DE60130899T2

DE60130899T2 - Wap-sitzung tunneling

Info

Publication number: DE60130899T2
Application number: DE60130899T
Authority: DE
Inventors: Pär LARSSON; Mikael Nilsson
Original assignee: Telefonaktiebolaget LM Ericsson AB
Current assignee: Telefonaktiebolaget LM Ericsson AB
Priority date: 2000-08-31
Filing date: 2001-07-06
Publication date: 2008-07-17
Anticipated expiration: 2021-07-07
Also published as: AU2001268015A1; JP3854224B2; WO2002019659A3; DE60130899D1; US6836474B1; WO2002019659A2; EP1314291A2; EP1314291B1; ATE375669T1; ES2290148T3; JP2004507977A

Description

Hintergrund der Erfindung
Technisches Gebiet der Erfindung
Die vorliegende Erfindung bezieht sich auf WAP Sitzungen zwischen einem Mobilfunkendgerät und einem WAP Gateway, und genauer auf die Organisation von Protokollschichten in einem WAP Gateway.
Beschreibung des zugehörigen Stands der Technik
Beim Aufbauen eines virtuellen, nichtöffentlichen Netzwerks für korporative Benutzer, welches Netzwerk für Mobilfunkendgeräte, wie etwa Laptop-Computer, Mobilfunktelefone und dergleichen zugänglich ist, gibt es keine standardisierte Weise zum Aufbauen einer sogenannten "demilitarisierten Zone", die die Authentifizierung von Benutzern der auf das Netzwerk zugreifenden Mobilfunkendgeräte über ein drahtloses Anwendungsprotokoll (WAP, Englisch: Wireless Application Protocol) ermöglicht, bevor einem Benutzer tatsächlich Zugriff auf bzw. Zugang zu dem korporativen Netzwerk gegeben wird. In dem Internet kann ein Anfrage-/Antwort- oder ein Aufrufmechanismus benutzt werden, wobei typischerweise das Punkt-zu-Punkt Protokoll (PPP) oder ein abgesetzter Zugangsserver einem zutretenden Benutzer seinen Benutzernamen abfragt, den Benutzer nach einem Aufruf auffordert, und jedes vom Benutzer in Antwort auf den Aufruf bereitgestellte Passwort liest. Dies geschieht bevor dem Benutzer tatsächlich Zugang verliehen wird. Bestehende Mechanismen zum Authorisieren des Zugangs eines WAP Endgeräts zu einem Netzwerk sind nicht annehmlich und weisen eine Anzahl von Sicherheitsproblemen auf.
Eine Authentifizierung kann ausgeführt werden unter Benutzung eines als HTTP Basic Authentication bekannten Mechnismus, wobei der verursachende Server (beispielsweise ein Internetserver) zuerst eine Anfrage von der Endgerätevorrichtung empfangen muss, um mit einer Authentifizierungsaufforderung an das Endgerät zu antworten. Dies erfordert jedoch, dass das Endgerät bereits mit dem Netzwerk, und sogar dem nichtöffentlichen Netzwerk verbunden ist. Eine Authentifizierung kann auch in dem Gateway ausgeführt werden, beispielsweise indem es Benutzern von Mobilfunkendgerätvorrichtungen ermöglicht wird, ein Gateway-Passwort und eine Benutzeridentifizierung ID zu konfigurieren. Alternativ wird dies im Zugangsserver ausgeführt. Diese Verfahren sind sehr unflexibel, und wenn ein sichereres Verfahren, wie etwa das Benutzen eines einmaligen Passworts, einer Sicherheitskarte usw. für den Zugang zum korporativen Netzwerk benutzt wird, ist für den Benutzer ein unangemessen hoher Arbeitsaufwand erforderlich. Derzeitige Endgeräte ermöglichen es den Benutzern nicht, ein "Endgerätefenster" ähnlich wie das, beispielsweise in Windows 98 verfügbare, bei dem dynamische Passwörter eingegeben werden können, zu erhalten. Folglich ist eine Art und Weise zum Bereitstellen eines nicht geprüften Authorisierungsvorgangs für Mobilfunkendgeräte, die einem virtuellen, nichtöffentlichen Netzwerk zutreten wollen, gewünscht.
