DE19821911C2

DE19821911C2 - Method and communication system for access control through a management network having several management levels

Info

Publication number: DE19821911C2
Application number: DE1998121911
Authority: DE
Inventors: Lucian Hirsch
Original assignee: Siemens AG
Current assignee: Siemens AG
Priority date: 1998-05-15
Filing date: 1998-05-15
Publication date: 2000-07-06
Anticipated expiration: 2018-05-16
Also published as: DE19821911A1

Description

Die Erfindung betrifft ein Verfahren und ein Kommunikations system zur Zugriffskontrolle durch ein mehrere Managementebe nen aufweisendes Managementnetz, das zumindest eine Manager- Agent-Schnittstelle zwischen einem Manager einer Manage mentebene und einem Agent einer darunterliegenden Management ebene aufweist, über die eine Authentifizierungsprozedur bei Zugriffen eines Operators auf den Manager durchgeführt wird.The invention relates to a method and a communication Access control system through multiple management levels management network that has at least one managerial Agent interface between a manager of a manager management level and an agent of an underlying management level, via which an authentication procedure at An operator accesses the manager.

Die Prinzipien eines Managementnetzes, die auch als TMN-Prin zipien (Telecommunications Management Network) bezeichnet werden, definieren mehrere Managementebenen für das Manage ment eines Kommunikationssystems - beispielsweise eines Mo bil-Kommunikationssystems -, wobei nahezu jede Ebene eine duale Manager-Agent-Funktionalität innehat. Die jeweilige Ma nagementebene - mit Ausnahme der untersten Ebenes - hat eine Manager-Funktion für die darunterliegende Managementebene so wie - mit Ausnahme der obersten Ebene - eine Agent-Funktion für die nächsthöhere Managementebene.The principles of a management network, also known as TMN-Prin zipien (Telecommunications Management Network) define several management levels for the management ment of a communication system - for example a Mon bil communication system - with almost every level one dual manager-agent functionality. The respective Ma management level - with the exception of the lowest level - has one Manager function for the management level below like - with the exception of the top level - an agent function for the next higher management level.

Üblicherweise gibt es mehrere TMN-Funktionsbereiche, die den Zustand gemanagter Objekte kennzeichnen. Ein gemanagtes Ob jekt ist eine logische Abstraktion einer Ressource im Kommu nikationssystem. Hierbei wird unterschieden zwischen hardwa rebezogenen gemanagten Objekten, die eine herstellerspezifi sche Realisierung einer Funktion beschreiben, und funktions bezogenen gemanagten Objekten, bei denen es sich jeweils um die Abstraktion einer herstellerunabhängigen Funktionalität handelt. In einer objekt-orientierten Umgebung - wie zwischen Manager und Agent in einem Mobil-Kommunikationssystem - wird jede Agent-Funktionalität von einem bestimmten Objekt - als Instanz einer Objektklasse - bereitgestellt, das sowohl dem Agent als auch dem Manager bekannt ist.Usually there are several TMN functional areas that the Mark the condition of managed objects. A managed Ob jekt is a logical abstraction of a commu resource nication system. A distinction is made between hardwa re-related managed objects that have a manufacturer-specific Describe the implementation of a function, and functional related managed objects, each of which is the abstraction of a manufacturer-independent functionality acts. In an object-oriented environment - like between Manager and agent in a mobile communication system - will any agent functionality from a particular object - as Instance of an object class - provided that both the Agent is known as well as the manager.

Einer der TMN-Funktionsbereiche betrifft das Management si cherheitsrelevanter Funktionen (security management), von de nen die Zugriffskontrolle im Kommunikationssystem eine wich tige Aufgabe darstellt. Sie stellt sicher, daß eine Zugriffs möglichkeit nur berechtigten Operatoren eines externen Sy stems erlaubt ist. Für einen Informationsaustausch zwischen offenen Systemen definieren die Standards ITU T X.217 und ITU-T X.227 die Funktionalität - Dienste und Protokolle - auf Anwendungsebene. Für den Verbindungsaufbau zwischen Manager und Agent verwendet derjenige, der die Initiative zum Aufbau ergreift (association initiator), einen bestimmten Dienst (A- ASSOCIATE) gemäß der ITU T X.217. Gemäß dem Standard ITU-T X.710 ist in einem Parameter (user information) dieses Dien stes eine globale Information (access control) vorgesehen, um die Zugriffsberechtigung für die gesamte Informationsübertra gung zwischen den Diensteanwendern während einer Kommunikati onsverbindung zu definieren. Wenn diese systembezogene Zu griffskontrolle über die Manager-Agent-Schnittstelle erfolg reich ist, gelten gleiche Zugriffsrechte für alle Operatoren, die die Verbindung nutzen. Üblicherweise wendet man eine Au thentifizierungsprozedur für die Zugriffskontrolle bei Zu griffen von Operatoren externer Systeme an.One of the TMN functional areas concerns management si security-related functions (security management), from de Access control in the communication system is important task. It ensures that an access Possibility only authorized operators of an external Sy stems is allowed. For an exchange of information between open systems define the standards ITU T X.217 and ITU-T X.227 functionality - services and protocols Application level. For establishing a connection between managers and agent uses the one who builds the initiative takes (association initiator) a certain service (A- ASSOCIATE) according to ITU T X.217. According to the ITU-T standard X.710 is in a parameter (user information) of this service global information (access control) is provided in order to the access authorization for the entire information transfer between service users during a communication to define connection. If this system related Zu handle control via the manager-agent interface success is rich, the same access rights apply to all operators, who use the connection. Usually you use an Au The authentication procedure for access control at Zu attacked by operators of external systems.

