[go: up one dir, main page]
More Web Proxy on the site http://driver.im/

FR2913841A1 - Procede d'acces a distance a un reseau,produit programme d'ordinateur,moyen de stockage et dispositifs correspondants - Google Patents

Procede d'acces a distance a un reseau,produit programme d'ordinateur,moyen de stockage et dispositifs correspondants Download PDF

Info

Publication number
FR2913841A1
FR2913841A1 FR0701889A FR0701889A FR2913841A1 FR 2913841 A1 FR2913841 A1 FR 2913841A1 FR 0701889 A FR0701889 A FR 0701889A FR 0701889 A FR0701889 A FR 0701889A FR 2913841 A1 FR2913841 A1 FR 2913841A1
Authority
FR
France
Prior art keywords
communication network
access
authentication
information
resource
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
FR0701889A
Other languages
English (en)
Other versions
FR2913841B1 (fr
Inventor
Pascal Viger
Emmanuel Raguet
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Canon Inc
Original Assignee
Canon Inc
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Canon Inc filed Critical Canon Inc
Priority to FR0701889A priority Critical patent/FR2913841B1/fr
Publication of FR2913841A1 publication Critical patent/FR2913841A1/fr
Application granted granted Critical
Publication of FR2913841B1 publication Critical patent/FR2913841B1/fr
Expired - Fee Related legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/102—Entity profiles
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/2803—Home automation networks
    • H04L12/2816—Controlling appliance services of a home automation network by calling their functionalities
    • H04L12/2818—Controlling appliance services of a home automation network by calling their functionalities from a device located outside both the home and the home network
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/2803—Home automation networks
    • H04L12/2823—Reporting information sensed by appliance or service execution status of appliance services in a home automation network
    • H04L12/2825—Reporting to a device located outside the home and the home network
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/2803—Home automation networks
    • H04L2012/2847—Home automation networks characterised by the type of home appliance used
    • H04L2012/2849—Audio/video appliances

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Computer Security & Cryptography (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

L'invention concerne un procédé d'accès, à au moins une ressource disponible dans un premier réseau de communication (100-A) comprenant une pluralité de premiers dispositifs, par au moins un second dispositif d'un second réseau de communication (100-B) comprenant une pluralité de seconds dispositifs,ledit procédé étant mis en oeuvre par un premier dispositif gestionnaire (140A) du premier réseau de communication (100-A),Selon l'invention, au moins un desdits seconds dispositifs, dit second dispositif authentifié, comprend une information d'authentification associée à un niveau de droit d'accès à la ou lesdites ressource(s),et le procédé comprend les étapes suivantes :- réception d'un message déterminé provenant du second réseau de communication, ledit message étant représentatif de la ou desdites information(s) d'authentification ;- création d'au moins un compte d'accès à la ou lesdites ressource(s), ledit compte étant associé à un niveau de droits d'accès global à la ou lesdites ressource(s), ledit niveau de droits d'accès global étant obtenu à partir de l'ensemble du ou desdits niveau(x) de droit d'accès associé(s) à ladite ou auxdites information(s) d'authentification.

