DE60311328T2 - Verfahren und vorrichtung zur netzwerksicherheit - Google Patents

Verfahren und vorrichtung zur netzwerksicherheit Download PDF

Info

Publication number
DE60311328T2
DE60311328T2 DE60311328T DE60311328T DE60311328T2 DE 60311328 T2 DE60311328 T2 DE 60311328T2 DE 60311328 T DE60311328 T DE 60311328T DE 60311328 T DE60311328 T DE 60311328T DE 60311328 T2 DE60311328 T2 DE 60311328T2
Authority
DE
Germany
Prior art keywords
client
server
smart card
resource
identifier
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Expired - Lifetime
Application number
DE60311328T
Other languages
English (en)
Other versions
DE60311328D1 (de
Inventor
Thomas Walter
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
NTT Docomo Inc
Original Assignee
NTT Docomo Inc
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by NTT Docomo Inc filed Critical NTT Docomo Inc
Application granted granted Critical
Publication of DE60311328D1 publication Critical patent/DE60311328D1/de
Publication of DE60311328T2 publication Critical patent/DE60311328T2/de
Anticipated expiration legal-status Critical
Expired - Lifetime legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0869—Network architectures or network communication protocols for network security for authentication of entities for achieving mutual authentication

Description

  • Die vorliegende Erfindung betrifft Kommunikationen zwischen einer Ressource und externen Einheiten.
  • Externe Benutzer sind mit einer zunehmenden Anzahl von Vorrichtungen ausgestattet. Beim Durchführen ihrer Geschäftspflichten verwenden Benutzer nicht lediglich eine einzelne Vorrichtung, sondern irgendeine realisierbare Kombination, die am besten zu ihren Bedürfnissen passt. 1 zeigt eine graphische Darstellung dieses Szenarios. Wie aus der Sicht der Firmendomäne 200 gesehen, können die private Domäne 100 und die persönliche Domäne 300 als vertrauenswürdige Umgebungen angesehen werden, wohingegen die Trägerdomäne 400 eine nicht vertrauenswürdige oder eine vertrauenswürdige Domäne sein kann.
  • Fortschrittliche verteilte Anwendungen basieren auf Mehrebenen-Architekturen, wo einige Server in eine Transaktionsverarbeitung involviert sind, die von (entfernten) Clients abstammen. Bis heute sind Clients in die Firmennetzwerkdomäne 200 integriert worden oder, wenn sie sich entfernt befinden, sind mit Verwenden von einer Alternative, oder einer Kombination, verwendet worden, so wie Einwählverbindungen, das Internet, virtuelle Privatnetzwerke (VPN) oder Internet-Sicherheit IPsec (Internet Security).
  • Dank der Drahtlostechnologien ist eine Mobilität von Benutzern und Vorrichtungen 101, 102, 301, 302, 303 mit Bezug zueinander und zu dem Firmennetzwerk 200 möglich geworden, so dass eine Lösung für sichere, möglicherweise mobile Anwendungen wünschenswert ist, die einen Zugriff auf Firmennetzwerkressourcen 201, 202, 203 erlauben.
  • Es ist deshalb erforderlich, die verfügbaren Authentifizierungsmechanismen zu berücksichtigen und den Grad, zu welchen sie für diese Umgebung angemessen sein können.
  • Erläuterung des Standes der Technik
  • Eine Authentifizierung ist ein Prozess, der zwischen Einheiten bzw. Entitäten abläuft, die entweder Menschen, Maschinen oder Prozesse sein können. Einheiten tauschen Daten aus, um die Identität von einem Anderen einzurichten.
  • Die Sequenz von Aktionen eines typischen Authentifizierungsprotokolls ist in 2 gezeigt. Diese ist von dem Point to Point (PPP) Extensible Authentication Protocol (EAP) hergenommen. EAP definiert ein Authentifizierungsprotokoll für eine Kommunikation zwischen Peers über Punkt-zu-Punkt-Verbindungen. Im Grunde genommen fordert die Authentifizierungseinheit 200 einen Identitätsnachweis von dem Client 101. Dieser Nachweis kann zum Beispiel einfach ein einmal zu verwendendes Passwort oder eine Authentifizierung vom Aufruf-Antwort-Typ, oder ein komplexes Protokoll wie das EPA-TLS- (Transport Layer Security) Protokoll sein, das sowohl ein Aushandeln als auch eine Verteilung von Sitzungsschlüsseln durchführt. Eine Anforderung zur Authentifizierung 14 wird von der Authentifizierungseinheit 200 an den Peer oder Client 101 gesendet. Der Peer 101 sendet eine Antwort 15 zurück, die wiederum durch die Authentifizierungseinheit 200 validiert wird. Basierend auf dem Ergebnis der Validierung wird dem Client 101 eine positive oder negative Rückkopplung 16 bereitgestellt.
  • Das wie in 3 gezeigte RADIUS-Protokoll ist insofern ein indirektes Authentifizierungsschema, als dass eine Authentifizierung gegenüber einem Zentralserver 202 abläuft, der jeweilige Identitätsdaten für jede bekannte kommunizierende Einheit speichert.
  • Ähnlich wie RADIUS ist das wie in 4 gezeigte Kerberos ein indirektes Authentifizierungsschema. Kerberos authentifiziert Benutzer und stellt eine Autorisierung auf einer Pro-Dienst-Grundlage bereit.
  • Als Teil des Authentifizierungsprozesses werden Daten – Ticket genannt – erzeugt, was es dem Inhaber ermöglicht, sich gegenüber anderen Einheiten zu authentifizieren. Das Authentifizierungsprotokoll läuft in zwei Schritten ab: Zuerst authentifiziert eine Einheit sich mit einem Kerberos-Server, der die Identität der Einheit verifiziert und ein so genanntes Ticketgewährungs-Ticket 125 zurückgibt. Zweitens, wenn eine Einheit später auf eine spezifische Ressource 203 zugreifen möchte, dann verwendet sie das zuvor ausgestellte Ticketgewährungs-Ticket 125, um einen anderen Server, Ticketgewährungsdienst genannt, aufzufordern, ein ressourcenspezifisches Ticket 126 auszustellen. Mit diesem Ticket erschafft die Einheit eine so genannte Authentifikationseinheit 127 bzw. einen Authentikator und sendet diese und das ressourcenspezifische Ticket 126 an den die Ressource hostenden Server, um sich selbst zu authentifizieren und auf die Ressource 203 zuzugreifen.
  • Während des Durchführens des Authentifizierungsprozesses werden in Kerberos Sitzungsschlüssel durch den Kerberos-Server erzeugt und als Teil der erzeugten Tickets verteilt. Diese Sitzungsschlüssel werden zum Verschlüsseln von Daten verwendet, bevor sie gesendet werden, und welche dann bei dem Empfangsort mit Verwenden desselben Schlüssels entschlüsselt werden. Sämtliche involvierte Beteiligte teilen sich gemeinsam die Kenntnis des angewendeten Verschlüsselungsschlüssels.
  • Ein anderer ziemlich häufig verwendeter Ansatz ist es, eine Kryptographie für einen öffentlichen Schlüssel einzusetzen. Eine Kryptographie für einen öffentlichen Schlüssel kann verwendet werden, um Systeme, so wie den RSA-Algorithmus, zu bilden, die zur Entschlüsselung und Verschlüsselung verwendet werden können. Er ist sowohl für eine digitale Signatur als auch für einen Schlüsselaustausch geeignet. Eine Kryptographie für einen öffentlichen Schlüssel verwendet ein Paar von Schlüssel – den öffentlichen und den privaten Schlüssel. Jeder Schlüssel kann zur Verschlüsselung und jeweiligen Entschlüsselung verwendet werden. Anfangs werden Schlüsselpaare erzeugt; der private Schlüssel wird mit der Einheit gespeichert und der öffentliche Schlüssel wird dritten Beteiligten bekannt gemacht. Ein häufiger Ansatz Letzteres durchzuführen ist ein Verwenden einer Infrastruktur für einen öffentlichen Schlüssel (PKI, Public Key Infrastructure). Eine PKI ist um das Konzept eines Zertifikates zentriert. Einfach ausgedrückt ist ein Zertifikat ein Identitätsnachweis. Ein Zertifikat enthält neben anderen einheitsspezifischen Daten den öffentlichen Schlüssel der Einheit. Zertifikate werden im Allgemeinen durch vertrauenswürdige dritte Beteiligte unterzeichnet bzw. bestätigt, die als Zertifizierungsautoritäten (CA, Certification Authorities) bekannt sind. Das Unterzeichnen wird mit dem privaten Schlüssel der CA getätigt. Wenn eine Einheit mit einer anderen Einheit authentifizieren möchte, verwendet sie ihr Zertifikat. Mit dem öffentlichen Schlüssel der CA validiert die gerufene Einheit das Zertifikat der rufenden Einheit. Es wird angenommen, das Einheiten Zertifikate von CA für den erwähnten Zweck halten. Zusätzlich zu einem erfolgten Authentifizieren der kommunizierenden Einheit kann ihr öffentlicher Schlüssel verwendet werden, um Daten zur Vertraulichkeit zu verschlüsseln, wenn sie über ein öffentliches Netzwerk gesendet sind; im Besonderen, um Sitzungsschlüssel auszutauschen.
  • Zertifikate sind nicht der einzige Ansatz, eine Identität Einheiten bereitzustellen. Ein als Selbstdelegation bekannter Ansatz existiert, der das Konzept primärer und sekundärer Schlüsselpaare einführt. Die Idee ist, dass primäre Schlüsselpaare geheim gehalten werden, und sekundäre Schlüsselpaare an nicht vertrauenswürdige Vorrichtungen transferiert werden. Sekundäre Schlüsselpaare kommen mit Delegationszertifikaten, die mit dem primären privaten Schlüssel unterzeichnet sind, und die angeben, dass irgendein Nachweis mit dem sekundären Schlüsselpaar als stark betrachtet werden sollte, wie wenn mit dem primären Schlüsselpaar getätigt.
  • Das System ist so entworfen, dass mit jeder Selbstdelegation nur eine begrenzte Menge einer Geheiminformation offenbart wird. Eine begrenzte Information, so dass kein Vorteil aus ihrer Kenntnis gezogen werden kann. Andererseits wird die Verbreitung von Selbstdelegationen in einer Weise gesteuert, dass nach einer gewissen Anzahl von Delegationen ein Feind effizient den primären privaten Schlüssel berechnen kann.
  • Das oben beschriebene Szenario ruft gewisse neue Erfordernisse hervor: Als erstes bezüglich einer angemessenen Technologie, um dem Benutzer eine Grundnetzwerkverbindungsfähigkeit bereitzustellen, und zweitens bezüglich einer Zugriffssteuerung für die Firmennetzwerkdomäne, und drittens bezüglich der Vertraulichkeit, Integrität und Verantwortlichkeit von zwischen Mobilvorrichtungen und einem Firmennetzwerk übertragenen Daten.
  • Die Erfordernisse für sichere mobile verteilte Anwendungen für oben diskutierte Technologien werden nun betrachtet werden. Im Besonderen müssen die bereitzustellenden Mechanismen unterstützen:
    • – Eine Authentifizierung zwischen mobilen Client-Vorrichtungen und zwischen mobilen Client-Vorrichtungen und einem Firmennetzwerk. Eine gegenseitige Authentifizierung ist erforderlich, so dass jeder involvierte Beteiligte einen Nachweis hat, dass der kommunizierende Peer die angenommene bzw. vermutete Einheit ist.
    • – Eine Einrichtung sicherer Ende-zu-Ende-Kommunikationsverbindungen zwischen sämtlichen involvierten Einheiten; d.h. zwischen mobilen Vorrichtungen und zwischen mobilen Vorrichtungen und einem Firmennetzwerk, um eine Vertraulichkeit und eine Integrität ausgetauschter Nachrichten bereitzustellen, und
    • – eine Nicht-Zurückweisung oder Verantwortlichkeit von Kommunikationsereignissen, als einen Schutz gegen eine falsche Verweigerung einer Involvierung in einer Kommunikation.
  • Während EAP, RADIUS, Kerberos, PKI und Delegation alle mehrfache Clients unterstützen, ermöglichen EAP, RADIUS und Kerberos nicht eine gegenseitige Authentifizierung zwischen einem Client und einem Server, wohingegen Delegation nicht notwendigerweise zum Unterstützen solch einer Funktion entworfen ist. Keine der diskutierten Technologien unterstützt eine gegenseitige Authentifizierung zwischen unterschiedlichen Clients. Delegation, PKI und Kerberos unterstützen alle ein Key-Aushandeln, und wenn PPP EAP TLS in Kraft tritt, dann wird diese Funktion auch in EAP unterstützt werden, obwohl Zertifikate, so wie in PKI verwendet, erforderlich sein werden. Keine der erläuterten Verfahren macht irgendeine Bereitstellung für eine Datenintegrität, obwohl in EAP, Kerberos und PKI Datenintegrität nicht eine Frage ist, da eine Hash-Funktion leichtfertig verwendet werden kann. Eine Nachrichtenauthentifizierung ist jedoch erforderlich und ein zusätzlicher Aufwand in der Verteilung von Tastdaten muss auch berücksichtigt werden. Schließlich handhaben nur Public Key Cryptography (PKC) und Delegation einen Nicht-Zurückweisung zufrieden stellend. In dem Fall von Kerberos sind Sitzungsschlüssel nicht dazu beabsichtigt, zur Nicht-Zurückweisung verwendet zu werden, da beide kommunizierende Einheiten denselben Schlüssel halten, und somit die Identität der anderen Einheit nachahmen können.