Aus "Telekommunikation", Bd. 3, Augsburg INTEREST Verlag, 1995, Teil 13, Kapitel 2.6, Seiten 11-23 und Kapitel 2.8, Seiten 1-13 ist ein Authentifizierungsverfahren bekannt, das unmittelbar zwischen zwei Einrichtungen - z. B. Mobilfunknetz und Mobilfunkendgerät - nach üblicher Art abläuft. Es be trifft kein hierarchisch aufgebautes Managementsystem. Würde man die Instanz A mit dem Manager und die Instanz B mit dem Agent oder umgekehrt gleichsetzen, liegt keinesfalls eine vertrauenswürdige dritte Instanz in Form des Operators zur Durchführung einer einseitigen Authentifizierung vor. From "Telekommunikation", Vol. 3, Augsburg INTEREST Verlag, 1995, part 13, chapter 2.6, pages 11-23 and chapter 2.8, Pages 1-13 an authentication method is known, the directly between two facilities - e.g. B. Cellular network and mobile terminal - runs in the usual way. It be does not meet a hierarchical management system. Would Instance A with the manager and instance B with the To equate agent or vice versa is by no means one trusted third party in the form of the operator Perform one-sided authentication.

Aus der EP 398 492 A2 ist ein verteiltes Datenverarbeitungs system bekannt, bei dem die Authentifizierung eines Prozesses in einem Systemknoten zur Nutzung eines Dienstes in einem zweiten Systemknoten erfolgt und von einer abgesetzten drit ten Einheit durchgeführt wird. In der US 5,526,415 ist ein integriertes Kommunikationssystem beschrieben, das ein Intel ligentes Netz mit einem TMN-Netz kombiniert.A distributed data processing is known from EP 398 492 A2 known system in which the authentication of a process in a system node for using a service in a second system node and a remote third unit is carried out. In US 5,526,415 is a Integrated communication system described that an Intel ligent network combined with a TMN network.

Es ist Aufgabe der Erfindung, ein Verfahren und ein Kommuni kationssystem zur individuellen, operatorbezogenen Zugriffs kontrolle an der Manager-Agent-Schnittstelle anzugeben.It is an object of the invention, a method and a communication cation system for individual, operator-related access specify control at the manager-agent interface.

Diese Aufgabe wird gemäß der Erfindung hinsichtlich des Ver fahrens durch die Merkmale des Patentanspruchs 1 und hin sichtlich des Kommunikationssystems durch die Merkmale des Patentanspruchs 6 gelöst. Weiterbildungen der Erfindung sind den Unteransprüchen zu entnehmen.This object is achieved according to the invention with respect to the Ver driving through the features of claim 1 and back visually of the communication system by the characteristics of the Claim 6 solved. Developments of the invention are can be found in the subclaims.

Ausgehend von einer Authentifizierungsprozedur bei Zugriffen eines Operators auf den Manager über die Manager-Agent- Schnittstelle werden dabei gemäß dem Gegenstand der Erfindung
Starting from an authentication procedure when an operator accesses the manager via the manager-agent interface, according to the subject matter of the invention

- by the agent for a new communication link, the the manager requests to provide secret information and to sent to the manager
- by the manager when the operator logs in to him and has entered an operator password based on the received an encrypted operator Password formed and together with an operator name for that Agent sent, and
- the operator has access authorization from the agent the received encrypted operator password and the received operator name checked and the result of the Review submitted to manager.

