FI108184B - Service access control - Google Patents

Service access control Download PDF

Info

Publication number
FI108184B
FI108184B FI992196A FI19992196A FI108184B FI 108184 B FI108184 B FI 108184B FI 992196 A FI992196 A FI 992196A FI 19992196 A FI19992196 A FI 19992196A FI 108184 B FI108184 B FI 108184B
Authority
FI
Finland
Prior art keywords
server
user
service
terminal
network
Prior art date
Application number
FI992196A
Other languages
Finnish (fi)
Swedish (sv)
Other versions
FI19992196A (en
Inventor
Ismo Heikkonen
Kimmo Pitkaenen
Original Assignee
Sonera Oyj
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Sonera Oyj filed Critical Sonera Oyj
Priority to FI992196A priority Critical patent/FI108184B/en
Priority to EP00967941A priority patent/EP1248971A2/en
Priority to AU77930/00A priority patent/AU7793000A/en
Priority to PCT/FI2000/000875 priority patent/WO2001027709A2/en
Publication of FI19992196A publication Critical patent/FI19992196A/en
Application granted granted Critical
Publication of FI108184B publication Critical patent/FI108184B/en

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/102—Entity profiles
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G06F21/33—User authentication using certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0272—Virtual private networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/16—Implementing security features at a particular protocol layer
    • H04L63/164—Implementing security features at a particular protocol layer at the network layer

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Computing Systems (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Theoretical Computer Science (AREA)
  • Software Systems (AREA)
  • General Physics & Mathematics (AREA)
  • Physics & Mathematics (AREA)
  • Storage Device Security (AREA)
  • Computer And Data Communications (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Description

1 1081841 108184

PALVELUN PÄÄSYNVALVONTA KEKSINNÖN ALASERVICE ACCESS CONTROL FIELD OF THE INVENTION

Keksintö kohdistuu tietoliikennejärjestelmiin. Erityisesti keksinnön kohteena on menetelmä ja 5 järjestelmä verkkopalvelun pääsynvalvontaan tietoliikennejärjestelmässä, joka käsittää tietoliikenneverkon, ensimmäisen palvelimen, johon on järjestetty palvelu, ja joka on yhdistetty tietoliikenneverkkoon, päätelaitteen, jolla käyttäjä on yhdistetty tietolii-10 kenneverkkoon, hakemiston, joka on yhdistetty tietoliikenneverkkoon ja joka käsittää tietoa käyttäjän oikeuksista tietoliikenneverkossa ja valvontakomponen-tin, joka on järjestetty ensimmäiselle palvelimelle. Menetelmässä muodostetaan yhteys päätelaitteen ja pal-15 velimen välille ja todennetaan käyttäjän identiteetti sertifikaatilla päätelaitteen muodostaessa yhteyttä ensimmäiselle palvelimelle.The invention relates to telecommunication systems. More particularly, the invention relates to a method and system for controlling a network service in a communication system comprising a telecommunication network, a first server hosted by the service and connected to a telecommunication network, a directory of a user connected to the telecommunication network, information about user rights in the telecommunication network; and a monitoring component provided on the first server. The method establishes a connection between the terminal and the server and authenticates the user's identity with a certificate when the terminal establishes a connection to the first server.

TEKNIIKAN TASOBACKGROUND OF THE INVENTION

20 Virtuaalinen erillisverkko (VPN, Virtual Pri vate Network) on yleistymässä verkkoratkaisuissa, joissa tarvitaan edullisesti toteutettua ulkopuolisil-ta suojattua verkkoa. Tällöin voidaan käyttää esimer-' , kiksi internetiä tiedonvälitykseen ja mahdollistetaanVirtual Virtual Network (VPN) is gaining ground in network solutions that require an advantageously implemented third-party protected network. Hereby, for example, the Internet can be used to communicate and enable

Il 25 organisaation käyttämän suojatun intranetin etäkäyttö *· " eli ekstranet. Ekstranetillä tarkoitetaan internetiä • · * V : tiedonsiirtovälineenä käyttävää organisaatioiden vä- • t · v · listä tietoverkkoa, jolla voidaan yhdistää mukana ole vien organisaatioiden intranetit.Remote access to a secured intranet * · "or" extranet "used by 25 organizations. Extranet refers to the Internet as a means of communication between organizations that can connect • intranets of participating organizations.

30 Ekstranet-verkoissa muodostuu pääsynvalvonta erityiseksi ongelmaksi. Verkon käyttöoikeus on usein '· rajattava tarkoin ennalta määrätylle joukolle. Maksul- v * lisissä verkkopalveluissa tulee huolehtia siitä, että 'maksuliikenne on turvallista sekä vältytään väärinkäy-: 35 töksiltä ja epäselvyyksiltä lopullisessa veloitusti- lanteessa. Luottamuksellista tietoa käsittävissä ver- 108184 2 koissa kaikkien verkon käyttäjien on luotettava sen turvamekanismeihin, jotta tiedot eivät ajautuisi vääriin käsiin.30 Access control is a particular problem in Extranet networks. Network access often has to be "· strictly limited to a predetermined set. Paying online services should ensure that payment transactions are secure and that there is no abuse or ambiguity in the final charge. In a network of confidential information, 108184 2 all network users must trust its security mechanisms to prevent information from being misappropriated.

Entuudestaan tunnetaan ratkaisu, jossa kaksi 5 konetta voidaan yhdistää turvallisesti käyttämällä virtuaalista erillisverkoa ja IPSec-standardin (IPSec, Internet Protocol Security) mukaista suojausta. IPSec-standardissa määritellään suojausmenettelyltä IP-pohjaisessa (IP, Internet Protocol) tiedonvälitykses-10 sä. IPSec mahdollistaa pääsynvalvonnan, tiedon koskemattomuuden, autentikoinnin ja luotettavuuden. Kaikki palvelut ovat saatavilla iP-tasolla, jolloin suoja on tarjolla IP- ja/tai ylemmän tason protokollille.A solution is known in the art where two hosts can be securely connected using a virtual dedicated network and Internet Protocol Security (IPSec) standard (IPSec) security. The IPSec standard defines a security procedure for Internet Protocol (IP) communications. IPSec enables access control, data integrity, authentication and reliability. All services are available at the IP level, providing protection for IP and / or higher-level protocols.

