FR3139259A1 - Method of enrolling a device with a server - Google Patents
Method of enrolling a device with a server Download PDFInfo
- Publication number
- FR3139259A1 FR3139259A1 FR2208472A FR2208472A FR3139259A1 FR 3139259 A1 FR3139259 A1 FR 3139259A1 FR 2208472 A FR2208472 A FR 2208472A FR 2208472 A FR2208472 A FR 2208472A FR 3139259 A1 FR3139259 A1 FR 3139259A1
- Authority
- FR
- France
- Prior art keywords
- communication channel
- server
- digital certificate
- request
- administration terminal
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
- H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
- H04L63/0281—Proxies
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
- H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
- H04L63/0442—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload wherein the sending and receiving network entities apply asymmetric encryption, i.e. different keys for encryption and decryption
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
- H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements
- H04L9/3268—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements using certificate validation, registration, distribution or revocation, e.g. certificate revocation list [CRL]
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Computer Hardware Design (AREA)
- Computing Systems (AREA)
- General Engineering & Computer Science (AREA)
- Mobile Radio Communication Systems (AREA)
Abstract
Procédé d’enrôlement auprès d’un serveur d’un dispositif destiné à communiquer dans un réseau, le procédé comprenant les étapes suivantes mises en œuvre par un terminal d’administration : récupération via un premier canal de communication d’une demande de certificat numérique (D) transmise par le dispositif, et étant associée à une première clé privée (KPR) du dispositif pour sécuriser des communications dans le réseau ; transmission (118) de la demande à un serveur via un deuxième canal de communication, le serveur étant configuré pour signer la demande de certificat numérique (D) avec une deuxième clé privée associée à ne clé publique (CA) du serveur, de sorte à générer un certificat numérique (S) ; récupération (126) du certificat numérique (S) via le deuxième canal ; et transmission (128) du certificat numérique (S) au dispositif via le premier canal. Figure pour l’abrégé : figure 3 Method of enrolling with a server a device intended to communicate in a network, the method comprising the following steps implemented by an administration terminal: recovery via a first communication channel of a request for a digital certificate (D) transmitted by the device, and being associated with a first private key (KPR) of the device to secure communications in the network; transmission (118) of the request to a server via a second communication channel, the server being configured to sign the digital certificate request (D) with a second private key associated with a public key (CA) of the server, so as to generate a digital certificate (S); retrieval (126) of the digital certificate (S) via the second channel; and transmitting (128) the digital certificate (S) to the device via the first channel. Figure for abstract: figure 3
Description
La présente invention concerne un procédé d’enrôlement d’un dispositif auprès d’un serveur.The present invention relates to a method of enrolling a device with a server.
L’évolution vers des réseaux électriques « plus intelligents », dits « Smart Grids », constitue un pivot clé de la transition énergétique vers les systèmes électriques de demain. La mise en œuvre de ces Smart Grids passe par la numérisation des systèmes et l’intégration de nouvelles capacités de communication et mène à la convergence entre les technologies de l’information et les technologies dites « d’exploitation » (IT: Information Technology / OT: Operational Technology).The evolution towards “smarter” electricity networks, known as “Smart Grids”, is a key pivot in the energy transition towards the electricity systems of tomorrow. The implementation of these Smart Grids involves the digitalization of systems and the integration of new communication capabilities and leads to the convergence between information technologies and so-called “operational” technologies (IT: Information Technology / OT: Operational Technology).
Cette convergence apporte de nouvelles vulnérabilités sur ces systèmes industriels, qui mêlent à présent des dimensions cyber et physique, comme c’est le cas notamment pour les réseaux d’énergies. Les cas d’usages et les vecteurs d’attaque y sont très nombreux et diversifiés. Cette problématique d’une vulnérabilité croissante des systèmes industriels, à mesure que la numérisation des équipements progresse, concerne tous les domaines « d’utilisation », avec différents niveaux de criticité.This convergence brings new vulnerabilities to these industrial systems, which now combine cyber and physical dimensions, as is the case for energy networks in particular. The use cases and attack vectors are very numerous and diverse. This problem of increasing vulnerability of industrial systems, as the digitalization of equipment progresses, concerns all areas of "use", with different levels of criticality.
Par exemple, les Smart Grids interconnectent au système informatique du gestionnaire du réseau, un nombre croissant de systèmes d’information associés aux différents acteurs tiers et pour lesquels il n’est pas possible de maitriser ni les niveaux, ni les pratiques de sécurité. Par exemple, le système d’un producteur éolien avec celui du gestionnaire de réseau de distribution. Il devient donc de plus en plus important pour les gestionnaires de réseau de protéger leur système d’information.For example, Smart Grids interconnect to the network manager's IT system a growing number of information systems associated with different third-party actors and for which it is not possible to control either the levels or the security practices. For example, the system of a wind producer with that of the distribution network manager. It is therefore becoming increasingly important for network managers to protect their information system.
Un problème particulier qui se pose est celui de déterminer comment une confiance peut être accordée à un dispositif faisant partie d’un réseau tel qu’une Smart Grid, de sorte que ce dispositif puisse avoir le droit d’établir des communications sécurisées au sein d’un tel réseau.A particular problem that arises is how trust can be granted to a device that is part of a network such as a Smart Grid, so that that device can be allowed to establish secure communications within such a network.
Un des buts de l’invention est de répondre au problème exposé ci-dessus.One of the aims of the invention is to respond to the problem set out above.
