-
Gebiet der
Erfindung
-
Diese
Erfindung bezieht sich auf lokale Netzwerke und insbesondere auf
ein Verfahren zur Verbesserung der Sicherheit von Information, die
in einem virtuellen lokalen Netzwerk zirkuliert.
-
Hintergrund
der Erfindung
-
Übliche lokale
Netzwerke (LAN) können
so betrachtet werden, als ob sie eine Anzahl von Endstationen (oder
Endgeräten)
umfassen, die miteinander durch eine Kombination von Verbindungsstrecken
und Vermittlungen oder Switch-Einrichtungen
verbunden sind. Zusätzlich
können
entfernt angeordnete Switch-Einrichtungen
oder Vermittlungen über
virtuelle Verbindungen (VC) verbunden werden, die über asynchrone
Betriebsart- (ATM-) Verbindungen laufen. Eine derartige Erweiterung
eines LAN wird in vielen Fällen
als eine LAN-Emulation über
ATM- (LANE-) Umgebung bezeichnet. Wenn die Anzahl der Endstationen
in dem LAN oder in der LANE-Umgebung wächst, werden die Verkehrs-Überlastungen
und Sicherheitsfragen zu schwerwiegenden Problemen für Administratoren
derartiger Netzwerke.
-
Die
Segmentierung der LAN- oder LANE-Umgebung in eine Anzahl von virtuellen
LAN's (VLAN's) wurde von Netzwerk-Administratoren
verwendet, um eine Verkehrs-Überlastung
zu mildern und eine Sicherheit für die
Information zu schaffen, die sich in dem Netzwerk bewegt. Die Sicherheit,
die sich bei traditionellen VLAN's ergibt,
beruht auf zwei grundlegenden Prinzipien, die zur Übertragung
von Datenpaketen in dem Netzwerk verwendet werden. Einerseits wird
Rundsende- und Sammelsende-Verkehr lediglich zu Endstationen ausgesandt,
die Mitglieder des VLAN sind. In diesem Fall kann eine gemeinsame
Rundsende- oder
Sammelsende-Adresse gemeinsam von vorgesehenen Empfängern verwendet
werden. Zweitens wird Punkt-zu-Punkt-Verkehr lediglich zwischen
den Quellen- und Ziel-Endstationen übertragen, obwohl der Ort eines
vorgesehenen Empfängers
in vielen Fällen
lediglich dadurch bestimmt werden kann, dass zunächst ein „Ermittlungs"-Paket im Rundsendebetrieb
an andere Endstationen innerhalb des VLAN gesandt wird. Es ist klar
zu erkennen, dass die Netzwerk-Sicherheit
beim Stand der Technik auf der Annahme beruht, dass Daten lediglich
an diejenigen Endstationen gesandt werden, die autorisiert sind,
die Daten zu sehen, wodurch eine Durchbrechung der Sicherheit aufgrund
eines unbeabsichtigten oder böswilligen
Schnüffelns
durch Endstationen außerhalb
des VLAN vermieden wird. Ein schwerwiegender Fehler bei dieser Lösung besteht
darin, dass Endstationen dem VLAN mit nur geringer oder ohne Authentifizierung
durch das Netzwerk beitreten können.
-
Die
Mitgliedschaft in einem VLAN kann durch den Benutzernamen, die Zugangsport-Identifikation,
die Endstations-Medienzugangskontroll- (MAC-) Adresse oder die Internetprotokoll-
(IP-) Teilnetzwerk-Adresse definiert werden. Wenn die Mitgliedschaft
in einem VLAN durch die Zugangsport-Identifikation definiert ist,
ordnet der Netzwerk-Administrator die physikalischen Ports (beispielsweise
auf einem Ethernet-Switch oder -Hub) zu, die Elemente eines VLAN
bilden. Dies hindert einen Eindringling jedoch nicht daran, eine
rechtmäßige Endstation
abzutrennen und eine Verbindung einer unrechtmäßigen Endstation mit ein und
dem gleichen physikalischen Port herzustellen. Nach der Herstellung
der Verbindung hat die unrechtmäßige Endstation
Zugang an möglicherweise
vertrauliche Information, die in dem VLAN zirkuliert.
-
Die
VLAN-Mitgliedschaft kann weiterhin unter Bezugnahme auf eine einzigartige
48-Bit-MAC-Adresse definiert werden, die jeder Endstation während der
Herstellung zugeteilt wird. In diesem Fall definiert der Netzwerk-Administrator
die MAC-Adressen
der Endstationen, die Elemente des VLAN bilden. Wenn eine Endstation
verbunden wird und mit der Aussendung von Datenpaketen beginnt,
wird die Quellen-MAC-Adresse, die in jedem Datenpaket enthalten
ist, dazu verwendet, das VLAN zu bestimmen, zu dem die Endstation
gehört. Leider
verhindert dies nicht, dass ein Eindringling eine unrechtmäßige Endstation
mit dem Netzwerk verbindet und die MAC-Adresse einer rechtmäßigen Endstation
in seine Datenpakete einfügt.
Nachdem sie in erfolgreicher Weise eine rechtmäßige Endstation „emuliert" hat, erhält die unrechtmäßige Endstation
Zugang an beschränkte
Information, die in dem VLAN übertragen
wird.
-
Schließlich kann
der Netzwerk-Administrator auch die 32-Bit-IP-Adressenblöcke oder
Benutzernamen der Endstationen definieren, denen es erlaubt ist,
Mitglieder des VLAN zu sein. Die IP-Adresse und der Benutzername
wirken ähnlich
wie die MAC-Adresse, und eine unrechtmäßige Endstation kann wiederum
durch Einfügen
der Identität
einer rechtmäßigen Endstation
in ihre Datenpakete einen Zugang an beschränkte Daten erhalten.
