DE10102979C2 - Verfahren zur Absicherung von Rechnern mit Anschluss an ein Netzwerk zum Zweck der Kontrolle von Netzwerkverbindungen - Google Patents

Description

Die Erfindung ist ein Verfahren zur Absi­ cherung von Rechnern (PCs) mit Anschluss an ein öffentliches Netzwerk (z. B. Internet) zum Zweck der kontrollierten Unterbindung sowie der Überprüfung der Netzwerkverbindungen ins öffentliche Netz. Die Erfindung ist eine fäl­ schungssichere Vorrichtung, die Clients (das Programm, welches einen Dienst aus dem Internet nutzen möchte, z. B. Web-Browser) auf dem Rechner des Anwenders identifiziert, verifiziert und gegebenenfalls autorisiert. Nur so überprüfte Clients, die durch ein Schlüssel­ verfahren in einer Liste auf einem zuständigen fälschungssicheren Server autorisiert werden, werden für den Aufbau einer Verbindung über das hierfür benötigte Protokoll (z. B. http und https) ins Internet freigeschaltet.

Stand der Technik

Stand der Technik ist es, Rechner, die an das Internet angeschlossen sind, logisch betrachtet hinter einer evtl. mehrstufigen Firewall (Rech­ ner mit auf definierten Regeln basierender Weiterleitungsfunktion für IP-Pakete) unterzu­ bringen. Um nun Dienste des Internets auf den hinter der Firewall befindlichen Systemen nut­ zen zu können, müssen Regeln in der Firewall definiert werden, die bestimmte IP Verkehre zulassen. Um den Anwendern im geschützten Bereich hinter der Firewall überhaupt die Mög­ lichkeit zu geben, einen Dienst des Internets nutzen zu können (denn das ist ja der Sinn eines Anschlusses an das Internet), müssen Regeln in der Firewall definiert werden, die die gewünschten IP-Verkehre zulassen. Hierbei werden dem Stand der Technik entsprechend immer Möglichkeiten geschaffen, die Firewall zu passieren, denn der kontrollierte durch Regeln definierte IP-Verkehr ins Internet ist genau der Sinn einer Firewall. Exemplarisch betrachten wir hier das Übertragen von Web- Seiten (html Dateien über das http oder https Protokoll). Hierfür werden in der Regel Zugriffe auf den Port 80 (http) freigeschaltet, um die Webseiten externer im Internet befindlicher Server abrufen zu können.

Ein Angreifer kann nun leicht ein Programm schreiben, welches, einmal auf dem lokalen Rechner des Anwenders gestartet, Daten vom Rechner oder aus der angeschlossenen Netzwerkumgebung ausspionieren kann. Tarnt der Angreifer dieses Programm z. B. durch Vortäuschung einer echten Anwendung, läuft das Programm unbemerkt im Hintergrund des Rechners des Anwenders (Trojaner).

