DE102006041341A1

DE102006041341A1 - Verfahren und Vorrichtung zur sicheren Kommunikation in einer Punkt-zu-Punkt Verbindung

Info

Publication number: DE102006041341A1
Application number: DE200610041341
Authority: DE
Inventors: Martin Prof. Kappes; Werner Prof. Filip
Original assignee: FACHHOCHSCHULE FRANKFURT
Current assignee: FACHHOCHSCHULE FRANKFURT
Priority date: 2006-09-01
Filing date: 2006-09-01
Publication date: 2008-03-20

Abstract

Verfahren zum automatischen Aufbau von Netzwerkebenensicherheitsmechanismen, die zwischen zwei Endpunkten aufgebaut werden, umfassend die folgenden Schritte: - Analyse des Netzwerkdatenflusses zur Erkennung von Verbindungsaufbauversuchen zwischen Systemen durch ein Datenflusserkennungsmodul; - Zugreifen des Datenflusserkennungsmoduls auf eine Datenbank, die Regelinformationen verwaltet, aus denen ersichtlich ist, für welchen Netzwerkdatenfluss eine Absicherung notwendig ist oder nicht; - Absicherung des Netzwerkdatenflusses auf Netzwerkebene zwischen den Systemen, falls die Regeln eine Absicherung bestimmen, indem eine sichere Kommunikationsverbindung auf Netzwerkebene aufgebaut wird; - Kommunikation über die abgesicherte Netzwerkebene bis zum Eintreten eines Ereignisses, das die Auflösung der sicheren Kommunikation bestimmt.

Description

Die vorliegende Erfindung betrifft ein Verfahren und eine Vorrichtung zur Bereitstellung eines automatisch sicheren Kommunikationsflusses durch die Verwendung von Verschlüsselungstechniken auf Netzwerkebene. Insbesondere kann die vorgeschlagene Erfindung verwendet werden, um den Datenfluss von einer Kommunikationsverbindung Ende-zu-Ende oder Teilverbindungen zu sichern, und überwindet dabei Probleme, die durch den aktuellen Stand der Technik nicht gelöst werden können. Bei dem vorliegenden Ansatz sind keinerlei Änderungen an existierenden Anwendungen notwendig, so dass die Erfindung folglich mit jeder Anwendung zusammenarbeitet.
Gebiet der Erfindung:
In den letzten Jahren ist die Sicherheit von Netzwerkanwendungen immer mehr in den Mittelpunkt gerückt worden. Um den Datenfluss gegen aktive oder passive Attacken zu sichern, ist es notwendig, die Verbindung zwischen den Endpunkten, die bei einer Kommunikation beteiligt sind, durch die Verwendung von kryptographischen Verfahren zu sichern.
Die Verbindungen in einem Kommunikationsnetzwerk können auf allen Ebenen (Layern) des Netzwerks geschützt werden. Typischerweise sind individuelle Verbindungen und Flüsse Ende-zu-Ende der Anwendungsebene oder Transportebene durch Protokolle wie z. B. SSL oder TLS gesichert, wohingegen durch die Verschlüsselung auf der Netzwerk-Ebene alle Pakete verschlüsselt werden, die von einer spezifischen Maschine zu einer anderen spezifischen Maschine innerhalb des Netzwerks gesendet werden, wobei es sich bei diesen Maschinen nicht notwendigerweise um Quelle und Ziel der Pakete handeln muss. Es kann sich dabei auch um Netzwerksegmente handeln. Sicherheitsprotokolle auf der Netzwerkebene werden oftmals eingesetzt, um VPNs (Virtual Private Networks) aufzubauen, die Protokolle wie IPSec oder PPTP, L2TP verwenden.
Durch die Absicherung des Datenflusses auf der Anwendungsebene oder der Transportebene kann für viele Anwendungen eine ausreichende Sicherheit gewährleistet werden, jedoch weisen diese Ansätze Nachteile im Vergleich zu Sicherheitsansätzen auf, die auf der Netzwerkebene arbeiten. So ist es zum Beispiel notwendig, eine Unterstützung der Verschlüsselung in der Transportebene oder in der Anwendungsebene zu integrieren, wodurch eine Veränderung der Anwendung beziehungsweise deren Code notwendig wird, falls ein entsprechendes Transportebenen- oder Anwendungsebenen-Sicherheitsverfahren verwendet werden soll. Ferner können Benutzer, die hohe Sicherheitsanforderungen haben, die Verbindungen von Anwendungen nur dann absichern, wenn die Verwendung von Transport- oder Anwendungsebenensicherheitsmechanismen möglich sind. Falls die Anwendung dieses nicht unterstützt ist eine Absicherung nicht möglich und somit eine Nutzung ausgeschlossen.