-
Es
würde daher
von größter Wichtigkeit
sein, ein Verfahren zu schaffen, das sicherstellt, dass unberechtigte
Endstationen keine Verbindung zu einem VLAN herstellen können. Weiterhin
würde es
in dem Fall, in dem ein Authentifizierungsmechanismus vorgesehen
würde,
um diese Schwierigkeit zu mildern, es nützlich sein, sicherzustellen,
dass nicht-autorisierte Switch-Einrichtungen oder Vermittlungen
einen derartigen Authentifizierungsmechanismus nicht emulieren können.
-
Ein
Gerät und
eine LAN-Emulations-Norm, das bzw. die eine Quellenadressen-Validierung ausführt, ist
in der europäischen
Patentanmeldung
EP
0 779 724 A1 beschrieben, die am 18. Juni 1997 unter der
Anmeldenummer 96850182.5 veröffentlicht
wurde. Bei der Herstellung einer Kommunkation prüft eine Kontrolleinrichtung,
ob eine angeforderte Kommunkation zulässig ist, indem Information
in einer Liste verwendet wird. Die Liste umfasst Information bezüglich zulässiger und/oder
unzulässiger
Kommunkationsfälle.
Die Kontrolleinrichtung liest die Adresse des anfordernden Teilnehmers
und prüft
die Adresse gegen die Liste, bevor entschieden wird, ob eine Verbindung
zuzulassen oder zurückzuweisen
ist. Dieses Schema leidet jedoch an Nachteilen, die denen ähnlich sind,
wie sie vorstehend beschrieben wurden.
-
Zusammenfassung
der Erfindung
-
Es
ist ein Ziel der vorliegenden Erfindung, einen oder mehrere Nachteile
des Standes der Technik zu mildem oder zu vermeiden.
-
Daher
kann die Erfindung gemäß einem
ersten breiten Gesichtspunkt als ein lokales Netzwerk zusammengefasst
werden, das eine Vielzahl von Endstationen und einen Authentifizierungs-Server
umfasst, wobei das LAN in eine Vielzahl von virtuellen lokalen Netzwerken
(VLAN's) unterteilt
ist, wobei jedes VLAN zumindest eine Mitglieds-Endstation umfasst,
wobei der Authentifizierungs-Server verfolgt, welche Endstationen
Mitglieder welches VLAN sind, verfolgt, welche der Endstationen
autorisiert sind, welchem VLAN beizutreten, und neue Endstationen,
die einem VLAN beitreten, einem Authentifizierungstest unterwirft.
-
Vorzugsweise
schließt
die Erfindung ein lokales Netzwerk ein, das Folgendes umfasst: eine
Vielzahl von Endstationen; eine Vielzahl von LAN-Emulations-Servern (LES's), einen LAN-Emulations-Konfigurations-Server
(LECS); und einen Authentifizierungs-Server (AS); wobei das LAN
in eine Vielzahl von virtuellen lokalen Netzwerken (VLAN's) unterteilt ist
und jedes VLAN einen jeweiligen LES und zumindest eine Mitglieds-Endstation
umfasst, wobei jeder LES verfolgt, welche Endstationen Mitglieder
in dem betreffenden VLAN sind, wobei der LECS verfolgt, welche Endstation
Mitglieder welches VLAN sind, wobei der Authentifizierungs-Server verfolgt,
welche Endstationen autorisiert sind, welchem VLAN beizutreten,
und neue Endstationen, die einem VLAN beitreten. einem Authentifizierungstest
unterwirft.
-
Die
Erfindung kann gemäß einem
zweiten weiten Grundgedanken als ein Verfahren zur sicheren Hinzufügung einer
neuen Endstation zu einem lokalen Netzwerk (LAN) zusammengefasst
werden, wobei das LAN eine Vielzahl von Endstationen und einen Authentifizierungs-Server
(AS) umfasst, wobei das LAN in eine Vielzahl von virtuellen lokalen
Netzwerken (VLAN's)
unterteilt ist, wobei jedes VLAN zumindest eine Mitglieds-Endstation
umfasst, wobei der Authentifizierungs-Server verfolgt, welche Endstationen
Mitglieder welches VLAN sind, verfolgt, welche Endstationen welchem
VLAN beitreten dürfen,
und eine Authentifizierung der Endstationen ausführt, die dem VLAN beitreten,
wobei das Verfahren die folgenden Schritte umfasst: die neue Endstation
sendet an den AS eine Mitteilung, die sowohl die neue Endstation
als auch ein gewünschtes
VLAN identifiziert; die neue Endstation unterwirft sich dem von
dem AS durchgeführten
Authentifizierungstest; und bei erfolgreicher Authentifizierung
der neuen Endstation sendet der AS an die neue Endstation eine Mitteilung,
die anzeigt, dass es der neuen Endstation erlaubt ist, die Verbindung
mit dem gewünschten
VLAN herzustellen.
