FI120479B

FI120479B - Procedure and timing for establishing connection to an apparatus

Info

Publication number: FI120479B
Application number: FI20075877A
Authority: FI
Inventors: Martti Hakulinen
Original assignee: Telcont Oy
Priority date: 2007-12-05
Filing date: 2007-12-05
Publication date: 2009-10-30
Also published as: FI20075877A0; WO2009071751A1; FI20075877A

Description

MENETELMÄ JA PÄÄTELAITE YHTEYDEN MUODOSTAMISEKSI LAITTEESEENMETHOD AND TERMINAL TO CONNECT TO THE DEVICE

KEKSINNÖN ALAFIELD OF THE INVENTION

Esillä oleva keksintö liittyy tietoliikenne-5 tekniikkaan. Erityisesti esillä olevan keksinnön kohteena on menetelmä ja laite yhteydellisen sanomaproto-kollayhteyden selektiiviseksi avaamiseksi.The present invention relates to telecommunication 5 technology. In particular, the present invention relates to a method and a device for selectively opening a connection message collage connection.

KEKSINNÖN TAUSTABACKGROUND OF THE INVENTION

10 Erilaisia kohteita, esimerkiksi kiinteistöjä voidaan monin tavoin valvoa esimerkiksi murtojen ja tulipalojen varalta. Eräs valvontatapa on ns. etäval" vonta, jossa kohteessa, esimerkiksi kiinteistössä, on automaattinen valvontajärjestelmä, joka murron tai tu-15 lipalon sattuessa välittää hälytystietoa eteenpäin.10 Various objects, such as real estate, can be controlled in many ways, for example, for burglaries and fires. One type of control is the so-called. remote control, where an object, such as a property, has an automatic surveillance system that transmits alarm information in the event of a burglary or tu-15 attack.

Hälytyksiä välitetään esimerkiksi erityisissä ilmoituksensiirtojärjestelmässä (ISJ), joka on perinteisesti perustunut lankaverkkoon (tilaajakaapeli)· Hälytyksen siirtotienä voidaan käyttää myös muita jul" 20 kisia tiedonsiirtoverkkoja, esimerkiksi Internetiä.Alarms are transmitted, for example, in a special message transmission system (ISJ), which is traditionally based on a landline network (subscriber cable). · Other public communications networks, such as the Internet, can also be used as alarms.

Internet-verkko käsittää maailmanlaajuisen tiedonsiirto- ja palveluverkon. Siihen liittyy mitä erilaisimpia kuljetuskerroksen (Layer 4) yläpuolisia toimintoja, kuten esimerkiksi nimipalvelu, sähköposti, 25 verkonhallintaprotokollat, VoIP (Voice over IP) ja lukematon määrä mitä erilaisimpia sovelluksia ja protokollia. Kaikissa edellä mainituissa tapauksissa itse siirtoverkko, joka reitittää ja kytkee kerroksilla Li, L2 ja L3, ei ota kantaa kuljetettaviin sovelluksiin. 30 Sovellukset käyttävät tiedon välittämiseen mitä moninaisimpia kuvauskieliä ja protokollia.The Internet network comprises a global network for data transmission and services. It comes with a variety of over-the-top layer (Layer 4) functionality, such as name service, email, 25 network management protocols, VoIP (Voice over IP), and countless applications and protocols. In all of the above cases, the transmission network itself, which routes and connects on L1, L2 and L3 layers, does not comment on the applications to be transported. 30 Applications use a variety of markup languages and protocols to communicate information.

Internetin eräs ongelma on tietoturva. Sovellustasolla välitettävään tietoon on mahdollista päästä käsiksi tietyillä tavoilla. Yleisesti ottaen olemassa 35 on erilaisista lähtökohdista toimivia tahoja, jotka haluavat päästä käsiksi toisten osapuolien hallitse- 2 maan tai lähettämään tietoon. Erästä tällaista tahoa kutsutaan "hakkereiksi". Heidän pääasiallinen tarkoituksensa on aiheuttaa tuhoa ja ongelmia tietomurron kohteeseen. Erääseen toiseen tahoon kuuluvat esimer-5 kiksi teollisuusvakoojat: he yrittävät saada verkosta haluamaansa tietoa.One problem with the Internet is security. There are a number of ways to access information transmitted at the application level. Generally speaking, there are 35 actors from different backgrounds who wish to gain access to information 2 controlled or transmitted by other parties. One such entity is called "hackers". Their main purpose is to cause havoc and trouble to the target of the hacking. Another example is the 5 spy industrial spies: they try to get the information they want online.

Toisena osatekijänä tietoturvaongelmassa on käytössä olevien käyttöjärjestelmien ja sovellusten heikkoudet. Käyttöjärjestelmissä ja sovellusten toi-10 minnassa voi olla tietoturva-aukkoja, jotka mahdollistavat ulkopuolisten tahojen päästä käsiksi tietoon, joka ei alun perin ole tarkoitettu heille.Another component of the security problem is the weaknesses of the operating systems and applications in use. Operating systems and application operations may have security holes that allow third parties to access information that was not originally intended for them.

