DE69918026T2 - Gesicherte "keep alive" Nachricht über das Internet - Google Patents

Gesicherte "keep alive" Nachricht über das Internet Download PDF

Info

Publication number
DE69918026T2
DE69918026T2 DE69918026T DE69918026T DE69918026T2 DE 69918026 T2 DE69918026 T2 DE 69918026T2 DE 69918026 T DE69918026 T DE 69918026T DE 69918026 T DE69918026 T DE 69918026T DE 69918026 T2 DE69918026 T2 DE 69918026T2
Authority
DE
Germany
Prior art keywords
protected
remote device
local device
communication link
local
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Expired - Lifetime
Application number
DE69918026T
Other languages
English (en)
Other versions
DE69918026D1 (de
Inventor
Shawn Mamros
Kerry M Hannigan
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Nortel Networks Ltd
Original Assignee
Nortel Networks Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Nortel Networks Ltd filed Critical Nortel Networks Ltd
Publication of DE69918026D1 publication Critical patent/DE69918026D1/de
Application granted granted Critical
Publication of DE69918026T2 publication Critical patent/DE69918026T2/de
Anticipated expiration legal-status Critical
Expired - Lifetime legal-status Critical Current

Links

Classifications

    • HELECTRICITY
    • H04ELECTRIC COMMUNICATION TECHNIQUE
    • H04LTRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00Network architectures or network communication protocols for network security
    • H04L63/04Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • HELECTRICITY
    • H04ELECTRIC COMMUNICATION TECHNIQUE
    • H04LTRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00Network architectures or network communication protocols for network security
    • H04L63/04Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H04L63/0442Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload wherein the sending and receiving network entities apply asymmetric encryption, i.e. different keys for encryption and decryption
    • HELECTRICITY
    • H04ELECTRIC COMMUNICATION TECHNIQUE
    • H04LTRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00Network architectures or network communication protocols for network security
    • H04L63/10Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/102Entity profiles

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Computer And Data Communications (AREA)

