DE102009017909A1

DE102009017909A1 - Verfahren und System zur Sicherung von Daten in verschlüsselten und gleich großen Datenpaketen eines kontinuierlichen Transportdatenstroms

Info

Publication number: DE102009017909A1
Application number: DE200910017909
Authority: DE
Inventors: Ronald Kuhls; Andreas Graubner
Original assignee: Rohde and Schwarz SIT GmbH
Current assignee: Rohde and Schwarz SIT GmbH
Priority date: 2009-04-17
Filing date: 2009-04-17
Publication date: 2010-10-21

Abstract

Ein Verfahren und ein System zur Sicherung von Daten aus beliebig großen ersten Datenpaketen von mindestens einem zu sendenden Datenstrom (d,d,..., d,...d) in verschlüsselten, gleich großen zweiten Datenpaketen eines über einen Übertragungskanal (7) zu sendenden Transportdatenstroms (d) kennzeichnet senderseitig jedes erste Datenpaket mit im jeweiligen ersten Datenpaket jeweils positionierten Markierungsbits. Nach einer Festlegung einer konstanten Größe und einer konstanten Datenrate für alle zweiten Datenpakete werden Daten aus ersten Datenpaketen in zweiten Datenpaketen eingefügt, wobei die Daten eines ersten Datenpakets in einem oder mehreren aufeinander folgenden zweiten Datenpaketen lückenlos angeordnet sind. Anschließend werden Lücken in zweiten Datenpaketen mit Fülldaten aufgefüllt und die zweiten Datenpakete verschlüsselt. Empfängerseitig werden die zweiten Datenpakete des Transportdatenstroms (d) entschlüsselt. Nach einer Identifizierung von in zweiten Datenpaketen jeweils positionierten Markierungsbits werden die zu ersten Datenpaketen eines empfangenden Datenstroms (d',d',...,d') jeweils gehörigen Daten aus dem Transportdatenstrom (d) anhand der Position der zu den jeweiligen ersten Datenpaketen gehörigen Markierungsbits im Transportdatenstrom (d) selektiert und in einen jeweiligen empfangenden Datenstrom (d',d',...,d') eingefügt.

Description

Die Erfindung betrifft ein Verfahren und ein System zur Sicherung von Daten in verschlüsselten und gleich großen Datenpaketen eines kontinuierlichen Transportdatenstroms. Das Verfahren arbeitet bevorzugt auf einer Datenverarbeitungsanlage.
Datensicherheit stellt eine Reihe von Anforderungen an die Datenübertragung. Zu den wesentlichen Anforderungen an die Datensicherheit zählen: Vertraulichkeit, Authentizität, Identität und Zurechenbarkeit.
Für die Vertraulichkeit einer Datenübertragung existiert heute eine Vielzahl von Verschlüsselungsverfahren. Kryptographische Techniken, die Aufschluss über die Identität des Absenders eines Datenstroms geben, garantieren die Authentizität einer Datenübertragung. Die Zusicherung einer Integrität des übertragenen Datenstroms wird von weiteren kryptographischen Verfahren gegeben, mit deren Hilfe bewiesen werden kann, dass ein Datenstrom bei seiner Übertragung nicht verändert wurde. Mit digitalen Signaturen wird die Zurechenbarkeit eines Datenstroms, d. h. der Beweis gegenüber einem Dritten, dass der Datenstrom von einem bestimmten Absender kommt, erbracht.
Zum Stand der Technik sei z. B. auf die DE 10 2006 025 369 A1 verwiesen.
Darüber hinaus existieren folgende weitere Anforderungen an die Sicherheit einer Datenübertragung, für die der Stand der Technik bisher keine technischen Lösungen zu bieten hat:

• das Ermitteln der Identität von Übertragungsteilnehmern aus der Analyse des übertragenen Datenstroms zu verhindern,
• das Ermitteln des Betriebszustands, des Typs von gesendeten Daten oder sogar des expliziten Inhalts von gesendeten Daten von Übertragungsteilnehmer aus der Analyse des verschlüsselten Datenstroms – beispielsweise anhand der signifikanten applikationsspezifischen Größe und/oder Frequenz von Datenpaketen im Datenstrom – zu verhindern,
• das Verhindern eines sogenannten verdeckten Übertragungskanals (covered channel) – d. h. ein Datenstrom, in dem bestimmte sicherheitsrelevante Informationen nicht durch verschlüsselte Dateninhalte, sondern durch die Größe, Frequenz oder anderer Attribute von Dateneinheiten übertragen werden – aus der Analyse des übertragenen Datenstroms zu verhindern und
• das Verhindern des Einfügens von Daten durch einen Dritten und damit das Unterbinden von Replay Attacken (replay attack)).

Aufgabe der Erfindung ist es deshalb, ein Verfahren und ein System zur gesicherten Datenübertragung zu entwickeln, das die oben genannten Anforderungen erfüllt.
Die Erfindungsaufgabe wird durch ein Verfahren zur Sicherung von Daten aus beliebig großen ersten Datenpaketen von mindestens einem zu übertragenden Datenstrom in verschlüsselten, gleich großen zweiten Datenpaketen eines zu sendenden kontinuierlichen Transportdatenstroms mit den Merkmalen des Patentanspruchs 1 und ein zugehöriges System mit den Merkmalen des Patentanspruchs 21 sowie durch ein Verfahren zur Erzeugung von mindestens einem empfangenden Datenstrom, der von jeweils einer empfangenden Dateneinheit empfangen wird, mit jeweils unverschlüsselten ersten Datenpaketen aus gleich großen, verschlüsselten zweiten Datenpaketen eines von einer Empfangs-Einheit empfangenen Transportdatenstroms mit den Merkmalen des Patentanspruchs 14 und ein zugehöriges System mit den Merkmalen des Patentanspruchs 22 gelöst. Vorteilhafte Weiterbildungen sind in den abhängigen Patentansprüchen angegeben.
