SE524234C2

SE524234C2 - Data network-based system and a method of communication where a number of a first category of related units can communicate with a number of a second category of related units via a data communication network

Info

Publication number: SE524234C2
Application number: SE0103893A
Authority: SE
Inventors: Mats Persson; Patrik Westin
Original assignee: Columbitech Ab
Priority date: 2001-11-20
Filing date: 2001-11-20
Publication date: 2004-07-13
Also published as: SE0103893L; AU2002354377A1; WO2003055136A1

Abstract

The present invention takes its starting point from a data network based system (A), which includes a number of units (1, 1', 1''), belonging to a first category (B), a number of units (2, 2', 2''), belonging to a second category (C), and a firewall (F) operative between said first and said second category units. A first unit (1) belonging to said first category (B), can set up a communications session with a second unit (2) belonging to said second category (C), through the medium of a handshake. Also included is a third unit (3) placed outside the firewall (F). The third unit (3) is able to communicate freely with units belonging to the second category (C) after said second units have registered themselves with the third unit. The first unit sets up an ID-session (S13) with the third unit (3) through the medium of a handshake (H13). The third unit can authenticate the first unit (1) within the ID-session, and thereafter allow the first unit to set up said communications session (S12) with said second unit (2).

Description

25 30 524 234 2 enheten så att handskakningen kan slutföras mellan den första och den andra enheten. 25 30 524 234 2 the unit so that the handshake can be completed between the first and the second unit.

Det kan även nämnas att identiﬁering eller autentisering kan ske på olika sätt. Detta kan ske genom certiﬁkat som bygger på asymmetriska nycklar, en kombination av användarnamn och lösenord, eller engångslösenord som exempelvis kan genereras i dosa med smart kort eller från kort med lösenord som skrapas fram.It can also be mentioned that identification or authentication can take place in different ways. This can be done through certificates based on asymmetric keys, a combination of username and password, or one-time passwords that can be generated, for example, in boxes with smart cards or from cards with passwords that are scratched out.

Det kan vidare nämnas att det allmänt ofta gäller för sessioner att upprättandet av dem är relativt krävande. Både autentisering och förhandlig av gemensam hemlighet är ofta krävande operationer. När det väl ﬁnns en upprättad session är det ofta betydligt mindre krävande att kommunicera inom sessionen och att kontrollera om ett visst meddelande hör till sessionen eller inte.It can further be mentioned that it is generally often the case for sessions that the establishment of them is relatively demanding. Both authentication and negotiation of a common secret are often demanding operations. Once an established session has been established, it is often much less demanding to communicate within the session and to check whether a particular message belongs to the session or not.

REDOGÖRELSE FÖR FÖRELIGGANDE UPPFINNING Tekniskt problem , Med utgångspunkt från teknikens ståndpunkt, såsom den beskrivits ovan, är det ett i sammanhanget grundläggande problem att det ofta är önskvärt att vara restriktiv när det gäller den datatraﬁk som ska tillåtas passera en brandvägg. Ofta är brandväggar konﬁgurerade så att det inte är tillåtet att öppna hål i brandväggen utifrån. Samtidigt ska behöriga användare på ett smidigt sätt kunna erbjudas tillträde genom brandväggen.DESCRIPTION OF THE PRESENT INVENTION Technical problem, Based on the state of the art, as described above, it is a fundamental problem in this context that it is often desirable to be restrictive with regard to the data traffic that is to be allowed to pass a firewall. Firewalls are often configured so that it is not permitted to open holes in the firewall from the outside. At the same time, authorized users must be able to be offered access through the firewall in a smooth way.

Ett annat problem i sammanhanget är så kallade denial-of-service attacker. Dessa går ut på att skicka så mycket meddelanden till en server eller liknande att den blir överbelastad när den försöker hantera meddelandena. Det leder typiskt inte till att den som utför attacken får tillgång till systemet utan av- sikten är istället att sänka systemet så att de behöriga användarna inte kommer åt det. Det gäller alltså att skydda viktiga systemkomponenter från denial-of-service attacker. Som nämnts ovan är handskakningar krävande. Det gör att en enhet som tar hand om handskakningsförfrågningar är känslig för denial-of-service attacker.Another problem in this context is so-called denial-of-service attacks. These involve sending so many messages to a server or similar that it becomes overloaded when it tries to handle the messages. This typically does not lead to the person carrying out the attack gaining access to the system, but the intention is instead to lower the system so that the authorized users do not have access to it. It is therefore important to protect important system components from denial-of-service attacks. As mentioned above, handshakes are demanding. This makes a device that handles handshake requests sensitive to denial-of-service attacks.

Ett tidigare använt sätt att problemet med att vara restriktiv med vad som får komma igenom brandväggen är att terminera sessionen i brandväggen. Det leder till ﬂera säkerhetsproblem. Dels får den andra enheten ofta dålig information 10 15 20 25 30 524 234 3 om hur säker autentiseringen av den första enheten är och vilken säkerhets nivå som används i sessionen mellan den första enheten och brandväggen, eller den tredje enheten. Dels måste informationen avkrypteras i brandväggen eller den tredje enheten och sedan eventuellt omkrypteras.A previously used way to the problem of being restrictive with what may come through the firewall is to terminate the session in the firewall. This leads to säker your security issues. On the one hand, the second device often receives poor information about how secure the authentication of the first device is and what level of security is used in the session between the first device and the firewall, or the third device. First, the information must be decrypted in the firewall or the third device and then possibly encrypted.

Ett annat problem är de sätt att fastställa första enhetens identitet som går att använda. Dels kan det finnas autentiseringsmetoder som inte omfattas av det använda handskakningsförfarandet som ändå skulle vara bra att använda. Dels kan vissa autentiseringsmetoder involvera meddelanden som inte är lämpliga att skicka i klartext.Another problem is the ways to determine the identity of the first device that can be used. On the one hand, there may be authentication methods that are not covered by the handshake procedure used that would still be good to use. On the one hand, some authentication methods may involve messages that are not suitable for sending in plain text.

Det här problemet blir extra stort när mobila datorenheter är inblandade.This problem becomes extra large when mobile computer devices are involved.

