-
Die Erfindung betrifft ein Verfahren zum Steuern eines Verbindungsaufbaus zwischen einem Benutzerendgerät und einem weiteren Endgerät, wobei durch das Benutzerendgerät im Zusammenhang mit dem Verbindungsaufbau eine Anfrage gesendet wird, wobei die Anfrage durch eine Kontrollentität empfangen wird, wobei durch die Kontrollentität in Reaktion auf die Anfrage eine Nachricht generiert und an eine Steuerentität gesendet wird, wobei durch die Steuerentität in Reaktion auf die Nachricht eine Antwort generiert und an die Kontrollentität zurückgesendet wird, wobei in der Antwort eine Freigabe oder ein Versagen des Zugriffs auf das weitere Endgerät definiert ist, und wobei durch die Kontrollentität die Anfrage in Abhängigkeit der Antwort weiterverarbeitet und/oder der Verbindungsaufbau in Abhängigkeit der Antwort beeinflusst wird.
-
Die Erfindung betrifft ferner ein Netzwerksystem umfassend mehrere Benutzerendgeräte und mehrere weitere Endgeräte, wobei die Benutzerendgeräte und die weiteren Endgeräte über eine Netzwerkinfrastruktur untereinander verbunden sind, wobei eine Kontrollentität zur Überwachung von Anfragen eines Benutzerendgeräts im Zusammenhang mit einem Verbindungsaufbau an eines der weiteren Endgeräte vorgesehen ist, wobei die Kontrollentität kommunizierend mit einer Steuerentität verbunden ist, wobei die Steuerentität eine Eingabeeinrichtung umfasst, mittels der eine Freigabe oder ein Versagen des Zugriffs auf das weitere Endgerät definierbar ist, und wobei die Kontrollentität derart ausgestaltet ist, dass nur bei Freigabe des Zugriffs die Anfrage weiterbearbeitet wird.
-
Häufig unterrichten Lehrpersonen fachfremd Computer-gestützte Fächer wie „Informationstechnische Grundbildung” (ITG). Schulen verfügen in der Regel über einen Internetzugang, der von Schülern für den Besuch von unerlaubten Internetseiten ausgenutzt werden kann. Dazu gehören beispielsweise Seiten mit jugendgefährdendem Inhalt. Ferner verleitet ein offener Internetzugang zu einem ziellosen Durchstöbern von Internetseiten, was einen effektiven Unterricht erschwert oder gar unmöglich macht. Jugendschutz sowie effektiver Unterricht müssen jedoch gewährleistet werden. Oft erschwert die Sitzordnung in den Unterrichtsräumen eine Kontrolle seitens der Lehrperson, da nicht alle Bildschirme an den Arbeitsplätzen gleichzeitig einzusehen sind.
-
Um Schüler zu schützen, werden oftmals Filter, Firewalls und/oder Internetproxies eingesetzt. Diese filtern den Datenverkehr nach bestimmten Charakteristiken aus. Obwohl die Filterlogiken sehr mächtig und daher prinzipiell geeignet sind, Schüler zu schützen, steht und fällt dieses Konzept mit der Komplexität und Qualität der Filterkonfiguration. Neue Internetseiten müssen stets neu eingepflegt werden. Zur Vereinfachung der Konfiguration sind Mechanismen bekannt, mit denen der Inhalt der aufgerufenen Seiten automatisiert analysiert wird und gegebenenfalls die Anzeige der Seite an einem Endgerät unterbunden wird.
-
Allerdings dienen diese Filter lediglich dem Jugendschutz und nicht einer effektiven Unterrichtseinheit. Theoretisch könnte eine Lehrperson vor einer Unterrichtsstunde den Filter so konfigurieren, dass nur die in dieser Stunde erwünschten Seiten geöffnet werden können. Dies ist jedoch umständlich und in der Praxis nicht umsetzbar. Zudem sind die Lehrpersonen häufig nicht ausreichend technisch versiert, um die notwendigen Konfigurationsarbeiten durchführen zu können.
-
Ein System und ein Verfahren zum Beschränken des Nutzerzugriffs auf das Internet ist in der
US 5,678,041 A offenbart. Die Informationen, auf welche öffentlichen oder sonst unkontrollierten Ressourcen zugegriffen werden darf, werden in einer relationalen Datenbank abgelegt, die von einem Administrator aktualisiert und verändert werden kann. Nur wenn die Ressource als freigegeben gekennzeichnet ist, wird eine Anfrage aus dem lokalen Netzwerk weitergeleitet. Ansonsten wird die Anfrage abgelehnt. Auch hier ist jedoch für das Anpassen der Konfiguration eine tiefergehende technische Kenntnis notwendig.
-
Ein anderer Ansatz, Kinder vor schädlichen Internetseiten zu schützen, wäre die vollständige Blockade des Internets, was nicht immer sinnvoll ist. Insbesondere dann wenn den Schülern ein sicherer Umgang mit dem Internet vermittelt werden soll, scheidet eine vollständige Blockade aus ersichtlichen Gründen aus.
-
Ein weiterer Ansatz ist die Überwachung der Schüler-PCs mit Spezialsoftware, so dass der Lehrer über alle besuchten Seiten und offenen Fenster informiert wird. Dadurch kann zwar das Aufrufen unerwünschter Seiten sanktioniert werden, allerdings verhindert dies nicht, dass Schüler schadhafte Internetinhalte einsehen können. Es ermöglicht lediglich eine nachträgliche Kontrolle, die erst dann greift, wenn der Schüler die Seite bereits geöffnet und eingesehen hat. Hinzu kommt, dass Lehrpersonen häufig den Schülern individuell an ihren Computerarbeitsplätzen Hilfestellung leisten, so dass es besonders in diesen Momenten zu unerlaubter Internetnutzung durch andere Schüler kommt.
-
Ähnliche Anforderungen können in nichtschulischem Kontext bestehen. So müssen Eltern im Allgemeinen einen Überblick und eine Kontrolle über das Verhalten ihrer Kinder im Internet haben. Seiten mit jugendgefährdendem Inhalt sollten nicht aufrufbar sein. Es sind ähnliche Mechanismen bekannt wie im schulischen Umfeld, die mit den bereits skizzierten Nachteilen verbunden sind.
-
Auch in Telefonanlagen kann der Bedarf einer Zugriffskontrolle bestehen, beispielsweise beim Zugriff auf kostenpflichtige Telefondienste, wie 0900-Nummern. In den meisten Telefonnetzen sind derartige Dienste verfügbar, die mit einem erhöhten Serviceentgelt verbunden sind. Eine Möglichkeit der Kontrolle besteht in der vollständigen Sperrung der Nummern. Allerdings wird damit auch die Nutzung von Diensten unterbunden, die benötigt werden, wie beispielsweise einer Service-Nummer für die Einleitung eines Tauschs einer defekten Ware. In derartigen Fällen müsste die gewünschte Nummer oder der gewünschte Nummernbereich von Fall zu Fall freigschaltet werden, was mit hohem Aufwand und Kenntnis der Konfiguration der Telefonanlage verbunden ist.
-
Der vorliegenden Erfindung liegt daher die Aufgabe zugrunde, ein Verfahren zum Steuern eines Verbindungsaufbaus zwischen einem Benutzerendgerät und einem weiteren Endgerät der eingangs genannten Art derart auszugestalten und weiterzubilden, dass eine sichere und zuverlässige Kontrolle des Zugriffs auf weitere Endgeräte sichergestellt werden kann, wobei eine Konfiguration ohne tiefgehende technische Kenntnisse ermöglicht sein soll. Ein entsprechendes Netzwerksystem soll angegeben werden.
