DE69925732T2

DE69925732T2 - Mobiltelefon mit eingebauter Sicherheitsfirmware

Info

Publication number: DE69925732T2
Application number: DE69925732T
Authority: DE
Inventors: Luis Barriga; Rolf Blom
Original assignee: Telefonaktiebolaget LM Ericsson AB
Current assignee: Telefonaktiebolaget LM Ericsson AB
Priority date: 1999-10-22
Filing date: 1999-10-22
Publication date: 2006-03-16
Anticipated expiration: 2019-10-23
Also published as: CN1456006A; WO2001031877A3; DE69925732D1; EP1094682A1; JP2003529243A; CN100493071C; EP1094682B1; AU1133001A; ATE297645T1; CA2388114A1; WO2001031877A2

Description

GEBIET DER ERFINDUNG
Die vorliegende Erfindung betrifft ein Verfahren und eine Vorrichtung zum Datenschutz (Sicherheit) über eine Verschlüsselung/Entschlüsselung für eine Netzwerkkommunikation.
STAND DER TECHNIK
Herkömmlicherweise stellt das Internet keine Sicherheit bereit und, wenn keine Maßnahmen getroffen sind, können kommunizierende Teilnehmer das Ziel von passiven und aktiven Angriffen sein, so wie Mithören, Vortäuschen falscher Information im Internet (spoofing), Übernahme einer Internetdomäne bzw. der Inhalte einer Domäne (hijacking), Angriff auf die Authentizität eines Datenursprungs (replay) und Dienstverweigerungsangriff (denial of service), etc. Ähnlich können direkt mit dem Internet verbundene Computer Ziele von Angriffen sein, die Sicherheitsmängel in dem Betriebssystem oder Internetdiensten ausnutzen, um Datenviren oder sogenannte Trojanische Pferde einzubringen. Die Computer selbst werden sorgfältig untersucht, um mögliche Löcher zu schließen, zum Vermeiden eines Eindringens.
Das Internetprotokoll (IP) spezifiziert formal das Format von Internetpaketen, Datagramm genannt, und verkörpert informell die Vorstellungen einer verbindungslosen Zustellung. Analog zu einem physikalischen Rahmen ist das IP-Datagramm in Kopf- bzw. Header- und Datenbereiche geteilt. Neben anderer Information enthält der Datagram-Header die Quellen- und Bestimmungsort-IP-Adressen, Fragmentierungssteuerung, Vorrang und eine zum Abfangen von Übertragungsfehlern verwendete Prüfsumme. Neben Feldern einer festen Länge kann jeder Datagramm-Header wenigstens ein Optionsfeld enthalten. Das Optionsfeld ist von variabler Länge, sowohl abhängig von der Anzahl und der Art von verwendeten Optionen als auch von der Größe des für jede Option zugewiesenen Datenbereiches.
Der Gedanke einer Schichtung ist beim Protokollentwurf fundamental, weil er ein konzeptuelles Grundgerüst für einen Protokollentwurf bereitstellt. In einem geschichteten Modell handhabt jede Schicht einen Teil der Kommunikationsaufgaben und entspricht normaler Weise einem Protokoll. Protokolle folgen dem Schichtungsprinzip, das ausdrückt, dass die eine Schicht "n" auf der Bestimmungsortsmaschine implementierende Software exakt empfängt, was die die Schicht "n" auf der Quellenmaschine implementierende Software sendet. In der Praxis verwendet eine Protokollsoftware Multiplexen und Demultiplexen zum Unterscheiden zwischen mehreren Protokollen innerhalb einer gegebenen Schicht, was Protokollsoftware komplexer macht als das Schichtungsmodell denken lässt.
Ein Verschlüsseln/Entschlüsseln von Daten ist durchgeführt worden durch komplexe Sicherheitssoftware innerhalb von Anwendungen oder, zum Vereinfachen der Anwendungen, ist ein Verschlüsseln/Entschlüsseln durchgeführt worden innerhalb des Protokollstapelspeichers von Netzwerkprotokollen.
Das Internetprotokoll (IP) stellt eines der zwei in der Internetverarbeitung verwendeten Hauptprotokolle dar. Ein Benutzer betrachtet das Internet als ein einzelnes virtuelles Netzwerk, das alle Hosts zusammenschaltet, und wodurch eine Kommunikation möglich ist; seine zugrunde liegende Architektur ist sowohl versteckt als auch irrelevant. Konzeptuell stellt ein IP-Internet eine Dreiermenge von Diensten auf drei abhängigen Schichten bereit. Die drei Schichten werden unten detaillierter offenbart werden.
In 2 sind die drei Schichten eines IP-Schichten Internets gemäß dem Stand der Technik gezeigt; ihre Anordnung in 2 lässt auf Abhängigkeiten zwischen diesen schließen.
in 2 lässt auf Abhängigkeiten zwischen diesen schließen. Bei der niedrigsten Ebene 1 stellt ein verbindungsloser Zustellungsdienst eine Grundlage bereit, auf der alles ruht. Bei der nächsten Ebene 2 stellt ein Transportdienst eine höhere Plattform bereit, von der Anwendungen abhängen. Das heißt, Internetsoftware ist um drei konzeptuelle in einer Hierarchie angeordnete Netzwerkdienste herum entworfen.
Unternehmen bilden Internet-Netzwerke, die von Firewalls umgeben sind, die ankommenden Verkehr filtern zum Schützen von internen Firmennetzwerken vor Internetangriffen. Zu diesem Zweck können Firewall-Computer, die direkten Zugriff auf ein Netzwerk haben, verwendet werden zum Abhalten eines unauthorisierten Zugriffs auf interne/private Netzwerke. Zusätzlich werden für mobile Benutzer zum Schützen einer Kommunikation zwischen einem Fern-Host und dem Firmen-Intranet über das Internet verschlüsselte Kanäle verwendet, das heißt ein sicherer Tunnel durch das Internet. Die Sicherheit wird erreicht durch Verwürfeln der Daten unter Verwenden von Kryptographie – geheimen Schreiben – und wird Virtual Private Networking (VPN) genannt. Die Internet Engineering Task Force (IETF) standardisiert die IPsec Protokollfamilie, die dafür verwendet werden kann. Die Familie definiert, wie Endpunkte in einem Netzwerk bzw. Peers authentifiziert werden und wie Verschlüsselungsschlüssel ausgehandelt werden zum Aufbauen von sicheren Netzwerkkanälen zwischen den Teilnehmern.