Dels är det i det fallet lättare att avlyssna traﬁk vilket gör det extra känsligt att skicka autentiseringsmeddelanden i klartext. Dels är en mobil datorenhet betydligt lättare att bli av med varför det är önskvärt att ha någon form av autentisering som fastställer användaren som använder enheten och inte bara vilken enhet det är som försöker koppla upp sig. Sådana autentiseringsmetoder kan typiskt falla utanför vad som ingår i handskakningsförfarandet.In that case, it is easier to eavesdrop on traffic, which makes it extra sensitive to send authentication messages in clear text. On the one hand, a mobile computer device is much easier to get rid of, which is why it is desirable to have some form of authentication that determines the user who uses the device and not just which device it is that is trying to connect. Such authentication methods can typically fall outside the scope of the handshake procedure.

Lösningen I beskrivningen av föreliggande uppﬁnning kommer en säker etablerad förbindelse kallas en session. Med ordet session avses här att två parter som vill kommunicera med varandra har fastställt varandras identitet och kommit överens om hemligheter som gör att de med en för situationen lämplig säkerhet kan kommunicera över en kanal som l sig inte behöver vara säker. Efter upprättandet av sessionen ska man alltså kunna kommunicera över en kanal där meddelanden som skickas kan avlyssnas och ändras av en tredje part och ändå upprätthålla en för situationen lämplig säkerhetsnivå.The solution In the description of the present invention, a secure established connection will be called a session. The word session here means that two parties who want to communicate with each other have established each other's identity and agreed on secrets that enable them to communicate with a security appropriate to the situation over a channel that does not itself need to be secure. After the session has been established, it must therefore be possible to communicate over a channel where messages sent can be intercepted and changed by a third party and still maintain a level of security appropriate to the situation.

En session behöver inte på något sätt vara kopplat till ett visst sätt skicka data och en session kan upprätthållas även om det använda kommunikationsnätet byts ut eller tillfälligt inte är tillgängligt.A session does not have to be connected in any way to a certain way of sending data and a session can be maintained even if the used communication network is replaced or temporarily unavailable.

En session enligt föreliggande uppﬁnning är inte begränsad till användandet av något visst säkerhetsprotokoll utan kan även avse användandet av protokoll där man av tradition inte använder begreppet session.A session according to the present invention is not limited to the use of any particular security protocol, but may also refer to the use of protocols where the term session is not traditionally used.

En meddelandesekvens som används för att upprätta en session kommer fortsättningsvis att kallas för en handskakning. Användandet av termen 10 15 20 25 30 524 234 4 handskakning avser inte heller att begränsa uppﬁnningen till att gälla något speciellt säkerhetsprotokoll.A message sequence used to establish a session will continue to be called a handshake. The use of the term handshake is also not intended to limit the invention to any particular safety protocol.

För att kunna fastställa den första enhetens identitet och därefter tillåta passage genom brandväggen föreslår föreliggande uppﬁnning användandet av en tredje enhet.In order to be able to establish the identity of the first unit and then allow passage through the firewall, the present invention proposes the use of a third unit.

Den tredje enheten placeras utanför brandväggen, lämpligen i en till brandväggen hörande demilitariserad zon, och tillåts kommunicera genom brand- väggen med enheter hörande till den andra kategorin som har registrerat sig hos den tredje enheten.The third unit is located outside the firewall, preferably in a demilitarized zone belonging to the firewall, and is allowed to communicate through the firewall with units belonging to the second category that have registered with the third unit.

När den första enheten vill upprätta en session med den andra enheten börjar den med att kommunicera med den tredje enheten. Den upprättar då med hjälp av en handskakning (av samma slag som den handskakning som används för att upprätta en session mellan den första enheten och den andra enheten eller en handskakning av något annat slag) en session som är sådan att åtminstone den första enheten kan vara säker på den tredje enhetens identitet.When the first device wants to establish a session with the second device, it starts by communicating with the third device. It then establishes by means of a handshake (of the same kind as the handshake used to establish a session between the first unit and the second unit or a handshake of some other kind) a session which is such that at least the first unit can be sure of the identity of the third device.

Inom denna session kan sedan meddelanden utbytas så att den tredje enheten till en vald säkerhetsgrad kan förvissa sig om den första enhetens identitet.During this session, messages can then be exchanged so that the third device to a selected security level can ascertain the identity of the first device.

En session mellan en första och en tredje enhet, vars syfte är att den tredje enheten ska kunna fastställa den första enhetens identitet, kommer fort- sättningsvis kallas en lD-session.A session between a first and a third unit, the purpose of which is for the third unit to be able to establish the identity of the first unit, will continue to be called an ID session.

Säkerställandet av den första enhetens identitet kan innebära att den tredje enheten kontaktar en separat enhet för att hämta information som används för att säkerställa den första enhetens identitet.Securing the identity of the first entity may involve the third entity contacting a separate entity to retrieve information used to secure the identity of the first entity.

Efter det att den tredje enheten fastställt den första enhetens identitet tillåts den första enheten kommunicera med den andra enheten för att kunna upprätta en session med denna.After the third unit has established the identity of the first unit, the first unit is allowed to communicate with the second unit in order to establish a session with it.

En session mellan en första och en andra enhet kommer fortsättningsvis kallas en kommunikationssession.A session between a first and a second device will henceforth be called a communication session.

Den handskakning som används för att upprätta en kommunikationssession går via ID-sessionen.The handshake used to set up a communication session goes through the ID session.

Efter det att kommunikationssessionen upprättats behöver inte längre meddelanden mellan den första och den tredje enheten gå inom lD-sessionen. Det 10 15 20 25 30 524 254 5 kan ändå vara bra att låta lD-sessionen ﬁnnas kvar så att den om behov uppstår lätt kan återupptas senare.After the communication session is established, messages between the first and third devices no longer need to go within the ID session. It may still be a good idea to leave the LED session so that it can be easily resumed later if needed.

Kommunikationen mellan första och andra enheten kommer även fort- sättningsvis passera den tredje enheten som övervakar vilka meddelanden som ska släppas igenom. Meddelanden adresserade till en enhet hörande till den andra kategorin får bara passera om de antingen tillhör en ID-session eller om de innehåller viss information kopplad till en existerande kommunikationssession.The communication between the first and second units will continue to pass through the third unit, which monitors which messages are to be transmitted. Messages addressed to a device belonging to the other category may only pass if they either belong to an ID session or if they contain certain information linked to an existing communication session.