  • Schneider Bruce, „Applied Cryptography", 1996, John Wiley & Sons, Inc. New York XP002255888 ISBN 0-471-12845-7, verweist auf grundlegende Protokolle zum Einrichten einer sicheren Verbindung zwischen zwei Einheiten mit Verwenden einer symmetrischen Kryptographie. Vielfältige Schritte des Needham-Schroeder-Protokolls werden beschrieben. In einem Beispiel sendet in einem ersten Schritt (1) ein Teilnehmer A eine Nachricht an eine Sicherheitsvorrichtung (Trent) bestehend aus dem Namen von A (Alice), einem Namen B eines anderen Teilnehmers (Bob) und einer Zufallszahl. Dann (2) erzeugt die Sicherheitsvorrichtung einen zufälligen Sitzungsschlüssel und verschlüsselt eine Nachricht mit dem zufälligen Sitzungsschlüssel und den Namen von A mit einem Geheimschlüssel, den die Sicherheitsvorrichtung gemeinsam mit Teilnehmer B nutzt. Dann werden der Zufallswert von A, der Name von B, der Schlüssel und die verschlüsselte Nachricht mit dem Geheimschlüssel verschlüsselt, den die Sicherheitsvorrichtung mit Teilnehmer A gemeinsam nutzt. Die verschlüsselte Nachricht an A übertragen. In einem Schritt (3) entschlüsselt A die Nachricht und extrahiert den Schlüssel. Dann sendet A B die Nachricht, die die Sicherheitsvorrichtung in ihrem Schlüssel verschlüsselt hat. (4) B entschlüsselt die Nachricht und extrahiert den Schlüssel und erzeugt einen anderen Zufallswert und verschlüsselt die Nachricht mit dem Schlüssel und sendet sie an A. (5) A entschlüsselt die Nachricht und erzeugt eine andere verschlüsselte Nachricht an B, was es B in einem Schritt (6) ermöglicht, die Nachricht zu entschlüsseln und sie zu verifizieren.
  • Needham R. M. et al: „Using encryption for authentication in large networks of computers", Communications of the Association for Computing Machinery, New York, US, Vol. 21, Nr. 12, Dezember 1978 (1978–12), Seiten 993–999, XP002163714 ISSN: 0001–0782 verweist auf eine Verschlüsselung zur Authentifizierung in großen Netzwerken von Computern und diskutiert die Einrichtung authentifizierter interaktiver Kommunikationen zwischen zwei Auftraggebern, eine authentifizierte Einweg-Kommunikation und unterzeichnete Kommunikationen, wo das Original einer Kommunikation und die Integrität des Inhalts für einen dritten Beteiligten authentifiziert werden können.
  • Zusammenfassung der Erfindung
  • Es ist deshalb eine Aufgabe der Erfindung, verbesserte Verfahren, Systeme und Vorrichtungen zum Einrichten sicherer Kommunikationen und eines sicheren Datennetzwerks bereitzustellen, gegenüber denen im Stand der Technik Bekannten.
  • Diese Aufgabe der Erfindung wird durch den Gegenstand der unabhängigen Ansprüche gelöst. Vorteilhafte Ausführungsformen sind in den abhängigen Ansprüchen umrissen.
  • In einem Beispiel umfasst ein Verfahren zum Einrichten sicherer Netzwerkkommunikationen zwischen einem Client und einer Ressource die Schritte zum:
    • – Einrichten einer Vertrauensbeziehung zwischen einem Sicherheitsverwalter und dem Client.
    • – Erzeugen eines ersten Identifizierers 124 bei dem Sicherheitsverwalter und Übertragen des Identifizierers an den Client von dem Sicherheitsverwalter.
    • – Übertragen des ersten Identifizierers 124 von dem Client an die Ressource.
    • – Einrichten der Gültigkeit des ersten Identifizierers 124 bei der Ressource; Übertragen erster Verschlüsselungsdaten 131 von der Ressource an den Client.
    • – Ausführen weiterer Netzwerkkommunikation 12 zwischen dem Client und der Ressource mit Verwenden der ersten Verschlüsselungsdaten 131.
  • Ein Kommunikationsnetzwerk für sichere Netzwerkkommunikationen zwischen einem Client und einer Ressource umfasst
    • – einen Client, bereitgestellt mit einem ersten Client-Vermittler und einem zweiten Client-Vermittler;
    • – eine Ressource, bereitgestellt mit einem ersten Ressourcenvermittler und einem zweiten Ressourcenvermittler; und
    • – einen Sicherheitsverwalter zum Erzeugen eines ersten Identifizierers und zum Übertragen davon an den zweiten Client-Vermittler,
    wobei der zweite Client-Vermittler und zweite Ressourcenvermittler ausgebildet sind zum Einrichten einer Beziehung zwischen dem Client und der Ressource.
  • Die Anpassungen für den zweiten Client-Vermittler umfassen, dass der zweite Client-Vermittler ausgebildet ist zum:
    • – Empfangen des ersten Identifizierers 124 von dem Sicherheitsverwalter.
    • – Übertragen des ersten Identifizierers 124 an die Ressource zur Validierung.
    • – Empfangen erster Verschlüsselungsdaten 131 von der Ressource.
    • – Ausführen sicherer Netzwerkkommunikationen 12 mit der Ressource mit Verwenden der ersten Verschlüsselungsdaten 131.
  • Die Anpassungen für den zweiten Ressourcenvermittler umfassen, dass der zweite Ressourcenvermittler ausgebildet ist zum:
    • – Einrichten der Gültigkeit des ersten Identifizierers.
    • – Übertragen der ersten Verschlüsselungsdaten 131 an den Client.
    • – Ausführen weiterer Netzwerkkommunikationen 12 mit dem Client mit Verwenden der ersten Verschlüsselungsdaten 131.
  • Gemäß einem anderen Beispiel ist ein Sicherheitsverwalter zum Einrichten sicherer Kommunikationen in einem Netzwerk ausgebildet zum Erzeugen eines ersten Identifizierers 124, und zum Übertragen des ersten Identifizierers 124 an einen in einem Client aufgenommenen zweiten Client-Vermittler zur Interpretation. Der erste Identifizierer wird so erzeugt, um den zweiten Client-Vermittler dazu zu bewegen, den ersten Identifizierer an einen zweiten Ressourcen-Vermittler erneut zu übertragen. Der erste Identifizierer wird weiter so erzeugt, um den zweiten Ressourcen-Vermittler dazu zu bewegen,
    • – einen Validierungsprozess 9 zum Validieren des ersten Identifizierers einzuleiten,
    • – erste Verschlüsselungsdaten 131 an den zweiten Client-Vermittler zu übertragen und
    • – weitere Netzwerkkommunikationen 12 mit der Ressource mit Verwenden der ersten Verschlüsselungsdaten 131 auszuführen.
  • Gemäß einem anderen Beispiel ist ein mit einem ersten Client-Vermittler und einem zweiten Client-Vermittler bereitgestellter Client ausgebildet, in sichere Kommunikationen mit einer Ressource einzutreten. Der Client ist ausgebildet zum Einrichten einer Vertrauensbeziehung mit einem Sicherheitsverwalter durch die Handlung des ersten Client-Vermittlers. Der zweite Client-Vermittler und ein in einer Ressource aufgenommener zweiter Ressourcen-Vermittler sind ausgebildet zum Einrichten einer Beziehung zwischen dem Client und der Ressource.
  • Die Anpassungen für den zweiten Client-Vermittler umfassen, dass der zweite Client-Vermittler ausgebildet ist zum:
    • – Empfangen eines durch einen Sicherheitsverwalter erzeugten ersten Identifizierers 124 von dem Sicherheitsverwalter.
    • – Empfangen erster Verschlüsselungsdaten 131 von der Ressource.
    • – Ausführen weiterer Netzwerkkommunikationen 12 mit der Ressource mit Verwenden der ersten Verschlüsselungsdaten 131.
  • Die Anpassungen für den zweiten Ressourcenvermittler umfassen, dass der zweite Ressourcenvermittler ausgebildet ist zum:
    • – Einrichten der Gültigkeit des ersten Identifizierers 124.
    • – übertragen erster Verschlüsselungsdaten 131 an den Client bei der Ressource.
    • – Ausführen weiterer Netzwerkkommunikationen 12 mit dem Client mit Verwenden der ersten Verschlüsselungsdaten.
  • Gemäß einem anderen Beispiel ist eine Ressource ausgebildet zum Einrichten einer Vertrauensbeziehung mit dem Sicherheitsverwalter durch die Handlung des ersten Ressourcenvermittlers. Der zweite Ressourcenvermittler ist ausgebildet zum:
    • – Einrichten der Gültigkeit eines durch den Sicherheitsverwalter erzeugten ersten Identifizierers 124, der an den Client übertragen und an die Ressource weitergeleitet ist.
    • – Übertragen erster Verschlüsselungsdaten 131 an den Client bei der Ressource.
    • – Ausführen weiterer Netzwerkkommunikationen 12 mit dem Client mit Verwenden der ersten Verschlüsselungsdaten.
  • Kurze Beschreibung der Zeichnungen
  • Zum besseren Verständnis der Erfindung, und um zu zeigen, wie dieselbe umgesetzt werden kann, wird nun beispielhaft auf die begleitenden Zeichnungen verwiesen werden.
  • 1 zeigt beispielhaft die mobilen verteilten Anwendungsumgebungen.
  • 2 zeigt einen ersten Netzwerkauthentifizierungsprozess nach dem Stand der Technik.
  • 3 zeigt einen zweiten Netzwerkauthentifizierungsprozess nach dem Stand der Technik.
  • 4 zeigt einen dritten Netzwerkauthentifizierungsprozess nach dem Stand der Technik.
  • 5 zeigt ein Verfahren zum Einrichten sicherer Netzwerkkommunikationen zwischen einer Client-Vorrichtung und einer Ressource gemäß einer ersten Ausführungsform der vorliegenden Erfindung.
  • 6 zeigt ein Verfahren zum Einrichten sicherer Netzwerkkommunikationen zwischen einer Client-Vorrichtung und einer Ressource gemäß einer zweiten Ausführungsform der vorliegenden Erfindung.
  • 7 zeigt ein Verfahren zum Einrichten sicherer Netzwerkkommunikationen zwischen einer Client-Vorrichtung und einer Ressource gemäß einer dritten Ausführungsform der vorliegenden Erfindung.
  • 8 zeigt ein Verfahren zum Einrichten sicherer Netzwerkkommunikationen zwischen einer Client-Vorrichtung und einer Ressource gemäß einer vierten Ausführungsform der vorliegenden Erfindung.
  • 9 zeigt ein Verfahren zum Einrichten sicherer Netzwerkkommunikationen zwischen einer Client-Vorrichtung und einer Ressource gemäß einer fünften Ausführungsform der vorliegenden Erfindung.
  • 10 zeigt weitere Details der Ressource der vorliegenden Erfindung gemäß einer Ausführungsform.
  • 11 zeigt weitere Details des sicheren Verwalters der vorliegenden Erfindung gemäß einer Ausführungsform.
  • 12 zeigt weitere Details der Client-Vorrichtung der vorliegenden Erfindung gemäß einer Ausführungsform.
  • 13 zeigt ein Verfahren zum Einrichten sicherer Netzwerkkommunikationen zwischen einer Client- Vorrichtung und einer Ressource gemäß einer sechsten Ausführungsform der vorliegenden Erfindung.
  • 14 zeigt ein Verfahren zum Einrichten sicherer Netzwerkkommunikationen zwischen einer Client-Vorrichtung und einer Ressource gemäß einer Weiterentwicklung der Ausführungsform von 13.
  • Detaillierte Beschreibung der bevorzugten Ausführungsformen
  • Die vorliegende Erfindung ist besonders geeignet für die Einrichtung sicherer Kommunikationen zwischen einer Ressource und externen Clients, so wie mobilen Clients. Die Ressource kann eine Software-Anwendung sein, gespeichert oder anders zugreifbar über einen Anwendungsserver. Wie oben mit Verweis auf 1 diskutiert, kann eine typische Umgebung, in der die vorliegende Erfindung in Kraft gesetzt werden kann, eine Ressource 201 in einem Privatnetzwerk umfassen, auf welche ein externer Benutzer den Zugriff mittels einer von einer Vielfalt von Netzwerk-Client-Vorrichtungen 301, 302, 303 erlangen möchte, auf die dieser Benutzer Zugriff haben kann, d.h. in seiner persönlichen Domäne 300. Die Ressource kann ein Element eines Privatnetzwerks 200 umfassen, zum Beispiel einen Server 201, das möglicherweise einen Zugriff auf einen Teil des Netzwerks 202, 203 steuert. Die Ressource kann ein gegebenes Datenstück 203 bei einem Server oder verteilt über ein Netzwerk sein. Endsysteme in der persönlichen Domäne eines externen Benutzers können von Chipkarten über Mobiltelefone bis zu Laptops rangieren. Es gibt klare Unterschiede zwischen Vorrichtungen hinsichtlich CPU-Leistung, Speicheranzeigegrößen usw. An dem untersten Ende unter Betrachtung derer haben wir Chipkarten usw., wohingegen ein Laptop als das obere Ende betrachtet werden kann. Andererseits können flexiblere Systeme verletzlicher für Sicherheitsdrohungen und Angriffe sein. Es kann sehr gut sein, dass der externe Benutzer ein mobiler Benutzer ist, dessen Vorrichtungen miteinander mittels Drahtloseinrichtungen, oder über ein drahtgebundene/verdrahtete Kanäle, optische Kanäle oder irgendwelche anderen der vielen Kommunikationskanaltypen verbunden sein können, die dem Fachmann leicht einfallen können, oder irgendeine Kombination davon. Einige oder sämtliche der Vorrichtungen können auch mit Einrichtungen für eine direkte Kommunikation mit dem privaten Netzwerk oder mit dem privaten Netzwerk über ein öffentliches Netzwerk 400 bereitgestellt sein, so wie zum Beispiel dem Internet. Diese Kommunikation kann auch durch drahtlose oder über drahtgebundene/verdrahtete Kanäle, optische Kanäle, oder irgendeinen der vielen Kommunikationskanaltypen erfolgen, die leicht dem Fachmann einfallen würden, oder irgendeine Kombination davon. Immer wenn Verbindungen verwendet werden, wird angenommen, dass eine Ende-zu-Ende-Verbindung vor der Initiierung eines Authentifizierungsprotokolls eingerichtet ist, oder anderenfalls ohne Interferieren mit dem Prozess eingerichtet werden kann.
  • Externe Anwender, so wie Arbeitnehmer, haben die Wahl vieler externer Vorrichtungen als Ausführungsumgebungen für verteilte Anwendungen. Es könnte vernünftig sein, einen Laptop zu verwenden, um große Arbeitsblätter zu aktualisieren, wohingegen eine andere Anwendung, ein Überprüfen einer Arbeitszuweisung, nur ein Mobiltelefon erfordern kann, um auf die jeweiligen Daten in dem privaten Netzwerk zuzugreifen.
  • Die folgenden Begriffe werden in der gesamten Beschreibung verwendet. Die folgenden Erläuterungen werden mittels eines Beispiels angeboten.