Aus dem Stand der Technik bekannte Anwendungen erlauben es nicht, automatisch sichere Verbindungen zwischen zwei Maschinen auf der Netzwerkebene herzustellen. Solche Verbindungen werden in der Regel manuell bzw. nicht anwendungsspezifisch über einen VPN-Tunnel hergestellt. Hieraus ergibt sich, dass die Kommunikation meistens auf der Transportebene oder der Anwendungsebene gesichert wird, auch wenn dies eine Reihe von signifikanten Nachteilen mit sich bringt.
Überblick über die Erfindung:
Aufgabe der vorliegenden Erfindung ist es folglich, ein Verfahren bereitzustellen, dass die Vorteile der Anwendungsebenenverschlüsselung mit den Vorteilen der Netzwerkebenenverschlüsselung kombiniert.
Gelöst wird diese Aufgabe durch eine Erfindung mit den Merkmalen der unabhängigen Ansprüche.
Im Folgenden wird eine neue Technik vorgestellt, die die Sicherheit für einen neu entstehenden Datenfluss zwischen Kommunikationspunkten durch die Verwendung von Netzwerkebenen-Sicherheitsmechanismen, wie z. B. IPsec, erlaubt. Das vorgeschlagene Verfahren erfordert keinerlei Änderungen in existierenden Anwendungen und arbeitet somit in Verbindung mit nahezu allen Anwendungen. Angesichts der vorher genannten Nachteile und Mängel der Anwendungen, die auf der Transportebene basierenden Sicherheitsmechanismen verwenden, stellt die hier vorgeschlagene Erfindung, die Verbindungen automatisch auf der Netzwerkebene sichert, einen signifikanten Vorteil für eine sichere Kommunikation im Netzwerk dar. Die vorliegende Technik kann somit unabhängig vom Typ der Anwendung oder dem Transportebenenprotokoll verwendet werden. Insbesondere arbeitet die Erfindung mit TCP und UDP.
Die vorliegende Erfindung ermöglicht den automatischen Aufbau von Netzwerkebenensicherheitsmechanismen bzw. Verschlüsselungsmechanismen, die zwischen zwei (End-)Punkten (Teilsegmente sind denkbar) aufgebaut werden. Hierbei wird die vorliegende Erfindung genutzt, ohne dass dabei Änderungen an den Anwendungen beziehungsweise den Diensten vorgenommen werden müssen, da Protokolle wie IPsec verwendet werden.
Falls eine Anwendung versucht, eine neue Verbindung zu einem anderen Partner aufzubauen, wird der Datenfluss durch das Datenflusserkennungsmodul erkannt. Das Datenflusserkennungsmodul greift auf eine Datenbank zu, die Regelinformationen verwaltet, aus denen ersichtlich ist, für welchen Datenfluss eine sichere Einstellung notwendig ist oder nicht. Der Grad der Verfügbarkeit der Datenflussinformation hängt von der gewählten Implementierung der Erkennungsvorrichtung ab. Diese Regeln können auf Informationen basieren, wie IP-Quelladressen, IP-Zieladresse, IP-Protokoll-Typfeld, TCP/UDP-Quellen-Port, Ziel-Port, Protokollinformationen auf einer höheren Ebene (insbesondere RTP), Typ der Anwendung, die ID des Besitzers der Anwendung oder jegliche Kombination davon, wobei diese Aufzählung nur einige Möglichkeiten darstellt und eine Begrenzung auf diese Möglichkeiten nicht beabsichtigt ist. Weiterhin können Regeln der Kommunikationspartner untereinander berücksichtigt werden, die z. B. besagen, dass nur bestimmte Anwendungen mit Bezug zu bestimmten Partnern zu verschlüsseln sind. Falls die Datenflussvorrichtung bestimmt, dass der Datenfluss geschützt werden soll, wird das Sicherheitsmodul über den Fluss informiert und bestimmt ein Sicherheitsverfahren.
