-
Die Erfindung betrifft ein Verfahren zur Sperre eines Datenzugriffs an einem Netzknoten
-
Im Zuge einer breiten Durchsetzung digitaler Rechenkomponenten werden immer häufiger auch Geräte des täglichen Alltags mit Datenverarbeitungsmöglichkeiten ausgestattet und als sogenannte Smart Devices vermarktet.
-
Von derartigen Geräten verarbeitete und gespeicherte Daten können - zum Teil beabsichtigt, oftmals aber auch unbeabsichtigt - oft unvermeidbar sensible Daten enthalten. Haushaltsübliche Router können beispielswese Informationen über angebundene Netzknoten in Form einer Whitelist speichern, wobei diese möglicherweise mit den Namen ihrer Besitzer verbunden sind, sodass personenbezogene Daten in die Whitelist aufgenommen werden. Handelsübliche Saugroboter erstellen Karten über einen höchstpersönlichen Lebensbereich. Kopiergeräte speichern Bildinhalte kopierter Papierseiten, welche - oftmals unwissentlich durch einen Vorbesitzer - im Zuge eines Verkaufs oder durch Rückgabe von Mietgeräten einem Nachbesitzer zur Verfügung stehen. Schließlich werden in vielen Geräten Zugangsdaten zu drahtlosen Netzwerken abgelegt.
-
Derartige Geräte wechseln zunehmend häufig ihren Besitzer, sei es durch Weiterverkauf, Verlust, Liegenlassen, Diebstahl oder Austausch.
-
Im industriellen Bereich sind dabei insbesondere Smart Devices von Interesse, welche nach einem Prinzip des Edge Computings, d.h. einer Datenverarbeitung bereits im Feld, arbeiten. Derartige Smart Devices sind oftmals relativ lose installiert und daher auf einfache Weise zu entwenden, beispielsweise um Know-How zu stehlen.
-
Ein Smart Device ist neben Einrichtungen zur Datenverarbeitung und -speicherung vor allem durch eine nahezu permanente Datenverbindung über meist drahtlose Netzwerke gekennzeichnet, welche dem Smart Device eine Verbindung zu entfernten Ressourcen gewährleisten und damit einen interaktiven und teilweise auch autonomen Betrieb des Geräts ermöglichen. Aufgrund dieser kennzeichnenden Netzwerk-Konnektivität eines Smart Devices wird im Folgenden auch der Begriff Netzknoten verwendet.
-
Für einen Schutz sensibler Daten wurde bereits eine Vielzahl von Verfahren vorgeschlagen. Sämtliche Verfahren erfordern allerdings Wissen und Vorarbeit - insbesondere Konfigurationsmaßnahmen - durch einen derzeitigen Besitzer sowie durch einen gegebenenfalls unfreiwillig vormaligen Besitzer - insbesondere Maßnahmen zur Remote Löschung von Daten im Fall eines Verlusts - des Geräts.
-
Die vorliegende Erfindungsmeldung ist vor diesem Hintergrund vor die Aufgabe gestellt, Mittel für eine automatische Sperre eines Datenzugriffs auf einen dislozierten Netzknoten bereitzustellen, welche einen Eingriff eines Benutzers entbehrlich machen.
-
Die Aufgabe wird durch ein Verfahren mit den Merkmalen des Patentanspruchs 1 gelöst.
-
Ein Kerngedanke des erfindungsgemäßen Verfahrens zur Sperre eines Datenzugriffs besteht darin, einen Netzknoten erfindungsgemäß so auszugestalten, dass dieser eigenständig in der Lage ist, einen Wechsel innerhalb einer Netzwerktopologie auszuwerten, diesen als einen Wechsel der Einsatzumgebung des Netzknotens zu interpretieren und daraufhin einen Datenzugriff auf im Netzknoten gespeicherte Daten zumindest teilweise zu sperren und somit einen Zugriff auf gespeicherte Daten für einen anderen Bediener in der neuen Einsatzumgebung zu erschweren oder unmöglich zu machen.
