[go: up one dir, main page]

WO2024110709A1 - Ethernet communications network with multiple security procedures - Google Patents

Ethernet communications network with multiple security procedures Download PDF

Info

Publication number
WO2024110709A1
WO2024110709A1 PCT/FR2023/051658 FR2023051658W WO2024110709A1 WO 2024110709 A1 WO2024110709 A1 WO 2024110709A1 FR 2023051658 W FR2023051658 W FR 2023051658W WO 2024110709 A1 WO2024110709 A1 WO 2024110709A1
Authority
WO
WIPO (PCT)
Prior art keywords
data packet
switch
virtual local
identifier
network
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Ceased
Application number
PCT/FR2023/051658
Other languages
French (fr)
Inventor
Trista LIN
Xiaoting Li
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Stellantis Auto SAS
Original Assignee
Stellantis Auto SAS
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Stellantis Auto SAS filed Critical Stellantis Auto SAS
Publication of WO2024110709A1 publication Critical patent/WO2024110709A1/en
Anticipated expiration legal-status Critical
Ceased legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/40—Network security protocols
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H04L63/0435—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload wherein the sending and receiving network entities apply symmetric encryption, i.e. same key used for encryption and decryption
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/12—Applying verification of the received information
    • H04L63/123—Applying verification of the received information received data contents, e.g. message integrity
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/12—Protocols specially adapted for proprietary or special-purpose networking environments, e.g. medical networks, sensor networks, networks in vehicles or remote metering networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/14—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols using a plurality of keys or algorithms
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3226—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using a predetermined code, e.g. password, passphrase or PIN
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/84—Vehicles
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0876—Network architectures or network communication protocols for network security for authentication of entities based on the identity of the terminal or configuration, e.g. MAC address, hardware or software configuration or device fingerprint
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/16—Implementing security features at a particular protocol layer
    • H04L63/162—Implementing security features at a particular protocol layer at the data link layer

