de proposer une couche logicielle pour certaines fonctions (du type affichage de l'état des touches 30 verrouille majuscule, verrouille pavé numérique, etc. puisque ces 2906905 4 informations ne peuvent revenir sur le clavier et donc être affichées par celui-ci. Ceci rend l'équipement dépendant de la plate-forme utilisée. L'objet de l'invention repose notamment sur une nouvelle approche 5 d'intégration, au sein d'un commutateur d'une fonction de déconnexion physique du périphérique connecté, au moment où l'on commute d'un premier équipement informatique vers un deuxième équipement informatique, les deux équipements partageant l'accès au périphérique. L'invention concerne un commutateur permettant de mettre en 10 communication un ou plusieurs périphériques avec au moins deux équipements caractérisé en ce qu'il comporte au moins un module adapté à couper l'alimentation des périphériques ou des dispositifs comprenant des mémoires volatiles, lors d'une commande de commutation d'un premier équipement (PC1) vers un deuxième équipement (PC2), pendant une durée t 15 choisie, afin d'assurer l'effacement complet des informations relatives au premier équipement contenues dans les mémoires volatiles. Les équipements peuvent être des équipements informatiques. Il comprend aussi une fonction de réinitialisation de l'équipement connecté. L'invention concerne aussi un procédé permettant de réaliser la commutation 20 en toute sécurité d'une connexion entre au moins un périphérique comprenant une mémoire volatile, le périphérique étant connecté initialement à un premier équipement, la commutation étant réalisée vers un deuxième équipement, caractérisé en ce que l'on utilise un commutateur équipé d'un module de déconnexion physique du périphérique concerné, le module de 25 déconnexion étant adapté à couper l'alimentation du ou des périphériques connectés au premier équipement pendant un temps t choisi pour réaliser l'effacement complet des informations relatives au premier équipement connecté contenues dans les mémoires volatiles à rémanence du ou des périphériques.

30 2906905 5 Le commutateur selon l'invention offre comme avantages de permettre le partage sécurisé d'un périphérique entre plusieurs systèmes de sensibilité différentes.

5 De plus, il permet, dans une certaine mesure (sous réserve que l'équipement connecté soit uniquement composé de mémoire de type volatile et n'intègre pas de fonction de mémoire persistante) d'utiliser le commutateur avec une large gamme de produits et d'équipements. 1 o D'autres caractéristiques et avantages de la présente invention apparaîtront mieux à la lecture de la description qui suit donnée à titre illustratif et nullement limitatif annexée des figures qui représentent : • La figure 1, un exemple de liaison entre un commutateur, deux ordinateurs et un ensemble clavier, souris, selon l'art antérieur, 15 • La figure 2, une structure de commutateur selon l'invention, • La figure 3, sur un axe temporel, la séquence des commandes, et • La figure 4, un exemple d'enchaînement d'étapes selon l'invention. L'idée mise en oeuvre dans le dispositif et le procédé selon l'invention repose 20 notamment sur le fait que les mémoires utilisées par les périphériques comme mémoires tampon sont principalement des mémoires volatiles, c'est-à-dire des mémoires qui perdent rapidement leur contenu dès lors qu'elles ne sont plus alimentées. Le commutateur selon l'invention intègre un module ayant pour fonction, 25 lorsque l'on active une commutation entre dispositifs, de couper l'alimentation du ou des périphériques connectés. Le temps de coupure de l'alimentation est choisi notamment pour assurer la perte ou effacement des données dans les mémoires précitées. Un exemple de fonctionnement d'un commutateur permettant à un utilisateur 30 de commuter un clavier, une souris et un moniteur entre deux unités centrales intitulées PC1 et PC2 est donné en relation avec les figures 2 et 3.

2906905 6 Sur la figure 3, sur un axe temporel on a tracé, en partie du haut de la figure, la position de l'interrupteur permettant la connexion d'un PC au périphérique, l'alimentation des équipements, les connexions respectives de PC1 et PC2 et le PC commandé.

5 Le mot PC désigne tout ordinateur, micro-ordinateur ou unité centrale pouvant être commandé. La figure 2 schématise un commutateur 4 comprenant les modules suivants : • Un module de gestion des commutations 5 en liaison avec les unités centrales PC1 et PC2 et aussi un module de gestion des 10 périphériques 6 relié à un périphérique 9 comprenant une mémoire volatile M. Les microordinateurs étant connectés l'un après l'autre au périphérique. • Un module de gestion 7 de l'alimentation des mirco-ordinateurs et des périphériques. Ce module 7 reçoit une commande de commutation 8.