  • Autorisierungsverletzung: eine Einheit verwendet eine Ressource, die sie beabsichtigungsgemäß nicht verwenden soll.
    Verantwortlichkeit: es sollte möglich sein, die für irgendein Kommunikationsereignis verantwortliche Einheit zu identifizieren.
    Authentifizierung: der Prozess zum Durchführungen einer Identitätsverifizierung von entweder einem Mensch oder einer Vorrichtung oder einer Anwendung.
    Verfügbarkeit: Anwendungen, Vorrichtungen und Dienste sollte verfügbar sein und korrekt funktionieren.
    Trägervorrichtung: eine mobile Vorrichtung, die physikalisch den Sicherheitsverwalter hostet bzw. aufnimmt.
    Zertifikat: Benutzerberechtigungsnachweismenge, durch einen vertrauenswürdigen dritten Beteiligten (Zertifizierungsautorität) validiert und gegen Fälschung geschützt.
    Client-Verband: irgendeine Anzahl von Client-Vorrichtungen, die mit einem Sicherheitsverwalter authentifiziert haben, und die fähig sind zum Austauschen von Daten über gesicherte Kanäle.
    Vertraulichkeit: übertragene oder gespeicherte Daten sollten nur einem beabsichtigten Publikum preisgegeben werden.
    Kontrollierter Zugriff: nur autorisierte Einheiten sollten zum Zugreifen auf gewissen Dienste oder Daten fähig sein.
    Datenintegrität: Datenmodifizierungen sollten erfassbar sein.
    Verweigerung von Kommunikationshandlungen (Zurückweisung): eine Einheit verweigert fälschlicherweise ihre Teilnahme an einem Ereignis so wie irgendeiner Transaktion oder einem Kommunikationsereignis.
    Mithören: eine Einheit liest Daten, die sie beabsichtigungsgemäß nicht lesen soll.
    Datenfälschung: eine Einheit erzeugt neue Daten in dem Namen einer anderen Einheit.
    Verlust oder Modifizierung von Daten: eine Einheit kann erfassen, dass in einer Sequenz empfangener Datenpakete ein oder mehrere Pakete fehlen; eine Einheit kann erfassen, dass ein empfangenes Datenpaket oder Teile davon geändert worden sind.
    Maskierung: eine Einheit gibt vor, eine andere Einheit zu sein.
  • Gemäß den Ausführungsformen der vorliegenden Erfindung werden sichere Kommunikationen zwischen einer Menge externer Client-Vorrichtungen und einer Ressource, zum Beispiel ein Server in einem privaten Netzwerk, eingerichtet durch Authentifizieren von Client-Vorrichtungen untereinander und mit der Ressource, und Verteilen von Verschlüsselungsdaten, so wie Verschlüsselungsschlüsseln zwischen authentifizierten Clients und den authentifizierten Clients und der Ressource. Im Besonderen ist ein Sicherheitsverwalter bereitgestellt, um als eine Zwischeneinheit zwischen den vielfältigen externen Vorrichtungen und der Ressource zu agieren, und vorzugsweise, um zu garantieren, dass keine unautorisierte Vorrichtung oder eine Vorrichtung, die gefälscht oder an der herumgebastelt oder die andersartig nachgebildet ist, an der Kommunikation teilnimmt. Die resultierende gesicherte Client-Domäne wird als Client-Verband bezeichnet. Der Sicherheitsverwalter kann in eine Client-Vorrichtung integriert sein oder anderenfalls eine Netzwerkkommunikationskapazität seiner selbst haben.
  • Aus dem Blickpunkt der Firma, d.h. dem Benutzer der Ressource, können der Sicherheitsverwalter und die darin gespeicherten Benutzerberechtigungsnachweise die einzig vertrauenswürdigen Elemente in der persönlichen Domäne eines externen Benutzers sein. Um sichere Ende-zu-Ende-Verbindungen zwischen individuellen Client-Vorrichtungen als auch zwischen Client-Vorrichtungen und einem Firmennetzwerk einzurichten, erfüllt der Sicherheitsverwalter die Funktionen zum Authentifizieren von Client-Vorrichtungen, Ausstellen von Berechtigungsnachweisen für Client-Vorrichtungen, die in der Authentifizierung mit dem privaten oder Firmennetzwerk verwendet werden können, und Durchführen einer Schlüsselerzeugung und eines Datenunterzeichnens. Obwohl die vorliegende Erfindung im Allgemeinen in Form von Kommunikationen beschrieben wird, die einen Client, einen Sicherheitsverwalter und einen Server involvieren, wird der Fachmann erkennen, dass die vorliegende Erfindung gleichermaßen auf irgendeine Anzahl von Client-Vorrichtungen involvierende Kommunikationen Anwendung findet.
  • Als ein vorläufiger bzw. vorbereitender Schritt identifiziert der externe Benutzer vorzugsweise sich selbst als einen berechtigten Benutzer gegenüber dem Sicherheitsverwalter, zum Beispiel durch Eingeben einer Geheiminformation in die Benutzerschnittstelle, zum Beispiel durch Tippen eines korrekten Passierungsausdrucks (PIN oder Passwort) in eine den Sicherheitsverwalter hostende bzw. beherbergende Vorrichtung, was den Sicherheitsverwalter aktiviert.
  • Client-Vorrichtungen können ferner sich selbst gegenüber anderen Client-Vorrichtungen und gegenüber Elementen des privaten Netzwerks, zum Beispiel einer Firmendomäne, so wie einem privaten Server und/oder anderen Ressourcen, identifizieren. Diese Ressourcen können sich in der privaten Domäne oder dem Netzwerk wie unten beschrieben befinden.
  • Wie oben diskutiert, ist es wünschenswert, dass gewisse Sicherheitserfordernisse in der Umgebung der vorliegenden Erfindung erfüllt sind. Diese enthalten, dass der Server 201, der die Rolle eines Anwendungsservers erfülle kann, einen Nachweis der Identität kommunizierender Peers oder Client-Einheiten hat. Auf dieses wird als Authentifizierung verwiesen. Dieser Zugriff auf Ressourcen sollte vorzugsweise auf der Grundlage eines passenden Authentifizierungsmechanismus gewährt werden, anderweitig als Autorisierung bekannt. Mit anderen Worten wird der Zugriff auf eine Ressource vorzugsweise nur authentifizierten Einheiten gewährt. Schließlich sollte vorzugsweise jedes Kommunikationsereignis berücksichtigt werden, so dass sie zurückverfolgt werden können. Dieses ist als Nicht-Zurückweisung bekannt.
  • Zum Authentifizieren des Client initiiert die Ressource zuerst eine Authentifizierung durch Senden einer Authentifizierungsanforderung an die Client-Vorrichtung. Diese Anforderung wird an den mit dem Client verknüpften Sicherheitsverwalter weitergeleitet.
  • Der Sicherheitsverwalter tritt in die Netzwerkkommunikation ein, zum Beispiel mit Verwenden der Kommunikationsfunktionen oder eines Hosts oder einer Trägervorrichtung, in der er aufgenommen oder anderweitig mit verknüpft sein kann, so wie ein Mobiltelefon, um einen Passierungsausdruck von dem Benutzer anzufordern. Dieser Code könnte eine PIN oder ein Passwort sein. Wenn der Passierungsausdruck erfolgreich verifiziert ist, fährt der Sicherheitsverwalter mit der Authentifizierungsprozedur fort. Diese kann tatsächlich stattfinden, immer wenn die Host-Vorrichtung, in der der Sicherheitsverwalter aufgenommen ist, angetrieben wird.
  • Der Sicherheitsverwalter sendet eine Authentifizierungsantwort mit einem Identifizierer seiner selbst zurück, so wie sein eigenes Zertifikat als einen Parameter. Dieser Identifizierer wird vorzugsweise durch den Besitzer der Ressource ausgestellt. Dieser Identifizierer kann selbst verschlüsselt sein zum Beispiel mit einem öffentlichen Schlüssel des Sicherheitsverwalters oder mit dem öffentlichen Schlüssel des Client. Dieser öffentliche Schlüssel kann ferner in dem Identifizierer enthalten sein.
  • Die Ressource verifiziert die empfangene Identifiziererzertifizierung, erzeugt einen Sitzungsschlüssel, so wie den öffentlichen Schlüssel des Sitzungs-Hosts, und gibt ihn an den Host oder die Trägervorrichtung zurück. Es wird, mit anderen Worten, eine Authentifizierungsbestätigung übertragen.
  • Wenn eine gegenseitige Authentifizierung erforderlich ist, kann die Ressource ihren eigenen Identifizierer, so wie ihr Zertifikat mit entweder der ersten Authentifizierungsanforderung oder der Authentifizierungsbestätigung senden. Der Host oder die Trägervorrichtung sollten fähig sein zu verifizieren des Identifizierers der Ressource mit Verwenden der vorinstallierten Identifizierer der Zertifikatautoritäten.
  • Dieses Szenario kann erweitert werden durch Hinzufügen einer separaten Client-Vorrichtung, zum Beispiel eines Laptops. Auf dieselbe Weise wie oben beschrieben, wird der Sicherheitsverwalter beispielsweise in einem Mobiltelefon gehostet bzw. beherbergt. Die Authentifizierung als auch eine Schlüsselaushandlung und ein Austausch werden nun für beide Mobilvorrichtungen durchgeführt, um schließlich sichere Ende-zu-Ende- (E2E) Verbindungen einzurichten.
  • Es wird angenommen, dass die Client-Vorrichtung einen Identifizierer hält, der durch dieselbe Firma ausgestellt ist, die für die Sicherheitsverwalter-Host-Client-Vorrichtung und den Sicherheitsverwalter verantwortlich ist.
  • In dem Client-Verband des vertrauenswürdigen Sicherheitsverwalters und der Client-Vorrichtung stellt der Sicherheitsverwalter einfach sicher, dass der Laptop der berechtigte Inhaber des Zertifikates ist. Zum Beispiel akzeptiert ein Server in einem privaten Netzwerk, so wie einem Firmennetzwerk, nur Zertifikate, die durch den Sicherheitsverwalter validiert, d.h. unterzeichnet, sind.
  • Die Situation, in welcher der Client einen Identifizierer eines dritten Beteiligten trägt, wird nun betrachtet werden. Es ist in der Verantwortlichkeit des Sicherheitsverwalters, nicht nur zu verifizieren, dass der Identifizierer gültig ist, d.h., dass er zu der Einheit gehört, sondern auch zu verifizieren, dass der Client und der Identifizierer aneinander gebunden sind.
  • Letztlich muss der Sicherheitsverwalter der Ressource nachweisen, dass der Client vertrauenswürdig ist.
  • In dem Folgenden wird eine Ausführungsform der Erfindung mit Verweis auf 5 beschrieben werden.
  • 5 zeigt ein Verfahren zum Einrichten sicherer Netzwerkkommunikationen zwischen einer Client-Vorrichtung und einer Ressource gemäß einer ersten Ausführungsform der vorliegenden Erfindung.
  • Gemäß diesem Verfahren ist ein Client 111 und eine Ressource 112 bereitgestellt. Der Client ist in einer oder mehreren externen Vorrichtungen verteilt und übernimmt die Rolle eines Peers oder eines Clients, wie mit Verweis auf den Stand der Technik beschrieben. Die zweite Netzwerkeinheit ist ein Server oder eine Ressource, zum Beispiel in einem privaten Netzwerk wie oben beschrieben gelegen, mit der der Client interagieren kann, um davon Daten zu empfangen. Obwohl in der gesamten Beschreibung auf Netzwerkeinheiten, so wie Sicherheitsverwalter, Ressource, Server usw. verwiesen werden wird, können diese Begriffe eine große Menge an Hilfshardware, Software usw. umspannen, die es der erwähnten Vorrichtung ermöglichen, ihre Aufgaben wie in der Erfindung beschrieben durchzuführen, und andere gewünschte Aktivitäten. Im Besonderen kann der Server oder die Ressource tatsächlich ein gesamtes privates Netzwerk, zum Beispiel ein Firmennetzwerk umfassen.
  • Gemäß dieser Ausführungsform ist ferner ein Sicherheitsverwalter 1131 bereitgestellt. Der Sicherheitsverwalter ist vorzugsweise eine manipulationssichere Vorrichtung, die Berechtigungsnachweise und kryptographische Schlüssel speichern kann, und Verschlüsselungs- und Entschlüsselungsoperationen durchführen kann, als auch vorzugsweise eine Schlüsselerzeugung und ein Datenunterzeichnen ausführen kann.
  • Die erste Netzwerkeinheit oder Client 111 und die Sicherheitsverwalter-Host-Vorrichtung 113 können jeweils ein für eine Netzwerkaktivität fähiges Element enthalten, in Software, Hardware oder irgendeiner Kombination der zwei implementiert. Vorzugsweise sind die erste Netzwerkeinheit oder Client und die Manager-Host-Vorrichtung jeweils eine Standalone-Netzwerkvorrichtung, einschließlich geeigneter Firmware und Software, zum Beispiel ein Personalcomputer, und im Besonderen ein Laptopcomputer, ein Telefon und im Besonderen ein Mobiltelefon, ein Pager, ein Minicomputer (PDA) oder irgendeine andere für Netzwerkkommunikationen fähige Vorrichtung. Gemäß einer Ausführungsform umfasst die erste Netzwerkeinheit 111 oder Client-Vorrichtung einen Laptopcomputer mit Einrichtungen zum Einrichten von Netzwerkkommunikationen, und die Manager-Host-Vorrichtung 1131 ein Mobiltelefon. Der Sicherheitsverwalter oder Vorrichtung 1131 kann zum Beispiel eine SIM-Karte, eine Chipkarte bzw. Smartcard, einen spezialisierten Siliziumchip, einen kundenanpassbaren Chip oder eine Speichervorrichtung mit angemessenen Daten, oder eine zum Ausführungen der Ausführungsform wie angemessen ausgebildete Softwareroutine, oder irgendeine der vielfältigen anderen Techniken umfassen, die dem Fachmann regulär einfallen werden.
  • Eine Ressource ist ferner bereitgestellt und kann ein privates Netzwerk oder eine Domäne umfassen, so wie ein Firmennetzwerk, oder irgendeine andere Netzwerkeinheit, d.h. irgendein für eine Netzwerkaktivität fähiges Element, wie oben beschrieben, mit welchem/welcher eine sichere Kommunikation erforderlich ist.
  • Die erste Netzwerkeinheit oder der Client und die Manager-Host-Vorrichtung können mit einem Mobilzellular-Telekommunikationsnetzwerk verbinden, so wie GSM (Global System for Mobile Communication), GPRS (General Packed Radio System) oder 3G (Universal Mobile Telecommunications System) oder irgendeinem anderen drahtlosen oder drahtgebundenen Kommunikationssystem, wie es dem Fachmann leichtfertig einfallen wird, oder sich in einen Drahtlos-Hotspot bewegen, zum Beispiel WLAN (Wireless LAN). Da es angenommen werden kann, dass jede Netzwerktopologie ihr eigenes Authentifizierungs- und Sicherheitsschema (wenn überhaupt) hat und manche der Schemas in Verwendung außerhalb der Steuerung der privaten Domäne sind, ist die einzig realisierbare Lösung zum Ermöglichen sicherer mobiler verteilter Anwendungen, dass alle erforderlichen Sicherheitsmechanismen durch die private Domäne oder die Firmendomäne unterstützt werden und innerhalb der privaten Domäne oder dem Firmennetzwerk anwendbar sind, als auch zwischen mobilen Vorrichtungen und der privaten Domäne.
  • Gemäß dieser Ausführungsform ist dieser Sicherheitsverwalter ausgebildet zum Erzeugen eines ersten Identifizierers, der die Rolle eines temporären Zertifikates annehmen kann, und zum Übertragen davon, üblicherweise mittels der Netzwerksysteme der Verwalter-Host-Vorrichtung, in die der Sicherheitsverwalter oder Verwalter integriert ist, an die erste Netzwerkeinheit oder den Client. Die erste Netzwerkeinheit oder der Client ist ausgebildet zum Empfangen dieses ersten Identifizierers von dem Sicherheitsverwalter, und zum erneuten Übertragen davon an die Ressource. Diese Ressource ist ausgebildet zum Empfangen des ersten Identifizierers, und zum Einrichten der Gültigkeit dieses Identifizierers. Dieser Validierungsprozess kann zum Beispiel Schritte zum Bestimmen enthalten, dass der empfangene Identifizierer tatsächlich von dem Sicherheitsverwalter abstammte, und dass er dem Client eine Anspruchsberechtigung zum Zugreifen auf die Ressource verleiht.
  • Wo solch eine Gültigkeit eingerichtet ist, ist die Ressource ferner ausgebildet zum Übertragen erster Verschlüsselungsdaten an den Client. Diese ersten Verschlüsselungsdaten können einen Sitzungsschlüssel, oder andere eine verschlüsselte oder anderweitig sichere Kommunikation ermöglichende Daten umfassen. Wo der erste Identifizierer ein temporäres Zertifikat ist, ist er vorzugsweise verschlüsselt, zum Beispiel durch Verwenden des öffentlichen Schlüssels des Sicherheitsverwalters 1131, oder mit dem öffentlichen Schlüssel des Client, wobei er in diesem Fall mit dem privaten Schlüssel des Sicherheitsverwalters bzw. dem privaten Schlüssel des Client entschlüsselt werden kann. Dann können Kommunikationen zwischen dem Client und der Ressource folgen mit Verwenden der ersten Verschlüsselungsdaten. In der Praxis können sowohl der Client als auch die Verwalter-Host-Vorrichtung elektronische Vorrichtungen sein, die durch einen externen Benutzer verwendet sind, der auf Daten auf der zweiten Netzwerkeinheit oder Ressource 112 mittels dem Client zugreifen möchte.