Der Erfindungsgegenstand bietet den Vorteil einer operatorbe zogenen Zugriffskontrolle, die im Gegensatz zur systembezoge nen Zugriffskontrolle individuell für jeden Operator unabhän gig von anderen Operatoren für die gesamte Lebensdauer der Kommunikationsverbindung zwischen Manager und Agent einstell bar ist. Nur einem erfindungsgemäß authentifizierten Operator ist die Zugriffsmöglichkeit erlaubt. Ein weiterer Vorteil der Erfindung ist die Paßwort-Verschlüsselung unter Kontrolle des Agent, der die Geheiminformation zur individuellen Verschlüs selung liefert, in Kombination mit der verschlüsselten Paß wort-Übertragung über die Manager-Agent-Schnittstelle. Die operatorbezogene Zugriffskontrolle gemäß der Erfindung braucht darüber hinaus nicht bei jeder Nutzung eines CMISE (Common Management Information Service Element)-Dienstes zur Informationsübertragung aufgerufen zu werden.The subject of the invention offers the advantage of an operator pulled access control, which in contrast to system-related access control individually for each operator gig from other operators for the lifetime of the Set communication link between manager and agent is cash. Only one operator authenticated according to the invention access is allowed. Another advantage of Invention is password encryption under the control of Agent that secret information for individual encryption selung delivers, in combination with the encrypted passport word transfer via the manager-agent interface. The Operator related access control according to the invention does not need every time you use a CMISE (Common Management Information Service Element) service to be called for information transfer.

Gemäß einer Weiterbildung der Erfindung wird vom Agent und vom Manager ein identischer Verschlüsselungsalgorithmus für die Authentifizierungsprozedur verwendet. Dies hat den Vor teil einer einheitlichen Behandlung der Authentifizierung für die Zugriffskontrolle zu beiden Seiten der Manager-Agent- Schnittstelle.According to a development of the invention, the agent and from the manager an identical encryption algorithm for uses the authentication procedure. This has the intent part of a uniform treatment of authentication for access control to both sides of the manager agent Interface.

Gemäß einer anderen Weiterbildung der Erfindung wird vom Agent die Überprüfung der Zugriffsberechtigung des Operators durch Vergleich des empfangenen verschlüsselten Operator-Paß wortes und Operator-Namens mit jeweils in einer Tabelle ge speicherten Operator-Paßworten und Operator-Namen zugriffsbe rechtigter Operatoren durchgeführt.According to another development of the invention Agent checking the access authorization of the operator by comparing the encrypted operator pass received words and operator names, each in a table saved operator passwords and operator names authorized operators.

Vorzugsweise wird vor der Authentifizierungsprozedur eine An forderung vom Manager zum Aufbau einer Kommunikationsverbin dung an den Agent gerichtet. Damit ist aus Sicht des Manage ments sicherheitsrelevanter Funktionen eine Verbindung zwi schen Manager und Agent hergestellt, bevor die nachfolgende operatorbezogene Zugriffskontrolle gemäß den Erfindungsmerk malen ablaufen kann. An An is preferably used before the authentication procedure Requirement from the manager to set up a communication network to the agent. This is from the manager's point of view security-related functions a connection between manager and agent established before the subsequent Operator-related access control according to the inventive feature paint can expire.

Das Kommunikationssystem gemäß der Erfindung zur Zugriffskon trolle durch ein mehrere Managementebenen aufweisendes Mana gementnetz weist auf:
The communication system according to the invention for access control through a management network having several management levels has:

- Means in the agent for the allocation of secret information for egg ne new communication connection that the manager requests, and means for sending the secret information (Sstr) to the measure rodent,
- Means in the manager to form an encrypted Opera gate password when the operator logs in and has entered an operator password based on the received one Secret information and means in the manager for sending the ver encrypted operator password together with an operator Agent names, and
- Means in the agent for checking an access authorization of the operator based on the encrypted received operator Password and operator name and agent in the agent Submit the result of the review to the manager.

Nachstehend wird die Erfindung anhand eines Ausführungsbei spiels unter Bezugnahme auf die Figuren näher erläutert. Es zeigenThe invention will now be described by way of an embodiment game explained with reference to the figures. It demonstrate

Fig. 1 das Blockschaltbild eines Managementnetzes für ein Mobil-Kommunikationssystem mit Manager-Agent- Schnittstelle zwischen jeweils einem Netzmanage mentzentrum und einem Betriebs- und Wartungs zentrum, Fig. 1 is a block diagram of a management network for a mobile communication system having Manager Agent interface between a respective network management center Manage and an operation and maintenance center,

Fig. 2 das Blockschaltbild des Managementnetzes gemäß Fig. 1 mit Manager-Agent-Schnittstelle zwischen einem Basisstationssystem und einem Betriebs- und War tungszentrum, und Fig. 2 shows the block diagram of the management network of FIG. 1 with manager-agent interface between a base station system and an operating and maintenance center, and

Fig. 3 den Nachrichtenfluß zwischen Manager und Agent zur Steuerung der Authentifizierungsprozedur für die Zugriffskontrolle gemäß der Erfindung. Fig. 3 shows the flow of messages between manager and agent for controlling the authentication procedure for access control according to the invention.

