DE10129295A1

DE10129295A1 - Triggerbare geschlossene Services

Info

Publication number: DE10129295A1
Application number: DE10129295A
Authority: DE
Inventors: Hans-Joachim Mueschenborn
Original assignee: MUESCHENBORN HANS JOACHIM
Current assignee: MUESCHENBORN HANS JOACHIM
Priority date: 2001-06-18
Filing date: 2001-06-18
Publication date: 2002-02-28

Abstract

1. Triggerbare geschlossene Services in Kommunikationssystemen. DOLLAR A 2.1. Bestehende Netzwerksysteme nach dem Client/Server-Prinzip erfordern auf der Serverseite stets die Bereitstellung von freien Verbindungsendpunkten. Die große Anzahl von Serverprozessen hat eine große Anzahl von freien Verbindungsendpunkten zur Folge, welche bei 24 h Verfügbarkeit permanent bereit stehen müssen. Jeder freie Verbindungsendpunkt ist jedoch ein potentieller Angriffspunkt für böswillige Clients. Aufgabe der vorliegenden Erfindung ist es, Services nach dem Stand der Technik in Kommunikationssystemem abzusichern. DOLLAR A 2.2. Die vorliegende Erfindung realisiert die unter 2.1. genannte Aufgabe durch triggerbare Services, welche während des normalen Betriebes absolut keine freien Verbindungsendpunkte bereitstellen und ausschließlich nach Empfang einer Aufforderung von einem Prozeß oder Thread eines weitestgehend unabhängigen Logonsubsystems einen freien Verbindungsendpunkt VP für einen verbindungswilligen Peripheriethread zur Verfügung stellen. Dabei kann der Verbindungsendpunkt VP nur für eine gegrenzte Zeit zur Verfügung gestellt werden. In Netzwerken auf der Basis von TCP/IP kann die Portnummer des freien Verbindungsendpunktes VP oder die einen Service ausführende Einheit aus einer Menge von mehreren Einheiten beliebig - insbesondere pseudozufällig oder absolut zufällig - gewählt werden. Nach dem Verbindungsaufbau zu einem operativen Service muß sich der verbundene Peripheriethread zunächst mit ...

Description

Die Erfindung betrifft Kommunikationssysteme mit Services.

In modernen E-Commerce Netzwerken besteht häufig das Problem, daß bestimmte Ser vices, einerseits für den Betrieb der E-Commerce-Infrastruktur zwingend erforderlich sind und 24 h den Kunden zur Verfügung stehen müssen, die Services jedoch gleichzei tig den Zugriff auf kostbare wirtschaftliche Daten erlauben, welche nur einer zahlenden Kundschaft vorbehalten sein sollten. Dabei bieten E-Commerce-Systeme nach dem Stand der Technik durch die große Anzahl permanent zur Verfügung stehender offenen Verbindungsendpunkte der Server ständig offene Angriffspunkte für böswillige Angreifer. Typische Angriffsstrategien reichen vom Ausspähen der User-Ids und Passwörtern bis zu Denial-Of-Service kurz DOS-Attacken. Je nach Qualität der gehackten Daten können die wirtschaftlichen Schäden von tolerabel bis existenzbedrohend für ein betroffenes Unternehmen werden.

Ursache vieler geglückter Angriffe ist dabei die Tatsache, daß moderne Netzwerke nach dem traditionellen Client/Server-Modell aufgebaut sind und viele Server-Einheiten zum Teil eine sehr hohe Zahl von Server-Prozessen mit entsprechend vielen offenen freien Verbindungsendpunkten bereitstellen. Sobald ein Client sich mit einem freien Verbin dungsendpunkt verbunden hat, erzeugt ein solcher Server nach dem Stand der Technik iri der Regel so schnell wie möglich einen neuen freien Verbindungsendpunkt, um den nächsten Client annehmen zu können. Effektiv bedeutet dies, daß jeder Server fast per manent mindestens einen freien Verbindungsendpunkt zur Verfügung stellt.

Jeder freie Verbindungsendpunkt eines Servers stellt jedoch auch einen potentiellen Angriffspunkt für einen böswilligen Clients dar, so daß das Risiko eines Einbruches mit zunehmender Anzahl von freien Verbindungsendpunkten zunimmt. Der Zugriff auf Ser vices nach dem Stand der Technik wird typischerweise durch Firewalls geschützt, wel che anhand von festgelegten Regeln Verbindungen zu selektierten freien Verbindungsendpunkten festgelegter Server erlauben oder unterbinden können. Durch die große Anzahl von zu schützenden freien Verbindungsendpunkten müssen die Fire walls häufig eine große Anzahl verschiedener Regeln bei jedem eintreffenden Datenpa ket überprüfen. Da jede Überprüfung einer Regel durch einen Firewall Zeit in Anspruch nimmt, verlieren Netzwerksysteme nach dem Stand der Technik durch die Überprüfung einer großen Anzahl verschiedener Regeln in den Firewalls einen großen Teil der sonst möglichen Performance. Darüberhinaus erhöht sich mit zunehmender Anzahl von Regeln, welche ein Firewall zu überprüfen hat, auch der Verwaltungsaufwand der Regeln selbst und damit das Risiko durch menschliches Versagen verursachte Fehlkon figurationen der Firewalls.

Das Sicherheitsrisiko läßt sich zum Beispiel wie in DE 199 61 399 beschrieben durch konsequente Reduzierung der Anzahl freier Verbindungsendpunkte und damit von Ser ver-Prozessen deutlich reduzieren. Jedoch entsprechen die in DE 199 61 399 beschrie benen Systemarchitekturen nicht mehr dem Client/Server-Prinzip nach dem Stand der Technik, so daß Systeme nach DE 199 61 399 nicht ohne zusätzliche Mittel in beste hende Client/Server-Architekturen integriert werden können. Insbesondere können Cli ents nach dem Stand der Technik nicht ohne zusätzliche Mittel mit Services nach DE 199 61 399 kommunizieren, so daß DE 199 61 399 ein Redesign der Clients erfordert.

Durch die direkte Kommunikation zwischen Clients und Services nach dem Stand der Technik, muß jeder Server über die Firewallprüfungen hinaus zusätzliche anwendungs abhängige Autorisierungsprüfungen durchführen. Dies führt zu einer zweistufigen Sicherheitsarchitektur in Systemen nach dem Stand der Technik

1. durch Firewalls überprüfte Verbindungsaufbauten und
2. dezentrale anwendungsorientierte Sicherheitsüberprüfungen.

Gerade dezentral organisierte Sicherheitsmechanismen führen in der Praxis häufig zu Problemen, da beispielsweise Softwareupdates zur Korrektur einer bereits bekannten Sicherheitslücke an allen Orten nachvollzogen werden müssen, welche eine bestimmte Softwareversion verwendet. Dabei können leicht einzelne Server übersehen werden, welche durch die unkorrigierte Sicherheitslücke angreifbar bleiben. Die Bekanntheit der Sicherheitslücke erhöht das Sicherheitsrisiko in solchen Fällen weiter.

Nach dem Stand der Technik erfolgt der logische Verbindungsaufbau in Netzwerken nach dem Client/Server Prinzip wie folgt:
Eine durch eine eindeutige physikalische Kennung identifizierte Einheit führt einen Thread (Server genannt) aus, der mindestens einen logischen Verbindungsendpunkt zur Verfügung stellt, welcher Endpunkt auf der den Server ausführenden Einheit durch eine lokale Kennung eindeutig identifiziert ist, und wartet anschließend bis ein anderer Thread (Client), welcher auf derselben oder einer anderen Einheit ausgeführt wird, eine Verbindung zu diesem Endpunkt anfordert. Vorausgesetzt die Einheiten, auf welchen Server und Client ausgeführt werden, sind physikalisch miteinander verbunden, benötigt der Client zum Verbindungsaufbau einerseits die eindeutige Identifikation der Einheit, auf welcher der Server ausgeführt wird, und andererseits die auf der Servereinheit lokal eindeutige Kennung des Verbindungsendpunktes, welchen der Server zur Verfügung stellt. Beide Informationen zusammen genügen, um den Verbindungsendpunkt eines Servers im gesamten Netzwerk eindeutig zu identifizieren. Hat ein Server eine Verbin dungsanforderung eines Clients empfangen, entscheidet der Server über die Annahme oder Ablehnung der Anforderung. Eine Verbindung kommt nur zustande, wenn der Ser ver die Anforderung gegebenenfalls nach einer positiv ausgefallenen Überprüfung der Zugangsberechtigung des Clients annimmt. Fällt die Überprüfung der Zugangsberechti gung des Clients negativ aus, bricht der Server den Verbindungsaufbau ab und es kommt keine Verbindung zustande. Nach diesem Mechanismus sind ausschließlich logi sche Punkt-zu-Punkt Verbindungen zwischen einem Client und einem Server aufbaubar. Logische Verbindungen zwischen zwei Clients, zwei Servern oder mehr als zwei Clients und/oder Servern sind nicht möglich.