-
Ein einer Netzwerkumgebung zugeordneter Netzknoten hinterlegt erfindungsgemäß - in regelmäßigen oder unregelmäßigen zeitlichen Abständen oder zu ereignisgesteuerten Zeitpunkten - Netzwerkumgebungsparameter seiner Netzwerkumgebung in einem internen Datenspeicher des Netzknotens. In regelmäßigen oder unregelmäßigen zeitlichen Abständen oder zu ereignisgesteuerten Zeitpunkten werden hinterlegte »historische« Netzwerkumgebungsparameter aus dem Datenspeicher geladen und mit einem aktuell hinterlegten oder erhobenen Netzwerkumgebungsparameter verglichen. Im Fall einer vom Netzknoten eigenständig detektierten Änderung in zumindest einem durch den Netzknoten vorgehaltenen Netzwerkumgebungsparametern wechselt der Netzknoten - abhängig von einer Auswertung der Brisanz der Änderung, wobei auch eine Gewichtung mehrerer Netzwerkumgebungsparametern oder auch ein zeitlicher Ablauf der Änderungen in bestimmten Netzwerkumgebungsparametern herangezogen werden kann - in einen Status, welcher einem »Anfangsverdacht« auf einen Wechsel seines Einsatzorts entspricht. Bei einem gegebenen Anfangsverdacht konsultiert der Netzknoten einen Netzwerkumgebungs-externen Dienstgeber - also beispielsweise einen Netzwerkumgebungs-übergreifenden oder global ansprechbaren Server - dahingehend, ob für den Netzknoten mindestens eine für den Netzknoten hinterlegte Ereignismeldung vorliegt. Eine solche für den Netzknoten hinterlegte Ereignismeldung kann vorab durch den Netzknoten selbst, durch einen anderen Netzknoten oder durch ein Netzwerkmanagementsystem hinterlegt worden sein. Die Ereignismeldung betrifft einen Wechsel seiner Netzwerkumgebung. Anhand der abgerufenen mindestens einen Ereignismeldung wird dann durch den Netzknoten eine Entscheidung getroffen, ob der Netzknoten einen Wechsel seiner Netzwerkumgebung erfahren hat oder nicht. Die Entscheidung, dass der Netzknoten keinen Wechsel seiner Netzwerkumgebung erfahren hat, kann auch aufgrund dessen getroffen werden, dass keine für den Netzknoten hinterlegte Ereignismeldung in einen oder mehreren Netzwerkumgebungs-externen Dienstgeber vorliegt. Für den Fall, dass anhand der abgerufenen mindestens einen Ereignismeldung eine Entscheidung durch den Netzknoten getroffen wird, dass der Netzknoten einen Wechsel seiner Netzwerkumgebung erfahren hat, wird im Netzknoten ein Datenzugriff auf dort gespeicherte Daten zumindest teilweise gesperrt.
-
Die Erfindung gewährleistet in vorteilhafter Weise einen Schutz vertraulicher Daten im Falle eines Verlusts des Netzknotens, beispielsweise eines Smart Phones oder eines industriellen Feldgeräts, sowie einen Schutz der vertraulichen Daten im Fall eines Diebstahls. In beiden Szenarien findet nämlich ein Wechsel der Netzwerkumgebung statt, welche in Anwendung des erfindungsgemäßen Verfahrens die Sperre dort gespeicherter Daten auslöst.
-
Gemäß einer vorteilhaften Ausgestaltung der Erfindung ist vorgesehen, die im Netzknoten gespeicherten Daten im Falle des Wechsels der Netzwerkumgebung zumindest teilweise gelöscht oder überschrieben werden. Eine solche Ausgestaltung gewährleistet einen drastischeren und weitergehenden Schutz vertraulicher Daten in der neuen Einsatzumgebung als die Datensperre.
-
Gemäß einer vorteilhaften Ausgestaltung der Erfindung ist vorgesehen, einen Änderung folgender Netzwerkumgebungsparameter zu detektieren:
- - eine aus einer ARP-Nachricht (Address Resolution Protocol) rückgelieferte MAC-Adresse. Eine derartige Nachricht ist eine Antwort auf einen ARP-Request, bei dessen Empfang seine eigene MAC-Adresse und IP-Adresse in Form der ARP-Nachricht bzw. ARP-Reply an die MAC-Quelladresse des anfordernden Netzknotens zurücksendet. Dieser trägt nach Empfang der Antwort die empfangene Kombination von IP- und MAC-Adresse in seine ARP-Tabelle ein.
- - eine Zuordnung einer aus einer ARP-Nachricht rückgelieferten MAC-Adresse zu einer IP-Adresse;
- - eine vom Netzknoten verwendete oder diesem zugewiesene IP-Adresse;
- - ein Wert einer Paketumlaufzeit oder einer Paketlatenzzeit, in der Fachwelt auch Roundtrip Delay;
- - ein Präfix und/oder Postfix in einer Adresse des Internetprotokolls IPv6 bzw. Version 6 des Internet Protocol. Eine IPv6-Adresse umfasst in den ersten bzw. letzten 64 Bit ein Präfix Bzw. Postfix, welche aufgrund von lokalen Einträgen eine Identifikation von Netzknoten in ihrer Netzumgebung ermöglicht.
- - ein Antwortparameter auf eine Datenkommunikation mit netzwerkumgebungs-externen Kommunikationspartner; und/oder;
- - eine Netzkennung eines benachbarten drahtlosen lokalen Netzwerks.
