CN107040508A - 用于适配终端设备的授权信息的设备和方法 - Google Patents

Abstract

本发明涉及用于适配终端设备的授权信息的设备和方法。提出一种用于适配终端设备的授权信息的设备。该设备具有：用于与终端设备通信的通信单元，其中该通信单元被设立用于在使用加密协议的情况下执行该通信作为测试通信；用于检验该加密协议在终端设备上的配置的检验单元；和用于基于检验的结果适配终端设备的授权信息的控制单元。此外提出一种用于适配终端设备的授权信息的方法。所提出的设备实现检验加密协议中的由终端设备支持的选项。该检验在此尤其可以经由被加密的通信连接进行，该通信连接不能被防火墙监控。

Description

用于适配终端设备的授权信息的设备和方法

技术领域

本发明涉及一种用于适配终端设备的授权信息的设备。此外，本发明涉及一种网络系统，该网络系统具有至少一个终端设备以及至少一个这样的设备。另外，本发明涉及一种用于适配终端设备的授权信息的方法。

背景技术

用于鉴权和密钥协商的安全协议用于对通信伙伴鉴权并且协商用于密码地保护随后传输的有用数据的密码会话密钥。鉴权在此可以单方地或双方地进行或必要时甚至取消，其中通信伙伴未鉴权地或者匿名地相互通信。

经常商定共同的密码套件（Cipher Suite），该密码套件限定能够应用于密码地保护有用数据的选项。该密码套件例如可以限定密码算法、密钥长度、块密钥的运行模式或其他安全服务、诸如消息完整性。在此情况下，经常使用基于证书的鉴权，在所述基于证书的鉴权中必须检验数字证书。在实践中所使用的协议、如SSL、TLS、IKEv2支持大量用于经由密码套件进行鉴权和密钥协商的选项。

由于密码套件得到广泛支持，然而在系统中也形成薄弱环节，因为还支持了具有当时已变为已知的弱点的算法。

因此期望防止使用弱的选项。

鉴权和密钥协商所涉及的终端节点为此例如自己可以使用固定的或可配置的准则或策略。节点在此自己检查哪些选项是允许的。如下配置被商定，该配置被两个节点支持。不过在此情况下必须在大量节点上设立相应的策略。

尤其在具有大量节点的物联网应用场景中，这与高耗费相联系并且有错误配置的危险。尤其是，节点可能具有用于改变配置设定的不同的输入方法和格式，或可能不提供接口，以便通过可配置的策略规定允许的选项。也存在如下危险：固件更新改变所支持的选项。因此在每个单独的节点上设立相应的策略是复杂的且易出错的。

发明内容

在此背景下，本发明的任务在于，以简单的方式检验终端设备所支持的协议的选项并且相应地适配终端设备的通信。

因此，提出一种用于适配终端设备的授权信息的设备。该设备具有：用于与终端设备通信的通信单元，其中该通信单元被设立用于在使用加密协议的情况下执行通信作为测试通信；用于检验加密协议在终端设备上的配置的检验单元；和用于基于检验的结果适配终端设备的授权信息的控制单元。

相应的单元、例如检验单元或控制单元可以以硬件技术和/或以软件技术来实施。在以硬件技术实施的情况下，相应的单元可以被构造为设备或设备的一部分，例如被构造为计算机或微处理器。在以软件技术实施的情况下，相应的单元可以被构造为计算机程序产品、功能、例程、程序代码的一部分或可实施的对象。

在网络中，使用网络中间节点、如防火墙，以便实现在网路系统之内的终端设备与外部网络节点、例如在网络系统之外的网络节点的通信。不过，这些防火墙在被加密的连接的情况下不能一直检验针对在各个设备或终端设备之间的该连接所商定的用于该被加密的连接的选项。

通过所提出的设备可能的是，事先检验加密协议的应当被用于一个终端设备与另一终端设备的通信的配置。这意味着：在进行实际通信之前，通过通信单元执行测试通信。该测试通信对应于利用加密协议的、如也将与另一外部终端设备例如经由防火墙执行的通信。

在该测试通信期间，检验单元可以检验通过终端设备使用加密协议的哪个配置。在连接建立或连接建立尝试中，所检验的终端设备传送关于所支持的选项或加密协议的配置的信息。该检验单元可以将所传送的信息与预先给定的信息比较。例如，检验单元可以检验所传送的信息与预先给定的策略是否一致或者一致到何种程度。