Das Ausführungsbeispiel beschreibt die Erfindung anhand eines TMN-Konzepts für das Management eines Mobil-Kommunikationssy stems, das beispielsweise Netzeinrichtungen eines Mobilfunk netzes nach dem GSM-Standard aufweist. Die Erfindung ist we der auf den GSM-Standard noch auf Mobilfunknetze beschränkt, sondern läßt sich auf Telekommunikationsnetze jeder Art und Betriebsweise, die ein TMN-Managementnetz nutzen, anwenden.The embodiment describes the invention using a TMN concept for the management of a mobile communication system stems, for example the network equipment of a mobile radio network according to the GSM standard. The invention is we which is still limited to the GSM standard on mobile networks, but can be on telecommunication networks of all kinds and Use modes of operation that use a TMN management network.

Ein Mobil-Kommunikationssystem ist ein hierarchisch ge gliedertes System verschiedener Netzeinrichtungen, bei dem die unterste Hierarchiestufe von den Mobilstationen gebildet wird. Diese Mobilstationen kommunizieren über eine Funk schnittstelle mit die nächste Hierarchieebene bildenden Funk stationen, die als Basisstationen bezeichnet werden. Die bei spielsweise Mobilstationen in einem Funkbereich einer Funk zelle versorgenden Basisstationen sind vorzugsweise zur Ab deckung eines größeren Funkgebiets zusammengefaßt und mit übergeordneten Netzeinrichtungen, den Basisstationssteuerun gen verbunden. Die Basisstationen und Basisstationssteuerun gen gehören zu einem Basisstationssystem (Base Station Subsy stem) des Mobil-Kommunikationssystems. Die Basisstations steuerungen kommunizieren über definierte Schnittstellen mit einer oder mehreren Vermittlungseinrichtungen, den Mobilver mittlungsstellen, über die u. a. auch der Übergang zu anderen Kommunikationsnetzen erfolgt. Die Mobilvermittlungsstellen bilden gemeinsam mit einer Mehrzahl von Datenbasen das Ver mittlungssystem (Switching Subsystem) des Mobil-Kommunikati onssystems.A mobile communication system is a hierarchical structured system of various network devices, in which the lowest hierarchical level is formed by the mobile stations becomes. These mobile stations communicate via radio interface with radio that forms the next hierarchy level stations called base stations. The at for example mobile stations in a radio area of a radio Cell serving base stations are preferably for Ab coverage of a larger radio area summarized and with higher-level network devices, the base station control gene connected. The base stations and base station controls gen belong to a base station system (Base Station Subsy stem) of the mobile communication system. The base stations controllers communicate with each other via defined interfaces one or more switching devices, the Mobilver agencies, through which u. a. also the transition to others Communication networks. The mobile switching centers together with a plurality of databases form the ver averaging system (switching subsystem) of mobile communications on system.

Neben den obigen Netzeinrichtungen existieren ein oder mehre re Betriebs- und Wartungszentren (Operation and Maintenance Centers), die u. a. zum Konfigurieren und Überwachen der Netz einrichtungen dient. Überwachungsmaßnahmen und Konfigurie rungsmaßnahmen werden hierzu meist vom Betriebs- und War tungszentrum aus ferngesteuert, die üblicherweise im Bereich der Mobilvermittlungsstellen angeordnet sind. Ein Betriebs- und Wartungszentrum kommuniziert dabei jeweils mit einem Ba sisstationssystem oder Vermittlungssysstem über eine defi nierte Schnittstelle. Mehrere TMN-Funktionsbereiche existie ren, die jeweils den Zustand von gemanagten Objekten kenn zeichnen. Ein gemanagtes Objekt ist eine logische Abstraktion einer physikalischen Ressource - d. h. einer Netzeinrichtung - im Mobil-Kommunikationssystem. Hierbei wird unterschieden zwischen hardwarebezogenen gemanagten Objekten, die eine her stellerspezifische Realisierung einer Funktion beschreiben, und funktionsbezogenen gemanagten Objekten, bei denen es sich jeweils um die Abstraktion einer herstellerunabhängigen Funk tionalität handelt.In addition to the above network devices, one or more exist re Operation and maintenance centers Centers) which u. a. to configure and monitor the network facilities. Monitoring measures and configuration Measures for this are mostly taken from operational and war remote controlled, usually in the area the mobile switching centers are arranged. An operational and the maintenance center communicates with a Ba sisstation system or switching system via a defi interface. Several TMN functional areas exist that know the state of managed objects to draw. A managed object is a logical abstraction a physical resource - d. H. a network device - in the mobile communication system. A distinction is made here between managed, hardware-related objects that a describe position-specific implementation of a function, and function-related managed objects that are each about the abstraction of a manufacturer-independent radio functionality.