Tietoturvan parantamiseksi on olemassa sekä siirtoverkkoon kohdistuvia suojausmenetelmiä, kuten 15 esimerkiksi VPN-yhteydet (VPN, Virtual Private Network) , MPLS-tekniikat (MPLS, Multiprotocol Label Switching) , intranet, tunnelointi, private access point -tekniikat että laitteisiin liittyviä menetelmiä, kuten esimerkiksi palomuuritekniikat, pääsylistat, virusten 20 torjunta jne. Yhteistä kaikille edellä mainituille menetelmille on se, että haitallinen toiminta kohdistuu pääsääntöisesti kerrokseen L4 ja sen yläpuolelle varsinkin, jos kerroksen L4 (kuljetuskerros) protokollana on yhteydellinen TCP (Transmission Control Protocol).To improve security, there are security methods that are specific to the transmission network, such as VPN (Virtual Private Network), MPLS (Multiprotocol Label Switching), intranet, tunneling, private access point, and device-related methods such as firewall techniques, access lists, virus protection, etc. What is common to all of the above methods is that malicious activity is generally directed to and above L4, especially if the L4 (Transport Layer) protocol is TCP (Transmission Control Protocol).

25 Laitteet, jotka esimerkiksi valvovat erilai sia kohteita ja jotka hälytystilanteissa välittävät tietoa valvontakeskukseen tai vastaanottavat tietoa, ovat toiminnallisesti verraten yksinkertaisia laitteita. Tällaisten laitteiden käyttö tulee kuitenkin olla 30 ehdottoman turvallista. Toisin sanoen, ulkopuolinen luvaton taho ei saa missään tilanteessa päästä käsiksi laitteen ohjaukseen esimerkiksi tietoverkon välityksellä. Edellä mainitusta turvallisuustekijästä johtuen suuri osa valvontalaitteista toimii puhelinverkon vä-35 lityksellä. Puhelinverkossa lähettäjällä ja vastaanottajalla on yksikäsitteiset tunnisteet, joiden väärentäminen on käytännössä mahdotonta.25 Devices which, for example, monitor various objects and which, in the event of an alarm, transmit information to the monitoring station or receive information, are functionally relatively simple devices. However, the use of such devices must be absolutely safe. In other words, an unauthorized third party may never gain access to control of the device, for example through a data network. Due to the aforementioned security factor, a large part of the monitors operate over a telephone network. In the telephone network, the sender and the recipient have unique identifiers, which are virtually impossible to falsify.

33

Toisaalta valvovista laitteista voidaan rakentaa monimutkaisempia ja tietoturvallisempia julkiseen tietoverkkoon (esimerkiksi Internetiin) liittämiseksi. Tällaisessa laitteessa on tyypillisesti käyttö-5 järjestelmä ja joukko sovelluksia, jotka mahdollistavat tietoturvallisemman tavan lähettää tietoa ja vastaanottaa ohjaustietoa julkisesta tietoverkosta. Mutta kuten aiemmin todettiin, käyttöjärjestelmissä ja sovelluksissa on lähes poikkeuksetta tietoturvaan liit-10 tyviä ongelmakohtia. Lisäksi käyttöjärjestelmiä ja sovelluksia pitää käytännössä päivittää jatkuvasti, jotta tietoturvataso pysyy riittävän korkealla tasolla.On the other hand, monitoring devices can be made more complex and secure to connect to a public information network (such as the Internet). Such a device typically has an operating system and a plurality of applications that provide a more secure way of transmitting information and receiving control information from a public data network. But as mentioned earlier, there are almost always security issues in operating systems and applications. In addition, operating systems and applications need to be constantly updated in practice to maintain a high level of security.

Mikäli laite käyttää Internetiä tiedon vastaanottamiseen ja lähettämiseen, laitteen täytyy avata 15 tiettyjä sovellusportteja ulospäin. Tietoturvan kannalta ongelmallista on, jos sovellusportti ilmaisee olemassaolonsa vastaamalla tuntemattomasta lähteestä tulleeseen sanomaan. Yhteydettömän UDP-protokollan (UDP, Unstructured Data Protocol) tapauksessa tunte-20 mattomia lähteitä vastaan on helppo suojautua esimerkiksi siten, että UDP-portista tehdään passivinen. Toisin sanoen, se ei vastaa vastaanottamiinsa sanomiin milllään tavalla.If your device uses the Internet to receive and send information, it must open certain application ports outward. From a security point of view, it is problematic if the application port declares its existence by replying to a message from an unknown source. In the case of the Unstructured Data Protocol (UDP), it is easy to protect against unknown sources, for example, by making the UDP port passive. In other words, it does not respond to the messages it receives in any way.

Yhteydellinen TCP on toiminnaltaan hieman 25 erilainen. Siinä yhteys avataan ensin ja vasta tämän jälkeen alkaa varsinainen datasiirto. Edelleen, TCP-portti koko ajan kuuntelee uusia yhteydenmuodostussa-nomia. Lisäksi vasta yhteyden muodostamisen jälkeen yhteyen ottanut laite voi tunnistaa itsensä. Näin ol-30 Ien käytännössä kuka tahansa voi yrittää muodostaa TCP-yhteyden vastaanottavaan laitteeseen. Yhteydenmuodostuksen seurauksena lähettäjä saa tiedon vastaanottajan IP-numeron/TCP-portin olemassaolosta ja voi häiritä porttia esimerkiksi lähettämällä rajattomalla yh-35 teydenmuodostussanomien tuottamisella (ns. SYN floo ding), haitaten laitteen toimintaa ja varaten laitteen 4 koko yhteyskapasiteetin tai ainakin merkittävän osan yhteyskapasiteetista.Connected TCP has slightly 25 different functions. It opens the connection first, and only after that the actual data transfer begins. Further, the TCP port is constantly listening for new connection setup messages. In addition, it is only after the connection is established that the device making the connection can identify itself. In this way, virtually anyone can try to establish a TCP connection to the receiving device. As a result of the connection, the sender becomes aware of the existence of the recipient's IP number / TCP port and may interfere with the port, for example, by sending unlimited SYN floo Ding messages, disrupting the device operation and reserving the connection capacity of the device 4.