Il est à cet effet proposé, selon un premier aspect, un procédé d’enrôlement auprès d’un serveur d’un dispositif destiné à communiquer dans un réseau, le procédé comprenant les étapes suivantes mises en œuvre par un terminal d’administration :
- établissement d’un premier canal de communication avec le dispositif,
- récupération via le premier canal de communication d’une demande de certificat numérique générée puis transmise par le dispositif, la demande de certificat numérique étant associée à une première clé privée du dispositif destinée à sécuriser des communications du dispositif dans le réseau,
- établissement d’un deuxième canal de communication avec le serveur,
- transmission de la demande de certificat numérique au serveur via le deuxième canal de communication, le serveur étant configuré pour signer la demande de certification numérique avec une deuxième clé privée associée à une clé publique du serveur, de sorte à générer un certificat numérique,
- récupération du certificat numérique via le deuxième canal de communication,
- transmission du certificat numérique au dispositif via le premier canal de communication.For this purpose, according to a first aspect, a method is proposed for enrolling a device intended to communicate in a network with a server, the method comprising the following steps implemented by an administration terminal:
- establishment of a first communication channel with the device,
- retrieving via the first communication channel a digital certificate request generated then transmitted by the device, the digital certificate request being associated with a first private key of the device intended to secure communications of the device in the network,
- establishment of a second communication channel with the server,
- transmitting the digital certificate request to the server via the second communication channel, the server being configured to sign the digital certification request with a second private key associated with a public key of the server, so as to generate a digital certificate,
- recovery of the digital certificate via the second communication channel,
- transmission of the digital certificate to the device via the first communication channel.
Le procédé selon le premier aspect peut également comprendre les caractéristiques optionnelles suivantes, prises seules ou en combinaison à chaque fois que cela est possible.The method according to the first aspect may also comprise the following optional features, taken alone or in combination whenever possible.
De préférence, la demande de certificat numérique est chiffrée par le dispositif avec la clé publique du serveur, est transmise au serveur sous forme chiffrée, le serveur étant configuré pour déchiffrer la demande de certificat numérique sous forme chiffrée à avec la deuxième clé privée avant de signer la demande de certificat numérique déchiffrée.Preferably, the digital certificate request is encrypted by the device with the server's public key, transmitted to the server in encrypted form, and the server is configured to decrypt the encrypted digital certificate request with the second private key before signing the decrypted digital certificate request.
De préférence, le procédé selon le premier aspect comprend par ailleurs les étapes suivantes :
- génération d’un code par le terminal d’administration, le code étant associé à la demande de certificat numérique,
- transmission du code au serveur via le deuxième canal de communication,
- transmission du code à un administrateur du serveur par un troisième canal de communication différent du deuxième canal de communication.Preferably, the method according to the first aspect further comprises the following steps:
- generation of a code by the administration terminal, the code being associated with the digital certificate request,
- transmission of the code to the server via the second communication channel,
- transmission of the code to a server administrator through a third communication channel different from the second communication channel.
De préférence, le troisième canal de communication est établi entre un premier équipement distinct du terminal d’administration et un deuxième équipement détenu par l’administrateur, le troisième canal de communication étant par exemple un canal de communication téléphonique.Preferably, the third communication channel is established between a first piece of equipment distinct from the administration terminal and a second piece of equipment held by the administrator, the third communication channel being for example a telephone communication channel.
De préférence, le procédé selon le premier aspect comprend les étapes suivantes :
- connexion du terminal d’administration au dispositif au moyen d’un câble, de sorte que le premier canal de communication passe par le câble,
- déconnexion du câble après la transmission du certificat numérique au dispositif via le premier canal de communication.Preferably, the method according to the first aspect comprises the following steps:
- connecting the administration terminal to the device by means of a cable, so that the first communication channel passes through the cable,
- disconnection of the cable after transmission of the digital certificate to the device via the first communication channel.
De préférence, l’établissement du deuxième canal de communication comprend l’établissement d’un tunnel sécurisé, préférentiellement avec le protocole IPsec.Preferably, establishing the second communication channel comprises establishing a secure tunnel, preferably with the IPsec protocol.
De préférence, le deuxième canal de communication passe par le dispositif.Preferably, the second communication channel goes through the device.
Il est également proposé, selon un deuxième aspect, une mémoire lisible par ordinateur stockant des instructions exécutables par l’ordinateur pour l’exécution des étapes du procédé selon le premier aspect.Also provided, according to a second aspect, is a computer-readable memory storing computer-executable instructions for carrying out the steps of the method according to the first aspect.
Il est également proposé, selon un troisième aspect, un terminal d’administration comprenant :
- au moins une interface de communication pour établir un premier canal de communication avec un dispositif, et pour établir un deuxième canal de communication avec un serveur,
- une unité de traitement, dans lequel l’unité de traitement est configurée pour :
- récupérer via le premier canal de communication une demande de certificat numérique générée puis transmise par le dispositif, la demande de certificat numérique étant associée à une première clé privée du dispositif destinée à sécuriser des communications du dispositif dans le réseau,
- transmettre la demande de certificat numérique au serveur via le deuxième canal de communication, le serveur étant configuré pour signer la demande de certification numérique avec une deuxième clé privée associée à une clé publique du serveur, de sorte à générer un certificat numérique,
- récupérer le certificat numérique via le deuxième canal de communication,
- transmettre le certificat numérique au dispositif via le premier canal de communication.There is also provided, according to a third aspect, an administration terminal comprising:
- at least one communication interface for establishing a first communication channel with a device, and for establishing a second communication channel with a server,
- a processing unit, wherein the processing unit is configured to:
- retrieve via the first communication channel a digital certificate request generated then transmitted by the device, the digital certificate request being associated with a first private key of the device intended to secure communications of the device in the network,
- transmitting the digital certificate request to the server via the second communication channel, the server being configured to sign the digital certification request with a second private key associated with a public key of the server, so as to generate a digital certificate,
- retrieve the digital certificate via the second communication channel,
- transmit the digital certificate to the device via the first communication channel.