Description

  • Hintergrund der Erfindung Gebiet der Erfindung
  • Die vorliegende Erfindung bezieht sich allgemein auf das Gebiet von Datenkommunikationen und insbesondere bezieht sich die vorliegende Erfindung auf Datenkommunikationen über das Internet.
  • Hintergrundinformation
  • Der traditionelle Arbeitsplatz wird allgemein als ein einziger Platz betrachtet, zu dem alle Angestellten pendeln und während des Tages arbeiten. Mit der explosionsartigen Entwicklung der Technologie erweitert sich die Definition des Arbeitsplatzes, so dass sie Telearbeiter sowie Angestellte einschließt, die auf Reisen arbeiten. Zusätzlich benötigen Angestellte in vielen Fällen die Möglichkeit, sich aus der Entfernung von ihrem Heim- oder Laptop-Computersystem in das Firmennetz ihres Arbeitgebers zu irgendwelchen Zwecken einzuloggen, die den Zugriff auf Dateien oder die Übertragung von Dateien oder einfach das Prüfen ihrer elektronischen Post einschließen.
  • 1 zeigt ein Computersystem 101, das mit einem lokalen Netzwerk (LAN) 131 fernverbunden ist. Wie dies in 1 gezeigt ist, ist das Computersystem 101 mit dem LAN 131 über ein Modem 103 gekoppelt. Das Modem 103 ist mit einem Modem 105 über eine Verbindung 127 verbunden. Das Modem 105 ist mit einem LAN-Bus 107 verbunden, mit dem eine Vielzahl von anderen Netzwerk-Ressourcen verbunden ist. Beispielsweise zeigt 1, dass Computersysteme 113 und 117 mit dem LAN-Bus 107 über Netzwerk-Schnittstellen 111 bzw. 115 gekoppelt sind.
  • Ein Nachteil bei der vorstehenden Anordnung zur Fernverbindung des Computersystems 101 mit dem Firmen-LAN 131 über die Modems 103 und 105 besteht darin, dass die Verbindung 127 typischerweise eine Telefonverbindung über ein öffentliches Fernsprechwählnetz ist. Wenn daher das Computersystem 101 in einer großen körperlichen Entfernung von dem LAN 131 angeordnet ist, so kann die Verbindung 127 ein Ferngespräch sein, was ziemlich aufwändig sein könnte, wenn die Verbindung häufig oder über lange Zeitperioden verwendet wird.
  • 1 zeigt weiterhin, dass als Alternative das Computersystem 101 mit dem LAN 131 über das Internet 119 gekoppelt sein kann. Wie dies in 1 gezeigt ist, stellt das Computersystem 101 eine Verbindung zu einem Internet-Dienstanbieter (ISP) 121 über eine Verbindung 133 her. Typischerweise ist die Verbindung 133 eine Ortsverbindung, die kostengünstiger verglichen mit der Verbindung 127 in dem Fall ist, dass die Verbindung 127 eine Ferngesprächsverbindung ist. 1 zeigt, dass der ISP 121 mit einem Überleiteinrichtungs-System 109 über eine Verbindung 129 durch das Internet 119 verbunden ist. Das Überleiteinrichtungs-System 109 ist mit dem LAN 131 über den LAN-Bus 107 verbunden.
  • Es gibt eine Vielzahl von unterschiedlichen Protokollen, die für die Verbindung 129 zwischen dem ISP 121 und dem Überleiteinrichtungs-System 109 verwendet werden können. Ein Beispiel eines derartigen Protokolls ist das Punkt-zu-Punkt-Tunnelprotokoll (PPTP). Ein Nachteil dieses Protokolls besteht darin, dass es keine vollständige Sicherheit in der Verbindung 129 ergibt. Wie dies für den Fachmann bekannt ist, ist der Steuerkanal einer PPTP-Verbindung nicht verschlüsselt. Entsprechend würde es für einen Eindringling 125 relativ einfach sein, die nicht geschützten Kommunikationen in der Verbindung 129 zwischen dem ISP 121 und dem Überleiteinrichtungs-System 109 abzufangen und möglicherweise die Kommunikationen abzuhören, die Kommunikationen zu unterbrechen oder sich falsch als einen der zwei Teilnehmer auszugeben.
  • Ein bekanntes Protokoll, das gesicherte Kommunikationen über das Internet 119 ergibt, ist das Internet-Sicherheitszuordnungs- und Schlüsselverwaltungsprotokoll – (ISAKMP)/Oakley-Protokoll –, kombiniert mit dem Internet-Sicherheitsprotokoll (IPSec). ISAKMP/Oakley wird für die Schlüsselverwaltung verwendet, und IPSec wird zur Übertragung von verschlüsselten Daten verwendet. Wie dies dem Fachmann bekannt ist, wurde das ISAKMP/Oakley-Protokoll so ausgelegt, dass es hauptsächlich für die Bereitstellung einer gesicherten Host-zu-Host-Kommunikation über das Internet 119 zwischen Netzwerken verwendet wird, die nicht häufig abgeschaltet werden. Beispielsweise könnte ein Paar von Netzwerken, wie z. B. das LAN 131, in sicherer Weise über das Internet 119 unter Verwendung des ISAKMP/Oakley-Protokolls mit IPSec kommunizieren. Als das ISAKMP/Oakley-Protokoll entworfen wurde, wurde angenommen, dass die gesicherte Host-zu-Host-(beispielsweise Firewall-zu-Firewall-) Kommunikation über das Internet 119 zwischen Netzwerken relativ statisch sein würde. Das heißt, dass die Verbindungen zwischen den Netzwerken für relativ lange Zeitperioden aktiv bleiben würden und daher nicht häufig unterbrochen würden.
  • Ein Nachteil der Verwendung des ISAKMP/Oakley-Protokolls mit IPSec in dem in 1 gezeigten Beispiel besteht darin, dass das Computersystem 101 einen Zugriff auf das Internet 119 über ein Modem 103 ausführt. Wie dies für den Fachmann gut bekannt ist, werden Modem-Verbindungen zum Internet 119 oft unterbrochen. Wenn beispielsweise die Verbindung 133 über eine störbehaftete Telefonleitung erfolgt oder wenn beispielsweise die Verbindung 133 einen Anklopf-Dienst einschließt, so könnte die Verbindung 133 unerwartet unterbrochen werden. Wie dies für den Fachmann bekannt ist, sieht das ISAKMP/Oakley-Protokoll kein Aktivhaltemerkmal vor. Entsprechend würde das LAN 131 so lange keine Kenntnis darüber haben, dass das Computersystem 101 nicht mehr erreichbar ist, bis die Verbindung zwischen dem Computersystem 101 und dem LAN 131 durch Zeitablauf beendet wird. Im Allgemeinen bewirken ISAKMP/Oakley-Verbindungen eine Trennung nach Zeitablauf, nachdem Versuche fehlgeschlagen sind, die zur Sicherung der Kommunikationsverbindungsstrecke verwendeten Richtlinien und Schlüssel neu auszuhandeln. Es ist verständlich, dass Versuche, die Richtlinien und Schlüssel für sichere Kommunikationen unter dem ISAKMP/Oakley-Protokoll neu auszuhandeln, rechenmäßig intensive Operationen sind und daher nicht mit einer ausreichenden Häufigkeit ausgeführt werden, um in schneller und zuverlässiger Weise festzustellen, dass das Computersystem 101 nicht mehr über das Internet 119 erreichbar ist.
  • Die US-A-5 553 239 offenbart eine Server-Architektur zum Verbinden einer Vielzahl von entfernt angeordneten Klienten-Computern mit einem Server, wobei Aktivhalte-Mitteilungen periodisch über die Klienten-Verbindung ausgesandt werden. Die Periode zwischen Aktivhalte-Verbindungen wird ohne Bezugnahme auf irgendwelche externen Faktoren bestimmt und beruht auf einem Zeitgeber. Die Verbindung schlägt fehl, wenn keine Antwortmitteilung innerhalb des Doppelten der vorgegebenen Zeit zwischen Aktivhalte-Mitteilungen empfangen wird.
  • Die US-A-5 633 933 offenbart das Koppeln einer Datenverarbeitungseinrichtung mit einem privaten Netzwerk über eine verschlüsselte Verbindung.
  • Die WO-A-97/26735 offenbart ein Schlüsselverwaltungssystem, das eine Kommunikation zwischen Computern unter Verwendung von verschlüsselten Netzwerkpaketen ermöglicht.
  • Zusammenfassung der Erfindung
  • Ein Verfahren zur Überprüfung der Erreichbarkeit eines entfernt angeordneten Gerätes von einem lokalen Gerät wird offenbart. Bei einer Ausführungsform schließt das Verfahren die Schritte der Herstellung einer geschützten Internet-Kommunikationsverbindungsstrecke zwischen dem lokalen Gerät und dem entfernt angeordneten Gerät ein. Eine geschützte Aktivhalte-Mitteilung wird von dem lokalen Gerät an das entfernt angeordnete Gerät ausgesandt. Die geschützte Internet-Kommunikationsverbindungsstrecke wird beendet, wenn das entfernt angeordnete Gerät an das lokale Gerät keine geschützte Bestätigungs-Mitteilung als Antwort auf die geschützte Aktivhalte-Mitteilung sendet. Zusätzliche Merkmale und Vorteile der vorliegenden Erfindung werden aus der ausführlichen Beschreibung, den Figuren und den nachfolgenden Ansprüchen ersichtlich.
