DE102009039098A1

DE102009039098A1 - Method for operating communication network, involves accessing communication network which is provided perpendicularly, if predetermined data communication takes place inside communication network

Info

Publication number: DE102009039098A1
Application number: DE200910039098
Authority: DE
Inventors: Rainer Dr. Falk; Steffen Fries
Original assignee: Siemens AG
Current assignee: Siemens AG
Priority date: 2009-08-27
Filing date: 2009-08-27
Publication date: 2011-03-03
Also published as: DE102009039098A8

Abstract

The method involves accessing the communication network which is provided perpendicularly, if the predetermined data communication takes place inside the communication network. The data traffic between the terminal and the computer of the communication network is examined on the provision of the predetermined data communication. Independent claims are also included for the following: (1) a computer program product comprises an internal storage; and (2) a computer for use in a communication network.

Description

Die Erfindung betrifft ein Verfahren zum Betreiben eines Kommunikationsnetzwerks, ein Computerprogrammprodukt und einen Rechner zur Verwendung in einem Kommunikationsnetzwerk, insbesondere einen Zugangs-Rechner oder einen Authentisierungs-Rechner.The invention relates to a method for operating a communication network, a computer program product and a computer for use in a communication network, in particular an access computer or an authentication computer.

Um einen Zugangsschutz zu realisieren, sind auch Firewalls bekannt. Die Grundfunktion einer Firewall besteht in einem Netzwerkfilter, der Datenverkehr an einer Grenze des Kommunikationsnetzwerks analysiert und anhand einer vorgegebenen Netzzugangs-Richtlinie (sog. Policy) ermittelt. Dabei lässt der Netzwerkfilter lediglich zugelassenen Netzwerkverkehr passieren und blockiert nicht zugelassenen Netzwerkverkehr.In order to realize access protection, firewalls are also known. The basic function of a firewall is a network filter, which analyzes traffic at a border of the communication network and determines it according to a given network access policy (so-called policy). The network filter passes only allowed network traffic and blocks unauthorized network traffic.

Bevor einem Endgerät ein Zugang zu einem Kommunikationsnetzwerk erlaubt wird, erfolgt eine Authentisierung des Nutzers. In einem Mobilfunksystem wird ein Nutzer mittels seiner SIM-Karte (SIM – Subscriber Identity Module) authentisiert. Bei einem drahtlosen Zugangs-Rechner, wie einem WLAN-Notspot (WLAN – Wireless Local Area Network) mit einem Web-basierten Zugangsportal muss der Nutzer beispielsweise seinen Benutzernamen und ein Passwort oder einen Zugangscode eingeben. Nach erfolgter Authentisierung des Nutzers wird der Zugang zu dem Kommunikationsnetzwerk, z. B. dem Internet oder einem Mobilfunknetzwerk, gewährt.Before a terminal is allowed access to a communication network, the user is authenticated. In a mobile radio system, a user is authenticated by means of his SIM card (SIM - Subscriber Identity Module). For example, in a wireless access computer, such as a wireless local area network (WLAN) with a web-based access portal, the user must enter their user name and password or access code. After authentication of the user access to the communication network, z. As the Internet or a mobile network granted.

Um einem Endgerät (oder einem das Endgerät bedienenden Nutzer) einen Zugang zu einem Kommunikationsnetzwerk (z. B. einem Firmen-Intranet oder zum Internet) zu gewähren, werden Endgeräte bzw. deren Nutzer heutzutage von dem Kommunikationsnetzwerk authentisiert, bevor der Zugang erlaubt wird. Typischerweise werden hierzu kryptographische Verfahren und Passwortüberprüfungen eingesetzt.To provide access to a communication network (eg, a corporate intranet or to the Internet) to a terminal (or user operating the terminal), terminals or their users are now authenticated by the communication network before access is allowed. Typically, cryptographic methods and password checks are used for this purpose.

In diesem Zusammenhang ist weiter das sog. Network Access Control(NAC)-Verfahren bekannt, bei dem eine Authentisierung und Überprüfung eines Endgeräts und seiner Konfiguration (z. B. ein Patch Level des Betriebssystems, ein Virenpattern usw.) erfolgt, bevor das Endgerät Zugang zu dem Kommunikationsnetzwerk, typischerweise dem Intranet einer Firma, erhält.In this context, the so-called Network Access Control (NAC) method is further known, in which an authentication and verification of a terminal and its configuration (eg a patch level of the operating system, a virus pattern, etc.) takes place before the terminal Access to the communication network, typically a company's intranet.

Bevor ein weiterer Zugang zu einem Kommunikationsnetzwerk freigegeben wird, ist es ebenso bekannt, ein Maschinenzertifikat des den Zugang beantragenden Endgeräts zu überprüfen.Before further access to a communication network is released, it is also known to check a machine certificate of the access requesting terminal.

Um einem Endgerät, dem einmal der Zugang zu einem Kommunikationsnetzwerk gewährt wurde, den Zugang nicht für eine unbestimmte Zeit aufrecht zu erhalten, ist es weiterhin bekannt, den Netzwerkzugang nach einer bestimmten Dauer der Nichtnutzung zu beenden. Dies ist unter dem Begriff „Time-out” bekannt.In order not to maintain access for an indefinite time to a terminal once granted access to a communication network, it is further known to terminate the network access after a certain period of nonuse. This is known as "time-out".

Neben den oben erläuterten Zugangsmechanismen zu einem Kommunikationsnetzwerk besteht weiterhin ein Bedarf, den Zugangsschutz auf Basis kryptographischer Netzzugangs-Authentisierung zu ergänzen. Ein solches Bedürfnis existiert insbesondere für Endgeräte (bzw. deren Nutzer) mit einem spezifischen Nutzungsverhalten, wie dies beispielsweise bei einer Maschinenkommunikation auftritt.In addition to the above-described access mechanisms to a communication network, there is still a need to supplement access protection based on cryptographic network access authentication. Such a need exists in particular for terminals (or their users) with a specific usage behavior, as occurs, for example, in a machine communication.

Es ist daher Aufgabe der vorliegenden Erfindung, ein Verfahren zum Betreiben eines Kommunikationsnetzwerks sowie einen Rechner zur Verwendung in einem Kommunikationsnetzwerk anzugeben, welche einen weiter verbesserten und effizienten Zugangsschutz zu einem Kommunikationsnetzwerk bereitstellen. Es ist weiterhin Aufgabe der vorliegenden Erfindung, ein Computerprogrammprodukt anzugeben.It is therefore an object of the present invention to provide a method for operating a communication network and a computer for use in a communication network, which provide a further improved and efficient access protection to a communication network. It is a further object of the present invention to provide a computer program product.

Diese Aufgaben werden gelöst durch ein Verfahren gemäß den Merkmalen des Patentanspruchs 1, ein Computerprogrammprodukt gemäß den Merkmalen des Patentanspruchs 14 sowie einen Rechner gemäß den Merkmalen des Patentanspruchs 15. Vorteilhafte Ausgestaltungen ergeben sich aus den abhängigen Patentansprüchen.These objects are achieved by a method according to the features of patent claim 1, a computer program product according to the features of patent claim 14 and a computer according to the features of patent claim 15. Advantageous embodiments result from the dependent patent claims.

