DE102014214274A1

DE102014214274A1 - Verfahren und Knoten zum Senden von Nachrichten sowie Computerprogrammprodukt

Info

Publication number: DE102014214274A1
Application number: DE102014214274.1A
Authority: DE
Inventors: Rainer Falk; Steffen Fries
Original assignee: Siemens AG
Current assignee: Siemens AG
Priority date: 2014-07-22
Filing date: 2014-07-22
Publication date: 2016-01-28
Also published as: WO2016012139A1

Abstract

Die vorliegende Erfindung betrifft Verfahren zum Übertragen einer Nachricht von einem Sender (110) an einen Empfänger (120) eines Kommunikationsnetzes (100), einen Knoten eines Kommunikationsnetzwerkes sowie ein Computerprogrammprodukt zum Verifizieren des Transportweg der Nachricht durch das Kommunikationsnetz. Erfindungsgemäße Sender und Knoten (110, 131–134) eines Kommunikationsnetzes (100) senden neben der an den Empfänger zu übermittelnden Nachricht eine die jeweils zur Übertragung ausgewählte Kommunikationsverbindung kennzeichnenden Information. Erfindungsgemäße Empfänger verfügen über Mittel zum Empfangen dieser Informationen und setzen diese zu einer den Kommunikationspfad (151, 152) kennzeichnenden Information zusammen, vergleichen diese mit einem Sollwert und akzeptieren der Nachricht, falls die empfangenen, die Kommunikationsverbindungen kennzeichnenden Informationen in ihrer Gesamtheit dem Sollwert entsprechen.

Description

Die vorliegende Erfindung betrifft Verfahren zum Übertragen einer Nachricht von einem Sender an einen Empfänger eines Kommunikationsnetzes, einen Knoten eines Kommunikationsnetzwerkes sowie ein Computerprogrammprodukt zum Verifizieren des Transportweges der Nachricht durch das Kommunikationsnetz.
In vielen vernetzten Systemen wird eine genaue, synchrone zuverlässige Uhrzeitinformation benötigt. Beispiele sind Wide Area Monitoring in Energienetzen, Trackingsysteme, Mobilfunksysteme, Rundfunk-/Fernseh-Sendestationen, Rechenzentren oder industrielle Automatisierungsnetze. Insbesondere in Automatisierungsnetzen werden dabei auch redundante Netzwerke eingesetzt, um die Ausfallsicherheit bzw. Verfügbarkeit eines Gesamtsystems zu erhöhen. Durch die vorhandenen Redundanzen ist es möglich, dass Synchronisierungsnachrichten mehrfach, aber auch auf unterschiedlichen Wegen bei einem Empfänger ankommen.
Dabei wird die Synchronisation durch die Übertragungswege beeinflusst. In industriellen Netzen sind die Übertragungswege (durch das Engineering der Netze) oftmals im Voraus bekannt, so dass eine bekannte Verzögerung für den Übertragungswert als Korrekturwert angenommen werden kann. Dazu muss jedoch vor Akzeptieren einer empfangenen Nachricht sichergestellt sein, dass sie auch tatsächlich über den dafür definierten Pfad gesendet wurde. Insbesondere bei der Nutzung redundanter Netze muss sichergestellt sein, dass bei Two Step Clocks (wie beispielsweise durch IEEE 1588 spezifiziert) die beiden zusammengehörenden Nachrichten Sync und Follow_up den gleichen Pfad genommen haben.
Es ist daher Aufgabe der vorliegenden Erfindung, ein Verfahren zur Verifikation des Transportweges von Nachrichten, insbesondere von Synchronisierungsnachrichten, anzugeben.
Diese Aufgabe wird gelöst durch das im Folgenden dargelegte Verfahren zum Übertragen einer Nachricht von einem Sender an einen Empfänger. Sender und Empfänger sind dabei Teil eines Kommunikationsnetzes, welches eine Mehrzahl von Knoten aufweist. Der Sender kann den Empfänger über das Kommunikationsnetz erreichen, wobei zwei zumindest teilweise voneinander verschiedene Kommunikationspfade bzw. Transportwege zwischen dem Sender und dem Empfänger existieren. Das Verfahren zeichnet sich durch folgende Schritte aus:

– Der Sender stellt die Nachricht bereit und wählt eine geeignete abgehende Kommunikationsverbindung für das Versenden der Nachricht. (Mit Kommunikationsverbindung ist hier die Direktverbindung zu einem benachbarten Knoten gemeint.) Der Sender ermittelt eine die ausgewählte Kommunikationsverbindung kennzeichnende Information und sendet die Nachricht und die Information. Die Nachricht wird dabei in jedem Fall über die ausgewählte Kommunikationsverbindung gesendet. Die Information kann, muss aber nicht, über dieselbe Kommunikationsverbindung gesendet werden. In Ausgestaltungen der Erfindung kann die Information an die Nachricht angehängt werden. (Unter "Anhängen" ist dabei das Bilden einer neuen Nachricht aus der ursprünglichen Nachricht und der Information zu verstehen. Dabei muss die Information nicht notwendigerweise hinter der ursprünglichen Nachricht angeordnet werden, sondern kann in beliebiger, dem Fachmann ohne weiteres geläufiger Art und Weise mit dieser kombiniert werden. Wichtig ist lediglich, dass der Knoten, der die neue Nachricht empfängt, die ursprüngliche Nachricht und die Information voneinander unterscheiden kann.)
– Der Knoten, der über die vom Sender ausgewählte Kommunikationsverbindung die Nachricht und ggf. die Information empfängt (dies kann der unmittelbar am anderen Ende der vom Sender ausgewählten Kommunikationsverbindung liegende Knoten sein), wählt nun seinerseits eine geeignete weitere Kommunikationsverbindung für das Weitersenden der Nachricht aus und ermittelt eine die ausgewählte weitere Kommunikationsverbindung kennzeichnenden Information. Nachricht und Information werden vom Knoten gesendet. Dabei gilt wiederum, dass die Nachricht dabei in jedem Fall über die ausgewählte weitere Kommunikationsverbindung gesendet wird und dass die Information über dieselbe Kommunikationsverbindung gesendet werden kann, aber nicht muss. In Ausgestaltungen der Erfindung kann die Information gemeinsam mit den von vorgelagerten Knoten einschließlich des Senders empfangenen Informationen an die Nachricht angehängt werden. Diese Schritte können in einzelnen oder auch in allen im Kommunikationspfad vom Sender zum Empfänger liegenden Knoten wiederholt werden.
– Der Empfänger schließlich empfängt sowohl die Nachricht als auch die von Sender und dem/den Knoten versandten, die Kommunikationsverbindungen kennzeichnenden Informationen, und zwar unabhängig davon, ob die Informationen gemeinsam mit der Nachricht oder getrennt von ihr zum Empfänger gelangt sind. Der Empfänger vergleicht alle empfangenen, die Kommunikationsverbindungen kennzeichnenden Informationen mit einem Sollwert (nötigenfalls stellt der Empfänger Berechnungen an, um vor dem Vergleich aus den einzelnen Informationen des Senders und der Knoten eine Gesamtinformation zu bilden) und akzeptiert die Nachricht, falls die empfangenen, die Kommunikationsverbindungen kennzeichnenden Informationen in ihrer Gesamtheit dem Sollwert entsprechen. Stimmen die Informationen in ihrer Gesamtheit nicht mit dem Sollwert überein, kann vorgesehen werden, dass der Empfänger die Nachricht als ungültig verwirft und/oder den Sender über die fehlgeschlagene Überprüfung informiert.

