DE102004034902B3

DE102004034902B3 - Secure, autonomous data transfer module for e.g. transmitting emails between separate networks, provides read-write access to flash storage medium via separate data connections

Info

Publication number: DE102004034902B3
Application number: DE200410034902
Authority: DE
Inventors: Adrian Degwert
Original assignee: Individual
Current assignee: Individual
Priority date: 2004-07-19
Filing date: 2004-07-19
Publication date: 2005-09-08
Anticipated expiration: 2024-07-20

Abstract

Read/write access to memory from the first network, takes place via the first data connection. Read/write access to the memory from the second network, takes place via the second data connection. The control logic responds to request signals sent out by computers running dedicated applications, connected to the gateway. Current supply is effected via the data connections.

Description

Die Erfindung betrifft ein Datentransfermodul zum Durchschleusen von Daten zwischen zwei voneinander getrennten Netzwerken.The The invention relates to a data transfer module for the passage of Data between two separate networks.

In lokalen Netzwerken von geringer bis mittlerer Größe sind typischerweise einige bis einige zehn Workstations mit einem Server oder mehreren Servern zusammengeschlossen. Eine direkte Internet-Anbindung des geschlossenen Netzwerks oder eine Netzwerkverbindung desselben mit einem direkt mit dem Internet verbundenen "offenen Netzwerk" kommt nicht in Betracht, wenn im lokalen Netzwerk sensible Daten ausgetauscht oder auf Datenträgern des Netzwerks (Workstations, Server oder sonstige Speichermedien) gehalten werden. Da aber ohne Internet-Anbindung keine Dienste verfügbar sind, die nur über das Internet erreichbar sind, insbesondere Email-Dienste, werden in lokalen Netzwerken Verbindungen mit dem Internet über Gateway-Rechner zugelassen.In Local networks of small to medium size are typically some to several tens of workstations with one server or multiple servers together. A direct internet connection of the closed Network or a network connection of the same with one directly with connected to the Internet "open Network "is coming not considered if sensitive data exchanged in the local network or on data carriers of the Network (workstations, servers or other storage media) become. But without internet connection no services available are just over the internet are reachable, especially email services in local networks connect to the Internet through gateway computers authorized.

Gateway-Rechner sind mit Schutzmechanismen (Firewall, Virenscanner) ausgestattet, die Angriffe aus dem Internet abwehren.Gateway computer are equipped with protection mechanisms (firewall, virus scanner), to ward off the attacks from the internet.

Diese Schutzmechanismen versagen jedoch, wenn die Angriffsmethode nicht im voraus bekannt ist.These Protective mechanisms, however, fail if the attacking method fails is known in advance.

Aus der WO 00/11846 A1 ist es bekannt, ein lokales Netzwerk über ein "Schleusenelement" an das Internet anzubinden. Dieses Schleusenelement ist ein NTBA (Net Terminal Basis Adapter) und empfängt die durchzuschleusenden Daten über eine ISDN-Verbindung und gibt sie über eine getrennte ISDN-Verbindung an einen Internet-Server weiter. Es kann jeweils nur eine ISDN-Verbindung aktiv sein. Um die empfangenen Daten an den Internet-Server weiterzuleiten, muß dieser zunächst angewählt werden. Ein hoher Datendurchsatz ist so nicht möglich. Auch kann ein mit dem Standard konformer NTBA nicht eingesetzt werden.Out WO 00/11846 A1 discloses a local network via a "lock element" to the Internet to tie. This lock element is an NTBA (Net Terminal Basis Adapter) and receives the data to be passed through an ISDN connection and give it over a separate ISDN connection to an Internet server on. There can only be one ISDN connection at a time be active. To forward the received data to the Internet server, must this first selected become. A high data throughput is not possible. Also, one can with the Standard compliant NTBA can not be used.