Definitions

  • the present invention claims priority from French application 2212192 filed on 23.11.2022, the content of which (text, drawings and claims) is here incorporated by reference.
  • the present invention belongs to the field of communication networks, in particular Ethernet networks.
  • [2]It is particularly advantageous in the context of use in a vehicle comprising several units capable of exchanging data and associated respectively with different communication functions of the vehicle.
  • Vehicle means any type of vehicle such as a motor vehicle, a moped, a motorcycle, a storage robot in a warehouse, etc.
  • Ethernet networks can provide cryptographic security protocols such as TLS, for “Transport Layer Protocol”.
  • TLS is not suitable for many functions of a motor vehicle, which require real-time data exchange.
  • TLS cannot protect level 2 traffic at the data link layer, also called the MAC layer.
  • a layer 2 security solution is known, and is called MACSec, or “MAC Security”, corresponding to the IEEE 802.1AE model. This solution is designed for Layer 2 encryption and ensures data confidentiality and integrity in a connectionless mode.
  • MACSec requires prior configuration using a point-to-point mechanism or an end-to-end mechanism.
  • an Ethernet network can include both point-to-point links, called “point to point” in English, and end-to-end links, also called “end to end” in English , which makes the use of MACSec impossible, since configuration according to an end-to-end mechanism or according to a point-to-point mechanism would be ineffective for some of the links.
  • a first aspect of the invention relates to a method for processing data packets in an Ethernet communication network comprising communication units, the method being implemented in a switch of the communication network, the switch storing at least a first identifier of at least one virtual local network in association with a first point-to-point data link layer security procedure, and storing at least a second identifier of at least one virtual local network with a second end-to-end data link securing procedure, the method comprising the following steps:
  • the switch is able to apply a data link security procedure adapted to the virtual local access network in which the data packet is exchanged. It is thus made possible to secure layer 2 exchanges of a communications network hosting several local virtual access networks and creating several types of connection.
  • the processing according to the first security procedure may include a verification of a first security element of the data packet received on an input port of the switch and a replacement of the first security element. security by a second security element in the data packet before transmission to a recipient unit via an output port of the switch.
  • the switch placed in interception between a source unit and a destination unit makes it possible to secure a point-to-point type data link.
  • Such a security procedure can also allow in-depth, DPI-type inspection of the data packet.
  • the processing according to the second security procedure may include transmission without modification of the data packet to a unit receiving the packet by the switch.
  • the switch allows the data packet to be routed in the virtual local network without modifying it when not necessary, which allows better latency in the packet transfer as well as saving computing resources of the switch.
  • the security of data packets is thus optimized in the Ethernet communication network.
  • At least one of the first and second identifiers may comprise an identifier of a group of virtual local networks.
  • a switch can in fact be in charge of transferring packets in several virtual local networks using the same layer 2 security procedure.
  • the same identifier can thus be used to designate a group of virtual local networks with the same security procedure. security, which simplifies the processing of the data packet by the switch. This is because switches generally have limited computing resources.
  • the payload of the data packet may be encrypted, and the identifier of at least one virtual local network may be detected in a header of the data packet.
  • the first and second security procedures may be MACSec procedures according to the IEEE 802.1AE model.
  • the header of the data packet may have a format defined by a Wide Area Network, WAN, mode of the IEEE 802.1AE model.
  • this embodiment makes it possible to take advantage of existing security procedures, and to apply several of these procedures in a differentiated manner in the same Ethernet communication network.
  • the Ethernet communication network may comprise communication units of a motor vehicle, in which the switch is integrated into one of the communication units of the Ethernet communication network.
  • the invention is in fact particularly advantageous in the case of an Ethernet communication network of a motor vehicle, since the control units of such a motor vehicle perform very different functions requiring links of different types, and therefore different security procedures.
  • a second aspect of the invention relates to a computer program comprising instructions for implementing the method according to the first aspect of the invention, when these instructions are executed by a processor.
  • a third aspect of the invention relates to a switch of an Ethernet communication network comprising communication units, the switch comprising:
  • a memory storing at least a first identifier of at least one virtual local network in association with a first point-to-point data link layer security procedure, and storing at least a second identifier of at least one virtual local network with a second end-to-end data link securing procedure;
  • a processor configured to detect an identifier of at least one virtual local network in the received data packet, to select a procedure of the first securing procedure and the second securing procedure, based on the detected virtual local network identifier and for processing the data packet according to the selected securing procedure.
  • FIG. 32 [32][Fig 1] illustrates a communications network according to one embodiment of the invention
  • FIG. 33 is a diagram illustrating the steps of a data packet processing method according to embodiments of the invention.
  • FIG. 34 illustrates a structure of a data packet according to embodiments of the invention
  • FIG. 35 [35][Fig 4] illustrates the structure of a switch according to embodiments of the invention.
  • FIG. 1 presents an Ethernet communication network 100 according to one embodiment of the invention.
  • the network 100 is integrated into a motor vehicle, for illustrative purposes only.
  • the network 100 can however be integrated into any other equipment or system comprising several communicating units.
  • the network 100 comprises several communication units capable of communicating with each other, in particular via Ethernet links. No restrictions are attached to the number of communication units or their types.
  • each communication unit can be associated with a given function, such a function implying given requirements in terms of latency in data transmission and/or in terms of criticality associated with data security.
  • FIG. 10 An example with eight communication units and three types of communication units is shown in Figure 1, for illustration purposes only. It will be understood that the invention applies to any communication network comprising several communication units of at least one type.
  • the network in Figure 1 can include a telematic control unit 101, or TCU unit for “Telematic Control Unit” in English, which allows, in a motor vehicle, to connect the vehicle to servers remote, cloud-based, or to other vehicles via V2X standards over a cellular network.
  • the telematics control unit 101 may be capable of connecting the network 100 to a first cloud-type server 105.1, which may be a server of the automobile manufacturer capable of providing a first set of services.
  • the telematics control unit 101 may be able to connect the network 100 to a second cloud type server 105.2, from another service provider, able to provide a second set of services.
  • the network of Figure 1 can also include electronic control units of the high performance calculator type, or HPC ECU units for “High Performance Computing Electronic Control Unit” in English, comprising a first HPC ECU 102.1 unit, a second HPC unit ECU 102.2 and a third HPC unit ECU 102.3.
  • the first HPC unit ECU 102.1 can be connected to the TCU unit 101 by a physical Ethernet link shown in dotted lines in Figure 1.
  • Each HPC ECU unit 102.1, 102.2 and 102.3 can also communicate with one or more zone control units, also called ZCU unit for
  • the network 100 may in particular comprise a first unit ZCU 103.1, a second unit ZCU 103.2, a third unit ZCU 103.3 and a fourth unit ZCU 103.4.
  • Each ZCU unit can be located in a given area of the vehicle, close to sensors and actuators in the given area, so as to form a communications gateway and ensure reliable execution of some of the vehicle's functions.
  • Each ZCU unit can communicate with electronic control units 104 of the vehicle via CAN links shown in solid lines in Figure 1.
  • one of the ZCU units may be in charge of ECUs of a vehicle lighting device, while another ZCU unit may be in charge of ECUs of an airbag system of the vehicle.
  • Other ZCU units may be provided to perform other vehicle functions.
  • the first HPC unit ECU 102.1 can be connected by respective physical Ethernet links to the second unit ZCU 103.2 and to the third unit ZCU 103.3.
  • the second HPC ECU 102.2 unit can be connected by a physical Ethernet link to the first ZCU unit 103.1 and the third HPC unit ECU 102.3 can be connected by a physical Ethernet link to the fourth ZCU unit 103.4.
  • first HPC unit ECU 102.1 can be connected to the second HPC unit ECU 102.2 and to the third HPC unit ECU 102.3 by two respective physical Ethernet links.
  • the network 100 illustrated in Figure 1 thus forms a centralized E/E electronic electrical architecture used in many motor vehicles.
  • FIG. 1 thus presents the physical connections between the TCU, HPC ECU or ZCU units.
  • Each unit may include a processing unit, or CPU, for "Central Processing Unit", which may take the form of a microcontroller, also called MCU, for Micro-Controller Unit, which is a processing unit on a single integrated circuit which includes a processor, programmable memory, and inputs and outputs.
  • the CPU of each of the TCU, HPC ECU or ZCU units can be of the system on chip type, or SoC, for “System on Chip” in English, which is an encapsulation of one or more CPUs, memories, microcontrollers and/or other components.
  • SoC System on Chip
  • An SoC is generally used for applications that are too complex to be carried out by a single MCU.
  • An SoC can notably include an operating system, or OS for “Operating System” in English.
  • each TCU, HPC ECU or ZCU communication unit may comprise several CPUs.
  • the network 100 includes one or more Ethernet switches which may be integrated into one or more communication units.
  • an Ethernet switch is integrated into each of the HPC ECU units 102.1, 102.2 and 102.3.
  • a first Ethernet switch 110.1 can be integrated into the first HPC ECU unit 102.1, a second Ethernet switch 110.2 can be integrated into the second HPC ECU unit 102.2 and a third Ethernet switch 110.3 can be integrated into the third HPC unit ECU 102.3.
  • the first switch 110.1 can be physically connected by Ethernet links to the second switch 110.2, to the third switch 110.3, to the CPU of the TCU unit 101, to the CPU of the first HPC ECU unit 102.1 and to the CPUs of the second and third ZCU units 103.2 and 103.3.
  • the second switch 110.2 can be physically connected by Ethernet links to the first switch 110.1, to the CPU of the second HPC ECU unit 102.2 and to the CPU of the first ZCU unit 103.1.
  • the third switch 110.3 can be physically connected by Ethernet links to the first switch 110.1, to the CPU of the third HPC ECU unit 102.3 and to the CPU of the fourth ZCU unit 103.4.
  • logical links can form virtual local access networks, or VLANs, for “Virtual Local Access Network” in English, the principle of which is well known and is not explained further in this detailed description.
  • Switches 110.1 to 110.3 have a central role in the creation of these VLAN networks.
  • VLAN networks can be obtained in network 100 of Figure 1:
  • VLAN 3 network connecting the second HPC ECU 102.2 unit, the third HPC ECU 102.3 unit, the first ZCU 103.1 unit and the fourth ZCU 103.3 unit.
  • the data packets circulating through the VLAN 3 network can be transferred by the first switch 110.1 located in the first HPC ECU unit 102.1, although the first HPC ECU unit 102.1 is not part of the third VLAN 3 network;
  • VLAN network 4 connecting the first HPC unit ECU 102.1, the second HPC unit ECU 102.2, the first ZCU unit 103.1, the second ZCU unit 103.2 and the third ZCU unit 103.3;
  • VLAN 6 a sixth VLAN 6 network connecting the TCU unit 101 to the first HPC unit ECU 102.1.
  • FIG. 2 is a diagram which illustrates the steps of a method for processing Ethernet data packets, according to embodiments of the invention.
  • the method according to the invention can comprise a preliminary step 200, during which the switch implementing the method can store at least a first identifier of at least one virtual local network in association with a first layer security procedure point-to-point data link, and storing at least a second identifier of at least one virtual local network with a second end-to-end data link securing procedure.
  • the switch can also store a list of at least a third identifier of at least one virtual local network, said at least one third identifier designating one or more virtual local access networks for which no security procedure is not required.
  • the first and second identifiers may for example be an alphanumeric identifier uniquely designating a VLAN network, such as “VLAN 1” or “VLAN 2”, in the example described with reference to Figure 1.
  • at least one of the first and second identifiers may comprise an identifier of a group of virtual local networks, the group comprising at least two virtual local access networks. Such a group identifier is also called a “mask”.
  • the storage of such identifiers with dedicated security procedures advantageously makes it possible to apply different security procedures of the link layer, or layer 2, in a communications network, which makes it possible to adapt the security procedure to the specific needs of the units of each virtual local access network or each group of networks virtual local access.
  • the switch may include non-volatile memory, described later.
  • the method then enters a current phase during which at least one data packet is exchanged in the network 100.
  • the network switch receives a data packet from a communication unit of the network 100.
  • the data packet received in step 201 may have the format shown in Figure 3 described later.
  • the switch detects, in the data packet received, a VLAN virtual local access network identifier, the data packet being intended to be exchanged between two units of the identified virtual local network, namely a source unit and a destination unit.
  • the switch selects one of the security procedures among the first security procedure and the second security procedure.
  • the switch can detect that the identified virtual local access network, or the identified group, corresponds to a virtual local access network for which no security procedure is required.
  • the switch processes the data packet according to the security procedure selected in step 203.
  • the processing applied in step 204 may include verification of a first security element of the data packet received on a port of input from the switch and a replacement of the first security element with a second security element in the data packet before transmission to a recipient unit via an output port of the switch.
  • the first security element and the second security element may be inserted into a MACsec header field as described later with reference to Figure 3.
  • the switch may decrypt an encrypted content of the data packet, such as its payload, for example by means of a first private key shared with the source unit, then re-encrypt the payload of the data packet before its transmission to the recipient unit, by means of a second private key shared with the recipient unit.
  • the switch can carry out a deep packet inspection of the DPI type, for “Deep Packet Inspection” in English.
  • the processing applied in step 204 may include transmission without modification of the data packet to a unit receiving the packet by the switch . There is therefore no need to check the MACsec header field including the security element, nor to decrypt the content of the data packet, nor to carry out an in-depth inspection of the data packet.
  • some exchanges of data packets may not require any security, in which case, if it is determined that no security procedure is required in step 203, the data packet is also transmitted without modification to a recipient unit of the packet. In this case, the data packet may then include a payload that is not encrypted.
  • Figure 3 illustrates a structure of a data packet 300 according to embodiments of the invention.
  • [78]Such a structure corresponds to a MACsec type data packet as defined in the IEEE 802.1AE standard.
  • this is the WAN mode, for “Wide Area Network”, of the standard identified above, in which the virtual local access network is identified in clear text.
  • LAN mode for Local Area Network, in which the VLAN identifier is encrypted with the payload of the packet, which complicates the implementation of the steps of the method according to the invention by the switch Ethernet network.
  • the data packet 300 may include several header fields 301 to 305, such as:
  • DMAC 301 field address of the recipient unit of the data packet, in particular its MAC address
  • SMAC 302 field address of the source unit of the data packet, in particular its MAC address
  • an 802.1 Q 303 field including an identifier of a local access network virtual VLAN or group of virtual local access networks. This is the field used by the switch in step 202 described previously to detect the VLAN identifier;
  • header field, or header, 802.1AE 304 comprising a MAC SEC Ether Type 304.1 field which includes a security element, comprising a TCI/AN 304.2 field, an SL 304.3 field, a packet number field 304.4 and an optional SCI 304.5 field;
  • ETYPE field 305 an ETYPE field 305 and a payload field 306, or “payload” in English, the fields 305 and 306 being encrypted, which makes it possible to secure the transported data.
  • Such encryption can be implemented between point-to-point units or between end-to-end, depending on the security procedure used for the virtual local access network;
  • ICV 307 field including an integrity check value, or ICV, for “Identity Check Value” in English;
  • TCI/AN 304.2 field refers to access network tag control information, also called “Tag Control Information” in English.
  • the MAC SEC Ether Type 304.1 field includes the security element that is verified by the switch when the first point-to-point security procedure is applied.
  • the TCU unit 101 sends a first data packet to the first HPC unit ECU 102.1, via the sixth virtual local access network VLAN 6, and sends a second data packet to the third ZCU unit 103.3 via the second virtual local access network VLAN 2.
  • the first data packet is exchanged between the TCU unit 101 and the first HPC unit ECU 102.1 via the first switch 110.1
  • the second data packet is exchanged between the TCU unit 101 and the third ZCU unit 103.3 via the first HPC unit ECU 102.1, and therefore via the first switch 110.1 as well.
  • the first switch 110.1 is therefore in interception during the communication of the first packet and during the communication of the second packet in the network 100.
  • a single and unique security procedure can be deployed in a given network 100, that is to say either a point-to-point security procedure, or a security procedure of end to end.
  • the transmission of the second data packet in the virtual network VLAN 2 is not protected. This is because end-to-end data encryption may be performed and the switch is not able to verify the encryption. Likewise, in the event of application of the end-to-end procedure to the entire network 100, the transmission of the first data packet is not protected since in this case the first switch 110.1 does not carry out MACsec d verification. 'an element of security.
  • the present invention thus makes it possible to configure each virtual local access network VLAN with a security procedure which is adapted to its needs in terms of latency, security, but also according to the processing capabilities of the switches involved in each virtual local access network VLAN. Protection is thus permitted in the example previously considered, both for the transmission of the first data packet but also for the transmission of the second data packet.
  • Figure 4 shows the structure of a network switch 110 according to embodiments of the invention.
  • switches 110.1, 110.2 and 110.3 can correspond to the description given below of switch 110.
  • the switch 110 comprises a processor 401 configured to communicate unidirectionally or bidirectionally, via one or more buses or via a direct wired connection, with a memory 402 such as a “Read Only Memory” type memory, ROM, or any other type of memory (Flash, EEPROM, etc.).
  • a memory 402 such as a “Read Only Memory” type memory, ROM, or any other type of memory (Flash, EEPROM, etc.).
  • memory 402 is non-volatile.
  • memory 402 includes several memories of the aforementioned types.
  • the memory 402 is capable of storing, permanently or temporarily, at least some of the data used and/or resulting from the implementation of the steps 200 to 204, of the method according to the invention illustrated with reference to Figure 2.
  • the memory 402 can be capable of storing the associations between the first, second and optionally third identifiers, and the security procedures, among the first security procedure, the second security procedure and the absence of a security procedure.
  • the memory can store cryptographic elements such as encryption keys.
  • the processor 401 is able to execute instructions, stored in the memory 402, for the implementation of steps 201 to 204 of the method according to the invention, described with reference to Figure 2.
  • the processor 401 can be replaced by a microcontroller designed and configured to carry out the steps of the method 201 to 204 according to the invention, described with reference to Figure 4.
  • the switch 110 comprises at least a first physical interface Ethernet 403 capable of exchanging bidirectionally with at least one CPU of a communication unit of the network 100 and at least one second physical interface Ethernet 404 capable of exchanging bidirectionally with at least one CPU of another communication unit of the network 100.
  • the switch 110 may further comprise other interfaces, such as a third physical Ethernet interface 405, capable of communicating with other communication units of the network 100.
  • the first switch 110.1 may comprise five interfaces as described above.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computing Systems (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Health & Medical Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Medical Informatics (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Small-Scale Networks (AREA)

Abstract

The invention relates to a method for processing data packets in an Ethernet network. The method is implemented in a switch storing at least a first identifier of at least one virtual local access network in association with a first point-to-point security procedure, and storing a second identifier of a virtual local access network with a second end-to-end security procedure. The method comprises receiving (201) a data packet and detecting (202) an identifier of at least one virtual local access network in the received data packet. Next, a data link layer security procedure is selected (203) from the first and second procedures, based on the determined virtual local access network identifier. The data packet is processed (204) based on the selected security procedure.