Tietoturvan varmistamiseksi IPSec-standardin 15 mukaisten virtuaalisten erillisverkkojen, jäljempänä IPSec-verkkojen hallinta on tavallisesti ollut keskitettyä. Tällöin hajautettu hallinta operaattorin ja esimerkiksi ekstranet-verkon tarjoajan välillä on ollut hankalaa. Lisäksi käyttäjän informoiminen tarjolla 20 olevista palveluista ja niiden ominaisuuksista on ollut vaikeaa. Käyttäjän on ensin täytynyt muodostaa yhteys palveluun ja vasta pääsynvalvonnan jälkeen käyt-; täjälle on voitu esittää palveluvalikot. Myöskään ekstranet-palvelujen aikaan tai volyymiin perustuva ' ; 25 käytön seuranta ei ole onnistunut tunnetun tekniikan . . mukaisissa ratkaisuissa.To ensure security, the management of virtual private networks according to IPSec standard 15 (hereinafter IPSec networks) has usually been centralized. In this case, decentralized management between the operator and, for example, the extranet network provider has been difficult. In addition, it has been difficult to inform the user of the services available and their features. The user must first have connected to the service and only after access control must be used; service menus may have been presented to the customer. Also based on the time or volume of extranet services'; 25 use of the prior art has not been successful. . solutions.

Esillä olevan keksinnön tarkoituksena on *·* * poistaa tai ainakin merkittävästi vähentää edellä esi- ·.* ’ tettyjä ongelmia. Edelleen keksinnön tarkoituksena on 30 tuoda esiin uudenlainen menetelmä ja järjestelmä, joilla verkkojen pääsynvalvonta on toteutettavissa luotettavasti. Lisäksi keksintö mahdollistaa hajautetun pääsynvalvonnan.It is an object of the present invention to * · * * eliminate or at least significantly reduce the above problems. It is a further object of the invention to provide a novel method and system for reliably implementing network access control. In addition, the invention enables decentralized access control.

35 KEKSINNÖN YHTEENVETOSUMMARY OF THE INVENTION

'· ': Keksinnössä käytetään verkkojen pääsynvalvon- " · taan uudenlaista valvontakomponenttia, jolla voidaan 108184 3 yhdistää esimerkiksi IPSec-verkon ja hakemiston käyttö.'': The invention uses a new type of network access control, which can be used to connect, for example, the use of an IPSec network and a directory.

Keksinnön kohteena on menetelmä edellä kuvatun kaltaisessa tietoliikennejärjestelmässä, jossa 5 tietoliikenneverkko on edullisesti IP-pohjainen verkko. Menetelmässä muodostetaan yhteys päätelaitteen ja palvelimen välille. Käyttäjän identiteetti todennetaan sertifikaatilla eli digitaalisella identiteetillä päätelaitteen muodostaessa yhteyttä ensimmäiselle palve-10 limelle. Keksinnön mukaisesti todentamisessa käytetty sertifikaatti välitetään valvontakomponentille. Vas-teellisesti mainitulle sertifikaatille muodostetaan käyttäjän oikeuksista palveluun hakemistokysely ja yhdistetään päätelaite palveluun, jos käyttäjän oikeudet 15 ovat oikein. Hakemisto on edullisesti LDAP-protokollan (LDAP, Lightweight Directory Access Protocol), esimerkiksi RFC2251:n, mukainen.The invention relates to a method in a communication system as described above, wherein the telecommunication network is preferably an IP based network. The method establishes a connection between the terminal and the server. The user identity is authenticated by a certificate, i.e. a digital identity, when the terminal establishes a connection to the first server 10. According to the invention, the certificate used for authentication is passed to the monitoring component. In response to said certificate, a directory inquiry is made about the user rights to the service and the terminal is connected to the service if the user rights 15 are correct. The directory is preferably in accordance with LDAP (Lightweight Directory Access Protocol), for example RFC2251.

Eräässä sovelluksessa pääsynvalvonta hajautetaan siten, että päätelaitteelta muodostetaan yhteys 20 ensin tietoliikenneverkkoon yhdistettyyn toiseen pal velimeen, josta käyttäjä valitsee ensimmäisellä palvelimella käytettävän palvelun. Toinen palvelin on edul-, lisesti WWW-palvelin (WWW, World Wide Web). Päätelait- teen ja ensimmäisen tai toisen palvelimen välinen yh-25 teys voidaan muodostaa VPN-yhteytenä, jolloin käyttäjä . , todennetaan IPSec-standardin mukaisesti.In one embodiment, the access control is decentralized by connecting the terminal 20 to a second server first connected to the communication network, from which the user selects the service to be used on the first server. Another server is preferably a WWW server (WWW, World Wide Web). The connection between the terminal and the first or second server may be established as a VPN connection, whereby the user. , is authenticated according to the IPSec standard.

*· *· Eräässä sovelluksessa tieto valvontakomponen- • · · * tin tapahtumista tallennetaan lokitiedostoon. Myös ·.· * valvontakomponentin hallussa oleva tieto yhteyden uu- 30 delleenneuvottelusta voidaan tallentaa lokitiedostoon.* · * · In one application, information about the monitoring component • · · * is stored in a log file. Also, information about the renegotiation of the connection held by the ·. · * Monitoring component can be stored in a log file.

