DE102012008860A1

DE102012008860A1 - Vorrichtung zur elektronischen Detektion von Anomalien in kabelgebundenen Ethernet- Netzwerken auf dem physikalischen Layer 1 des ISO/OSI-Modells

Info

Publication number: DE102012008860A1
Application number: DE201210008860
Authority: DE
Inventors: Udo H. Kalinna; Carsten Koch; Gerd von Cölln
Original assignee: Individual
Current assignee: Individual
Priority date: 2012-05-03
Filing date: 2012-05-03
Publication date: 2013-11-07

Abstract

Eine elektronische Vorrichtung zur Analyse eines Ethernet-Signals auf dem physikalischen Layer 1 des ISO/OSI-Modells, um eine Analysedarstellung des Ethernet-Signals zu erhalten, umfasst eine Einrichtung zur Umsetzung des Ethernet-Signals in eine Darstellung, die unabhängig von den Übertragungsgeschwindigkeiten von 10/100/1000 MBit/s, oder evtl. höheren Übertragungsgeschwindigkeiten, eine diskrete Mustererkennung des Ethernet-Signals liefert. Eine Datenverarbeitungseinrichtung berechnet die Abweichungen des Ethernet-Signals über die Zeit, die sich aufgrund von Anomalien in dem Kommunikationskanal ergeben. Die elektronische Datenverarbeitungseinrichtung ist ebenfalls für zukünftige höhere Übertragungsraten vorgesehen, muss schaltungstechnisch angepasst werden. Die erfindungsgemäße Vorrichtung erzeugt somit eine besondere zweckmäßige Analysedarstellung eines Ethernet-Signals auf dem physikalischen Layer 1, indem heutige und zukünftige Übertragungsgeschwindigkeiten und die Speicherung der Analyse mit berücksichtigt bleibt. Die erfindungsmäßige Analysedarstellung des Ethernet-Signals eignet sich sowohl für die für die Detektion eines fremden Gerätes in dem Kommunikationspfand vom Endsystem zum Netzzugangsknoten als auch zur Nachweisbarkeit der Verschlechterung des Übertragungskanals über die Zeit.