基于该检验的结果，控制单元可以适配终端设备的授权信息。在此上下文中的适配不仅可以包含改变授权信息而且可以包含不改变授权信息。授权信息尤其可以定义：该终端设备针对何些通信类型或与哪些通信伙伴被允许。

在一种实施方式中该设备可以被集成在防火墙中。在此情况下，该设备可以不仅与内部终端设备而且与外部服务器建立测试通信。这意味着，该设备在该实施方式中可以在内部和在外部执行检验。

根据一种实施方式，加密协议是传输层安全（TLS）协议或者安全套接层（SSL）协议。

TLS或前身SSL是安全协议，该安全协议被使用在互联网中，例如被使用在网上购物或网上银行中，以便保证安全的数据传输。这些协议也被使用在大量的工业现场设备、诸如诊断接口或者控制通信上。

根据另一实施方式，控制单元被设立用于基于所适配的授权信息输出警告信号。

如果检验单元识别出：加密协议的不安全的或不允许的选项被终端设备支持，则可以例如向系统管理员或中央单元输出警告信号。该警告信号可以包含关于所适配的授权信息和/或由终端设备所使用的配置的信息。借助该警告信号可以在网络之内、例如甚至直接在终端设备处进行另外的适配。因此，可以针对外部通信、即超出自己网络的通信禁止该终端设备。此外，可以在该终端设备上进行加密协议的配置的适配，以便满足给定的策略或准则。

根据另一实施方式，控制单元被设立用于将所适配的授权信息传输给防火墙设备。

在防火墙设备中基于此可以例如禁止或至少限制或释放终端设备的外部通信。

根据另一实施方式，通信单元被设立用于在使用加密协议的情况下向终端设备建立测试通信。

根据该实施方式，通信单元可以主动地建立到该终端设备的通信。这可以根据所定义的规则、例如以确定的时间间隔进行。替代地或附加地，根据要求例如通过防火墙建立测试通信。

根据另一实施方式，通信单元被设立用于从终端设备接收启动消息并且在接收到启动消息之后在使用加密协议的情况下向终端设备建立测试通信。

根据该实施方式，终端设备自己可以启动检验。这可以例如在终端设备想要向外部建立通信之前进行。

根据另一实施方式，通信单元被设立用于在使用加密协议的情况下向终端设备的多个端口建立测试通信。

在此情况下，可以建立到不同的端口的多个测试通信。这尤其在不同的TLS实施或者TLS配置存在于一个终端设备上时是有利的。因此可以同时测试或者检验所有存在的配置。

根据另一实施方式，通信单元被设立用于在检验结束之后结束测试通信。

在终端设备与该设备之间为了检验而建立TLS连接作为测试通信，以便确定和检查终端设备的配置。与TLS策略不同，该设备并不继续存在于通信路径中，而是仅建立TLS连接，以便检验TLS协议的配置/实施。接着，又结束测试通信。

根据另一实施方式，通信单元被设立用于中断终端设备到服务器的通信并且执行与该终端设备的测试通信。

终端设备到目标节点的连接建立在此情况下可以被转向到该设备，以便进行配置的检验。在检验结束之后才又取消该转向。

根据另一实施方式，控制单元被设立用于基于所适配的授权信息释放或中止终端设备与服务器的通信。

转向的取消在此可以要么不仅在检验的肯定结果的情况下而且在检验的否定结果的情况下导致通信的中止，要么在检验的肯定结果的情况下导致与服务器的通信的释放和通信向该服务器的返还。

根据另一实施方式，加密协议的配置包含准则、密码参数和/或协议选项。

加密协议的配置在此可以与预定义的准则或安全策略比较。这样的安全策略在此可以包括如下要点，所述要点可以通过握手（例如TLS）来商定：

- 所提出的并且所接受的鉴权方法（还有按优先级排列）

- 在使用基于证书的鉴权时附加地可以

- 执行所使用的证书（包括证书路径）的验证，

- 检验在证书中所使用的密钥使用字段，

- 检验证书的所使用的扩展（Extensions），

- 所提出的并且所接受的消息完整性保护（还有按优先级排列）

- 所提出的并且所接受的消息机密性（还有按优先级排列）

- 密码参数（密钥、密码方法的公共参数、Diffie-Hellman参数等）的品质

- 用于更新会话密钥的协议选项。

此外，提出一种网络系统，该网络系统具有至少一个终端设备和至少一个如上所解释的用于适配至少一个终端设备的授权信息的设备。

此外，提出一种用于适配终端设备的授权信息的方法。该方法具有如下步骤：执行与终端设备的通信，其中在使用加密协议的情况下执行通信作为测试通信；检验加密协议在终端设备上的配置；以及基于检验的结果适配终端设备的授权信息。