Das IPsec-Protokoll ist eine Menge von Sicherheitserweiterungen, die Geheimhaltungs- und Authentifizierungsdienste durch Verwenden von modernen kryptographischen Verfahren bereitstellen. Es kann den gesamten Verkehr gegen unauthorisierte Veränderung und Mithören schützen, und die miteinander kommunizierenden Teilnehmer sicher authentifizieren. Jedoch benötigt Verkehr, der außerhalb der gesicherten Grenzen von durch VPN geschützten Netzwerken läuft, separaten Schutz.
In einem IPsec verwendenden System werden die Daten unter Verwenden von Kryptographie transformiert zum Schützen der Inhalte eines IP-Datagramms. Es gibt zwei Haupttransformationstypen, die die Bausteine von IPsec bilden, die Authentifizierungs-Header (Authentication Header) (AH) Transformation, und die Einkapselungs-Sicherheits-Nutzlast (Incapsulating Security Payload) (ISP) Transformation.
Der Authentifizierungs-Header (AH) stellt eine Authentifizierung (Datenursprung-Authentifizierung, verbindungslose Integrität, und Anti-Replay Schutzdienste) für ein Datagramm bereit. Er schützt alle Daten in dem Datagramm vor unbefugtem Eingriff wie in der Sicherheitsassoziation (Security Association) spezifiziert, einschließlich der Felder in dem Header, die sich im Durchlauf nicht verändern. AH ist entworfen worden, um nur Integrität bereitzustellen. Eine Unzulänglichkeit von AH ist, dass es keine Vertraulichkeit bereitstellt.
Der ESP-Header stellt Vertraulichkeit, Datenursprungs-Authentifizierung, verbindungslose Integrität, Anti-Replay Schutz, und begrenzte Verkehrsflussvertraulichkeit bereit. Er tut dieses durch Verschlüsseln der Inhalte des Datagramms wie durch die Sicherheitsassoziation spezifiziert. Die ESP-Transformationen verschlüsseln und entschlüsseln Teilstücke von Datagrammen, mit optionalem Einpacken oder Auspacken des Datagramms innerhalb eines anderen IP-Datagramms. Optional können ESP-Transformationen eine Datenintegritätsvalidierung durchführen und einen Integritätsprüfwert (Integrity Check Value) (ICV) für das Datagramm berechnen, das gesendet wird.
Bevor eine sichere Sitzung bzw. Session beginnen kann, müssen die kommunizierenden Teilnehmer die Bedingungen für die Kommunikation aushandeln. Diese Bedingungen sind die, die in der Sicherheitsassoziation (Security Association) (SA) definiert sind. Es muss ein automatisiertes Protokoll vorliegen, um die SA aufzubauen, um den Prozess in einem globalen Netzwerk wie dem Internet durchführbar zu machen. Dieses automatisierte Protokoll ist das Internet Key Exchange (IKE). IKE ist bestimmt zum Aufbauen, Aushandeln, Modifizieren, und Löschen von SAs. Es produziert sicher zufällige kurzfristige Sitzungsschlüssel für die Hosts und authentifiziert die Hosts unter Verwenden von gemeinsam genutzten Geheimnissen (Passwörtern), oder unter kryptographischem Verwenden von Zertifikaten.
Die IKE-Schlüssel-Aushandelung und der IKE-Schlüssel-Austausch arbeiten in zwei Phasen. Während der ersten Phase baut IKE einen sicheren Kanal auf zum weiteren Aushandeln von Verkehr und definiert die während der Aushandlungen zu verwendende Sicherheitsassoziation. Während der zweiten Phase handelt IKE eine durch IPsec zu verwendende Sicherheitsassoziation aus. Obwohl die erste Phase Zeit verbraucht, wird am Ende Zeit gespart, da die häufigeren Aushandelungen einer zweiten Phase schneller durchgeführt werden können, nachdem die Aushandlungen einer ersten Phase durchgeführt worden sind.
Der Fern-Host benötigt ebenso die Sicherheitssoftware zum Handhaben dieser Verbindung. Das Patent "Data Encrpytion/Decryption for Network Communication", WO-9726731 A1 schlägt ein Verfahren vor, bei dem die Systemsoftware eines Fern-Hosts modifiziert wird. Eine Treibersoftware eines Sicherheitsnetzwerks, so wie IPsec, wird zwischen dem Netzwerkprotokoll IP und dem entsprechenden Netzwerktreiber eingefügt. Sicherheitsmaßnahmen werden auf die Pakete angewendet, bevor die Netzwerkpakete an das Netzwerkprotokoll IP von der Anwendungsprogrammier-Schnittstelle weitergegeben werden. Ein Sicherheitsnetzwerktreiber wird verwendet zusammen mit zwei Verschlüsselungs/Entschlüsselungsbibliotheken für eine hinzugefügte Datensicherheit. Ein Netzwerktreiber und zusätzliche Hardware werden ebenso verwendet bei einer Kommunikation mit den Netzwerken. Somit ist der gesamte IP-Verkehr transparent verschlüsselt/entschlüsselt (getunnelt). Dieser Aufbau kann von mobilen Teilnehmer verwendet werden, die das Mobiltelefon als ein Modem verwenden zum Verbinden mit einem Intranet durch das Internet. Zu diesem Zweck muss die IPsec Protokollfamilie als der Sicherheitsnetzwerktreiber in dem Fern-Host installiert sein.
Eine Unzulänglichkeit des in WO-9726731 A1 beschriebenen Verfahrens ist, dass der Fern-Host, das heißt der Host des mobilen Benutzers, angepasst sein muss zum Handhaben von IPsec-Tunneln. Unter Berücksichtigung der großen Menge von bereits eingesetzten Hosts (Laptops, Workstations, PCs) und der Vielfalt von Betriebssystemen und deren Versionen ist dies eine undurchführbare Lösung. Weiterhin können Aufrüstungen das installierte Sicherheits-Gateway betreffen.
