Procedimiento de protección de un canal de comunicación bidireccional entre al menos una red N1 y una red N2 de un nivel de seguridad menor que N1,

caracterizado porque comprende las siguientes etapas: - definir uno o varios tipos de datos autorizados a transitar de N1 hacia N2; - para un dato transmitido de N1 hacia N; - si el dato es de un tipo autorizado a transitar entre N1 y N2, dirigir el dato hacia una primera etapa de filtrado (104), en caso contrario dirigir el dato hacia una etapa de encriptación (103), si el dato se dirige hacia la primera etapa de filtrado (104): • salvaguardar el contexto asociado a este dato, • aplicar uno o varios filtros de análisis al dato para impedir la creación de un canal de comunicación oculto, - para un dato transmitido de N2 hacia N1: • si el dato es de un tipo autorizado a transitar entre N1 y N2, dirigir el dato hacia una segunda etapa de filtrado (204, 205), en caso contrario, dirigir el dato hacia una etapa de desencriptación (203); -si el dato es dirigido hacia la segunda etapa de filtrado (204, 205): • comparar el contexto del dato con el contexto salvaguardado durante la primera etapa de filtrado (104) y bloquear el dato si los contextos son incoherentes, • en caso contrario, aplicar uno o más filtros de análisis al dato

La presente invención se refiere a un procedimiento de protección de un canal bidireccional de comunicación y un dispositivo de aplicación del procedimiento. La invención permite especialmente establecer comunicaciones entre varias redes con niveles de seguridad diferentes.

Las normas de seguridad relativas a las comunicaciones entre redes con niveles de seguridad diferentes imponen a menudo requisitos contradictorios respecto de las exigencias de interoperabilidad entre dichas redes, pero también con las prestaciones deseadas en términos de transporte de datos.

A título ilustrativo, se autoriza que una red interna de empresa reciba algunos datos de una red externa, pero ningún dato de la red interna debe transitar sin codificar hacia la red externa. De este modo, por ejemplo, cuando dos redes de empresa que comunican a través de una red intermedia pública, por ejemplo, Internet, desean intercambiar informaciones confidenciales, un dispositivo de encriptación/desencriptación se dispone a la salida de cada una de estas redes de empresa. Todos los datos se encriptan a la salida de la red de empresa emisora, siendo estos datos desencriptados por la red de empresa receptora, de tal manera que ningún dato procedente de una red de empresa transite sin codificar por la red intermedia pública.

Ahora bien, por una parte, para poder transferir datos en el sentido ascendente –de la red externa hacia la red interna de la empresa, es decir, de una red de baja visibilidad hacia una red de nivel sensiblemente más elevado-, los protocolos de transporte de datos necesitan generalmente emisiones de datos en el sentido descendente –de la red interna hacia la red externa-. En efecto, además de los datos útiles para encaminar (conjunto de datos a menudo calificado de “plano de tráfico de usuario”), existen datos de señalización y de control, inherentes a la gestión del transporte de datos por el protocolo, debiendo estos datos transitar a la vez en el sentido ascendente y en el sentido descendente. Los datos de señalización y de control, que existen especialmente para los protocolos IP (Internet Protocol) y Ethernet, son por ejemplo, acuses de recepción o marcadores de prioridad con el fin de administrar una calidad de servicio en sesiones de transmisiones de datos. Por otra parte, el tratamiento aplicado a los datos (una encriptación total) es idéntico cualquier que sea su naturaleza, lo cual, en un contexto de desarrollo de los canales de comunicaciones multimedia que reúnen voz, datos o también vídeo, es cada vez más molesto.

Asimismo, para beneficiar algunos servicios de base tales como la gestión de la calidad de servicio, es necesario establecer un canal de comunicación bidireccional, encriptado o no, que autoriza que los datos de señalización y/o de control transiten entre las redes protegidas y la red intermedia pública.

