DE102005011085A1

DE102005011085A1 - Verfahren zum Durchführen von Abrechnungs- und Vergütungsprozessen in Ad Hoc Netzwerken

Info

Publication number: DE102005011085A1
Application number: DE200510011085
Authority: DE
Inventors: Dirk Westhoff; Bernd Lamparter; Joao Francisco De Lima Lobo Girao
Original assignee: NEC Europe Ltd
Current assignee: NEC Europe Ltd
Priority date: 2005-03-08
Filing date: 2005-03-08
Publication date: 2006-09-14
Also published as: JP2006254420A

Abstract

Ein Verfahren zum Durchführen von Abrechnungs- und Vergütungsprozessen in Ad Hoc-Netzwerken, wobei die Benutzerknoten (1) des Ad Hoc-Netzwerks (2) über einen Access-Router (4) Zugang zu einem festen Netzwerk (5) besitzen und wobei einem Knoten (1, 4), der Daten sendet oder empfängt, Kosten zugewiesen werden, ist dadurch gekennzeichnet, dass dem Access-Router (4) für die Weiterleitung von Datenpaketen zwischen den Benutzerknoten (1) und dem festen Netzwerk (5) eine Vergütung zugewiesen wird und dass die Auswertung und Abrechnung der Kosten- und Vergütungsdaten in gegen Verfälschung gesicherter Weise beim Internet Service Provider (6) erfolgt.

Description

Die Erfindung betrifft ein Verfahren zum Durchführen von Abrechnungs- und Vergütungsprozessen in Ad Hoc Netzwerken, wobei die Benutzerknoten des Ad Hoc Netzwerks über einen Access-Router Zugang zu einem festen Netzwerk besitzen und wobei einem Knoten, der Daten sendet oder empfängt, Kosten zugewiesen werden.

Viele Firmen, Institutionen und Privathaushalte setzen mittlerweile zur Internetanbindung leistungsfähige Verbindungen beispielsweise DSL ein. Die damit erreichte Bandbreite wird häufig nicht nur zur direkten Anbindung eines einzelnen PCs genutzt. Vielmehr bietet sich die Möglichkeit, über drahtlose Access-Router (AR) weitere, meist mobile Endgeräte wie Laptops oder WLAN-fähige PDAs anzubinden. Zusätzlich erreichen mit WLAN ausgerüstete Mobiltelefone ihre Marktreife, wodurch die DSL-Verbindung in großem Umfang auch für Voice over IP (VoIP) genutzt werden könnte.

Werden derartige Anbindungen an das Internet oder ein festes Netzwerk allgemein kommerziell angeboten und so genannte Hotspots aufgebaut, sind Möglichkeiten zur Abrechnung der durch das Übertragen von Datenpaketen entstandenen Kosten notwendig. Dabei sollte die Anbindung so problemlos und benutzerfreundlich wie möglich hergestellt werden können.

Bei drahtlosen Internetanbindungen in Internet-Cafes oder Lufthafen-Lounges sind bereits Lösungen bekannt. Allerdings ist der Aufwand beim Einrichten und Betreiben solcher Hotspots relativ groß. Sowohl zwischen dem Anbieter des drahtlosen Netzwerkzugangs und dem Internet Service Provider (ISP) als auch den ISPs und den mobilen Nutzern müssen einzelne Verträge abgeschlossen werden. Zusätzlich muss auf dem AR entsprechende Software installiert sein und der AR richtig auf den jeweiligen ISP konfiguriert werden.

Als besonders nachteilig erweist sich jedoch die relativ geringe Sicherheit dieser Systeme. Die gesamte Abrechnung des übermittelten Datenvolumens wird hierbei von dem AR des Anbieters des drahtlosen Netzwerkzugangs durchgeführt und die gesammelten Informationen lediglich von Zeit zu Zeit dem ISP zugeleitet. Da diese Informationen nicht geschützt sind, können sie jederzeit ausgelesen und relativ leicht verfälscht werden. Dadurch entstehen den mobilen Nutzern möglicherweise zu hohe Kosten und dem Anbieter des mobilen Netzwerkzugangs werden zu hohe Kompensationen für die übertragenen Datenpakete zugeschrieben.

Im Falle eines Internet-Cafes oder einer Flughafen-Lounge ist dies sicher unproblematisch, da den Anbietern des drahtlosen Internetzugangs ausreichend vertraut und dem ISP administrativer Zugriff auf den AR gewährt werden kann. Beim Aufbau von Hotspots durch Privatpersonen, was einem ISP einen raschen und kostengünstigen Aufbau eines flächendeckenden drahtlosen Netzwerks ermöglicht, müssen die Abrechnungsdaten jedoch ausreichend geschützt werden.