Il est également proposé, selon un quatrième aspect, un système comprenant :
- un terminal d’administration selon le troisième aspect,
- un serveur configuré pour signer la demande de certification numérique avec la deuxième clé privée associée à la clé publique du serveur, de sorte à générer le certificat numérique.There is also proposed, according to a fourth aspect, a system comprising:
- an administration terminal according to the third aspect,
- a server configured to sign the digital certification request with the second private key associated with the server's public key, so as to generate the digital certificate.
D’autres caractéristiques, buts et avantages de l’invention ressortiront de la description qui suit, qui est purement illustrative et non limitative, et qui doit être lue en regard des dessins annexés sur lesquels :Other characteristics, aims and advantages of the invention will emerge from the description which follows, which is purely illustrative and non-limiting, and which must be read in conjunction with the appended drawings in which:
La
La
Sur l’ensemble des figures, les éléments similaires portent des références identiques.In all figures, similar elements bear identical references.
En référence auxfigures 1 et 2, un réseau de communication, par exemple un réseau électrique de type « Smart Grid » tel qu’évoqué en introduction, comprend un dispositif 1 et un serveur 2.With reference to Figures 1 and 2 , a communication network, for example an electrical network of the “Smart Grid” type as mentioned in the introduction, comprises a device 1 and a server 2.
Le dispositif 1 comprend au moins une interface de communication pour communiquer avec d’autres équipements du réseau (en particulier le serveur) et pour communiquer avec un terminal d’administration.The device 1 comprises at least one communication interface for communicating with other equipment in the network (in particular the server) and for communicating with an administration terminal.
Dans le mode de réalisation représenté sur la
La première interface de communication 10 est quelconque. Elle peut être de type filaire (Ethernet) ou radio sans fil (Wi-Fi, cellulaire, etc.).The first communication interface 10 is arbitrary. It can be wired (Ethernet) or wireless radio (Wi-Fi, cellular, etc.).
La deuxième interface de communication 11 comprend un port physique constituant un point de connexion physique pour un câble de communication, de sorte à permettre d’établir une liaison filaire entre la passerelle de communication et un terminal d’administration.The second communication interface 11 comprises a physical port constituting a physical connection point for a communication cable, so as to enable a wired connection to be established between the communication gateway and an administration terminal.
Le dispositif 1 comprend par ailleurs une unité de traitement de données 12. L’unité de traitement de données 12 comprend au moins un processeur configuré pour commander la mise en œuvre d’étapes qui seront détaillées dans la suite.The device 1 further comprises a data processing unit 12. The data processing unit 12 comprises at least one processor configured to control the implementation of steps which will be detailed below.
Le dispositif 1 comprend par ailleurs une mémoire 14. Cette mémoire 14, lisible par l’unité de traitement de données, stocke des instructions exécutables par cette unité pour l’exécution des étapes précitées. La mémoire 14 est par ailleurs adaptée pour stocker des données qui seront discutées ci-après.The device 1 further comprises a memory 14. This memory 14, readable by the data processing unit, stores instructions executable by this unit for the execution of the aforementioned steps. The memory 14 is further adapted to store data which will be discussed below.
Le dispositif 1 est par exemple une passerelle de communication 1. Une fonction assurée par la passerelle de communication 1 est par exemple de relayer des données émanant d’un premier équipement du réseau vers un deuxième équipement du réseau. Dans ce qui suit, on supposera que le dispositif 1 est une telle passerelle, étant entendu qu’il ne s’agit que d’un mode de réalisation non limitatif.The device 1 is for example a communication gateway 1. A function provided by the communication gateway 1 is for example to relay data emanating from a first device of the network to a second device of the network. In the following, it will be assumed that the device 1 is such a gateway, it being understood that this is only a non-limiting embodiment.
Le serveur 2 comprend une interface de communication 20 pour communiquer avec d’autres équipements du réseau (en particulier la passerelle de communication 1).The server 2 comprises a communication interface 20 for communicating with other network equipment (in particular the communication gateway 1).
Le serveur 2 comprend par ailleurs une unité de traitement de données 22. L’unité de traitement de données 22 comprend au moins un processeur configuré pour commander la mise en œuvre d’étapes qui seront détaillées dans la suite.The server 2 further comprises a data processing unit 22. The data processing unit 22 comprises at least one processor configured to control the implementation of steps which will be detailed below.
Le serveur 2 comprend par ailleurs une mémoire 24. Cette mémoire 24, lisible par l’unité de traitement de données, stocke des instructions exécutables par cette unité pour l’exécution des étapes précitées. La mémoire 24 est par ailleurs adaptée pour stocker des données qui seront discutées ci-après.The server 2 further comprises a memory 24. This memory 24, readable by the data processing unit, stores instructions executable by this unit for the execution of the aforementioned steps. The memory 24 is further adapted to store data which will be discussed below.