Description

Die Erfindung betrifft eine Vorrichtung entsprechend dem Oberbegriff des Anspruchs 1.
Die Ethernet-Technologie hat sich in den letzten 25 Jahren zu dem De-facto Standard in der Informationstechnologie (IT) und im Speziellen im Bereich der Computernetze (Local Area Networks, LAN) entwickelt. Auch in der Automatisierungstechnik hält die Ethernet-Technologie aufgrund ihrer einheitlichen Standardisierung, und demzufolge wegen der geringen Kosten für die Komponenten, verstärkt Einzug. Selbst Geräte wie Beamer, Kameras, WLAN Access Points, Sensoren, etc. pp verfügen heute über einen Ethernet-Anschluss, um Zugang zu einem Computernetz (LAN) zu bekommen.
Die oben aufgeführten Geräte haben eines gemeinsam, Sie werden in der Regel über Kupferkabel, deren Qualität abhängig von der Übertragungsgeschwindigkeit ist, über einen Switch der als Netzzugangselement dient, verbunden. Der Switch arbeitet auf dem ISO/OSI Layer 2, der sogenannten Sicherungsschicht und regelt die Vernetzung und die Kommunikation der Geräte untereinander. Zur Koppelung von Netzen werden Router eingesetzt. Bevor sich Switche ab ca. 1994 durchgesetzt haben, dienten sogenannte HUBs als Netzzugangselement. Diese HUBs sind bis heute noch gerade in der Automatisierungstechnik im Einsatz. Auch das Stecksystem mit RJ45-Stecker und -Buchsen ist bis heute der Standard für kabelbasierte Netzwerke.
An heutigen Switchen ist es möglich, an einem Port mehrere Ethernet-fähige Geräte anzuschließen. Das mag unter Umständen gewollt sein, z. B. wenn kein Port mehr frei ist, stellt aber im Allgemeinen eine große Schwachstelle in Computernetzen (LAN) dar. Im Allgemeinen können an einem Switch so viele Geräte angeschlossen werden, wie es sein CAM-Speicher ( : Content Addressable Memory) zulässt. Die angeschlossenen Geräte an einem Switch ordnet der Switch in einer Tabelle aus Portnummern und MAC-Adressen zu. In der Regel verfügen handelsübliche Switche mit 48-Port über eine Größe der CAM-Speicher von 2048 Adressen.
Die 2 zeigt die Zuweisung von Ports zu MAC-Adressen im CAM-Speicher eines Netzzugangselementes an (hier Etagen-Switch). In 3 ist die Konfiguration wiedergegeben, in der PC1 und PC2 an dem gleichen Port 1 angeschlossen sind. Theoretisch wäre es auch möglich, alle Geräte an einem Port anzuschließen, was natürlich dem Sinn eines Switches vollkommen widersprechen würde.
Nehmen wir an dieser Stelle an, PC1 besitzt keine Legitimation zum Zutritt in das Computernetzwerk. Er kann sich dennoch mit dem Netzzugangselement verbinden und mit entsprechender Schadsoftware seine MAC-Adresse verschleiern. Der Angreifer wird vom Switch nicht erkannt und seine MAC-Adresse wird nicht im CAM-Speicher eingetragen. Der Angreifer ist nicht zu detektieren. Nun ist es dem Angreifer möglich, den kompletten Datenverkehr mitzulesen und zu stehlen.
Um dieses Problem zu begegnen wurden verschiedene Ansätze und Verfahren entwickelt. Diese lassen sich im groben in zwei Gruppen aufteilen:
Die erste Gruppe versucht mit neuen Vorrichtungen, Verfahren und Protokollen auf dem ISO/OSI Layer 2, fremde Geräte anhand einer Erweiterung eines neu entwickelten ARP-Protokolls zu detektieren. Eines dieser Vorrichtungen ist das sogenannte „Host Tracking in a Layer 2 IP Ethernet Network” [ US8107396 (B1) ]. Dieses hat verschiedene Nachteile. Zuerst müssen die neuen ARP-Request-Header und ARP-Replay-Header sowie deren neuen Protokolle in die entsprechenden Netzwerkkomponenten wie Switche und Router implementiert werden. Gleiches gilt auch für die kompletten TCP/IP Software Stacks in Systemen, wie Server, PCs, Laptop, etc. pp. Zudem wird man bei älteren Netzwerkkomponenten nicht um einen Austausch herumkommen. Die Kosten für eine solche Umstellung wären signifikant hoch.
Die zweite Gruppe, hier sei exemplarisch das Verfahren [ KR101081773 (B1) ] als Beispiel angeführt, unternimmt den Ansatz durch Verschlüsselung der Datenfelder im Ethernet Protokoll das Mitlesen der Daten im Klartext zu verhindern. Wo aber Daten verschlüsselt werden, müssen sie auch wieder entschlüsselt werden. Dies führt unweigerlich zu einem höheren Aufwand bei der Hardware, der Schlüsselgenerierung und zuletzt nicht zu vernachlässigen, die Kosten für zusätzliche Prozessoren für die Ver- und Entschlüsselung.
Die beiden hier exemplarisch vorgestellten Vorrichtungen und Verfahren, sowie leicht abgewandelten weitere Vorrichtungen wie [ CN101577711 (A) ], [CN101577711 (A)], [ US2010228964 (A1) ] oder [ KR20080050245 (A) ], haben alle den Nachteil passive Lauschangriffe in kabelgebundenen Ethernet Netzwerken nicht detektieren zu können. Sicherlich ist die Hürde bei verschlüsselten Daten wesentlich höher, die Daten wieder zu entschlüsseln, stellt aber bei der heutigen Rechenleistung mit Grafikkartenbeschleunigern kein großartiges Problem mehr dar. Die beiden hier vorgestellten Verfahren basieren auf der Absicherung des ISO/OSI Layer 2 und höher. Angriffe oder Eindringlinge auf dem ISO/OSI Layer 1 werden von beiden hier vorgestellten Gruppen nicht berücksichtigt.