Eine andere Unzulänglichkeit des in WO-9726731 A1 beschriebenen Verfahrens ist, dass nur eine spezialisierte Mannschaft, nicht der allgemeine Benutzer, die Installation und Konfiguration von solchen Maschinen-nahen Sicherheitsnetzwerkmodulen durchführen kann.
Eine weitere Unzulänglichkeit des in WO-9726731 A1 beschriebenen Verfahrens ist, dass IPsec langsam übernommen wird und dass es eine lange Zeit in Anspruch nehmen wird, bis die Computerindustrie IPsec als eine Standardkomponente in einem kommerziellen Betriebssystem für potentielle Fern-Hosts aufnehmen wird. Nichtsdestotrotz bieten einige Firmen auf dem Internetmarkt IPsec an als eine Komponente in Firewall-Computern oder als ein eigenständiges IPsec Sicherheits-Gateway. Noch ausführlicher haben bereits einige Firmen eine Seite von IPsec eingeführt, nämlich die den Standort der Firma schützende Seite. Die andere Seite, das heißt der Fern-Host, ist schwer mit IPsec bereitzustellen.
Eine andere Unzulänglichkeit des in WP-9726731 A1 beschriebenen Verfahrens ist, dass Benutzer unachtsam böswillige Software herunterladen können beim Zugreifen auf das Internet. Datenviren können die Sicherheitssoftware auf dem Fern-Host entfernen, außer Stand setzen oder modifizieren ohne Kenntnis des Benutzers. Ein Datenvirus kann auch das Betriebssystem eines Hosts schädigen oder sogar zerstören.
Ein Mechanismus zum Unterstützen von Sicherheits- und Mobilitätseigenschaften durch IP-Schichtpakethandhabung wird in dem Dokument "IP Layer Security and Mobility Support Design Policy and an Implementation" (ISS World Telecommunications congress (International Switching Symposium), CA, Toronto, Pinnacle Group, 1997, Seiten 571 – 577, XP000720565) diskutiert. Eine grundlegende Entwurfsrichtlinie, gemäß diesem Dokument, ist, dass ein sicherer Mobilknoten eine IPsec-Entität für sich allein umfasst.
Ein recht bekanntes Verfahren für einen Fern-Host zum Zugreifen auf einen Netzwerkserver ist das Verwenden des WAP-Protokolls ("Wireless Application Protokoll: Architecture Specification"; erhalten von HTTP://WWW1.WAPFORUM.ORG/TECH/TERMS.ASP?DOC=SPEC-W, XP002140982). Gemäß diesem Dokument sollte ein Fern-Host vorzugsweise das IPsec-Protokoll unterstützen.
Ein Fern-Host, z.B. ein Personal Computer, kann ein Modem für eine Kommunikation über ein Netzwerk verwenden. Die Verbindung zwischen dem Host-Computer und einem Modem kann ferner ein Kurzstrecken-Kommunikationssystem, z.B. basierend auf Bluetooth ("BLUETOOTH – The universal radio Interface for ad hoc, wireless connectivity", Jaap Haartsen, Ericsson Review Nr. 3, 1998, Seiten 110 – 117, XP000783249) verwenden.
Ein anderer Typ von Kurzstrecken-Kommunikation basiert auf Infrarotlicht. Dokument EP-A-0 790 749 beschreibt die Verwendung von Infrarotschnittstellen zum Ermöglichen einer Datenkommunikation zwischen einem Funktelefon und einem tragbaren Computer gleichzeitig mit einer Sprachkommunikation zwischen dem Telefon und einem Telefonsystem.
Internet-Telephonie wird in dem Dokument "Internet Telephony: Architecture and Protocols – an IETF Perspective" (Schulzrinne H et al, Computer Networks and ISDN Systems, NL, North Holland Publishing, Amsterdam, Vol. 31, Nr. 3, 11. Februar 1999, Seiten 237 – 255, XP000700321) diskutiert. Sicherheit wird kurz diskutiert, im Besonderen bezogen auf Signalisierungs- und Transportprotokolle. Das Dokument WO 98 32301 A offenbart ein Verfahren, wobei ein Fern-Host sich mit einem privaten Netzwerk verbinden kann. Gemäß dem Verfahren empfängt der Fern-Host, sobald er authentiziert ist, eine mit diesem porivaten Netzwerk verknüpfte temporäre IP-Adresse.
Das US Patent 5,778,01 offenbart eine tragbare Sicherheitsvorrichtung, die angeschlossen werden kann an ein Telefon und verwendet werden kann zum eindeutigen Identifizieren des Benutzers zu einem Netzwerk.
ZUSAMMENFASSUNG DER ERFINDUNG
Wenn heute ein Benutzer, der den Anlagen seines Intranets fernbleibt, mit dem Intranet kommunizieren möchte, muss dieser ein Sicherheitssystem benutzen, das eine Sicherheitsnetzwerk-Treibersoftware benutzt, um die Übertragung von Daten zwischen dem Intranet und dem Fern-Host, d.h. dem von dem Benutzer zum Kommunizieren mit seinem Intranet verwendeten Computer, zu schützen.
Das Hauptproblem mit Sicherheitsnetzwerk-Treibersoftware verwendenden Sicherheitssystemen ist, dass der Fern-Host, d.h. der von dem mobilen Benutzer verwendete Computer, angepasst sein muss zum Handhaben von IPsec-Tunneln. Mit der großen Menge von bereits eingesetzten Hosts (Laptops, Workstations, PCs) und einer Vielfalt von Betriebssystemen und deren Versionen ist dies eine undurchführbare Lösung. Weiterhin sind Aufrüstungen ebenso schwierig zu warten und durchzuführen für solch ein Szenario.
Ein anderes Problem mit Sicherheitsnetzwerk-Treibersoftware verwendenden Sicherheitssystemen ist, dass eine Installation und Konfiguration von solchen Maschinen-nahen Sicherheitsnetzwerkmodulen (d.h. Betriebssystem-abhängig) nur durch erfahrenes Personal und nicht durch den allgemeinen Benutzer durchgeführt werden kann.
Ein weiteres Problem mit Sicherheitsnetzwerk-Treibersoftware verwendenden Sicherheitssystemen ist, dass Benutzer unachtsam böswillige Software beim Zugreifen auf das Internet herunterladen können. Datenviren können die Sicherheitssoftware des Fern-Hosts ohne Kenntnis des Benutzers entfernen, außer Stand setzen oder modifizieren.