In der WO 99/46882 A2 ist ein Verfahren zur sicheren Verbindung zweier getrennter Netzwerke beschrieben. Die beiden Netzwerke verfügen jeweils über eine Frontend-Schnittstelle, die mit einem Speichermedium wie Festplatte oder Halbleiterspeicher über ein "primitives" Netzwerk, insbesondere eine SCSI-Verbindung, verbunden sind. Die Sicherheit dieser Lösung beruht auf den unterschiedlichen Protokollen, die in den beiden Netzwerken einerseits und in dem "primitiven" Netzwerk andererseits verwendet werden. Konkrete Lösungen zur Steuerung der Lese- und Schreibzugriffe auf das Speichermedium sind aber nicht beschrieben.In WO 99/46882 A2 is a method for the secure connection of two separate networks described. The two networks each have one Front-end interface that works with a storage medium like hard drive or semiconductor memory over a "primitive" network, in particular a SCSI connection. The security of this solution is based on the different protocols that exist in the two networks on the one hand and in the "primitive" network on the other be used. Concrete solutions for controlling the read and write accesses to the storage medium but are not described.

Es sind Halbleiterspeicher in FLASH-Technologie bekannt, die über eine eigene USB-Schnittstelle angeschlossen werden. Ferner ist aus der Firmenschrift "Belkin 4 × 4 USB Peripheral Switch. Share four USB devices with up to four computers. User manual. Compton, CA, USA, Belkin Corporation, 2002" bekannt, dass USB-Vorrichtungen wie Drucker zwischen verschiedenen Computern automatisch oder manuell umgeschaltet werden können.It are known semiconductor memory in FLASH technology, which has a own USB interface can be connected. Furthermore, from the Company publication "Belkin 4 × 4 USB peripheral switch. Share four USB devices with up to four computers. User manual. Compton, CA, USA, Belkin Corporation, 2002 "announced that USB devices such as Printer between different computers automatically or manually can be switched.

Aufgabe der Erfindung ist die Bereitstellung eines einfachen und in vorhandenen Netzwerkumgebungen sowie mit vorhandener Hardware unmittelbar einsetzbaren Datentransfermoduls, mit dem zwei getrennte Netzwerke verbunden werden können, um auf sichere Weise Daten, insbesondere E-mails mit oder ohne Attachment, bidirektional auszutauschen.task The invention is the provision of a simple and existing Network environments as well as existing hardware Data transfer module, connected to the two separate networks can be secure data, in particular e-mails with or without attachment, exchange bidirectionally.

Gelöst wird diese Aufgabe durch das im Patentanspruch 1 angegebene autonome Datentransfermodul. Dieses ist kostengünstig realisierbar und kann unmittelbar an die Gateway-Rechner der beiden Netzwerke angeschlossen werden. Die auf den Gateway-Rechnern ausgeführten dedizierten Applikationen steuern die Lese- und Schreibzugriffe auf das Speichermedium, vorzugsweise ein FLASH-Speicher, mit Anforderungssignalen, auf die die Steuerlogik des Datentransfermoduls anspricht. Dabei erfolgen die Lese- und Schreibzugriffe auf das Speichermedium seitens des ersten Netzwerks über eine Datenverbindung, die getrennt ist von der Datenverbindung, über die seitens des zweiten Netzwerks die Lese- und Schreibzugriffe auf das Speichermedium erfolgen. Zwischen den beiden Netzwerken ist somit keine direkte Datenverbindung vorhanden. Jeglicher Datenaustausch zwischen den getrennten Netzwerken in beiden Richtungen kann nur über eine Zwischenablage auf dem Speichermedium erfolgen. Ein direkter Durchgriff von einem Netzwerk auf das andere ist damit unmöglich.Is solved This object is achieved by the autonomous specified in claim 1 Data transfer module. This is inexpensive and can be realized directly to the gateway computer the two networks are connected. The on the gateway machines executed Dedicated applications control the read and write accesses on the storage medium, preferably a FLASH memory, with request signals, to which the control logic of the data transfer module responds. there The read and write accesses are made on the storage medium on the part the first network via a Data connection that is separate from the data connection over the on the part of the second network read and write accesses the storage medium done. Between the two networks is thus no direct data connection exists. Any data exchange between the separate networks in both directions can only have one Clipboard on the storage medium done. A direct penetration from one network to another is impossible.