Por otra parte, la ausencia de medios que permitan intercambiar de manera protegida datos entre redes con niveles de seguridad dferentes induce igualmente duplicidades de equipos y de medios de gestión asociados. Por ejemplo, cada red debe comprender un servidor de nombres de dominios, un servidor de hora universal o cualquier otro tipo de servicio a priori aconfidencial, esencial para su funcionamiento. Además, el diagnóstico del estado de la red pública no se puede efectuar a través de los dispositivos de encriptación/desencriptación. Por ejemplo, es imposible señalar a una red pública, un incidente ocurrido en la red protegida, no pudiéndose transmitirse una simple alarma de disfunción, intrínsecamente no confidencial, desde la red protegida hacia una red de nivel de protección más bajo.

Una solución alternativa consiste en autorizar algunos tipos de datos elegidos para transitar sin codificar y sin control a través de la red publica, es decir, crear un canal de comunicación adicional para algunos tipos de datos. Pero esta solución incluye riesgos, ya que un malhechor podría explotar este canal para extraer información de una red protegida. El documento US 2006/0020800 describe un sistema para transferir datos entre redes con diferentes niveles de seguridad. Los datos se analizan en la interfaz de red y se comparan con una base de datos que contiene tipos de datos autorizados y sus políticas de seguridad.

Un objetivo de la invención es proponer medios para mejorar la interoperabilidad entre las redes de niveles de seguridad diferentes, limitando a la vez los riesgos de descubrimiento de datos sensibles. Con este fin, la invención tiene por objeto un procedimiento de protección de un canal de comunicación bidireccional entre al menos una red N1 y una red N2 de un nivel de seguridad más bajo que N1, caracterizado porque incluye al menos las siguientes etapas:

Según una realización, la etapa de filtrado incluye una fase de análisis sintáctico de los datos, controlando dicha fase la validez del formato del dato en función del protocolo utilizado para la transmisión de este dato.

Según una realización, la etapa de filtrado incluye una fase de análisis semántico de los datos, controlando dicha fase la coherencia de las respuestas emitidas desde la red N2 hacia la red N1 respecto de las peticiones emitidas por la red N1 hacia la red N2.

Según una realización, la etapa de filtrado incluye una fase de análisis comportamental de los datos, evaluando dicha fase la probabilidad de inocuidad de los intercambios de datos entre la red N1 y la red N2 respecto de escenarios predefinidos de interconexión que definen, a partir de los estados del autómata del protocolo de transmisión de los datos, duraciones esperadas de transición entre estos estados.

Según una realización, la etapa de filtrado incluye una fase de retranscripción de un dato formateado por un primer protocolo para volver a traducirlo en un dato formateado por un segundo protocolo.

La invención tiene también por objeto un dispositivo para establecer un canal de comunicación bidireccional entre al menos una primera red N1 y una segunda red N2 de nivel de seguridad más bajo que N1, comprendiendo el dispositivo un módulo de encriptación y un módulo de desencriptación, comprendiendo el dispositivo al menos un primer módulo de direccionamiento, un segundo módulo de direccionamiento y un módulo de filtrado, orientando el primer módulo de direccionamiento los paquetes de datos procedentes de la primera red N1, bien hacia el módulo de encriptación , bien hacia el módulo de filtrado, orientando el segundo módulo de direccionamiento los paquetes de datos procedentes de la segunda red N2, bien hacia el módulo de desencriptación, bien hacia el módulo de filtrado, aplicando el módulo de filtrado el procedimiento tal como se ha descrito anteriormente.