Die Aufgabe der vorliegenden Erfindung ist es, eine elektronische Detektion von Anomalien in kabelgebundenen Ethernet-Netzwerken auf dem physikalischen Layer 1 des ISO/OSI Modells zu ermöglichen. Unter Anomalie verstehen die Patentanmelder die Unregelmäßigkeiten bzw. die Abweichungen der elektrischen Ethernet-Signale auf dem physikalischen Übertragungskanal von der Normalform. Die Abweichung kann sich in der Amplitude, der Signal-Frequenz, der Phasenverschiebung oder einer Reflexion bemerkbar machen. Ein weiteres Ziel der Erfindung ist eine kostengünstige Implementierung zu gewährleisten. Ebenfalls kann die Erfindung in Netzwerkkomponenten als auch als Stand-alone Geräte realisiert werden.
In der Vorrichtung zur Anomaliedetektion (1, 100) wird das symmetrische Ethernet-Sendesignal (110) direkt vor dem Übertrager (Magnetics) sehr hochohmig ausgekoppelt, um keine Beeinflussung des Signals zu vermeiden. In der Einheit (120) werden die signalabhängigen Kenngrößen ermittelt. Aus dem Eingangssignal wird die Übertragungsfrequenz des anliegenden Signals ermittelt.
Abhängig von der Übertragungsfrequenz und dem vorgegebenen Spannungshub laut IEEE 802.3xx Norm für die verschiedenen Ethernet-Varianten, wird dem Signal ein Offset in Höhe der maximalen Spitzenspannung U_S zuaddiert. Dieses neue Signal wird einer schnellen Gleichrichterschaltung zugeführt, dessen Zeitkonstante abhängig von der Übertragungsfrequenz gewählt wird. Das gleichgerichtete Signal wird nun zur Referenzspannung U_{Ref_x_MBit} (x steht für Übertragungsgeschwindigkeit der Ethernet Norm) für die jeweilige Übertragungsfrequenz und einem A/D-Wandler zugeführt und digitalisiert. Abhängig von der Übertragungsfrequenz werden dem gleichgerichteten Signal Proben, im Abstand von 1/100–1/10 der Übertragungsfrequenz, genommen. Es wird an dieser Stelle je nach Bitkombinationen der unterschiedlichen Möglichkeiten der Kanalcodierungen der Ethernet-Varianten sich ein um ΔU_{Ref_x_MBit} nach oben und unten abweichender Referenzwert ergeben. Aus dieser Abweichung wird U_{Ref_x_MBit} in Abhängigkeit der Übertragungsrate aus dem arithmetischen Mittelwert bestimmt.
Die Einheit 120 leitet die Referenzspannung U_{Ref_x_MBit} über die Ausgänge 122, 124, und 126 an die Einheiten 130, 132, und 134 weiter. In diesen Einheiten (130, 132, 134) wird der neue diskrete Spannungswert in einem Soll/Ist-Vergleich mit der alten Referenzspannung verglichen und zur Kurzzeitspeicherung zugeführt. Um Histogramme über einen größeren Zeitraum zu ermöglichen, kann der Inhalt des Kurzzeitspeichers einem übergeordneten Management-System übergeben werden.
Weicht der Ist-Wert zu weit vom Referenzwert ab, können die Ergebnisse der Analysedarstellung direkt an das Management-System der höheren Schichten als Alarm weiter geleitet werden. Das Management-System könnte den betroffenen Port direkt vom Netz nehmen.
Das kupferbasierte Verkabelungssystem für Ethernet ist für eine Impedanz von 100 Ω ausgelegt. Das bedeutet, dass bei einer korrekten Terminierung (das geschieht durch ein Endsystem mit der gleichen Impedanz) im Idealfall keine Reflexionen auf dem Übertragungskanal (Datenkabel) auftreten werden. Wird auf dem Übertragungskanal eine Verbindung auch nur kurzzeitig unterbrochen, werden die hinlaufenden Signalwellen an der Stoßstelle zurück zum Übertrager reflektiert. Der Übertrager (Magnetics) hat nach IEEE 802.3xx eine Vorgabe für das Übersetzungsverhältnis von fast 1:1. Ein idealer Übertrager überträgt Spannungen entsprechend seines Übersetzungsverhältnisses. Somit wird sich die hin- und rücklaufende Welle überlagern und eine Änderung der Referenzspannung U_{Ref_x_MBit} erwirken. Diese kann je nach Art der Überlagerung größer oder auch kleiner als der sich im Speicher der Einheit 130 befindende Wert sein. Weicht diese neue Spannung weiter als ΔU_{Ref_x_MBit} ab, so wird ein Alarm der Analysedarstellung 150 an ein Management-System weitergeleitet.
Abhängig von den Eigenschaften des Datenkabels (Cat.5–Cat.7), ist die Signalgeschwindigkeit von Wellen auf Leitungen etwa 0,7–0,8 c. Mit dieser Kenntnis, lässt sich der genaue Ort in Metern vom Messpunkt über die zeitliche Differenz der hin- und rücklaufen Welle eindeutig bestimmen. Dieser Wert wird ebenfalls in der Einheit 130 berechnet und als weiteres Analyseergebnis dem Management-System mitgeteilt. Damit wird der Zugang von unerlaubten Geräten in den Kommunikationskanal erkannt und verhindert.
Kurzzeitige Störungen im Kommunikationskanal nicht als Flase-Positiv bewertet, Eine materialbedingte Verschlechterung des Datenkabels, z. B. des Dämpfungsfaktors, kann durch einen kontinuierlichen Abfall der Referenzspannung über einen längeren Zeitraum nachgewiesen werden. Das gilt ebenfalls für Kabelbrüche oder Stoßstellen innerhalb des Übertragungskanals, die sich in ungewollten Reflexionen äußern.
Die Analysewerte können der nachgeschaltete Phy übergeben werden, welche dann diese Informationen einem übergeordneten Managementsystem zur weiteren Verarbeitung weiter leitet.
ZITATE ENTHALTEN IN DER BESCHREIBUNG
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
Zitierte Patentliteratur