-
Erfindungsgemäß wird die voranstehende Aufgabe durch die Merkmale des Anspruches 1 gelöst. Danach ist das in Rede stehende Verfahren dadurch gekennzeichnet, dass durch die Steuerentität eine Anzeige an eine administrierende Person generiert wird, wobei in der Anzeige Informationen aus der Nachricht von der Kontrollentität dargestellt werden, und dass basierend auf die Eingabe der administrierenden Person die Antwort an die Kontrollentität generiert wird.
-
In vorrichtungsmäßiger Hinsicht ist die voranstehende Aufgabe durch die Merkmale des Anspruchs 9 gelöst. Danach ist das in Rede stehende Netzwerksystem dadurch gekennzeichnet, dass die Steuerentität zum Generieren einer Anzeige an eine administrierende Person ausgestaltet ist, wobei in der Anzeige Informationen aus der Nachricht von der Kontrollentität dargestellt werden, und dass basierend auf die Eingabe der administrierenden Person die Antwort an die Kontrollentität generiert wird.
-
In erfindungsgemäßer Weise ist zunächst erkannt worden, dass zum Erreichen einer zuverlässigen Kontrolle des Zugriffs auf weitere Endgeräte keine aufwändigen Konfigurationen notwendig sind. Vielmehr können durch eine einfache Einflussnahme auf die Netzwerkstruktur Kontrollmöglichkeiten geschaffen werden. Hierzu wird erfindungsgemäß eine Kontrollentität in die Netzwerkstruktur eingeführt, die Anfragen im Zusammenhang mit einem Verbindungsaufbau empfängt. In Reaktion auf die Anfrage von einem Benutzerendgerät generiert die Kontrollentität eine Nachricht, die Informationen über das angefragte Endgerät enthält. Ferner können in der Nachricht Informationen über die Art der angefragten Verbindung, die angefragten Inhalte oder dergleichen enthalten sein. Diese Nachricht wird an eine Steuerentität übermittelt. An der Steuerentität wird definiert, ob der Zugriff auf das weitere Endgerät freigegeben oder versagt wird. Die Freigabe oder das Versagen des Zugriffs wird in einer Antwort kodiert und an die Kontrollentität zurückgesendet. In Abhängigkeit der Antwort entscheidet die Kontrollentität, ob die Anfrage bearbeitet wird – also beispielsweise die angefragten Informationen bereitgestellt oder die angefragten Schritte durchgeführt werden – oder ob eine Meldung über das Versagen des Zugriffs an das anfragende Benutzerendgerät gesendet wird. Erfindungsgemäß kann somit auf verblüffend einfache Art und Weise unter Verwendung der Steuerentität festgelegt werden, inwieweit Anfragen im Zusammenhang mit einem Verbindungsaufbau mit einem weiteren Endgerät erlaubt oder unterbunden wird. Dadurch kann durch eine geringfügige aber sehr effektive Änderung der Netzwerkstruktur erreicht werden, dass der Zugriff auf Endgeräte kontrolliert wird, die unerwünschten Inhalt bereits halten oder unerwünschte Dienste zur Verfügung stellen.
-
Als Endgeräte, für die das erfindungsgemäße Verfahren nutzbar ist, lassen sich die verschiedensten Endgeräte einsetzen. Im Zusammenhang mit einer Internetkommunikation, bei dem Internetseiten aufgerufen werden sollen, könnten die weiteren Endgeräte Internet-Server umfassen. Diese könnten übliche Web-Seiten oder andere Inhalte, wie Text-, Audio- oder Video-Dateien für den Abruf über das Internet zur Verfügung stellen. Als Endgerät wäre ebenso ein Computer, ein Laptop oder dergleichen denkbar, zu dem von einem Benutzerendgerät Kontakt aufgenommen werden soll. Hierdurch ließe sich beispielsweise der Aufbau von Peer-to-Peer-Verbindungen kontrollieren. Ein anderes Endgerät könnte in einem Telekommunikationsgerät bestehen, das zum Führen von Telefongesprächen ausgestaltet ist. Hier könnten klassische Telefone ebenso Einsatz finden wie VOIP(Voice Over IP)-Endgeräte. Diese kurze und nicht vollständige Aufzählung ließe sich noch weiter fortsetzen. Eine Freigabe oder ein Versagen eines Zugriffs auf ein weiteres Endgerät kann sich auch auf einen Teil des Endgeräts beziehen. Die Freigabe oder das Versagen eines Teilbereichs des Endgeräts, wie beispielsweise einzelne Seiten oder Dokumente auf einem Webserver, ist ebenso als im Rahmen der Erfindung zu verstehen.
-
Weiter erfindungsgemäß wird an der Steuereinheit eine Anzeige generiert, die Informationen aus der von der Kontrollentität empfangenen Nachricht enthält. Diese Anzeige wird einer administrierenden Person angezeigt, die über eine Freigabe oder ein Versagen des Zugriffs entscheiden kann. Durch das Einbinden einer administrierenden Person an der Steuerentität kann die Qualität der Beurteilung der Anfragen erhöht werden. Vielfach lassen sich durch rein automatisierte Verfahren Freigaben oder Blockaden von Zugriffen nicht vollständig korrekt entscheiden.
-
Hinsichtlich einer Entlastung der administrierenden Person können bei der Anzeige Vorschläge einer Entscheidung wiedergegeben werden. Dies bedeutet, dass die administrierende Person zum einen Informationen über eine angefragte Verbindung angezeigt bekommt, zum anderen bereits seitens der Steuerentität ein Vorschlag berechnet worden ist, wie auf die Anfrage reagiert werden könnte. Bei der Berechnung des Vorschlags könnte ein Regelwerk, das der Steuerentität zur Verfügung steht, herangezogen werden. In diesem Regelwerk könnten allgemein bekannte unerwünschte Endgeräte aufgeführt und ausgeschlossen werden. Alternativ oder zusätzlich könnte ein Vorschlag basierend auf Entscheidungen getroffen werden, die bereits zu einem früheren Zeitpunkt gefällt worden sind und bei der Steuerentität hinterlegt sind. Auf diese Weise könnten ähnliche oder gleichartige Anfragen wesentlich einfacher behandelt werden.
-
Zusätzlich können durch die Steuerentität zur Beurteilung und/oder zur Anzeige an die administrierende Person zusätzliche Informationen abgefragt werden. Diese Informationen können von einer lokalen Netzwerkentität bezogen werden. Hier wäre beispielsweise ein zentraler Server in einem Intranet zu sehen. Allerdings können auch entfernte Netzwerkentitäten befragt werden, wie beispielsweise Server, mit Informationen über die angefragte Adresse des weiteren Endgeräts. Diese entfernten Netzwerkentitäten können über das Internet angebunden sein.
-
Zur weiteren Vereinfachung des Verfahrens kann eine White-List und eine Black-List geführt werden. Bei Freigabe eines Zugriffs auf ein weiteres Endgerät könnte dieses in die White-List eingetragen werden, während bei Versagen eines Zugriffs dieses Endgerät in der Black-List gespeichert wird. Auf diese Weise kann eine Steuerentität – ohne Nachfrage bei einer administrierenden Person – eine Freigabe oder Versagen eines Zugriffs festlegen. Detektiert die Kontrollentität eine Anfrage bei einem in der White-List geführten Endgerät, so würde automatisch eine Freigabe bewirkt. Auf die Verwendung einer Black-List könnte gegebenenfalls auch verzichtet werden. Befindet sich ein weiteres Endgerät nicht in der White-List, und wird auf die Anfrage nicht innerhalb einer gewissen Zeit reagiert, so kann über Zeitablauf für ein Versagen des Zugriffs entschieden werden.
