DE10102979C2 - Verfahren zur Absicherung von Rechnern mit Anschluss an ein Netzwerk zum Zweck der Kontrolle von Netzwerkverbindungen - Google Patents
Verfahren zur Absicherung von Rechnern mit Anschluss an ein Netzwerk zum Zweck der Kontrolle von NetzwerkverbindungenInfo
- Publication number
- DE10102979C2 DE10102979C2 DE10102979A DE10102979A DE10102979C2 DE 10102979 C2 DE10102979 C2 DE 10102979C2 DE 10102979 A DE10102979 A DE 10102979A DE 10102979 A DE10102979 A DE 10102979A DE 10102979 C2 DE10102979 C2 DE 10102979C2
- Authority
- DE
- Germany
- Prior art keywords
- network
- client
- clients
- server
- connection
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Lifetime
Links
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
- H04L63/101—Access control lists [ACL]
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/12—Applying verification of the received information
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
- H04L63/1441—Countermeasures against malicious traffic
- H04L63/145—Countermeasures against malicious traffic the attack involving the propagation of malware through the network, e.g. viruses, trojans or worms
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Signal Processing (AREA)
- Computing Systems (AREA)
- General Engineering & Computer Science (AREA)
- Computer Networks & Wireless Communication (AREA)
- Computer Hardware Design (AREA)
- Health & Medical Sciences (AREA)
- General Health & Medical Sciences (AREA)
- Virology (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
- Computer And Data Communications (AREA)
- Burglar Alarm Systems (AREA)
- Small-Scale Networks (AREA)
Description
Die Erfindung ist ein Verfahren zur Absi
cherung von Rechnern (PCs) mit Anschluss an
ein öffentliches Netzwerk (z. B. Internet) zum
Zweck der kontrollierten Unterbindung sowie
der Überprüfung der Netzwerkverbindungen
ins öffentliche Netz. Die Erfindung ist eine fäl
schungssichere Vorrichtung, die Clients (das
Programm, welches einen Dienst aus dem
Internet nutzen möchte, z. B. Web-Browser)
auf dem Rechner des Anwenders identifiziert,
verifiziert und gegebenenfalls autorisiert. Nur
so überprüfte Clients, die durch ein Schlüssel
verfahren in einer Liste auf einem zuständigen
fälschungssicheren Server autorisiert werden,
werden für den Aufbau einer Verbindung über
das hierfür benötigte Protokoll (z. B. http und
https) ins Internet freigeschaltet.
Stand der Technik ist es, Rechner, die an das
Internet angeschlossen sind, logisch betrachtet
hinter einer evtl. mehrstufigen Firewall (Rech
ner mit auf definierten Regeln basierender
Weiterleitungsfunktion für IP-Pakete) unterzu
bringen. Um nun Dienste des Internets auf den
hinter der Firewall befindlichen Systemen nut
zen zu können, müssen Regeln in der Firewall
definiert werden, die bestimmte IP Verkehre
zulassen. Um den Anwendern im geschützten
Bereich hinter der Firewall überhaupt die Mög
lichkeit zu geben, einen Dienst des Internets
nutzen zu können (denn das ist ja der Sinn
eines Anschlusses an das Internet), müssen
Regeln in der Firewall definiert werden, die die
gewünschten IP-Verkehre zulassen. Hierbei
werden dem Stand der Technik entsprechend
immer Möglichkeiten geschaffen, die Firewall
zu passieren, denn der kontrollierte durch
Regeln definierte IP-Verkehr ins Internet ist
genau der Sinn einer Firewall. Exemplarisch
betrachten wir hier das Übertragen von Web-
Seiten (html Dateien über das http oder https
Protokoll). Hierfür werden in der Regel Zugriffe
auf den Port 80 (http) freigeschaltet, um die
Webseiten externer im Internet befindlicher
Server abrufen zu können.
Ein Angreifer kann nun leicht ein Programm
schreiben, welches, einmal auf dem lokalen
Rechner des Anwenders gestartet, Daten
vom Rechner oder aus der angeschlossenen
Netzwerkumgebung ausspionieren kann. Tarnt
der Angreifer dieses Programm z. B. durch
Vortäuschung einer echten Anwendung, läuft
das Programm unbemerkt im Hintergrund des
Rechners des Anwenders (Trojaner).