  • Eine Vertrauensbeziehung wird somit zwischen dem Client 111 und Sicherheitsverwalter 113 eingerichtet, auf der Grundlage welcher der Sicherheitsverwalter 113 autorisiert wird, dem Client 111 den ersten Identifizierer 124 bereitzustellen, mit Anweisen der Ressource, der ersten Netzwerkeinheit oder Client 111 die ersten Verschlüsselungsdaten 131 bereitzustellen, und in sichere Kommunikationen auf der Grundlage der Verschlüsselungsdaten 131 danach einzutreten.
  • Somit ist der Client 111 nur fähig, in sichere Kommunikationen mit der Ressource einzutreten, wenn er den Sicherheitsverwalter 1131 autorisiert ist, dieses zu tun. Somit wird eine Vertrauensbeziehung zwischen Client und Ressource eingerichtet.
  • Somit betrifft die Erfindung ein Verfahren zum Einrichten sicherer Netzwerkkommunikationen zwischen einem Client und einer Ressource mit den Schritten zum: Einrichten einer Vertrauensbeziehung zwischen einem Sicherheitsverwalter und dem Client, Erzeugen eines ersten Identifizierers 124 bei dem Sicherheitsverwalter und Übertragen des Identifizierers an den Client von dem Sicherheitsverwalter, Übertragen des ersten Identifizierers 124 von dem Client an die Ressource, Einrichten der Gültigkeit des ersten Identifizierers 124 bei der Ressource; Übertragen erster Verschlüsselungsdaten 131 von der Ressource an den Client, und Ausführen weiterer Netzwerkkommunikationen 12 zwischen dem Client und der Ressource mit Verwenden der ersten Verschlüsselungsdaten 131.
  • Als eine Entwicklung dieses Verfahrens umfasst der Schritt zum Einrichten einer Vertrauensbeziehung zwischen dem Sicherheitsverwalter und dem Client die weiteren Schritte zum: Übertragen eines mit dem Client verknüpften zweiten Identifizierers 123 von dem Client an den Sicherheitsverwalter; und Einrichten der Gültigkeit des zweiten Identifizierers 123 bei dem Sicherheitsverwalter.
  • Als eine Weiterentwicklung dieses Verfahrens kann es den weiteren Schritt zum Einrichten einer Vertrauensbeziehung zwischen der Ressource und dem Sicherheitsverwalter vor dem Erzeugen des ersten Identifizierers umfassen.
  • Als noch eine Weiterentwicklung dieses Verfahrens kann der Schritt zum Einrichten einer Vertrauensbeziehung zwischen der Ressource und dem Sicherheitsverwalter die weiteren Schritte zum Übertragen eines mit einem Sicherheitsverwalter verknüpften dritten Identifizierers 122 von dem Sicherheitsverwalter an die Ressource; und Einrichten der Gültigkeit des dritten Identifizierers 122 bei der Ressource umfassen.
  • Als eine Weiterentwicklung dieses Verfahrens kann der Schritt zum Einrichten einer Vertrauensbeziehung zwischen der Ressource und dem Sicherheitsverwalter die weiteren Schritte umfassen zum Übertragen von mit der Ressource verknüpften zweiten Verschlüsselungsdaten 132 von der Ressource an den Sicherheitsverwalter und Ausführen weiterer Netzwerkkommunikationen 11 zwischen der Ressource und dem Sicherheitsverwalter mit Verwenden der zweiten Verschlüsselungsdaten 132.
  • Als eine Weiterentwicklung dieses Verfahrens kann der Schritt zum Einrichten einer Vertrauensbeziehung zwischen der Ressource und dem Sicherheitsverwalter die weiteren Schritte umfassen zum Übertragen eines mit der Ressource verknüpften vierten Identifizierers 121 von der Ressource an den Sicherheitsverwalter; und Einrichten der Gültigkeit des vierten Identifizierers 121 bei dem Sicherheitsverwalter.
  • Als eine Weiterentwicklung dieses Verfahrens kann wenigstens einer der Schritte zum Einrichten einer Vertrauensbeziehung zwischen der Ressource und dem Sicherheitsverwalter, Einrichten einer Vertrauensbeziehung zwischen dem Sicherheitsverwalter und dem Client, und Einrichten einer Vertrauensbeziehung zwischen dem Client und der Ressource wiederholt werden.
  • Als eine Weiterentwicklung dieses Verfahrens kann die Wiederholung des wenigstens eines Schrittes bei vorbestimmten Intervallen oder zufälligen Intervallen ausgeführt werden.
  • Die Erfindung kann auch in Form eines Kommunikationsnetzwerks für sichere Netzwerkkommunikationen zwischen einem Client und einer Ressource beschrieben werden, umfassend: einen Client, bereitgestellt mit einem ersten Client-Vermittler und einem zweiten Client-Vermittler; eine Ressource, bereitgestellt mit einem ersten Ressourcenvermittler und einem Ressourcenvermittler; und einen Sicherheitsverwalter zum Erzeugen eines ersten Identifizierers, und zum Übertragen davon an den zweiten Client-Vermittler.
  • Wobei der zweite Client-Vermittler und der zweite Ressourcenvermittler ausgebildet sind zum Einrichten einer Beziehung zwischen dem Client und der Ressource.
  • Die Anpassungen für den zweiten Client-Vermittler umfassen, dass der zweite Client-Vermittler ausgebildet ist zum: Empfangen des ersten Identifizierers 124 von dem Sicherheitsverwalter, Übertragen des ersten Identifizierers 124 an die Ressource zur Validierung, Empfangen erster Verschlüsselungsdaten 131 von der Ressource und Ausführen sicherer Netzwerkkommunikationen 12 mit der Ressource mit Verwenden der ersten Verschlüsselungsdaten 131.
  • Die Anpassungen für den zweiten Ressourcenvermittler umfassen, dass der zweite Ressourcenvermittler ausgebildet ist zum: Einrichten der Gültigkeit des ersten Identifizierers, Übertragen der ersten Verschlüsselungsdaten 131 an den Client, und Ausführen weiterer Netzwerkkommunikationen 12 mit dem Client mit Verwenden der ersten Verschlüsselungsdaten 131.
  • Diese Prozedur ist in Szenarien anwendbar, wo Benutzer einen Zugriff mittels verteilter Anwendungen auf ein Firmennetzwerk erfordern, wo die Benutzer irgendeine Anzahl von Mobilvorrichtungen nutzen, und wo ein Zugriff auf ein Firmennetzwerk von irgendeiner Mobilvorrichtung in Verwendung sicher sein muss. Mit anderen Worten authentifizieren sich eine Menge von Vorrichtungen und ein Privatnetzwerk gegenseitig, dass Sitzungsschlüssel zwischen der Menge von Vorrichtungen und dem privaten Netzwerk verteilt werden und dass wenigstens eine Einheit einen privaten Schlüssel zum Durchführen eines Datenunterzeichnens bzw. Datensignierens hält. Die vorliegende Erfindung ist zum Beispiel gut geeignet für ein Geschäft-zu-Arbeitnehmer-Szenario.
  • Diese Lösung adressiert die Schwächen in dem Stand der Technik beim Aufbauen eines Vertrauens zwischen sämtlichen involvierten Beteiligten, die über ein Netzwerk kommunizieren, dem nicht vertraut werden kann, so dass das Firmennetzwerk einen Nachweis über die Identitäten sämtlicher in einem Kommunikationsereignis, so wie einer Geschäftstransaktion, involvierten Einheiten hat. Ähnlich haben sämtliche mobile Client-Vorrichtungen einer kenntlichen Menge von Vorrichten einen Nachweis über die Identität jeder anderen mobilen Vorrichtung in dieser Menge und über die Identität der Firmendomäne. Zwischen mobilen Vorrichtungen und zwischen mobilen Vorrichtungen und dem Netzwerk ausgetauschte Nachrichten werden auch gegen Mithören und eine Modifizierung (einschließlich eines Verlustes) geschützt, und sämtliche Kommunikationsereignisse können für eine Nicht-Zurückweisung berücksichtigt werden.
  • Dieses Verfahren ist in einer Umgebung anwendbar, wo die Anzahl und der Typ von Client-Vorrichtungen nicht im Voraus bekannt ist und wo dem Kommunikationsnetzwerk zwischen mobilen Vorrichtungen und zwischen mobilen Vorrichtungen und dem Firmennetzwerk nicht getraut werden kann.
  • Optional kann eine Verschlüsselung der ersten Verschlüsselungsdaten 131 mit dem öffentlichen Schlüssel des Sicherheitsverwalters eingeführt werden, um dem Sicherheitsverwalter (und indirekt der Ressource) eine zusätzliche Sicherheitsebene zu geben, wie es bei der Zeit des Sendens der ersten Verschlüsselungsdaten erforderlich ist, dass der Client-Verband immer noch in Betrieb ist, bevor der Client die ersten Verschlüsselungsdaten verwenden kann.
  • Um sicherzustellen, dass der Sicherheitsverwalter und der Client immer noch in einem Verband sind, kann die Authentifizierung von Sicherheitsverwalter und Client und Client und Ressource bei vorbestimmten oder zufälligen Zeiten wiederholt werden. Auf dieser Grundlage kann die Möglichkeit, dass eine Client-Vorrichtung einen Zugriff auf vertrauliche Firmendaten hat, ohne in einen Verband integriert zu sein, außer Acht gelassen werden.
  • 6 zeigt ein Verfahren zum Einrichten sicherer Kommunikationsverbindungen zwischen einer Client-Vorrichtung und einer Ressource gemäß einer zweiten Ausführungsform der vorliegenden Erfindung.
  • Gemäß der in 6 gezeigten Ausführungsform der vorliegenden Erfindung, die eine Weiterentwicklung der oben beschriebenen Ausführungsform ist, ist die erste Netzwerkeinheit oder Client 111 mit einem ersten Client-Vermittler 1111 und einem zweiten Client-Vermittler 1112 bereitgestellt, und die zweite Netzwerkeinheit oder Ressource 112 ist mit einem ersten Ressourcenvermittler 1123 und einem zweiten Ressourcenvermittler 1124 bereitgestellt. Diese Vermittler können mittels Hardware, Firmware oder Software oder irgendeiner Kombination der drei implementiert sein.
  • Dieser erste Client-Vermittler 1111 ist ausgebildet zum Interagieren mit dem Sicherheitsverwalter 1131, um die Vertrauensbeziehung zwischen der ersten Netzwerkeinheit oder Client 111 einzurichten, und die Verwalter-Host-Vorrichtung umfasst einen Sicherheitsverwalter 113. Der zweite Client-Vermittler 1112 ist ausgebildet zum Empfangen des ersten Identifizierers 124 von dem Sicherheitsverwalter 1131 und zum Weiterreichen davon an den zweiten Ressourcenvermittler 1124 bei der zweiten Netzwerkeinheit oder Ressource 112. Ein Prozess 9 wird dann bei der Ressource ausgeführt zum Validieren des ersten Identifizierers 124, wie oben diskutiert. Wenn der erste Identifizierer 124 als gültig befunden wird, leitet dann der zweite Ressourcenvermittler die ersten Verschlüsselungsdaten 131 an den zweiten Client-Vermittler 1112 des Client 111 in einer Nachricht 10 weiter. Der zweite Client-Vermittler 1112 beginnt dann sichere Kommunikationen 12 mit dem zweiten Ressourcenvermittler der Ressource mit Verwenden der ersten Verschlüsselungsdaten 131.
  • Die sichere Natur der sicheren Einheit 1131 der Verwalter-Host-Vorrichtung 113 bedeutet, dass eine Vertrauensbeziehung zwischen den Sicherheitsverwaltern und der zweiten Netzwerkeinheit oder Ressource existieren kann. Wo der erste Identifizierer 124 als bei solch einer vertrauenswürdigen sicheren Einheit 1131 abstammend identifiziert werden kann, kann, mit anderen Worten, die Ressource 112 sicher in eine Kommunikation mit dem Client 111 auf der Grundlage der bekannten Vertrauensbeziehung zwischen der Ressource und dem Sicherheitsverwalter 1131 und der der aktuellen Erfindung als Annahme zugrunde liegenden Vertrauensbeziehung zwischen dem Client 111 und dem Sicherheitsverwalter 1131 eintreten.
  • Der Sicherheitsverwalter ist vorzugsweise manipulationssicher und kann zum Speichern von Benutzerberechtigungsnachweisen verwendet werden. Der Sicherheitsverwalter ist vorzugsweise in eine Trägervorrichtung oder eine Verwalter-Host-Vorrichtung integriert. Kommunikationsverbindungen können zwischen den unterschiedlichen mobilen Vorrichtungen, d.h. der Trägervorrichtung und der Client-Vorrichtung, eingerichtet sein. Diese Vorrichtungen können ferner mit Softwarekomponenten zur Passworteingabe bereitgestellt sein.
  • 7 zeigt ein zweites Verfahren zum Einrichten sicherer Netzwerkkommunikationen zwischen einer Client-Vorrichtung und einer Ressource gemäß einer dritten Ausführungsform der vorliegenden Erfindung.
  • 7, die eine Weiterentwicklung der oben beschriebenen Ausführungsformen ist, zeigt in weiterem Detail, wie die oben diskutierte Vertrauensbeziehung zwischen dem Client 111 und der Verwalter-Host-Vorrichtung 113 mittels des ersten Client-Vermittlers 1111 bzw. dem Sicherheitsverwalter 1131 eingerichtet wird. Der erste Client-Vermittler 1111 sendet einen zweiten Identifizierer 123 in einer Nachricht 5 an den Sicherheitsverwalter 1131 der Verwalter-Host-Vorrichtung 113. Ein Verarbeitungsschritt 6 wird bei dem Sicherheitsverwalter 1131 durchgeführt, um die Gültigkeit des zweiten Identifizierers 123 einzurichten. Wenn der zweite Identifizierer 123 als gültig befunden worden ist, d.h. als eine eine in Frage kommende Client- Vorrichtung darstellend, wird ein erster Identifizierer 124 bei dem Sicherheitsverwalter 1131 erzeugt. Dieser Identifizierer 124 ist vorzugsweise ein temporäres Zertifikat, was den Client-Zugriff auf den Server autorisiert. Dieser erste Identifizierer 124 wird in einer Nachricht 7 an die Client-Vorrichtung übertragen. Die Client-Vorrichtung leitet dann diesen ersten Identifizierer an den Server in einer Nachricht 8 weiter. Der Server führt einen Validierungsprozess 9 auf diesem ersten Identifizierer aus. Dieser Validierungsprozess kann zum Beispiel Schritte zum Bestimmen enthalten, dass der empfangene Identifizierer tatsächlich bei dem Sicherheitsverwalter abstammte, und dass er dem Client eine Anspruchsberechtigung zum Zugreifen auf die Ressource verleiht. Wenn dieser Validierungsprozess 9 erfolgreich ist, erzeugt der Server 112 erste Verschlüsselungsdaten 131, so wie einen Sitzungsschlüssel oder eine verschlüsselte oder anderweitig sichere Kommunikation ermöglichende andere Daten und sendet sie an die Client-Vorrichtung in einer Nachricht 10. Diese ersten Verschlüsselungsdaten werden vorzugsweise mit dem öffentlichen Schlüssel des ersten Identifizierers 124 verschlüsselt, wobei der erste Identifizierer ein Zertifikat ist.
  • Ein sicherer Kanal 12 kann dann zwischen der Client-Vorrichtung und dem Server eingerichtet werden, so dass zum Beispiel der Zugriff auf das private Netzwerk verfügbar gemacht wird. Dieses wird auf der Grundlage eingerichtet, dass der Server 112 dem Sicherheitsverwalter 1131 der Verwalter-Host-Vorrichtung vertraut, die wiederum fähig ist, eine Vertrauensbeziehung mit dem Client 111 einzurichten, so dass beim Empfang des ersten Identifizierers 124 bei dem Server 112 von dem Client 111 der Server oder Ressource 112 weiß, dass dem Client 111 auch vertraut werden kann. Auf dieser Grundlage gibt die zweite Netzwerkeinheit oder Ressource 112 die ersten Verschlüsselungsdaten 131 an die erste Netzwerkeinheit oder Client 111 zurück.
  • 8 zeigt ein Verfahren zum Einrichten sicherer Netzwerkkommunikationen zwischen einer Client-Vorrichtung und einer Ressource gemäß einer vierten Ausführungsform der vorliegenden Erfindung.
