DE60300661T2 - Initialisierung der Sicherheitsinformation in einem Netzwerkgerät - Google Patents

Initialisierung der Sicherheitsinformation in einem Netzwerkgerät Download PDF

Info

Publication number
DE60300661T2
DE60300661T2 DE60300661T DE60300661T DE60300661T2 DE 60300661 T2 DE60300661 T2 DE 60300661T2 DE 60300661 T DE60300661 T DE 60300661T DE 60300661 T DE60300661 T DE 60300661T DE 60300661 T2 DE60300661 T2 DE 60300661T2
Authority
DE
Germany
Prior art keywords
network
directory
protocol
security
network device
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Expired - Lifetime
Application number
DE60300661T
Other languages
English (en)
Other versions
DE60300661D1 (de
Inventor
Michael C. Robinson
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
HP Inc
Original Assignee
Hewlett Packard Co
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Hewlett Packard Co filed Critical Hewlett Packard Co
Publication of DE60300661D1 publication Critical patent/DE60300661D1/de
Application granted granted Critical
Publication of DE60300661T2 publication Critical patent/DE60300661T2/de
Anticipated expiration legal-status Critical
Expired - Lifetime legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/28—Restricting access to network management systems or functions, e.g. using authorisation function to access network configuration
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/02—Standardisation; Integration
    • H04L41/0213—Standardised network management protocols, e.g. simple network management protocol [SNMP]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/08—Configuration management of networks or network elements
    • H04L41/0803—Configuration setting
    • H04L41/0806—Configuration setting for initial configuration or provisioning, e.g. plug-and-play
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/34—Network arrangements or protocols for supporting network services or applications involving the movement of software or configuration parameters 
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L69/00—Network arrangements, protocols or services independent of the application payload and not provided for in the other groups of this subclass
    • H04L69/30—Definitions, standards or architectural aspects of layered protocol stacks
    • H04L69/32—Architecture of open systems interconnection [OSI] 7-layer type protocol stacks, e.g. the interfaces between the data link level and the physical level
    • H04L69/322—Intralayer communication protocols among peer entities or protocol data unit [PDU] definitions
    • H04L69/329—Intralayer communication protocols among peer entities or protocol data unit [PDU] definitions in the application layer [OSI layer 7]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Computer And Data Communications (AREA)
  • Small-Scale Networks (AREA)