WIRELESS APPLICATION FORUM: „Wireless application protocol Wireless datagram protocol specification", Wireless application protocol Wireless datagram protocol specification, xx, xx, 30 April 1998 (übersetzt: FORUM FÜR DRAHTLOSE ANWENDUNGEN: "Spezifikation für das drahtlose Anwendungsprotokoll und für ein drahtloses Datagrammprotokoll", Spezifikation für ein drahtloses Anwendungsprotokoll und ein drahtloses Datagrammprotokoll, xx, xx, vom 30. April 1998) zeigt einen WAP Gateway nach dem Stand der Technik. Jedoch stellt dieser einen ungeprüften Authorisierungsvorgang für Mobil funkendgeräte, die virtuellen, nichtöffentlichen Netzwerken zutreten, nicht bereit.
Zusammenfassung der Erfindung
Die vorliegende Erfindung überwindet die vorgenannten und andere Probleme durch einen WAP Gateway, der ein PLMN Netzwerk und ein zweites nichtöffentliches Datennetzwerk miteinander verbindet.
Der WAP Gateway umfasst einen Proxy einer ersten Stufe und einen Proxy einer zweiten Stufe. Der Proxy der ersten Stufe ist auf einer ersten Seite einer Firewall bzw. eines Zugangsschutzsystems des zweiten Netzwerks angeordnet und umfasst die WDI Schicht des WAP Protokollstapels. Die verbleibenden Schichten des WAP Protokollstapels sind innerhalb eines auf der anderen Seite des Zugangsschutzsystems des zweiten Netzwerks angeordneten Proxys der zweiten Stufe angeordnet. In Antwort auf Anfragen, die von einem Mobilfunkendgerät bereitgestellt werden, kann die WDP Schicht des Proxys der ersten Stufe mit Protokollschichten innerhalb des Proxys der zweiten Stufe unter Benutzung von SSL/TLS Tunneln kommunizieren. Infolgedessen wird eine Authentifizierung nur einmalig benötigt, nämlich bei der ersten Anfrage, um auf das nichtöffentliche Datennetzwerk zuzugreifen, und alle nachfolgenden Anfragen innerhalb der Sitzung werden durch das Zugangsschutzsystem direkt hindurch getunnelt.
Kurze Beschreibung der Zeichnungen
Ein vollständigeres Verständnis des Verfahrens und der Vorrichtung der vorliegenden Erfindung kann durch Verweis auf die folgende ausführliche Beschreibung erhalten werden, wenn diese zusammen mit den beigefügten Zeichnungen genommen wird, wobei gilt:
1 ist eine Veranschaulichung eines Mobilfunkendgeräts, das auf einen gemäß der vorliegenden Erfindung konfigurierten WAP Gateway zugreift;
2 ist ein gemäß der vorliegenden Erfindung konfigurierter WAP Gateway; und
3 ist ein Ablaufdiagramm, das die Art und Weise veranschaulicht, in der ein Mobilfunkendgerät auf den WAP Gateway der 2 zugreift.
Ausführliche Beschreibung
Mit Verweis nun auf die Zeichnungen, und genauer auf 1 wird die Art und Weise veranschaulicht, in der ein Mobilfunkendgerät 10 einem Netzwerk 15, wie etwa einem nichtöffentlichen Intranet-Netzwerk, nach dem Verfahren und der Vorrichtung der vorliegenden Erfindung zutritt. Während die folgende Beschreibung im Hinblick auf einen WAP Gateway und das WAP Protokoll gemacht wird, sollte erkannt werden, dass die vorliegende Erfindung mit einem beliebigen mobilen Internet-Gateway und einer mobilen Internetkonfiguration, die ein Benutzergerät, ein primäres Netzwerk (PLMN), einen Gateway und ein sekundäres Netzwerk (Intranet) benutzt, nützlich sein kann. Das Mobilfunkendgerät 10 erlangt Zugriff auf einen Zugangsserver 25 über ein PLMN Netzwerk 20. Die Verbindung 26 zwischen dem Mobilfunkendgerät 10 und dem PLMN Netzwerk 20 umfasst eine drahtlose Kommunikationsverbindung. Das Mobilfunkendgerät 10 kann aus einem tragbaren Laptop-Computer, einem Minicomputer (PDA, Englisch: Personal Digital Assistant), einem mobilen Telefon, einem Funkrufempfänger (Englisch: Pager) usw. bestehen.