-
Vorzugsweise
schließt
die Erfindung ein Verfahren zur gesicherten Hinzufügung einer
neuen Endstation zu einem lokalen Netzwerk (LAN) ein, wobei das
LAN eine Vielzahl von Endstationen, eine Vielzahl von LAN-Emulations-Servern
(LES's), einen LAN-Emulations-Konfigurations-Server
(LECS) und einen Authentifizierungs-Server (AS) umfasst, wobei jede Switch-
oder Vermittlungseinrichtung mit zumindest einer Endstation kommuniziert,
wobei die neue Endstation mit einer Switch-Einrichtung verbunden
ist, wobei das LAN in eine Vielzahl von lokalen Netzwerken (VLAN's) unterteilt ist,
wobei jedes VLAN einen jeweiligen LES und zumindest eine Mitglieds-Endstation
umfasst, wobei jeder LES verfolgt, welche Endstationen derzeit Mitglieder
in dem jeweiligen VLAN sind, und der LECS verfolgt, welchen Endstationen
es erlaubt ist, Mitglieder welches VLAN zu sein, wobei der Authentifizierungs-Server
eine Authentifizierung von Endstationen ausführt, die dem VLAN beitreten,
wobei das Verfahren die folgenden Schritte umfasst: die neue Endstation
sendet ihrer Switch-Einrichtung eine Mitteilung, die sowohl die
neue Endstation als auch ein gewünschtes
VLAN identifiziert; die Switch-Einrichtung sendet an den LECS eine
Mitteilung, die Identität
des LES anfordert, der dem gewünschten VLAN
entspricht; der LECS sendet an den AS eine Mitteilung, die eine
Authentifizierung der neuen Endstation anfordert; der AS erzeugt
eine erste verschlüsselte
Zahl unter Verwendung einer offenen Zahl und eines Algorithmus,
der dem AS und der neuen Endstation bekannt ist; der AS sendet an
den LECS eine Mitteilung, die die offene Zahl und die erste verschlüsselte Zahl
umfasst; der LECS sendet an die Vermittlung eine Mitteilung, die
die offene Zahl umfasst; die Switch-Einrichtung sendet an die neue
Endstation eine Mitteilung, die die offene Zahl umfasst; die neue
Endstation erzeugt eine zweite verschlüsselte Zahl unter Verwendung
der offenen Zahl und des Algorithmus; die neue Endstation sendet
an die Switch-Einrichtung eine Mitteilung, die die offene Zahl und
die zweite verschlüsselte
Zahl umfasst; die Switch-Einrichtung
sendet an den LECS eine Mitteilung, die die offene Zahl und die
zweite verschlüsselte
Zahl umfasst; der LECS vergleicht die erste verschlüsselte Zahl
mit der zweiten verschlüsselten
Zahl; der LECS sendet an den dem gewünschten VLAN entsprechenden LES
eine Mitteilung, dass die neue Endstation beabsichtigt, dem gewünschten
VLAN beizutreten; der LECS sendet an die Switch-Einrichtung eine
Mitteilung, die die Identität
des dem gewünschten
VLAN entsprechenden LES umfasst; die Switch-Einrichtung sendet an
den dem gewünschten
VLAN entsprechenden LES eine Mitteilung, die anfordert, dass die
neue Endstation den gewünschten
VLAN beitritt; und der dem gewünschten VLAN
entsprechende LES sendet an die Switch-Einrichtung eine Mitteilung,
dass es der neuen Endstation erlaubt ist, dem gewünschten
VLAN beizutreten.
-
Kurze Beschreibung
der Zeichnungen
-
Die
bevorzugte Ausführungsform
der vorliegenden Erfindung wird nunmehr unter Bezugnahme auf die beigefügten Zeichnungen
beschrieben, in denen:
-
1 ein
Blockschaltbild einer LANE-Umgebung nach dem Stand der Technik ist;
-
2 ein
Blockschaltbild einer sicheren LANE-Umgebung, die zwei virtuelle
lokale Netzwerke einschließt,
gemäß der bevorzugten
Ausführungsform
der vorliegenden Erfindung ist;
-
3 ein
Mitteilungs-Flussdiagramm ist, das die Endstations-Authentifizierung
in dem Netzwerk nach 2 zeigt; und
-
4 ein
Mitteilungs-Flussdiagramm ist, das die Endstations- und Netzwerk-Authentifizierung
in dem Netzwerk nach 2 zeigt.
-
Ausführliche
Beschreibung der bevorzugten Ausführungsform
-
1 zeigt
ein lokales Netzwerk 50, das eine Vielzahl von miteinander
verbundenen Endstationen 101, 102, 105, 106,
wie z.B. Personalcomputer, Arbeitsgruppen-Server oder Großrechner
umfasst. Obwohl das Netzwerk zu Erläuterungszwecken als ein Ethernet-LAN
angenommen wird, gilt die vorliegende Erfindung genauso für andere
LAN's, beispielsweise
Token-Ring, Datenverbindungsstrecken-Steuerung höherer Ebene (HDLC) und AppleTalk.
-
In
einem lokalen Ethernet-Netzwerk enthält ein von einer sendenden
Endstation in dem LAN ausgesandter Rahmen ein Kopffeld, das die
sendende Endstation und eine vorgesehene Empfänger-Endstation (unter Verwendung
beispielsweise der Quellen- und Ziel-MAC-Adressen) identifiziert,
sowie die auszutauschende Information enthält. Die Ethernet-Rahmen können unter
Verwendung eines Vielfachzugriffs mit Leitungsüberwachungs- und Kollisionsverhinderungs-Protokolls
(CSMA-CD) oder irgendeines anderen Medienzugangs-Steuerprotokolls
ausgesandt werden, das in der Technik bekannt ist. In 1 können die
zwei Endstationen 101, 102, denen eine Ethernet-Verbindungsstrecke 201 gemeinsam
ist, miteinander ohne externe Schnittstellenverbindung kommunizieren,
weil jeder auf eine vorgegebene Verbindungsstrecke ausgesandte Rahmen
von allen Endstationen „gesehen" wird, die mit dieser
Verbindungsstrecke verbunden sind.
-
Eine
Ethernet-Switch-Einrichtung 301 verbindet mehrfache Ethernet-Verbindungsstrecken 201, 202 und
ermöglicht
eine Kommunikation zwischen Endstationen, die auf den verschiedenen
Ethernet-Verbindungsstrecken erscheinen. Die Ethernet-Verbindungsstrecken 201, 202 gehen
von der Ethernet-Switch-Einrichtung 301 in einer sternförmigen Anordnung
aus, und die Ethernet-Switch-Einrichtung verfolgt, welche Endstationen
mit welcher Verbindungsstrecke verbunden sind. Wenn ein Ethernet-Rahmen
von der Ethernet-Switch-Einrichtung 301 empfangen wird, überprüft sie das
Kopffeld und sendet den Rahmen über
die Ethernet-Verbindungsstrecke, die mit dem vorgesehenen Empfänger verbunden
ist; der Rahmen wird nicht an irgendeine der anderen Verbindungsstrecken
ausgesandt, wodurch eine Verkehrsüberlastung auf den Ethernet-Verbindungsstrecken
verringert wird. In manchen Fällen
können
Endstationen mit ihren Ethernet-Switch-Einrichtungen über eine
ausschließlich
für diese
bestimmte Ethernet-Verbindungsstrecke verbunden sein, um eine Teilung
der Verbindungsstrecken-Bandbreite mit anderen Endstationen zu vermeiden,
so dass der Endstation die maximal mögliche Betriebsleistung zur
Verfügung
gestellt wird. Ein Beispiel hiervon besteht in den Endstationen 105, 106,
die mit der Ethernet-Switch-Einrichtung 303 über ausschließlich für diese
bestimmte Verbindungsstrecken 205, 206 verbunden
sind.