Tunnetun tekniikan ongelmana onkin muun muassa se, miten tehdä julkiseen tietoliikenneverkkoon 5 liitetystä laitteesta turvallinen, mutta samalla toiminnaltaan yksinkertainen. Lisäksi ongelmana on se, miten pystytään avaamaan yhteydellinen sanomaprotokol-layhteys vain tunnistettujen osapuolten kanssa.The problem with prior art is, inter alia, how to make a device connected to the public telecommunications network 5 safe but at the same time simple in its function. Another problem is how to open a message message protocol connection only with identified parties.

10 KEKSINNÖN TARKOITUSPURPOSE OF THE INVENTION

Keksinnön tarkoituksena on poistaa edellä mainitut epäkohdat tai ainakin merkittävästi lieventää niitä. Erityisesti keksinnön tarkoituksena on esittää menetelmä ja laite yhteydellisen protokollayhteyden 15 (esimerkiksi TCP) avaamiseksi päätelaitteeseen niin, että yhteyden avausprosessin alkuvaiheessa yhteyden lopulliseen avaukseen käytettävä portti on vielä kiinni .The object of the invention is to eliminate or at least significantly alleviate the above disadvantages. In particular, it is an object of the invention to provide a method and apparatus for opening a protocol protocol connection 15 (e.g., TCP) to a terminal so that the port used for the final opening of the connection is still closed at the initial stage of the connection opening process.

20 KEKSINNÖN YHTEENVETOSUMMARY OF THE INVENTION

Keksinnön erään näkökulman mukaisesti esitetään menetelmä yhteydellisen protokollayhteyden avaamiseksi. Menetelmässä tallennetaan laitteeseen ainakin yksi lähettäjän tunnistetieto ja avataan laitteesta 25 passiivinen yhteydettömän sanomaprotokollan sovellu- sportti. Termi "passiivinen" tarkoittaa sitä, että avoinna ollessaan portti ei millään tavalla vastaa siihen lähetettyihin sanomiin ja että kaikki muut eri protokollien käyttämättömät portit eivät vastaa mil-30 lään tavoin niihin lähetettyihin sanomiin (pakettei hin) . Tyypillisiä sovelluksia ovat eri protokolla- ja porttiskannerit, jotka perustuvat siihen, että normaalitilanteessa, jos portti ei ole auki, siitä ilmoitetaan lähettäjälle (mm. ICMP-protokolla (Internet Cont-35 rol Message Protocol)). Keksinnön sovelluksessa kaikki 5 tällainen on edullisesti estetty, jolloin mihinkään ennalta tuntemattomaan ei vastata millään tavalla.In accordance with one aspect of the invention, there is provided a method of opening a connection protocol protocol. The method comprises storing at least one sender identification information in the device and opening a passive offline message protocol application device from the device. The term "passive" means that, when open, a port does not in any way respond to messages sent to it, and that all other unused ports in the various protocols do not respond in any way to messages (packets) sent to them. Typical applications include different protocol and port scanners, which are based on the fact that in normal situations, if the port is not open, it is notified to the sender (including Internet Cont-35 rol Message Protocol). In the embodiment of the invention, all 5 of these are preferably blocked, so that no unexpected is answered in any way.

Yhteydettömän sanomaprotokollan sovellusport-tiin vastaanotetaan sanoma, jonka sisältödata käsittää 5 lähettäjän tunnistetiedon. Vastaanotetusta sanomasta tarkistetaan lähettäjän tunnistetieto, ja mikäli yhteydettömän sanomaprotokollan sanoman sisältämä tunnistetieto vastaa laitteeseen ennalta tallennettua lähettäjän tunnistetietoa, sanoman lähettäjän IP-10 lähdeosoite tallennetaan laitteen muistiin ja yhteydellisen sanomaprotokollan ennalta määrätty portti avataan laitteesta. Yhteydetön sanomaprotokolla on edullisesti UDP ja yhteydellinen vastaavasti TCP. Alan ammattimies kuitenkin ymmärtää, että keksinnössä voi-15 daan soveltaa myös muita protokollia.A message with content data comprising the identity of the sender 5 is received in the application port of the offline message protocol. From the received message, the sender identity is checked, and if the identification information contained in the offline message protocol message matches the sender identification information pre-stored in the device, the IP-10 source address of the message sender is stored in the device memory and the predetermined port of the connection message protocol is opened. The context-free message protocol is preferably UDP and context-sensitive TCP, respectively. However, one of ordinary skill in the art will appreciate that other protocols may be applicable to the invention.

Eräässä keksinnön sovelluksessa mainittuun avattuun yhteydellisen sanomaprotokollan porttiin vastaanotetaan sanoma, sanoman lähettäjän IP-osoite tarkistetaan ja sanomaan vastataan, jos IP-osoite vastaa 20 tallennusvaiheessa laitteen muistiin tallennettua IP- osoitetta. Jos IP-osoite ei vastaa tallennusvaiheessa laitteen muistiin tallennettua IP-osoitetta, sanoma hylätään.In one embodiment of the invention, said open port of the on-line message protocol receives a message, checks the IP address of the message sender, and responds to the message if the IP address corresponds to the IP address stored in the device memory in step 20 of storage. If the IP address does not match the IP address stored in the machine's memory at the time of recording, the message will be rejected.