Die Erfindung schafft ein Verfahren zum Betreiben eines Kommunikationsnetzwerks, bei dem ein, einem Endgerät gewährter Zugang zu dem Kommunikationsnetzwerk in Abhängigkeit davon aufrecht erhalten wird, ob eine vorgegebene, das Endgerät betreffende Datenkommunikation innerhalb des Kommunikationsnetzwerks erfolgt.The invention provides a method for operating a communication network in which access granted to a terminal to the communication network is maintained in dependence on whether predetermined terminal-related data communication occurs within the communication network.

Die Erfindung schafft weiterhin einen Rechner zur Verwendung in einem Kommunikationsnetzwerk, insbesondere einen Zugangs-Rechner oder einen Authentisierungs-Rechner, der dazu eingerichtet ist, einen einem Endgerät gewährten Zugang zu dem Kommunikationsnetzwerk in Abhängigkeit davon aufrecht zu erhalten, ob eine vorgegebene, das Endgerät betreffende Datenkommunikation innerhalb des Kommunikationsnetzwerks erfolgt.The invention further provides a computer for use in a communication network, in particular an access computer or an authentication computer, which is adapted to maintain access granted to a terminal to the communication network in dependence on whether a predetermined, the terminal concerned Data communication takes place within the communication network.

Die Erfindung baut darauf auf, dass dem Endgerät bereits ein Zugang zu dem Kommunikationsnetzwerk gewährt wurde. Hierbei kann wahlweise eines der eingangs erläuterten Verfahren zum Einsatz kommen. Um den Zugangsschutz weiter zu verbessern, wird vorgeschlagen, den gewährten Zugang nur dann aufrecht zu erhalten, wenn eine vorgegebene, das Endgerät betreffende Datenkommunikation erfolgt. Mit anderen Worten bedeutet dies, dass das Endgerät nach der Authentisierung bzw. dem Gewähren der Zugangserlaubnis bestimmte, erwartete Dinge tun muss, damit der Zugang zu dem Kommunikationsnetzwerk weiterhin erhalten bleibt.The invention is based on the fact that the terminal has already been granted access to the communication network. In this case, optionally one of the methods explained at the outset can be used. In order to further improve access protection, it is proposed to maintain the granted access only if a given data communication concerning the terminal takes place. In other words, this means that the terminal after the authentication or the Grant the access permission certain, expected things must do so that access to the communication network is still maintained.

Zweckmäßigerweise erfolgt dabei eine Überprüfung des Datenverkehrs zwischen dem Endgerät und einem Rechner des Kommunikationsnetzwerks auf das Vorhandensein der vorgegebenen Datenkommunikation.Expediently, the data traffic between the terminal and a computer of the communication network is checked for the presence of the predetermined data communication.

Wenn in der vorliegenden Beschreibung von einer Datenkommunikation die Rede ist, so ist dies weit aufzufassen. Die Datenkommunikation kann einen gewissen, erwarteten Netzwerkverkehr umfassen. Die Datenkommunikation kann auch eine vorgegebene Sequenz von zwischen dem Endgerät und dem Kommunikationsnetzwerk ausgetauschten Kommandos umfassen.If in the present description of a data communication is mentioned, so this is to be understood. The data communication may include some expected network traffic. The data communication may also include a predetermined sequence of commands exchanged between the terminal and the communication network.

Gemäß einer weiteren zweckmäßigen Ausgestaltung wird die zu überprüfende vorgegebene Datenkommunikation in einer Richtlinie (sog. Policy) des Kommunikationsnetzwerks festgelegt. Die Richtlinie definiert, welche Netzwerk-Datenkommunikation für ein bestimmtes Endgerät (oder einen bestimmten Nutzer des Endgeräts) „verpflichtend” ist, d. h. welche Datenkommunikation tatsächlich erfolgen muss.According to a further expedient embodiment, the predetermined data communication to be checked is defined in a policy (so-called policy) of the communication network. The policy defines which network data communication is "mandatory" for a particular terminal (or user of the terminal), i. H. which data communication actually has to take place.

Wahlweise betrifft die vorgegebene Datenkommunikation einen unmittelbar nach dem Aufbau des Zugangs zu dem Kommunikationsnetzwerk stattfindenden Datenaustausch, welcher überprüft wird. Alternativ oder zusätzlich betrifft die vorgegebene Datenkommunikation einen in einem vorgegebenen Zeitintervall stattfindenden Datenaustausch, welcher überprüft wird. Der Datenaustausch kann zwischen dem Endgerät und einem Rechner des Kommunikationsnetzwerks oder beliebigen Komponenten innerhalb des Kommunikationsnetzwerks erfolgen. In jedem Fall betrifft die Datenkommunikation jedoch das spezielle Endgerät bzw. dessen Nutzer.Optionally, the predetermined data communication relates to a data exchange taking place immediately after the establishment of the access to the communication network, which is checked. Alternatively or additionally, the predetermined data communication relates to a data exchange taking place in a predetermined time interval, which is checked. The data exchange can take place between the terminal and a computer of the communication network or any components within the communication network. In any case, however, the data communication concerns the specific terminal or its user.

Gemäß einer weiteren zweckmäßigen Ausgestaltung erfolgt die Überprüfung der vorgegebenen Datenkommunikation innerhalb einer festgelegten Zeitspanne nach dem Aufbau des Zugangs zu dem Kommunikationsnetzwerk. Wenn die vorgegebene Datenkommunikation nicht innerhalb der festgelegten Zeitspanne, sondern erst zeitlich danach erfolgt, so kann der dem Endgerät bereits gewährte Zugang – ähnlich einem Time-out – wieder gesperrt oder widerrufen oder eingeschränkt werden. Nur dann, wenn die vorgegebene Datenkommunikation innerhalb der festgelegten Zeitspanne festgestellt werden kann, bleibt der, dem Endgerät gewährte Zugang zu dem Kommunikationsnetzwerk, erhalten.According to a further expedient embodiment, the checking of the predetermined data communication takes place within a defined period of time after the establishment of the access to the communication network. If the predetermined data communication is not within the specified period of time, but only after that time, the access already granted to the terminal can again be blocked or revoked or restricted, similar to a time-out. Only if the predetermined data communication can be detected within the specified period of time does the access granted to the terminal to the communication network remain.

Alternativ oder zusätzlich kann die Überprüfung der vorgegebenen Datenkommunikation mehrmals, insbesondere in regelmäßigen Zeitabständen, erfolgen. Wie groß die regelmäßigen Abstände der Überprüfung des Vorhandenseins der vorgegebenen Datenkommunikation sind, hängt von den Gegebenheiten des Kommunikationsnetzwerks und gegebenenfalls von den mit dem Zugang gewährten Rechten für das Endgerät ab. Beispielsweise kann die Überprüfung mindestens stündlich oder mindestens täglich erfolgen.Alternatively or additionally, the verification of the predetermined data communication can take place several times, in particular at regular time intervals. The size of the regular intervals of the verification of the presence of the given data communication depends on the conditions of the communication network and, if applicable, on the access rights granted to the terminal. For example, the review can be done at least hourly or at least daily.