Basierend auf der Identität des Kommunikationspartners, die sich aus den Datenflussinformationen und der Regeldatenbank ergibt, werden Informationen von der Partnerdatenbank erlangt, um zu bestimmen, welches Verfahren anzuwenden ist, und um dann die Netzwerkebenenverschlüsselung aufzubauen. Ferner wird überprüft, ob dieses Verfahren bereits für die Kommunikation mit dem Partner verwendet wird. So kann zum Beispiel schon eine vorher aufgebaute Datenkommunikation bestehen, die ebenfalls als gesicherte Kommunikation ausgebildet ist. Falls eine neue sichere Verbindung aufgebaut werden muss, kontaktiert das Sicherheitsmodul den Partner am anderen Kommunikationsende, um den Sicherheitsmechanismus auszuhandeln und um dann die sichere Kommunikation gemäß den lokalen Regeln an beiden Endpunkten aufzubauen. Das Sicherheitsmodul überprüft, ob das ausgewählte Verfahren, das durch die Regeln vorgegeben wurde, unter Berücksichtigung von Informationen in der Partnerinformationsdatenbank mit dem anderen Kommunikationsendpunkt genutzt werden kann. Falls dies nicht der Fall ist, können externe Server, wie z. B. ein PKI-Server einbezogen werden, um die benötigten kryptografischen Schlüssel oder ähnliches zu erlangen. Diese Geheimnisse werden dann verwendet, um eine sichere Verbindung auf der Netzwerkebene aufzubauen.
Abhängig von den Regeln kann es notwendig sein, die Identität einer Maschine oder eines Benutzers zu bestätigen, um eine sichere Verbindung aufzubauen. Aus diesem Grunde kann das Sicherheitsmodul ebenfalls ein GUI aufweisen, das den Benutzer über den neuerlich erkannten Datenfluss informiert und den aktuellen Vorgang beziehungsweise den Zustand der verschlüsselten Kommunikation anzeigt. Ferner kann der Benutzer ebenfalls alarmiert werden, falls die Verschlüsselung der Kommunikation nach den vorgegebenen Regeln fehlschlägt. Auch kann das GUI verwendet werden, um notwendige Eingaben durch den Benutzer, wie z. B. ein Passwort, Pins oder Tans einzufordern. Ferner kann das System ebenfalls in Verbindung mit einem Zwei-Faktorauthentifizierungsmechanismus, wie Smartcards oder Tokens verwendet werden.
Falls eine Absicherungsvorschrift gefunden wurde, die notwendig ist, die jedoch, aus welchen Gründen auch immer, nicht berücksichtigt werden konnte, können unterschiedliche Aktionen durchgeführt werden, die wiederum von den Regeln und den Systemfähigkeiten der einzelnen Systeme abhängen. In einigen Ausführungsformen der vorliegenden Erfindung werden Pakete, die zu dem jeweiligen Datenfluss gehören, abgefangen und vernichtet. Mit anderen Worten, es wird der Kommunikationsversuch der Anwendung abgefangen, so dass dieser fehlschlägt. Es ist ebenfalls möglich, den Benutzer zu alarmieren, so dass dieser darüber informiert ist, dass die Kommunikation ohne jegliche Verschlüsselung fortgeführt wird. Ebenfalls könnte der Benutzer durch eine Eingabeaufforderung benachrichtigt werden, so dass er entscheiden kann, ob die Kommunikation in gesicherter oder ungesicherter Weise fortgesetzt werden soll.
Gesicherte Verbindungen auf Netzwerkebene können ebenfalls beendet werden, falls die Regeln einen Abbruch der sicheren Verbindung nach dem Ende des Datenflusses bestimmen. Dies kann durch eine Vielzahl von Mitteln überprüft werden. Diese Mittel umfassen die Beobachtung des Netzwerkverkehrs, so dass das Ende der Nachrichtübermittlung erkannt werden kann, alternativ kann auch die Beobachtung eines Timeouts berücksichtigt werden.
Figurenbeschreibung:
Im Folgenden werden die Figuren kurz beschrieben.
1 zeigt einen schematischen Aufbau der Erfindung, wobei zwei Kommunikationspartner miteinander kommunizieren, die jeweils die erfindungsgemäßen Komponenten aufweisen.