Wenn das Mobilfunkendgerät 10 einmal über das PLMN Netzwerk 20 Zugang zu dem Zugangsserver 25 erlangt hat, kann das Mo bilfunkendgerät 10 versuchen, einem nichtöffentliches Netzwerk 15, beispielsweise einem korporativen Netzwerk, unter Benutzung eines WAP Gateways 30 zuzutreten. Der Gateway 30 kann physikalisch mehrere Maschineneinheiten umfassen, die logisch einen einzelnen Gateway umfassen. Das nichtöffentliche Netzwerk 15 kann ein virtuelles nichtöffentliches Netzwerk, das für Benutzer einer bestimmten Firma oder Organisation errichtet worden ist, umfassen.
Der WAP Gateway 30 umfasst einen Protokoll-Gateway, der Anforderungen zwischen einem WAP Protokoll (WAE, WSP, WTP, WTLS und WDP) und einem entsprechenden Internetprotokoll (HTTP und TCP/IP) übersetzt zur Übertragung in beiden Richtungen. Die Übersetzung wird über Inhaltscodierer und -decodierer (nicht gezeigt) innerhalb des WAP Gateway 30 ausgeführt. Im Rahmen der vorliegenden Erfindung umfasst der WAP Gateway 30 zwei getrennte, funktionale Komponenten, nämlich einen Proxy 35 einer ersten Stufe und einen Proxy 40 einer zweiten Stufe. Der Proxy 35 der ersten Stufe umfasst die niedrigste Schicht des WAP Protokollstapels und ist verantwortlich zum Erteilen von Zugang für ein Mobilfunkendgerät 10 zu dem nichtöffentlichen Netzwerk 15. Der Proxy 40 der zweiten Stufe enthält den Rest der Schichten des WAP Protokollstapels. Der Proxy 35 der ersten Stufe und der Proxy 40 der zweiten Stufe sind funktionell derart getrennt, dass der Proxy der ersten Stufe auf der Außenseite des Zugangsschutzsystems bzw. der Firewall 37 (d. h. der PLMN Netzwerkseite) des nichtöffentlichen Netzwerks 15 angeordnet ist, während der Proxy 40 der zweiten Stufe innerhalb des Zugangsschutzsystems 37 (d. h. der Seite des nichtöffentlichen Netzwerks) des nichtöffentlichen Netzwerks 15 angeordnet ist.
Mit Verweis nun auf 2 wird der Aufbau und die Funktionalität des WAP Gateways 30 vollständiger veranschaulicht. Wie vorhergehend erwähnt, umfasst der WAP Gateway 30 eine Proxyfunktionalität 35 einer ersten Stufe, die auf der öffentlichen Seite des dem PLMN Netzwerk 20 zugeordneten Zugangsschutzsystems 37 angeordnet ist, und die Proxyfunktionalität 40 der zweiten Stufe, die auf der dem nichtöffentlichen Netzwerk 15 zugehörigen, nichtöffentlichen Seite des Zugangsschutzsystems 37 angeordnet ist.
Die Proxyfunktionalität 35 der ersten Stufe umfasst die WDP Protokollschicht 45. Die WDP Schicht 45 umfasst das Transportschichtprotokoll innerhalb der WAP Architektur. Die WDP Schicht 45 wird über die durch das PLMN Netzwerk 20 unterstützten, datenfähigen Trägerdiensten (Englisch: Data Capable Bearer Services) betrieben. Die WDP Schicht 45 wirkt als ein allgemeiner Transportdienst für die oberen Schichtprotokolle der WAP Architektur und kommuniziert transparent über einen der verfügbaren Trägerdienste.
Der Rest des WAP Protokollstapels ist innerhalb der Proxyfunktionalität 40 der zweiten Stufe angeordnet. Die Schicht 50 des Protokolls einer drahtlosen Sitzung (WSP, Englisch: Wireless Session Protocol) stellt Dienste bereit, die zum Durchsuchen nach Anwendungen geeignet sind. Die WSP Schicht 50 ermöglicht es dem WAP Gateway 30, einen Client an einen Standard HTTP Server anzuschließen. Die WSP Protokollschicht 50 stellt die Sitzungsschicht des WAP Protokollstapels bereit und weist eine konstante Schnittstelle für zwei Sitzungsdienste auf. Der erste Sitzungsdienst ist ein verbindungsorientierter Dienst, der oberhalb des WTP Transaktionsschichtprotokolls operiert. Der zweite Sitzungsdienst ist ein verbindungsloser Dienst, der über einem gesicherten oder nicht gesicherten Datagrammdienst (WDP) operiert.