Um die so ausspionierten Daten nun an den Angreifer zu übermitteln, kann der Trojaner keinen normalen Weg über eine TCP-IP Ver­ bindung über ein eigenes Protokoll und den dazugehörigen Port nutzen, weil eine Firewall dies erstens unterbinden würde, und zweitens der Versuch von der Firewall bemerkt würde. Stattdessen kann der Trojaner http Anfragen an die URL (Adresse) eines vom Angreifer im Internet modifizierten Webserver stellen. Da dies eine erlaubte Standardanwendung ist und eine Filterregel in der Firewall existiert, die ex­ plizit diese Art der Verbindung erlaubt, kann der Trojaner seine ausspionierten Daten innerhalb der im http Protokoll enthaltenen Möglichkeiten der Datenübermittlung unterbringen. Größere Datenpakete würden in mehrere http Requests fragmentiert. Der modifizierte WebServer des Angreifers würde nun Antworten generieren (z. B. dynamisch erzeugte html Dateien), die wiederum Steuerungscodes enthalten können, die der Trojaner auswerten kann. Da die An­ fragen an den modifizierten Web-Server über das explizit erlaubte http-Protokoll laufen und die Antworten ganz normale Web-Seiten (html- Dateien) sind, greift die Firewall nicht. Es ist der Firewall nicht möglich zu unterscheiden, ob es sich bei der Anfrage um eine gewünschte Verbindung handelt, die ein Benutzer auf seinem Rechner über seinen Web-Browser initiiert hat, oder ob es sich um Anfragen von einem Trojaner handelt, der sich auf dem Rechner des Anwenders befindet und ausspi­ onierte Daten übermittelt, da eine Identifikation des Client Programms (z. B. ein Web-Browser) nicht möglich ist. Die beschriebene Möglich­ keit der Datenspionage ist auch dann möglich, wenn die Firewall keinen direkten Zugriff auf Web-Seiten im Internet erlaubt, sondern den Weg über einen Proxy-Server wählt. Die Mög­ lichkeit der bidirektionalen Datenübertragung besteht somit bei nahezu allen Diensten, die in der Firewall für das Internet freigeschaltet sind (z. B. DNS, E-Mail, News etc.). Nach dem der­ zeitigen Stand der Technik kann ein Angreifer ein Programm (wie oben für das http Protokoll exemplarisch gezeigt) schreiben, welches ge­ zielt nach den freigeschalteten Diensten in der Firewall sucht und diese dann zur Übertragung ausspionierter Daten nutzt, indem es Daten im Protokoll der freigeschalteten Anwendung an einen hierfür im Internet modifizierten Server übermittelt.

Neben dem oben beschriebenen dem Stand der Technik bezüglich Firewalls gibt es Lösun­ gen, die ausgewählte Daten signieren und auf der Seite des Empfängers Daten verwerfen, falls deren Signatur als ungültig erkannt wurde (Vgl. US 6 085 324), dies stellt jedoch lediglich die Authentizität bestimmter, vorher explizit signierter Daten sicher und trägt nicht zur Lösung des oben beschriebenen Problems bei. Weiterhin existiert ein Verfahren zur Über­ prüfung der Berechtigung bestimmter User, Netzwerkverbindungen aufbauen zu dürfen (Vgl. US 5 699 513), jedoch hindert dies einen potentiell vorhandenen Trojaner nicht daran, seine Daten nach einer erfolgreichen Autorisierung des Users zu übermitteln.

Dies ist Stand der Technik und unabhängig von der eingesetzten Software, Betriebssys­ tem oder Firewall.

Es liegt damit die Aufgabe zugrunde, ein Verfahren zur Absicherung von Rechnern mit Anschluss an ein Netzwerk zum Zweck der kontrollierten Unterbindung sowie der Überprüfung der Netzwerkverbindungen ins Netz zu schaffen, das Angriffe mittels unerwünschter Programme abwehrt.

Beispiel gemäß Zeichnung

Die in Klammern angegebenen Ziffern be­ zeichnen die Komponenten einer möglichen Realisation der Erfindung, die in den Abb. 1-4 beispielhaft gezeigt wird.

Das Verfahren

Verbindungen eines Programmes (Clients) (Abb. 1 Ziff. 2) zu anderen Netzwerksystemen (Abb. 1 Ziff. 8) werden immer an die zuständige Systemroutine (Abb. 1 Ziff 3) des darunter lie­ genden Betriebssystems (Abb. 1 Ziff. 0, 4 und 9) übergeben. Die für Netzwerkverbindungen zuständige Systemroutine (Abb. 1 Ziff. 4) des zu schützenden Systems (Abb. 1 Ziff. 1) wird gegen die erfindungsgemäße Systemroutine (Abb. 1 Ziff. 3) ausgetauscht. Die original-Sys­ temroutinen können optional an anderer Stelle im Betriebssystem zur weiteren Verwendung vorhanden sein, es ist lediglich sicherzustellen, dass die sie nicht von anderen Programmen als der erfindungsgemäßen Systemroutinen zur Verwendung von Netzwerkverbindungen herangezogen werden können.