2 zeigt die Kommunikationsschritte zwischen den Endpunkten A und B in zeitlicher Hinsicht, die vor und nach dem eigentlichen Datenfluss notwendig sind.
Beschreibung der bevorzugten Ausführungsformen:
Die 1 zeigt die Komponenten der einzelnen Kommunikationspartner, die in der Regel identisch aufgebaut sind. Das Ziel der Flusserkennungsvorrichtung liegt darin, einen neuen Kommunikationsfluss zu erkennen. Die tatsächliche Erkennung von neu aufgebauten Datenflüssen kann in vielfacher Weise erreicht werden. In der bevorzugten Ausführungsform konzentriert man sich auf die Erkennung und das Abfangen von Paketen. Bei einem Linux basierten System kann dies vereinfacht werden durch die Verwendung der packet capture library (libpcap), Tools wie TCPdump oder Ethereal, oder mit netlink-targes in Verbindung mit Linux-Firewall Mechanismen. Es versteht sich, dass diese Aufzählung nur eine beispielhafte Aufzählung ist und in keiner Weise eine Beschränkung darstellen soll. Alternative Ansätze auf unterschiedlichen Ebenen mit anderen Tools sind natürlich denkbar.
Gerade die Verfügbarkeit von Informationen hängt im Wesentlichen davon ab, wie die Flusserkennungsvorrichtung implementiert wurde. Informationen wie z. B. IP-Quelladresse, IP-Zieladresse, IP-Protokoll-Typfeld, TCP/UDP-Quell-Port, Zielport, Protokollinformationen auf höheren Ebenen (insbesondere RTP) können bereits durch das Untersuchen der abgefangenen Pakete erlangt werden. Weiterhin können durch Abfragen von zusätzlichen Informationen, die vom Betriebssystem bereitgestellt werden, der aktuelle Typ der Anwendung, Prozessidentifikationen, ausführender Benutzer etc. bestimmt werden.
Die Flusserkennungsvorrichtung greift auf eine Datenbank zu, die die Regelinformationen enthält, aus denen ersichtlich ist, für welchen Datenfluss eine Sicherheitsvorgabe besteht, so dass auf der Basis dieser Daten entschieden werden kann, ob eine sichere Verbindung aufgebaut werden soll oder nicht. Falls die Datenfluss-Erkennungsvorrichtung bestimmt, dass der Datenfluss geschützt werden soll, wird das Sicherheitsmodul darüber informiert und eine Absicherung des Datenflusses wird initiiert.
Wie bereits oben erwähnt wurde, können unterschiedliche Aktionen eingeleitet werden, falls festgestellt wird, dass eine notwendige Absicherung des Datenflusses aus welchem Grund auch immer nicht aufgebaut werden kann. Die unterschiedlichen Aktionen hängen von den Regeln und den Systemfähigkeiten der Partner ab.
In einer bevorzugen Ausführungsform der vorliegenden Erfindung ist es möglich, einen ungeschützten Datenfluss nicht entstehen zu lassen. Dies kann z. B. bei einem Linux basierten System dadurch erreicht werden, dass netlink-target verwendet wird.
Das Sicherheitsmodul basiert auf der Bestimmung der Identität des Kommunikationspartners, der aus den Daten des Informationsflusses ermittelt wurde, und der Regeldatenbank, wobei Informationen von der Partnerinfodatenbank erlangt werden, um die anwendbaren Verfahren und Regeln zu bestimmen, die verwendet werden sollen, um die Sicherheit auf der Netzwerkebene aufzubauen.
Ferner wird das Sicherheitsmodul des Kommunikationspartners kontaktiert. Ein beispielhafter Informationsaustausch wird in 2 gezeigt.