-
Eine Freigabe oder ein Versagen eines Zugriffs kann eine Auswirkung auf weitere Anfragen von oder zu einer Gruppe von Endgeräten haben. So kann, beispielsweise bei Einsatz des erfindungsgemäßen Verfahrens in einem Klassenzimmer, die Freigabe eines Zugriffs die Freigabe von Zugriffen für die gesamte Klasse zur Folge haben. Entsprechend kann sich eine Freigabe eines Zugriffs gleichzeitig auf eine Gruppe von Endgeräten beziehen. Damit muss über eine Freigabe eines Zugriffs nicht jedes Mal neu entschieden werden, wenn gleichartige Endgeräte oder gleichgestellte Benutzerendgeräte an einem Verbindungsaufbau beteiligt sind.
-
Zusätzlich oder alternativ könnte bei Freigabe oder Versagen eines Zugriffs eine Konfigurationsdatei bei einer der zentralen Netzwerkkomponenten verändert werden. Zu diesen zentralen Netzwerkkomponenten könnten ein Gateway, ein Proxy-Server und/oder eine Firewall gehören. Diese Netzwerkkomponenten bieten teilweise die Möglichkeit, gezielt und benutzerdefiniert Verbindung zuzulassen oder zu unterbinden. Hier ist beispielsweise ACL (Access Control List) als bekannte Möglichkeit zu nennen. Auf diese Weise kann unter Verwendung der Steuerentität die Konfiguration auf den zentralen Netzwerkkomponenten verändert werden, ohne dass die administrierende Person Kenntnisse über die Konfiguration der Netzwerkkomponente selbst besitzen muss. Dieses Wissen ist vollständig in der Steuerentität bzw. den der Steuerentität zugeordneten Komponenten gekapselt.
-
Zur weiteren Vereinfachung der Konfiguration könnte die Steuerentität Verbindungsanfragen überwachen, die von einem Administrationsendgerät an eines der weiteren Endgeräte getätigt werden. Als Administrationsendgerät lassen sich beispielsweise Benutzerendgeräte einsetzen, an denen sich die administrierende Person mit besonderen Zugriffsrechten anmeldet. Alternativ könnte ein Administrationsendgerät ein Endgerät sein, das durch seine besondere Art – beispielsweise durch eine separate Aufstellung und Sicherung gegen nicht autorisierten Zugriff – von den „gewöhnlichen” Benutzerendgeräten abgehoben ist. In einer bevorzugten Implementierung ist das Administrationsendgerät ein handelsüblicher Computer. Allerdings könnte auch ein Smartphone mit geeigneter Software Administrationsendgerät sein. Startet ein Administrationsendgerät eine Verbindungsanfrage bei einem weiteren Endgerät, so könnte das Endgerät automatisch als „freigegeben” gekennzeichnet werden. Dadurch können sämtliche von Benutzerendgeräte stammende Anfragen zu diesem weiteren Endgerät automatisch freigegeben werden. Diese Art der Klassifikation von Anfragen wird nachfolgend als „implizite Klassifikation” bzw. „implizite Konfiguration” bezeichnet.
-
Entsprechend einer impliziten Freigabe ist auch eine implizite Blockade möglich. So könnte in ähnlicher Weise wie bei der impliziten Freigabe die Steuerentität Anfragen eines Administrationsendgeräts hinsichtlich eines Verbindungsaufbaus mit einem Endgerät überwachen und sämtliche Anfragen an dieses Endgerät nachfolgend als „blockiert” kennzeichnen. Die Entscheidung, ob mit der Anfrage ein implizites Whitelisting oder ein implizites Blacklisting durchgeführt werden soll, kann beispielsweise an dem Administrationsendgerät gefällt und an die Steuerentität übermittelt werden.
-
Bei Versagen eines Zugriffs könnte dem Benutzerendgerät, das den Verbindungsaufbau initiiert hat, eine Mitteilung übermittelt werden. Diese Mitteilung könnte eine Fehlermeldung umfassen oder eine Weiterleitung an ein anderes Endgerät, beispielsweise auf eine Internet-Seite, die den Nutzer über die Nichtzulässigkeit des Verbindungsaufbaus informiert.
-
In einer Ausgestaltung des erfindungsgemäßen Netzwerksystems könnte die Kontrollentität als ein Zwischen-Socket ausgestaltet sein, der vorzugsweise auf dem Benutzerendgerät implementiert ist. Dieser Zwischen-Socket könnte derart ausgestaltet sein, dass sämtlicher Verkehr mit dem Netzwerk durch den Zwischen-Socket geleitet wird. Auf diese Weise kann die Kontrollentität zuverlässig Einfluss auf den Datenverkehr nehmen und effizient den Zugriff oder das Verweigern eines Zugriffs steuern. Ferner bedarf diese Implementierung minimale Beeinflussung der Netzwerkstruktur, da sämtliche infrastrukturellen Informationen in den Zwischen-Socket integriert werden können. Konfigurationsänderungen an den Benutzerendgeräten oder an den Netzwerkentitäten werden dabei nicht notwendig.
-
Allerdings könnte die Kontrollentität auch in einem DNS-Server oder einem Proxy-Server implementiert sein. Anfragen an einen DNS-Server oder einen Proxy-Server würden in diesem Fall erst beantwortet, wenn durch die Steuerentität eine Freigabe der Anfrage erfolgt. Bei Implementierung der Kontrollentität in einem DNS- oder einem Proxy-Server, könnte der DNS- und/oder Proxy-Server in dem bereits zuvor erwähnten Administrationsendgerät implementiert sein. Auf diese Weise kann der Kommunikationsaufwand zwischen den verschiedenen Entitäten minimiert werden.
-
Zusätzlich oder alternativ könnte die Steuerentität in einem Administrationsendgerät implementiert sein.
-
Das erfindungsgemäße Verfahren erlaubt einer oder mehrerer verantwortlichen Person(en) interaktiv Einfluss auf Kommunikationsverbindungsaufbauversuche (z. B. zu Internetseiten oder Telefonnummern) anderer zugeordneter Personen/Netzwerkinstanzen mittels Klassifikation zu nehmen und gegebenenfalls zu erlauben, unterbinden bzw. umzuleiten. Klassifikationen können (zwischen)gespeichert, revidiert, gelöscht oder deaktiviert werden und unterschiedliche Granularitäten aufweisen. Verantwortliche Person(en) oder Instanzen können durch gängige Verfahren identifiziert werden, evtl. per einzelner Klassifikationen mit Benutzername/Passwort oder beispielsweise durch ein dediziertes Benutzerkonto auf einer dedizierten Netzwerkinstanz (Beispiel Lehrer am Lehrer-PC).
-
Die interaktive Klassifikation kann durch Anreicherung und Kombination anderer Kommunikationsinformationen (z. B. whois-Abfrage, Absenderidentifikation) unterstützt werden.
-
Keine Access Control List o. ä. Verfahren werden benötigt, da die Netzwerkkonfiguration (Schüler-PCs fragen beispielsweise Lehrer-PC nach Informationen, die zum Kommunikationsaufbau benötigt werden) dies überflüssig macht.
