CN101515937A - 数据通信网络的安全联合 - Google Patents

数据通信网络的安全联合 Download PDF

Info

Publication number
CN101515937A
CN101515937A CNA2009101287224A CN200910128722A CN101515937A CN 101515937 A CN101515937 A CN 101515937A CN A2009101287224 A CNA2009101287224 A CN A2009101287224A CN 200910128722 A CN200910128722 A CN 200910128722A CN 101515937 A CN101515937 A CN 101515937A
Authority
CN
China
Prior art keywords
message
server
clearing house
proxy server
edge proxy
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CNA2009101287224A
Other languages
English (en)
Other versions
CN101515937B (zh
Inventor
J·布彻
G·金姆奇
S·施若夫
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Microsoft Technology Licensing LLC
Original Assignee
Microsoft Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Microsoft Corp filed Critical Microsoft Corp
Publication of CN101515937A publication Critical patent/CN101515937A/zh
Application granted granted Critical
Publication of CN101515937B publication Critical patent/CN101515937B/zh
Expired - Fee Related legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/02—Details
    • H04L12/22—Arrangements for preventing the taking of data from a data transmission channel without authorisation
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Telephonic Communication Services (AREA)
  • Computer And Data Communications (AREA)
  • Communication Control (AREA)

Abstract

提供了用于数据通信网络安全联合的技术。所述技术依照联合模式，采用边缘代理服务器来路由消息。在直接联合模式中，网络的边缘代理服务器被配置成与特定的实体组交换消息，诸如其它网络、服务器、其它设备或用户。在自动联合模式中，边缘代理服务器会接收来自具有有效证书的实体的所有输入消息。在交换所联合模式中，边缘代理服务器将所有输出消息转发到特定的、信任的交换所服务器。