Zur Steigerung der Sicherheit ist vorgesehen, dass die Datenverbindungen für die Lese- und Schreibzugriffe auf das Speichermedium getrennt sind von den Netzwerkverbindungen der beiden Netzwerke. Ferner werden die von dem Speichermedium übernommenen Daten unmittelbar nach ihrer Übernahme von dem Speichermedium gelöscht. Außerdem wird das Speichermedium systematisch und in kurzen Zeitabständen komplett gelöscht (mit Ausnahme von notwendigen und im voraus bekannten Daten und Datenstrukturen), so dass etwa eingeschleuste Spionageprogramme oder "Trojaner" vernichtet werden, bevor sie eine Möglichkeit haben, in das jeweils andere Netzwerk einzudringen.to Increased security is provided for the data connections for the Read and write accesses to the storage medium are separated from the network connections of the two networks. Furthermore, the taken over from the storage medium Data immediately after their takeover deleted from the storage medium. Furthermore The storage medium is systematically and in short intervals complete deleted (with the exception of necessary and previously known data and Data structures), so that, for example, introduced espionage programs or "Trojans" are destroyed, before they get a chance have to invade the other network.

Eines der zwei Netzwerke ist typischerweise ein lokales Netzwerk; das andere Netzwerk ist eines mit Internet-Anbindung über ein Gateway und wird daher hier als "offenes Netzwerk" bezeichnet. Allerdings funktioniert das Verfahren symmetrisch, so dass es sich bei dem "ersten Netzwerk" um das lokale Netzwerk und bei dem "zweiten Netzwerk" um das offene Netzwerk handeln kann oder umgekehrt.One of the two networks is typically a local area network; the other network is one with Internet connection via a gateway and is therefore referred to here as an "open network". However, the method works symmetrically so that the "first network" can be the local network and the "second network" can be the open network or vice versa.

Die Erfindung wird nun unter Bezugnahme auf die beigefügten Zeichnungen näher erläutert. In den Zeichnungen zeigen:The The invention will now be described with reference to the accompanying drawings explained in more detail. In the Drawings show:

1 ein Schema eines Netzwerk-Konzepts, in dem das erfindungsgemäße Datentransfermodul zur Anwendung gelangen kann; und 1 a diagram of a network concept in which the data transfer module according to the invention can be applied; and

2 ein Schema eines Datentransfermoduls. 2 a scheme of a data transfer module.

1 zeigt sehr schematisch zwei Netzwerke, die als "Netzwerk A" und "Netzwerk B" bezeichnet werden und voneinander getrennt sind. In diesem Zusammenhang bedeutet "getrennt", dass zwischen den beiden Netzwerken keine direkte Netzwerkverbindung (drahtgebunden oder drahtlos) besteht. Ein Datenaustausch zwischen den Netzwerken A und B ist nur über ein spezielles Speichermedium möglich, wie noch zu erläutern ist. 1 very schematically shows two networks, which are referred to as "Network A" and "Network B" and are separated from each other. In this context, "disconnected" means that there is no direct network connection (wired or wireless) between the two networks. A data exchange between the networks A and B is possible only via a special storage medium, as will be explained.

Das Netzwerk A ist ein "offenes Netzwerk", das einige Workstation-Rechner WS und einen Router enthält, der über eine Firewall die Rechner des Netzwerks A mit dem Internet WWW verbindet, beispielsweise über eine DSL-Verbindung. Das Netzwerk A ist indirekt über das Internet mit einem darin enthaltenen Mailserver verbunden.The Network A is an "open Network, "which some Workstation computer WS and a router contains the over a firewall connecting computers of the network A to the Internet WWW, for example about a DSL connection. The network A is indirectly via the Internet connected to a mail server contained therein.