  • Kurze Beschreibung der Zeichnungen
  • Die Erfindung wird in Form eines Beispiels ohne jede Beschränkung in den beigefügten Zeichnungen erläutert.
  • 1 ist eine Erläuterung eines entfernt angeordneten Computersystems, das einen Zugriff auf ein LAN über ein Modem ausführt.
  • 2 ist eine Darstellung eines entfernt angeordneten Computersystems, das einen Zugriff auf ein LAN über das Internet unter Verwendung eines Modems mit einer gesicherten Kommunikation entsprechend den Lehren einer Ausführungsform der vorliegenden Erfindung ausführt.
  • 3 ist eine Darstellung, die ein Beispiel eines Computersystems zeigt, das gemäß den Lehren einer Ausführungsform der vorliegenden Erfindung verwendet werden kann.
  • 4 ist ein Ablaufdiagramm, das Schritte erläutert, die zur Überprüfung der Erreichbarkeit eines entfernt angeordneten Computers von einem örtlichen Computer aus gemäß den Lehren einer Ausführungsform der vorliegenden Erfindung ausgeführt werden.
  • Ausführliche Beschreibung
  • Verfahren und Vorrichtungen zur Überprüfung der Erreichbarkeit eines entfernt angeordneten Computers von einem lokalen Computer aus werden offenbart. Der Gegenstand der Erfindung wird unter Bezugnahme auf vielfältige Einzelheiten beschrieben, die nachfolgenden angegeben sind, und die beigefügten Zeichnungen erläutern die Erfindung. Die folgende Beschreibung und die Zeichnungen erläutern die Erfindung und sollten nicht als Beschränkung der Erfindung betrachtet werden. Vielfältige spezielle Einzelheiten werden beschrieben, um ein gründliches Verständnis der Erfindung zu schaffen. In bestimmten Fällen werden jedoch gut bekannte oder übliche Einzelheiten nicht beschrieben, um die vorliegende Erfindung nicht in unnötiger Weise zu verdecken.
  • 2 zeigt ein Computersystem 101, das mit einem LAN 131 über das Internet 119 entsprechend den Lehren einer Ausführungsform der vorliegenden Erfindung gekoppelt ist. Im Einzelnen zeigt 2 ein Computersystem 101, das mit dem Internet 119 über einen ISP 121 über eine Verbindung 133 von einem Modem 103 aus gekoppelt ist. In einer Ausführungsform wird eine geschützte Internet-Kommunikationsverbindungsstrecke zwischen dem ISP 121 und dem Überleiteinrichtungs-System 109 hergestellt. In der in 2 gezeigten Ausführungsform schließt die geschützte Internet-Kommunikationsverbindungsstrecke zwischen dem ISP 121 und dem Überleiteinrichtungs-System 109 die ersten bzw. zweiten Kanäle 201 bzw. 203 ein. Das LAN 131 führt einen Zugriff auf das Internet 119 über das Überleiteinrichtungs-System 109 aus. Bei einer Ausführungsform ist das Überleiteinrichtungs-System 109 mit dem LAN-Bus 107 gekoppelt, mit dem weitere Ressourcen des LAN 131 verbunden sind, unter Einschluss des Modems 105 und der über Netzwerk-Schnittstellen 111 bzw. 115 angeschlossenen Computersysteme 113 und 117.
  • Es ist zu erkennen, dass der Ausdruck „Internet" sich auf ein Netzwerk von Netzwerken bezieht, die eine Vielzahl von Protokollen verwenden, wie beispielsweise das Übertragungssteuerprotokoll/Internetprotokoll (TCP/IP-) Protokoll und andere Protokolle, unter Einschluss des HTTP-Protokolls für Hypertext-Auszeichnungssprache- (HTML-) Dokumente. Die physikalischen Verbindungen des Internets 119 und anderer Protokolle und Kommunikationsverfahren des Internets 119 sind dem Fachmann gut bekannt. Ein Zugang an das Internet 119 wird typischerweise von Internet-Diensteanbietern (ISP's), wie z. B. dem ISP 121, und Überleiteinrichtungs-Systeme, wie z. B. das Überleiteinrichtungs-System 109 bereitgestellt. Benutzer an Klienten-Systemen, wie z. B. dem Computersystem 101, dem Computersystem 113 und dem Computersystem 117 erhalten einen Zugang an das Internet 119 über (SP's, wie z. B. den ISP121, oder Überleiteinrichtungs-Systeme, wie z. B. das Überleiteinrichtungs-System 109. Ein Zugang an das Internet 119 ermöglicht es Benutzern von Klienten-Computersystemen, Informationen auszutauschen, elektronische Post zu empfangen und zu senden, elektronische Dokumente zu betrachten, usw.
  • Es ist verständlich, dass obwohl bei der Ausführungsform nach 2 das Computersystem 101 so dargestellt ist, als ob es mit dem Internet 119 über ein „Modem" 103 gekoppelt ist, es zu erkennen ist, dass die Schnittstelle des Computersystems 101 an das Internet 119 über das Modem 103 ein Analog-Modem, ein Modem für das diensteintegrierende Netz (ISDN), ein Kabel-Modem, eine Satelliten-Übertragungsschnittstelle, ein digitales Teilnehmerleitungs- (DSL-) Modem oder irgendeine andere Schnittstelle zum Koppeln eines Computersystems oder Gerätes mit anderen Computersystemen oder Geräten sein kann.
  • Die Computersysteme 113 und 117 sind in der in 2 gezeigten Ausführungsform so dargestellt, als ob sie mit dem LAN-Bus 107 über Netzwerk-Schnittstellen 111 und 115 gekoppelt sind, die Ethernet-Netzwerk-Schnittstellen oder andere bekannte Netzwerk-Schnittstellen sein können. Bei einer Ausführungsform ist der LAN-Bus 107 mit einem Überleiteinrichtungs-System 109 gekoppelt, das Firewall- und andere Internet-bezogene Dienste für das LAN 131 bereitstellen kann. Bei einer Ausführungsform kann das Überleiteinrichtungs-System 109 ein übliches Server-Computersystem oder irgendeine andere Art von Gerät sein, unter Einschluss beispielsweise einer Extranet-Vermittlung, die einen Zugang des LAN 131 an das Internet 119 bereitstellt.
  • 3 zeigt eine Ausführungsform eines üblichen Computersystems 301, das in den Computersystemen 101, 113 und 117 oder dem Überleiteinrichtungs-System 109 nach 2 enthalten sein kann. Es ist weiterhin zu erkennen, dass ein Computersystem 301 zur Ausführung vieler der Funktionen des Internet-Diensteanbieters verwendet werden kann, wie z. B. des ISP 121, oder der Funktionen von entfernt angeordneten und lokalen Geräten entsprechend den Lehren der vorliegenden Erfindung. Das Computersystem 301 steht mit den externen Systemen oder Geräten über das Modem oder die Netzwerk-Schnittstelle 319 in Schnittstellenverbindung.
  • Obwohl Modems und Netzwerk-Schnittstellen getrennt in 2 dargestellt sind, wie z. B. die Modems 103 und 105 und die Netzwerk-Schnittstellen 111 und 115, ist es erkennbar, dass das Modem oder die Netzwerk-Schnittstelle 319 in manchen Fällen als Teil des Computersystems 301 betrachtet werden kann. Diese Modem- oder Netzwerk-Schnittstelle 319 kann ein Analog-Modem, ein ISDN-Modem, ein Kabel-Modem, ein DSL-Modem, eine Token-Ring-Schnittstelle, eine Ethernet-Schnittstelle, eine Satellitenübertragungs-Schnittstelle oder irgendeine andere Schnittstelle zum Koppeln eines Computersystems oder Gerätes mit anderen Computersystemen oder Geräten sein. Wie dies ebenfalls in 3 gezeigt ist, wird ein Trägerschwingungssignal 321 von dem Modem oder der Netzwerk-Schnittstelle 319 für Kommunikationen mit dem Computersystem 301 empfangen/ausgesandt.