Um eine Analyse und Manipulation des übertragenen paketorientierten Datenstroms zu verhindern, weisen die Datenpakete – im folgenden zweite Datenpakete genannt – des übertragenen Transportdatenstroms, alle eine gleiche Größe auf und werden in einem konstanten Zeitabstand, d. h. mit einer konstanten Frequenz, übertragen. In diese zweiten Datenpakete des Transportdatenstroms werden die Datenpakete – im folgenden erste Datenpakete genannt – der zu sendenden Datenströme eingefügt und sowohl hinsichtlich ihrer Nutzdaten, d. h. hinsichtlich der Payload, als auch hinsichtlich der Header-Informationen (Kopf-Informationen), in denen beispielsweise die Adresse der zugehörigen sendenden und empfangenden Dateneinheit enthalten sind, verschlüsselt.
Unvermeidliche Lücken in den zweiten Datenpaketen aufgrund einer über den durchschnittlichen Übertragungsbedarf der einzelnen ersten Datenpakete hinausreichenden Dimensionierung der zweiten Datenpakete werden bevorzugt mit Fülldaten aufgefüllt, die ebenfalls der einheitlichen Verschlüsselung zugeführt werden.
Somit kann ein Dritter weder die Sende- noch Empfangsadresse der in den zweiten Datenpaketen jeweils eingefügten ersten Datenpakete identifizieren, noch ist es ihm möglich, auf die einzelne Größe der einzelnen, zu jeweils einem sendenden Datenstrom gehörigen ersten Datenpakete und deren zeitlichen Abstand oder andere Attribute zu schließen, noch kann er Daten aus zweiten Datenpaketen entfernen oder zusätzliche Daten in zweite Datenpakete einfügen, ohne dass es bemerkt wird.
Um die zu den einzelnen ersten Datenpaketen gehörigen Daten innerhalb des aus zweiten Datenpaketen bestehenden Transportdatenstrom zu identifizieren und daraufhin zu selektieren, werden in jedes erstes Datenpaket, bevor es in den Transportdatenstrom eingefügt wird, an einer definierten Position Markierungsbits eingefügt. Diese Markierungsbits sind entweder am Beginn oder am Ende eines ersten Datenpakets oder an jeder anderen zuvor definierten Position innerhalb des ersten Datenpakets positioniert. Die Größe eines ersten Datenpakets ergibt sich folglich aus dem Abstand zu den zum nächsten ersten Datenpaket gehörigen Markierungsbits im Fall von am Beginn des ersten Datenpakets positionierten Markierungsbits oder aus dem Abstand zu den zum nächst zurückliegenden ersten Datenpaket gehörigen Markierungsbits, wobei sich die Größe eines derart ermittelten ersten Datenpakets um die Größe von identifizierbaren Fülldaten reduziert, die in eventuell auftretenden Lücken zum nächst folgenden oder zum nächst zurückliegenden ersten Datenpaket übertragen werden.
Die Identifizierung der zu jedem ersten Datenpaket gehörigen Markierungsbits im Empfänger der Sicherheits-Übertragungsstrecke erfolgt nach der Entschlüsselung der einzelnen zweiten Datenpakete des Transportdatenstroms bevorzugt entweder anhand einer der Sende- und Empfangseinheit des Übertragungskanals bekannten Bitmusterfolge oder anhand eines Prüfsummenvergleichs zwischen einer Prüfsumme, die in Prüfsummenbits abgespeichert ist, und einer über eine bestimmte Anzahl von den Prüfsummenbits vorausgehenden Bits gebildeten Prüfsumme.
Diese den Markierungsbits vorausgehenden Bits enthalten in einer ersten Ausführungsvariante eine Sequenznummer des jeweiligen ersten Datenpakets in der Sequenz von ersten Datenpaketen des zu erzeugenden Transportdatenstroms.
Passt die Sequenznummer des jeweiligen ersten Datenpakets nicht in die Folge von Sequenznummern zu den jeweils vorausgehend übertragenden bzw. jeweils nachfolgend übertragenen ersten Datenpaketen des Transportdatenstroms, so sind entweder zusätzliche Datenpakete in diesem Sequenzbereich des Transportdatenstroms von einem Dritten manipulativ eingefügt oder im Transportdatenstrom vorhandene zweite Datenpakete entfernt worden. Ein erstes Datenpaket mit einer unkorrekten Sequenznummer wird als fehlerhaft gekennzeichnet oder wird, falls es möglich ist, in der Sequenz von ersten Datenpaketen in den in der Empfänger-Einheit jeweils erzeugten und zu empfangenden Datenströmen umsortiert.
In einer zweiten Ausführungsvariante enthalten die den Markierungsbits vorausgehenden Bits zusätzlich die Größe des jeweiligen ersten Datenpakets. Mit dieser Angabe wird die über den Abstand zwischen den zum jeweiligen ersten Datenpaket gehörigen Markierungsbits und den zum jeweils nächst folgenden oder zum jeweils nächst zurückliegenden ersten Datenpaket gehörigen Markierungsbits ermittelte Größe des jeweiligen ersten Datenpakets zusätzlich überprüft. Im Fall einer Unstimmigkeit wird das jeweilige erste Datenpaket als unkorrekt gekennzeichnet oder verworfen bzw. nicht weiter im jeweiligen empfangenden Datenstrom berücksichtigt.
Die Größe und der zeitliche Abstand, d. h. die Datenrate bzw. Frequenz, der zweiten Datenpakete des Transportdatenstroms ergibt sich aus dem Abgleich zwischen der im Übertragungskanal vorhandenen Übertragungskapazität und der über alle sendenden Datenströme aufsummierten, durchschnittlichen Nachfrage nach Übertragungskapazität. Die für die Übertragung des Transportdatenstroms erforderliche Bandbreite ergibt sich dann aus der Größe und der Datenrate bzw. Frequenz der zweiten Datenpakete des Transportdatenstroms.
Der Einsatz des erfindungsgemäßen Verfahrens und des erfindungsgemäßen Systems erstreckt sich vor allem auf Übertragungskanäle, die in Übertragungsnetzen eingebettet sind, in denen abhängig von der Applikation und der zur Applikation gehörigen Datenmenge Datenpakete mit beliebiger Größe, i. a. mit nicht-konstanter Größe, übertragen werden und die Datensicherung auf der Verbindungsebene – d. h. Schicht 2 des OSI-Modells – erfolgt. Hierbei handelt es sich vor allem um Ethernet-, Frame-Ralay- oder Fiber-Channel-Datennetze.