针对所提出的设备所描述的实施方式和特征相应地适用于所提出的方法。

此外，提出一种计算机程序产品，该计算机程序产品促使在受程序控制的装置上执行如上所解释的方法。

计算机程序产品、诸如计算机程序装置例如可以作为存储介质、诸如存储卡、USB棒、CD-ROM、DVD或以可从网络中的服务器下载的文件形式被提供或供应。这例如可以在无线通信网络中通过传输具有计算机程序产品或计算机程序装置的相应文件进行。

本发明的其他的可能的实施方案也包括先前或在下面关于实施例所描述的特征或者实施方式的未明确提到的组合。在此，本领域技术人员也将添加单个方面作为对本发明的相应基本形式的改进或者补充。

附图说明

本发明的其他的有利的扩展方案和方面是从属权利要求以及本发明的在下面所描述的实施例的主题。以下借助优选实施方式参考附图更详细地解释本发明。

图1示出用于适配终端设备的授权信息的设备的根据本发明的实施例的示意性框图；

图2示出具有两个用于适配终端设备的授权信息的设备的网络系统的根据本发明的实施例；

图3示出用于适配终端设备的授权信息的方法的根据本发明的实施例的示意性流程图；以及

图4示出用于适配终端设备的授权信息的方法的根据本发明的实施例的另一示意性流程图。

在这些图中，相同或功能相同的元件已配备有相同的附图标记，只要未另作说明。

具体实施方式

图1示出用于适配网络系统100中的终端设备20的授权信息的设备10。该设备10具有通信单元11、检验单元12和控制单元13。

通信单元11执行与终端设备20的通信。在此情况下，在使用加密协议的情况下执行测试通信。

检验单元12在测试通信期间检验在终端设备20上存在的加密协议的配置。在此情况下，检验单元12可以将该配置与应当满足的预定义的准则或策略比较。

控制单元13最后可以基于检验的结果适配终端设备20的授权信息。

利用设备10可以检验终端设备20、尤其TLS协议的配置。为此建立到试样的测试连接。所支持的选项或配置的检验因此可以以简单的方式进行。所支持的选项或配置即使在鉴权、密钥协商和选项的商定经由加密的通信连接进行并且因此不能被中间节点、如防火墙监控时也可以被检测。

通过设备10的检验可以在任意时刻进行，不仅仅在实际的连接建立时进行。此外，为此在所检验的组件20上不需要特定的软件组件，因为经由连接建立直接使用存在的功能。验证的结果例如可以在NAC措施（补救）的范围中被使用。

通过该设备10也可以检查具体策略。TLS例如经由所说明的密码套件的顺序也实现按优先级排列（Priorisierung）。该按优先级排列可以通过设备10或检验单元12来测试。同样可以测试，密码套件是否被支持，密码套件用于向后兼容或并未明确地被关断。这种问题例如在薄弱环节、如畸形或阻塞中被利用。

图2示出网络系统100的示例性结构。在此情况下，多个服务器组件作为网络中的终端设备20可供用于确定应用。该设备10可以作为永久装置或者临时作为移动设备在网络100中可供使用。

该设备10在此情况下利用网络100的本地安全策略来配置。该设备可以例如在工业设备的情况下由工程数据导出本地安全策略。在办公室网络中，相应的策略可以经由域中的组策略服务器来查询。

在另一设计方案中，该设备10也可以是网络100中的策略执行服务器的功能。根据对安全策略的遵守，该设备10可以动态地重新配置最接近测试对象20的基础设施组件、例如交换机或路由器，以便实现测试对象20的策略的转换。为此，测试对象20例如可以被移动到如由NAC（Network Access Control（网络接入控制），也为Network Admission Control（网络准入控制））方法已知的单独的VLAN（Virtual Local Area Network（虚拟局域网））中。在借助软件定义网络（SDN）配置的网络中可以通过SDN控制器进行该移位。

基于该安全策略，该设备10现在建立TLS连接或相应的其他的所利用的安全协议，以便在协议握手的范围中查询所测试的服务器组件20的安全策略并且将这些安全策略与当前策略比较。