Eine Verbindung zwischen Client und Server kann sowohl nur für eine einzige Transak tion (temporäre Verbindung) als auch dauerhaft über längere Zeiträume (stehende Ver bindung) bestehen. Nach Abschluß aller Transaktionen wird die Verbindung von einem der beiden Transaktionspartnern geschlossen, woraufhin der andere Partner seinerseits die Verbindung schließt.

Ein typisches Beispiel solcher Netzwerke ist das Internet oder lnternet-ähnliche lntra nets, welche aus mehreren freiprogrammierbaren, physikalisch vernetzten Rechenma schinen bestehen. Die Steuerung einer jeden Rechenmaschine erfolgt durch ein Betriebssystem, der Netzwerk- sowie der Anwendungsprogramme. Homogene Systeme umfassen gleich- oder verschiedenartige Rechenmaschinen welche von gleichartigen Betriebssystemen gesteuert werden. Heterogene Systeme bestehen aus gleich- oder verschiedenartigen Rechenmaschinen welche durch gleich- oder verschiedenartige Betriebssysteme gesteuert werden. Die Netzwerkprogramme sind typischerweise nach dem ISO/OSI-Modell aufgebaut, verwenden das UDP/IP- oder TCP/IP-Protokoll und die nen zum Informationsaustausch zwischen verschiedenen Softwarekomponenten, wel che auf derselben oder verschiedenen gleich- oder verschiedenartigen Rechenmaschinen ausgeführt werden.

Physikalisch getrennte Netzwerke, die durch Firewalls oder Proxy-Server gegenseitig geschützt sind, überwachen den Verkehr in Netzwerken nach dem Stand der Technik. Firewalls kontrollieren jedoch nur den Verbindungsaufbau zwischen Clients und Servern aus physikalisch getrennten Netzwerken und bieten nicht die Möglichkeit nach dem erfolgreichen Verbindungsaufbau einzelne Transaktionen auf logischer Ebene zu über wachen. Proxy-Server hingegen bieten diese Möglichkeit, führen jedoch nach positiver Autorisierungsüberprüfung selbst als Client eigene temporäre Transaktionen mit nach geschalteten (geschützten) Servern aus. Beide Lösungen haben den Nachteil, daß sie kritische operative Services weiterhin jederzeit mindestens einen freien Verbindungs endpunkt bereitstellen müssen und somit mindestens aus dem Intranet angreifbar blei ben.

Typische Vertreter, welche nach dem beschriebenen Client/Server-Prinzip arbeiten, sind die Betriebsysteme Unix, Windows NT, OS/2 oder NetWare, sowie die Middleware DCE, TUXEDO oder CORBA.

Folgende Punkte wirken sich besonders nachteilig auf die Sicherheit eines Netzwerksy stems nach dem Client/Server-Prinzip aus:

1. Jeder freie Verbindungsendpunkt eines Servers, welcher auf einer mit einem Netz werk verbundenen Einheit ausgeführt wird, ist ein potentieller Angriffspunkt für bös willige Clients. Stellt eine Einheit mehrere Verbindungsendpunkte eines oder mehrerer Server zur Verfügung, ist jeder einzelne Verbindungsendpunkt ein poten tieller Angriffspunkt.
2. Nach dem Stand der Technik werden im Internet alle Funktionalitäten, welche eine Einheit im Netzwerk zur Verfügung stellt, als Server realisiert. Dies führt in der Pra xis auf einzelnen Einheiten zu sehr vielen Servern mit entsprechend vielen freien Verbindungsendpunkten.
3. Zur Sicherstellung seiner Erreichbarkeit muß ein Server jederzeit einen freien Ver bindungsendpunkt zur Verfügung stellen, welcher gleichzeitig einen permanenten Angriffspunkt darstellt.
4. Die Sicherheit des Gesamtsystems ist durch die Sicherheit des schwächsten Ser vers gegeben und nimmt mit zunehmender Anzahl von Servern ab.
5. Ein wohldefinierter, einheitlicher Sicherheitsstandard eines Gesamtsystems kann nur dann garantiert werden, wenn jeder einzelne Server denselben Sicherheits standard bietet.

In der Praxis ist ein einheitlicher Sicherheitsstandard nur mit sehr hohem wirtschaftlichen Aufwand erreichbar, da jeder einzelne Server

1. die erforderlichen Sicherheitsmechanismen implementieren muß,
2. die Sicherheitsmechanismen jedes einzelnen Servers getestet und verifiziert wer den müssen,
3. im laufenden Betrieb der Zugang zu jedem einzelnen Server ständig überwacht werden muß, und
4. im laufenden Betrieb jede einzelne Transaktion eines Clients mit einem Server überwacht und autorisiert werden muß.

Werden darüberhinaus einer oder mehrere Server von Lieferanten bezogen, kommen Probleme bezüglich der Geheimhaltung des (internen) Sicherheitsstandards, der Verfüg barkeit des Quellcodes der Server (zur Modifikation und/oder Verifikation) und/oder der Haftung im Schadensfall hinzu.

Die Aufgabe des vorliegenden Patentes besteht darin, Server nach dem Stand der Tech nik möglichst weitgehend von Sicherheitsaufgaben zu entlasten, ihren Zugang abzusi chern und ihre Angriffsfläche zu reduzieren.

Das vorliegende Patent löst die gestellte Aufgabe mit Hilfe eines Netzwerkes nach einem der Oberbegriffe der Ansprüche 1 und 9 dahingehend, daß ein operativer Service S freie Verbindungsendpunkte für Peripheriethreads ausschließlich auf Aufforderung A seitens eines Logonservices LS (Anspruch 1) bzw. eines Autorisierungsservice AS (Anspruch 9) bereitstellt. Dies beinhaltet insbesondere die Möglichkeit, daß der opera tive Service S nach Verbindungsaufbau zu bzw. von Logonservice LS bzw. Autorisie rungsservice AS während des normalen Betriebes absolut keine freien Verbindungsendpunkte zur Verfügung stellt. Erst wenn der Logonservice LS bzw. der Autorisierungsservice AS dem operativen Service S Aufforderung A schickt, einen freien Verbindungsendpunkt für Peripheriethread P zur Verfügung zu stellen, erzeugt Service S tatsächlich einen freien Verbindungsendpunkt VP für Peripheriethread P. Erst dann erhält Peripheriethread P die technische Möglichkeit eine Verbindung zu Service S auf zubauen.

Erfolgt der Verbindungsaufbau von Peripheriethread P zu dem von Service S bereitge stellten Verbindungsendpunkt nicht innerhalb eines vorgegebenen Zeitintervalles T, kann Service S den bereitgestellten Verbindungsendpunkt wieder schließen und erreicht sei nen ursprünglich abgeschlossenen Zustand wieder (Ansprüche 2 bzw. 10). Durch die zeitliche Limitierung der Bereitstellung des freien Verbindungsendpunktes wird sicherge stellt, daß der bereitgestellte Verbindungsendpunkt VP nicht versehentlich auf Dauer offen bleibt und somit einen potentiellen permanenten Angriffspunkt von Service S bilden würde.

Die Vorteile eines Netzwerksystems mit triggerbaren Services nach einem der Ansprü che 1, 2, 9 und 10 gegenüber Systemen nach dem Stand der Technik sind:

1. Die Möglichkeit der vollständigen Abgeschlossenheit operativer Services während des normalen Betriebes, wodurch operative Services den größten Teil der Zeit für Port-Scans unsichtbar sind. Dies erschwert es potentiellen Angreifern ohne Vor kenntnis des Systems die Existenz von operativen Services auszuspionieren.
2. Die Möglichkeit der zeitlich begrenzten Bereitstellung freier Verbindungsendpunkte durch operative Services reduziert den potentiellen Angriffszeitraum - im Vergleich zu Servern nach dem Stand der Technik mit permanent offenen freien Verbindungsend punkten - erheblich.
3. Der potentielle Angriffszeitraum ist bereits im Voraus bekannt, wodurch Verbindungs versuche mit wesentlich geringerem Aufwand überwacht sowie Angriffe leichter und schneller detektiert und abgewehrt werden können.
4. Die vollständige Trennung zwischen Logonsubsystem - d. h. Logonservice LS in Ansprüchen 1 und 2 und zusätzlichem Autorisierungsservice AS in Ansprüchen 9 und 10 - und operativen Services wie Service S befreit operative Services praktisch von allen Autorisierungsaufgaben und erlaubt es, Änderungen der Autorisierungsme thoden für alle operativen Services zentral an einer Stelle - nämlich im Logonsubsy stem - durchzuführen.
5. Ein Ausfall des Logonsubsystems betrifft operative Systeme in sofern nicht direkt, als bereits mit einem operativen Service S verbundene Peripheriethreads weiterhin ungestört mit Service S kommunizieren können. Der einzigste potentielle Nachteil bei Ausfall des Logonsubsystems wäre, daß sich kein neuer Peripheriethread mit Ser vice S verbinden kann, solange das Logonsubsystem nicht wieder voll funktionsfähig ist (was jedoch auch gerade erwünscht sein kann).