Description

Description Description

Titre de l’invention : Réseau de communicationsTitle of the invention: Communications network

Ethernet avec plusieurs procédures de sécurisation Ethernet with several security procedures

[1]La présente invention revendique la priorité de la demande française 2212192 déposée le 23.11 .2022 dont le contenu (texte, dessins et revendications) est ici incorporé par référence La présente invention appartient au domaine des réseaux de communication, notamment de réseaux Ethernet. [1]The present invention claims priority from French application 2212192 filed on 23.11.2022, the content of which (text, drawings and claims) is here incorporated by reference. The present invention belongs to the field of communication networks, in particular Ethernet networks.

[2]Elle est particulièrement avantageuse dans le contexte d’une utilisation dans un véhicule comprenant plusieurs unités aptes à échanger des données et associées respectivement à différentes fonctions de communication du véhicule. [2]It is particularly advantageous in the context of use in a vehicle comprising several units capable of exchanging data and associated respectively with different communication functions of the vehicle.

[3]On entend par « véhicule » tout type de véhicule tel qu’un véhicule automobile, un cyclomoteur, une motocyclette, un robot de stockage dans un entrepôt, etc. [3] “Vehicle” means any type of vehicle such as a motor vehicle, a moped, a motorcycle, a storage robot in a warehouse, etc.

[4]Dans des réseaux de communication, il est souhaitable de permettre que certains au moins des échanges soient sécurisés, afin d’empêcher leur compréhension par un tiers qui intercepterait de tels échanges. [4]In communication networks, it is desirable to allow at least some of the exchanges to be secure, in order to prevent their understanding by a third party who would intercept such exchanges.

[5]A cet effet, des réseaux Ethernet peuvent prévoir des protocoles cryptographiques de sécurité tels que TLS, pour « Transport Layer Protocol ». [5]For this purpose, Ethernet networks can provide cryptographic security protocols such as TLS, for “Transport Layer Protocol”.

[6]Toutefois, comme son nom l’indique, un tel protocole est associé à la couche de transport, soit à la couche 4 du modèle OSI, ce qui implique que le protocole consomme beaucoup de ressources de calcul et requiert un délai pour rétablissement d’une connexion. [6]However, as its name indicates, such a protocol is associated with the transport layer, i.e. layer 4 of the OSI model, which implies that the protocol consumes a lot of computing resources and requires a delay for recovery of a connection.

[7]Ainsi, TLS n’est pas approprié pour de nombreuses fonctions d’un véhicule automobile, qui requièrent des échanges de données en temps réel. [7]Thus, TLS is not suitable for many functions of a motor vehicle, which require real-time data exchange.

[8]En outre, TLS ne permet pas de protéger le trafic de niveau 2 de la couche de liaison de données, aussi appelée couche MAC. [8]In addition, TLS cannot protect level 2 traffic at the data link layer, also called the MAC layer.

[9]Une solution de sécurisation de la couche 2 est connue, et est appelée MACSec, ou « MAC Security », correspondant au modèle IEEE 802.1AE. Cette solution est conçue pour le chiffrement de la couche 2 et assure la confidentialité et l’intégrité des données dans un mode sans connexion. [9]A layer 2 security solution is known, and is called MACSec, or “MAC Security”, corresponding to the IEEE 802.1AE model. This solution is designed for Layer 2 encryption and ensures data confidentiality and integrity in a connectionless mode.

[10]Toutefois, MACSec requiert une configuration préalable selon un mécanisme point à point ou un mécanisme de bout en bout. [10]However, MACSec requires prior configuration using a point-to-point mechanism or an end-to-end mechanism.

[1 l]Or, dans un véhicule, un réseau Ethernet peut comprendre à la fois des liaisons point à point, appelées « point to point » en anglais, et des liaisons de bout en bout, aussi appelées « end to end » en anglais, ce qui rend impossible l’utilisation de MACSec, puisque la configuration selon un mécanisme de bout en bout ou selon un mécanisme point à point serait inopérant pour certaines des liaisons. [1 l]However, in a vehicle, an Ethernet network can include both point-to-point links, called “point to point” in English, and end-to-end links, also called “end to end” in English , which makes the use of MACSec impossible, since configuration according to an end-to-end mechanism or according to a point-to-point mechanism would be ineffective for some of the links.

[12]ll existe ainsi un besoin de protéger les échanges de la couche 2 dans un réseau de communication, comprenant à la fois des échanges point-à-point et des échanges de bout en bout, notamment dans un réseau de communication Ethernet de véhicule automobile. [12]There is thus a need to protect layer 2 exchanges in a communications network, comprising both point-to-point exchanges and end-to-end exchanges, particularly in a vehicle Ethernet communications network. automobile.

[ 13]A cet effet, un premier aspect de l’invention concerne un procédé de traitement de paquets de données dans un réseau de communication Ethernet comprenant des unités de communication, le procédé étant mis en œuvre dans un commutateur du réseau de communication, le commutateur stockant au moins un premier identifiant d’au moins un réseau local virtuel en association avec une première procédure de sécurisation de couche de liaison de données point à point, et stockant au moins un deuxième identifiant d’au moins un réseau local virtuel avec une deuxième procédure de sécurisation de liaison de données de bout en bout, le procédé comprenant les étapes suivantes: [13]For this purpose, a first aspect of the invention relates to a method for processing data packets in an Ethernet communication network comprising communication units, the method being implemented in a switch of the communication network, the switch storing at least a first identifier of at least one virtual local network in association with a first point-to-point data link layer security procedure, and storing at least a second identifier of at least one virtual local network with a second end-to-end data link securing procedure, the method comprising the following steps:

- réception d’un paquet de données ; - reception of a data packet;

- détection d’un identifiant d’au moins un réseau d’accès local virtuel dans le paquet de données reçu ; - detection of an identifier of at least one virtual local access network in the received data packet;

- sélection d’une procédure de sécurisation de couche de liaison de données parmi la première procédure de sécurisation et la deuxième procédure de sécurisation, en fonction de l’identifiant de réseau d’accès local virtuel déterminé ; - selection of a data link layer security procedure from among the first security procedure and the second security procedure, according to the determined virtual local access network identifier;

- traitement du paquet de données en fonction de la procédure de sécurisation sélectionnée. - processing of the data packet according to the selected security procedure.

[14]Ainsi, le commutateur est apte à appliquer une procédure de sécurisation de liaison de données adaptée au réseau d’accès local virtuel dans lequel le paquet de données est échangé. Il est ainsi rendu possible de sécuriser des échanges de la couche 2 d’un réseau de communication hébergeant plusieurs réseaux d’accès virtuels locaux et réalisant plusieurs types de liaison. [14]Thus, the switch is able to apply a data link security procedure adapted to the virtual local access network in which the data packet is exchanged. It is thus made possible to secure layer 2 exchanges of a communications network hosting several local virtual access networks and creating several types of connection.

[15]Selon des modes de réalisation, le traitement en fonction de la première procédure de sécurisation peut comprendre une vérification d’un premier élément de sécurité du paquet de données reçu sur un port d’entrée du commutateur et un remplacement du premier élément de sécurité par un deuxième élément de sécurité dans le paquet de données avant transmission à une unité destinataire via un port de sortie du commutateur. [15] According to embodiments, the processing according to the first security procedure may include a verification of a first security element of the data packet received on an input port of the switch and a replacement of the first security element. security by a second security element in the data packet before transmission to a recipient unit via an output port of the switch.

[16]Ainsi, le commutateur placé en interception entre une unité source et une unité de destination permet de sécuriser une liaison de données de type point à point. Une telle procédure de sécurisation peut également permettre une inspection en profondeur, de type DPI, du paquet de données. [16]Thus, the switch placed in interception between a source unit and a destination unit makes it possible to secure a point-to-point type data link. Such a security procedure can also allow in-depth, DPI-type inspection of the data packet.

[17]Selon des modes de réalisation, le traitement en fonction de la deuxième procédure de sécurisation peut comprendre une transmission sans modification du paquet de données à une unité destinataire du paquet par le commutateur. [17] According to embodiments, the processing according to the second security procedure may include transmission without modification of the data packet to a unit receiving the packet by the switch.

[18]Ainsi, le commutateur permet de router le paquet de données dans le réseau local virtuel sans le modifier lorsque cela n’est pas nécessaire, ce qui permet une meilleure latence dans le transfert du paquet ainsi que d’économiser des ressources de calcul du commutateur. La sécurisation des paquets de données est ainsi optimisée dans le réseau de communication Ethernet. [18]Thus, the switch allows the data packet to be routed in the virtual local network without modifying it when not necessary, which allows better latency in the packet transfer as well as saving computing resources of the switch. The security of data packets is thus optimized in the Ethernet communication network.

[19]Selon des modes de réalisation, au moins l’un des premier et deuxième identifiants peut comprendre un identifiant d’un groupe de réseaux locaux virtuels. [19] According to embodiments, at least one of the first and second identifiers may comprise an identifier of a group of virtual local networks.

[20]Un commutateur peut en effet être en charge du transfert de paquets dans plusieurs réseau locaux virtuels utilisant la même procédure de sécurisation de couche 2. Un même identifiant peut ainsi être utilisé pour désigner un groupe de réseaux locaux virtuels avec la même procédure de sécurisation, ce qui permet de simplifier le traitement du paquet de données par le commutateur. En effet, les commutateurs ont généralement des ressources de calcul limitées. [20]A switch can in fact be in charge of transferring packets in several virtual local networks using the same layer 2 security procedure. The same identifier can thus be used to designate a group of virtual local networks with the same security procedure. security, which simplifies the processing of the data packet by the switch. This is because switches generally have limited computing resources.

[21]Selon des modes de réalisation, la charge utile du paquet de données peut être cryptée, et l’identifiant d’au moins un réseau local virtuel peut être détecté dans un en-tête du paquet de données. [21]In embodiments, the payload of the data packet may be encrypted, and the identifier of at least one virtual local network may be detected in a header of the data packet.

[22]Ainsi, l’identification du réseau local virtuel est facilitée pour le commutateur. [23]Selon des modes de réalisation, les première et deuxième procédures de sécurisation peuvent être des procédures MACSec selon le modèle IEEE 802.1AE. [22]Thus, identification of the virtual local network is made easier for the switch. [23]Depending on embodiments, the first and second security procedures may be MACSec procedures according to the IEEE 802.1AE model.

[24]Des telles procédures permettent de sécuriser des liaisons de couche 2 et sont compatibles avec les réseaux de communication Ethernet. [24]Such procedures make it possible to secure layer 2 links and are compatible with Ethernet communication networks.

[25]En complément, l’en-tête du paquet de données peut avoir un format défini par un mode Wide Area Network, WAN, du modèle IEEE 802.1AE. [25]In addition, the header of the data packet may have a format defined by a Wide Area Network, WAN, mode of the IEEE 802.1AE model.