En tredje enhet kan användas för att upprätta sessioner mellan ﬂera första och ﬂera andra enheter. Varje session upprättas då på samma sätt som beskrivits ovan.A third device can be used to establish sessions between första your first and ﬂ your second devices. Each session is then set up in the same way as described above.

Fördelar De fördelar som främst kan förknippas med ett system, en metod, dator- programprodukter och ett datorläsbart medium enligt föreliggande uppfinning är att härigenom erbjuds en möjlighet att upprätta en kommunikationssession som går hela vägen från den första enheten till den andra enheten, varigenom en betydligt bättre säkerhet uppnås än om sessionen termineras i brandväggen.Advantages The advantages which can be mainly associated with a system, a method, computer program products and a computer readable medium according to the present invention are that it offers an opportunity to establish a communication session which goes all the way from the first unit to the second unit, whereby a significant better security is achieved than if the session is terminated in the firewall.

Eftersom en ID-session upprättas och de meddelanden som fastställer den första enhetens identitet skickas inom denna session behöver inga av de meddelanden som fastställer den första enhetens identitet skickas i klartext. Det gör att även identifierande meddelanden som inte är lämpliga att skicka i klartext kan användas för att fastställa den första enhetens identitet. Det gör att önskad säkerhetsnivå kan uppnås innan någon kommunikation släpps igenom brandväggen.Because an ID session is created and the messages that determine the identity of the first device are sent within that session, none of the messages that determine the identity of the first device need to be sent in clear text. This means that even identifying messages that are not suitable for sending in clear text can be used to establish the identity of the first device. This means that the desired level of security can be achieved before any communication is let through the firewall.

Föreliggande uppﬁnning erbjuder även möjligheten att låta enheterna byta det underliggande kommunikationsnätet eller att återuppta kommunikationen igen om använt kommunikationsnät tillfälligt är otillgängligt. Så länge som både ID- sessionen och kommunikationssessionen ﬁnns kvar går det enkelt att återuppta dessa i ett nytt eller i ett tidigare använt kommunikationsnät, och när kommunika- tionssessionen återupptagits kan den första och andra enheten fortsätta kommunicera med varandra.The present invention also offers the possibility of allowing the devices to change the underlying communication network or to resume communication again if the used communication network is temporarily unavailable. As long as both the ID session and the communication session remain, it is easy to resume these in a new or in a previously used communication network, and when the communication session has resumed, the first and second units can continue to communicate with each other.

Ytterligare en fördel med föreliggande uppfinning är att i det fall som systemet utsätts för attacker så kommer det i första hand vara den tredje enheten som attackeras.A further advantage of the present invention is that in the event that the system is subjected to attacks, it will primarily be the third unit that is attacked.

IO 15 20 25 30 524 234 KORT FIGURBESKRIVNING Ett system, en metod, datorprogramprodukter samt ett datorläsbart medium, uppvisande de med föreliggande uppﬂnning förknippade egenskaperna, skall i exempliﬁerande syfte nu närmare beskrivas med hänvisning till bifogad ritning där: ﬁgur 1 schematiskt och mycket förenklat visar handskakningen vid upprättandet av en ID-sessionen mellan en enhet som hör till den första kategorin och en tredje enhet, ﬁgur 2 schematiskt visar fastställandet av den första enhetens identitet inom den upprättade lD-sessionen, figur 3 schematiskt visar handskakningen vid upprättandet av en ID- sessionen mellan en första enhet och en andra enhet, ﬁgur 4 schematiskt visar upprättandet av en kommunikationssession har kommunikationssessionen mellan den första enheten och den andra enheten, ﬁgur 5 schematiskt visar att en tredje enhet kan hantera kommunika- tionssessioner mellan ﬂera första och ﬂera andra enheter, och där figur 6 schematiskt och mycket förenklat visar ett datorläsbart medium enligt föreliggande uppﬂnning.IO 15 20 25 30 524 234 BRIEF DESCRIPTION OF THE DRAWINGS A system, a method, computer program products and a computer-readable medium, exhibiting the properties associated with the present invention, will now be described in more detail by way of example with reference to the accompanying drawing, in which: the handshake when establishing an ID session between a device belonging to the first category and a third device, 2 Figure 2 schematically shows the determination of the identity of the first device within the established ID session, Figure 3 schematically shows the handshake when establishing an ID the session between a first unit and a second unit, ﬁ gur 4 schematically shows the establishment of a communication session has the communication session between the first unit and the second unit, ﬁ gur 5 schematically shows that a third unit can handle communication sessions between ﬂ your first and ﬂ your second units, and where Figure 6 schematically and very simply shows one computer readable medium according to the present invention.

BESKRIVNING ÖVER NU FÖRESLAGNA UTFÖRINGSFORMER I den följande beskrivningen illustreras de olika stegen för att upprätta en kommunikationssession. l bifogade ﬁgurer är den första enheten placerad längst till vänster. Den tredje enheten är placerad i mitten. Den är placerad i en demilitari- serad zon som hör till brandväggen. Längst till höger, innanför brandväggen, ligger till sist den andra enheten.DESCRIPTION OF CURRENTLY PROPOSED EMBODIMENTS The following description illustrates the various steps for establishing a communication session. In the attached clocks, the first unit is located on the far left. The third unit is located in the middle. It is located in a demilitarized zone belonging to the firewall. At the far right, inside the firewall, is finally the second unit.

De olika enheterna markeras med siffrorna 1, 2 respektive 3. I ﬁgur 2 finns en ytterligare enhet, betecknad 4, med. Detta är en separat enhet som den tredje enheten kan behöva kontakta för att fastställa den första enhetens identitet.The different units are marked with the numbers 1, 2 and 3, respectively. In Figure 2, there is an additional unit, designated 4, with. This is a separate device that the third device may need to contact to determine the identity of the first device.