Description

  • Die vorliegende Erfindung bezieht sich auf ein Verfahren und eine Vorrichtung zum Initialisieren von Sicherheitsinformationen auf einem Netzwerkgerät.
  • Firmen und Einzelpersonen verlassen sich für Kommunikation und den Austausch von Informationen auf Datennetzwerke. Heutzutage sind Personalcomputer, mobile Rechenvorrichtungen, persönliche Dateneinheiten, Server, Speichervorrichtungen und Drucker entweder direkt oder drahtlos mit lokalen Netzen (LANs) verbunden. Diese LANs ermöglichen es zusammen mit innerstädtischen Netzen (MANs), weiten Netzen (WANs) und dem Internet, Benutzern, ohne weiteres Zugriff zu Daten aller Art (z. B. Ton, Text, numerische Daten, Video, Graphik, Multimedia, usw.) von anderen vernetzten Computern, Datenbanken und Websites zu erlangen, dieselben auszutauschen, herunterzuladen und zu archivieren.
  • Um über ein Netzwerk zu kommunizieren, umfasst ein Gerät, das mit dem Netzwerk gekoppelt ist, typischerweise einen Netzwerksender/-empfänger, der Datenpakete, die durch das vernetzte Gerät erzeugt wurden, über das Netzwerk sendet und auch Datenpakete, die für dieses Netzwerkgerät bestimmt sind, von dem Netzwerk empfängt. Ein Drucker kann beispielsweise durch Installieren einer internen Netzwerkkarte (z. B. JetDirectTM, hergestellt von Hewlett PackardTM) mit einem Netzwerk gekoppelt werden. Durch Installieren einer Netzwerkkarte ist der Drucker nicht mehr einem einzigen PC zugewiesen. Jeder, der mit dem Netzwerk gekoppelt ist, kann potentiell diesen Netzwerkdrucker verwenden, um seine Dokumente zu drucken.
  • Wenn ein Gerät mit einem Netzwerk gekoppelt ist, muss das Netzwerkgerät anfangs ordnungsgemäß konfiguriert werden und dann nachfolgend verwaltet und überwacht werden. Diese Aufgabe wird häufig durch die Verwendung spezialisierter Netz werkverwaltungssoftware erreicht. Ein weit verbreitetes Protokoll, das von viel Netzwerkverwaltungssoftware übernommen wird, ist als einfaches Netzwerkverwaltungsprotokoll (SNMP; SNMP = Simple Network Management Protocol) bekannt. SNMP bezieht sich auf ein einfaches Anforderungs/Antwortprotokoll, das Verwaltungsinformationen zwischen zwei Typen von SNMP-Softwareentitäten kommuniziert: SNMP-Anwendungen (auch als SNMP-Verwalter bekannt) und SNMP-Agenten. Typischerweise laufen SNMP-Anwendungen in einer Netzwerkverwaltungsstation und gegen Abfragen aus, um Informationen über den Status, die Konfiguration und Leistung externer Netzwerkgeräte (die allgemein als Netzwerkelemente bezeichnet werden) zu sammeln. In der Zwischenzeit laufen SNMP-Agenten in Netzwerkelementen ab und antworten auf Netzwerkverwaltungsstationsanfragen. Außerdem senden Agenten unaufgefordert Berichte zurück an die Netzwerkverwaltungsstation, wenn eine bestimmte Netzwerkaktivität auftritt.
  • Aus Sicherheitsgründen validiert der SNMP-Agent jede Anforderung von einem SNMP-Verwalter, bevor er auf die Anfrage antwortet, durch Verifizieren, dass der Verwalter zu einer SNMP-Gemeinschaft gehört, die die ordnungsgemäßen Zugriffsprivilegien zu dem Agenten hat. Definitionsgemäß erstellt die SNMP-Gemeinschaft eine logische Beziehung zwischen einem SNMP-Agent und einem oder mehreren SNMP-Verwaltern. Die Gemeinschaft hat einen Namen, und alle Mitglieder einer Gemeinschaft haben die gleichen Zugriffsprivilegien: entweder nur lesen (d. h. Mitglieder können Konfigurations- und Leistungsinformationen betrachtet) oder lesen-schreiben (d. h. Mitglieder können Konfigurations- und Leistungsinformationen betrachten und die Konfiguration auch ändern). Alle SNMP-Mitteilungsaustauschvorgänge bestehen aus einem Gemeinschaftsnamen und einem Datenfeld, das die SNMP-Operation und ihre zugeordneten Operanten enthält. Die SNMP-Agenten sind typischerweise konfiguriert, um nur von Verwaltern, die Mitglieder einer bekannten Gemeinschaft sind, Anforderungen zu empfangen und Antworten zu senden.
  • Falls der Agent den Gemeinschaftsnamen in der SNMP-Mitteilung kennt, und weiß, dass der Verwalter, der die Anforderung erzeugt, ein Mitglied dieser Gemeinschaft ist, betrachtet er die Mitteilung als authentisch und gibt derselben den Zugriff, der Mitgliedern dieser Gemeinschaft erlaubt ist. In der Theorie verhindert die SNMP-Gemeinschaft, dass nichtbefugte Verwalter die Konfiguration eines Netzwerkgeräts betrachten oder ändern.
  • Leider wird bei SNMPv1 der Gemeinschaftsname in Klartext über das Netzwerk rundgesendet. Dies stellt ein schwerwiegendes Sicherheitsrisiko dar, weil unbefugte Parteien den unverschlüsselten Klartext-Gemeinschaftsnamen während dem Einschalten, der Konfiguration oder jeden allgemeinen Kommunikation zwischen dem Verwalter und Agent abhören, erschnüffeln, verfolgen oder anderweitig abfangen und erhalten können. Sobald der Gemeinschaftsname preisgegeben ist, ist das gesamte Netzwerk anfällig dafür, von Hackern angegriffen zu werden, verfälscht zu werden, und dafür, dass die empfindlichen properietären Daten, die darauf enthalten sind, beeinträchtigt werden.
  • Bei den Bemühungen, diese schwerwiegende Sicherheitslücke, die SNMPv1 inhärent ist, zu schließen, sind einige Verkäufer dazu übergegangen, Vorgabeverzeichnisse zum Zweck des Initialisierens von Sicherheitsparametern zu implementieren. Aber Hacker können trotzdem von Vorgabeverzeichnissen neue Verzeichnisse oder Modifikationen konstruieren. In der Tat erhöhen solche Vorgabeverzeichnisschemata tatsächlich die Verletzlichkeit der Netzwerksicherheit, falls Vorgabesicherheitsverzeichnisse fest in ein Netzwerkgerät codiert sind. Andere Verkäufer haben versucht, den Zugriff durch Implementieren einer Zugriffssteuerliste zu steuern, die nur festgelegte Zugriffssteuerinformationen liefert, auf der Basis der IP-Adresse bekannter autorisierter Klienten. Dieser Lösungsansatz ist jedoch nicht in der Lage, zu verhindern, dass nichtbefugte Parteien die IP-Adresse eines befugten Klienten manipulieren oder betrügerisch annehmen, und dadurch Zugriff gewinnen. Ein weiterer herkömmlicher Lösungsansatz umfasst die Verwendung einer Sicherheitssockelschicht (SSL). Obwohl SSL einen relativ großen Sicherheitspegel liefert, ist es recht mühsam einzurichten und es erfordert einen hohen Grad an Komplexität und spezifischem technisches Know-how, dasselbe einzusetzen. Bei einem weiteren herkömmlichen Lösungsansatz haben Verkäufer Netzwerkgeräte mit Punkt-zu-Punkt-Schnittstellen versehen, wie z. B. einem Anschluss oder einem USB-Verbinder, der entworfen ist, um Verzeichnisse zu konfigurieren. Das Hinzufügen physikalischer Schnittstellen zu diesem Zweck erhöht die Produktkosten, was nachteilig ist. Ein weiterer ähnlicher herkömmlicher Lösungsansatz umfasst das Verwenden einer Vorderabdeckungsanzeige zum Konfigurieren von Verzeichnissen. Erneut ist dieser herkömmliche Lösungsansatz nicht ideal, weil der Vorderabdeckungsplatz begrenzt ist, außerdem erhöht er Kosten und Komplexität und ist äußerst mühsam.