-
In
einem großen
lokalen Netzwerk kann es erforderlich sein, mehrere Ethernet-Switch-Einrichtungen einzuführen, um
eine Überlastung
auf Ethernet-Verbindungsstrecken
weiter zu verringern. Obwohl es eine Anzahl von Mechanismen zur
Verbindung von Ethernet-Switch-Einrichtungen in einem Netzwerk miteinander gibt,
stellt die LAN-Emulation über
ATM (LANE) eine übliche
Lösung
dar. Ethernet-Switch-Einrichtungen 301, 303 kommunizieren über virtuelle
Verbindungen (VC's) über ein
ATM-Netzwerk, das aus einem ATM-Switch oder einer ATM-Vermittlung 401 besteht,
zusätzlich
zu ATM-Verbindungsstrecken 501, 503, die die Ethernet-Switch-Einrichtungen
mit den ATM-Vermittlungen verbinden. In einem komplexeren Netzwerk
kann es mehrere ATM-Vermittlungen geben, die über zusätzliche ATM-Verbindungsstrecken
miteinander verbunden sind.
-
Die
Ethernet-Switch-Einrichtungen verfolgen, welche Endstation mit welchen
ihrer lokalen Ethernet-Verbindungsstrecken verbunden sind, und sie
wissen weiterhin, welche Endstationen mit anderen Ethernet-Switchen
in dem Netzwerk verbunden sind. Ein LAN-Emulations-Server (LES) 602,
der mit dem Netzwerk über
eine ATM-Verbindungsstrecke 505 verbunden
ist, umfasst eine aktualisierte Tabelle, die anzeigt, welche Endstationen
mit welchen Ethernet-Switch-Einrichtungen verbunden sind, so dass
die in den Ethernet-Switch-Einrichtungen 301, 303 enthaltene
Information auf dem aktuellen Stand gehalten werden kann. Ein LAN-Emulations-Konfigurations-Server
(LECS) 601, der für
die „Konfiguration" des Netzwerkes verantwortlich ist,
mit dem er über
eine ATM-Verbindungsstrecke 504 verbunden ist, wickelt
die anfängliche
Verbindung neuer Endstationen in die LANE-Umgebung ab.
-
Wenn
eine Ethernet-Switch-Einrichtung einen Ethernet-Rahmen von einer
Endstation empfängt,
so wird das Kopffeld überprüft, und
wenn der Empfänger
mit einem der örtlichen
Ethernet-Verbindungsstrecken verbunden ist, so sendet die Ethernet-Switch-Einrichtung
den Rahmen über
die passende Ethernet-Verbindungsstrecke.
Wenn der Empfänger
jedoch mit einer anderen Ethernet-Switch-Einrichtung verbunden ist, so wird
der Rahmen über
die passende ATM VC zu der Ziel-Ethernet-Switch-Einrichtung ausgesandt.
Bei Empfang des Rahmens über
die ATM VC führt
die Ziel-Ethernet-Switch-Einrichtung einen normalen Vergleich der Ziel-MAC-Adresse
mit der Ethernet-Verbindungsstrecke aus und leitet den Rahmen über die
passende Ethernet-Verbindungsstrecke an die Ziel-Endstation.
-
Wenn
es zuviele Endstationen in einem LAN gibt, kann Sammelsende- und
Rundsende-Verkehr einen Hauptbeitrag zur Netzwerk-Überlastung
liefern. Um dieses Problem zu mildern, ist das Netzwerk in eine
Anzahl von kleineren „virtuellen" Teil-Netzwerken
(virtuelle LANS, oder VLAN's)
segmentiert. Wie dies der Ausdruck „virtuell" andeutet, müssen nicht alle Endstationen,
die als zu einem bestimmten VLAN zugehörig bezeichnet sind, mit dem
einer Ethernet-Switch-Einrichtung
verbunden sein, noch müssen
alle mit einer Ethernet-Switch-Einrichtung
verbundenen Endstationen zu dem einen VLAN gehören. Eine derartige Aufteilung
des Netzwerkes ist für
die Endstationen transparent. Jede Ethernet-Switch-Einrichtung umfasst
andererseits eine interne Datenbank, um zu verfolgen, welche Endstationen
zu welchen VLAN's
gehören.
-
In 2 ist
ein Beispiel einer LANE-Umgebung 50 gemäß der vorliegenden Erfindung
gezeigt. Zwei virtuelle LAN's
können
identifiziert werden: ein „rotes" VLAN, das aus Endstationen 101-R, 102-R und 105-R besteht,
und ein „grünes" VLAN, das aus den
Endstationen 103-G, 104-G und 106-G besteht.
Andere Gruppen von Endstationen 108, 109 gehören zu keinem
VLAN. Physikalisch nutzen die Endstationen 101-R und 102-R eine
Ethernet-Verbindungsstrecke 201 und sie sind mit einer
Ethernet-Switch-Einrichtung 301 verbunden. Von der Ethernet-Switch-Einrichtung 301 geht
weiterhin eine Ethernet-Verbindungsstrecke 202 aus, die
Endstationen 108 verbindet. In ähnlicher Weise verbindet eine
Ethernet-Switch-Einrichtung 302 die
Endstationen 103-G und 104-G über eine gemeinsame Ethernet-Verbindungsstrecke 203 und
die Endstationen 109 über
eine andere Ethernet-Verbindungsstrecke 204. Eine dritte
Ethernet-Switch-Einrichtung 303 verbindet Endstationen 105-R und 106-G über jeweilige
nur diesen zugeteilte Ethernet-Verbindungsstrecken 205 und 206.