图3示出用于适配终端设备20的授权信息的方法。该方法具有步骤301至303。

在步骤301中，执行与终端设备30的通信，其中在使用加密协议的情况下执行通信作为测试通信。

在步骤302中，检验加密协议在终端设备20上的配置。

在步骤303中，最后基于检验的结果适配终端设备20的授权信息。

图4示出用于适配授权信息的方法的示例性的详细的流程。

在步骤401中起动设备10。

在步骤402中首先查询网络100的安全策略。

在步骤403中起动终端设备20并且在步骤404中将起始消息发送给该终端设备。

对配置的检验在此以两个步骤进行。

首先在步骤405中从终端设备20接收消息。检验该消息的所使用的协议版本、密码套件或其他协议特征。

在步骤406中确定：所确定的信息是否对应于网络100的安全策略。如果情况不是如此，则该方法以步骤407继续，在该步骤中例如输出警告信号。

如果所确定的信息对应于网络100的安全策略，则该方法以步骤408继续并且现在检验TLS握手消息。例如可以检验这些TLS握手消息的Diffie-Hellman参数。

在步骤409中现在重新确定：所确定的信息是否对应于网络100的安全策略。如果情况不是如此，则该方法以步骤407继续。

如果所确定的信息对应于网络100的安全策略，则该方法以步骤410继续并且适配终端设备20的授权信息。

步骤410中的适配也在步骤407中输出警告信号之后进行。

在步骤411中该方法结束。

尽管借助实施例描述了本发明，但本发明可以以各种各样的方式被修改。

Claims (14)

1.一种用于适配终端设备（20）的授权信息的设备（10），具有：

用于与所述终端设备（20）通信的通信单元（11），其中所述通信单元（11）被设立用于在使用加密协议的情况下执行所述通信作为测试通信，

用于检验所述加密协议在所述终端设备（20）上的配置的检验单元（12），以及

用于基于所述检验的结果适配所述终端设备（20）的授权信息的控制单元（13）。

2.根据权利要求1所述的设备（10），

其特征在于，

所述加密协议是传输层安全协议或者安全套接层协议。

3.根据权利要求1或2所述的设备（10），

其特征在于，

所述控制单元被设立用于基于所适配的授权信息输出警告信号。

4.根据权利要求1至3之一所述的设备（10），

其特征在于，

所述控制单元（13）被设立用于将所适配的授权信息传输给防火墙设备。

5.根据权利要求1至4之一所述的设备（10），

其特征在于，

所述通信单元（11）被设立用于在使用所述加密协议的情况下向所述终端设备（20）建立所述测试通信。

6.根据权利要求5所述的设备（10），

其特征在于，

所述通信单元（11）被设立用于从所述终端设备（20）接收启动消息并且在接收到所述启动消息之后在使用所述加密协议的情况下向所述终端设备（20）建立所述测试通信。

7.根据权利要求5或6所述的设备（10），

其特征在于，

所述通信单元（11）被设立用于在使用所述加密协议的情况下向所述终端设备（20）的多个端口建立测试通信。

8.根据权利要求1至7之一所述的设备（10），

其特征在于，

所述通信单元（11）被设立用于在所述检验结束之后结束所述测试通信。

9.根据权利要求1至8之一所述的设备（10），

其特征在于，

所述通信单元（11）被设立用于中断所述终端设备（20）到服务器的通信并且执行与所述终端设备（20）的测试通信。

10.根据权利要求9所述的设备（10），

其特征在于，

所述控制单元（13）被设立用于基于所适配的授权信息释放或中止所述终端设备（20）与所述服务器的通信。

11.根据权利要求1至10之一所述的设备（10），

其特征在于，

所述加密协议的配置包含准则、密码参数和/或协议选项。

12.一种网络系统（100），具有：

至少一个终端设备（20），以及

至少一个根据权利要求1至11之一所述的用于适配所述至少一个终端设备（20）的授权信息的设备（10）。

13.一种用于适配终端设备（20）的授权信息的方法，具有：

执行（301）与所述终端设备（20）的通信，其中在使用加密协议的情况下执行所述通信作为测试通信，

检验（302）所述加密协议在所述终端设备（20）上的配置，以及

基于所述检验的结果适配（303）所述终端设备（20）的授权信息。

14.一种计算机程序产品，该计算机程序产品促使在受程序控制的装置上执行根据权利要求13所述的方法。