Der Anwender startet nun ein Programm (den Client, Abb. 1 Ziff. 2), welches Daten mit dem Internet (Abb. 1 Ziff. 7) austauschen soll (z. B. Netscape). Der Client muss nun auf die Systemroutine (Abb. 1 Ziff. 3) des zugrunde liegenden Betriebssystems zugreifen, um eine Netzwerkverbindung aufzubauen. In diesem Moment startet der Client also automatisch die erfindungsgemäße Systemroutine. Diese ermittelt die Identität des sie aufrufenden Programms (des Clients), erstellt seine Checksumme und die von sich selbst (Abb. 1 Ziff. 10). Jetzt baut die erfindungsgemäße Systemroutine eine verschlüsselte Verbin­ dung zum erfindungsgemäßen Server auf (Abb. 2 Ziff 20). Das verwendete Verschlüs­ selungsverfahren und Datenformat ist hierbei ebenso wie beim Verfahren zur Ermittlung der Checksumme unerheblich, solange es nach dem Stand der Technik als sicher gilt. Über diese verschlüsselte Verbindung übermittelt (Abb. 2 Ziff 21) die erfindungsgemäße Sys­ temroutine nun die ermittelten Daten an den erfindungsgemäßen Server (Abb. 2 Ziff. 6). Der erfindungsgemäße Server überprüft die so erhaltenen Daten anhand seiner internen Liste. Der erfindungsgemäße Server führt eine positiv-Liste der als sicher geltenden Clients und deren Checksummen, ebenso wie die Checksumme der erfindungsgemäßen Sys­ temroutine. Welche Clients erlaubt sind und somit als sicher gelten können, kann der Ad­ ministrator des erfindungsgemäßen Servers somit leicht selbst bestimmen.

Stimmt eine der Checksummen nicht, ist da­ von auszugehen, dass das Programm (Abb. 2 Ziff. 2), dessen Checksumme nicht stimmt, modifiziert wurde. In diesem Falle kann dem Programm nicht mehr getraut werden, es gilt als potentiell unsicher und der erfindungsge­ mäße Server (Abb. 2 Ziff. 6) wird der erfin­ dungsgemäßen Systemroutine (Abb. 2 Ziff. 3) den Zugriff dieses Programms und/oder (im Falle des Fehlschlagens der Checksumme der erfindungsgemäßen Systemroutine) der of­ fenbar modifizierten erfindungsgemäßen Sys­ temroutine selbst verweigern. Dies geschieht durch die Übermittlung einer Ablehnung (Abb. 2 Ziff. 22) an die erfindungsgemäße System­ routine. Im Falle der Ablehnung wird die Systemroutine eine Fehlermeldung an den Client übermitteln und sich selbst schließen; ebenso wird der erfindungsgemäße Server die verschlüsselte Verbindung zur erfindungsg­ emäßen Systemroutine schließen.

Stimmen die Checksummen und ist der Client auf der Liste der erlaubten Anwendungen für das verwendete Protokoll geführt, so übermit­ telt (ebenso Abb. 2 Ziff. 22) der erfindungsg­ emäße Server eine Bestätigung an die erfin­ dungsgemäßen Systemroutinen. Nach Erhalt der Bestätigung durch den erfindungsgemäßen Server leitet die erfindungsgemäße System­ routine alle kommenden Anfragen des Clients durch die verschlüsselte Verbindung (Abb. 3 Ziff. 30) zum erfindungsgemäßen Server weiter (Abb. 3 Ziff. 31). Dieser wird die Anfrage dann an das eigentliche Zielsystem im Internet (Abb. 3 Ziff. 7) stellen. Die durch das Zielsystem im Internet generierte Antworten kommen zurück zum erfindungsgemäßen Server. Dieser führt eine Liste der Verbindungen und kann somit ermitteln, welcher Anfrage eines Clients das erhaltene Antwortpaket entspricht. Das so er­ mittelte System (der Client auf dem Rechner des Anwenders) erhält (Abb. 3 Ziff. 32) somit die vom Weiterleitungs-Server eingeholte Antwort.