[26]Ainsi, ce mode de réalisation permet de tirer parti de procédures de sécurisation existantes, et d’appliquer plusieurs de ces procédures de manière différenciée dans un même réseau de communication Ethernet. [26]Thus, this embodiment makes it possible to take advantage of existing security procedures, and to apply several of these procedures in a differentiated manner in the same Ethernet communication network.

[27]Selon des modes de réalisation, le réseau de communication Ethernet peut comprendre des unités de communication d’un véhicule automobile, dans lequel le commutateur est intégré dans l’une des unités de communication du réseau de communication Ethernet. [27] According to embodiments, the Ethernet communication network may comprise communication units of a motor vehicle, in which the switch is integrated into one of the communication units of the Ethernet communication network.

[28]L’invention est en effet particulièrement avantageuse dans le cas d’un réseau de communication Ethernet d’un véhicule automobile, puisque les unités de contrôle d’un tel véhicule automobile réalisent des fonctions très différentes nécessitant des liaisons de différents types, et donc des procédures de sécurisation différentes. [28]The invention is in fact particularly advantageous in the case of an Ethernet communication network of a motor vehicle, since the control units of such a motor vehicle perform very different functions requiring links of different types, and therefore different security procedures.

[29]Un deuxième aspect de l’invention concerne un programme informatique comportant des instructions pour la mise en œuvre du procédé selon la premier aspect de l’invention, lorsque ces instructions sont exécutées par un processeur. [29]A second aspect of the invention relates to a computer program comprising instructions for implementing the method according to the first aspect of the invention, when these instructions are executed by a processor.

[30]Un troisième aspect de l’invention concerne un commutateur d’un réseau de communication Ethernet comprenant des unités de communication, le commutateur comprenant : [30]A third aspect of the invention relates to a switch of an Ethernet communication network comprising communication units, the switch comprising:

- une mémoire stockant au moins un premier identifiant d’au moins un réseau local virtuel en association avec une première procédure de sécurisation de couche de liaison de données point à point, et stockant au moins un deuxième identifiant d’au moins un réseau local virtuel avec une deuxième procédure de sécurisation de liaison de données de bout en bout ; - a memory storing at least a first identifier of at least one virtual local network in association with a first point-to-point data link layer security procedure, and storing at least a second identifier of at least one virtual local network with a second end-to-end data link securing procedure;

- une interface de réception d’un paquet de données ; - an interface for receiving a data packet;

- un processeur configuré pour détecter un identifiant d’au moins un réseau local virtuel dans le paquet de données reçu, pour sélectionner une procédure de sécurisation de couche de liaison de données parmi la première procédure de sécurisation et la deuxième procédure de sécurisation, en fonction de l’identifiant de réseau local virtuel détecté et pour traiter le paquet de données en fonction de la procédure de sécurisation sélectionnée. - a processor configured to detect an identifier of at least one virtual local network in the received data packet, to select a procedure of the first securing procedure and the second securing procedure, based on the detected virtual local network identifier and for processing the data packet according to the selected securing procedure.

[31]D’autres caractéristiques et avantages de l’invention apparaîtront à l’examen de la description détaillée ci-après, et des dessins annexés sur lesquels : [31]Other characteristics and advantages of the invention will appear on examination of the detailed description below, and the appended drawings in which:

[32][Fig 1] illustre un réseau de communication selon un mode de réalisation de l’invention; [32][Fig 1] illustrates a communications network according to one embodiment of the invention;

[33][Fig 2] est un diagramme illustrant les étapes d’un procédé de traitement de paquet de données selon des modes de réalisation de l’invention; [33][Fig 2] is a diagram illustrating the steps of a data packet processing method according to embodiments of the invention;

[34][Fig 3] illustre une structure d’un paquet de données selon des modes de réalisation de l’invention; [34][Fig 3] illustrates a structure of a data packet according to embodiments of the invention;

[35][Fig 4] illustre la structure d’un commutateur selon des modes de réalisation de l’invention. [35][Fig 4] illustrates the structure of a switch according to embodiments of the invention.

[36]l_a figure 1 présente un réseau de communication Ethernet 100 selon un mode de réalisation de l’invention. [36]l_a Figure 1 presents an Ethernet communication network 100 according to one embodiment of the invention.

[37]Dans ce qui suit, il est considéré que le réseau 100 est intégré dans un véhicule automobile, à titre illustratif uniquement. Le réseau 100 peut toutefois être intégré dans tout autre équipement ou système comprenant plusieurs unités communicantes. [37]In the following, it is considered that the network 100 is integrated into a motor vehicle, for illustrative purposes only. The network 100 can however be integrated into any other equipment or system comprising several communicating units.

[38]Le réseau 100 comprend plusieurs unités de communication aptes à communiquer entre elles, notamment par des liaisons Ethernet. Aucune restriction n’est attachée au nombre d’unités de communication ni à leurs types. [38]The network 100 comprises several communication units capable of communicating with each other, in particular via Ethernet links. No restrictions are attached to the number of communication units or their types.

[39]En effet, chaque unité de communication peut être associée à une fonction donnée, une telle fonction impliquant des exigences données en termes de latence dans la transmission des données et/ou en termes de criticité associée à la sécurité des données. [39] Indeed, each communication unit can be associated with a given function, such a function implying given requirements in terms of latency in data transmission and/or in terms of criticality associated with data security.

[40]Un exemple avec huit unités de communication et trois types d’unités de communication est représenté sur la figure 1 , à titre illustratif uniquement. On comprendra que l’invention s’applique à tout réseau de communication comprenant plusieurs unités de communication d’au moins un type. [40]An example with eight communication units and three types of communication units is shown in Figure 1, for illustration purposes only. It will be understood that the invention applies to any communication network comprising several communication units of at least one type.

[41]Ainsi, le réseau de la figure 1 peut comprendre une unité de contrôle télématique 101 , ou unité TCU pour « Telematic Control Unit » en anglais, qui permet, dans un véhicule automobile, de connecter le véhicules à des serveurs distants, de type cloud, ou à d’autres véhicules via les normes V2X sur un réseau cellulaire. Par exemple, l’unité de contrôle télématique 101 peut être apte à connecter le réseau 100 à un premier serveur de type cloud 105.1 , qui peut être un serveur du constructeur automobile apte à fournir un premier ensemble de services. En outre, l’unité de contrôle télématique 101 peut être apte à connecter le réseau 100 à un deuxième serveur de type cloud 105.2, d’un autre fournisseur de services, apte à fournir un deuxième ensemble de services. [41]Thus, the network in Figure 1 can include a telematic control unit 101, or TCU unit for “Telematic Control Unit” in English, which allows, in a motor vehicle, to connect the vehicle to servers remote, cloud-based, or to other vehicles via V2X standards over a cellular network. For example, the telematics control unit 101 may be capable of connecting the network 100 to a first cloud-type server 105.1, which may be a server of the automobile manufacturer capable of providing a first set of services. In addition, the telematics control unit 101 may be able to connect the network 100 to a second cloud type server 105.2, from another service provider, able to provide a second set of services.

[42]Le réseau de la figure 1 peut également comprendre des unités de contrôle électroniques de type calculateur à haute performance, ou unités HPC ECU pour « High Performance Computing Electronic Control Unit » en anglais, comprenant une première unité HPC ECU 102.1 , une deuxième unité HPC ECU 102.2 et une troisième unité HPC ECU 102.3. [42]The network of Figure 1 can also include electronic control units of the high performance calculator type, or HPC ECU units for “High Performance Computing Electronic Control Unit” in English, comprising a first HPC ECU 102.1 unit, a second HPC unit ECU 102.2 and a third HPC unit ECU 102.3.

[43]l_a première unité HPC ECU 102.1 peut être reliée à l’unité TCU 101 par une liaison physique Ethernet représentée en pointillés sur la figure 1 . [43] the first HPC unit ECU 102.1 can be connected to the TCU unit 101 by a physical Ethernet link shown in dotted lines in Figure 1.

[44]Chaque unité HPC ECU 102.1 , 102.2 et 102.3 peut en outre communiquer avec une ou plusieurs unités de contrôle de zone, aussi appelée unité ZCU pour[44]Each HPC ECU unit 102.1, 102.2 and 102.3 can also communicate with one or more zone control units, also called ZCU unit for

« Zonal Control Unit » en anglais. Le réseau 100 peut notamment comprendre une première unité ZCU 103.1 , une deuxième unité ZCU 103.2, une troisième unité ZCU 103.3 et une quatrième unité ZCU 103.4. “Zonal Control Unit” in English. The network 100 may in particular comprise a first unit ZCU 103.1, a second unit ZCU 103.2, a third unit ZCU 103.3 and a fourth unit ZCU 103.4.

[45]Chaque unité ZCU peut être localisée dans une zone donnée du véhicule, à proximité de capteurs et d’actuateurs de la zone donnée, de manière à former une passerelle de communication et à assurer une exécution fiable de certaines des fonctions du véhicule. [45]Each ZCU unit can be located in a given area of the vehicle, close to sensors and actuators in the given area, so as to form a communications gateway and ensure reliable execution of some of the vehicle's functions.

[46]Chaque unité ZCU peut communiquer avec des unités de contrôle électroniques 104 du véhicule via des liaisons CAN représentées en traits pleins sur la figure 1 . [46]Each ZCU unit can communicate with electronic control units 104 of the vehicle via CAN links shown in solid lines in Figure 1.

[47]Par exemple, l’une des unités ZCU peut être en charge d’ECUs d’un dispositif d’éclairage du véhicule, alors qu’une autre unité ZCU peut être en charge d’ECUs d’un système d’airbag du véhicule. D’autres unités ZCU peuvent être prévues pour remplir d’autres fonctions du véhicule. [47]For example, one of the ZCU units may be in charge of ECUs of a vehicle lighting device, while another ZCU unit may be in charge of ECUs of an airbag system of the vehicle. Other ZCU units may be provided to perform other vehicle functions.

[48]Dans l’exemple de la figure 1 , la première unité HPC ECU 102.1 peut être reliée par des liaisons physiques Ethernet respectives à la deuxième unité ZCU 103.2 et à la troisième unité ZCU 103.3. La deuxième unité HPC ECU 102.2 peut être reliée par une liaison physique Ethernet à la première unité ZCU 103.1 et la troisième unité HPC ECU 102.3 peut être reliée par une liaison physique Ethernet à la quatrième unité ZCU 103.4. [48]In the example of Figure 1, the first HPC unit ECU 102.1 can be connected by respective physical Ethernet links to the second unit ZCU 103.2 and to the third unit ZCU 103.3. The second HPC ECU 102.2 unit can be connected by a physical Ethernet link to the first ZCU unit 103.1 and the third HPC unit ECU 102.3 can be connected by a physical Ethernet link to the fourth ZCU unit 103.4.