Die Ethernet-Switch-Einrichtung 303 ist weiterhin physikalisch
mit einer Endstation 107-R über eine ausschließlich hierfür bestimmte
Ethernet-Verbindungsstrecke 207 verbunden. Die Endstation 107-R ist
weder ein Mitglied des roten noch des grünen VLAN, beabsichtigt jedoch
möglicherweise,
dem roten VLAN beizutreten.
-
Ein
LAN-Emulations-Konfigurations-Server (LECS) 601 enthält eine
interne Datenbank, die eine Aufzeichnung jedes VLAN und der Endstationen
speichert, die den VLAN's
beitreten dürfen.
Wenn die Endstationen mit Leistung versorgt werden oder umkonfiguriert
werden, registrieren die Ethernet-Switch-Einrichtungen die Endstationen,
die einem bestimmten VLAN mit einem LAN-Emulations-Server (LES, 602-R für das rote VLAN
und 603-G für
das grüne
VLAN) beitreten möchten
und hierzu zugelassen sind; eine Registrierung bei einem LES stellt
eine Mitgliedschaft in dem entsprechenden VLAN dar. Virtuelle Verbindungen,
die die Ethernet-Switch-Einrichtungen 301, 302, 303,
den LECS 601 und die LAN-Emulations-Server 602-R verbinden, werden über eine
ATM-Vermittlung oder einen Hub 401 hergestellt, und die
Kommunikation erfolgt über
jeweilige ATM-Verbindungsstrecken 501–506.
-
Ein
Sammelsende- oder Rundsende-Rahmen, der von einer Endstation empfangen
wird, die ein Mitglied beispielsweise des roten VLAN ist, wird von
der Ethernet-Switch-Einrichtung,
die die Endstation mit Diensten versorgt, zu einer dem LES 602-R zugeordneten
Funktion für
eine Rundsendung und einen unbekannten Server (BUS-Funktion) weitergeleitet.
Der LES 602-R leitet dann den Rahmen an alle Ethernet-Switch-Einrichtungen
in dem Netzwerk weiter, die Endstationen haben, die Mitglieder des
roten VLAN sind, das heißt
die Ethernet-Switch-Einrichtungen 301 und 303.
Die Ethernet-Switch-Einrichtungen 301 und 303 leiten
ihrerseits den Sammelsende- oder Rundsende-Rahmen lediglich an diejenigen
Ethernet-Verbindungsstrecken weiter, die mit Mitgliedern des roten
VLAN verbunden sind, das heißt
die Ethernet-Verbindungsstrecken 201 und 205.
Auf diese Weise wird verhindert, dass Sammelsende- und Rundsende-Rahmen
zu Endstationen außerhalb
des VLAN ausgesandt werden, von dem der Rahmen ausging, wodurch
eine Verkehrsüberlastung innerhalb
des LAN insgesamt gemildert wird.
-
Eine
primäre
Funktion des LECS 601 besteht in der Konfiguration der
VLAN's, das heißt, in der
Information an neue Endstationen, die einem bestimmten VLAN beitreten
möchten, über die
Adresse, an der der LAS für
dieses VLAN gefunden werden kann. In üblichen Netzwerken wird jedoch
keine Authentifizierung der neuen Endstationen ausgeführt. Durch
die Verwendung beispielsweise der MAC-Adresse einer Endstation, die berechtigt
ist, einem bestimmten VLAN beizutreten, kann eine möglicherweise
unberechtigte Endstation sich bei dem LES des VLAN registrieren,
was zu dem weiter oben erläuterten
Bruch der Sicherheit führt.
-
Gemäß der vorliegenden
Erfindung liefert ein Authentifizierungs-Server (AS) 701,
der mit dem Netzwerk über
eine ATM-Verbindungsstrecke 507 verbunden ist, Sicherheitsmechanismen
zu Authentifizierung von Endstationen, wenn sie versuchen, einem
gewünschten
VLAN beizutreten. Dieser AS 701 ist seinerseits für die Prüfung der
Gültigkeit
neuer Endstationen und dafür
verantwortlich, dass ihre Registrierung mit irgendeinem LES nicht
zugelassen wird, sofern sie nicht einen Authentifizierungs-"Test" bestehen, der bei
einem Ausführungsbeispiel
dadurch ausgeführt
wird, dass ein Schlüssel-basierter
Anforderungs-Antwort-Algorithmus verwendet wird. Ein Netzwerk-Administrator
kann sehr einfach sicherstellen, dass lediglich der AS 701 und eine
neue Endstation zu einer Zeit passende Schlüssel zur Durchführung und
zum Bestehen des Tests besitzen. Es liegt innerhalb des Schutzumfanges
der vorliegenden Erfindung, unterschiedliche Arten von Authentifizierungstests
vorzusehen, wie z.B. Techniken, die auf Passworten, synchronisierten
Sicherheitskarten, Sprachproben oder Fingerabdrücken beruhen. Die Haupterwägung ist
in allen Fällen,
dass eine erfolgreiche Authentifizierung nur dann möglich ist,
wenn die neue Endstation wirklich berechtigt ist, dem gewünschten VLAN
beizutreten.
-
Wenn
der AS 701 mit dem Netzwerk über eine Ethernet-Verbindungsstrecke
und eine Ethernet-Switch-Einrichtung verbunden ist, sollte der AS
seine Ethernet-Verbindungsstrecke
nicht gemeinsam mit anderen Endstationen nutzen, um sicherzustellen,
dass Verkehr, der an den AS gerichtet ist, lediglich von dem AS
gesehen wird. Der AS kann eine unabhängige Einheit realisiert werden,
um eine verbesserte Sicherheit für die
Algorithmen und Daten zu schaffen, die er enthält, oder er kann mit dem LECS 601 integriert
werden.