Noch ein weiteres Problem von Verschlüsseln und Einkapseln verwendenden Sicherheitssystemen ist, dass der Prozess, der ein Einkapseln/Entkapseln und Verschlüsseln/Entschlüsseln von Netzwerkpaketen beinhaltet, ein großes Teilstück der Verarbeitungsleistung eines Computers erfordern kann.
Die hier offenbarte Vorrichtung umfasst eine mit Firmware bereitgestellte unabhängige Zugangseinheit. Firmware ist eine Software, die in einer Sorte von nur lesbaren Speichermodulen gespeichert ist zum Bereitstellen einer besseren Sicherheit. Firmware kann nicht durch externe Datenviren modifiziert werden. In Übereinstimmung mit dem offenbarten Verfahren und der offenbarten Vorrichtung, zum Zweck einer Klientenauthentifizierung, können Privatschlüssel für digitale Zertifikate, oder im Allgemeinen, eine private oder geheime Information, die notwendig ist für eine Klientenauthentisierung, in einer persönlichen SIM-Karte/Smart-Card gespeichert werden und in Kombination mit dem Mobiltelefon als ein Sicherheits-Gateway verwendet werden bei Aufbauen eines IPsec-Tunnels. Ein seinem normalen Büro fernbleibender Arbeitnehmer kann, mittels einer als ein Sicherheits-Gateway arbeitenden persönlichen unabhängigen Zugangseinheit, mit dem geschützten Intranet seines Arbeitgebers kommunizieren. Solch ein Szenario ermöglicht dem Arbeitnehmer, irgendeinen Fern-Host zu leihen zum Zugreifen auf das Intranet mittels eines Mobilkommunikationsnetzwerks oder eines Festnetzwerks, z.B. GSM, CDMA, PSTN.
Die Lösung ist, die Sicherheitsfunktion zu dem Mobiltelefon oder der unabhängigen Zugangseinheit zu bewegen, vorzugsweise einer drahtlosen unabhängigen Zugangseinheit, wo ein leichtes Sicherheits-Gateway implementiert ist.
Bei dieser Lösung, im Gegensatz zu dem Stand der Technik, wo die Sicherheitsschicht in dem Fern-Host untergebracht ist, wird die Sicherheitsverwaltung in dem Mobiltelefon bereitgestellt. Die IPsec Firmware und Schlüsselverwaltung sind in dem Mobiltelefon untergebracht, wo sie nicht durch mögliche Angriffe getroffen werden können. Gemäß einer vorteilhaften Ausführungsform kann die Sicherheits-Gateway-Funktionalität außerdem bereitgestellt werden in einem externen Hardwaremodul, das in das Mobiltelefon gestöpselt werden kann, das es kommerziell erhältlichen Telefonen ermöglichen kann, als Sicherheits-Gateways zu arbeiten.
Gemäß einer weiteren vorteilhaften Ausführungsform der Erfindung wird ein Computerprogrammprodukt bereitgestellt, das in den internen Speicher einer unabhängigen Zugangseinheit ladbar ist und Software-Teilstücke umfasst zum Durchführen des hier offenbarten Verfahrens, wenn die unabhängige Zugangseinheit durch einen Computer aktiviert wird.
Ein Ziel dieser erfinderischen Methode und Vorrichtung ist das Bereitstellen einer besseren Sicherheit für über das Internet kommunizierende elektronische Geräte, wobei die Kommunikation bereitgestellt wird mittels eines Mobilkommunikationsnetzwerks oder eines Festnetzwerks.
Ein anderes Ziel dieses erfinderischen Verfahrens und dieser Vorrichtung ist das Bereitstellen einer Sicherheit für extern untergebrachte elektronische Geräte, die über das Internet zu einem Intranet kommunizieren.
Ein weiteres Ziel dieser Erfindung ist das Bereitstellen eines zum Widerstehen von externen Angriffen fähigen Sicherheits-Gateways. Das Ziel wird erreicht mittels eines Sicherheitsgeräts in der Form einer Hardware in dem Mobiltelefon.
Ein anderes Ziel des offenbarten Verfahrens und der Vorrichtung ist, dass alle Sicherheitsassoziationen, so wie Schlüssel und Konfigurationsparameter, und Kommunikationen bei einem persönlichen einzelnen Punkt gehandhabt werden – der unabhängigen Zugangseinheit.
Noch ein weiteres Ziel des offenbarten Verfahrens und der Vorrichtung ist, dass die Verwendung einer unabhängigen Zugangseinheit, vorzugsweise einer drahtlosen unabhängigen Zugangseinheit, als ein Sicherheits-Gateway dessen Benutzer ermöglicht, einen beliebigen Fern-Host zu verwenden, so wie ein Laptop oder einen eigenständigen Computer, zum Zugreifen auf sein/ihr Intranet.
Ein Vorteil des hier offenbarten Verfahrens und der Vorrichtung ist, dass Maschinen-nahe Sicherheitssoftware nicht installiert werden muss auf dem Fern-Host.
Ein anderer Vorteil des offenbarten Verfahrens und der Vorrichtung ist, dass alle Sicherheitsvereinigungen, so wie Schlüssel und Konfigurationsparameter, und Kommunikationen bei einem persönlichen einzelnen Punkt gehandhabt werden – der unabhängigen Zugangseinheit, vorzugsweise einer drahtlosen unabhängigen Zugangseinheit.
Ein weiterer Vorteil des hier offenbarten Verfahrens und der Vorrichtung ist, dass IPsec Firmware einen besseren Schutz in der unabhängigen Zugangseinheit bereitstellt als die Sicherheit, die in dem Fern-Host bereitgestellt werden kann, wo es möglich ist angegriffen zu werden, wenn der Fern-Host zum Zugreifen auf das Intranet verwendet wird.
Noch ein weiterer Vorteil des hier offenbarten Verfahrens und der Vorrichtung ist, dass eine Firmware nicht durch externe Datenviren modifiziert werden kann.
Ein anderer Vorteil des offenbarten Verfahrens und der Vorrichtung ist, dass die Verwendung einer unabhängigen Zugangseinheit, vorzugsweise einer drahtlosen unabhängigen Zugangseinheit, als ein Sicherheits-Gateway seinem Benutzer ermöglicht, einen beliebigen Fern-Host zu verwenden zum Zugreifen auf sein Intranet.