Description

Procédé d'accès à distance à un réseau, produit programme d'ordinateur,
moyen de stockage et dispositifs correspondants. 1. Domaine de l'invention Le domaine de l'invention est celui de l'accès à distance à un réseau de 5 communication. Plus précisément, l'invention concerne l'accès à distance à au moins un service, au moins un dispositif ou au moins un contenu de données dans un réseau de communication. 2. Solutions de l'art antérieur 10 Le standard "Universal Plug and Play" (ci-après désigné par standard UPnP) a pour objectif de permettre de manière simple et efficace à des systèmes et des équipements d'être mis en réseaux et de collaborer, sans configuration préalable. Les équipements compatibles avec le standard UPnP sont notamment des 15 dispositifs audio-vidéo ou des ordinateurs personnels (PCs) fabriqués par diverses sociétés. Ces équipements peuvent être intégrés dans un réseau IP (pour Internet Protocol ) local tel qu'un réseau domestique. Le standard UPnP fournit à un équipement compatible des moyens de connexion dynamique à un réseau UP'nP (qui met en oeuvre le standard UPnP), lui 20 permet de découvrir les autres équipements compatibles du réseau et lui permet de communiquer (ou exposer) ses propres capacités. La technologie UPnP est basée sur le protocole réseau TCP/IP, sur le protocole HTTP (pour HyperText Transport Protocol ) et sur le protocole XML (pour Extensible Markup Language ). 25 Les constituants essentiels d'un réseau UPnP sont les équipements, les services offerts par ces équipements et les postes de contrôle (ou control points en anglais). Un équipement UPnP (qui met en oeuvre le standard UPnP) peut supporter plusieurs services, et est catégorisé en fonction de la liste des services (par exemple un service de type serveur de contenus vidéo , un service 30 de type imprimante, etc.) qu'il peut fournir. Un équipement UPnP expose les services qu'il peut mettre en oeuvre (on parlera dans la suite de ses services ) au moyen d'un fichier de description en langage XML. Un service dans un équipement UPnP comprend une machine d'état, un serveur de contrôle et un serveur d'événements. La machine d'état modélise un état du service grâce à la mise à jour de variables d'état caractérisant l'équipement. Le serveur de contrôle reçoit les requêtes d'équipements distants, exécute les commandes associées et met à jour la machine d'état. Le serveur d'événements orchestre la diffusion sur le réseau de cette mise à jour auprès des équipements UPnP ayant montré leur intérêt pour cette information.
Un poste de contrôle UPnP est capable de découvrir et de contrôler des équipements UPnP du réseau UPnP. Quand un nouvel équipement est découvert par le poste de contrôle, ce dernier obtient une description de ce nouvel équipement, a ainsi connaissance des services offerts par cet équipement, demande une description précise de chaque service disponible et enfin envoie des requêtes de contrôle du service sélectionné. Le poste de contrôle peut aussi souscrire auprès du serveur d'événements afin d'être notifié de tout changement d'état. Le standard UPnP Audio Visual (pour UPnP audio visuel , ci-après référencé UPnP AV ) définit un ensemble d'équipements UPnP (par exemple les télévisions, les magnétoscopes, lecteurs DVD, les lecteurs MP3, les ordinateurs PC, ...) avec leurs services associés, qui sont plus spécifiquement dédiés au monde audio/vidéo numérique. Les trois entités logiques principales d'un réseau UPnP AV (qui met en oeuvre le standard UPnP AV) sont : un serveur de media (ou UPnP MediaServer ) ayant accès à des contenus multimédia qu'il peut diffuser sur le réseau local, un lecteur de media (ou UPnP MediaRenderer ) capable de jouer localement ce type de contenus multimédia reçus du réseau, et un poste de contrôle coordonnant les opérations demandées par l'utilisateur (telles que play , stop , pause , ...).
Le serveur de média et le lecteur de média ne mettent pas en oeuvre le protocole UPnP pour échanger directement entre eux des informations. En effet, afin d'échanger des contenus multimédia, ils utilisent des protocoles à part du protocole UPnP (on les appelle protocoles out-of-band ). Ces protocoles out- of-band sont principalement le protocole HTTP (pour HyperText Transfer Protocol tel que défini dans la norme RFC2616) au dessus du protocole TCP/IP, et le protocole RTP (pour Real-time Transport Protocol tel que défini dans la norme RFC 1889) au dessus du protocole UDP. La technologie UPnP a été envisagée dans le contexte d'un déploiement sur un réseau local. Face à l'émergence des réseaux locaux personnels ou domestiques connectés à des réseaux WAN (pour Wide Area Network ) à haut débit telles que l'Internet, un besoin d'accéder à son réseau domestique local à distance s'est développé. Des solutions sont en cours de développement afin de proposer des solutions d'accès à distance ( Remote Access en anglais), à partir d'un équipement terminal (par exemple un dispositif UPnP client ou un poste de contrôle UPnP) déporté (c'est-à-dire appartenant originellement au premier réseau domestique mais étant provisoirement déplacé du premier réseau), à un premier réseau personnel local, par exemple un premier réseau domestique local (l'équipement terminal déporté et le premier réseau domestique local étant interconnectés via un réseau WAN). Des premiers exemples de telles solutions sont les techniques du groupe d'étude UPnP Remote Access s'attachant à définir une architecture UPnP qui permet à un équipement terminal déporté de se connecter au premier réseau domestique local et d'interagir avec les autres dispositifs UPnP du premier réseau local comme s'il était attaché physiquement / localement à ce premier réseau local. En pratique, la satisfaction de l'utilisateur est moindre due à des limitations inhérentes à des facteurs extérieurs telles que la bande-passante du réseau WAN. En effet, l'accès distant est initié depuis des localisations différentes, en utilisant des dispositifs et des technologies différents. De plus la topologie du réseau acheminant la communication entre les équipements terminaux déportés et le premier réseau domestique local ne sont pas contrôlables par l'utilisateur. Cependant un inconvénient des techniques (premiers exemples de solutions) du groupe d'étude UPnP Remote Access dites d'accès à distance est qu'elles se limitent à la problématique d'un équipement terminal unique déporté (appartenant originellement à un prernier réseau domestique local) et directement connecté au réseau WAN (par exemple Internet) qui souhaite accéder à distance aux équipements du premier réseau domestique local (également connecté au WAN) ; mais ne prennent pas en compte le cas où l'équipement terminal est déporté dans un second réseau domestique distant (topologie home-to-home ) connecté au WAN et souhaite accéder aux équipements du premier réseau domestique local. Il existe également des seconds exemples de telles solutions qui permettent de tenir compte du contexte selon lequel l'équipement terminal déporté (c'est-à- dire appartenant originellement au premier réseau domestique mais étant provisoirement déplacé du premier réseau) fait partie intégrante d'un second réseau domestique auquel il est physiquement connecté, et est capable de communiquer avec les équipements de ce second réseau domestique. Ainsi, avec de telles solutions l'équipement terminal déporté dans le second réseau domestique peut accéder aux ressources de son réseau domestique d'origine (le premier réseau domestique). De telles solutions nécessitent cependant que le second réseau domestique soit préalablement identifié dans le premier réseau domestique afin que le premier réseau domestique autorise l'accès à distance depuis le second réseau domestique.
On peut noter alors qu'un problème des solutions de ces seconds exemples est que potentiellement l'ensemble des équipement du second réseau domestique a accès aux ressources du premier réseau domestique et qu'il apparaît donc un risque de violation potentielle des droits d'auteur des contenus numériques stockés dans le réseau domestique d'origine (le premier réseau domestique) par des équipements non autorisés du second réseau domestique.
Une solution pour se prémunir des risques de violation potentielle des droits d'auteurs est la mise en oeuvre de techniques évoluées de DRM ( Digital Rights Management en anglais ou Gestion numérique des droits en français), afin de réserver les droits d'accès aux contenus numériques, qu'ils soient de type données privées (e.g. vidéo de vacances) ou de type donnée diffusée non-libre (e.g. film reçu par diffusion numérique satellite). La plupart des techniques classiques de DRM présentent généralement l'un des inconvénients suivants : - soit elles ne permettent pas la diffusion à distance du contenu numérique à 10 protéger (par exemple, du fait de l'application de mesures de détection de proximité, par exemple comme dans le protocole DTCP, pour Digital Transmission Content Protection ) ; - soit elles imposent à l'équipement terminal déporté destinataire connu de conserver le contenu à protéger et de ne pas le transmettre aux autres 15 équipements du second réseau domestique. En outre, la mise en oeuvre de techniques de DRM est souvent difficile. Les décisions d'autorisation doivent être prises par l'utilisateur ou par une partie tierce détentrice de la technologie DRM. Or l'utilisateur n'a pas les connaissances techniques nécessaires pour leur configuration, et il en résulte une configuration 20 soit trop rigide soit trop laxiste des accès aux contenus numériques de son réseau domestique (le premier réseau domestique). Dans les deux cas, la satisfaction de l'utilisateur n'est jamais garantie. Cependant lors d'un déplacement d'un utilisateur en dehors de son foyer, il est difficile de prédire depuis quel réseau domestique distant (le second réseau 25 domestique) celui-ci va essayer, grâce à un équipement terminal (appartenant à l'origine au premier réseau domestique) déporté dans un second réseau domestique, de se connecter à son réseau domestique (premier réseau domestique). En effet, l'utilisateur ne sait pas auparavant depuis quel réseau il pourra tenter de se connecter à distance (réseau de la maison de vacances, réseau 30 de la maison de ses parents, réseau d'un hôtel, etc...). Ainsi, aucun enregistrement d'une identification du réseau (second réseau domestique) à partir duquel l'utilisateur tentera de se connecter à distance au premier réseau domestique, ne peut être effectué au préalable dans le premier réseau. Actuellement, aucune technique ne permet d'autoriser de manière simple, dynamique et sécuritaire l'accès aux ressources disponibles sur un premier réseau domestique depuis un équipement terminal (appartenant à l'origine au premier réseau domestique) déporté dans un second réseau domestique, le second réseau domestique n'étant pas au préalable identifié par le premier réseau domestique. Or, les inventeurs ont observé qu'il serait souhaitable d'obtenir une telle technique du fait notamment de la difficulté de prédire depuis quel réseau domestique distant l'utilisateur va essayer, grâce à un équipement terminal (appartenant à l'origine au premier réseau domestique) déporté dans le second réseau domestique, de se connecter à son réseau domestique. Cet aspect n'a jamais été envisagé dans l'art antérieur, et l'homme du métier a toujours considéré qu'afin d'accéder aux ressources disponibles sur un premier réseau domestique depuis un équipement terminal (appartenant à l'origine au premier réseau domestique) déporté dans un second réseau domestique, le second réseau domestique doit, au préalable, être identifié par le premier réseau domestique.
Cette observation est donc, en soi, une invention de problème. 3. Objectifs de l'invention L'invention, dans au moins un mode de réalisation, a notamment pour objectif de pallier ces inconvénients de l'art antérieur. Plus précisément, un objectif de l'invention, dans au moins un de ses modes de réalisation, est de fournir une technique d'accès à distance aux ressources disponibles sur un premier réseau de communication par au moins un dispositif d'un second réseau de communication, le second réseau de communication n'étant pas au préalable identifié par le premier réseau de communication.
Un autre objectif de l'invention, dans au moins un de ses modes de réalisation, est de mettre en oeuvre une telle technique qui permette d'autoriser l'accès aux ressources disponibles sur le premier réseau de communication depuis un équipement terminal (appartenant à l'origine au premier réseau) qui est déporté dans le second réseau de communication. Un autre objectif de l'invention, dans au moins un de ses modes de réalisation, est de mettre en oeuvre une telle technique qui soit simple, dynamique et sécuritaire. Un autre objectif de l'invention, dans au moins un de ses modes de 10 réalisation, est de mettre en oeuvre une telle technique qui soit transparente pour l'utilisateur. Un autre objectif de l'invention, dans au moins un de ses modes de réalisation, est de mettre en oeuvre une telle technique qui soit compatible avec les recommandations des protocoles mis en oeuvre. 15 L'invention, dans au moins un de ses modes de réalisation, a encore pour objectif de mettre en oeuvre une telle technique qui soit simple à mettre en oeuvre et pour un faible coût. 4. Exposé de l'invention Dans un mode de réalisation particulier de l'invention, il est proposé un 20 procédé d'accès, à au moins une ressource disponible dans un premier réseau de communication comprenant une pluralité de premiers dispositifs, par au moins un second dispositif d'un second réseau de communication comprenant une pluralité de seconds dispositifs, ledit procédé étant mis en oeuvre par un premier dispositif gestionnaire du premier réseau de communication. 25 Selon l'invention, au moins un desdits seconds dispositifs, dit second dispositif authentifié, comprend une information d'authentification associée à un niveau de droit d'accès à la ou lesdites ressource(s), et le procédé comprend les étapes suivantes : réception d'un message déterminé provenant du second réseau de 30 communication, ledit message étant représentatif de la ou desdites information(s) d'authentification ; création d'au moins un compte d'accès à la ou lesdites ressource(s), ledit compte étant associé à un niveau de droits d'accès global à la ou lesdites ressource(s), ledit niveau de droits d'accès global étant obtenu à partir de l'ensemble du ou desdits niveau(x) de droit d'accès associé(s) à ladite ou auxdites information(s) d'authentification. Le principe de la présente invention, selon au moins un de ses modes de réalisation, est de conditionner l'accès à distance aux ressources disponibles sur un premier réseau de communication par au moins un dispositif d'un second réseau de communication (non encore identifié par le premier réseau de communication) à la présence dans le second réseau de communication d'au moins un dispositif identifié par le premier réseau. Ainsi, la présente invention, selon au moins un de ses modes de réalisation, propose une technique d'enregistrement dynamique d'un droit d'accès à distance aux ressources disponibles sur le premier réseau de communication, selon les caractéristiques du second réseau de communication et dans lequel est disposé au moins un dispositif connu (ou identifié) par le premier réseau. Ainsi, l'invention selon au moins un mode de réalisation permet de fournir une technique d'accès à distance aux ressources disponibles sur un premier réseau de communication par au moins un dispositif d'un second réseau de communication, le second réseau domestique n'étant pas au préalable identifié par le premier réseau domestique. En outre, l'invention selon au moins un mode de réalisation permet d'autoriser l'accès aux ressources disponibles sur le premier réseau domestique depuis un équipement terminal (appartenant à l'origine au premier réseau domestique) qui est déporté dans le second réseau domestique. Ainsi un tel procédé d'accès selon au moins un mode de réalisation de l'invention est simple, dynamique et sécuritaire. Par ailleurs, le procédé selon au moins un mode de réalisation de l'invention est basé sur un protocole de découverte et de contrôle (qui est par exemple le protocole UPnP, ou le protocole HAVi ou même tout autre protocole) et suit les recommandations de ce protocole. Par ailleurs, le procédé selon au moins un mode de réalisation de l'invention permet de donner l'accès à au moins une ressource d'un premier 5 réseau de communication à un second réseau de communication de manière tout à fait transparente pour l'utilisateur. Avantageusement, le procédé comprend les étapes suivantes : - réception d'une requête d'accès à la ou lesdites ressource(s) provenant du second réseau de communication ; 10 -transmission, au second réseau de communication, d'une requête d'authentification du second réseau de communication, et le message déterminé est un message de réponse à ladite requête d'authentification. Préférentiellement, le procédé comprend les étapes préalables suivantes : 15 - pour chacun du ou desdits second(s) dispositif(s) authentifié(s), génération d'une information d'authentification, ladite génération tenant compte dudit niveau de droit d'accès qui est associé audit second dispositif authentifié ; et - transmission à chacun du ou desdits second(s) dispositif(s) authentifié(s) 20 de ladite information d'authentification qui lui est associée. Avantageusement, le procédé comprend également une étape de transmission, à chacun du ou desdits second(s) dispositif(s) authentifié(s), d'une information d'identification du premier réseau de communication. Ainsi, le dispositif gestionnaire du second réseau qui est chargé de 25 transmettre la requête d'accès peut, grâce à cette information d'identification, retrouver à quel réseau il doit envoyer cette requête d'accès et lorsqu'il reçoit une requête d'authentification de la part du dispositif gestionnaire du premier réseau, le dispositif gestionnaire du second réseau peut, grâce à cette information d'identification, retrouver à quel(s) dispositif(s) (second(s) dispositif(s) 30 authentifié(s)) il doit la transmettre afin d'obtenir une signature.
Préférentiellement, ledit message de réponse à ladite requête d'authentification comprend l'un au moins des éléments appartenant au groupe comprenant les éléments suivants : la ou lesdites information(s) d'authentification ; la ou lesdites information(s) d'authentification, cryptée(s) par le second réseau de communication avec une clé de cryptage obtenue à partir d'une information comprise dans la requête d'authentification ; un ou des résultat(s) de l'application, par le second réseau de communication, d'un algorithme, dépendant d'une information comprise dans la requête d'authentification, sur chacune de la ou desdites information(s) d'authentification. Le fait d'appliquer un cryptage ou un algorithme sur la ou lesdites information(s) d'authentification avant de la transmettre dans le message de réponse permet de sécuriser la transmission de la ou lesdites information(s) d'authentification. Avantageusement, le ou lesdits compte(s) est(sont) un(des) compte(s) d'accès temporaire(s). Avantageusement, une durée de validité d'au moins un du ou desdits compte(s) d'accès dépend de l'un au moins des critères appartenant au groupe comprenant les critères suivants : - expiration d'une temporisation (premier cas) ; - présence, dans le second réseau de communication, de l'un au moins du ou desdits second(s) dispositif(s) authentifié(s) (second cas). Dans le premier cas, la mise en oeuvre d'une temporisation permet avantageusement au premier dispositif gestionnaire 140A de ne pas avoir à faire confiance à un second dispositif du second réseau (par exemple le second dispositif gestionnaire 140B) et ainsi de remettre en oeuvre régulièrement la procédure d'authentification des équipements du second réseau. Dans le second cas, par exemple, lors de la disparition d'un ou de plusieurs second(s) dispositif(s) authentifié(s), un second dispositif du second réseau (par exemple le second dispositif gestionnaire 140B) détruit le crédit d'authentification qui lui a été affecté par le premier dispositif gestionnaire 140A ; la procédure d'authentification du compte est alors reproduite lors de la prochaine requête d'accès à distance aux ressources du premier réseau.