  • Bei der in 3 gezeigten Ausführungsform schließt das Computersystem 301 einen Prozessor 303 ein, der ein üblicher Mikroprozessor sein kann, beispielsweise ein Mikroprozessor der Intel × 86- oder Pentium-Familie, ein Mikroprozessor der Motorola 68K- oder Power-PC-Familie oder dergleichen. Ein Speicher 305 ist mit dem Prozessor 303 über einen Bus 307 gekoppelt. Der Speicher 305 kann ein dynamischer Speicher mit Lese-/Schreibzugriff (DRAM) sein und kann einen statischen Speicher mit wahlfreiem Zugriff (SRAM) einschließen. Der Bus 307 koppelt den Prozessor 303 mit dem Speicher 305 und außerdem mit einem Massenspeicher 313 und einem Anzeige-Steuergerät 309 und dem I/O-(Eingangs-/Ausgangs-) Steuergerät 315.
  • Der Massenspeicher 313 ist in vielen Fällen eine magnetische Festplatte, eine optische Platte oder irgendeine andere Form einer Speicherung für große Datenmengen. Einige dieser Daten können während der Ausführung von Software auf dem Computersystem 301 durch einen Direktspeicherzugrift in den Speicher 305 geschrieben werden. Es ist verständlich, dass Software außerdem über das Modem oder die Netzwerk-Schnittstelle 319 ausgesandt oder empfangen werden kann. Für die Zwecke dieser Beschreibung soll der Ausdruck „computerlesbares Medium" so aufgefasst werden, dass er irgendein Medium einschließt, das in der Lage ist, eine Folge von Befehlen für die Ausführung durch einen Prozessor zu speichern oder zu codieren, und das bewirken kann, dass der Prozessor die Verfahrensweisen der vorliegenden Erfindung ausführt. Der Ausdruck „computerlesbares Medium" soll ohne Beschränkung Festkörper-Speicher, optische und magnetische Platten, Trägerschwingungssignale und dergleichen einschließen.
  • Es ist verständlich, dass das Computersystem 301 lediglich ein Beispiel vieler möglicher Computersysteme darstellt, die unterschiedliche Architekturen haben. Beispielsweise haben WINTEL-Systeme, Systeme, die Intel-Mikroprozessoren einschließen, auf denen das Microsoft-Windows-Betriebssystem läuft, in vielen Fällen mehrfache Busleitungen, von denen eine als periphäre Busleitung betrachtet werden kann. In Netzwerken miteinander verbundene Computer können ebenfalls als ein Computersystem betrachtet werden, das bei der vorliegenden Erfindung verwendet werden kann. Netzwerk-Computer müssen nicht notwendigerweise eine Festplatte oder einen anderen Massenspeicher 313 einschließen, sondern die ausführbaren Programme werden von einer Netzwerk-Verbindung in den Speicher 305 zur Ausführung durch den Prozessor 303 geladen. Ein typisches Computersystem schließt üblicherweise zumindest einen Prozessor 303, einen Speicher 305 und einen Bus 307 zum Koppeln des Speichers 305 mit dem Prozessor 303 ein.
  • Es ist weiterhin zu erkennen, dass das Computersystem 301 durch Betriebssystem-Software gesteuert ist, die ein Datei-Verwaltungssystem, wie z. B. ein Plattenbetriebssystem, einschließt, das einen Teil der Betriebssystem-Software bildet. Ein Beispiel einer Betriebssystem-Software mit ihrer zugehörigen Dateiverwaltungs-Systemsoftware ist das Betriebssystem, das als Windows bekannt ist und von der Firma Microsoft Corporation, Redmond, Washington geliefert wird, sowie dessen zugehöriges Datei-Verwaltungssystem unter Einschluss des Windows-Explorers. Das Datei-Verwaltungssystem ist typischerweise in dem Massenspeicher 313 gespeichert und bewirkt, dass der Prozessor 303 die verschiedenen Schritte ausführt, die das Betriebssystem benötigt, um Daten einzugeben und auszugeben und um einen Zugriff auf Daten in dem Speicher auszuführen, unter Einschluss eines Zugriffs auf Dateien in dem Massenspeicher 313.
  • Unter erneuter Bezugnahme auf die in 2 gezeigte Ausführungsform ist zu erkennen, dass ein Benutzer an dem Computersystem 101 in der Lage ist, einen sicheren Fernzugriff auf das LAN 131 über eine geschützte Kommunikationsverbindungsstrecke über das Internet 119 auszuführen. Umgekehrt sind Benutzer an dem LAN 131 in der Lage, einen sicheren Fernzugriff auf das Computersystem 101 über die geschützte Internet-Kommunikationsverbindungsstrecke auszuführen. Bei einer Ausführungsform verwendet die geschützte Kommunikationsverbindungsstrecke über das Internet 119 zwischen dem Computersystem 101 und dem Überleiteinrichtungs-System 109 das Internet-Sicherheitszuordnungs- und Schlüsselverwaltungsprotokoll (ISAKMP)/Oakley-Protokoll zur Sicherung von Kommunikationen. Wie dies für den Fachmann bekannt ist, ist das ISAKMP/Oakley-Protokoll das Schlüsselverwaltungsprotokoll, das von der Internet Engineering-Task Force- (IETF-) Internetprotokoll-Sicherheits- (IPSec-) Arbeitsgruppe entworfen wurde.
  • Wie dies für den Fachmann bekannt ist, ergibt das ISAKMP/Oakley-Protokoll ein Rahmenwerk für die Authentifizierung, die Sicherheitszuordnungs-Aushandlung und die Schlüsselverwaltung für die geschützte Internet-Kommunikationsverbindungsstrecke zwischen dem Computersystem 101 und dem Überleiteinrichtungs-System 109. Speziell ergibt ISAKMP ein Rahmenwerk für die Authentifizierung und den Schlüsselaustausch, definiert sie jedoch nicht. Oakley beschreibt eine Serie von Schlüssel-Austauschvorgängen und Einzelheiten der Dienste, die von jedem bereitgestellt werden. Bei einer Ausführungsform definiert das Oakley-Protokoll ein generisches Schlüsselaustauschprotokoll, das den gut bekannten und komplizierten Diffie-Hellmen-Schlüsselaustauschalgorithmus verwendet. Als solche ist die periodische Neuaushandlung der Schlüssel, die zur Sicherung der geschützten Internet-Kommunikationsverbindungsstrecke zwischen dem Computersystem 101 und dem Überleiteinrichtungs-System 109 verwendet wird, ein rechenaufwändiger Vorgang.
  • Informationen, die das ISAKMP/Oakley-Protokoll beschreiben, können in den folgenden Internet-Entwurfs-Arbeitsdokumenten gefunden werden: Maughan et al., „Internet Security Association and Key Management Protocol (ISAKMP)", ftp.ietf.org/internet-drafts/draft-ietf-ipsec-isakmp-10.txt; Orman, „The OAKLEY Key Determination Protocol", ftp.ietf.org/internet-drafts/draft-ietf-ipsec-oakley-02.txt; und Harkins & Carrel, „The Internet Key Exchange (IKE)",ftp.ietf.org/internet-drafts/draftietf-ipsec-isakmp-oakley-08.txt.
  • Bei der in 2 gezeigten Ausführungsform schließt die geschützte Kommunikationsverbindungsstrecke durch das Internet 119 einen ersten Kanal 201 und einen zweiten Kanal 203 zwischen dem ISP 121 und dem Überleiteinrichtungs-System 109 ein. Als Ergebnis werden zwei geschützte Verbindungsstrecken 213 und 215 zwischen dem Computersystem 101 und dem Überleiteinrichtungs-System 109 gebildet. Bei der in 2 gezeigten Ausführungsform wird die geschützte Verbindungsstrecke 213 zwischen dem Computersystem 101 durch das Modem 103, über die Verbindung 133 zum ISP 121 und über den Kanal 203 zum Überleiteinrichtungs-System 109 gebildet. In ähnlicher Weise wird die geschützte Verbindungsstrecke 215 zwischen dem Computersystem 101 über das Modem 103, über die Verbindung 133 zu dem ISP 121 und über den Kanal 203 zum Überleiteinrichtungs-System 109 gebildet.
  • Bei einer Ausführungsform übertragen die geschützte Verbindungsstrecke 215 und der Kanal 201 Steuerverkehr, der unter anderem zur Aushandlung und Neuaushandlung der Richtlinien/Schlüssel 211 verwendet wird, die zur Sicherung der Kanäle 201 und 203 der geschützten Internet-Kommunikationsverbindungsstrecke verwendet werden. Bei einer Ausführungsform wird der ISAKMP/Oakley-Verkehr, der die Richtlinien/Schlüssel 211 einschließt, in dem Kanal 201 übertragen. In einer Ausführungsform ist der gesamte Verkehr in dem Kanal 201 verschlüsselt und daher geschützt. In einer Ausführungsform ist der Kanal 203 ebenfalls ein geschützter Kanal, und eine geschützte Verbindungsstrecke 213 mit dem Kanal 203 überträgt geschützte Daten 205 unter Verwendung von IPSec zwischen dem ISP 121 und dem Überleiteinrichtungs-System 109. Bei einer Ausführungsform überträgt der Kanal 203 IPSec-Tunnel-Verkehr.
