NO168860B - Kommunikasjonsnettverk - Google Patents

Description

Den foreliggende oppfinnelse angår et kommunikasjonsnettverk som er beregnet for sikker overføring av tale og data. Oppfinnelsen angår særlig et nettverk som omfatter forskjellige typer abonnentterminal er og svi tsjemoduler, hvor abon-nentlinjer forbinder hver abonnentterminal med en svitsjemodul, og transmisjonskanaler forbinder hver svitsjemodul med andre svi tsjemoduler i nettverket, og hvor nettverket også omfatter kryptoanordninger for å foreta kryptering og dekryp-tering av informasjon som overføres gjennom nettverket.

Rent generelt gjelder oppfinnelsen chiffrering og dechiffrering av digitale kommunikasjonsveier i data- og/eller telekommunikasjonsnettverk. Slike veier kan etableres mellom nettverksterminal er som kan være et hvilket som helst utstyr som er knyttet til nettverket på én eller annen måte.

Data- og telekommunikasjonsnettverk bygges opp v.hj.a. svitsjeutstyr som f.eks. PABX'er eller PBX'er. Svitsjeutstyret betjener kommunikasjonsveiene gjennom sett med kommunikasjonskanaler. Disse kommunikasjonskanaler er fysiske informasjons-bærere. Informasjonssignalet eller datastrømmen som overføres over kanalen, blir chiffrert når det er nødvendig med slik sikkerhet. Chiffrerte data på en kanal krever at det må være kryptoanordninger til den datastrøm som bruker kanalen, for å utføre chiffrerings- og dechiffreringsprosessen.

Slike chiffrerings- og dechiffreringsanlegg for data- og telekommunikasjonsnettverk er tidligere kjent når det er nødvendig med slik sikkerhet, og forskjellige løsninger har vært foreslått.

Blant de mest likefremme løsninger skal 1 ink-ti 1-1 ink kryptoutstyr nevnes først. Med et slikt system har hver transmisjons!ink en kryptoanordning som omfatter krypterings-og dekrypteringsanordninger i hver av endene, hvorved et slikt system bare beskytter selve transmisjonslinken. Som en annen også likefrem løsning kan nevnes den som benytter ende-til-ende kryptoutstyr når hver av de berørte abonnenter har en kryptoanordning som kan kobles inn i trafikk-kanal en etter at et anrop er gjort. I sistnevnte tilfelle vil også svitsjene i nettverket være innbefattet i den krypterte trafikk.

De nevnte løsninger er imidlertid forholdsvis kostbare og lite fleksible, da kryptoanordningene hele tiden må være knyttet til kanalene eller til de berørte abonnenter.

Fra japansk patentsøknad nr. 85-121742 er det kjent en løsning hvor hver PABX er forsynt med chi ffersamband for chiffrering og dechiffrering. Terminal enhetene kobles til det offentlige nettverket gjennom sentral samband ved vanlig kommunikasjon og gjennom chiffersamband ved chiffrert kommunikasjon.

Ifølge den japanske beskrivelse kan chiffrert kommunikasjon foretas mellom tilfeldige terminal enheter uten å ha en chiffreringskrets og en dechiffreringskrets i hver terminal-enhet. Den japanske PABX har et antall sentral samband som kan brukes for sikret så vel som ikke sikret overføring. Meldinger som skal sikres, føres gjennom én av et antall chiffersamband før meldingen overføres over offentlige nett. En sentral prosessen' ngsenhet i PABX'en styrer innkoblingen av terminal-enhetene som skal brukes for chiffrert kommunikasjon til det offentlige nett gjennom chi ffersambandene. I dette oppsett er chiffrerings- og dechiffrerings-utstyret en del av selve PABX'en.

Hovedformålet med den foreliggende oppfinnelse er å tilveiebringe en mer fleksibel løsning som er fysisk uavhengig av svi tsjeutstyret. Hovedtrekkene ved oppfinnelsen er definert i kravene.

I den foreliggende oppfinnelse er kryptomodul ene (CM) basert på chiffreringsnøkler. Disse nøkler må distribueres fra en nøkkel database. En kryptopool-styreanordning (MA), som er anbrakt i kryptopoolen , kommuniserer med nøkkel fordel ings-instansen ved hjelp av standardiserte kommunikasjonsprotokoller. Nøklene fordeles fra MA til den relevante CM gjennom kryptopoolens interne styrebuss.