Eräässä sovelluksessa lokitiedosto muodostetaan ennalta määrättynä ajanhetkenä, esimerkiksi aina valvontakompo- « nenttia käynnistettäessä.In one embodiment, the log file is generated at a predetermined time, for example, each time a monitoring component is started.

'···' Lisäksi keksinnön kohteena on järjestelmä ' ‘ 35 verkkopalvelun pääsynvalvontaan edellä kuvatun kaltai- sessa tietoliikennejärjestelmässä. Järjestelmä käsit-tää välineet todentamisessa käytetyn sertifikaatin vä- 108184 4 littämiseksi valvontakomponentille ja välineet hake-mistokyselyn muodostamiseksi käyttäjän oikeuksista palveluun vasteellisesti mainitulle sertifikaatille. Lisäksi järjestelmä käsittää välineet päätelaitteen 5 yhdistämiseksi palveluun, mikäli käyttäjän oikeudet riittävät.The invention further relates to a system '' 35 for access control of a network service in a communication system as described above. The system comprises means for assigning a certificate used for authentication to a monitoring component and means for generating a directory inquiry about user rights to the service in response to said certificate. The system further comprises means for connecting the terminal 5 to the service if the user rights are sufficient.

Keksinnön etuina tunnettuun tekniikkaan verrattuna on, että verkossa olevan koneen ja sen tarjoaman palvelun pääsynvalvonta voidaan erottaa toisis-10 taan. Koska palvelun pääsynhallintaan käytetään hakemistoa, myös hallinta on hajautettavissa. Lisäksi käyttäjälle voidaan antaa mainitun hakemiston kautta tarvittavaa informaatiota tarjolla oleviin muihin palveluihin kytkeytymiseksi. Edelleen keksintö mahdollis-15 taa palvelujen käytön seurannan ja entistä kehittyneemmät laskutustoimenpiteet.The advantages of the invention over the prior art are that the access control of the machine in the network and the service it provides can be separated. Because a directory is used to access the service, it is also decentralized. In addition, the user may be provided, through said directory, with the information necessary to connect to other services available. Furthermore, the invention enables the monitoring of the use of the services and more advanced billing procedures.

KUVALUETTELOLIST OF FIGURES

Seuraavassa keksintöä selostetaan oheisten 20 suoritusesimerkkien avulla viittaamalla oheiseen piirustukseen, jossa kuva 1 esittää kaaviomaisesti erästä keksin- . nön mukaista järjestelmää; kuva 2 esittää kaaviomaisesti erästä sovel- ; 25 lusta keksinnön mukaisesta menetelmästä.The invention will now be described, by way of example, with reference to the accompanying drawing, in which Figure 1 schematically illustrates an inventor. system; Figure 2 schematically illustrates an embodiment; 25 of the invention.

· kuva 3 esittää kaaviomaisesti erästä esimerk- • · · • · kiä hakemistojärjestelmästä; ♦ ♦ · ··. kuvat 4a - 4f esittävät esimerkinomaisesti • * « • · 4 järjestelmän toiminteita tilanteessa, jossa käyttäjä 30 haluaa nähdä listan sallituista palveluista; ja I · r *·’ ' kuvat 5a - 5d esittävät esimerkinomaisesti * * * : järjestelmän toiminteita tilanteessa, jossa käyttäjä .*·*. valitsee palvelun.Figure 3 schematically shows an example of a directory system; ♦ ♦ · ··. Figures 4a-4f illustrate, by way of example, the functions of a system in which the user 30 wants to see a list of allowed services; and I · r * · '' in Figures 5a-5d illustrate, by way of example, * * *: system functions in a situation where the user. * · *. selects service.

35 KEKSINNÖN YKSITYISKOHTAINEN SELOSTUSDETAILED DESCRIPTION OF THE INVENTION

Kuvassa 1 on esitetty eräs keksinnön mukainen järjestelmä. Päätelaite TE on yhdistetty ensimmäiseen 108184 5 palvelimeen 1 VPN-yhteydellä, jossa käytetään IPSec-varmistusta. IPSec-moduuli on järjestetty kahden pisteen välisen VPN-yhteyden molempiin päihin. Sekä päätelaite TE että ensimmäinen palvelin 1 on yhdistetty 5 tietoliikenneverkkoon, joka toteuttaa IP-pohjaista tiedonsiirtoa. Tietoliikenneverkko käsittää lisäksi toisen palvelimen 2, joka on WWW-palvelin. Toiseen palvelimeen 2 kuuluu graafinen käyttöliittymä 4, jolla päätelaitteen TE käyttäjälle muodostetaan tapahtumista 10 ja toiminnoista visuaalinen palaute. Palaute välite tään päätelaitteelle esimerkiksi HTML-muodossa erityisellä selaimella luettavaksi. Edelleen tietoliikenneverkko käsittää hakemiston 3, joka on esimerkkitapauksessa LDAP-hakemisto. Ensimmäiseen palvelimeen 1 on 15 yhdistetty myös lokipalvelin 7, jonka lokitiedostoon 6 voidaan tallentaa tieto käyttäjän aiheuttamista toimenpiteistä esimerkiksi laskutuksen tai seurannan tarpeisiin. Koska tietoliikenneverkko toteuttaa esimerkiksi IP-pohjaista tiedonsiirtoa, voivat komponentit 20 sijaita fyysisesti toisistaan riippumattomissa pai koissa .Figure 1 shows a system according to the invention. The terminal TE is connected to the first 108184 5 servers with 1 VPN connection using IPSec authentication. The IPSec module is provided at both ends of a two-point VPN connection. Both the terminal TE and the first server 1 are connected to a telecommunication network 5 which implements IP based communication. The telecommunication network further comprises a second server 2, which is a web server. The second server 2 includes a graphical user interface 4 for providing the user of the terminal TE with visual feedback of events 10 and operations. Feedback is transmitted to the terminal, for example, in HTML format for reading in a special browser. Further, the telecommunication network comprises a directory 3, which in the example case is an LDAP directory. A log server 7 is also connected to the first server 1, and the log file 6 can be used to store information on user-induced actions, for example for billing or tracking purposes. Because the telecommunications network implements, for example, IP based communication, the components 20 may be physically independent of each other.

