DE60313195T2

DE60313195T2 - Verfahren, system und computerprogrammprodukt zum übertragen eines media-stroms zwischen client-endgeräten

Info

Publication number: DE60313195T2
Application number: DE60313195T
Authority: DE
Inventors: Peter Parnes; Mikael Persson; Claes Aagren
Original assignee: Google Sweden Tecnique AB
Current assignee: Google LLC
Priority date: 2002-09-06
Filing date: 2003-09-03
Publication date: 2008-05-21
Anticipated expiration: 2023-09-04
Also published as: AU2003256210A1; DE60313195D1; SE0202638L; SE523790C2; US20060004906A1; WO2004023760A1; ATE359656T1; SE0202638D0; EP1547340A1; EP1547340B1

Description

Technisches Fachgebiet der Erfindung
Die vorliegende Erfindung betrifft ein Verfahren zum Übertragen eines Media-Datenstroms von einem sendenden Client-Endgerät an ein empfangendes Client-Endgerät, welches von einer Schutzeinrichtung geschützt ist. Genauer wird ein Verfahren offenbart, um die Übertragung von Daten zu unterbinden, die von einer Firewall bzw. einem Zugangsschutzsystem oder einer Anordnung für die Netzwerkadressenumsetzung zurückgehalten werden sollen.
Hintergrund der Erfindung
Sogenannte Firewalls, Abfangschilde und andere Arten von schützenden Sicherheitsanordnungen sind auf den meisten Computersystemen und Kommunikationsnetzen von heute installiert oder mit ihnen verbunden. Unglücklicherweise können derartige Sicherheitsanordnungen notwendig sein, um unerwünschte bösartige Angriffe oder heimtückische versteckte Computerviren von einem sicheren und daher noch unverseuchten Zweig eines Netzwerks fernzuhalten. Ein Angriff, der dazu bestimmt ist, die Zerstörung eines Netzwerks zu bewirken, oder ein Computervirus, der es schafft, alle ein Computersystem schützenden Sicherheitsschranken zu umgehen, kann ernsthaften Schaden anrichten. Der Schaden gilt für ein internes Computernetzwerk oder ein privates Computersystem ebenso wie für vielfältige ihm zugeordnete elektronische Anlagen. Als eine Alternative zu einer Firewall kann der Benutzer eines Client-Endgeräts in einem Netzwerk einen sogenannten Netzwerkadressenumsetzer NAT zwischen seinem Teil des Netzwerks und dem externen Netzwerk haben. Die Anordnung stellt ein zusätzliches Hindernis für externe Benutzer be reit, die Informationen über die versteckten IP-Adressen hinter der NAT-Anordnung wollen, und versorgt den Benutzer mit einer ausreichenden Anzahl von IP-Adressen innerhalb seines internen Netzwerks.
Eine Firewall und/oder ein Netzwerkadressenumsetzer werden häufig in einer Art eingerichtet, daß sie zulassen, daß Verkehr nur unter der Voraussetzung in eine Schutzzone eintritt, daß zugehöriger Verkehr aus dieser Schutzzone heraus gesendet wurde. Für eine Situation, wenn der Kommunikationskanal für eine Zeitspanne nicht genutzt wurde, ändert sich der Status einer Firewall oder eines Netzwerkadressenumsetzers von einem datenübertragbaren Betrieb, d.h. von einem offenen Betrieb, in einen gesperrten Betrieb (siehe Dokument US-A-5 898 830 ).
Eine Art und Weise, den Status für die Datenübertragung offen zu halten, ist, die bestimmte Firewall anzuweisen, sich zu öffnen oder ihren offenen Zustand beizubehalten, während andere Daten gesendet werden, aber diese Lösung hängt eng von der spezifischen Art der Firewall und dem Hersteller dieser Firewall ab. Daher ist die Lösung des bisherigen Stands der Technik zu spezifisch, um allgemein nützlich zu sein, und es ist aufgrund der Menge an Spezifikationen, die notwendig sind, um die gewünschte allgemeine Anwendbarkeit zu erzielen, schwierig, die Lösung für die Anwendbarkeit in einem weiteren Sinne zu verallgemeinern.