Et annet formål med oppfinnelsen er å gjøre systemet kompatibelt med eksisterende systemer, samt å muliggjøre en enkel utvidelse av systemet til å omfatte andre relaterte sikkerhetstjenester. Kryptopool-utstyret kan således ifølge oppfinnelsen også gjøres tilgjengelig for andre nettverktermi-naler enn svi tsjeutstyret, om nødvendig.

Dette oppnås ved å samle et antall chiffrerings/dechiffrerings-enheter i en kryptopool, på ett eller flere sikre steder i nettverket, ved å benytte utstyr som muliggjør at autoriserte abonnenter har tilgjengelighet til en krypterings/dekrypteringsenhet for sin egen kommunikas-jonskanal, og ved å introdusere kryptostyre-enheter som også foretar nøkkel fordel ing gjennom de kryptoenheter som inngår i kryptoforbindelsen.

Systemer som ikke bruker det foreliggende kryptopool-konsept, må knytte kryptomodulene til spesielle kanaler slik at disse kanalene bare blir i stand til å overføre chiffrerte data. Oppfinnelsen anviser en måte hvorpå kryptoanordninger kan knyttes dynamisk til den kanal som trenger det. En hvilken som helst kanal kan således overføre både sikret og usikret i nformasj on.

Ende-ti1-ende chiffrert kommunikasjon krever at endesyste-mene, dvs. nettverkets brukerutstyr, er forsynt med en kryptoanordning. Oppfinnelsen gjør det mulig for ende-ti1-ende kryptosystemer som omfatter en kryptoanordning for chiffrert kommunikasjon, å kommunisere med ikke-sikrede endesystemer og vice versa. Krypomodulen i en kryptopool vil da utgjøre sikkerhetsutstyret for den ikke-sikrede endestasjon. Det ikke-sikrede endesystem trenger ikke vite at det er forbundet med et sikkert endesystem som sender sikrede data.

Ovenfor nevnte og andre formål og særtrekk ved den foreliggende oppfinnelse vil klart fremgå av den etterfølgende detaljerte beskrivelse av utførelser av oppfinnelsen sett i sammenheng med figurene, hvor

- fig. 1 viser hvordan en kryptopool ifølge oppfinnelsen kan inngå i forskjellige deler av et telekommunikasjonsnettverk , - fig. 2 viser et funksjonelt blokkdiagram for hvordan en kryptopool ifølge oppfinnelsen er konstruert, og - fig. 3 viser hvordan kryptopool-utstyr kan introduseres i et ISDN-nett.

I fig. 1 er det antydet hvordan kryptopoolkonseptet kan introduseres i et nettverk som inneholder et ISDN-basert nettverk og et analogt nettverk.

Et nettverk 1 er vist, omfattende et offentlig ISDN 2, et konvensjonelt analogt nettverk 3, to ISPABX'er 4, 5, som er knyttet direkte til ISDN-nettverket, og en PABX 6, som er forbundet direkte med den analoge del av nettverket. Tre kryptopool-anordninger 7, 8, 9 er forbundet med de viste PABX'er 4, 5, 6 og en av kryptopool-anordningene 8 er vist i større detalj. Et antall forskjellige abonnentterminal er 10-15 er også antydet.

Noen forkortelser som er benyttet i fig. 1, er:

CM kryptomodul

MA kryptopool-styreanordning

CR-pool kryptopool

AS autentiseringsanordning

TA terminal ti 1pasning.

Autentiseringsanordninger 16, 17 er forbundet med ISPABX'ene eller en offentlig ISDN for å tilby tjenester som understøtter autentisering og nøkkel utveksl ing. Abonnentutstyret trenger ikke være direkte involvert i forbindelse med AS'ene, men deres sikkerhetstjenester tilbys gjennom ISPABX'ens abonnentforbindelser.

I fig. 2 omfatter en kryptopool 20 en rekke kryptomoduler (CM'er 21, 22, 23) hvorav bare tre er vist. Disse kryptomoduler 21. 22, 23 er anordnet i en gruppe (CM-pool) 24. Innenfor kryptopoolen 20 er det også anordnet en styrebuss 25 og en kryptopool-styreanordning (MA) 26. Når det gjelder ISDN vil alle kryptomodulene 21-23 være forbundet med B-kanalene for den relaterte PABX-ti1knytningen, og kryptopool-styreanordningen 26 vil også være forbundet ved den samme PABX over D-kanalen i ISDN. Inne i kryptopoolen 20 vil både CM-pool 24, som omfatter kryptomodulene 21-23, og kryptopool-styreanordningen (MA) 26, være forbundet med den felles styrebuss 25.