[49]En outre, la première unité HPC ECU 102.1 peut être reliée à la deuxième unité HPC ECU 102.2 et à la troisième unité HPC ECU 102.3 par deux liaisons physiques Ethernet respectives. [49]In addition, the first HPC unit ECU 102.1 can be connected to the second HPC unit ECU 102.2 and to the third HPC unit ECU 102.3 by two respective physical Ethernet links.

[50]Le réseau 100 illustré sur la figure 1 forme ainsi une architecture électrique électronique E/E centralisée utilisée dans de nombreux véhicules automobiles. [50]The network 100 illustrated in Figure 1 thus forms a centralized E/E electronic electrical architecture used in many motor vehicles.

[51]l_a figure 1 présente ainsi les liaisons physiques entre les unités TCU, HPC ECU ou ZCU. Chaque unité peut comprendre une unité de traitement, ou CPU, pour « Central Processing Unit », pouvant prendre la forme d’un microcontrôleur, aussi appelé MCU, pour Micro-Controller Unit, qui est une unité de traitement sur un unique circuit intégré qui comprend un processeur, une mémoire programmable ainsi que des entrées et des sorties. En variante, le CPU de chacune des unités TCU, HPC ECU ou ZCU peut être de type système sur puce, ou SoC, pour « System on Chip » en anglais, qui est une encapsulation d’un ou de plusieurs CPU, mémoires, microcontrôleurs et/ou autres composants. Un SoC est généralement utilisé pour des applications trop complexes pour être réalisées par un unique MCU. Un SoC peut notamment comprendre un système d’exploitation, ou OS pour « Operating System » en anglais. [51] Figure 1 thus presents the physical connections between the TCU, HPC ECU or ZCU units. Each unit may include a processing unit, or CPU, for "Central Processing Unit", which may take the form of a microcontroller, also called MCU, for Micro-Controller Unit, which is a processing unit on a single integrated circuit which includes a processor, programmable memory, and inputs and outputs. Alternatively, the CPU of each of the TCU, HPC ECU or ZCU units can be of the system on chip type, or SoC, for “System on Chip” in English, which is an encapsulation of one or more CPUs, memories, microcontrollers and/or other components. An SoC is generally used for applications that are too complex to be carried out by a single MCU. An SoC can notably include an operating system, or OS for “Operating System” in English.

[52]En variante, chaque unité de communication TCU, HPC ECU ou ZCU peut comprendre plusieurs CPU. [52]Alternatively, each TCU, HPC ECU or ZCU communication unit may comprise several CPUs.

[53]Les liens physiques Ethernet présentés précédemment sont ainsi établis entre les CPU des unités de communication TCU, HPC ECU ou ZCU. [53]The physical Ethernet links presented previously are thus established between the CPUs of the communication units TCU, HPC ECU or ZCU.

[54]En outre, le réseau 100 comprend un ou plusieurs commutateurs Ethernet qui peuvent être intégrés dans une ou plusieurs unités de communication. [54]Furthermore, the network 100 includes one or more Ethernet switches which may be integrated into one or more communication units.

[55]Dans l’exemple de la figure 1 , un commutateur Ethernet est intégré dans chacune des unités HPC ECU 102.1 , 102.2 et 102.3. [55]In the example of Figure 1, an Ethernet switch is integrated into each of the HPC ECU units 102.1, 102.2 and 102.3.

[56]Ainsi, un premier commutateur Ethernet 110.1 peut être intégré dans la première unité HPC ECU 102.1 , un deuxième commutateur Ethernet 110.2 peut être intégré dans la deuxième unité HPC ECU 102.2 et un troisième commutateur Ethernet 110.3 peut être intégré dans la troisième unité HPC ECU 102.3. [57]Le premier commutateur 110.1 peut être relié physiquement par des liaisons Ethernet au deuxième commutateur 110.2, au troisième commutateur 110.3, au CPU de l’unité TCU 101 , au CPU de la première unité HPC ECU 102.1 et aux CPUs des deuxième et troisièmes unités ZCU 103.2 et 103.3. [56]Thus, a first Ethernet switch 110.1 can be integrated into the first HPC ECU unit 102.1, a second Ethernet switch 110.2 can be integrated into the second HPC ECU unit 102.2 and a third Ethernet switch 110.3 can be integrated into the third HPC unit ECU 102.3. [57]The first switch 110.1 can be physically connected by Ethernet links to the second switch 110.2, to the third switch 110.3, to the CPU of the TCU unit 101, to the CPU of the first HPC ECU unit 102.1 and to the CPUs of the second and third ZCU units 103.2 and 103.3.

[58]Le deuxième commutateur 110.2 peut être relié physiquement par des liaisons Ethernet au premier commutateur 110.1 , au CPU de la deuxième unité HPC ECU 102.2 et au CPU de la première unité ZCU 103.1 . [58]The second switch 110.2 can be physically connected by Ethernet links to the first switch 110.1, to the CPU of the second HPC ECU unit 102.2 and to the CPU of the first ZCU unit 103.1.

[59]Le troisième commutateur 110.3 peut être relié physiquement par des liaisons Ethernet au premier commutateur 110.1 , au CPU de la troisième unité HPC ECU 102.3 et au CPU de la quatrième unité ZCU 103.4. [59]The third switch 110.3 can be physically connected by Ethernet links to the first switch 110.1, to the CPU of the third HPC ECU unit 102.3 and to the CPU of the fourth ZCU unit 103.4.

[60]En outre, des liaisons logiques peuvent former des réseaux d’accès locaux virtuels, ou VLAN, pour « Virtuel Local Access Network » en anglais, dont le principe est bien connu et n’est pas explicité davantage dans la présente description détaillée. Les commutateurs 110.1 à 110.3 ont un rôle central dans la réalisation de ces réseaux VLAN. [60]In addition, logical links can form virtual local access networks, or VLANs, for “Virtual Local Access Network” in English, the principle of which is well known and is not explained further in this detailed description. . Switches 110.1 to 110.3 have a central role in the creation of these VLAN networks.

[61]A titre d’exemple, les réseaux VLAN suivants peuvent être obtenus dans le réseau 100 de la figure 1 : [61]As an example, the following VLAN networks can be obtained in network 100 of Figure 1:

- un premier réseau VLAN 1 reliant l’unité TCU 101 , la première unité HPC ECU 102.1 , la deuxième unité HPC ECU 102.2 et la troisième unité HPC ECU- a first VLAN 1 network connecting the TCU unit 101, the first HPC ECU 102.1 unit, the second HPC ECU 102.2 unit and the third HPC ECU unit

102.3 ; 102.3;

- un deuxième réseau VLAN 2 reliant l’unité TCU 101 , la première unité HPC ECU 102.1 , la deuxième unité HPC ECU 102.2 et la troisième unité ZCU- a second VLAN 2 network connecting the TCU unit 101, the first HPC unit ECU 102.1, the second HPC unit ECU 102.2 and the third ZCU unit

103.3 ; 103.3;

- un troisième réseau VLAN 3 reliant la deuxième unité HPC ECU 102.2, la troisième unité HPC ECU 102.3, la première unité ZCU 103.1 et la quatrième unité ZCU 103.3. A noter que les paquets de données circulant par le réseau VLAN 3 peuvent être transférés par le premier commutateur 110.1 situé dans la première unité HPC ECU 102.1 , bien que la première unité HPC ECU 102.1 ne fasse pas partie du troisième réseau VLAN 3 ; - a third VLAN 3 network connecting the second HPC ECU 102.2 unit, the third HPC ECU 102.3 unit, the first ZCU 103.1 unit and the fourth ZCU 103.3 unit. Note that the data packets circulating through the VLAN 3 network can be transferred by the first switch 110.1 located in the first HPC ECU unit 102.1, although the first HPC ECU unit 102.1 is not part of the third VLAN 3 network;

- un quatrième réseau VLAN 4 reliant la première unité HPC ECU 102.1 , la deuxième unité HPC ECU 102.2, la première unité ZCU 103.1 , la deuxième unité ZCU 103.2 et la troisième unité ZCU 103.3 ; - a fourth VLAN network 4 connecting the first HPC unit ECU 102.1, the second HPC unit ECU 102.2, the first ZCU unit 103.1, the second ZCU unit 103.2 and the third ZCU unit 103.3;

- un cinquième réseau VLAN 5 reliant la première unité HPC ECU 102.1 , la troisième unité HPC ECU 102.3, la deuxième unité ZCU 103.2, la troisième unité ZCU 103.3 et la quatrième unité ZCU 103.4 ; et - a fifth VLAN 5 network connecting the first HPC ECU 102.1 unit, the third HPC ECU 102.3 unit, the second ZCU 103.2 unit, the third unit ZCU 103.3 and the fourth unit ZCU 103.4; And

- un sixième réseau VLAN 6 reliant l’unité TCU 101 à la première unité HPC ECU 102.1. - a sixth VLAN 6 network connecting the TCU unit 101 to the first HPC unit ECU 102.1.

[62]De tels réseaux VLAN sont bien entendu donnés à titre illustratif et peuvent plus généralement relier n’importe quel ensemble d’au moins deux unités de communication du réseau 100. [62]Such VLAN networks are of course given for illustrative purposes and can more generally connect any set of at least two communication units of the network 100.

[63]La figure 2 est un diagramme qui illustre les étapes d’un procédé de traitement de paquets de données Ethernet, selon des modes de réalisation de l’invention. [63] Figure 2 is a diagram which illustrates the steps of a method for processing Ethernet data packets, according to embodiments of the invention.

[64]Le procédé est mis en œuvre dans un commutateur de réseau Ethernet, tel que l’un des commutateurs 110.1 à 110.3 précédemment décrits en référence à la figure 1 . [64]The method is implemented in an Ethernet network switch, such as one of the switches 110.1 to 110.3 previously described with reference to Figure 1.

[65]Le procédé selon l’invention peut comprendre une étape préalable 200, durant laquelle le commutateur mettant en œuvre le procédé peut stocker au moins un premier identifiant d’au moins un réseau local virtuel en association avec une première procédure de sécurisation de couche de liaison de données point à point, et stockant au moins un deuxième identifiant d’au moins un réseau local virtuel avec une deuxième procédure de sécurisation de liaison de données de bout en bout. De manière optionnelle, le commutateur peut en outre stocker une liste d’au moins un troisième identifiant d’au moins un réseau local virtuel, ledit au moins un troisième identifiant désignant un ou des réseaux d’accès locaux virtuels pour lesquels aucune procédure de sécurisation n’est requise. [65]The method according to the invention can comprise a preliminary step 200, during which the switch implementing the method can store at least a first identifier of at least one virtual local network in association with a first layer security procedure point-to-point data link, and storing at least a second identifier of at least one virtual local network with a second end-to-end data link securing procedure. Optionally, the switch can also store a list of at least a third identifier of at least one virtual local network, said at least one third identifier designating one or more virtual local access networks for which no security procedure is not required.