-
Gemäß einer vorteilhaften Ausgestaltung der Erfindung ist vorgesehen, neben der vom Netzknoten detektierten Änderung in zumindest einem durch den Netzknoten vorgehaltenen Netzwerkumgebungsparametern physische Merkmale des Netzknotens und/oder durch eine Sensorik des Netzknotens empfangbare Merkmale auszuwerten.
-
Gemäß einer vorteilhaften Ausgestaltung der Erfindung ist vorgesehen, eine Plausibilisierung des Wechsels vorzusehen. Diese Plausibilisierung erfolgt auf Basis einer Auswertung von Rückmeldenachrichten weiterer Netzknoten erfolgt, wobei die weiteren Netzknoten der durch die im Netzknoten vorgehaltenen Netzwerkumgebungsparameter spezifizierten Netzwerkumgebung zugeordnet sind. Im Fall eines Wechsels des Netzwerkknotens entspricht dies den »früheren Nachbarn« des gewechselten Netzknotens. Falls kein Wechsel stattgefunden hat, sind die weiteren Netzknoten weiterhin innerhalb der Netzwerkumgebung, die auch für den zu prüfenden Netzwerkknoten gelten.
-
Gemäß einer Ausgestaltung umfasst ein solches Verfahren zur Plausibilisierung:
- a1) Entnahme mindestens eines durch den Netzknoten vorgehaltenen Netzwerkumgebungsparameters, Bestimmung einer Netzwerkumgebung aus dem mindestens einen entnommenen Netzwerkumgebungsparameter und Bestimmung mindestens eines weiteren Netzknotens innerhalb der Netzwerkumgebung;
- a2) Senden einer Anfragenachricht an den mindestens einen weiteren Netzknotens innerhalb der Netzwerkumgebung;
- a3) Empfang der die Anfragenachricht beantwortenden Rückmeldenachricht und Auswertung der Rückmeldenachricht daraufhin, ob der Netzknoten der Netzwerkumgebung zugeordnet ist;
-
Gemäß einer vorteilhaften Ausgestaltung der Erfindung ist vorgesehen, dass Rückmeldenachrichten weiterer Netzwerkknoten ein zuvor ausgetauschtes geheimes Merkmal enthalten, welches vor dem Austausch zufällig gewählt sein kann. Die Identifikation vormals benachbarter Netzwerknoten kann dann gemäß einer Ausgestaltung über die Kenntnis des zuvor vereinbarten geheimen Merkmals erfolgen.
-
Die Aufgabe wird weiterhin durch ein Computerprogrammprodukt mit Mitteln zur Durchführung des Verfahrens sowie durch einen Netzknoten gelöst.
-
Im Folgenden werden weitere Ausführungsbeispiele und Vorteile der Erfindung mit Bezug auf die einzige Figur erläutert.
-
Die FIG zeigt eine exemplarische Darstellung zweier Netzwerkumgebungen NW1,NW2, welche durch abgetrennte Netzwerke oder durch Netzsegmente innerhalb eines übergreifenden Netzwerkverbunds gebildet werden.
-
In einer ersten Netzwerkumgebung NW1 sind eine Mehrzahl von Netzknoten S1,S2,S3,S4 angeordnet. Ein strichliert dargestellter Netzwerkknoten S1 wurde allerdings aus der ersten Netzwerkumgebung NW1 entfernt und ist nun der zweiten Netzwerkumgebung NW2 zugeordnet, wie durch einen bogenförmigen Pfeil in der Zeichnung symbolisiert. Neben dem ersten Netzwerkknoten S1 sind weitere Netzknoten S5,S7,S7 der zweiten Netzwerkumgebung NW2 zugeordnet.
-
Erfindungsgemäß wird der erste Netzknoten S1 in die Lage versetzt, eigenständig, d.h. ohne Bedienereingriff, Merkmale identifizieren, den Zuordnungswechsel zu erkennen.
-
Der nunmehr der zweiten Netzwerkumgebung NW2 zugeordnete erste Netzknoten S1 detektiert hierzu eine Änderung in zumindest einem durch den Netzknoten vorgehaltenen Netzwerkumgebungsparameter. Im Ausführungsbeispiel ändert sich insbesondere die in der zweiten Netzwerkumgebung NW2 neu zugewiesene IP-Adresse, welche von der vormals in der ersten Netzwerkumgebung NW1 ursprünglich zugewiesenen IP-Adresse abweicht.
-
Eine Änderung in der Netzwerkumgebung könnte eine gewollte oder ungewollte Änderung der Einsatzumgebung zur Ursache haben.
-
Zur Verifizierung des Anfangsverdachts eines Wechsels der Einsatzumgebung wird nun mindestens eine für den Netzknoten hinterlegte Ereignismeldung von einem Netzwerkumgebungsexternen Dienstgeber ED abgerufen. Ein solcher Abruf erfolgt beispielsweise durch einen Austausch mindestens zweier Nachrichten zwischen dem erste Netzknoten S1 und dem Netzwerkumgebungsexternen Dienstgeber ED.