15 Il agit ensuite pour au niveau du périphérique 1 afin de le désactiver temporairement, pendant une durée t choisie pour que les informations relatives au premier microordinateur connecté et éventuellement stockées dans la mémoire volatile du périphérique 9 soient totalement effacées, avant de connecter le deuxième 20 microordinateur. Les étapes E1, E2, E3, E4, E5, E6 et E7 indiquées sur les figures 3 et 4 correspondent à : El û l'utilisateur contrôle le PC1, on entend par `contrôlé' le PC sur lequel le clavier et la souris sont actifs. L'utilisateur contrôle le PC1 dans le sens où le 25 clavier, la souris et le moniteur du PC1 sont connectés dessus. El correspond à l'état initial qui est suivi d'une étape de transition E2. E2 û l'utilisateur commute l'interrupteur qui va lui permettre de passer de la connexion du PC1 vers une connexion au PC2. Le processus est transparent pour l'utilisateur. Celui-ci choisi de changer de PC contrôlé en appuyant sur 30 un bouton du dispositif ou en tournant une molette de sélection sur celui-ci ou éventuellement en effectuant une combinaison de touches sur le clavier 2906905 7 qui est reconnue par le dispositif (d'autres méthodes engageant la commutation peuvent être utilisées sans sortir du cadre de l'invention). Ensuite, il attend. E3 û Le dispositif selon l'invention coupe l'alimentation des équipements, 5 pendant un temps suffisamment long pour obtenir l'effacement des mémoires des périphériques. E4 û le dispositif effectue la commutation, de manière autonome et attend la fin de commutation avant d'effectuer l'étape E5. E5 û le dispositif rétablit l'alimentation des équipements. A partir de cet instant, l'équipement commande le PC2. E6 û l'utilisateur commute l'interrupteur afin d'utiliser le PC1. E7 û le dispositif coupe l'alimentation des équipements. E8 û le dispositif effectue la commutation de manière identique à l'étape E4. Pour les étapes E7 et E8, l'équipement ne permet de contrôler aucune des 15 unités centrales. E9 û le dispositif rétabli l'alimentation des équipements. A partir de cet instant, l'équipement commande le PC1. Dans le cas où le périphérique connecté est alimenté par le commutateur, une solution consiste, par exemple, à couper l'alimentation à chaque 20 commutation afin d'effacer et de réinitialiser les différents composants actifs susceptibles de contenir des informations qui ne doivent pas fuir vers d'autres équipements. L'effacement des zones de données partagées du commutateur lui-même peut être obtenue par la coupure de l'alimentation des éléments communs 25 aux différents environnements ou par un écrasement des données par écriture (surcharge) par des séquences de données maîtrisées. Dans le cas où le périphérique connecté est alimenté par le commutateur, une solution consiste, par exemple, à couper l'alimentation à chaque 30 commutation afin d'effacer et de ré-initialiser les différents composants actifs 2906905 8 susceptibles de contenir des informations qui ne doivent pas fuir vers d'autres équipements. L'effacement des zones de données partagées du commutateur lui-même peut être obtenue par la coupure de l'alimentation des éléments communs 5 aux différents environnements ou par un écrasement des données par écriture (surcharge) par des séquences de données maîtrisées. Dans le cas ou, à la mise sous tension, une phase d'identification du périphérique est nécessaire, par exemple la phase d'énumération dans le 10 cas de l'utilisation d'un périphérique USB, le dispositif comporte un module 10 adapté à mémoriser les éléments du périphérique (les descripteurs USB par exemple) afin de ne pas nécessiter la réalisation systématique de cette phase d'identification et donc de réduire le délais de commutation. Selon un mode de réalisation, le dispositif possède un module 11 adapté à 15 simuler la présence d'un clavier ou de façon plus générale un périphérique en liaison avec les microordinateurs. Un périphérique peut être un clavier, ou tout autre dispositif habituellement connecté à un micro-ordinateur. 20

Claims (3)

REVENDICATIONS

1 ù Commutateur permettant de mettre en communication un ou plusieurs périphériques avec au moins deux équipements, caractérisé en ce qu'il comporte au moins un module adapté à couper l'alimentation des périphériques ou des dispositifs comprenant des mémoires volatiles, lors d'une commande de commutation (8) d'un premier équipement (PC1) vers un deuxième équipement (PC2), pendant une durée t choisie, afin d'assurer l'effacement complet des informations relatives au premier équipement contenues dans les mémoires (M) volatiles du périphérique.

2 ù Commutateur selon la revendication 1, caractérisé en ce qu'il comporte un module de simulation (10) du périphérique pendant sa déconnexion.

3 ù Utilisation du commutateur selon l'une des revendications 1 à 2 pour commuter entre deux unités centrales (PC1, PC2), le périphérique étant une imprimante. 20 4 ù Procédé permettant de réaliser la commutation en toute sécurité d'une connexion entre au moins un périphérique comprenant une mémoire volatile, le périphérique étant connecté initialement à un premier équipement, la commutation étant réalisée vers un deuxième équipement, caractérisé en ce que l'on utilise un commutateur (4) équipé d'un module (7, 8) de 25 déconnexion physique du périphérique concerné, le module de déconnexion étant adapté à couper l'alimentation du ou des périphériques (9) connectés au premier équipement pendant un temps t choisi pour réaliser l'effacement complet des informations relatives au premier équipement connecté contenues dans les mémoires (M) volatiles à rémanence du ou des 30 périphériques.15