Abb. 1a veranschaulicht ein Netzwerksystem nach Anspruch 1 bestehend aus Ser viceeinheit SE, welche Logonservice LS und Service S ausführt, wobei LS und S über eine stehende logische bidirektionale Verbindung VS miteinander verbunden sind, sowie über physikalische Netzwerkverbindung NC mit SE verbundene und Peripheriethread P ausführende Peripherieeinheit PE. Abb. 2a beschreibt den zeitlichen Ablauf des Verbindungsaufbaus von P zu S in dem in Abb. 1 dargestellten Netzwerksystem nach Anspruch 1. Nach Aufbau der Verbindung VS stellt S während des normalen Betriebes keine freien Verbindungsendpunkte bereit, so daß sich P nicht direkt mit S ver binden kann. LS hingegen stellt mindestens einen freien Verbindungsendpunkt für P zur Verfügung, so daß sich P zum Verbindungsaufbau zu S zunächst nur mit LS verbinden kann (1). Nachdem LS die Verbindungsanforderung von P akzeptiert hat, sendet LS über Verbindung VS S eine Aufforderung einen neuen freien Verbindungsendpunkt für P zur Verfügung zu stellen (2), woraufhin S einen neuen Verbindungsendpunkt für P bereit stellt. Danach kann P die Verbindung zu LS gegebenenfalls abbrechen und eine Verbin dung zu dem neu bereitgestellten Verbindungsendpunkt von S aufbauen (3).

Abb. 3 veranschaulicht ein Netzwerksystem nach Anspruch 9 bestehend aus Ser viceeinheit SE, welche Logonservice LS, Autorisierungsservice SE und Service S aus führt, wobei AS und S über eine stehende logische bidirektionale Verbindung VS miteinander verbunden sind und Peripheriethread P ausführende Peripherieeinheit PE. Abb. 6a beschreibt den zeitlichen Ablauf des Verbindungsaufbaus von P zu S in dem in Abb. 3 dargestellten Netzwerksystem nach Anspruch 9. Nach Aufbau der Verbindung VS stellt S während des normalen Betriebes keine freien Verbindungsend punkte bereit, so daß sich P nicht direkt mit S verbinden kann. LS und AS sind über eine stehende logische bidirektionale Verbindung VA miteinander verbunden oder AS stellt einen freien Verbindungsendpunkt für LS zur Verfügung, so daß sich LS bei Bedarf mit AS verbinden kann. Darüberhinaus stellt LS mindestens einen freien Verbindungsend punkt für P zur Verfügung, so daß sich P zum Verbindungsaufbau zu S zunächst nur mit LS verbinden kann (1). Nachdem LS die Verbindungsanforderung von P akzeptiert hat, baut LS - falls noch keine Verbindung VA zu AS existiert - die Verbindung VA zu AS auf und informiert AS via VA (2) darüber, daß Peripheriethread P sich mit LS verbunden hat. Danach sendet AS via VS S eine Aufforderung einen neuen freien Verbindungsendpunkt für P zur Verfügung zu stellen (3), woraufhin S einen neuen Verbindungsendpunkt für P bereitstellt. Schließlich kann P die Verbindung zu LS gegebenenfalls abbrechen und eine Verbindung zu dem neu bereitgestellten Verbindungsendpunkt von S aufbauen (4).

Die verschiedenen Threads LS, AS oder S können alle auf einer Serviceeinheit SE (Ansprüche 1 bzw. 9) oder beliebig auf mehrere Einheiten verteilt werden (Ansprüche 3 bzw. 11), solange LS und S mindestens von Peripheriethread P erreichtbar sind und min destens die Verbindung VS zwischen LS und S aufgebaut werden kann.

Ansprüche 1 bis 3 und 9 bis 12 decken selbstverständlich auch die Fälle ab, daß das Netzwerksystem

1. mehr als eine Serviceeinheit SE1. . .ns, oder
2. mehr als eine Logoneinheit LE1. .nl, oder
3. mehr als eine Autorisierungseinheit AE1. .na, oder
4. mehr als eine Peripherieeinheit PE1. .np, oder
5. mehr als einen Logonservice LS1. .n1, oder
6. mehr als einen Service S1. .n2, oder
7. mehr als einen Autorisierungsservice AS1. .n3, oder
8. mehr als einen Peripheriethread P1. .n4

umfaßt und genannte Threads LS1. .n1, S1. .n2, AS1. .n3, P1. .n4 auf den entsprechenden Einheiten verteilt ausgeführt werden.

Abb. 1b veranschaulicht dasselbe Netzwerksystem wie in Abb. 1a mit dem Unterschied, daß LS auf Einheit LE und S auf Einheit SE ausgeführt sind, und in denen alle Einheiten über physikalische Netzwerkverbindung NC untereinander verbunden sind.

Auch in dem in Abb. 3 gezeigten Netzwerksystem nach Anspruch 9 können Threads AS, LS und S auf verschiedenen Einheiten ausgeführt werden, solange LS und S von Peripheriethread P erreicht und die Verbindungen VA zwischen LS und AS sowie VS zwischen AS und S aufgebaut werden können. So zeigt Abb. 4 dasselbe System wie Abb. 3 mit dem Unterschied, daß LS, AS und S jeweils auf verschiede nen Einheiten LE, AE bzw. SE ausgeführt werden, welche über physikalische Netzwerk verbindungen NC3 und NC4 verbunden sind, und daß Peripherieeinheit PE über physikalische Netzwerkverbindung NC1 sowohl mit LE als auch mit SE verbunden ist.

Besonders vorteilhaft ist die Trennung eines Netzwerksystems nach Anspruch 11 in zwei unterschiedliche physikalische Netzwerksegmente N1 und N2 (Abb. 5), wobei Ein heiten LE und SE jeweils über zwei Netzwerkkarten verfügen von denen jeweils eine mit Netzwerksegment N1 und die andere mit Netzwerksegment N2 verbunden ist, und wobei Autorisierungseinheit AE in Netzwerksegment N1 und Peripherieeinheit PE in Netzwerksegment N2 lokalisiert sind, und wobei keine Nachrichten zwischen den beiden Netzwerksegmenten N1 und N2 physikalisch geroutet werden. Dies macht es Periphe rieprozessen auf PE, unmöglich Autorisierungseinheit AE anzugreifen.

In permanent verfügbaren Systemen, muß mindestens Logonservice LS jedoch stets von Peripheriethreads erreichbar sein, so daß die Einheit, welche den Logonservice aus führt, stets angreifbar bleibt. Deshalb ist es besonders vorteilhaft, LS und S auf unter schiedlichen Einheiten auszuführen, so daß im Falle eines Angriffes auf Logoneinheit LE Service S nicht direkt betroffen ist.

In Ansprüchen 4 bzw. 12 haben Logonservice LS bzw. Autorisierungsservice AS Zugriff auf Autorisierungsdaten AD, so daß in Anspruch 4 Logonservice LS die von Periphe riethread P in (1) der Abb. 2b bzw. Abb. 7a/b gesendeten Anmeldungsdaten AMD überprüfen kann und LS nur dann die Aufforderung (2) zur Bereitstellung eines freien Verbindungsendpunktes an Service S sendet, falls die Überprüfung der von Peri pheriethread P vorgelegten Anmeldungsdaten AMD gegen Autorisierungsdaten AD positiv ausfiel, und so daß in Anspruch 12 Autorisierungsservice AS die von Periphe riethread P in ( 1) der Abb. 6b bzw. Abb. 8 an LS gesendeten und von LS in (2) an AS weitergeleiteten Anmeldungsdaten AMD überprüfen kann und AS nur dann die Aufforderung (3) zur Bereitstellung eines freien Verbindungsendpunktes an Service S sendet, falls die Überprüfung der von Peripheriethread P vorgelegten Anmeldungsdaten AMD gegen Autorisierungsdaten AD positiv ausfiel. Auf diese Weise erhält Periphe riethread P keine Möglichkeit ohne zuvorige Überprüfung seiner Zugangsberechtigung eine Verbindung zu Service S aufzubauen. Dabei ist Anspruch 12 der Vorzug gegenüber Anspruch 4 zu geben, da Autorisierungsservice AS zusammen mit Autorisierungsdaten AD auf einer separaten Einheit AE ausgeführt bzw. gespeichert werden, welche Einheit AE für keinen Peripheriethread erreichbar ist (Abb. 8), während die Autorisierungs daten in Anspruch 4 auf derselben Einheit LE gespeichert sein müssen, welche auch den Logonservice ausführt (Abb. 7a/b).