Zusätzliche Protokollschichten umfassen die Schicht 65 der drahtlosen Anwendungsumgebung (WAE, Englisch: Wireless Application Environment), die eine auf einer Kombination von W3C und IETF Technologien für mobiles Internet basierte An wendungsumgebung für allgemeine Zwecke ist. Die WAE Schicht 65 stellt eine vollständig kompatible (Englisch: Interoperable) Umgebung bereit, die es Betreibern und Dienstanbietern ermöglicht, Anwendungen und Dienste zu errichten, die für eine breite Vielfalt von drahtlosen Plattformen nützlich sind. Die Schicht 55 des drahtlosen Transaktionsprotokolls (WTP) stellt ein zur Verwendung mit Mobilfunkendgeräten geeignetes und zum Überwachen von drahtlosen Transaktionen verwendetes, transaktions-orientiertes Protokoll bereit. Die Schicht 60 für die Sicherheit von drahtlosen Transportschichten (WTLS, Englisch: Wireless Transport Layer Security) ist ein sicherheitsbasiertes Protokoll zur Verwendung mit WAP Transportprotokollen. Die WTLS Schicht 60 stellt die Datenintegrität zur Übertragung zwischen dem WAP Gateway 30 und dem Mobilfunkendgerät 10 sicher, stellt die Geheimhaltung von Daten, die zwischen dem Mobilfunkendgerät und dem WAP Gateway übertragen werden, sicher, um ein Mithören und ein Decodieren durch Zwischenparteien zu verhindern, ermöglicht die Authentifizierung des Mobilfunkendgeräts und schützt gegen die Verweigerung von Angriffen auf den Dienst.
Der Proxy 35 der ersten Stufe ist in der Lage, unter Benutzung der WTP Schicht 45 und der WSP Schicht 50 mit dem Proxy 40 der zweiten Stufe zu kommunizieren. Die WTP Schicht 45 wird verwendet, weil nur harmlose Operationen durch einen gewährten Zugriff auf diese Schicht ausgeführt werden können. Die WSP Schicht 50 wird benutzt, weil alle WAP Konfigurationen diese Sitzungsschicht umfassen. Jedoch könnte die WTLS Schicht 60 als eine Alternative zu der WSP Schicht 50 benutzt werden. Die Software dieser Schichten kommunizieren unter Benutzung von SSL/TLS Tunneln 70 miteinander. SSL/TLS Tunneln 70 umfassen einen verschlüsselten Kommunikationskanal zwischen den Schichten. Das SSL Protokoll benutzt eine Kombination von Verschlüsselung mit öffentlichem Schlüssel und symmetrischem Schlüssel. Eine Verschlüsselung mit symmetrischem Schlüssel ist viel schneller als eine Verschlüsselung mit öffentlichem Schlüssel, jedoch stellt eine Verschlüsselung mit öffentlichem Schlüssel bessere Authentifizierungstechniken bereit. Eine SSL Sitzung beginnt immer mit einem Austausch von Nachrichten, der SSL Handshake genannt wird. Der Handshake ermöglicht es einem Server, sich gegenüber einem Client unter Benutzung von Techniken mit öffentlichem Schlüssel zu authentifizieren, erlaubt es dann dem Client und dem Server bei der Erzeugung von symmetrischen Schlüsseln zusammenzuarbeiten, wobei die symmetrischen Schlüssel zur schnellen Verschlüsselung, Entschlüsselung und Manipulationserkennung während der nachfolgenden Sitzung benutzt werden. Optional erlaubt es der Handshake auch, dass der Client sich selbst gegenüber dem Server authentifiziert.
