DE69333852T2 - Verfahren, Gerät und Anordnung zur Verschlüsselung von Daten die über verbundene Netze übertragen werden - Google Patents

Verfahren, Gerät und Anordnung zur Verschlüsselung von Daten die über verbundene Netze übertragen werden Download PDF

Info

Publication number
DE69333852T2
DE69333852T2 DE69333852T DE69333852T DE69333852T2 DE 69333852 T2 DE69333852 T2 DE 69333852T2 DE 69333852 T DE69333852 T DE 69333852T DE 69333852 T DE69333852 T DE 69333852T DE 69333852 T2 DE69333852 T2 DE 69333852T2
Authority
DE
Germany
Prior art keywords
messages
protocol
encrypted
interface
data
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Expired - Fee Related
Application number
DE69333852T
Other languages
English (en)
Other versions
DE69333852D1 (de
Inventor
Andrei Vidrascu
Yves Marie Jean Dherbecourt
Jean-Marc Herodin
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Electricite de France SA
Original Assignee
Electricite de France SA
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Family has litigation
First worldwide family litigation filed litigation Critical https://patents.darts-ip.com/?family=9426040&utm_source=google_patent&utm_medium=platform_link&utm_campaign=public_patent_search&patent=DE69333852(T2) "Global patent litigation dataset” by Darts-ip is licensed under a Creative Commons Attribution 4.0 International License.
Application filed by Electricite de France SA filed Critical Electricite de France SA
Application granted granted Critical
Publication of DE69333852D1 publication Critical patent/DE69333852D1/de
Publication of DE69333852T2 publication Critical patent/DE69333852T2/de
Anticipated expiration legal-status Critical
Expired - Fee Related legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H04L63/0435—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload wherein the sending and receiving network entities apply symmetric encryption, i.e. same key used for encryption and decryption
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0853—Network architectures or network communication protocols for network security for authentication of entities using an additional device, e.g. smartcard, SIM or a different communication terminal
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/12—Applying verification of the received information
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/40—Network security protocols

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Communication Control (AREA)
  • Reduction Or Emphasis Of Bandwidth Of Signals (AREA)
  • Computer And Data Communications (AREA)
  • Small-Scale Networks (AREA)
  • Telephone Function (AREA)