  • In dieser Figur, die Weiterentwicklung der oben beschriebenen Ausführungsformen ist, ist in weiterem Detail gezeigt, wie eine Vertrauensbeziehung zwischen der Ressource 112 und Sicherheitsverwalter 1131 der Verwalter-Host-Vorrichtung 113 eingerichtet werden kann. Gemäß dieser Ausführungsform wird ein dritter Identifizierer 122 von dem Sicherheitsverwalter 1131 an den ersten Ressourcenvermittler 1123 der Ressource 112 übertragen. Dieser dritte Identifizierer 122 kann zum Beispiel ein durch die Ressource 112 ausgestelltes Zertifikat umfassen. Der ersten Ressourcenvermittler 1123 empfängt diesen dritten Identifizierer 122, und bestimmt bei dem Verarbeitungsschritt 2 die Gültigkeit des dritten Identifizierers 122. Wenn der dritte Identifizierer 122 als gültig befunden worden ist, d.h., dass er durch eine Einheit ausgestellt worden ist, die für das Vertrauen der zweiten Netzwerkeinheit oder Ressource berechtigt ist. Der erste Ressourcenvermittler der zweiten Netzwerkeinheit oder Ressource 112 gibt zweite Verschlüsselungsdaten 132 an den Sicherheitsverwalter 1131 der Verwalter-Host-Vorrichtung 113 zurück. Der Sicherheitsverwalter 1131 kann dann in sichere Kommunikationen 11 mit der Ressource 112 eintreten.
  • 9 zeigt ein Verfahren zum Einrichten sicherer Netzwerkkommunikationen zwischen einer Client-Vorrichtung und einer Ressource gemäß einer fünften Ausführungsform der vorliegenden Erfindung.
  • Gemäß dieser Ausführungsform, die eine Weiterentwicklung der oben beschriebenen Ausführungsformen ist, kann der erste Ressourcenvermittler 1123 der Ressource 112 ferner ausgebildet sein zum Übertragen, an den Sicherheitsverwalter 1131, eines vierten Identifizierers 121. Ein Verarbeitungsschritt 4 kann dann bei dem Sicherheitsverwalter 1131 ausgeführt werden, um die Gültigkeit dieses vierten Identifizierers einzurichten, so dass eine gegenseitige Vertrauensbeziehung vor dem Anfang sicherer Kommunikationen 11 eingerichtet werden kann. Dieser vierte Identifizierer kann ein Zertifikat der Ressource sein.
  • 10 zeigt weitere Details der Ressource der vorliegenden Erfindung gemäß einer Ausführungsform.
  • Gemäß dieser Ausführungsform umfasst die Ressource 112 eine Speichereinrichtung 1121 und eine Prozessoreinrichtung 1122. Tatsächlich kann die Ressource ein umfangreiches Datennetzwerk umfassen, mit vielen separaten Einheiten mit Verarbeitungsfunktionen, Speicherfunktionen oder Kombinationen beider, zusätzlich zu vielfältigen anderen Funktionen. Die Komponente der Ressource der vorliegenden Erfindung kann somit bei einer Anzahl separater Elemente verteilt sein. Die Ressource 112 der vorliegenden Erfindung kann auch eine Einrichtung zum Kommunizieren zumindest mit dem Client der vorliegenden Erfindung (nicht gezeigt) umfassen. Die Speichereinrichtung 1121 speichert den vierten Identifizierer 121, der ein Zertifikat der Ressource sein kann. Die Speichereinrichtung 1121 speichert außerdem die Daten 1125, auf die der Client 111 gemäß der vorliegenden Erfindung zuzugreifen versucht. Diese Daten können tatsächlich statische Daten, Anwendungsdaten, einen Strom von Kommunikationsdaten, Daten, die durch ein Verarbeiten von Daten abgeleitet sind, die von dem Client von innerhalb der Ressource abstammen, oder irgendeine der Vielzahl von Ressourcen, auf die ein externer Client zugreifen möchte, umfassen. Der Prozessor 1122 umfasst einen ersten Vermittler 1123 und zweiten Vermittler 1124. Dieser erste Ressourcenvermittler 1123 ist in externer Kommunikation mit dem Sicherheitsverwalter 1131, möglicherweise mittels der gemeinsamen Kommunikationseinrichtung, die zu der Ressource gehört, wie oben erwähnt (nicht gezeigt). Der erste Ressourcenvermittler 1123 ist ferner in Kommunikation mit einem Generator für zweite Verschlüsselungsdaten 1126 und einer Validierungseinheit für den dritten Identifizierer 1127. Die Validierungseinheit für den dritten Identifizierer 1127 kann gemäß der vorliegenden Erfindung den dritten Identifizierer 122 von dem Sicherheitsverwalter 1131 empfangen und die Gültigkeit davon bestimmen. Die Validierungseinheit für den dritten Identifizierer 1127 ist mit dem Generator für zweite Verschlüsselungsdaten 1126 gekoppelt, um die Erzeugung und Ausstellung durch den Generator für zweite Verschlüsselungsdaten 1126 der zweiten Verschlüsselungsdaten 132 zu bewirken, zur Übertragung zurück an den Sicherheitsverwalter 1126, zusammen mit dem vierten Identifizierer 121, wie in der Speichereinrichtung 1121 gespeichert. Der Generator für zweite Verschlüsselungsdaten kann ferner mit der Speichereinrichtung 1121 gekoppelt sein, um die zweiten Verschlüsselungsdaten 132 auf der Grundlage darin gespeicherter Information zu erzeugen.
  • Der zweite Ressourcenvermittler 1124 ist in externer Kommunikation mit einem zweiten Client-Vermittler 1121, möglicherweise mittels der gemeinsamen Kommunikationseinrichtung, die zu der Ressource gehört, wie oben erwähnt (nicht gezeigt). Der zweite Ressourcenvermittler 1124 ist ferner in Kommunikation mit einem Generator für erste Verschlüsselungsdaten 1128 und einer Validierungseinheit für den ersten Identifizierer 1129. Die Validierungseinheit für den ersten Identifizierer 1129 kann gemäß der vorliegenden Erfindung den ersten Identifizierer 124 von dem zweiten Client-Vermittler empfangen und die Gültigkeit davon bestimmen. Die Validierungseinheit für den ersten Identifizierer 1129 ist mit dem Generator für eine erste Verschlüsselung 1128 gekoppelt, um die Erzeugung und Ausstellung durch den Generator für erste Verschlüsselungsdaten 1128 der ersten Verschlüsselungsdaten 131 zu bewirken, zur Übertragung zurück an den zweiten Client-Vermittler 1121. Der Generator für erste Verschlüsselungsdaten kann ferner mit der Speichereinrichtung 1121 gekoppelt sein, um die ersten Verschlüsselungsdaten 131 auf der Grundlage darin gespeicherter Information zu erzeugen.
  • Die vorliegende Erfindung ist somit in einer Ressource verkörpert, die ausgebildet ist zum Eintreten in sichere Kommunikationen in einem Netzwerk, wobei die Ressource ausgebildet ist zum Einrichten einer Vertrauensbeziehung mit dem Sicherheitsverwalter durch die Handlung des ersten Ressourcenvermittlers. Der zweite Ressourcenvermittler ist ausgebildet zum: Einrichten der Gültigkeit eines ersten Identifizierers 124, der durch den Sicherheitsverwalter erzeugt ist, der an den Client übertragen und an die Ressource weitergeleitet ist; Übertragen erster Verschlüsselungsdaten 131 an den Client bei der Ressource; Ausführen weiterer Netzwerkkommunikationen 12 mit dem Client mit Verwenden der ersten Verschlüsselungsdaten.
  • 11 zeigt weitere Details des sicheren Verwalters der vorliegenden Erfindung gemäß einer Ausführungsform.
  • Wie in 11 gezeigt, ist eine Verwalter-Host-Vorrichtung 113 bereitgestellt, in die der Sicherheitsverwalter 1131 integriert ist. Der Sicherheitsverwalter selbst kann eine Verarbeitungseinrichtung 1138, eine Speichereinrichtung 1137 und andere funktionale Elemente wie erforderlich zum Ausführen der an den Sicherheitsverwalter zugewiesenen Aufgaben, wie hier diskutiert, aufnehmen. Wie in 11 gezeigt, umfasst der Sicherheitsverwalter eine Validierungseinheit für eine vierte Identität 1134 und eine Validierungseinheit für eine zweite Identität zum Einrichten der Gültigkeit des vierten Identifizierers, wie durch den ersten Ressourcenvermittler vermittelt bzw. des zweiten Identifizierers, wie durch den ersten Client-Vermittler übermittelt. Diese Validierungsprozesse sind der oben referenzierte Validierungsprozess 4 und der Validierungsprozess 6. Diese Funktionen werden im Wesentlichen von der Verarbeitungseinrichtung 1138 durchgeführt. Der Sicherheitsverwalter 1131 ist ferner ausgebildet zum Übermitteln eines dritten Identifizierers 122 und eines ersten Identifizierers 124 oder einer ersten Identifiziereranweisung an den ersten Ressourcenvermittler bzw. den zweiten Client-Vermittler. Diese Identifizierer können einfach in der Speichereinrichtung 1137, oder in der Verarbeitungseinrichtung 1138 erzeugt werden, oder können in der Verarbeitungseinrichtung auf der Grundlage von in der Speichereinrichtung gespeicherten Daten, oder anderweitig abgeleitet, zum Beispiel von einem Echtzeittakt, erzeugt werden.
  • Wie oben beschrieben, umfasst der Verwalter 113 einen Sicherheitsverwalter 1131. Dieser Sicherheitsverwalter 1131 umfasst wiederum eine Verarbeitungseinrichtung 1138 und eine Speichereinrichtung 1137. Die Speichereinrichtung und die Verarbeitungseinrichtung können zusammen in der Weise eines konventionellen Berechnungssystems fungieren. Die Speichereinrichtung 1137 kann irgendeine Datenspeicherungsvorrichtung umfassen, wie es ein Fachmann leicht verstehen wird. Zum Beispiel kann die Speichereinrichtung eine Festplatte, einen Festkörperspeicher, EPROM usw. umfassen. Die Speichereinrichtung speichert einen dritten Identifizierer 122, der ein durch die zweite Netzwerkeinheit oder Ressource 112 ausgestelltes Zertifikat sein kann, und einen ersten Identifizierer 124, der wie oben diskutiert durch die Ressource erkannt wird, als das Ausstellen von Verschlüsselungsdaten 131 an die erste Netzwerkeinheit oder Client 111 autorisierend. Die Speichereinrichtung 1137 kann den dritten Identifizierer 122 und den ersten Identifizierer 124 an den ersten Ressourcenvermittler 1123 bzw. den zweiten Client-Vermittler 112 transferieren, wie oben diskutiert. Dieser Transfer kann unter der Führung der Verarbeitungseinrichtung 1138 ausgeführt werden, über eine in der Verwalter-Host-Vorrichtung enthaltene Netzwerkkommunikationseinrichtung (nicht gezeigt). Die Verarbeitungseinrichtung 1138 ist ferner ausgebildet zum Empfangen des vierten Identifizierers von dem ersten Ressourcenvermittler, und des zweiten Identifizierers von dem ersten Client-Vermittler, wie oben diskutiert, und zum Ausführen eines Verarbeitungsschrittes 4 zum Validieren des vierten Netzwerkidentifizierers in einer Validierungseinheit für den vierten Identifizierer 1134 und eines Verarbeitungsschrittes 6 zum Validieren des zweiten Identifizierers in einer Validierungseinheit für den zweiten Identifizierer 1136. Die Validierungseinheit für den vierten Identifizierer ist ferner konfiguriert, so dass sobald die Gültigkeit des vierten Identifizierers eingerichtet ist, der dritte Identifizierer 122 von der Speichereinrichtung 1137 an den ersten Ressourcenvermittler 1123 übertragen werden kann, wie oben diskutiert, so dass eine gegenseitige Identifizierung der zwei Vorrichtungen ausgeführt wird. Ähnlich ist die zweite Validierungseinheit für den zweiten Identifizierer konfiguriert, so dass, sobald die Gültigkeit des zweiten Identifizierers eingerichtet ist, sie bewirkt, dass der erste Identifizierer 124 von der Speichereinrichtung 1137 an den zweiten Client-Vermittler 112 übertragen wird, so dass eine gegenseitige Identifizierung der zwei Vorrichtungen ausgeführt wird.
  • Während die Ereignissequenz wie oben sein kann, sind andere Ereignissequenzen möglich.
  • Die Verwalter-Host-Vorrichtung ist optional für die vorliegende Erfindung. Vorzugsweise ist jedoch eine Verwalter-Host-Vorrichtung mit einer Kommunikationseinrichtung 1133 zur Kommunikation mit anderen Client-Vorrichtungen und mit der Ressource bereitgestellt, und mit einer Benutzerschnittstelle 1130 für Kommunikationen mit einem Benutzer 14. Der Sicherheitsverwalter kann mit einer Host-Schnittstelle 1132 bereitgestellt sein zum Steuern der Verwalter-Host-Vorrichtung, um korrekt Kommunikationen zu oder von dem Benutzer, Clients, Ressource usw. weiterzugeben. Diese Host-Schnittstelle 1132 kann in der Verarbeitungseinrichtung 1138 implementiert sein.
  • Die Sicherheitsvorrichtung oder Sicherheitsverwalter 1131 können ein privates und öffentliches Schlüsselpaar zur asymmetrischen Verschlüsselung, einen Sitzungsschlüssel zur symmetrischen Verschlüsselung, das eigene Zertifikat der mobilen Benutzer, die notwendigen Zertifikate der ausstellenden Zertifikatautorität (und möglicherweise anderer Einheiten), eine persönliche Identifikationsnummer (PIN), einen Passierungsausdruck oder ein Passwort zum Zugreifen und Aktivieren des Sicherheitsverwalters speichern. Die Sicherheitsvorrichtung oder Sicherheitsverwalter 1131 können außerdem optional eine Widerrufliste von Benutzerzertifikaten speichern. Der Sicherheitsverwalter kann auch die Funktionen zum Durchführen sämtlicher sicherheitsbezogener Operationen ohne Freilegen des privaten Schlüssels an das Äußere des Sicherheitsverwalter einschließlich eines Erzeugens privater/öffentlicher Schlüsselpaare mit einem angemessenen Schlüsselerzeugungsprozess bereitstellen. Er sollte es dem mobilen Benutzer ermöglichen, seine eigene Liste von Zertifizierungsautoritäten (CA) und Zertifikaten zu verwalten. Er kann auch das Senden von Zertifikaten, die Verschlüsselung von Daten mit einem öffentlichen Schlüssel einer anderen Einheit und die Verifizierung der CA-Kette eines Zertifikates einer anderen Einheit behandeln. Diese Funktionen können alternativ an eine vertrauenswürdige Client-Vorrichtung einer definierten Sicherheitsklasse ausgelagert werden. Der Sicherheitsverwalter kann einen kryptographischen Pseudozufallszahl-Generator zum Erzeugen einer Zufälligkeit, vorzugsweise XS.17, FIPS 186-2 gefällig, aufnehmen. Eine Implementierung eines Echtzeittaktes bzw. einer Echtzeituhr ist auch vorzuziehen.
  • Der erste Identifizierer oder die erste Identifiziereranweisung 124 kann eine Codierung umfassen, ausgewählt, um zu bewirken, dass die anderen Elemente des Netzwerks der vorliegenden Erfindung, so wie die Ressource 112 oder Client 111, deren zugeteilte Aufgaben gemäß der Erfindung ausführen. Dieses kann die Aufnahme von in einem Format codierten Anweisungen involvieren, das direkt durch die jeweiligen Elemente interpretiert werden kann, bei einer Vielfalt von Implementierungsebenen, d.h. von dem generischen maschinennahen Code der Vorrichtung selbst bis zu Anweisungen, die nur von einer auf dieser Vorrichtung laufenden bestimmten Anwendung interpretierbar sind.
  • Sowohl sämtliche implementierten Funktionen als auch die Benutzerberechtigungsnachweise des Sicherheitsverwalters werden vorzugsweise durch eine vertrauenswürdige bzw. vertraute Einheit ausgestellt. In einem Geschäft-zu-Arbeitnehmer-Szenario kann die vertrauenswürdige Einheit die Firma selbst sein.
  • Die vorliegende Erfindung ist somit in einem Sicherheitsverwalter zum Einrichten sicherer Kommunikationen in einem Netzwerk verkörpert, wobei der Sicherheitsverwalter ausgebildet ist zum Erzeugen eines ersten Identifizierers 124 oder einer Identifiziereranweisung und zum Übertragen des ersten Identifizierers 124 oder der Identifiziereranweisung an einen in einem Client aufgenommenen zweiten Client-Vermittler zur Interpretation. Die erste Identifiziereranweisung wird so erzeugt, um hervorzurufen, dass der zweite Client-Vermittler die erste Identifiziereranweisung an einen zweiten Ressourcenvermittler erneut überträgt.
  • Die erste Identifiziereranweisung wird ferner so erzeugt, um hervorzurufen, dass der zweite Ressourcenvermittler einen Validierungsprozess 9 initiiert zum Validieren der ersten Identifiziereranweisung, zum Übertragen erster Verschlüsselungsdaten 131 an den zweiten Client-Vermittler und zum Ausführen weiterer Netzwerkkommunikationen 12 mit der Ressource mit Verwenden der ersten Verschlüsselungsdaten 131.