Eine andere Art und Weise nach dem bisherigen Stand der Technik ist, den Administrator einer gewissen Firewall-Anordnung anzuweisen, gewisse Ports bzw. Anschlüsse der Firewall für die Übertragung offen zu halten. Obwohl dies eines der heute häufig verwendeten Verfahren ist, ist das Verfahren unsicher und entspricht nicht den strengen Sicherheitsanforderungen, die Computersystemen des Stands der Technik auferlegt werden, und Unternehmenssicherheitsstrategien, die von Firmen und öffentlichen Stellen verwendet werden.
Siehe auch Dokument US-A-6 185 184 .
Zusammenfassung der Erfindung
Es ist daher eine Aufgabe der vorliegenden Erfindung, die vorher erwähnten Mängel des bisherigen Stands der Technik in Verbindung mit Gruppenkommunikationsdiensten zu mildern. Dies wird mit einem Verfahren und einem entsprechenden System zum Übertragen eines Media-Datenstroms von einem sendenden Client-Endgerät an ein empfangendes Client-Endgerät erreicht, wobei die Endgeräte in einer geschützten Computerumgebung angeordnet sind, die zumindest eine Schutzeinrichtung in Verbindung mit einer Datenweiterleitungseinrichtung umfaßt, wobei die Schutzeinrichtung dafür gedacht ist, das empfangende Client-Endgerät vor Daten zu schützen, die von unberechtigt sendenden Clients übertragen werden, wobei das Verfahren die folgenden Schritte aufweist.
Senden von Berechtigungsdaten von dem empfangenden Client-Endgerät an das sendende Client-Endgerät über die Schutzeinrichtung, um die Einrichtung anzuweisen, daß sie die Rücksendung eines Media-Stroms von dem sendenden Client-Endgerät an das empfangende Client-Endgerät während einer vorbestimmten Zeitspanne zuläßt, dadurch gekennzeichnet, daß
das empfangende Client-Endgerät geeignet ist, in kürzeren Intervallen als der vorbestimmten Zeitspanne unabhängig Berechtigungsdaten über die Schutzeinrichtung zu senden, um die Rücksendungserlaubnis-Betriebsart der Schutzeinrichtung beizubehalten.
Firewalls sind typischerweise konfiguriert-, um zu entscheiden, welche Anschlüsse offen sein sollen und welche geschlossen sein sollen. Als ein Beispiel kann die Firewall derart konfiguriert sein, daß sie nur unter der Voraussetzung zuläßt, daß Verkehr von einem gewissen externen Client zurückkommt, daß im voraus von innerhalb der Schutzzone Daten an dieses bestimmte Client-Endgerät gesendet wurden. Dies wird als ein „Rücksendungserlaubnis"-Status bezeichnet.
Mit Hilfe der vorliegenden Erfindung wird eine Beendigung des übertragbaren Status der Schutzeinrichtung zugunsten eines undurchlässigen Status vermieden. Die Beendi gung wird ausgeführt, um die Sicherheit zu erhöhen, trennt aber auch bedeutende Datenströme in ein Netzwerk von Computern. Die vorliegende Erfindung läßt Nutzdaten herein, während die notwendige Netzwerksicherheit immer noch aufrechterhalten wird, da Firewalls für einen hereinkommenden Datenstrom nicht mehr als notwendig offen sein müssen, insbesondere wenn die große Anzahl auf dem Markt verfügbarer verschiedener Firewalls, jede mit unterschiedlichen wesentlichen Eigenschaften, betrachtet wird.
Kurze Beschreibung der Zeichnungen
Die Merkmale, Aufgaben und weiteren Vorteile dieser Erfindung werden durch Lesen dieser Beschreibung in Verbindung mit den beigefügten Zeichnungen deutlich, wobei gleiche Bezugszeichen sich auf gleiche Elemente beziehen und wobei:
1 eine schematische Übersicht der Einrichtungen zeigt, die zum Übertragen eines Media-Datenstroms gemäß der vorliegenden Erfindung erforderlich sind.