Description

  • Die vorliegende Erfindung betrifft ein Verfahren zur Verschlüsselung von Mitteilungen, die in Netzen übertragen werden, die über Schnittstellen miteinander verbunden sind, die ein bestimmtes Netzprotokoll verwenden, insbesondere und beispielsweise das Internetprotokoll (IP), eine Vorrichtung zur Kommunikation von verschlüsselten Daten zwischen mindestens zwei Anlagen, die zwei verschiedenen Netzen angehören, die über Schnittstellen miteinander verbunden sind, die ein bestimmtes Netzprotokoll verwenden, und ein Verschlüsselungsgerät, das das genannte Verfahren anwendet.
  • Unter Schnittstelle ist ein Netz oder ein Zwischenträger zu verstehen, der es ermöglicht, Nachrichten zu transportieren. Die Druckschrift WO-A-89/10666 beschreibt eine Vorrichtung zur Datenkommunikation unter Verwendung von Schnittstellen.
  • Gleichermaßen wird darauf hingewiesen, dass ein Protokoll eine Zusammenstellung von Abmachungen oder Regeln ist, die insbesondere das Format, die Sequenzen, den Algorithmus zur Erfassung von Übertragungsfehlern von übertragenen Daten usw. definieren.
  • Ein Netzprotokoll entspricht an sich einer 3. Vermittlungsschicht des OSI-Schichtmodells (Norm X200) das von der ISO vorgeschlagen ist (die englischsprachige Abkürzung steht für International Standardisation Organisation). Gleichermaßen wird darauf hingewiesen, dass die Vermittlungsschicht die Aufgabe hat, die für den Austausch von Dateninformationen durch die Transportvermittlungsschicht OSI notwendigen Verfahren und Funktionsmittel zur Verfügung zu stellen. Die Datenpakete werden in Form von Mitteilungen transportiert, die „Anfangsblöcke" tragen, die den Daten angefügt sind und aus mehreren Segmenten ge bildet sind, die insbesondere die Adresse des Senders und des Empfängers angeben.
  • Die vorliegende Erfindung findet Anwendung insbesondere, jedoch nicht ausschließlich im Bereich des Zugangsschutzes zu Servern von Telematiknetzen.
  • Es sind schon Vorrichtungen bekannt, die es ermöglichen, übertragene Daten in Serie auf einer langsamen Leitung zu verschlüsseln, zum Beispiel gemäß der Empfehlung CCITT V24 (Serienverbindung RS 232 mit zwei Leitungen). Solche Vorrichtungen sehen eine integrale Verschlüsselung von übertragenen Datenmitteilungen und ihrer Anfangsblöcke, ohne Berücksichtigung des Protokolls vor. Diese Art von Vorrichtung, insbesondere für den Bankbereich entwickelt, funktioniert gleichermaßen mit Mikroprozessorkarten.
  • Sie weist Nachteile auf. In der Tat ist sie von begrenzter Reichweite und ermöglicht insbesondere nicht mit voller Sicherheit die Verbindung und die Datenkommunikation zwischen zwei Netzen über nicht überwachte Schnittstellen.
  • Die vorliegende Erfindung zielt darauf ab, ein Verfahren zur Verschlüsselung von Mitteilungen zur Verfügung zu stellen, die zwischen miteinander verbundenen Netzen übertragen werden, ein Gerät und eine Vorrichtung, die ein solches Verfahren umsetzen, die besser als die zuvor bekannten Anlagen die Anforderungen der Praxis erfüllen, insbesondere dadurch, dass sie eine Datenübertragung mit Verschlüsselung zwischen durch diese Netze verbundenen Anlagen mit voller Sicherheit erlaubt, wobei ein einfaches und einfach an die Protokolle und vorhandenen Anlagen anpassungsfähiges Verfahren eingesetzt wird.
  • In einem Aspekt schlägt die Erfindung insbesondere ein Verfahren zur Verschlüsselung von Mitteilungen zur Verfügung, die zwischen Netzen übertragen werden, die über Schnittstellen miteinander verbunden sind, wobei ein bestimmtes Netzprotokoll verwendet wird, dadurch gekennzeichnet, dass die Mitteilungen unter normaler Erhaltung des „Anfangsblockteils" der Mitteilung verschlüsselt werden, was ihren Transport über die genannten Schnittstellen ermöglicht.
  • Eine solche Verschlüsselung ermöglicht, die Übertragung von Daten unter Wahrung der Vertraulichkeit in den Teilen des Netzes oder Schnittstellen, die als nicht sicher gelten und zwischen den jeweiligen Netzen liegen, zu gewährleisten.
  • Mit Vorteil ist das verwendete Netzprotokoll das Internetprotokoll (IP), das Verschlüsselungsverfahren ist dadurch gekennzeichnet, dass die Mitteilungen so verschlüsselt werden, dass die IP-Anfangsblöcke normal erhalten bleiben und gleichzeitig mit den Daten mindestens ein Teil der Anfangsblöcke verschlüsselt werden, die den verwendeten Transportprotokollen TCP oder UDP entsprechen.
  • Das IP-Protokoll ist eine Teilschicht der Vermittlungsschicht (Schicht 3) der OSI-Schichtarchitektur. Die Internetschicht konvertiert alle Servicenetze in ein Servicedatagramm und uniformiert so die Netze für die Transportschicht (Schicht 4 in der ISO-Architektur).
  • Die Protokolle TCP und UDP sind Protokolle der Transportschicht; TCP (die englischsprachige Abkürzung steht für Transmission Control Protocol) bildet einen Service mit virtuellen Schaltungen und verwendet ein Bestätigungssystem für die Kontrolle von Fehlern; UDP (die englischsprachige Abkürzung steht für User Datagram Protocol) bildet an sich einen Support für die Übertragungsprotokolle, die nicht die selben Kontrollen erfordern wie TCP.
  • In einer vorteilhaften Ausführungsform ist das für die Verschlüsselung von Mitteilungen verwendete Verschlüsselungssystem das DES-System (die englischsprachige Abkürzung steht für Data Encryption Standard). Es handelt sich um ein Verschlüsselungssystem, das einer amerikanischen Norm entspricht und einen Schlüssel von 56 Bits verwendet.
  • Mit Vorteil wird das DES-System im CBC-Modus verwendet.
  • Der DES (Data Encryption Standard) und sein Funktionsmodus CBC (Cipher Block Chaining) sind in den folgenden Standards beschrieben:
    • – „Data Encryption Standard", Federal Information Processing Standards Publication 46, National Bureau of Standards, U.S. Department of Commerce, January 1977;
    • – "DES Modes of Operation", Federal Information Processing Standards Publication 81, National Bureau of Standards, U.S. Department of Commerce, December 1980.
  • Der Vorteil des CBC-Modus liegt im Wesentlichen in der Tatsache, dass wenn eine Folge von identischen Werten verschlüsselt wird, die Verschlüsselungsergebnisse für jeden identischen Wert nicht die selben sind.
  • Gleichermaßen wird vorteilhaft eine Gesamtheit einer Datenmitteilung verschlüsselt, sowie ein Abschnitt, teilweise oder gesamt, des entsprechenden TCP- oder UDP-Anfangsblocks, so dass eine Kette von Bits in einer durch 64 teilbaren Länge erhalten wird.
  • In einer vorteilhaften Ausführungsform ist das Verfahren dadurch gekennzeichnet, dass der verschlüsselte TCP- oder UDP-Anfangsblockabschnitt den als „Prüfsumme" bezeichneten Teil umfasst.
  • Die TCP/UDP-Prüfsumme ist eine Kontrollsumme, die vom Absender der Mitteilung mit dem in der Norm RFC793 beschriebenen Algorithmus in Funktion der zu übertragenden Daten berechnet und in die Mitteilung eingefügt ist. Die RFC (die englischsprachige Abkürzung steht für Request For Comments) sind vom Internet Activies Board herausgegebene Schriften, die allgemein die Funktion eines Standards aufweisen, und die von Government Systems, Inc., Network Information Center, 14200 Park Meadow Drive, Suite 200, Chantilly, VA 22021, U.S.A. zu beziehen sind.
  • Der Empfänger berechnet diese Kontrollsumme in Funktion der erhaltenen Daten erneut. Wenn der gefundene Wert sich von dem in der Mitteilung übertragenen unterscheidet, schließt der Empfänger daraus, dass die empfangene Mitteilung nicht korrekt ist. Es handelt sich um eine Kontrolle der Integrität. Das Verschlüsselungsgerät verschlüsselt und entschlüsselt mit Vorteil diese Kontrollsumme, um böswillige Veränderung der Mitteilung aufgrund der erneuten Berechnung einer korrekten Kontrollsumme an der in unredlicher Absicht modifizierten Mitteilung unmöglich zu machen. Wenn dies der Fall ist, macht die (unumgängliche) Entschlüsselung der Kontrollsumme diesen Wert falsch und bewirkt die Zurückweisung der Mitteilung durch den Empfänger.
  • Diese Vorgehensweise garantiert somit die Integrität der Mitteilungen gegenüber Risiken böswilliger Angriffe.
  • Die Erfindung schlägt gleichermaßen ein Verfahren zur Behandlung von zwischen Anlagen übertragenen Mitteilungen vor, die mindestens zwei miteinander verbundenen Netzen angehören, deren jedes mindestens eine Anlage umfasst, die zum Senden und Empfangen von durch das oben beschriebene Verschlüsselungsverfahren verschlüsselten Daten zugelassen ist, dadurch gekennzeichnet, dass die Behandlung einer Mitteilung die folgenden Schritte umfasst:
    • – Verifizierung des Vorhandenseins einer Speicherkarte zur Authentifizierung der Bedienungsperson der ersten Anlage,
    • – Verifizierung des zwischen den beiden Anlagen verwendeten Protokolls, und wenn das Protokoll das bestimmte Netzprotokoll ist (zum Beispiel das TCP/IP- oder UDP/IP-Protokoll), Suche eines der Senderanlage zugeordneten Schlüssels und eines der Empfängeranlage zugeordneten Schlüssels,
    • – wenn die beiden Schlüssel vorhanden sind, Verschlüsselung der zu sendenden Mitteilung und Übertragung der Mitteilung, ansonsten Zurückweisung der Mitteilung,
    • – Verifizierung des Vorhandenseins einer Speicherkarte zur Authentifizierung der Bedienungsperson der zweiten Anlage,
    • – Verifizierung des zwischen den beiden Anlagen verwendeten Protokolls, und wenn das Protokoll das bestimmte Netzprotokoll ist (zum Beispiel TCP/IP oder UDP/IP), Suche eines der Senderanlage zugeordneten Schlüssels und eines der Empfängeranlage zugeordneten Schlüssels,
    • – wenn die beiden Schlüssel vorhanden sind, Entschlüsselung der empfangenen Mitteilung, ansonsten Zurückweisung der Mitteilung.
  • Unter Schlüssel sind insbesondere eine Gruppe von spezifischen bestimmten oder durch einen bestimmten Algorithmus berechenbare Daten zu verstehen, die nur für die zugelassenen Benutzer vorgesehen sind.
  • Die Schritte der Verschlüsselung und Entschlüsselung verwenden jeweils einen Schlüssel. Damit die Entschlüsselung erfolgreich durchgeführt wird, muss ein Entschlüsselungsschlüssel in Verbindung mit dem Verschlüsselungsschlüssel verwendet werden, der dazu verwendet wurde.
  • Im Falle eines symmetrischen Verschlüsselungsalgorithmus, wie DES, müssen die Schlüssel für die Verschlüsselung und Entschlüsselung identisch sein. Es wird eine Übereinkunft verwendet, die es ermöglicht, diesen Schlüssel des Paars abzuleiten (der Senderanlage zugeordneter Schlüssel, der Empfängeranlage zugeordneter Schlüssel); diese Übereinkunft kann zum Beispiel darin bestehen, den der Senderanlage zugeordneten Schlüssel zu wählen oder auch das Ergebnis einer mathematischen Funktion des Schlüsselpaars zu verwenden.
  • Im Falle eines asymmetrischen Verschlüsselungsalgorithmus unterscheiden sich die Schlüssel der Verschlüsselung und der Entschlüsselung, wenngleich sie voneinander abhängig sind. Die Übereinkunft, die den Verschlüsselungsschlüssel des Paars abzuleiten ermöglicht (der Senderanlage zugeordneter Schlüssel, der Empfängeranlage zugeordneter Schlüssel), der sich vom ersten unterscheidet, entspricht der selben Übereinkunft.
  • Die Erfindung schlägt gleichermaßen eine Vorrichtung zur Kommunikation von Datenmitteilungen zwischen mindestens zwei Anlagen, die zwei verschiedenen Netzen angehören vor, die über mindestens eine Schnittstelle unter Verwendung eines bestimmten Netzprotokolls verbunden sind [zum Beispiel das Internetprotokoll (IP)], dadurch gekennzeichnet, dass die Vorrichtung für jedes Netz oder die zugeordnete Anlage Mittel zum Lesen einer Speicherkarte und ein Schnittstellengerät aufweist, das umfasst:
    • – Mittel zum Verschlüsseln von Mitteilungen, die geeignet sind zum Verschlüsseln von Daten und mindestens teilweise der entsprechenden Anfangsblöcke im Transportprotokoll der Mitteilungen (zum Beispiel TCP oder UDP), und Mittel zum Übertragen der verschlüsselten Mitteilungen, wobei die Anfangsblöcke der verschlüsselten Mitteilungen normal erhalten sind, was ihren Transport durch die Schnittstelle erlaubt,
    • – Mittel zur Identifizierung der zugelassenen Netze oder Anlagen, die den Schnittstellengeräten zugeordnet sind,
    • – und Mittel, die geeignet sind zum Entschlüsseln der verschlüsselten Mitteilungen in Reaktion auf Signale, die von den Lesemitteln der Speicherkarte und von Identifikationsmitteln der Netze oder Anlagen erzeugt sind.
  • Das Schnittstellengerät ist geeignet zum Zuordnen direkt oder über ein Schutznetz entweder an eine Teilnehmeranlage oder eine Serveranlage.
  • Eine Anlage vom Teilnehmeranlagentyp ist zum Beispiel ein klassischer PC-Mikrocomputer ausgerüstet mit einer ETHERNET-Karte oder eine UNIX-Arbeitsstation. Die Vorrichtung ermöglicht damit nur die Kommunikation im verschlüsselten Modus dieser Anlage mit dem oder den Servern oder zugelassenen Anlagen, deren Referenzen in das Schnittstellengerät eingegeben sind.
  • Ein Schnittstellengerät verbunden mit einer Anlage vom Typ Server ermöglicht hingegen diesem Server, im verschlüsselten Modus mit Teilnehmeranlagen oder anderen in diesem Schnittstellengerät registrierten Servern zu kommunizieren, und zum Beispiel im nicht verschlüsselten Modus mit jeder anderen Anlage.
  • In einer vorteilhaften Ausführungsform kann diese letztgenannte Möglichkeit durch eine spezifische Konfiguration der Vorrichtung verhindert sein.
  • Die Erfindung schlägt gleichermaßen ein Schnittstellengerät für Kommunikationsvorrichtungen für Datenmitteilungen vor, wie sie oben beschrieben wurden, umfassend:
    • – Mittel zum Verschlüsseln von Mitteilungen geeignet zum Verschlüsseln von Daten und mindestens teilweise der Anfangsblöcke entsprechend dem Transportprotokoll der Mitteilungen (zum Beispiel TCP oder UDP),
    • – Mittel zum Übertragen der verschlüsselten Mitteilungen, wobei die Anfangsblöcke der verschlüsselten Mitteilungen normal erhalten sind (zum Beispiel IP), wobei ihr Transport über die Schnittstelle ermöglicht ist,
    • – Identifizierungsmittel zugelassener Netze oder Anlagen, die den Schnittstellengeräten angehören,
    • – und Mittel geeignet zum Entschlüsseln der verschlüsselten Mitteilungen, in Reaktion auf Signale, die durch die Lesemittel der Speicherkarte und Identifizierungsmittel der Netze oder Anlagen erzeugt sind.
  • Mit Vorteil ist das Gerät besonders geeignet zum Zuordnen zu einer Anlage vom Typ eines Servers.
  • Die Erfindung wird besser verständlich durch Studium der folgenden Beschreibung von besonderen Ausführungsformen, die als nicht einschränkende Beispiele angegeben sind.
  • Die Beschreibung nimmt Bezug auf die begleitenden Zeichnungen, in denen:
  • 1 eine Einrichtung zur Kommunikation zwischen Anlagen, die mehreren verschiedenen Netzen angehören über Schnittstellen, die das Internetprotokoll verwenden, gemäß einer Ausführungsform der Erfindung zeigt.
  • 2 das Blockschema eines Schnittstellengeräts gemäß der Ausführungsform der Erfindung zeigt, die hier speziell beschrieben ist.
  • 3 als komplementäres Beispiel eine Anlage zeigt, die die Programmierung von Speicherkarten ermöglicht, die mit der Erfindung verwendbar sind.
  • Die 4 und 5 das bekannte Prinzip zeigen, das im Verschlüsselungssystem DES verwendet wird, das in dem hier insbesondere beschriebenen Verfahren gemäß der Erfindung eingesetzt wird.
  • Die 6, 7, 8, 9, 10 und 11 die Konstruktion eines Ethernet-Frames IP/TCP oder IP/UDP (6), des Ethernet-Anfangsblocks ( 7), des ISO-Anfangsblocks (8), des IP-Anfangsblocks (9), des TCP-Anfangsblocks (10) und des UDP-Anfangsblocks ( 11) zeigen.
  • In 1 ist eine Kommunikationseinrichtung 1 gemäß einer besonderen Ausführungsform der Erfindung zwischen Anlagen, die mehreren Netzen angehören, dargestellt.
  • Ein erstes Netz 2, als sicheres Netz qualifiziert, umfasst zum Beispiel einen ersten geschützten Server 3, einen zweiten geschützten Server 4 und eine Arbeitsstation, die als privilegierte Arbeitsstation 5 bezeichnet wird.
  • Ein erstes Schnittstellengerät 6 ist im Netz 2 mit einer Ethernetverbindung 7 verbunden. Es ist zum Filtern der Mitteilungen vorgesehen, die für die geschützten Server 3 und 4 bestimmt sind, die vom nicht sicheren Netz 8 ankommen, und zum Autorisieren des Zugangs zu diesen geschützten Servern für die privilegierten Arbeitsstationen 9 und 10.
  • Das Gerät 6 ist mit dem nicht sicheren Netz 8 gleichermaßen über eine dazwischen geschaltete Ethernetverbindung 11 verbunden, zum Beispiel über einen Router 12 oder durch irgendein anderes Gerät, das über eine Ethernetschnittstelle vom Typ DTE (im Sinne der Norm ISO 8802.3) verfügt.
  • Eine solche Anschlusstechnik ist eine Brückenschaltung, wobei ein MAU/MAU-Adapter (nicht dargestellt) mit dem Schnittstellengerät 6 vor gesehen ist, das dann in Kontakt auf dem Ableitkabel des Ethernet platziert ist.