-
Eine implizite Klassifikation erlaubt, durch Interpretation von Kommunikationsverbindungsaufbauversuche einer oder mehrerer verantwortlicher Person(en) oder autorisierter Instanzen Einfluss auf Kommunikationsverbindungsaufbau anderer Personen zu nehmen.
-
Nachfolgend werden einzelnen Aspekte der Erfindung anhand der Implementierung in einem schulischen Umfeld näher erläutert. Es sei darauf hingewiesen, dass die nachfolgenden Erläuterungen lediglich ein besonders bevorzugtes Ausführungsbeispiel beinhalten, die Lehre jedoch nicht als auf dieses Ausführungsbeispiel beschränkt anzusehen ist.
-
Grundlegend ist zu erwähnen, dass die Erfindung das einzelne Klassenzimmer, nicht die komplette Schule schützen möchte. Die Erfindung setzt auf die einzelne Lehrperson zur (evtl. impliziten) Konfiguration dieses Schutzes. Durch diesen Ansatz ist sie auch mit weiter gefassten Methoden, beispielsweise der Internetfilterung auf „Schulfirewalls” kombinierbar. Auch ist eine auf die jeweilige Unterrichtseinheit abgestimmte Klassifikation möglich, so dass Schüler nicht nur vor schadhaften Internetseiten geschützt werden, sondern auch daran gehindert werden, andere als die in der jeweiligen Unterrichtseinheit intendierten Internetanwendungen zu nutzen.
-
Die Erfindung ermöglicht es Lehrpersonen, eine sehr feingranulare Klassifikation der Internetseiten, die von Schülern aufgerufen werden können vorzunehmen.
-
Idealerweise ist die Klassifikation abgestimmt auf die jeweilige Unterrichtseinheit. Ziel ist es eventuell technisch weniger versierten Lehrpersonen diese Möglichkeit einzuräumen. Des Weiteren soll keine Zeit für Konfiguration z. B. von Zugriffsprofilen seitens der Lehrperson aufgewendet werden. Hierzu wird eine Netzwerkkonfiguration beschrieben, die es der Lehrperson ermöglicht, in schülerseitige Versuche eines Verbindungsaufbaus einzugreifen.
-
Die Erfindung verfolgt einen anderen Ansatz als die aus dem Stand der Technik bekannten Ansätze, indem sie den Lehrer bei einem Versuch eines Verbindungsaufbaus kontaktiert und dieser dem Verbindungsaufbau zustimmen muss. Hierfür muss das Computernetzwerk der Schule/des Computerraums der Erfindungsrealisation entsprechend konfiguriert werden. Es ist möglich die Kontaktaufnahme mit der Lehrperson konfigurationsabhängig zu machen, so dass – falls z. B. schulinterne Ressourcen oder wohlbekannte Seiten (welche evtl. in einer geeigneten Datenbank gespeichert sind) von Schülern angefordert werden – die Lehrperson nicht kontaktiert werden muss. Des Weiteren ist es möglich durch implizite Konfiguration, die Kontaktaufnahme mit der Lehrperson zu minimieren.
-
Klassifikation bedeutet in diesem Kontext die Klassifikation einer oder mehrerer Internetadressen/Kommunikationsressourcen durch eine verantwortliche Person (im Kontext von Schulen die Lehrperson). Die Klassifikation hat zur Folge, dass Verbindungsaufbauversuche von z. B. Schüler-PCs zu Internetseiten durch die Erfindung blockiert oder gestattet werden. Diese Klassifikation kann durch eine Antwort auf eine von der Erfindung gestellte Frage (typisch wäre beispielsweise eine Dialogeingabeaufforderung der Bedienoberfläche der Erfindung nach Erhalt einer Verbindungsanforderung), als Voreinstellung, als Listenauswahl (beispielsweise Markieren von Greylist-Einträgen und Klicks auf Schaltflächen, Kontextmenüs, Drag & Drop) einzelner oder mehrerer Einträge der später vorgestellten Listen, Programmvoreinstellungen wie beispielsweise Konfigurationsdateien, gängige Texteingabemöglichkeiten oder das Prinzip der impliziten Klassifikation erfolgen. Die Klassifikation kann Gruppen von Internetadressen, Aliase, Domänen oder auch einzelne Internetadressen oder Kommunikationsressourcen betreffen.
-
Internetadresse kann eine URL, eine IP-Adresse (IPv4, IPv6) oder eine sonstige Netzwerkadresse bezeichnen. Eine Erweiterung der Konzepte der Erfindung auf Telefonanlagen oder sonstige Kommunikationsnetzwerke kann vorgenommen werden – hier wären dann beispielsweise Telefonnummern zu klassifizieren.
-
Ein erstes Ausführungsbeispiel der Erfindung setzt an dem DNS(Domain Name System)-Protokoll an, da ein Großteil der Computerverbindungen zuerst eine URL (Universal Resource Locator) auflösen muss. Typisch hierfür sind 2 Realisierungen, es kann aber auch andere technische Umsetzungen geben:
- 1) Der DNS-Server, der von den Schüler-PCs kontaktiert wird, ist im Lehrer-PC platziert.
- 2) Der DNS-Server, der von den Schüler-PCs kontaktiert wird, ist in einem Proxy, dem oben genannten Filter oder einer anderen Netzwerkinstanz lokalisiert.
-
Im zweiten Fall ist eine Kommunikation zwischen dem DNS-Server und dem Lehrer-PC nötig. Ebenso muss der DNS-Server eine Möglichkeit haben, zwischen verschiedenen Lehrer-PCs zu unterscheiden (beispielsweise durch Netzwerk Adressdomänen), falls mehrere Klassenräume mit PCs vorhanden sind und ein und dieselbe DNS-Serverinstanz benutzen. Auch ist es vorteilhaft, wenn die Erfindung in diesem Fall Lehrer-PCs von Schüler-PCs unterscheiden kann – dies kann beispielsweise aufgrund von IP-Adressen geschehen. Des Weiteren muss in diesem Fall gewährleistet sein, dass Antworten von einem bestimmten Lehrer-PC nur die Internetnutzung von zugehörigen Schüler-PCs (typischerweise im gleichen Klassenzimmer lokalisiert) beeinflusst. Dies kann durch korrekte Konfiguration des DNS-Servers wie auch der Netzwerktopologie erreicht werden, beispielsweise durch eine Trennung von IP-Subnetzen.
-
In allen Umsetzungen gilt, dass der erfindungsgemäß durch die Kontrollentität erweiterte DNS-Server als normaler DNS-Server fungiert, jedoch um interaktive Kommunikation mit der Lehrperson erweitert ist, so dass eine Eingriffnahme in die DNS-Funktionsweise seitens der Lehrperson möglich ist. Wird in bestehenden Netzwerken bereits ein interner DNS-Server benutzt, sollte der erweiterte DNS-Server diesen internen Server als Referenz DNS-Server kontaktieren. Dies stellt sicher, dass Schüler-PCs weiterhin interne Ressourcen anfordern können, die allerdings dann ebenfalls der Klassifikation seitens der Lehrperson unterworfen werden können.
-
Falls dieser Ansatz über das DNS-Protokoll gewählt wird, müssen die Netzwerkeinstellungen modifiziert werden: Zumindest die Schüler-PCs müssen den DNS-Server der Erfindung kontaktieren. Vorteilhaft ist auch die DNS-Caches der Schüler-PCs auf einen minimalen Wert zu setzen, damit Interaktionen der Lehrperson mit der Erfindung (z. B. Reklassifikation) möglichst zeitnah umgesetzt werden. Ebenso sollte das Caching von Internetseiten auf den Schüler-PCs möglichst unterbunden werden. Auch sollten Schüler keine Administrationsrechte auf den Schüler-PCs erhalten, da diesen sonst die von der Erfindung benötigte technische Konfiguration als Basis fehlt.