In einer Variante kann der Empfänger abhängig von der Gesamtinformation eine Bearbeitungsinformation abhängig von den empfangenen, die Kommunikationsverbindungen kennzeichnenden Informationen bestimmen und die empfangene Nachricht davon abhängig bearbeiten. So kann z.B. bei einer Zeitsynchronisationsnachricht abhängig von der Bearbeitungsinformation ein Zeitversatz bestimmt werden und ggf. eine davon abhängige Zeitkorrektur vorgenommen werden.
Unter dem Begriff "Sender" ist dabei ein Netzelement zu verstehen, das eine die ausgewählte Kommunikationsverbindung kennzeichnende Information ermittelt und diese und die Nachricht sendet. Das Bereitstellen der Nachricht durch den Sender kann dadurch erfolgen, dass der Sendeknoten selbst die Nachricht bildet, oder dadurch, dass der Sendeknoten eine ihm bereitgestellte Nachricht weiterleitet.
Mit diesem Verfahren kann zuverlässig ermittelt werden, ob die Nachricht auf dem vorgesehenen/erwarteten Kommunikationspfad bzw. Transportweg vom Sender zum Empfänger gelangt ist. Ferner kann durch den Empfänger in Ausgestaltungen auch festgestellt werden, auf welchem Pfad die Nachricht zum Empfänger gelangt ist, was Rückschlüsse auf Störungen zulässt.
Durch den Einsatz kryptographischer Prüfsummen als (Teil der) Informationen kann sogar der Nachweis erbracht werden, dass eine bestimmte Nachricht einen bestimmten Weg durch das Kommunikationsnetz genommen hat. Dies kann z.B. für eine Auditierung notwendig sein.
Insbesondere eignet sich die Erfindung im Zusammenhang mit den Nachrichten sync und follow-up des Precision Time Protocol PTP gemäß IEEE 1588, wie weiter unten detailliert dargelegt.
Die Erfindung betrifft ferner Knoten und Empfänger eines Kommunikationsnetzwerks sowie ein Computerprogrammprodukt.
Im Folgenden werden Ausführungsbeispiele der vorliegenden Erfindung detailliert anhand von Zeichnungen näher beschrieben.
Es zeigen:
1 ein Kommunikationsnetzwerk mit einer Vielzahl von Knoten in schematischer Darstellung;
2 einen ausgewählten Pfad durch das Netzwerk aus 1; und
3 eine Anwendung des in 2 dargestellten Prinzips im Zusammenhang mit einer Uhrensynchronisation gemäß dem in IEEE 1588 spezifizierten Time Precision Protocol.
1 zeigt beispielhaft ein Kommunikationsnetzwerk 100 mit einer Mehrzahl von Knoten 110, 120, 131–134. Zwei dieser Knoten agieren bezüglich einer zu übertragenden Nachricht als Sender 110 und Empfänger 120, die anderen Knoten 131–134 als Weiterleitungsknoten.
Wie bereits erläutert ist mit "Sender" 110 dabei dasjenige Netzelement gemeint, das bezüglich eines Kommunikationspfades 151, 152 erstmals für das (Weiter-)Senden einer Nachricht eine die ausgewählte Kommunikationsverbindung kennzeichnende Information ermittelt und diese und die Nachricht sendet. Das Bereitstellen der Nachricht durch den Sender kann dadurch erfolgen, dass der Sender selbst die Nachricht erzeugt, oder dadurch, dass der Sender beispielsweise als Proxy oder Gateway agiert und eine beispielsweise von einem Legacy-Gerät bereitgestellte Nachricht weiterleitet.
Die Knoten 110, 120, 131–134 sind über Kommunikationsverbindungen 141–149 in einer durch die Netzwerktopologie vorgegebenen Weise miteinander verbunden. Im Sinne dieser Beschreibung bedeutet "Kommunikationsverbindung" eine Direktverbindung zwischen zwei benachbarten Knoten, wobei sich der Terminus "Direktverbindung" auf die entsprechende Protokollebene bezieht. So kann es beispielsweise durchaus sein, dass die Kommunikationsverbindung 141 zwischen den Knoten 110 und 131 durch eine Vielzahl von Netzelementen niedrigerer Protokollschichten verläuft, was hier aber nicht von Interesse ist. Wichtig ist, dass für eine vom Sender 110 zum Empfänger 120 zu transportierende Nachricht von den Knoten 131–134 zumindest eine Entscheidung getroffen wird, auf welchem von mehreren möglichen Wegen die Nachricht in Richtung Empfänger 120 weitergeleitet wird.
Durch das Netzwerk 100 verlaufen eine Vielzahl möglicher Pfade für den Nachrichtentransport vom Sender 110 zum Empfänger 120. Zwei dieser Pfade 151, 152 sind beispielhaft durch gestrichelte Linien angedeutet. Pfad 151 ist dabei der hinsichtlich der Anzahl beteiligten Knoten 131–134 kürzest mögliche, denn es existiert keine direkte Kommunikationsverbindung zwischen Sender 110 und Empfänger 120. Nur Knoten 131 und Kommunikationsverbindungen 141 und 142 sind Bestandteil dieses Pfades 151. Pfad 152 hingegen durchläuft drei Knoten 134, 132 und 133 sowie Kommunikationsverbindungen 148, 149, 147 und 146.
Für die meisten Nachrichten ist es möglicherweise ohne Belang, ob sie über den kurzen Pfad 151 oder den längeren Pfad 152 vom Sender 110 zum Empfänger 120 gelangen. Es gibt aber, wie eingangs geschildert, Fälle, in denen es notwendig ist, dass eine Nachricht einen bestimmten Pfad 151 durchläuft, dessen Eigenschaften bekannt sind und nicht einen Pfad 152, dessen Eigenschaften entweder nicht bekannt sind oder beispielsweise aufgrund höheren Anzahl n (hier n = 3) der im Pfad befindlichen Knoten noch unvorhersehbarere, weil in jedem Knoten zufällig verursachte, Laufzeitverzögerungen aufweist.
Insbesondere für Zeitsynchronisationsnachrichten (engl. Time Synchronizing Message, TSM) ist es von großer Bedeutung, dass sie auf einem Pfad übertragen werden, dessen Eigenschaften so umfassend wie möglich bekannt sind. Im Beispiel der 1 sei dies der Pfad 151 von Sender S mit Bezugszeichen 110 zum Empfänger E mit Bezugszeichen 120 durch den Knoten N₁ mit Bezugszeichen 131.
Eine vom Sender S zum Empfänger E zu übertragende Zeitsynchronisationsnachricht (im folgenden kurz TSM) beinhaltet beispielsweise eine Identifizierungsinformation SA (Senderadresse) des Sendeknotens S, eine Identifizierungsinformation EA (Empfängeradresse) des Empfangsknotens E, einen Zeitstempel TS und eine kryptographische Prüfsumme SigS des Senders, die beispielsweise die gewählte Kommunikationsverbindung 141 kennzeichnet.
Symbolisch ausgedrückt: TSM: {SA, EA, TS, SigS}
Der Sender S wählt unter den zur Verfügung stehenden Kommunikationsverbindungen 141, 143, 148 (über die der Empfänger E erreicht werden kann) die Kommunikationsverbindung 141 für die Übertragung der TSM aus. Es sei darauf hingewiesen, dass die kryptographische Prüfsumme SigS des Senders spezifisch für die gewählte Kommunikationsverbindung 141 sein kann. Würde der Sender stattdessen die Kommunikationsverbindung 143 für das Senden der TSM wählen, hätte SigS in dieser Variante einen anderen Wert. Der Vorrat der kryptographischen Prüfsummen und ihre Zuordnung zu Kommunikationsverbindungen und ggf. anderen Eigenschaften der Übertragung werden bevorzugt so gewählt, dass die Zuordnung eineindeutig ist.
Es ist alternativ oder zusätzlich möglich, eine die ausgewählte Kommunikationsverbindung kennzeichnende Information durch eine der folgenden technischen Eigenschaften oder eine Kombination daraus zu bilden:

– Netzwerk-Interface: Dieses kann beispielsweise durch einen internen Bezeichner (wie z.B. /dev/eth1), durch eine MAC-Adresse oder durch eine IP-Adresse charakterisiert werden;
– Kommunikationsabschnitt-Identifier bzw. Übertragungsabschnitts-Identifier: Beispielsweise ein VLAN-Tag oder ein MPLS_Label; und/oder
– KeyID für den verwendeten (Teilabschnitts)-Schlüssel.