Eräässä keksinnön sovelluksessa yhteydellisen 25 sanomaprotokollan portti suljetaan ennalta määrätyn ajanjakson kuluttua portin avaamisesta.In one embodiment of the invention, the port of the connection 25 message protocol is closed after a predetermined period of time after the port has been opened.

Eräässä keksinnön sovelluksessa sanoman sisältämä lähettäjän IP-osoite poistetaan laitteen muistista mainitun ennalta määrätyn ajanjakson jälkeen.In one embodiment of the invention, the sender's IP address contained in the message is deleted from the device memory after said predetermined period of time.

30 Eräässä keksinnön sovelluksessa vastaanotettu yhteydettömän sanomaprotokollan sanoman on salattu ja yhteydettömän sanomaprotokollan sanoman salaus puretaan ennen tarkistusvaihetta.In one embodiment of the invention, the received message of the offline message protocol is encrypted and the message of the offline message protocol is decrypted before the checking step.

Keksinnön erään toisen näkökulman mukaisesti 35 esitetään laite yhteydellisen protokollayhteyden avaa miseksi. Laite käsittää rajapinnan laitteen yhdistämiseksi julkiseen tietoliikenneverkkoon. Laite edelleen 6 käsittää ensimmäisen muistin, joka on järjestetty tal-lentaamaan ainakin yhden lähettäjän tunnistetiedon, ja prosessointivälineet, jotka on järjestetty avaamaan passiivisen yhteydettömän sanomaprotokollan sovellu-5 sportin, missä sovellusportti on järjestetty vastaan ottamaan yhteydettömän sanomaprotokollan sanoman, jonka sisältödatassa on lähettäjän tunnistetieto. Prosessointivälineet on edelleen järjestetty tarkistamaan lähettäjän tunnistetiedon vastaanotetusta sanomasta ja 10 tallentamaan sanoman sisältämän lähettäjän IP- lähdeosoitteen toiseen muistin, mikäli sanoman sisältämä tunnistetieto vastaa laitteeseen ennalta tallennettua lähettäjän tunnistetietoa, ja avaamaan ennalta määrätyn yhteydellisen sanomaprotokollan portin vas-15 teenä onnistuneelle tarkistukselle.According to another aspect of the invention, there is provided a device for opening a protocol protocol connection. The device comprises an interface for connecting the device to a public telecommunications network. The device further 6 comprises a first memory arranged to store the identity of the at least one sender, and processing means arranged to open a passive offline message protocol application 5, wherein the application port is arranged to receive the offline message protocol message containing the sender information. The processing means are further arranged to check the sender identification information of the received message and 10 store the sender IP source address of the message contained in the second memory if the identification information contained in the message corresponds to the predefined sender identification information in the device and open a predetermined connection message port 15.

Eräässä keksinnön sovelluksessa avattu yhteydellisen sanomaprotokollan portti on järjestetty vastaanottamaan sanoman, ja prosessointivälineet on järjestetty tarkistamaan sanoman sisältämän lähettäjän 20 IP-osoitteen ja vastaamaan sanomaan, jos IP-osoite vastaa tallennusvaiheessa laitteen muistiin tallennettua IP-osoitetta, ja hylkäämään sanomas, jos IP-osoite ei vastaa tallennesvaiheessa laitteen muistiin tallennettua IP-osoitetta.In an embodiment of the invention, the opened port of the communicative message protocol is arranged to receive the message, and the processing means are arranged to check the IP address of the sender 20 contained in the message and reply to the message if the IP address matches the IP address stored in the device memory. corresponds to the IP address stored in the device memory during the recording phase.

25 Eräässä keksinnön sovelluksessa prosessointi- välineet on järjestetty sulkemaan yhteydellisen sanomaprotokollan portin ennalta määrätyn ajanjakson kuluttua portin avaamisesta.In one embodiment of the invention, the processing means are arranged to close the gateway message protocol port for a predetermined period of time after opening the port.

Eräässä keksinnön sovelluksessa prosessointi-30 välineet on järjestetty poistamaan sanoman sisältämän lähettäjän IP-osoitteen laitteen muistista mainitun ennalta määrätyn ajanjakson jälkeen.In one embodiment of the invention, the processing means 30 are arranged to delete the sender's IP address contained in the message from the device memory after said predetermined period of time.

Eräässä keksinnön sovelluksessa vastaanotettu yhteydettömän sanomaprotokollan sanoma on salattu, ja 35 prosessointivälineet on järjestetty purkamaan yh teydettömän sanomaprotokollan sanoman salaus ennen lähettämän tunnistetiedon tarkistamista.In one embodiment of the invention, the received offline message protocol message is encrypted, and the processing means 35 are arranged to decrypt the offline message protocol message before checking the transmitted identification information.