-
In allen Fällen der Realisierung kann der DNS-Server der Erfindung nach Erhalt der Anfrage zuerst die DNS-Anfrage bearbeiten und, bevor die DNS-Antwort zum Schüler-PC geschickt wird, die Klassifikation der DNS-Anfrage überprüfen (und je nach Realisierung den Lehrer involvieren). Diese Vorgehensweise hat den Vorteil, dass dem Lehrer etwaige alternative DNS-Einträge, also alternative Internetadressen, angezeigt werden können (dies verhindert, dass zum Beispiel ein harmloses DNS-Alias die Lehrperson in die Irre führt). Alternativ dazu kann sofort nach Erhalt die DNS-Anfrage auf Klassifikation getestet werden. Dies kann eine zügigere Bearbeitung zur Folge haben. Auch eine Kombination ist möglich – also das Testen der DNS-Anfrage auf vorliegende Klassifikation direkt nach Erhalt der Anfrage sowie ein zweites Testen auf Klassifikation nach Bearbeitung der DNS-Anfrage unmittelbar bevor die Antwort an den Schüler-PC übertragen wird.
-
Falls die Erfindung nicht auf einem Lehrer-PC realisiert wird, ist eine Schnittstelle zwischen Erfindung und Lehrer-PC notwendig, die durch Standardmechanismen realisiert werden kann. Die Schnittstelle ermöglicht dem Lehrer die Klassifikation. Die implizite Klassifikationsmethode kann in manchen Realisierungen auf diese Schnittstelle verzichten, z. B. falls die Erfindung so konfiguriert ist, dass sie alle vom Lehrer-PC stammenden Anfragen als Klassifikation (z. B. Freischaltung der angefragten Internetadresse) interpretiert.
-
Als weitere Ausgestaltung des Netzwerkaufbaus können die Schüler-PCs erst einen DNS-Server (oder Proxy) kontaktieren, welcher dann den oben genannten DNS-Server (oder Proxy) kontaktiert, welcher wiederum dem Lehrer oben genannte Eingriffsmöglichkeiten bietet.
-
Oben beschriebene Betrachtungen und Konzepte bezgl. des Umsetzung der Erfindung mittels DNS-Protokoll gelten auch für andere technisch ähnliche Protokolle, z. B. WINS oder NBNS.
-
Ein zweites Ausführungsbeispiel der Erfindung bezieht sich auf die Realisierung mittels Internetproxytechnologie oder Firewalltechnologie, d. h. der Lehrer erteilt seine Zustimmung für Verbindungsaufbauten nicht gegenüber einer DNS-Serverinstanz, sondern einem Internetproxy oder einer Firewall. Diese können in einer eigenen Netzwerkentität oder dem Lehrer-PC angesiedelt sein. Auch hier gilt, dass die korrekte Zuordnung und Abgrenzung von Lehrer-PCs und Schüler-PCs, die oben erwähnt wurde, gewährleistet sein muss. Auch ist eine ähnliche Netzkommunikation zwischen der Kontrollentität und dem zuständigen Lehrer-PC, auf dem die Steuerentität implementiert ist, notwendig. Diese Kommunikation und Abgrenzung kann als gegeben angesehen werden, wenn die Erfindung quasi als Internetproxy oder als Firewall auf dem Lehrer-PC installiert wird, den dann alle Schüler-PCs als „Default Gateway” durchlaufen müssen, um ins Internet zu gelangen. Hier kann der Lehrer entweder zum Zeitpunkt der DNS-Auflösung oder beim Aufbau der eigentlichen Kommunikationsprotokolle (z. B. UDP, TCP oder HTTP) eingreifen.
-
Gemäß einem Ausführungsbeispiel wird ein Router-Knoten/eine Firewall/ein Proxy so konfiguriert, dass Verbindungsanfragen (z. B. TCP Syn, HTTP GET) oder DNS-Anfragen eine Abfrage an den Kontrollknoten starten, die dann gegen vorherige Klassifikationen geprüft wird, bzw. eine Klassifikation seitens der Lehrperson anstößt. Je nach Umsetzung kann hier z. B. eine ACL (Access Control List) genutzt werden, um die Klassifikationsentscheidung der Lehrperson zu kommunizieren. Der Ansatz der Internetproxytechnologie erlaubt eine feinere Granularität der Klassifikationsentscheidungen als der Ansatz über das DNS-Protokoll, da er erlaubt einzelne Internetseiten freizugeben bzw. zu blockieren. Dies könnte allerdings die Lehrperson angesichts der Fülle an Internetseiten, die auf ein und demselben Internethost abrufbar sein können, überfordern. Dies kann allerdings mittels gängigen Technologien (z. B. Wildcards) abgemildert werden.
-
In einem weiteren Ausführungsbeispiel wird – sobald Klassifikationsentscheidungen vorliegen – eine existierende Komponente, z. B. ein Router, eine Firewall oder ein Proxyserver so konfiguriert, dass diese Komponente die Klassifikationsentscheidung umsetzt. Triggert beispielsweise eine DNS-Anfrage an eine DNS-basierte Realisierung dieser Erfindung eine Klassifikationsentscheidung seitens der Lehrperson, so wird zwar die DNS-Anfrage des Schüler-PCs in allen Fällen positiv beantwortet, allerdings wird eine Firewall im Schulnetzwerk so konfiguriert, dass sie den folgenden Kommunikationsaufbau des Schüler-PCs (bzw. auch der anderen Schüler-PCs) der Klassifikationsentscheidung entsprechend blockieren oder freigeben wird. Hierfür kann beispielsweise die bekannten ACL genutzt werden. Der Vorteil einer solchen Realisierung liegt darin, dass etwaige DNS-Caches in Schüler-PCs nutzlos werden, da der eigentliche Verbindungsaufbau und nicht die DNS-Auflösung im Falle einer negativen Klassifikation unterbunden werden.
-
Oftmals kann der Lehrperson vor der Klassifikation – also vor Freischalten oder Blockieren einer Internetseite – die angefragte Internetseite angezeigt werden, so dass eine informierte Entscheidung gewährleistet ist. Diese spezielle Option findet eine technische Limitierung darin, dass verschlüsselte Internetseiten evtl. nicht korrekt dargestellt werden können. Allerdings ist es fraglich, inwieweit Schülern Zugang zu verschlüsselten Seiten erlaubt werden sollte. Insbesondere ist dies möglich, wenn der oben erwähnte Ansatz basierend auf Internetproxytechnologie als Realisierung gewählt wird.
-
Um eine bestmögliche Information der Lehrperson zu gewährleisten, wenn sie Internetadressen klassifiziert, können idealerweise sowohl Internetadresse als auch alternative URLs angezeigt werden. Zusätzlich können auch Informationen anderer Internetwerkzeuge wie z. B. „whois” oder „nslookup” die präsentierten Informationen anreichern. Ebenso können auch – sofern vorhanden – Informationen über den anfragenden Schüler-PC präsentiert werden, falls vorhanden (z. B. IP Adresse oder Netzwerkkennung des Schüler-PCs). Zusätzlich können Internetdatenbanken bezüglich der angefragten Internetseite befragt werden, z. B. ob jugendgefährdende Inhalte auf dieser Seite verfügbar sind oder bekanntermaßen Viren über die angeforderte Seite verbreitet werden.