Description

数据通信网络的安全联合
本申请是申请日为2005年5月27日、申请号为200510075862.1、发明名称为“数据通信网络的安全联合”的专利申请的分案申请。
技术领域
所述技术一般涉及数据通信网络，尤其涉及数据通信网络的安全联合。
背景技术
应用程序有时需要建立和管理计算设备之间的会话。会话是在一段时间上发生的计算设备之间的一组交互。举例而言，实时通信应用程序，诸如MICROSOFTMESSENGER或语音IP(“VoIP”)代表用户在通信设备之间建立会话。这些应用程序会使用各种机制建立会话，诸如“Session Initiation Protocol(会话发起协议)”(“SIP”)。SIP是应用层控制协议，设备可以用此来互相发现，以及建立、修改和终止设备之间的会话。SIP是因特网建议的标准。其规范“RFC 3261”可以在<http://www.ietf.org/rfc/rfc3261.txt>上获取。关于事件通知的SIP的扩展“RFC3265”的规范可以在<http://www.ietf.org/rfc/rfc3265.txt>上获取。定位SIP服务器的“RFC 3263”规范可以在<http://www.ietf.org/rfc/rfc3263.txt>上获取。所有这三个规范全部通过引用包含在此。
应用程序会使用SIP和另一个协议一起发送或接收信息。举例而言，应用程序会在会话期间使用SIP和实时传输协议(“RTP”)一起传输实时数据。通过将SIP和其它协议一起使用，应用程序可以建立和管理会话并在会话过程中交换信息。与SIP一起使用来交换信息的协议可以将信息分割成消息。举例而言，一VoIP应用程序可以将长的叙述分割成较短的消息。在会话中交换消息被称为“对话”。SIP会使用较低层的通信层来传输对话消息，诸如传输控制协议/互联网协议(“TCP/IP”)，它通常用于传输和网络层协议。
SIP网络包含作为客户机、服务器或两者皆有参与对话的实体。SIP支持四种类型的实体：用户代理、代理服务器、重定向服务器和注册器。用户代理通过与其它SIP实体交换消息开始和终止会话。用户代理可以是用户代理客户机，它是一般是开始SIP请求的设备(例如，开始会话)，或用户代理服务器，它是一般接收SIP请求和响应这样的请求的设备。作为例子，“IP-电话”、个人数字助理和任何其它类型的计算设备可以是用户代理。设备可以在一个对话中是用户代理客户机，而在另一个会话中是用户代理服务器，或在会话中交换角色。代理服务器是用作对客户机的服务器和对服务器的客户机的实体。这样使得代理服务器在客户机和服务器之间截取、解释或转发消息。代理服务器通过，例如验证消息的发送者和接收者，来作用于网络安全。重定向服务器接收SIP请求并生成SIP响应，所述SIP响应引导发送请求的客户机以联系另外的网络资源。作为例子，重定向服务器会指明在几个设备中哪个是特定的用户当前是可用的。注册器是从SIP客户机接收注册信息并通知定位服务器或其它实体接收到的注册信息的服务器。
SIP支持两种消息类型：从客户机发送到服务器的请求和一般是在响应请求时从服务器发送到客户机的响应。SIP消息包含三个部分。SIP消息的第一部分是“开始线”，包含指示消息类型和协议版本的字段。SIP消息的第二部分包含报头字段，其值表示为名字一值对。SIP消息的第三部分是消息主体，被用于描述要开始的会话或包含与会话相关的数据。消息主题会出现在请求或响应中。
根据SIP消息头部字段的内容来路由这些SIP消息。若要有效，SIP请求应该包含至少以下六个报头字段：To、From、Cseq、Call-D、Max-Forwards和Via。To报头字段表示请求接收方的逻辑身份。From报头字段表示请求发起者的逻辑身份。Max-Forwards报头字段表示在到达其目的地之前请求可以作出的转发的次数。作为例子，如果来自设备A的消息在到达目的地设备C之前通过设备B，该消息被称为作出了两个转发(例如，设备B和C)。Via报头字段表示至今为止请求所采用的路径(例如，请求所经过的设备的网络地址序列)，并表示当路由该响应时应该遵循的路径。报头也会包含Record-Route字段，被用于表示以后的请求和响应应该通过所示的设备路由。在试图在对话中强制子序列消息通过特定设备路由中，网络设备会在转发SIP消息时插入指定设备的Record-Route报头字段。Record-Route报头字段会包含一设备标识符(例如，网络地址)和参数。这些和其它报头字段在上面所引用的SIP规范中描述。
几个组织会每个都提供SIP服务器作为网络资源。这些组织会使它们网络之外的SIP客户机和服务器，例如来自因特网或其它组织，能够连接到它们的SIP服务器以便交换消息。组织会为它的SIP服务器从信任实体获得证书，以使得其它组织能够认证它的SIP服务器发送的消息。SIP服务器会使用诸如传输层安全(“TLS”)等协议在它发送的消息上加上这个证书的指示。
组织会希望将它们的SIP服务器或网络相联合。通过联合它们的SIP服务器或网络，组织使它们网络中的参与者能够与联盟中其它信任组织的SIP服务器通信。作为例子，组织会期望建立应用层虚拟专用网络(“VPN”)以允许组织所执行的应用程序能够安全地与可能位于另一个组织的网络中的SIP服务器通信。使得SIP服务器的管理员能够安全地联合他们的SIP服务器的有效的方法将具有重要的效用。
发明内容
提供了用于安全联合数据通信网络的技术。该技术采用边缘代理服务器根据联合模式来路由消息。在直接联合模式中，网络的边缘代理服务器被配置成与特定的实体组交换消息，所述特定实体组诸如其它网络、服务器、设备或用户。在自动联合模式中，边缘代理服务器会接收来自具有有效证书的实体的所有输入消息。在交换所(Clearing hours)联合模式中，边缘代理服务器转发所有输出的消息到特定的、信任的交换所服务器。
附图说明
图1是示出用于数据通信网络的安全联合的系统的实施例的框图。
图2是示出图1的网络的实施例的框图。
图3是示出图2的边缘代理服务器的实施例的框图。
图4是示出由边缘代理服务器执行的用于处理与另一个联合网络上的设备交换的消息的例行程序的实施例的流程图。
具体实施方式
在一个实施例中，提供了用于数据通信网络安全联合的技术。该技术采用了边缘代理服务器根据联合模式来路由消息。边缘代理服务器是跨两个网络(例如，企业内部互联网和因特网或者两个企业内部互联网)的网络资源，使得边缘代理服务器的网络“之外”的计算设备能够通过边缘代理服务器与边缘代理服务器的网络“之内”的计算设备通信，反之亦然。边缘代理服务器用作代理服务器网络任一边上的计算设备之间的中介。这样，它截取、解释或转发诸如客户机和服务器等实体之间的消息。管理员会选择以几个联合模式中的一个或多个联合具有边缘代理服务器的数据通信网络，所述模式包含直接、自动或交换所。管理员也会选择允许或拒绝其网络之外的计算设备的用户接入边缘代理网络内部的计算设备。