US 8107396 B1 [0007]
KR 101081773 B1 [0008]
CN 101577711 A [0009]
US 2010228694 A1 [0009]
KR 20080050245 A [0009]

Zitierte Nicht-Patentliteratur

IEEE 802.3xx Norm [0012]
IEEE 802.3xx [0015]

Claims

Elektronische Vorrichtung zur Analyse des Ethernet-Signals auf dem physikalischen Layer 1 des ISO/OSI Schichten-Modells das sich dadurch kennzeichnet, dass das symmetrische Ethernet-Signal vor dem Übertrager hochohmig ausgekoppelt wird.
Ethernet-Signal nach Anspruch 1, dadurch gekennzeichnet, dass die Übertragungsfrequenz, die Amplitude und die Phasenverschiebung durch eine Messung bestimmt und im Folgeverfahren berücksichtigt wird.
Elektronische Vorrichtung nach Anspruch 1, dadurch gekennzeichnet, dass dem Ethernet-Signal ein Offset in Höhe der Spitzenspannung dynamisch hinzu addiert und einer Gleichrichterschaltung zugeführt als auch integriert wird, mit der Zeitkonstante jeweils abhängig von der Übertragungsfrequenz. Das Ausgangssignal der Vorrichtung dient als Referenzspannung U_{Ref_x_MBit}.
Elektronische Vorrichtung nach Anspruch 1, dadurch gekennzeichnet, dass durch eine Mittelwertbildung der um ΔU_{Ref_x_MBit} nach oben und unten abweichender Referenzwert U_{Ref_x_MBit} als neuer Referenzwert in Abhängigkeit der Übertragungsrate bestimmt wird.
Elektronische Vorrichtung nach Anspruch 1, dadurch gekennzeichnet, dass die Referenzspannung U_{Ref_x_MBit} einem A/D-Wandler zugeführt und digitalisiert wird und von der Referenzspannung U_{Ref_x_MBit} nur Proben von 1/100–1/10 der Übertragungsfrequenz genommen werden.
Referenzwert nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass dieser zum Soll/Ist Vergleich in einem digitalen Speicher vorgehalten wird.
Die Vorrichtung nach Anspruch 1, dadurch gekennzeichnet, dass sie als Netzwerkkomponente integriert oder als Stand-alone Gerät realisiert werden kann.
Die Vorrichtung nach Anspruch 1, dadurch gekennzeichnet, dass materialbedingte Verschlechterung des Datenkabels, z. B. des Dämpfungsfaktors, Kabelbrüche oder Stoßstellen, durch einen kontinuierlichen Abfall der Referenzspannung über einen längeren Zeitraum nachgewiesen werden können.
Die Vorrichtung nach Anspruch 1, dadurch gekennzeichnet, dass der Zugang von unerlaubten Geräten in den Kommunikationskanal detektiert und verhindert wird.
Die Vorrichtung nach Anspruch 1, dadurch gekennzeichnet, dass alle derzeitigen und zukünftigen auf dem Ethernet-Standard basierten Übertragungsverfahren sowohl für kupferbasierte als auch für optische Übertragungssysteme anwendbar ist.