Préférentiellement, la ou lesdites ressources appartiennent au groupe comprenant les ressources suivantes : les contenus de données stockés sur au moins une unité de stockage du premier réseau de communication ; les services hébergés au moins un dispositif d'hébergement du premier réseau de communication ; les dispositifs du premier réseau de communication. Avantageusement, le procédé comprend une étape de transmission au second réseau de communication d'au moins une information représentative d'une authentification du second réseau de communication auprès du premier réseau de communication, ladite information étant destinée à être utilisée pour un prochain accès à au moins une de la ou desdites ressource(s) disponible(s) par au moins un second dispositif du second réseau de communication. Ainsi, grâce à l'information représentative d'une authentification du second réseau de communication auprès du premier réseau de communication, lors d'un prochain accès à au moins une de la ou desdites ressource(s) disponible(s) par au moins un second dispositif du second réseau de communication, l'authentification du second réseau de communication auprès du premier réseau de communication peut être effectuée plus rapidement. L'invention concerne également un procédé d'accès, à au moins une ressource disponible dans un premier réseau de communication comprenant une pluralité de premiers dispositifs, par au moins un second dispositif d'un second réseau de communication comprenant une pluralité de seconds dispositifs, ledit procédé étant mis en oeuvre par un second dispositif gestionnaire du second réseau de communication.
Selon l'invention, le procédé comprend les étapes suivantes : réception d'une requête d'authentification du second réseau de communication, ladite requête d'authentification provenant du premier réseau de communication ; détermination si au moins un desdits seconds dispositifs, dit second(s) dispositif(s) authentifié(s), comprend une information d'authentification associée à un niveau de droit d'accès à la ou lesdites ressource(s) ; dans le cas d'une détermination positive, transmission, au premier réseau de communication, d'une réponse à ladite requête d'authentification, ladite réponse étant représentative de la ou desdites information(s) d'authentification. Préférentiellement, le procédé comprend une étape de transmission, au premier réseau de communication, d'une requête d'accès à la ou lesdites ressource(s). Avantageusement, le procédé comprend une étape de transmission à chacun du ou desdits second(s) dispositif(s) authentifié(s) d'une information comprise dans la requête d'authentification. Préférentiellement, le procédé comprend les étapes préalables suivantes : - obtention, auprès dudit ou desdits second(s) dispositif(s) authentifié(s), d'une information d'identification du premier réseau de communication ; et - association de ladite information d'identification audit ou auxdits second(s) dispositif(s) authentifié(s). Avantageusement, ladite réponse à ladite requête d'authentification comprend l'un au moins des éléments appartenant au groupe comprenant les éléments suivants : la ou lesdites information(s) d'authentification ; la ou lesdites information(s) d'authentification, cryptée(s) avec une clé de cryptage obtenue à partir d'une information comprise dans la requête d'authentification; - un ou des résultat(s) de l'application d'un algorithme, dépendant d'une information comprise dans la requête d'authentification, sur chacune de la ou desdites information(s) d'authentification. Avantageusement, la ou lesdites ressources appartiennent au groupe comprenant les ressources suivantes : les contenus de données stockés sur au moins une unité de stockage du premier réseau de communication ; les services hébergés au moins un dispositif d'hébergement du premier réseau de communication ; - les dispositifs du premier réseau de communication.
Préférentiellement, le procédé comprend une étape de réception d'au moins une information représentative d'une authentification du second réseau de communication auprès du premier réseau de communication, ladite information provenant du premier réseau de communication, ladite information étant destinée à être utilisée pour un prochain accès à au moins une de la ou desdites ressource(s) disponible(s) par au moins un second dispositif du second réseau de communication. L'invention concerne également un produit programme d'ordinateur, téléchargeable depuis un réseau de communication et/ou enregistré sur un support lisible par ordinateur et/ou exécutable par un processeur comprenant des instructions de code de programme pour la mise en oeuvre de l'un des procédés d'accès précédemment décrits. L'invention concerne également un moyen de stockage, éventuellement totalement ou partiellement amovible, lisible par un ordinateur, stockant un jeu d'instructions exécutables par ledit ordinateur pour mettre en oeuvre l'un des procédés d'accès précédemment décrits. L'invention concerne également un premier dispositif gestionnaire d'un premier réseau de communication comprenant une pluralité de premiers dispositifs, ledit premier dispositif gestionnaire comprenant des moyens de gestion de l'accès, à au moins une ressource disponible dans le premier réseau de communication, par au moins un second dispositif d'un second réseau de communication comprenant une pluralité de seconds dispositifs. Selon l'invention, au moins un desdits seconds dispositifs, dit second dispositif authentifié, comprend une information d'authentification associée à un niveau de droit d'accès à la ou lesdites ressource(s), et les moyens de gestion de l'accès comprennent : des moyens de réception d'un message déterminé provenant du second réseau de communication, ledit message étant représentatif de la ou desdites information(s) d'authentification ; des moyens de création d'au moins un compte d'accès à la ou lesdites ressource(s), ledit compte étant associé à un niveau de droits d'accès global à la ou lesdites ressource(s), ledit niveau de droits d'accès global étant obtenu à partir de l'ensemble du ou desdits niveau(x) de droit d'accès associé(s) à ladite ou auxdites information(s) d'authentification. Avantageusement, les moyens de gestion de l'accès comprennent : - des moyens de réception d'une requête d'accès à la ou lesdites ressource(s) provenant du second réseau de communication ; - des moyens de transmission, au second réseau de communication, d'une requête d'authentification du second réseau de communication, et le message déterminé est un message de réponse à ladite requête d'authentification. Préférentiellement, les moyens de gestion de l'accès comprennent : - pour chacun du ou desdits second(s) dispositif(s) authentifié(s), des moyens de génération d'une information d'authentification, ladite génération tenant compte dudit niveau de droit d'accès qui est associé audit second dispositif authentifié ; et - des moyens de transmission à chacun du ou desdits second(s) dispositif(s) authentifié(s) de ladite information d'authentification qui lui est associée. Préférentiellement, les moyens degestion de l'accès comprennent également des moyens de transmission, à chacun du ou desdits second(s) dispositif(s) authentifié(s), d'une information d'identification du premier réseau de communication. Avantageusement, ledit message de réponse à ladite requête d'authentification comprend l'un au moins des éléments appartenant au groupe comprenant les éléments suivants : la ou lesdites information(s) d'authentification ; la ou lesdites information(s) d'authentification, cryptée(s) par le second réseau de communication avec une clé de cryptage obtenue à partir d'une information comprise dans la requête d'authentification ; un ou des résultat(s) de l'application, par le second réseau de communication, d'un algorithme, dépendant d'une information comprise dans la requête d'authentification, sur chacune de la ou desdites information(s) d'authentification. Avantageusement, le ou lesdits compte(s) est(sont) un(des) compte(s) d'accès temporaire(s).
Préférentiellement, une durée de validité d'au moins un du ou desdits compte(s) d'accès dépend de l'un au moins des critères appartenant au groupe comprenant les critères suivants : - expiration d'une temporisation ; - présence, dans le second réseau de communication, de l'un au moins du ou desdits second(s) dispositif(s) authentifié(s). Avantageusement, la ou lesdites ressources appartiennent au groupe comprenant les ressources suivantes : - les contenus de données stockés sur au moins une unité de stockage du premier réseau de communication ; - les services hébergés au moins un dispositif d'hébergement du premier réseau de communication ; les dispositifs du premier réseau de communication. Préférentiellement, les moyens de gestion de l'accès comprennent des moyens de transmission au second réseau de communication d'au moins une information représentative d'une authentification du second réseau de communication auprès du premier réseau de communication, ladite information étant destinée à être utilisée pour un prochain accès à au moins une de la ou desdites ressource(s) disponible(s) par au moins un second dispositif du second réseau de communication.
L'invention concerne également un second dispositif gestionnaire d'un second réseau de communication comprenant une pluralité de seconds dispositifs, ledit second dispositif gestionnaire comprenant des moyens de gestion de l'accès à au moins une ressource disponible dans un premier réseau de communication comprenant une pluralité de premiers dispositifs, par au moins un second dispositif du second réseau de communication. Selon l'invention, les moyens de gestion de l'accès comprennent : des moyens de réception d'une requête d'authentification du second réseau de communication, ladite requête d'authentification provenant du premier réseau de communication ; - des moyens de détermination si au moins un desdits seconds dispositifs, dit second(s) dispositif(s) authentifié(s), comprend une information d'authentification associée à un niveau de droit d'accès à la ou lesdites ressource(s) ; des moyens de transmission, au premier réseau de communication, d'une réponse à ladite requête d'authentification, ladite réponse étant représentative de la ou desdites information(s) d'authentification, lesdits moyens de transmission, au premier réseau de communication, d'une réponse étant activés dans le cas d'une détermination positive. Les avantages des produit programme d'ordinateur, moyens de stockage, premier et second dispositifs gestionnaires sont les mêmes que ceux des procédés d'accès précités, ils ne sont pas détaillées plus amplement. Avantageusement, lesdits moyens de gestion de l'accès comprennent des moyens de transmission, au premier réseau de communication, d'une requête d'accès à la ou lesdites ressource(s).
Préférentiellement, lesdits moyens de gestion de l'accès comprennent des moyens de transmission à chacun du ou desdits second(s) dispositif(s) authentifié(s) d'une information comprise dans la requête d'authentification. Avantageusement, lesdits moyens de gestion de l'accès comprennent : - des moyens d'obtention, auprès dudit ou desdits second(s) dispositif(s) authentifié(s), d'une information d'identification du premier réseau de communication ; et - des moyens d'association de ladite information d'identification audit ou auxdits second(s) dispositif(s) authentifié(s). Préférentiellement, ladite réponse à ladite requête d'authentification 10 comprend l'un au moins des éléments appartenant au groupe comprenant les éléments suivants : la ou lesdites information(s) d'authentification ; la ou lesdites information(s) d'authentification, cryptée(s) avec une clé de cryptage obtenue à partir d'une information comprise dans la requête 15 d'authentification ; un ou des résultat(s) de l'application d'un algorithme, dépendant d'une information comprise dans la requête d'authentification, sur chacune de la ou desdites information(s) d'authentification. Avantageusement, la ou lesdites ressources appartiennent au groupe 20 comprenant les ressources suivantes : - les contenus de données stockés sur au moins une unité de stockage du premier réseau de communication ; les services hébergés au moins un dispositif d'hébergement du premier réseau de communication ; 25 - les dispositifs du premier réseau de communication. Préférentiellement, les moyens de gestion de l'accès comprennent des moyens de réception d'au moins une information représentative d'une authentification du second réseau de communication auprès du premier réseau de communication, ladite information provenant du premier réseau de 30 communication, ladite information étant destinée à être utilisée pour un prochain accès à au moins une de la ou desdites ressource(s) disponible(s) par au moins un second dispositif du second réseau de communication. 5. Liste des figures D'autres caractéristiques et avantages de l'invention apparaîtront plus clairement à la lecture de la description suivante d'un mode de réalisation particulier, donné à titre de simple exemple illustratif et non limitatif, et des dessins annexés, parmi lesquels : la figure 1 présente un environnement classique dans lequel on échange des données entre une première maison A et une seconde maison B dans lequel peut être mis en oeuvre le procédé d'accès selon un mode de réalisation conforme à l'invention ; la figure 2 présente un schéma d'un service RAG générique apte à mettre en oeuvre le procédé d'accès selon le mode de réalisation particulier de l'invention précité ; - la figure 3 illustre une première partie d'un scénario d'application du procédé d'accès selon le présent mode de réalisation particulier de l'invention dans le cadre de l'environnement de la figure 1 ; la figure 4 une seconde partie d'un scénario d'application du procédé d'accès selon le présent mode de réalisation particulier de l'invention dans le cadre de l'environnement de la figure 1 ; - la figure 5 présente les étapes principale d'un algorithme de configuration des autorisations d'accès aux ressources du premier réseau conformément au présent mode de réalisation particulier de l'invention ; la figure 6 présente les étapes principales d'un algorithme d'autorisation de l'accès à un contenu multimédia donné référencé CO stocké sur le premier réseau domestique selon le présent mode de réalisation particulier de l'invention ; la figure 7 présente les étapes principales d'un algorithme de filtrage de requêtes entrantes conforme au mode de réalisation particulier de l'invention ; la figure 8 présente les étapes principales d'un algorithme de traitement d'un message de réponse à la requête d'authentification conforme au présent mode de réalisation particulier de l'invention ; la figure 9 présente les étapes principales d'un algorithme de traitement d'une requête d'authentification provenant de la première passerelle conformément au présent mode de réalisation particulier de l'invention. 6. Description d'un mode de réalisation particulier de l'invention On se place dans la suite dans le cadre d'un environnement classique dans lequel on échange des données entre une première maison A et une seconde maison B qui est représenté en figure 1. Dans le cadre de cet environnement, un premier réseau domestique 100-A (compris dans une maison A) et connecté à un second réseau domestique 100-B (compris dans une maison B) via un réseau de type WAN sur le domaine public (qui est par exemple le réseau Internet 101) au moyen de technologies d'accès à distance.
On décrit ci-après le procédé d'accès selon un mode de réalisation particulier de l'invention dans le cadre de l'environnement de la figure 1. Les premier et second réseaux domestiques 100-A et 100-B sont par exemple des réseaux Ethernet mettant en oeuvre le protocole IEEE 802.3 (ou tout autre protocole de type IEEE 802-x) et permet de mettre en oeuvre des communications internes entre les équipements terminaux audio-vidéo numériques de ces réseaux. On se place dans le cas où les premier 100-A et second 100-B réseaux domestiques mettent en oeuvre le protocole de découverte et de contrôle qu'est le protocole UPnP. Bien entendu, les premier 100-A et second 100-B réseaux domestiques peuvent mettre en oeuvre tout autre protocole de découverte et de contrôle tel que le protocole HAVi par exemple. Le protocole UPnP est un protocole intermédiaire ( middleware en anglais) de communications distribuées sur chacun des réseaux domestiques. Chaque équipement des réseaux domestiques supportant la norme UPnP est identifié et divulgue périodiquement la description de ses services.
Ainsi, les premier et second réseaux domestiques 100-A et 100-B comprennent notamment des équipements conformes au protocole UPnP. Chacun des premier 100-A et second 100-B réseaux domestiques comprend à la fois des équipements terminaux qui sont visibles par l'utilisateur (par exemple des équipements terminaux multimédia qui sont directement contrôlés par l'utilisateur) et des équipements d'infrastructure réseau permettant la liaison entre ces équipements terminaux. Dans la suite, on entend par équipement un dispositif adapté pour coopérer avec un réseau de communication.