In dieser Offenbarung wird der Begriff Mobiltelefon verwendet. Ein Fachmann versteht, dass das hier offenbarte Verfahren ebenso für irgendein drahtloses Telefon Anwendung findet. Weiterhin, anstelle eines drahtlosen Telefons, kann irgendeine unabhängige Zugangseinheit, vorzugsweise eine drahtlose unabhängige Zugangseinheit verwendet werden, wobei die Zugangseinheit verwendet werden, wobei die Zugangseinheit fähig ist zum Bereitstellen einer drahtlosen Kommunikation. Die Kommunikation zwischen der Zugangseinheit und einem elektronischen Gerät, so wie einem Laptop, einem persönlichen digitalen Assistenten bzw. PDA oder einem gewöhnlichen Computer kann bereitgestellt sein mittels Kabeln oder einer drahtlosen Kommunikation in der Form von z.B. Kurzstreckenfunk (z.B. Bluetooth) oder Infrarotlicht.
Weiterhin, in extremen Fällen, kann die Kommunikation zwischen der Zugangseinheit und dem elektronischen Gerät bereitgestellt sein mittels Ultraschallkommunikation oder hydrophonischer (hydrophonic) Kommunikation. Die Sicherheits-Firmware kann auch in dem als ein Fern-Host arbeitenden Computer eingefügt sein, wobei der Computer unter Verwenden der Sicherheits-Firmware als ein Sicherheits-Gateway kommuniziert.
Der in dieser Spezifizierung verwendete Begriff "umfasst/umfassend" wird genommen zum Spezifizieren der Anwesenheit von angegebenen Merkmalen, Zahlen, Schritten oder Komponenten, aber schließt nicht die Anwesenheit oder Hinzufügung von einem oder mehreren anderen Merkmalen, Zahlen, Schritten, Komponenten oder Gruppen davon aus.
Ein weiterer Bereich der Anwendbarkeit der vorliegenden Erfindung wird offensichtlich werden aus der hier im nachfolgenden gegebenen detaillierten Beschreibung. Jedoch sollte verstanden werden, dass die detaillierte Beschreibung und spezifische Beispiele, obwohl als bevorzugte Ausführungsformen der Erfindung angegeben, nur zum Wege einer Illustration gegeben sind, da verschiedene Änderungen und Modifizierungen innerhalb des Bereichs der Erfindung offensichtlich werden für den Fachmann aus dieser detaillierten Beschreibung.
KURZE BESCHREIBUNG DER ZEICHNUNGEN
1 ist ein Bild, das die Verwendung des Verfahrens und der Vorrichtung gemäß der Erfindung veranschaulicht.
2 ist ein Diagramm, das die drei Schichten in dem Internet veranschaulicht.
3 ist ein Flussdiagramm eines Aktualisierens eines Tunneldatensatzes bzw. einer Tunnelaufzeichnung, wobei ein Sicherheitssystem gemäß der Erfindung verwendet wird.
4 ist ein Diagramm, das ein Sicherheitssystem zur Kommunikation gemäß der Erfindung veranschaulicht.
Die Erfindung wird nun detaillierter mit Verweis auf die bevorzugten beispielhaften Ausführungsformen davon beschrieben werden und mit Verweis auf die begleitenden Zeichnungen.
DETAILLIERTE BESCHREIBUNG
In 1 ist die Verwendung des Verfahrens und der Vorrichtung gemäß der Erfindung veranschaulicht. Ein Arbeitnehmer, Herr Smith, einer internationalen Firma, z.B. Ericsson, besucht Tokio. Herr Smith besitzt ein Mobiltelefon 1030, das mit einer SIM-Karte bereitgestellt ist mit einer Sicherheits-Firmware gemäß der Erfindung. Herr Smith möchte mit dem Intranet 1040 von Ericsson kommunizieren, das in Stockholm, Schweden lokalisiert ist. Herr Smith leiht sich ein Laptop 1010 von dem Hotel, wo er während seines Besuches in Tokio bleibt. Er verbindet den Laptop 1010 mittels einer Kurzstreckenfunkkommunikation 1020 mit seinem Mobiltelefon. In einer weiteren Anwendung kann ein Kabel anstelle einer Kurzstreckenfunkkommunikation verwendet werden. In noch einer weiteren Ausführungsform der Erfindung kann der Laptop 1010 durch einen eigenständigen Computer ersetzt sein. Die Kommunikation zwischen dem Laptop 1010 und dem Mobiltelefon 1030 kann mittels Infrarotlicht bereitgestellt sein. In einer weiteren Ausführungsform kann die mit der Sicherheits-Firmware bereitgestellte SIM-Karte in den Laptop 1010 eingefügt sein. Herr Smith ist nun fähig zum Kommunizieren mittels einer drahtlosen Kommunikation mit dem Intranet 1040 von Ericsson in Stockholm. Die drahtlose Kommunikation zwischen dem Mobiltelefon 1030 und dem Empfangscomputer kann bereitgestellt sein durch das öffentliche Mobilfunknetz (Public Land Mobile Network) (PLMN) und das Internet. In einer weiteren Ausführungsform ist auch eine Satellitenkommunikation möglich. Das Mobiltelefon 1030 handelt als ein Sicherheits-Gateway für die Kommunikation zwischen dem Intranet 1040 und dem Laptop 1010. Das Intranet 1040 ist bereitgestellt mit einem Empfangscomputer 1050, der als ein Intranet-Sicherheits-Gateway für die Kommunikation zwischen dem Intranet 1040 und dem Rest der Welt handelt.