Das SSL/TLS Tunneln ermöglicht es der WDP Schicht 45 und der WSP Schicht 50 auf den gegenüberliegenden Seiten des Zugangsschutzsystems des nichtöffentlichen Netzwerks miteinander zu kommunizieren. Die WDP Schicht 45 führt Buch über die Benutzer und Tunnelanfragen an den Proxy 40 der zweiten Stufe, wo andere Schichten des Protokollstapels in Antwort auf eine Anfrage hin operieren. Zum ersten Zeitpunkt, wo ein Benutzer versucht, auf den WAP Gateway 30 über den Proxy 35 der ersten Stufe zuzugreifen, ist ein Authentifizierungsvorgang für den Benutzer erforderlich, bevor die Anfrage verarbeitet werden kann. Für nachfolgende Anfragen kann der Proxy 35 der ersten Stufe Anfragen von der WDP Schicht 45 zu der WSP Schicht 50 des Proxys 40 der zweiten Stufe unter Benutzung eines gesicherten SSL/TLS Tunnels 70 ohne einen zusätzlichen Authentifizierungsvorgang tunneln. Vielfältige Verfahren können von dem Proxy der ersten Stufe benutzt werden, um über Benutzer, die sich vorher über den WAP Gateway 30 eingeloggt haben, Buch zu führen. Der Gateway 30 könnte eine kleine relationale Datenbank (nicht gezeigt), eine einfach verlinkte Liste (nicht gezeigt), eine flache Datei (nicht gezeigt) oder einen Typ eines Feldes unterhalten, um früher bzw. vorhergehend authentifizierte Benutzer des Proxys 35 der ersten Stufe nach zu verfolgen.
Mit Verweis nun auf 3 wird ein Vorgang veranschaulicht, mit dem Anfragen von dem WAP Gateway 30 behandelt werden. Die Anfrage, die WSP Connect (Verbinden), Resume (Wiederaufnehmen), Suspend (Aussetzen), Get (Einholen) usw. umfassen kann, wird anfänglich beim Schritt 75 von dem Mobilfunkendgerät 10 empfangen. Der Proxy 35 der ersten Stufe des WAP Gateways 30 analysiert die empfangene Anfrage, um im Anfrageschritt 80 zu bestimmen, ob diese Anfrage die erste Anfrage durch das Mobilfunkendgerät 10 an den WAP Gateway 30 umfasst. Wenn die empfangene Anfrage eine erste Anforderung von dem Mobilfunkendgerät 10 umfasst, ergibt der Proxy 35 der ersten Stufe ein WML Deck 85 zurück an das Mobilfunkendgerät, das einen Einloggvorgang durch den Benutzer des Mobilfunkendgeräts 10 erzwingt. In Antwort auf das zurückgegebene WML Deck versucht das Mobilfunkendgerät im Schritt 90, in den Proxy 35 der ersten Stufe des WAP Gateway 30 einzuloggen. Das Einloggen des Benutzers wird im Schritt 95 durch den Proxy der ersten Stufe genehmigt (unter anderem einem gültigen Benutzer), und die Anfrage wird im Schritt 100 unter Benutzung von SSL/TLS Tunneln 70 zu dem Proxy 40 der zweiten Stufe getunnelt, wie vorhergehend mit Bezugnahme auf 2 beschrieben. Wenn der Anforderungsschritt 80 bestimmt, dass die empfangene Anfrage nicht die erste Anfrage von dem Endgerät 10 ist, dann kann die Anfrage im Schritt 100 ohne den Einloggvorgang direkt zu dem Proxy 40 der zweiten Stufe getunnelt werden.
Die vorhergehende Beschreibung ist die einer bevorzugten Ausführungsform zum Implementieren der Erfindung, und der Umfang der Erfindung sollte nicht notwendigerweise auf diese Beschreibung beschränkt werden. Stattdessen wird der Schutzumfang der vorliegenden Erfindung durch die folgenden Patentansprüche definiert.