Für das Management des Mobil-Kommunikationssystems definieren die TMN-Prinzipien mehrere Ebenen ("Levels"), von denen im vorliegenden Beispiel drei Ebenen unter Bezugnahme auf die Fig. 1 und Fig. 2 nachfolgend erläutert werden.For the management of the mobile communication system, the TMN principles multiple layers ( "level"), of which three levels with reference to the Fig. 1 and Fig. 2 will be explained below in the present example defined.

Die Fig. 1 und Fig. 2 zeigen jeweils drei Ebenen A, B und C des Managementnetzes, von denen die Managementebene C die Netz einrichtungsebene ("Network Element Level") mit mehreren Ba sisstationssystemen BSS11, BSS12...BSS1N sowie BSS21, BSS22 ...BSS2M enthält. Die Managementebene B kennzeichnet die Netzeinrichtungsmanagementebene ("Network Element Management Level"), in der Betriebs- und Wartungszentren OMC1 und OMC2 jeweils die herstellerspezifische Managementfunktionalität für einzelne Subsysteme, wie im vorliegenden Beispiel das Be triebs- und Wartungszentrum OMC1 für die Basisstationssysteme BSS11, BSS12...BSS1N und das Betriebs- und Wartungszentrum OMC2 für die Basisstationssysteme BSS21, BSS22...BSS2M, be reitstellen. Die Managementebene A kennzeichnet die Netzmana gementebene ("Network Management Level"), in der Netzmanage mentzentren NMC1 und NMC2 jeweils eine integrierte, vom Her steller unabhängige Management-Funktionalität realisieren. Dabei können mehrere Netzmanagementzentren einen Zugriff zu derselben Netzeinrichtung der nächstniedrigeren Management ebene B haben, im vorliegenden Beispiel die Netzmanagement zentren NMC1 und NMC2 der nächsthöheren Managementebene C zum Betriebs- und Wartungszentrum OMC1 der nächstniedrigeren Ma nagementebene B. Zwischen den Netzeinrichtungen unterschied licher Managementebenen sind definierte Schnittstellen zur Informationsübertragung vorgesehen. Fig. 1 and Fig. 2 each show three levels A, B and C of the management network, by which the management level, C is the network element level ( "Network Element Level") having a plurality Ba sisstationssystemen BSS11, BSS12 ... BSS1N and BSS21, BSS22 ... contains BSS2M. The management level B identifies the network device management level ("Network Element Management Level"), in the operating and maintenance centers OMC1 and OMC2 each the manufacturer-specific management functionality for individual subsystems, such as the operating and maintenance center OMC1 for the base station systems BSS11, BSS12 in the present example. ..BSS1N and the operation and maintenance center OMC2 for the base station systems BSS21, BSS22 ... BSS2M. Management level A identifies the network management level ("Network Management Level"), in which network management centers NMC1 and NMC2 each implement an integrated management functionality that is independent of the manufacturer. Several network management centers can have access to the same network facility of the next lower management level B, in the present example the network management centers NMC1 and NMC2 of the next higher management level C to the operation and maintenance center OMC1 of the next lower management level B. There are defined interfaces between the network facilities of different management levels provided for information transfer.

Der Unterschied in den Darstellungen gemäß den Fig. 1 und Fig. 2 liegt darin, daß in Fig. 1 eine Manager-Agent-Beziehung zwi schen dem Netzmanagementzentrum NMC1 (Manager) und dem Be triebs- und Wartungszentrum OMC1 (Agent) für den Nachrichten fluß über eine Schnittstelle SSAB sowie in Fig. 2 zwischen dem Betriebs- und Wartungszentrum OMC1 (Manager) und dem Basis stationssystem BSS11 (Agent) für den Nachrichtenfluß über ei ne Schnittstelle SSBC existiert.The difference in the representations according to FIGS. 1 and Fig. 2 is that in FIG. 1 is a manager-agent relationship Zvi the network management center's NMC1 (Manager) and the Be operating and maintenance center OMC1 (Agent) for the message flow via an interface SSAB and in Fig. 2 between the operation and maintenance center OMC1 (manager) and the base station system BSS11 (agent) for the message flow via an interface SSBC exists.