Le serveur 2 comprend par ailleurs une interface homme-machine 26, permettant à un administrateur d’interagir avec le serveur. L’interface homme-machine 26 comprend typiquement un périphérique de sortie tel qu’un écran d’affichage, permettant de fournir des informations à l’administrateur, et un périphérique d’entrée, tel qu’un clavier, permettant à cet administrateur de commander le fonctionnement du serveur et/ou de saisir des données.The server 2 further comprises a human-machine interface 26, allowing an administrator to interact with the server. The human-machine interface 26 typically comprises an output device such as a display screen, making it possible to provide information to the administrator, and an input device, such as a keyboard, allowing this administrator to control the operation of the server and/or to enter data.
Une fonction du serveur 2 est de participer à l’enrôlement de la passerelle de communication 1 au sein du réseau, c’est-à-dire déclarer cette passerelle comme un équipement autorisé à communiquer avec d’autres équipements au sein du réseau.A function of server 2 is to participate in the enrollment of communication gateway 1 within the network, that is to say to declare this gateway as a device authorized to communicate with other devices within the network.
On a également représenté sur les figures 1 et 2 un terminal d’administration 3.Figures 1 and 2 also show an administration terminal 3.
Le terminal d’administration 3 comprend au moins une interface de communication pour communiquer avec la passerelle et avec le serveur.The administration terminal 3 comprises at least one communication interface for communicating with the gateway and with the server.
Dans le mode de réalisation représenté sur la
L’interface de communication 30 comprend un port physique constituant un point de connexion physique pour un câble de communication, de sorte à permettre d’établir une liaison filaire entre le port physique (interface de communication 11) de la passerelle de communication et le port physique du terminal d’administration (interface de communication 30).The communication interface 30 comprises a physical port constituting a physical connection point for a communication cable, so as to enable a wired connection to be established between the physical port (communication interface 11) of the communication gateway and the physical port of the administration terminal (communication interface 30).
Le terminal d’administration 3 comprend par ailleurs une unité de traitement de données 32. L’unité de traitement de données 32 comprend au moins un processeur configuré pour commander la mise en œuvre d’étapes qui seront détaillées dans la suite.The administration terminal 3 further comprises a data processing unit 32. The data processing unit 32 comprises at least one processor configured to control the implementation of steps which will be detailed below.
Le terminal d’administration 3 comprend par ailleurs une mémoire 34. Cette mémoire 34, lisible par l’unité de traitement de données, stocke des instructions exécutables par cette unité pour l’exécution des étapes précitées.The administration terminal 3 also comprises a memory 34. This memory 34, readable by the data processing unit, stores instructions executable by this unit for the execution of the aforementioned steps.
Le terminal d’administration 3 comprend par ailleurs une interface homme-machine 36, permettant à un utilisateur d’interagir avec le terminal 3. L’interface homme-machine 36 comprend typiquement un périphérique de sortie tel qu’un écran d’affichage, permettant de fournir des informations à l’utilisateur, et un périphérique d’entrée, tel qu’un clavier, permettant à cet utilisateur de commander le fonctionnement du serveur et/ou saisir des données.The administration terminal 3 further comprises a human-machine interface 36, allowing a user to interact with the terminal 3. The human-machine interface 36 typically comprises an output device such as a display screen, making it possible to provide information to the user, and an input device, such as a keyboard, allowing this user to control the operation of the server and/or enter data.
Une fonction assurée par le terminal d’administration 3 est de participer à un procédé d’enrôlement de la passerelle de communication 1 auprès du serveur 2.A function performed by the administration terminal 3 is to participate in a process of enrolling the communication gateway 1 with the server 2.
Le terminal d’administration 3 se présente typiquement sous la forme d’un équipement portatif tel qu’un ordinateur portable, une tablette ou même un smartphone.The administration terminal 3 typically takes the form of portable equipment such as a laptop, a tablet or even a smartphone.
En référence à la
Le terminal d’administration 3 établit un premier canal de communication avec la passerelle de communication 1 (étape 100).The administration terminal 3 establishes a first communication channel with the communication gateway 1 (step 100).
Dans un mode de réalisation, le terminal d’administration 3 est connecté à la passerelle de communication 1 au moyen d’un câble de communication, de sorte à établir le premier canal de communication passant par le câble entre le terminal d’administration 3 et la passerelle 1. Dans ce mode de réalisation, une première extrémité du câble de communication est branchée au port physique de la passerelle (interface de communication 11), et une deuxième extrémité du câble de communication, opposée à la première extrémité, est branchée au port physique du terminal d’administration (interface de communication 30). Ces branchements sont typiquement réalisés par un utilisateur du terminal d’administration 3.In one embodiment, the administration terminal 3 is connected to the communication gateway 1 by means of a communication cable, so as to establish the first communication channel passing through the cable between the administration terminal 3 and the gateway 1. In this embodiment, a first end of the communication cable is connected to the physical port of the gateway (communication interface 11), and a second end of the communication cable, opposite the first end, is connected to the physical port of the administration terminal (communication interface 30). These connections are typically made by a user of the administration terminal 3.