  • 12 zeigt weitere Details der Client-Vorrichtung der vorliegenden Erfindung gemäß einer Ausführungsform. Die Client-Vorrichtung 111 ist vorzugsweise eine konventionelle Vorrichtung, so wie ein Laptopcomputer, ein Mobiltelefon, ein PDA usw., wie oben diskutiert, konfiguriert oder ausgebildet, um die vorliegende Erfindung auszuführen. Demgemäß ist die Client-Vorrichtung 111 mit einer Speichereinrichtung 1114 und einer Verarbeitungseinrichtung 1113 bereitgestellt. Die Client-Vorrichtung ist mit einem ersten Client-Vermittler bereitgestellt, der mit dem Sicherheitsverwalter 1131 wie hier diskutiert agiert, und einem zweiten Client-Vermittler, der sowohl mit dem Sicherheitsverwalter 1131 als auch mit dem zweiten Ressourcenvermittler 1124 interagiert, so wie auch hier beschrieben. Die Client-Vorrichtung 111 ist außerdem vorzugsweise mit einer Benutzerschnittstelle 1110 zur Kommunikation mit einem Benutzer 14 bereitgestellt. Die Client-Vorrichtung 111 ist außerdem mit einer Kommunikationseinrichtung 1115 zur Kommunikation mit anderen Clients, dem Sicherheitsverwalter 1131 möglicherweise über die Zwischeneinrichtung der Verwalter-Host-Vorrichtung 113 und der Ressource 112 bereitgestellt. Die Benutzerschnittstelle 1110 und die Kommunikationseinrichtung 1115 können durch die Verarbeitungseinrichtung 1113 gesteuert werden.
  • Die vorliegende Erfindung ist somit in einem mit einem ersten Client-Vermittler und einem zweiten Client-Vermittler bereitgestellten Client verkörpert, wobei der Client ausgebildet ist zum Eintreten in sichere Kommunikationen mit einer Ressource. Der Client ist ausgebildet zum Einrichten einer Vertrauensbeziehung mit einem Sicherheitsverwalter durch die Handlung des ersten Client-Vermittlers. Der zweite Client-Vermittler und ein in einer Ressource aufgenommener zweiter Ressourcenvermittler sind ausgebildet zum Einrichten einer Beziehung zwischen dem Client und der Ressource.
  • Die Anpassungen für den zweiten Client-Vermittler umfassen, dass der zweite Client-Vermittler ausgebildet ist zum: Empfangen eines durch einen Sicherheitsverwalter erzeugten ersten Identifizierers 24 von dem Sicherheitsverwalter, Empfangen erster Verschlüsselungsdaten 131 von der Ressource und Ausführen weiterer Netzwerkkommunikationen 12 mit der Ressource mit Verwenden der ersten Verschlüsselungsdaten 131. Die Anpassungen für den zweiten Ressourcenvermittler umfassen, dass der zweite Ressourcenvermittler ausgebildet ist zum: Einrichten der Gültigkeit des ersten Identifizierers 124, Übertragen ersten Verschlüsselungsdaten 131, und zum Ausführen weiterer Netzwerkkommunikationen 12 mit dem Client mit Verwenden der ersten Verschlüsselungsdaten.
  • Gemäß einer sechsten Ausführungsform authentifizieren der Sicherheitsverwalter und die Ressource sich gegenseitig miteinander, und ein Sitzungsschlüssel wird dann erzeugt und an den Sicherheitsverwalter gesendet, wie oben diskutiert. Der Sicherheitsverwalter und ein Laptop authentifizieren dann einander. Der Laptop initiiert eine Authentifizierung durch Senden einer jeweiligen Anforderung. Dieser Schritt wird bevorzugt, da anderenfalls die Firmendomäne nicht eine Verbindungsanforderung annehmen kann. Der Sicherheitsverwalter, zum Beispiel eine Chipkarte bzw. Smartcard, verifiziert dann die Identität des Laptops oder validiert, mit anderen Worten, das Zertifikat des Laptops, und stellt ein temporäres Zertifikat aus, das von dem Laptop zum Authentifizieren mit dem Firmennetzwerk verwendet wird. Wenn das temporäre Zertifikat von dem Firmennetzwerk erkannt wird, wird ein Sitzungsschlüssel erzeugt, verschlüsselt mit dem öffentlichen Schlüssel des Sicherheitsverwalters (oder alternativ mit dem öffentlichen Schlüssel des Laptops) und wird an den Laptop zurückgesendet.
  • Eine Verschlüsselung des Sitzungsschlüssels mit dem öffentlichen Schlüssel des Sicherheitsverwalters gibt dem Sicherheitsverwalter (und indirekt der Firmendomäne) eine zusätzliche Sicherheitsebene, da es zu der Zeit des Sendens des Sitzungsschlüssels erforderlich ist, dass der Client-Verband noch in Betrieb ist, bevor die mobile Vorrichtung Verwendung von dem Sitzungsschlüssel machen kann.
  • Um sicherzustellen, dass der Sicherheitsverwalter und die Laptop-Vorrichtung noch in einem Verband sind, wird die obige Authentifizierung von Sicherheitsverwalter und Laptop und Laptop und Firmennetzwerk bei vorbestimmten oder zufälligen Zeiten wiederholt. Wenn dieses zu einer allgemeinen Regel gemacht wird, können wir ausschließen, dass eine Client-Vorrichtung auf vertrauliche Firmendaten zugreifen kann, ohne in einen Verband integriert zu sein.
  • Ureingabe eines Client-Verbandes
  • Zur Authentifizierung sind Zertifikate, persönliche Identifizierungsnummern (PINs) und Passwörter alle möglich, in Abhängigkeit von der Natur der betroffenen Vorrichtung. Zertifikate und PINs sind besonders angemessen in dem Fall eines Sicherheitsverwalters, so wie einer Chipkarte, während Passwörter, möglicherweise in Kombination mit einem Zertifikat, in dem Fall eines Laptops oder von Minicomputern (PDA) ins Auge gefasst werden. Zertifikate werden entweder direkt (Firma) oder durch einen dritten Beteiligten ausgestellt. Dieses ist bedeutsam, wenn beliebige Vorrichtungen, so wie Laptops oder PDAs, authentifiziert und in einen Client-Verband integriert werden.
  • 13 zeigt ein Verfahren zum Einrichten sicherer Netzwerkkommunikationen zwischen einer Client-Vorrichtung und einer Ressource gemäß einer siebten Ausführungsform der vorliegenden Erfindung.
  • Die oben beschriebenen Ausführungsformen reichen aus, wenn die einem Verband beitretende externe Vorrichtung Daten hält, um sich selbst zu identifizieren. In manchen Situationen sind solche Daten jedoch nicht verfügbar oder nicht zur Verwendung in einer Authentifizierung geeignet.
  • Gemäß dieser Ausführungsform, in der angenommen wird, dass der Sicherheitsverwalter eine gültige Menge von Berechtigungsnachweisen hält, werden Berechtigungsnachweise erzeugt und an andere externe Vorrichtungen transferiert, d.h. die Client-Vorrichtung. Diese Ausführungsform betrifft somit eine Ureingabe bzw. einen Bootstrap-Vorgang einer sicheren Kommunikation oder „Dynamic Web-of-Trust". Die mit solch einer Aufgabe verknüpften Problem enthalten eine Paarung bzw. Paarbildung des Sicherheitsverwalters und der Client-Vorrichtung über einen unsicheren Kanal, und eine Erzeugung und einen Transfer von Benutzerberechtigungsnachweisen.
  • Diese Ausführungsform der Erfindung basiert auf den Randbedingungen, dass der Sicherheitsverwalter Berechtigungsnachweise hält und Funktionen implementiert, um kryptographische Operationen, zum Beispiel eine Schlüsselerzeugung durchzuführen. Weiterhin müssen der Sicherheitsverwalter und möglicherweise die Verwalter-Host-Vorrichtung oder die Trägervorrichtung (d.h. die mobilen Vorrichtungen, die den Sicherheitsverwalter betreiben) eine Authentifizierung und Schlüsselaushandlung und ein Verteilungsprotokoll unterstützen. Eine weitere Randbedingung ist, dass die externe Client-Vorrichtung fähig ist zum Durchführen einer symmetrischen und asymmetrischen Verschlüsselung, dass sie dasselbe Authentifizierungs- und Schlüsselverwaltungsprotokoll wie der Sicherheitsverwalter und die Trägervorrichtung implementiert, und dass sie eine Benutzeridentifizierung mit Verwenden eines Passwortes, einer PIN oder von Passierungsausdrücken unterstützt.
  • Ein vorzugsweise sicherer Kanal 13 ist zwischen Sicherheitsverwalter 113 und der Client-Vorrichtung 111 eingerichtet. Der Kanal 13 kann durch eine angemessene Prozedur wie mit Bezug zu dem Stand der Technik erläutert sicher gemacht werden, vorzugsweise mit einer, die ähnliche Ergebnisse zu dem Internet Key Exchange Protokoll, Diffie-Hellman, Bluetooth-Vorrichtungspaarbildung und andere Protokolle hat, die dem Fachmann leicht einfallen werden.
  • Ein Identifizierer 125, so wie ein Einmalpasswort, eine PIN, ein Code oder ein Ausdruck wird an einen Benutzer 14 über eine Benutzerschnittstelle 1130 der Verwalter-Host-Vorrichtung 113 gegeben, so wie einen Anzeigeschirm, eine hörbare Eingabeaufforderung usw. Der Benutzer 14 gibt den Identifizierer 125 bei einer Benutzerschnittstelle 1110 der Client-Vorrichtung 111 ein. Dann wird der Identifizierer 125 zurück an den Sicherheitsverwalter 113 über den Kanal gesendet. Dadurch wird ein Nachweis gegeben, dass die Schlüsselaushandlung und das Austauschprotokoll tatsächlich durch die Trägervorrichtung und die mobile Vorrichtung ausgeführt worden sind. Ein erster Identifizierer oder eine Menge von Berechtigungsnachweisen 124, so wie ein temporäres Zertifikat wie oben schrieben, werden bei dem Sicherheitsverwalter 113 erzeugt.
  • Dieser erste Identifizierer wird dann an die Client-Vorrichtung 111 in einer Nachricht über den Kanal 13 transferiert. Die Client-Vorrichtung gibt dann diesen ersten Identifizierer 124 weiter an die Ressource 112 in einer Nachricht 8, um ihre Identität nachzuweisen.
  • Der Server führt einen Validierungsprozess 9 auf diesem ersten Identifizierer aus. Dieser Validierungsprozess kann zum Beispiel Schritte zum Bestimmen enthalten, dass der empfangene Identifizierer tatsächlich bei dem Sicherheitsverwalter abstammte, und dass er dem Client einen Berechtigungsanspruch zum Zugreifen auf die Ressource verleiht. Wo ein Schlüsselpaar übertragen wird, wird solch eine Übertragung vorzugsweise über einen sicheren Kanal bewirkt.
  • Wenn dieser Validierungsprozess 9 erfolgreich ist, erzeugt der Server 112 erste Verschlüsselungsdaten 131, so wie einen Sitzungsschlüssel oder andere verschlüsselte oder anderweitig sichere Kommunikation ermöglichende Daten und sendet sie an den Laptop in einer Nachricht 10. Diese ersten Verschlüsselungsdaten werden vorzugsweise mit dem öffentlichen Schlüssel des ersten Identifizierers 124 verschlüsselt, wobei der erste Identifizierer ein Zertifikat ist.
  • Ein sicherer Kanal 12 kann dann zwischen der Client-Vorrichtung und dem Server eingerichtet sein, so dass zum Beispiel ein Zugriff auf das private Netzwerk verfügbar gemacht wird.
  • Somit können gemäß dieser Ausführungsform der Erfindung bei einem Schritt zum Einrichten einer Vertrauensbeziehung zwischen der Ressource und dem Sicherheitsverwalter die weiteren Schritte ausgeführt werden zum: Einrichten eines Kanals zwischen dem Sicherheitsverwalter und einem nicht-vertrauenswürdiger Client, Anfordern einer Eingabe einer Benutzerauthentifizierungsinformation bei dem nicht-vertrauenswürdigen Client und Validieren der Benutzerauthentifizierungsinformation bei dem Sicherheitsverwalter.
  • Als eine Weiterentwicklung dieses Verfahrens ist der Kanal ein sicherer Kanal und der sichere Kanal kann eingerichtet werden mit Verwenden eines Internet Key Exchange Protokolls, Diffie-Hellman, Bluetooth-Vorrichtungspaarbildung oder eines anderen Protokolls, das dem Fachmann leicht einfallen wird.
  • Als eine Weiterentwicklung dieses Verfahrens ist die Benutzerauthentifizierungsinformation wenigstens ein Sicherheits-Token, ein Einmalpasswort, eine PIN, ein Code oder ein Ausdruck.
  • 14 zeigt ein Verfahren zum Einrichten sicherer Netzwerkkommunikationen zwischen einer Client-Vorrichtung und einer Ressource gemäß einer Weiterentwicklung der Ausführungsform der 13.
  • Gemäß dieser Entwicklung sind die Merkmale mit Bezug zu der Einrichtung einer Vertrauensbeziehung zwischen dem Sicherheitsverwalter 113 und dem Client 111 und zwischen dem Sicherheitsverwalter 113 und der Ressource 112, wie mit Verweis auf 9 beschrieben, aufgenommen.
  • Gemäß einer neunten Ausführungsform definiert das vorgeschlagene Verfahren einen Authentifizierungsalgorithmus und Protokoll, die zum Beispiel auf lose gekoppelte persönliche drahtlose mobile Vorrichtungen und zwischen Vorrichtungen und einem privaten Netzwerk, so wie einem Firmennetzwerk, anwendbar sind. Im Besonderen können Zertifikate als eine Instanz von Benutzerberechtigungsnachweisen verwendet werden. Gemäß der vorliegenden Erfindung übernimmt ein Sicherheitsverwalter die Validierung von Authentifizierungsdaten, die Erzeugung und Verteilung von temporären Authentifizierungsdaten unter mobilen Vorrichtungen, und die erneute Validierung von temporären Authentifizierungsdaten bei vorbestimmten oder zufälligen Intervallen. Die temporären Authentifizierungsdaten könnten durch Vorrichtungen zum Zugreifen auf ein Firmennetzwerk verwendet werden. Diese Prozedur stellt sicher, dass den mobilen Vorrichtungen, wie von dem Privatnetzwerk gesehen, gleichermaßen wie Vorrichtungen in dem privaten Netzwerk selbst vertraut werden kann.
  • Gemäß einer zehnten Ausführungsform umfasst die Prozedur die folgenden Schritte: Authentifizierung eines Sicherheitsverwalters und Firmennetzwerks, Authentifizierung unterschiedlicher mobiler Vorrichtungen mit dem Sicherheitsverwalter und nachfolgend mit dem Firmennetzwerk; die wesentliche Annahme hierbei ist, dass sämtliche Vorrichtungen als vertrauenswürdig angenommen sind; d.h., dass sie ausgestellt worden sind und unter der Steuerung der ausstellenden Einheit (Firma) sind, und Authentifizierung mobiler Vorrichtungen mit dem Sicherheitsverwalter und dem Firmennetzwerk, wobei manche mobile Vorrichtungen von dritten Beteiligten kommen und keine vorinstallierten Authentifizierungsdaten (zum Beispiel Zertifikate) haben.
  • Die vorliegende Erfindung bietet gegenüber dem Stand der Technik viele Vorteile, nämlich ein Einrichten einer vertrauenswürdigen Kommunikationsbeziehung zwischen mobilen Vorrichtungen und einem Firmennetzwerk, ein nahtloser und sicherer Zugriff auf Geschäftsanwendungen, ohne die Erfordernis für ein vorinstalliertes gemeinsam genutztes Geheimnis.
  • Im Besonderen ermöglicht sie als erstes die Einrichtung eines Vertrauens unter mobilen Client-Vorrichtungen und zwischen mobilen Client-Vorrichtungen und einem Firmennetzwerk, und sichere Kommunikationsverbindungen zwischen mobilen Client-Vorrichtungen und zwischen mobilen Vorrichtungen und Firmennetzwerken.
  • Aufgrund des erwähnten Vertrauens und der sicheren Kommunikationsverbindungen können die mobilen Benutzer zweitens zu jeder Zeit von irgendwoher einen Zugriff auf Firmennetzwerke und in dem Firmennetzwerk ablaufende verteilte Anwendungen erhalten.
  • Drittens ist kein vorinstalliertes gemeinsam genutztes Geheimnis in irgendeiner mobilen Vorrichtung erforderlich, so dass irgendeine Vorrichtung, die für die Menge vertrauenswürdiger mobiler Vorrichtungen neu ist, aufgenommen werden kann, wenn sie nur fähig ist, in der Kommunikation teilzunehmen.
  • Einmal mit den Berechtigungsnachweisen des Benutzers initialisiert, kann der Sicherheitsverwalter neue Berechtigungsnachweise erzeugen, die an zuvor authentifizierte oder nicht-authentifizierte Vorrichtungen transferiert werden und darauf installiert werden.
  • Insgesamt stellt die vorliegende Erfindung eine aus einer beliebigen Menge von Vorrichtungen gebildete transparente Sicherheitsumgebung bereit, die sichere mobile verteilte Anwendungen ermöglicht.
  • Die vorliegende Erfindung ist gut geeignet zum Unterstützen mobiler Geschäftsanwendungen, zum Beispiel einer „überall anwesenden Vertriebsperson", unter Verwendung einer Vielfalt mobiler Vorrichtungen, und mit dem Erfordernis einer starken Authentifizierung eines Benutzers, mobiler Vorrichtungen und Firmengeschäftsanwendungen, einer Identitätsverifizierung, Schlüsselaushandlung und Einrichtung.
  • Sämtliche der oben beschriebenen Ausführungsformen betreffen das zentrale erfinderische Konzept der Erfindung und es wird dem Fachmann klar sein, dass irgendein mit Bezug zu einer dieser Ausführungsformen beschriebenes Merkmal oder Detail in irgendeiner anderen Ausführungsform aufgenommen werden kann.