[66]Aucune restriction n’est attachée au format des premier et deuxième identifiants. Il peut par exemple s’agir d’un identifiant alphanumérique désignant de manière unique un réseau VLAN, tel que « VLAN 1 » ou « VLAN 2 », dans l’exemple décrit en référence à la figure 1 . En complément ou en variante, l’un au moins des premier et deuxième identifiants peut comprendre un identifiant d’un groupe de réseaux locaux virtuels, le groupe comprenant au moins deux réseaux d’accès locaux virtuels. Un tel identifiant de groupe est également appelé « masque ». [66]No restriction is attached to the format of the first and second identifiers. It may for example be an alphanumeric identifier uniquely designating a VLAN network, such as “VLAN 1” or “VLAN 2”, in the example described with reference to Figure 1. In addition or as a variant, at least one of the first and second identifiers may comprise an identifier of a group of virtual local networks, the group comprising at least two virtual local access networks. Such a group identifier is also called a “mask”.

[67]Le stockage de tels identifiants avec des procédures de sécurisation dédiées, permet avantageusement d’appliquer différentes procédures de sécurisation de la couche de liaison, ou couche 2, dans un réseau de communication, ce qui permet d’adapter la procédure de sécurisation aux besoins spécifiques des unités de chaque réseau d’accès local virtuel ou de chaque groupe de réseaux d’accès locaux virtuels. Pour le stockage de telles associations, le commutateur peut comprendre une mémoire non volatile, décrite ultérieurement. [67]The storage of such identifiers with dedicated security procedures advantageously makes it possible to apply different security procedures of the link layer, or layer 2, in a communications network, which makes it possible to adapt the security procedure to the specific needs of the units of each virtual local access network or each group of networks virtual local access. For storing such associations, the switch may include non-volatile memory, described later.

[68]l_e procédé entre ensuite dans une phase courante durant laquelle au moins un paquet de données est échangé dans le réseau 100. [68] the method then enters a current phase during which at least one data packet is exchanged in the network 100.

[69]A une étape 201 , le commutateur de réseau reçoit un paquet de données depuis une unité de communication du réseau 100. [69]At a step 201, the network switch receives a data packet from a communication unit of the network 100.

[70]Le paquet de données reçu à l’étape 201 peut avoir le format représenté sur la figure 3 décrite ultérieurement. [70]The data packet received in step 201 may have the format shown in Figure 3 described later.

[71]A une étape 202, le commutateur détecte, dans le paquet des données reçu, un identifiant de réseau d’accès local virtuel VLAN, le paquet de données étant destiné à être échangé entre deux unités du réseau local virtuel identifié, à savoir une unité source et une unité destinataire. [71]At a step 202, the switch detects, in the data packet received, a VLAN virtual local access network identifier, the data packet being intended to be exchanged between two units of the identified virtual local network, namely a source unit and a destination unit.

[72]A une étape 203, à partir des associations stockées à l’étape 200, le commutateur sélectionne l’une des procédures de sécurisation parmi la première procédure de sécurisation et la deuxième procédure de sécurisation. Alternativement, de manière optionnelle, le commutateur peut détecter que le réseau d’accès local virtuel identifié, ou le groupe identifié, correspond à un réseau d’accès local virtuel pour lequel aucune procédure de sécurisation n’est requis. [72]At a step 203, from the associations stored in step 200, the switch selects one of the security procedures among the first security procedure and the second security procedure. Alternatively, optionally, the switch can detect that the identified virtual local access network, or the identified group, corresponds to a virtual local access network for which no security procedure is required.

[73]A une étape 204, le commutateur traite le paquet de données en fonction de la procédure de sécurisation sélectionnée à l’étape 203. [73]At a step 204, the switch processes the data packet according to the security procedure selected in step 203.

[74]Ainsi, si la première procédure de sécurisation point à point est sélectionnée à l’étape 203, le traitement appliqué à l’étape 204 peut comprendre une vérification d’un premier élément de sécurité du paquet de données reçu sur un port d’entrée du commutateur et un remplacement du premier élément de sécurité par un deuxième élément de sécurité dans le paquet de données avant transmission à une unité destinataire via un port de sortie du commutateur. Le premier élément de sécurité et le deuxième élément de sécurité peuvent être inséré dans un champ d’en-tête MACsec tel que décrit ultérieurement en référence à la figure 3. En outre d’une vérification du premier élément de sécurité, le commutateur peut déchiffrer un contenu chiffré du paquet de données, tel que sa charge utile ou payload, au moyen par exemple d’une première clé privée partagée avec l’unité source, puis chiffrer à nouveau la charge utile du paquet de données avant sa transmission à l’unité destinataire, au moyen d’une deuxième clé privée partagée avec l’unité destinataire. De manière complémentaire ou alternative, optionnellement, le commutateur peut mener une inspection en profondeur du paquet de type DPI, pour « Deep Packet Inspection » en anglais. [74]Thus, if the first point-to-point security procedure is selected in step 203, the processing applied in step 204 may include verification of a first security element of the data packet received on a port of input from the switch and a replacement of the first security element with a second security element in the data packet before transmission to a recipient unit via an output port of the switch. The first security element and the second security element may be inserted into a MACsec header field as described later with reference to Figure 3. In addition to checking the first security element, the switch may decrypt an encrypted content of the data packet, such as its payload, for example by means of a first private key shared with the source unit, then re-encrypt the payload of the data packet before its transmission to the recipient unit, by means of a second private key shared with the recipient unit. In addition or alternatively, optionally, the switch can carry out a deep packet inspection of the DPI type, for “Deep Packet Inspection” in English.

[75]En revanche, si la deuxième procédure de sécurisation bout en bout est sélectionnée à l’étape 203, le traitement appliqué à l’étape 204 peut comprendre une transmission sans modification du paquet de données à une unité destinataire du paquet par le commutateur. Il n’est donc nul besoin ni de vérifier le champ d’en-tête MACsec comprenant l’élément de sécurité, ni de déchiffrer le contenu du paquet de données, ni de mener une inspection en profondeur du paquet de données. [75]On the other hand, if the second end-to-end security procedure is selected in step 203, the processing applied in step 204 may include transmission without modification of the data packet to a unit receiving the packet by the switch . There is therefore no need to check the MACsec header field including the security element, nor to decrypt the content of the data packet, nor to carry out an in-depth inspection of the data packet.

[76]En outre, certains échanges de paquets de données peuvent ne requérir aucune sécurisation, auquel cas, s’il est déterminé qu’aucune procédure de sécurisation n’est requise à l’étape 203, le paquet de données est également transmis sans modification à une unité destinataire du paquet. Dans ce cas, le paquet de données peut alors comprendre une charge utile qui n’est pas chiffrée. [76]Furthermore, some exchanges of data packets may not require any security, in which case, if it is determined that no security procedure is required in step 203, the data packet is also transmitted without modification to a recipient unit of the packet. In this case, the data packet may then include a payload that is not encrypted.

[77] La figure 3 illustre une structure d’un paquet de données 300 selon des modes de réalisation de l’invention. [77] Figure 3 illustrates a structure of a data packet 300 according to embodiments of the invention.

[78]Une telle structure correspond à un paquet de données de type MACsec tel que défini dans le standard 802.1AE de l’IEEE. De manière avantageuse, il s’agit du mode WAN, pour « Wide Area Network », du standard identifié ci-dessus, dans lequel le réseau d’accès local virtuel est identifié en clair. En effet, un tel mode est préféré au mode LAN, pour Local Area Network, dans lequel l’identifiant de VLAN est encrypté avec le charge utile du paquet, ce qui complexifie la mise oeuvre des étapes du procédé selon l’invention par le commutateur de réseau Ethernet. [78]Such a structure corresponds to a MACsec type data packet as defined in the IEEE 802.1AE standard. Advantageously, this is the WAN mode, for “Wide Area Network”, of the standard identified above, in which the virtual local access network is identified in clear text. Indeed, such a mode is preferred to LAN mode, for Local Area Network, in which the VLAN identifier is encrypted with the payload of the packet, which complicates the implementation of the steps of the method according to the invention by the switch Ethernet network.

[79]Le paquet de données 300 peut comprendre plusieurs champs d’en-tête 301 à 305, tels que : [79]The data packet 300 may include several header fields 301 to 305, such as:

- un champ DMAC 301 : adresse de l’unité destinataire du paquet de données, en particulier son adresse MAC ; - a DMAC 301 field: address of the recipient unit of the data packet, in particular its MAC address;

- un champ SMAC 302 : adresse de l’unité source du paquet de données, en particulier son adresse MAC ; - a SMAC 302 field: address of the source unit of the data packet, in particular its MAC address;

- un champ 802.1 Q 303 comprenant un identifiant d’un réseau d’accès local virtuel VLAN ou d’un groupe de réseaux d’accès locaux virtuels. Il s’agit du champ utilisé par le commutateur à l’étape 202 décrite précédemment pour détecter l’identifiant de VLAN; - an 802.1 Q 303 field including an identifier of a local access network virtual VLAN or group of virtual local access networks. This is the field used by the switch in step 202 described previously to detect the VLAN identifier;

- un champ d’en-tête, ou header, 802.1AE 304 comprenant un champ MAC SEC Ether Type 304.1 qui comprend un élément de sécurité, comprenant un champ TCI/AN 304.2, un champ SL 304.3, un champ de numéro de paquet 304.4 et un champ optionnel SCI 304.5 ; - a header field, or header, 802.1AE 304 comprising a MAC SEC Ether Type 304.1 field which includes a security element, comprising a TCI/AN 304.2 field, an SL 304.3 field, a packet number field 304.4 and an optional SCI 304.5 field;

- un champ ETYPE 305 et un champ de charge utile 306, ou « payload » en anglais, les champs 305 et 306 étant chiffrés, ce qui permet de sécuriser les données transportées. Un tel chiffrement peut être mis en œuvre entre des unités point à point ou entre de bout en bout, selon la procédure de sécurisation utilisée pour le réseau d’accès local virtuel ; - an ETYPE field 305 and a payload field 306, or “payload” in English, the fields 305 and 306 being encrypted, which makes it possible to secure the transported data. Such encryption can be implemented between point-to-point units or between end-to-end, depending on the security procedure used for the virtual local access network;

- un champ ICV 307, comprenant une valeur de vérification d’intégrité, ou ICV, pour « Identity Check Value » en anglais ; - an ICV 307 field, including an integrity check value, or ICV, for “Identity Check Value” in English;

- un champ CRC 308, de vérification de redondance cyclique, permettant de détecter des erreurs de transmission. - a CRC 308 field, for checking cyclic redundancy, making it possible to detect transmission errors.