Claims

Ein Verfahren, umfassend die folgenden Schritte: Empfangen (75) einer Anforderung an einem WAP Gateway von einem mobilen Endgerät; gekennzeichnet durch Zugreifen auf nur eine WDP Schicht eines WAP Protokollstapels in einem Proxi einer ersten Stufe in Antwort auf die Anforderung von dem mobilen Endgerät; und Kommunizieren zwischen der WDP Schicht und dem WAP Protokollstapel in einem Proxi einer ersten Stufe und mindestens einer anderen Schicht des WAP Protokollstapels an einem Proxi einer zweiten Stufe unter Benutzung eines verschlüsselten Kommunikationskanals, wobei die WDP Schicht in einem Proxi einer ersten Stufe auf einer ersten Seite einer Firewall bzw. eines Zugangsschutzsystems angeordnet ist und die andere Schicht des WAP Protokollstapels in einem Proxi einer zweiten Stufe auf einer zweiten Seite des Zugangsschutzsystems angeordnet ist.
Das Verfahren nach Anspruch 1, wobei der Schritt des Zugreifens ferner die folgenden Schritte umfasst: Bestimmen, ob eine Anforderung eine erste Anforderung von dem mobilen Endgerät an den Gateway ist; wenn die Anforderung die erste Anforderung von dem mobilen Endgerät an den Server ist, Anfordern einer Authentifizierung von dem mobilen Endgerät.
Das Verfahren nach Anspruch 2, wobei, wenn die Anforderung eine nachfolgende Anforderung von dem mobilen Endgerät ist, das Verfahren ferner den Schritt umfasst: Zugreifen auf die WDP Schicht, um mit der ande ren Schicht des Protokollstapels ohne jegliche Authentifizierung zu kommunizieren.
Das Verfahren nach Anspruch 2, wobei der Schritt des Anforderns ferner umfasst: Zurückgeben eines WML Decks an das mobile Endgerät.
Das Verfahren nach Anspruch 2, wobei der Schritt des Zugreifens ferner umfasst: Genehmigen von durch das mobile Endgerät bereitgestellten Login-Daten.
Das Verfahren nach Anspruch 1, wobei die andere Schicht eine WSP Schicht des Protokollstapels umfasst.
Das Verfahren nach Anspruch 1, wobei der verschlüsselte Kommunikationskanal ein SSL/TLS-Tunnel ist.
Ein WAP Gateway (30) umfassend: eine erste Verbindung mit einem ersten PLMN Netzwerk; eine zweite Verbindung mit einem zweiten privaten Netzwerk; gekennzeichnet durch eine der ersten Verbindung zugewiesenen Proxy (35) einer ersten Stufe und dadurch, dass auf einer ersten Seite einer Firewall bzw. eines Zugangsschutzsystems (37), die/das dem zweiten Netzwerk zugewiesen ist, der Proxy (35) der ersten Stufe eine WDP Schicht eines WAP Protokollstapels umfasst; einen der zweiten Verbindung zugewiesenen Proxy (40) einer zweiten Stufe und dadurch, dass auf einer zweiten Seite des Zugangsschutzsystems (37), das dem zweiten privaten Netzwerk zugewiesen ist, der Proxy (40) der zweiten Stufe einen Teil einer WSP Schicht des WAP Protokollstapels umfasst; und wobei die WDP Schicht des Proxys der ersten Stufe und die WSP Schicht des Proxys der zweiten Stufe unter Benut zung eines verschlüsselten Kommunikationskanals miteinander kommunizieren können.
Der WAP Gateway (30) nach Anspruch 8, wobei die erste WDP Schicht in Antwort auf eine erste Anforderung von dem mobilen Endgerät ein WML Deck an ein mobiles Endgerät überträgt.
Der WAP Gateway (30) nach Anspruch 9, wobei die WDP Schicht in Antwort auf das WML Deck von dem mobilen Endgerät empfangene Login-Daten bestätigt.
Der WAP Gateway (30) nach Anspruch 8, wobei der verschlüsselte Kommunikationskanal ein SSL/TLS Tunnel ist.
Der WAP Gateway (30) nach Anspruch 8, wobei der Proxy der ersten Stufe dazu ausgebildet ist, in Antwort auf eine erste Anforderung von dem mobilen Endgerät eine Authentifizierungsanforderung an ein mobiles Endgerät zu übertragen.
Der WAP Gateway (30) nach Anspruch 12, wobei die Authentifizierungsanforderung ein WML Deck umfasst.
Der WAP Gateway (30) nach Anspruch 12, wobei der Proxy der ersten Stufe dazu ausgebildet ist, in Antwort auf die Authentifizierungsanforderung von dem mobilen Endgerät empfangene Login-Daten zu bestätigen.