Der vorliegenden Erfindung liegt daher die Aufgabe zugrunde, ein Verfahren zur Durchführung von Abrechnungs- und Vergütungsprozessen in Ad Hoc Netzwerken anzugeben, mit dem eine insbesondere gegen Ausspähung und Verfälschung der Daten sichere Abrechnung der Kosten möglich ist.

Erfindungsgemäß wird die voranstehende Aufgabe durch die Merkmale des Patentanspruchs 1 gelöst. Danach ist das in Rede stehende Verfahren derart ausgebildet, dass dem AR für die Weiterleitung von Datenpaketen zwischen den Benutzerknoten und dem festen Netzwerk eine Vergütung zugewiesen wird und dass die Auswertung und Abrechnung der Kosten- und Vergütungsdaten in gegen Verfälschung gesicherten Weise beim ISP erfolgt.

In erfindungsgemäßer Weise ist zunächst erkannt worden, dass die Auswertung und Abrechnung der Kosten- und Vergütungsdaten im Gegensatz zu der bekannten Praxis vollständig beim ISP durchgeführt werden muss, um eine gegen Verfälschung und unberechtigtem Auslesen sichere Abrechnung zu ermöglichen. Dazu werden erfindungsgemäß die bei Ad Hoc Netzwerken bekannten Protokolle, wie beispielsweise das Secure Incentive based Charging Protocol (SICP), auf das aus Ad Hoc Netzwerk und festem Netzwerk – oder zumindest Teile davon – bestehende Netzwerk erstreckt. Der AR übernimmt dabei lediglich die Weiterleitung von Paketen vom Ad Hoc Netzwerk zu dem festen Netzwerk und erhält dafür eine Vergütung. Erfindungsgemäß werden jedoch keine weiterreichenden Aufgaben bei der Verwaltung der Nutzer oder der Kostenstellung der übermittelten Pakete an den AR übertragen. Erfindungsgemäß werden zusätzlich Sicherheitsmaßnahmen in Form von Verschlüsselung und Signieren der Datenpakete eingesetzt.

In vorteilhafter Weise lässt sich das erfindungsgemäße Verfahren für den Aufbau von Hotspots, vorzugsweise für drahtlosen Internetzugang, auch bei nicht uneingeschränkt vertrauenswürdigen Anbietern einsetzen. Dabei erhöht sich einerseits die Sicherheit der Abrechnungsdaten, andererseits reduziert sich der Aufwand des Anbieters bei dem Betrieb des Hotspots und bei der Abrechnung der Kosten und Vergütungen erheblich.

Hinsichtlich einer besonders einfachen Registrierung können sich alle teilnehmenden Knoten, also die Benutzerknoten und der AR, direkt bei dem ISP registrieren. Nach erfolgreicher Authentifizierung übermittelt der ISP in vorteilhafter Weise zusammen mit einer Bestätigung ein Zertifikat, das von jedem Knoten als Beleg für seine genehmigte Teilnahme in dem Netzwerk verwendet werden kann. Zusätzlich könnte der AR eine Kopie des Zertifikats des Benutzerknoten erhalten, wodurch bereits der AR sicherstellen kann, dass lediglich Pakete von zugelassenen Benutzerknoten weiterleitet werden. In besonders vorteilhafter Weise ist es möglich, dass ein Benutzerknoten während der Dauer der Gültigkeit seines Zertifikats auch Datenpakete über andere AR ohne Neuregistrierung bei dem ISP versendet.

In dem Fall, dass der Benutzerknoten Datenpakete an das feste Netzwerk übermitteln soll, werden die Pakete an den AR gesendet und von dort an den ISP weitergeleitet.

Im Hinblick auf eine einfache Überprüfung der Authentizität der über den AR an das feste Netzwerk gesendeten Pakete kann ein Benutzerknoten vor dem Versenden der Pakete eine digitale Signatur an diese anhängen. Zum späteren Einordnen eines Pakets in die Reihe der bereits vom ISP empfangenen Pakete kann eine Folgenummer angehängt werden, die zusätzlich mit einem Hashwert gesichert werden könnte. Zusätzlich kann das von ISP erhaltene Zertifikat mit dem Datenpaket übermittelt werden.