Im Rahmen der TMN-Funktionsbereiche sieht das Management si cherheitsrelevanter Funktionen (security management) vor, die Zugriffskontrolle im beispielhaft beschriebenen Mobil-Kommu nikationssystem bei Zugriffen von Operatoren externer Systeme einheitlich zu gestalten. Die Operatoren - die nicht näher dargestellt sind, da sie nicht unmittelbar Einrichtungen des Mobil-Kommunikationssystems oder des Managementnetzes bilden - können im vorliegenden Beispiel als Manager-Operator auf das Netzmanagementzentrum NMC1 oder auf das Betriebs- und Wartungszentrum OMC1 einwirken. Die Standards ITU-T X.217 und ITU-T X.227 beschreiben die Funktionalität - Dienste und Pro tokolle - eines ACSE-Elements (Association Control Service Element) zur Informationsübertragung auf Anwendungsebene zwi schen offenen Systemen. Demnach wird ein ACSE-Dienst A- ASSOCIATE jedesmal dann aufgerufen, wenn ein Verbindungs aufbau zwischen dem Anwender "Netzmanagementzentrum" und dem Anwender "Betriebs- und Wartungszentrum" gewünscht ist. Für die Zugriffskontrolle erfolgt eine Authentifizierungsproze dur, die sicherstellt, daß nur berechtigten Operatoren die Zugriffsmöglichkeit erlaubt ist. Diese operatorbezogene Zu griffskontrolle in dem hierarchisch aufgebauten Management netz wird nachfolgend an einem Beispiel erläutert.Management sees si as part of the TMN functional areas security-relevant functions (security management) Access control in the mobile commu described as an example application system for access by operators of external systems to be uniform. The operators - who are not closer are shown as they are not directly facilities of the Form mobile communication system or the management network - can act as manager operator in this example the network management center NMC1 or on the operational and Act on maintenance center OMC1. The ITU-T X.217 and ITU-T X.227 describe the functionality - Services and Pro tokolle - an ACSE element (Association Control Service Element) for information transfer at application level between open systems. Accordingly, an ACSE service A- ASSOCIATE called every time a connection structure between the user "network management center" and the User "operation and maintenance center" is desired. For the access control takes place an authentication process major, which ensures that only authorized operators access the Access is allowed. This operator related Zu handle control in the hierarchically structured management network is explained below using an example.

Fig. 3 zeigt den Nachrichtenfluß zwischen einem Manager MAN - im Beispiel gemäß der Fig. 1 dem Netzmanagementzentrum NMC1 oder im Beispiel der Fig. 2 dem Betriebs- und Wartungszentrum OMC1- und einem Agent AG - im Beispiel der Fig. 1 dem Be triebs- und Wartungszentrum OMC1 oder im Beispiel der Fig. 2 dem Basisstationssystem BSS11 -, wobei die Nachrichten über die jeweiligen Manager-Agent-Schnittstellen SSAB und SSBC ge mäß den Darstellungen in Fig. 1 und Fig. 2 gesendet und empfan gen werden. Sowohl der Manager MAN als auch der Agent AG wei sen eine Steuereinrichtung M-CTR bzw. A-CTR und eine Sende/ Empfangseinrichtung M-TRX bzw. A-TRX auf, die die nachfolgen den steuerungstechnischen und übertragungstechnischen Funk tionen in der jeweiligen Netzeinrichtung bei der Authentifi zierungsprozedur zur Zugriffskontrolle übernehmen. Außerdem weist der Agent AG eine Tabelle TAB auf, die zur Überprüfung der Zugriffsberechtigung der Operatoren herangezogen wird. . 1 in the example of the Fig the network management center NMC1 or in the example of Figure 2 the operation and maintenance center OMC1- and an agent AG - - Figure 3 shows the message flow between a Manager MAN.. The example of FIG 1 the operation-. and maintenance center OMC1 or in the example of Figure 2 the base station system BSS 11 -., wherein the messages via the respective manager-agent interfaces SSAB and SSBC accelerator as to be sent to the illustrations in Figures 1 and 2 and gene are received,... Both the MAN manager and the AG agent have a control device M-CTR or A-CTR and a transceiver device M-TRX or A-TRX, which are responsible for the control and transmission functions in the respective network device take over the authentication procedure for access control. The agent AG also has a table TAB, which is used to check the access authorization of the operators.