Ansprüche 5 und 13 decken auch die Fälle ab, in denen mindestens ein Teil der Anmel dungsdaten AMD verschlüsselt erstens von Peripheriethread P an Logonservice LS übertragen und von Logonservice LS entschlüsselt wird (Anspruch 5), sowie zweitens von Peripheriethread P an Logonservice LS, von Logonservice LS an Autorisierungsser vice AS weitergeleitet und von Autorisierungsservice AS entschlüsselt (Anspruch 13) wird.

In Netzwerksystemen nach Ansprüchen 1 bis 4 und 9 bis 12 auf der Basis von TCP/IP sind die Zugangsdaten - insbesondere die IP-Adresse der Service S ausführenden Ein heit sowie die Portnummer des von S für Peripheriethread P bereitgestellten freien Ver bindungsendpunktes - fest vorgegeben und müssen Peripheriethread P bekannt sein, damit P eine Verbindung zu dem von S bereitgestellten freien Verbindungsendpunkt auf bauen kann. Dies birgt natürlich die Gefahr, daß ein unautorisierter Angreifer Kenntnis der Zugangsdaten erlangt und sich mit dem von S bereitgestellten freien Verbindungs endpunkt VP verbindet bevor P seine Verbindung zu dem von S bereitgestellten freien Verbindungsendpunkt aufbaut.

Diesen Nachteil beseitigen Netzwerksysteme nach Anspruch 6 bzw. 14, in welchem Peripheriethread P die Zugangsdaten ZD zu Beginn nicht kennt und sie erst im Laufe des Anmeldungsverfahrens von LS übermittelt erhält. Dabei können in Systemen nach Anspruch 6 ein Teil der Zugangsdaten ZD entweder von LS (Anspruch 7) oder von S (Anspruch 8) und in Systemen nach Anspruch 14 entweder von LS (Anspruch 15), AS (Anspruch 16) oder S (Anspruch 17) erzeugt und via den vorhandenen Kommunikations verbindungen VS bzw. VA direkt oder indirekt an Peripheriethread P und, falls wenig stens ein Teil der Zugangsdaten ZD nicht von Service S erzeugt wurden, auch an Service S übertragen werden. Wichtig ist nur, daß sowohl S vor Bereitstellung des neuen freien Verbindungsendpunktes als auch Peripheriethread P vor Verbindungsaufbau zu dem von S bereitgestellten neuen Verbindungsendpunkt den jeweils benötigten Teil der Zugangsdaten ZD kennen.

In Netzwerksystemen nach Anspruch 6 bzw. 14 ist es besonders vorteilhaft,

1. eine aus mehreren mindestens einen Service nach Anspruch 1 bzw. 9 ausführenden Serviceeinheiten auszuwählen und die physikalische Adresse der ausgewählten Ser viceeinheit in den Zugangsdaten ZD an Peripheriethread P zu übertrage, wobei die Auswahl entweder durch einen Autorisierungsservice (Anspruch 18) oder einen Logonservice erfolgen (Anspruch 19) kann,
2. die lokale Kennung LK des von Service S für P bereitzustellenden freien Verbin dungsendpunktes frei zu wählen und an Peripheriethread P und, falls die Wahl nicht von Service S erfolgte, auch an den ausgewählten Service S zu übertragen (Ansprü che 20 bis 23).
3. einen beliebig wählbaren Schlüssel in Zugangsdaten ZD an Peripheriethread P und, falls die Wahl nicht von Service S erfolgte, auch an den ausgewählten Service S zu übertragen (Anspruch 24),
4. mindestens einen Teil TZD der Zugangsdaten ZD - insbesondere, aber nicht aus schließlich, die Portnummer des von ausgewähltem Service S für P bereitzustellen den freien Verbindungsendpunktes VP, oder den Schlüssel - pseudozufällig oder absolut zufällig zu erzeugen (Anspruch 25).
5. mindestens einen Teil VTZD der Zugangsdaten ZD verschlüsselt von Logonservice LS an Peripheriethread P zu übertragen (Anspruch 26). Selbstverständlich muß Peri pheriethread P in diesem Fall auch Mittel enthalten, um den verschlüsselten Teil VTZD der Zugangsdaten ZD zu entschlüsseln.

Abb. 9 bis 19 illustrieren verschiedene Ausführungsbeispiele von Netzwerksy stemen nach Ansprüchen 6 bis 8 und 14 bis 25 mit dazugehörenden zeitlichen Abläufen des Verbindungsaufbaus von Peripheriethread P zu Service S, wobei Threads LS, AS, S und P beliebig auf Netzwerkeinheiten verteilt werden können, solange die benötigen Ver bindungen aufgebaut werden und die Threads wie beschrieben kommunizieren können. Deshalb wurden die physikalischen Netzwerkeinheiten und -verbindungen in Abb. 9 bis 19 weggelassen. Dabei ist nach Verbindungsaufbau von P zu S die Übertra gung mindestens eines Teiles TZD der Zugangsdaten ZD von P nach S sowie die Überprüfung der von P erhaltenen Zugangsdaten TZD gegen Zugangsdaten ZD seitens des Services S in allen dargestellten Beispielen nicht unbedingt notwendig, erhöht jedoch die Sicherheit des Systems, da P sich gegenüber S zusätzlich authentisieren muß.

Abb. 9 veranschaulicht ein Netzwerksystem nach Anspruch 7, in welchem nach Verbindungsaufbau zwischen Peripheriethread P und Logonservice LS P seine Anmel dungsdaten AMD an LS schickt ( 1), LS bei positivem Ausgang der Überprüfung von Anmeldungsdaten AMD gegen Autorisierungsdaten AD Zugangsdaten ZD erzeugt, zusammen mit Aufforderung A, einen neuen Verbindungsendpunkt für P bereitzustellen in Nachricht (2) an Service S und Zugangsdaten ZD in Nachricht ( 3) an Peripheriethread P sendet, so daß Service S einen neuen Verbindungsendpunkt VP in Abhängigkeit von Zugangsdaten ZD für P bereitstellen kann, Peripheriethread P eine Verbindung zu dem von Service S bereitgestellten Verbindungsendpunkt VP aufbauen und Peripheriethread P in Nachricht (4) mindestens einen Teil TZD der Zugangsdaten ZD an S senden kann und S die von P erhaltenen Zugangsdaten TZD gegen die von LS erhaltenen Zugangs daten ZD überprüfen kann und die Verbindung zu P nur dann bestehen lassen kann, wenn diese Überprüfung positiv ausfällt.

Abb. 10 veranschaulicht ein Netzwerksystem nach Anspruch 8, in welchem nach Verbindungsaufbau zwischen Peripheriethread P und Logonservice LS P seine Anmel dungsdaten AMD an LS schickt ( 1), LS bei positivem Ausgang der Überprüfung von Anmeldungsdaten AMD gegen Autorisierungsdaten AD Aufforderung A an Service S schickt (2), einen neuen freien Verbindungsendpunkt für P bereitzustellen, Service S die Zugangsdaten ZD erzeugt, den neuen Verbindungsendpunkt VP bereitstellt und Zugangsdaten ZD in Nachricht (3) an Logonservice LS sendet, Logonservice LS die von S empfangenen Zugangsdaten ZD in Nachricht (4) an Peripheriethread P weiterleitet, so daß Service S einen neuen Verbindungsendpunkt VP in Abhängigkeit von Zugangsda ten ZD für P bereitstellen kann, Peripheriethread P eine Verbindung zu dem von Service S bereitgestellten Verbindungsendpunkt VP aufbauen und Peripheriethread P in Nach richt (5) mindestens einen Teil TZD der Zugangsdaten ZD an S senden kann und S die von P erhaltenen Zugangsdaten TZD gegen die selbst erzeugten Zugangsdaten ZD überprüfen kann und die Verbindung zu P nur dann bestehen lassen kann, wenn diese Überprüfung positiv ausfällt.