Plasseringen av kryptopoolen i et data- eller telekommunikasjonsnettverk, fremgår av fig. 1. PBX'er er anordnet innenfor ISDN og det analoge system. Oppfinnelsen muliggjør at sikkerhetssystemer kan benyttes i alle digitale svitsjeutstyr uten å anskaffe noe tilleggsutstyr til svitsjen. Denne fleksibilitet er svært viktig for sikkerheten til svitsjeutstyret.

Det skal anmerkes at denne fleksible kryptopool-1øsning er fysisk atskilt fra svi tsjeutstyret. Et standardisert kommuni-kasjonsgrensesnitt (ISDN Primary Rate Access (PRA), 30 B + D) forbinder kryptopoolen med svi tsjeutstyret. Selve kryptopoolen omfatter en styreanordning 26, som styrer alle aktiviteter i kryptopoolen. Blant disse aktiviteter er styringen av kryptomodulene 21-23 og koordinering av bruken av B-kanalen eller kryptomodulen med svitsjeutstyret. D-kanalen for ISDN PRA grensesnittet er rutet til styreanordningen. All styrekommunikasjon med svitsjeutstyret utføres gjennom denne kanal. Styreanordningen og kryptopoolen er forbundet over styrebussen 25, som bare er tilgjengelig internt i kryptopoolen og brukes av styreanordningen til å styre kryptomodulene.

Kryptomodulene er forbundet med i det minste to B-kanaler hver i ISDN PRA grensesnittet. Dette betyr at det maksimalt kan være 15 kryptomoduler i en kryptopool. En kryptomodul kan utføre både chiffrering og dechiffrering av den informasjon som flyter i de tilhørende B-kanaler. Chiffrert informasjon flyter i én retning på én av B-kanalene, mens ikke-chiffrert informasjon flyter den andre veien i den andre B-kanalen. Hvilken vei den chiffrerte informasjon flyter, til eller fra kryptopoolen, er avhengig av om kryptomodulen utfører chiffrering eller dechiffrering.

I den foreliggende oppfinnelse er kryptomodulene basert på chiffreringsnøkler. Disse nøkler utveksles mellom de sammen-koblede parter gjennom en autentiseringsprosess som også involverer en autentiseringsanordning. Kommunikasjon med autentiseringsanordningen foregår ved standardiserte kommunikasjonsprotokoller. Nøklene fordeles fra styreanordningen til den angjeldende kryptomodul over styrebussen i kryptopoolen.

I fig. 3 er det skjematisk vist et offentlig ISDN-nett 30 med svitsjer (ISPABX'er) 31, 32, terminalutstyr 33-40, autentiseringsanordninger 41-43 og kryptopooler 44, 45. Noen alternative oppkoblinger vil bli beskrevet i det følgende for å vise hvordan sikkerhetsenhetene samvirker for å bevare sikkerhet og tilveiebringe sikre kommunikasjonstjenester til abonnentene. Abonnentterminal er og terminalutstyr 33-40 er her systemer som er knyttet til en ISDN-abonnentlinje (ISDN Basic Access, 2 B + D). Termi nal ti 1 pasm" nger 50, 51 med sikkerhets-moduler 52, 53, kan også inngå i terminalutstyret.

En kryptopool 44, 45 kan aktiviseres både fra et abonnentsett 35, 36, 40 uten sikkerhetsmodul og fra et abonnentsett 34, 38 med sikkerhetsmodul 46, 47. På samme måte kan den aktiveres fra et abonnentsett 39, som er forsynt med en konferansemodul 48 eller som ikke har en slik modul, og som er anbrakt inne i eller utenfor ISDN-nettverket, og dette vil være uavhengig av om sikkerhetsmodulen og konferansemodulen 49 er anbrakt i en PABX 31 i ISDN-nettverket eller ikke.

Vi skal først se på kommunikasjon mellom to sikrede abonnentterminal er 34, 38, som begge er utstyrt med sikker-hetsanordninger. Abonnentene eller abonnentutstyret må først autentiseres før kommunikasjon kan begynne. Dette utføres av en autentiseringsprotokol1 mellom de berørte abonnenter. Autentiseringsprotokol1 en CCITT X.509 er basert på abonnent-sertifikater. Slike sertifikater gis av autentiseringsanordningen 41, 43 på direkte forespørsel fra abonnentene eller indirekte gjennom ISPABX'en. Integrert i protokollene er også utveksling av chiffreringsnøkler.