Eine weitere zweckmäßige Ausgestaltung sieht vor, dass der zu dem Kommunikationsnetzwerk gewährte Zugang beendet wird, wenn die vorgegebene Datenkommunikation nicht erfolgt oder nicht ermittelt werden kann. Alternativ wird der zu dem Kommunikationsnetzwerk gewährte Zugang bezüglich der Rechte des Endgeräts beschränkt, wenn die vorgegebene Datenkommunikation nicht erfolgt oder nicht ermittelt werden kann. Hierdurch kann eine dynamische Anpassung sog. Allow Deny-Netzzugangs-Richtlinien entsprechend dem Vorgehen einer Firewall erfolgen. Diese Variante beendet somit den einmal gewährten Zugang zu dem Kommunikationsnetzwerk nicht vollständig, sondern schränkt diesen lediglich hinsichtlich der Rechte bzw. Befugnisse des Endgeräts und dessen Nutzers in dem Kommunikationsnetzwerk ein.A further expedient embodiment provides that the access granted to the communication network is terminated when the predetermined data communication does not take place or can not be determined. Alternatively, the access granted to the communication network with regard to the rights of the terminal is restricted if the predetermined data communication does not take place or can not be determined. This allows a dynamic adaptation so-called. Allow deny network access policies according to the procedure of a firewall. Thus, this variant does not completely terminate the once granted access to the communication network, but restricts it only with respect to the rights or powers of the terminal and its user in the communication network.

In einer weiteren zweckmäßigen Ausgestaltung ist vorgesehen, dass die Überprüfung der vorgegebenen Datenkommunikation durch einen Rechner des Kommunikationsnetzwerks erfolgt.In a further expedient embodiment, it is provided that the checking of the predetermined data communication is carried out by a computer of the communication network.

Es ist weiterhin vorgesehen, dass die vorgegebene Datenkommunikation, insbesondere zwischen dem Endgerät und dem Kommunikationsnetzwerk ausgetauschte, Nutzdaten umfasst. Die vorgegebene und damit erwartende Datenkommunikation kann zu einem Rechner des Kommunikationsnetzwerks transparent durchgeleitet werden. Dies bedeutet, die erwartete Datenkommunikation wird durch einen Zugangs-Rechner des Kommunikationsnetzwerks durchgelassen oder blockiert. Der vorgegebene Datenverkehr kann ebenso eingetunnelt werden, z. B. als IP-in-IP Datenverkehr. Dieser wird dann in der eingetunnelten Form zu dem Rechner des Kommunikationsnetzwerks übertragen, welcher in die Überprüfung der vorgegebenen Datenkommunikation eingebunden ist. Bei dieser Variante erhält das Endgerät keinen direkten Zugang zu dem Kommunikationsnetzwerk, sondern beispielsweise lediglich eingeschränkten Zugang zu einem bestimmten Ziel-Rechner.It is further provided that the predetermined data communication, in particular exchanged between the terminal and the communication network, comprises user data. The predetermined and thus expected data communication can be transmitted transparently to a computer of the communication network. This means that the expected data communication is passed through or blocked by an access computer of the communication network. The given traffic can also be tunnelled, z. As IP-in-IP traffic. This is then transmitted in the eingetunnelten form to the computer of the communication network, which is involved in the verification of the given data communication. In this variant, the terminal receives no direct access to the communication network, but for example, only limited access to a specific destination computer.

Es ist weiterhin vorgesehen, dass die vorgegebene Datenkommunikation zwischen dem Endgerät und dem Kommunikationsnetzwerk Authentisierungs-Daten umfasst.It is further provided that the predetermined data communication between the terminal and the communication network comprises authentication data.

Gemäß einer weiteren zweckmäßigen Ausgestaltung erfolgt die Überprüfung der vorgegebenen Datenkommunikation durch einen bestimmten Rechner einer Mehrzahl von zur Überprüfung eingerichteten Rechnern des Kommunikationsnetzwerks, wobei dem bestimmten Rechner eine Vergebührungsfunktion zugeordnet wird. Hierdurch kann die Vergebührung für die Nutzung eines Netzzugangs, z. B. bei einem UMTS/WiMAX-Mobilfunksystem, derart erfolgen, dass Abrechnungsdaten demjenigen Rechner des Mobilfunksystems zugeordnet werden, der ein Endgerät akzeptiert hat. Akzeptieren bedeutet in diesem Zusammenhang, dass gegenüber diesem Rechner eine erfolgreiche Authentisierung des Endgeräts erfolgte. Auf diese Weise kann beispielsweise ein sog. M2M-Server (M2M – Machine to Machine) entscheiden, welche Endgeräte bzw. Nutzer er akzeptiert. Diesem M2M-Server bzw. dessen Betreiber werden dann eventuell angefallene Nutzungsgebühren belastet. Dies bedeutet, dass Abrechnungsdaten für einen Nutzer dem Ziel-Rechner (M2M-Server) zugeordnet werden, wenn dieser ein Endgerät akzeptiert.According to a further expedient embodiment, the verification of the predetermined Data communication by a specific computer of a plurality of computers set up for checking the communication network, wherein the particular computer is assigned a charging function. As a result, the billing for the use of a network access, z. B. in a UMTS / WiMAX mobile radio system, carried out such that accounting data are assigned to that computer of the mobile system that has accepted a terminal. Accept means in this context that against this computer a successful authentication of the terminal was done. In this way, for example, a so-called M2M server (M2M - Machine to Machine) can decide which terminals or users it accepts. This M2M server or its operator will then be charged any fees incurred. This means that billing data for a user is assigned to the destination computer (M2M server) when it accepts a terminal.

Das erfindungsgemäße Verfahren ermöglicht die Überprüfung und Überwachung des Kommunikationsverhaltens bestimmter Endgeräte in einem Kommunikationsnetzwerk, basierend auf erwarteten Kommunikationsmustern. Dieses Vorgehen erweitert die Möglichkeiten existierender Richtlinien-Ausübung (sog. Policy Enforcement), wie dieses bei NAC bekannt ist, in Richtung einer dynamischen Richtlinien-Einhaltung. Bei dem erfindungsgemäßen Verfahren wird nämlich nicht nur statisch zu bestimmten Zeiten ein Endgerät überprüft, sondern es kann kontinuierlich das Kommunikationsverhalten überprüft werden. Die Richtlinien-Einhaltung kann ohne zusätzliche Software auf den Endgeräten durchgeführt werden, wodurch insbesondere die Anwendung des erfindungsgemäßen Verfahrens bei älteren Endgeräten erleichtert wird. Mit dem vorgestellten Verfahren kann die Abrechnung von genutzten Diensten dann, anstelle wie bisher durch einen Mobilfunkbetreiber, durch den Anbieter eines Dienstes erfolgen. Ein derartiges Vorgehen ist flexibler, da für die Authentisierung des Endgeräts beliebige Internetbasierte Authentisierungsverfahren einsetzbar sind. Die Abrechnung der Nutzung eines Dienstes wird auch für ein Endgerät effizienter, bei denen nur ein sehr geringes Daten- und damit Gebührenaufkommen erfolgt.The method according to the invention makes it possible to check and monitor the communication behavior of specific terminals in a communication network, based on expected communication patterns. This approach extends the scope of existing Policy Enforcement, as it is known at NAC, to dynamic policy compliance. In the method according to the invention, not only is a terminal statically checked at certain times, but the communication behavior can be continuously checked. The compliance with the guidelines can be carried out on the terminals without additional software, which in particular facilitates the use of the method according to the invention in older terminals. With the presented method, the billing of used services can then take place, instead of as previously by a mobile operator, by the provider of a service. Such a procedure is more flexible, since any Internet-based authentication methods can be used for the authentication of the terminal. The billing of the use of a service is also more efficient for a terminal in which only a very small amount of data and thus charges occurs.