In einem ersten Schritt wird überprüft, ob ein Datenfluss zwischen den beiden Endpunkten bereits besteht und ob dieser abgesichert ist. Dies kann der Fall sein durch eine vorher aufgebaute Datenverbindung zwischen den Maschinen. Falls notwendig, wird eine neue Sicherheitszuweisung aufgebaut. Das Sicherheitsmodul kontaktiert den Partner auf einem anderen Kommunikationsendpunkt (in der Regel Port), um einen Mechanismus zu vereinbaren, der die Kommunikation gemäß den lokalen Regeln an beiden Endpunkten absichert. Das Sicherheitsmodul überprüft, ob die ausgewählten Mechanismen, die durch die Regeln vorgegeben werden, mit Hilfe der Informationen in der Partner-Datenbank mit dem anderen Kommunikationsendpunkt genutzt werden können. Falls dies nicht der Fall ist, können externe Server, wie z. B. PKI-Schlüsselserver, berücksichtigt werden, um die notwendigen Verschlüsselungsschlüssel oder ähnliches zu erlangen. Diese Geheimnisse werden dann verwendet, um eine sichere Netzwerkverbindung aufzubauen. Nachdem die sichere Verbindung aufgebaut wurde, können sich die Partner zu Kontrollzwecken benachrichtigen.
Die vorliegende Erfindung kann ebenfalls indirekte Kommunikationsverbindungen zwischen Endpunkten absichern, die über einen oder mehrere Proxy- oder entsprechende Anwendungsgateways aufgebaut wurden. In diesem Falle läuft auf dem Proxy ebenfalls die vorliegende Erfindung und sichert die Verbindung zwischen dem Proxy, Client und/oder dem Server ab. Diese erfolgt durch das Analysieren von ankommenden und ausgehenden IP-Paketen oder tiefer gehend durch eine Paket-Analyse. Eine detaillierte Beschreibung dieses Modus ist bekannt und kann somit außer Acht gelassen werden.
Die beschriebenen bevorzugten Ausführungsformen dienen lediglich zum Zwecke der Erklärung. Es ist nicht beabsichtigt den Schutzumfang der Erfindung dahingehend einzuschränken. Der Schutzumfang bestimmt sich vielmehr durch die beigefügten Ansprüche.

10: Endpunkt A
10a: Endpunkt B
11, 11a: Regelmanager
12, 12a: Datenflusserkennungsmodul
13, 13a: Regeldatenbank
14, 14a: Partnerdatenbank
15, 15a: Sicherheitsmodul
16: Netzwerk mit Datenfluss
17: Vereinbarung zur Kommunikation
18: PKI-Server
21: Beendigung der Verbindung
22: Abgesicherter Datenfluss
23: Bestätigung für den abgesicherten Datenfluss
24: Bestätigung für den abgesicherten Datenfluss
25: Authentifikationsphase
26: Sicherheitsflussantwort
27: Sicherheitsflussanfrage
28: Endpunkt A
29: Endpunkt B

Claims

Verfahren zum automatischen Aufbau von Netzwerkebenensicherheitsmechanismen, die zwischen zwei Netzwerkpunkten aufgebaut werden, umfassend die folgenden Schritte: – Analyse des Netzwerkdatenflusses zur Erkennung von Verbindungsaufbauversuchen zwischen Systemen durch ein Datenflusserkennungsmodul; – Zugreifen des Datenflusserkennungsmoduls auf eine Datenbank, die Regelinformationen verwaltet, aus denen ersichtlich ist, für welchen Netzwerkdatenfluss eine Absicherung notwendig ist oder nicht; – automatische Absicherung des Netzwerkdatenflusses auf Netzwerkebene zwischen den Systemen, falls die Regeln eine Absicherung bestimmen, indem eine sichere Kommunikationsverbindung auf Netzwerkebene aufgebaut wird; – Kommunikation über die abgesicherte Netzwerkebene bis zum Eintreten eines Ereignisses, das die Auflösung der sicheren Kommunikation bestimmt.
Das Verfahren nach dem vorhergehenden Anspruch, wobei eine Absicherung auf IP-Protokoll-Ebene erfolgt.
Das Verfahren nach dem vorhergehenden Anspruch, wobei IPsec, PPTP oder L2TP verwendet wird.
Das Verfahren nach einem oder mehreren der vorhergehenden Ansprüche, wobei die Regeln auf einem oder mehreren der folgenden Informationen basieren können: IP-Quelladressen, IP-Zieladresse, IP-Protokolltypfeld, TCP/UDP-Quell-Port, Ziel-Port, Protokollinformationen auf einer höheren Ebene, insbesondere RTP, Typ der Anwendung, die ID des Besitzers der Anwendung.