Um die so ausspionierten Daten nun an den
Angreifer zu übermitteln, kann der Trojaner
keinen normalen Weg über eine TCP-IP Ver
bindung über ein eigenes Protokoll und den
dazugehörigen Port nutzen, weil eine Firewall
dies erstens unterbinden würde, und zweitens
der Versuch von der Firewall bemerkt würde.
Stattdessen kann der Trojaner http Anfragen
an die URL (Adresse) eines vom Angreifer im
Internet modifizierten Webserver stellen. Da
dies eine erlaubte Standardanwendung ist und
eine Filterregel in der Firewall existiert, die ex
plizit diese Art der Verbindung erlaubt, kann der
Trojaner seine ausspionierten Daten innerhalb
der im http Protokoll enthaltenen Möglichkeiten
der Datenübermittlung unterbringen. Größere
Datenpakete würden in mehrere http Requests
fragmentiert. Der modifizierte WebServer des
Angreifers würde nun Antworten generieren
(z. B. dynamisch erzeugte html Dateien), die
wiederum Steuerungscodes enthalten können,
die der Trojaner auswerten kann. Da die An
fragen an den modifizierten Web-Server über
das explizit erlaubte http-Protokoll laufen und
die Antworten ganz normale Web-Seiten (html-
Dateien) sind, greift die Firewall nicht. Es ist
der Firewall nicht möglich zu unterscheiden, ob
es sich bei der Anfrage um eine gewünschte
Verbindung handelt, die ein Benutzer auf
seinem Rechner über seinen Web-Browser
initiiert hat, oder ob es sich um Anfragen von
einem Trojaner handelt, der sich auf dem
Rechner des Anwenders befindet und ausspi
onierte Daten übermittelt, da eine Identifikation
des Client Programms (z. B. ein Web-Browser)
nicht möglich ist. Die beschriebene Möglich
keit der Datenspionage ist auch dann möglich,
wenn die Firewall keinen direkten Zugriff auf
Web-Seiten im Internet erlaubt, sondern den
Weg über einen Proxy-Server wählt. Die Mög
lichkeit der bidirektionalen Datenübertragung
besteht somit bei nahezu allen Diensten, die in
der Firewall für das Internet freigeschaltet sind
(z. B. DNS, E-Mail, News etc.). Nach dem der
zeitigen Stand der Technik kann ein Angreifer
ein Programm (wie oben für das http Protokoll
exemplarisch gezeigt) schreiben, welches ge
zielt nach den freigeschalteten Diensten in der
Firewall sucht und diese dann zur Übertragung
ausspionierter Daten nutzt, indem es Daten im
Protokoll der freigeschalteten Anwendung an
einen hierfür im Internet modifizierten Server
übermittelt.
Neben dem oben beschriebenen dem Stand
der Technik bezüglich Firewalls gibt es Lösun
gen, die ausgewählte Daten signieren und auf
der Seite des Empfängers Daten verwerfen,
falls deren Signatur als ungültig erkannt
wurde (Vgl. US 6 085 324), dies stellt jedoch
lediglich die Authentizität bestimmter, vorher
explizit signierter Daten sicher und trägt nicht
zur Lösung des oben beschriebenen Problems
bei. Weiterhin existiert ein Verfahren zur Über
prüfung der Berechtigung bestimmter User,
Netzwerkverbindungen aufbauen zu dürfen
(Vgl. US 5 699 513), jedoch hindert dies
einen potentiell vorhandenen Trojaner nicht
daran, seine Daten nach einer erfolgreichen
Autorisierung des Users zu übermitteln.
Dies ist Stand der Technik und unabhängig
von der eingesetzten Software, Betriebssys
tem oder Firewall.
Es liegt damit die Aufgabe zugrunde, ein Verfahren zur Absicherung von Rechnern
mit Anschluss an ein Netzwerk zum Zweck der kontrollierten Unterbindung sowie der
Überprüfung der Netzwerkverbindungen ins Netz zu schaffen, das Angriffe mittels
unerwünschter Programme abwehrt.
Die in Klammern angegebenen Ziffern be
zeichnen die Komponenten einer möglichen
Realisation der Erfindung, die in den
Abb. 1-4 beispielhaft gezeigt wird.