  • Der MAU-Adapter (die englischsprachige Abkürzung steht für Medium Access Unit) ist an sich bekannt und verkörpert insbesondere die Funktionen der Codierung und Decodierung von Daten, die Synchronisation und die Erkennung von Rahmen (Frames).
  • Das nicht sichere Netz 8 umfasst zum Beispiel einen nicht geschützten Server 13 und eine nicht privilegierte Arbeitsstation 14. Es ist über die Router 15 und 16 mit zwei Netzen 17 und 18 verbunden.
  • Das erste Netz 17 ist geschützt. Es ist mit einem zweiten Schnittstellengerät 19 versehen, das mit dem Netz 17 über Ethernetverbindung in ähnlicher Weise verbunden ist, wie es zuvor beschrieben wurde. Das Netz 17 umfasst insbesondere die privilegierte Arbeitsstation 9. In diesem Fall ist das Gerät 19 einem Netz (Netz 17) zugeordnet, das privilegiert sein kann.
  • Das Netz 18 ist am Netz 8 über den Router 16 durch Ethernetverbindung 21 angeschlossen, wie oben.
  • Es umfasst die Anlage 10 in Schnittstellenverbindung mit dem Rest des Netzes 18 unter Zwischenschaltung eines Schnittstellengeräts 22. In diesem Fall ist die Anlage 10 damit privilegiert.
  • Die Speicherkarten 23, 24, 25 sind übrigens vorgesehen, um die Schnittstellengeräte 6, 19 und 22 zu bestätigen.
  • Die folgenden Anmerkungen beziehen sich gleichermaßen auf die 1:
    • – Die Anlage 5 kann auf die geschützten Server 3 und 4 zugreifen, weil kein Schnittstellengerät sie trennt. Hingegen kann sie nicht auf den Server 13 zugreifen (wenn dieser aktiv ist).
    • – Das Schnittstellengerät 6 sichert den Zugang zu den beiden geschützten Servern 3 und 4 bezüglich der Anlagen 14, 9 und 10.
    • – Das Schnittstellengerät 19 (bzw. 22) ermöglicht der Arbeitsstation 9 (bzw. 10) Zugang zu den Servern 3 und/oder 4, wenn es den Schlüssel der Server 3 und/oder 4 kennt.
  • Nun wird ein Schnittstellengerät gemäß einer hier besonders bevorzugten Ausführungsform der Erfindung beschrieben.
  • Wie erwähnt ist, sind die Schnittstellengeräte in diesem Fall Geräte, die dem Netz hinzugefügt sind, um den Zugang zu einem oder mehreren Servern zu sichern.
  • Jedes Schnittstellengerät umfasst ein Kartenlesegerät mit Mikroprozessor, einen Schnittstellenoperator gebildet aus einem Tastenfeld mit sechzehn Tasten und einer Anzeigeeinrichtung und zwei Ethernetschnittstellen vom Typ DTE (im Sinne der Norm ISO 8802.3). Eine Adaptereinrichtung MAU/MAU ermöglicht, das Schnittstellengerät in Kontakt mit dem Ableitkabel (blaues Kabel des Ethernet) zu platzieren.
  • In der hier beschriebenen besonderen Ausführungsform der Erfindung hat das Schnittstellengerät die Aufgabe, die Integrität und die Vertraulichkeit der Kommunikation zu gewährleisten, wobei die Protokolle DoD IP/TCP und IP/UDP verwendet werden, die in den Standards RFC 791, RFC 768, RFC 1122, RFC 1166, RFC 1042 beschrieben sind (zur Erinnerung RFC ist die englischsprachige Abkrüzung für Request For Comments) wenn und nur wenn ein Berechtigungsverfahren unter Verwendung einer Mikroprozessorkarte korrekt ausgeführt wurde und wenn die Karte sich im Lesegerät des Schnittstellengeräts befindet. Eine ge schützte interne Tabelle im Schnittstellengerät umfasst DES-Schlüssel, die den IP-Adressen der Sender zugeordnet sind.
  • Das Prinzip der Behandlung von Frames im Schnittstellengerät, wenn das Berechtigungsverfahren korrekt ist, wird nachfolgend angegeben:
    • – wenn ein IP-Datagramm, das ein Protokoll TCP oder UDP transportiert, an der Schnittstelle 30 (siehe 1) empfangen wird (normalerweise unverschlüsselt), und wenn Schlüssel gefunden werden, die mit den IP-Adressen des Senders und des Empfängers verknüpft sind, wird ein Teil der Nutzerdaten dieses Datagrammes mit einem DES-Algorithmus unter Verwendung eines Schlüssels, der mit der IP-Adresse des Senders verknüpft ist, verschlüsselt. Das Datagramm wird dann auf die Schnittstelle 31 ausgegeben;
    • – wenn ein IP-Datagramm, das ein Protokoll TCP oder UDP transportiert, an der Schnittstelle 31 empfangen wird (normalerweise verschlüsselt), und wenn Schlüssel gefunden werden, die mit den IP-Adressen des Senders und des Empfängers verknüpft sind, wird ein Teil der Nutzerdaten dieses Datagrammes mit einem DES-Algorithmus unter Verwendung eines Schlüssels, der mit der IP-Adresse des Senders verknüpft ist, entschlüsselt (der selbe Schlüssel wie er zuvor für die Verschlüsselung verwendet wurde). Das Datagramm wird dann auf die Schnittstelle 30 ausgegeben;
    • – die Datagramme IP/TCP oder IP/UDP, die an einer der Schnittstellen (30 oder 31) empfangen werden, mit einer IP-Senderadresse oder einer IP-Empfängeradresse, für die kein Schlüssel gefunden werden kann, werden in Abhängigkeit von einem Konfigurationsparameter „X" zurückgewiesen oder zurückübertragen;
    • – die anderen Datagramme (weder IP/TCP noch IP/UDP), die an einer der Schnittstellen (30 oder 31) empfangen werden, werden ohne Behandlung auf eine andere Schnittstelle übertragen.
  • Im Fall wo das Berechtigungsverfahren nicht korrekt ausgeführt wurde oder wenn keine Karte im Lesegerät vorhanden ist, entscheidet ein Konfigurationsparameter „Y":
    • – alle von einer Schnittstelle empfangenen Frames ohne Behandlung an eine andere zu schicken (als Arbeitsstation bezeichneter Modus);
    • – alle empfangenen IP/TCP und IP/UDP Frames zurückzuweisen (als Server bezeichneter Modus). Die anderen Frames werden ohne Behandlung zurück übertragen.
  • Das Schnittstellengerät muss also:
    • – Sicherheitsfunktionen gewährleisten,
    • – Schnittstellenverbindungen zur Umgebung herstellen,
    • – bei der Installation initialisiert werden,
    • – die Modifikation bestimmter Daten (Administration) gewährleisten.
  • Die 2 gibt ein Blockschema des Schnittstellengeräts 6, 19 oder 22, das hier besonders beschrieben wird, als nicht einschränkendes Beispiel.
  • Dieses umfasst ein Gehäuse 32, zum Beispiel aus Metall, zwei Ethernetschnittstellen 33 und 34 vom Typ DTE mit zwei Anschlussdosen mit fünfzehn Punkten 35 und 36 (in 1 dargestellt durch 30 und 31), eine Stromversorgung mit 220 V 50 Hz in 2 mit 37 bezeichnet, mit Unterbrecher und Sicherung (nicht dargestellt), ein Tastenfeld mit sechzehn Tasten 38, eine zweizeilige Anzeigeeinrichtung mit zwanzig Zeichen 39, einen Anschluss 40 für Mikroprozessorkarte, ein Netzstromkabel (nicht dargestellt), ein Kabel mit fünfzehn Adern zum Anschluss an Ethernet entsprechend der Norm ISO 8802.3 (nicht dargestellt) und einen oder mehrere Prozessoren und Coprozessoren mit ihrem Speicher und zugehöriger Peripherie mit den Bezugszeichen 41 bis 52 in 2.
  • Die Mikroprozessorkarte ist zum Beispiel die Karte, die von der französischen Firma BULL unter der Katalogbezeichnung BULL CAM CP8 masque 4 hergestellt wird.
  • Gleichermaßen und als Beispiel umfasst das Schnittstellengerät einen Mikroprozessor 41 vom Typ INTEL 80960CA, der zur Verwaltung der beiden Schnittstellen Ethernet 33 und 34 verwendet wird und einen Mikroprozessor 42 vom Typ INTEL 80C186, der zur Verwaltung der Nutzerschnittstellen 43 und 44 verwendet wird.
  • Es sind zwei Coprozessoren DES 45 und 46 vom Typ CRYPTECH CRY12C102P vorgesehen, die von der belgischen Firma CRYPTECH 510–512 Chaussée de Louvain, Boîte 18, B-1930 ZAVENTEM, BELGIEN hergestellt sind, um die Mitteilungen zu verschlüsseln und zu entschlüsseln. Jeder Coprozessor ist direkt mit dem Bus des Prozessors 80960CA verbunden und wird als Peripherie betrachtet.
  • Zwei weitere Coprozessoren (nicht dargestellt) vom Typ INTEL 82596CA sind dem Prozessor INTEL 80960CA zugeordnet, um die Schnittstellen 33 und 34 zu verwalten.
  • Der Dialog zwischen einem Coprozessor und dem Prozessor 80960CA wird mittels eines gemeinsamen Speichers 47 vorgenommen. Schließlich sind Arbeitsspeicher (RAM) 48, 49 und Lesespeicher (EPROM) 50, 51 vorgesehen, ebenso ein Zeitmodul 52.
  • Eine Batterie 53 und eine Vorrichtung 54 zur Erfassung der Öffnung des Behälters 32 vervollständigen das Schnittstellengerät gemäß der hier beschriebenen besonderen Ausführungsform der Erfindung.
  • Die 3 zeigt als komplementäres Beispiel eine Anlage, die die Programmierung von Speicherkarten auf an sich bekannte Weise ermöglicht.
  • Die Anlage umfasst einen IBM-kompatiblen PC/AT-Mikrorechner 60, dem zwei Lesegeräte/Codiergeräte 61 und 62 für Mikroprozessorkarten zugeordnet sind, zum Beispiel vom Typ wie er von der französischen Firma BULL unter der Katalogbezeichnung TLP 224 de BULL CP8 hergestellt ist; und einen Drucker 63.