  • Gemäß einer Ausführungsform der vorliegenden Erfindung werden, wenn die geschützte Internet-Kommunikationsverbindungsstrecke zwischen dem Computersystem 101 und dem Überleiteinrichtungs-System 109 des LAN 131 ausgebildet wird, die zum Schutz der Kanäle 201 und 203 verwendeten Richtlinien/Schlüssel 211 unter dem ISAKMP/Oakley-Protokoll ausgehandelt. In einer Ausführungsform wird der hergestellte sichere und authentifizierte Kanal, über den das Computersystem 101 und das Überleiteinrichtungs-System 109 über das Internet 119 kommunizieren, als eine Sicherheitszuordnung unter dem ISAKMP/Oakley-Protokoll bezeichnet. Nachdem die gesicherte Internet-Kommunikationsverbindungsstrecke aufgebaut wurde, sind das Computersystem 101 und das LAN 131 in der Lage, in sicherer Weise zu kommunizieren. Weil die Kanäle 201 und 203 gesichert sind, ist es für einen Eindringling 125 äußerst schwierig, die Kommunikation zwischen dem Computersystem 101 und dem LAN 131 abzuhören, zu stören oder zu unterbrechen.
  • Bei einer Ausführungsform werden die Richtlinien/Schlüssel 211, die unter dem ISAKMP/Oakley-Protokoll verwendet werden, periodisch neu ausgehandelt, um die Sicherheit der geschützten Internet-Kommunikationsverbindungsstrecke zwischen dem Computersystem 101 und dem Überleiteinrichtungs-System 109 aufrecht zu erhalten. Bei einer Ausführungsform werden die Richtlinien/Schlüssel 211 neu ausgehandelt, nachdem eine vorgegebene Zeit verstrichen ist, seitdem die Richtlinien/Schlüssel 211 zum letzten Mal ausgehandelt wurden. In einer weiteren Ausführungsform werden die Richtlinien/Schlüssel 211 neu ausgehandelt, nachdem eine vorgegebene Datenmenge über die geschützte Internet-Kommunikationsverbindungsstrecke übertragen wurde, nachdem die Richtlinien/Schlüssel 211 das letzte Mal ausgehandelt wurden.
  • Wie dies weiter oben erläutert wurde, gibt es aufgrund der Tatsache, dass der Prozess zur Festlegung der Richtlinien/Schlüssel 211 ein rechenaufwändiges Verfahren ist, eine praktische Grenze, wie oft der Neuaushandlungsprozess ausgeführt werden kann. Wie dies für den Fachmann verständlich ist, liegt die Häufigkeit, mit der der Neuaushandlungsprozess unter ISAKMP/Oakley erfolgt, typischerweise in der Größenordnung von lediglich einigen Malen pro Tag. Anderenfalls würden das Computersystem 101 und/oder das Überleiteinrichtungs-System 109 übermäßig mit der Neuberechnung der Richtlinien/Schlüssel 211 unter dem Diffie-Hellmen-Schlüsselaustauschalgorithmus belastet.
  • In dem Fall, in dem der entfernt angeordnete Computer oder das entfernt angeordnete Gerät nicht auf eine Neuverschlüsselungs-Anforderung unter dem ISAKMP/Oakley-Protokoll anspricht, wird angenommen, dass das entfernt angeordnete Computer-Gerät nicht mehr länger erreichbar ist, und die geschützte Internet-Kommunikationsverbindungsstrecke und die zugehörige Sicherheitszuordnung unter dem ISAKMP/Oakley-Protokoll wird abgebaut.
  • Wie dies weiter oben beschrieben wurde, führt das Computersystem 101 einen Zugriff auf das Internet 119 über eine Modem-Verbindung von dem Modem 103 aus. Entsprechend besteht eine ziemlich sichere Wahrscheinlichkeit, dass die Verbindung 131 zwischen dem Modem 103 und dem ISP 121 mit einer größeren Häufigkeit unterbrochen wird, als dies schnell und in praktischer Weise von dem Überleiteinrichtungs-System 109 einfach auf der Grundlage einer Zeitablauf-Unterbrechung festgestellt werden könnte, die nach einer ISAKMP/Oakley-Schlüsselerneuerungs- oder Neuaushandlunganforderung auftreten würde. Tatsächlich wird, wie dies weiter oben beschrieben wurde, der Neuaushandlungsprozess typischerweise lediglich einige Male pro Tag ausgeführt. Leider wurde das ISAKMP/Oakley-Protokoll ursprünglich so entworfen, dass es Internet-Kommunikationen zwischen Systemen schützt, die nicht regelmäßig unterbrochen werden. Das ISAKMP/Oakley-Protokoll wurde ursprünglich nicht für Benutzer entworfen, die sich in Netzwerke unter Verwendung unzuverlässiger Modem-Verbindungen einloggen. Wenn daher eine Verbindung 133 aus irgendeinem Grund in unerwarteter Weise unterbrochen wird, und der Benutzer des Computersystems 101 versucht, einen erneuten Zugriff auf das LAN 131 über eine gesicherte ISAKMP/Oakley-Verbindung über das Internet 119 auszuführen, so besteht eine Möglichkeit, dass der Benutzer nicht in der Lage sein kann, ein erneutes Einloggen an das LAN 131 durchzuführen, weil das Überleiteinrichtungs-System 109 keine Kenntnis darüber hat, dass die vorhergehende Verbindung 133 zwischen dem Modem 103 und dem ISP 121 unterbrochen wurde.
  • Insbesondere dürfte unter ISAKMP/Oakley das Überleiteinrichtungs-System 109 die Sicherheitszuordnung der vorhergehenden geschützten Internet-Kommunikationsverbindungsstrecke abgebaut haben. Entsprechend ist, wenn der Benutzer des Computers 101 lediglich ein Recht auf eine gesicherte Verbindungsstrecke zu dem LAN 131 und unter dem ISAKMP/Oakley-Protokoll hat, der Benutzer nicht in der Lage, sich einzuloggen, bevor nicht die vorhergehende gesicherte Zuordnung abgebaut wird. Unter dem ISAKMP/Oakley-Protokoll wird die Sicherheitszuordnung jedoch nicht abgebaut, bevor nicht die vorstehend beschriebene Zeitablauf-Unterbrechung nach der Neuaushandlungsanforderung erfolgt, was in vielen Fällen lediglich einige Male am Tag erfolgt.
  • In einem anderen Fall ist zu erkennen, dass ein Router oder eine andere Hardware-Einrichtung, die in dem Internet 119 enthalten ist, über das die Kommunikationen zwischen dem Computersystem 101 und dem LAN 131 übertragen werden, ebenfalls ausfallen kann. In diesem Fall kann es sein, dass die Verbindung 133 zwischen dem Modem 103 und dem ISP 121 nicht in unerwarteter Weise ausgefallen ist, doch ist dennoch das Computersystem 101 nicht von dem LAN 131 erreichbar, und umgekehrt. Es ist verständlich, dass in dieser Situation das Überleiteinrichtungs-System 109 ebenfalls über viele Stunden hinweg keine Kenntnis darüber haben kann, dass das Computersystem 101 nicht erreichbar ist, bevor nicht die vorstehend beschriebene Zeitablauf-Unterbrechung nach der Neuaushandlungsaufforderung auftritt.
  • Um das vorstehende Problem zu berücksichtigen, sendet eine Ausführungsform der vorliegenden Erfindung eine geschützte Aktivhalte-Mitteilung 209 an das entfernt angeordnete Computersystem oder Gerät von dem lokalen oder örtlichen Computersystem oder Gerät aus. Bei einer Ausführungsform kann das lokale Gerät das Computersystem 101 sein, und das entfernt angeordnete Gerät kann das Überleiteinrichtungs-System 109 sein. Bei einer weiteren Ausführungsform kann das örtliche Gerät das Überleiteinrichtungs-System 109 sein, und das entfernt angeordnete Gerät kann das Computersystem 101 sein. Tatsächlich ist die vorliegende Erfindung auf irgendeine Kombination von örtlichen und entfernt angeordneten Geräten anwendbar, zwischen denen es eine gesicherte Kommunikation über das Internet gibt.