在直接联合模式中，网络的边缘代理服务器被配置成与特定的实体组交换消息，所述特定实体组诸如其它网络、服务器、计算设备或用户。网络的管理员会指定授权实体，诸如服务器或域，用于授权边缘代理服务器以便交换消息。管理员会(“URI”)指定这些实体使用统一的资源标识符。举例而言，管理员会指出允许一合伙者(“PartnerA”)经由其边缘代理服务器“edge.partnera.com”直接联合，并仅授予PartnerA对域“partnera.com”的义务和权限。此配置授权“edge.partnera.com”可以为任何具有匹配模式“<any user>@partnera.com”的URI的用户连接和发送或接收消息。边缘代理服务器也会在认证其网络之外的计算设备方面使用多种认证模式，包含诸如证书、共享密钥、私有交换公/密钥对、Kerberos或其它基于证书的认证。选择由边缘代理服务器使用的认证模型的管理员也会指出将只采用域名服务器(“DNS”)而非其它的认证。这种认证会包含确定当建立连接时是否接收到证书，或在报头字段中显示出现在已撤销证书列表中的到达消息。当使用证书时，会时常自动或手动地更新该已撤销证书列表。认证经授权的实体也会包括确定经授权的实体是否在有效的(例如，经认证)的连接上发送消息。一旦完成了认证和授权检查，边缘代理服务器会忽视所有来自或到达未认证或未授权的实体的消息。当消息从经授权的实体到达时(该消息可能也经过认证)，边缘代理服务器会检查发送该消息的实体或作为该消息接收者的实体是否出现在“拒绝列表”中。举例而言，“X.COM”可能时经授权的实体，而“JOE@X.COM”可能位于拒绝列表中。在这种情况下，来自“SALLY@X.COM”的消息将被接收，但是来自“JOE@X.COM”的消息将被忽略。接着，边缘代理服务器会将未被忽略的消息转发到适当的“下一个中继段”。下一个中继段是消息接下来将被路由至的计算设备。通过管理员配置下一个中继段或查询另一个服务器，边缘代理服务器基于消息报头字段的任一内容来为消息确定下一个中继段，所述服务器诸如与消息的接收方相关联的注册服务器。因此，在直接联合模式中，只可以与指出被管理员授权和可以被认证的实体交换消息。
在自动联合模式中，边缘代理服务器接收来自能够以指示为边缘代理服务器的管理员可接收的方式认证自身的实体的所有输入消息。边缘代理服务器会可使用多种认证方式来认证它们网络之外的计算设备，所述模式诸如证书、共享密钥、私有交换公/密钥对、Kerberos或其它基于证书的认证。举例而言，当实体发送消息给边缘代理服务器时，实体会通过加一证书到所有的消息或提供与连接相关的证书来用边缘代理服务器认证自身。当在经认证的连接上接收到消息之后，边缘代理服务器会选择基于证书接收消息。或者，消息会包含认证在未经认证的连接上的消息的证书。认证会包含通过，例如确定消息中指示的证书是否出现在已撤销的证书列表中(这可以是使得消息或连接无效的指示)来验证证书。这个已撤销证书列表会被时常被自动或手动更新。边缘代理服务器会验证，对消息发送者所指示的URI与实际发送该消息的域相匹配(如用于认证发送实体的证书所标识的那样)。当边缘代理服务器接收到来其网络内的计算设备的输出消息，它会使用DNS的查询服务(“SRV”)机制来发现目标服务器提供哪些服务。这个机制被共同地称为“DNS-SRV”。接着，如果目标服务器提供这样的服务，边缘代理服务器会请求使用互相认证传输层安全(“MTLS”)的到目标服务器的安全会话。自动联合方式也会有拒绝列表，它包含消息被拒绝或消息不能发送至的实体。因此，在自动联合模式中，在真实地接收到或发送了消息之前边缘代理服务器无需知道联合中的其它网络或服务器。
在交换所联合模式中，边缘代理服务器会将所有输出消息转发到特定的、信任的交换所服务器。交换所服务器会将它接收到的消息转发到该消息中指定的接收方处。在一个实施例中，交换所服务器继续在会话中连接的计算设备之间路由消息。在一个实施例中，消息的接收方会直接与发送者建立会话，对会话中后续消息绕过交换所。通过使用交换所，边缘代理服务器无需知道联合中的其它网络或服务器，只需要知道信任的交换所服务器。联合中的网络或服务器会隐含地信任所有由交换所转发的消息的实体。然而，如同自动和直接联合模式，交换所联合模式也有拒绝列表，它包含其消息将被拒绝的实体。在交换所联合模式中，边缘代理可以被简单地配置成通过使用被管理的交换所，用最少的配置与大量的网络交换消息，所述被管理的交换所便利了消息的这个交换。
在交换所联合模式的一个替换实施例中，交换所服务器会表明它可以转发消息至哪个域。这个指示会使得管理员能够允许交换所服务器的子集将消息转发到管理员的边缘代理服务器。
在各种“混合”联合模式中，可以同时采用多种联合模式。举例而言，即使当配置几个直接联合模式合伙者时，可以采用自动联合。边缘代理服务器也会通过动态地增加实体，自动授权附加实体，边缘代理服务器用所增加的实体与授权列表互相作用，使得今后管理员可以改进以增加或删除条目。交换所联合模式也会与直接联合模式一起使用。在这种配置中，边缘代理服务器会直接与授权的实体交换消息，并会采用交换所服务器以认证其它实体。通过指定已知实体和也使得消息能够与较大的实体组交换，系统能够与一大组实体通信，而无需管理员方面的大量人力。
现在转到附图，图1是示出用于安全地联合数据通信网络的系统的实施例的框图。系统可以具有一个或多个客户机102、一个或多个网络104、和连接客户机和诸如因特网等网络114的网络。可以经由网络连接108将客户机连接到因特网上。可以使用各种形式的数据通信链路110把网络104连接到因特网上。客户机可以是，例如，计算机、蜂窝电话或其它连接到因特网的设备。网络可以是，例如，企业内部互联网。也可以使用专用数据通信链路112将客户机直接连接到网络上。相似地，可以使用专用数据通信链路112直接将网络连接到其它网络上。系统也可以具有经由数据通信链路118连接到因特网上的交换所116。也可以将因特网连接到各种其它的计算设备上(未示出)。这里所描述的连接可以是物理的、无线的和实际上是任何形式的数据通信网络连接。
图2是示出图1的网络的实施例的框图。网络200包含一个或多个客户机202、一服务器204、一目录服务器206、指挥站208、DNS 210和边缘代理服务器212。网络也可以包含其它的设备(未示出)。所示的网络设备(和那些未示出的)可以经由与网络200相关联的数据通信网络互相连接。客户机202和服务器204可以执行各种活动，包括交换SIP消息。目录服务器206可以为设备、用户和其它网络资源提供定位服务。举例而言，目录服务可以是ACTIVE DIRECTORY服务。指挥站208执行各种服务器相关的功能，包含例如将客户机重定向到客户机关联的一服务器或一服务器池、记录网络信息量认证从不是该网络一部分的计算设备连接到该网络的用户。DNS具有将网络资源名称(例如设备名称)映射到网络位置(例如IP地址)的数据库。网络设备可以使用DNS来将“友好的”设备名称解析成设备可以用来路由消息的网络地址。边缘代理服务器212被同时连接到网络200(“内部”网络)和“外部”网络，例如因特网(未示出)。当客户机希望开始到服务器的会话，边缘代理可以，例如确定是否应该开始该会话和应该使用哪个通信链路。
图3是示出与图2的边缘代理服务器相关的组件的实施例的框图。所述组件包含传输组件302、DNS-SRV组件304、路由组件306和列表组件308。边缘代理服务器接收输入消息(即，从“外部”网络到达的消息)并转发输出消息(即，到“外部”网络的消息)。边缘代理服务器在执行各种与消息相关的操作后，将输入或输出消息转发到下一个中继段(即，消息接下来被路由至的设备)。这些操作可以包含验证消息是否从消息报头字段所示的服务器接收，确定消息的发送者是否被授权发送消息到边缘代理服务器的网络，并确定消息接下来应该被路由至哪个设备。这些操作是通过或使用网络和代理服务器的各种组件执行的，所述组件诸如传输组件302、路由组件306、域名服务查询服务组件306和列表组件308。
传输组件302建立与计算设备的会话，边缘代理服务器与此计算设备交换消息。举例而言，传输组件会建立与发送消息到网络中的计算设备的MTLS连接。传输组件也会控制它建立的与其它计算设备的会话或连接的数目，使得保护边缘代理服务器免于，例如“拒绝服务攻击”(恶意的用户或设备的攻击)，以防止边缘代理服务器实现其指定的功能。传输组件也可以验证出现在来自网络之外的设备的消息中的证书-或当与网络之外的设备建立连接时接收到的消息中的证书不出现在无效证书列表上。传输组件也可以将它自己的证书加入到消息中，系统将所述消息转发到网络之外的设备上或与这样的设备建立连接。