Abb. 11 veranschaulicht ein Netzwerksystem nach Anspruch 15, in welchem nach Verbindungsaufbau zwischen Peripheriethread P und Logonservice LS P seine Anmel dungsdaten AMD an LS schickt ( 1), LS Zugangsdaten ZD erzeugt und zusammen mit Anmeldungsdaten AMD in Nachricht (2) an Autorisierungsservice AS schickt, AS bei positivem Ausgang der Überprüfung von Anmeldungsdaten AMD gegen Autorisierungs daten AD Zugangsdaten ZD zusammen mit Aufforderung A, einen neuen Verbindungs endpunkt für P bereitzustellen, in Nachricht (3) an Service S schickt und LS die erzeugten Zugangsdaten ZD in Nachricht (4) an Peripheriethread P schickt, so daß Ser vice S einen neuen Verbindungsendpunkt VP in Abhängigkeit von Zugangsdaten ZD für P bereitstellen kann, Peripheriethread P eine Verbindung zu dem von Service S bereit gestellten Verbindungsendpunkt VP aufbauen und in Nachricht (5) mindestens einen Teil TZD der Zugangsdaten ZD an S senden kann und Service S die von P erhaltenen Zugangsdaten TZD gegen die von AS erhaltenen Zugangsdaten ZD überprüfen kann und die Verbindung zu P nur dann bestehen lassen kann, wenn diese Überprüfung posi tiv ausfällt.

Abb. 12 veranschaulicht ein Netzwerksystem nach Anspruch 16, in welchem nach Verbindungsaufbau zwischen Peripheriethread P und Logonservice LS P seine Anmel dungsdaten AMD an LS schickt ( 1), LS Anmeldungsdaten AMD in Nachricht (2) an Auto risierungsservice AS weiterleitet, AS bei positivem Ausgang der Überprüfung von Anmeldungsdaten AMD gegen Autorisierungsdaten AD Zugangsdaten ZD erzeugt und zusammen mit Aufforderung A, einen neuen Verbindungsendpunkt für P bereitzustellen, in Nachricht (3) an Service S und Zugangsdaten ZD in Nachricht ( 4) an LS schickt, LS Zugangsdaten ZD in Nachricht (5) an Peripheriethread P weiterleitet, so daß Service S einen neuen Verbindungsendpunkt VP in Abhängigkeit von Zugangsdaten ZD für P bereitstellen kann, Peripheriethread P eine Verbindung zu dem von Service S bereitge stellten Verbindungsendpunkt VP aufbauen und in Nachricht (6) mindestens einen Teil TZD der Zugangsdaten ZD an S senden kann und Service S die von P erhaltenen Zugangsdaten TZD gegen die von AS erhaltenen Zugangsdaten ZD überprüfen kann und die Verbindung zu P nur dann bestehen lassen kann, wenn diese Überprüfung posi tiv ausfällt.

Abb. 13 veranschaulicht ein Netzwerksystem nach Anspruch 17, in welchem nach Verbindungsaufbau zwischen Peripheriethread P und Logonservice LS P seine Anmel dungsdaten AMD an LS schickt ( 1), LS Anmeldungsdaten AMD in Nachricht (2) an Auto risierungsservice AS weiterleitet, AS bei positivem Ausgang der Überprüfung von Anmeldungsdaten AMD gegen Autorisierungsdaten AD Aufforderung A, einen neuen Verbindungsendpunkt für P bereitzustellen, in Nachricht (3) an Service S schickt, Service S Zugangsdaten ZD erzeugt in Nachricht (4) an AS schickt, AS Zugangsdaten ZD in Nachricht (5) an LS weiterleitet und LS Zugangsdaten ZD in Nachricht (6) an Periphe riethread P weiterleitet, so daß Service S einen neuen Verbindungsendpunkt VP in Abhängigkeit von Zugangsdaten ZD für P bereitstellen kann, Peripheriethread P eine Verbindung zu dem von Service S bereitgestellten Verbindungsendpunkt VP aufbauen und in Nachricht (7) mindestens einen Teil TZD der Zugangsdaten ZD an S senden kann und Service S die von P erhaltenen Zugangsdaten TZD gegen die von AS erhaltenen Zugangsdaten ZD überprüfen kann und die Verbindung zu P nur dann bestehen lassen kann, wenn diese Überprüfung positiv ausfällt. Nach positivem Ausfall der Überprüfung erzeugt S in diesem Beispiel einen neuen Thread zur Kommunikation mit P und bestätigt P in Nachricht (8) die Akzeptanz der Verbindung, Abb. 14 veranschaulicht ein Netzwerksystem nach Anspruch 19 bestehend aus einem Logonservice LS und n Services S₁ bis S_n, wobei Logonservice LS mit jedem der Services über jeweils eine stehende logische bidirektionale Kommunikationsverbindung VS₁ bis VS_n verbunden ist und nach Verbindungsaufbau zwischen Peripheriethread P und Logonservice LS P seine Anmeldungsdaten AMD an LS schickt (1), LS bei positi vem Ausgang der Überprüfung von Anmeldungsdaten AMD gegen Autorisierungsdaten AD Service S₂ aus den Services S₁ bis S_n auswählt, die Zugangsdaten ZD erzeugt und in Nachricht (2) Zugangsdaten ZD zusammen mit Aufforderung A an Service S₂ schickt, einen neuen freien Verbindungsendpunkt für P bereitzustellen, und in Nachricht (3) Zugangsdaten ZD an Peripheriethread P sendet, so daß Service S₂ einen neuen Verbin dungsendpunkt VP in Abhängigkeit von Zugangsdaten ZD für P bereitstellen kann, Peri pheriethread P eine Verbindung zu dem von Service S₂ bereitgestellten Verbindungsendpunkt VP aufbauen und Peripheriethread P in Nachricht (4) mindestens einen Teil TZD der Zugangsdaten ZD an S₂ senden kann und S₂ die von P erhaltenen Zugangsdaten TZD gegen Zugangsdaten ZD überprüfen kann und die Verbindung zu P nur dann bestehen lassen kann, wenn diese Überprüfung positiv ausfällt.

Abb. 15 veranschaulicht ein Netzwerksystem nach Anspruch 18 bestehend aus einem Logonservice LS, einem Autorisierungsservice AS und n Services S₁ bis S_n, wobei Logonservice LS über stehende logische bidirektionale Kommunikationsverbin dung VA mit Autorisierungsservice AS und Autorisierungsservice AS mit jedem der Ser vices über jeweils eine stehende logische bidirektionale Kommunikationsverbindung VS₁ bis VS_n verbunden ist und nach Verbindungsaufbau zwischen Peripheriethread P und Logonservice LS P seine Anmeldungsdaten AMD an LS schickt (1), LS die Anmeldungs daten AMD an Autorisierungsservice AS weiterleitet (2), Autorisierungsservice AS bei positivem Ausgang der Überprüfung von Anmeldungsdaten AMD gegen Autorisierungs daten AD Service S₂ aus den Services S₁ bis S_n auswählt, Aufforderung A an Service S₂ schickt (3), einen neuen freien Verbindungsendpunkt für P bereitzustellen, Service S₂ die Zugangsdaten ZD erzeugt und Zugangsdaten ZD an Autorisierungsservice AS sen det ( 4), Autorisierungsservice AS die Zugangsdaten ZD an Logonservice LS weiterleitet ( 5) und Logonservice LS Zugangsdaten ZD an Peripheriethread P weiterleitet (6), so daß Service S₂ einen neuen Verbindungsendpunkt VP in Abhängigkeit von Zugangsda ten ZD für P bereitstellen kann, Peripheriethread P eine Verbindung zu dem von Service S₂ bereitgestellten Verbindungsendpunkt VP aufbauen und Peripheriethread P in Nach richt (7) mindestens einen Teil TZD der Zugangsdaten ZD an S₂ senden kann und S₂ die von P erhaltenen Zugangsdaten TZD gegen die selbst erzeugten Zugangsdaten ZD überprüfen kann und die Verbindung zu P nur dann bestehen lassen kann, wenn diese Überprüfung positiv ausfällt.