Die Systemroutinen

Die erfindungsgemäßen Systemroutinen sind modifizierte (speziell angepasst auf das jeweilig zugrunde liegende Betriebssystem) Funkti­ onsaufrufe der für Netzwerkkommunikation zuständigen Original-Systemroutinen des jeweils zugrunde liegenden Betriebssystems (z. B. winsock.dII bei Windows-Betriebs­ systemen). Sie ersetzen die original-System­ routinen, die für die Netzwerkkommunikation zuständig sind. Sie bieten grundsätzliche alle Funktionen, die die Original-Systemroutinen des Betriebssystems auch bieten, sind aller­ dings in der Lage, Netzwerkverbindungen zu tunneln und zu entscheiden, ob und wie eine Netzwerkverbindung hergestellt werden kann. Außerdem führen Sie zusätzliche erfindungsg­ emäße Operationen durch.

Systemroutinen werden grundsätzlich von einem Client aufgerufen, u. a. um die Verbin­ dung zum Zielsystem herzustellen. Einmal aufgerufen, führen die erfindungsgemäßen Systemroutinen folgende Schritte durch:

• - Identifikation des die Systemroutine aufru­ fenden Programms (Client)
• - Erstellung eines Fingerabdrucks des Client (Bilden der Checksumme)
• - Erstellung eines Fingerabdrucks der Sys­ temroutine selbst (Bilden der Checksumme von sich selbst)
• - Aufbau einer verschlüsselten Verbindung (Tunnel) zum erfindungsgemäßen Server
• - Übermittlung der gewonnenen Daten. (mi­ nimal: Name des Client, Checksumme des Cli­ ent, Checksumme der Systemroutine selbst, gewünschter Verbindungsport)

Die Systemroutinen erhalten hiernach vom er­ findungsgemäßen Server eine Statusmeldung, die den Aussagen "Zustimmung", "Ablehnung" oder "Bypass" - entsprechen, woraus die Sys­ temroutinen ermitteln, wie die vom Client ge­ wünschte Verbindung zu behandeln ist:

• - "Ablehnung": Bei Erhalt einer Ablehnung übermittelt die Systemroutine dem Client eine Fehlermeldung, danach schließt die Systemroutine sich selbst. Es wird keine Netz­ werkverbindung zu dem die Systemroutinen aufrufenden Client hergestellt.
• - "Zustimmung": Bei Zustimmung werden die vom Client kommenden Daten durch den Tunnel an den erfindungsgemäßen Server weitergeleitet. Vom erfindungsgemäßen Ser­ ver durch den Tunnel kommende Antworten werden an den Client weitergeleitet.
• - "Bypass": Bei "Bypass" werden die vom Client kommenden Verbindungsversuche behandelt, als wären die erfindungsgemäß modifizierten Systemroutinen die Original-Systemroutinen des Betriebssystems. Alle Anfragen dieses Clients werden ohne Veränderung an die Original-Systemroutinen weitergeleitet. So werden die erfindungsgemäßen System­ routinen umgangen und die Systemroutinen verhalten sich für diese Verbindung, als wären sie unmodifiziert.

Des weiteren überprüft die erfindungsgemäße Systemroutine, ob der Client die Anfragen di­ rekt an die Systemroutine stellt, oder ob sich ein Programm (welches ein Trojaner eines Angreifers sein könnte) zwischen den Client und die erfindungsgemäßen Systemroutinen geschaltet hat. Ist dies der Fall, wird die erfindungsgemäße Systemroutine mit einer Fehlermeldung geschlossen, weil der mut­ maßliche Trojaner die Anfragen des Clients verfälschen könnte.

Der erfindungsgemäße Server

Der erfindungsgemäße Server ist ein abgesi­ chertes Server-System, das dem Stand der Technik entsprechend systemintern so weit in seinen Diensten abgesichert ist, dass es als vertrauensvoller und vor Fremdzugriffen gesi­ cherter Server angesehen werden kann.