路由组件306基于消息报头字段的内容确定是否应该转发输入消息和输出消息。路由组件通过确定消息的发送者的URI是否与认证信息和其它包含在消息报头中的信息相匹配来验证输入消息。无论边缘代理服务器是运作在直接、自动或混合联合模式中，路由组件确定发送方或接收方的实体(或实体的域)是否出现在授权实体或域的列表中。当边缘代理服务器在自动联合模式(或包含自动联合模式的混合联合模式)中运作时，路由组件也会确定URI的域名是否与包含在消息报头中的其它信息相匹配。
路由组件也根据消息报头字段的内容验证输出消息。当运作在直接联合模式中时，路由机制确定为输出消息所示的域是否经授权。如果该域未经授权，路由组件忽略该消息或返回一响应消息，指出该域未经授权。当运行于自动联合模式中，路由组件首先检查消息中所示的目标实体的域是否经授权。如果该域未经授权，消息会被传递到DNS-SRV组件以确定是否可以转发该消息。如果DNS-SRV组件不能定位合适的实体以接收该消息，这个消息可能不被转发。
域名服务查询服务组件(“DNS-SRV”)304为消息确定目标服务器。可以为输出消息采用这个组件来确定如何路由消息。当DNS-SRV组件不能确定将消息路由到哪个服务器时，该组件会忽略该消息或返回表示失败的响应消息。不能定位路由该消息所至的服务器可以是表示消息被指定至未经授权的服务器。DNS-SRV组件获取一组服务器，可以通过查询DNS服务器将消息路由至所述服务器。当传输组件请求查询以基于例如URI为消息指示一服务器时，DNS-SRV组件执行这个查询。接着，传输组件会试图发送该消息到所示的服务器。如果传输组件不能联系所示的服务器，传输组件会请求DNS-SRV组件提供一替换服务器。这个过程会被重复直至DNS-SRV组件识别出传输组件能够联系的服务器。或者，DNS-SRV组件向传输组件提供一服务器列表，传输组件独立地重复经过该列表直至传输组件定位到它能联系的服务器。当边缘代理服务器运作在直接连接模式中，DNS-SRV组件可能无需执行这些步骤，因为会明确地指出服务器地址。
列表组件308会具有边缘服务器将与其交换消息的实体(“接收列表”)和边缘服务器将不与其交换消息的实体(“拒绝列表”)的关联列表。这些列表会存储在与边缘代理服务器相关联或连接到边缘代理服务器的存储设备中，诸如硬盘驱动器、随机存取存储器或连接的文件服务器(未示出)。在一实施例中，系统会在参考拒绝列表(即，包含未经授权的实体)之间参考接收列表(即，包含经授权的实体)。在一个替换实施例中，系统会以倒序检查列表。当一实体同时出现在两个列表中时，首先检查哪个列表会具有不同的结果。举例而言，如果一实体同时出现在两个列表上且首先检查拒绝列表，来自该实体的消息会不被接收即使后来该实体被加入到接收列表中。
列表会包含使用支持搜索的多种方案所指定的实体。举例而言，管理员会能够使用全称域名、IP地址、DNS-SRV查询和其它通常采用指示服务器或域的方法来指定实体。列表中的信息会使用表达式示出。举例而言，管理员会指出所有以“MICROSOFT.COM”结尾的域是经授权的。列表组件会使用模式搜索机制在列表中搜索实体。这种模式会包含通配符。举例而言，“*.MICROSOFT.COM”会是所有来自或去到以“MICROSOFT.COM”结尾的域的消息是经授权的指示。
经授权和未经授权实体的组合可以被用于使域中特定的实体能够发送或接收消息。举例而言，“*.x.com”会指示以“x.com”结尾的所有的域是未经授权的，但是“ceo.x.com”会是经授权的。在这种情况下，除了来自或去到“ceo.x.com”的消息之外，所有来自或去到具有域“x.com”的任何实体的消息将被忽略。
系统会使用这些组件以确定是否和怎样以多种方式路由输出消息。系统会首先确定将接收消息的实体是否在经授权的域中。如果它在未经授权的域中，系统会确定该实体是否出现在经授权的实体列表中。举例而言，“X.COM”域会是未经授权的，而“CEO.X.COM”实体是经授权的。如果该域不是未经授权(和未经明确地授权)，系统会联系DNS以确定如何路由该消息。如果对于接收方没有DNS条目，系统会联系交换所以路由该消息。或者，系统会发送消息给信任方，所述信任方会独立地知道如何路由消息(例如，“默认的”路由)。
边缘代理服务器也会强制与公司商业模式相关的授权逻辑以路由消息。举例而言，边缘代理服务器会被配置成使得一些用户和设备能够交换SIP消息而非其它消息。该授权逻辑可以使用任一或所有的联合模式来授权和路由消息。作为进一步的例子，边缘代理服务器首先会尝试直接联合路由。如果那个失败，边缘代理服务器接着会尝试自动联合路由。如果那两种联合路由机制都不能使得消息被转发，边缘代理服务器会使用交换所联合模式，其中交换所被指明为“默认的”路由。
图4是示出由边缘代理服务器执行的用于处理与另一个联合网络上的设备交换的信息的例行程序的实施例的流程图。举例而言，例行程序会授权、认证和转发与两个设备之间的会话相关的消息，所述两个设备的每个耦合到不同的网络上。例行程序在块502处开始，其中它接受一消息作为参数。在块504处，例行程序确定消息是否从内部服务器接收。如果消息是从内部服务器接收，例行程序在块506处继续。否则，例行程序在块514处继续。在块506处，例行程序确定消息是请求还是响应。如果消息是一请求，例行程序在块508处继续。否则，例行程序在块512处继续。在块508处，例行程序确定发送方或接收方是否被授权。如果是的话，例行程序验证来自消息的Route报头字段，签署Record-Route和Via报头字段并转发该请求。签署Record-Route和Via报头字段使得设备能够信任它们接收到的以后的消息中使用Route或Via报头用于路由的消息报头。
在块512处，例行程序确定响应中所指示的发送者或接收者是否经授权。如果是的话，例行程序根据所签署的响应的Via报头字段来路由该响应。
在块514处，例行程序确定消息是请求还是响应。如果消息是一请求，例行程序在块516处继续。否则，例行程序在块518处继续。在块516处，例行程序认证请求将被转发至的服务器。如果该服务器是经认证的，例行程序验证From和ToURI报头字段。如果这些报头字段是有效的，例行程序将该消息转发到下一中继段。
在块518处，例行程序验证消息的Via报头字段。如果这些字段是有效的，例行程序将该响应转发至服务器。
例行程序在块510处返回到其调用程序。
虽然这里所讨论的特定例子使用SIP，然而替换实施例可以使用其它等价或相似的协议。
用于实现数据通信网络安全联合的系统的计算设备可以包含一中央处理单元、存储器、输入设备(例如键盘和定位设备)、输出设备(例如显示设备)和存储设备(例如磁盘驱动器)。存储器和存储设备是计算机可读介质，它们可以包含实现所述系统的指令。此外，数据结构和消息结构会经由数据传输介质被存储或发送，诸如在通信链路上的信号。可以使用各种通信链路，诸如因特网、局域网、广域网或点对点拨号连接。
图1示出了合适的操作环境的例子，其中可以实现用于数据通信网络安全联合的系统。该操作环境仅仅是合适的操作环境的一个例子，而不是意在对本系统的使用范围或功能作出任何限制。其它可以适用的众知的计算系统、环境和配置包含个人计算机、服务器计算机、手持或膝上设备包括“智能”蜂窝电话、多处理器系统、基于微处理器的系统、可编程消费电子产品、网络PC、小型机、大型机、包含任何上述系统或设备的分布式计算环境等等。
用于数据通信网络安全联合的系统可以被大体上描述为一个或多个计算机和其它设备执行的计算机可执行指令，诸如程序模块。一般地，程序模块包含执行特定任务或实现特定抽象数据类型的例行程序、程序、对象、组件、数据结构等等。典型地，程序模块的功能可以如在各种实施例中所期望的被组合或分布。
如上所述，应该理解这里所描述的本发明的特定实施例意在说明，可以作出不背离本发明的精神的范围的各种修改。相应地，除了所附的权利要求书的限制之外，本发明不是受限的。