  • Bei einer Ausführungsform ist die geschützte Aktivhalte-Mitteilung eine Mitteilung, auf die hin zwingend ein geschütztes Bestätigungssignal auszusenden ist. Bei einer Ausführungsform, die das ISAKMP/Oakley-Protokoll beinhaltet, ist die Aktivhalte-Mitteilung 209 eine geschützte ISAKMP/Oakley-Mitteilung, die von dem örtlichen Gerät an das entfernte Gerät gesandt wird. Bei einer Ausführungsform ist die geschützte ISAKMP/Oakley-Mitteilung eine Mitteilung, auf die das entfernt angeordnete Gerät mit einer geschützten Bestätigungsmitteilung 207 antworten muss. Bei einer Ausführungsform werden die geschützte Aktivhalte-Mitteilung 209 und die geschützte Bestätigungsmitteilung 207 über die geschützte Verbindungsstrecke 215 und den ersten Kanal 201 zwischen dem ISP 121 und der Überleiteinrichtung 109 ausgesandt. Weil die geschützte Aktivhalte-Mitteilung 209 und die geschützte Bestätigungsmitteilung 207 unter dem ISAKMP/Oakley-Protokoll gesichert werden, ist es verständlich, dass es für einen Eindringling 125 äußerst schwierig ist, die geschützte Aktivhalte-Mitteilung 209 und die geschützte Bestätigungsmitteilung 207 gemäß den Lehren der vorliegenden Erfindung abzufangen oder zu manipulieren.
  • In einer Ausführungsform wird, weil das ISAKMP/Oakley-Protokoll nicht mit einer Aktivhalte-Mitteilung realisiert wurde, ein anderer ISAKMP/Oakley-Befehl, der kein Aktivhalte-Befehl ist, als Aktivhalte-Mitteilung 209 verwendet. Bei einer Ausführungsform wird eine ISAKMP/Oakley-Schnellbetriebsart-Mitteilung, die einen ungültigen Vorschlag und eine ungültige Transformation einschließt, als Aktivhalte-Mitteilung 209 gemäß den Lehren der vorliegenden Erfindung verwendet. Bei einer Ausführungsform wird diese Schnellbetriebsart-Mitteilung von dem örtlichen Gerät an das entfernt angeordnete Gerät ausgesandt, nachdem die Kommunikationsverbindungsstrecke für eine Zeitperiode im Leerlauf betrieben wurde. In einer Ausführungsform wird diese Aktivhalte-Mitteilung 209 von dem örtlichen Gerät ausgesandt, wenn beispielsweise eine Minute abgelaufen ist, ohne dass Verkehr an das entfernt angeordnete Gerät gesandt oder von diesem empfangen wurde. Unter dem ISAKMP/Oakley-Protokoll muss das entfernt angeordnete Gerät dem örtlichen Gerät dadurch antworten, dass es eine geschützte Bestätigungsmitteilung 207 an das örtliche Gerät zurücksendet.
  • In dem Fall, dass das örtliche Gerät die geschützte Bestätigungsmitteilung 207 von dem entfernt angeordneten Gerät nicht zurück erhält, nachdem es die geschützte Aktivhalte-Mitteilung 209 ausgesandt hat, wird angenommen, dass das entfernt angeordnete Gerät nicht mehr erreichbar ist. Wie dies weiter oben erläutert wurde, kann dies eintreten, wenn die Modem-Verbindung zwischen dem Modem 103 und dem ISP 121 unterbrochen wurde, oder wenn beispielsweise ein Router oder irgendein Hardware-Bauteil im Internet 119, das die geschützte Internet- Kommunikationsverbindungsstrecke bereitstellt, ausfällt. Als Ergebnis kann das örtliche Gerät die geschützte Internet-Kommunikationsverbindungsstrecke zwischen dem Computer 101 und dem Überleiteinrichtung-System 109 entsprechend den Lehren der vorliegenden Erfindung beenden. Bei einer Ausführungsform baut das örtliche Gerät die zugehörige Sicherheitszuordnung unter dem ISAKMP/Oakley-Protokoll ab.
  • 4 ist ein Ablaufdiagramm, das Schritte zeigt, die gemäß den Lehren einer Ausführungsform der vorliegenden Erfindung ausgeführt werden. Es ist zu erkennen, dass die gemäß den Lehren der vorliegenden Erfindung ausgeführten Schritte in Software, Firmware, Hardware, usw. in den örtlichen und entfernt angeordneten Geräten realisiert werden können. Der Verarbeitungsschritt 403 zeigt, dass gesicherte Kommunikationen zwischen einem örtlichen Gerät und einem entfernt angeordneten Gerät über erste und zweite Kanäle durch das Internet aufgebaut werden. Der Verarbeitungsschritt 405 zeigt, dass die Richtlinien/Schlüssel zwischen dem örtlichen Gerät und dem entfernt angeordneten Gerät ausgehandelt oder neu ausgehandelt werden, um die gesicherten ersten und zweiten Kanäle zu schützen.
  • Der Verarbeitungs-Entscheidungsschritt 407 zeigt, dass als Nächstes festgestellt wird, ob Kommunikationen zwischen dem örtlichen Gerät und dem entfernten Gerät in dem letzten N Minuten erfolgt sind. Anders ausgedrückt wird festgestellt, ob die gesicherten Kommunikationen zwischen dem örtlichen Gerät und dem entfernt angeordneten Gerät in den letzten N Minuten im Leerlauf betrieben wurden. Es ist verständlich, dass N mit einem Wert gewählt werden kann, der es einerseits ermöglicht, dass eine unterbrochene Verbindung zwischen dem entfernt angeordneten Gerät und dem örtlichen Gerät in einer relativ kurzen Zeitperiode festgestellt wird, dass jedoch dies andererseits nicht in übermäßiger Weise die gesicherte Kommunikationsverbindungsstrecke zwischen den örtlichen und entfernt angeordneten Geräten mit Aktivhalte-Verkehr belastet.
  • Wenn es Kommunikationsverkehr zwischen dem örtlichen Gerät und dem entfernt angeordneten Gerät in den letzten N Minuten gab, so zeigt der Verarbeitungs-Entscheidungsschritt 409, dass als Nächstes festgestellt wird, ob X Kbytes zwischen dem entfernt angeordneten Gerät und dem örtlichen Gerät übertragen wurden, oder ob Y Stunden abgelaufen sind, seitdem zum letzten Mal die Richtlinien/Schlüssel ausgehandelt wurden. Es ist zu erkennen, dass X oder Y so gewählt sind, dass sie Werte sind, die es ermöglichen, dass die ISAKMP/Oakley-Richtlinien/Schlüssel unter geeigneten Intervallen aus Sicherheitsgründen geändert werden, während gleichzeitig X und Y so gewählt sind, dass sie Werte haben, die die entfernten und/oder örtlichen Geräte nicht übermäßig mit der rechenmäßig intensiven Verarbeitung belasten, die zur Neuaushandlung der Richtlinien/Schlüssel erforderlich ist.
  • Wenn die Bedingungen des Verarbeitungs-Entscheidungsschrittes 409 erfüllt sind, so führt die Verarbeitung eine Schleife zurück zum Verarbeitungsschritt 405 aus, in dem die Richtlinien/Schlüssel neu ausgehandelt werden, um die gesicherte Kommunikationsverbindungsstrecke zu schützen. Wenn die Bedingungen des Verarbeitungs-Entscheidungsschrittes 409 nicht erfüllt sind, so führt die Verarbeitung eine Schleife zurück zum Verarbeitungs-Entscheidungsschritt 407 aus, in dem erneut festgestellt wird, ob es irgendwelche Kommunikationen zwischen dem entfernt angeordneten und örtlichen Geräten in den letzten N Minuten gab.
  • Wenn festgestellt wird, dass es keine Kommunikationen zwischen den örtlichen und entfernt angeordneten Geräten in den letzten N Minuten gab, so geht die Verarbeitung von dem Verarbeitungs-Entscheidungsschritt 407 auf den Verarbeitungsschritt 411 über. Der Verarbeitungsschritt 411 zeigt, dass eine geschützte Aktivhalte-Mitteilung von dem örtlichen Gerät an das entfernt angeordnete Gerät über den ersten Kanal ausgesandt wird. Wie dies weiter oben erläutert wurde, ist die Aktivhalte-Mitteilung eine Mitteilung, auf die hin eine geschützte Bestätigungsmitteilung ausgesandt werden muss. Entsprechend zeigt der Verarbeitungs-Entscheidungsschritt 413, dass als Nächstes festgestellt wird, ob eine geschützte Bestätigungsmitteilung auf die Aktivhalte-Mitteilung von dem entfernt angeordneten Gerät empfangen wurde. Wenn dies der Fall ist, so führt die Verarbeitung eine Schleife zurück zum Verarbeitungs-Entscheidungsschritt 407 aus. In diesem Fall wird angenommen, dass das entfernt angeordnete Gerät erreichbar ist. Wenn jedoch die geschützte Bestätigungsmitteilung nicht empfangen wird, so verläuft die Verarbeitung zum Verarbeitungsschritt 415, in dem gezeigt ist, dass die gesicherte Kommunikation zwischen den örtlichen und entfernt angeordneten Geräten unterbrochen wird. Tatsächlich wird, wenn die geschützte Bestätigungsmitteilung in dem Verarbeitungs-Entscheidungsschritt 413 nicht empfangen wird, angenommen, dass das entfernt angeordnete Gerät von dem örtlichen Gerät aus nicht länger erreichbar ist.
  • Die vorstehende Erläuterung gab vielfältige Beispiele der vorliegenden Erfindung. Es ist verständlich, dass verschiedene Modifikationen und Abänderungen hieran gemacht werden können.