Der Nachrichtenfluß für die Authentifizierungsprozedur er folgt vorzugsweise mit einem standardisierten M-ACTION Dienst, der eine gemäß ITU-T X.710 definierte generische CMISE-standardisierte (Common Management Information Service Element) Prozedur ist. Gestartet wird die Nachrichtenübertra gung vor der eigentlichen Authentifizierungsprozedur mit ei ner Anforderung ASS (association establishment), die bei spielsweise vom Netzmanagementzentrum NMC1 (Manager MAN) zum Aufbau einer logischen Kommunikationsverbindung (association) an das Betriebs- und Wartungszentrum OMC1 (Agent AG) gerich tet ist. Die Anforderung ASS enthält im Parameter des A- ASSOCIATE Dienstes gemäß der ITU-T X.217 eine Information (access control) enthalten, die als globaler Parameter für gleiche Zugriffsrechte aller Operatoren unabhängig vom jewei ligen Authentifizierungsprofil des zugreifenden Operators be nutzt wird. Ist Netzmanagementzentrum NMC1 im Betriebs- und Wartungszentrum OMC1 registriert, ist ein erfolgreicher Ver bindungsaufbau zustandegekommen, der dem Netzmanagementzen trum NMC1 als Antwort auf die Anforderung signalisiert wird.The message flow for the authentication procedure follows preferably with a standardized M-ACTION Service which is a generic defined according to ITU-T X.710 CMISE-standardized (Common Management Information Service Element) procedure is. The message transfer is started before the actual authentication procedure with ei ner requirement ASS (association establishment), which at for example from the network management center NMC1 (Manager MAN) to Establishing a logical communication link (association) to the operation and maintenance center OMC1 (Agent AG) is. The request ASS contains in the parameter of the A- ASSOCIATE service according to ITU-T X.217 information (access control) included as a global parameter for same access rights for all operators regardless of the respective authentication profile of the accessing operator is used. Is NMC1 network management center in operation and Maintenance center OMC1 registered is a successful ver Establishment of a connection, the network management center trum NMC1 is signaled in response to the request.

Das Betriebs- und Wartungszentrum OMC1 generiert daraufhin eine Nachricht uSIN (user Secret Information), in der als Pa rameter eine Geheiminformation Sstr - beispielsweise der Län ge 8 Bytes - enthalten ist. Diese Geheiminformation Sstr wird vom Betriebs- und Wartungszentrum OMC1 für jede neue Verbin dung (association), die vom Netzmanagementzentrum NMC1 ange fordert ist, vergeben und über die Schnittstelle SSAB gesen det. Bucht sich der Operator im Zugriff auf das Netzmanage mentzentrum NMC1 dort ein, wendet das Netzmanagementzentrum NMC1 einen Verschlüsselungsalgorithmus MD5 (Hash-Funktion) an. Dieser Algorithmus, der vorzugsweise mit dem Verschlüsse lungsalgorithmus auf der Gegenseite, d. h. dem des Betriebs- und Wartungszentrums OMC1, identisch ist, benutzt außer der eingetroffenen Geheiminformation Sstr ein in Klartext vom Operator eingegebenes Operator-Paßwort Tstr - beispielsweise der maximalen Länge von 16 Bytes - und eine den Operator- Namen opna kennzeichnende Identitätsinformation Istr - bei spielsweise ebenfalls der maximalen Länge von 16 Bytes. An hand der vom Betriebs- und Wartungszentrums OMC1 übermittel ten Geheiminformation Sstr erzeugt das Netzmanagementzentrum NMC1 ein verschlüsseltes Operator-Paßwort oppw und sendet es zusammen mit dem Operator-Namen opna in einer Nachricht cUID (current User Identification) als CMISE-standardisierte M- ACTION zum Betriebs- und Wartungszentrums OMC1. Damit hat ei ne individuelle Paßwort-Verschlüsselung für den Operator des Netzmanagementzentrum NMC1 unter Kontrolle des Betriebs- und Wartungszentrums OMC1 stattgefunden.The operating and maintenance center OMC1 then generates a message uSIN (user secret information) in which Pa rameter a secret information Sstr - for example the County 8 bytes - is included. This secret information Sstr from the operation and maintenance center OMC1 for each new connection dung (association), which is assigned by the network management center NMC1 is assigned, assigned and read via the SSAB interface det. The operator books access to the network management ment center NMC1 uses the network management center NMC1 an encryption algorithm MD5 (hash function) on. This algorithm, preferably with the closures algorithm on the opposite side, d. H. that of the operational and maintenance center OMC1, is identical, used except for the Arrived secret information Sstr in plain text from Operator entered operator password Tstr - for example the maximum length of 16 bytes - and one the operator Identity information identifying names opna Istr - bei for example also the maximum length of 16 bytes. On hand from the operating and maintenance center OMC1 The network management center generates the secret information Sstr NMC1 sends an encrypted operator password oppw and sends it together with the operator name opna in a message cUID (current user identification) as CMISE standardized M- ACTION to the OMC1 operations and maintenance center. With that, egg ne individual password encryption for the operator of the Network management center NMC1 under the control of the operational and Maintenance center OMC1 took place.