-
Bezüglich der Klassifikation sei angemerkt, dass diese einzelne Internetseiten oder ganze Domains beinhalten können. Auch kann die Granularität der Klassifikationen einstellbar sein, also ob eine Klassifikationen sich auf einen einzelnen Verbindungsaufbau bezieht oder auch auf alle folgenden Verdingungsaufbauten einer Gruppe von Schüler-PCs (typischerweise komplette Klasse). Im letzteren Fall werden Klassifikationen für einen bestimmten oder unbestimmten Zeitraum gespeichert, so dass weitere Anfragen zu der gleichen Internetadresse von allen oder einer Untergruppe von Schüler-PCs, die denn klassifizierenden Lehrer-PC zugeordnet sind, äquivalente Behandlung erfahren. Neben der temporären Speicherung von Freischaltungs- bzw. Blockadeentscheidungen der Lehrperson kann die Speicherung auch über mehrere Sitzungen hinweg oder permanent erfolgen. Die temporären wie auch gespeicherten Einträge können von Lehrpersonen wieder gelöscht oder umklassifiziert werden.
-
Um die Übersichtlichkeit der Benutzereingabemaske zu erhöhen, kann es vorteilhaft sein, die unklassifizierten Seiten nach einem bestimmten (relativ kurzen) Zeitraum wieder zu löschen, falls diese überhaupt in einer Greylist vorgehalten werden.
-
Im Falle einer nicht positiven (also einer negativen oder nicht vorliegenden) Klassifikation seitens der Lehrerperson kann entweder eine Fehlermeldung zurückgesandt werden oder der Schüler-PC auf eine andere gewünschte Internetseite – die evtl. sogar auf dem Lehrer-PC oder den Schüler-PCs lokalisiert ist – umgeleitet werden, so dass Schüler eine Rückmeldung erhalten. So kann beispielsweise sichergestellt werden, dass Schüler auf eine Seite umgeleitet werden, welche die Klassenregeln enthält, sobald sie von den von der Lehrperson vorgesehenen Internetseiten abweichend „surfen”.
-
Falls eine (Zwischen)Speicherung von Klassifikationen vorgenommen wird, können Anfragen zu Internetadressen, die noch nicht zur „Whitelist” (Liste der erlaubten Internetseiten) oder „Blacklist” (Liste der blockierten Internetseiten) hinzugefügt wurden, in einer „Greylist” zwischengespeichert werden. Diese Anfragen warten auf eine Entscheidung der Lehrperson und werden entweder nicht beantwortet (was eine lokale Fehlermeldung bei Schüler-PCs auslöst) oder diese Anfragen werden auf eine andere gewünschte Internetseite umgeleitet, so dass die Schüler eine Rückmeldung erhalten.
-
White-, Grey- oder Blacklist müssen nicht zwangsläufig eingesetzt werden, allerdings ist die Nutzung von einer oder mehrerer dieser Listen vorteilhaft. Werden diese Listen benutzt, so können einzelne Einträge oder auch Gruppen von Einträgen zwischen den Listen verschoben werden, was einer „Umklassifikation” oder „Reklassifikation” entspricht.
-
Falls keine (Zwischen)Speicherung von Klassifikationen vorgenommen wird, können neue Anfragen von Schüler-PCs behandelt werden, als wären sie Teil einer Greylist, und würden wieder gelöscht, nachdem sie bearbeitet wurden oder für einen bestimmten Zeitraum unbeantwortet blieben.
-
Falls eine oder mehrerer der oben genannten Listen benutzt werden, kann es vorteilhaft sein, es der Lehrperson zu ermöglichen z. B. für einen bestimmten Zeitraum die Schüler daran zu hindern, das Internet überhaupt zu nutzen. Möglich wäre, z. B. alle in der Whitelist eingetragenen Anfragen zur Blacklist hinzuzufügen – evtl. für einen von der Lehrperson bestimmten Zeitraum. Alternativ kann die Nutzung der White-, Grey- oder Blacklist deaktiviert werden, um den entsprechenden Effekt zu erzielen – temporär oder permanent.
-
Eine weitere Variation der Erfindung ist, dass die Kommunikationsanfrage auf eine evtl. dynamisch generierte Website umgeleitet wird. Diese Website kann z. B. dazu dienen, dem Schüler zu erklären, dass diese Anfrage derzeit auf Klassifikation seitens der Lehrperson wartet. Sobald eine positive Klassifikation (also von der Lehrperson wurde die Kommunikationsanfrage autorisiert) vorgenommen ist, könnte die dynamische Website den Schüler-PC auf die ursprünglich angefragte Website weiterleiten. Im Falle einer negativen Klassifikation, kann diese Website stattdessen eine konfigurierbare Fehlermeldung anzeigen.
-
Um Internetseiten zu klassifizieren, können sämtliche zur Verfügung stehenden Technologien für Mensch-Maschine Interaktion genutzt werden.
-
Eine weitere Vereinfachung zur Klassifikation erlaubter Internetseiten ist, Internetadressen, die vom Lehrer-PC aus aufgerufen werden, automatisch der Liste der erlaubten Internetseiten zuzuführen (implizite Klassifikation/Konfiguration). Der Lehrer ruft die für seinen Unterricht relevanten Internetseiten vor oder während der Unterrichtseinheit auf und diese werden automatisch der Whitelist zugeführt. Diese Eintragungen können später zur Blacklist (durch explizite Reklassifikation seitens des Lehrers oder durch Rekonfiguration der Erfindung und implizite Klassifikation der Blacklist) transferiert werden. Die implizite Konfiguration der Whitelist stellt einen besonderen Bedienkomfort für die Lehrperson dar, da sie in natürlicher Weise in den Fluss der Unterrichtseinheit eingebettet werden kann. In seltenen Fällen kann auch die implizite Konfiguration der Blacklist Sinn machen, beispielsweise im Falle der Konfiguration einer permanenten Blacklist, die z. B. in zukünftigen Unterrichtseinheiten als Basiskonfiguration – in Verbindung etwa mit temporären, Unterrichtseinheitsabhängigen Blacklists – verwendet werden soll. Auch kann die implizite Blacklist-Konfiguration benutzt werden, um bereits vorhandene Whitelisteinträge von der Whitelist in die Blacklist umzuklassifizieren. Die implizite Klassifikation kann mit allen oben beschriebenen Realisierungen kombiniert werden.
-
Dieses Konzept der impliziten Klassifikation/Konfiguration kann auch auf andere existierende Technologien wie Firewalls, Internetproxies oder Filter angewandt werden, um dort beispielsweise Whitelists oder ACLs zu konfigurieren. Dieses Konzept kann auf andere Kommunikationsformen, beispielsweise Telefonie angewandt werden.
-
Generell können Statistiken von blockierten und erlaubten Internetzugriffen von Schüler-PCs gespeichert und evtl. einer späteren Analyse oder Weiterverarbeitung zugeführt werden. Auf diese Weise kann beispielsweise das Schülerverhalten nach Klassenstufenzugehörigkeit – also Alter – studiert werden.
-
Eine generelle Freischaltung bzw. Blockierung von bestimmten Adressen kann konfiguriert werden, indem sie in die permanent gespeicherte Black- oder Whitelist eingefügt wird. In besonderen Fällen kann selbst der Lehrperson verwehrt werden, dass die Klassifikation dieser Adressen geändert werden kann.