77

Keksinnössä esitetyllä laitteella on globaali staattinen osoite julkisessa tietoliikenneverkossa, esimerkiksi Internetissä. Esillä olevan keksinnön ansiosta päätelaite voidaan tehdä rakenteeltaan ja toi-5 minnoiltaan erittäin yksinkertaiseksi ja edulliseksi. Edelleen, päätelaite automaattisesti hylkää tuntemattomilta osapuolilta vastaanottamansa sanomat eikä se sisällä verkkoon päin automaattisesti kommunikoivia elementtejä. Toisin sanoen, päätelaite voidaan liittää 10 julkiseen tietoliikenneverkkoon (Internet) ilman pelkoa siitä, että päätelaite haavoittuisi sitä vastaan kohdistetuista hyökkäyksistä.The device disclosed in the invention has a global static address in a public telecommunications network, such as the Internet. Due to the present invention, the terminal device can be made very simple in structure and function and inexpensive. Further, the terminal automatically rejects messages received from unknown parties and does not contain elements that automatically communicate to the network. In other words, the terminal can be connected to 10 public telecommunication networks (Internet) without the fear that the terminal would be vulnerable to attacks against it.

Keksinnön yhteenvetona lisäksi todettakoon, että TCP-yhteyttä avattaessa laitteen TCP-15 sovellusportti on kiinni. TCP-yhteyden avaamista pyytävä päätelaite ensin tunnistaa itsensä UDP-protokollan avulla. Vasta tämän jälkeen keksinnön laite avaa TCP-portin ja varmistaa TCP-porttiin saapuvan sanoman lähettäjän.In addition, to summarize the invention, the TCP-15 application port of the device is closed when opening the TCP connection. The terminal requesting the TCP connection first identifies itself using the UDP protocol. Only then does the device of the invention open the TCP port and verify the sender of the message arriving at the TCP port.

20 Keksinnössä esitetyllä menettelyllä pystytään muodostamaan keksinnön mukaiseen laitteeseen yhteydellisen sanomaprotokollan (esimerkiksi TCP) yhteys, vaikka laite ei alkutilanteessa käsitä yhtään avoinna olevaa yhteydellisen sanomaprotokollan porttia. Näin 25 pystytään estämään portin näkyminen julkisessa tietoliikenneverkossa väärille osapuolille.The method of the invention is able to establish a connection-based message protocol (e.g., TCP) connection to a device according to the invention, although the device initially does not comprise any open port of the connection-based message protocol. This will prevent the port from appearing on the public telecommunications network to the wrong parties.

KUVALUETTELOLIST OF FIGURES

Seuraavassa keksintöä selostetaan yksityis-30 kohtaisesti sovellusesimerkkien avulla, jossa: kuvio 1 esittää erään sovelluksen keksinnön mukaisesta järjestelystä; kuvio 2a esittää erään sovelluksen keksinnön mukaisesta menetelmästä; 35 kuvio 2b esittää erään sovelluksen keksinnön mukaisesta menetelmästä; ja 8 kuvio 3 esittää erään sovelluksen keksinnön mukaisesta päätelaitteesta.In the following, the invention will be described in detail by way of example embodiments, in which: Figure 1 illustrates an embodiment of an arrangement according to the invention; Figure 2a illustrates an embodiment of the method according to the invention; Figure 2b shows an embodiment of the method according to the invention; and FIG. 3 shows an embodiment of a terminal according to the invention.

KEKSINNÖN YKSITYISKOHTAINEN SELOSTUSDETAILED DESCRIPTION OF THE INVENTION

5 Kuvio 1 esittää erään sovelluksen keksinnön mukaisesta järjestelystä.Figure 1 shows an embodiment of the arrangement according to the invention.

Kuvio 1 käsittää kolme yhteyden ottavaa päätelaitetta 104, 110 ja 112 ja yhden päätealaitteen 100, johon yhteyttä muodostetaan. Päätelaite 100 on 10 yhdistetty julkiseen tietoliikenneverkkoon 102, jonka kautta päätelaite 100 on osoitettavissa. Tietoliikenneverkko 102 on edullisesti Internet-verkko. Internetin tapauksessa päätelaitteelle 100 on määritelty staattinen IP-osoite (IP, Internet Protocol).Figure 1 comprises three access terminals 104, 110 and 112 and one access terminal 100 to which connection is made. The terminal 100 is connected to the public communications network 102 through which the terminal 100 can be addressed. The telecommunications network 102 is preferably an Internet network. In the case of the Internet, the terminal 100 is assigned a static IP address (IP, Internet Protocol).