Die Erfindung wird nachfolgend näher anhand von Ausführungsbeispielen in der Zeichnung beschrieben. Es zeigen:The invention will be described in more detail below with reference to embodiments in the drawing. Show it:

1 den Kommunikationsablauf in einem Kommunikationsnetzwerk gemäß dem erfindungsgemäßen Verfahren bei einer erfolgreichen Anmeldung in einem ersten Ausführungsbeispiel, 1 the communication sequence in a communication network according to the inventive method in a successful logon in a first embodiment,

2 den Kommunikationsablauf in einem Kommunikationsnetzwerk gemäß dem erfindungsgemäßen Verfahren bei einer erfolglosen Anmeldung in einem ersten Ausführungsbeispiel, 2 the communication sequence in a communication network according to the inventive method in an unsuccessful login in a first embodiment,

3 den Kommunikationsablauf in einem Kommunikationsnetzwerk gemäß dem erfindungsgemäßen Verfahren bei einer erfolgreichen Anmeldung in einem zweiten Ausführungsbeispiel, 3 the communication process in a communication network according to the inventive method in a successful logon in a second embodiment,

4 den Kommunikationsablauf in einem Kommunikationsnetzwerk gemäß dem erfindungsgemäßen Verfahren bei einer erfolglosen Anmeldung gemäß in zweiten Ausführungsbeispiel, 4 the communication process in a communication network according to the inventive method in an unsuccessful login according to in the second embodiment,

5 eine schematische Darstellung eines Kommunikationsnetzwerks, in welchem sich ein M2M-Rechner über ein Mobilfunknetz an einem ausgewählten Rechner anmeldet, 5 a schematic representation of a communication network in which logs an M2M computer via a mobile network to a selected computer,

6 den Kommunikationsablauf eines M2M-Rechners mit einem Kommunikationsnetzwerk gemäß einer ersten Variante bei einer erfolgreichen Anmeldung, 6 the communication sequence of an M2M computer with a communication network according to a first variant in a successful logon,

7 den Kommunikationsablauf für den Zugang eines M2M-Rechners an einem Kommunikationsnetzwerk gemäß einer zweiten Variante bei einer erfolgreichen Anmeldung, 7 the communication process for the access of an M2M computer to a communication network according to a second variant in a successful logon,

8 den Kommunikationsablauf für den Zugang eines M2M-Rechners an einem Kommunikationsnetzwerk gemäß einer ersten Variante, wobei der Netzwerkzugang bei einer erfolglosen Anmeldung verweigert wird, und 8th the communication process for the access of an M2M computer to a communication network according to a first variant, wherein the network access is refused in an unsuccessful login, and

9 den Kommunikationsablauf für den Zugang eines M2M-Rechners an einem Kommunikationsnetzwerk gemäß einer zweiten Variante, wobei der Netzwerkzugang bei einer erfolglosen Anmeldung verweigert wird. 9 the communication process for the access of an M2M computer to a communication network according to a second variant, wherein the network access is denied in an unsuccessful login.

In den nachfolgenden Ausführungsbeispielen wird das erfindungsgemäße Verfahren zum Betreiben eines Kommunikationsnetzwerks NET in verschiedenen Szenerien beschrieben. Allen Szenerien ist gemeinsam, dass nach der Gewährung eines Netzwerkzugangs die Aufrechterhaltung oder das Beenden des gewährten Netzwerkzugangs eines Endgeräts C_A bzw. M2M-M davon abhängig ist, ob eine vorgegebene Datenkommunikation tatsächlich auftritt. Welche Datenkommunikation erwartet wird, um den einmal bereits gewährten Netzwerkzugang aufrecht zu erhalten, ist vorzugsweise in einer Richtlinie (sog. Network Usage Obligation Policy) hinterlegt. Diese definiert, welche Datenkommunikation für ein bestimmtes Endgerät „verpflichtend” ist und somit tatsächlich erfolgen muss. Die Richtlinie kann hierbei die gesamte Kommunikationen dauerhaft betreffen oder lediglich einen Teil der Kommunikation, vorzugsweise unmittelbar nach dem Aufbau des Netzzugangs.In the following exemplary embodiments, the method according to the invention for operating a communication network NET is described in various scenarios. All scenarios have in common that after the granting of a network access the maintenance or termination of the granted network access of a terminal C_A or M2M-M depends on whether a given data communication actually occurs. Which data communication is expected in order to maintain the once already granted network access is preferably stored in a guideline (so-called Network Usage Obligation Policy). This defines which data communication is "obligatory" for a particular terminal and thus must actually take place. In this case, the policy can permanently affect all communications or only part of the communication, preferably immediately after network access has been established.

Beispiele für eine solche vorgegebene Datenkommunikation sind:

– der Aufbau einer Verbindung des Endgeräts zu einem Applikationsserver, der in einer Liste bekannter Applikationsserver enthalten ist, wie z. B. einem Remote Service-Rechner oder einem Machine-2-Machine-Kommunikationsserver (M2M-Server), der Diagnose- und Wartungsdaten von Maschinen, wie z. B. einer Turbine, erfasst;
– Registrierung bei einem SIP-Server (SIP – Session Initiation Protocol) für Voice-Over-IP-Kommunikation innerhalb einer festgelegten Zeitspanne;
– eine erfolgreiche Authentisierung gegenüber einem Applikationsserver;
– eine erfolgreiche Anmeldung bei einem bekannten Domainserver;
– ein VPN-Zugang (VPN – Virtual Private Network) zu einem Firmen-Intranet, z. B. über einen öffentlichen Hotspot, welcher erfolgreich aufgebaut wurde;
– bestehende authentisierte und mittels SSL (Source Socket Lager) oder TLS (Transport Lager Security) geschützte Verbindungen zu einem M2M-Server. Unter einer „bestehenden Verbindung” wird hierbei verstanden, dass regelmäßig, z. B. mindestens alle fünf Minuten ein dazugehörendes Datenpaket übertragen wird;
– Überprüfen bei einem Software-Update-Server auf das Vorliegen von Updates, wie z. B. Virenpattern oder Betriebssystem-Patches.

Examples of such a given data communication are:

- Establishing a connection of the terminal to an application server that is included in a list of known application server, such. As a remote service computer or a machine-2-machine communication server (M2M server), the diagnostic and maintenance data of machines such. B. a turbine detected;
- Registration with a SIP server (SIP - Session Initiation Protocol) for voice-over-IP communication within a specified period of time;
A successful authentication against an application server;
- a successful login to a known domain server;
A VPN (Virtual Private Network) access to a corporate intranet, e.g. Via a public hotspot, which has been successfully established;
- existing authenticated connections protected by SSL (Source Socket Storage) or TLS (Transport Bearing Security) to an M2M server. Under an "existing connection" is understood here that regularly, z. B. at least every five minutes a pertinent data packet is transmitted;
- Check for a software update server for the presence of updates such. For example, virus patterns or operating system patches.

Diesen Beispielen ist gemeinsam, dass das den Zugang beantragende Endgerät direkt oder indirekt von der vorgegebenen Kommunikation betroffen ist.Common to these examples is that the terminal requesting access is directly or indirectly affected by the given communication.