2 ein Signalisierungsdiagramm ist, das die Abfolge von Verfahrensschritten zum Übertragen eines Media-Datenstroms gemäß der vorliegenden Erfindung abbildet.
Detaillierte Beschreibung
Die folgende Beschreibung ist die beste Art, die gegenwärtig für das Betreiben der Erfindung betrachtet wird. Die Beschreibung soll in keinem einschränkenden Sinn genommen werden, sondern wird lediglich zum Zwecke der Beschreibung der allgemeinen Prinzipien der Erfindung gegeben. Der Schutzbereich der Erfindung sollte unter Bezug auf die erteilten Patentansprüche bestimmt werden.
Unter Bezug auf 1 stellt eine schematische Übersicht der zum Übertragen eines Media-Datenstroms gemäß der vorliegenden Erfindung benötigten Einrichtungen dar. Ein sendendes Client-Endgerät 10 ist vorzugsweise über ein globales Verbindungsnetzwerk, wie etwa das Internet, mit einem Router bzw. einer Leitweglenkungseinrichtung 40 verbunden. Der Router 40 kann jede Art von Datenweiterleitungsnetzein richtung, wie etwa ein Switch (aktiver Netzknoten) oder eine Bridge (Überleiteinrichtung), zwischen verschiedenen Einheiten und Client-Endgeräten in einem Kommunikationsnetzwerk sein. Das empfangende Client-Endgerät 20 empfängt den übertragenen Media-Datenstrom, nachdem der Strom eine Schutzeinrichtung 30 passiert hat, die zwischen dem Router 40 und dem empfangenden Client-Endgerät 20 angeordnet ist. Die Schutzeinrichtung 30 kann jede Art von Firewall-bezogener Hardwareanlage oder ein Software-basiertes Virusabfangschild sein. Ein Beispiel für eine Schutzeinrichtung ist ein Netzwerkadressenumsetzer NAT. Der Grund für das Einrichten eines Netzwerkadressenumsetzers kann sein, daß der Benutzer nicht mit einer ausreichenden Anzahl von IP-Adressen versorgt ist. Durch Nutzen eines Netzwerkadressenumsetzers zum Beispiel zwischen dem privaten Netzwerk des Benutzers und dem externen Netzwerk, wird dieser Adreßmangel gehandhabt.
Gemäß einer Ausführungsform ist die Funktion eines Netzwerkadressenumsetzers die folgende: ein Client-Endgerät A soll eine Kommunikation mit einem anderen Client-Endgerät B einrichten. Das Client-Endgerät A ist von einer Firewall und/oder einem Netzwerkadressenumsetzer 30 geschützt. Das Client-Endgerät B achtet auf Signale, die an seinem Anschluß Nummer „x" eingegeben werden. Wenn die Signalisierung ausgeführt wird, ist das Client-Endgerät A im Begriff, ein Signal von dem Anschluß Nummer „y" an den Anschluß mit der Nummer „x" des Clients B zu senden. Die Firewall- und/oder die Netzwerkadressenumsetzeranordnung 30 hält dieses Paket zurück und sendet es erneut von einer Anschlußnummer „z" der Schutzeinrichtung 30 an die Anschlußnummer „y" des Client-Endgeräts A. Nun ist in der Firewall und/oder dem NAT 30 ein Zustand mit einer Abbildung eines Anschlusses auf der externen Seite von dem Anschluß „z" der Schutzeinrichtung 30 zu dem Anschluß „y" des Client-Endgeräts A hergestellt, d.h. ein Client-Endgerät B überträgt nun Daten an den Anschluß „z", und die Firewall und/oder der NAT setzt diesen zum Anschluß „y" des Client-Endgeräts A um. Um den Rücksendungserlaubnis-Status aufrechtzuerhalten, muß das Client- Endgerät A fortlaufend durch die Firewall und/oder die Netzwerkadressenumsetzeranordnung 30 Informationen an das Client-Endgerät B übertragen.