Im Beispiel der 1 empfängt der Knoten N₁ die Nachricht über das Interface in₁ (nicht dargestellt; es handelt sich um das mit der direkten Kommunikationsverbindung 141 zum Sender S assoziierte Interface) und leitet die Nachricht an das Interface out₄ (nicht dargestellt; es handelt sich um das mit der direkten Kommunikationsverbindung 142 zum Empfänger E assoziierte Interface) weiter.
Dabei leitet der Knoten N₁ die vom Sender S empfangene TSM ergänzt um eigene Informationen weiter. Diese Informationen umfassen beispielsweise eine Identifizierungsinformation N₁ des Knotens, Informationen zu den verwendeten Interfaces und eine die gewählte ausgehende Kommunikationsverbindung 142 kennzeichnende Information, hier eine kryptographische Prüfsumme SigN₁ des Senders.
Damit: TSM': {{SA, EA, TS, SigS}, N₁, in₁, out₄, SigN₁}
Dabei gilt wiederum, dass die kryptographische Prüfsumme SigN₁ des Knotens N₁ spezifisch für die gewählte Kommunikationsverbindung 142 ist. Dies kann erreicht werden, indem der Knoten N₁ abhängig von der gewählten Kommunikationsverbindung einen Schlüssel für die Berechnung der kryptographischen Prüfsumme SigN₁ bestimmt. Alternativ kann der Knoten N₁ die Information, welche die gewählte Kommunikationsverbindung kennzeichnet, explizit in die übertragene Information eincodieren und durch eine kryptographische Prüfsumme schützen. Würde der Knoten N₁ stattdessen die Kommunikationsverbindung 145 für das Weiterleiten der TSM wählen, hätte SigN₁ einen anderen Wert. Der Vorrat der kryptographischen Prüfsummen und ihre Zuordnung zu Kommunikationsverbindungen und ggf. anderen Eigenschaften der Übertragung werden auch bezüglich N₁ bevorzugt so gewählt, dass die Zuordnung eineindeutig ist.
Alternativ kann vorgesehen werden, dass dem Sender 110 und jedem Knoten 131–134 jeweils genau ein kryptographischer Schlüssel zur Bestimmung einer kryptographischen Prüfsumme zu Verfügung steht, der dann nicht abhängig von der gewählten Kommunikationsverbindung ist, und aber zusätzliche Parameter in die Nachricht eingefügt werden, aus denen der Pfad eindeutig ermittelt werden kann.
Im vorstehend beschriebenen Beispiel nutzt also der Sender S stets den gleichen kryptographischen Schlüssel zur Bestimmung der Prüfsumme SigS, unabhängig davon, welche Kommunikationsverbindung er nutzt. Der Knoten N₁ nutzt stets den gleichen Schlüssel zur Bestimmung der Prüfsumme SigN₁ unabhängig davon, welche Kommunikationsverbindung er nutzt. Die eindeutige Identifizierung gelingt dann über die vom Knoten N₁ eingefügte Information in₁, out₄ zu den verwendeten Interfaces für Empfang und Weiterleitung der Nachricht.
Fällt im Beispiel der 1 beispielsweise der Übertragungsweg 141 zwischen S und N₁ aus, so steht der Pfad 151 für die Übertragung der Nachricht nicht zur Verfügung. Es wird ein anderer Pfad gewählt, beispielsweise Pfad 152. Dies kann der Empfangsknoten E erkennen, indem die von den beteiligten Knoten angefügten, die gewählten Kommunikationsverbindungen kennzeichnenden Informationen auswertet. In diesem Beispiel genügt es bereits, die kryptographische Signatur des Knotens auszuwerten, von dem E die Nachricht erhält: erwartet würde die Signatur des Knotens N₁, empfangen wird aber bei Verwendung des Pfades 152 die Signatur des Knotens N₃. Die Nachricht kann dann durch den Knoten E beispielsweise verworfen werden. Alternativ kann der empfangenen TSM ein anderer Delay-Parameter oder eine andere Zeitgenauigkeitsinformation zugeordnet und für eine Zeitsynchronisation verwendet werden.
Als kryptographische Prüfsummen können beispielweise herkömmliche digitale Signaturen verwendet werden, wobei der Empfangsknoten E die Pfadlänge über die Zahl der digitalen Signaturen ermitteln kann. Darüber hinaus kann der Empfangsknoten E anhand der digitalen Signaturen die einzelnen Abschnitte verifizieren. Eine kryptographische Prüfsumme kann ebenso ein Nachrichtenauthentisierungscode, ein sogenannter Message Authentication Code bzw. Message Integrity Code sein. Dieser kann z.B. mittels HMAC-SHA256 oder AEC-CBCMAC berechnet werden.