In vorteilhafter Weise wird das vom AR empfangene Paket eines Benutzerknotens hinsichtlich der Berechtigung seines Absenders überprüft, wobei das an das Paket angehängte Zertifikat mit der gespeicherten Kopie des Zertifikats verglichen wird. Bei erfolgreicher Überprüfung könnte der AR die Hashkette des Pakets unter Ver wendung seines eigenen vom ISP erhaltenen Zertifikats erweitern und/oder das Paket an den ISP übermitteln.

In vorteilhafter Weise können die beim ISP empfangenen Pakete wieder hinsichtlich ihrer korrekten Signaturen überprüft werden. Kann die Berechtigung des Benutzerknotens und des ARs bestätigt werden und ist das Paket zwischen dem Benutzerknoten und dem ISP nicht verändert worden, so wird das Paket entsprechend der vorgesehenen Aufgabe weiterverarbeitet werden.

Zum Durchführen der Abrechnung wird beim ISP jedes empfangene und verifizierte Paket gezählt und die Werte einer AAA(Authentication, Authorization, Accounting)-Architektur zugeführt.

Beim Übermitteln von Daten vom ISP zu den Benutzerknoten kann in vorteilhafter Weise nach einer bestimmten Anzahl von durch den Access-Router weitergeleiteten Paketen der Empfängerknoten zum Übermitteln einer Empfangsbestätigung aufgefordert werden. Bleibt eine Antwort aus, so wird vorzugsweise die Weiterleitung von Paketen abgebrochen. Wird eine Bestätigung des Benutzerknotens empfangen, so wird diese direkt vorzugsweise unter Anhängen des Zertifikats des AR an den ISP weitergeleitet. Auf diese Weise kann überprüft werden, ob die vom ISP an einen Nutzer gesendeten Pakete tatsächlich empfangen und somit die Pakete vom AR weitergeleitet wurden.

Zum Durchführen der Abrechnung der Kosten und Vergütungen können diese Informationen in vorteilhafter Weise an einen AAA-Server des ISP weitergeleitet werden und dort die Kosten für die Übermittlung der Pakete dem Benutzerknoten in Rechnung gestellt und gleichzeitig dem AR eine Vergütung zugewiesen werden.

Bei der Abrechnung könnte generell jedes übertragene Paket gesondert oder die Summe des übertragenen Datenvolumens in Rechnung gestellt werden. Daneben ist es denkbar, dass je nach Art der übertragenen Pakete die Preise nach unterschiedlichen Kriterien erhoben werden. So würde beispielsweise ein VoIP-Datenstrom nach der Anzahl der Pakete, eine Datenverbindung hingegen nach dem gesamten übertragenen Datenvolumen berechnet.

In besonders vorteilhafter Weise ist das erfindungsgemäße Verfahren unabhängig von einer bestimmten Verschlüsselungsmethode. Mögliche Kandidaten für eine digitale Signatur wären beispielsweise ECC (Elliptic Curve Cryptography) und RSA. Als Hashfunktionen kommen beispielsweise die Verfahren im MD5 und SHA-1 in Betracht.

Zusätzlich kann in vorteilhafter Weise in Abhängigkeit der Länge der gesendeten Datenpakete zwischen verschiedenen Verschlüsselungsmethoden und Schlüssel- bzw. Zertifikatlängen gewechselt werden. So können beispielsweise relativ kurze VoIP-Pakete mit einer kürzeren digitalen Signatur versehen werden als die wesentlich längeren Datenpakete.

In vorteilhafter Weise lässt sich das erfindungsgemäße Verfahren auf mehrere AR und verschiedene ISPs erweitern. Durch entsprechende Verträge und die notwendige Infrastruktur können dann die einzelnen Abrechnungsdaten zwischen den ISPs ausgetauscht werden.

Hinsichtlich einer besonders vielfältigen Einsatzweise kann bei dem Anbieter des drahtlosen Netzwerkzugangs zwischen Fremdgeräten und eigenen Geräten unterschieden werden. Dies kann beispielsweise dadurch erreicht werden, dass die eigenen und die fremden Geräte bei WLAN-Anbindung mit unterschiedlichen WEP-Schlüsseln betrieben werden. In Abhängigkeit dieser Schlüssel kann der Access-Router die Kostenlegung selbst vornehmen oder die entsprechenden Informationen an den ISP weiterleiten.