[80]Le champ TCI/AN 304.2 se réfère à une information de contrôle d’étiquette ou tag du réseau d’accès, aussi appelée « Tag Control Information » en anglais. [80]The TCI/AN 304.2 field refers to access network tag control information, also called “Tag Control Information” in English.

[81]Le champ MAC SEC Ether Type 304.1 comprend l’élément de sécurité qui est vérifié par le commutateur lorsque la première procédure de sécurité point à point est appliquée. [81]The MAC SEC Ether Type 304.1 field includes the security element that is verified by the switch when the first point-to-point security procedure is applied.

[82]Les avantages de la présente invention sont illustrés ci-après par un exemple basé sur les unités de communication du réseau 100 décrit en référence à la figure 1 . [82]The advantages of the present invention are illustrated below by an example based on the communication units of the network 100 described with reference to Figure 1.

[83]Selon un exemple, l’unité TCU 101 envoie un premier paquet de données à la première unité HPC ECU 102.1 , via le sixième réseau d’accès local virtuel VLAN 6, et envoie un deuxième paquet de données à la troisième unité ZCU 103.3 via le deuxième réseau d’accès local virtuel VLAN 2. Conformément à l’architecture physique de la figure 1 , le premier paquet de données est échangé entre l’unité TCU 101 et la première unité HPC ECU 102.1 via le premier commutateur 110.1 , et le deuxième paquet de données est échangé entre l’unité TCU 101 et la troisième unité ZCU 103.3 via la première unité HPC ECU 102.1 , et donc via le premier commutateur 110.1 également. [84]l_e premier commutateur 110.1 est donc en interception lors de la communication du premier paquet et lors de la communication du deuxième paquet dans le réseau 100. [83] According to an example, the TCU unit 101 sends a first data packet to the first HPC unit ECU 102.1, via the sixth virtual local access network VLAN 6, and sends a second data packet to the third ZCU unit 103.3 via the second virtual local access network VLAN 2. In accordance with the physical architecture of Figure 1, the first data packet is exchanged between the TCU unit 101 and the first HPC unit ECU 102.1 via the first switch 110.1, and the second data packet is exchanged between the TCU unit 101 and the third ZCU unit 103.3 via the first HPC unit ECU 102.1, and therefore via the first switch 110.1 as well. [84] the first switch 110.1 is therefore in interception during the communication of the first packet and during the communication of the second packet in the network 100.

[85]Dans les systèmes de l’art antérieur, une seule et unique procédure de sécurisation peut être déployée dans un réseau 100 donné, c’est-à-dire soit une procédure de sécurisation point à point, soit une procédure de sécurisation de bout en bout. [85]In the systems of the prior art, a single and unique security procedure can be deployed in a given network 100, that is to say either a point-to-point security procedure, or a security procedure of end to end.

[86]En cas d’application de la procédure point à point à l’ensemble du réseau 100, la transmission du deuxième paquet de données dans le réseau virtuel VLAN 2 n’est pas protégée. En effet, un chiffrement des données de bout en bout peut être effectué et le commutateur n’est pas en mesure de vérifier le chiffrement. De même, en cas d’application de la procédure de bout en bout à l’ensemble du réseau 100, la transmission du premier paquet de données n’est pas protégée puisque dans ce cas le premier commutateur 110.1 ne réalise pas de vérification MACsec d’un élément de sécurité. [86]If the point-to-point procedure is applied to the entire network 100, the transmission of the second data packet in the virtual network VLAN 2 is not protected. This is because end-to-end data encryption may be performed and the switch is not able to verify the encryption. Likewise, in the event of application of the end-to-end procedure to the entire network 100, the transmission of the first data packet is not protected since in this case the first switch 110.1 does not carry out MACsec d verification. 'an element of security.

[87] La présente invention permet ainsi de configurer chaque réseau d’accès local virtuel VLAN avec une procédure de sécurisation qui est adaptée à ses besoins en termes de latence, de sécurité, mais également en fonction des capacités de traitement des commutateurs impliqués dans chaque réseau d’accès local virtuel VLAN. Une protection est ainsi permise dans l’exemple précédemment considéré, à la fois pour la transmission du premier paquet de données mais également pour la transmission du deuxième paquet de données. I [87] The present invention thus makes it possible to configure each virtual local access network VLAN with a security procedure which is adapted to its needs in terms of latency, security, but also according to the processing capabilities of the switches involved in each virtual local access network VLAN. Protection is thus permitted in the example previously considered, both for the transmission of the first data packet but also for the transmission of the second data packet. I

[88]La figure 4 présente la structure d’un commutateur 110 de réseau selon des modes de réalisation de l’invention. [88] Figure 4 shows the structure of a network switch 110 according to embodiments of the invention.

[89]Ainsi, les commutateurs 110.1 , 110.2 et 110.3 peuvent correspondre à la description qui est donnée ci-après du commutateur 110. [89]Thus, switches 110.1, 110.2 and 110.3 can correspond to the description given below of switch 110.

[90]Le commutateur 110 comprend un processeur 401 configuré pour communiquer de manière unidirectionnelle ou bidirectionnelle, via un ou des bus ou via une connexion filaire directe, avec une mémoire 402 telle qu’une mémoire de type « Read Only Memory », ROM, ou tout autre type de mémoire (Flash, EEPROM, etc). De préférence, la mémoire 402 est non volatile. En variante, la mémoire 402 comprend plusieurs mémoires des types précités. [90]The switch 110 comprises a processor 401 configured to communicate unidirectionally or bidirectionally, via one or more buses or via a direct wired connection, with a memory 402 such as a “Read Only Memory” type memory, ROM, or any other type of memory (Flash, EEPROM, etc.). Preferably, memory 402 is non-volatile. Alternatively, memory 402 includes several memories of the aforementioned types.

[91]La mémoire 402 est apte à stocker, de manière permanente ou temporaire, au moins certaines des données utilisées et/ou issues de la mise en œuvre des étapes 200 à 204, du procédé selon l’invention illustré en référence à la figure 2. En particulier, la mémoire 402 peut être apte à stocker les associations entre les premier, deuxième et optionnellement troisième identifiants, et les procédures de sécurisation, parmi la première procédure de sécurisation, la deuxième procédure de sécurisation et l’absence de procédure de sécurisation. En outre, la mémoire peut stocker des éléments cryptographiques tels que des clés de chiffrement. [91]The memory 402 is capable of storing, permanently or temporarily, at least some of the data used and/or resulting from the implementation of the steps 200 to 204, of the method according to the invention illustrated with reference to Figure 2. In particular, the memory 402 can be capable of storing the associations between the first, second and optionally third identifiers, and the security procedures, among the first security procedure, the second security procedure and the absence of a security procedure. Additionally, the memory can store cryptographic elements such as encryption keys.

[92] Le processeur 401 est apte à exécuter des instructions, stockées dans la mémoire 402, pour la mise en œuvre des étapes 201 à 204 du procédé selon l’invention, décrites en référence à la figure 2. De manière alternative, le processeur 401 peut être remplacé par un microcontrôleur conçu et configuré pour réaliser les étapes du procédé 201 à 204 selon l’invention, décrites en référence à la figure 4. [92] The processor 401 is able to execute instructions, stored in the memory 402, for the implementation of steps 201 to 204 of the method according to the invention, described with reference to Figure 2. Alternatively, the processor 401 can be replaced by a microcontroller designed and configured to carry out the steps of the method 201 to 204 according to the invention, described with reference to Figure 4.

[93]Le commutateur 110 comprend au moins une première interface physique Ethernet 403 apte à échanger de manière bidirectionnelle avec au moins un CPU d’une unité de communication du réseau 100 et au moins une deuxième interface physique Ethernet 404 apte à échanger de manière bidirectionnelle avec au moins un CPU d’une autre unité de communication du réseau 100. [93]The switch 110 comprises at least a first physical interface Ethernet 403 capable of exchanging bidirectionally with at least one CPU of a communication unit of the network 100 and at least one second physical interface Ethernet 404 capable of exchanging bidirectionally with at least one CPU of another communication unit of the network 100.

[94]Le commutateur 110 peut comprendre en outre d’autres interfaces, telles qu’une troisième interface physique Ethernet 405, apte à communiquer avec d’autres unités de communication du réseau 100. En particulier, le premier commutateur 110.1 peut comprendre cinq interfaces telles que décrites ci- dessus. [94]The switch 110 may further comprise other interfaces, such as a third physical Ethernet interface 405, capable of communicating with other communication units of the network 100. In particular, the first switch 110.1 may comprise five interfaces as described above.

[95]La présente invention ne se limite pas aux formes de réalisation décrites ci- avant à titre d’exemples ; elle s’étend à d’autres variantes. [95]The present invention is not limited to the embodiments described above by way of examples; it extends to other variants.