Das Verfahren nach einem oder mehreren der vorhergehenden Ansprüche, wobei basierend auf der Identität des Kommunikationspartners, die sich aus den Datenflussinformationen und der Regeldatenbank ergibt, Informationen bestimmt werden, welches Verfahren anzuwenden ist, um auf der Netzwerkebene eine Absicherung aufzubauen.
Das Verfahren nach einem oder mehreren der vorhergehenden Ansprüche, wobei überprüft wird, ob nicht schon eine ausreichend sichere Verbindung zwischen den Systemen aufgebaut ist, um diese dann zu verwenden.
Das Verfahren nach einem oder mehreren der vorhergehenden Ansprüche, wobei ein Sicherheitsmodul überprüft, ob das ausgewählte Verfahren, das durch die Regeln vorgegeben wurde, unter Berücksichtigung von Informationen in einer Partnerinformationsdatenbank mit dem anderen Kommunikationsendpunkt genutzt werden kann, falls dies nicht der Fall ist, werden externe Server, insbesondere ein PKI-Server einbezogen, um die benötigten kryptografischen Schlüssel zu erlangen, um eine sichere Verbindung auf Netzwerkebene mit diesen aufzubauen.
Das Verfahren nach dem vorhergehenden Anspruch, wobei das Sicherheitsmodul ein GUI aufweist, – das den Benutzer über den neuerlich erkannten Datenfluss informiert und den aktuellen Vorgang oder den Zustand der verschlüsselten Kommunikation anzeigt, oder – den Benutzer alarmiert, falls die Absicherung der Kommunikation nach den vorgegebenen Regeln fehlschlägt; oder – eine notwendige Eingabe durch den Benutzer einfordert, wie ein Passwort, Pins oder Tans.
Das Verfahren nach einem oder mehreren der vorhergehenden Ansprüche, wobei der Datenfluss unterbunden wird, falls keine Regel vorhanden ist.
Das Verfahren nach einem oder mehreren der vorhergehenden Ansprüche, wobei die Pakete, die zu dem Datenfluss gehören, weitergleitet werden, wobei der Benutzer alarmiert wird, so dass dieser darüber informiert ist, dass die Kommunikation fortgeführt wird ohne jegliche Verschlüsselung oder der Benutzer wird durch eine Eingabeaufforderung aufgefordert zu entscheiden, ob die Kommunikation in geschützter oder ungeschützter Weise fortgesetzt werden soll.
Das Verfahren nach einem oder mehreren der vorhergehenden Ansprüche, wobei in Abhängigkeit von Ereignissen ein Auflösen der Verbindung erfolgt.
Das Verfahren nach dem vorhergehenden Anspruch, wobei eine Beobachtung des Netzwerkverkehrs erfolgt, so dass das Ende der Nachrichtübermittlung erkannt werden kann, oder ein Timeout erkannt wird.
Das Verfahren nach einem oder mehreren der vorhergehenden Ansprüche, wobei die Absicherung des Datenflusses über einen oder mehrere Proxy- oder entsprechende Anwendungsgateways erfolgt, diese analysieren ankommende und ausgehende IP-Pakete oder führen eine tiefer gehende Paket-Analyse durch.
Vorrichtung zum automatischen Aufbau von Netzwerkebenensicherheitsmechanismen, die zwischen zwei Netzwerkpunkten aufgebaut werden, umfassend die folgenden Komponenten: – Ein Datenflusserkennungsmodul zur Analyse des Netzwerkdatenflusses und zur Erkennung von Verbindungsaufbauversuchen zwischen Systemen; – Eine Datenbank mit Mitteln, die einen Zugriff des Datenflusserkennungsmoduls erlaubt, wobei die Datenbank Regelinformationen verwaltet, aus denen ersichtlich ist, für welchen Netzwerkdatenfluss eine Absicherung notwendig ist; – Ein Sicherungsmodul zur Absicherung des Netzwerkdatenflusses auf Netzwerkebene zwischen den Systemen, falls die Regeln eine Absicherung bestimmen, so dass eine sichere Kommunikationsverbindung auf Netzwerkebene aufgebaut wird.
Die Vorrichtung nach dem vorhergehenden Anspruch, wobei das Sicherungsmodul Mittel aufweist, um eine Absicherung auf IP-Protokoll-Ebene durchführt.
Die Vorrichtung nach dem vorhergehenden Anspruch, wobei IPsec, L2TP, PPTP verwendet wird.