  • Das Dokument US 6,189,100 offenbart ein entferntes Bootverfahren und System, bei dem ein Geheimnis von einem Server erhalten wird, um Daten zu unterzeichnen und/oder abzudichten, um Integrität sicherzustellen.
  • Die vorliegende Erfindung schafft ein Verfahren und eine Vorrichtung zum Initialisieren von Sicherheitsinformationen auf einem Netzwerkgerät. Es wäre äußerst wünschenswert, wenn ein solches Verfahren und eine solche Vorrichtung die Netzwerksicherheit verbessern könnten, und dennoch kostengünstig und leicht zu verwenden und implementieren sind. Die vorliegende Erfindung schafft einmalige neuartige Lösungen, die diese Bedürfnisse erfüllen.
  • Gemäß einem Aspekt der Erfindung wird ein Verfahren gemäß Anspruch 1 geschaffen.
  • Gemäß einem weiteren Aspekt der vorliegenden Erfindung ist eine Vorrichtung gemäß Anspruch 8 geschaffen.
  • Die beiliegenden Zeichnungen, die in dieser Beschreibung enthalten sind und einen Teil derselben bilden, stellen Ausführungsbeispiele der Erfindung dar.
  • 1 zeigt einen Prozess zum Konfigurieren von Netzwerkgeräten über ein Netzwerk durch Verwenden eines temporären Anfangs-SNMPv3-Benutzerverzeichnisses gemäß einem Ausführungsbeispiel der vorliegenden Erfindung.
  • 2 ist ein Flussdiagramm, das die Schritte zum Initialisieren von Sicherheitsinformationen auf einem Netzwerkgerät gemäß einem Ausführungsbeispiel der vorliegenden Erfindung beschreibt.
  • 3 zeigt eine Architekturübersicht des Prozessflusses gemäß einem Ausführungsbeispiel der vorliegenden Erfindung.
  • 4 zeigt ein Flussdiagramm, das die Grundschritte zum Initialisieren eines Netzwerkgeräts über ein Netzwerk gemäß einem Ausführungsbeispiel der vorliegenden Erfindung beschreibt.
  • 5 ist ein Flussdiagramm eines alternativen Ausführungsbeispiels der vorliegenden Erfindung.
  • 6 ist ein Flussdiagramm, das die Schritte eines weiteren Ausführungsbeispiels der vorliegenden Erfindung beschreibt.
  • Ein Verfahren und eine Vorrichtung zum Initialisieren von Sicherheitsinformationen auf einem Netzwerkgerät sind näher beschrieben. Gemäß einem Ausführungsbeispiel der vorliegenden Erfindung ist ein Netzwerkgerät über ein temporäres Anfangs-SNMPv3-Benutzerverzeichnis konfiguriert. Grundsätzlich wird ein temporäres Anfangs-SNMPv3-Benutzerverzeichnis verwendet, um empfindliche Sicherheitsinformationen zum Konfigurieren von Netzwerkgeräten über ein Netzwerk zu verschlüsseln. Diese Konfiguration über ein temporäres SNMPv3-Benutzerverzeichnis liefert ein Verfahren zum Konfigurieren von Netzwerkgeräten über ein Netzwerk durch Verwenden des temporären Anfangs-SNMPv3-Benutzerverzeichnisses zum Verschlüsseln empfindlicher Sicherheitsinformationen. Das Anfangsverzeichnis hat zwei Formen: Anfangs-SNMP-Verzeichnisobjekte, was die Verwendung von nichtsicheren SNMPv3-Benutzerverzeichnisinformationen umfasst, die verwendet werden, um das Verzeichnis anfangs einzurichten, und das aktuelle SNMPv3-Benutzerverzeichnis, das einen nachfolgenden SNMPv3-Netzwerkzugriff in einer sichereren Umgebung ermöglicht.
  • Mit Bezugnahme auf 1 ist ein Prozess zum Konfigurieren von Netzwerkgeräten über ein Netzwerk durch Verwenden eines temporären Anfangs-SNMPv3-Benutzerverzeichnisses gemäß einem Ausführungsbeispiel der vorliegenden Erfindung gezeigt. In Phase 1 kontaktiert ein Netzwerkverwalter 101 ein Netzwerkgerät 102. Der Netzwerkverwalter 101 umfasst jede Art von Verwaltungsanwendung, die auf einer zweckgebundenen Netzwerkverwaltungsstation laufen kann oder sich irgendwo sonst auf dem Netzwerk befinden kann. Das Netzwerkgerät 102 kann ein tatsächliches Rechengerät sein, das entweder direkt oder drahtlos mit dem Netzwerk gekoppelt ist. Einige Beispiele von Netzwerkgeräten umfassen Personalcomputer, Personaldigitalassistenten, tragbare Rechengeräte, Laptops, Server, Anschlüsse, Großcomputer, Tabletts, Drucker, Speichereinheiten, usw. Das Netzwerkgerät 102 kann auch Netzwerkkarten darstellen, die in oder als Teil eines Geräts eingebaut sind, um zu ermöglichen, dass das Gerät über das Netzwerk kommuniziert. Der Netzwerkverwalter 101 weist das Netzwerkgerät 102 an, ein Anfangs-SNMPv3-Benutzerverzeichnis zu erzeugen. Dies ist als Prozessfluss 103 dargestellt. Das SNMPv3-Verzeichnis wird durch SNMPv1 erzeugt. Grundsätzlich hat sich das SNMP-Protokoll in unterschiedliche Versionen entwickelt. Die Anfangsversion von SNMP wird als eine Einfaches-Netzwerkverwaltungsprotokoll-Version 1 (SNMPv1) bezeichnet. Das SNMPv1-Protokoll ermöglicht es einer Netzwerkverwaltungsstation, Trap- bzw. Programmunterbrechungsmitteilungen von Netzwerkgeräten zu konfigurieren, zu überwachen und zu empfangen. Eine Aktualisierung von SNMPv1 wird allgemein als Einfaches-Netzwerkverwaltungsprotokoll-Version 2 (SNMPv2) bezeichnet. Das SNMPv2-Protokoll liefert zusätzliche administrative Struktur-, Authentifizierungs- und Geheimhaltungsmerkmale. Dem SNMPv2 folgte die Einfaches-Netzwerkverwaltungsprotokoll-Version 3 (SNMPv3). SNMPv3 ist eine Aktualisierung der Version 2, die zusätzliche Sicherheits- und Administrationsfähigkeiten liefert. Ansprechend darauf erzeugt das Netzwerkgerät 102 ein Anfangs-SNMPv3-Benutzerverzeichnis und entsprechende Objekte, wie es in dem Prozessfluss 108 gezeigt ist.
  • In der Phase 2 fragt der Netzwerkverwalter 101 das Netzwerkgerät 102 nach den Anfangs-SNMPv3-Verzeichnisobjekten, wie es durch den Prozessfluss 104 dargestellt ist. Das Netzwerkgerät 102 sendet die Anfangs-SNMPv3-Verzeichnisobjekte über ein SNMPv1-Protokoll zurück. Dies wird durch einen Prozessfluss 105 dargestellt. Nach dem Antworten auf die Anforderung des Netzwerkverwalters löscht das Netzwerkgerät 102 das Anfangs-SNMPv3-Benutzerverzeichnis, Prozessfluss 109. Es sollte angemerkt werden, dass die ersten beiden Phasen für eine leichte Handhabbarkeit in SNMPv1 ausgeführt werden. Als solches wird der Netzwerkverkehr im Klartext durchgeführt. Obwohl die Klartextübertragungen unbefugtem Abfangen ausgesetzt sind, werden die darin enthaltenen Daten zum Erzeugen des Anfangs-SNMPv3-Benutzerverzeichnisses verwendet. Sobald das Anfangs-SNMPv3-Benutzerverzeichnis erzeugt wird, kann eine nachfolgende Kommunikation auf sicherere Weise durchgeführt werden. Dies liegt an der Tatsache, dass SNMPv3 inhärente Autorisierungs- und Verschlüsselungsfähigkeiten umfasst.