On notera que chacun des premier 100-A et second 100-B réseaux domestiques peut aussi bien être un réseau domestique qu'un réseau local d'entreprise, constitué partiellement ou totalement de segments sans fil (par exemple conformes aux normes Wifi ou Bluetooth , marques déposées). La catégorie des équipements terminaux comprend notamment : - des premier 110A et second 110B serveurs de flux multimédia répondant préférentiellement à la norme UPnP AV (ces serveurs 110A, 110B comprennent un service UPnP Media Server ) qui sont notamment capable d'émettre en continu des contenus vidéo suivant des protocoles réseau et qui fonctionnent en rnode connecté (par exemple via le protocole HTTP sur TCP/IP) et/ou en mode non connecté (par exemple via le protocole RTP sur le protocole UDP/IP). Ces serveurs peuvent notamment être un ordinateur personnel, un lecteur DVD ou une caméra possédant une connectivité IP ; des premier 120A et second 120B terminaux client, disposant par exemple d'un service UPnP Media Renderer , chacun pouvant notamment être un ordinateur personnel ou un écran de téléviseur apte à afficher les flux multimédia en provenance respectivement des premier serveur 110A et second serveur 110B ; des premier 160A et second 160B postes de contrôle (par exemple des postes de contrôle conformes au standard UPnP), chacun pouvant notamment être un ordinateur personnel, une tablette PC, un assistant personnel (ou PDA pour per sonal digital assistant ), une télécommande proposant à l'utilisateur une sélection d'équipements UPnP (ou équivalent) sur les premier 100-A et second 100-B réseaux domestiques et des contenus multimédia à jouer. La catégorie des équipements d'infrastructure réseau comprend notamment des équipements d'interconnexion qui sont des équipements passerelle d'interconnexion 140A et 140B (ou Gateway en anglais). Un équipement passerelle d'interconnexion (également appelé passerelle dans la suite) 140A, 140B est un dispositif permettant de relier deux réseaux informatiques différents, comme par exemple le premier réseau domestique 100-A ou le second réseau domestique 100-B et un réseau de type WAN tel que le réseau Internet 101. Ainsi, les équipements terminaux de chacun des premier 100-A et second 100-B réseaux domestiques peuvent accéder au réseau Internet 101 par l'intermédiaire des première 140A et seconde 140B passerelles. Le plus souvent, une passerelle sert aussi de pare-feu, ce qui permet de contrôler tous les transferts de données entre le réseau domestique local et l'extérieur (Internet). Par exemple, les premier 140A et second 140B équipements passerelle d'interconnexion implémentent le protocole Internet Gateway Device (ou protocole IGD) qui rend alors possible la configuration de chacun de ces équipements passerelles 140A, 140B par d'autres équipements ou logiciels appropriés du réseau domestique local 100-A, 100-B dans lequel il est situé. Selon une variante du présent mode de réalisation particulier de l'invention, les passerelles 140A, 140B ne disposent pas de service conforme au protocole IGD. Dans le cadre de cette variante, on configure manuellement ces passerelles 140A, 140B pour autoriser l'admission de flux de communications passant à travers, ce qui peut être difficile et consommateur en temps (paramétrage selon les recommandations du fournisseur d'accès Internet, translation d'adresses, configuration du pare-feu pour les besoins d'accès de tierce partie depuis l'Internet...). Ce qui explique que le protocole UPnP IGD est un des protocoles adoptés massivement par les fabricants de passerelle Internet destinées aux petites entreprises ou marché domestique (ou marché SOHO pour Small-Office-Home-Office ).
Dans la terminologie précise des équipements d'infrastructure réseau de type équipement passerelle d'interconnexion 140A, 140B, on distingue le terme Remote Access Gateway (ou passerelle d'accès à distance ci-après désigné par service RAG) qui désigne le service effectif du routage des informations entre les différents réseaux ou domaines, du terme Residential Gateway (ou passerelle résidentielle ) qui désigne l'équipement physique (l'équipement passerelle d'interconnexion) qui interconnecte ces différents réseaux. Chacun des premier 100-A et second 100-B réseau domestique comprend un équipement passerelle d'interconnexion ( Residential Gateway ) respectivement 140A, 140B et un service RAG.
Dans chacun des premier 100--A et second 100-B réseaux domestiques, le service Remote Access Gateway (ou service RAG) peut être hébergé par l'équipement passerelle d'interconnexion 140A, 140B ou alors être hébergé par un équipement séparé dans le réseau domestique 100-A, 100-B. Lorsque le service RAG est hébergé sur l'équipement passerelle d'interconnexion, une adresse IP de l'interface externe de la passerelle est affectée par le fournisseur d'accès Internet (ou FAI). Cette adresse est généralement une adresse publique routable, c'est-à-dire accessible depuis n'importe quel autre équipement ou réseau distant sur Internet. Lorsque le service RAG n'est pas hébergé sur l'équipement passerelle d'interconnexion, alors le service RAG est par exemple déployé sur un équipement terminal, dit équipement hébergeur, du réseau domestique (par exemple un ordinateur du réseau). Ainsi, de la même manière que dans le cas où le service RAG est hébergé sur la passerelle, l'équipement passerelle d'interconnexion obtient une adresse IP par le fournisseur d'accès, mais, de plus, le service RAG obtient également une adresse IP locale du serveur DHCP (pour Dynamic Host Configuration Protocol ou protocole de configuration d'hôte dynamique ) qui est exécuté dans l'équipement passerelle d'interconnexion. Typiquement, ce serveur DHCP alloue les adresses IP locales de chaque équipement du réseau domestique. Par l'intermédiaire du protocole IGD auquel est compatible l'équipement passerelle d'interconnexion, le service RAG peut configurer et autoriser une redirection de port (ou port mapping ) sur la l'équipement passerelle d'interconnexion afin que le trafic distant soit relayé de l'équipement passerelle d'interconnexion vers l'équipement hébergeur (hébergeant le service RAG).
On se place dans la suite dans le cas où, pour chacun des premier 100-A et second 100-B réseaux domestiques, le service RAG est hébergé sur l'équipement passerelle d'interconnexion 140A, 140B du réseau concerné. Bien entendu, selon une variante du présent mode de réalisation, pour l'un quelconque (ou les deux) des premier 100-A et second 100-B réseaux domestiques, le service RAG peut ne pas être hébergé sur l'équipement passerelle d'interconnexion 140A, 140B du réseau concerné. Le procédé d'accès selon le présent mode de réalisation particulier de l'invention (décrit de manière plus détaillée en relation avec les figures 3 à 9) est mis en oeuvre sous la forme d'un logiciel et/ou d'une pluralité de sous logiciels (comprenant une pluralité d'algorithmes décrits ci-après) qui est (sont) exécuté(s) dans une ou plusieurs machines des premier réseau domestique 100-A et second réseau domestique 100-B, par exemple dans les premier 140A et second 140B équipements passerelle d'interconnexion. On présente, en relation avec la figure 2, un schéma d'un service RAG générique 200 apte à mettre en oeuvre le procédé d'accès selon le présent mode de réalisation particulier de l'invention. Par exemple les services RAG des premier 140A et second 140B équipements passerelle d'interconnexion sont identiques au service RAG générique 200.
Ce service RAG générique 200 peut notamment être connecté à tout moyen de stockage d'image, de vidéos, ou de sons reliés à une carte graphique et délivrant au service RAG générique 200 des données multimédia. Ainsi, le service RAG générique 200 comporte un bus de communication 202 auquel sont reliés : une unité centrale de traitement 203 (qui est par exemple un microprocesseur référencé CPU) ; une mémoire morte 204 référencée ROM, pouvant comporter le ou les logiciel(s) précité(s) et référencé(s) Prog ; une mémoire vive 206 (mémoire cache référencée RAM), comportant des registres adaptés à enregistrer des variables et paramètres créés et modifiés au cours de l'exécution du ou des logiciel(s) précité(s) ; un écran 208 permettant de visualiser des données et/ou de servir d'interface graphique avec l'administrateur réseau qui pourra interagir avec le ou les logiciel(s) selon le présent mode de réalisation particulier de l'invention, à l'aide d'un clavier 210 ou de tout autre moyen tel qu'un dispositif de pointage, comme par exemple une souris 211 ou un crayon optique ; une interface de communication 218 reliée à au moins deux réseaux de communication distribués 220, par exemple le premier réseau domestique 100-A ou le second réseau domestique 100-B et le réseau Internet 101, l'interface étant apte à transmettre et à recevoir des données avec ces réseaux. Le service RAG générique 200 comprend également (mais ceci est optionnel) : - un disque dur 212 pouvant comporter le ou les logiciel(s) Prog ; un lecteur de périphérique externe 214 adapté à recevoir une clé mémoire USB 216 et à y lire ou à y écrire des données traitées ou à traiter conformément au procédé de réservation de ressource selon le mode de réalisation particulier de l'invention. Bien entendu, au lieu de la clé mémoire USB 216, on peut mettre en oeuvre tout support d'information lisible par un ordinateur ou par un microprocesseur, intégré ou non à l'appareil, éventuellement amovible, est adapté à mémoriser le ou les logiciel(s) selon le mode de réalisation particulier de l'invention (par exemple, un disque compact (CD-ROM) ou une carte mémoire (Memory-Stick, CompactFlash, PCMCIA, ...)). Le bus de communication 202 permet la communication et l'interopérabilité entre les différents dispositifs inclus dans le service RAG générique 200 ou reliés à cet équipement. De manière plus générale, grâce au bus de communication 202, l'unité centrale 203 est susceptible de communiquer des instructions à tout dispositif inclus dans le service RAG générique 200 directement ou par l'intermédiaire d'un autre dispositif du service RAG générique 200. Le code exécutable de chacun du ou des logiciel(s) précités permettant au service RAG générique 200 de mettre en oeuvre le procédé d'accès selon le mode de l'invention, peut être stocké, par exemple, dans le disque dur 212 ou dans la mémoire morte 204. L'unité centrale 203 commande et dirige l'exécution des instructions ou portions de code logiciel du ou des logiciel(s) selon l'invention. Lors de la mise sous tension, le ou les logiciels qui sont stockés dans une mémoire non volatile (par exemple le disque dur 212 ou la mémoire morte 204), sont transférés dans la mémoire vive 206 qui contiendra alors le code exécutable du ou des logiciel(s) selon l'invention, ainsi que des registres pour mémoriser les variables et paramètres nécessaires à la mise en oeuvre du procédé d'accès selon l'invention. Il convient de noter que l'équipement comprenant le service RAG selon l'invention peut également être un équipement programmé. Cet équipement contient alors le code du ou des programmes informatiques par exemple figé dans u circuit intégré à application spécifique (ou ASIC). On illustre, en relation avec la figure 3, une première partie d'un scénario d'application du procédé d'accès selon le présent mode de réalisation particulier de l'invention dans le cadre de l'environnement de la figure 1.
Dans le cadre de ce scénario, chaque membre (qui est un utilisateur du premier réseau domestique 100-A) d'une famille habitant la maison A (qui est par exemple la maison principale de la famille) dispose d'au moins un équipement mobile propre (par exemple un PDA 310A et une carte mémoire 320A). On fournit à chacun de ces équipements mobiles un certificat Ki, i = 1 à N, (par exemple K1 étant fourni au PDA 310A et K2 étant fourni à la carte mémoire 320A) décrit ci-après en relation avec la figure 5, auquel est associé un niveau d'autorisation d'accès Li (par exemple L1 étant associé à K1 et L2 étant associé à K2) à au moins un contenu et/ou au moins un équipement et/ou au moins un service hébergé(s) par le premier réseau 100-A (tel que décrit ci-après en relation avec la figure 5) lorsque l'équipement mobile est déporté dans un autre réseau tel que le second réseau domestique 100-13. Par exemple un premier utilisateur (appartenant à la famille habitant la maison A) du premier réseau domestique 100-A dispose, par exemple, du PDA 310A (équipement mobile) qui l'accompagne lors de ses déplacements. Un second utilisateur (appartenant à la famille habitant la maison A) du premier réseau domestique 100-A dispose, par exemple, de la carte mémoire 320A (équipement mobile) qui l'accompagne lors de ses déplacements. Dans le cadre de cette première partie du scénario, les premier et second utilisateurs (appartenant à la famille de la maison A) du premier réseau domestique 100-A sont situés dans la maison A. Via une interface graphique appropriée (par exemple une interface web de la première passerelle 140A), un troisième utilisateur (qui peut aussi être le premier ou le deuxième utilisateur) du premier réseau domestique 100-A (typiquement un des responsables de ce premier réseau domestique 100-A) peut lister les contenus et/ou équipements et/ou services disponibles localement dans le premier réseau domestique 100-A, et associer un niveau d'accès à ce ou chacun de ces contenu(s) et/ou équipement(s) et/ou service(s) (tel que décrit ci-après en relation avec la figure 5).
Il en résulte (tel que décrit ci-après en relation avec la figure 5) la création de premier K1 et second K2 certificats (représentatifs chacun des niveaux d'autorisation d'accès à chacun du ou des contenu(s) et/ou équipement(s) et/ou service(s) concernant l'équipement auquel le certificat est fourni ou associé) qui sont transmis dans une étape 301 respectivement aux PDA 310A et carte mémoire 320A des premier et second utilisateurs. De tels certificats K1, K2 servent notamment de clé de cryptage par la suite lorsque le PDA 310A ou la carte mémoire 320A doit signer un jeton d'authentification (par exemple généré de manière aléatoire), afin de sécuriser son identification (tel que décrit ci-après en relation avec la figure 9).
Cette communication 301 (transmission 301) peut être réalisée au moyen de toute technique de transmission locale (grâce à tout protocole de transmission adapté), telle que via une interface physique (lecteur de carte PCMCIA ou USB), ou tel que via un lien sans-fil (Bluetooth, WIFI). De manière préférentielle, chacun des équipements mobiles 310A, 320A comprend une zone protégée apte à stocker et conserver le certificat qui lui est envoyé (par exemple, un composant sécurisé TPM (pour Trusted Platform Module ) conforme aux spécifications du Trusted Computing Group ). Préférentiellement, la communication 301 permet également de transmettre aux équipements mobiles 310A et 320A des informations relatives à l'accès à distance au premier réseau domestique 100-A, telles que au minimum l'adresse publique du premier réseau domestique 100-A et le port de communication autorisé pour un accès à distance. On illustre, en relation avec la figure 4, une seconde partie du scénario d'application du procédé d'accès selon le mode de réalisation particulier de l'invention de la figure 3. Dans le cadre de cette seconde partie du scénario, le premier utilisateur (appartenant à la famille de la maison A) disposant de son équipement mobile qui est le PDA 310A (qui a préalablement reçu le premier certificat K1) et le second utilisateur (appartenant à la famille de la maison A) disposant de son équipement mobile qui est la carte mémoire 320A (qui a préalablement reçu le second certificat K2) sont en déplacement dans la maison B (qui est par exemple une maison de vacances de la famille de la maison A) comprenant le second réseau domestique 100-B qui comprend lui-même la seconde passerelle 140B (mettant en oeuvre les algorithmes de l'invention).
Les PDA 310A et carte mémoire 320A (appartenant originalement au premier réseau domestique 100-A) qui sont déportés dans le second réseau domestique 100-B sont capables de communiquer avec la seconde passerelle 140-B selon un protocole de communication 400 identique ou non à celui mis en oeuvre dans le cadre de la transmission 301 de la figure 3.
Lors de l'arrivée de ces équipements mobiles 310A et 320A dans le second réseau domestique 100-B, la détection de ces équipements mobiles par la seconde passerelle 140-B (sous réserve que ces équipement disposent du ou des certificats adéquats) permet aux utilisateurs (qui sont notamment les premier et second utilisateurs qui sont maintenant situés dans la maison B) du second réseau domestique 100-B de se connecter au premier réseau domestique 100-A. La détection des équipements mobiles 310A et 320A est réalisée par exemple selon le principe d'annonce du protocole UPnP. En effet, le standard UPnP prévoit la transmission, à chaque équipement conforme au standard UPnP, d'une requête conforme au protocole SSDP (pour Simple Service Discovery Protocol qui est un protocole de découverte automatique du standard UPnP) qui vise à obtenir régulièrement des informations concernant les équipements UPnP présents localement dans un réseau. Préférentiellement, les équipements mobiles tels que le PDA 310A se déclarent auprès de la seconde passerelle 140B (qui peut ainsi les détecter) comme étant des équipements de type DLNA M-DMP (équipementmobile respectant le standard Digital Living Network Alliance selon la classe d'équipement Mobile Digital Media Player , tel que décrit dans le document DLNA_Interoperability_Guidelines volume 1, version 1.5, en section 5.5) au moyen, par exemple de leurs numéros de série ou leurs dénominations commerciales, ce qui permet, à la seconde passerelle 140B du second réseau domestique 100-B, de les identifier sans ambigüité. La déclaration d'un équipement mobile conforme au standard UPnP dans le second réseau domestique 100-B dépend de la nature de cet équipement mobile. Un équipement terminal disposant d'un service Digital Media Player est un équipement terminal disposant des programmes applicatifs capables de jouer des contenus multimédia (qui peuvent être des contenus à la fois audio et vidéo). Dans la terminologie DLNA ( Digital Living Network Alliance ), un équipement Digital Media Player représente une classe d'équipement supportant les fonctionnalités poste de contrôle conforme au standard UPnP (service UPnP Control Point) et de visualisation locale (service UPnP MediaRenderer). Lorsque l'équipement mobile est directement connectable à la seconde passerelle 140B (cas par exemple de la carte mémoire 320A), la détection de cet équipement mobile par la seconde passerelle 140B peut être automatiquement réalisée par le protocole de communication 400, ce qui ne requiert pas l'adoption d'un protocole de découverte supplémentaire tel que le protocole UPnP. Les deux principes de détection sont bien sûr dans ce cas complémentaires. On suppose que les équipements mobiles 310A et 320A comprennent des informations relatives à l'accès à distance au premier réseau domestique 100-A (dites informations de localisation), telles que au minimum l'adresse publique du premier réseau domestique 100-A et le port de communication autorisé pour un accès à distance. Lorsqu'un des équipements (par exemple le second terminal client 120B) du second réseau domestique 100-B souhaite accéder à au moins un équipement et/ou au moins un contenu et/ou au moins un service qui est(sont) présent(s) sur le premier réseau domestique 100-A, la seconde passerelle 140-B émet une requête (par exemple de type UPnP) à destination de la première passerelle 140-A, cette requête étant réalisée à partir notamment des informations de localisation précitées.
Ainsi, le second terminal client 120B demande à la seconde passerelle 140B au moyen d'une requête conforme au protocole SSDP (la requête SSDP est un message multicast SSDP), quels sont les équipements conformes au standard UPnP AV et/ou quels sont les contenus et/ou quels sont les services qui sont présents sur le premier réseau domestique 100-A. On appelle ci-après cette requête, requête d'accès à distance au premier réseau domestique 100-A. Quand la seconde passerelle 140B reçoit cette requête SSDP d'accès aux ressources du premier réseau domestique 100-A, celle-ci peut envoyer une requête vers le premier réseau domestique 100-A notamment pour allonger la liste des équipements compatibles.