Otras características irá apareciendo durante la siguiente descripción detallada dada a título de ejemplo y no limitativa respecto de dibujos anexos que representan:

- figura 1, un cuadro sinóptico que ilustra las etapas de tránsito de un dato de una primera red hacia una segunda red de un nivel de seguridad inferior a la primera aplicando un procedimiento de protección según la invención (sentido descendente);

- figura 2, un cuadro sinóptico que ilustra las etapas de tránsito de un dato entre las mismas redes que la figura 1, pero en sentido opuesto, aplicando un procedimiento de protección según la invención (sentido ascendente);

- figura 3, un ejemplo de arquitectura de un dispositivo que aplica el procedimiento de protección según la invención;

1. Procedimiento de protección de un canal de comunicación bidireccional entre al menos una red N1 y una red N2 de un nivel de seguridad menor que N1, caracterizado porque comprende las siguientes etapas:

- definir uno o varios tipos de datos autorizados a transitar de N1 hacia N2;

5 -para un dato transmitido de N1 hacia N;

. si el dato es de un tipo autorizado a transitar entre N1 y N2, dirigir el dato hacia una primera etapa de filtrado (104), en caso contrario dirigir el dato hacia una etapa de encriptación (103),

. si el dato se dirige hacia la primera etapa de filtrado (104):

º salvaguardar el contexto asociado a este dato,

10 º aplicar uno o varios filtros de análisis al dato para impedir la creación de un canal de comunicación oculto,

- para un dato transmitido de N2 hacia N1:

. si el dato es de un tipo autorizado a transitar entre N1 y N2, dirigir el dato hacia una segunda etapa de filtrado (204, 205), en caso contrario, dirigir el dato hacia una etapa de desencriptación (203);

15 . si el dato es dirigido hacia la segunda etapa de filtrado (204, 205):

º comparar el contexto del dato con el contexto salvaguardado durante la primera etapa de filtrado

(104) y bloquear el dato si los contextos son incoherentes,

º en caso contrario, aplicar uno o más filtros de análisis al dato.

2. Procedimiento de protección según la reivindicación 1, caracterizado porque la etapa de filtrado (104) incluye una fase de análisis sintáctico de los datos, controlando dicha fase la validez del formato del dato en función del protocolo utilizado para la transmisión de este dato.

3. Procedimiento de protección según cualquiera de las reivindicaciones anteriores, caracterizado porque la etapa de filtrado (104) incluye una fase de análisis semántico de los datos, controlando dicha fase la coherencia de las respuestas emitidas desde la red N2 hacia la red N1 respecto de las peticiones emitidas por la red N1 hacia la red

25 N2.

4. Procedimiento de protección según cualquiera de las reivindicaciones anteriores, caracterizado porque la etapa de filtrado (104) incluye una fase de análisis comportamental de los datos, evaluando dicha fase la probabilidad de inocuidad de los intercambios de datos entre la red N1 y la red N2 respecto de escenarios predefinidos de interconexión que definen, a partir de los estados del o de los autómatas definidos por el protocolo de transmisión de los datos, duraciones esperadas de transición entre estos estados.

5. Procedimiento de protección según cualquiera de las reivindicaciones anteriores, caracterizado porque la etapa de filtrado (104) incluye una fase de retranscripción de un dato formateado por un primer protocolo para volver a traducirlo en un dato formateado por un segundo protocolo.

6. Dispositivo para establecer un canal de comunicación bidireccional entre al menos una primera red N1 y una 35 segunda red N2 con nivel de seguridad menor que N1, comprendiendo el dispositivo un módulo de encriptación

(302) y un módulo de desencriptación (303), caracterizado porque incluye al menos un primer módulo de direccionamiento (301), un segundo módulo de direccionamiento (305) y un módulo de filtrado (304), orientando el primer módulo de direccionamiento (301) los paquetes de datos procedentes de la primera red N1, bien hacia el módulo de encriptación (304) , bien hacia el módulo de filtrado (304), orientando el segundo módulo de

40 direccionamiento (305) los paquetes de datos procedentes de la segunda red N2, bien hacia el módulo de desencriptación (303), bien hacia el módulo de filtrado (304), aplicando el módulo de filtrado (304) el procedimiento de protección según una de las reivindicaciones anteriores.