  • In der Phase 3 konfiguriert der Netzwerkverwalter 101 die Sicherheitsparameter bezüglich des Netzwerkgerätes 102. Der Prozessfluss 106 zum Konfigurieren der Sicherheitsparameter im Zusammenhang mit dem Netzwerkgerät 102 wird auf eine authentifizierte verschlüsselte Weise über SNMPv3 durchgeführt. Die Konfiguration ist nicht länger anfällig für Klartextabfangen durch nicht befugte Parteien.
  • In der Phase 4 gibt der Netzwerkverwalter 101 einen Befehl 107 an das Netzwerkgerät 102 aus. Der Befehl weist das Netzwerkgerät 102 an, das Anfangs-SNMPv3-Benutzerverzeichnis zu zerstören. Dieser Befehl wird in einer sicheren SNMPv3-Funktionsweise übertragen. Ansprechend auf diesen Befehl entfernt das Netzwerkgerät 102 das Anfangs-SNMPv3-Benutzerverzeichnis, wie es durch den Prozessfluss 110 angezeigt ist, und eliminiert dadurch ein potentielles Sicherheitsrisiko. Von nun an wird Netzwerkkommunikation auf eine sichere, authentifizierte und verschlüsselte Weise durchgeführt, gemäß den Sicherheitsparametern, die in der obigen Phase 3 konfiguriert werden.
  • 2 ist ein Flussdiagramm, das die Schritte zum Initialisieren von Sicherheitsinformationen auf einem Netzwerkgerät gemäß einem Ausführungsbeispiel der vorliegenden Erfindung beschreibt. Wenn ein Netzwerkgerät zuerst installiert wird, kontaktiert die Verwaltungsanwendung das Netzwerkgerät, um dasselbe zu konfigurieren, Schritt 201. Das Netzwerkgerät ist angewiesen, ein Erzeuge-SNMPv3-Anfangsverzeichnisobjekt festzulegen, Schritt 202. Bei Schritt 203 erzeugt das Netzwerkgerät zufällige Sicherheitsparameter für SNMPv3-Verschlüsselungs- und Authentifizierungsschlüssel. Ein Anfangsverzeichnis- und das Sicherheitsverzeichnisobjekt werden auch bei Schritt 203 erzeugt. Bei einem Ausführungsbeispiel umfassen die Anfangsverzeichnisobjekteden Benutzer, Authentifizierungsschlüssel, Geheimhaltungsschlüssel und Kontext, sind aber nicht darauf beschränkt. Als nächstes fragt die Verwaltungsanwendung das Netzwerkgerät nach den neu erzeugten Sicherheitsanfangsobjekten, Schritt 204. Nach dem Antworten auf die Abfragen der Verwaltungsanmeldung nach den Anfangssicherheitsverzeichnisobjekten werden diese Objekte gelöscht, Schritt 205. Es sollte jedoch angemerkt werden, dass das Anfangs-SNMPv3-Benutzerverzeichnis beibehalten wird. Die Verwaltungsanwendung kontaktiert dann das Netzwerkgerät unter Verwendung der neuen Sicherheitsparameter in einem verschlüsselten Modus, Schritt 206. Die Verwaltungsanwendung legt bei Schritt 207 Sicherheitsparameter in einem verschlüsselten Modus fest. An diesem Punkt informiert die Verwaltungsanwendung das Netzwerkgerät, um das Anfangsverzeichnis zu Entfernen, zu Löschen oder zu Zerstören, Schritt 208. Das Netzwerkgerät kann nun das Anfangsverzeichnis entfernen, Schritt 209. Es sollte angemerkt werden, dass die Schritte 208 und 209 optional sind; sie dienen dazu, ein potentielles Sicherheitsrisiko zu schließen. Dieser Prozess, wie er in den Schritten 201 bis 209 beschrieben ist, kann jedes Mal wiederholt werden, wenn ein neues Netzwerkgerät anfangs konfiguriert werden muss, Schritt 210.
  • Durch Konfigurieren eines neuen Netzwerkgeräts unter Verwendung eines temporären Anfangs-SNMPv3-Benutzerverzeichnisses über SNMPv1 ist die Aufgabe des Netzwerkadministrators stark reduziert. Angenommen der Netzwerkadministrator hatte bereits Arbeitserfahrung und ist vertraut mit SNMPv1-Tools und Funktionen. Anstatt dass er die Komplexität in dem Zusammenhang mit SNMPv3 lernen muss, kann der Netzwerkadministrator das Netzwerkgerät anfangs auf eine Weise konfigurieren, mit der er bereits vertraut ist. Diese leichte Handhabbarkeit während der Installation neuer Netzwerkgeräte auf einem LAN ist ein wertvolles Merkmal. Falls der anfängliche Installationsprozess relativ einfach ist, ist es wahrscheinlich, dass Kunden Netzwerkprodukte eines Herstellers denen eines anderen vorziehen. Es ist wahrscheinlich, dass Kunden weiterhin Produkte von dem bevorzugten Hersteller kaufen und eventuell mehr Produkte von diesem bestimmten Hersteller kaufen, weil die Lernkurve und die Zeit bis zum schnellen Durchführen der Produktoperationen minimiert sind. Ferner haben Produkte, die leicht zu installieren sind, geringere Kosten für Kunden. Als solches können Kunden bereit sein, anfangs mehr zu zahlen, um das Produkt zu kaufen, weil es die Kosten des Kunden reduzieren wird, solche Produkte zu installieren und zu betreiben.
  • 3 zeigt eine Architekturübersicht des Prozessflusses gemäß einem Ausführungsbeispiel der vorliegenden Erfindung. Bei diesem Ausführungsbeispiel ist ein Netzwerkgerät konfiguriert durch Verwenden einer Netzwerkverwaltungsanwendung 301 in Verbindung mit einem SNMP-Dämon 302, SNMPv1 304, SNMPv2 305, SNMPv3 303 und einer Datenbank 306. Wenn ein Gerät anfangs mit dem Netzwerk gekoppelt ist, wird die Netzwerkverwaltungsanwendung 301 entweder benachrichtigt oder erfasst dieses Ereignis. Die Netzwerkverwaltungsanwendung 301 ist ein Softwareteil, das für das Verwalten des gesamten Netzwerks verantwortlich ist. Es kann sich irgendwo auf dem Netzwerk befinden, so lange es Zugriff zu dem Netzwerk hat. Eine Funktion der Netzwerkverwaltungsanwendung 301 ist das Konfigurieren eines neuen Netzwerkgeräts. Dies wird erreicht, indem zunächst ein Anfangsbenutzerverzeichnis erzeugt wird. Das Anfangsbenutzerverzeichnis ist ein SNMPv3-Verzeichnis. Der Prozessfluss 307 stellt die Netzwerkverwaltungsanwendung 301 dar, die einen Befehl an den SNMP-Dämon 302 ausgibt, um das Anfangs-SNMPv3-Benutzerverzeichnis zu erzeugen. Der SNMP-Dämon 302 ist eine Kernsoftwaremaschine, die verwendet wird, um die Grund-SNMP-Funktionen durchzuführen. Das Anfangs-SNMPv3-Benutzerverzeichnis wird durch den SNMPv1-Prozess 304 erzeugt. Es sollte angemerkt werden, dass die gestrichelte Linie, die SNMPv1 304 und SNMPv2 305 trennt, anzeigt, dass eines dieser beiden (v1 oder v2) zum Zweck des Praktizierens eines Ausführungsbeispiels der vorliegenden Erfindung austauschbar verwendet werden kann. Wie es durch den Prozessfluss 308 gezeigt ist, schreibt der SNMPv1-Prozess 304 diese Anfangs-SNMPv3-Benutzerverzeichnisinformationen in die Datenbank 306. Die Datenbank 306 ist ein Softwareteil, das auf einer Speicherungseinheit läuft, die mit dem Netzwerk gekoppelt ist, in die Daten geschrieben, gehalten und nachfolgend wiedergewonnen werden können.