Das Netzwerk B ist ein lokales Netzwerk, das ebenfalls eine Anzahl von Workstation-Rechnern WS sowie einen oder mehrere Server enthält, hier beispielshalber ein Mailserver und ein Datenbank-Server.The Network B is a local area network that also has a number of Workstation computers WS and one or more servers, here for example, a mail server and a database server.

Zwischen den Netzwerken A und B ist eine "Datenschleuse" eingerichtet, die im Netzwerk A einen Gateway-Rechner "Gateway A" und im Netzwerk B einen Gateway-Rechner "Gateway B" sowie zwischen beiden Netzwerken ein Speichermedium, hier in Form eines Netzwerk-Massenspeichers NAS, aufweist. Gateway A ist über eine Netzwerkverbindung mit einem normalerweise geschlossenen Schalter SW1 an das Netzwerk A angeschlossen. Ebenso ist Gateway B über eine Netzwerkverbindung mit einem normalerweise geschlossenen Schalter SW2 an das Netzwerk B angeschlossen. Mit dem Speichermedium NAS ist Gateway A über eine separate Datenverbindung mit einem normalerweise geöffneten Schalter SW3 nur temporär verbunden. Ebenso ist mit dem Speichermedium NAS Gateway B über eine separate Datenverbindung mit einem normalerweise geöffneten Schalter SW4 nur temporär verbunden. Gateway A steuert die Schalter SW1 und SW3 in solcher Weise, dass immer der eine dieser Schalter geschlossen ist, wenn der andere Schalter geöffnet ist. Ebenso steuert Gateway B die Schalter SW2 und SW4 in solcher Weise, dass immer der eine dieser Schalter geschlossen ist, wenn der andere Schalter geöffnet ist. Das hat zur Folge, dass niemals eine direkte Verbindung zwischen dem Speichermedium NAS und einem der Netzwerke A oder B besteht. Erst recht besteht niemals eine direkte Netzwerkverbindung zwischen den Netzwerken A und B.Between the networks A and B, a "data lock" is set up, the in the network A, a gateway computer "Gateway A" and in the network B, a gateway computer "Gateway B" and between the two Networking a storage medium, here in the form of a network mass storage NAS, has. Gateway A is over a network connection with a normally closed switch SW1 connected to the network A. Likewise, Gateway B is over one Network connection with a normally closed switch SW2 connected to network B. With the storage medium NAS Gateway A is over a separate data connection with a normally open one Switch SW3 only temporary connected. Similarly, with the storage medium NAS Gateway B via a separate data connection with a normally open Switch SW4 only temporary connected. Gateway A controls the switches SW1 and SW3 in such Way that always one of these switches is closed when the other switch is open is. Similarly, gateway B controls the switches SW2 and SW4 in such Way that always one of these switches is closed when the other switch is open is. As a result, there is never a direct link between the storage medium NAS and one of the networks A or B consists. Even more, there is never a direct network connection between the networks A and B.