Durch die Richtlinie kann festgelegt sein, dass die Überprüfung der vorgegebenen Datenkommunikation innerhalb einer festgelegten Zeitspanne nach dem Aufbau des Netzwerkzugangs des Endgeräts erfolgen muss und/oder eine regelmäßige Überprüfung zu erfolgen hat. Durch die Richtlinie kann weiterhin festgelegt sein, dass der gewährte Netzwerkzugang nur dann bestehen bleibt, wenn die Überprüfung ergab, dass die vorgegebene Datenkommunikation tatsächlich stattfand. Beim Ausbleiben der vorgegebenen Datenkommunikation ist es nicht zwingend notwendig, dass der Netzwerkzugang für das Endgerät vollständig gesperrt wird. Ebenso kann in der Richtlinie festgelegt sein, dass eine dynamische Anpassung der dem Endgerät gewährten Rechte in einer sog. Allow Deny-Netzzugangs-Richtlinie erfolgt. Der Netzzugang wird dann nicht vollständig beendet, sondern lediglich eingeschränkt.The directive may stipulate that the verification of the given data communication must take place within a defined period of time after the network access of the terminal has been established and / or a regular check has to be carried out. The Directive may further specify that the granted network access will only remain valid if the verification showed that the given data communication actually took place. In the absence of the given data communication, it is not absolutely necessary that the network access for the terminal is completely blocked. Likewise, it may be stipulated in the Directive that a dynamic adaptation of the rights granted to the terminal takes place in a so-called Allow Deny Network Access Directive. The network access is then not completely terminated, but only restricted.

Die 1 bis 4 zeigen jeweils die erfindungsgemäßen Abläufe der Datenkommunikation zwischen einem Endgerät C_A und einem Kommunikationsnetzwerk NET, das einen Zugangs-Rechner (Access Switch) AcS, einen Verwaltungs-Rechner (NAC/Obligation) NAC_O sowie einen Anwendungs-Rechner (Application Server) AppS umfasst.The 1 to 4 each show the inventive processes of data communication between a terminal C_A and a communication network NET, which includes an access computer AcS, a management computer (NAC / Obligation) NAC_O and an application computer (AppServer) AppS.

1 zeigt hierbei den Vorgang der Anmeldung des Endgeräts C_A an dem Kommunikationsnetzwerk NET sowie das Aufrechterhalten des gewährten Zugangs. Zu Beginn überträgt das Endgerät C_A eine Nachricht S1 an den Zugangs-Rechner AcS, mit dem ein Zugang zum Kommunikationsnetzwerk beantragt wird (Acquire Access). Anschließend überträgt der Zugangs-Rechner AcS eine Nachricht S2 an den Verwaltungs-Rechner NAC_O, mit dem eine Zugangs-Autorisierung erbeten wird (Get Access Authorization). Optional kann durch den Verwaltungs-Rechner NAC_O ein erster Timer gestartet werden, mit dem der Status des Endgeräts gemäß einer Richtlinie überprüft wird, bevor das Endgerät den Zugang gewährt bekommt. Mit einer Nachricht, S3, die der Verwaltungs-Rechner NAC_O an den Zugangs-Rechner AcS überträgt, wird durch den Verwaltungs-Rechner NAC_O der Zugang zu einem eingeschränkten Netzbereich des Kommunikationsnetzwerks erteilt (Grant Access to quarantine VLAN). Gleichzeitig fordert der Verwaltungs-Rechner NAC_O in der Nachricht S3 eine Überprüfung gemäß NAC an (Require NAC check). Der sog. NAC-Check umfasst beispielsweise die Überprüfung von Performanz-Eigenschaften des Endgeräts C_A. Nach Erhalt der Nachricht S3 gewährt der Zugangs-Rechner AcS dem Endgerät C_A Zugang zu dem eingeschränkten Netzbereich, dem sog. Quarantäne-Netzwerk (auch quarantine VLAN). Der Zugangs-Rechner AcS überträgt eine Nachricht S4 an das Endgerät C_A, mit welcher diesem der durchzuführende NAC-Check mitgeteilt wird (Require NAC check). Das Endgerät C_A antwortet in Nachricht S5 auf diese Anfrage (Response NAC check). Diese Antwort wird in Nachricht S6 von dem Zugangs-Rechner AcS an den Verwaltungs-Rechner NAC_O weitergeleitet. Wenn dieser Test erfolgreich verlief, wird der oben genannte erste Timer beendet. 1 shows the process of logging the terminal C_A on the communication network NET and maintaining the granted access. Initially, the terminal C_A transmits a message S1 to the access computer AcS, with which access to the communication network is requested (Acquire Access). Subsequently, the access computer AcS transmits a message S2 to the management computer NAC_O, with which an access authorization is requested (Get Access Authorization). Optionally, a first timer can be started by the management computer NAC_O, with which the status of the terminal is checked according to a policy before the terminal is granted access. With a message, S3, which the management computer NAC_O transmits to the access computer AcS, the administration computer NAC_O grants access to a limited network area of the communication network (grant access to quarantine VLAN). At the same time, the management computer NAC_O requests a check in accordance with NAC in the message S3 (Require NAC check). The so-called NAC check includes, for example, the review of performance characteristics of the terminal C_A. After receiving the message S3, the access computer AcS grants the terminal C_A access to the restricted network area, the so-called quarantine network (also called quarantine VLAN). The access computer AcS transmits a message S4 to the terminal C_A, with which this is notified of the NAC check to be performed (Require NAC check). The terminal C_A replies in message S5 to this request (Response NAC check). This response is forwarded in message S6 from the access computer AcS to the management computer NAC_O. If this test was successful, the above first timer is ended.

Gleichzeitig wird durch den Verwaltungs-Rechner NAC_O ein neuer, zweiter Timer aufgrund einer Richtlinie gestartet, um den Status des Endgeräts nach dem Ablauf einer vorgegebenen Zeitperiode zu überprüfen, um dem Endgerät C_A weiterhin den nun vollständig gewährten Zugang zu dem Kommunikationsnetzwerk (sog. produktives Netzwerk oder productive VLAN) aufrecht zu erhalten. Der Verwaltungs-Rechner NAC_O überträgt eine Nachricht S7 an den Zugangs-Rechner AcS, mit welchem der gewährte Zugang zum sog. produktiven Kommunikationsnetzwerk mitgeteilt wird (Grant Access to productive VLAN). Gleichzeitig wird in der Nachricht S7 eine Information übertragen, welche über den erfolgreichen NAC-Check informiert (NAC Check passed). Der Zugangs-Rechner AcS erlaubt ab Erhalt der Nachricht S7 dem Endgerät C_A den Zugang zum produktiven Kommunikationsnetzwerk. Weiterhin überträgt der Zugangs-Rechner AcS in der Nachricht S8, die an das Endgerät C_A gerichtet ist, dass der NAC-Check erfolgreich war (NAC check passed).At the same time, a new, second timer is started by the management computer NAC_O on the basis of a policy to check the status of the terminal after the lapse of a predetermined period of time in order to continue to grant the terminal C_A the access to the communication network (so-called productive network or productive VLAN). The administration computer NAC_O transmits a message S7 to the access computer AcS, with which the granted access to the so-called productive communication network is communicated (grant access to productive VLAN). At the same time, information is transmitted in message S7 which informs about the successful NAC check (NAC check passed). The access computer AcS allows receipt of the message S7 the terminal C_A access to the productive communication network. Furthermore, the access computer AcS transmits in the message S8, which is directed to the terminal C_A, that the NAC check was successful (NAC check passed).