Claims

Revendications Claims [Revendication 1] Procédé de traitement de paquets de données (300) dans un réseau (100) de communication Ethernet comprenant des unités de communication (101 ; 102.1-102.3 ; 103.1-103.4), le procédé étant mis en œuvre dans un commutateur (110 ; 110.1 ; 110.2 ; 110.3) du réseau de communication, le commutateur stockant au moins un premier identifiant d’au moins un réseau d’accès local virtuel en association avec une première procédure de sécurisation de couche de liaison de données point à point, et stockant au moins un deuxième identifiant d’au moins un réseau d’accès local virtuel avec une deuxième procédure de sécurisation de liaison de données de bout en bout, le procédé comprenant les étapes suivantes: [Claim 1] Method for processing data packets (300) in an Ethernet communication network (100) comprising communication units (101; 102.1-102.3; 103.1-103.4), the method being implemented in a switch ( 110; 110.1; 110.2; 110.3) of the communication network, the switch storing at least one first identifier of at least one virtual local access network in association with a first point-to-point data link layer security procedure, and storing at least a second identifier of at least one virtual local access network with a second end-to-end data link securing procedure, the method comprising the following steps: - réception (201 ) d’un paquet de données ; - reception (201) of a data packet; - détection (202) d’un identifiant d’au moins un réseau d’accès local virtuel dans le paquet de données reçu ; - detection (202) of an identifier of at least one virtual local access network in the received data packet; - sélection (203) d’une procédure de sécurisation de couche de liaison de données parmi la première procédure de sécurisation et la deuxième procédure de sécurisation, en fonction de l’identifiant de réseau d’accès local virtuel déterminé ; - selection (203) of a data link layer security procedure from the first security procedure and the second security procedure, based on the determined virtual local access network identifier; - traitement (204) du paquet de données en fonction de la procédure de sécurisation sélectionnée. - processing (204) of the data packet according to the selected security procedure. [Revendication 2] Procédé selon la revendication 1 , dans lequel le traitement (204) en fonction de la première procédure de sécurisation comprend une vérification d’un premier élément de sécurité (304.1 ) du paquet de données (300) reçu sur un port d’entrée du commutateur (110; 110.1 ; 110.2 ; 110.3) et un remplacement du premier élément de sécurité par un deuxième élément de sécurité dans le paquet de données avant transmission à une unité destinataire via un port de sortie du commutateur. [Claim 2] Method according to claim 1, in which the processing (204) according to the first security procedure comprises a verification of a first security element (304.1) of the data packet (300) received on a port of input from the switch (110; 110.1; 110.2; 110.3) and a replacement of the first security element with a second security element in the data packet before transmission to a recipient unit via an output port of the switch. [Revendication 3] Procédé selon la revendication 1 ou 2, dans lequel le traitement (204) en fonction de la deuxième procédure de sécurisation comprend une transmission sans modification du paquet de données à une unité destinataire du paquet (300) par le commutateur (110; 110.1 ; 110.2 ; 110.3). [Claim 3] Method according to claim 1 or 2, wherein the processing (204) according to the second security procedure comprises transmission without modification of the data packet to a unit receiving the packet (300) by the switch (110; 110.1; 110.2; 110.3). [Revendication 4] Procédé selon l’une des revendications précédentes, dans lequel au moins l’un des premier et deuxième identifiants comprend un identifiant d’un groupe de réseaux d’accès locaux virtuels. [Claim 4] Method according to one of the preceding claims, wherein at least one of the first and second identifiers comprises an identifier of a group of virtual local access networks. [Revendication 5] Procédé selon l’une des revendications précédentes, dans lequel la charge utile (306) du paquet de données (307) est chiffrée, et dans lequel l’identifiant d’au moins un réseau d’accès local virtuel est détecté dans un champ d’en-tête (303) du paquet de données (300). [Claim 5] Method according to one of the preceding claims, in which the payload (306) of the data packet (307) is encrypted, and in which the identifier of at least one virtual local access network is detected in a header field (303) of the data packet (300). [Revendication 6] Procédé selon l’une des revendications précédentes, dans lequel les première et deuxième procédures de sécurisation sont des procédures MACSec selon le modèle IEEE 802.1AE. [Claim 6] Method according to one of the preceding claims, in which the first and second security procedures are MACSec procedures according to the IEEE 802.1AE model. [Revendication 7] Procédé selon les revendications 5 et 6, dans lequel l’entête du paquet de données (300) a un format défini par un mode Wide Area Network, WAN, du modèle IEEE 802.1AE. [Claim 7] Method according to claims 5 and 6, in which the header of the data packet (300) has a format defined by a Wide Area Network, WAN, mode of the IEEE 802.1AE model. [Revendication 8] Procédé selon l’une des revendications précédentes, dans lequel le réseau de communication Ethernet (100) comprend des unités de communication d’un véhicule automobile, dans lequel le commutateur (110 ;[Claim 8] Method according to one of the preceding claims, in which the Ethernet communication network (100) comprises communication units of a motor vehicle, in which the switch (110; 110.1 ; 110.2 ; 110.3) est intégré dans l’une des unités de communication (102.1 ; 102.2 ; 102.3) du réseau de communication Ethernet. 110.1; 110.2; 110.3) is integrated into one of the communication units (102.1; 102.2; 102.3) of the Ethernet communication network. [Revendication 9] Programme informatique comportant des instructions pour la mise en œuvre du procédé selon l’une des revendications précédentes, lorsque ces instructions sont exécutées par un processeur (401 ). [Claim 9] Computer program comprising instructions for implementing the method according to one of the preceding claims, when these instructions are executed by a processor (401). [Revendication 10] Commutateur d’un réseau de communication Ethernet (100) comprenant des unités de communication (101 ; 102.1-102.3 ; 103.1- 103.4), le commutateur (110 ; 110.1 ; 110.2 ; 110.3) comprenant : [Claim 10] Switch of an Ethernet communication network (100) comprising communication units (101; 102.1-102.3; 103.1- 103.4), the switch (110; 110.1; 110.2; 110.3) comprising: - une mémoire (402) stockant au moins un premier identifiant d’au moins un réseau d’accès local virtuel en association avec une première procédure de sécurisation de couche de liaison de données point à point, et stockant au moins un deuxième identifiant d’au moins un réseau d’accès local virtuel avec une deuxième procédure de sécurisation de liaison de données de bout en bout ; - a memory (402) storing at least one first identifier of at least one virtual local access network in association with a first point-to-point data link layer security procedure, and storing at least a second identifier of at least one virtual local access network with a second link security procedure end-to-end data; - une interface (403 ; 404 ; 405) de réception d’un paquet de données (300) ;- an interface (403; 404; 405) for receiving a data packet (300); - un processeur (401 ) configuré pour détecter un identifiant d’au moins un réseau d’accès local virtuel dans le paquet de données reçu, pour sélectionner une procédure de sécurisation de couche de liaison de données parmi la première procédure de sécurisation et la deuxième procédure de sécurisation, en fonction de l’identifiant de réseau d’accès local virtuel déterminé et pour traiter le paquet de données en fonction de la procédure de sécurisation sélectionnée. - a processor (401) configured to detect an identifier of at least one virtual local access network in the received data packet, to select a data link layer security procedure from among the first security procedure and the second security procedure, according to the determined virtual local access network identifier and to process the data packet according to the selected security procedure.
PCT/FR2023/051658 2022-11-23 2023-10-23 Ethernet communications network with multiple security procedures Ceased WO2024110709A1 (en)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
FRFR2212192 2022-11-23
FR2212192A FR3142315B1 (en) 2022-11-23 2022-11-23 Ethernet communications network with multiple security procedures

Publications (1)

Publication Number Publication Date
WO2024110709A1 true WO2024110709A1 (en) 2024-05-30

Family

ID=85727120

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/FR2023/051658 Ceased WO2024110709A1 (en) 2022-11-23 2023-10-23 Ethernet communications network with multiple security procedures

Country Status (2)

Country Link
FR (1) FR3142315B1 (en)
WO (1) WO2024110709A1 (en)

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
FR2212192A1 (en) 1972-12-28 1974-07-26 Mannesmann Meer Ag
US8000344B1 (en) * 2005-12-20 2011-08-16 Extreme Networks, Inc. Methods, systems, and computer program products for transmitting and receiving layer 2 frames associated with different virtual local area networks (VLANs) over a secure layer 2 broadcast transport network
EP3148236A1 (en) * 2015-09-25 2017-03-29 Argus Cyber Security Ltd System and method for controlling access to an in-vehicle communication network
EP3863255A1 (en) * 2020-02-04 2021-08-11 BlackBerry Limited Method, apparatus and computer program for segmenting computing devices in a network
DE102022117990A1 (en) * 2021-08-06 2023-02-09 Denso Corporation ON-VEHICLE COMMUNICATION SYSTEM

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
FR2212192A1 (en) 1972-12-28 1974-07-26 Mannesmann Meer Ag
US8000344B1 (en) * 2005-12-20 2011-08-16 Extreme Networks, Inc. Methods, systems, and computer program products for transmitting and receiving layer 2 frames associated with different virtual local area networks (VLANs) over a secure layer 2 broadcast transport network
EP3148236A1 (en) * 2015-09-25 2017-03-29 Argus Cyber Security Ltd System and method for controlling access to an in-vehicle communication network
EP3863255A1 (en) * 2020-02-04 2021-08-11 BlackBerry Limited Method, apparatus and computer program for segmenting computing devices in a network
DE102022117990A1 (en) * 2021-08-06 2023-02-09 Denso Corporation ON-VEHICLE COMMUNICATION SYSTEM

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
ZAHID HAMNA: "MACsec in Classic AUTOSAR MACsec Implementation PoC on Classic AUTOSAR ECUs", 7 October 2022 (2022-10-07), pages 1 - 114, XP093060897, Retrieved from the Internet <URL:http://kth.diva-portal.org/smash/get/diva2:1712825/FULLTEXT01.pdf> [retrieved on 20230704] *

Also Published As

Publication number Publication date
FR3142315B1 (en) 2025-11-28
FR3142315A1 (en) 2024-05-24

Similar Documents

Publication Publication Date Title
US7017042B1 (en) Method and circuit to accelerate IPSec processing
JP5199399B2 (en) Method and filter arrangement for storing information about messages arriving at a subscriber of the network via a serial data bus of the communication network
CN109863732B (en) Method for communication network, and electronic monitoring unit
EP3861699A1 (en) Proxy ports for network device functionality
EP2954648B1 (en) Method for routing data, computer program, network controller and networks associated therewith
EP1309130A1 (en) Switched full duplex ethernet network and method of operating thereof
EP2793431A1 (en) Distributed method for data acquisition in an AFDX network
EP1575222B1 (en) System and process for packet switching between agents
WO2007048987A1 (en) Router and routing network
US20190268368A1 (en) Method for a communications network, and electronic monitoring unit (as amended)
FR2984554A1 (en) BUS SOFTWARE
CN112398741A (en) Method for learning routing, method, equipment and storage medium for forwarding message
CN120898412A (en) Vehicle signal relay service
KR20100087032A (en) Selectively loading security enforcement points with security association information
CN120455020B (en) Identity authentication unloading method and system based on intelligent network card
FR3071118A1 (en) ELECTRONIC DEVICE AND METHOD FOR RECEIVING DATA VIA A REBOUND COMMUNICATION NETWORK, COMMUNICATION SYSTEM AND COMPUTER PROGRAM THEREOF
WO2024110709A1 (en) Ethernet communications network with multiple security procedures
EP0676881A1 (en) Verification of the integrity of the data exchanged between two stations of a telecommunication network
EP1142182B1 (en) Device and method for processing a data packet sequence
EP4270874B1 (en) Network security gateway onboard an aircraft for connecting low and high trust domains of an avionics computer infrastructure
US20250047650A1 (en) Source-based capture of clear text from encrypted data traffic for network traffic visibility processing
EP1744515B1 (en) Method, cluster system and computer-readable medium for distributing data packets
WO2020187689A1 (en) Reduction of the attack surface in a communications system
EP3637645B1 (en) Electronic device and method for receiving data via a redundant communication network, associated communication system and computer program
EP2625830B1 (en) Method and device for the secure transfer of data

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 23806033

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 23806033

Country of ref document: EP

Kind code of ref document: A1