Die Vorrichtung nach einem oder mehreren der vorhergehenden Vorrichtungsansprüche, wobei die Regeln in der Datenbank auf einem oder mehreren der folgenden Informationen basieren: IP-Quelladressen, IP-Zieladresse, IP-Protokoll-Typfeld, TCP/UDP-Quellen-Port, Ziel-Port, Protokollinformationen auf einer höheren Ebene, insbesondere RTP, Typ der Anwendung, die ID des Besitzers der Anwendung.
Die Vorrichtung nach einem oder mehreren der vorhergehenden Vorrichtungsansprüche, wobei das Sicherungsmodul so eingerichtet ist, dass basierend auf der Identität des Kommunikationspartners, die sich aus den Datenflussinformationen und der Regeldatenbank ergibt, Informationen bestimmt, welches Verfahren anzuwenden ist, um auf der Netzwerkebene eine Absicherung aufzubauen.
Die Vorrichtung nach einem oder mehreren der vorhergehenden Vorrichtungsansprüche, wobei das Sicherungsmodul so ausgebildet ist, dass es überprüft, ob nicht schon eine ausreichend sichere Verbindung zwischen den Systemen aufgebaut ist, um diese dann zu verwenden.
Die Vorrichtung nach einem oder mehreren der vorhergehenden Vorrichtungsansprüche, wobei das Sicherheitsmodul so ausgebildet ist, dass es überprüft, ob das ausgewählte Verfahren, das durch die Regeln vorgegeben wurde, unter Berücksichtigung von Informationen in einer Partnerinformationsdatenbank mit dem anderen Kommunikationsendpunkt genutzt werden kann, falls dies nicht der Fall ist, können externe Server, insbesondere ein PKI-Server einbezogen werden, um die benötigten kryptografischen Schlüssel zu erlangen, um eine sichere Verbindung auf Netzwerkebene aufzubauen.
Die Vorrichtung nach dem vorhergehenden Vorrichtungsanspruch, wobei das Sicherheitsmodul ein GUI aufweist, – die den Benutzer über den neuerlich erkannten Datenfluss informiert und den aktuellen Vorgang oder den Zustand der verschlüsselten Kommunikation anzeigt, oder – den Benutzer alarmiert, falls die Absicherung der Kommunikation nach den vorgegebenen Regeln fehlschlägt; oder – eine notwendige Eingabe durch den Benutzer einfordert, wie ein Passwort, Pins oder Tans.
Die Vorrichtung nach einem oder mehreren der vorhergehenden Vorrichtungsansprüche, wobei der Datenfluss unterbunden wird, falls keine Regel vorhanden ist.
Vorrichtung nach einem oder mehreren der vorhergehenden Vorrichtungsansprüche, wobei das Datenflusserkennungsmodul so ausgebildet ist, dass die Pakete, die zu dem Datenfluss gehören, weitergeleitet werden, wobei der Benutzer alarmiert wird, so dass dieser darüber informiert ist, dass die Kommunikation fortgeführt wird ohne jegliche Verschlüsselung oder der Benutzer wird durch eine Eingabeaufforderung aufgefordert zu entscheiden, ob die Kommunikation in geschützter oder ungeschützter Weise fortgesetzt werden soll.
Die Vorrichtung nach einem oder mehreren der vorhergehenden Vorrichtungsansprüche, wobei in Abhängigkeit von Ereignissen ein Auflösen der Verbindung durch das Sicherungsmodul erfolgt.
Die Vorrichtung nach dem vorhergehenden Anspruch, wobei das Netzwerkerkennungsmodul so ausgebildet ist, dass eine Beobachtung des Netzwerkverkehrs durchführbar ist, so dass das Ende der Nachrichtübermittlung erkannt werden kann, oder ein Timeout erkannt wird.
Die Vorrichtung nach einem oder mehreren der vorhergehenden Vorrichtungsansprüche, wobei die Absicherung des Datenflusses über einen oder mehrere Proxy- oder entsprechende Anwendungsgateways erfolgt, die insbesondere ankommende und ausgehende IP-Pakete oder tiefer gehend eine Paket-Analyse durchführen.
Computerprogrammprodukt, das eine Datenstruktur aufweist, die nach dem Laden durch einen Computer ein Verfahren nach einem oder mehreren der vorhergehenden Ansprüche durchführt.