3 ist ein Flussdiagramm eines Verfahrens zum Datenschutz (Sicherheit) über Verschlüsseln/Entschlüsseln für eine Netzwerkkommunikation gemäß der Erfindung. Wenn ein Benutzer auf sein Intranet von einem Fern-Host zugreifen möchte, verbindet der Benutzer eine unabhängige Zugangseinheit, z.B. ein Mobiltelefon, die mit einer Sicherheits-Firmware gemäß der Erfindung bereitgestellt ist, mit einem Computer (Schritt 185). Danach baut das Mobiltelefon eine Verbindung mit dem Internet auf (Schritt 189). Dabei kontaktiert das Mobiltelefon das Sicherheits-Gateway des Intranets (Schritt 192). Ein als ein Gateway zu dem Intranet handelnder und mit einem Sicherheits-Gateway bereitgestellter Computer überprüft, ob das Sicherheits-Gateway in der unabhängigen Zugangseinheit authorisiert ist (Schritt 196). Wenn dies nicht der Fall ist, wird eine Fehlernachricht an das Telefon gesendet. Andernfalls wird ein Sicherheitstunnel zwischen dem Mobiltelefon und dem Sicherheits-Gateway aufgebaut (Schritt 198). Dabei wird eine IP-Verbindung zwischen dem Fern-Host und dem Intranet aufgebaut.
In 4 ist die Kommunikation zwischen den Entitäten gemäß einer bevorzugten Ausführungsform gezeigt. Die drei Schichten einer Kommunikation sind in 4 veranschaulicht. Jedes Protokoll kommuniziert mit seinem logischem Entsprechenden. Die Kommunikation wird bereitgestellt Schicht für Schicht; die TCP/UDP-Schicht 130 bei dem Fern-Host 100, bei der Internet Seite, kommuniziert mit der TCP/UDP-Schicht 430 bei dem Intranet-Host 400, die IP-Schicht 120 bei dem Fern-Host 100 kommuniziert mit der IP-Schicht 420 bei dem Intranet-Host 400 bei der Intranet Seite. Wie in 4 gezeigt ist der Fern-Host 100 nicht mit einer Netzwerksicherheitsschicht bereitgestellt, d.h. eine Installation einer Netzwerksicherheitsschicht bei dem Fern-Host 100 ist nicht erforderlich. Die gesamte Sicherheitsverwaltung wird in dem Mobiltelefon 200 bereitgestellt. Das Mobiltelefon 200 bei der Internet Seite wird bereitgestellt mit einem Sicherheits-Gateway 230, bereitgestellt mit einer Firmware, IPsec genannt, in 240. Die Komplexität der Sicherheits-Gateway-Funktionalität 230 kann niedrig gehalten werden, da nur ein einzelner Host geschützt werden braucht. Die Hardware und die Software in dem Mobiltelefon 200 kann zuverlässig implementiert werden. Andererseits ist das Vertrauen begrenzt, das man dem Fern-Host 100 entgegenbringen kann. Kommunikation zwischen dem Fern-Host 100 und dem Mobiltelefon 200 ist sicher, z.B. durch ein beide Geräte verbindendes serielles Kabel, die eingebaute Sicherheit der Kommunikationsverbindung (z.B. Bluetooth oder eine andere Kurzstreckenkommunikation), oder die Kurzstreckenfähigkeit (Infrarotlicht). Die IPsec Firmware 240 und die Schlüsselverwaltung sind untergebracht in dem Mobiltelefon 200, als ein Teil des Sicherheits-Gateways 230, wo es nicht durch mögliche Angriffe betroffen sein kann. Die IPsec-Schicht 240 in dem Mobiltelefon 200 auf der Internet Seite kommuniziert mit der IPsec-Schicht 340 in dem Sicherheits-Gateway 300 auf der Intranet Seite. Das Sicherheits-Gateway 300 beendet den IPsec-Tunnel und leitet die IP-Pakete weiter von dem Fern-Host zu dem Intranet-Host. In einer bevorzugten Ausführungsform ist das Sicherheits-Gateway 300 untergebracht in dem Intranet-Host 400. In einer weiteren bevorzugten Ausführungsform ist das Sicherheits-Gateway 300 ein Teil des Hosts 400.
Die Steuerung einer Sicherheitsassoziation (Security Association) (SA) eines Mobiltelefons, so wie Schlüssel zum VPN-Aufbau und Sicherheitsrichtlinien kann statisch oder dynamisch durchgeführt werden.
In dem einfachen Fall wird die SA in das Mobiltelefon geladen durch externe (out-of-band) sichere Mittel (d.h. eine statische Konfiguration). Dies könnte für einfache Konfigurationen manuell durchgeführt werden, oder sicher innerhalb des Intranets von einer authentifizierten Stelle heruntergeladen werden. Das Mobiltelefon kann auch vorkonfiguriert sein zum Erhalten seiner Intranet-Netzwerkparameter innerhalb des Intranets. In solch einem Fall würde ein manuelles IPsec zwischen dem Telefon und dem Sicherheits-Gateway laufen.
Eine dynamische Konfiguration des IPsec-Tunnels und des Fern-Hosts kann auch bereitgestellt sein gemäß dem Internet Key Exchange (IKE) [RFC 2409]. In solch einem Fall wird das IKE-Protokoll eingesetzt zum Aufbauen einer anfänglichen Sicherheitsassoziation zwischen dem Telefon und dem Sicherheits-Gateway. Dieser Tunnel würde dann verwendet werden zum Aushandeln einer Fern-Host SA. IKE ist ausgewählt worden, weil die dynamische Konfiguration ein transportables Sicherheits-Gateway bereitstellt. Weiterhin stellt ein persönliches Sicherheits-Gateway eine bessere Steuerung und Überwachung bereit.
Folgendes sollte wahrgenommen werden:

– Die Vorkonfiguration der Sicherheitsassoziationen könnte sehr stark sein und nur einen Zugang zu gewissen Gateways erlauben, oder sie könnte sehr gelockert sein und mehr oder weniger unter Benutzersteuerung sein.
– Implementierung des IKE-Protokolls würde eine Schlüsselverwaltung basierend auf einer öffentlichen Schlüsselinfrastruktur (Public Key Infrastructure) (PKI) erlauben.
– Andere Sicherheitskanäle können implementiert werden gemäß dieser Idee. Anstelle des IPsec-Protokolls ist es z.B. möglich, Transportschichtsicherheit (TLS: Transport Layer Security/SSL: Secure Socket Layer/SSH: Secure Shell/WTLS: Wireless TLS), einfaches Paketfiltern, oder Verbindungsebenen-Verschlüsselung für Modemverbindungen zu haben.

In einer noch zukünftigen Ausführungsform, in einem Sprache über einen IP-Kanal übertragenden Kommunikationssystem, kann das hier offenbarte Verfahren verwendet werden.