-
Es ist anzumerken, dass die Erfindung mit den oben beschriebenen Internetfilteransätzen, Internetproxies oder Firewalls kombiniert und dadurch eine mehrstufige Sicherung realisiert werden kann.
-
Die implizite Klassifikation kann zur Konfiguration etwaiger Netzwerksicherungselemente wie dem Internetproxy, der Firewall oder des Internetfilters benutzt werden. Dies setzt eine funktionale Modifikation dieser Elemente voraus.
-
Es kann eine Liste von positiv oder negativ klassifizierten Kommunikationsressourcen von der Lehrperson importiert werden. Diese Liste kann z. B. im Rahmen der individuellen Unterrichtsvorbereitung erstellt werden und dann vor oder während der Unterrichtseinheit importiert und gegebenenfalls mit bereits getätigten Klassifikationen kombiniert werden.
-
Verschiedene Arten der Kommunikation können zwischen den einzelnen Komponenten benutzt werden. Beispielsweise können die Klassifikationsentscheidungen der Lehrperson mit verschiedenen Kommunikationsprotokollen zu der ausführenden Instanz (DNS-Server oder Internetproxy) übertragen werden: SMTP, HTTP, HTTPS, XML Schemata, SOAP, DNS, X11, Telnet, SSH, TCP, FTP, TFTP, SFTP, SCTP, UDP, RFB, IPv4/IPv6, SS7, SIP, SDP, etc. Ebenso sind zum Austausch der nötigen Informationen Remote Procedure Calls, Remote Method Invocation, Pipes, Sockets, Remote Desktop (z. B. VNC) zwischen den Komponenten möglich.
-
Des Weiteren können Klassifikationsentscheidungen auch als Datei gespeichert werden und dann mittels Dateitransfer zwischen den Komponenten ausgetauscht werden. Gleiches gilt für Klassifikationsanfragen.
-
Die Erfindung kann auch dahingehend erweitert werden, dass die Klassifikationsinstanz z. B. auf einem Mobiltelefon implementiert ist und mit der Ausführenden Instanz z. B. per DTMF oder SMS kommuniziert.
-
Eine Ausgestaltung der Erfindung besteht in der Verwendung von nur einer Klassifikationskategorie, also beispielsweise nur mit expliziter Erlaubnis seitens der Lehrperson, Internetzugriffe zuzulassen. Beispielsweise würde, falls die oben genannten Listen verwendet werden, die Erfindung nur mittels White- und Greylist arbeiten, um Kommunikationsanfragen zuzulassen bzw. zu blockieren. Im Fall der DNS-Ansatzes würden dann für negative Klassifikationen die lokalen Fehlerbehandlungsmechanismen auf Seiten der Schüler-PCs greifen und „Timeout” Fehler anzeigen. Im Fall von Internetproxytechnologie wäre diese Methode ebenfalls möglich, falls der Internetproxy keine Verbindungsanfragen der Schüler-PCs zu z. B. Internetseiten zulässt bis eine positive Klassifikation diesbezüglich vorliegt.
-
Die Erfindung ist nicht auf von Schüler-PCs ausgehende Verbindungsanfragen beschränkt. Es können auch an Schüler-PCs gerichtete eingehende Verbindungsanfragen von der Erfindung klassifiziert werden. Damit kann auch ein Schüler-PC ein weiteres Endgerät im Sinne der Erfindung darstellen.
-
Verbindungsanfragen können auch nach Gruppierungen unterschieden und/oder klassifiziert werden, also dass z. B. eine Gruppe von PCs A mit allen Netzwerkentitäten (evtl. auch PCs) aus Gruppe B kommunizieren können oder blockiert werden. Es kann beliebig viele solcher Gruppen in beliebigen Größen geben. In der obigen Beschreibung wären beispielsweise die Schüler-PCs Gruppe A und jeder einzelne Host im Internet eine andere Gruppe.
-
Die implizite Klassifikation kann z. B. auch klassische Telefonanlagen betreffen.
-
Die Erfindung lässt sich besonders gut in kleineren Netzwerken anwenden, besonders in Fällen in denen eine strenge Kommunikationsüberwachung notwendig ist (z. B. Familie mit kleinen Kindern).
-
Generell kann die Erfindung auch auf andere Kommunikationsformen angewandt werden, z. B. Telefonie, Voice Over IP, evtl. Email.
-
Es gibt nun verschiedene Möglichkeiten, die Lehre der vorliegenden Erfindung in vorteilhafter Weise auszugestalten und weiterzubilden. Dazu ist einerseits auf die den Ansprüchen 1 bzw. 9 jeweils nachgeordneten Ansprüche und andererseits auf die nachfolgende Erläuterung eines bevorzugten Ausführungsbeispiels der Erfindung anhand der Zeichnung zu verweisen. In Verbindung mit der Erläuterung des bevorzugten Ausführungsbeispiels der Erfindung anhand der Zeichnung werden auch im Allgemeinen bevorzugte Ausgestaltungen und Weiterbildungen der Lehre erläutert. In der Zeichnung zeigen
-
1 einen ersten Schritt bei der Durchführung eines erfindungsgemäßen Verfahrens mit einer Anfrage bei einem in einem Lehrer-PC implementierten DNS-Server,
-
2 einen zweiten Schritt bei der Durchführung eines erfindungsgemäßen Verfahrens entsprechend 1, wobei ein Whitelist-Eintrag greift,
-
3 einen zweiten Schritt bei der Durchführung eines erfindungsgemäßen Verfahrens entsprechend 1, wobei ein Nachfragen am Lehrer-PC durchgeführt wird,
-
4 ein erfindungsgemäßes Netzwerksystem zur Durchführung eines erfindungsgemäßen Verfahrens,
-
5 eine Variation der Netzwerksystems nach 4,
-
6 ein weiteres Ausführungsbeispiel eines erfindungsgemäßen Netzwerksystems,
-
7 eine Variation der Netzwerksystems nach 6,
-
8 ein weiteres Ausführungsbeispiel eines erfindungsgemäßen Netzwerksystems,
-
9 ein weiteres Ausführungsbeispiel eines erfindungsgemäßen Netzwerksystems und
-
10 eine Variation der Netzwerksystems nach 9.
-
Die 1 bis 3 zeigen einen prinzipiellen Ablauf eines erfindungsgemäßen Verfahrens. 1 verdeutlicht eine DNS-Anfrage eines Schüler-PCs (Benutzerendgerät), wobei der DNS-Server auf einem Lehrer-PC implementiert ist. Die Anfrage wird an dem Lehrer-PC von einer Kontrollentität empfangen und eine Nachricht an eine Steuerentität generiert. Beide Entitäten sind auf dem Lehrer-PC implementiert. Die Steuerentität erzeugt eine Anzeige an einem Bildschirm des Lehrer-PCs und erfragt, ob die Anfrage freigegeben oder blockiert werden soll. Bei Freigabe wird die DNS-Anfrage bearbeitet und die aufgelöste Internetadresse an den Schüler-PC zurückgegeben. Bei Versagen des Zugriffs wird eine Fehlermeldung an den Schüler-PC übermittelt. Nach Erhalt der Internetadresse erhält der Schüler-PC Zugriff auf den angefragten Internetserver (weiteres Endgerät).
-
Wenn der angefragte Internetserver in einer Whitelist geführt wird, treten die Datenflüsse wie in 2 auf. 3 zeigt den Fall, bei dem Black- oder Greylisting greift.