  • Nach dem das Anfangs-SNMPv3-Benutzerverzeichnis erzeugt wurde, gewinnt die Netzwerkverwaltungsanwendung 301 die Anfangs-SNMPv3-Verzeichnisinformationen wieder, wie es durch den Prozessfluss 309 dargestellt ist. Dies wird dadurch erreicht, dass die Netzwerkverwaltungsanwendung 301 eine Anforderung an den SNMP-Dämon 302 ausgibt. Ansprechend darauf bewirkt der SNMP-Dämon, dass der SNMPv1-Prozess 304 die Anfangs-SNMPv3-Verzeichnisinformationen von der Datenbank 306 liest. Der Prozessfluss 310 stellt den SNMPv1-Prozess dar, der eine Leseanforderung an die Datenbank 306 ausgibt, und die Datenbank 306, die die angeforderten Informationen zurück zu dem SNMPv1 sendet. Der SNMP-Dämon 302 sendet dann diese Informationen an die Netzwerkverwaltungsanwendung 301. Daraufhin bewirkt der SNMPv1-Prozess 304, dass die Kopie der Verzeichnisobjekte, die sich in der Datenbank 306 befindet, gelöscht wird. Dies verhindert, dass unbefugte Parteien Zugriff zu diesen Verzeichnisobjekten gewinnen.
  • Sobald die Netzwerkverwaltungsanwendung 301 die Anfangs-SNMPv3-Verzeichnisinformationen hat, kann dieselbe das Netzwerkgerät in einer sicheren Umgebung über das Netzwerk konfigurieren. Anders ausgedrückt, die Konfiguration des Netzwerkgeräts kann in einer authentifizierten verschlüsselten Prozedur fortfahren. Der Prozessfluss 312 stellt die Netzwerkverwaltungsanwendung 301 dar, die das Netzwerk über den SNMP-Dämon 302 konfiguriert. Gemäß dem Prozessfluss 302 sendet die Netzwerkverwaltungsanwendung 301 die Sicherheitsparameter in einem verschlüsselten Modus über das Netzwerk. Diese Sicherheitsparameter umfassen alles mit Bezug auf Sicherheit und/oder Autorisierung, wie z. B. Passwörter, Benutzerauthentifizierungen, Zugriffslisten, Benutzerschlüssel, Authentifizierungsschlüssel, Geheimhaltungsschlüssel, Kontext 802.11 Zugriffspunktschlüssel, Verschlüsselungs-/Entschlüsselungsdaten, Registrierungsdaten, usw.). Weil die Übertragung empfindlicher Sicherheitsparameter verschlüsselt ist, wird ein höherer Schutzgrad ermöglicht. Der SNMPv3-Prozess 303 speichert seine empfind lichen Sicherheitsinformationen in der Datenbank 306, wie es durch den Flussprozess 313 gezeigt ist.
  • An diesem Punkt gibt es keinen Bedarf, das Anfangs-Verzeichnis beizubehalten. Das Anfangs-SNMPv3-Verzeichnis kann nun eliminiert werden. Dies verhindert, dass eine unbefugte Partei mit böswilliger Absicht auf das Anfangs-SNMPv3-Verzeichnis zugreift. Der Prozessfluss 314 stellt die Netzwerkverwaltungsanwendung 301 dar, die den SNMP-Dämon 302 anweist, das Anfangs-SNMPv3-Verzeichnis zu löschen. Jeder der SNMPv1-, SNMPv2- oder SNMPv3-Prozesse 303–305 kann die Datenbank 306 anweisen, das Anfangs-SNMPv3-Verzeichnis zu löschen. Das Netzwerkgerät ist nun ordnungsgemäß konfiguriert. Eine zukünftige Kommunikation zwischen der Netzwerkverwaltungsanwendung 301 und dem Netzwerkgerät kann entweder in SNMPv1, SNMPv2 oder SNMPv3 ausgeführt werden.
  • Während die oben beschriebenen Ausführungsbeispiele der vorliegenden Erfindung auf das SNMP-Protokoll bezogen sind, sollte angemerkt werden, dass es klar ist, dass bei anderen Ausführungsbeispielen der vorliegenden Erfindung andere Protokolle verwendet werden könnten. 4 zeigt beispielsweise ein Flussdiagramm, das die Grundschritte zum Initialisieren eines Netzwerkgeräts über ein Netzwerk gemäß einem Ausführungsbeispiel der vorliegenden Erfindung beschreibt. Anfangs wird ein temporäres Benutzerverzeichnis mit einem Sicherheitsmerkmal erzeugt, Schritt 401. Das Sicherheitsmerkmal wird verwendet, um ein Netzwerkgerät über das Netzwerk in einem sicheren Modus zu konfigurieren, Schritt 402. Nachdem das Netzwerkgerät ordnungsgemäß konfiguriert wurde, wird das temporäre Benutzerverzeichnis zerstört (z. B. werden das temporäre Benutzerverzeichnis und alle seine zugeordneten Verzeichnisobjekte und Daten von dem Speicher gelöscht und existieren nicht mehr), Schritt 403.
  • Obwohl das bevorzugte Ausführungsbeispiel offenbart wurde, sollte angemerkt werden, dass die vorliegende Erfindung alternative Ausführungsbeispiele umfasst. 5 zeigt ein Flussdiagramm eines alternativen Ausführungsbeispiels. Bei Schritt 501 erzeugt ein Netzwerkgerät ein Anfangs-SNMPv3-Verzeichnis und ein oder mehrere zugeordnete Verzeichnisobjekte. Dieses Verzeichnis wird durch Verwenden des SNMPv1-Protokolls erzeugt. Bei Schritt 502 erhält die Verwaltungsanwendung das/die Verzeichnisobjekte über das Netzwerk über SNMPv1. Bei Schritt 503 verwendet die Verwaltungsanwendung dann das/die Verzeichnisobjekte zum Konfigurieren von Sicherheitsparametern für das Netzwerkgerät über SNMPv3.
  • 6 ist ein Flussdiagramm, das die Schritte eines weiteren Ausführungsbeispiels der vorliegenden Erfindung beschreibt. Bei Schritt 601 wird ein Anfangs-Benutzerverzeichnis mit einem Sicherheitsparameter (z. B. Verschlüsselungsschlüssel) erzeugt. Der Sicherheitsparameter wird bei Schritt 602 über das Netzwerk zu einer Verwaltungsanwendung übertragen. Die Verwaltungsanwendung stellt dann über das Netzwerk in einem sicheren Kommunikationsmodus (z. B. verschlüsselt) Kontakt her mit dem Netzwerkgerät her, auf der Basis des empfangenen Sicherheitsparameters, Schritt 603. Während dem sicheren Kommunikationsmodus kann die Verwaltungsanwendung das Netzwerkgerät sicherer über das Netzwerk konfigurieren, Schritt 604. Nachdem das Netzwerkgerät ordnungsgemäß konfiguriert wurde, kann das Anfangs-Benutzerverzeichnis optional zerstört werden, Schritt 605.
  • Somit ist das bevorzugte Ausführungsbeispiel der vorliegenden Erfindung, ein Verfahren und eine Vorrichtung zum Initialisieren von Sicherheitsinformationen auf einem Netzwerkgerät, beschrieben. Es sollte auch angemerkt werden, dass die vorliegende Erfindung die Verwendung anderer Arten von Netzwerkprotokollen, Sicherheitsmassnahmen und/oder Konfigurationsschemata umfasst. Obwohl die vorliegende Erfindung in bestimmten Ausführungsbeispielen beschrieben wurde, sollte klar sein, dass die vorliegende Erfindung nicht durch solche Ausführungsbeispiele beschränkt sein soll, sondern statt dessen gemäß den nachfolgenden Ansprüchen ausgelegt werden soll.