Ensimmäiselle palvelimelle 1 on järjestetty , esimerkiksi organisaation ekstranet-järjestelmä. Vas- taavasti ensimmäisellä palvelimella 1 voi olla jokin 25 kaupallinen palvelu tai luottamuksellinen toiminto, , , johon pääsy halutaan suojata luvattomilta käyttäjiltä.The first server 1 is provided with, for example, an extranet system for the organization. Correspondingly, the first server 1 may have a commercial service 25 or a confidential function, the access of which is to be protected from unauthorized users.

» » » *♦ *· Kuvassa 2 on esitetty vuokaaviona eräs sovel- • » · ' lus keksinnön mukaisesta menetelmästä. Kohdassa 2 0 • * · V · muodostetaan yhteys päätelaitteelta TE ensimmäiselle 30 palvelimelle 1. Yhteyttä muodostettaessa todennetaan käyttäjä IPSec:n mukaisesti, kohta 21. Mikäli todenta- * minen onnistuu, siirrytään kohtaan 22, jossa todenta- * misessa käytetty sertifikaatti välitetään valvontakom-'ponentille 5.»» »* ♦ * Figure 2 shows a flow diagram of an embodiment of the method according to the invention. In step 2 0 • * · V · a connection is established from the terminal TE to the first 30 servers 1. When establishing the connection, the user is authenticated according to IPSec, step 21. If authentication is successful, proceed to step 22 where the certificate used for authentication is forwarded to the monitoring for the subscriber 5.

' ' 35 Eräässä toisessa, sovelluksessa päätelaite TE'' 35 In another embodiment, the terminal TE

muodostaa yhteyden ensiksi toiseen palvelimeen 2, esi-• merkiksi HTTP-osoitteen perusteella. Tällöin käyttä- 108184 6 jälle tarjotaan nähtäväksi lista sallituista palveluista. Edellä kuvattua vahvaa IPSec-todentamista voidaan käyttää hyväksi myös tässä tapauksessa. Käyttäjä autentikoidaan ja sertifikaatti välitetään vastaavasti 5 valvontakomponentille 5.first establishes a connection to the second server 2, for example based on an HTTP address. In this case, the list of allowed services is again displayed. The strong IPSec authentication described above can also be used in this case. The user is authenticated and the certificate is passed to the control component 5, respectively.

Kohdassa 23 tarkistetaan, onko käyttäjällä oikeus palveluun, joka esimerkkitapauksessa on S2. Valvontakomponentin 5 hallussa olevan sertifikaatin perusteella käyttäjälle saadaan yksikäsitteinen nimi. 10 Nimen avulla muodostetaan hakemistokysely valvontakom-ponentilta 5 LDAP-hakemistolle 3, johon on tallennettu profiili käyttäjän oikeuksista. Valvontakomponentti 5 palauttaa tiedon palvelimella olevalle VPN-ohjelmistolle, joka joko sallii tai estää pääsyn ha-15 luttuun palveluun S2. Mikäli käyttäjällä ei ole oikeutta kyseiseen palveluun, voidaan päätelaitteelle TE palauttaa ilmoitus asiasta. Mikäli palvelu S2 on käyttäjälle sallittu, yhdistetään päätelaite TE palveluun S2, kohta 24.Step 23 checks whether the user is entitled to the service, which in the example case is S2. The certificate held by the control component 5 provides the user with a unique name. The name is used to create a directory query from the monitoring component 5 to the LDAP directory 3, where a profile of user rights is stored. The monitoring component 5 returns the information to the VPN software on the server, which either allows or denies access to the requested service S2. If the user does not have the right to the service in question, a notification may be returned to the terminal TE. If the service S2 is allowed to the user, the terminal TE is connected to the service S2, step 24.

20 Eräässä keksinnön sovelluksessa pääsynvalvon- taan on yhdistetty käytönseuranta esimerkiksi laskutusta tai tilastointia varten. Kohdassa 25 tarkistetaan, kirjataanko tapahtumasta tieto lokitiedostoon 6. Valvontaelementti 5 siirtää kohdassa 26 tiedon tapah-25 tumista lokitiedostoon 6. Lokitiedosto 6 voi olla osana ensimmäistä palvelinta 1 tai se voi kuulua erillä- * * » *· *· seen lokipalvelimeen 7.In one embodiment of the invention, access control is combined with access tracking, for example, for billing or statistics purposes. In step 25, it is checked whether information about the event is recorded in the log file 6. In step 26, the monitoring element 5 transfers the data from the event to the log file 6. The log file 6 may be part of the first server 1 or be part of the log server *.

• · · *.’ * Kuvassa 3 on esitetty kaaviomaisesti eräs * · · V · esimerkki esillä olevan keksinnön yhteydessä käytettä- 30 västä hakemistorakenteesta. Laatikoissa on esitetty :*·*, esimerkinomaisesti yksityiskohtaisia määritelmiä, jot- ka vastaavat hakemistossa esiintyviä yksikköjä CN=Org2, CN=S2 ja CN=0rg3 .Figure 3 schematically illustrates an example of a directory structure used in connection with the present invention. The boxes contain: * · *, by way of example, detailed definitions corresponding to the units CN = Org2, CN = S2 and CN = 0rg3 in the directory.