Sikkerhetstjenestene er basert på at de berørte abonnenter stoler på en sertifiseringsautoritet (CA) (ikke vist) som styrer de berørte autentiseringsanordninger. I et bedriftsnett vil CA-instansen være bestemt av bedriften og kan enten innbefattes i en ISPABX eller i en av de autentiseringsanordninger som er knyttet til nettverket.

Vi skal nå se på kommunikasjon mellom ikke-sikrede abon-nenttermi nal er 35, 36, 40. Sikkerhetsprosedyrer er mest interessante når de berørte abonnenter tilhører forskjellige ISPABX'er som er sammenkoblet over et offentlig nett. Det vil nå være sambandsveien mellom de berørte PABX'er som det vil være mest interessant å beskytte. Dette vil medføre at en kryptopool 44, 45 er knyttet til hver av PABX'ene 31, 32.

Kryptopoolen vil så representere den ikke-sikrede abonnentterminal når det gjelder sikkerhetstjenester. Den sikrede kommunikasjon mellom kryptopoolene vil tilsvare kommunikasjon mellom sikrede abonnentterminal er som beskrevet ovenfor. De tilgjengelige sikkerhetstjenester vil imidlertid avhenge av de sikkerhetstjenester som tilbys av kryptopoolen.

De berørte kryptopooler vil autentisere hverandre etter at et kommunikasjonsønske er gitt. Chiffernøkler vil bli utveks-let mellom kryptopoolene, og alle abonnentdata vil bli rutet gjennom begge kryptopoolene for chiffrering og dechiffrering.

Det siste alternativet som skal betraktes er kommunikasjon mellom sikrede og ikke-sikrede terminaler. Den ikke-sikrede terminal 35 vil da være representert av kryptopoolen 44. Den sikrede terminal 38 og kryptopoolen 44 vil autentisere hverandre som nevnt ovenfor og utveksle chiffernøkler. De tilgjengelige sikkerhetstjenester vil igjen være begrenset til det felles sett med tjenester som tilbys av den berørte kryptopool og den sikrede terminal.

I dette tilfelle må den sikrede terminal 38 stole på kryptopoolen som representerer den ikke-sikrede abonnentterminal 35. Dette vil inngå som en del av den sikkerhets-policy som en privat ISDN kan være belagt med.

Sikrede talekonferansemoduler 48, 49 kan også innbefattes, men dette utgjør ikke noen del av den foreliggende oppfinnelse. En sikkerhetsmodul 54 kan, som antydet, innbefattes i terminalutstyr 39, som har en konferansemodul 48.

Kryptopoolen er en anordning som er knyttet til en ISPABX gjennom et ISDN Primary Rate Access grensesnitt (PRA), (30B+D, 2Mb/sec) (ikke vist). Hovedtjene sten som dette produkt yter, er datakonfidensial i tet ved å tilby chiffrering av n*64kb/sec kommunikasjonskanaler, hvor den maksimale verdi av n er 15. Denne tjenesten kan utbes fra den tilknyttede ISPABX eller ISPABX-abonnent, over tilsvarende terminalutstyr. ;Et par kommunikasjonskanaler (X-ch, fig. 2) som gjelder ISPABX-grensesnittet for kryptopoolen, er knyttet til en kryptomodul (CM), som mottar klartekst data og sender tilbake chiffrerte data, eller omvendt. En pool med kryptomoduler er da tilgjengelig for styreanordningen (MA) i kryptopoolen og den anropende abonnent. En kryptomodul kan også håndtere et antall B-kanaler som tilbyr konfidensialitet på n*64kbit/sec kommunikasjonskanaler. Dersom en ISDN kryptopool er forbundet med en sikret terminal, dvs. en som har en integrert kryptomodul, må terminalens kryptomodul være kompatibel med

den som brukes av kryptopoolen.

De standardiserte kommunikasjonskanaler (bærertjenester) som kan håndteres av en kryptomodul er:

B-kanal 64 kbit/sek

H0-kanal 384 kbit/sek (6 B-kanaler)

Hn-kanal 1536 kbit/sek (24 B-kanaler)

Hi2-kanal 1920 kbit/sek (30 B-kanaler).