Unter Bezug auf 2 bildet ein Signalisierungsdiagramm die Abfolge von Verfahrensschritten zum Übertragen eines Media-Datenstroms von dem sendenden Client-Endgerät 10 an das empfangende Client-Endgerät 20 gemäß der vorliegenden Erfindung ab. Die Abfolge beginnt (S100) mit dem Festlegen (S110) des Übertragungsstatus der Schutzeinrichtung 30 auf eine „Rücksendungserlaubnis"-Betriebsart durch Senden von Berechtigungsanweisungen von dem empfangenden Client-Endgerät 20 an die Schutzeinrichtung 30. Die „Rücksendungserlaubnis"-Betriebsart wird bei Schutzeinrichtungen häufig vom Hersteller als Voreinstellung festgelegt. Es gibt auch Firewalls, die nur nach der „Rücksendungserlaubnis"-Regel arbeiten können. Der nächste Schritt ist, die Intervalle zum Senden von Berechtigungsdaten auf eine Zeitspanne festzulegen (S120), die kürzer als die vorbestimmte zulässige Zeitspanne für die Rücksendungsdaten ist. Berechtigungsdaten werden entsprechend den obigen Intervallen von dem empfangenden Client-Endgerät 20 an die Schutzeinrichtung 30 gesendet (S130). Dies bedeutet die Zeit, während welcher der Media-Datenstrom, der von dem sendenden Client-Endgerät 10 stammt, die Schutzeinrichtung 30 durchlaufen darf, um das empfangende Client-Endgerät 20 zu erreichen. Diesem Schritt folgt die Übertragung (S140) des Media-Datenstroms von dem sendenden Client-Endgerät 10 zu dem empfangenden Client-Endgerät 20, wobei der Media-Datenstrom die durchlässige Schutzeinrichtung 30 des empfangenden Client-Endgeräts 20 passiert, wobei diese Schutzeinrichtung 30 aufgrund der „Rücksendungserlaubnis"-Betriebsart noch nicht für den ankommenden Media-Strom geschlossen ist. Nachfolgend wird mit Hilfe des sendenden Client-Endgeräts 10 bestimmt (S150), ob die vorbestimmte Zeitspanne zwischen jeder Übertragung von Berechtigungsdaten abgelaufen ist. Falls die Zeit abgelaufen ist, kehrt die Abfolge zum Übertragen (S130) von Berechtigungsdaten zurück und macht andernfalls in Richtung einer Benutzerrückfrage weiter. Dies Benutzerrückfrage (S150) bezieht sich darauf, ob der Benutzer des erfindungsgemäßen Verfahrens die Informationsaustauschsitzung verlassen und sie dadurch beenden möchte (S160) oder nicht. Wenn nicht, kehrt die Abfolge zurück zu dem vorangehenden Schritt zum Bestimmen, ob die vorbestimmte Zeitspanne abgelaufen ist (S140).
Gemäß der vorliegenden Erfindung wird parallel zu dem Verfahren zum Übertragen eines Media-Datenstroms Software entwickelt. Die Software befindet sich in einem Speicher, der zu der Übertragungseinrichtung gemäß 1 gehört. Die Software ist dafür konzipiert, die Hardware anzuweisen, die Abfolge von Verfahrensschritten auszuführen, die in dieser Anmeldung bereits unter besonderer Bezugnahme auf 2 beschrieben wurde.