I r '···' Kuvissa 4a - 4f on esitetty keksinnön mukai- ' ' 35 sen järjestelmän käyttämiä toiminnallisuuksia tilan- ;·.· teessä, jossa käyttäjä haluaa nähdä listan sallituista palveluista. Käyttäjä valitsee omalla päätelaitteel- 7 108184 laan TE verkko-osoitteen, joka on internetissä olevan tiedoston tai hakemiston sekä näiden käyttöön tarvittavan yhteyskäytännön yksilöivä tunnus, esimerkiksi http://www.sonera.fi/loota. Käyttäjä autentikoidaan ja 5 sertitikaattitieto välitetään valvontakomponentille 5, joka tarkistaa sallitaanko käyttäjälle pääsy palveluun. Mikäli päätelaitteen TE sallitaan käyttää WWW-palvelinta 2, suorittaa WWW-palvelin 2 kuvan 4a mukaisen LDAP-haun. Tällöin WS1 on päätelaitteen TE yksilö löllinen nimi. Esimerkkijärjestelmässä haku palauttaa vastineen "Response: C=FI, 0=0rgl, CN=WS1".Figs. 4a-4f illustrate the functionalities used by the system 35 according to the invention in a state where the user wants to see a list of allowed services. The user selects a TE address, which is a unique identifier of a file or directory on the Internet and the protocol needed to access them, such as http://www.sonera.fi/create. The user is authenticated and the certificate information 5 is passed to the monitoring component 5 which checks whether the user is allowed access to the service. If the terminal TE is allowed to use the web server 2, the web server 2 performs an LDAP search as shown in Figure 4a. In this case, WS1 is the unique name of the terminal TE. In the example system, the search returns "Response: C = FI, 0 = 0rgl, CN = WS1".

Käyttämällä löydettyä verkkotunnusta voidaan käyttää kuvan 4b mukaisia LDAP-hakuoperaatioita sallittujen palvelujen löytämiseksi. Mikäli verkko-15 osoitteessa löytyy useampia rinnakkaisia tasoja, voidaan jokaiselle tasolle suorittaa LDAP-haku jotta löydetään yhteiset palvelut koko verkko-osoitteen alihakemiston osalta. Määreen userServicesList attribuutit voidaan jäljittää hakujen palautteista. Mahdolliset 20 kaksinkertaiset userServicesList-arvot ovat tämän jälkeen poistettavissa.Using the domain name found, the LDAP lookup operations of Figure 4b can be used to find the allowed services. If there are multiple parallel layers in the network-15 address, an LDAP lookup can be performed for each layer to find common services for the entire sub-directory of the network address. The attributes of the userServicesList attribute can be traced from search feedback. Any 20 duplicate userServicesList values can then be removed.

Määreen userServicesList sisällön perusteella käynnistetään kolme LDAP-hakua, jotta läydetään yksityiskohtaiset kuvaukset päätelaitteelle WS1 sallituis-' 25 ta palveluista. Mainitut haut on esitetty kuvissa 4c - 4e. On huomattava, että voidaan valita myös laajempi ·. *: luettelo palvelumääreistä. Hakupalautteesta poimitaan • · · V: valittujen määreiden arvot. Kuvassa 4f on esitetty ; WWW-palveiimen 2 graafisen käyttöliittymän 4 käyttä- 30 jälle muodostama palaute, joka käsittää verkko-osoitteen ja palvelumääreet.Based on the contents of the userServicesList, three LDAP lookups are executed to provide detailed descriptions of the services allowed to WS1. Said searches are shown in Figures 4c-4e. It should be noted that a wider range may also be selected. *: list of service attributes. Extracted from search feedback • · · V: values for selected attributes. Figure 4f shows; Feedback generated by the web server 2 to the user interface 4 of the graphical user interface 4, comprising the network address and service attributes.

Kuvissa 5a - 5f on esitetty esimerkinomaises- * · * ti keksinnön mukaisen järjestelmän käyttämiä toiminto- • · · ja tilanteessa, jossa käyttäjä haluaa käyttää palvelua 35 S2. Käyttäjä valitsee palvelun WWW-palvelimelta 2 verkko-osoitteella http://www,org2.fi/S2. Käyttäjä autentikoidaan ja sertifikaatti välitetään käyttäjän 8 108184 päätelaitteelta TE valvontakomponentille 5, joka puolestaan noutaa päätelaitteen yksilöllisen nimen WS1 sertifikaatista. Tämän jälkeen valvontakomponentti 5 suorittaa sidontaoperaatiot yksinkertaisilla valtuu-5 tukeilla hakemistoon 3. Valvontakomponentti 5 suorittaa myös kuvissa 5a - 5b esitettyjen kaltaiset LDAP-hakuoperaatiot löytääkseen päätelaitteelle WS1 sallitut palvelut.Figures 5a-5f illustrate exemplary functions used by the system of the invention when the user wants to use the service 35 S2. The user selects the service from WWW server 2 at http: //www,org2.fi/S2. The user is authenticated and the certificate is transmitted from the user terminal 108 1084 to the control component 5, which in turn retrieves the unique name of the terminal from the WS1 certificate. Thereafter, the monitoring component 5 performs binding operations with simple trunk-5 supports to the directory 3. The monitoring component 5 also performs LDAP lookup operations such as those shown in Figures 5a to 5b to find the services allowed for the terminal WS1.