  • Nun wird die Funktion der Vorrichtung gemäß der Erfindung beschrieben, mit Bezug insbesondere zu den 1 bis 3 und besonders zur 1 und für Kommunikation zwischen dem Netz 18 und dem Netz 2.
  • Der Benutzer der Anlage 10 (Netz 18) ist durch seine Mikroprozessorkarte 25 identifiziert. Die bestätigten Parameter sind folgende:
    • – die Identifikation des Trägers;
    • – der Typ der Karte.
  • Die Identifikation des Trägers wird zum Beispiel in einer Liste von 100 Identifikatoren gesucht, die bei der Installation erfasst sind. Diese Liste kann von einer autorisierten Bedienungsperson für das Schnittstellengerät 22 verändert werden.
  • Der in der Karte 25 herausgelesene Gültigkeitswert wird mit dem Wert des Schnittstellengeräts 22 verglichen. Mit Vorteil besitzt das Schnittstellengerät einen von der Batterie 53 gespeisten Zeitmodul 52, um die Zeiteinstellung bei jedem Einschalten zu vermeiden.
  • Der Gültigkeitswert der Karte wird vom Lesegerät/Codiergerät (zum Beispiel 61) bei der Generierung der Karte erfasst.
  • Der Benutzer wird damit durch seinen Code identifiziert, der auf der Mikroprozessorkarte 25 vorhanden ist.
  • Die Identifizierung und Authentifizierung werden lokal im Schnittstellengerät 22 vorgenommen. Im Erfolgsfall wird das Schnittstellengerät bis zum Entfernen der Karte aktiv. Wenn ein einziger Parameter ungültig ist, bleibt das Schnittstellengerät inaktiv.
  • Das den Servern 3 und 4 zugeordnete Schnittstellengerät 6 identifiziert dann die Arbeitsstation 10 aufgrund ihrer IP-Adresse. Diese Adresse ist in der Tat einmalig.
  • Das selbe Schnittstellengerät 6 authentifiziert die Arbeitsstation 10 durch Entschlüsseln der empfangenen Mitteilung.
  • Der Schlüssel zum Entschlüsseln findet sich in einer Tabelle ausgehend von der IP-Adresse des Senders (Arbeitsstation 10 in diesem Fall). Das den Servern 3 und 4 zugeordnete Schnittstellengerät 6 besitzt so viele Entschlüsselungsfälle wie es autorisierte Arbeitsstationen besitzt, die auf die zugehörigen Server zugriffsberechtigt sind. Diese Schlüssel und diese Adressen werden bei der Installation des Schnittstellengeräts 6 erfasst.
  • Der Schlüssel zum Verschlüsseln findet sich in einer Tabelle ausgehend von der IP-Adresse des Senders (Server 3 oder 4 in diesem Fall). Das den Servern 3 und 4 zugeordnete Schnittstellengerät 6 besitzt so viele Verschlüsselungsschlüssel wie es diesem Schnittstellengerät zugeordnete Server gibt. Diese Schlüssel und diese Adressen werden gleichermaßen bei der Installation des Schnittstellengeräts 6 erfasst.
  • Der Algorithmus zur Behandlung eines empfangenen Frames ist in der folgenden Tabelle angegeben:
    Figure 00180001
  • Es kann auf an sich bekannte Weise ein Cache mit einem bis drei Schlüsseln vorgesehen sein, um unnötige Suche zu vermeiden, wenn mehrere Datagramme mit den selben Adressen nacheinander ankommen.
  • Die Identifizierung und Authentifizierung des Servers wird auf gleiche Weise vorgenommen wie es zuvor für den Fall der Identifizierung und Authentifizierung der Arbeitsstation beschrieben wurde.
  • Das der Arbeitsstation 10 zugeordnete Schnittstellengerät 22 identifiziert den Server 3 (oder 4) aufgrund seiner IP-Adresse, wobei diese Adresse einmalig ist.
  • Das selbe Schnittstellengerät 22 authentifiziert den Server durch Entschlüsseln der empfangenen Mitteilung.
  • Der Schlüssel zum Entschlüsseln findet sich in einer Tabelle ausgehend von der IP-Adresse des Sendeservers 3 (oder 4). Das der Arbeitsstation 10 zugeordnete Schnittstellengerät 22 besitzt damit so viele Schlüssel zum Entschlüsseln wie es geschützte Server gibt, zu denen sie zugreifen können (hier zwei). Wiederum werden hier die Schlüssel und Adressen bei der Installation des Schnittstellengeräts 22 erfasst.
  • Der Algorithmus ist der selbe wie zuvor.
  • Es kann gleichermaßen ein Cache mit einem bis drei Schlüsseln vorgesehen sein, um unnötige Suche zu vermeiden, wenn mehrere Datagramme mit den selben Adressen nacheinander ankommen.
  • Bezüglich der Vertraulichkeit von Mitteilungen, so wird diese durch das Verschlüsseln bei der Absendung und der Entschlüsselung beim Emp fang unter Verwendung des Algorithmus DES (Data Encryption Standard) im CBC-Modus gewährleistet.
  • Der Algorithmus DES ist symmetrisch mit geheimen Schüsseln. Der zum Verschlüsseln eines Frames verwendete Schlüssel ist der IP-Adresse des Senders zugeordnet.
  • Wie zu sehen ist, liegt einer der Vorteile des CBC-Modus in der Tatsache, dass zwei nacheinander abgesandte identische Serien von Werten keine zwei identischen Serien von verschlüsselten Werten ergeben.
  • Um betrügerisches Rückspiel (in englischer Terminologie Replay) eines Austauschs von verschlüsselten Mitteilungen, der durch passives Abhören abgefangen wurde, zu verhindern, ist mit Vorteil eine Zeitdatierung des ursprünglichen Vektors für die Verschlüsselung und Entschlüsselung vorgesehen, wobei der Vektor im CBC-Modus notwendig ist. Die Zeitdatierung wird durch eine Takteinrichtung gewährleistet, die in jeder Anlage vorhanden ist.
  • Mit anderen Worten, der ursprüngliche Vektor verändert sich in Funktion der Zeit.
  • Das Prinzip der Verschlüsselung einer Mitteilung unter Verwendung des Algorithmus DES wird nachfolgend mit Bezug zu den 4 und 5 beschrieben.
  • P ist eine unverschlüsselte Mitteilung. Der Sender beginnt mit Umschreiben der Miteilung P in binäre Form, wobei hierfür irgendein binäres Alphabet verwendet wird. Dann schneidet er seine Mitteilung in Blöcke von 64 Bits und führt den selben Vorgang an jedem Block aus, wie es in 4 gezeigt ist. Jede Umsetzung (Transposition) ist eine einfache „Mischung" von 64 Bits.
  • Das Prinzip von sechzehn Iterationen, die bei der DES-Verschlüsselung verwendet werden, ist in 5 angegeben. Die 32 Bits rechts Di+1 sind durch Hinzufügen (Operation oder exklusiv) erhalten, die 32 Bits links Gj sind ausgehend vom Schlüssel Kj und des 32 Bits Dj berechnet.
  • Der Empfänger muss den Schlüssel K von 56 Bits kennen und exakt den selben Algorithmus am verschlüsselten Block verwenden, um ihn zu entschlüsseln. Er erhält damit eine klare (unverschlüsselte) Mitteilung.
  • Die Verschlüsselung (Entschlüsselung) wird am Datenfeld sowie einem Teil der Anfangsblöcke TCP oder UDP durchgeführt. Die verwendeten Felder des Anfangsblocks hängen von der Größe des Datenfeldes ab, weil der Algorithmus DES im CBC-Modus an Wörtern von 64 Bits funktioniert.
  • In den 6 bis 11 sind Bestandteilselemente eines Frames Ethernet/IP/TC oder UDP dargestellt.
  • Die 6 zeigt das allgemeine Format 70 eines Ethernet Frames.
  • Dieser Frame umfasst im Wesentlichen eine Präambel 71, ein SFD-Feld (die englischsprachige Abkürzung steht für Start Frame Delimiter) 72, einen Anfangsblock Ethernet 73, einen Anfangsblock ISO 8802.3 (Bezugszeichen 74), einen Anfangsblock IP 75, einen Anfangsblock TCP oder UDP 76, Daten 77 und ein FCS-Feld (die englischsprachige Abkürzung steht für Frame Check Sequence) 78.
  • Der Anfangsblock ISO 74 ist nicht obligatorisch vorhanden; in der Tat verschwindet er, wenn der Wert des Inhalts des Feldes „Typ oder Länge" des Anfangsblocks ETHERNET 73 größer ist als ein Wert 1518 im Dezimalsystem.
  • Die 7 gibt den Anfangsblock Ethernet 73 an und die 8 zeigt den Anfangsblock ISO 8802.3 (Bezugszeichen 74). Der Anfangsblock IP 75 ist in 9 dargestellt. Die Anfangsblöcke der 7, 8 und 9 werden im Verfahren gemäß der Erfindung im unverschlüsselten Zustand übertragen. Die 10 und 11 zeigen jeweils die Anfangsblöcke TCP 80 und UDP 81.
  • Nur die unteren Teile 82 bzw. 83 dieser Anfangsblöcke werden verschlüsselt und mit Vorteil ihre als „Prüfsumme" 84 und 85 bezeichneten Teile.
  • Es versteht sich von selbst und ergibt sich aus dem Vorstehenden, dass die Erfindung gleichermaßen alle Varianten des beschriebenen Verfahren und der Vorrichtungen betrifft, die im Rahmen der Äquivalente liegen.
  • Insbesondere das Basisverfahren bestehend aus Verschlüsseln des Teils „Daten" einer Mitteilung, wobei der Teil „Anfangsblock" der Mitteilung unverschlüsselt bleibt, der ihren Transport ermöglicht, kann mit anderen Arten von Protokollen verwendet werden, und insbesondere mit dem Netzprotokoll, das durch den internationalen Standard "Connectionless Network Protocol" ISO8473 spezifiziert ist. Hierzu wird die Länge der Anfangsblockfelder IEEE8802.2 und CLNS ISO8473 berücksichtigt, um den Anfang der Verschlüsselungs-/Entschlüsselungszone in jeder Mitteilung unter Verwendung des Protokolls ISO8473 zu bestimmen.