Hierbei werden i. a. die ersten Datenpakete der sendenden Datenströme von mehreren sendenden Dateneinheiten vor ihrer Übertragung über den Übertragungskanal zu einer Sendeeinheit des hochsicheren Übertragungskanals übertragen, wo sie in den einzelnen zweiten Datenpaketen eines einzigen verschlüsselten physikalischen Transportdatenstroms gebündelt, verschlüsselt und über den Übertragungskanal hochsicher übertragen werden. In einer Empfangseinheit des Übertragungskanals werden die zweiten Datenpakete des gemeinsamen physikalischen Transportdatenstroms entschlüsselt und die zu den einzelnen sendenden Datenströmen gehörigen ersten Datenpakete aus dem entschlüsselten gemeinsamen physikalischen Transportdatenstrom entpackt und zu den einzelnen empfangenden Dateneinheiten übertragen.
Die zu den einzelnen sendenden Datenströmen jeweils gehörigen ersten Datenpakete werden in einer ersten Ausführungsform der Datenübertragung jeweils einem virtuellen Transportdatenstrom zugeordnet, die jeweils sequentiell über einen in der Sende-Einheit des Übertragungskanals befindlichen Multiplexer in den einzigen physikalischen Transportdatenstrom eingefügt werden. In einem in der Empfangs-Einheit des hochsicheren Übertragungskanals befindlichen Demultiplexer werden die einzelnen virtuellen Datenströme aus dem einzigen physikalischen Transportdatenstrom selektiert und den einzelnen empfangenden Dateneinheiten als empfangender Datenstrom zugeführt.
In einer zweiten Ausführungsform der Datenübertragung werden die zu den einzelnen sendenden Datenströmen jeweils gehörigen ersten Datenpakete untereinander – ohne Ausbildung von virtuellen Transportdatenströmen – in den gemeinsamen Transportdatenstrom gepackt. Die Reihenfolge der einzelnen zu den jeweiligen sendenden Datenströme gehörigen ersten Datenpakete im gemeinsamen Transportdatenstrom ergibt sich dabei nach üblichen Kapazitätszuweisungsverfahren, bei denen insbesondere die Echtzeitanforderungen der einzelnen zu übertragenden Daten Berücksichtigung finden.
Das erfindungsgemäße Verfahren und das erfindungsgemäße System zur Sicherung von Daten in verschlüsselten und gleich großen Datenpaketen eines kontinuierlichen Transportdatenstroms werden im folgenden anhand der Zeichnung im Detail erläutert. Die Figuren der Zeichnung zeigen:
1 ein Blockdiagramm des erfindungsgemäßen Systems zur Sicherung von Daten in verschlüsselten und gleich großen Datenpaketen eines kontinuierlichen Transportdatenstroms,
2 ein Flussdiagramm der senderseitigen Verfahrensschritte des erfindungsgemäßen Verfahrens zur Sicherung von Daten in verschlüsselten und gleich großen Datenpaketen eines kontinuierlichen Transportdatenstroms,
3 ein Flussdiagramm der empfängerseitigen Verfahrensschritte des erfindungsgemäßen Verfahrens zur Sicherung von Daten in verschlüsselten und gleich großen Datenpaketen eines kontinuierlichen Transportdatenstroms,
4 eine Datenstruktur der einzelnen Datenpakete im Ablauf des erfindungsgemäßen Verfahrens zur Sicherung von Daten in verschlüsselten und gleich großen Datenpaketen eines kontinuierlichen Transportdatenstroms,
5 eine Datenstruktur einer ersten Ausführungsform des Transportdatenstroms und
6 eine Datenstruktur einer zweiten Ausführungsform des Transportdatenstroms.
Im Folgenden wird das erfindungsgemäße Verfahren zur Sicherung von Daten in verschlüsselten und gleich großen Datenpaketen eines kontinuierlichen Transportdatenstroms anhand der Flussdiagramme in den 2 und 3 erläutert. Hierbei wird auf die einzelnen Funktionseinheiten des erfindungsgemäßen Systems zur Sicherung von Daten in verschlüsselten und gleich großen Datenpaketen eines Transportdatenstroms in 1 Bezug genommen.
Im ersten Verfahrensschritt S10 des erfindungsgemäßen Verfahrens werden in den einzelnen sendenden Dateneinheiten 1₁ , 1₂ , ..., 1_j , ..., 1_n – mit den Bezeichnungen sDE1, SDE2, ..., sDEj, ..., sDEn – jeweils sendende Datenströme d₁, d₂, ..., d_j, ... d_n erzeugt, die wiederum jeweils aus einzelnen aufeinander folgend angeordneten ersten Datenpaketen DP_1,1, DP_1,2, ..., DP_1,i, ... bzw. DP_2,1, DP_2,2, ..., DP_2,i, ... bzw. DP_j,1, DP_j,2, ..., DP_j,i, ... bzw. DP_n,1, DP_n,2, ..., DP_n,i, ... bestehen. Das erste Datenpaket DP_j,i kennzeichnet dabei ein erstes Datenpaket mit der Sequenznummer i im empfangenden Datenstrom d_j.
Die einzelnen ersten Datenpakete weisen gemäß Zeile I. in 4 jeweils zu Beginn eine bestimmte Anzahl von Prüfbits, die zur Überprüfung einer korrekten Übertragung des jeweiligen ersten Datenpakets eine Prüfsumme über sämtliche Bits des jeweiligen ersten Datenpakets nach einem üblichen und standardisierten Prüfsummenverfahren (cycle redundancy check) enthält. Den Prüfbits im jeweiligen ersten Datenpaket schließen sich eine Anzahl von Bits zur Übertragung von Nutzdaten (payload) an. Die Anzahl der Bits für die Übertragung der Nutzdaten ist, wie aus Zeile I. in 4 zu erkennen ist, entsprechend der momentanen Nachfrage nach Übertragungskapazität der im jeweiligen sendenden Datenstrom zu übertragenden Anwendung variabel. Am Beginn des jeweiligen ersten Datenpakets ist eine definierte Anzahl von Bits für Header-Informationen, beispielsweise für die Adresse der jeweiligen sendenden Dateneinheit und der jeweiligen empfangenden Dateneinheit, vorgesehen. Die Reihenfolge von Prüfbits und Header-Informationen in den einzelnen ersten Datenpaketen kann natürlich auch vertauscht sein.