Hakupalautteesta saadaan muodostettua määre 10 userServicesList. Määreen userServicesList arvoa C=FI, 0=0rg3, CN=S3 ei muodosteta, sillä pääsynvalvonta ei salli sitä. Määreen userServicesList sisältöä käyttämällä käynnistetään LDAP-vertailuoperaatioita, joilla tarkistetaan onko kyseisen valvontakomponentin 5 kaut-15 ta saavutettava palvelu sallittu mainitulle pääte laitteelle WS1. Ensimmäinen LDAP-vertailuoperaatio on esitetty kuvassa 5c. Mikäli haku palauttaa arvon com-pareTrue, ei uutta LDAP-operaatiota tarvita. Tällöin valvontakomponentti palauttaa positiivisen vastauksen, 20 jonka jälkeen päätelaite TE yhdistetään haluttuun palveluun http://www.org2,fi/S2. Mikäli haku palauttaa arvon compareFalse, suoritetaan kuvan 5d mukainen LDAP-vertailuoperaatio, jolloin tarkistetaan oikeuksien riittävyys palveluun S2.The search feedback returns 10 userServicesList. The value C = FI, 0 = 0rg3, CN = S3 will not be created for userServicesList as it will not be allowed by access control. Using the contents of the userServicesList, LDAP comparison operations are initiated to check whether the service accessed through the particular monitoring component 5 is allowed for said terminal device WS1. The first LDAP comparison operation is shown in Figure 5c. If the search returns com-pareTrue, no new LDAP operation is required. In this case, the monitoring component returns a positive response, after which the terminal TE is connected to the desired service http: //www.org2,en/S2. If the search returns a compareFalse value, the LDAP comparison operation of Figure 5d is performed, whereupon the sufficiency of the service to S2 is checked.

25 Edellä kuvatun kaltaista silmukkaa toistetaan kunnes palautteena saadaan arvo compareTrue tai kaikki *· *: arvot sAllowedService on tarkistettu. Valvontakompo- * * » » Φ · *.* * nentti 5 palauttaa negatiivisen vastauksen, mikäli ar- • · t V * voa compareTrue ei saada ja kaikki arvot sAllowedSer- 30 vices on tarkistettu.25 A loop like the one described above is repeated until feedbackTrue or all * · *: sAllowedService values are checked. The control compo- * * »» Φ · *. * * Item 5 returns a negative response if no value can be obtained by comparing • • t V * with compareTrue and all values of sAllowedSer- vices are checked.

·*·*; Valvontakomponentti 5 saa oman tunnuksensa .·:*♦ SEId käynnistyksen yhteydessä käyttötietokannalta (MIB, Management Information Base) . Mikäli jokin val-vontakomponenttiin 5 liitetyistä palveluista on sal-'· ' 35 littu päätelaitteelle TE, sallitaan myös muut valvon- takomponenttiin 5 liitetyt palvelut.· * · *; Control component 5 gets its own ID: ·: * ♦ SEId at start-up from the Management Information Base (MIB). If any of the services connected to the monitoring component 5 is allowed to the terminal TE, other services connected to the monitoring component 5 are also allowed.

108184 9108184 9

Keksintöä ei rajata pelkästään edellä esitettyjä sovellusesimerkkejä koskevaksi, vaan monet muunnokset ovat mahdollisia pysyttäessä patenttivaatimusten määrittelemän keksinnöllisen ajatuksen puitteissa. 5The invention is not limited solely to the above exemplary embodiments, but many modifications are possible within the scope of the inventive idea defined by the claims. 5

I I II I I

ft ft 4 • tl • · * «t • · $ m · · • • · · • « · • « i « · · • « « « · > · · • tl ··· f » I i > i 1 I I 1ft ft 4 • tl • · * «t • $ $ m · · • • i« i> i 1 II 1

t (if • ( It {if • {I

« ·«·

Claims (18)