Préférentiellement (tel qu'expliqué ci-après en relation avec la figure 7), lors d'une première tentative de connexion au premier réseau domestique 100-A, si la première requête d'accès à distance (émise par le second terminal client 120B) reçue par la seconde passerelle 140E est une requête d'accès à distance SSDP à au moins un équipement et/ou au moins un contenu et/ou au moins un service qui est(sont) présent(s) sur le premier réseau domestique 100-A, mais qui n'est pas une requête d'accès à distance à un service d'établissement d'un tunnel sécurisé entre le premier réseau 100-A et le second réseau 100-B, alors cette première requête SSDP est temporairement bloquée par la seconde passerelle 140B.
Ainsi, une autre requête d'accès à distance qui est cette fois-ci une requête d'établissement d'un tunnel sécurisé entre la seconde passerelle 140B et la première passerelle 140A est envoyée par la seconde passerelle 140B à la première passerelle 140A. Puis, lorsque le tunnel sécurisé est actif, la première requête d'accès à distance est débloquée par la seconde passerelle puis est transmise dans ce tunnel sécurisé, par la seconde passerelle, vers le premier réseau domestique 100-A. Bien entendu, selon une variante du présent mode de réalisation particulier de l'invention, la première requête d'accès à distance peut transiter à travers le réseau Internet en clair (c'est-à-dire sans qu'un tunnel sécurisé ait été mis en oeuvre au préalable). Selon cette variante, aucune requête d'établissement de tunnel n'est mise en oeuvre. Par soucis de simplification, on ne représente sur cette figure 4, qu'une seule requête, appelée ci-après requête d'accès à distance et référencée 410, pour tout accès à distance au premier réseau domestique 100-A (c'est-à-dire que cette requête d'accès à distance unique peut être toute requête d'accès à distance aux ressources (contenus, services, équipements, ...) du premier réseau domestique 100-A et notamment une requête d'accès à distance au service d'établissement d'un tunnel sécurisé entre le premier réseau 1000-A et le second réseau 100-B). Suite à la réception d'une requête d'accès à distance 410, la première passerelle 140A évalue le type de demande provenant de la seconde passerelle (tel que décrit ci-après en relation avec la figure 6) et demande, si besoin, en retour, une confirmation du droit d'accès au service demandé. Par exemple, suite à la réception de la requête d'accès à distance 410 aux ressources (contenus, services, équipements, ...) du premier réseau domestique 100-A, la première passerelle 140A envoie un jeton d'authentification C (dans une requête d'authentification 420 ci-après décrite en relation avec la figure 6) au second réseau domestique 100-B afin que celui-ci prouve que des équipements localisés dans le second réseau domestique 100-B (notamment l'un des équipements mobiles 310A, 320A) lui permettent d'effectuer une telle demande (sont accrédités). La manière dont la seconde passerelle 140B demande des accréditations aux équipements mobiles 310A et 320A est décrite ci-après en relation avec la figure 9. Cette demande d'accréditation est basée sur une recherche (étape 421) de tels équipements mobiles (accrédités) et sur un appel de service particulier (étape 422) permettant la signature du jeton d'authentification C (telle que décrite ci-après en relation avec la figure 9) fourni par la première passerelle 140A (dans la requête d'authentification 420), avec les certificats K1, K2 conservés dans la zone protégée de chaque équipement mobile 310A ou 320A. Tel qu'expliqué ci-après en relation avec la figure 9, une fois le(les) calcul(s) de signature(s) effectué(s) à partir du jeton d'authentification C, la seconde passerelle 140B fournit à la première passerelle 140A un agrégat du (des) résultat(s) de calcul(s) (au moyen d'un message de réponse 430 ci-après décrit en relation avec la figure 6). La première passerelle 140A recevant cette information exécute alors un algorithme 440 (présenté ci-après en relation avec la figure 6) grâce auquel la première passerelle 140A obtient les certificats K1, K2 ayant permis la mise en oeuvre de chaque calcul à partir du jeton préalablement envoyé. Tel qu'expliqué précédemment en relation avec la figure 3, chaque certificat K1, K2 permet de connaître les niveaux d'autorisations d'accès L1, L2 (d'accès à au moins un contenu et/ou au moins un équipement et/ou au moins un service sur le premier réseau domestique 100-A) associés au certificat (lui-même ayant été fourni (ou associé) à un équipement mobile). On peut ainsi en déduire un niveau d'autorisation d'accès global aux ressources du premier réseau domestique 100-A (tel qu'expliqué dans une variante décrite ci-après en relation avec la figure 8). Ce niveau d'autorisation d'accès global peut être affecté à un compte d'accès propre aux accès en provenance de la seconde passerelle 140B. Tel qu'expliqué ci-après en relation avec la figure 8, afin d'éviter de répéter toute cette procédure, un crédit d'authentification (crédit sous forme par exemple de cookie créé à partir d'une clé de cryptage privée uniquement connue de la première passerelle 140A) est transmis (dans un message de transmission du crédit d'authentification 441) à la seconde passerelle 140B (qui le stocke tant qu'il est valide) afin qu'elle puisse fournir à la première passerelle 140A ce crédit d'authentification dans des requêtes d'accès à distance ultérieurement transmises par la seconde passerelle afin d'accéder à nouveau à des ressources du premier réseau domestique 100-A. On présente, en relation avec la figure 5, les étapes principales d'un algorithme de configuration des autorisations d'accès (par exemple fournies aux premier 310A et second 320A équipements mobiles des premier et second utilisateurs) aux ressources du premier réseau 100-A conformément au présent mode de réalisation particulier de l'invention.
Cet algorithme, qui aboutit à la création d'un certificat pour les équipements mobiles 310A, 320A, est mis en oeuvre par la première passerelle 140A lors de la configuration des autorisations d'accès aux ressources (contenus et/ou services et/ou équipements locaux) du premier réseau domestique 100-A.
Par exemple, la première passerelle 140A propose au troisième utilisateur précité (en relation avec la figure 3), via une interface Web accessible depuis au moins un ordinateur du premier réseau domestique 100-A, de sélectionner les contenus et/ou services et/ou équipements disponibles sur ce premier réseau domestique 100-A.
Dans une étape 500, la première passerelle 140A reçoit une commande locale de création de nouveaux profils d'accès à des contenus et/ou services et/ou équipements locaux du premier réseau domestique 100-A. Dans une étape 501, une liste des équipements (dont notamment le premier serveur UPnP AV 110A) et/ou contenus et/ou services est proposée au troisième utilisateur. Par exemple, pour chaque contenu multimédia, il est possible au troisième utilisateur de sélectionner le type d'accès (par exemple, le protocole de streaming, la qualité du flux, etc.) associé. Une présentation graphique classique de la liste des serveurs et/ou contenus multimédia et/ou services est, par exemple, celle avec laquelle un poste de contrôle UPnP permet la sélection des contenus multimédia (sous forme d'arborescence de fichiers, dont le dossier source est un équipement serveur). Il suffit de permettre une sélection multiple pour des contenus. On suppose dans la suite que les équipements 310A, 320A souhaitent accéder (et/ou permettre l'accès) à un ensemble de contenus multimédia disponibles sur au moins un serveur du premier réseau domestique 100-A. Dans une étape 502, pour chaque contenu multimédia donné référencé Ck disponible sur un serveur donné, un niveau d'autorisation d'accès (ou limitation d'accès) Lk au contenu donné Ck sur le serveur donné est proposé par la première passerelle 140A au troisième utilisateur.
Ce niveau Lk comprend par exemple : une limite de bande passante maximale pour la transmission de contenus multimédia concurrents, un protocole de protection de contenu à activer lors du transfert du contenu donné et les droits DRM associés (par exemple, le protocole DTCP paramétré en COPY-NOMORE), ou une information identifiant si tel ou tel contenu est autorisé en diffusion sur requête utilisant le certificat auquel sera associé le niveau Lk (ou, dans le cas ou Lk est associé à un service, une information identifiant si le service est activable sur requête utilisant le certificat auquel est associé le niveau Lk, ou, dans le cas ou Lk est associé à un équipement, une information identifiant si l'équipement est accessible et contrôlable est activable sur requête utilisant le certificat auquel est associé le niveau Lk), ... Dans une étape 503, pour chaque équipement mobile 310A, 320A est généré un certificat respectivement K1, K2 (qui est par exemple une clé de cryptage) à partir de l'ensemble des niveaux Lk (chaque niveau Lk étant associé à un contenu Ck). Puis, dans une étape 504, les certificats sont stockés par la première passerelle 140A. Les niveaux Lk peuvent être de nature différente selon l'utilisateur auquel le certificat K1 ou K2 sera fourni. En effet, deux utilisateurs d'un même réseau domestique ont des droits d'accès à de contenus, équipements ou services différents, chacun de ces utilisateurs disposant d'un équipement mobile 310A, 320A qui lui est propre.
Dans une étape 505, la première passerelle détecte les équipements mobiles 310A, 320A connectés physiquement au premier réseau domestique 100-A. Par exemple, dans une étape 506, il est proposé au troisième utilisateur de choisir, sur quel équipement mobile 310A, 320A du premier réseau domestique 100-A, les certificats KI et K2 sont stockés. Dans une étape 507, le certificat K1 est stocké sur l'équipement mobile 310A et certificat K2 est stocké sur l'équipement mobile 320A. On rappelle que ces équipements disposent chacun préférentiellement d'un module TPM, permettant de conserver en sécurité le certificat K1, K2 qui lui est fourni (ou associé).
On présente, en relation avec la figure 6, les étapes principales d'un algorithme (mis en oeuvre par la première passerelle 140A) d'autorisation de l'accès, par un équipement mobile (par exemple l'un des PDA 310A du premier utilisateur ou carte mémoire 320A du second utilisateur), à un contenu multimédia donné référencé CO stocké sur le premier réseau domestique 100-A selon le présent mode de réalisation particulier de l'invention. On se restreint dans le cadre de cette figure 6 à l'accès à distance à un contenu CO, cependant évidemment, cet algorithme est également applicable au cas plus général d'un accès à distance à au moins un contenu et/ou au moins un équipement et/ou au moins un service du premier réseau domestique 100-A. Lors de la réception d'une requête d'accès à distance 410 (à une ressource du premier réseau domestique 100-A) en provenance du second réseau domestique 100-B, dans une étape 601, la première passerelle 140-A met en oeuvre une procédure de filtrage des requêtes entrantes (décrite en détail ci-après en relation avec la figure 7). On rappelle que cette requête d'accès à distance 410 peut transiter en clair (c'est-à-dire sans la mise en oeuvre au préalable d'un tunnel sécurisé) sur le réseau Internet 101 ou dans un tunnel sécurisé (par exemple préalablement établi au moyen d'une requête d'établissement d'un tunnel sécurisé entre la première passerelle 140A du premier réseau domestique 100-A et la seconde passerelle 140B du second réseau domestique 100-B). Le format de la requête d'accès à distance 410 est préférentiellement de type HTTP transportant des commandes UPnP ou Web Service SOAP (pour Simple Object Access Protocol ). A l'issue de l'étape de filtrage 601, dans une étape 602, la première passerelle 140A vérifie si cette requête nécessite un niveau d'autorisation. Par exemple, le contenu CO peut être une série de vidéos privées stockées sur le premier serveur 110 du premier réseau domestique 100-A et l'accès à CO nécessite de prouver que l'on est l'un des utilisateurs reconnus par le premier réseau domestique 100-A et ayant droit d'accès au contenu CO. De même pour une requête d'établissement de tunnel sécurisé avec le second réseau domestique 0-B. Puis, dans une étape 603, la première passerelle 140A vérifie si l'accès au contenu CO est libre. Si l'accès à CO est libre, alors, dans une étape 609, la première passerelle 5 140A autorise cet accès. Si l'accès à CO doit être contrôlé, alors dans une étape 604, la première passerelle 140A vérifie la présence, dans la requête d'accès à distance 410, d'un élément de contrôle qui est par exemple un crédit d'authentification tel que celui décrit ci-après en relation avec l'étape 808 de la figure 8. 10 Si ce crédit d'authentification n'est pas présent, alors les étapes 610 à 611 permettent de lancer une procédure d"authentification du demandeur à l'origine de la requête d'accès à distance par génération, mémorisation et envoi du jeton d'authentification C (par exemple, une suite alphanumérique) à la seconde passerelle 140B dans la requête d'authentification 420. Ce jeton d'authentification 15 C est destiné à être retourné signé par au moins l'un des PDA 310A du premier utilisateur ou carte mémoire 320A du second utilisateur, appartenant à l'origine au premier réseau domestique 100-A et qui sont déportés dans le second réseau domestique 100-B. Cet envoi d'un jeton d'authentification C à la seconde passerelle 140-B 20 demandeuse se fera indifféremment : cas 1 : par une requête d'authentification 420 directement émise vers cette seconde passerelle 140-B (auquel cas la requête d'accès à distance 410 est suspendue à la réception d'un message de réponse 430 à cette requête d'authentification 420) ; ou 25 cas 2 : par l'envoi d'une réponse d'erreur à la requête d'accès à distance 410. Par exemple, dans le cas 1, la requête d'authentification 420 est une requête de type web service SOAP-XML demandant explicitement via un service exporté par la seconde passerelle 140B de prouver son droit d'accès. Par exemple, dans le cas 2, la première passerelle 140-A émet une réponse 30 d'erreur HTTP avec un code "401 Unauthorized". Puis, la première passerelle 36 140A peut envoyer une demande d'identification telle que : WWW-Authenticate: Digest realm="HomeA" nonce="dcd98b7102dd2fOe8b11d0f600bfb0c093" Le champ nonce contient la chaîne générée par la première passerelle 140A pour chaque réponse d'erreur 401. Il est conseillé que cette chaîne utilise les caractères Base64 ou hexadécimaux. Ce paramètre est utilisé dans le calcul de la réponse par la seconde passerelle 140B à l'origine de la requête d'accès à distance. En réponse, la seconde passerelle 140B envoie un message de réponse 430 avec l'entête Authorization contenant le nom (par exemple Digest ) des algorithmes appliqués sur le jeton d'authentification C par chacun des équipements mobiles 310A, 320A afin de réaliser la signature du jeton (tel qu'expliqué ci-après en relation avec la figure 9) et suivi d'un paramètre response , qui contient des chiffres hexadécimaux représentant les différents résultats des signatures du jeton (ou concaténation de résultats) prouvant que les équipements mobiles 310A et/ou 320A sont présents sur le second réseau domestique 100-B et a(ont) un droit d'accès au premier réseau domestique 100-A. Si le crédit d'authentification est trouvé, alors dans une étape 605, la première passerelle 140A vérifie si le crédit est valide. Si le crédit n'est pas valide (par exemple, il est invalide s'il présente une date d'expiration dépassée), alors l'étape 610 est mise en oeuvre. Si le crédit est valide, alors dans une étape 606, la première passerelle 140A récupère un compte d'accès temporaire référencé Aj correspondant à ce crédit qui a été précédemment créé lors d'un précédent accès à distance (avec l'algorithme ci-après décrit en relation avec la figure 8).
Puis dans une étape 607, la première passerelle 140A vérifie si le compte est valide. Si le compte n'est pas valide (par exemple il a expiré), alors l'étape 610 est mise en oeuvre. Si le compte est valide, alors dans une étape 608, la première passerelle 140A détecte le niveau d'autorisation d'accès LO (associé au contenu CO) autorisé par le compte Aj.
Puis, dans une étape 609, l'autorisation d'accès est appliquée à la requête 410, dans le sens où d'éventuelles limitations (bande passante pour du flux multimédia en sortie, refus d'accès pour le type de crédit, etc....) est considérée pour l'application du service. Cette autorisation peut consister en l'établissement d'un tunnel sécurisé entre les deux maisons, dans lequel transiteront les requêtes futures. On présente, en relation avec la figure 7, les étapes principales d'un algorithme de filtrage de requêtes entrantes (tel qu'introduit dans l'étape 601 de la figure 6 précédemment décrite) conforme au mode de réalisation particulier de l'invention.
On se place dans le suite dans le cas où seules les requêtes d'accès à distance à un service d'établissement de tunnels sécurisés peuvent transiter en clair (c'est-à-dire de façon non cryptée) sur le réseau Internet 101, toutes les autres requêtes d'accès à distance aux ressources du premier réseau domestique 100-A doivent transiter dans un tunnel sécurisé préalablement établi (au moyen d'une requête d'établissement d'un tunnel sécurisé) entre la première passerelle 140A du premier réseau domestique 100-A et la seconde passerelle 140B du second réseau domestique 100-B. Dans une étape 700, la première passerelle reçoit une requête d'accès à distance provenant de la seconde passerelle 140B du second réseau domestique 100-B. Dans une première étape 701, la première passerelle vérifie si la requête d'accès à distance entrante est une requête d'établissement de tunnel sécurisé. Si la requête entrante est une requête d'établissement de tunnel sécurisé, alors dans une étape 702, la première passerelle 140A met en oeuvre l'étape 602 de l'algorithme de la figure 6 avec la requête entrante. On suppose que toutes les requêtes passant le test de filtrage 701 et arrivant sur le test de filtrage 702 (c'est-à-dire qui sont des requêtes d'établissement de tunnels sécurisés), sont des requêtes émises depuis une zone autorisée (telle que la maison B).
Si la requête entrante n'est pas une requête d'établissement de tunnel sécurisé, alors une étape 703 est mise en oeuvre. On peut noter que la présente invention selon au moins un mode de mise en oeuvre est compatible avec les deux techniques les plus courantes pour interconnecter des réseaux.
La première technique d'interconnexion (qui correspond à un filtrage IP) est basée sur un mécanisme de translation d'adresses NAT ( Network Address Translation ). Un tel mécanisme est implémenté sur un routeur-passerelle tel que la première passerelle 140A et permet de faire correspondre les adresses IP internes non-uniques et souvent non routables d'un premier réseau domestique 100-A vers un ensemble d'adresses externes uniques et routables. La première passerelle 140A fournit donc, suivant la configuration voulue de l'utilisateur-administrateur du premier réseau domestique 100-A, un filtrage IP dans la table des translations d'adresses pour autoriser l'accès depuis l'extérieur aux équipements internes du premier réseau domestique 100-A.