-
Eine
Folge von Schritten für
eine Endstation
107-R zum Beitritt zu dem roten VLAN gemäß der vorliegenden
Erfindung wird nunmehr unter zusätzlicher
Bezugnahme auf
3 beschrieben, in der lediglich
die Schritte gezeigt sind, die eine Übertragung von Information
zwischen Netzwerk-Komponenten erfordern. Es ist verständlich,
dass ein analoger Algorithmus in dem Fall einer neuen Endstation
gilt, die dem grünen
VLAN beitreten möchte.
Schritt
A. | Die
Endstation 107-R konstruiert einen Ethernet-Rahmen, der
aus einem Rahmen-Kopffeld, das eine Zieladresse und eine Quellenadresse
umfasst (beispielsweise die MAC-Adresse der Endstation 107-R),
sowie aus Daten besteht, die ausgetauscht werden sollen. Die Zieladresse
kann die MAC-Adresse des Ziel-Endgerätes oder eine bekannte Rundsendeadresse
sein. |
Schritt
B. | Die
Endstation 107-R sendet den Rahmen über die Ethernet-Verbindungsstrecke 207 an
die Ethernet-Switch-Einrichtung 303 in Form einer „Daten"-Mitteilung unter
Verwendung des CSMA-CD-Protokolls. |
Schritt
C. | Die
Ethernet-Switch-Einrichtung 303 leitet die Quellenadresse
(die MAC-Adresse der Endstation 107-R) aus dem Ethernet-Rahmen
ab und konsultiert eine interne Tabelle, um das virtuelle LAN (und
den LES) zu bestimmen, der der Quellenadresse zugeordnet ist. |
Schritt
D. | Wenn
die Ethernet-Switch-Einrichtung 303 keinen zugehörigen LES
durch Konsultieren seiner internen Tabelle finden kann, sendet die
Ethernet-Switch-Einrichtung 303 eine Anfrage in Form einer „ConfigRqst"-Mitteilung an den
LECS 601, um nach der Identität des LES zu fragen, der der
Endstation 107-R zugeordnet ist. |
Schritt
E. | Der
LECS 601 sendet eine „Authentifizieren"-Mitteilung an den
AS 701, die die Authentifizierung der Endstation 107-R anfordert. |
Schritt
F. | Unter
Verwendung eines Anforderungs-Antwort-Authentifizierungs-Algorithmus erzeugt
der AS 701 eine offene Zahl, wie z.B. eine zufällige Zahl
RN, und verschlüsselt
sie unter Verwendung eines geheimen Schlüssels, der lediglich dem AS 701 und
der Endstation 107-R bekannt ist, um die E-RN zu erzeugen.
Sowohl die RN als auch die E-RN werden an den LECS 601 als
eine „DoChallenge"- (Anforderung ausführen-) Mitteilung zurückgeliefert.
Der geheime Schlüssel,
der zur Erzeugung der E-RN verwendet wird, wird von dem AS 701 niemals
offenbart. |
Schritt
G. | Der
LECS 601 erzeugt einen Rahmen, der eine Anforderung an
die Endstation 107-R enthält und die von dem AS 701 empfangene
RN einschließt,
nicht jedoch die E-RN. Der Rahmen wird dann in einer „Challenge"- (Anforderungs-)
Mitteilung von dem LECS 601 an den Ethernet-Switch 303 gesandt
und nachfolgend an die Endstation 107-R weitergeleitet. |
Schritt
H. | Die
Endstation 107-R verschlüsselt die in der Anforderung
empfangene RN unter Verwendung ihres geheimen Schlüssels und
des gleichen Authentifizierungs-Algorithmus, der von dem AS 701 verwendet wird. |
Schritt
I. | Die
Endstation 107-R antwortet auf die Anforderung mit einer „ChallengeResponse"- (Anforderungs-Antwort-)
Mitteilung, die die von dem LECS 601 empfangene RN zusammen
mit ihrer Version der E-RN enthält.
Die Anforderungs-Antwort wird von der Ethernet-Switch-Einrichtung 303 an den
LECS 601 weitergeleitet. |
Schritt
J. | Der
LECS 601 vergleicht den Wert der von der Endstation 107-R
empfangenen E-RN mit dem Wert der vorher von dem AS 701 empfangenen
Wert von E-RN. |
Wenn
die Werte übereinstimmen:
Schritt
K. | Der
LECS 601 konsultiert seine internen Tabellen, um festzustellen,
dass die Endstation 107-R dem roten VLAN zugeordnet ist,
das von dem LES 602-R verwaltet wird. Der LECS 601 sendet
eine „Notify"- (Benachrichtigungs-) Mitteilung an
den LES 602-R, die anzeigt, dass die Endstation 107-R versucht,
dem roten VLAN beizutreten; diese Anzeige schließt die MAC-Adresse der Endstation 107-R ein. |
Schritt
L. | Der
LECS 601 sendet dann die Identität des LES 602-R in
einer „ConfigResp"- (Konfigurations-Antwort-)
Mitteilung, die auf die ursprüngliche
Anfrage von der Ethernet-Switch-Einrichtung 303 im Schritt
D antwortet. |
Schritt
M. | Wenn
er derzeit keine virtuelle ATM-Verbindung zu dem LES 602-R hat,
erzeugt die Ethernet-Switch-Einrichtung 303 eine derartige
Verbindung über
die ATM-Vermittlung 401 unter Verwendung üblicher ATM-Signalisierungs-Techniken.