Abb. 16 veranschaulicht ein Netzwerksystem nach Anspruch 19 bestehend aus m Logonservices LS₁ bis LS_m und n Services S₁ bis S_n, wobei jeder Logonservice mit einem Teil der Services S₁ bis S_n über jeweils eine stehende logische bidirektionale Kommunikationsverbindung verbunden ist und nach Verbindungsaufbau zwischen Peri pheriethread P und Logonservice LS_m P seine Anmeldungsdaten AMD an LS_m schickt ( 1), LS_m bei positivem Ausgang der Überprüfung von Anmeldungsdaten AMD gegen Autorisierungsdaten AD_m Service S_k+1 aus den Services S₁ bis S_n auswählt, die Zugangsdaten ZD erzeugt und in Nachricht (2) Zugangsdaten ZD zusammen mit Auffor derung A an Service S_k+1 schickt, einen neuen freien Verbindungsendpunkt für P bereit zustellen, und in Nachricht (3) Zugangsdaten ZD an Peripheriethread P sendet, so daß Service S_k+1 einen neuen Verbindungsendpunkt VP in Abhängigkeit von Zugangsdaten ZD für P bereitstellen kann, Peripheriethread P eine Verbindung zu dem von Service S_k+1 bereitgestellten Verbindungsendpunkt VP aufbauen und Peripheriethread P in Nachricht (4) mindestens einen Teil TZD der Zugangsdaten ZD an S_k+1 senden kann und S_k+1 die von P erhaltenen Zugangsdaten TZD gegen Zugangs daten ZD überprüfen kann und die Verbindung zu P nur dann bestehen lassen kann, wenn diese Überprüfung positiv ausfällt.

Abb. 17 veranschaulicht ein Netzwerksystem nach Anspruch 18 bestehend aus aus m Logonservices LS₁ bis LS_m, einem Autorisierungsservice AS und n Services S₁ bis S_n, wobei jeder Logonservice mit Autorisierungsservice AS über jeweils eine ste hende logische bidirektionale Kommunikationsverbindung VA₁ bis VA_m verbunden ist, Autorisierungsservice AS mit jedem der Services über jeweils eine stehende logische bidirektionale Kommunikationsverbindung VS₁ bis VS_n verbunden ist und nach Verbin dungsaufbau zwischen Peripheriethread P und Logonservice LS₁ P seine Anmeldungs daten AMD an LS₁ schickt (1), LS₁ die Anmeldungsdaten AMD an Autorisierungsservice AS weiterleitet (2), Autorisierungsservice AS bei positivem Ausgang der Überprüfung von Anmeldungsdaten AMD gegen Autorisierungsdaten AD Service S₁ aus den Ser vices S₁ bis S_n auswählt, Aufforderung A an Service S₁ schickt ( 3), einen neuen freien Verbindungsendpunkt für P bereitzustellen, Service S₁ die Zugangsdaten ZD erzeugt und Zugangsdaten ZD an Autorisierungsservice AS sendet (4), Autorisierungsservice AS die Zugangsdaten ZD an Logonservice LS₁ weiterleitet (5) und Logonservice LS₁ Zugangsdaten ZD an Peripheriethread P weiterleitet (6), so daß Service S₁ einen neuen Verbindungsendpunkt VP in Abhängigkeit von Zugangsdaten ZD für P bereitstellen kann, Peripheriethread P eine Verbindung zu dem von Service S₁ bereitgestellten Ver bindungsendpunkt VP aufbauen und Peripheriethread P in Nachricht (7) mindestens einen Teil TZD der Zugangsdaten ZD an S₁ senden kann und S₁ die von P erhaltenen Zugangsdaten TZD gegen die selbst erzeugten Zugangsdaten ZD überprüfen kann und die Verbindung zu P nur dann bestehen lassen kann, wenn diese Überprüfung positiv ausfällt.

Abb. 18 veranschaulicht ein Netzwerksystem nach Anspruch 18 bestehend aus aus m Logonservices LS₁ bis LS_m, k Autorisierungsservice AS₁ bis AS_k und n Services S₁ bis S_n, wobei jeder Logonservice jeweils mit einem Teil der Autorisierungsservices AS₁ bis AS_k über jeweils eine stehende logische bidirektionale Kommunikationsverbin dung VA₁₁ bis VA_mk verbunden ist, jeder Autorisierungsservice jeweils mit einem Teil der Services S₁ bis S_n über jeweils eine stehende logische bidirektionale Kommunikations verbindung VS₁₁ bis VS_kn verbunden ist und nach Verbindungsaufbau zwischen Peri pheriethread P und Logonservice LS₁ P seine Anmeldungsdaten AMD an LS₁ schickt (1), LS₁ die Anmeldungsdaten AMD an Autorisierungsservice ASk weiterleitet (2), Autori sierungsservice AS_k bei positivem Ausgang der Überprüfung von Anmeldungsdaten AMD gegen Autorisierungsdaten AD_k Service S₁ aus den Services S₁ bis S_n auswählt, Aufforderung A an Service S₁ schickt (3), einen neuen freien Verbindungsendpunkt für P bereitzustellen, Service S₁ die Zugangsdaten ZD erzeugt und Zugangsdaten ZD an Autorisierungsservice AS_k sendet (4), Autorisierungsservice AS_k die Zugangsdaten ZD an Logonservice LS₁ weiterleitet (5) und Logonservice LS₁ Zugangsdaten ZD an Peri pheriethread P weiterleitet (6), so daß Service S₁ einen neuen Verbindungsendpunkt VP in Abhängigkeit von Zugangsdaten ZD für P bereitstellen kann, Peripheriethread P eine Verbindung zu dem von Service S₁ bereitgestellten Verbindungsendpunkt VP aufbauen und Peripheriethread P in Nachricht (7) mindestens einen Teil TZD der Zugangsdaten ZD an S₁ senden kann und S₁ die von P erhaltenen Zugangsdaten TZD gegen die selbst erzeugten Zugangsdaten ZD überprüfen kann und die Verbindung zu P nur dann beste hen lassen kann, wenn diese Überprüfung positiv ausfällt.

Abb. 19 veranschaulicht dasselbe System wie Abb. 18 mit dem Unterschied, daß alle Autorisierungsservice AS₁ bis AS_k Zugriff auf dieselben Autorisierungsdaten AD haben. Dies kann zum Beispiel über NFS erfolgen.

In Abb. 15, 17 bis 19 ist es besonders vorteilhaft, den bzw. die Autorisierungsser vice(s) AS bzw. AS₁ bis AS_k analog zu Abb. 5 in Netzwerksegment N1 und Peri pheriethread P in einem vollständig von N1 getrennten Netzwerksegment N2 auszuführen, damit Peripheriethread P keine technische Möglichkeit erhält, Autorisie rungsdaten AD bzw. AD₁ bis AD_k zu erreichen.

Hängt in Ansprüchen 18 und 19 die Auswahl des Services von der Autorisierung des Peripherieprozesses ab, können gezielt einzelne Services beispielsweise für unauthenti sierte Gast-Benutzer, für authentisierte Benutzer, oder für Systemadministratoren ausge wählt werden. Dabei erhalten die einzelnen Peripheriethreads lediglich Informationen über den jeweils autorisierten Service, so daß ein Gast-Benutzer lediglich die Koordina ten eines Gast-Services und absolut keine Informationen über andere Services erhält, welche nur authenisierten Benutzern oder Systemadministratoren zugänglich sind. An den einzelnen Services stehen selbstverständlich nur solche Informationen und Funktio nen zur Verfügung, welche der jeweiligen Autorisierung ihrer Clients entsprechen. Diese Technik stellt sehr effizient sicher, daß bestimmte Services nur mit bestimmten Autorisie rungen erreichbar sind und sie für Peripherieprozesse ohne die erforderlichen Autorisie rung weder sichtbar noch erreichbar sind.

Zur Verteilung einer großen Anzahl von Peripherieprozessen auf mehrere gleichartige Services - "Loadbalancing" -, wählt das Logonsubsystem den Service nach der Anzahl der Peripherieprozesse aus, welche bereits mit auswählbaren Services verbunden sind, oder nach der Belastung der auswählbaren Services aus. Da die aktuelle Belastung eines Service sehr stark schwanken kann, ist es besonders vorteilhaft anstelle der punk tuellen Belastung zu einem bestimmten Zeitpunkt, die Belastung über einen gewissen Zeitraum zu mitteln und einen gleitenden Mittelwert als Maßstab zu verwenden. Als Maß für die Belastung eines Service können verschiedene Einzelkriterien, wie z. B.: die Anzahl der Prozesse, die CPU-Auslastung, die Auslastung der Speichermedien (Haupt speicher und/oder externe Speichermedien) herangezogen werden.