Claims

Verfahren zum Übertragen eines Media-Datenstroms von einem sendenden Client-Endgerät (10) an ein empfangendes Client-Endgerät (20), wobei die Endgeräte in einer geschützten Computerumgebung angeordnet sind, die zumindest eine Schutzeinrichtung (30) in Verbindung mit einer Datenweiterleitungseinrichtung (40) umfaßt, wobei die Schutzeinrichtung dafür gedacht ist, das empfangende Client-Endgerät vor Daten zu schützen, die von unberechtigt sendenden Clients übertragen werden, wobei das Verfahren die folgenden Schritte aufweist: Senden von Berechtigungsdaten von dem empfangenden Client-Endgerät an das sendende Client-Endgerät über die Schutzeinrichtung, um die Einrichtung anzuweisen, daß sie die Rücksendung eines Media-Stroms von dem sendenden Client-Endgerät an das empfangende Client-Endgerät während einer vorbestimmten Zeitspanne zuläßt, dadurch gekennzeichnet, daß das empfangende Client-Endgerät geeignet ist, in kürzeren Intervallen als der vorbestimmten Zeitspanne unabhängig Berechtigungsdaten über die Schutzeinrichtung zu senden, um die Rücksendungserlaubnis-Betriebsart der Schutzeinrichtung beizubehalten.
Verfahren zum Übertragen eines Media-Stroms nach Anspruch 1, dadurch gekennzeichnet, daß die Schutzeinrichtung eine Firewall-Anordnung ist.
Verfahren zum Übertragen eines Media-Stroms nach Anspruch 1, dadurch gekennzeichnet, daß die Schutzeinrichtung ein Netzwerkadressenumsetzer NAT ist.
Verfahren zum Übertragen eines Media-Stroms nach Anspruch 1, dadurch gekennzeichnet, daß die Datenweiterleitungseinrichtung ein Router, ein Switch oder eine Bridge zwischen Client-Endgeräten in einem Kommunikationsnetzwerk ist.
System zum Übertragen eines Media-Datenstroms von einem sendenden Client-Endgerät (10) an ein empfangendes Client-Endgerät (20), wobei die Endgeräte in einer geschützten Computerumgebung angeordnet sind, die zumindest eine Schutzeinrichtung (30) in Verbindung mit einer Datenweiterleitungseinrichtung (40) umfaßt, wobei die Schutzeinrichtung dafür gedacht ist, das empfangende Client-Endgerät vor Daten zu schützen, die von unberechtigt sendenden Clients übertragen werden, wobei das System aufweist: eine Einrichtung zum Senden von Berechtigungsdaten von dem empfangenden Client-Endgerät an das sendende Client-Endgerät über die Schutzeinrichtung, wobei die Berechtigungsdaten die Schutzeinrichtung anweisen, die Rücksendung eines Media-Stroms von dem sendenden Client-Endgerät an das empfangende Client-Endgerät während einer vorbestimmten Zeitspanne zuzulassen, dadurch gekennzeichnet, daß das empfangende Client-Endgerät geeignet ist, in kürzeren Intervallen als der vorbestimmten Zeitspanne unabhängig Berechtigungsdaten über die Schutzeinrichtung zu senden, um die Rücksendungserlaubnis-Betriebsart der Schutzeinrichtung beizubehalten.
System zum Übertragen eines Media-Stroms nach Anspruch 5, dadurch gekennzeichnet, daß die Schutzeinrichtung eine Firewall-Anordnung ist.
System zum Übertragen eines Media-Stroms nach Anspruch 5, dadurch gekennzeichnet, daß die Schutzeinrichtung ein Netzwerkadressenumsetzer NAT ist.
System zum Übertragen eines Media-Stroms nach Anspruch 5, dadurch gekennzeichnet, daß die Datenweiterleitungseinrichtung ein Router, ein Switch oder eine Bridge zwischen Client-Endgeräten in einem Kommunikationsnetzwerk ist.
Computerprogrammprodukt zum Übertragen eines Media-Datenstroms von einem sendenden Client-Endgerät (10) an ein empfangendes Client-Endgerät (20), wobei die Endgeräte in einer geschützten Computerumgebung angeordnet sind, die zumindest eine Schutzeinrichtung (30) in Verbindung mit einer Datenweiterleitungseinrichtung (40) umfaßt, wobei die Schutzeinrichtung dafür gedacht ist, das empfangende Client-Endgerät vor dem Empfang von Daten zu schützen, die von unberechtigt sendenden Clients übertragen werden, dadurch gekennzeichnet, daß das Computerprogrammprodukt geeignet ist, die Verfahrensschritte nach einem der Ansprüche 1–4 auszuführen.