Alternativ können in Abwandlungen des Konzepts sogenannte Threshold-Signaturen eingesetzt werden. Threshold-Signaturen (engl. Threshold Signatures) sind dem Fachmann aus einer Vielzahl von Veröffentlichungen auf dem Gebiet der Kryptographie bekannt. Bei diesem Verfahren wird ein Signaturschlüssel zwischen einer Zahl von Knoten aufgeteilt. Eine gültige Signatur kann nur von allen Knoten gemeinsam erzeugt werden. Threshold-Signaturen werden z.B. in Peer-to-Peer Netzen eingesetzt, um die Aufnahme von neuen Knoten in ein derartiges Netz zu realisieren.
In einem bevorzugten Ausführungsbeispiel der vorliegenden Erfindung wird der Ansatz der Threshold-Signaturen angewandt, jedoch nicht um eine Nachricht parallel durch verschiedene Knoten signieren zu lassen, sondern um die Teil-Signaturen entlang des Transportweges "einzusammeln". Es wird dabei stillschweigend vorausgesetzt, dass es eine Instanz (z.B. einen vertrauenswürdigen, ggf. gesonderter Knoten (nicht dargestellt) oder einen Initialisierungsvorgang im Rahmen der Netzwerkplanung und Netzwerkinbetriebsetzung) gibt, welche die Teilschlüssel generiert und an die verschiedenen Teilnehmer verteilt.
Im bevorzugten Ausführungsbeispiel erhält jeder Knoten 110, 120, 131–134 Teil-Signaturschlüssel für jede Kommunikationsverbindung 141–149, an die er angeschlossen ist. In einer Weiterbildung des Ausführungsbeispiels benutzt ein Knoten sowohl die der eingehenden Kommunikationsverbindung als auch die der ausgehenden Kommunikationsverbindung zugeordneten Teil-Signaturschlüssel zum signieren der weitergeleiteten Nachricht. Der Empfänger setzt die Teil-Signaturen zusammen und kann dadurch eindeutig ermitteln, auf welchem Pfad 151, 152 die Nachricht durch das Kommunikationsnetz geleitet wurde.
Dies ist in 2 detaillierter dargestellt. 2 zeigt den Pfad 152 des Netzwerkes 100 in linearisierter Darstellung und unter Vernachlässigung sämtlicher Kommunikationsverbindungen, die für den Pfad 152 keine Rolle spielen. Jeder Knoten N₂–N₄ einschließlich des Senders S verfügt über kommunikationsverbindungsspezifische oder interfacespezifische Teilschlüssels zum Erzeugen von Teil-Signaturen.
Der Sender S erzeugt eine Nachricht M, berechnet daraus die Teil-Signatur m^S und hängt sie an die Nachricht an und sendet sie über Verbindung 148 zu Knoten N₄.
Knoten N₄ empfängt die Nachricht M nebst Teil-Signatur m^S, berechnet aus der Nachricht M (ohne Berücksichtigung der Teil-Signatur m^S) eine weitere Teil-Signatur m^N4 und sendet die Nachricht M mit den Teil-Signaturen m^S und m^N4 über Kommunikationsverbindung 149 zum Knoten N₂.
Knoten N₄ empfängt die Nachricht M nebst Teil-Signaturen m^S und m^N4, berechnet aus der Nachricht M (ohne Berücksichtigung der Teil-Signaturen) eine weitere Teil-Signatur m^N2 und sendet die Nachricht M mit den Teil-Signaturen m^S, m^N4 und m^N2 über Kommunikationsverbindung 147 zum Knoten N₃.
N₃ empfängt die Nachricht M nebst Teil-Signaturen m^S, m^N4 und m^N2, berechnet aus der Nachricht M (ohne Berücksichtigung der Teil-Signaturen) eine weitere Teil-Signatur m^N3 und sendet die Nachricht M mit den Teil-Signaturen m^S, m^N4, m^N2 und m^N3 über Kommunikationsverbindung 146 schließlich zum Empfänger E.
Empfänger E empfängt die Nachricht M und die Teil-Signaturen m^S, m^N4, m^N2 und m^N3, kombiniert diese und bestimmt anhand des Ergebnisses den Pfad 152, den die Nachricht durch das Kommunikationsnetz 100 genommen hat. Zudem ist diese Bestimmung des tatsächlich gewählten Pfades manipulationssicher, da nur die jeweiligen Knoten über den für ihre Teil-Signatur notwendigen geheimen Schlüssel verfügen. Dies ist von Vorteil, wenn der Nachweis zu führen ist, welchen Weg eine bestimmte Nachricht durch das Kommunikationsnetz genommen hat.
3 zeigt eine Anwendung dieses Prinzips auf eine Uhrensynchronisation nach dem in IEEE 1588 spezifizierten Time Precision Protocol PTP. Zur Vereinfachung der Darstellung zeigt 3 den Pfad 151 durch das Kommunikationsnetz 100. Pfad 151 weist neben Sender S und Empfänger E nur einen weiteren Knoten N₁ auf.
Im Zusammenhang mit dem PTP hat Sender S die Funktion der Masterclock (MC) inne. MC generiert eine sync Nachricht gemäß IEEE 1588, die an den Empfänger E übermittelt werden soll. Gemäß der vorliegenden Erfindung generiert MC aus der sync Nachricht mit dem eigenen Teilschlüssel eine Signatur TS1 (Schritt 310) und leitet die Nachricht an den Knoten N₁ weiter (Schritt 320). N1 wiederum generiert mit dem eigenen Teilschlüssel aus der sync Nachricht eine Signatur TS2 (ohne TS1 einzubeziehen, Schritt 330) und sendet die sync Nachricht sowie beide Signaturen TS1 und TS2 an den Empfänger (Schritt 340), welcher TS1 und TS2 kombiniert und das Ergebnis verifiziert.