Nach der Erzeugung der einzelnen ersten Datenpakete in den einzelnen sendenden Datenströmen d₁, d₂, ..., d_j, ... d_n werden diese über nicht näher spezifizierte Verbindungen 2₁ , 2₂ , ..., 2_j , ..., 2_n zur Sende-Einheit 3 übertragen.
Im nächsten Verfahrensschritt S20 werden in die empfangenen ersten Datenpakete der einzelnen sendenden Datenströme d₁, d₂, ..., d_j, ... d_n mittels einer Vorverarbeitungs-Einheit 4 gemäß Zeile II. in 4 eine bestimmte Anzahl von Markierungsbits und zusätzliche Bits zur Übertragung der Sequenznummer, der Größe und zusätzlicher Statusinformationen des jeweiligen ersten Datenpakets in jedes einzelne erste Datenpaket eingefügt. Diese Markierungsbits und die zusätzlichen Bits enthaltend die Sequenznummer, die Datenpaketgröße und zusätzliche Statusinformationen können an jeder definierten Position innerhalb der einzelnen ersten Datenpakete positioniert werden. Typischweise werden sie am Beginn des jeweiligen ersten Datenpakets oder, wie in Zeile II der 4 angedeutet ist, am Ende des jeweiligen ersten Datenpakets angeordnet.
Die Markierungsbits haben die primäre Aufgabe eine bestimmte definierte Position innerhalb eines ersten Datenpakets – beispielsweise den Beginn oder das Ende oder jede andere definierte Position innerhalb des ersten Datenpakets – zu signalisieren. Um die Markierungsbits als solche zu identifizieren, weisen sie in einer ersten Ausführungsform eine bestimmte Bitmusterfolge auf, die der Sende-Einheit 3 und der Empfangs-Einheit 5 bekannt ist. In einer zweite Ausführungsform bestehen die Markierungsbits aus Prüfsummenbits, die eine von der Vorverarbeitungseinheit 4 der Sende-Einheit 3 berechnete Prüfsumme über eine definierte Anzahl von Bits, die den Markierungsbits im jeweiligen ersten Datenpaket vorausgehen, enthält.
Als den Markierungsbits jeweils vorausgehenden und in die Prüfsummenberechnung eingehenden Bits sind in einer ersten Variante eine definierte Anzahl von Bits enthaltend die Sequenznummer des jeweiligen ersten Datenpakets in der zu übertragenden Sequenz von ersten Datenpaketen und zusätzliche eine definierte Anzahl von Bits für zusätzliche Statusinformationen vorgesehen. Beispielhaft werden in dieser Variante für die Prüfsummenbits 24 Bit, für die Bits enthaltend die Sequenznummer des jeweiligen ersten Datenpakets 36 Bit und für die Bits enthaltend zusätzliche Statusinformationen 4 Bit und somit insgesamt 64 Bit reserviert.
In einer zweiten Variante bestehen die den Markierungsbits vorausgehenden Bits aus einer definierten Anzahl von Bits mit der Sequenznummer des jeweiligen ersten Datenpakets, einer definierten Anzahl von Bits enthaltend die Größe des jeweiligen ersten Datenpakets und einer definierten Anzahl von Bits für zusätzliche Statusinformationen. Da die den Markierungsbits vorausgehenden Bits in der zweite Variante in Abgrenzung zur ersten Variante eine definierte Anzahl von Bits zur Übertragung der Größe des jeweiligen ersten Datenpakets aufweisen, ist die Anzahl der Bits zur Übertragung der Sequenznummer des jeweiligen ersten Datenpakets bei der zweiten Variante gegenüber der ersten Variante reduziert. So sind bei der zweiten Variante beispielsweise 24 Bit für die Prüfsummenbits, 16 Bit für die Bits enthaltend die Größe des jeweiligen ersten Datenpakets, 4 Bit für die Bits enthaltend die Sequenznummer des jeweiligen ersten Datenpakets und 4 Bit für die Bits enthaltend zusätzliche Statusinformationen und somit insgesamt 48 Bit vorgesehen.
Somit liegt der Schwerpunkt bei Verwendung der ersten Variante in der Prüfung des Transportdatenstroms über eine möglichst lange Sequenz, während der Schwerpunkt bei Verwendung der zweiten Variante in der Prüfung der über die Markierungsbits ermittelbaren Grenzen der einzelnen ersten Datenpakete zu sehen ist.
Zusätzlich werden in Verfahrensschritt S20 Daten, die für die weitere Übertragung im Transportdatenstrom nicht mehr gebraucht werden, beseitigt. Beispielsweise werden Bits, die eine Prüfsumme über alle Bits des ersten Datenpakets enthalten – z. B. File-Check-Sequence(FCS)-Bits im Fall eines Frame-Relay-Datennetzes bzw. Frame-Check-Sequence (FCS) im Fall eines Ethernet-Datennetzes – nicht mehr benötigt und sind somit hinfällig, weil bei der Konstruktion des Transportdatenstrom Prüfsummenbits über alle Bits jedes zweiten Datenpakets erzeugt werden. Die in Verfahrenschritt S20 auf diese Weise modifizierten ersten Datenpakete sind, wie aus Zeile II. der 4 zu entnehmen ist, gegenüber den ursprünglich in den einzelnen sendenden Dateneinheiten 1₁ , 1₂ , ..., 1_j , ..., 1_n erzeugten ersten Datenpaketen i. a. in ihrer Größe verändert.
Im nächsten Verfahrensschritt S30 werden die einzelnen zweiten Datenpakete des Transportdatenstroms vorbereitet. Hierzu wird eine Struktur für die einzelnen zweiten Datenpakete des Transportdatenstroms d_T gemäß Zeile III. der 4 gewählt, bei der die Größe des zweiten Datenpakets und damit auch die Größe des für Nutzdaten vorgesehen Anteils und die Größe des für „overhead”-Daten, d. h. für Header-Informationen und Prüfsummen-Informationen, vorgesehenen Anteils und der zeitliche Abstand der einzelnen zweiten Datenpakete aus dem Abgleich zwischen der gegebenen Übertragungskapazität des Übertragungskanals 7 und dem summierten und gemittelten Übertragungsbedarf der einzelnen sendenden Datenströme d₁, d₂, ..., d_j, ... d_n ermittelt wird.