Um den nunmehr gewährten vollständigen Zugang zum produktiven Kommunikationsnetzwerk aufrecht zu erhalten, ist es gemäß einer festgelegten Richtlinie notwendig, dass sich das Endgerät C_A an dem Anwendungs-Rechner AppS registriert. Zu diesem Zweck überträgt das Endgerät C_A eine Nachricht S9 mit einer derartigen Registrierung (z. B. Register@Application Server). Der Anwendungs-Rechner bestätigt die Registrierung in einer Nachricht S10 (Confirm Registration). Damit kann der zweite Timer beendet werden, da die vorgegebene Datenkommunikation – die Registrierung beim Anwendungs-Rechner – erfolgreich detektiert werden konnte.In order to maintain the now granted full access to the productive communication network, it is necessary according to a fixed policy that the terminal C_A registers itself on the application computer AppS. For this purpose, the terminal C_A transmits a message S9 with such a registration (eg Register @ Application Server). The application computer confirms the registration in a message S10 (Confirm Registration). Thus, the second timer can be terminated because the predetermined data communication - the registration with the application computer - could be successfully detected.

Die die Nachrichten S9 und S10 umfassende Überprüfung kann, wie eingangs erläutert, in regelmäßigen Abständen in der Richtlinie erneut gefordert sein. Findet dann innerhalb der vorgegebenen Zeitschranke die mit den Nachrichten S9 und S10 beschriebene vorgegebene Datenkommunikation nicht statt, so kann dem Endgerät C_A der Netzzugang entweder vollständig verwehrt werden oder aber eine Rückstufung zum Quarantäne-Netzwerk erfolgen.The review comprising messages S9 and S10 may, as explained above, be repeated at regular intervals in the Directive. If the predetermined data communication described with the messages S9 and S10 then does not take place within the predetermined time limit, the network access can either be completely denied to the terminal C_A or a downgrading to the quarantine network can take place.

In der 1 ist mit A derjenige Zeitbereich gekennzeichnet, in welchem das Endgerät C_A lediglich Zugriff auf das Quarantäne-Netzwerk hat. In dem mit B gekennzeichneten Zeitbereich sind dem Endgerät C_A vollständige Rechte gewährt.In the 1 A is the time range in which the terminal C_A only has access to the quarantine network. In the time range marked B, the terminal C_A is granted full rights.

2 zeigt ein modifiziertes Ausführungsbeispiel, in welchem die Anmeldung des Endgeräts C_A in dem Kommunikationsnetzwerk NET fehlschlägt. Die gesamte Datenkommunikation läuft deshalb in dem mit eingeschränkten Rechten verbundenen Quarantäne-Netzwerk ab. Die Übertragung der Nachrichten S1 bis 54 entspricht den in Verbindung mit 1 bereits erläuterten Nachrichten bzw. Schritten. Da mit Ablauf des nach Erhalt der Nachricht S2 gestarteten Timers eine Antwort bezüglich des NAC-Checks durch das Endgerät C_A ausbleibt (Nachrichten S5 und S6 gemäß 1), verweigert der Verwaltungs-Rechner NAC_O den Zugang zum produktiven Kommunikationsnetzwerk, weswegen dem Endgerät C_A lediglich im Quarantäne-Netzwerk Rechte erteilt werden. Dies wird dem Zugangs-Rechner AcS in der Nachricht S5 durch den Verwaltungs-Rechner NAC_O mitgeteilt (Deny Access to productive VLAN, keep client in quarantine VLAN). 2 shows a modified embodiment in which the application of the terminal C_A fails in the communication network NET. All data communication therefore runs in the Quarantine Network connected with restricted rights. The transmission of the messages S1 to 54 correspond to those in connection with 1 already explained messages or steps. Since, at the end of the timer started after receipt of the message S2, a response regarding the NAC check by the terminal C_A is omitted (messages S5 and S6 according to FIG 1 ), the management computer NAC_O denies access to the productive communication network, which is why the terminal C_A rights are granted only in the quarantine network. This is communicated to the access computer AcS in the message S5 by the management computer NAC_O (Deny access to productive VLAN, keep client in quarantine VLAN).

Die 3 und 4 zeigen ein zweites Ausführungsbeispiel der Verwendung des erfindungsgemäßen Verfahrens, wobei das Kommunikationsnetzwerk NET zusätzlich zu dem Zugangs-Rechner AcS, dem Verwaltungs-Rechner NAC_O und dem Anwendungs-Rechner AppS einen CA-Rechner aufweist. Ein CA-Rechner (Certification Authority) ist eine Vorrichtung zur Verwaltung von Sicherheits-Credentials (z. B. kryptographische Schlüssel, Zertifikate). Er kann insbesondere Widerrufsinformation für ein digitales Zertifikat, z. B. gemäß dem X.509 Standard, des Endgerät C_A bereitstellen. Dies kann durch eine Zertifikatswiderrufsliste (CRL, Certificate Revocation List) erfolgen oder durch entsprechende, alternative Verfahren wie ein Online-Zertifikatsstatus-Protokoll (OCSP, Online Certificate Status Protocol). Eine Zertifikatswiderrufsliste CRL führt widerrufene, die als ungültig geltende Zertifikate auf. Alternativ zur Abfrage einer Zertifikatswiderrufsinformation kann auch ein anderes Verfahren eingesetzt werden, um unter Durchführung einer Datenkommunikation zu ermitteln, ob ein Endgerät C_A bzw. das von ihm verwendete Sicherheits-Credential gültig ist. Die Nachrichten bzw. Schritte S1 bis S10 entsprechen den in Verbindung mit 1 beschriebenen Schritten. Im Unterschied zum vorangegangenen ersten Ausführungsbeispiel gemäß 1 wird durch den Anwendungs-Rechner AppS nach Erhalt der Nachricht S9 eine Authentisierung des Endgeräts C_A unter Verwendung seines Zertifikats vorgenommen, wobei das Zertifikat (einschließlich einer CRL-Überprüfung) verifiziert wird. Mit der Nachricht S11 (Get CRL), die der Anwendungs-Rechner AppS an den Verwaltungs-Rechner NAC_O überträgt, wird ein CRL angefordert. Zu diesem Zweck überträgt der Verwaltungs-Rechner NAC_O eine Nachricht S12 an den CA-Rechner, indem die CRL angefordert wird (Get CRL). Mit der Nachricht S13, die von dem CA-Rechner an den Verwaltungs-Rechner NAC_O übertragen wird, wird die CRL bereitgestellt, welche vom Verwaltungs-Rechner NAC_O an den Anwendungs-Rechner AppS mit der Nachricht S14 übertragen wird.The 3 and 4 show a second embodiment of the use of the method according to the invention, wherein the communication network NET in addition to the access computer AcS, the management computer NAC_O and the application computer AppS has a CA computer. A Certification Authority (CA) machine is a device for managing security credentials (eg, cryptographic keys, certificates). In particular, he may revoke revocation information for a digital certificate, e.g. B. according to the X.509 standard, the terminal C_A provide. This can be done through a Certificate Revocation List (CRL) or through equivalent alternative methods, such as Online Certificate Status Protocol (OCSP). A Certificate Revocation List CRL lists revoked and invalidated certificates. As an alternative to requesting certificate revocation information, another method can also be used to determine whether a terminal C_A or the security credential used by it is valid while carrying out data communication. The messages or steps S1 to S10 correspond to those in connection with FIG 1 described steps. In contrast to the previous first embodiment according to 1 After the receipt of the message S9, the application computer AppS authenticates the terminal C_A using its certificate, whereby the certificate (including a CRL check) is verified. With the message S11 (Get CRL), which the application computer AppS transmits to the management computer NAC_O, a CRL is requested. For this purpose, the management computer NAC_O transmits a message S12 to the CA computer by requesting the CRL (Get CRL). With the message S13, which is transmitted from the CA computer to the management computer NAC_O, the CRL is provided, which is transmitted from the management computer NAC_O to the application computer AppS with the message S14.