15 Kuviossa 1 esitetyt päätelaitteet 104, 110 ja 112 ilmentävät keskenään erilaisia esimerkkejä päätelaitteista ja tilanteista, joista yhteyttä ollaan muodostamassa päätelaitteeseen 100. Päätelaitteelle 104 on määritelty päätelaitteen 100 tavoin globaali staat-20 tinen IP-osoite. Toisin sanoen, tällöin päätelaite 100 näkee lähettäjän lähdeosoitteena todellisen IP-osoitteen (197.56.1.208). Päätelaite 110 on matkaviestinverkon 106 takana oleva päätelaite. Tällaisessa tilanteessa päätelaitteelle 110 on matkaviestinverkon 25 106 toimesta osoitettu dynaaminen globaali IP-osoite (62.11.144.65). Toisin sanoen, päätelaitteelle 110 allokoitu IP-osoite on väliaikainen, mutta samalla kuitenkin globaali tietoliikenneverkossa 102. Kun päätelaite 110 lähettää sanoman päätelaitteelle 100, lähde-30 osoitteena näkyy päätelaitteen 110 todellinen (dynaa minen) IP-osoite. Päätelaite 112 puolestaan on kiinni yritysverkossa 108. Yritysverkon sisällä päätelaitteelle 112 on osoitettu ei-globaali IP-osoite (192.168.1.28). Kun päätelaite 112 lähettää sanoman 35 päätelaitteelle 100, lähdeosoitteena näkyy esimerkiksi yritysverkon palomuurin IP-osoite (212.16.22.112) eikä suinkaan päätelaitteelle 112 allokoitu yritysverkon 9 108 sisäinen IP-osoite (192.168.1.28). Yritysverkko 108 suorittaa päätelaitteen 112 osoitteen "nattauksen" eli osoitemuunnoksen (NAT, Network Address Translation) .Terminals 104, 110, and 112 shown in Figure 1 illustrate with each other different examples of terminals and situations that are being connected to terminal 100. The terminal 104, like terminal 100, is assigned a global static IP address. In other words, the terminal 100 then sees the sender's source address as the actual IP address (197.56.1.208). The terminal 110 is the terminal behind the mobile communication network 106. In such a situation, the terminal 110 is assigned a dynamic global IP address (62.11.144.65) by the mobile communication network 25 106. In other words, the IP address allocated to the terminal 110 is temporary but at the same time global on the network 102. When the terminal 110 sends a message to the terminal 100, the actual (dynamic) IP address of the terminal 110 is displayed as the source-30 address. The terminal 112, in turn, is connected to the corporate network 108. Within the corporate network, the terminal 112 is assigned a non-global IP address (192.168.1.28). When the terminal 112 sends a message 35 to the terminal 100, the source address, for example, is the IP address of the corporate firewall (212.16.22.112) and not the internal IP address of the corporate network 9108 (192.168.1.28) allocated to the terminal 112. The corporate network 108 performs the "addressing" (NAT) of the address of the terminal 112 (Network Address Translation).

5 Keksinnön toimintaa kuvataan nyt tarkemmin viitaten kuvioon 2a, missä esitetään eräs esimerkki keksinnön mukaisesta menetelmästä. Kuvion 2a selityksessä käytetään apuna kuvion 1 viitenumerolta.The operation of the invention will now be described in more detail with reference to Figure 2a, which shows an example of a method according to the invention. 2a, the reference numeral of FIG.

Keksinnön mukaiseen laitteeseen 100 on en-10 naita tallennettu yksi tai useampi lähettäjän päätelaitteen tunnistetieto. Ennalta tallentaminen viittaa esimerkiksi siihen, että laitteen 100 konfigurointi-vaiheessa siihen tallennetaan tiedot niistä osapuolista (muista laitteista), jotka on oikeutettu viestimään 15 laitteen 100 kanssa. Eräässä toisessa keksinnön sovel luksessa lähettävien päätelaitteiden tunnistetietoja voidaan tallentaa laitteeseen varsinaisen alkukonfigu-roinnin jälkeen. Tunnistetieto on edullisesti jokin muu tunnistetieto kuin lähettäjän IP-osoite, esimer-20 kiksi numerosarja, kirjainsarja tai näiden yhdistelmä.The device 100 according to the invention stores one or more identification data of the sender's terminal device en-10. For example, pre-recording refers to the fact that in the configuration step of the device 100, information about the parties (other devices) authorized to communicate with the device 100 is stored therein. In another embodiment of the invention, the identity of the transmitting terminals may be stored in the device after the actual initial configuration. Preferably, the identifier is any identifier other than the sender's IP address, e.g., a numeric sequence, a series of letters, or a combination thereof.

Tunnistetiedon tarkoituksena on tunnistaa tunnistetiedon sisältävän sanoman oikea lähettäjä riippumatta siitä, mistä IP-osoitteesta sanoma tosiasiassa tulee. Edelleen, laitteesta 100 on avattu yksi tai useampi 25 yhteydettömän sovellusprotokollan sovellusportti. Täs sä esimerkissä yhteydetön sovellusprotokolla on UDP, mutta alan ammattimies ymmärtää, että protokollana voidaan käyttää mitä tahansa nykyistä tai tulevaa yhteydetöntä protokollaa. Avattu sovellusportti on edul-30 lisesti ennalta määrätty, jotta lähettävä päätelaite (esimeriksi päätelaite 112) tietää, mihin laitteen 100 porttiin tietoa pitää lähettää.The purpose of the identifier is to identify the correct sender of the message containing the identifier, regardless of the IP address from which the message actually originates. Further, one or more application port 25 of the offline application protocol is opened from device 100. In this example, the offline application protocol is UDP, but one skilled in the art will appreciate that any current or future offline protocol may be used as the protocol. The opened application port is preferably predetermined so that the transmitting terminal (e.g., terminal 112) knows which port 100 of the device to send information to.