Im nächsten Verfahrensschritt S40 werden die zu den einzelnen sendenden Datenströmen d₁, d₂, ..., d_j, ... d_n gehörigen Datenpakete im Multiplexer 6 der Sende-Einheit 3 in die einzelnen zweiten Datenpakete der vorbereiteten Struktur des Transportdatenstrom d_T eingefügt Die sequenzkorrekte Einbettung der zu den einzelnen sendenden Datenströmen d₁, d₂, ..., d_j, ... d_n gehörigen Datenpakete in den Transportdatenstrom d_T erfolgt anhand der in jedes erste Datenpaket von der Vorverarbeitungseinheit 4 in den jeweiligen Bitpositionen des jeweiligen ersten Datenpakets eingefügten Sequenznummer. Da die resultierende Größe der einzelnen ersten Datenpakete gemäß Zeile II. in 4 typischerweise nicht der für Nutzdaten vorgesehenen Größe in den zweiten Datenpaketen des Transportdatenstroms d_T entspricht, werden entweder die Daten eines einzigen ersten Datenpakets in ein einziges zweites Datenpaket oder die Daten von mehreren hinsichtlich ihrer Sequenznummer aufeinander folgenden ersten Datenpaketen in ein einziges zweites Datenpaket gepackt oder die Daten eines einzigen ersten Datenpakets in mehrere aufeinander folgende zweite Datenpakete gepackt. Die Daten eines ersten Datenpakets werden bevorzugt lückenlos in einem zweiten Datenpaket oder in aufeinander folgenden zweiten Datenpaketen angeordnet.
Für das Einfügen von ersten Datenpaketen der einzelnen sendenden Datenströmen d₁, d₂, ..., d_j, ... d_n in die zweiten Datenpaketen des Transportdatenstroms d_T gibt es mehrere Organisationsstrukturen. Die beiden wesentlichen Organisationsstrukturen sind in 5 und 6 dargestellt.
In der ersten Organisationsstruktur nach 5 werden die einzelnen ersten Datenpakete, die in den von den einzelnen sendenden Dateneinheiten 1₁ , 1₂ , ..., 1_j , ..., 1_n jeweils erzeugten sendenden Datenströme d₁, d₂, ..., d_j, ... d_n jeweils transportiert werden, von einer Vorverarbeitungs-Einheit 4' in zweite Datenpakete von zu den einzelnen sendenden Datenströmen d₁, d₂, ..., d_j, ... d_n gehörigen virtuellen Datenströmen d₁'', d₂'', ..., d_j'', ..., d_n'' gepackt, die jeweils eine gleiche Datenpaketgröße oder, wie in 5 dargestellt ist, eine innerhalb des jeweiligen virtuellen Datenstroms d₁'', ..., d₂'', ..., d_j'', ..., d_n'' gleiche Datenpaketgröße aufweisen. Diese virtuellen Datenströme d₁'', d₂'', ..., d_j'', ..., d_n'' entsprechen den VLANs in einem Ethernet oder den geschalteten Kanälen (Switched-Virtual-Connection) bei einem Frame-Relay- oder Fibre-Channel-Netz. Nach der Verschlüsselung dieser einzelnen virtuellen Datenströme d₁'', d₂'', ..., d_j'', ..., d_n'' in einem Verschlüssler 8' werden sie entsprechend ihrem jeweiligen zeitlichen Eintreffen im Multiplexer 6'' vom Multiplexer 6'' sequentiell im gemeinsamen physikalischen Transportdatenstrom d_T verkettet.
In einer zweiten Organisationsstruktur nach 6 werden die in den einzelnen sendenden Datenströme d₁, d₂, ..., d_j, ... d_n jeweils transportierten ersten Datenpakete in einem Multiplexer 6'' in einen gemeinsamen Transportdatenstrom d_T' entsprechend dem zeitlichen Eintreffen des jeweiligen ersten Datenpakets im Multiplexer 6'' sequentiell verkettet. In der Vorverarbeitungs-Einheit 4'' werden die auf diese Weise in einem gemeinsamen Transportdatenstrom d_T' sequentiell verketteten ersten Datenpakete jeweils in zweite Datenpakete von jeweils gleicher Datenpaketgröße gewandelt. Schließlich werden die zweiten Datenpakete des gemeinsamen Transportdatenstroms d_T' in einem Verschlüssler 8'' verschlüsselt, so dass der endgültige Transportdatenstrom d_T mit verschlüsselten zweiten Datenpaketen entsteht.
Von der Erfindung sind auch Modifikationen dieser beiden wesentlichen Organisationsstrukturen abgedeckt. So kann beispielsweise in der Organisationsstruktur nach 6 die Wandlung der ersten Datenpakete der einzelnen Transportdatenströme d₁, d₂, ... d_j, ... d_n in zweite Datenpakete von jeweils gleicher Datenpaketgröße vor der sequentiellen Verkettung der zweiten Datenpakete in einem gemeinsamen Transportdatenstrom erfolgen oder in der Organisationsstruktur nach 5 die Verschlüsselung der zweiten Datenpakete im Anschluss an die sequentielle Verkettung der einzelnen zweiten Datenpakete in einem gemeinsamen Transportdatenstrom erfolgen.
Die nicht mit Daten von ersten Datenpaketen belegten Lücken in den einzelnen für Nutzdaten vorgesehenen Positionen der zweiten Datenpakete des Transportdatenstroms d_T werden im nächsten Verfahrensschritt S50 mit definierten Fülldaten aufgefüllt. Somit entsteht ein Transportdatenstrom d_T mit lückenlosen, unverschlüsselten und vor allen gleich großen zweiten Datenpaketen gemäß Zeile IV. in 4.
In einem Verschlüssler 8 der Sende-Einheit 3 werden im nächsten Verfahrensschritt S60 die unverschlüsselten zweiten Datenpakete des Transportdatenstroms d_T nach einem gängigen Verschlüsselungsalgorithmus verschlüsselt. Hierbei beschränkt sich die Verschlüsselung einzig, wie aus Zeile V. in 4 hervorgeht, auf die von den ersten Datenpaketen stammenden Daten, d. h. die „Payload”-Daten, die Markierungsbits und die Header-Informationen der ursprünglichen ersten Datenpakete, und die Fülldaten, während Header-Informationen und Prüfsummen-Informationen typischerweise der zweiten Datenpakete unverschlüsselt bleiben.