-
Die 4 bis 10 dienen der Erläuterung der Erfindung mit Hinblick auf computerbasierter Kommunikation. Die zugrundeliegenden Prinzipien sind auch auf andere Kommunikationsarten übertragbar, z. B. Telefonanlagen, wie oben erwähnt.
-
4 zeigt mehrere Schüler-PCs (PC 1 ... PC N), die über ein möglicherweise aus mehreren Segmenten bestehendes IP Netzwerk 1, z. B. ein Local Area Network (LAN) verbunden sind. Ein oder mehrere der PCs versuchen, einen Server zu kontaktieren, der über ein Gateway G (z. B. Router, DNS-Server oder Internet Gateway Device (IGD)) und möglicherweise ein weiteres IP Netzwerk 2, z. B. ein Wide Area Network (WAN) erreichbar ist. Typischerweise ist der Server ein Server im Internet. Komponente G kann aus mehreren verschiedenen Funktionalitäten bestehen, z. B. einem DSL-Modem, einer oder mehreren Firewalls und/oder einem Proxyserver. Schnittstelle up1 stellt für IP Netzwerk 1 die Route zum IP Netzwerk 2 dar. Es ist möglich, dass es mehrere Schnittstellen analog zu up1 gibt, z. B. zwecks Redundanz. Der Einfachheit wegen ist allerdings nur eine Schnittstelle dargestelt. Schnittstelle up2 stellt den Uplink in IP Netzwerk 2 dar, z. B. die DSL Verbindung in das Internet.
-
Eine Komponente A ist an- das IP Netzwerk über die Schnittstelle c angeschlossen. A ist die Kontrollentität, die Verbindungsaufbauversuche detektiert und entsprechend der Lehrerklassifikation beantwortet. Lehrerklassifikationen werden in Komponente B (der Steuerentität) eingegeben. Auch die oben beschriebene implizite Klassifikation wird über Komponente B realisiert. A und B kommunizieren über Verbindungsschnittstelle ab miteinander. A und B können realisiert werden:
- 1) in einem PC innerhalb eines Computerprogramms innerhalb eines Prozesses; hier ist Schnittstelle ab eine programminterne Kommunikation, z. B. ein Prozeduraufruf oder eine GUI Nutzereingabemöglichkeit
- 2) in einem PC innerhalb eines Computerprogramms verteilt über mehrere Softwareprozesse; hier ist Schnittstelle ab Interprozesskommunikation, z. B. über Sockets oder über Pipes
- 3) verteilt über mehrere PCs, die miteinander verbunden sind. Die Verbindung ab kann direkt oder über ein anderes Netzwerk erfolgen.
-
Zu beachten ist, dass gängige Methoden z. B. Remote-Desktop mit den obigen Realisierungen kombiniert werden können, also dass z. B. Option 1 realisiert wird, aber ein weiterer PC involviert ist, der mittels Remote Desktop Komponente B steuert.
-
Abhängig davon, welche Strategie der (Zwischen)Speicherung der Klassifikationen seitens der Lehrkraft benutzt wird, werden nicht alle Interaktionen über Schnittstelle ab eine Interaktion mit der Lehrkraft nach sich ziehen. Ebenso ist es möglich, falls Komponente A Klassifikationsergebnisse (zwischen)speichert, dass keine Kommunikation über ab erfolgt, obwohl eine Anfrage über Schnittstelle c von Komponente A empfangen wurde.
-
Abhängig von der Realisierung kann Komponente A implementiert sein in:
- 1) einem DNS-Server. Hierfür sollten PC 1 ... PC N so konfiguriert sein, dass sie Komponente A als DNS-Server kontaktieren. Komponente A kommuniziert mit Komponente B um die Klassifikation der Anfrage seitens der Lehrkraft zu erfahren.
- 2) einem Proxy-Server. Hierfür sollten PC 1 ... PC N so konfiguriert sein, dass sie Komponente A als Proxyserver kontaktieren.
- 3) einem Gateway. Hierfür sollten PC 1 ... PC N so konfiguriert sein, dass sie Komponente A als Default Gateway kontaktieren.
-
In allen Fällen, kann Komponente A gegebenenfalls zuerst Informationen über den angefragten Server einholen (beispielsweise die Aliase und IP Adressen die eine DNS-Anfrage zurückliefert), bevor Komponente B kontaktiert wird. Diese zusätzlichen Informationen werden über Schnittstelle ab ebenfalls Komponente B zur Verfügung gestellt. Komponente B zeigt der Lehrkraft diese Informationen in geeigneter Form an, so dass eine gut informierte Klassifikation ermöglicht wird. Abhängig von der Ausgestaltungform und der Klassifikationsentscheidung der Lehrkraft kann eine positive, negative oder keine Antwort über ab zurückgesandt werden. Aufgrund dieser Antwort erlaubt oder unterbindet Komponente A Kommunikationsanfragen der PCs über Schnittstelle c. Es ist ebenso möglich, dass keine Interaktion über c stattfindet – in diesem Fall wird angenommen, dass normale Fehlermechanismen auf den PCs greifen, was effektiv einer negativen Klassifikation gleichkommt.
-
Alternativ zu den angeführten Realisierungen kann auch Komponente G zuerst von PC 1 ... PC N kontaktiert werden, z. B. in der Rolle als DNS-Server und dann so konfiguriert sein, dass G Komponente A kontaktiert, bevor Verbindungsanfragen in IP Netzwerk 2 gestartet werden.
-
5 zeigt eine Variation von 4, in dem Komponente B ebenfalls über das lokale Netzwerk verbunden ist. Hier ist die Schnittstelle ab eine Kombination aus den Schnittstellen c und c2.
-
6 zeigt die Möglichkeit, dass Komponente A mit einer der Funktionalitäten in G gekoppelt ist. Die Betrachtungen bzgl. Schnittstelle ab zwischen Komponenten A und B sind analog zu 4.
-
7 eine Variation zu 6, analog zu 5.
-
8 zeigt die Möglichkeit, dass beide Komponenten A und B mit G gekoppelt sind.
-
9 zeigt die Möglichkeit, dass Komponenten B und G gekoppelt sind, wohingegen A separiert ist. Analog zu 4 ist Schnittstelle ab nicht über IP Netzwerk 1 verbunden.
-
Analog zu 9 zeigt 10 die Möglichkeit, dass Komponenten B und G gekoppelt sind, wohingegen A separiert ist. Analog zu 5 ist Komponente B an IP Netzwerk 1 angeschlossen und ab also über IP Netzwerk 1 realisiert.
-
Andere Umsetzungen sind, dass beispielsweise ab, c2 oder c über IP Netzwerk 2 geroutet werden, allerdings dürfte dies in der Realität selten anzutreffen sein.
-
Schließlich sei ausdrücklich darauf hingewiesen, dass die voranstehend beschriebenen Ausführungsbeispiele des erfindungsgemäßen Verfahrens und des erfindungsgemäßen Netzwerksystems lediglich zur Erörterung der beanspruchten Lehre dienen, diese jedoch nicht auf die Ausführungsbeispiele einschränken. So sei insbesondere herausgestellt, dass neben den PCs (Benutzerendgeräte) und den Servern (weitere Endgeräte) auch andere Endgeräte, wie beispielweise Telekommunikationsgeräte eingesetzt werden können. Auch eine Verbindung zwischen verschiedenen Benutzerendgeräten (PCs, Rechner, Telekommunikationsgeräte, etc.) könnte aufgebaut werden.