Dans l'étape 703, la première passerelle 140A vérifie si le filtrage IP est activé. Si le filtrage IP est activé (ce qui signifie que la première passerelle met en oeuvre la première technique d'interconnexion précitée), alors dans une étape 704, la première passerelle 140A vérifie l'adresse IP destination indiquée dans la requête entrante et identifie le ou les contenu(s) et/ou service(s) et/ou équipement(s) demandé(s). Puis, dans une étape 705, la première passerelle 140A effectue une transposition NAT pour l'accès vers le ou les contenu(s) et/ou service(s) et/ou équipement(s) demandé(s). On peut remarquer que dans le cas de l'établissement d'un tunnel de niveau 2 entre les premier 100-A et second 100-B réseaux domestiques, les adressages IP des premier et second réseaux sont communs et il n'est pas nécessaire de mettre en oeuvre de translation NAT (ce qui signifie que l'étape 705 n'est pas mise en oeuvre). Cependant, un filtrage est toujours possible pour vérifier si l'équipement/service demandé correspond à un service autorisé et non dangereux pour la sécurité du réseau local (ce qui correspond à l'étape 704).
Puis, dans une étape 709, l'étape 602 précédemment décrite en relation avec la figure 6 est mise en oeuvre pour la requête entrante. Si le filtrage IP n'est pas actiivé, alors dans une étape 706, la première passerelle 140A vérifie si un serveur mandataire ( proxy ) UPnP est activé dans le premier réseau domestique 100-A. Si aucun serveur mandataire ( proxy ) UPnP est activé dans le premier réseau domestique 100-A, alors dans l'étape 709, l'étape 602 précédemment décrite en relation avec la figure 6 est mise en oeuvre pour la requête entrante. Si un serveur mandataire ( proxy ) UPnP est activé dans le premier réseau domestique 100-A (ce qui signifie que la première passerelle met en oeuvre la seconde technique d'interconnexion ci-après décrite), alors une étape 707 est mise en oeuvre. La seconde technique d'interconnexion (ou filtrage) est la mise en place d'un serveur mandataire (ou proxy en anglais) UPnP dans le premier réseau 15 domestique 100-A, par exemple dans la passerelle 140A. Ce serveur mandataire a pour fonction de relayer différentes requêtes et d'assurer la sécurité. Le serveur mandataire UPnP permet d'exporter les services UPnP disponibles sur le premier réseau domestique 100-A (et autorisés par le troisième utilisateur précité en relation avec la figure 4) a être visibles par le 20 second réseau domestique 100-B. Dès lors, dès que le second réseau domestique 100-B émet des trames SSDP pour la découverte des services UPnP, la première passerelle 140A doit fournir une liste de contenu(s) et/ou service(s) et/ou équipement(s) autorisés à être accédés par des équipements du second réseau domestique 100-B. Pour se faire, la 25 première passerelle 140A est apte à demander quels équipements connus du premier réseau domestique 100-A sont présents dans le second réseau domestique 100-B, afin de savoir quels sont le ou les contenu(s) et/ou service(s) et/ou équipement(s) demandé(s) que le serveur mandataire UPnP (dans la première passerelle 140A) doit relayer. 30 Du point de vue du second réseau domestique 100-B, le premier réseau domestique 100-A est vu par les postes de contrôles UPnP du second réseau domestique 100-B comme un seul équipement fournissant tous les contenus et/ou services et/ou équipements autorisés par le premier réseau domestique 100-A. Dans l'étape 707, la première passerelle 140A vérifie si le contenu CO (ou service ou équipement) demandé est exporté par le proxy. Puis, dans une étape 708, la première passerelle 140A vérifie si le ou les contenu(s) et/ou service(s) et/ou équipement(s) demandé(s) supporte(nt) le type de la requête entrante. On peut remarquer que selon une variante (non illustrée) du présent mode de réalisation de l'invention, il est envisageable de combiner les première et seconde techniques d'interconnexion précitées (par exemple, selon cette variante, l'étape 705 n'est pas activée et l'étape 706 est donc directement mis en oeuvre après l'étape 704). Ainsi, des requêtes SSDP sont filtrées par l'étape 704 et les requêtes aux services UPnP sont filtrées par les étapes 707 et 708.
On présente, en relation avec la figure 8, les étapes principales d'un algorithme de traitement d'un message de réponse 430 à la requête d'authentification 420 conforme au présent mode de réalisation particulier de l'invention. Cet algorithme est mis en oeuvre par la première passerelle 140A. Dans une étape 800, la première passerelle reçoit un message de réponse 430 à la requête d'authentification 420 (préalablement envoyée à la seconde passerelle 140B par la première passerelle 140A tel que précédemment décrit). Le message de réponse 430 est du même type que la requête d'authentification 420 (par exemple un message HTTP, un message SOAP, etc..). Ce message de réponse 430 comprend une liste de résultats, référencés K1(C), K2(C), de la signature (telle que décrite ci-après en relation avec la figure 9) du jeton d'authentification C par lesdifférents équipements mobiles 310A, 320A (K1(C) étant le résultat de la signature du jeton par le PDA 310A et K2(C) étant le résultat de la signature du jeton par la carte mémoire 320A). Le message de réponse correspond, plus généralement, à l'agrégation des résultats Ki(C) de la signature du jeton d'authentification C par les différents équipements mobiles qui sont originaires du premier réseau domestique 100-A et présents dans le second réseau domestique 100-B. L'obtention de ces résultats calculés à partir du jeton d'authentification C compris dans la requête d'authentification 420 est explicitée ci-après en relation avec la figure 9.
Dans une étape 801, la première passerelle 140A obtient la liste de valeurs K1(C), K2(C) obtenues à partir du jeton d'authentification C. Puis, dans une étape 802, la première passerelle 140A obtient chaque certificat K1, K2 ayant servi à produire les résultats K1(C), K2(C). Il existe de nombreuses méthodes pour retrouver les certificats K1, K2 selon les algorithmes utilisés afin de signer le jeton d'authentification C au niveau des équipements mobiles déportés (tel qu'expliqué ci-après en relation avec la figure 9). Par exemple, si l'algorithme de signature n'est pas réversible, on peut tester tous les certificats Ki connus de la première passerelle 140A afin de retrouver les certificats K1, K2 utilisés.
Dans une étape 803, la première passerelle 140A vérifie si au moins un certificat Ki est obtenu. Si aucun certificat Ki n'est obtenu, alors dans une étape 809, l'authentification est refusée. Si au moins un certificat K1, K2 est obtenu, alors, dans une étape 804, la première passerelle 140A crée ou met à jour, pour chaque certificat obtenu K1, K2, un compte d'accès (préférentiellement temporaire) Aj étant associé à l'ensemble des certificats K1, K2 (tel qu'indiqué précédemment en relation avec la figure 6). Une mise à jour du compte temporaire Aj est effective, lorsque le compte Aj a été précédemment créé avec un ensemble de certificats Ki donné, alors que l'ensemble des certificats Ki (valides) obtenus à l'étape 803 est différent (par exemple un équipement de type 310A ou 320A a été ajouté au ou retiré du second réseau domestique 100-B). Tel qu'expliqué précédemment en relation avec la figure 3, chacun des certificat K1, K2 (K1 étant associé au PDA 310A et K2 étant associé à la carte mémoire 320A) est lié à un niveau d'autorisation d'accès L1, L2 à au moins un contenu et/ou au moins un équipement et/ou au moins un service du premier réseau domestique 100-A. On peut ainsi en déduire un niveau d'autorisation d'accès global aux ressources du premier réseau domestique 100-A affecté au compte Aj propre aux accès en provenance de la seconde passerelle 140B (union des droits d'accès).
Ainsi, dans une étape 805, on obtient pour chaque certificat K1, K2 obtenu dans l'étape 803 le niveau d'autorisation accès L1, L2 associé au certificat et, dans une étape 806, on restreint les droits d'accès dans le cadre du compte d'accès temporaire Aj à ce qui est permis dans les niveau d'accès Ll et L2 associés aux certificats K1 et K2.
Selon une variante du présent mode de réalisation particulier de l'invention, dans l'étape 804, on crée un compte d'accès temporaire distinct pour chacun des certificats obtenu. Pour chacun du ou des compte d'accès créés, il est possible de lui associer une durée de vie dépendante du niveau d'autorisation d'accès globalisé pour ce compte. Par exemple, plus ce niveau d'autorisation d'accès est élevé, plus la durée du compte est limitée. Préférentiellement, la durée de validité du (ou des) compte(s) d'accès temporaire(s) peut être régie par une temporisation (premier cas) ou par le fait que tant que au moins un du ou des équipement(s) mobile(s) à l'origine de la création du compte (éventuellement un ensemble de comptes d'accès distincts) est dans le second réseau domestique 100-B, alors le compte d'accès est valide (second cas). Dans le premier cas, la mise en oeuvre d'une temporisation permet avantageusement à la première passerelle 140A de ne pas avoir à faire confiance à la seconde passerelle 140B et ainsi de remettre en oeuvre régulièrement la procédure d'identification des équipements mobiles distants. Dans le second cas, par exemple, lors de la disparition d'un équipement mobile 320 (par exemple la seconde passerelle 140B reçoit une notification SSDP bye-bye avant la disparition de l'équipement mobile 320A), la seconde passerelle 140B détruit le crédit d'authentification qui lui a été affecté parla première passerelle 140A ; la procédure d'authentification du compte est alors reproduite lors de la prochaine requête d'accès à distance aux ressources du réseau 100A. Dans une étape 807, pour chacun des comptes d'accès créés, un crédit d'authentification est généré et associé au compte. En effet cela permet lors de la transmission, par la seconde passerelle 140B, à la première passerelle 140A d'une prochaine requête d'accès à distance aux ressources du premier réseau domestique 100-A, que le second réseau s'authentifie auprès du premier réseau rapidement à partir de ce crédit d'authentification, sans pour autant avoir à reprendre l'ensembles des étapes de l'algorithme d'authentification de cette figure 8.
Ce crédit d'authentification peut prendre la forme d'un cookie HTTP, uniquement créé et vérifiable par la première passerelle 140A. La méthode de création d'un tel crédit est connue de l'homme de l'art. Ce crédit est préférentiellement limité dans le temps (d'une durée de vie bien plus courte que la durée de vie du compte temporaire qu'il représente). De même, préférentiellement, plus le niveau d'accès du compte est élevé, plus la durée de vie du crédit est courte. Dans une étape 808, le crédit est alors transmis à la seconde passerelle 140B (dans un message de transmission du crédit référencé 441 sur la figure 4) et est conservé par elle tant qu'il est valide (et, par exemple, tant que le tunnel sécurisé reste ouvert: entre les deux maisons).
De manière optionnelle, les étapes 803 et 805 sont modifiées afin de permettre un accès transitoire de faible niveau d'autorisation d'accès lorsqu'un compte a au préalable été autorisé pour le second réseau domestique 100-B identifié. Cette variante permet de traiter le cas où un visiteur (identifié par le premier réseau domestique 100-A) visite la maison B (comprenant le second réseau domestique 100-B) de ses parents, et souhaite leur laisser un accès limité et temporaire lorsqu'il aura quitté le domicile de ses parents. On présente, en relation avec la figure 9, les étapes principales d'un algorithme de traitement d'une requête d'authentification 420 provenant de la première passerelle 140A conformément au présent mode de réalisation particulier de l'invention. Cet algorithme est mis en oeuvre par la seconde passerelle 140B. Dans une étape 900, la seconde passerelle 140B reçoit la requête d'authentification 420 provenant de la première passerelle 140A et visant à mettre en oeuvre un accès distant à des ressources du premier réseau domestique 100-A.
Puis, dans une étape 901, la seconde passerelle 140B recherche si elle a déjà en sa possession un crédit d'authentification (tel que précédemment décrit en relation avec la figure 8) pour le premier réseau domestique 100-A (reçu au préalable par un message émis par la première passerelle 140A lors de l'étape 808 précitée).
Dans une étape 902, la seconde passerelle vérifie si un crédit d'authentification est obtenu. Si aucun crédit d'authentification n'est obtenu par la seconde passerelle 140B, alors celle-ci met en oeuvre une étape 906 ci-après décrite. Si un crédit d'authentification est obtenu, alors dans une étape 903, elle vérifie si ce crédit d'authentification est valide. Si le crédit d'authentification est valide, alors, dans une étape 904, la seconde passerelle 140B transmet ce crédit d'authentification à la première passerelle 140A et l'authentification est réalisée. De manière préférentielle, lorsqu'un équipement authentifié par le premier réseau domestique 100-A arrive ou quitte le second réseau domestique 100-B, il est procédé à la destruction du crédit d'authentification (étape non illustrée). Ceci est facilement réalisable car l'apparition/disparition d'un équipement UPnP est diffusée par le protocole SSDP, qui comprend notamment une identification de l'équipement concerné par l'événement. Si le crédit d'authentification obtenu n'est pas valide, alors, dans une étape 905, le crédit qui n'est plus valide est supprimé. Si aucun crédit d'authentification n'est obtenu, alors dans l'étape 906, la seconde passerelle 140B recherche des équipements mobiles dans le second réseau domestique 100-B qui connaissent le premier réseau domestique 100-A. Pour ce faire, dans une étape 907, la seconde passerelle 140B diffuse un message 421 (cf. figure 4) sur le second réseau domestique 100-B afin de connaître les équipements authentifiés par le premier réseau domestique 100-A. Ce message 421 peut être un message de type SSDP pour la recherche d'un service de décryptage particulier de l'invention supporté par des équipements UPnP (tels que 320A et 320B dans l'exemple).
Ce message 421 peut être émis régulièrement par la seconde passerelle 140B ou lors de l'arrivée de nouveaux équipements UPnP, afin que la seconde passerelle 140B puisse conserver une liste exacte des équipements UPnP authentifiés avec le premier réseau domestique 100-A vers lequel un tunnel sécurisé est ouvert. Ceci permet avantageusement l'envoi direct sans délai du message 422 (décrit en relation avec l'étape 907) de transmission du jeton d'authentification aux équipements répertoriés. Un exemple de tel message 421 de recherche d'un service de décryptage particulier de l'invention peut présenter la structure suivante dans laquelle le service particulier de l'invention est identifié par un service UPnP DigitalHomeSecurity : M-SEARCH * HTTP/1.1 MX: 10 ST: urn: schemas-upnp-org: service: DigitalHomeSecurity: 1 HOST: 239.255.255.250:1900 MAN: "ssdp:discover" Afin de limiter la liste des équipements susceptibles de répondre, il est possible d'ajouter un champ supplémentaire dans le message 421 afin de spécifier l'identifiant unique (UPnP UDN, Unique Device Name ) de la première passerelle 140A.
Un exemple de réponse au message 421 peut présenter la structure suivante : HTTP/1.1 200 0K ST: urn:schemas-upnp-org: service: DigitalHomeSecurity: 1.0 EXT: SERVER: Linux/2.0.33, UPnP/1.0, dev/0.1 USN: uuid:63616d5f646576000000-00-40-8c-44-6d-b9:: urn: schemas- upnp-org: device: MediaServer:1.0 CACHE-CONTROL: max-age = 3600 LOCATION: http://172.20.2.41/upnp/devices/rootdesc1.xml Content-Length:0 L'accès au champ LOCATION fournit des indications sur l'interface de commande pour envoyer le jeton d'authentification C afin de le signer (message 422). Selon une variante du présent mode de réalisation de l'invention, l'étape 906 peuvent être remplacée ou complétée par une détection sur les ports locaux de la seconde passerelle 140B d'un équipement tel que l'équipement mobile de type carte mémoire 320A. Cet équipement 320A est capable de stocker l'identifiant UDN de la première passerelle 140A afin que la seconde passerelle 140E sache qu'il est capable de s'authentifier.
Si au moins un équipement capable de s'authentifier avec le réseau domestique 100-A est trouvé, alors dans l'étape 907, la seconde passerelle 140B envoie un message 422 de transmission du jeton d'authentification (décrit en relation avec la figure 4) à ces équipements localisés sur le second réseau domestique 100-B.
Les équipements mobiles 310A, 320A déportés dans le second réseau domestique 100-B sont aptes (afin de fournir, à la seconde passerelle 140B, les résultats K1(C), K2(C) de la signature du jeton d'authentification à transmettre à la première passerelle dans le message de réponse 430), à signer le jeton C fourni grâce au certificats K1, K2 préalablement délivrés par la première passerelle du premier réseau domestique 100-A (tel qu'expliqué précédemment en relation avec la figure 3). Selon un premier mode de mise en oeuvre de l'invention, afin de signer le jeton d'authentification (et ainsi obtenir le résultat K1(C), K2(C) de la signature du jeton) chaque équipement mobile 310A, 320A peut par exemple se contenter de retourner le certificat qui lui est associé tel quel à la seconde passerelle. Ainsi, dans ce premier mode de réalisation, le résultat de la signature du jeton est le certificat. Dans un second mode de mise en oeuvre de l'invention, afin de signer le jeton d'authentification (et ainsi obtenir le résultat K1(C), K2(C) de la signature du jeton) chaque équipement mobile 310A, 320A peut par exemple crypter le certificat K1, K2 qui lui est associé avec une clé de cryptage obtenue à partir du jeton d'authentification C. Par exemple la clé de cryptage est le jeton lui-même. Ainsi, dans ce second mode de réalisation, le résultat de la signature du jeton est le certificat crypté (par exemple par le jeton). On notera que l'algorithme de cryptage est un algorithme, bien connu de l'homme de l'art, de type PKI (pour Public Key Infrastructure en anglais ou infrastructure à clés publiques aussi dénommé infrastructure de gestion de clés en français), dont le jeton C correspond à une clé publique et dont la clé secrète est conservée par la première passerelle 140A.
Dans un troisième mode de mise en oeuvre de l'invention, afin de signer le jeton d'authentification (et ainsi obtenir le résultat K1(C), K2(C) de la signature du jeton) chaque équipement mobile 310A, 320A peut par exemple, sur une instruction d'effectuer un calcul (l'instruction étant par exemple comprise dans le jeton d'authentification C) sur le certificat K1, K2 associé à l'équipement, le calcul dépendant du jeton d'authentification C, effectuer ce calcul sur le certificat K1, K2. Ainsi, dans ce troisième mode de réalisation, le résultat de la signature du jeton est le résultat de ce calcul sur le certificat. Puis, dans une étape 908, la seconde passerelle reçoit des messages de réponse, au message 422, provenant des équipements mobiles déportés 310A, 25 320A. Dans une étape 909, la seconde passerelle génère et transmet à la première passerelle 140A le message de réponse 430 à partir des différents résultats de calcul sur le jeton d'authentification C. Dans le cadre du scénario des figures 3 et 4, on s'est placé dans le cas où la 30 maison A est la maison principale de la famille et la maison B est leur maison de vacances. Bien entendu, le procédé d'accès s'applique également au cas où la maison B est une maison principale d'une autre famille, amie de la famille de la maison A et même à tout autre cas (par exemple le cas où la maison B est un hôtel dans lequel le ou les premier et/ou second utilisateur(s) sont logés).5