In besonders vorteilhafter Weise kann das erfindungsgemäße Verfahren auf so genannte multihop Ad Hoc Netzwerke angewendet werden. Dabei werden Benutzerknoten nicht direkt an den AR gesendet, da beispielsweise keine Verbindung zwischen den beiden Knoten möglich ist. Um dennoch einen Datenaustausch zu ermöglichen, dient mindestens ein weiterer Benutzerknoten als Zwischenstation auf dem Weg zum AR. Auch diesen Knoten können entsprechend der Anzahl der übertragenen Datenpakete Vergütungen zugeschrieben werden.

Es gibt nun verschiedene Möglichkeiten, die Lehre der vorliegenden Erfindung in vorteilhafter Weise auszugestalten und weiterzubilden. Dazu ist einerseits auf die dem Patentanspruch 1 nachgeordneten Patentansprüche und andererseits auf die nachfolgende Erläuterung eines bevorzugten Ausführungsbeispiels der Erfindung anhand der Zeichnung zu verweisen. In Verbindung mit der Erläuterung des bevorzugten Ausführungsbeispiels der Erfindung anhand der Zeichnung werden auch im Allgemeinen bevorzugte Ausgestaltungen und Weiterbildungen der Lehre erläutert.
In der Zeichnung zeigt
die einzige Fig. eine schematische Darstellung einer Implementierung des erfindungsgemäßen Verfahrens in einem Ad Hoc Netzwerk mit einer DSL-Anbindung.
In der einzigen Fig. ist – schematisch – eine größere Anzahl von Benutzerknoten 1 dargestellt, die sich spontan miteinander vernetzen und so ein drahtloses Ad Hoc Netzwerk 2 bilden. Zur Vernetzung der Benutzerknoten, die insbesondere mobile Geräte umfassen, wird ein WLAN-Netzwerk 3 verwendet. Neben den Benutzerknoten ist ein weiterer Knoten vorhanden, der als AR 4 den Zugang zu einem festen Netzwerk erlaubt. Dieser AR ist über eine DSL-Verbindung 5 mit dem Network Access-Router 6 (NAR) eines ISP verbunden.
Über das WLAN-Netzwerk 3, den AR 4 und die DSL-Verbindung 5 können die Benutzerknoten 1 eine Verbindung mit dem NAR 6 des ISP aufbauen und erhalten somit Zugriff zu dem Internet. Auf diesem Wege kann jeder Benutzerknoten Daten vom ISP beziehen und zu diesem versenden. Ebenso erreichen die Abrechnungsdaten den NAR 6, der die Daten an einen hier nicht dargestellten AAA-Server weiterleitet. Dieser Server übernimmt die Abrechnung der Kosten für die Benutzerknoten und die Vergütungen für den AR.
Auf diese Weise lassen sich private Hotspots aufbauen, wobei deren Betreiber nicht direkt die Kosten mit den Benutzerknoten abrechnen muss. Vielmehr erhält er von dem ISP eine Vergütung in Form von freien Datenpaketen, Geldbeträgen oder Ähnlichem. Die Kosten werden den Benutzern des mobilen Netzwerkzugangs direkt durch den ISP in Rechnung gestellt.
Abschließend sei ganz besonders darauf hingewiesen, dass das voranstehend erörterte Ausführungsbeispiel zur Beschreibung der beanspruchten Lehre dient, diese jedoch nicht auf das Ausführungsbeispiel einschränkt.