Claims (25)

  1. Verfahren zur Überprüfung der Erreichbarkeit eines entfernt angeordneten Gerätes (101) von einem örtlichen Gerät (109) aus, wobei das Verfahren Folgendes umfasst: Herstellen einer geschützten Internet-Kommunikationsverbindungsstrecke zwischen dem örtlichen Gerät (109) und dem entfernt angeordneten Gerät (101), gekennzeichnet durch: Aussenden einer geschützten Aktivhalte-Mitteilung (209) an das entfernt angeordnete Gerät von dem örtlichen Gerät aus, nachdem die geschützte Internet-Kommunikationsverbindungsstrecke für eine vorgegebene Dauer im Leerlauf betrieben wurde; und Beenden der geschützten Internet-Kommunikationsverbindungsstrecke, wenn das entfernt angeordnete Gerät an das örtliche Gerät keine geschützte Bestätigungsmiteilung (207) als Antwort auf die geschützte Aktivhalte-Mitteilung (209) sendet.
  2. Verfahren nach Anspruch 1, bei dem das Verfahren vor der Aussendung der geschützten Aktivhalte-Mitteilung weiterhin Folgendes umfasst: periodisches Aushandeln einer Richtlinie und eines Schlüssels zwischen dem örtlichen Gerät (109) und dem entfernt angeordneten Gerät (101) zur Sicherung der geschützten Internet-Kommunikationsverbindungsstrecke.
  3. Verfahren nach Anspruch 1 oder 2, bei dem das Herstellen der geschützten Internet-Kommunikationsverbindungsstrecke zwischen dem örtlichen Gerät (109) und dem entfernt angeordneten Gerät (101) Folgendes einschließt: Herstellen eines geschützten ersten Kanals (215) durch das Internet zwischen dem örtlichen Gerät und dem entfernt angeordneten Gerät, über den Steuerinformation übertragen wird; und Herstellen eines geschützten zweiten Kanals (213) durch das Internet zwischen dem örtlichen Gerät und dem entfernten Gerät, über den Dateninformation übertragen wird.
  4. Verfahren nach Anspruch 3, bei dem die geschützte Aktivhalte-Mitteilung und die geschützte Bestätigungsmiteilung (207) über den geschützten ersten Kanal (215) zwischen dem örtlichen und entfernt angeordneten Geräten übertragen werden.
  5. Verfahren nach Anspruch 1, bei dem es zwingend ist, dass das entfernt angeordnete Gerät (101) die geschützte Bestätigungsmiteilung (207) an das örtliche Gerät als Antwort auf den Empfang der geschützten Aktivhalte-Mitteilung sendet, wobei das Herstellen der geschützten Internet-Kommunikationsverbindungsstrecke zwischen dem örtlichen Gerät (109) und dem entfernt angeordneten Gerät (101) die Aushandlung einer Richtlinie und eines Schlüssels zwischen dem örtlichen Gerät und dem entfernt angeordneten Gerät zur Sicherung der geschützten Internet-Kommunikationsverbindungsstrecke einschließt.
  6. Verfahren nach Anspruch 5, das weiterhin die periodische Neuaushandlung der Richtlinie und des Schlüssels zwischen dem örtlichen Gerät und dem entfernt angeordneten Gerät zur Sicherstellung der geschützten Internet-Kommunikationsverbindungsstrecke umfasst.
  7. Verfahren nach Anspruch 6, bei dem die periodische Neuaushandlung der Richtlinie und des Schlüssels zwischen dem örtlichen Gerät und dem entfernt angeordneten Gerät zur Sicherung der geschützten Internet-Kommunikationsverbindungsstrecke ausgeführt wird, nachdem eine vorgegebene Zeitperiode abgelaufen ist.
  8. Verfahren nach Anspruch 6, bei dem die periodische Neuaushandlung der Richtlinie und des Schlüssels zwischen dem örtlichen Gerät und dem entfernt angeordneten Gerät zur Sicherung der geschützten Internet-Kommunikationsverbindungsstrecke ausgeführt wird, nachdem eine vorgegebene Menge an Information zwischen dem örtlichen Gerät und dem entfernt angeordneten Gerät übertragen wurde.
  9. Verfahren nach Anspruch 1, bei dem das Herstellen der geschützten Internet-Kommunikationsverbindungsstrecke zwischen dem örtlichen Gerät und dem entfernt angeordneten Gerät unter Verwendung des Internet-Sicherheits-Zuordnungs- und Schlüsselverwaltungsprotokolls (ISAKMP)/Oakley-Protokoll ausgeführt wird.
  10. Verfahren nach Anspruch 9, bei dem die geschützte Aktivhalte-Mitteilung eine geschützte (ISAKMP)/Oakley-Mitteilung ist, auf die hin die geschützte Bestätigungsmiteilung von dem entfernt angeordneten Gerät als Antwort ausgesandt werden muss.
  11. Verfahren nach Anspruch 11, bei dem die geschützte (ISAKMP)/Oakley-Mitteilung eine geschützte (ISAKMP)/Oakley-Schnellbetriebsart-Mitteilung mit einem ungültigen Vorschlag und einer ungültigen Transformation ist.
  12. Verfahren nach Anspruch 1, bei dem die geschützte Internet-Kommunikationsverbindungsstrecke zwischen dem örtlichen Gerät und dem entfernt angeordneten Gerät eine (ISAKMP)/Oakley-Sicherheitszuordnung einschließt.
  13. Verfahren nach Anspruch 12, bei dem die Beendigung der geschützten Internet-Kommunikationsverbindungsstrecke das Aufheben der (ISAKMP)/Oakley-Sicherheitszuordnung einschließt.
  14. Verfahren nach Anspruch 6, bei dem die Aussendung der geschützten Aktivhalte-Mitteilung an dem örtlichen Gerät an das entfernte Gerät getrennt von der periodischen Neuaushandlung der Richtlinie und des Schlüssels zwischen dem örtlichen Gerät und dem entfernt angeordneten Gerät zur Sicherung der geschützten Internet-Kommunikationsverbindungsstrecke ausgeführt wird.
  15. Vorrichtung, die Folgendes umfasst: Einrichtungen zur Einrichtung einer geschützten Internet-Kommunikationsverbindungsstrecke zwischen einem örtlichen Gerät (109) und einem entfernt angeordneten Gerät (101), gekennzeichnet durch: Einrichtungen zur Aussendung einer geschützten Aktivhalte-Mitteilung (209) von dem örtlichen Gerät (109) an das entfernt angeordnete Gerät (101), nachdem die geschützte Internet-Kommunikationsverbindungsstrecke für eine vorgegebene Dauer im Leerlauf betrieben wurde; und Einrichtungen zur Beendigung der geschützten Internet-Kommunikationsverbindungsstrecke, wenn das entfernt angeordnete Gerät keine geschützte Bestätigungsmiteilung (207) an das örtliche Gerät als Antwort auf die geschützte Aktivhalte-Mitteilung (209) sendet.
  16. Vorrichtung nach Anspruch 15, die Einrichtungen zur periodischen Neuaushandlung einer Richtlinie und eines Schlüssels zwischen dem örtlichen Gerät und dem entfernt angeordneten Gerät einschließt, um die geschützte Internet-Kommunikationsverbindungsstrecke vor der Aussendung der geschützten Aktivhalte-Mitteilung zu sichern.
  17. Vorrichtung nach Anspruch 15, die Einrichtungen zur Einrichtung der geschützten Internet-Kommunikationsverbindungsstrecke zwischen dem örtlichen Gerät und dem entfernt angeordneten Gerät einschließt und Folgendes einschließt: Einrichtungen zur Einrichtung eines geschützten ersten Kanals (215) durch das Internet zwischen dem örtlichen Gerät und dem entfernt angeordneten Gerät, über den Steuerinformation übertragen wird; und Einrichtungen zur Einrichtung eines geschützten zweiten Kanals (213) durch das Internet zwischen dem örtlichen Gerät (109) und dem entfernt angeordneten Gerät (101), über den Dateninformation übertragen wird.
  18. Vorrichtung nach Anspruch 15, die Einrichtungen zur Aussendung der geschützten Aktivhalte-Mitteilung (209) und der geschützten Bestätigungsmiteilung (207) über den geschützten ersten Kanal (215) zwischen den örtlichen und entfernt angeordneten Geräten einschließt.
  19. Vorrichtung nach Anspruch 15, die Einrichtungen zum Sicherstellen, dass das entfernt angeordnete Gerät (101) die geschützte Bestätigungsmiteilung an das örtliche Gerät (109) als Antwort auf den Empfang der geschützten Aktivhalte-Mitteilung sendet, einschließt, und bei der die Einrichtungen zur Einrichtung der geschützten Internet-Kommunikationsverbindungsstrecke zwischen dem örtlichen Gerät und dem entfernt angeordneten Gerät Einrichtungen zur Aushandlung einer Richtlinie und eines Schlüssels zwischen dem örtlichen Gerät und dem entfernt angeordneten Gerät zur Sicherung der geschützten Internet-Kommunikationsverbindungsstrecke einschließen.
  20. Vorrichtung nach Anspruch 19, die Einrichtungen zur periodischen Neuaushandlung der Richtlinie und des Schlüssels zwischen dem örtlichen Gerät und dem entfernt angeordneten Gerät zur Sicherung der geschützten Internet-Kommunikationsverbindungsstrecke einschließt.
  21. Vorrichtung nach Anspruch 19, die Einrichtungen zur periodischen Neuaushandlung der Richtlinie und des Schlüssels zwischen dem örtlichen Gerät und dem entfernt angeordneten Gerät zur Sicherung der geschützten Internet-Kommunikationsverbindungsstrecke nach Ablauf eine vorgegebenen Zeitperiode einschließt.
  22. Vorrichtung nach Anspruch 19, die Einrichtungen zur periodischen Neuaushandlung der Richtlinie und des Schlüssels zwischen dem örtlichen Gerät und dem entfernt angeordneten Gerät zur Sicherung der geschützten Internet- Kommunikationsverbindungsstrecke nach der Übertragung einer vorgegebenen Menge an Information zwischen dem örtlichen Gerät und dem entfernt angeordneten Gerät einschließt.
  23. Vorrichtung nach Anspruch 15, bei der die Einrichtungen zur Einrichtung der geschützten Internet-Kommunikationsverbindungsstrecke zwischen dem örtlichen Gerät und dem entfernt angeordneten Gerät so ausgebildet sind, dass sie unter Verwendung des Internet-Sicherheits-Zuordnungs- und Schlüsselverwaltungsprotokolls (ISAKMP/Oakley)-Protokolls ausgeführt wird.
  24. Vorrichtung nach Anspruch 20, die Einrichtungen zur Übertragung der geschützten Aktivhalte-Mitteilung von dem örtlichen Gerät an das entfernt angeordnete Gerät getrennt von der periodischen Neuaushandlung der Richtlinie und des Schlüssels zwischen dem örtlichen Gerät und dem entfernt angeordneten Gerät einschließt, um die geschützte Internet-Kommunikationsverbindungsstrecke zu sichern.
  25. Computerlesbares Medium, auf dem Folgen von Befehlen und Anweisungen gespeichert sind, die bei ihrer Ausführung bewirken, dass ein Prozessor ein Verfahren ausführt, das Folgendes umfasst: Herstellen einer geschützten Internet-Kommunikationsverbindungsstrecke zwischen einem örtlichen Gerät (109) und einem entfernt angeordneten Gerät (101), und gekennzeichnet durch: Aussenden einer geschützten Aktivhalte-Mitteilung von dem örtlichen Gerät (109) an das entfernt angeordnete Gerät (101), nachdem die geschützte Internet-Kommunikationsverbindungsstrecke über eine vorgegebene Zeitdauer im Leerlauf betrieben wurde; und Beenden der geschützten Internet-Kommunikationsverbindungsstrecke, wenn das entfernt angeordnete Gerät an das örtliche Gerät keine geschützte Bestätigungsmiteilung (207) als Antwort auf die geschützte Aktivhalte-Mitteilung sendet.
DE69918026T 1998-11-02 1999-11-02 Gesicherte "keep alive" Nachricht über das Internet Expired - Lifetime DE69918026T2 (de)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
US185056 1980-09-08
US09/185,056 US6360269B1 (en) 1998-11-02 1998-11-02 Protected keepalive message through the internet