Claims (31)

REVENDICATIONS
1. Procédé d'accès, à au moins une ressource disponible dans un premier réseau de communication (100-A) comprenant une pluralité de premiers dispositifs, par au moins un second dispositif d'un second réseau de communication (100-B) comprenant une pluralité de seconds dispositifs, ledit procédé étant mis en oeuvre par un premier dispositif gestionnaire (140A) du premier réseau de communication (100-A), caractérisé en ce qu'au moins un (310A, 320A) desdits seconds dispositifs, dit second dispositif authentifié, comprend une information d'authentification (K1, K2) associée à un niveau (L1, L2) de droit d'accès à la ou lesdites ressource(s), et en ce qu'il comprend les étapes suivantes : réception d'un message déterminé (430) provenant du second réseau de communication, ledit message étant représentatif de la ou desdites information(s) d'authentification ; -création d'au moins un compte d'accès à la ou lesdites ressource(s), ledit compte étant associé à un niveau de droits d'accès global à la ou lesdites ressource(s), ledit niveau de droits d'accès global étant obtenu à partir de l'ensemble du ou desdits niveau(x) de droit d'accès associé(s) à ladite ou auxdites information(s) d'authentification.
2. Procédé d'accès selon la revendication 1, caractérisé en ce qu'il comprend les étapes suivantes : - réception d'une requête d'accès (410) à la ou lesdites ressource(s) provenant du second réseau de communication ; - transmission, au second réseau de communication, d'une requête d'authentification (420) du second réseau de communication, et en ce que le message déterminé (430) est un message de réponse (430) à ladite requête d'authentification.
3. Procédé d'accès selon l'une quelconque des revendications 1 et 2, caractérisé en ce qu'il comprend les étapes préalables suivantes : - pour chacun du ou desdits second(s) dispositif(s) authentifié(s), générationd'une information d'authentification (K1, K2), ladite génération tenant compte dudit niveau de droit d'accès (L1, L2) qui est associé audit second dispositif authentifié ; et - transmission à chacun du ou (lesdits second(s) dispositif(s) authentifié(s) (310A, 320A) de ladite information d'authentification (K1, K2) qui lui est associée.
4. Procédé d'accès selon la revendication 3, caractérisé en ce qu'il comprend également une étape de transmission, à chacun du ou desdits second(s) dispositif(s) authentifié(s), d'une information d'identification du premier réseau de communication.
5. Procédé d'accès selon l'une quelconque des revendications 2 à 4, caractérisé en ce que ledit message de réponse (430) à ladite requête d'authentification (420) comprend l'un au moins des éléments appartenant au groupe comprenant les éléments suivants : la ou lesdites information(s) d'authentification ; la ou lesdites information(s) d'authentification, cryptée(s) par le second réseau de communication avec une clé de cryptage obtenue à partir d'une information comprise dans la requête d'authentification (420) ; un ou des résultat(s) de ]l'application, par le second réseau de communication, d'un algorithme, dépendant d'une information comprise dans la requête d'authentification (420), sur chacune de la ou desdites information(s) d'authentification.
6. Procédé d'accès selon l'une quelconque des revendications 1 à 5, caractérisé en ce que le ou lesdits cornpte(s) est(sont) un(des) compte(s) d'accès 25 temporaire(s).
7. Procédé d'accès selon la revendication 6, caractérisé en ce qu'une durée de validité d'au moins un du ou desdits compte(s) d'accès dépend de l'un au moins des critères appartenant au groupe comprenant les critères suivants : expiration d'une temporisation ; 30 - présence, dans le second réseau de communication, de l'un au moins du oudesdits second(s) dispositif(s) authentifié(s).
8. Procédé d'accès selon l'une quelconque des revendications 1 à 7, caractérisé en ce que la ou lesdites ressources appartiennent au groupe comprenant les ressources suivantes : les contenus de données stockés sur au moins une unité de stockage du premier réseau de communication (100-A) ; les services hébergés au moins un dispositif d'hébergement du premier réseau de communication (100-A) ; les dispositifs du premier réseau de communication (100-A).
9. Procédé d'accès selon l'une quelconque des revendications 1 à 8, caractérisé en ce qu'il comprend une étape de transmission au second réseau de communication d'au moins une information représentative d'une authentification du second réseau de communication auprès du premier réseau de communication, ladite information étant destinée à être utilisée pour un prochain accès à au moins une de la ou desdites ressource(s) disponible(s) par au moins un second dispositif du second réseau de communication (100-B).
10. Procédé d'accès, à au moins une ressource disponible dans un premier réseau de communication (100-A) comprenant une pluralité de premiers dispositifs, par au moins un second dispositif d'un second réseau de communication (100-B) comprenant une pluralité de seconds dispositifs, ledit procédé étant mis en oeuvre par un second dispositif gestionnaire (140B) du second réseau de communication (100-B), caractérisé en ce qu'il comprend les étapes suivantes : réception d'une requête d'authentification (420) du second réseau de 25 communication, ladite requête d'authentification provenant du premier réseau de communication ; détermination si au moins un (310A, 320A) desdits seconds dispositifs, dit second(s) dispositif(s) authentifié(s), comprend une information d'authentification (K1, K2) associée à un niveau (L1, L2) de droit d'accès 30 à la ou lesdites ressource(s) ;dans le cas d'une détermination positive, transmission, au premier réseau de communication, d'une réponse (430) à ladite requête d'authentification, ladite réponse étant représentative de la ou desdites information(s) d'authentification.
11. Procédé d'accès selon la revendication 10, caractérisé en ce qu'il comprend une étape de transmission, au premier réseau de communication (100-A), d'une requête d'accès (410) à la ou lesdites ressource(s).
12. Procédé d'accès selon l'une quelconque des revendications 10 et 11, caractérisé en ce qu'il comprend une étape de transmission à chacun du ou desdits second(s) dispositif(s) authentifié(s) (310A, 320A) d'une information comprise dans la requête d'authentification (420).
13. Procédé d'accès selon l'une quelconque des revendications 10 à 12, caractérisé en ce qu'il comprend les étapes préalables suivantes : -obtention, auprès dudit ou desdits second(s) dispositif(s) authentifié(s), d'une information d'identification du premier réseau de communication ; et - association de ladite information d'identification audit ou auxdits second(s) dispositif(s) authentifié(s).
14. Procédé d'accès selon l'une quelconque des revendications 10 à 13, caractérisé en ce que ladite réponse à ladite requête d'authentification comprend l'un au moins des éléments appartenant au groupe comprenant les éléments suivants : la ou lesdites information(s) d'authentification ; la ou lesdites information(s) d'authentification, cryptée(s) avec une clé de cryptage obtenue à partir d'une information comprise dans la requête d'authentification (420) ; un ou des résultat(s) de l'application d'un algorithme, dépendant d'une information comprise dans la requête d'authentification (420), sur chacune de la ou desdites information(s) d'authentification.
15. Procédé d'accès selon l'une quelconque des revendications 10 à 14,caractérisé en ce que la ou lesdites ressources appartiennent au groupe comprenant les ressources suivantes : les contenus de données stockés sur au moins une unité de stockage du premier réseau de communication (100-A) ; les services hébergés au moins un dispositif d'hébergement du premier réseau de communication (100--A) ; - les dispositifs du premier réseau de communication (100-A).
16. Procédé d'accès selon l'une quelconque des revendications 10 à 15, caractérisé en ce qu'il comprend une étape de réception d'au moins une information représentative d'une authentification du second réseau de communication auprès du premier réseau de communication, ladite information provenant du premier réseau de communication, ladite information étant destinée à être utilisée pour un prochain accès à au moins une de la ou desdites ressource(s) disponible(s) par au moins un second dispositif du second réseau de communication (100-B).
17. Produit programme d'ordinateur, téléchargeable depuis un réseau de communication et/ou enregistré sur un support lisible par ordinateur et/ou exécutable par un processeur, caractérisé en ce qu'il comprend des instructions de code de programme pour la mise en oeuvre du procédé d'accès selon l'une au moins des revendications 1 à 9 et/ou du procédé d'accès selon l'une au moins des revendications 10 à 16.
18. Moyen de stockage, éventuellement totalement ou partiellement amovible, lisible par un ordinateur, stockant un jeu d'instructions exécutables par ledit ordinateur pour mettre en oeuvre le procédé d'accès selon l'une au moins des revendications 1 à 9 et/ou le procédé d'accès selon l'une au moins des revendications 10 à 16.
19. Premier dispositif gestionnaire (140A) d'un premier réseau de communication (100-A) comprenant une pluralité de premiers dispositifs, ledit premier dispositif gestionnaire comprenant des moyens de gestion de l'accès, à au moins une ressource disponible dans le premier réseau de communication (100-A), par au moins un second dispositif d'un second réseau de communication (100-B) comprenant une pluralité de seconds dispositifs, caractérisé en ce qu'au moins un (310A, 320A) desdits seconds dispositifs, dit second dispositif authentifié, comprend une information d'authentification (Kl, 1(2) associée à un niveau (L1, L2) de droit d'accès à la ou lesdites ressource(s), et en ce que les moyens de gestion de l'accès comprennent : des moyens de réception d'un message déterminé (430) provenant du second réseau de communication, ledit message étant représentatif de la ou desdites information(s) d'authentification ; - des moyens de création d'au moins un compte d'accès à la ou lesdites ressource(s), ledit compte étant associé à un niveau de droits d'accès global à la ou lesdites ressource(s), ledit niveau de droits d'accès global étant obtenu à partir de l'ensemble du ou desdits niveau(x) de droit d'accès associé(s) à ladite ou auxdites information(s) d'authentification.
20. Premier dispositif gestionnaire selon la revendication 19, caractérisé en ce que les moyens de gestion de l'accès comprennent : - des moyens de réception d'une requête d'accès (410) à la ou lesdites ressource(s) provenant du second réseau de communication ; des moyens de transmission, au second réseau de communication, d'une requête d'authentification (420) du second réseau de communication, et en ce que le message déterminé (430) est un message de réponse (430) à ladite requête d'authentification.
21. Premier dispositif gestionnaire selon l'une quelconque des revendications 19 et 20, caractérisé en ce que les moyens de gestion de l'accès comprennent : - pour chacun du ou desdits second(s) dispositif(s) authentifié(s), des moyens de génération d'une information d'authentification (Kl, K2), ladite génération tenant compte dudit niveau de droit d'accès (L1, L2) qui est associé audit second dispositif authentifié ; et - des moyens de transmission à chacun du ou desdits second(s) dispositif(s) authentifié(s) (310A, 320A) de ladite information d'authentification (Kl,K2) qui lui est associée.
22. Premier dispositif gestionnaire selon la revendication 21, caractérisé en ce que les moyens de gestion de l'accès comprennent également des moyens de transmission, à chacun du ou desdits second(s) dispositif(s) authentifié(s), d'une information d'identification du premier réseau de communication.
23. Premier dispositif gestionnaire selon l'une quelconque des revendications 20 à 22, caractérisé en ce que ledit message de réponse (430) à ladite requête d'authentification (420) comprend l'un au moins des éléments appartenant au groupe comprenant les éléments suivants : la ou lesdites information(s) d'authentification ; la ou lesdites information(s) d'authentification, cryptée(s) par le second réseau de communication avec une clé de cryptage obtenue à partir d'une information comprise dans la requête d'authentification (420) ; un ou des résultat(s) de l'application, par le second réseau de communication, d'un algorithme, dépendant d'une information comprise dans la requête d'authentification (420), sur chacune de la ou desdites information(s) d'authentification.
24. Premier dispositif gestionnaire selon l'une quelconque des revendications 19 à 23, caractérisé en ce que le ou lesdits compte(s) est(sont) un(des) compte(s) d'accès temporaire(s).
25. Premier dispositif gestionnaire selon la revendication 24, caractérisé en ce qu'une durée de validité d'au moins un du ou desdits compte(s) d'accès dépend de l'un au moins des critères appartenant au groupe comprenant les critères suivants : - expiration d'une temporisation ; -présence, dans le second réseau de communication, de l'un au moins du ou desdits second(s) dispositif(s) authentifié(s).
26. Premier dispositif gestionnaire selon l'une quelconque des revendications 19 à 25, caractérisé en ce que la ou lesdites ressources appartiennent au groupe comprenant les ressources suivantes : - les contenus de données stockés sur au moins une unité de stockage dupremier réseau de communication (100-A) ; les services hébergés au moins un dispositif d'hébergement du premier réseau de communication (100-A) ; les dispositifs du premier réseau de communication (100-A).
27. Premier dispositif gestionnaire selon l'une quelconque des revendications 19 à 26, caractérisé en ce que les moyens de gestion de l'accès comprennent des moyens de transmission au second réseau de communication d'au moins une information représentative d'une authentification du second réseau de communication auprès du premier réseau de communication, ladite information étant destinée à être utilisée pour un prochain accès à au moins une de la ou desdites ressource(s) disponible(s) par au moins un second dispositif du second réseau de communication (100-B).
28. Second dispositif gestionnaire (140B) d'un second réseau de communication (100-B) comprenant une pluralité de seconds dispositifs, ledit second dispositif gestionnaire comprenant des moyens de gestion de l'accès à au moins une ressource disponible dans un premier réseau de communication (100-A) comprenant une pluralité de premiers dispositifs, par au moins un second dispositif du second réseau de communication (100-B), caractérisé en ce que les moyens de gestion de l'accès comprennent : - des moyens de réception d'une requête d'authentification (420) du second réseau de communication, ladite requête d'authentification provenant du premier réseau de communication ; des moyens de détermination si au moins un (310A, 320A) desdits seconds dispositifs, dit second(s) dispositif(s) authentifié(s), comprend une information d'authentification (K1, K2) associée à un niveau (L1, L2) de droit d'accès à la ou lesdites ressource(s) ; des moyens de transmission, au premier réseau de communication, d'une réponse (430) à ladite requête d'authentification, ladite réponse étant représentative de la ou desdites information(s) d'authentification, lesdits moyens de transmission, au premier réseau de communication, d'uneréponse (430) étant activés dans le cas d'une détermination positive.
29. Second dispositif gestionnaire selon la revendication 28, caractérisé en ce que lesdits moyens de gestion de l'accès comprennent des moyens de transmission, au premier réseau de communication (100-A), d'une requête d'accès (410) à la ou lesdites ressource(s).
30. Second dispositif gestionnaire selon l'une quelconque des revendications 28 et 29, caractérisé en ce que lesdits moyens de gestion de l'accès comprennent des moyens de transmission à chacun du ou desdits second(s) dispositif(s) authentifié(s) (310A, 320A) d'une information comprise dans la requête d'authentification (420).
31. Second dispositif gestionnaire selon l'une quelconque des revendications 28 à 30, caractérisé en ce que lesdits moyens de gestion de l'accès comprennent : - des moyens d'obtention, auprès dudit ou desdits second(s) dispositif(s) authentifié(s), d'une information d'identification du premier réseau de communication ; et - des moyens d'association de ladite information d'identification audit ou auxdits second(s) dispositif(s) authentifié(s). 34. Second dispositif gestionnaire selon l'une quelconque des revendications 28 à 31, caractérisé en ce que ladite réponse à ladite requête d'authentification comprend l'un au moins des éléments appartenant au groupe comprenant les éléments suivants : la ou lesdites information(s) d'authentification ; la ou lesdites information(s) d'authentification, cryptée(s) avec une clé de cryptage obtenue à partir d'une information comprise dans la requête d'authentification (420) ; un ou des résultat(s) de l'application d'un algorithme, dépendant d'une information comprise dans la requête d'authentification (420), sur chacune de la ou desdites information(s) d'authentification. 35. Second dispositif gestionnaire selon l'une quelconque des revendications 28 à 32, caractérisé en ce que la ou lesdites ressources appartiennent au groupecomprenant les ressources suivantes : les contenus de données stockés sur au moins une unité de stockage du premier réseau de communication (100-A) ; les services hébergés au moins un dispositif d'hébergement du premier réseau de communication (100-A) ; - les dispositifs du premier réseau de communication (100-A). 34. Second dispositif gestionnaire selon l'une quelconque des revendications 28 à 33, caractérisé en ce que les moyens de gestion de l'accès comprennent des moyens de réception d'au moins une information représentative d'une authentification du second réseau de communication auprès du premier réseau de communication, ladite information provenant du premier réseau de communication, ladite information étant destinée à être utilisée pour un prochain accès à au moins une de la ou desdites ressource(s) disponible(s) par au moins un second dispositif du second réseau de communication (100-B).15
FR0701889A 2007-03-15 2007-03-15 Procede d'acces a distance a un reseau,produit programme d'ordinateur,moyen de stockage et dispositifs correspondants Expired - Fee Related FR2913841B1 (fr)