In diesem Ausführungsbeispiel bezieht sich die Richtlinie somit nicht auf den Datenverkehr, der von dem Endgerät selbst ausgeht, sondern auf eine Datenkommunikation, welche vom Verwaltungs-Rechner ausgeht und mit anderen Komponenten des Kommunikationsnetzwerks geführt wird. In diesem Beispiel muss der Verwaltungs-Rechner regelmäßig eine aktuelle CRL-Liste vom CA-Rechner abfragen, welche Informationen enthält, welche Endgeräte-Zertifikate widerrufen wurden.Thus, in this embodiment, the policy does not relate to the data traffic originating from the terminal itself, but to data communication originated by the management computer and routed to other components of the communication network. In this example, the management computer must periodically query an up-to-date CRL list from the CA computer, which contains information about which device certificates have been revoked.

4 zeigt den Fall des zweiten Ausführungsbeispiels gemäß 3, in dem die CRL-Liste von dem CA-Rechner CAS nicht an den Verwaltungs-Rechner NAC_O übertragen wird, woraufhin weitere Verbindungsversuche des Endgeräts C_A zur Verbindung mit dem Kommunikationsnetzwerk im produktiven Netzwerk (B) unterbunden werden. Dem Endgerät C_A wird somit lediglich Zugang zum Quarantäne-Netzwerk A gewährt. 4 shows the case of the second embodiment according to 3 in that the CRL list is not transmitted by the CA computer CAS to the management computer NAC_O, whereupon further connection attempts of the terminal C_A for connection to the communication network in the productive network (B) are prevented. The terminal C_A is thus granted access only to the quarantine network A.

Das erfindungsgemäße Verfahren erlaubt ferner die Vergebührung für die Nutzung eines Netzzugangs, so dass beispielsweise bei einem UMTS/WiMAX-Mobilfunksystem die Abrechnungsdaten demjenigen Rechner zugeordnet werden können, der ein Endgerät (d. h. einen dem Endgerät zugeordneten Nutzer) akzeptiert hat. Dies bedeutet, es fand eine erfolgreiche Authentisierung des Nutzers gegenüber diesem Rechner statt. Hierdurch kann beispielsweise ein sog. Machine-2-Machine-Rechner (M2M-Server) entscheiden, welche Endgeräte (Teilnehmer oder Nutzer) er akzeptiert. Ihm und dem Betreiber des M2M-Rechners werden dann angefallene Nutzungsgebühren belastet. Beispielsweise kann ein M2M-Modul über eine eingebaute Maschinen-SIM-Karte zur Authentisierung des M2M-Moduls gegenüber einem Mobilfunkbetreiber verfügen. Diese SIM-Karte ist nicht einer bestimmten Person zugeordnet, der eine Rechnung zugestellt werden könnte.The method according to the invention also allows billing for the use of a network access, so that, for example, in a UMTS / WiMAX mobile radio system, the billing data can be assigned to that computer which has accepted a terminal (that is to say a user assigned to the terminal). This means that there was a successful authentication of the user against this computer. As a result, for example, a so-called machine-2-machine computer (M2M server) can decide which terminals (subscribers or users) it accepts. He and the operator of the M2M computer will be charged then incurred fees. For example, an M2M module may have a built-in machine SIM card for authenticating the M2M module to a mobile operator. This SIM card is not associated with a specific person to whom an invoice could be delivered.

Der Nutzer eines solchen M2M-Moduls kann beispielsweise einen M2M-Serviceanbieter auswählen und sich bei diesem registrieren, d. h. einen Account einrichten. Die Abrechnung erfolgt dann nicht durch den Betreiber des Mobilfunknetzwerks, sondern durch den Anbieter des M2M-Dienstes. Dies ist flexibler, da für die Authentisierung des M2M-Nutzers (Endgeräts) beliebige Internet-basierte Authentisierungsverfahren einsetzbar sind (wie z. B. Benutzername und Passwort, digitales Zertifikat). Die Abrechnung der Nutzung wird auch effizienter für M2M-Nutzer, bei denen nur ein sehr geringes Datenaufkommen und damit Gebührenaufkommen erfolgt.For example, the user of such an M2M module may select and register with an M2M service provider, i. H. set up an account. The billing is then not by the operator of the mobile network, but by the provider of the M2M service. This is more flexible since any Internet-based authentication methods can be used for the authentication of the M2M user (terminal) (such as, for example, user name and password, digital certificate). Billing usage will also be more efficient for M2M users, who only have a very small volume of data and thus charging.

Es kann weiterhin das Ergebnis einer (erfolgreichen oder erfolglosen) Authentisierung eines M2M-Moduls gegenüber einem M2M-Server durch das Mobilfunknetz gespeichert werden, d. h. dem Identifier der M2M-SIM-Karte zugeordnet werden. Bei wiederholten Authentisierungsversuchen kann hierauf adaptiv reagiert werden. So kann z. B. nach einer wiederholten gescheiterten Authentisierung gegenüber einem M2M-Rechner der Netzzugang für diese M2M-SIM-Karte gespeichert werden.Furthermore, the result of a (successful or unsuccessful) authentication of an M2M module to an M2M server by the mobile radio network can be stored, i. H. assigned to the identifier of the M2M SIM card. In the case of repeated authentication attempts, this can be reacted to adaptively. So z. B. after a repeated failed authentication against a M2M computer network access for this M2M SIM card are stored.

5 zeigt in einer schematischen Darstellung ein diesem Szenario zu Grunde liegendes Kommunikationsnetzwerk. Ein M2M-Modul M2M-M ist über ein beispielhaft mobiles Netzwerk MN kommunikativ mit einem von beispielhaft zwei M2M-Rechnern M2M-S1, M2M-S2 verbindbar. Das M2M-Modul M2M-M ist mit einem Gerät Dev verbunden. In dem M2M-Modul M2M-M ist beispielsweise eine SIM-Karte integriert, über welche das Modul gegenüber einem der beiden M2M-Rechner M2M-S1, M2M-S2 authentisierbar ist. Das Endgerät Dev, z. B. in Gestalt einer Steuerungsanlage, ist über das M2M-Modul mit dem mobilen Netzwerk, z. B. dem Internet, und damit den M2M-Rechnern M2M-S1, M2M-S2 verbunden. 5 shows a schematic representation of a scenario underlying this communication network. An M2M module M2M-M can be communicatively connected to one of by way of example two M2M computers M2M-S1, M2M-S2 via an exemplary mobile network MN. The M2M module M2M-M is connected to a device Dev. In the M2M module M2M-M, for example, a SIM card is integrated, via which the module can be authenticated relative to one of the two M2M computers M2M-S1, M2M-S2. The terminal Dev, z. B. in the form of a control system is via the M2M module with the mobile network, z. As the Internet, and thus the M2M computers M2M-S1, M2M-S2 connected.