Vaiheessa 200 laite 100 vastaanottaa UDP-sanoman. Tässä esimerkissä oletetaan, että UDP-sanoma 35 on peräisin kuvion 2a päätelaitteelta 112. UDP-paketti sisältää lähettävän osapuolen tunnistetiedon. Edellä esitetyn mukaisesti tunnistetiedolla ei tarkoiteta pa- 10 ketin sisältämää lähteen IP-osoitetta, vaan erillistä, paketin sisältödatassa olevaa tunnistetietoa. Vaiheessa 202 laite 100 tarkistaa UDP-paketin sisältödatasta mainitun lähettäjän tunnistetiedon. Jos tunnistetietoa 5 ei löydy laitteen 100 muistista, vastaanotettu UDP- sanoma hylätään automaattisesti (vaiheet 204 ja 210). Tunnistetiedon puuttuminen laitteen 100 muistista tarkoittaa sitä, että tällaisen tunnisteen sisältävän UDP-paketin lähettäjä ei ole oikeutettu lähettämään 10 dataa laitteelle 100. Jos vaiheessa 204 UDP-paketin sisältämä lähettäjän tunnistetieto löytyy laitteen 100 muistista, UDP-sanoman lähdeosoite (protokollakehykse sisältämä lähettäjän IP-osoite) tallennetaan laitteen muistiin (vaihe 206). Tässä esimerkissä laite 100 tal-15 lentäisi muistiinsa IP-osoitteen 212.16.22.112. Huo mattakoon, että laite 100 tallentaa muistiinsa UDP-sanoman lähdeosoitteen (tässä tapauksessa palomuurin IP-osoitteen) eikä päätelaitteen 112 todellista IP-osoitetta. Itse asiassa laite 100 ei voi edes tietää, 20 mikä IP-osoite päätelaitteelle 112 on määritetty, kos ka päätelaitteen 112 IP-osoite ei ole globaali vaan ainoastaan paikallisesti määritelty osoite.In step 200, the device 100 receives a UDP message. In this example, it is assumed that the UDP message 35 is derived from Figure 2a, the terminal device 112. The UDP packet contains identification information of the sending party. As described above, the identification information does not refer to the source IP address contained in the packet, but to the individual identification information contained in the packet content data. In step 202, the device 100 checks the UDP packet content data for said sender identification. If the identification information 5 is not found in the memory of the device 100, the received UDP message is automatically rejected (steps 204 and 210). The absence of identification information from the device 100 means that the sender of a UDP packet containing such an identifier is not authorized to send 10 data to the device 100. If the sender identification information contained in the UDP packet is found in the device 100 in step 204, the source address of the UDP message ) is stored in the device memory (step 206). In this example, device 100 tal-15 would fly into its memory the IP address 212.16.22.112. Note that the device 100 stores in its memory the source address of the UDP message (in this case, the firewall's IP address) and not the actual IP address of the terminal 112. In fact, the device 100 cannot even know which IP address is assigned to the terminal 112, since the IP address of the terminal 112 is not a global but only locally determined address.

Lopuksi vaiheessa 208 avataan yhteydellisen sanomaprotokollan ennalta määrätty sovellusportti. Yh-25 teydellinen sanomaprotokolla on edullisesti TCP, mutta mutta alan ammattimies ymmärtää, että protokollana voidaan käyttää mitä tahansa nykyistä tai tulevaa yhteydellistä protokollaa.Finally, in step 208, a predetermined application port of the context-sensitive message protocol is opened. The preferred message protocol of Yh-25 is preferably TCP, but one skilled in the art will appreciate that any current or future connection protocol may be used as the protocol.

Eräässä sovelluksessa kuviossa 2a esitetyllä 30 tavalla avattua TCP-porttia pidetään avoinna vain ennalta määrätyn ajanjakson ajan. Mikäli mainitun ennalta määrätyn ajanjakson aikana aiemmin UDP-porttiin sanoman lähettänyt päätelaite ei lähetä TCP-porttiin sanomaa, portti suljetaan.In one embodiment, the TCP port opened in the manner shown in Figure 2a is kept open only for a predetermined period of time. If the terminal that previously sent the message to the UDP port does not send a message to the TCP port during the predetermined time period, the port will be closed.

35 Kuviossa 2a esitetyssä keksinnön sovellukses sa TCP-portti avataan ainoastaan, jos laite vastaanottaa lähettävän päätelaitteen tunnistetiedon sisältävän 11 UDP-sanoman ja jos sama tunnistetieto on tallennettu vastaanttavaan laitteeseen ennalta.In the embodiment of the invention shown in Figure 2a, the TCP port is opened only if the device receives an 11 UDP message containing the identity of the transmitting terminal and if the same credential is previously stored on the receiving device.

Eräässä kuvion 2a sovelluksessa laitteen 100 päätelaitteelta 112 vastaanottama UDP-paketti on sa-5 lattu jollain ennalta määrätyllä salausmenetelmällä, esimerkiksi aikasidonnaisella salauksella. Laitteet 100 ja 112 on aiemmin voitu tahdistaa samaan aikakan-taan, ja käytetty salaus (salausavain) perustuu siihen, että laitteet käyvät olennaisesti samassa aika-10 kannassa. Toisin sanoen, eräässä keksinnön sovelluk sessa laitteen 100 vastaanottama UDP-sanoma on aikariippuvainen eli UDP-sanoma on "voimassa" vain ennalta määrätyn ajanjakson verran. Kun käytetään aikasidon-naista salausmenettelyä, mikään muu laite ei käytän-15 nössä voi lähettää hyväksyttävää UDP-sanomaa. Ja vaikka UDP-sanoma pystyttäisiinkin kopioimaan, kopioitu sanoma on hyödytön aikasidonnaisuuden takia, ja laite 100 hylkää tällaisen sanoman. Vastaaottava päätelaite muodostaa salauksen purkuavaimen käyttäen hyväksi pää-20 telaitteen aikalaskurin arvoa sanoman vastaanottohet- kellä ja purkaa salauksen aikalaskurin arvon perusteella muodostetun purkuavaimen avulla.In one embodiment of Figure 2a, the UDP packet received by the device 100 from the terminal 112 is encrypted by some predetermined encryption method, for example, time-bound encryption. Devices 100 and 112 may have previously been synchronized to the same time domain, and the encryption used (encryption key) is based on the fact that the devices run in substantially the same time-10 socket. In other words, in one embodiment of the invention, the UDP message received by the device 100 is time dependent, i.e., the UDP message is "valid" for a predetermined period of time. When a time-bound encryption procedure is used, no other device in practice can send an acceptable UDP message. And even if the UDP message could be copied, the copied message is useless due to time-relatedness, and the device 100 rejects such a message. The receiving terminal generates a decryption key, utilizing the value of the time counter of the terminal 20 at the time of receiving the message, and decrypts by means of a decryption key formed on the basis of the value of the time counter.