Die Ethernet-Switch-Einrichtung 303 sendet dann eine „JoinRqst"- (Beitrittsanforderungs-)
Mitteilung für
die Endstation 107-R über
ihre virtuelle Verbindung an den LES 602-R. |
Schritt
N. | Bei
Empfang dieser Registrierungs-Mitteilung führt der LES 602-R die
MAC-Adresse der Endstation 107-R in seine internen Tabellen
ein und zeichnet die Identität
der Ethernet-Switch-Einrichtung 303 als die Switch Einrichtung
auf, die die Endstation 107-R mit Diensten versorgt. Der
LES 602-R sendet eine „JoinAck"- (Beitrittsbestätigungs-) Mitteilung an die
Ethernet-Switch-Einrichtung 303, die die erfolgreiche Registrierung
der Endstation 107-R als ein Mitglied des roten VLAN bestätigt. |
Schritt
O. | Wenn
die Ethernet-Switch-Einrichtung 303 die Bestätigung auf
ihre Registrierungs-Anforderung empfängt, aktualisiert sie ihre
internen Tabellen, um die Endstation 107-R dem roten VLAN
zuzuordnen, das von dem LES 602-R verwaltet wird. |
Wenn
die Werte nicht übereinstimmen:
Schritt
K'. | Der
LECS 601 sendet eine Antwort an die Ethernet-Switch-Einrichtung 303,
die anzeigt, dass der Netzwerk-Zugang der Endstation 107-R verweigert wird
(nicht gezeigt). |
Schritt
L'. | Die
Ethernet-Switch-Einrichtung 303 verwirft alle Rahmen, die
von der Endstation 107-R empfangen werden und leitet keine
Rahmen an die Endstation 107-R weiter, so dass die Endstation 107-R gegenüber dem
Netzwerk isoliert wird. |
-
Eine
zweite Form eines Sicherheitsangriffs beinhaltet eine gefälschte Ethernet-Switch-Einrichtung,
die versucht, Informationen aus einem Netzwerk dadurch abzuleiten,
dass sie sich als ein LAN-Emulations-Konfigurations-Server oder
als ein Authentifizierungs-Server aufführt. Beispielsweise kann, wenn
die vorstehenden Prozeduren von einer neuen Endstation befolgt werden,
die tatsächlich
berechtigt ist, in das rote VLAN einzutreten, die gefälschte Ethernet-Switch-Einrichtung
ohne tatsächlichen
Vergleich der verschlüsselten
Zufallszahlen vorgeben, der neuen Endstation die Genehmigung zu
geben, in das rote VLAN einzutreten. Vom Gesichtswinkel der neuen
Endstation, die zu Beginn erwartet hat, „eingelassen" zu werden, beginnt
diese einen Austausch von vertraulicher Information, die nunmehr
von der gefälschten
Ethernet-Switch-Einrichtung abgefangen wird.
-
Um
diesem Angriff zu begegnen, kann die neue Endstation bei der Beantwortung
der von dem Netzwerk abgegebenen Anforderung ihren eigenen Test
ausführen,
um die Authentität
des Absenders der ursprünglichen
Anforderung zu überprüfen. Unter
Betrachtung des Netzwerkes nach
2 und unter
Bezugnahme auf
4 ergibt die nachfolgende Folge
von Schritten nicht nur eine Netzwerk-Sicherheit durch Überprüfen der
Legitimität
einer neuen Endstation
107-R beim Eintritt in das Netzwerk,
sondern ermöglicht
es auch der neuen (legitimen) Endstation
107-R sich gegen
gefälschte
Test-Administratoren zu schützen.
Schritt
A. | Die
Endstation 107-R konstruiert einen Ethernet-Rahmen, der
aus einem Rahmen-Kopffeld, der eine Zieladresse und eine Quellenadresse
(beispielsweise die MAC-Adresse der Endstation 107-R) umfasst,
sowie aus auszutauschenden Daten besteht. Die Zieladresse kann die
MAC-Adresse des Ziel-Endgerätes
oder eine bekannte Rundsendeadresse sein. |
Schritt
B. | Die
Endstation 107-R sendet den Rahmen über die Ethernet-Verbindungsstrecke 207 an
die Ethernet-Switch-Einrichtung 303 in der Form einer „Daten"-Mitteilung unter
Verwendung des CSMA-CD-Protokolls. |
Schritt
C. | Die
Ethernet-Switch-Einrichtung 303 leitet die Quellenadresse
(die MAC-Adresse der Endstation 107-R) aus dem Ethernet-Rahmen
ab und konsultiert eine interne Tabelle, um das virtuelle LAN (und
den LES) zu bestimmen, der der Quellenadresse zugeordnet ist. |
Schritt
D. | Wenn
die Ethernet-Switch-Einrichtung 303 einen zugehörigen LES
durch Konsultieren seiner internen Tabelle finden kann, sendet die
Ethernet-Switch-Einrichtung 303 eine Anfrage in Form einer „ConfigRqst"-Mitteilung an den
LECS 601, in der nach der Identität des LES gefragt wird, der
der Endstation 107-R zugeordnet ist. |
Schritt
E. | Der
LECS 601 sendet eine „Authentifizieren"-Mitteilung an den
AS 701, die eine Authentifizierung der Endstation 107-R anfordert. |
Schritt
F. | Unter
Verwendung eines Anforderungs-Antwort-Authentifizierungs-Algorithmus erzeugt
der AS 701 eine offene Zahl, wie z.B. eine zufällige Zahl
RN und verschlüsselt
sie unter Verwendung eines geheimen Schlüssels, der lediglich dem AS 701 und
der Endstation 107-R bekannt ist, um eine E-RN zu erzeugen. Sowohl
die RN als auch die E-RN werden an dem LECS 601 als eine „DoChallenge"-Mitteilung zurückgeliefert. Der geheime Schlüssel, der
zur Erzeugung der E-RN verwendet wird, wird von dem AS 701 niemals
offenbart. |
Schritt
G. | Der
LECS 601 erzeugt einen Rahmen, der eine Anforderung an
die Endstation 107-R enthält, die die von dem AS 701 empfangene
RN einschließt,
nicht jedoch die E-RN einschließt.
Der Rahmen wird dann in einer „Anforderungs"-Mitteilung von dem
LECS 601 an die Ethernet-Switch-Einrichtung 303 gesandt
und nachfolgend an die Endstation 107-R weitergeleitet. |
Schritt
H. | Die
Endstation 107-R verschlüsselt die in der Anforderung
empfangene RN unter Verwendung ihres geheimen Schlüssels und
des gleichen Authentifikations-Algorithmus, wie er von dem AS 701 verwendet wird. |
Schritt
I. | Die
Endstation 107-R erzeugt eine zweite offene Zahl, wie z.