Den väg som meddelanden skickas för att utföra en handskakning mellan två enheter betecknas med ett H följt av enheternas nummer. En upprättad 10 15 20 25 30 524 234 7 session mellan två enheter betecknas med ett S följt av enheternas nummer. Med- delanden som skickas mellan två enheter inom en session betecknas med ett M följt av enheternas nummer. En brandvägg betecknas med ett F. lﬁgurerna är den tredje enheten placerad mellan två brandväggar. Det avser att illustrera att enheten beﬁnner sig i en demilitariserad zon som hör till den brandvägg som den första enheten beﬁnner sig utanför och den andra enheten beﬁnner sig innanför.The path that messages are sent to perform a handshake between two devices is denoted by an H followed by the number of the devices. An established 10 15 20 25 30 524 234 7 session between two units is denoted by an S followed by the number of the units. Messages sent between two units within a session are denoted by an M followed by the units' numbers. A firewall is denoted by an F. The layers are the third unit placed between two firewalls. It is intended to illustrate that the unit is located in a demilitarized zone belonging to the firewall that the first unit is located outside and the second unit is located inside.

Med hänvisning till ﬁgur 1 visas således att uppﬁnningen bygger på ett datanätbaserat system A. Systemet omfattar ett antal enheter 1, 1', 1" som tillhör en första kategori B och ett antal enheter 2, 2', 2” som tillhör en andra kategori C.With reference to Figure 1, it is thus shown that the invention is based on a computer network-based system A. The system comprises a number of units 1, 1 ', 1 "belonging to a first category B and a number of units 2, 2', 2" belonging to a second category C.

En första enhet 1 som tillhör den första kategorin B kan genom en handskakning upprätta en session med en andra enhet 2 som tillhör den andra kategorin C.A first unit 1 belonging to the first category B can, by a handshake, establish a session with a second unit 2 belonging to the second category C.

Mellan enheterna som tillhör den första respektive andra kategorin ﬁnns en brandvägg F som inte tillåter direkt kommunikation mellan den första och den andra enheten 1, 2.Between the units belonging to the first and second category there is a firewall F which does not allow direct communication between the first and the second unit 1, 2.

Enligt en föreslagen utföringsform kan den första enheten 1 utgöras av en mobil datorenhet, exempelvis en laptop eller handdator, och den andra enheten 2 kan utgöras av en server som är placerad innanför en organisations brandvägg.According to a proposed embodiment, the first unit 1 can be constituted by a mobile computer unit, for example a laptop or PDA, and the second unit 2 can be constituted by a server which is located inside an organization's firewall.

Den första enheten vill nu via ett datakommunikationsnät upprätta en säker för- bindelse med den andra enheten. Kommunikation genom brandväggen får endast ske efter det att den första enheten har blivit autentiserad på ett tillfredställande sätt.The first unit now wants to establish a secure connection with the second unit via a data communication network. Communication through the firewall may only take place after the first device has been authenticated in a satisfactory manner.

Föreliggande uppﬁnning anvisar att den handskakning som används för att upprätta den säkra förbindelsen utgörs av ett handskakningsförfarande enligt något valt säkerhetsprotokoll. Exempel på sådana säkerhetsprotokoll är WTLS, SSL, TLS och IPSec.The present invention indicates that the handshake used to establish the secure connection consists of a handshake procedure according to a selected safety protocol. Examples of such security protocols are WTLS, SSL, TLS and IPSec.

Föreliggande uppﬁnning anvisar att systemet omfattar en tredje enhet 3 som är placerad utanför brandväggen F lämpligen i en demilitariserad zon som hör till brandväggen.The present invention indicates that the system comprises a third unit 3 which is located outside the firewall F suitably in a demilitarized zone belonging to the firewall.

Den tredje enheten 3 tillåts kommunicera direkt med enheter hörande till den andra kategorin C efter det att enheterna i den andra kategorin har registrerat sig hos den tredje enheten. Genom att låta de andra enheterna 2, 2', 2” registrera sig hos den tredje enheten 3 innan de andra enheterna kan kommunicera med av 10 15 20 25 30 524 234 8 den tredje enheten undviker man att behöva öppna några hål i brandväggen F från utsidan. i Den första enheten 1 kan endast kommunicera med den andra enheten 2 via den tredje enheten 3.The third unit 3 is allowed to communicate directly with units belonging to the second category C after the units in the second category have registered with the third unit. By allowing the other units 2, 2 ', 2 "to register with the third unit 3 before the other units can communicate with the third unit, one avoids having to open any holes in the firewall F from outside. i The first unit 1 can only communicate with the second unit 2 via the third unit 3.

Enligt föreliggande uppﬁnning fastställer den tredje enheten 3 den första enhetens 1 identitet innan den första enheten tillåts kommunicera med den andra enheten 2 genom brandväggen F.According to the present invention, the third unit 3 determines the identity of the first unit 1 before the first unit is allowed to communicate with the second unit 2 through the firewall F.

Detta inleds med en handskakning H13 mellan den första enheten 1 och den tredje enheten 3, varigenom en session , här kallad ID-session S13, upprättas mellan den första och den tredje enheten, enligt ﬁgur 2. .Vid upprättandet av lD- sessionen S13, det vill säga under handskakningen H13, bör åtminstone den första enheten 1 kunna fastställa den tredje enhetens 3 identitet.This begins with a handshake H13 between the first unit 1 and the third unit 3, whereby a session, here called ID session S13, is established between the first and the third unit, according to Figure 2. When establishing the ID session S13, that is, during the handshake H13, at least the first unit 1 should be able to establish the identity of the third unit 3.

Via ID-sessionen kan sedan den första och den tredje enheten utbyta meddelanden M13 som gör att den tredje enheten 3 på ett tillfredställande sätt kan fastställa den första enhetens 1 identitet. Detta kan exempelvis göras med hjälp av certiﬁkat, engångslösenord och/eller användarnamn/lösenord.Via the ID session, the first and third units can then exchange messages M13 which enable the third unit 3 to satisfactorily establish the identity of the first unit 1. This can be done, for example, with the help of a certificate, one-time password and / or username / password.

Figur 2 visar även att fastställandet av första enhetens 1 identitet kan inne- bära att den tredje enheten 3 måste hämta information från en separat enhet 4.Figure 2 also shows that the determination of the identity of the first unit 1 may mean that the third unit 3 must retrieve information from a separate unit 4.