6 zeigt den Ablauf für den M2M-Zugang, bei dem der M2M-Rechner M2M-S ein bestimmtes Endgerät akzeptiert. Hierbei authentisiert sich das M2M-Modul zunächst gegenüber dem mobilen Netzwerk MN (MO). Unter Weiterleitung durch das mobile Netzwerk MN wird nach der Netzwerkauthentisierung eine Nachricht S1 von dem M2M-Modul M2M-M an den M2M-Rechner M2M-S übertragen, in welchem sich das M2M-Modul M2M-M gegenüber dem M2M-Rechner authentisiert. Im mobilen Netzwerk wird dabei die Adresse des M2M-Rechners M2M-S gespeichert (M1). In einer Nachricht S2 wird die Authentisierung des M2M-Rechners gegenüber dem M2M-Modul bestätigt. In einem Schritt M2 assoziiert das mobile Netzwerk MN somit den M2M-Rechner mit der nun ablaufenden Session. Mit den Nachrichten S3, S4 werden von dem Gerät Dev Daten an das M2M-Modul (S3) und von diesem an den M2M-Server M2M-S (S4) übertragen. In dem mobilen Netzwerk wird in Schritt M3 hierbei eine Vergebührung vorgenommen, welche dem M2M-Rechner M2M-S zugeordnet ist. Die Nachrichten S5, S6 und der Schritt M4 entsprechen den Nachrichten/Schritten S3, S4 und M3. 6 shows the procedure for M2M access, in which the M2M computer M2M-S accepts a specific terminal. In this case, the M2M module initially authenticates itself with respect to the mobile network MN (MO). While being forwarded by the mobile network MN, after the network authentication, a message S1 is transmitted by the M2M module M2M-M to the M2M computer M2M-S, in which the M2M module M2M-M authenticates itself with respect to the M2M computer. In the mobile network, the address of the M2M computer M2M-S is stored (M1). In a message S2, the authentication of the M2M computer is confirmed with respect to the M2M module. In a step M2, the mobile network MN thus associates the M2M computer with the now running session. With the messages S3, S4 data are transmitted from the device Dev to the M2M module (S3) and from this to the M2M server M2M-S (S4). In the mobile network, a charging is performed in step M3, which is assigned to the M2M computer M2M-S. The messages S5, S6 and the step M4 correspond to the messages / steps S3, S4 and M3.

Im Ausführungsbeispiel der 7 authentisiert sich das Endgerät Dev gegenüber dem M2M-Rechner M2M-S anstelle gegenüber dem M2M-Modul M2M-M. Das M2M-Modul hat sich auch hier gemäß Schritt MO vorher gegenüber dem mobilen Netzwerk authentisiert. Die Abrechnung erfolgt wiederum gegenüber demjenigen M2M-Rechner M2M-S, gegenüber dem eine Authentisierung erfolgreich war. Im Übrigen entspricht das Vorgehen dem des Beispiels der 6.In the embodiment of 7 the terminal Dev authenticates itself to the M2M computer M2M-S instead of the M2M module M2M-M. Again, the M2M module has previously authenticated to the mobile network according to step MO. The billing takes place again against the M2M computer M2M-S, against which an authentication was successful. Incidentally, the procedure corresponds to that of the example of 6 ,

Im Ausführungsbeispiel gemäß 8, das der Variante gemäß 6 entspricht, scheitert die Authentisierung des M2M-Moduls M2M-M gegenüber dem M2M-Rechner M2M-S, wodurch der M2M-Rechner M2M-S eine entsprechende Nachricht S2 (reject) an das M2M-Modul M2M-M überträgt. Daraufhin beendet das mobile Netzwerk MN den Netzwerkzugang für dieses M2M-Modul (Schritt M5).In the embodiment according to 8th according to the variant 6 corresponds, fails the authentication of the M2M module M2M-M with respect to the M2M computer M2M-S, whereby the M2M computer M2M-S transmits a corresponding message S2 (reject) to the M2M module M2M-M. Thereafter, the mobile network MN terminates the network access for this M2M module (step M5).

9 zeigt das Scheiternder Authentisierung für den Fall, dass sich das Endgerät Dev anstelle des M2M-Moduls M2M-M gegenüber dem M2M-Rechner authentisiert (7). 9 shows the failure of the authentication in the event that the device Dev authenticates itself to the M2M computer instead of the M2M module M2M-M ( 7 ).

Claims

Method for operating a communications network (NET), in which access to the communications network (NET) granted to a terminal (C_A) is maintained in dependence on whether a predetermined data communication relating to the terminal (C_A) occurs within the communications network (NET) he follows.

Method according to Claim 1, in which the data traffic between the terminal (C_A) and a computer (AppS) of the communication network (NET) is checked for the presence of the predetermined data communication.

Method according to Claim 1 or 2, in which the predetermined data communication to be checked is defined in a guideline of the communication network (NET).

Method according to one of the preceding claims, in which the predetermined data communication relates to a data exchange taking place immediately after the establishment of the access to the communication network, which is checked.

Method according to one of the preceding claims, in which the predetermined data communication relates to a data exchange taking place in a predetermined time interval, which is checked.

Method according to one of the preceding claims, in which the verification of the predetermined data communication takes place within a defined period of time after the establishment of the access to the communication network (NET).

Method according to one of the preceding claims, in which the verification of the predetermined data communication takes place several times, in particular at regular time intervals.

Method according to one of Claims 1 to 7, in which the access granted to the communications network (NET) is terminated if the predetermined data communication does not take place or can not be determined.

Method according to one of Claims 1 to 7, in which the access granted to the communication network (NET) with regard to the rights of the terminal (C_A) is restricted if the predetermined data communication does not take place or can not be determined.

Method according to one of the preceding claims, in which the verification of the predetermined data communication is performed by a computer (AcS, NAC_O) of the communication network.

Method according to one of the preceding claims, in which the predetermined data communication, in particular between the terminal (C_A) and the communication network (NET) exchanged, comprises user data.

Method according to one of the preceding claims, in which the predetermined data communication between the terminal and the communication network (NET) comprises authentication data.

Method according to one of the preceding claims, wherein the verification of the predetermined data communication by a specific computer (M2M) of a plurality of set up for checking computers of the communication network (NET), wherein the particular computer (M2M) is assigned a charging function.

A computer program product that can be loaded directly into the internal memory of a digital computer and includes software code portions that perform the steps of any one of the preceding claims when the product is run on a computer.

Computer for use in a communication network (NET), in particular access computer or authentication computer, which is set up to maintain access to the communication network (NET) granted to a terminal (C_A) in dependence on whether a given network access service (C_A) Terminal (C_A) data communication within the communication network (NET) takes place.

A computer according to claim 15, wherein it is arranged to perform the method according to one of claims 2 to 13.