1β 1081841β 108184 1. Menetelmä verkkopalvelun (S2) pääsynval-vontaan tietoliikennejärjestelmässä, joka käsittää: tietoliikenneve rkon; 5 ensimmäisen palvelimen (1) , johon on järjestetty palvelu (S2), ja joka on yhdistetty tietoliikenneverkkoon ; päätelaitteen (TE), jolla käyttäjä on yhdistetty tietoliikenneverkkoon; 10 hakemiston (3) , joka on yhdistetty tietoliikenne verkkoon ja joka käsittää tietoa käyttäjän oikeuksista tietoliikenneverkossa; ja valvontakomponentin (5) , joka on järjestetty ensimmäiselle palvelimelle (1); jossa menetelmässä: 15 muodostetaan yhteys päätelaitteen (TE) ja ensim mäisen palvelimen (1) välille; ja todennetaan käyttäjän identiteetti sertifikaatilla päätelaitteen (TE) muodostaessa yhteyttä ensimmäiselle palvelimelle (1) ; 20 tunnettu siitä, että menetelmä käsittää seu- raavat vaiheet: välitetään todentamisessa käytetty sertifikaatti valvontakomponentille (5); ';1; muodostetaan vasteellisesti mainitulle sertifikaa- 25 tille hakemistokysely käyttäjän oikeuksista palveluun (S2) ; ja • · yhdistetään päätelaite (TE) palveluun (S2), mikäli : käyttäjän oikeudet riittävät.A method for access control of a network service (S2) in a communication system, comprising: a communication network; A first server (1) provided with the service (S2) and connected to the telecommunication network; a terminal (TE) for connecting the user to the communication network; A directory (3) connected to a telecommunication network comprising information about the user's rights in the telecommunication network; and a monitoring component (5) provided on the first server (1); the method of: establishing a connection between the terminal (TE) and the first server (1); and verifying the identity of the user with a certificate when the terminal (TE) establishes a connection to the first server (1); Characterized in that the method comprises the steps of: passing a certificate used for authentication to a monitoring component (5); '; 1; generating, in response to said certificate, a directory inquiry about the user's rights to the service (S2); and • · connect the terminal (TE) to the service (S2) if: user rights are sufficient. 2. Patenttivaatimuksen 1 mukainen menetelmä, 30 tunnettu siitä, että hajautetaan pääsynvalvonta siten, että muodostetaan päätelaitteella (TE) yhteys ensin tietoliikenneverkkoon yhdistettyyn toiseen pal- • · · *. velimeen (2), josta käyttäjä valitsee ensimmäisellä palvelimella (1) käytettävän palvelun (S2) .A method according to claim 1, characterized in that the access control is decentralized by first establishing a connection with the terminal (TE) to the second server connected to the communication network. a user (2), from which the user selects the service (S2) to be used on the first server (1). 3. Patenttivaatimuksen 1 tai 2 mukainen mene- .* telmä, tunnettu siitä, että muodostetaan yhteys ( päätelaitteen (TE) ja palvelimen (1, 2) välille VPN- H 108184 yhteytenä, jolloin käyttäjä todennetaan IPSec-standardin mukaisesti.Method according to claim 1 or 2, characterized in that a connection is established (between the terminal (TE) and the server (1, 2) as VPN-H 108184, whereby the user is authenticated according to the IPSec standard). 4. Patenttivaatimuksen 1, 2 tai 3 mukainen menetelmä, tunnettu siitä, että tallennetaan tie- 5 to valvontakomponentin (5) tapahtumista lokitiedostoon (6), joka on yhdistetty tietoliikenneverkkoon.Method according to claim 1, 2 or 3, characterized in that information about the events of the monitoring component (5) is stored in a log file (6) connected to the communication network. 5. Patenttivaatimuksen 1, 2, 3 tai 4 mukainen menetelmä, tunnettu siitä, että tallennetaan valvontakomponentin (5) tieto yhteyden uudelleenneuvotte- 10 lusta lokitiedostoon (6) .Method according to claim 1, 2, 3 or 4, characterized by storing the information of the monitoring component (5) on the renegotiation of the connection to the log file (6). 6. Patenttivaatimuksen 1, 2, 3, 4 tai 5 mukainen menetelmä, tunnettu siitä, että muodostetaan lokitiedosto (6) ennalta määrättynä ajanhetkenä.Method according to claim 1, 2, 3, 4 or 5, characterized in that a log file (6) is created at a predetermined time. 7. Patenttivaatimuksen 1, 2, 3, 4, 5 tai 6 15 mukainen menetelmä, tunnettu siitä, että toinen palvelin (2) on WWW-palvelin.Method according to claim 1, 2, 3, 4, 5 or 6 15, characterized in that the second server (2) is a web server. 8. Patenttivaatimuksen 1, 2, 3, 4, 5, 6 tai 7 mukainen menetelmä, tunnettu siitä, että tietoliikenneverkko on IP-pohjainen verkko. 2 0Method according to claim 1, 2, 3, 4, 5, 6 or 7, characterized in that the communication network is an IP-based network. 2 0 9. Patenttivaatimuksen 1, 2, 3, 4, 5, 6, 7 tai 8 mukainen menetelmä, tunnettu siitä, että hakemisto (3) on LDAP-protokollan mukainen.Method according to claim 1, 2, 3, 4, 5, 6, 7 or 8, characterized in that the directory (3) is in accordance with the LDAP protocol. 10. Järjestelmä verkkopalvelun pääsynvalvon-taan tietoliikennejärjestelmässä, joka käsittää: 25 tietoliikenneverkon; ensimmäisen palvelimen (1) , johon on järjestetty .·. : palvelu (S2) , ja joka on yhdistetty tietoliikenneverk- φ * * koon; « · * • · ° päätelaitteen (TE) , jolla käyttäjä on yhdistetty *♦* ' 30 tietoliikenneverkkoon; hakemiston (3) , joka on yhdistetty tietoliikenne- • · e · verkkoon ja joka käsittää tietoa käyttäjän oikeuksista • · · '.l I tietoliikenneverkossa; ja valvontakomponentin (5), joka on järjestetty en-35 simmäiselle palvelimelle (1); jolloin: . päätelaitteen (TE) ja ensimmäisen palvelimen (1) /· välille on muodostettavissa yhteys; ja 108184 12 käyttäjän identiteetti on todennettavissa sertifikaatilla päätelaitteen (TE) muodostaessa yhteyttä ensimmäiselle palvelimelle (1) ; tunnettu siitä, että järjestelmä käsittää: 5 välineet todentamisessa käytetyn sertifikaatin vä littämiseksi valvontakomponentille (5); välineet hakemistokyselyn muodostamiseksi käyttäjän oikeuksista palveluun vasteellisesti mainitulle sertifikaatille; ja 10 välineet päätelaitteen yhdistämiseksi palveluun, mikäli käyttäjän oikeudet riittävät.A system for controlling access to a network service in a communication system comprising: 25 a communications network; the first server (1) to be hosted. : service (S2) and connected to a telecommunication network k * *; A terminal device (TE) to which the user is connected * 30 • to a telecommunications network; a directory (3) connected to a communication network comprising information about user rights in the communication network; and a monitoring component (5) provided on the en-35 first server (1); where:. a connection can be established between the terminal (TE) and the first server (1) / ·; and 108184 12, the identity of the user is verifiable by a certificate when the terminal (TE) establishes a connection to the first server (1); characterized in that the system comprises: 5 means for forwarding a certificate used for authentication to a monitoring component (5); means for generating a directory query of the user's rights to the service in response to said certificate; and 10 means for connecting the terminal to the service if the user rights are sufficient. 11. Patenttivaatimuksen 10 mukainen järjestelmä, tunnettu siitä, että tietoliikenneverkkoon on yhdistetty toinen palvelin (2), johon yhteys ensin 15 muodostetaan ja josta ensimmäisen palvelimen (1) palvelu (S2) on valittavissa.System according to claim 10, characterized in that a second server (2) is connected to the telecommunication network, to which the connection is first established 15 and from which the service (S2) of the first server (1) can be selected. 12. Patenttivaatimuksen 10 tai 11 mukainen järjestelmä, tunnettu siitä, että päätelaite (TE) ja palvelin (1, 2) on yhdistetty VPN-yhteydellä, jol- 20 loin käyttäjä on todennettavissa IPSec-standardin mukaisesti .System according to claim 10 or 11, characterized in that the terminal (TE) and the server (1, 2) are connected via a VPN connection, whereby the user can be verified according to the IPSec standard. 13. Patenttivaatimuksen 10, 11 tai 12 mukai nen järjestelmä, tunnettu siitä, että järjestelmään kuuluu välineet valvontakomponentin (5) tapahtu- : 25 matietojen tallentamiseksi lokitiedostoon (6), joka on yhdistetty tietoliikenneverkkoon.System according to claim 10, 11 or 12, characterized in that the system comprises means for storing the activity data of the monitoring component (5) in a log file (6) connected to the communication network. .*· ' 14. Patenttivaatimuksen 10, 11, 12 tai 13 mu- • * · ' ' • · kainen järjestelmä, tunnettu siitä, että järjes- • · · telmään kuuluu välineet valvontakomponentin (5) tie- 30 donsiirtoyhteyden uudelleenneuvottelusta tallentamiseksi lokitiedostoon (6). • # IA system according to claim 10, 11, 12 or 13, characterized in that the system comprises means for renegotiating the communication link of the monitoring component (5) to a log file (5). 6). • # I *·* ’ 15. Patenttivaatimuksen 10, 11, 12, 13 tai 14 ··· V * mukainen järjestelmä, tunnettu siitä, että jär- jestelmään kuuluu välineet lokitiedoston (6) tallenta- 3. miseksi ennalta määrättynä ajanhetkenä. 108184 13System according to claim 10, 11, 12, 13 or 14 ··· V *, characterized in that the system comprises means for storing a log file (6) at a predetermined time. 108184 13 16. Patenttivaatimuksen 10, 11, 12, 13, 14 tai 15 mukainen järjestelmä, tunnettu siitä, että toinen palvelin (2) on WWW-palvelin.System according to Claim 10, 11, 12, 13, 14 or 15, characterized in that the second server (2) is a WWW server. 17. Patenttivaatimuksen 10, 11, 12, 13, 14, 5 15 tai 16 mukainen järjestelmä, tunnettu siitä, että tietoliikenneverkko on IP-pohjainen verkko.System according to claim 10, 11, 12, 13, 14, 5 15 or 16, characterized in that the communication network is an IP-based network. 18. Patenttivaatimuksen 10, 11, 12, 13, 14, 15, 16 tai 17 mukainen järjestelmä, tunnettu siitä, että hakemisto (3) on LDAP-protokollan mukainen. 10 108184 14System according to claim 10, 11, 12, 13, 14, 15, 16 or 17, characterized in that the directory (3) is in accordance with the LDAP protocol. 10 108184 14
FI992196A 1999-10-12 1999-10-12 Service access control FI108184B (en)