Tjenestene styres av styreanordningen MA, som er forbundet med D-kanalen (signaleringskanalen ) D-ch, fig. 2 i ISPABX-grensesnittet. Denne kanal benyttes for å overføre informasjon når det samarbeides med de tilknyttede ISPABX-abonnenter, eller terminalbrukere, eller andre nettverk-ki1 der som er knyttet til ISPABX'en som har kryptopooltjeneste.

Funksjonene som utføres over D-kanalen omfatter:

- Utveksling av chiffreringsnøkler

- Autentisering og utveksling av sertifikater

- Identifisering av B-kanalen og kommunikasjonskanalen for tilknytning av kryptomoduler

- Håndtering av ønsker om kryptopooltjenester

- Kostnadsbelastning av tjenester. Dette er bare aktuelt overfor abonnentutstyr, da slik belastning ellers håndteres av ISPABX'en.

Fordelene ved den foreliggende oppfinnelse er:

- Den gjelder sikrede kommunikasjonsveier mellom ISPABX'er som er sammenkoblet gjennom et usikret og ikke pålitelig nett som f.eks. et offentlig nett. Ved å benytte kryptopool-tjenestene kan kommunikasjonskanaler mellom ISPABX'er benyttes til å overføre både klartekst og chiffrert informasjon. Ellers måtte spesielle kommunikasjonskanaler være fysisk forbundet med en kryptomodul og bare være dedikert for å sende chiffrert informasjon. - Usikret abonnentutstyr kan kommunisere med sikret abonnentutstyr gjennom en kryptopool uten å svekke den eksisterende sikkerhet. - Den kan på enkel måte tilpasses en hvilken som helst tilgjengelig ISPABX på markedet på grunn av det standardiserte ISPABX grensesnitt (ISDN PRA).

Kryptopoolens tjenester kan nås på tre forskjellige måter:

- Tilgjengeligheten til kryptopoolene oppnås direkte av den tilknyttede ISPABX. I dette tilfelle vil hverken abonnentene eller terminalutstyret være klar over at det brukes kryptopooler. Denne løsning tilveiebringer konfidensiell kommunikasjon mellom ISPABX'er. - Tilgjengeligheten av kryptopoolene kan oppnås direkte av en abonnent gjennom terminalutstyr. Terminalutstyret er forbundet med den samme ISPABX som den tilgjengelige kryptopool. Denne løsning benyttes når terminalutstyret er ansvarlig for ende-ti1-ende sikkerhet. Den må da ha installert en sikkerhetsmodul som utgjøres av et stykke programvare som gjør det mulig å kommunisere med styreanordningen for kryptopool. ISPABX'en trenger i dette tilfelle ikke å vite om den tilknyttede kryptopool. - Tilgjengeligheten til kryptopoolene kan foretas indirekte ved å oppnå tilgjengelighet til en ISPABX. ISPABX sikkerhetstjenester vil da oppnås ved å bruke kryptopoolens tjenester. Tjenesten er tilgjengelig for abonnenten eller terminalutstyret som en tilleggs-tjeneste gjennom D-kanalen.

Autentiseringsanordningen (AS), som er skjematisk vist i figurene 1 og 3, tilbyr en rekke sikkerhetssertifi kater. Sertifikatene brukes av abonnentene av terminalutstyret og av andre nettverkski1 der under autentiseringsprosessen når en nettverksforbindelse påbegynnes. Hver av disse nettverks-terminaler har sitt eget sertifikat.

Autentiseringsanordningen er tilgjengelig gjennom standardiserte protokoller som er basert på CCITT X500 serie med anbefalinger, de såkalte katalogtjenester. Når autentiseringsanordningen er koblet til en ISPABX, benyttes et ISDN grensesnitt for tilgjengelighet til kretsen. Hvilket grensesnitt som benyttes, ISDN Basic Access eller ISDN Primary Rate Access, er avhengig av den trafikale belastning av autentiserings-anordni ngen.

Fordelene ved autentiseringsanordningen er:

- direkte distribusjon av sertifikater

- fleksibilitet med hensyn til forandring og utveksling av

serti fi kater

- tilgjengelighet gjennom standardiserte OS I-protokol1 er som gjør ISPABX'en uavhengig av sikkerhetssystemene - mulighet for distribuerte sertifikatdatabaser som omfatter mer enn én autentiser ingsanordning. Sertifise-ringsautoriseringen (CA) innebygges i én av autentise-ringsanordningene eller den berørte ISPABX for å ta hånd om sertifikatdistribueringen.