Claims (15)

1.一种由具有中央处理单元的边缘代理服务器执行的用于以交换所联合模式联合网络的方法，所述方法包括：
接收信任的实体的列表；
由所述中央处理单元接收来自一发送计算设备的消息，所述消息指示出一接收方；
在接收到来自所述发送计算设备的所述消息时，
判断所述消息所指示出的所述接收方是否与所接收的列表所指定的一信任的实体相关联；
如果所述消息所指示出的所述接收方与所接收的列表所指定的一信任的实体相关联，则将与所述信任的实体相关联的一计算设备标识为用于所接收到的消息的下一中继段，并将所述消息转发到所标识的与所述信任的实体相关联的计算设备；
如果所述消息所指示出的所述接收方不与所接收的列表所指定的一信任的实体相关联，则将所接收到的消息转发到交换所服务器，使得所述交换所服务器能够标识用于所述消息的下一中继段，从而所述消息能够被转发到所述消息中所指定的所述接收方，所述下一中继段标识出所述消息将被接着路由到的一计算设备，所述交换所服务器配置成允许网络的联合。
2.如权利要求1所述的方法，其特征在于，包括验证所述消息是在一有效连接上接收到的。
3.如权利要求1所述的方法，其特征在于，所接收到的消息的报头字段包括一数字证书。
4.如权利要求1所述的方法，其特征在于，还包括使用会话发起协议在所接收的消息的发送方和所接收的消息中所指定的接收方之间建立会话。
5.如权利要求4所述的方法，其特征在于，会话发起协议会话中的后续消息通过所述交换所服务器。
6.如权利要求4所述的方法，其特征在于，会话发起协议会话中的后续消息通过所述边缘代理服务器而不通过所述交换所服务器。
7.如权利要求1所述的方法，其特征在于，所述边缘代理服务器信任它从所述交换所服务器接收的消息，并因此不检查它从所述交换所服务器接收的该消息是否包括数字证书。
8.如权利要求1所述的方法，其特征在于，如果所述消息所指示出的所述接收方不与所接收的列表所指定的一信任的实体相关联，则将所述交换所服务器标识为用于所接收到的消息的下一中继段，并将所述消息转发到所述交换所服务器。
9.如权利要求1所述的方法，其特征在于，所述交换所服务器指示出它能将消息转发到哪些域。
10.如权利要求9所述的方法，其特征在于，还包括接收能从中接收消息的交换所服务器的列表，并忽略不是从所列出的交换所服务器之一接收的任何消息。
11.一种具有中央处理单元的用于以交换所联合模式联合网络的边缘代理服务器，所述边缘代理服务器包括：
处理器和存储器；
配置成接收来自一发送计算设备的消息的组件，所述消息指示出一接收方；以及
配置成将所接收到的消息转发到一交换所服务器的组件，使得所述交换所服务器能够标识用于所述消息的下一中继段，从而所述消息能够被转发到所述消息中所指定的所述接收方，所述下一中继段标识出所述消息将被接着路由到的一计算设备，所述交换所服务器配置成允许网络的联合。
12.如权利要求11所述的边缘代理服务器，其特征在于，还包括配置成建立与一计算设备的会话的传输组件，所述边缘代理服务器与所述计算设备交换消息。
13.如权利要求12所述的边缘代理服务器，其特征在于，所述传输组件控制它所建立的与所述计算设备的会话，所述边缘代理服务器与所述计算设备交换消息。
14.如权利要求11所述的边缘代理服务器，其特征在于，还包括配置成根据所接收到的消息的报头字段确定是否应转发所接收到的消息的路由组件。
15.如权利要求14所述的边缘代理服务器，其特征在于，所述路由组件根据一联合模式的指示来确定是否应转发所接收到的消息，所述边缘代理服务器配置成以所述联合模式操作。
CN200910128722.4A 2004-05-27 2005-05-27 数据通信网络的安全联合 Expired - Fee Related CN101515937B (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
US10/856,259 US7506369B2 (en) 2004-05-27 2004-05-27 Secure federation of data communications networks
US10/856,259 2004-05-27