Claims

Verfahren zum Durchführen von Abrechnungs- und Vergütungsprozessen in Ad Hoc Netzwerken, wobei die Benutzerknoten (1) des Ad Hoc Netzwerks (2) über einen Access-Router (4) Zugang zu einem festen Netzwerk (5) besitzen und wobei einem Knoten (1, 4), der Daten sendet oder empfängt, Kosten zugewiesen werden, dadurch gekennzeichnet, dass dem Access-Router (4) für die Weiterleitung von Datenpaketen zwischen den Benutzerknoten (1) und dem festen Netzwerk (2) eine Vergütung zugewiesen wird und dass die Auswertung und Abrechnung der Kosten- und Vergütungsdaten in gegen Verfälschung gesicherter Weise bei einem Internet Service Provider (6) erfolgt.
Verfahren nach Anspruch 1, gekennzeichnet durch eine Anwendung bei Hotspots vorzugsweise für einen drahtlosen Internetzugang.
Verfahren nach Anspruch 1 oder 2, dadurch gekennzeichnet, dass der Access-Router (4) mit einem Internet Service Provider (6) verbunden wird.
Verfahren nach einem der Ansprüche 1 bis 3, dadurch gekennzeichnet, dass mindestens ein Benutzerknoten (1) über den Access-Router (4) mit dem Internet Service Provider (6) verbunden wird.
Verfahren nach einem der Ansprüche 1 bis 4, dadurch gekennzeichnet, dass einem Knoten (1, 4) des Ad Hoc Netzwerkes (2) nach der Authentifizierung durch den Internet Service Provider (6) ein Zertifikat übermittelt wird.
Verfahren nach Anspruch 5, dadurch gekennzeichnet, dass das Zertifikat zusammen mit der Bestätigung der erfolgreichen Authentifizierung übermittelt wird.
Verfahren nach einem das Ansprüche 1 bis 6, dadurch gekennzeichnet, dass das Zertifikat für den Benutzerknoten (1) zusätzlich dem Access-Router (4), an dem der Benutzerknoten (1) angemeldet ist, übermittelt wird.
Verfahren nach einem der Ansprüche 1 bis 7, dadurch gekennzeichnet, dass die für das feste Netzwerk (5) bestimmten Pakete von den Benutzerknoten (1) an den Access-Router (4) übermittelt werden.
Verfahren nach einem der Ansprüche 1 bis 8, dadurch gekennzeichnet, dass die Pakete zum Belegen der Authentizität signiert werden.
Verfahren nach einem der Ansprüche 1 bis 9, dadurch gekennzeichnet, dass in die Pakete eine Folgenummer eingefügt wird.
Verfahren nach Anspruch 10, dadurch gekennzeichnet, dass in die Pakete zusätzlich ein Hashwert der Folgenummer eingefügt wird.
Verfahren nach einem der Ansprüche 1 bis 11, dadurch gekennzeichnet, dass durch die Benutzerknoten (1) den Paketen zusätzlich das vom Internet Service Provider (6) erhaltene Zertifikat angehängt wird.
Verfahren nach einem der Ansprüche 1 bis 12, dadurch gekennzeichnet, dass nach Empfang eines Pakets durch den Access-Router (4) die Signatur des Pakets überprüft wird.
Verfahren nach einem der Ansprüche 1 bis 13, dadurch gekennzeichnet, dass ein durch den Access-Router (4) verifiziertes Paket an den Internet Service Provider (6) weitergeleitet wird.
Verfahren nach einem der Ansprüche 1 bis 14, dadurch gekennzeichnet, dass durch den Access-Router (4) den weitergeleiteten Paketen zusätzlich das von dem Internet Service Provider (6) erhaltene Zertifikat angehängt wird.
Verfahren nach einem der Ansprüche 1 bis 15, dadurch gekennzeichnet, dass beim Internet Service Provider (6) die Signatur des Pakets überprüft wird.
Verfahren nach einem der Ansprüche 1 bis 16, dadurch gekennzeichnet, dass bei Empfang eines durch den Internet Service Provider (6) verifizierten Pakets ein Zähler erhöht wird.
Verfahren nach einem der Ansprüche 1 bis 17, dadurch gekennzeichnet, dass ein Benutzerknoten (1) nach einer vorgegebenen Anzahl von an ihn weitergeleiteten Paketen vom Access-Router (4) zu einer Bestätigung des Empfangs aufgefordert wird.
Verfahren nach Anspruch 18, dadurch gekennzeichnet, dass bei ausbleibender Bestätigung die Weiterleitung von Paketen abgebrochen wird.
Verfahren nach Anspruch 18 oder 19, dadurch gekennzeichnet, dass die Bestätigung des Empfangs von dem Access-Router (4) an den Internet Service Provider (6) weitergeleitet wird.
Verfahren nach einem der Ansprüche 1 bis 20, dadurch gekennzeichnet, dass beim Internet Service Provider (6) die Anzahl der von einem Knoten empfangenen und/oder gesendeten Pakete einem AAA (Authentication, Authorization, Accounting) -Server zugeführt wird.
Verfahren nach Anspruch 21, dadurch gekennzeichnet, dass die an den AAA-Server übermittelten Zahlen zur Kostenermittlung für den Benutzerknoten (1) und/oder zur Vergütung des Access-Routers (4) verwendet werden.
Verfahren nach einem der Ansprüche 1 bis 22, dadurch gekennzeichnet, dass neben dem Access-Router (4) auch durch Benutzerknoten (1) Pakete an andere Benutzerknoten (1) weitergeleitet werden.
Verfahren nach Anspruch 23, dadurch gekennzeichnet, dass den Benutzerknoten (1) für das Weiterleiten von Paketen eine Vergütung zugeordnet wird.