Der erfindungsgemäße Server wird von der Systemroutine angesprochen (siehe Beschrei­ bung "Die Systemroutinen"). Erfindungsgemäß läuft auf dem erfindungsgemäßen Server eine Anwendung, welche Verbindungen von den erfindungsgemäßen Systemroutinen annimmt und Verbindungen zum Internet aufbauen kann. Es wird eine verschlüsselte gesicherte Verbindung zwischen der erfindungsgemäßen Systemroutine und dem erfindungsgemäßen Server aufgebaut (Tunnel). Für das hierzu verwendete Verfahren kann ein beliebiges als ausreichend sicher anerkanntes Verfahren verwendet werden (z. B. ssh).

Nach erfolgtem Aufbau des Tunnels bekommt der erfindungsgemäße Server die durch die erfindungsgemäße Systemroutine ermittelten Daten mitgeteilt (minimal: Name des Clients, Checksumme des Clients, Checksumme der erfindungsgemäß modifizierten Systemroutine, gewünschtes Verbindungsprotokoll).

Der erfindungsgemäße Server führt intern Tabellen, in denen Regeln für den Umgang mit den übermittelten Daten definiert werden. Minimal werden in diesen Tabellen gepflegt:

• - Name des Clients
• - Checksumme des Clients
• - Adresse des die Verbindung aufbauenden Rechners
• - Checksumme der Systemroutine auf dem die Verbindung aufbauenden Rechner
• - erlaubte Ports des Clients

Um nun das Ziel zu erreichen, einen Rechner eines Anwenders gegen Angriffe und Daten­ spionage (siehe «Ziel») zu sichern, müssen die Tabellen minimal folgende Verhalten des erfindungsgemäßen Servers festlegen:

• 1. die übermittelte Checksumme des Clients muss mit der in der Tabelle gespeicherten Checksumme überein stimmen
• 2. die übermittelte Checksumme der System­ routine muss mit der in der Tabelle geführten Checksumme überein stimmen
• 3. der Client muss in der Tabelle geführt sein
• 4. das Protokoll muss für den Client zuge­ lassen sein.

Ist eine der Überprüfungen 1)-4) logisch falsch, so wird die Verbindung nicht zugelas­ sen: Es wird den erfindungsgemäßen Systemroutinen eine "Ablehnung" übermittelt und der Tunnel geschlossen. In diesem Falle können Alarme für den Systemadministrator erzeugt werden, damit dieser Kenntnis von dem unau­ torisierten Verbindungsversuch erhält.

Optional ist es möglich, den erfindungsg­ emäßen Systemroutinen ein "Bypass" zu übermitteln. Dies hätte zur Folge, dass Net­ zintern ohne Überschreitung der Firewall un­ eingeschränkte Verbindungen aller (auch nicht verifizierte und autorisierter) Programme mög­ lich wären. Die Regeln der Firewall könnten in diesem Falle auf Zulassen der Verbindungen des erfindungsgemäßen Servers beschränkt sein, so dass dieser der einzige Rechner ist, der mit anderen Rechnern im Internet Kontakt aufnehmen darf.

Sind alle Überprüfungen 1)-4) logisch wahr, so wird die durch den Client angeforderte Ver­ bindung durch den erfindungsgemäßen Server zugelassen.: Es wird den erfindungsgemäßen Systemroutinen eine "Zustimmung" übermit­ telt. Über den Tunnel übertragene Anfragen des Clients an Server im Internet werden vom erfindungsgemäßen Server an den entspre­ chenden Server im Internet weitergeleitet. Dies ist möglich, weil die Firewall alle Verbin­ dungen vom erfindungsgemäßen Server ins Internet erlaubt. Vom Server aus dem Internet kommende Antworten werden wiederum über den Tunnel an die erfindungsgemäßen Sys­ temroutinen weitergeleitet.

Somit wird der durch die erfindungsgemäßen Systemroutinen identifizierte Client vom erfindungsgemäßen Server verifiziert und gegebenenfalls autorisiert. Das Ergebnis (Zu­ stimmung, Ablehnung oder Bypass) wird der erfindungsgemäßen Systemroutine über die verschlüsselte Verbindung mitgeteilt. Bei Zu­ stimmung werden von der erfindungsgemäßen Systemroutine verschlüsselt übermittelte An­ fragen des Clients entschlüsselt und anstelle des Clients durch den erfindungsgemäßen Server beim durch den Client angefragten Server im Internet gestellt. Von dort kom­ mende Antworten werden über den Tunnel zurück an die erfindungsgemäße System­ routine gesandt.