Verbindungen eines Programmes (Clients)
(Abb. 1 Ziff. 2) zu anderen Netzwerksystemen
(Abb. 1 Ziff. 8) werden immer an die zuständige
Systemroutine (Abb. 1 Ziff 3) des darunter lie
genden Betriebssystems (Abb. 1 Ziff. 0, 4 und
9) übergeben. Die für Netzwerkverbindungen
zuständige Systemroutine (Abb. 1 Ziff. 4) des
zu schützenden Systems (Abb. 1 Ziff. 1) wird
gegen die erfindungsgemäße Systemroutine
(Abb. 1 Ziff. 3) ausgetauscht. Die original-Sys
temroutinen können optional an anderer Stelle
im Betriebssystem zur weiteren Verwendung
vorhanden sein, es ist lediglich sicherzustellen,
dass die sie nicht von anderen Programmen
als der erfindungsgemäßen Systemroutinen
zur Verwendung von Netzwerkverbindungen
herangezogen werden können.
Der Anwender startet nun ein Programm
(den Client, Abb. 1 Ziff. 2), welches Daten mit
dem Internet (Abb. 1 Ziff. 7) austauschen soll
(z. B. Netscape). Der Client muss nun auf die
Systemroutine (Abb. 1 Ziff. 3) des zugrunde
liegenden Betriebssystems zugreifen, um eine
Netzwerkverbindung aufzubauen. In diesem
Moment startet der Client also automatisch
die erfindungsgemäße Systemroutine. Diese
ermittelt die Identität des sie aufrufenden
Programms (des Clients), erstellt seine
Checksumme und die von sich selbst (Abb.
1 Ziff. 10). Jetzt baut die erfindungsgemäße
Systemroutine eine verschlüsselte Verbin
dung zum erfindungsgemäßen Server auf
(Abb. 2 Ziff 20). Das verwendete Verschlüs
selungsverfahren und Datenformat ist hierbei
ebenso wie beim Verfahren zur Ermittlung der
Checksumme unerheblich, solange es nach
dem Stand der Technik als sicher gilt. Über
diese verschlüsselte Verbindung übermittelt
(Abb. 2 Ziff 21) die erfindungsgemäße Sys
temroutine nun die ermittelten Daten an den
erfindungsgemäßen Server (Abb. 2 Ziff. 6).
Der erfindungsgemäße Server überprüft die
so erhaltenen Daten anhand seiner internen
Liste. Der erfindungsgemäße Server führt eine
positiv-Liste der als sicher geltenden Clients
und deren Checksummen, ebenso wie die
Checksumme der erfindungsgemäßen Sys
temroutine. Welche Clients erlaubt sind und
somit als sicher gelten können, kann der Ad
ministrator des erfindungsgemäßen Servers
somit leicht selbst bestimmen.
Stimmt eine der Checksummen nicht, ist da
von auszugehen, dass das Programm (Abb.
2 Ziff. 2), dessen Checksumme nicht stimmt,
modifiziert wurde. In diesem Falle kann dem
Programm nicht mehr getraut werden, es gilt
als potentiell unsicher und der erfindungsge
mäße Server (Abb. 2 Ziff. 6) wird der erfin
dungsgemäßen Systemroutine (Abb. 2 Ziff. 3)
den Zugriff dieses Programms und/oder (im
Falle des Fehlschlagens der Checksumme der
erfindungsgemäßen Systemroutine) der of
fenbar modifizierten erfindungsgemäßen Sys
temroutine selbst verweigern. Dies geschieht
durch die Übermittlung einer Ablehnung (Abb.
2 Ziff. 22) an die erfindungsgemäße System
routine. Im Falle der Ablehnung wird die
Systemroutine eine Fehlermeldung an den
Client übermitteln und sich selbst schließen;
ebenso wird der erfindungsgemäße Server die
verschlüsselte Verbindung zur erfindungsg
emäßen Systemroutine schließen.
Stimmen die Checksummen und ist der Client
auf der Liste der erlaubten Anwendungen für
das verwendete Protokoll geführt, so übermit
telt (ebenso Abb. 2 Ziff. 22) der erfindungsg
emäße Server eine Bestätigung an die erfin
dungsgemäßen Systemroutinen. Nach Erhalt
der Bestätigung durch den erfindungsgemäßen
Server leitet die erfindungsgemäße System
routine alle kommenden Anfragen des Clients
durch die verschlüsselte Verbindung (Abb. 3
Ziff. 30) zum erfindungsgemäßen Server weiter
(Abb. 3 Ziff. 31). Dieser wird die Anfrage dann
an das eigentliche Zielsystem im Internet (Abb.