Erfolgt die Auswahl des Services anhand von bestimmten Systemanforderungen, welche ein Peripheriethread selbst, oder das Logonsubsystem für einen bestimmten Periphe riethread, an den auszuwählenden Service stellt, ist es möglich nur solche Services aus zuwählen, welche die erforderlichen Systemressourcen bereitstellen können. So kann beispielsweise ein Peripheriethread gezielt eine Verbindung zu einem Service anfordern, welcher bestimmte Informationen, Funktionen oder sonstige Systemressourcen anbietet. Andererseits kann das Logonsubsystem bereits wissen, daß Peripheriethreads eines bestimmten Typs bestimmte Informationen, Funktionen oder Systemressourcen benöti gen und von sich aus nur solche Services auswählen, welche in der Lage sind, die erfor derlichen Informationen, Funktionen oder Systemressourcen anzubieten.

Zur Optimierung des Systemdurchsatzes ist die Auswahl der Services in Abhängigkeit von der geographischen, der netz- bzw. systemtopologischen Lage der Kommunikati onspartner oder der Verbindungsqualität und -geschwindigkeit besonders wichtig. So sind beispielsweise verschiedene Verbindungen durch die eingesetzte Übertragungs technik auf verschiedene maximale Übertragungsraten begrenzt. Die maximale Übertra gungsrate bestimmt ihrerseits die minimale Übertragungszeit einzelner Nachrichten und damit das gesamte Zeitverhalten des Systems. Kommen verschiedene Übertragungs techniken in einem Gesamtsystem zum Einsatz, ist es besonders vorteilhaft, einzelne Subsysteme auf die jeweilige Übertragungstechnik anzupassen. Dies erlaubt es dem Logonsubsystem denjenigen Service auszuwählen, welcher besonders auf die zu einem bestimmten Peripheriethread verwendete Übertragungstechnik optimiert ist. Ein typi sches Beispiel für eine solche Anwendung ist der Systemzugriff einerseits aus einem LAN mit Übertragungsraten größer als 10 MBit/s und andererseits aus einem WAN per Modem mit Übertragungsraten in der Größenordnung von 64 kBit/s. In einem solchen Umfeld ist es besonders vorteilhaft für beide Zugriffsarten getrennte Subsysteme mit eigenen Services bereitzustellen und die Auswahl der Services in Abhängigkeit von der Übertragungsrate zu einem bestimmten Peripheriethread zu treffen.

In der Regel hängt jedoch die maximale Übertragungsrate einer Verbindung zwischen zwei Kommunikationspartnern nicht nur von der physikalischen Übertragungstechnik sondern auch von ihrer geographischen Lage, ihrer netztopologischen Lage, d. h. der Anzahl von physikalischen Zwischenstationen (Router, Switches, Firewalls etc), über welche eine Nachricht zwischen zwei Kommunikationspartnern weitergeleitet werden muß, und ihrer systemtopologischen Lage, d. h. der Anzahl von Prozessen, über welche eine Nachricht zwischen zwei Kommunikationspartnern innerhalb der logischen System architektur weitergeleitet werden muß, ab. Besonders vorteilhaft ist es daher, die Aus wahl der Services sowohl anhand der physikalischen Übertragungstechniken als auch der genannten geographischen, netz- und systemtopologischen Kriterien zu treffen.

Claims

1. Netzwerksystem bestehend aus mindestens einer Serviceeinheit SE und einer beliebigen Anzahl physikalisch mit SE verbundenen Peripherieeinheiten PE1. .n, wobei SE mindestens zwei Threads - Logonservice und Service genannt - und die Peripherie- oder Serviceeinheiten beliebig viele Peripheriethreads ausführen, dadurch gekennzeichnet, daß erstens mindestens ein Logonservice LS mindestens einen freien Verbindungsendpunkt VEP für mindestens einen Peripheriethread bereitstellt, und zweitens der Logonservice LS mindestens eine stehende logische bidirektionale Kommunikationsverbindung VS zu mindestens einem Service S auf baut oder von mindestens einem Service S akzeptiert, drittens genannter Service S nach Aufbau bzw. Akzeptanz genannter Verbindung zu bzw. von genanntem Logonservice LS freie Verbindungsendpunkte für Peripheriethreads nur nach Auf forderung durch genannten Logonservice LS bereitstellt, und viertens mindestens ein Peripheriethread P - zum Verbindungsaufbau zu Service S - zunächst eine logi sche Kommunikationsverbindung zu dem freien Verbindungsendpunkt VEP des Logonservices LS aufbaut, der Logonservice LS nach Aufbau genannter Kommuni kationsverbindung von Peripheriethread P dem Service S via Kommunikationsver bindung VS Aufforderung A schickt, einen freien Verbindungsendpunkt für Peripheriethread P bereitzustellen, Service S nach Empfang der Aufforderung A einen neuen freien Verbindungsendpunkt VP bereitstellt, Peripheriethread P eine logische bidirektionale Kommunikationsverbindung zu dem Verbindungsendpunkt VP aufbaut, und Service S die Verbindungsanforderung von Peripheriethread P zu Verbindungsendpunkt VP akzeptiert.

2. Netzwerksystem nach Anspruch 1, dadurch gekennzeichnet, daß Service S den freien Verbindungsendpunkt VP nur für einen beliebig vorgebbaren Zeitraum T bereitstellt und, falls sich Peripheriethread P nicht innerhalb des genannten Zeitrau mes T mit genanntem Verbindungsendpunkt VP verbindet, den freien Verbindungs endpunkt VP wieder schließt.

3. Netzwerksystem einem der vorherigen Ansprüche bestehend aus mindestens zwei Einheiten LE und SE, dadurch gekennzeichnet, daß Logonservice LS auf Einheit LE und Service S auf Einheit SE ausgeführt werden.

4. Netzwerksystem nach einem der vorherigen Ansprüche, dadurch gekennzeichnet, daß erstens Logonservice LS Zugriff auf Autorisierungsdaten AD besitzt, zweitens Peripheriethread P nach Aufbau der Kommunikationsverbindung zu Logonservice LS dem Logonservice LS beliebige Anmeldungsdaten AMD sendet, und drittens der Logonservice LS die Aufforderung A an Service S zur Bereitstellung eines neuen freien Verbindungsendpunktes VP nur nach positiv ausgefallener Autorisie rungsprüfung der Anmeldungsdaten AMD gegen Autorisierungsdaten AD sendet.

5. Netzwerksystem nach Anspruch 4, dadurch gekennzeichnet, daß mindestens ein Teil TAMD der Anmeldungsdaten AMD verschlüsselt von Peripheriethread P an Logonservice LS übertragen wird und Logonservice LS Mittel beinhaltet, um genannte verschlüsselten Teil TAMD der Anmeldungsdaten zu entschlüsseln.

6. Netzwerksystem nach einem der vorherigen Ansprüche, dadurch gekennzeichnet, daß Peripherieprozeß P die Zugangsdaten ZD zu Verbindungsendpunkt VP zu Beginn nicht kennt und genannte Zugangsdaten ZD von Logonservice LS übermit telt erhält bevor Peripherieprozeß P eine Kommunikationsverbindung zum Verbin dungsendpunkt VP des Services S aufbaut.

7. Netzwerksystem nach Anspruch 6, dadurch gekennzeichnet, daß mindestens ein Teil der Zugangsdaten ZD von Logonservice LS erzeugt wird und sowohl an Peri pherieprozeß P als auch via Verbindung VS an Service S übertragen wird.

8. Netzwerksystem nach einem der Ansprüche 6 bis 7, dadurch gekennzeichnet, daß mindestens ein Teil der Zugangsdaten ZD von Service S erzeugt wird und via Ver bindung VS und Logonservice LS an Peripherieprozeß P übertragen wird.