-
Als Netzwerkumgebungsexterner Dienstgeber ED kann ein beliebiger Netzwerkumgebungs-übergreifender oder sogar global ansprechbarer Server eingesetzt werden, in vorteilhafter Weise insbesondere auch ein um eine Ablage und einen Austausch von Ereignismeldungen erweiterter Domain Name System (DNS) Dienst, welcher mittels eines Serververbund global ansprechbar ist.
-
Während eines laufenden Betriebes legen Netzknoten Ereignismeldungen ab, welche Netzknoten und zugehörige Ereignisse charakterisieren. Eine solche für den Netzknoten hinterlegte Ereignismeldung kann vorab durch den Netzknoten selbst, durch einen anderen Netzknoten oder durch ein Netzwerkmanagementsystem hinterlegt worden sein. Eine Bedeutung oder Semantik dieser Ereignismeldungen ist optional nur innerhalb einer bestimmten Netzwerkumgebung NW1,NW2 oder sogar nur einem bestimmten Gerätepaar bekannt. Trotz einer globalen Verfügbarkeit dieser Ereignismeldungen ist also auf geeignete Weise gewährleistet, dass kein unbefugter Gebrauch durch Datensammeldienste oder ähnlichem erfolgen kann.
-
Anhand der abgerufenen mindestens einen Ereignismeldung wird dann durch den ersten Netzknoten S1 eine Entscheidung getroffen, ob der Netzknoten einen Wechsel seiner Netzwerkumgebung NW2 erfahren hat oder nicht. Im vorliegenden Fall wird anhand der abgerufenen mindestens einen Ereignismeldung eine Entscheidung durch den ersten Netzknoten S1 getroffen, dass dieser einen Wechsel seiner Netzwerkumgebung NW2 erfahren hat.
-
Anschließend kann ein optionaler zusätzlicher Sicherungsschritt für eine Plausibilisierung des Wechsels vorgesehen sein. Diese Plausibilisierung erfolgt auf Basis einer Auswertung von Rückmeldenachrichten weiterer Netzknoten S2,S3, wobei die weiteren Netzknoten S2,S3, der durch die im Netzknoten vorgehaltenen, vergangenen Netzwerkumgebungsparameter spezifizierten Netzwerkumgebung NW1 zugeordnet sind.
-
Da im vorliegenden Beispiel ein Wechsel des Netzwerkknotens S1 stattgefunden hat, entsprechen die weiteren Netzknoten S2,S3 den »früheren Nachbarn« des gewechselten ersten Netzknotens S1.
-
Im vorliegenden Ausführungsbeispiel wird die Auswertung von Rückmeldenachrichten weiterer Netzknoten S2,S3 durch einen Austausch von eines oder mehrerer Nachrichtenpaaren M2,M3 - bestehend aus einer jeweilige Anfragenachricht und einer die Anfragenachricht beantwortenden Antwortnachricht - eingeleitet, welche zwischen den weiteren Netzknoten S2,S3 und dem Netzwerkumgebungs-externen Dienstgeber ED ausgetauscht werden. Eine Auswertung von Rückmeldenachrichten weiterer Netzknoten S2,S3 kann alternativ auch durch einen Austausch von - nicht dargestellten - Nachrichtenpaaren eingeleitet werden, welche zwischen den weiteren Netzknoten S2,S3 und dem ersten Netzwerkknoten S1 direkt ausgetauscht werden. Der letztgenannte direkte Austausch zwischen den Netzknoten S1, S2, S3 könnte allerdings durch bekannte Netzrestriktionen zwischen zwei nicht verbundenen Netzsegmenten NW1,NW2 unterbunden sein. Nach Austausch einer oder mehrerer Nachrichtenpaare M2,M3 mit weiteren Netzknoten S2,S3 erfolgt die Auswertung von Rückmeldenachrichten entweder auf dem Netzwerkumgebungsexterner Dienstgeber ED, von dem ein Ergebnis an den ersten Netzknoten S1 übermittelt wird. Alternativ erfolgt die Auswertung am ersten Netzknoten S1 selbst.
In der Auswertung wird dabei durch alle beteiligten Netzknoten S1, S2, S3 insbesondere auch ein typischer zeitlicher Verlauf berücksichtigt, mit dem Änderungen periodisch auftreten, durch den eine Fehlerkennung temporären Veränderungen vermieden werden kann.
-
Schließlich wird auf dem ersten Netzknoten S1 die Entscheidung getroffen, dass dieser einen Wechsel seiner Netzwerkumgebung erfahren hat. Im ersten Netzknoten S1 wird daraufhin ein Datenzugriff auf dort gespeicherte Daten zumindest teilweise gesperrt oder gelöscht.