Die sync Nachricht wird auf dem Übertragungsweg nicht verändert. Daher kann für diese Nachricht eine kryptographische Threshold-Signatur alleine eingesetzt werden. Die follow-up Nachricht gemäß IEEE1588 hingegen kann auf dem Übertragungs-Weg verändert werden. Für diese Nachricht kann es also bei Zwischenknoten wie dem Knoten N₁ erforderlich sein, die ursprüngliche Nachricht mittels Threshold-Signatur wie beschrieben zu signieren und die Nachricht zusätzlich um die Delay-Informationen des Zwischenknotens zu ergänzen und diese mit einer kryptographischen Prüfsumme zu schützen. Der Knoten N₁ kann hierbei eine herkömmliche Prüfsumme, beispielsweise eine digitale Signatur oder einen Message Authentication Code verwenden. Es ist jedoch auch möglich, mehrere Threshold-Signaturen vorzusehen, die entlang des Pfades bestimmt werden. Dabei tragen zu einer Gesamt-Threshold-Signatur jeweils ein Threshold-Anfangsknoten und sämtliche Nachfolgeknoten entlang des Pfades bei.
In weiteren Ausführungsbeispielen der vorliegenden Erfindung kann die Einhaltung eines bestimmten Pfades durch das Kommunikationsnetz durch beliebige Nachrichten überwacht werden. Interessant ist dies beispielsweise für Nachrichten zur Topologieüberwachung, die in redundanten Netzwerktopologien wie einem Ring benötigt werden, um bei Ausfall einer Teilübertragungsstrecke einen Ersatzweg schalten zu können, etwa um den Ring wieder zu schließen.
In diesem Zusammenhang kann das erfindungsgemäße Verfahren auch betrachtet werden als ein Verfahren, das die Einhaltung eines bestimmten Pfades durch das Netzwerk überwacht. Die Informationen, welche jede einzelne, von Knoten des Netzwerks gewählte Kommunikationsverbindung charakterisieren und die in Summe den Pfad von einem Sender zu einem Empfänger beschreiben, können auch als Pfad-Security-Information bezeichnet werden. Die Art der Pfad-Security-Information ist für das Funktionieren der vorliegenden Erfindung zweitrangig, auch wenn sich, wie dargelegt, durch Verwendung von Threshold-Signaturen eine besonders elegante Art der Implementierung ergibt. Nichtsdestoweniger stehen dem Fachmann eine Reihe alternativer Verfahren zur Verfügung, beispielsweise herkömmliche digitale Signaturen oder Message Authentication Codes.
Der Empfangsknoten E ermittelt anhand der Pfad-Security-Information, ob die empfangene Nachricht über einen zulässigen Kommunikationspfad übermittelt wurde. Wenn dies der Fall ist, wird die Nachricht akzeptiert. In einer andern Variante wird abhängig vom tatsächlichen Pfad einer von mehreren vorgebbaren Verzögerungsparametern für eine Zeitsynchronisation ausgewählt. So kann bei Aktivierung eines redundanten Ersatzwegs der für diesen Ersatzweg zutreffende Delay-Parameter verwendet werden.
Die Pfad-Schutzinformation wird, wie im Zusammenhang mit 1–3 beschrieben, vorzugsweise gemeinsam bzw. als Teil mit der weitergeleiteten Nachricht übertragen. Es ist jedoch auch möglich, dass die einer Nachricht zugeordnete Pfad-Schutzinformation als separate Nachricht vom weiterleitenden Knoten dem Zielknoten bereitgestellt wird. Dabei kann die Zuordnung der weitergeleiteten Nachricht in der separaten Nachricht z.B. anhand eines Zählerwerts oder eines Hash-Werts als Referenzinformation der weitergeleiteten Nachricht erfolgen.
Bei Protokollen zur Zeitsynchronisation, zur Ersatzwegeschaltung oder zum Routing, deren korrekte Funktionsweise vom Übertragungspfad abhängt, wird eine Manipulation verhindert, bei der gültige Sendernachrichten über einen unzulässigen Pfad übertragen werden. Ein Empfangsknoten kann anhand der Pfad-Schutzinformation den Pfad verifizieren, über den eine empfangene Nachricht zu ihm transportiert wurde. Abhängig davon, ob der Übertragungspfad zulässig ist, wird die Nachricht akzeptiert. Diese Prüfung kann zusätzlich zu einer Prüfung eines herkömmlichen Ende-zu-Ende-Schutzes der Nachricht zwischen Sendeknoten und Empfangsknoten erfolgen. Sie kann auch zusätzlich zu einem bekannten Hop-to-Hop-Schutz erfolgen.
Die Pfad-Security-Information kann in Ausgestaltungen der Erfindung folgende Information enthalten:

– Identifizierungsinformation eines weiterleitenden Knotens
– Geographischer Ort eines weiterleitenden Knotens
– Übertragungsabschnitts-Identifier;
– Empfangs-Schnittstelle des weiterleitenden Knotens
– Sende-Schnittstelle des weiterleitenden Knotens
– Übertragungstechnologie / Modus der Empfangs-Schnittstelle
– Übertragungstechnologie / Modus der Sendeschnittstelle
– Delay des Zwischenknotens
– Empfangszeitpunkt der weitergeleiteten Nachricht
– Sendezeitpunkt der weitergeleiteten Nachricht
– Genutztes Protokoll für die Übertragung

Dadurch kann ein Empfangsknoten insbesondere auch prüfen, ob der Übertragungspfad die vorgesehene Route erfüllt und ob geeignete Übertragungsverfahren verwendet wurden. Falls beispielsweise bei einem redundanten Netz automatisch und transparent auf eine Mobilfunkverbindung (mit einem typischen Delay von einigen 10ms) als Fallback gewechselt wurde, oder falls wegen Störungen auf dem Funkkanal auf einen langsamen WLAN-Übertragungsmodus gewechselt wurde, so kann ein Empfangsknoten erkennen, dass die empfangene Nachricht über einen ungeeigneten, nicht als zulässig definierten Übertragungspfad transportiert wurde.
Die Implementierung der vorstehend beschriebenen Prozesse oder Verfahrensabläufe kann anhand von Instruktionen erfolgen, die auf computerlesbaren Speichermedien oder in flüchtigen Computerspeichern (im Folgenden zusammenfassend als computerlesbare Speicher bezeichnet) vorliegen. Computerlesbare Speicher sind beispielsweise flüchtige Speicher wie Caches, Puffer oder RAM sowie nichtflüchtige Speicher wie Wechseldatenträger, Festplatten, usw.
Die vorstehend beschriebenen Funktionen oder Schritte können dabei in Form zumindest eines Instruktionssatzes in/auf einem computerlesbaren Speicher vorliegen. Die Funktionen oder Schritte sind dabei nicht an einen bestimmten Instruktionssatz oder an eine bestimmte Form von Instruktionssätzen oder an ein bestimmtes Speichermedium oder an einen bestimmten Prozessor oder an bestimmte Ausführungsschemata gebunden und können durch Software, Firmware, Microcode, Hardware, Prozessoren, integrierte Schaltungen usw. im Alleinbetrieb oder in beliebiger Kombination ausgeführt werden. Dabei können verschiedenste Verarbeitungsstrategien zum Einsatz kommen, beispielsweise serielle Verarbeitung durch einen einzelnen Prozessor oder Multiprocessing oder Multitasking oder Parallelverarbeitung usw.
Die Instruktionen können in lokalen Speichern abgelegt sein, es ist aber auch möglich, die Instruktionen auf einem entfernten System abzulegen und darauf via Netzwerk zuzugreifen.
Der Begriff "Prozessor", wie hier verwendet, umfasst Verarbeitungseinheiten im weitesten Sinne, also beispielsweise Server, Universalprozessoren, Grafikprozessoren, digitale Signalprozessoren, anwendungsspezifische integrierte Schaltungen (ASICs), programmierbare Logikschaltungen wie FPGAs, diskrete analoge oder digitale Schaltungen und beliebige Kombinationen davon, einschließlich aller anderen dem Fachmann bekannten oder in Zukunft entwickelten Verarbeitungseinheiten. Prozessoren können dabei aus einer oder mehreren Vorrichtungen bestehen. Besteht ein Prozessor aus mehreren Vorrichtungen, können diese zur parallelen oder sequentiellen Verarbeitung von Instruktionen konfiguriert sein.
Die vorstehende Beschreibung stellt nur die bevorzugten Ausführungsbeispiele der Erfindung dar und soll nicht als Definition der Grenzen und des Bereiches der Erfindung dienen. Alle gleichwertigen Änderungen und Modifikationen gehören zum Schutzbereich der beigefügten Patentansprüche.
ZITATE ENTHALTEN IN DER BESCHREIBUNG
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
Zitierte Nicht-Patentliteratur