Claims (18)

  1. Verfahren zum Einrichten sicherer Netzwerkkommunikationen zwischen einem Client und einem Server, mit den Schritten zum: Einrichten einer Vertrauensbeziehung zwischen einer Chipkarte und dem Client, mit Übertragen eines mit dem Client verknüpften Client-Zertifikates (123) von dem Client an die Chipkarte und Einrichten der Gültigkeit davon bei der Chipkarte; Erzeugen eines Kartenzertifikates (124) bei der Chipkarte und Übertragen des Kartenzertifikates an den Client von der Chipkarte nach Einrichten der Vertrauensbeziehung; Übertragen des Kartenzertifikates (124) von dem Client an den Server; Einrichten der Gültigkeit des Kartenzertifikates (124) bei dem Server; Übertragen eines Sitzungsschlüssels (131) von dem Server an den Client; und Ausführen weiterer Netzwerkkommunikationen (12) zwischen dem Client und dem Server mit Verwenden des Sitzungsschlüssels (131).
  2. Verfahren gemäß Anspruch 1, den weiteren Schritt umfassend zum Einrichten einer Vertrauensbeziehung zwischen dem Server und der Chipkarte vor Erzeugen des Kartenzertifikates.
  3. Verfahren gemäß Anspruch 2, wobei der Schritt zum Einrichten einer Vertrauensbeziehung zwischen dem Server und der Chipkarte die weiteren Schritte umfasst zum: Übertragen eines mit der Chipkarte verknüpften Identifizierers (122) von der Chipkarte an den Server; und Einrichten der Gültigkeit des Identifizierers (122) bei dem Server.
  4. Verfahren gemäß Anspruch 3, wobei der Schritt zum Einrichten einer Vertrauensbeziehung zwischen dem Server und der Chipkarte die weiteren Schritte umfasst zum: Übertragen von mit dem Server verknüpften Verschlüsselungsdaten (132) von dem Server an die Chipkarte; und Ausführen weiterer Netzwerkkommunikationen (11) zwischen dem Server und der Chipkarte mit Verwenden der Verschlüsselungsdaten (132).
  5. Verfahren gemäß Anspruch 3 oder 4, wobei der Schritt zum Einrichten einer Vertrauensbeziehung zwischen dem Server und der Chipkarte die weiteren Schritte umfasst zum: Übertragen eines mit dem Server verknüpften Identifizierers (121) von dem Server an die Chipkarte; und Einrichten der Gültigkeit des Identifizierers (121) bei der Chipkarte.
  6. Verfahren gemäß einem der vorangegangenen Ansprüche, wobei wenigstens einer der Schritte zum: Einrichten einer Vertrauensbeziehung zwischen dem Server und der Chipkarte; Einrichten einer Vertrauensbeziehung zwischen der Chipkarte und dem Client; und Einrichten einer Vertrauensbeziehung zwischen dem Client und dem Server; wiederholt wird.
  7. Verfahren gemäß Anspruch 6, wobei die Wiederholung des wenigstens einen Schrittes in vorbestimmten Intervallen oder bei zufälligen Intervallen ausgeführt wird.
  8. Verfahren gemäß einem der vorangegangenen Ansprüche, den weiteren Schritt umfassend zum: Einrichten eines sicheren Kanals zwischen der Chipkarte und dem Client.
  9. Verfahren gemäß Anspruch 8, wobei der sichere Kanal eingerichtet wird mit Verwenden von einem von einem Internet Key Exchange Protokoll, Diffie-Hellman und Bluetooth-Gerät-Paarung.
  10. Kommunikationsnetzwerk für sichere Netzwerkkommunikationen zwischen einem Client und einem Server, mit: einem Client, der mit einem ersten Client-Vermittler und einem zweiten Client-Vermittler bereitgestellt ist; einem Server, der mit einem ersten Server-Vermittler und einem zweiten Server-Vermittler bereitgestellt ist; einer Chipkarte zum Einrichten einer Vertrauensbeziehung zwischen der Chipkarte und dem Client, mit einem Empfangen eines mit dem Client verknüpften Client-Zertifikates (123) von dem Client und Einrichten der Gültigkeit davon; wobei die Chipkarte ferner ausgebildet ist zum Erzeugen eines Kartenzertifikates und zum Übertragen davon an den zweiten Client-Vermittler nach Einrichten der Vertrauensbeziehung; wobei der zweite Client-Vermittler und der zweite Server-Vermittler ausgebildet sind zum Einrichten einer Vertrauensbeziehung zwischen dem Client und dem Server, wobei die Anpassungen an den zweiten Client-Vermittler umfassen, dass der zweite Client-Vermittler ausgebildet ist zum: Empfangen des Kartenzertifikates (124) von der Chipkarte; Übertragen des Kartenzertifikates (124) an den Server zur Validierung; Empfangen eines Sitzungsschlüssels (131) von dem Server; und Ausführen sicherer Netzwerkkommunikationen (12) mit dem Server mit Verwenden des Sitzungsschlüssels (131); und wobei die Anpassungen an den zweiten Server-Vermittler umfassen, dass der zweite Server-Vermittler ausgebildet ist zum: Einrichten der Gültigkeit des Kartenzertifikates; Übertragen des Sitzungsschlüssels an den Client; und Ausführen weiterer Netzwerkkommunikationen (12) mit dem Client mit Verwenden des Sitzungsschlüssels (131).
  11. Kommunikationsnetzwerk gemäß Anspruch 10, wobei der erste Server-Vermittler und die Chipkarte ausgebildet sind zum Einrichten einer Vertrauensbeziehung zwischen dem Server und der Chipkarte.
  12. Kommunikationsnetzwerk gemäß Anspruch 11, wobei der erste Server-Vermittler und die Chipkarte ausgebildet sind zum Einrichten einer Vertrauensbeziehung zwischen dem Server und der Chipkarte vor Erzeugen de Kartenzertifikates.
  13. Kommunikationsnetzwerk gemäß Anspruch 11 oder 12, wobei die Chipkarte ausgebildet ist zum Übertragen eines mit der Chipkarte verknüpften Identifizierers (122) an den Server; und der erste Server-Vermittler ausgebildet ist zum Einrichten der Gültigkeit des Identifizierers (122) bei dem Server.
  14. Kommunikationsnetzwerk gemäß Anspruch 13, wobei der erste Server-Vermittler ausgebildet ist zum Übertragen mit dem Server verknüpfter, zweiter Verschlüsselungsdaten (132) von dem Server an die Chipkarte; und zum Ausführen von weiteren Netzwerkkommunikationen (11) mit der Chipkarte mit Verwenden der zweiten Verschlüsselungsdaten (132).
  15. Kommunikationsnetzwerk gemäß Anspruch 14, wobei: der Server ausgebildet ist zum Übertragen eines mit dem Server verknüpften Identifizierers (121) an die Chipkarte; und die Chipkarte ausgebildet ist zum Einrichten der Gültigkeit des Identifizierers (121).
  16. Kommunikationsnetzwerk gemäß einem der Ansprüche 10 bis 15, wobei der Server, die Chipkarte und der Client ausgebildet sind zum wiederholten Einrichten einer Vertrauensbeziehung zwischen dem Server und der Chipkarte; Einrichten einer Vertrauensbeziehung zwischen der Chipkarte und dem Client; und Einrichten einer Vertrauensbeziehung zwischen dem Client und dem Server.
  17. Kommunikationsnetzwerk gemäß Anspruch 16, wobei der Server, die Chipkarte und der Client ausgebildet sind zum Ausführen der Wiederholung wenigstens von einem von einem Einrichten einer Vertrauensbeziehung zwischen dem Server und der Chipkarte, einem Einrichten einer Vertrauensbeziehung zwischen der Chipkarte und dem Client und einem Einrichten einer Vertrauensbeziehung zwischen dem Client und dem Server in vorbestimmten Intervallen oder bei zufälligen Intervallen.
  18. Kommunikationsnetzwerk gemäß einem der Ansprüche 10 bis 17, wobei die Chipkarte ausgebildet ist zum Einrichten eines sicheren Kanals mit dem Client.
DE60311328T 2003-05-12 2003-05-12 Verfahren und vorrichtung zur netzwerksicherheit Expired - Lifetime DE60311328T2 (de)