Wo die Erfindung so beschrieben wurde, wird offensichtlich sein, dass dieselbe auf viele Arten variiert werden kann. Solche Variationen sollten nicht als eine Abweichung von dem Gebiet der Erfindung betrachtet werden, und alle solche Modifikationen, so wie sie für den Fachmann offensichtlich wären, sollen innerhalb des Bereichs der folgenden Ansprüche sein.

Claims

Ein Verfahren zur Übertragung von Datenpaketen in einem Kommunikationssystem mit einem Fern-Host (1010), einer unabhängigen Zugangseinheit (1030) zum Authentifizieren eines Zugangs zu einem Kommunikationsnetzwerk und Verschlüsseln von Information, einem Empfangscomputer (1050), der als ein Sicherheits-Gateway zu einem Intranet tätig ist und empfangene Datenpakete zu einem Intranet-Host (400) weiterleitet, gekennzeichnet durch die folgenden Schritte: – Aufbauen eines ersten Übertragungspfades zwischen dem Fern-Host (1010) und der unabhängigen Zugangseinheit (1030); – Bestimmen, durch Gebrauch von Sicherheitsfirmware und Geheimschlüsselinformation bei der unabhängigen Zugangseinheit (1030), eines Sicherheitsverbands; – Aufbauen eines zweiten Übertragungspfades gemäß einer Sicherheitsprotokollschicht zwischen der unabhängigen Zugangseinheit (1030) und dem Empfangscomputer (1050) über das Kommunikationsnetzwerk und in Abhängigkeit von dem Sicherheitsverband. – Aufbauen eines Übertragungspfades zwischen dem Fern-Host (1010) und dem Intranet-Host mit dem ersten und dem zweiten Übertragungspfad, wobei die unabhängige Zugangseinheit (1030) als ein Gateway zwischen dem ersten und dem zweiten Übertragungspfad dient, und wobei der Empfangscomputer (1050) als ein Gateway zwischen dem zweiten Übertragungspfad und einem Intranetpfad zu dem Intranet-Host dient.
Ein Verfahren gemäß Anspruch 1, dadurch gekennzeichnet, dass die End-zu-End-Protokollschicht TCP/IP ist und die Sicherheitsprotokollschicht IPsec ist, für die Unterstützung durch die Firmware bereitgestellt wird.
Ein Verfahren gemäß Anspruch 1, dadurch gekennzeichnet, dass die Firmware in der Form von Software bereitgestellt ist.
Ein Verfahren gemäß Anspruch 1 bis 3, dadurch gekennzeichnet, dass der Fern-Host ein Laptop oder ein eigenständiger Computer ist.
Ein Verfahren gemäß Anspruch 1 bis 3, dadurch gekennzeichnet, dass der Fern-Host ein Persönlicher-Digital-Assistent (PDA) ist.
Ein Verfahren gemäß Anspruch 1, dadurch gekennzeichnet, dass die erste Übertragung zwischen der unabhängigen Zugangseinheit (1030) und dem Fern-Host (1010) mittels einer Funkverbindung durchgeführt wird.
Ein Verfahren gemäß Anspruch 1, dadurch gekennzeichnet, dass die erste Übertragung zwischen der unabhängigen Zugangseinheit (1030) und dem Fern-Host (1010) mittels Kurzwellenfunk durchgeführt wird.
Ein Verfahren gemäß Anspruch 7, dadurch gekennzeichnet, dass die Kurzwellenfunkübertragung an den Bluetooth-Standard angepasst ist.
Ein Verfahren gemäß Anspruch 6, dadurch gekennzeichnet, dass die erste Übertragung zwischen dem unabhängigen Zugang und dem Fern-Host mittels Infrarotlicht durchgeführt wird.
Ein Verfahren gemäß Anspruch 1, dadurch gekennzeichnet, dass pro Client-Authentifizierung erforderliche Client-Privat-Information in einem persönlichen, gegen Eingriffe gesicherten Speicher gespeichert und in Kombination mit der unabhängigen Zugangseinheit verwendet wird als ein Sicherheits-Gateway bei Einrichtung eines IPsec-Tunnels, der einem Benutzer das Ausborgen irgendeines Fern-Hosts ermöglicht, um auf das Intranet mittels eines Mobilkommunikationsnetzwerkes oder eines festen Netzwerkes zuzugreifen.
Ein Verfahren gemäß Anspruch 10, dadurch gekennzeichnet, dass der gegen Eingriffe gesicherte Speicher in der Form einer SIM-Karte/Smart-Card bereitgestellt wird.
Ein Verfahren gemäß Anspruch 1, dadurch gekennzeichnet, dass der Sicherheits-Gateway 300 die IPsec gesicherte Verbindung abbricht und die IP-Pakete von dem Fern-Host zu dem Intranet-Host weiterleitet.
Ein Verfahren gemäß Anspruch 1, dadurch gekennzeichnet, dass die Konfiguration des Sicherheitsverbands SA der unabhängigen Zugangseinheit statisch in einer Vorkonfigurationsphase durchgeführt wird.
Ein Verfahren gemäß Anspruch 1, dadurch gekennzeichnet, dass die Konfiguration des Sicherheitsverbands SA der unabhängigen Zugangseinheit dynamisch durchgeführt wird.
Ein Verfahren gemäß Anspruch 14, dadurch gekennzeichnet, dass die dynamische Konfiguration mittels eines Internetschlüsselaustauschs (IKE) bereitgestellt wird, um einen Anfangssicherheitsverband zwischen der unabhängigen Zugangseinheit und dem Sicherheits-Gateway aufzubauen, wobei die sichere Verbindung zum Aushandeln eines Fern-Host-SA verwendet wird.
Ein Verfahren gemäß Anspruch 13, dadurch gekennzeichnet, dass die Vorkonfiguration der Sicherheit nur Zugang zu gewissen Gateways erlaubt.
Ein Verfahren gemäß Anspruch 13, dadurch gekennzeichnet, dass die Vorkonfiguration unter Benutzersteuerung erfolgt.
Ein Verfahren gemäß Anspruch 15, dadurch gekennzeichnet, dass die PKI-basierte Schlüsselverwaltung verwendet wird.
Ein Verfahren gemäß Anspruch 1, dadurch gekennzeichnet, dass in diesem das Verfahren in einem über einen IP-Kanal Sprache übertragenden Kommunikationssystem verwendet wird.