3 Ziff. 7) stellen. Die durch das Zielsystem im
Internet generierte Antworten kommen zurück
zum erfindungsgemäßen Server. Dieser führt
eine Liste der Verbindungen und kann somit
ermitteln, welcher Anfrage eines Clients das
erhaltene Antwortpaket entspricht. Das so er
mittelte System (der Client auf dem Rechner
des Anwenders) erhält (Abb. 3 Ziff. 32) somit
die vom Weiterleitungs-Server eingeholte
Antwort.
Die erfindungsgemäßen Systemroutinen sind
modifizierte (speziell angepasst auf das jeweilig
zugrunde liegende Betriebssystem) Funkti
onsaufrufe der für Netzwerkkommunikation
zuständigen Original-Systemroutinen des
jeweils zugrunde liegenden Betriebssystems
(z. B. winsock.dII bei Windows-Betriebs
systemen). Sie ersetzen die original-System
routinen, die für die Netzwerkkommunikation
zuständig sind. Sie bieten grundsätzliche alle
Funktionen, die die Original-Systemroutinen
des Betriebssystems auch bieten, sind aller
dings in der Lage, Netzwerkverbindungen zu
tunneln und zu entscheiden, ob und wie eine
Netzwerkverbindung hergestellt werden kann.
Außerdem führen Sie zusätzliche erfindungsg
emäße Operationen durch.
Systemroutinen werden grundsätzlich von
einem Client aufgerufen, u. a. um die Verbin
dung zum Zielsystem herzustellen. Einmal
aufgerufen, führen die erfindungsgemäßen
Systemroutinen folgende Schritte durch:
- - Identifikation des die Systemroutine aufru fenden Programms (Client)
- - Erstellung eines Fingerabdrucks des Client (Bilden der Checksumme)
- - Erstellung eines Fingerabdrucks der Sys temroutine selbst (Bilden der Checksumme von sich selbst)
- - Aufbau einer verschlüsselten Verbindung (Tunnel) zum erfindungsgemäßen Server
- - Übermittlung der gewonnenen Daten. (mi nimal: Name des Client, Checksumme des Cli ent, Checksumme der Systemroutine selbst, gewünschter Verbindungsport)
Die Systemroutinen erhalten hiernach vom er
findungsgemäßen Server eine Statusmeldung,
die den Aussagen "Zustimmung", "Ablehnung"
oder "Bypass" - entsprechen, woraus die Sys
temroutinen ermitteln, wie die vom Client ge
wünschte Verbindung zu behandeln ist:
- - "Ablehnung": Bei Erhalt einer Ablehnung übermittelt die Systemroutine dem Client eine Fehlermeldung, danach schließt die Systemroutine sich selbst. Es wird keine Netz werkverbindung zu dem die Systemroutinen aufrufenden Client hergestellt.
- - "Zustimmung": Bei Zustimmung werden die vom Client kommenden Daten durch den Tunnel an den erfindungsgemäßen Server weitergeleitet. Vom erfindungsgemäßen Ser ver durch den Tunnel kommende Antworten werden an den Client weitergeleitet.
- - "Bypass": Bei "Bypass" werden die vom Client kommenden Verbindungsversuche behandelt, als wären die erfindungsgemäß modifizierten Systemroutinen die Original-Systemroutinen des Betriebssystems. Alle Anfragen dieses Clients werden ohne Veränderung an die Original-Systemroutinen weitergeleitet. So werden die erfindungsgemäßen System routinen umgangen und die Systemroutinen verhalten sich für diese Verbindung, als wären sie unmodifiziert.
Des weiteren überprüft die erfindungsgemäße
Systemroutine, ob der Client die Anfragen di
rekt an die Systemroutine stellt, oder ob sich
ein Programm (welches ein Trojaner eines
Angreifers sein könnte) zwischen den Client
und die erfindungsgemäßen Systemroutinen
geschaltet hat. Ist dies der Fall, wird die
erfindungsgemäße Systemroutine mit einer
Fehlermeldung geschlossen, weil der mut
maßliche Trojaner die Anfragen des Clients
verfälschen könnte.
Der erfindungsgemäße Server ist ein abgesi
chertes Server-System, das dem Stand der
Technik entsprechend systemintern so weit in
seinen Diensten abgesichert ist, dass es als
vertrauensvoller und vor Fremdzugriffen gesi
cherter Server angesehen werden kann.