Denna informationen hämtas genom meddelandena M34 som skickas mellan den tredje enheten och den separata enheten. Om till exempel engångslösenord används kan den separata enheten utgöras av en engångslösenordsserver. Den separata enheten skulle också kunna utgöras av en CA (Certiﬁcation Authority) eller en databas där användarnamn och motsvarande lösenord ﬁnns lagrade.This information is retrieved through the M34 messages sent between the third device and the separate device. For example, if a one-time password is used, the separate device may be a one-time password server. The separate device could also consist of a CA (Certification Authority) or a database where usernames and corresponding passwords are stored.

För att den tredje enheten 3 på ett säkert sätt ska kunna komma åt informationen från den separata enheten 4 kan ett ytterligare säkerhetsprotokoll behövas. Det kan till exempel vara RADIUS-protokollet eller tacacs-protokollet.In order for the third unit 3 to be able to securely access the information from the separate unit 4, an additional security protocol may be needed. This can be, for example, the RADIUS protocol or the tacacs protocol.

Figur 3 avser att visa att efter det att den tredje enheten 3 förvissat sig om den första enhetens 1 identitet kan den första enheten påbörja den handskakning H12 som används för att upprätta en session mellan den första och den andra enheten 1, 2, här kallad en kommunikationssession S12 i ﬁgur 4. Meddelanden som tillhör denna handskakning H12 som går från den första enheten 1 och som ska till den andra enheten 2 går först från den första enheten 1 till den tredje enheten 3 via ID-sessionen S13. Den tredje enheten 3 vidarebefordrar sedan meddelandena till den andra enheten 2. Meddelanden som ska gå från den andra 10 15 20 25 30 524 234 Q till den första enheten och som tillhör handskakningen H12 går först från den andra enheten 2 till den tredje enheten 3. Därefter vidarebefordrar den tredje enheten 3 meddelandena till den första enheten 1 via ID-sessionen S13.Figure 3 is intended to show that after the third unit 3 has ascertained the identity of the first unit 1, the first unit can start the handshake H12 used to establish a session between the first and the second unit 1, 2, here called a communication session S12 in Figure 4. Messages belonging to this handshake H12 going from the first unit 1 and going to the second unit 2 first go from the first unit 1 to the third unit 3 via the ID session S13. The third unit 3 then forwards the messages to the second unit 2. Messages which are to go from the second unit to the first unit and which belong to the handshake H12 first pass from the second unit 2 to the third unit 3. Thereafter, the third unit 3 forwards the messages to the first unit 1 via the ID session S13.

Efter det att handskakningen H12 som upprättar en kommunikations- session S12 har avslutats slutar, enligt nu föreslagen utföringsform, den första och tredje enheten 1, 3 att använda sig av ID-sessionen S13, den ﬁnns dock kvar för att vid behov kunna användas.After the handshake H12 which establishes a communication session S12 has been completed, according to the presently proposed embodiment, the first and third units 1, 3 cease to use the ID session S13, however, it remains to be used if necessary.

Meddelanden M12 som ska gå från den första enheten till den andra enheten 1, 2 måste även fortsättningsvis gå via den tredje enheten 3 för att få passera brandväggen F. Den tredje enheten 3 kontrollerar då att meddelandena M12 innehåller viss information kopplad till den existerande kommunikations- sessionen S12 innan de släpps igenom brandväggen.Messages M12 to go from the first unit to the second unit 1, 2 must continue to go through the third unit 3 to pass the firewall F. The third unit 3 then checks that the messages M12 contain certain information connected to the existing communication session S12 before being released through the firewall.

Om ännu högre säkerhet ska uppnås kan den första och andra enheten 1, 2 inom kommunikationssessionen S12 utbyta meddelanden som ytterliggare styrker den första enhetens 1 identitet. För att göra detta ﬁnns åtminstone samma möjligheter som när den tredje enheten 3 fastställer den första enhetens identitet inom lD-sessionen S13.If even higher security is to be achieved, the first and second units 1, 2 within the communication session S12 can exchange messages which further prove the identity of the first unit 1. To do this, there are at least the same possibilities as when the third unit 3 determines the identity of the first unit within the ID session S13.

Genom att välja hur handskaknlngsförfarandena ser ut och vilka ytterligare former av identifikation som krävs ide olika sessionerna går det att välja säker- hetsnivå i de olika autentiseringsstegen.By choosing what the handshake procedures look like and what additional forms of identification are required in the different sessions, it is possible to select the security level in the different authentication steps.

Som illustreras i figur 5 kan ﬂera första enheter 1, 1', 1” använda sig av samma tredje enhet 3. En tredje enhet 3 kan också fungera för att upprätta sessioner S12, S122 S12" till ﬂera olika andra enheter 2, 2', 2". Här hanterar alltså den tredje enheten flera parallella kommunikationssessioner S12, S122 S12”.As illustrated in Figure 5, första your first units 1, 1 ', 1 "can use the same third unit 3. A third unit 3 can also function to establish sessions S12, S122 S12" to ﬂ your different other units 2, 2', 2 ". Here, the third unit thus handles several parallel communication sessions S12, S122 S12 ”.

Upprättandet av varje kommunikationssession mellan en första och en andra enhet sker på samma sätt som beskrivs här. Den tredje enheten håller då koll på vilka kommunikationssessioner som ﬁnns och vilka meddelanden M12, M12', M12" som tillåts släppas igenom i respektive session.The establishment of each communication session between a first and a second unit takes place in the same way as described here. The third unit then keeps track of which communication sessions are available and which messages M12, M12 ', M12 "are allowed to be transmitted in each session.

Figur 5 visar också att ﬂera första enheter 1, 1' kan, via samma tredje enhet 3, koppla upp sig mot samma andra enhet 2.Figure 5 also shows that första your first units 1, 1 'can, via the same third unit 3, connect to the same second unit 2.