Auf dem Speichermedium NAS sind zwei separate Verzeichnisse EIN und AUS eingerichtet. Diese Bezeichnungen EIN und AUS sind aus der Perspektive des Lokalen Netzwerks B gewählt. Gateway A legt eingehende Daten aus dem Netzwerk A, insbesondere Emails vom Mailserver aus dem Internet (mit oder ohne Attachments), auf dem Verzeichnis EIN des Speichermediums NAS ab. Gateway B legt ausgehende Daten aus dem Netzwerk B, insbesondere Emails von den Workstations WS (mit oder ohne Attachments), auf dem Verzeichnis AUS des Speichermediums NAS ab. Gateway A liest alle im Verzeichnis AUS des Speichermediums NAS aufgefundenen Daten aus, versendet sie an den Mailserver im Internet und löscht die ausgelesenen Daten im Verzeichnis AUS sofort anschließend. Gateway B liest alle im Verzeichnis EIN des Speichermediums NAS aufgefundenen Daten aus, versendet sie an den Mailserver des Netzwerks B und löscht die ausgelesenen Daten im Verzeichnis EIN sofort anschließend. Bei dem hier angenommenen Beispiel sorgt der Mailserver des lokalen Netzwerks B für die Verteilung der empfangenen Daten (insbesondere Emails mit oder ohne Attachment) auf die verschiedenen Workstations WS des Netzwerks B.On the storage medium NAS are two separate directories ON and OFF furnished. These terms ON and OFF are from the perspective of the local network B selected. Gateway A places incoming data from network A, in particular Emails from the mail server from the internet (with or without attachments), on the directory ON of the storage medium NAS. Gateway B sets outgoing data from the network B, in particular emails from the Workstations WS (with or without attachments), on the directory OFF from the storage medium NAS. Gateway A reads all in the directory Data retrieved from the storage medium NAS, sends them to the mail server on the Internet and deletes the read data immediately afterwards in the directory AUS. Gateway B reads all in the ON directory of the NAS storage device, send it to the mail server of network B and delete the immediately afterwards read data in the directory ON. at The example assumed here takes care of the local mail server Network B for the distribution of received data (especially emails with or without attachment) to the various workstations WS of the network B.

Auf Gateway A wird eine dedizierte Anwendung ausgeführt, welche die für die beschriebenen Vorgänge erforderlichen Zugriffe auf das Speichermedium NAS und die Schalter SW1, SW3 steuert. Ebenso wird auf dem Gateway B eine dedizierte Anwendung ausgeführt, welche die für die beschriebenen Vorgänge erforderlichen Zugriffe auf das Speichermedium NAS und die Schalter SW2, SW4 steuert.On Gateway A is running a dedicated application, which required for the described operations Accesses to the storage medium NAS and the switches SW1, SW3 controls. As well At the gateway B, a dedicated application is executed which the for the procedures described Required accesses to the storage medium NAS and the switches SW2, SW4 controls.

Zur Steigerung der Sicherheit des Verfahrens werden alle in der einen oder anderen Richtung übertragenen Daten unmittelbar nach ihrer Versendung auf dem Speichermedium gelöscht. Damit das Speichermedium NAS nicht zur Einschleusung von aggressiven Daten in das lokale Netzwerk missbraucht werden kann, werden zudem systematisch alle Verzeichnisse dieses Speichermediums, mit Ausnahme von im voraus bekannten Daten und Datenstrukturen, komplett gelöscht. Das ist möglich, weil vorausgesetzt wird, dass zuvor alle in der einen oder anderen Richtung übertragenen Daten nach ihrer Versendung gelöscht wurden, so dass etwa verbleibende Daten suspekt sind und vorsichtshalber gelöscht werden.To increase the security of the process, all data transferred in one direction or the other will be erased immediately after being sent to the storage medium. In order to prevent the storage medium NAS from being misused for introducing aggressive data into the local network, all directories of this storage medium, with the exception of previously known data and data structures, are systematically deleted. That is possible, because it is assumed that all data transmitted in one direction or the other before has been deleted after being sent, so that any remaining data is suspect and deleted as a precautionary measure.

Anstatt auf dem Speichermedium NAS verschiedene Verzeichnisse EIN und AUS zu verwenden, ist in Weiterbildung des Verfahrens vorgesehen, eine von einer Datenbank-Maschine des lokalen Netzwerks B verwaltete Tabelle mit BLOB (Binary Large Object) -Feldern zu verwenden, in denen die zu transferierenden Daten (z.B. E-mails mit oder ohne Attachment) gehalten werden. Die Datenbank-Maschine kann die Daten überdies verschlüsseln, und nur die auf den Gateway-Rechnern A und B laufenden dedizierten Anwendungen kennen den benötigten Schlüssel, um die Daten zu entschlüsseln.Instead of on the storage medium NAS different directories ON and OFF to use, is provided in training of the procedure, a managed by a local network B database machine Table with BLOB (Binary Large Object) fields to use in which the data to be transferred (e.g. e-mails with or without Attachment) are held. The database engine can also do the data encrypt and only those running on the gateway machines A and B dedicated Applications know what they need Key, to decrypt the data.