Ein direkt in den internen Speicher einer unabhängigen Zugangseinheit ladbares Computerprogrammprodukt, gekennzeichnet durch Umfassen von Softwareteilen zum Durchführen des Verfahrens gemäß irgendeinen der Ansprüche 1 bis 19, wenn die unabhängige Zugangseinheit durch einen Computer aktiviert wird.
Eine Vorrichtung zur Übertragung von Datenpaketen in einem Kommunikationssystem mit einem Fern-Host (1010), einer unabhängigen Zugangseinheit (1030) zu einem Kommunikationsnetzwerk, einem Empfangscomputer (1050), der als ein Sicherheits-Gateway zwischen dem mindestens teilweise öffentlichen Kommunikationsnetzwerk und einem Intranet tätig ist, und einem Intranet-Host, gekennzeichnet durch: – Mittel zum Aufbauen eines ersten Übertragungsfades zwischen dem Fern-Host (1010) und der unabhängigen Zugangseinheit (1030); – Mittel zum Bestimmen, durch Gebrauch von Sicherheitsfirmware und Geheimschlüsselinformation bei der unabhängigen Zugangseinheit (1030), eines Sicherheitsverbands zwischen der unabhängigen Zugangseinheit (1030) und dem Empfangscomputer (1050); – Mittel zum Aufbauen eines zweiten Übertragungspfades gemäß einer Sicherheitsprotokollschicht zwischen der unabhängigen Zugangseinheit (1030) und dem Empfangscomputer (1050) über das Kommunikationsnetzwerk und in Abhängigkeit des Sicherheitsverbands; – Mittel zum Aufbauen eines Kommunikationspfades gemäß einer End-zu-End-Protokollschicht zwischen dem Fern-Host (1010) und dem Intranet-Host, die den ersten und den zweiten Übertragungspfad umfassen, wobei die unabhängige Zugangseinheit (1030) als ein Gateway zwischen dem ersten und dem zweiten Übertragungspfad dient, und wobei der Empfangscomputer (1050) als ein Gateway zwischen dem zweiten Übertragungspfad und einem Intranetpfad zu dem Intranet-Host dient.
Eine Vorrichtung gemäß Anspruch 21, dadurch gekennzeichnet, dass die Firmware in der Form von IPsec bereitgestellt ist.
Eine Vorrichtung gemäß Anspruch 21, dadurch gekennzeichnet, dass die Firmware in der Form von Software bereitgestellt ist.
Eine Vorrichtung gemäß Anspruch 21 bis 23, dadurch gekennzeichnet, dass der Fern-Host ein Laptop oder ein eigenständiger Computer ist.
Eine Vorrichtung gemäß Anspruch 21 bis 23, dadurch gekennzeichnet, dass der Fern-Host ein Persönlicher-Digital-Assistent (PDA) ist.
Eine Vorrichtung gemäß Anspruch 21, dadurch gekennzeichnet, dass der Übertragungspfad zwischen der unabhängigen Zugangseinheit (1030) und dem Fern-Host (1010) mittels einer Funkverbindung aufgebaut ist.
Eine Vorrichtung gemäß Anspruch 21, dadurch gekennzeichnet, dass der Übertragungspfad zwischen der unabhängigen Zugangseinheit (1030) und dem Fern-Host (1010) mittels Kurzwellenfunk aufgebaut ist.
Eine Vorrichtung gemäß Anspruch 27, dadurch gekennzeichnet, dass die Kurzwellenfunkverbindung angepasst ist an den Bluetooth-Standard.
Eine Vorrichtung gemäß Anspruch 26, dadurch gekennzeichnet, dass der Übertragungspfad zwischen der unabhängigen Zugangseinheit (1030) und dem Fern-Host (1010) mittels Infrarotlicht durchgeführt ist.
Eine Vorrichtung gemäß Anspruch 21, dadurch gekennzeichnet, dass pro Client-Authentifizierung erforderliche Client-Privat-Information in dem persönlichen, gegen Eingriffe gesicherten Speicher gespeichert und in Kombination mit der unabhängigen Zugangseinheit verwendet wird als ein Sicherheits-Gateway bei Einrichtung eines IPsec-Tunnels, der einem Benutzer das Ausborgen irgendeines Fern-Hosts ermöglicht, um auf das Intranet mittels eines Mobilkommunikationsnetzwerks oder eines festen Netzwerkes zuzugreifen.
Eine Vorrichtung gemäß Anspruch 30, dadurch gekennzeichnet, dass der gegen Eingriffe gesicherte Speicher in der Form einer SIM-Karte/Smart-Card bereitgestellt ist.
Eine Vorrichtung gemäß Anspruch 21, dadurch gekennzeichnet, dass der Sicherheits-Gateway 300 die Ipsec gesicherte Verbindung abbricht und die IP-Pakete von dem Fern-Host zu dem Intranet-Host weiterleitet.
Eine Vorrichtung gemäß Anspruch 21, dadurch gekennzeichnet, dass die Steuerung des Sicherheitsverbands SA der unabhängigen Zugangseinheit statisch in einer Vorkonfigurationsphase durchgeführt ist.
Eine Vorrichtung gemäß Anspruch 21, dadurch gekennzeichnet, dass die Steuerung des Sicherheitsverbands SA der unabhängigen Zugangseinheit dynamisch durchgeführt ist.
Eine Vorrichtung gemäß Anspruch 34, dadurch gekennzeichnet, dass die dynamische Konfiguration mittels eines Internetschlüsselaustauschs (IKE) bereitgestellt ist, um einen Anfangssicherheitsverband zwischen der unabhängigen Zugangseinheit und dem Sicherheits-Gateway aufzubauen, wobei die sichere Verbindung zum Aushandeln eines Fern-Host-SA verwendet wird.
Eine Vorrichtung gemäß Anspruch 33, dadurch gekennzeichnet, dass die Vorkonfiguration der Sicherheit nur den Zugriff auf gewisse Gateways erlaubt.
Eine Vorrichtung gemäß Anspruch 33, dadurch gekennzeichnet, dass die Vorkonfiguration unter Benutzersteuerung erfolgt. gekennzeichnet, dass die PKI-basierte Schlüsselverwaltung verwendet wird.