Le premier canal de communication utilise par exemple le protocole SSH au-dessus d’une liaison Ethernet (couche 2 OSI) et TCP/IP (couche 3 OSI). Le protocole SSH peut nécessiter la transmission d’une donnée de connexion (identifiant et/ou mot de passe) par le terminal 3 à la passerelle 1. Ces données de connexion peuvent être mémorisées à l’avance dans le terminal 3 ou bien saisies dans le terminal 3 par l’utilisateur du terminal 3.The first communication channel uses, for example, the SSH protocol over an Ethernet connection (OSI layer 2) and TCP/IP (OSI layer 3). The SSH protocol may require the transmission of connection data (identifier and/or password) by the terminal 3 to the gateway 1. This connection data may be stored in advance in the terminal 3 or entered in the terminal 3 by the user of the terminal 3.
Le terminal d’administration 3 génère une requête d’enrôlement R destinée à la passerelle 1 (étape 102). La requête d’enrôlement comprend une clé publique CA du serveur 2. En variante, la clé publique CA n’est pas transmise par le terminal d’administration 3 au dispositif 1, mais est mémorisée à l’avance dans la mémoire 24 de la passerelle 1.The administration terminal 3 generates an enrollment request R intended for the gateway 1 (step 102). The enrollment request comprises a public key CA of the server 2. Alternatively, the public key CA is not transmitted by the administration terminal 3 to the device 1, but is stored in advance in the memory 24 of the gateway 1.
La requête d’enrôlement R est transmise à la passerelle 1 via le premier canal de communication (étape 104). Sur réception de la requête d’enrôlement R (étape 106), la passerelle 1 génère une clé privée KPR et une clé publique KPU associée à la clé privée KPR.The enrollment request R is transmitted to the gateway 1 via the first communication channel (step 104). Upon receipt of the enrollment request R (step 106), the gateway 1 generates a private key KPR and a public key KPU associated with the private key KPR.
La passerelle 1 génère par ailleurs une demande de certificat numérique D associée à la clé privée KPR (étape 108). La demande D incorpore la clé publique générée KPU. La demande D peut également incorporer un identifiant unique de la passerelle 1, permettant de la distinguer des autres équipements du réseau. Cet identifiant unique est par exemple un numéro de série.Gateway 1 also generates a digital certificate request D associated with the private key KPR (step 108). Request D incorporates the generated public key KPU. Request D may also incorporate a unique identifier of gateway 1, allowing it to be distinguished from other devices on the network. This unique identifier is, for example, a serial number.
La clé privée KPR est mémorisée dans la mémoire de la passerelle 1, de même que la clé publique CA et la clé publique KPU. La clé privée KPR n’a pas vocation à être communiquée à un équipement extérieur à la passerelle 1 (en particulier le terminal d’administration 3).The private key KPR is stored in the memory of gateway 1, as are the public key CA and the public key KPU. The private key KPR is not intended to be communicated to equipment external to gateway 1 (in particular the administration terminal 3).
La passerelle chiffre la demande D avec la clé publique CA (étape 109).The gateway encrypts the request D with the public key CA (step 109).
La passerelle 1 transmet la demande de certificat numérique D sous forme chiffrée au terminal d’administration 3 via le premier canal de communication (étape 110).Gateway 1 transmits the digital certificate request D in encrypted form to the administration terminal 3 via the first communication channel (step 110).
Le terminal d’administration 3 récupère la demande de certificat numérique D sous forme chiffrée via le premier canal de communication (étape 112).The administration terminal 3 retrieves the digital certificate request D in encrypted form via the first communication channel (step 112).
Le terminal d’administration 3 génère un code C associé à la demande de certificat numérique D (étape 114). Ce code C est par exemple un code PIN à 4 ou 6 chiffres.The administration terminal 3 generates a code C associated with the digital certificate request D (step 114). This code C is for example a 4 or 6 digit PIN code.
Le terminal d’administration 3 établit un deuxième canal de communication avec le serveur 2 (étape 116). Dans un mode de réalisation, le deuxième canal de communication passe par le câble de communication et par la passerelle 1. Autrement dit, c’est par l’intermédiaire de la passerelle 1 que le terminal d’administration 3 peut communiquer avec le serveur 2.The administration terminal 3 establishes a second communication channel with the server 2 (step 116). In one embodiment, the second communication channel passes through the communication cable and through the gateway 1. In other words, it is through the gateway 1 that the administration terminal 3 can communicate with the server 2.
Sur la
Le deuxième canal de communication peut être établi à un moment quelconque : avant l’émission de la requête R, après la récupération de la demande de certification de signature électronique D, ou bien entre ces deux étapes.The second communication channel can be established at any time: before the issuance of the request R, after the retrieval of the electronic signature certification request D, or between these two stages.
De préférence, le deuxième canal de communication comprend un tunnel pour permettre au terminal d’administration 3 de communiquer de manière sécurisée avec le serveur 2. Le tunnel est par exemple conforme au protocole IPSec. De préférence, la sécurité de ce deuxième canal de communication s’appuie sur des éléments cryptographiques détenus par l’utilisateur du terminal d’administration 3. Il peut par exemple s’agir d’un jeton cryptographique matériel tel qu’une carte à puce.Preferably, the second communication channel comprises a tunnel to allow the administration terminal 3 to communicate securely with the server 2. The tunnel is for example compliant with the IPSec protocol. Preferably, the security of this second communication channel is based on cryptographic elements held by the user of the administration terminal 3. This may for example be a hardware cryptographic token such as a smart card.
Le terminal d’administration 3 transmet la demande de certificat numérique D sous forme chiffrée au serveur 2, via le deuxième canal de communication (étape 118).The administration terminal 3 transmits the digital certificate request D in encrypted form to the server 2, via the second communication channel (step 118).