Publications (2)

Publication Number Publication Date
DE69918026D1 DE69918026D1 (de) 2004-07-22
DE69918026T2 true DE69918026T2 (de) 2004-09-30

Family

ID=22679385

Family Applications (1)

Application Number Title Priority Date Filing Date
DE69918026T Expired - Lifetime DE69918026T2 (de) 1998-11-02 1999-11-02 Gesicherte "keep alive" Nachricht über das Internet

Country Status (4)

Country Link
US (1) US6360269B1 (de)
EP (1) EP0999673B1 (de)
CA (1) CA2287714C (de)
DE (1) DE69918026T2 (de)

Families Citing this family (22)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6757250B1 (en) * 1999-04-12 2004-06-29 Mindspeed Technologies, Inc. Methods and apparatus for data communications through packet networks
US6915431B1 (en) * 1999-12-22 2005-07-05 Intel Corporation System and method for providing security mechanisms for securing network communication
US7089211B1 (en) 2000-01-12 2006-08-08 Cisco Technology, Inc. Directory enabled secure multicast group communications
US20020078198A1 (en) * 2000-02-25 2002-06-20 Buchbinder John E. Personal server technology with firewall detection and penetration
US20070214262A1 (en) * 2000-02-25 2007-09-13 Anywheremobile, Inc. Personal server technology with firewall detection and penetration
US6976071B1 (en) * 2000-05-03 2005-12-13 Nortel Networks Limited Detecting if a secure link is alive
GB2363549B (en) * 2000-11-16 2002-05-29 Ericsson Telefon Ab L M Securing voice over IP traffic
US7127742B2 (en) 2001-01-24 2006-10-24 Microsoft Corporation Establishing a secure connection with a private corporate network over a public network
US7143154B2 (en) * 2001-01-26 2006-11-28 Lucent Technologies Inc. Internet protocol security framework utilizing predictive security association re-negotiation
FI110464B (fi) 2001-04-26 2003-01-31 Nokia Corp IP-tietoturva ja liikkuvat verkkoyhteydet
US7020464B2 (en) * 2001-10-09 2006-03-28 Microsoft Corporation System and method for providing agent-free and no-packet overhead mobility support with transparent session continuity for mobile devices
US7146418B2 (en) * 2001-11-16 2006-12-05 Microsoft Corporation Method and system for providing transparent mobility support
US7334125B1 (en) * 2001-11-27 2008-02-19 Cisco Technology, Inc. Facilitating secure communications among multicast nodes in a telecommunications network
US20030223586A1 (en) * 2002-05-30 2003-12-04 Edward Green Method and system for secure communications over a communications network
JP3801559B2 (ja) 2002-12-26 2006-07-26 ソニー株式会社 通信装置および方法、記録媒体、並びにプログラム
GB0405245D0 (en) * 2004-03-09 2004-04-21 Ibm Key-based encryption
US8184644B1 (en) 2006-02-28 2012-05-22 Nortel Networks Limited WiMAX R6 management protocol
US20080195860A1 (en) * 2007-02-14 2008-08-14 Motorola, Inc. Method and apparatus for detecting a compromised node in a network
US8065451B2 (en) * 2007-07-12 2011-11-22 Lantiq Deutschland Gmbh Device for tapping USB power
US8359646B2 (en) * 2007-07-12 2013-01-22 International Business Machines Corporation Ensuring security of connection between thin client and client blade
KR102070727B1 (ko) 2013-02-13 2020-01-29 삼성전자주식회사 무선 통신 시스템의 전송 제어 프로토콜 통신 방법 및 장치
EP3816830B1 (de) 2019-10-30 2023-07-12 Nxp B.V. Vorrichtung, integrierte schaltung und verfahren dafür

Family Cites Families (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5351290A (en) * 1992-09-11 1994-09-27 Intellicall, Inc. Telecommunications fraud prevention system and method
US5588060A (en) 1994-06-10 1996-12-24 Sun Microsystems, Inc. Method and apparatus for a key-management scheme for internet protocols
US5996001A (en) * 1994-09-27 1999-11-30 Quarles; Philip High availability on-line transaction processing system
US5553239A (en) * 1994-11-10 1996-09-03 At&T Corporation Management facility for server entry and application utilization in a multi-node server configuration
WO1997026735A1 (en) 1996-01-16 1997-07-24 Raptor Systems, Inc. Key management for network communication
US5822434A (en) 1996-06-19 1998-10-13 Sun Microsystems, Inc. Scheme to allow two computers on a network to upgrade from a non-secured to a secured session
US6147987A (en) * 1997-04-08 2000-11-14 3Com Corporation Supporting load sharing across multiple network access servers
US6598167B2 (en) * 1997-09-26 2003-07-22 Worldcom, Inc. Secure customer interface for web based data management

Also Published As

Publication number Publication date
CA2287714A1 (en) 2000-05-03
EP0999673A2 (de) 2000-05-10
EP0999673A3 (de) 2001-12-12
DE69918026D1 (de) 2004-07-22
CA2287714C (en) 2007-10-23
EP0999673B1 (de) 2004-06-16
US6360269B1 (en) 2002-03-19

Similar Documents

Publication Publication Date Title
DE69918026T2 (de) Gesicherte "keep alive" Nachricht über das Internet
DE69932003T2 (de) System und Verfahren zur Kontrolle einer Netzwerkverbindung
DE19740547B4 (de) Vorrichtung und Verfahren zum Sicherstellen sicherer Kommunikation zwischen einer anfordernden Entität und einer bedienenden Entität
DE60212289T2 (de) Verwaltung privater virtueller Netze (VPN)
DE60200451T2 (de) Herstellung einer gesicherten Verbindung mit einem privaten Unternehmensnetz über ein öffentliches Netz
EP1285514B1 (de) Verfahren und transaktionsinterface zum gesicherten datenaustausch zwischen unterscheidbaren netzen
DE69731965T2 (de) Zugriff auf rechnerbetriebsmittel von aussen durch eine firewall
DE10052312B4 (de) Automatische Sperre gegen unberechtigten Zugriff im Internet (Snoop Avoider) für virtuelle private Netze
DE602004010703T2 (de) Eine persistente und zuverlässige sitzung, die neztwerkkomponenten unter verwendung eines verkapselungsprotokolls sicher durchläuft
DE10051571B4 (de) Methode und System zur Unterstützung von Sicherheitsvorgaben unter Verwendung einer Stylesheet-Verarbeitung
DE60026838T2 (de) Dynamische verbindung zu mehreren quellen-servern in einem transcodierungs-proxy
DE69333852T2 (de) Verfahren, Gerät und Anordnung zur Verschlüsselung von Daten die über verbundene Netze übertragen werden
DE19741239C2 (de) Verallgemeinertes Sicherheitspolitik-Management-System und Verfahren
EP1289227B1 (de) Verfahren, System und Rechner zum Aushandeln einer Sicherheitsbeziehung auf der Anwendungsschicht
EP1417820B1 (de) Verfahren und computersystem zur sicherung der kommunikation in netzwerken
DE19727267A1 (de) Verfahren und Computersystem zur Codierung einer digitalen Nachricht, zur Übertragung der Nachricht von einer ersten Computereinheit zu einer zweiten Computereinheit und zur Decodierung der Nachricht
DE10146361A1 (de) Vorrichtung und Verfahren zur Etablierung einer Sicherheitspolitik in einem verteilten System
DE10147889A1 (de) Proxy-Einheit, Verfahren zum rechnergestützten Schützen eines Applikations-Server-Programms und Anordnung mit einer Proxy-Einheit und einer Einheit zum Ausführen eines Applikations-Server-Programms
DE10107883B4 (de) Verfahren zur Übertragung von Daten, Proxy-Server und Datenübertragungssystem
DE602004005992T2 (de) Datenverarbeitungssystem und Verfahren
DE60031004T2 (de) Elektronisches sicherheitssystem und verfahren für ein kommunikationsnetz
DE10006062C2 (de) Tastaturschlüssel
DE102005050336B4 (de) Verfahren und Anordnung zum Betreiben eines Sicherheitsgateways
DE102005050047B4 (de) Verfahren, Anordnung und Sicherheitsgateway zur sicheren Authentifizierung und Datenübertragung zwischen zwei Datenverarbeitungseinheiten über mindestens ein Netzwerk
DE10128493A1 (de) System und Verfahren zur Integration der Netzwerkadressen-Übersetzung mit IP-Sicherheit

Legal Events

Date Code Title Description
8364 No opposition during term of opposition