Claims (8)

  1. Ein Verfahren zum Initialisieren von Sicherheitsinformationen für ein Netzwerkgerät (102) über ein Netzwerk, Erzeugen (203) eines Verzeichnisses mit einem Sicherheitsparameter, wobei ein erstes Protokoll (304) ohne Verschlüsselungsfähigkeit verwendet wird, um das Verzeichnis zu erzeugen, und das Verzeichnis einem zweiten Protokoll (303) entspricht, das Verschlüsselung unterstützt; Übertragen (204) des Sicherheitsparameters in unverschlüsselter Form zu einer Netzwerkverwaltungsanwendung über das Netzwerk gemäß dem ersten Protokoll; Verschlüsseln (207) der Sicherheitsinformationen unter Verwendung der Sicherheitsparameter; Übertragen (206) verschlüsselter Sicherheitsinformationen über das Netzwerk an das Netzwerkgerät gemäß dem zweiten Protokoll; Initialisieren (207) des Netzwerkgeräts mit den Sicherheitsinformationen; dadurch gekennzeichnet, dass anfängliche Verzeichnisobjekte, die dem Verzeichnis entsprechen, erzeugt werden; wobei die Anfangsverzeichnisobjekte Benutzer, Authentifizierungsschlüssel, Geheimhaltungsschlüssel und Kontextdaten umfassen.
  2. Das Verfahren gemäß Anspruch 1, das ferner folgende Schritte umfasst: Löschen (206) des Verzeichnisses, nachdem das Netzwerkgerät mit den Sicherheitsinformationen initialisiert wurde; und Löschen (205) des Sicherheitsparameters, nachdem der Sicherheitsparameter über das Netzwerk an die Netzwerkverwaltungsanwendung gesendet wurde.
  3. Das Verfahren gemäß Anspruch 1 oder 2, bei dem das erste Protokoll SNMPv1 ist und das zweite Protokoll SNMPv3 ist.
  4. Das Verfahren gemäß Anspruch 1, 2 oder 3, bei dem der Sicherheitsparameter einen Verschlüsselungsschlüssel umfasst.
  5. Das Verfahren gemäß einem der vorhergehenden Ansprüche, das ferner Authentifizierungsübertragungen über das Netzwerk gemäß dem zweiten Protokoll umfasst.
  6. Das Verfahren gemäß einem der vorhergehenden Ansprüche, wobei die Sicherheitsinformationen einen 802.11-Zugriffspunktschlüssel umfassen.
  7. Das Verfahren gemäß einem der vorhergehenden Ansprüche, das ferner das Löschen der Anfangsverzeichnisobjekte umfasst, nachdem die Anfangsverzeichnisobjekte zu der Netzwerkverwaltungsanwendung übertragen wurden.
  8. Ein Vorrichtung zum Konfigurieren eines Netzwerkgeräts über ein Netzwerk, das folgende Merkmale umfasst: eine Einrichtung zum Erzeugen eines Anfangsverzeichnisses mit einem Sicherheitsparameter, wobei ein erstes Protokoll verwendet wird, um das Verzeichnis zu erzeugen, und das Anfangsverzeichnis einem zweiten Protokoll entspricht, das Verschlüsselung unterstützt; eine Einrichtung zum Übertragen des Sicherheitsparameters an eine Netzwerkverwaltungsanwendung über das Netzwerk gemäß dem ersten Protokoll; eine Einrichtung zum Verschlüsseln von Übertragungen von der Netzwerkverwaltungsanwendung zu dem Netzwerkgerät gemäß dem Sicherheitsparameter; eine Einrichtung zum Initialisieren des Netzwerkgeräts mit den Sicherheitsinformationen durch die Netzwerkverwaltungsanwendung über das Netzwerk in einem verschlüsselten Modus gemäß dem zweiten Protokoll; gekennzeichnet durch eine Einrichtung zum Erzeugen von Anfangsverzeichnisobjekten, die dem Verzeichnis entsprechen, wobei die Anfangsverzeichnisobjekte Benutzer, Authentifizierungsschlüssel, Geheimhaltungsschlüssel und Kontextdaten umfassen.
DE60300661T 2002-02-01 2003-01-31 Initialisierung der Sicherheitsinformation in einem Netzwerkgerät Expired - Lifetime DE60300661T2 (de)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
US62382 1998-04-17
US10/062,382 US7240191B2 (en) 2002-02-01 2002-02-01 Method and apparatus for initializing security information on a network device