Om WTLS-protokollet används för att upprätta sessionerna, det vill säga de nämnda handskakningarna ärWTLS-handskakningar, kan handskakningen H13 mellan den första och den tredje enheten 1, 3 utgöra en WTLS klass 2 handskakning. Vid en sådan handskakning försäkrar sig den första enheten 1 om 10 15 20 25 30 524 254 10 den tredje enhetens 3 identitet med hjälp av certiﬁkat och de båda enheterna kommer överens om en delad hemlighet som kan användas för att kryptera fortsatt kommunikation M13. Vid handskakningen H13 kräver däremot inte den tredje enheten 3 något certiﬁkat av den första enheten 1. lnom denna session S13 kan sedan meddelanden M13 utbytas så att den tredje enheten 3 tiil en tillfredställande säkerhetsgrad kan förvissa sig om den första enhetens 1 identitet.If the WTLS protocol is used to establish the sessions, i.e. the mentioned handshakes are WTLS handshakes, the handshake H13 between the first and the third unit 1, 3 can constitute a WTLS class 2 handshake. In such a handshake, the first unit 1 secures the identity of the third unit 3 by means of a certificate and the two units agree on a shared secret that can be used to encrypt continued communication M13. In the case of handshake H13, on the other hand, the third unit 3 does not require any certificate from the first unit 1. During this session S13 messages M13 can then be exchanged so that the third unit 3 to a satisfactory degree of security can ascertain the identity of the first unit 1.

Efter att den tredje enheten 3 har fastställt den första enhetens 1 identitet kan den första enheten börja kommunicera med den andra enheten 2. Om den sessionen mellan den första och andra enheten ska vara en WTLS session så kan handskakningen H12 för att upprätta denna session utgöra en WTLS klass 3 handskakning. Det som skiljer en WTLS klass 3 handskakning från en WTLS klass 2 handskakning är att båda enheterna kräver certiﬁkat av den andra enheten.After the third unit 3 has determined the identity of the first unit 1, the first unit can start communicating with the second unit 2. If that session between the first and second unit is to be a WTLS session, then the handshake H12 to establish this session may constitute a WTLS Class 3 handshake. What distinguishes a WTLS Class 3 handshake from a WTLS Class 2 handshake is that both devices require a certificate from the other device.

Meddelandena mellan den första 1 och den andra enheten 2 som tillhör handskakningen H12 går via den tredje enheten 3. Mellan den första och den tredje enheten går de inom den upprättade lD-sessionen S13, som enligt den här visade utföringsformen även den är en WTLS-session.The messages between the first 1 and the second unit 2 belonging to the handshake H12 go via the third unit 3. Between the first and the third unit they go within the established ID session S13, which according to the embodiment shown here is also a WTLS session.

Efter det att WTLS klass 3 handskakningen H12 mellan den första och den andra enheten avslutats och därmed en WTLS session S12 upprättats mellan första och andra enheten behövs, enligt nu föreslagen utföringsform, lD-sessionen S13 inte längre. Fortsättningsvis går meddelandena som hör till kommunikations- sessionen S12 utanför lD-sessionen S13 mellan första och tredje enheten 1, 3. lD- sessionen S13 tas inte ner helt utan den ska gå att återuppta, genom att göra session-resume.After the WTLS class 3 handshake H12 between the first and the second unit is completed and thus a WTLS session S12 is established between the first and the second unit, according to the now proposed embodiment, the ID session S13 is no longer needed. Furthermore, the messages belonging to the communication session S12 go outside the ld session S13 between the first and third units 1, 3. The ld session S13 is not taken down completely but it should be possible to resume, by making a session summary.

En session-resume innebär att enheterna inte återigen behöver autentisera varandra och komma överens om en delad hemlighet. De kan istället fortsätta på den gamla sessionen och använda den delade hemligheten som användes där. Även meddelanden M12 hörande till fortsatt kommunikation kommer att gå via den tredje enheten 3. Den första enheten 1 får fortfarande inte skicka några meddelanden direkt genom brandväggen F.A session resume means that the devices do not have to authenticate each other again and agree on a shared secret. They can instead continue on the old session and use the shared secret used there. Messages M12 belonging to continued communication will also go via the third unit 3. The first unit 1 may still not send any messages directly through the firewall F.

Meddelanden från den första enheten 1, eller enheter som utger sig för att vara den första enheten, som inte inkommer via en ID-session mellan den första och den tredje enheten 3 kommer bara att vidarebefordras till den andra enheten 2 10 15 20 25 30 524 234 1.1. om de innehåller viss information kopplad till en existerande kommunikations- session.Messages from the first unit 1, or units pretending to be the first unit, which do not arrive via an ID session between the first and the third unit 3 will only be forwarded to the second unit 2 10 15 20 25 30 524 234 1.1. if they contain certain information linked to an existing communication session.

När man skickar meddelanden i en krypterad WTLS session följer det med ett huvud med meddelandena. I detta huvud finns bland annat information om vilken typ av data som meddelandet innehåller, information om vilken session meddelandet tillhör och en checksumma som räknas fram från meddelandet och den delade hemligheten.When sending messages in an encrypted WTLS session, it comes with a header with the messages. This header contains information about the type of data that the message contains, information about which session the message belongs to and a checksum that is calculated from the message and the shared secret.

De olika typer av meddelanden som ﬁnns är handskakningsmeddelanden, meddelanden som innehåller applikationsdata, change cipher spec-meddelanden som talar om att någon av enheterna vill byta krypteringsnyckel och alert-meddel- anden som talar om att något har gått fel.The different types of messages that exist are handshake messages, messages that contain application data, change cipher spec messages that say that one of the devices wants to change the encryption key, and alert messages that say that something has gone wrong.

Tredje enheten 3 släpper bara igenom handskakningsmeddelanden från första enheten 1 till andra enheten 2 om de inkommer inom en upprättad ID- session efter det att första enheten 1 blivit tillfredställande autentiserad.The third unit 3 only passes handshake messages from the first unit 1 to the second unit 2 if they arrive within an established ID session after the first unit 1 has been satisfactorily authenticated.

Meddelanden som är av någon av de andra typerna och som inkommer till den tredje enheten 3 från den första enheten 1 och är adresserade still den andra enheten släpps igenom även om de inte inkommer inom en lD-session om infor- mationen som talar om vilken session de tillhör säger att de tillhör en existerande kommunikationssession.Messages which are of one of the other types and which arrive at the third unit 3 from the first unit 1 and are addressed still the second unit are passed through even if they do not arrive within an ID session on the information telling which session they belong says they belong to an existing communication session.