Priority Applications (1)

Application Number Priority Date Filing Date Title
FR0701889A FR2913841B1 (fr) 2007-03-15 2007-03-15 Procede d'acces a distance a un reseau,produit programme d'ordinateur,moyen de stockage et dispositifs correspondants

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
FR0701889A FR2913841B1 (fr) 2007-03-15 2007-03-15 Procede d'acces a distance a un reseau,produit programme d'ordinateur,moyen de stockage et dispositifs correspondants

Publications (2)

Publication Number Publication Date
FR2913841A1 true FR2913841A1 (fr) 2008-09-19
FR2913841B1 FR2913841B1 (fr) 2009-09-04

Family

ID=38834496

Family Applications (1)

Application Number Title Priority Date Filing Date
FR0701889A Expired - Fee Related FR2913841B1 (fr) 2007-03-15 2007-03-15 Procede d'acces a distance a un reseau,produit programme d'ordinateur,moyen de stockage et dispositifs correspondants

Country Status (1)

Country Link
FR (1) FR2913841B1 (fr)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP2804346A1 (fr) * 2012-02-27 2014-11-19 Huawei Technologies Co., Ltd. Procédé et système de découverte automatique d'un dispositif dlna
CN114036480A (zh) * 2022-01-07 2022-02-11 北京悦游信息技术有限公司 一种私有应用的安全访问控制方法、系统和可读存储介质

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20020046349A1 (en) * 2000-08-31 2002-04-18 Kabushiki Kaisha Toshiba Communication system using home gateway and access server for preventing attacks to home network
EP1478128A1 (fr) * 2003-04-16 2004-11-17 Samsung Electronics Co., Ltd. Appareil et procédé pour connecter des réseaux séparés
EP1523133A1 (fr) * 2003-05-12 2005-04-13 Sony Corporation Systeme d'authentification interdispositif, et procede, dispositif de communications, et programme informatique

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20020046349A1 (en) * 2000-08-31 2002-04-18 Kabushiki Kaisha Toshiba Communication system using home gateway and access server for preventing attacks to home network
EP1478128A1 (fr) * 2003-04-16 2004-11-17 Samsung Electronics Co., Ltd. Appareil et procédé pour connecter des réseaux séparés
EP1523133A1 (fr) * 2003-05-12 2005-04-13 Sony Corporation Systeme d'authentification interdispositif, et procede, dispositif de communications, et programme informatique

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
"AUTHENTICATION AND AUTHORIZATION IN UNIVERSAL PLUG AND PLAY HOME NETWORKS", INTERNET CITATION, XP007900020, Retrieved from the Internet <URL:www.tml.tkk.fi/Studies/T-110.557/2002/papers/mauri_kangas.pdf> *
HYUNRYONG LEE ET AL: "A Proxy-Based Distributed Approach for Reliable Content Sharing Among UPnP-Enabled Home Networks", ADVANCES IN MULITMEDIA INFORMATION PROCESSING - PCM 2005 LECTURE NOTES IN COMPUTER SCIENCE;;LNCS, SPRINGER-VERLAG, BE, vol. 3767, 2005, pages 443 - 454, XP019023982, ISBN: 3-540-30027-9 *

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP2804346A1 (fr) * 2012-02-27 2014-11-19 Huawei Technologies Co., Ltd. Procédé et système de découverte automatique d'un dispositif dlna
EP2804346A4 (fr) * 2012-02-27 2015-01-21 Huawei Tech Co Ltd Procédé et système de découverte automatique d'un dispositif dlna
CN114036480A (zh) * 2022-01-07 2022-02-11 北京悦游信息技术有限公司 一种私有应用的安全访问控制方法、系统和可读存储介质
CN114036480B (zh) * 2022-01-07 2022-04-12 北京悦游信息技术有限公司 一种私有应用的安全访问控制方法、系统和可读存储介质

Also Published As

Publication number Publication date
FR2913841B1 (fr) 2009-09-04

Similar Documents

Publication Publication Date Title
FR2923969A1 (fr) Procede de gestion de trames dans un reseau global de communication, produit programme d&#39;ordinateur, moyen de stockage et tete de tunnel correspondants
BRPI0808808A2 (pt) Técnicas de acesso remoto de dados para dispositivos portáteis
WO2004105415A2 (fr) Systeme sans fil ayant une interface utilisateur multimodale configuree dynamiquement sur des preferences utilisateurs
FR2872983A1 (fr) Systeme de pare-feu protegeant une communaute d&#39;appareils, appareil participant au systeme et methode de mise a jour des regles de pare-feu au sein du systeme
WO2012131275A2 (fr) Mécanisme de redirection entrante sur un proxy inverse
EP2543165B1 (fr) Pilotage d&#39;un dispositif d&#39;un reseau distant a partir d&#39;un reseau local
CA3100170C (fr) Procede de securisation de flux de donnees entre un equipement de communication et un terminal distant, equipement mettant en oeuvre le procede
FR2913841A1 (fr) Procede d&#39;acces a distance a un reseau,produit programme d&#39;ordinateur,moyen de stockage et dispositifs correspondants
EP3219077B1 (fr) Procédé et système de gestion d&#39;identités d&#39;utilisateurs destiné à être mis en oeuvre lors d&#39;une communication entre deux navigateurs web
CA3153796A1 (fr) Procede de connexion d&#39;un noeud de communication, et noeud de communication correspondant
EP4256830A1 (fr) Procédé de gestion d&#39;une demande d&#39;accès à un réseau de communication local, procédé de traitement d&#39;une demande d&#39;accès à un réseau de communication local, procédé de demande d&#39;accès à un réseau de communication local, dispositifs, plateforme de gestion, passerelle, terminal utilisateur, système et programmes d&#39;ordinateur correspondants
EP2504957B1 (fr) Acces a un contenu reference par un serveur de contenu
WO2012010803A1 (fr) Mise a disposition d&#39;informations par un terminal mobile dans un reseau
EP1180872A1 (fr) Communication sécurisée dans un équipement d&#39;automatisme
FR2906097A1 (fr) Procedes d&#39;echange de donnees securises, produit programme d&#39;ordinateur, moyen de stockage et dispositifs correspondants.
EP3424184B1 (fr) Procédé d&#39;initialisation et de sécurisation de communication bidirectionnelle d&#39;un appareil avec un réseau domotique
EP3228083B1 (fr) Procédé de gestion du droit d&#39;accès a un contenu numérique
FR3093882A1 (fr) Procédé de configuration d’un objet communicant dans un réseau de communication, terminal utilisateur, procédé de connexion d’un objet communicant au réseau, équipement d’accès et programmes d’ordinateur correspondants.
WO2024156613A1 (fr) Procédé de révocation d&#39;un jeton de certification permettant d&#39;authentifier l&#39;établissement d&#39;une connexion entre deux équipements de communication, dispositifs et programmes d&#39;ordinateur correspondants
WO2022214768A1 (fr) Méthode de contrôle d&#39;accès à un bien ou service distribué par un réseau de communication de données
EP2400726A1 (fr) Procédé d&#39;identification d&#39;un réseau local identifié par une adresse IP publique
WO2017060624A1 (fr) Moyens de gestion d&#39;accès à des données
FR2999047A1 (fr) Communication entre un reseau domestique et une plateforme de services externe
FR2955727A1 (fr) Procede securise d&#39;acces a un reseau et reseau ainsi protege
EP2418821A1 (fr) Procédé de commande d&#39;une entité d&#39;un premier réseau à partir d&#39;un deuxième réseau

Legal Events

Date Code Title Description
ST Notification of lapse

Effective date: 20141128