Die in 2 gezeigte, erfindungsgemäße Ausführungsform eines Datentransfermoduls wird an Stelle des Speichermediums NAS verwendet.In the 2 shown embodiment of a data transfer module according to the invention is used in place of the storage medium NAS.

Das in 2 gezeigte Datentransfermodul hat ein Speichermedium, hier als M bezeichnet, das vorzugsweise als FLASH-Speicher ausgebildet ist, und weist eine serielle Schnittstelle vom Typ USB auf. Das Datentransfermodul hat ferner zwei Datenanschlüsse D1 und D2 und einen Umschalter SW5, durch den die Schnittstelle des Speichermediums M selektiv mit dem einen oder dem anderen der Datenanschlüsse D1, D2 verbunden wird. Der Datenanschluss D1 ist über eine serielle Datenleitung mit dem Gateway-Rechner Gateway A und der Datenanschluss D2 über eine getrennte serielle Datenleitung mit dem Gateway-Rechner Gateway B verbunden. Das Speichermedium M wird somit selektiv zwischen den Gateway-Rechnern Gateway A und Gateway B umgeschaltet. Die Steuerung des Umschalters SW5 erfolgt mit einer Steuer-Logik, die auf die Anforderungen durch die dedizierten Anwendungen von Gateway A und Gateway B anspricht. Diese Anforderungen können über separate Steuerleitungen übertragen werden, wie in 2 gezeigt, oder direkt über die seriellen Datenleitungen. Das Datentransfermodul bildet ein eigenständiges peripheres Gerät, das autonom ist und keiner eigenen Stromversorgung bedarf, da der Stromverbrauch sehr gering ist und verfügbare serielle Systeme wie USB die Stromversorgung über eine Busleitung mitliefern.This in 2 shown data transfer module has a storage medium, referred to here as M, which is preferably designed as a FLASH memory, and has a serial interface of the type USB. The data transfer module further has two data ports D1 and D2 and a switch SW5 by which the interface of the storage medium M is selectively connected to one or the other of the data ports D1, D2. The data connection D1 is connected via a serial data line to the gateway computer Gateway A and the data connection D2 via a separate serial data line to the gateway computer Gateway B. The storage medium M is thus selectively switched between the gateway computers Gateway A and Gateway B. The control of the switch SW5 is done with a control logic responsive to the requirements of the dedicated applications of Gateway A and Gateway B. These requirements can be transmitted via separate control lines, as in 2 shown, or directly over the serial data lines. The data transfer module is a stand-alone peripheral device that is autonomous and does not require its own power supply, since the power consumption is very low and available serial systems such as USB supply the power supply via a bus line.

Claims

Autonomous data transfer module with a storage medium, which has a serial USB data interface, two separate ones Data ports, a switching device, the storage medium on the Data interface selectively with one or the other data port connects, and a control logic controlling the switching device, for passing data between two separate ones Networks using the storage medium to which: a) for the Passing the data from the first to the second network a gateway computer of the first network writing accesses the storage medium and put the data to be passed through there, b) for the takeover of data stored on the storage medium from the first network a gateway computer the second network reading accesses the storage medium, c) for the Passing the data from the second to the first network a gateway computer of the second network writing accesses the storage medium and puts the data to be passed through there, and d) for the takeover of data stored on the storage medium from the second network a gateway computer the first network reading accesses the storage medium; in which - the reading and write accesses to the storage medium by the first network via the first data connection and the read and write accesses on the storage medium from the second network via the second data connection; - The control logic on request signals responds to those running on the gateway machines dedicated Applications are submitted; - the power supply over the data connections he follows.

The data transfer module of claim 1, wherein the storage medium is a FLASH memory.