B. eine Zufallszahl RN2, und verschlüsselt sie unter Verwendung
ihres geheimen Schlüssels
zur Erzeugung von E-RN2. |
Schritt
J. | Die
Endstation 107-R antwortet auf die Anforderung mit einer „ChallengeResponse"-Mitteilung, die
die von dem LECS 601 empfangene RN zusammen mit RN2 und
ihrer Version von E-RN antwortet, schließt jedoch E-RN2 nicht ein.
Die Anforderungs-Antwort wird über die
Ethernet-Switch-Einrichtung 303 an den LECS 601 weitergeleitet. |
Schritt
K. | Nachdem
zunächst
sichergestellt wurde, dass die Endstation 107-R legitim
ist, indem überprüft wird, dass
der Wert von E-RN, der von der Endstation 107-R empfangen
wurde, mit dem Wert von E-RN übereinstimmt,
der von dem AS 701 empfangen wurde, sendet der LECS 601 eine „Challenge"-Mitteilung an den
AS 701, die RN2 und die MAC-Adresse der Endstation 107-R einschließt. |
Schritt
L. | Der
AS 701 verschlüsselt
die in der Anforderung empfangene RN2 unter Verwendung des Authentifizierungs-Algorithmus
und des geheimen Schlüssels
für die
Endstation 107-R und liefert ihre Version von E-RN2 an
den LECS 601 in Form einer „ChallengeResponse"-Mitteilung zurück. |
Schritt
M. | Der
LECS 601 konsultiert seine eigenen internen Tabellen, um
festzustellen, dass die Endstation 107-R dem roten VLAN
zugeordnet ist, das von dem LES 602-R verwaltet wird. Der
LECS 601 sendet eine „Notify"- (Benachrichtigungs-)
Mitteilung an den LES 602-R, die anzeigt, dass die Endstation 107-R versucht,
dem roten VLAN beizutreten; diese Anzeige schließt die MAC-Adresse der Endstation 107-R,
die Zufallszahl RN2, die in der Anforderung von der Endstation 107-R empfangen
wurde, und die verschlüsselte
Zufallszahl E-RN2
ein, die von dem AS 701 berechnet wurde. |
Schritt
N. | Der
LECS 601 sendet dann die Identität des LES 602-R in
eine „ConfigResp"- (Konfigurations-Antwort-)
Mitteilung als Antwort auf die ursprüngliche Anfrage von der Ethernet-Switch-Einrichtung 303 im Schritt
D. |
Schritt
O. | Wenn
sie derzeit noch keine virtuelle ATM-Verbindung mit dem LES 602-R hat,
erzeugt die Ethernet-Switch-Einrichtung 303 eine derartige
Verbindung über
die ATM-Vermittlung 401 unter Verwendung üblicher
ATM-Signalisierungs-Techniken. Die Ethernet-Switch-Einrichtung 303 sendet
dann eine „JoinRqst"-Mitteilung für die Endstation 107-R über diese virtuelle
Verbindung an den LES 602-R. |
Schritt
P. | Bei
Empfang dieser Registrierungs-Mitteilung gibt der LES 602-R die
MAC-Adresse der Endstation 107-R in seine interne Tabellen
ein und zeichnet die Identität der
Ethernet-Switch-Einrichtung 303 als der Switch-Einrichtung
auf, die die Endstation 107-R mit Diensten versorgt. Der
LES 602-R sendet eine „JoinAck"-Mitteilung an die Ethernet-Switch-Einrichtung 303,
die die erfolgreiche Registrierung der Endstation 107-R als
ein Mitglied des roten VLAN bestätigt. |
Schritt
Q. | Wenn
die Ethernet-Switch-Einrichtung 303 die Bestätigung für ihre Registrierungsanforderung
empfängt, aktualisiert
sie ihre internen Tabellen, um die Endstation 107-R zu
dem roten VLAN zuzuordnen, die von dem LES 602-R verwaltet
wird. |
Schritt
R. | Unter
Verwendung der von dem LECS 601 empfangenen Information
sendet der LES 602-R außerdem eine „ChallengeResponse"-Mitteilung an die Endstation 107-R über die
Ethernet-Switch-Einrichtung 303, die die Zufallszahl RN2
einschließt,
die von der Endstation 107-R erzeugt wurde, sowie die verschlüsselte Zufallszahl
E-RN2, die von dem
AS 701 berechnet wurde. |
Schritt
S. | Wenn
die Anforderungs-Antwort empfangen wurde, vergleicht die Endstation 107-R den
Wert der von dem LES 602-R empfangenen E-RN2 mit dem örtlich berechneten
Wert. Wenn die Werte übereinstimmen,
ist für
die Endstation 107-R sichergestellt, dass die Netzwerkverbindung
legitim ist. |
-
Es
ist verständlich,
dass es alternative Ausführungsformen
der vorliegenden Erfindung gibt, bei denen keine ATM-Vermittlungen
verwendet werden, wodurch irgendein Bedarf an einem LAN-Emulations-Konfigurations-Server
oder LAN-Emulations-Servern
entfällt.
In einem derartigen Fall würde
ein bestimmtes Mitglied jedes VLAN als der „VLAN-Server" bezeichnet, und
die Konfiguration des Netzwerkes könnte einfach an den Authentifizierungs-Server übergeben
werden.
-
Die
gesamte Authentifizierungs-Prozedur könnte durch eine Kommunikation
zwischen dem Authentifizierungs-Server und den bestimmten VLAN-Servern
erfolgen.
-
Obwohl
die bevorzugte Ausführungsform
der Erfindung beschrieben und erläutert wurde, ist es für den Fachmann
ersichtlich, dass Abänderungen
der Konstruktion durchgeführt
werden können.
Der Schutzumfang der Erfindung ist daher lediglich durch die beigefügten Ansprüche beschränkt.