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/EP2003/004941 WO2004100487A1 (en) 2003-05-12 2003-05-12 Network security method and system

Publications (2)

Publication Number Publication Date
DE60311328D1 DE60311328D1 (de) 2007-03-08
DE60311328T2 true DE60311328T2 (de) 2008-02-07

Family

ID=33426939

Family Applications (1)

Application Number Title Priority Date Filing Date
DE60311328T Expired - Lifetime DE60311328T2 (de) 2003-05-12 2003-05-12 Verfahren und vorrichtung zur netzwerksicherheit

Country Status (5)

Country Link
EP (1) EP1623551B1 (de)
JP (1) JP4499575B2 (de)
AU (1) AU2003227747A1 (de)
DE (1) DE60311328T2 (de)
WO (1) WO2004100487A1 (de)

Families Citing this family (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7549048B2 (en) * 2004-03-19 2009-06-16 Microsoft Corporation Efficient and secure authentication of computing systems
JP4787730B2 (ja) * 2006-12-22 2011-10-05 Ｎｅｃインフロンティア株式会社 無線ｌａｎ端末及び無線ｌａｎシステム
DE102007012749A1 (de) 2007-03-16 2008-09-18 Siemens Ag Verfahren und System zur Bereitstellung von Diensten für Endgeräte
US8910255B2 (en) * 2008-05-27 2014-12-09 Microsoft Corporation Authentication for distributed secure content management system
US8881247B2 (en) 2010-09-24 2014-11-04 Microsoft Corporation Federated mobile authentication using a network operator infrastructure
JP7004654B2 (ja) * 2015-12-14 2022-01-21 アフェロ インコーポレイテッド モノのインターネット（ＩｏＴ）デバイスを制御するための二次の通信チャネルを確立するためのシステム及び方法
US10382210B2 (en) * 2016-01-10 2019-08-13 Apple Inc. Secure device pairing
CN112164220B (zh) * 2020-09-22 2022-08-02 江西锦路科技开发有限公司 一种高速公路服务区拥堵监测及自动导引系统

Family Cites Families (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2001022702A (ja) * 1999-07-12 2001-01-26 Fujitsu Ltd 認証制御装置、認証制御システムおよび認証制御方法並びに記録媒体
JP3872616B2 (ja) * 1999-08-27 2007-01-24 財団法人九州システム情報技術研究所 共有鍵暗号型のｉｃカードによるインターネット上のユーザー認証方式
JP3822474B2 (ja) * 2001-09-10 2006-09-20 日本電信電話株式会社 個人情報統合管理システム及びそのプログラム並びにそのプログラムを記録した媒体
JP2003115841A (ja) * 2001-10-05 2003-04-18 Ducomm Inc 電子認証方法および電子認証装置

Also Published As

Publication number Publication date
WO2004100487A1 (en) 2004-11-18
AU2003227747A1 (en) 2004-11-26
EP1623551B1 (de) 2007-01-17
JP4499575B2 (ja) 2010-07-07
EP1623551A1 (de) 2006-02-08
JP2006526184A (ja) 2006-11-16
DE60311328D1 (de) 2007-03-08

Similar Documents

Publication Publication Date Title
DE602005001613T2 (de) Einrichten eines sicheren kontexts zur übermittlung von nachrichten zwischen computersystemen
DE60029217T2 (de) Verfahren und vorrichtung zum initialisieren von sicheren verbindungen zwischen und nur zwischen zueinandergehörenden schnurlosen einrichtungen
EP2533172B1 (de) Gesicherter Zugriff auf Daten in einem Gerät
DE60024319T2 (de) Vereinter einloggungsprozess
DE60011990T2 (de) Verfahren und Vorrichtung in einem Kommunikationsnetzwerk
DE60311036T2 (de) Verfahren zur Authentisierung potentieller Mitglieder eingeladen, eine Gruppe anzuschliessen
US7334255B2 (en) System and method for controlling access to multiple public networks and for controlling access to multiple private networks
DE60214632T2 (de) Multidomäne Berechtigung und Authentifizierung
DE60312911T2 (de) System für mobile Authentifizierung mit reduzierten Authentifizierungsverzögerung
EP3602952A1 (de) Verfahren und system für identitäts- und zugangsverwaltung für blockchain-interoperabilität
DE112008001436T5 (de) Sichere Kommunikation
WO2011131715A1 (de) Verfahren zum lesen eines attributs aus einem id-token
EP2289222B1 (de) Verfahren, authentikationsserver und diensteserver zum authentifizieren eines client
DE102007044905A1 (de) Verfahren und Vorrichtung zur Ermöglichung einer Dienstnutzung und Feststellung der Teilnehmeridentität in Kommunikationsnetzen mittels softwarebasierten Zugangsberechtigungsausweisen (vSIM)
DE602004012233T2 (de) Verfahren zur Bereitstellung eines Signierungsschlüssels zur digitalen Signierung, Überprüfung oder Verschlüsselung von Daten
CN104767731A (zh) 一种Restful移动交易系统身份认证防护方法
EP3699791B1 (de) Zugangskontrolle mit einem mobilfunkgerät
DE112012005564T5 (de) Sichere Peer-Ermittlung und Authentifizierung unter Verwendung eines gemeinsamen Geheimnisses
EP3909221B1 (de) Verfahren zum sicheren bereitstellen einer personalisierten elektronischen identität auf einem endgerät
EP2415228A2 (de) Verfahren zum lesen von attributen aus einem id-token über eine mobilfunkverbindung
EP4128695B1 (de) Personalisierter, serverindividueller authentifizierungsmechanismus
EP3908946B1 (de) Verfahren zum sicheren bereitstellen einer personalisierten elektronischen identität auf einem endgerät
DE60311328T2 (de) Verfahren und vorrichtung zur netzwerksicherheit
CN109587100A (zh) 一种云计算平台用户认证处理方法及系统
KR20100056555A (ko) 전자 서비스 제공자들의 전자 장치들과 전자 서비스 사용자들의 전자 장치들 사이와 같은 다양한 전자 장치들 간의 보안된 전자 통신 방법

Legal Events

Date Code Title Description
8364 No opposition during term of opposition