Related Parent Applications (1)

Application Number Title Priority Date Filing Date
CN2005100758621A Division CN1703028B (zh) 2004-05-27 2005-05-27 数据通信网络的安全联合

Publications (2)

Publication Number Publication Date
CN101515937A true CN101515937A (zh) 2009-08-26
CN101515937B CN101515937B (zh) 2014-08-20

Family

ID=34939777

Family Applications (2)

Application Number Title Priority Date Filing Date
CN200910128722.4A Expired - Fee Related CN101515937B (zh) 2004-05-27 2005-05-27 数据通信网络的安全联合
CN2005100758621A Expired - Fee Related CN1703028B (zh) 2004-05-27 2005-05-27 数据通信网络的安全联合

Family Applications After (1)

Application Number Title Priority Date Filing Date
CN2005100758621A Expired - Fee Related CN1703028B (zh) 2004-05-27 2005-05-27 数据通信网络的安全联合

Country Status (7)

Country Link
US (2) US7506369B2 (zh)
EP (2) EP2088745B1 (zh)
JP (2) JP4738060B2 (zh)
KR (1) KR101120800B1 (zh)
CN (2) CN101515937B (zh)
AT (1) ATE437515T1 (zh)
DE (1) DE602005015511D1 (zh)

Families Citing this family (47)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP1319281B1 (en) * 2000-09-11 2007-05-09 TransNexus, Inc. Clearinghouse server for internet telephony and multimedia communications
US20040093419A1 (en) * 2002-10-23 2004-05-13 Weihl William E. Method and system for secure content delivery
US8473620B2 (en) * 2003-04-14 2013-06-25 Riverbed Technology, Inc. Interception of a cloud-based communication connection
US7506369B2 (en) * 2004-05-27 2009-03-17 Microsoft Corporation Secure federation of data communications networks
US7636841B2 (en) 2004-07-26 2009-12-22 Intercall, Inc. Systems and methods for secure data exchange in a distributed collaborative application
US7502923B2 (en) * 2004-09-16 2009-03-10 Nokia Corporation Systems and methods for secured domain name system use based on pre-existing trust
US7653812B2 (en) * 2004-12-09 2010-01-26 Microsoft Corporation Method and system for evaluating confidence in a sending domain to accurately assign a trust that a communication is not unwanted
CN100486210C (zh) * 2005-01-05 2009-05-06 国际商业机器公司 Sip网络中的拓扑发现方法和系统
US8223926B2 (en) * 2005-02-11 2012-07-17 Cisco Technology, Inc. Resilient registration with a call manager
US20060259602A1 (en) * 2005-05-12 2006-11-16 Randall Stewart Method and apparatus for transport level server advertisement and discovery
US8613071B2 (en) * 2005-08-10 2013-12-17 Riverbed Technology, Inc. Split termination for secure communication protocols
US8478986B2 (en) * 2005-08-10 2013-07-02 Riverbed Technology, Inc. Reducing latency of split-terminated secure communication protocol sessions
US8438628B2 (en) * 2005-08-10 2013-05-07 Riverbed Technology, Inc. Method and apparatus for split-terminating a secure network connection, with client authentication
US20090083537A1 (en) * 2005-08-10 2009-03-26 Riverbed Technology, Inc. Server configuration selection for ssl interception
US9438570B2 (en) * 2006-02-10 2016-09-06 Fair Isaac Corporation Consumer-driven secure sockets layer modulator
US8782393B1 (en) 2006-03-23 2014-07-15 F5 Networks, Inc. Accessing SSL connection data by a third-party
US20070300304A1 (en) * 2006-06-26 2007-12-27 Nokia Corporation SIP washing machine
EP2054830A2 (en) * 2006-08-17 2009-05-06 Neustar, Inc. System and method for managing domain policy for interconnected communication networks
US8234702B2 (en) * 2006-08-29 2012-07-31 Oracle International Corporation Cross network layer correlation-based firewalls
US8181227B2 (en) * 2006-08-29 2012-05-15 Akamai Technologies, Inc. System and method for client-side authenticaton for secure internet communications
JP4470934B2 (ja) * 2006-10-20 2010-06-02 日本電気株式会社 プロキシ・サーバ、通信システム、通信方法及びプログラム
US7797435B2 (en) * 2007-01-31 2010-09-14 Hewlett-Packard Development Company, L.P. Foregoing user credential collection if sending system is in an unauthenticated mutually exclusive connection state
CN101257704B (zh) * 2007-02-27 2010-07-07 华为技术有限公司 中继网络中的联合方法、系统、中继站及移动台
US8670408B2 (en) 2007-02-27 2014-03-11 Huawei Technologies Co., Ltd. Method and system for association in relay network
US20100031337A1 (en) * 2007-04-09 2010-02-04 Certeon, Inc. Methods and systems for distributed security processing
US8347358B2 (en) * 2007-06-25 2013-01-01 Microsoft Corporation Open enhanced federation security techniques
US8447847B2 (en) * 2007-06-28 2013-05-21 Microsoft Corporation Control of sensor networks
US8949325B1 (en) * 2007-06-29 2015-02-03 Symantec Corporation Dynamic discovery and utilization of current context information
US8490160B2 (en) * 2007-10-04 2013-07-16 Microsoft Corporation Open federation security techniques with rate limits
US8745400B2 (en) * 2008-01-07 2014-06-03 Siemens Enterprise Communications Gmbh & Co. Kg Method for authenticating key information between terminals of a communication link
US8407362B2 (en) * 2008-03-28 2013-03-26 Oracle International Corporation Auto-discovery based item(s) sharing, including sender pushing and recipient approval
US8631134B2 (en) * 2008-07-30 2014-01-14 Visa U.S.A. Inc. Network architecture for secure data communications
US8011002B1 (en) * 2008-10-28 2011-08-30 Sprint Communications Company L.P. Forcing a mobile browser to access web content through a proxy
US8707043B2 (en) * 2009-03-03 2014-04-22 Riverbed Technology, Inc. Split termination of secure communication sessions with mutual certificate-based authentication
US8880103B2 (en) 2009-10-12 2014-11-04 Qualcomm Incorporated Method and apparatus for transmitting indoor context information
US8700892B2 (en) 2010-03-19 2014-04-15 F5 Networks, Inc. Proxy SSL authentication in split SSL for client-side proxy agent resources with content insertion
US8761160B2 (en) * 2010-06-25 2014-06-24 Acme Packet, Inc. Service path routing between session border controllers
US8739244B1 (en) 2011-06-07 2014-05-27 Riverbed Technology, Inc. Configuring and authenticating WAN optimization devices for accessing content delivery networks
US8782395B1 (en) 2011-09-29 2014-07-15 Riverbed Technology, Inc. Monitoring usage of WAN optimization devices integrated with content delivery networks
US9154568B2 (en) * 2012-03-20 2015-10-06 Facebook, Inc. Proxy bypass login for applications on mobile devices
US9672574B2 (en) 2012-03-20 2017-06-06 Facebook, Inc. Bypass login for applications on mobile devices
US9590884B2 (en) 2013-07-03 2017-03-07 Facebook, Inc. Native application hotspot
US20160021143A1 (en) * 2014-07-21 2016-01-21 David Browning Device federation
CN107306251B (zh) * 2016-04-20 2020-03-17 中国移动通信有限公司研究院 一种信息认证方法及网关设备
CN116232667A (zh) 2018-07-13 2023-06-06 三星电子株式会社 用于边缘计算服务的方法及其电子装置
WO2020204269A1 (ko) * 2019-03-29 2020-10-08 삼성전자 주식회사 엣지 컴퓨팅 서비스를 위한 방법 및 그의 전자 장치
US20240187411A1 (en) * 2022-12-04 2024-06-06 Asad Hasan Human system operator identity associated audit trail of containerized network application with prevention of privilege escalation, online black-box testing, and related systems and methods