Im letzten Verfahrensschritt S70 des senderseitigen erfindungsgemäßen Verfahrens erfolgt in einer Basisbandsignalverarbeitungsstufe 9 die Basisbandsignalverarbeitung des physikalischen Transportdatenstroms d_T, wozu schwerpunktmäßig Modulation, Kanalkodierung – bei Verwendung eines Ethernets typischerweise die Manchester-Codierung –, Scrambling, Interleaving usw. zählen. Schließlich erfolgt das Senden des physikalischen Transportdatenstroms d_T in den Übertragungskanal 7 – beispielsweise das Ethernet, das Frame-Relay-Netz oder das Fibre-Channel-Netz – über eine zugehörige als Sendestufe 9 agierende Netzzugriffs-Einheit (Medium Attachment Unit).
Das empfängerseitige erfindungsgemäße Verfahren beginnt in Verfahrensschritt S100 mit dem Empfang des über den Übertragungskanal 7 übertragenen Transportdatenstroms d_T in einer als Empfangsstufe 10 agierenden Netzzugriffs-Einheit (Medium Attachment Unit) der Empfangs-Einheit 5. Der empfangene Transportdatenstrom d_T wird in einer Basisbandsignalverarbeitungsstufe 10 der üblichen Basisbandsignalverarbeitung – Filterung, Demodulation, Dekodierung, Descrambling, Deinterleaving usw. – unterworfen.
Im nächsten Verfahrensschritt S110 erfolgt in einem Entschlüssler 11 gemäß Zeile VI der 4 die Entschlüsselung der Payload der zweiten Datenpakete des Transportdatenstroms d_T mit einem zum Verschlüsselungsverfahren in Verfahrensschritt S60 korrespondierenden Entschlüsselungsverfahren.
Die Identifizierung der zu den einzelnen ersten Datenpaketen gehörigen Markierungsbits in einer Nachverarbeitungseinheit 11 ist Inhalt des nächsten Verfahrensschritts S120. Bei den Markierungsbits handelt es sich, wie bereits in Verfahrensschritt S20 ausgeführt wurde, entweder um eine bestimmte Bitmusterfolge, die sowohl der Sende-Einheit 3 als auch der Empfangs-Einheit 5 bekannt ist, oder um eine bestimmte Anzahl von Prüfsummenbits, die eine Prüfsumme über die den Prüfsummenbits vorangehenden Bits zur Übertragung der Sequenznummer, der Größe und zusätzlicher Statusinformationen des jeweiligen ersten Datenpakets enthält. Somit wird Bit für Bit des empfangenen Transportdatenstroms d_T entweder mit der bekannten Bitmusterfolge verglichen oder es wird nach einem ausgewählten Verfahren zur Prüfsummenermittlung – sogenannte cycle-redundancy-check-Verfahren – Bit für Bit die in den Prüfsummenbits abgelegte Prüfsumme mit der Prüfsumme über die je nach gewählter Variante für die Prüfsummenermittlung bestimmten, den Prüfsummenbits vorausgehenden Bits überprüft.
Mit der Identifizierung der zu jeweils einem ersten Datenpaket gehörigen Markierungsbits ist die Position dieser Markierungsbits innerhalb des jeweiligen ersten Datenpakets ermittelt und damit unter Berücksichtigung von eventuell vorhandenen Fülldaten, die nach der Entschlüsselung als solche identifizierbar sind, der Beginn und das Ende des jeweiligen ersten Datenpakets innerhalb des Transportdatenstroms d_T bestimmbar. Mit der Identifizierung der Markierungsbits der einzelnen ersten Datenpakete und deren Position innerhalb des Transportdatenstroms d_T ist auch die Position und damit der Inhalt der den Markierungsbits im Transportdatenstrom d_T vorausgehenden Bits mit der Sequenznummer, der Größe und zusätzlicher Status-Informationen des jeweiligen ersten Datenpakets bestimmbar. Im Fall der Verwendung von Prüfsummenbits als Markierungsbits ist zusätzlich gewährleistet, dass die Bits mit der Sequenznummer, der Größe und zusätzlichen Status-Informationen des jeweiligen ersten Datenpakets korrekt übertragen wurden.
Im nächsten Verfahrensschritt S130 wird in der Nachverarbeitungseinheit 12 die somit ermittelte Sequenznummer des jeweiligen ersten Datenpakets mit den ermittelten Sequenznummern des jeweils nächst vorausgehend und des nächst folgend übertragenen ersten Datenpakets im Hinblick auf eine lückenlose und korrekte Sequenz verglichen. Im Verfahrensschritt S140 wird in der Nachverarbeitungseinheit 130 die somit ermittelte Größe des jeweiligen ersten Datenpakets mit dem über die Markierungsbits ermittelten Beginn und Ende des jeweiligen ersten Datenpakets auf Kongruenz überprüft.
Stimmt die in Verfahrensschritt S130 aus den zugehörigen Bits des Transportdatenstroms d_T ausgelesene Größe des jeweiligen ersten Datenpakets mit der durch Markierungsbits von jeweils zwei aufeinander folgenden ersten Datenpaketen und eventuell identifizierte Fülldaten bestimmten Größe des jeweiligen ersten Datenpakets nicht überein, so wird im nächsten Verfahrensschritt S140 in der Nachverarbeitungseinheit 11 das jeweilige erste Datenpaket mit der fehlerhaften Größe gesondert gekennzeichnet oder in der folgenden Selektion der ersten Datenpakete aus dem Transportdatenstrom d_T nicht berücksichtigt.
Passt die in Verfahrensschritt S130 aus den zugehörigen Bits des Transportdatenstroms d_T ausgelesene Sequenznummer nicht in die Sequenz der Sequenznummern von jeweils benachbart übertragenen ersten Datenpaketen, so wird im nächsten Verfahrensschritt S150 in der Nachverarbeitungseinheit 11 das jeweilige erste Datenpaket mit der fehlerhaften Sequenznummer gesondert gekennzeichnet, um es, soweit der Fehler durch eine Umsortierung behebbar ist, in der folgenden Selektion der ersten Datenpakete aus dem Transportdatenstrom d_T an der richtigen Sequenzposition in den jeweiligen erzeugten und zu empfangenden Datenstrom d₁', d₂', ... d_m' einzusetzen.