IEEE 1588 [0003]
IEEE 1588 [0010]
IEEE 1588 [0016]
IEEE 1588 [0042]
IEEE 1588 [0043]
IEEE1588 [0044]

Claims

Verfahren zum Übertragen einer Nachricht von einem Sender (110) an einen Empfänger (120) eines Kommunikationsnetzes (100), welches eine Mehrzahl von Knoten (131–134) aufweist, mittels derer zumindest zwei in zumindest teilweise voneinander verschiedene Kommunikationspfade (151, 152) zwischen dem Sender und dem Empfänger gebildet werden, gekennzeichnet durch folgende Schritte: durch den Sender (110) a) Bereitstellen der Nachricht; b) Auswählen einer geeigneten senderseitigen abgehenden Kommunikationsverbindung (141) für das Versenden der Nachricht; c) Ermitteln einer die ausgewählte Kommunikationsverbindung kennzeichnenden Information; d) Senden der Nachricht und der die ausgewählte Kommunikationsverbindung kennzeichnenden Information; durch den die Nachricht empfangenden Knoten (131) e) Auswählen einer geeigneten weiteren Kommunikationsverbindung (142) für das Weitersenden der Nachricht; f) Ermitteln einer die ausgewählte weitere Kommunikationsverbindung kennzeichnenden Information; g) Senden der Nachricht und der die ausgewählte weitere Kommunikationsverbindung kennzeichnenden Information; falls weitere Knoten auf dem Kommunikationspfad zum Empfänger liegen, entsprechendes Wiederholen der Schritte e) bis g); durch den Empfänger (120) i) Empfangen der Nachricht und der von Sender und dem/den Knoten versandten, die Kommunikationsverbindungen kennzeichnenden Informationen; j) Vergleichen aller empfangenen, die Kommunikationsverbindungen kennzeichnenden Informationen mit einem Sollwert; und h) Akzeptieren der Nachricht, falls die empfangenen, die Kommunikationsverbindungen kennzeichnenden Informationen in ihrer Gesamtheit dem Sollwert entsprechen.
Verfahren nach Anspruch 1, bei dem der Empfänger die Nachricht verwirft und eine Fehlerbehandlung anstößt, falls die empfangenen, die Kommunikationsverbindungen kennzeichnenden Informationen in ihrer Gesamtheit nicht dem Sollwert entsprechen.
Verfahren nach einem der vorhergehenden Ansprüche, bei dem die die Kommunikationsverbindungen kennzeichnenden Informationen gemeinsam mit der Nachricht übertragen werden.
Verfahren nach einem der Ansprüche 1 oder 2, bei dem durch jeden Knoten die durch diesen Knoten ermittelten kennzeichnenden Informationen an die durch den Sender oder die vorgelagerten Knoten gebildeten kennzeichnenden Informationen angehängt werden, wobei die Gesamtheit der kennzeichnenden Informationen an die Nachricht angehängt wird.
Verfahren nach einem der vorhergehenden Ansprüche, bei dem die durch einen Knoten einschließlich des Senders ermittelten, die Kommunikationsverbindungen kennzeichnenden Informationen eines oder mehrere der folgenden Informationselemente aufweisen: – Identifizierungsinformation des jeweiligen Knotens; – Geographischer Ort des jeweiligen Knotens; – Empfangs-Schnittstelle des jeweiligen Knotens; – Sende-Schnittstelle des jeweiligen Knotens; – Übertragungsabschnitts-Identifier; – Übertragungstechnologie und/oder Übertragungsmodus Schnittstelle, über die die Nachricht beim jeweiligen Knoten empfangen wurde; – Übertragungstechnologie und/oder Übertragungsmodus der vom jeweiligen Knoten verwendeten Sendeschnittstelle; – Verzögerung des jeweiligen Knotens; – Zeitpunkt des Empfangs der Nachricht beim jeweiligen Knoten; – Zeitpunkt des Versands der Nachricht durch den jeweiligen Knoten; und/oder – vom jeweiligen Knoten genutztes Protokoll für das Senden der Nachricht.
Verfahren nach einem der vorhergehenden Ansprüche, bei dem die die Kommunikationsverbindungen kennzeichnenden Informationen als kryptographische Prüfsumme ausgebildet sind oder eine kryptographische Prüfsumme aufweisen.
Verfahren nach einem der vorhergehenden Ansprüche, bei dem die die Kommunikationsverbindungen kennzeichnenden Informationen als Threshold-Signaturen ausgebildet sind oder eine Threshold-Signatur aufweisen.
Verfahren nach Anspruch 7, bei dem jeder Knoten für jede abgehende Kommunikationsverbindung eine eindeutige Threshold-Signatur verwendet.
Verfahren nach einem der vorhergehenden Ansprüche, bei dem die Nachricht zur Synchronisation von Uhrzeitinformationen dient, insbesondere eine sync Nachricht oder eine follow_up Nachricht gemäß dem Precision Time Protocol PTP ist.
Knoten (110, 131–134) eines Kommunikationsnetzes (100), der zur Weiterleitung einer Nachricht in Richtung eines Empfängers (120) eine oder mehrere Kommunikationsverbindungen (141–149) zur Auswahl hat, gekennzeichnet durch a) Mittel zum Bereitstellen der zu sendenden Nachricht; b) Mittel zum Auswählen einer geeigneten Kommunikationsverbindung für das Senden der Nachricht; c) Mittel zum Ermitteln einer die ausgewählte Kommunikationsverbindung kennzeichnenden Information; und d) Mittel zum Senden der Nachricht und der die ausgewählte Kommunikationsverbindung kennzeichnenden Information.
Knoten eines Kommunikationsnetzes nach Anspruch 10, der zusätzlich folgendes aufweist: e) Mittel zum Empfangen der weiterzuleitenden Nachricht, an die kennzeichnende Informationen angehängt sind, von einem vorgelagerten Knoten; und f) Mittel zum Anhängen der durch den Knoten ermittelten kennzeichnenden Informationen an die empfangenen kennzeichnenden Informationen und Anhängen der Gesamtheit der kennzeichnenden Informationen an die Nachricht.
Empfänger (120) eines Kommunikationsnetzes (100), gekennzeichnet durch a) Mittel zum Empfangen einer Nachricht; b) Mittel zum Empfangen von Informationen, die den Pfad der Nachricht durch das Kommunikationsnetz kennzeichnen, wobei die Informationen zusammengesetzt wird aus kennzeichnenden Informationen, die jeder an der Übermittlung der Nachricht von einem Sender zum Empfänger beteiligte Knoten einschließlich des Senders bereitstellt und welche die vom jeweiligen Knoten ausgewählte Kommunikationsverbindung kennzeichnen; c) Mittel zum Vergleichen der den Kommunikationspfad kennzeichnenden Informationen mit einem Sollwert; und d) Mittel zum Akzeptieren der Nachricht, falls die empfangenen, die Kommunikationsverbindungen kennzeichnenden Informationen in ihrer Gesamtheit dem Sollwert entsprechen.
Knoten eines Kommunikationsnetzes mit Mitteln zum Umsetzen des Verfahrens nach einem der Ansprüche 1 bis 9.
Kommunikationssystem, umfassend einen oder mehrere Knoten gemäß Anspruch 13.
Computerprogrammprodukt umfassend computerausführbare Anweisungen, welche, wenn geladen in einem Computer, zur Durchführung eines Verfahrens nach einem der Ansprüche 1 bis 9 ausgelegt sind.