Le terminal d’administration 3 transmet également le code C au serveur 2, via le deuxième canal de communication.The administration terminal 3 also transmits the code C to the server 2, via the second communication channel.
La demande certificat numérique D sous forme chiffrée et le code C peuvent être transmises au serveur 2 dans un même message ou dans des messages séparés, dans n’importe quel ordre, mais dans tous les cas d’une manière qui permet au serveur 2 de comprendre que ces données sont associées l’une à l’autre.The encrypted digital certificate request D and the code C may be transmitted to server 2 in the same message or in separate messages, in any order, but in any case in a manner that allows server 2 to understand that these data are associated with each other.
Une fois ces données récupérées par le serveur 2 (étape 120), le serveur 2 fournit le code C à un administrateur de ce serveur 2, via son interface homme-machine 26 (par exemple en affichant ce code sur un écran d’affichage).Once this data has been retrieved by the server 2 (step 120), the server 2 provides the code C to an administrator of this server 2, via its human-machine interface 26 (for example by displaying this code on a display screen).
Le code C est par ailleurs transmis à un administrateur du serveur 2 (étape 121) via un troisième canal de communication (non-illustré) différent du deuxième canal de communication. Dans un mode de réalisation, le troisième canal de communication est établi entre un premier équipement détenu par l’utilisateur (et distinct du terminal d’administration 3) et un deuxième équipement détenu par l’administrateur, le troisième canal de communication étant par exemple un canal de communication téléphonique. Par exemple, le terminal d’administration 3 affiche le code généré sur un écran d’affichage du terminal d’administration 3, et l’utilisateur saisit le code affiché dans le premier équipement à l’aide de moyens de saisie de cet équipement (clavier physique ou tactile).The code C is furthermore transmitted to an administrator of the server 2 (step 121) via a third communication channel (not illustrated) different from the second communication channel. In one embodiment, the third communication channel is established between a first device held by the user (and distinct from the administration terminal 3) and a second device held by the administrator, the third communication channel being for example a telephone communication channel. For example, the administration terminal 3 displays the generated code on a display screen of the administration terminal 3, and the user enters the code displayed in the first device using input means of this device (physical or touch keyboard).
En définitive, deux valeurs de code sont fournies à l’administrateur, via deux canaux différents. Si ces deux valeurs correspondent, alors le code reçu par le serveur 2 est considéré valide. Dans le cas contraire, le code reçu par le serveur 2 est considéré invalide.Ultimately, two code values are provided to the administrator, via two different channels. If these two values match, then the code received by server 2 is considered valid. Otherwise, the code received by server 2 is considered invalid.
L’administrateur déclenche la mise en œuvre des étapes suivantes par le serveur 2, via l’interface homme-machine 26, seulement si le code est valide.The administrator triggers the implementation of the following steps by the server 2, via the human-machine interface 26, only if the code is valid.
Le serveur 2 déchiffre la demande D sous forme chiffrée, de sorte à obtenir la demande D en clair. Le serveur 2 utilise pour cela une clé privée associée à la clé publique CA, que le serveur 2 est seul à détenir.Server 2 decrypts request D in encrypted form, so as to obtain request D in clear text. Server 2 does this using a private key associated with the public key CA, which only server 2 holds.
Le serveur 2 signe la demande de certificat numérique D avec sa clé privée (celle associée à la clé publique CA) (étape 122), et fournit en résultat de cette étape de signature un certificat S associé à la clé privée KPR (générée lors de l’étape 108).Server 2 signs the digital certificate request D with its private key (the one associated with the public key CA) (step 122), and provides as a result of this signature step a certificate S associated with the private key KPR (generated during step 108).
Le serveur 2 transmet le certificat numérique S au terminal d’administration 3 via le deuxième canal de communication (étape 124).Server 2 transmits the digital certificate S to the administration terminal 3 via the second communication channel (step 124).
Le terminal d’administration 3 récupère donc le certificat numérique S via le deuxième canal de communication (étape 126). Après cette transmission, le deuxième canal de communication est interrompu.The administration terminal 3 therefore retrieves the digital certificate S via the second communication channel (step 126). After this transmission, the second communication channel is interrupted.
Le terminal d’administration 3 transmet le certificat numérique S à la passerelle de communication 1 via le premier canal de communication (étape 128).The administration terminal 3 transmits the digital certificate S to the communication gateway 1 via the first communication channel (step 128).
La passerelle 1 reçoit le certificat S (étape 130).Gateway 1 receives certificate S (step 130).
Après cette transmission, l’utilisateur peut déconnecter le câble de communication de la passerelle 1 ; le premier canal de communication cesse alors d’exister.After this transmission, the user can disconnect the communication cable from gateway 1; the first communication channel then ceases to exist.
La détention par la passerelle 1 de ce certificat numérique S constitue une preuve d’enrôlement de la passerelle 1 auprès du serveur 2.The possession by gateway 1 of this digital certificate S constitutes proof of enrollment of gateway 1 with server 2.
Le certificat numérique S constitue une donnée associée à la clé privée KPR initialement générée par la passerelle 1. Cette clé privée KPR et le certificat associé S peuvent ensuite être utilisée par la passerelle 1 pour établir des communications sécurisées avec d’autres équipements du réseau.The digital certificate S is a piece of data associated with the private key KPR initially generated by gateway 1. This private key KPR and the associated certificate S can then be used by gateway 1 to establish secure communications with other network equipment.