Der erfindungsgemäße Server wird von der
Systemroutine angesprochen (siehe Beschrei
bung "Die Systemroutinen"). Erfindungsgemäß
läuft auf dem erfindungsgemäßen Server eine
Anwendung, welche Verbindungen von den
erfindungsgemäßen Systemroutinen annimmt
und Verbindungen zum Internet aufbauen
kann. Es wird eine verschlüsselte gesicherte
Verbindung zwischen der erfindungsgemäßen
Systemroutine und dem erfindungsgemäßen
Server aufgebaut (Tunnel). Für das hierzu
verwendete Verfahren kann ein beliebiges
als ausreichend sicher anerkanntes Verfahren
verwendet werden (z. B. ssh).
Nach erfolgtem Aufbau des Tunnels bekommt
der erfindungsgemäße Server die durch die
erfindungsgemäße Systemroutine ermittelten
Daten mitgeteilt (minimal: Name des Clients,
Checksumme des Clients, Checksumme der
erfindungsgemäß modifizierten Systemroutine,
gewünschtes Verbindungsprotokoll).
Der erfindungsgemäße Server führt intern
Tabellen, in denen Regeln für den Umgang
mit den übermittelten Daten definiert werden.
Minimal werden in diesen Tabellen gepflegt:
- - Name des Clients
- - Checksumme des Clients
- - Adresse des die Verbindung aufbauenden Rechners
- - Checksumme der Systemroutine auf dem die Verbindung aufbauenden Rechner
- - erlaubte Ports des Clients
Um nun das Ziel zu erreichen, einen Rechner
eines Anwenders gegen Angriffe und Daten
spionage (siehe «Ziel») zu sichern, müssen
die Tabellen minimal folgende Verhalten des
erfindungsgemäßen Servers festlegen:
- 1. die übermittelte Checksumme des Clients muss mit der in der Tabelle gespeicherten Checksumme überein stimmen
- 2. die übermittelte Checksumme der System routine muss mit der in der Tabelle geführten Checksumme überein stimmen
- 3. der Client muss in der Tabelle geführt sein
- 4. das Protokoll muss für den Client zuge lassen sein.
Ist eine der Überprüfungen 1)-4) logisch
falsch, so wird die Verbindung nicht zugelas
sen: Es wird den erfindungsgemäßen Systemroutinen
eine "Ablehnung" übermittelt und der
Tunnel geschlossen. In diesem Falle können
Alarme für den Systemadministrator erzeugt
werden, damit dieser Kenntnis von dem unau
torisierten Verbindungsversuch erhält.
Optional ist es möglich, den erfindungsg
emäßen Systemroutinen ein "Bypass" zu
übermitteln. Dies hätte zur Folge, dass Net
zintern ohne Überschreitung der Firewall un
eingeschränkte Verbindungen aller (auch nicht
verifizierte und autorisierter) Programme mög
lich wären. Die Regeln der Firewall könnten in
diesem Falle auf Zulassen der Verbindungen
des erfindungsgemäßen Servers beschränkt
sein, so dass dieser der einzige Rechner ist,
der mit anderen Rechnern im Internet Kontakt
aufnehmen darf.
Sind alle Überprüfungen 1)-4) logisch wahr,
so wird die durch den Client angeforderte Ver
bindung durch den erfindungsgemäßen Server
zugelassen.: Es wird den erfindungsgemäßen
Systemroutinen eine "Zustimmung" übermit
telt. Über den Tunnel übertragene Anfragen
des Clients an Server im Internet werden vom
erfindungsgemäßen Server an den entspre
chenden Server im Internet weitergeleitet.
Dies ist möglich, weil die Firewall alle Verbin
dungen vom erfindungsgemäßen Server ins
Internet erlaubt. Vom Server aus dem Internet
kommende Antworten werden wiederum über
den Tunnel an die erfindungsgemäßen Sys
temroutinen weitergeleitet.
Somit wird der durch die erfindungsgemäßen
Systemroutinen identifizierte Client vom
erfindungsgemäßen Server verifiziert und
gegebenenfalls autorisiert. Das Ergebnis (Zu
stimmung, Ablehnung oder Bypass) wird der
erfindungsgemäßen Systemroutine über die
verschlüsselte Verbindung mitgeteilt. Bei Zu
stimmung werden von der erfindungsgemäßen
Systemroutine verschlüsselt übermittelte An
fragen des Clients entschlüsselt und anstelle
des Clients durch den erfindungsgemäßen
Server beim durch den Client angefragten
Server im Internet gestellt. Von dort kom
mende Antworten werden über den Tunnel
zurück an die erfindungsgemäße System
routine gesandt.