9. Netzwerksystem bestehend aus mindestens einer Serviceeinheit SE und einer beliebigen Anzahl physikalisch mit SE verbundenen Peripherieeinheiten PE1. .n, wobei SE mindestens drei Threads - Logonservice, Autorisierungsservice und Ser vice genannt - und die Peripherie- oder Serviceeinheiten beliebig viele Periphe riethreads ausführen, dadurch gekennzeichnet, daß erstens mindestens ein Logon service LS mindestens einen freien Verbindungsendpunkt VEP für mindestens einen Peripheriethread bereitstellt, und zweitens der Autorisierungsservice AS min destens eine stehende logische bidirektionale Kommunikationsverbindung VS zu mindestens einem Service S aufbaut oder von mindestens einem Service S akzep tiert, drittens der Autorisierungsservice AS mindestens eine stehende logische bidi rektionale Kommunikationsverbindung VA zu Logonservice LS aufbaut oder von Logonservice LS akzeptiert, viertens genannter Service S nach Aufbau bzw. Akzeptanz der Verbindung VS zu bzw. von genanntem Autorisierungsservice AS freie Verbindungsendpunkte für Peripheriethreads nur nach Aufforderung durch genannten Autorisierungsservice AS bereitstellt, und fünftens mindestens ein Peri pheriethread P - zum Verbindungsaufbau zu Service S - zunächst eine logische Kommunikationsverbindung zu dem freien Verbindungsendpunkt VEP des Logon services LS aufbaut, Logonservice LS den Aufbau genannter Kommunikationsver bindung von Peripheriethread P Autorisierungsservice AS via Verbindung VA mitteilt, Autorisierungsservice AS via Verbindung VS Service S Aufforderung A schickt, einen freien Verbindungsendpunkt für Peripheriethread P bereitzustellen, Service S nach Empfang der Aufforderung A einen neuen freien Verbindungsend punkt VP bereitstellt, Peripheriethread P eine logische bidirektionale Kommunikati onsverbindung zu dem Verbindungsendpunkt VP aufbaut, und Service S die Verbindungsanforderung von Peripheriethread P zu Verbindungsendpunkt VP akzeptiert.

10. Netzwerksystem nach Anspruch 9, dadurch gekennzeichnet, daß Service S den freien Verbindungsendpunkt VP nur für einen beliebig vorgebbaren Zeitraum T bereitstellt und, falls sich Peripheriethread P nicht innerhalb des genannten Zeitrau mes T mit genanntem Verbindungsendpunkt VP verbindet, den freien Verbindungs endpunkt VP wieder schließt.

11. Netzwerksystem nach einem der Ansprüche 9 bis 10 bestehend aus mindestens zwei Serviceeinheiten, dadurch gekennzeichnet, daß mindestens einer der Threads Logonservice LS, Autorisierungsservice AS oder Service S auf einer anderen Einheit ausgeführt wird, als die beiden anderen der genannten Threads LS, AS und S.

12. Netzwerksystem nach einem der Ansprüche 9 bis 11, dadurch gekennzeichnet, daß erstens Autorisierungsservice AS Zugriff auf Autorisierungsdaten AD besitzt, zweitens Peripheriethread P nach Aufbau der Kommunikationsverbindung zu Logonservice LS dem Logonservice LS beliebige Anmeldungsdaten AMD sendet, drittens der Logonservice genannte Anmeldungsdaten AMD an Autorisierungsser vice AS weiterleitet, und viertens Autorisierungsservice AS Aufforderung A an Ser vice S zur Bereitstellung eines neuen freien Verbindungsendpunktes VP nur nach positiv ausgefallener Autorisierungsprüfung der Anmeldungsdaten AMD gegen Autorisierungsdaten AD sendet.

13. Netzwerksystem nach Anspruch 12, dadurch gekennzeichnet, daß mindestens ein Teil TAMD der Anmeldungsdaten AMD verschlüsselt von Peripheriethread P via Logonservice LS an Autorisierungsservice AS übertragen wird und Autorisie rungsservice AS Mittel beinhaltet, um genannten verschlüsselten Teil TAMD der Anmeldungsdaten zu entschlüsseln.

14. Netzwerksystem nach einem der Ansprüche 9 bis 12, dadurch gekennzeichnet, daß Peripherieprozeß P die Zugangsdaten ZD zu Verbindungsendpunkt VP zu Beginn nicht kennt und genannte Zugangsdaten ZD von Logonservice LS übermit telt erhält bevor Peripherieprozeß P eine Kommunikationsverbindung zum Verbin dungsendpunkt VP des Services S aufbaut.

15. Netzwerksystem nach Anspruch 14, dadurch gekennzeichnet, daß mindestens ein Teil der Zugangsdaten ZD von Logonservice LS erzeugt wird und sowohl an Peri pherieprozeß P als auch via Verbindung VA, Autorisierungsservice AS und Verbin dung VS an Service S übertragen wird.

16. Netzwerksystem nach einem der Ansprüche 14 bis 15, dadurch gekennzeichnet, daß mindestens ein Teil der Zugangsdaten ZD von Autorisierungsservice AS erzeugt wird und sowohl via Verbindung VA und Logonservice LS an Peripheriepro zeß P als auch via Verbindung VS an Service S übertragen wird.

17. Netzwerksystem nach einem der Ansprüche 14 bis 16, dadurch gekennzeichnet, daß mindestens ein Teil der Zugangsdaten ZD von Service S erzeugt wird und via Verbindung VS, Autorisierungsservice AS, Verbindung VA und Logonservice LS an Peripherieprozeß P übertragen wird.

18. Netzwerksystem nach Ansprüchen 14 bis 17, dadurch gekennzeichnet, daß minde stens ein Autorisierungsservice mindestens einen mindestens einen freien Verbin dungsendpunkt bereitstellenden Service S auswählt und mindestens einem verbindungswilligen Peripheriethread via Logonservice LS mindestens eine physi kalische Adresse mindestens eines Netzwerkinterfaces der S ausführenden Ser viceeinheit in den Zugangsdaten ZD übermittelt.

19. Netzwerksystem nach einem der Ansprüche 6 bis 8 und 14 bis 18, dadurch gekennzeichnet, daß mindestens ein Logonservice mindestens einen mindestens einen freien Verbindungsendpunkt bereitstellenden Service S auswählt und minde stens einem verbindungswilligen Peripheriethread in den Zugangsdaten ZD minde stens eine physikalische Adresse mindestens eines Netzwerkinterfaces der S ausführenden Serviceeinheit übermittelt.

20. Netzwerksystem nach einem der Ansprüche 6 bis 8 und 14 bis 19, dadurch gekennzeichnet, daß mindestens ein Logonservice erstens die lokale Kennung LK mindestens eines von Service S bereitzustellenden freien Verbindungsendpunktes auswählt und zweitens die genannte logische Kennung LK direkt oder indirekt via mindestens einen Autorisierungsservice genanntem Service S sowie direkt minde stens einem verbindungswilligen Peripheriethread übermittelt.

21. Netzwerksystem nach einem der Ansprüche 6 bis 8 und 14 bis 20, dadurch gekennzeichnet, daß mindestens ein Autorisierungsservice erstens die lokale Ken nung LK mindestens eines von Service S bereitzustellenden freien Verbindungs endpunktes auswählt und zweitens die genannte logische Kennung LK direkt genanntem Service S sowie via mindestens einem Logonservice mindestens einem verbindungswilligen Peripheriethread übermittelt.

22. Netzwerksystem nach einem der Ansprüche 6 bis 8, dadurch gekennzeichnet, daß mindestens ein Service erstens die lokale Kennung LK mindestens eines von ihm bereitzustellenden freien Verbindungsendpunktes auswählt und zweitens die genannte logische Kennung LK indirekt via mindestens einem Logonservice min destens einem verbindungswilligen Peripheriethread übermittelt.

23. Netzwerksystem nach einem der Ansprüche 14 bis 21, dadurch gekennzeichnet, daß mindestens ein Service erstens die lokale Kennung LK mindestens eines von ihm bereitzustellenden freien Verbindungsendpunktes auswählt und zweitens die genannte logische Kennung LK indirekt via mindestens einem Autorisierungsser vice und mindestens einem Logonservice mindestens einem verbindungswilligen Peripheriethread übermittelt.

24. Netzwerksystem nach einem der Ansprüche 6 bis 8 und 14 bis 23, dadurch gekennzeichnet, daß die Zugangsdaten ZD mindestens einen Schlüssel beinhal ten, welcher Peripheriethread P nach Verbindungsaufbau zu Verbindungsendpunkt VP an Service S übermittelt, und Service S den von Peripheriethread P empfange nen Schlüssel anhand der Zugangsdaten ZD überprüft und die Verbindung zu P nur bestehen läßt, falls die genannte Schlüsselüberprüfung zu einem positiven Ergebnis führt.

25. Netzwerksystem nach einem der Ansprüche 6 bis 8 und 14 bis 24, dadurch gekennzeichnet, daß mindestens ein Teil der Zugangsdaten ZD pseudozufällig oder absolut zufällig erzeugt wird.

26. Netzwerksystem nach einem der Ansprüche 6 bis 8 und 14 bis 25, dadurch gekennzeichnet, daß mindestens ein Teil VTZD der Zugangsdaten ZD verschlüs selt von Logonservice LS an Peripheriethread P übertragen wird und Periphe riethread Mittel beinhaltet, um den verschlüsselt übertragenen Teil VTZD der Zugangsdaten zu entschlüsseln.