Dans le procédé qui précède, les étapes réalisées par la passerelle 1 sont commandées par le terminal d’administration 3.In the above method, the steps performed by the gateway 1 are controlled by the administration terminal 3.
Le procédé détaillé précédemment peut faire l’objet d’autres variantes. En particulier :The process detailed above can be subject to other variations. In particular:
- Le procédé qui précède, appliqué à une passerelle 1, est généralisable à tout autre dispositif destiné à communiquer dans le réseau.The above method, applied to a gateway 1, can be generalized to any other device intended to communicate in the network.
- Bien qu’avantageuse, l’utilisation du code est facultative ; sa vérification par peut être réalisée différemment que par téléphone, en particulier de manière automatique, sans faire appel à un administrateur ;Although advantageous, the use of the code is optional; its verification can be carried out differently than by telephone, in particular automatically, without calling an administrator;
- Le deuxième canal de communication peut ne pas passer par la passerelle 1, mais solliciter une interface de communication supplémentaire du terminal d’administration 3 pour lui permettre de communiquer avec le serveur 2 sans passer par la passerelle 1.The second communication channel may not go through gateway 1, but may request an additional communication interface of the administration terminal 3 to allow it to communicate with server 2 without going through gateway 1.
Claims (10)
- établissement (100) d’un premier canal de communication avec le dispositif,
- récupération via le premier canal de communication (112) d’une demande de certificat numérique (D) générée puis transmise par le dispositif, la demande de certificat numérique (D) étant associée à une première clé privée (KPR) du dispositif destinée à sécuriser des communications du dispositif dans le réseau,
- établissement (116) d’un deuxième canal de communication avec le serveur,
- transmission (118) de la demande de certificat numérique (D) au serveur via le deuxième canal de communication, le serveur étant configuré pour signer la demande de certification numérique (D) avec une deuxième clé privée associée à une clé publique (CA) du serveur, de sorte à générer un certificat numérique (S),
- récupération (126) du certificat numérique (S) via le deuxième canal de communication,
- transmission (128) du certificat numérique (S) au dispositif via le premier canal de communication.Method for enrolling a device intended to communicate in a network with a server, the method comprising the following steps implemented by an administration terminal:
- establishment (100) of a first communication channel with the device,
- retrieving via the first communication channel (112) a digital certificate request (D) generated then transmitted by the device, the digital certificate request (D) being associated with a first private key (KPR) of the device intended to secure communications of the device in the network,
- establishment (116) of a second communication channel with the server,
- transmission (118) of the digital certificate request (D) to the server via the second communication channel, the server being configured to sign the digital certification request (D) with a second private key associated with a public key (CA) of the server, so as to generate a digital certificate (S),
- recovery (126) of the digital certificate (S) via the second communication channel,
- transmission (128) of the digital certificate (S) to the device via the first communication channel.
- génération (114) d’un code (C) par le terminal d’administration, le code étant associé à la demande de certificat de signature numérique,
- transmission (118) du code au serveur via le deuxième canal de communication,
- transmission du code à un administrateur du serveur par un troisième canal de communication différent du deuxième canal de communication.A method according to any preceding claim, further comprising the following steps:
- generation (114) of a code (C) by the administration terminal, the code being associated with the request for a digital signature certificate,
- transmission (118) of the code to the server via the second communication channel,
- transmission of the code to a server administrator through a third communication channel different from the second communication channel.
- connexion du terminal d’administration au dispositif au moyen d’un câble, de sorte que le premier canal de communication passe par le câble,
- déconnexion du câble après la transmission du certificat numérique au dispositif via le premier canal de communication.A method according to any preceding claim, further comprising the steps of:
- connecting the administration terminal to the device by means of a cable, so that the first communication channel passes through the cable,
- disconnection of the cable after transmission of the digital certificate to the device via the first communication channel.
- au moins une interface de communication pour établir un premier canal de communication avec un dispositif, et pour établir un deuxième canal de communication avec un serveur,
- une unité de traitement,
dans lequel l’unité de traitement est configurée pour :
- récupérer via le premier canal de communication une demande de certificat numérique (D) générée puis transmise par le dispositif, la demande de certificat numérique (D) étant associée à une première clé privée (KPR) du dispositif destinée à sécuriser des communications du dispositif dans le réseau,
- transmettre la demande de certificat numérique (D) au serveur via le deuxième canal de communication, le serveur étant configuré pour signer la demande de certification numérique (D) avec une deuxième clé privée associée à une clé publique (CA) du serveur, de sorte à générer un certificat numérique (S),
- récupérer le certificat numérique (S) via le deuxième canal de communication,
- transmettre le certificat numérique (S) au dispositif via le premier canal de communication.Administration terminal (3) comprising:
- at least one communication interface for establishing a first communication channel with a device, and for establishing a second communication channel with a server,
- a processing unit,
in which the processing unit is configured to:
- retrieve via the first communication channel a digital certificate request (D) generated then transmitted by the device, the digital certificate request (D) being associated with a first private key (KPR) of the device intended to secure communications of the device in the network,
- transmitting the digital certificate request (D) to the server via the second communication channel, the server being configured to sign the digital certification request (D) with a second private key associated with a public key (CA) of the server, so as to generate a digital certificate (S),
- retrieve the digital certificate (S) via the second communication channel,
- transmit the digital certificate (S) to the device via the first communication channel.