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6463474B1 (en) * 1999-07-02 2002-10-08 Cisco Technology, Inc. Local authentication of a client at a network device
EP1251670A2 (en) * 2001-04-19 2002-10-23 Microsoft Corporation Negotiating secure connections through a proxy server
CN1745356A (zh) * 2002-03-18 2006-03-08 特伦诺有限公司 单一签名安全服务访问

Family Cites Families (35)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
FR2545646B1 (fr) * 1983-05-03 1985-12-27 Thomson Csf Klystron amplificateur de puissance apte a alimenter une charge variable
JPH10247946A (ja) * 1997-03-03 1998-09-14 Nippon Telegr & Teleph Corp <Ntt> ネットワーク接続方式および方法ならびにネームサーバ
US6842863B1 (en) * 1999-11-23 2005-01-11 Microsoft Corporation Certificate reissuance for checking the status of a certificate in financial transactions
US6421674B1 (en) * 2000-02-15 2002-07-16 Nortel Networks Limited Methods and systems for implementing a real-time, distributed, hierarchical database using a proxiable protocol
US6850979B1 (en) * 2000-05-09 2005-02-01 Sun Microsystems, Inc. Message gates in a distributed computing environment
US20030041110A1 (en) * 2000-07-28 2003-02-27 Storymail, Inc. System, Method and Structure for generating and using a compressed digital certificate
JP3852276B2 (ja) 2000-09-08 2006-11-29 富士ゼロックス株式会社 ネットワーク接続制御方法および装置
JP2002152279A (ja) * 2000-11-10 2002-05-24 Sony Corp ネットワーク接続制御装置及びその方法
KR100352126B1 (ko) * 2000-11-22 2002-09-12 엘지전자 주식회사 계층 2에서의 네트워크 보안방법
US20020116637A1 (en) * 2000-12-21 2002-08-22 General Electric Company Gateway for securely connecting arbitrary devices and service providers
US6865681B2 (en) * 2000-12-29 2005-03-08 Nokia Mobile Phones Ltd. VoIP terminal security module, SIP stack with security manager, system and security methods
US20020103850A1 (en) * 2001-01-31 2002-08-01 Moyer Stanley L. System and method for out-sourcing the functionality of session initiation protocol (SIP) user agents to proxies
JP2002247111A (ja) 2001-02-20 2002-08-30 Mcm Japan Kk 不正アクセス防止方法及びセキュリティ管理装置及びゲートウェイ装置及び端末装置
US7529359B2 (en) 2001-03-20 2009-05-05 Verizon Business Global Llc Caller treatment in a SIP network
US6959336B2 (en) 2001-04-07 2005-10-25 Secure Data In Motion, Inc. Method and system of federated authentication service for interacting between agent and client and communicating with other components of the system to choose an appropriate mechanism for the subject from among the plurality of authentication mechanisms wherein the subject is selected from humans, client applications and applets
EP1382216A1 (en) * 2001-04-25 2004-01-21 Nokia Corporation Authentication in a communication system
JP2003023466A (ja) 2001-07-09 2003-01-24 Sanaru:Kk 有害サイトアクセス防止用インターネットサービスプロバイダ
JP2003132020A (ja) 2001-10-26 2003-05-09 Cyber Sign Japan Inc アクセス制御装置及び認証装置及びそれらに関連する装置
WO2003054719A1 (en) * 2001-12-19 2003-07-03 Secluda Technologies, Inc. Message processor
JP3797937B2 (ja) 2002-02-04 2006-07-19 株式会社日立製作所 ネットワーク接続システム、ネットワーク接続方法、および、それらに用いられるネットワーク接続装置
US7596600B2 (en) * 2002-03-28 2009-09-29 Quine Douglas B System for selective delivery of electronic communications
JP4001768B2 (ja) * 2002-05-07 2007-10-31 西日本電信電話株式会社 構内電話交換システム、端末及びサーバ
JP2004040476A (ja) 2002-07-03 2004-02-05 Mitsubishi Electric Corp アドレス変換装置
US20040128542A1 (en) * 2002-12-31 2004-07-01 International Business Machines Corporation Method and system for native authentication protocols in a heterogeneous federated environment
CN1757217B (zh) * 2003-02-28 2010-12-22 西门子公司 用于在wlan网络中传输数据的方法
GB0306863D0 (en) * 2003-03-25 2003-04-30 Nokia Corp Service provisioning in a communication system
US7313131B2 (en) * 2003-04-22 2007-12-25 Nortel Networks Limited Processing of communication session request messages
US7424006B1 (en) * 2004-04-19 2008-09-09 Sprint Communications Company L.P. Methods and systems for prioritized message processing
US8024476B2 (en) * 2004-05-21 2011-09-20 Microsoft Corporation Efficient message routing when using server pools
US7506369B2 (en) 2004-05-27 2009-03-17 Microsoft Corporation Secure federation of data communications networks
US7962623B2 (en) * 2004-06-30 2011-06-14 Microsoft Corporation Sustaining session connections
US7475249B2 (en) * 2005-01-31 2009-01-06 Xerox Corporation System and method for providing S/MIME-based document distribution via electronic mail mechanisms
US7536481B2 (en) * 2005-02-25 2009-05-19 Microsoft Corporation Method and system for re-synchronizing end points when an intermediary detects that the end points may be unsynchronized
JP2007267086A (ja) * 2006-03-29 2007-10-11 Nec Access Technica Ltd Ｓｉｐアダプタ装置
US20080091610A1 (en) * 2006-10-03 2008-04-17 Goodstorm, Inc. Fully-embedded commercial transaction using an unobtrusive presentation without click-through