Im darauffolgenden Verfahrensschritt S160 werden die hinsichtlich ihres Beginns und ihres Endes sowie ihrer Sequenznummer jeweils bestimmten ersten Datenpaketen in einem Demultiplexer 13 aus dem gemeinsamen Transportdatenstrom d_T gemäß Zeile VII in 4 selektiert und entsprechend der Adresse der empfangenden Dateneinheit 14₁ , 14₂ , 14_m – mit den Bezeichnungen eDE1, eDE2, ..., eDEm – in zugehörige empfangenden Datenströme d₁', d₂', ... d_m' eingefügt. Bei Verwendung von virtuellen Transportdatenströmen innerhalb des gemeinsamen physikalischen Transportdatenstroms d_T können dabei eine ganze Sequenz von ersten Datenpaketen aus den Transportdatenstroms d_T selektiert und in den jeweiligen empfangenden Datenstrom d₁', d₂', ... d_m' gefügt werden.
Die einzelnen ersten Datenpakete weisen, wie aus Zeile VII der 4 hervorgeht, nur noch die zugehörigen Nutzdaten und Header-Informationen auf, während die Prüfsummen-Informationen über alle Bits des jeweiligen ersten Datenpakets nicht mehr vorhanden sind und neu berechnet werden müssen.
Im abschließenden Verfahrensschritt S170 werden die einzelnen empfangenden Datenströme d₁', d₂', ... d_m' von der Empfangs-Einheit 5 über nicht näher spezifizierte Verbindungen 15₁ , 15₂ , ..., 15_m zu den einzelnen empfangenden Dateneinheiten 14₁ , 14₂ , ..., 14_m übertragen. Eventuell gesondert gekennzeichnete erste Datenpakete oder ausgesonderte erste Datenpakete der einzelnen von den jeweiligen empfangenden Dateneinheiten 14₁ , 14₂ , ..., 14_m empfangenden Datenströme d₁', d₂', ... d_m' werden in einem Fehler-Management zwischen jeweiliger sendender und empfangender Dateneinheit, beispielsweise durch wiederholtes Übertragen des betroffenen ersten Datenpakets, behandelt.
Die Erfindung ist nicht auf die dargestellten Ausführungsformen und Varianten beschränkt. Von der Erfindung sind insbesondere auch andere oben nicht aufgeführte und zukünftige Datennetze berücksichtigt, die Datenpakete mit beliebiger Größe zulassen.
ZITATE ENTHALTEN IN DER BESCHREIBUNG
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
Zitierte Patentliteratur

- DE 102006025369 A1 [0004]

Claims

Verfahren zur Sicherung von Daten aus unterschiedlich großen ersten Datenpaketen von mindestens einem zu sendenden Datenstrom (d₁, d₂, ..., d_j, ... d_n) in verschlüsselten, gleich großen zweiten Datenpaketen eines über einen Übertragungskanal (7) zu sendenden Transportdatenstroms (d_T) mit folgenden Verfahrensschritten: • Kennzeichnen jedes ersten Datenpakets mit im jeweiligen ersten Datenpaket jeweils positionierten Markierungsbits, • Festlegen einer konstanten Größe und einer konstanten Datenrate für alle zweiten Datenpakete, • Einfügen von Daten aus den ersten Datenpaketen in die zweiten Datenpakete, wobei die Daten eines ersten Datenpakets in einem oder mehreren aufeinander folgenden zweiten Datenpaketen lückenlos angeordnet sind.
Verfahren nach Anspruch 1 gekennzeichnet durch, • Auffüllen von eventuellen Lücken in den zweiten Datenpaketen mit Fülldaten und • Verschlüsseln der zweiten Datenpakete.
Verfahren nach Anspruch 1 oder 2, dadurch gekennzeichnet, dass erste Datenpakete, die zu jeweils einem sendenden Datenstrom (d₁, d₂, ..., d_j, ... d_n) gehören, in zweite Datenpakete mit einer vom jeweiligen sendenden Datenstrom (d₁, d₂, ..., d_j, ... d_n) abhängigen gleichen Datenpaketgröße in einer Vorverarbeitungs-Einheit (4') gewandelt werden und anschließend entsprechend ihres zeitlichen Eintreffens in einem Multiplexer (6') im gemeinsamen Transportdatenstrom (d_T) sequentiell verkettet werden.
Verfahren nach Anspruch 1 oder 2, dadurch gekennzeichnet, dass erste Datenpakete, die zu jeweils einem sendenden Datenstrom (d₁, d₂, ..., d_j, ... d_n) gehören, entsprechend ihres zeitlichen Eintreffens in einem Multiplexer (6'') im gemeinsamen Transportdatenstrom (d_T) sequentiell verkettet werden und anschließend die ersten Datenpakete des gemeinsamen Transportdatenstrom (d_T) in zweite Datenpakete mit jeweils gleicher Datenpaketgröße in einer Vorverarbeitungs-Einheit (4'') gewandelt werden.
Verfahren nach einem der Ansprüche 1 bis 4, dadurch gekennzeichnet, dass die Größe und die Datenrate der zweiten Datenpakete in Abhängigkeit der im Übertragungskanal (7) vorhandenen Übertragungskapazität und der über alle zu sendenden Datenströme (d₁, d₂, ..., d_j, ... d_n) summierten, durchschnittlichen Übertragungsnachfrage ermittelt werden.
Verfahren nach Anspruch 5, dadurch gekennzeichnet, dass der Übertragungskanal (7) in einem Übertragungsnetz eingebettet ist, in dem die Datensicherung auf der Verbindungsebene des OSI-Modells stattfindet.
Verfahren nach Anspruch 6, dadurch gekennzeichnet, dass das Übertragungsnetz ein Ethernet-, Frame-Relay- oder Fibre-Channel-Übertragungsnetz ist.
Verfahren nach einem der Ansprüche 1 bis 7, dadurch gekennzeichnet, dass die Markierungsbits eine einer Sende- und Empfangs-Einheit (3, 5) des Übertragungskanals (7) bekannte Bitmusterfolge sind.
Verfahren nach einem der Ansprüche 1 bis 8, dadurch gekennzeichnet, dass die Markierungsbits eine bestimmte Anzahl von Prüfsummenbits sind.