Claims (15)

  1. Verfahren zur Verschlüsselung von Mitteilungen, die zwischen Netzen übertragen werden, die über Schnittstellen miteinander verbunden sind, wobei ein bestimmtes Netzprotokoll verwendet wird, in dem die Mitteilungen verschlüsselt werden, dadurch gekennzeichnet, dass das bestimmte Netzprotokoll das Internetprotokoll (IP) ist und zum Ermöglichen des Transports von Mitteilungen über die genannten Schnittstellen die Mitteilungen so verschlüsselt werden, dass die IP-Anfangsblöcke (75) normal erhalten bleiben und gleichzeitig mit den Daten (77) mindestens ein Teil (82, 83, 84, 85) der Anfangsblöcke (76, 80, 81) verschlüsselt werden, die den verwendeten Transportprotokollen TCP oder UDP entsprechen.
  2. Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass das für die Verschlüsselung von Mitteilungen verwendete Verschlüsselungssystem das System DES ist, die gesamten Daten sowie der Teil, teilweise oder ganz, des Anfangsblocks des entsprechenden TCP oder UDP verschlüsselt wird, um eine Kette von Bits mit einer durch 64 teilbaren Länge zu erhalten.
  3. Verfahren nach Anspruch 2, dadurch gekennzeichnet, dass das DES-System im CBC-Modus verwendet wird, wobei der durch den Modus benötigte initiale Vektor in Abhängigkeit von der Zeit zur Vermeidung von Missbrauch modifiziert wird.
  4. Verfahren nach einem der Ansprüche 2 und 3, dadurch gekennzeichnet, dass der verschlüsselte Teil (82, 83) des Anfangsblocks von TCP oder UDP den Teil umfasst, der „Checksum" (84, 85) genannt wird.
  5. Verfahren zur Behandlung von zwischen Anlagen (3, 4, 9, 10) übertragenen Mitteilungen, die mindestens zwei miteinander verbundenen Netzen (2; 17, 18) angehören, deren jedes mindestens eine Anlage umfasst, die zum Senden und Empfangen von durch das Verschlüsselungsverfahren nach einem der vorhergehenden Ansprüche verschlüsselten Daten zugelassen ist, wobei die Behandlung einer Mitteilung die folgenden Schritte umfasst: – Verifizierung des Vorhandenseins einer Speicherkarte (23, 24, 25) zur Authentifizierung der Bedienungsperson der ersten Anlage (3, 4; 9, 10), – Verifizierung des zwischen den beiden Anlagen verwendeten Protokolls, und wenn das Protokoll das bestimmte Protokoll ist, Suche eines der Senderanlage zugeordneten Schlüssels und eines der Empfängeranlage zugeordneten Schlüssels, – wenn die beiden Schlüssel vorhanden sind, Verschlüsselung der zu sendenden Mitteilung und Übertragung der Mitteilung, ansonsten Zurückweisung der Mitteilung, – Verifizierung des Vorhandenseins einer Speicherkarte zur Authentifizierung der Bedienungsperson der zweiten Anlage, – Verifizierung des zwischen den beiden Anlagen verwendeten Protokolls, und wenn das Protokoll das bestimmte Protokoll ist, Suche eines der Senderanlage zugeordneten Schlüssels und eines der Empfängeranlage zugeordneten Schlüssels, – wenn die beiden Schlüssel vorhanden sind, Entschlüsselung der empfangenen Mitteilung, ansonsten Zurückweisung der Mitteilung.
  6. Anwendung des Verfahrens nach einem der vorhergehenden Ansprüche zum Schutz des Zugangs zu Servern (3, 4) von Telematiknetzen.
  7. Vorrichtung (1) zur Kommunikation von Datenmitteilungen zwischen mindestens zwei Anlagen (3, 4; 9, 10), die zwei verschiedenen Netzen (2; 17, 18) angehören, die über mindestens eine Schnittstelle (8) unter Verwendung eines bestimmten Netzprotokolls verbunden sind, dadurch gekennzeichnet, dass die Vorrichtung für jedes Netz (2, 17) oder die zugeordnete Anlage (10) ein Schnittstellengerät (16, 19, 22) aufweist, das umfasst: – Mittel (41, 42, 45, 46) zum Verschlüsseln von Mitteilungen, die geeignet sind zum Verschlüsseln von Daten und mindestens teilweise der entsprechenden Anfangsblöcke im Transportprotokoll der Mitteilungen, – Mittel (41, 42, 33, 34) zum Übertragen der verschlüsselten Mitteilungen, wobei die Anfangsblöcke der verschlüsselten Mitteilungen normal erhalten sind, was ihren Transport durch die Schnittstelle erlaubt, – Mittel (41, 42, 48, 49, 50, 51) zur Identifizierung der zugelassenen Netze oder Anlagen, die den Schnittstellengeräten zugeordnet sind.
  8. Vorrichtung nach Anspruch 7, dadurch gekennzeichnet, dass sie gleichermaßen Mittel (41, 42, 45, 46) enthält, die zum Entschlüsseln der verschlüsselten Mitteilungen geeignet sind, in Reaktion auf durch die Lesemittel der Speicherkarte und die Identifizierungsmittel der Netze oder Anlagen erzeugte Signale.
  9. Vorrichtung nach Anspruch 7 oder 8, dadurch gekennzeichnet, dass sie gleichermaßen Mittel (61, 62) zum Lesen einer Speicherkarte (23, 24, 25) aufweist.
  10. Vorrichtung nach einem der Ansprüche 7 bis 9, dadurch gekennzeichnet, dass das bestimmte Netzprotokoll das Internetprotokoll (IP) ist, wobei die mindestens teilweise verschlüsselten Anfangsblöcke mit den Daten den Transportprotokollen TCP und UDP der Mitteilungen entsprechen.
  11. Vorrichtung nach einem der Ansprüche 7 bis 9, dadurch gekennzeichnet, dass das Schnittstellengerät geeignet ist zum Zuordnen direkt oder über ein Schutznetz entweder an eine Teilnehmeranlage oder eine Serveranlage.
  12. Vorrichtung nach einem der Ansprüche 7 bis 11, dadurch gekennzeichnet, dass das Schnittstellengerät geeignet ist entweder zum Zulassen oder Sperren der Zuordnung.
  13. Schnittstellengerät (6, 19, 22) für Kommunikationsvorrichtungen für Datenmitteilungen zwischen mindestens zwei Anlagen, die zwei verschiedenen Netzen angehören, die über mindestens eine Schnittstelle unter Verwendung eines bestimmten Netzprotokolls miteinander verbunden sind, wobei die Vorrichtung für jedes Netz oder zugehörige Anlage Lesemittel einer Speicherkarte umfasst, dadurch gekennzeichnet, dass das Gerät umfasst: – Mittel (41, 42, 45, 46) zum Verschlüsseln von Mitteilungen geeignet zum Verschlüsseln von Daten und mindestens teilweise der entsprechenden Anfangsblöcke entsprechend dem Transportprotokoll der Mitteilungen, – Mittel (41, 42, 33, 34) zum Übertragen der verschlüsselten Mitteilungen, wobei die Anfangsblöcke der verschlüsselten Mitteilungen normal erhalten sind, wobei ihr Transport über die Schnittstelle ermöglicht ist, – Identifizierungsmittel (41, 42, 48, 49, 50, 51) der zugelassenen Netze oder Anlagen, die den Schnittstellengeräten angehören, – und Mittel (41, 42, 45, 46) geeignet zum Entschlüsseln der verschlüsselten Mitteilungen, in Reaktion auf Signale, die durch die Lesemittel (61, 62) der Speicherkarte und Identifizierungsmittel der Netze oder Anlagen erzeugt sind.
  14. Gerät nach Anspruch 13, dadurch gekennzeichnet, dass es zum Zuordnen zu einer Anlage vom Typ eines Servers geeignet ist.
  15. Anwendung des Schnittstellengeräts nach einem der Ansprüche 13 und 14 bei einem Kommunikationsnetz, das das Internetprotokoll (IP) verwendet.
DE69333852T 1992-01-28 1993-01-28 Verfahren, Gerät und Anordnung zur Verschlüsselung von Daten die über verbundene Netze übertragen werden Expired - Fee Related DE69333852T2 (de)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
FR9200881 1992-01-28
FR9200881A FR2686755A1 (fr) 1992-01-28 1992-01-28 Procede de chiffrement de messages transmis entre reseaux interconnectes, appareil de chiffrement et dispositif de communication de donnees chiffrees mettant en óoeuvre un tel procede.