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6463474B1 (en) * 1999-07-02 2002-10-08 Cisco Technology, Inc. Local authentication of a client at a network device
EP1251670A2 (en) * 2001-04-19 2002-10-23 Microsoft Corporation Negotiating secure connections through a proxy server
CN1745356A (zh) * 2002-03-18 2006-03-08 特伦诺有限公司 单一签名安全服务访问

Also Published As

Publication number Publication date
US7506369B2 (en) 2009-03-17
EP2088745B1 (en) 2013-11-27
US8112796B2 (en) 2012-02-07
KR101120800B1 (ko) 2012-03-23
ATE437515T1 (de) 2009-08-15
CN1703028B (zh) 2011-01-26
EP1601159B1 (en) 2009-07-22
JP2005348402A (ja) 2005-12-15
CN101515937B (zh) 2014-08-20
EP2088745A1 (en) 2009-08-12
JP4738060B2 (ja) 2011-08-03
CN1703028A (zh) 2005-11-30
JP4778571B2 (ja) 2011-09-21
DE602005015511D1 (de) 2009-09-03
JP2009219129A (ja) 2009-09-24
US20050265327A1 (en) 2005-12-01
KR20060046066A (ko) 2006-05-17
US20090164664A1 (en) 2009-06-25
EP1601159A1 (en) 2005-11-30

Similar Documents

Publication Publication Date Title
CN1703028B (zh) 数据通信网络的安全联合
US6842449B2 (en) Method and system for registering and automatically retrieving digital-certificates in voice over internet protocol (VOIP) communications
KR101366628B1 (ko) 트러스티드 컨텍스트 통신을 제공하는 방법 및 시스템
JP2005538434A (ja) 連携型（フェデレーテッド）環境におけるユーザ判定による認証のための方法およびシステム
JP2004523828A (ja) セッション開始プロトコル（ｓｉｐ）を使用してネットワーク対応機器と通信するシステムおよび方法
CA2551263A1 (en) Method and apparatus for verifying encryption of sip signalling
WO2004045144A1 (en) System and method for add-on services, secondary authentication, authorization and/or secure communication for dialog based protocols and systems
KR101326403B1 (ko) 위임 오퍼레이션 수행을 위한 시스템 및 방법
Gurbani et al. Domain certificates in the session initiation protocol (SIP)
Pimenidis et al. Web services security evaluation considerations
Çamtepe Kerberos based security system for session initiation protocol
Polk et al. SIP H. Tschofenig Internet-Draft Siemens Expires: January 10, 2005 J. Peterson NeuStar, Inc.
Chavali Implementing Role-Based Authorization Capabilities in Session Initiation Protocol (SIP)
Pimenidis et al. Web services security–Implementation and evaluation issues
Ono et al. Implementation Agreement for SIP Signalling Security for GMI 2004
Polk et al. SIP H. Tschofenig Internet-Draft Siemens Expires: January 19, 2006 J. Peterson NeuStar, Inc.
INFRASTRUCTURE DIRECTORY PROFILE
Molanus Virtual Communities in the IMS Network

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
C14 Grant of patent or utility model
GR01 Patent grant
ASS Succession or assignment of patent right

Owner name: MICROSOFT TECHNOLOGY LICENSING LLC

Free format text: FORMER OWNER: MICROSOFT CORP.

Effective date: 20150505

C41 Transfer of patent application or patent right or utility model
TR01 Transfer of patent right

Effective date of registration: 20150505

Address after: Washington State

Patentee after: MICROSOFT TECHNOLOGY LICENSING, LLC

Address before: Washington State

Patentee before: Microsoft Corp.

CF01 Termination of patent right due to non-payment of annual fee

Granted publication date: 20140820