Ovenstående detaljerte beskrivelse av noen utførelses-eksempler av foreliggende oppfinnelse skal bare betraktes som eksempler og må ikke oppfattes som begrensninger av beskyt-telsens omfang.

Claims (10)

1. Kommunikasjonsnettverk beregnet for sikker overføring av tale- og data, omfattende forskjellige typer med abonnent-terminaler (10-15) og svi tsjemoduler (4-6), hvor abonnent-linjer forbinder hver abonnentterminal med en svi tsjemodul, hvor transmisjonskanaler forbinder hver svitsjemodul med andre svitsjemoduler i nettverket, og hvor nettverket videre omfatter kryptoanordninger beregnet for chiffrering/dechiffrering av informasjon som overføres gjennom nettverket, karakterisert ved at i det minste én av kryptoanordningene utgjøres av en kryptopoolanordning (7, 8, 9) omfattende et antall kryptomoduler (CM) som er fysisk atskilt fra svitsjemodulene (4, 5, 6) og kommuniserer med svi tsjemodulene gjennom standardiserte grensesnitt og kommunikasjonsprotokoller som gjør anordningen dynamisk tilgjengelig for kanaler som trenger det, fra abonnent-terminalene, fra svi tsjemodulene eller annet nettverksutstyr, og at kryptomodulene er forbundet med i det minste to kanaler hver i grensesnittet mot svitsjeutstyret, slik at chiffrert informasjon kan flyte i én kanal, mens ikke-chiffrert informasjon kan flyte i den andre kanalen.

2. Nettverk ifølge krav 1, karakterisert ved at hver kryptopool (7, 8, 9; 20) er forsynt med en styreanordning (MA, 26) for kommunisering med en di stribusjonsinstans for chiffernøkler gjennom standardiserte kommunikasjonsprotokoller og distribuering av nøkler til de berørte kryptomoduler over en kontrollbuss (25) i kryptopoolen.

3. Nettverk ifølge krav 1 eller 2, karakterisert ved at hver kryptopool har tilgjengelighet til en autentiseringsanordning (AS, 16; 41, 43) som er en katalog over de sikkerhetssertifikater som er nødvendige i autentiseringsprosessen og for chiffernøkkelutveksl ing, når en forbindelse påbegynnes.

4. Nettverk ifølge krav 1, karakterisert ved at kryptopoolene (44, 45) er anordnet i et offentlig ISDN-system (fig.3) som omfatter et antall ISPABX-svitsjer (31,32).

5. Nettverk ifølge krav 1, karakterisert ved at kryptopoolen (44, 45) kan aktiveres både fra et abonnentsett (35, 36, 40) som ikke har sikkerhetsmodul og fra et abonnentsett (34, 38) med sikkerhetsmodul (46, 47).

6. Nettverk ifølge krav 1, karakterisert ved at kryptopoolen (44, 45) kan aktiveres direkte av den tilknyttede PABX eller ISPABX, slik at hverken abonnenten eller linjeutstyret er klar over at kryptopool brukes.

7. Nettverk ifølge krav 1, karakterisert ved at kryptopoolen (44, 45) kan aktiveres direkte av en abonnent (33, 34, 37, 38) som har sikkerhetsmodul (52, 46, 53, 47) over terminalutstyr (AS, 41, 43) som er knyttet til den samme ISPABX som den tilgjengelige kryptopool.

8. Nettverk ifølge krav 4, karakterisert ved at kryptopoolen (44, 45) kan aktiveres indirekte ved å akses-sere en ISPABX-tjeneste over en ende-ti1-ende D-kanal eller en utpekt B-kanal.

9. Nettverk ifølge krav 1, karakterisert ved at de standardiserte kommunikasjonskanaler (bærertjenester) som kan håndteres av en kryptomodul, er: B-kanal 64 kbit/sek H0-kanal 384 kbit/sek (6 B-kanaler) Hn-kanal 1536 kbit/sek (24 B-kanaler) H12-kanal 1920 kbit/sek (30 B-kanaler).

10. Nettverk ifølge krav 1, karakterisert ved at ikke-sikret abonnentutstyr (35) kan kommunisere med sikkert abonnentutstyr (38) over en kryptopool (44) uten å svekke eksisterende sikkerhet, da den sikre terminal (38) og kryptopoolen (44) vil autentisere hverandre og utveksle chiffer-nøkler.