Claims (10)
1. Verfahren zum Einrichten eines Computer-
Netzwerkes mit einem oder mehreren Hosts
(Rechnern), dadurch gekennzeichnet, dass
die Netzwerkverbindungen der auf einem
Host (Rechner eines Anwenders) gestar
teten Clients (Programme) nur nach einer
erfolgreichen Autorisierung des jeweiligen
Clients und/oder anderer Systemkompo
nenten des Hosts erlaubt werden
2. Verfahren nach Anspruch 1, dadurch ge
kennzeichnet, dass auf einem Host gestar
tete Clients, die auf das Netzwerk zugreifen
wollen, identifiziert werden
3. Verfahren nach Anspruch 1 oder 2, dadurch
gekennzeichnet, dass die Autorisierung
(Anspruch 1) abhängig von der korrekten
Verifizierung eines elektronischen Fingerab
drucks (z. B. MD5-Checksumme) des nach
Anspruch 2 identifizierten Clients ist
4. Verfahren nach Anspruch 1, dadurch
gekennzeichnet, dass die Autorisierung
mindestens 3 Stati zurückliefern kann,
die dem Sinne nach einer "Zustimmung",
"Ablehnung" oder "Bypass" entsprechen
können und so über die Zulassung einer
Netzwerkverbindung der Clients entschei
den können
5. Verfahren nach Anspruch 1 und 3, dadurch
gekennzeichnet, dass das Programm oder
die Programme, die die Identifizierung
und das Erstellen des elektronischen Fin
gerabdrucks der die Netzwerkverbindung
anfragenden Clients erledigen, selbst
mit einem elektronischen Fingerabdruck
überprüft werden und das Ergebnis in die
Autorisierung einbezogen wird
6. Verfahren nach Anspruch 1 bis 5, dadurch
gekennzeichnet, dass die Verifizierung der
elektronischen Fingerabdrücke und die Au
torisierung auf einem externen Server statt
finden
7. Verfahren nach Anspruch 1 bis 6, dadurch ge
kennzeichnet, dass im Falle einer Meldung
"Zustimmung" nach Anspruch 4, die durch
die Clients ursprünglich über das Netzwerk
zu übermittelnden Daten, statt direkt an das,
Netzwerk übermittelt zu werden, in weitere
Pakete des verwendeten Netzwerkprot
okolls (z. B. TCP/IP) eingebunden werden
(genannt tunnelnde Verbindung), und somit
durch diese tunnelnde Netzwerkverbindung
zum in Anspruch 6 beschriebenen Server
übermittelt werden und dieser dann die
Anfragen mittels Adressumsetzung (NAT:
Network-Address-Translation, zu Deutsch:
Netzwerk-Adress-Umsetzung) mit seiner ei
genen Absenderadresse an die Zieladresse
der Netzwerkanforderung des Clients stellt,
wobei an den Server zurück kommende
Antworten wiederum durch die tunnelnde
Netzwerk-Verbindung zurück an den Client
gesandt werden (bidirektionale Verbindung
durch einen Tunnel mit NAT)
8. Verfahren nach Anspruch 1 bis 7, dadurch
gekennzeichnet, dass zur Übermittlung der
Daten zum Server nach Anspruch 6 ein ver
schlüsseltes, dem Stand der Technik nach
als sicher geltendes Übertragungsverfahren
verwendet wird
9. Verfahren nach Anspruch 1 bis 8, dadurch
gekennzeichnet, dass überprüft wird, dass
kein fremdes Programm in den Datenfluss
zwischen der die Netzwerkverbindung
anfordernden Clients und den Programm
routinen, die Anspruch 2 realisieren, ein
greifen kann
10. Verfahren nach Anspruch 1 bis 6, dadurch
gekennzeichnet, dass im Falle einer Mel
dung "Bypass" nach Anspruch 4, die durch
die Clients ursprünglich über das Netz
werk zu übermittelnden Daten direkt an
das Netzwerk übermittelt werden und nicht
nach Anspruch 7 getunnelt werden
Priority Applications (6)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
DE10102979A DE10102979C2 (de) | 2001-01-10 | 2001-01-23 | Verfahren zur Absicherung von Rechnern mit Anschluss an ein Netzwerk zum Zweck der Kontrolle von Netzwerkverbindungen |