Publications (2)

Publication Number Publication Date
DE60300661D1 DE60300661D1 (de) 2005-06-23
DE60300661T2 true DE60300661T2 (de) 2006-04-27

Family

ID=27658560

Family Applications (1)

Application Number Title Priority Date Filing Date
DE60300661T Expired - Lifetime DE60300661T2 (de) 2002-02-01 2003-01-31 Initialisierung der Sicherheitsinformation in einem Netzwerkgerät

Country Status (3)

Country Link
US (1) US7240191B2 (de)
EP (1) EP1341343B1 (de)
DE (1) DE60300661T2 (de)

Families Citing this family (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7962741B1 (en) * 2002-09-12 2011-06-14 Juniper Networks, Inc. Systems and methods for processing packets for encryption and decryption
US20050105508A1 (en) * 2003-11-14 2005-05-19 Innomedia Pte Ltd. System for management of Internet telephony equipment deployed behind firewalls
EP1605628A1 (de) * 2004-06-08 2005-12-14 Siemens Aktiengesellschaft Aktivierbarerer Sicherheitsmechanismus
US8000345B2 (en) * 2006-02-24 2011-08-16 Siemens Aktiengesellschaft Proxy agent for providing remote management of equipment in a communication network
US20070204156A1 (en) * 2006-02-28 2007-08-30 Mark Jeghers Systems and methods for providing access to network resources based upon temporary keys
US9075968B2 (en) 2006-06-13 2015-07-07 Novell, Inc. Dynamic creation of a temporary administrative user
JP4267008B2 (ja) * 2006-07-28 2009-05-27 Ｎｅｃインフロンティア株式会社 クライアント・サーバ分散システム、サーバ装置、クライアント装置及びそれらに用いるクライアント間ｒｔｐ暗号方法
US8195944B2 (en) 2007-01-04 2012-06-05 Motorola Solutions, Inc. Automated method for securely establishing simple network management protocol version 3 (SNMPv3) authentication and privacy keys
US8453205B1 (en) * 2007-06-15 2013-05-28 Juniper Networks, Inc. Secure network services via daemons