- un terminal d’administration (3) selon la revendication précédente,
- un serveur (2) configuré pour signer la demande de certification numérique (D) avec la deuxième clé privée associée à la clé publique (CA) du serveur, de sorte à générer le certificat numérique (S).
System comprising:
- an administration terminal (3) according to the preceding claim,
- a server (2) configured to sign the digital certification request (D) with the second private key associated with the public key (CA) of the server, so as to generate the digital certificate (S).
Priority Applications (3)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| FR2208472A FR3139259A1 (en) | 2022-08-23 | 2022-08-23 | Method of enrolling a device with a server |
| EP23762258.4A EP4578143A1 (en) | 2022-08-23 | 2023-08-16 | Method for enrolling a device with a server |
| PCT/FR2023/051271 WO2024042289A1 (en) | 2022-08-23 | 2023-08-16 | Method for enrolling a device with a server |
Applications Claiming Priority (2)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| FR2208472 | 2022-08-23 | ||
| FR2208472A FR3139259A1 (en) | 2022-08-23 | 2022-08-23 | Method of enrolling a device with a server |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| FR3139259A1 true FR3139259A1 (en) | 2024-03-01 |
Family
ID=85036770
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| FR2208472A Pending FR3139259A1 (en) | 2022-08-23 | 2022-08-23 | Method of enrolling a device with a server |
Country Status (3)
| Country | Link |
|---|---|
| EP (1) | EP4578143A1 (en) |
| FR (1) | FR3139259A1 (en) |
| WO (1) | WO2024042289A1 (en) |
Citations (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| FR2834843A1 (en) * | 2002-01-17 | 2003-07-18 | Atos Origin Integration | Electronic signature confidential digital internet document transmission having user card identification introduced/signature generated and server passed server transmitting information card and message decyphered |
| EP2587715A2 (en) * | 2011-09-20 | 2013-05-01 | Research In Motion Limited | Assisted certificate enrollment |
| US10356087B1 (en) * | 2016-08-26 | 2019-07-16 | Intelligent Waves Llc | System, method and computer program product for credential provisioning in a mobile device platform |
-
2022
- 2022-08-23 FR FR2208472A patent/FR3139259A1/en active Pending
-
2023
- 2023-08-16 EP EP23762258.4A patent/EP4578143A1/en active Pending
- 2023-08-16 WO PCT/FR2023/051271 patent/WO2024042289A1/en not_active Ceased
Patent Citations (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| FR2834843A1 (en) * | 2002-01-17 | 2003-07-18 | Atos Origin Integration | Electronic signature confidential digital internet document transmission having user card identification introduced/signature generated and server passed server transmitting information card and message decyphered |
| EP2587715A2 (en) * | 2011-09-20 | 2013-05-01 | Research In Motion Limited | Assisted certificate enrollment |
| US10356087B1 (en) * | 2016-08-26 | 2019-07-16 | Intelligent Waves Llc | System, method and computer program product for credential provisioning in a mobile device platform |
Also Published As
| Publication number | Publication date |
|---|---|
| EP4578143A1 (en) | 2025-07-02 |
| WO2024042289A1 (en) | 2024-02-29 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US10129240B2 (en) | Distributing security codes through a restricted communications channel | |
| EP3506557B1 (en) | Method of key exchange via a smart contract deployed over a blockchain | |
| EP3506556B1 (en) | Method of authenticated key exchange via blockchain | |
| US7885411B2 (en) | Key agreement and re-keying over a bidirectional communication path | |
| US10432600B2 (en) | Network-based key distribution system, method, and apparatus | |
| US20170012974A1 (en) | Combined Authorization Process | |
| WO2019079356A1 (en) | Authentication token with client key | |
| US20190238334A1 (en) | Communication system, communication client, communication server, communication method, and program | |
| CA2829967A1 (en) | Key management using quasi out of band authentication architecture | |
| EP2717539B1 (en) | Method and system for hypertext transfer protocol digest authentication | |
| EP3174241A1 (en) | Method for establishing secure end-to-end communication between a user terminal and a connected object | |
| US12418407B2 (en) | Management, diagnostics, and security for network communications | |
| EP1414184A1 (en) | Delegation using electronic certificates | |
| EP2215800A1 (en) | Method of authenticating a user accessing a remote server from a computer | |
| CN113243093B (en) | System and method for message transmission and retrieval using blockchain | |
| FR3139259A1 (en) | Method of enrolling a device with a server | |
| CA3100170A1 (en) | Method for securing data flow between communication equipment and a remote terminal, equipment implementing the method | |
| US11968188B2 (en) | Secure email transmission via treasury portal | |
| WO2019228853A1 (en) | Method for establishing keys for controlling access to a service or a resource | |
| US20240064137A1 (en) | Decentralized edge node authentication | |
| EP3899765B1 (en) | Reinitialization of an application secret by way of the terminal | |
| WO2016156737A1 (en) | Method for obtaining a list of at least one piece of sensitive data | |
| WO2025125562A1 (en) | Method for authenticating an individual for the execution of a transaction on a merchant terminal | |
| HK1095950B (en) | Deploying and provisioning wireless handheld devices |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| PLFP | Fee payment |
Year of fee payment: 2 |
|
| PLSC | Publication of the preliminary search report |
Effective date: 20240301 |
|
| PLFP | Fee payment |
Year of fee payment: 3 |
|
| PLFP | Fee payment |
Year of fee payment: 4 |