DE50214987T DE50214987D1 (de) | 2001-01-10 | 2002-01-09 | Vorrichtung zur fälschungssicheren identifizierung, verifizierung und autorisierung von netzwerkanwendungen |
EP02702214A EP1350375B1 (de) | 2001-01-10 | 2002-01-09 | Vorrichtung zur fälschungssicheren identifizierung, verifizierung und autorisierung von netzwerkanwendungen |
PCT/DE2002/000090 WO2002056153A2 (de) | 2001-01-10 | 2002-01-09 | Vorrichtung zur fälschungssicheren identifizierung, verifizierung und autorisierung von netzwerkanwendungen |
AT02702214T ATE504144T1 (de) | 2001-01-10 | 2002-01-09 | Vorrichtung zur fälschungssicheren identifizierung, verifizierung und autorisierung von netzwerkanwendungen |
AU2002235720A AU2002235720A1 (en) | 2001-01-10 | 2002-01-09 | Device for the forgery-proof identification, verification and authorisation of network applications |
Applications Claiming Priority (2)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
DE10101321 | 2001-01-10 | ||
DE10102979A DE10102979C2 (de) | 2001-01-10 | 2001-01-23 | Verfahren zur Absicherung von Rechnern mit Anschluss an ein Netzwerk zum Zweck der Kontrolle von Netzwerkverbindungen |
Publications (2)
Publication Number | Publication Date |
---|---|
DE10102979A1 DE10102979A1 (de) | 2002-07-25 |
DE10102979C2 true DE10102979C2 (de) | 2003-04-30 |
Family
ID=7670434
Family Applications (2)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
DE10102979A Expired - Lifetime DE10102979C2 (de) | 2001-01-10 | 2001-01-23 | Verfahren zur Absicherung von Rechnern mit Anschluss an ein Netzwerk zum Zweck der Kontrolle von Netzwerkverbindungen |
DE50214987T Expired - Lifetime DE50214987D1 (de) | 2001-01-10 | 2002-01-09 | Vorrichtung zur fälschungssicheren identifizierung, verifizierung und autorisierung von netzwerkanwendungen |
Family Applications After (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
DE50214987T Expired - Lifetime DE50214987D1 (de) | 2001-01-10 | 2002-01-09 | Vorrichtung zur fälschungssicheren identifizierung, verifizierung und autorisierung von netzwerkanwendungen |
Country Status (3)
Country | Link |
---|---|
AT (1) | ATE504144T1 (de) |
AU (1) | AU2002235720A1 (de) |
DE (2) | DE10102979C2 (de) |
Citations (4)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
EP0816970A2 (de) * | 1996-07-01 | 1998-01-07 | Sun Microsystems, Inc. | Verfahren und Vorrichtung zur Authentifizierung von Firmwaren |
US6085324A (en) * | 1997-02-05 | 2000-07-04 | Ogram; Mark E. | Monitoring and regulatory system for the internet |
WO2001057626A2 (en) * | 2000-02-01 | 2001-08-09 | Sun Microsystems, Inc. | Internet server for client authentification |
DE10008973A1 (de) * | 2000-02-25 | 2001-09-06 | Bayerische Motoren Werke Ag | Autorisierungsverfahren mit Zertifikat |
-
2001
- 2001-01-23 DE DE10102979A patent/DE10102979C2/de not_active Expired - Lifetime
-
2002
- 2002-01-09 AU AU2002235720A patent/AU2002235720A1/en not_active Abandoned
- 2002-01-09 AT AT02702214T patent/ATE504144T1/de active
- 2002-01-09 DE DE50214987T patent/DE50214987D1/de not_active Expired - Lifetime
Patent Citations (4)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
EP0816970A2 (de) * | 1996-07-01 | 1998-01-07 | Sun Microsystems, Inc. | Verfahren und Vorrichtung zur Authentifizierung von Firmwaren |
US6085324A (en) * | 1997-02-05 | 2000-07-04 | Ogram; Mark E. | Monitoring and regulatory system for the internet |
WO2001057626A2 (en) * | 2000-02-01 | 2001-08-09 | Sun Microsystems, Inc. | Internet server for client authentification |
DE10008973A1 (de) * | 2000-02-25 | 2001-09-06 | Bayerische Motoren Werke Ag | Autorisierungsverfahren mit Zertifikat |