När ett meddelande når den andra enheten 2 kan denna relativt enkelt kolla om meddelandet verkligen tillhör den kommunikationssession som det påstår att det tillhör genom att kolla om checksumman som finns i meddelandets huvud stämmer.When a message reaches the second unit 2, it can relatively easily check if the message really belongs to the communication session that it claims to belong to by checking if the checksum contained in the message header is correct.

Det här innebär att bara första enheter 1 vars identitet fastställts av den tredje enheten 3 kan påbörja en handskakning H12 med en andra enhet 2.This means that only first units 1 whose identity is determined by the third unit 3 can start a handshake H12 with a second unit 2.

Tanken är den att det är relativt lätt för en andra enhet 2 att hantera meddelanden som felaktigt utger sig för att tillhöra en säker session S12 medan det kräver mer arbete att ta hand om handskakningsförfrågningar från enheter som inte har rätt att påbörja handskakningar. Om någon obehörig lyckas skicka ett meddelande som den tredje enheten 3 bedömer tillhöra en kommunikationssession så kan den mottagande andra enheten enkelt fastställa att detta meddelande inte hör till kommunikationssessionen eftersom den obehörige inte känner till den gemensamma hemlighet som gäller för kommunikationssessionen. 10 15 20 25 30 524 234 1.2 Under förutsättning att sessionen mellan den första och andra enheten 1, 2 inte är sådan att den är kopplad till det datakommunikationsnät som används utan att sessionen består och kan återupptas går det bra att byta datakommunikationsnät. En WTLS-session fungerar på det sättet eftersom man kan göra session-resume.The idea is that it is relatively easy for a second device 2 to handle messages that incorrectly pretend to belong to a secure session S12 while requiring more work to handle handshake requests from devices that do not have the right to start handshakes. If an unauthorized person succeeds in sending a message that the third unit 3 considers to belong to a communication session, the receiving second unit can easily determine that this message does not belong to the communication session because the unauthorized person does not know the common secret that applies to the communication session. 10 15 20 25 30 524 234 1.2 Provided that the session between the first and second units 1, 2 is not such that it is connected to the data communication network used without the session existing and can be resumed, it is possible to change data communication networks. A WTLS session works that way because you can do a session resume.

Skäl till att vilja byta datakommunikationsnät kan exempelvis vara att det ursprungliga nätet inte längre ﬁnns tillgängligt eller att det ﬁnns ett annat tillgängligt nät som av något skäl uppfattas som bättre.Reasons for wanting to change data communication networks may, for example, be that the original network is no longer available or that there is another available network which for some reason is perceived as better.

Enligt nu föreslagen utföringsform kommer det typiskt vara så att det är den första enheten som byter det datakommunikationsnät som den använder. Den första enheten kan då via ett nytt datakommunikationsnät återuppta lD-sessionen med den tredje enheten. Om WTLS används görs detta genom att göra session- resume. Via ID-sessionen kan den första enheten återuppta kommunikationssessionen med den andra, enheten återigen genom en session- resume om WTLS används.According to the now proposed embodiment, it will typically be the first unit to change the data communication network it uses. The first unit can then resume the ld session with the third unit via a new data communication network. If WTLS is used, this is done by doing a session summary. Via the ID session, the first device can resume the communication session with the second, the device again through a session summary if WTLS is used.

Om datakommunnikationsnätet är tillfälligt oåtkomligt kan enheterna på samma sätt enkelt återuppta en kommunikationssession via samma nät om det åter blir tillgängligt.In the same way, if the data communication network is temporarily inaccessible, the devices can easily resume a communication session via the same network if it becomes available again.

Den föregående beskrivningen har visat ett uppﬁnningsenligt system.The previous description has shown an inventive system.

Fackmannen kan dock med utgångspunkt från denna beskrivning inse hur en uppfinningsenlig metod fungerar. Denna beskrivning skall därför inte betungas ytterligare med en separat beskrivning av den uppﬁnningsenliga metoden.However, the person skilled in the art can, on the basis of this description, realize how a method according to the invention works. This description should therefore not be further burdened with a separate description of the inventive method.

Föreliggande uppﬁnning avser även ett antal datorprogramprodukter schematiskt visade i figur 1.The present invention also relates to a number of computer program products schematically shown in Figure 1.

En första datorprogramprodukt 51 omfattar första datorprogramkod 51' som, då den exekveras av en datorenhet, får denna datorenhet att kunna verka såsom en första datorenhet 1 enligt föreliggande uppﬁnning.A first computer program product 51 comprises first computer program code 51 'which, when executed by a computer unit, enables this computer unit to function as a first computer unit 1 according to the present invention.

En andra datorprogramprodukt 52 omfattar andra datorprogramkod 52' som, då den exekveras av en datorenhet, får denna datorenhet att kunna verka såsom en andra datorenhet 2 enligt föreliggande uppﬁnning.A second computer program product 52 comprises second computer program code 52 'which, when executed by a computer unit, causes this computer unit to function as a second computer unit 2 according to the present invention.

En tredje datorprogramprodukt 53 omfattar tredje datorprogramkod 53' som, då den exekveras av en datorenhet, får denna datorenhet att kunna verka såsom en tredje datorenhet 3 enligt något av patentkraven 1 till 23. 10 15 524 254 13 Vidare avser föreliggande uppfinning ett datorläsbart medium 6, schematiskt visat i ﬁgur 6 och där exempliﬁerad som en diskett. Det skall förstås att även andra datorläsbart medier kan användas. Dessa kan exempelvis utgöras av olika typer av minnesutrymmen, såsom CD-skivor, hårddiskar, eller olika sorters ROM-minnen (Read Only Memory). Även ett nätverk, såsom det globala nätverket Internet, kan anses utgöra ett datorläsbart medium.A third computer program product 53 comprises third computer program code 53 'which, when executed by a computer unit, enables this computer unit to act as a third computer unit 3 according to any one of claims 1 to 23. Furthermore, the present invention relates to a computer readable medium 6 , schematically shown in Figure 6 and exemplified as a floppy disk. It should be understood that other computer readable media can also be used. These can, for example, consist of different types of memory spaces, such as CDs, hard disks, or different types of ROM (Read Only Memory). Even a network, such as the global Internet network, can be considered a computer-readable medium.