Das Betriebs- und Wartungszentrum OMC1 überprüft die Zu griffsberechtigung des Operators anhand des verschlüsselt empfangenen Operator-Paßwortes oppw und anhand des Operator- Namens opna. Vorzugsweise vergleicht es in der Tabelle TAB verschlüsselt gespeicherte Operator-Paßworte und Operator-Na men zugriffsberechtigter Operatoren mit dem verschlüsselt empfangenen Operator-Paßwort oppw und mit dem Operator-Namen opna auf Identität. Das Ergebnis der Überprüfung wird dem Be triebs- und Wartungszentrum OMC1 in einer Nachricht repA (reply Action) übermittelt. Dabei weist die Nachricht repA entweder eine Information succ, die eine erfolgreiche Authen tifikation für die operatorbezogene Zugriffskontrolle signa lisiert, oder eine Information fail, die eine nicht erfolg reiche Authentifikation für die operatorbezogene Zugriffskon trolle kennzeichnet, auf. Aktivitäten des Operators am Netz managementzentrum NMC1 sind nur dann möglich, wenn als Ergeb nis der Überprüfung die Information succ empfangen wird. An sonsten muß der Operator am Netzmanagementzentrum NMC1 seine Authentifikationsprozedur wiederholen.The operation and maintenance center OMC1 checks the Zu Operator's authorization to use the encrypted received operator password oppw and based on the operator Called opna. It preferably compares TAB in the table encrypts stored operator passwords and operator names of authorized operators with the encrypted received operator password oppw and with the operator name opna on identity. The result of the review will be sent to the Be drive and maintenance center OMC1 in a message repA (reply action) transmitted. The message repA either a succ information that is a successful authen tification for operator-related access control signa lized or fail information that is not a success rich authentication for operator-related access con trolls marks on. Activities of the operator on the network NMC1 management center are only possible if as a result After verification the information succ is received. On Otherwise, the operator must have his at the NMC1 network management center Repeat the authentication procedure.

Claims

1. Method for access control in a communication system by a plurality of management levels (A, B, C) of the management network, which has at least one manager-agent interface (SSAB) between a manager (NMC1), a management level (A) and one Agent (OMC1) of an underlying management level (B), via which an authentication procedure is carried out when an operator accesses the manager (NMC1), at which

- the agent (OMC1) for a new communication connection, which the manager (NMC1) requests, assigns secret information (Sstr) and sends it to the manager (NMC1),
- From the manager (NMC1), if the operator has booked a booking with him and entered an operator password (Tstr), based on the received secret information (Sstr), an encrypted operator password (oppw) is formed therefrom and together with one Operator name (opna) is sent to the agent (OMC1), and
- The agent (OMC1) checks an access authorization of the operator based on the received encrypted operator password (oppw) and the received operator name (opna) and the result of the check is transmitted to the manager (NMC1).

2. The method according to claim 1, wherein the agent (OMC1) and the manager (NMC1) have identical ver encryption algorithm (MD5) for the authentication pro cedur is used.

3. The method according to claim 1 or 2, wherein the agent (OMC1) checks the access authorization of the Operator by comparing the received encrypted Operator password (oppw) and the received operator name (opna) with each ope stored in a table (TAB) rator passwords and operator names of authorized opera is carried out.

4. The method according to claim 3, wherein the operator passwords of authorized operators in the Encrypted table.

5. The method according to any one of the preceding claims, in which a request from the mana before the authentication procedure ger (NMC1) to establish a communication connection to the Agent (OMC1) is directed.

6. Communication system for access control through a management network comprising a number of management levels (A, B, C), which has at least one manager-agent interface (SSAB) between a manager (NMC1), a management level (A) and an agent (OMC1). an underlying management level (B), via which an authentication procedure when an operator accesses the manager (NMC1) can be carried out with

- Means (A-CTR) in the agent (OMC1) for assigning secret information (Sstr) for a new communication link that the manager (NMC1) requests, and means (A-TRX) for sending the secret information (Sstr) to the manager (NMC1),
- Means (M-CTR) in the manager (NMC1) for forming an encrypted operator password (oppw) when the operator has logged in with him and has given an operator password (Tstr), based on the received secret information (Sstr) and means (M-TRX) in the manager (NMC1) for sending the encrypted operator password (oppw) together with an operator name (opna) to the agent (OMC1), and
- Means (A-CTR) in the agent (OMC1) for checking an access authorization of the operator based on the encrypted received operator password (oppw) and the operator name (opna) and means (A-TRX) in the agent (OMC1) Transmission of the result of the review to the manager (NMC1).

7. Communication system according to claim 6, in which the manager as a network management center (NMC1) and the agent are designed as an operating and maintenance center (OMC1).

8. Communication system according to claim 6 or 7, in which the communication system as a mobile communication system is formed.