Publications (2)

Publication Number Publication Date
DE69333852D1 DE69333852D1 (de) 2005-09-15
DE69333852T2 true DE69333852T2 (de) 2006-05-18

Family

ID=9426040

Family Applications (1)

Application Number Title Priority Date Filing Date
DE69333852T Expired - Fee Related DE69333852T2 (de) 1992-01-28 1993-01-28 Verfahren, Gerät und Anordnung zur Verschlüsselung von Daten die über verbundene Netze übertragen werden

Country Status (11)

Country Link
US (1) US5583940A (de)
EP (1) EP0554182B1 (de)
JP (1) JPH07503347A (de)
AT (1) ATE301901T1 (de)
DE (1) DE69333852T2 (de)
ES (1) ES2247582T3 (de)
FI (1) FI113325B (de)
FR (1) FR2686755A1 (de)
IL (1) IL104555A (de)
NO (1) NO316150B1 (de)
WO (1) WO1993015581A1 (de)

Families Citing this family (77)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
FR2709847B1 (fr) * 1993-09-07 1995-11-10 Sagem Réseau de transmission de données pour au moins deux terminaux.
US5479514A (en) * 1994-02-23 1995-12-26 International Business Machines Corporation Method and apparatus for encrypted communication in data networks
FR2717334B1 (fr) * 1994-03-11 1996-04-19 Pierre Rolin Vérification d'intégrité de données échangées entre deux stations de réseau de télécommunications.
US5588060A (en) * 1994-06-10 1996-12-24 Sun Microsystems, Inc. Method and apparatus for a key-management scheme for internet protocols
EP0693836A1 (de) * 1994-06-10 1996-01-24 Sun Microsystems, Inc. Verfahren und Einrichtung für ein Schlüsselmanagementschema für Internet-Protokolle
US5864683A (en) * 1994-10-12 1999-01-26 Secure Computing Corporartion System for providing secure internetwork by connecting type enforcing secure computers to external network for limiting access to data based on user and process access rights
FR2727269B1 (fr) * 1994-11-21 1997-01-17 Allegre Francois Systeme de controle d'acces a des machines informatiques connectees en reseau prive
FR2730326B1 (fr) * 1995-02-08 1999-02-12 Ercom Sarl Dispositif de protection des communications sur reseaux informatiques
US5867660A (en) * 1995-05-11 1999-02-02 Bay Networks, Inc. Method and apparatus for communicating between a network workstation and an internet
US5742845A (en) 1995-06-22 1998-04-21 Datascape, Inc. System for extending present open network communication protocols to communicate with non-standard I/O devices directly coupled to an open network
JPH0950465A (ja) * 1995-08-04 1997-02-18 Hitachi Ltd 電子ショッピング方法、電子ショッピングシステムおよび文書認証方法
US5757924A (en) * 1995-09-18 1998-05-26 Digital Secured Networks Techolognies, Inc. Network security device which performs MAC address translation without affecting the IP address
US5918018A (en) * 1996-02-09 1999-06-29 Secure Computing Corporation System and method for achieving network separation
US5867647A (en) * 1996-02-09 1999-02-02 Secure Computing Corporation System and method for securing compiled program code
US5913024A (en) 1996-02-09 1999-06-15 Secure Computing Corporation Secure server utilizing separate protocol stacks
FR2745967B1 (fr) * 1996-03-07 1998-04-17 Bull Cp8 Procede de securisation des acces d'une station a au moins un serveur et dispositif mettant en oeuvre le procede
US5768526A (en) * 1996-03-08 1998-06-16 Glenayre Electronics, Inc. Method and apparatus for validating data packets in a paging system
FI112419B (fi) * 1996-06-06 2003-11-28 Nokia Corp Menetelmä tiedonsiirron salaamiseksi
DE69734179T2 (de) * 1996-07-15 2006-06-29 At & T Corp. Verfahren und Vorrichtung zum Begrenzen des Zugriffs auf private Information in Domain Name Systemen durch Informationsfilterung
US5872847A (en) * 1996-07-30 1999-02-16 Itt Industries, Inc. Using trusted associations to establish trust in a computer network
US6003084A (en) * 1996-09-13 1999-12-14 Secure Computing Corporation Secure network proxy for connecting entities
US5983350A (en) * 1996-09-18 1999-11-09 Secure Computing Corporation Secure firewall supporting different levels of authentication based on address or encryption status
US5950195A (en) * 1996-09-18 1999-09-07 Secure Computing Corporation Generalized security policy management system and method
US5938726A (en) * 1996-10-04 1999-08-17 Motorola, Inc. Apparatus for reading an electronic network navigation device and a peripheral for use therewith
US5940595A (en) * 1996-09-23 1999-08-17 Motorola, Inc. Electronic network navigation device and method for linking to an electronic address therewith
US6081827A (en) * 1996-09-23 2000-06-27 Motorola, Inc. Network navigation methods and systems using an article of mail
US6138151A (en) * 1996-09-23 2000-10-24 Motorola, Inc. Network navigation method for printed articles by using embedded codes for article-associated links
US5915087A (en) * 1996-12-12 1999-06-22 Secure Computing Corporation Transparent security proxy for unreliable message exchange protocols
JP2001508627A (ja) 1997-01-03 2001-06-26 フォートレス テクノロジーズ インコーポレイテッド 改良されたネットワークセキュリティ装置
US5968133A (en) * 1997-01-10 1999-10-19 Secure Computing Corporation Enhanced security network time synchronization device and method
WO1998031124A1 (en) * 1997-01-10 1998-07-16 Hanson Gordon L Reverse proxy server
US6002946A (en) 1997-04-14 1999-12-14 Motorola, Inc. Handheld device having an optical data reader
US7251784B2 (en) * 1997-04-25 2007-07-31 Winslowhouse International, Inc. Supplying supplementary information for printed books
US6212636B1 (en) 1997-05-01 2001-04-03 Itt Manufacturing Enterprises Method for establishing trust in a computer network via association
US6137654A (en) * 1997-06-23 2000-10-24 Motorola, Inc. Device having a diskette-like housing and a wireless transceiver and methods therefor
US8255680B1 (en) * 1997-06-26 2012-08-28 Oracle America, Inc. Layer-independent security for communication channels
US6052629A (en) * 1997-07-18 2000-04-18 Gilbarco Inc. Internet capable browser dispenser architecture
US6266335B1 (en) 1997-12-19 2001-07-24 Cyberiq Systems Cross-platform server clustering using a network flow switch
US7055173B1 (en) 1997-12-19 2006-05-30 Avaya Technology Corp. Firewall pooling in a network flowswitch
FI108827B (fi) * 1998-01-08 2002-03-28 Nokia Corp Menetelmä yhteyden suojauksen toteuttamiseksi langattomassa verkossa
US5980090A (en) * 1998-02-10 1999-11-09 Gilbarco., Inc. Internet asset management system for a fuel dispensing environment
US6144950A (en) * 1998-02-27 2000-11-07 Pitney Bowes Inc. Postage printing system including prevention of tampering with print data sent from a postage meter to a printer
US6321336B1 (en) 1998-03-13 2001-11-20 Secure Computing Corporation System and method for redirecting network traffic to provide secure communication
US6182226B1 (en) 1998-03-18 2001-01-30 Secure Computing Corporation System and method for controlling interactions between networks
US6453419B1 (en) 1998-03-18 2002-09-17 Secure Computing Corporation System and method for implementing a security policy
US6112992A (en) * 1998-06-17 2000-09-05 Motorola, Inc. Optical code reader and methods and articles therefor
US6154839A (en) * 1998-04-23 2000-11-28 Vpnet Technologies, Inc. Translating packet addresses based upon a user identifier
US6126075A (en) 1998-06-04 2000-10-03 Motorola, Inc. Optical code reader including circuitry for processing the read symbology
US6260760B1 (en) 1998-06-17 2001-07-17 Motorola, Inc. Optical code reader including circuitry for processing the symbology
FI106417B (fi) * 1998-12-08 2001-01-31 Nokia Mobile Phones Ltd Menetelmä tiedonsiirron optimoimiseksi
US6442592B1 (en) 1998-12-11 2002-08-27 Micro Computer Systems, Inc. Message center system
US6176421B1 (en) 1999-02-04 2001-01-23 Marconi Commerce Systems Inc. Fuel dispenser architecture having server
US6453360B1 (en) 1999-03-01 2002-09-17 Sun Microsystems, Inc. High performance network interface
US6650640B1 (en) 1999-03-01 2003-11-18 Sun Microsystems, Inc. Method and apparatus for managing a network flow in a high performance network interface
US6606301B1 (en) 1999-03-01 2003-08-12 Sun Microsystems, Inc. Method and apparatus for early random discard of packets
US6389468B1 (en) 1999-03-01 2002-05-14 Sun Microsystems, Inc. Method and apparatus for distributing network traffic processing on a multiprocessor computer
US6356951B1 (en) 1999-03-01 2002-03-12 Sun Microsystems, Inc. System for parsing a packet for conformity with a predetermined protocol using mask and comparison values included in a parsing instruction
US6483804B1 (en) 1999-03-01 2002-11-19 Sun Microsystems, Inc. Method and apparatus for dynamic packet batching with a high performance network interface
DE60009884T2 (de) * 1999-03-01 2005-04-07 Sun Microsystems, Inc., Palo Alto Verfahren und vorrichtung zur identifizierung und klassifizierung von netzwerkverkehr in einer hochleistungs netzwerkschnittstelle
US6418325B1 (en) 1999-07-12 2002-07-09 Motorola, Inc. Handheld device having an optical data reader
JP3259724B2 (ja) * 1999-11-26 2002-02-25 三菱電機株式会社 暗号装置、暗号化器および復号器
US6880089B1 (en) 2000-03-31 2005-04-12 Avaya Technology Corp. Firewall clustering for multiple network servers
US6779039B1 (en) 2000-03-31 2004-08-17 Avaya Technology Corp. System and method for routing message traffic using a cluster of routers sharing a single logical IP address distinct from unique IP addresses of the routers
US20040073617A1 (en) 2000-06-19 2004-04-15 Milliken Walter Clark Hash-based systems and methods for detecting and preventing transmission of unwanted e-mail
US6772226B1 (en) 2000-08-15 2004-08-03 Avaya Technology Corp. VPN device clustering using a network flow switch and a different mac address for each VPN device in the cluster
JP2003204323A (ja) * 2000-12-21 2003-07-18 Yasumasa Uyama 秘密通信方法
US20020080888A1 (en) * 2000-12-22 2002-06-27 Li Shu Message splitting and spatially diversified message routing for increasing transmission assurance and data security over distributed networks
EP1356653B1 (de) * 2001-01-24 2011-07-20 Broadcom Corporation Verfahren zur verarbeitung von mehreren sicherheitsrichtlinien für eine datenpaketstruktur
US20020104016A1 (en) * 2001-01-26 2002-08-01 International Business Machines Corporation Network router
US7353380B2 (en) * 2001-02-12 2008-04-01 Aventail, Llc, A Subsidiary Of Sonicwall, Inc. Method and apparatus for providing secure streaming data transmission facilities using unreliable protocols
US7360075B2 (en) * 2001-02-12 2008-04-15 Aventail Corporation, A Wholly Owned Subsidiary Of Sonicwall, Inc. Method and apparatus for providing secure streaming data transmission facilities using unreliable protocols
US7383329B2 (en) 2001-02-13 2008-06-03 Aventail, Llc Distributed cache for state transfer operations
US7171493B2 (en) * 2001-12-19 2007-01-30 The Charles Stark Draper Laboratory Camouflage of network traffic to resist attack
WO2005086450A1 (en) * 2004-03-02 2005-09-15 Novo Nordisk A/S Transmission data packet construction for better header authentication
US8499337B1 (en) 2004-10-06 2013-07-30 Mcafee, Inc. Systems and methods for delegation and notification of administration of internet access
US9894044B2 (en) * 2004-10-15 2018-02-13 Telecom Italia S.P.A. Method for secure signal transmission in a telecommunication network, in particular in a local area network
GB2422752A (en) * 2005-02-01 2006-08-02 3Com Corp Deciphering encapsulated and enciphered UDP datagrams