Claims (10)

1. Verfahren zum Einrichten eines Computer- Netzwerkes mit einem oder mehreren Hosts (Rechnern), dadurch gekennzeichnet, dass die Netzwerkverbindungen der auf einem Host (Rechner eines Anwenders) gestar­ teten Clients (Programme) nur nach einer erfolgreichen Autorisierung des jeweiligen Clients und/oder anderer Systemkompo­ nenten des Hosts erlaubt werden

2. Verfahren nach Anspruch 1, dadurch ge­ kennzeichnet, dass auf einem Host gestar­ tete Clients, die auf das Netzwerk zugreifen wollen, identifiziert werden

3. Verfahren nach Anspruch 1 oder 2, dadurch gekennzeichnet, dass die Autorisierung (Anspruch 1) abhängig von der korrekten Verifizierung eines elektronischen Fingerab­ drucks (z. B. MD5-Checksumme) des nach Anspruch 2 identifizierten Clients ist

4. Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass die Autorisierung mindestens 3 Stati zurückliefern kann, die dem Sinne nach einer "Zustimmung", "Ablehnung" oder "Bypass" entsprechen können und so über die Zulassung einer Netzwerkverbindung der Clients entschei­ den können

5. Verfahren nach Anspruch 1 und 3, dadurch gekennzeichnet, dass das Programm oder die Programme, die die Identifizierung und das Erstellen des elektronischen Fin­ gerabdrucks der die Netzwerkverbindung anfragenden Clients erledigen, selbst mit einem elektronischen Fingerabdruck überprüft werden und das Ergebnis in die Autorisierung einbezogen wird

6. Verfahren nach Anspruch 1 bis 5, dadurch gekennzeichnet, dass die Verifizierung der elektronischen Fingerabdrücke und die Au­ torisierung auf einem externen Server statt finden

7. Verfahren nach Anspruch 1 bis 6, dadurch ge­ kennzeichnet, dass im Falle einer Meldung "Zustimmung" nach Anspruch 4, die durch die Clients ursprünglich über das Netzwerk zu übermittelnden Daten, statt direkt an das, Netzwerk übermittelt zu werden, in weitere Pakete des verwendeten Netzwerkprot­ okolls (z. B. TCP/IP) eingebunden werden (genannt tunnelnde Verbindung), und somit durch diese tunnelnde Netzwerkverbindung zum in Anspruch 6 beschriebenen Server übermittelt werden und dieser dann die Anfragen mittels Adressumsetzung (NAT: Network-Address-Translation, zu Deutsch: Netzwerk-Adress-Umsetzung) mit seiner ei­ genen Absenderadresse an die Zieladresse der Netzwerkanforderung des Clients stellt, wobei an den Server zurück kommende Antworten wiederum durch die tunnelnde Netzwerk-Verbindung zurück an den Client gesandt werden (bidirektionale Verbindung durch einen Tunnel mit NAT)

8. Verfahren nach Anspruch 1 bis 7, dadurch gekennzeichnet, dass zur Übermittlung der Daten zum Server nach Anspruch 6 ein ver­ schlüsseltes, dem Stand der Technik nach als sicher geltendes Übertragungsverfahren verwendet wird

9. Verfahren nach Anspruch 1 bis 8, dadurch gekennzeichnet, dass überprüft wird, dass kein fremdes Programm in den Datenfluss zwischen der die Netzwerkverbindung anfordernden Clients und den Programm­ routinen, die Anspruch 2 realisieren, ein­ greifen kann

10. Verfahren nach Anspruch 1 bis 6, dadurch gekennzeichnet, dass im Falle einer Mel­ dung "Bypass" nach Anspruch 4, die durch die Clients ursprünglich über das Netz­ werk zu übermittelnden Daten direkt an das Netzwerk übermittelt werden und nicht nach Anspruch 7 getunnelt werden