Priority Applications (4)

Application Number Priority Date Filing Date Title
FI992196A FI108184B (en) 1999-10-12 1999-10-12 Service access control
EP00967941A EP1248971A2 (en) 1999-10-12 2000-10-11 Access control of a service
AU77930/00A AU7793000A (en) 1999-10-12 2000-10-11 Access control of a service
PCT/FI2000/000875 WO2001027709A2 (en) 1999-10-12 2000-10-11 Access control of a service

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
FI992196A FI108184B (en) 1999-10-12 1999-10-12 Service access control
FI992196 1999-10-12

Publications (2)

Publication Number Publication Date
FI19992196A FI19992196A (en) 2001-04-13
FI108184B true FI108184B (en) 2001-11-30

Family

ID=8555436

Family Applications (1)

Application Number Title Priority Date Filing Date
FI992196A FI108184B (en) 1999-10-12 1999-10-12 Service access control

Country Status (4)

Country Link
EP (1) EP1248971A2 (en)
AU (1) AU7793000A (en)
FI (1) FI108184B (en)
WO (1) WO2001027709A2 (en)

Families Citing this family (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
GB2400268B (en) * 2001-04-18 2005-03-23 Emc Corp Integrated procedure for partitioning network data services among multiple subscribers
US7277953B2 (en) 2001-04-18 2007-10-02 Emc Corporation Integrated procedure for partitioning network data services among multiple subscribers
NL1018494C2 (en) * 2001-07-09 2003-01-10 Koninkl Kpn Nv Method and system for delivering a service to a client through a service process.
CN100454921C (en) 2006-03-29 2009-01-21 华为技术有限公司 Digital copyright protecting method and system

Family Cites Families (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP3937475B2 (en) * 1996-06-14 2007-06-27 キヤノン株式会社 Access control system and method
US5922074A (en) * 1997-02-28 1999-07-13 Xcert Software, Inc. Method of and apparatus for providing secure distributed directory services and public key infrastructure
US6134591A (en) * 1997-06-18 2000-10-17 Client/Server Technologies, Inc. Network security and integration method and system

Also Published As

Publication number Publication date
WO2001027709A3 (en) 2002-08-01
WO2001027709A2 (en) 2001-04-19
AU7793000A (en) 2001-04-23
WO2001027709A8 (en) 2004-04-22
EP1248971A2 (en) 2002-10-16
FI19992196A (en) 2001-04-13

Similar Documents

Publication Publication Date Title
US7921289B2 (en) Secure compartmented mode knowledge management portal
US7269847B2 (en) Firewall providing enhanced network security and user transparency
US6609198B1 (en) Log-on service providing credential level change without loss of session continuity
US6640302B1 (en) Secure intranet access
CA2226814C (en) System and method for providing peer level access control on a network
US6892307B1 (en) Single sign-on framework with trust-level mapping to authentication requirements
US6691232B1 (en) Security architecture with environment sensitive credential sufficiency evaluation
US6088451A (en) Security system and method for network element access
US8683565B2 (en) Authentication
CN108259432A (en) A kind of management method of API Calls, equipment and system
US20100031317A1 (en) Secure access
FI108184B (en) Service access control
CN111711690A (en) Service processing method and device based on cross-chain technology
Cisco Distributed System Settings
Cisco Configuring Network Security
JP2006101346A (en) Access control system, access control method, and access control program