Non-Patent Citations (1)
Title |
---|
DEVANBU, P. u.a.: Techniques for trusted soft- ware engineering. In: Software Engineering. IEEE Cat.Nr. 98CB36139, 1998, S. 126-135 * |
Also Published As
Publication number | Publication date |
---|---|
DE10102979A1 (de) | 2002-07-25 |
DE50214987D1 (de) | 2011-05-12 |
ATE504144T1 (de) | 2011-04-15 |
AU2002235720A1 (en) | 2002-07-24 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
DE60132833T2 (de) | Computersystemschutz | |
EP3425865B1 (de) | Verfahren und vorrichtung zur rückwirkungsfreien unidirektionalen übertragung von daten an einen abgesetzten anwendungsserver | |
DE19740547B4 (de) | Vorrichtung und Verfahren zum Sicherstellen sicherer Kommunikation zwischen einer anfordernden Entität und einer bedienenden Entität | |
EP1777907B1 (de) | Vorrichtungen und Verfahren zum Durchführen von kryptographischen Operationen in einem Server-Client-Rechnernetzwerksystem | |
DE60016613T2 (de) | Abschreckungssystem gegen aufschaltung und missbrauch | |
DE60312235T2 (de) | Verfahren und system zur eindringverhinderung und ablenkung | |
DE202016009181U1 (de) | Regelbasierte Erkennung von Netzwerkbedrohungen für verschlüsselte Kommunikationen | |
US20040111623A1 (en) | Systems and methods for detecting user presence | |
US20040109518A1 (en) | Systems and methods for a protocol gateway | |
DE10249427A1 (de) | System und Verfahren zum Definieren des Sicherheitszustands eines Computersystems | |
DE60201716T2 (de) | Verfahren und Vorrichtung zum Schutz von E-Commerce-Site gegen Distributed-Denial-of-Service Angriffen | |
CN107317816A (zh) | 一种基于客户端应用程序鉴别的网络访问控制方法 | |
EP1298529A2 (de) | Proxy-Einheit und Verfahren zum rechnergestützten Schützen eines Applikations-Server-Programms | |
EP3105898B1 (de) | Verfahren zur kommunikation zwischen abgesicherten computersystemen sowie computernetz-infrastruktur | |
DE10241974B4 (de) | Überwachung von Datenübertragungen | |
EP3318033B1 (de) | Anti-cracking verfahren mit hilfe eines vermittlungscomputer | |
DE10102979C2 (de) | Verfahren zur Absicherung von Rechnern mit Anschluss an ein Netzwerk zum Zweck der Kontrolle von Netzwerkverbindungen | |
EP1464150B1 (de) | Verfahren, datenträger, computersystem und computerprogrammprodukt zur erkennung und abwehr von angriffen auf serversysteme von netzwerk-diensteanbietern und -betreibern | |
EP1350375B1 (de) | Vorrichtung zur fälschungssicheren identifizierung, verifizierung und autorisierung von netzwerkanwendungen | |
DE60031004T2 (de) | Elektronisches sicherheitssystem und verfahren für ein kommunikationsnetz | |
WO2002067532A1 (de) | Verfahren zur übertragung von daten, proxy-server und datenübertragungssystem | |
KR100470918B1 (ko) | 네트워크 상의 방화벽 검열 우회 방지 시스템 및 그 방법 | |
DE102005050336B4 (de) | Verfahren und Anordnung zum Betreiben eines Sicherheitsgateways | |
EP1496665B1 (de) | Verfahren zur Festlegung von Sicherheitseinstellungen in einem Automatisierungsnetz | |
Campbell | Protect your System from Cyberattacks! |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
OP8 | Request for examination as to paragraph 44 patent law | ||
8304 | Grant after examination procedure | ||
8364 | No opposition during term of opposition | ||
8339 | Ceased/non-payment of the annual fee | ||
8370 | Indication related to discontinuation of the patent is to be deleted | ||
8320 | Willingness to grant licences declared (paragraph 23) | ||
8327 | Change in the person/name/address of the patent owner |
Owner name: VALENTIN, TORSTEN, 59457 WERL, DE |
|
R071 | Expiry of right |