På ett uppﬁnningsenligt datorläsbart medium 6 ﬁnns datorprogramkod 61 enligt en eller ﬂera av den första, andra och tredje datorprogramprodukterna lagrad.A computer program code 61 according to one or more of the first, second and third computer program products is stored on a recoverable computer readable medium 6.

Således kan en datorenhet 62 verka såsom en första, andra eller tredje datorenhet beroende på vilka egenskaper datorprogramkoden 61 har.Thus, a computer unit 62 may act as a first, second or third computer unit depending on the characteristics of the computer program code 61.

Uppﬁnningen är givetvis inte begränsad till de ovan såsom exempel angivna utföringsformerna utan kan genomgå modiﬁkationer inom ramen för uppﬁnningstanken såsom denna är illustrerad i efterföljande patentkrav.The invention is of course not limited to the embodiments given above as examples, but may undergo modifications within the scope of the invention concept as illustrated in the appended claims.

Claims

10 15 20 25 30 54'- l l. »U a 1 _. u .. .a a a s n ».a a n u ß u. I on n v oo nu n. u s v v I» nosa u. o: vs 0 'v »n _-, -. * 1 f _ u A g f f, co PATENTKRAV

A computer network-based system comprising a number of units belonging to a first category, a number of units belonging to a second category, and a firewall operating between said first and second category units, wherein a first unit belonging to said first category, by a sequence of messages, is adapted to establish a communication session with a second unit belonging to said second category, characterized in that said system comprises a third unit located outside said firewall, which is adapted to communicate freely with units belonging to said second category after these second units registered with said third unit, that said first unit and said third unit are adapted to establish an ID session among themselves through a sequence of messages, and that said communication session through said firewall is adapted to be established only after said first unit has been satisfactorily authenticated by said third unit via said ID session.

System according to claim 1, characterized in that said first unit and said second unit are adapted to be sent messages belonging to the establishment of said communication session via said third unit and within the framework of said ID session.

A system according to claim 2, characterized in that the message sequence used to establish said ID session and / or communication session comprises a handshake procedure according to any selected security protocol.

System according to claim 3, characterized in that said ID session is such that said first unit can feel secure in the identity of said third unit, after which said authentication of said first unit takes place.

System according to claim 4, characterized in that said authentication takes place by means of a certificate, one-time password or username / password. 10 15 20 25 30 52 i xt ”se; n r »a Hz» aa 1 »a: no u o o u I: I I i nu» n s. o n o an: I ,,,., | O; o o .. o nu »o. v -nn Q; v. . . , 9 f-

System according to claim 4 or 5, characterized in that messages belonging to said communication session go via said third unit, and that said third unit is adapted to check that all messages incoming to said third unit contain certain information linked to some session between a first and a second device before being forwarded to the second device.

System according to any one of the preceding claims, characterized in that said third unit is located in a demilitarized zone belonging to the firewall.

System according to any one of the preceding claims, characterized in that said first unit consists of a mobile computer unit, such as a laptop or PDA.

System according to any one of the preceding claims, characterized in that said second unit consists of a mobile computer unit, such as a laptop or PDA.

System according to any one of claims 1 to 8, characterized in that said second unit consists of an internal company server.

System according to any one of the preceding claims, characterized in that said third unit is adapted to handle communication sessions between one or ﬂ your units belonging to said first category and one or more different units belonging to said second category.

A method of communication between a number of units belonging to a first category and a number of units belonging to a second category, wherein said communication takes place via a firewall operating between said first and second category units, where a first unit belonging to said first category, through a sequence of messages, establishes a communication session with a second unit belonging to said second category, characterized in that a third unit located outside said firewall communicates freely with units belonging to said second category after these other units have registered with 20 25 30 5 2 4 2 3 4 lß said third unit, that an ID session is established between said first unit and said third unit by a sequence of messages, and that said communication session through said firewall may only be established after said first unit has been satisfactorily authenticated by said third party via said ID session.

Method according to claim 12, characterized in that messages belonging to the establishment of said communication session are sent between said first unit and said second unit via said third unit and within the framework of said ID session.

Method according to claim 13, characterized in that the message sequence used to establish said ID session and / or communication session comprises a handshake procedure according to any selected security protocol.

Method according to claim 14, characterized in that said ID session is such that said first unit can feel secure in the identity of said third unit, after which said authentication of said first unit takes place.

Method according to claim 15, characterized in that said authentication takes place by means of a certificate, one-time password or username / password.

Method according to claim 15 or 16, characterized in that messages belonging to said communication session go via said third unit, and that said third unit is adapted to check that all messages received to said third unit contain certain information linked to some session between a first and a second unit before being forwarded to the second unit concerned.

Method according to any one of claims 12 to 17, characterized in that said third unit is placed in a demilitarized zone belonging to said firewall. 10 15 20 25 30 524 254 l?

Method according to any one of claims 12 to 18, characterized in that said first unit consists of a mobile computer unit, such as a laptop or PDA.

Method according to any one of claims 12 to 19, characterized in that said second unit is constituted by a mobile computer unit, such as a laptop or PDA.

Method according to any one of claims 12 to 19, characterized in that said second unit consists of an internal server.

Method according to any one of claims 12 to 21, characterized in that said third unit handles communication sessions between one or more different units belonging to said first category and one or olika different units belonging to said second category.

A first computer program product, characterized in that said first computer program product comprises first computer program code which, when executed by a computer unit, enables said computer unit to act as a first computer unit in a system according to any one of claims 1 to 11 or in a method according to any of claims 12 to 22.

A second computer program product, characterized in that said second computer program product comprises second computer program code which, when executed by a computer unit, enables said computer unit to act as a second computer unit in a system according to any one of claims 1 to 11 or in a method according to any of claims 12 to 22.

A third computer program product, characterized in that said third computer program product comprises a third computer program code which, when executed by a computer unit, enables said computer unit to act as a third computer unit in a system according to any one of claims 1 to 11 or in a method according to claims any of claims 12 to 22. 524 254 IS

Computer-readable medium, characterized in that computer program meat according to one or more of claims 23 to 25 is stored on said computer-readable medium. ..,,, .HRS