Family Cites Families (11)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6044154A (en) * 1994-10-31 2000-03-28 Communications Devices, Inc. Remote generated, device identifier key for use with a dual-key reflexive encryption security system
US5548649A (en) * 1995-03-28 1996-08-20 Iowa State University Research Foundation Network security bridge and associated method
US6044468A (en) * 1997-08-25 2000-03-28 Emc Corporation Secure transmission using an ordinarily insecure network communication protocol such as SNMP
EP1068693B1 (de) * 1998-04-03 2011-12-21 Vertical Networks, Inc. System und verfahren zur übertragung von sprache und daten unter verwendung intelligenter überbrückter tdm- und packet- busse
US6189100B1 (en) 1998-06-30 2001-02-13 Microsoft Corporation Ensuring the integrity of remote boot client data
US6751729B1 (en) * 1998-07-24 2004-06-15 Spatial Adventures, Inc. Automated operation and security system for virtual private networks
US6324646B1 (en) * 1998-09-11 2001-11-27 International Business Machines Corporation Method and system for securing confidential data in a computer network
US6775828B2 (en) * 1999-07-19 2004-08-10 Microsoft Corporation Delayed uploading of user registration data
JP2003510965A (ja) 1999-09-28 2003-03-18 トムソン ライセンシング ソシエテ アノニム 簡易ネットワーク管理プロトコル（ｓｎｍｐ）エージェントを初期化するためのシステムおよび方法
US6795862B1 (en) * 2000-05-31 2004-09-21 International Business Machines Corporation System for converting a version of SNMP entered by user into another version used by device and providing default values for attributes not being specified
ITMI20001642A1 (it) 2000-07-19 2002-01-19 D T E Solutions B V Procedimento di acquisto on-line ad elevata sicurezza di impiego

Also Published As

Publication number Publication date
EP1341343A1 (de) 2003-09-03
US7240191B2 (en) 2007-07-03
DE60300661D1 (de) 2005-06-23
EP1341343B1 (de) 2005-05-18
US20030149892A1 (en) 2003-08-07

Similar Documents

Publication Publication Date Title
DE60314402T2 (de) System und methode zum speichern sowie abrufen kryptographischer geheimnisse von unterschiedlichen kundenendgeräten in einem netzwerk
DE69835416T2 (de) Verfahren zur sicheren ausführung eines fernmeldebefehls
DE69613648T2 (de) System und Verfahren zur Bereitstellung von Schutz gegen Betrüger in einem Rechnernetz durch Verwendung von Sitzungsschlüsseln
DE69614944T2 (de) System und Verfahren zur transparenten Integrierung von verschlüsselten Funktionen von einer IC-Karte mit kryptographischen Diensten auf Basis des Hauptrechners
DE19960977B4 (de) System für ein elektronisches Datenarchiv mit Erzwingung einer Zugriffskontrolle beim Datenabruf
DE602005001613T2 (de) Einrichten eines sicheren kontexts zur übermittlung von nachrichten zwischen computersystemen
DE112005001672B4 (de) Verfahren zum Liefern eines geheimen Direktnachweisschlüssels an Vorrichtungen unter Verwendung eines Onlinedienstes
DE602004002140T2 (de) Universeller sicherer Datenaustausch für kryptographischen Modulen
DE69331424T2 (de) Verfahren und Einrichtung zur Berechtigung einer gleichrangigen Verbindung
DE60315914T2 (de) Ad hoc Sicherheitszugriff auf Dokumente und Dienste
DE60220665T3 (de) Verfahren und system für den aufbau einer verbindung zwischen einem personal security device und einem fernrechnersystem
DE69613948T2 (de) System und Verfahren zur Unterstützung verteilter Rechnermechanismen in einer Lokalbereichsnetz-Serverumgebung
DE60121483T2 (de) Sicherheitkommunikationsverfahren, System und Vorrichtung welche erlauben den Sicherheitstyp zu wechseln
DE60117064T2 (de) Home-Gateway mit einem Datensicherungsdienst
DE112005001654B4 (de) Verfahren zum Übermitteln von Direct-Proof-Privatschlüsseln an Geräte mittels einer Verteilungs-CD
DE60224219T2 (de) Sicheres drucken eines dokuments
DE102007046476A1 (de) Verfahren zum Bereitstellen von Credentials und Softwarebildern in sicheren Netzwerkumgebungen
DE112008001436T5 (de) Sichere Kommunikation
DE19924575A1 (de) Kommunikationssystem und -Verfahren
DE102007030622A1 (de) Verfahren und Anwendung zum Verknüpfen zwischen Systemen auf der Grundlage von Hardware-Sicherheits-Einheiten
DE602005003631T2 (de) Ausschluss der Passwortaufdeckung bei Attributzertifikatausgabe
EP3970337A1 (de) Verfahren zum selektiven ausführen eines containers und netzwerkanordnung
DE60300661T2 (de) Initialisierung der Sicherheitsinformation in einem Netzwerkgerät
DE112020000244T5 (de) Initialisierung einer Datenspeicherungsvorrichtung mit einer Managervorrichtung
DE102008062984A1 (de) Prozess zur Authentifizierung eines Nutzers durch ein Zertifikat unter Verwendung eines Ausserband-Nachrichtenaustausches

Legal Events

Date Code Title Description
8364 No opposition during term of opposition
R082 Change of representative

Ref document number: 1341343

Country of ref document: EP

Representative=s name: SCHOPPE, ZIMMERMANN, STOECKELER, ZINKLER & PARTNER