Family Cites Families (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US4227253A (en) * 1977-12-05 1980-10-07 International Business Machines Corporation Cryptographic communication security for multiple domain networks
US4203166A (en) * 1977-12-05 1980-05-13 International Business Machines Corporation Cryptographic file security for multiple domain networks
US4980913A (en) * 1988-04-19 1990-12-25 Vindicator Corporation Security system network
US5309437A (en) * 1990-06-29 1994-05-03 Digital Equipment Corporation Bridge-like internet protocol router
US5070528A (en) * 1990-06-29 1991-12-03 Digital Equipment Corporation Generic encryption technique for communication networks

Also Published As

Publication number Publication date
ES2247582T3 (es) 2006-03-01
FI113325B (fi) 2004-03-31
FR2686755A1 (fr) 1993-07-30
NO942657L (no) 1994-09-12
NO942657D0 (no) 1994-07-14
US5583940A (en) 1996-12-10
JPH07503347A (ja) 1995-04-06
NO316150B1 (no) 2003-12-15
FI943530A0 (fi) 1994-07-27
EP0554182A1 (de) 1993-08-04
IL104555A0 (en) 1993-05-13
ATE301901T1 (de) 2005-08-15
EP0554182B1 (de) 2005-08-10
FI943530A (fi) 1994-09-27
FR2686755B1 (de) 1995-02-03
IL104555A (en) 1996-07-23
DE69333852D1 (de) 2005-09-15
WO1993015581A1 (fr) 1993-08-05

Similar Documents

Publication Publication Date Title
DE69333852T2 (de) Verfahren, Gerät und Anordnung zur Verschlüsselung von Daten die über verbundene Netze übertragen werden
DE60114986T2 (de) Verfahren zur herausgabe einer elektronischen identität
DE69130657T2 (de) Verteiltes, mehrstufiges Rechnersicherheitssystem und Verfahren
DE69518199T2 (de) Sicheres Datenübertragungsverfahren
DE2232256C3 (de) Verfahren zur Überprüfung der Berechtigung von Datenstationen benutzenden Teilnehmern eines Datenverarbeitungsnetzwerkes
DE69416809T2 (de) Verbesserungen der Sicherheit in Datenverarbeitungssystemen
DE60116610T2 (de) Netzwerkadressenübersetzungsgateway für lokale netzwerke unter verwendung lokaler ip-adressen und nicht übersetzbarer portadressen
DE69930919T2 (de) Gesichertes elektronisches Postsystem
DE60206809T2 (de) Verfahren und Systeme zum Erzeugen von Chiffrierschlüsseln unter Verwendung von Zufallsbitfolgen
DE69125757T2 (de) Verschlüsselung mit selektiver Bekanntgabe der Protokollkennungen
DE60224917T2 (de) Verfahren und Vorrichtung zur Fragmentierung und Wiederzusammensetzung von Internet Key Exchange Paketen
DE60016613T2 (de) Abschreckungssystem gegen aufschaltung und missbrauch
DE69431040T2 (de) Verfahren zur gegenseitigen erkennung eines benutzers und eines servers auf einem netzwerk
DE60302276T2 (de) Verfahren zur ferngesteuerten Änderung eines Kommunikationspasswortes
DE60037771T2 (de) Vorrichtung zur kryptographischen Kommunikation
DE10151277A1 (de) Verfahren zur Authentifizierung eines Netzwerkzugriffservers bei einem Authentifizierungsserver
EP1777907A1 (de) Vorrichtungen und Verfahren zum Durchführen von kryptographischen Operationen in einem Server-Client-Rechnernetzwerksystem
WO2000072502A1 (de) Verfahren zum verifizieren der unversehrtheit und urheberschaft sowie zum ver- und entschlüsseln von texten
DE10124427A1 (de) System und Verfahren für einen sicheren Vergleich eines gemeinsamen Geheimnisses von Kommunikationsgeräten
DE102019104680A1 (de) Paketverarbeitung in einem Computersystem
EP1768342A1 (de) Netzwerkkomponente, Kommunikationsnetzwerk und Verfahren zur Bereitstellung einer Datenverbindung
DE69716548T2 (de) Verfahren und Anordnung zur Übertragung von elektrischen Datensignalen
EP1298529A2 (de) Proxy-Einheit und Verfahren zum rechnergestützten Schützen eines Applikations-Server-Programms
EP1406464A1 (de) Verfahren sowie Kommunikationsendgerät zum gesicherten Aufbau einer Kommunikationsverbindung
DE3922642C2 (de)

Legal Events

Date Code Title Description
8363 Opposition against the patent
8339 Ceased/non-payment of the annual fee