Verfahren nach einem der Ansprüche 1 bis 9, dadurch gekennzeichnet, dass den Markierungsbits Bits enthaltend eine Sequenznummer des jeweiligen ersten Datenpakets in einer zu übertragenden Sequenz aus ersten Datenpaketen vorausgehen.
Verfahren nach einem der Ansprüche 1 bis 10, dadurch gekennzeichnet, dass den Markierungsbits zusätzlich Bits enthaltend die Größe des jeweiligen ersten Datenpakets vorausgehen.
Verfahren nach Anspruch 9, dadurch gekennzeichnet, dass die Prüfsummenbits die Prüfsumme über die Bits enthaltend die Sequenznummer des jeweiligen ersten Datenpakets oder über die Bits enthaltend die Sequenznummer und die Größe des jeweiligen ersten Datenpakets enthält.
Verfahren nach einem der Ansprüche 1 bis 12, dadurch gekennzeichnet, dass Format und Inhalt von unverschlüsselten Header-Informationen, die in jedem zweiten Datenpaket des jeweiligen Transportdatenstroms (d) zusätzlich enthalten sind, in Abhängigkeit der im Übertragungskanal (7) vorhandenen Übertragungskapazität und der über alle sendenden Datenströme (d₁, d₂, ..., d_j, ... d_n) summierten, durchschnittlichen Übertragungsnachfrage ermittelt werden.
Verfahren zur Erzeugung von mindestens einem empfangenden Datenstrom (d₁', d₂', ..., d_m'), der von jeweils einer empfangenden Dateneinheit (14₁ , 14₂ , ..., 14_m ) empfangen wird, mit jeweils unverschlüsselten ersten Datenpaketen aus gleich großen, verschlüsselten zweiten Datenpaketen eines von einer Empfangs-Einheit (5) empfangenen Transportdatenstroms (d_T) mit folgenden Verfahrensschritten: • Entschlüsseln der zweiten Datenpakete des Transportdatenstroms (d_T), • Identifizieren von in zweiten Datenpaketen jeweils positionierten Markierungsbits • Selektieren der zu ersten Datenpaketen eines empfangenden Datenstroms (d₁', d₂', ..., d_m') jeweils gehörigen Daten aus dem Transportdatenstrom (d_T) anhand der Position der zu den jeweiligen ersten Datenpaketen gehörigen Markierungsbits im Transportdatenstrom (d_T) und • Einfügen der aus dem Transportdatenstrom (d_T) selektierten Daten in einen jeweiligen empfangenden Datenstrom (d₁', d₂', ..., d_m').
Verfahren nach Anspruch 14, dadurch gekennzeichnet, dass den Markierungsbits Bits enthaltend eine Sequenznummer des jeweiligen ersten Datenpakets in einer zu übertragenden Sequenz aus ersten Datenpaketen vorausgehen.
Verfahren nach Anspruch 14 oder 15, dadurch gekennzeichnet, dass den Markierungsbits zusätzlich Bits enthaltend die Größe des jeweiligen ersten Datenpakets vorausgehen.
Verfahren nach einem der Ansprüche 14 bis 16, dadurch gekennzeichnet, dass die Identifizierung der Markierungsbits durch Vergleich einer in zweiten Datenpaketen jeweils empfangenen Bitfolge mit einer Bitmusterfolge erfolgt, die einer Sende- und Empfangs-Einheit (3, 5) des Übertragungskanals (7) bekannt ist.
Verfahren nach Anspruch 15 oder 16, dadurch gekennzeichnet, dass die Identifizierung der Markierungsbits durch Vergleich zwischen einer Prüfsumme, die in Prüfsummenbits abgelegt ist, und einer Prüfsumme, die über den Prüfsummenbits jeweils vorausgehenden Bits enthaltend die Sequenznummer des jeweiligen ersten Datenpakets und/oder über den Prüfsummenbits jeweils vorausgehenden Bits enthaltend die Sequenznummer und die Größe des jeweiligen ersten Datenpakets, erfolgt.
Verfahren nach Anspruch 15, dadurch gekennzeichnet, dass die Bits enthaltend die Sequenznummer des jeweiligen ersten Datenpakets auf Korrektheit innerhalb der übertragenen Sequenz von ersten Datenpaketen überprüft wird und im Fall einer als nicht korrekt identifizierten Sequenznummer das zugehörige erste Datenpaket als fehlerhaft gekennzeichnet wird oder innerhalb der laufenden Sequenz von ersten Datenpaketen des jeweiligen empfangenden Datenstroms (d₁', d₂', ..., d_m') umsortiert wird.
Verfahren nach Anspruch 16, dadurch gekennzeichnet, dass die Bits enthaltend die Größe des jeweiligen ersten Datenpakets zur Identifizierung von Fülldaten oder eines folgenden ersten Datenpaket eines der zu empfangenden Datenströme (d₁', d₂', ..., d_m') jeweils gehörigen Markierungsbits herangezogen werden und im Fall von nicht identifizierten Fülldaten oder von nicht identifizierten weiteren Markierungsbits das jeweilige erste Datenpaket als fehlerhaft gekennzeichnet wird.
System zur Sicherung von Daten aus beliebig großen ersten Datenpaketen von mindestens einem zu sendenden Datenstrom (d₁, d₂, ..., d_j, ... d_n) in verschlüsselten, gleich großen zweiten Datenpaketen eines über einen Übertragungskanal (7) zu sendenden Transportdatenstroms (d_T), das ein Verfahren nach einem der Ansprüche 1 bis 13 benutzt.
System zur Gewinnung von unverschlüsselten, zu mindestens einem empfangenden Datenstrom (d₁', d₂', ..., d_m') jeweils gehörigen ersten Datenpaketen aus gleich großen, verschlüsselten zweiten Datenpaketen eines empfangenen Transportdatenstrom (d_T), das ein Verfahren nach einem der Ansprüche 14 bis 20 benutzt.
Digitales Speichermedium mit elektronisch auslesbaren Steuersignalen, welche derart mit einem programmierbaren Computer oder digitalen Signalprozessor zusammenwirken können, dass ein Verfahren nach einem der Ansprüche 1 bis 20 ausgeführt wird.
Computerprogramm mit Programmcode-Mitteln zur Durchführung eines Verfahrens nach einem der Ansprüche 1 bis 20, wenn das Computerprogramm in einem Computer oder einem digitalen Signalprozessor ausgeführt wird.