Eräässä sovelluksessa päätelaite täytyy ensin tahdistaa samaan aikaa aikareferenssipäätelaitteen 25 kanssa. Aikareferenssipäätelaite käy jotain aikarefe- renssiä, joka inkrementoituu tasaisin välein. Aikare-ferenssiä voi ylläpitää esimerkiksi UCT-kello, DCF77-vastaanotin, GPS-vastaanotin (GPS, Global Positioning System) tai mikä tahansa muu tarkoitukseen sopiva jär-30 jestely. Laskentaväli on esimerkiksi 0.1 s tai mikä tahansa muu sopiva aikaväli. Ajan absoluuttisella arvolla ei tässä tapauksessa ole väliä.In one embodiment, the terminal must first be synchronized with the time reference terminal 25. The time reference terminal operates at some time reference which is incremented at regular intervals. The time ferrule may be maintained, for example, by a UCT clock, a DCF77 receiver, a GPS receiver (GPS, Global Positioning System) or any other suitable arrangement. The counting interval is, for example, 0.1 s or any other suitable time interval. The absolute value of time does not matter in this case.

Kun päätelaite käynnistyy ja alustaa itsensä, se lähettää UDP-sanoman aikareferenssipäätelaitteelle. 35 Sanoman nettodatassa on aikapyyntö sekä viite (lähet- täjätunniste) vastaanottajan IP-osoitetaulukkoon. Viite on määritelty siksi, että aikareferenssipäätelaite 12 vastaa vain niille päätelaitteille, jotka on määritelty taulukkoon. Jos aikareferenssipäätelaite vastaanottaa tunnistamattoman sanoman, sanoma voidaan automaattisesti hylätä. Vastaavasti jos joku "teeskentelee" 5 lähettäjää, se ei tule saamaan vastausta lähettämäänsä sanomaan.When the terminal starts up and initializes itself, it sends a UDP message to the time reference terminal. 35 The message net data contains a time request and a reference (sender identifier) to the recipient's IP address table. The reference is defined because the time reference terminal 12 responds only to those terminals specified in the table. If the time reference terminal receives an unrecognized message, the message may be automatically rejected. Similarly, if someone "pretends" to 5 senders, they will not receive an answer to the message they sent.

Vasteena aikareferenssipyynnön vastaanottamiselle, aikareferenssipäätelaite lähettää sen hetkisen aikareferenssiarvonsa aikareferenssiä pyytäneelle pää-10 telaitteelle. Jos sanoman välittäminen päätelaitteelle kestää esimerkiksi 20 ms, päätelaitteen kello on näin ollen 20 ms jäljessä aikareferenssipäätelaitteen kellosta. Näin pieni aikaero ei ole oleellinen menetelmän toiminnan kannalta.In response to the receipt of the time reference request, the time reference terminal transmits its current time reference value to the terminal 10 requesting the time reference. For example, if the transmission of the message to the terminal takes 20 ms, the terminal clock is thus 20 ms behind the clock of the time reference terminal. Such a small time difference is not essential to the operation of the method.

15 Kun päätelaite vastaanottaa aikareferenssisa- noman aikareferenssipäätelaitteelta, päätelaite asettaa aikalaskurinsa sanomassa olevan aikareferenssin mukaiseksi. Aikareferenssisanoma voi edelleen sisältää lähettäjätunnisteen, jonka perusteella päätelaite voi 20 lopullisesti varmistua siitä, että aikareferenssisano- ma oikeasti tuli aikareferenssipäätelaitteelta. Jos päätelaite jostain syystä vastaanottaa aikareferenssi-sanoman, vaikka se ei ole aikareferenssiä pyytänyt, vastaanotettu sanoma voidaan automaattisesti hylätä. 25 Aikareferenssiin saamiseen liittyvät sanomat voidaan salata, mutta salaaminen ei kuitenkaan ole välttämätöntä .When the terminal receives the time reference message from the time reference terminal, the terminal sets its time counter according to the time reference in the message. The time reference message may further include a sender identifier which allows the terminal 20 to ascertain definitively that the time reference message actually came from the time reference terminal. If, for any reason, the terminal receives a time reference message even though it has not requested a time reference, the received message may be automatically rejected. 25 Messages related to obtaining a time reference can be encrypted, but encryption is not necessary.

Päätelaitteen muistiin on voitu tallentaa ennalta määrätty järjestys päätelaitteille, joille aika-30 referenssipyyntö voidaan lähettää. Jos prioriteetti- järjestyksessä ylempänä olevalle päätelaitteelle lähetetty aikareferenssipyyntö ei tuota vastausta, aikareferenssiä voidaan pyytää prioriteettijärjestyksessä seuraavalta olevalta päätelaitteelta. Alan ammattimie-35 helle on ilmeistä, että sanomien salauksessa voidaan käyttää mitä tahansa esimerkiksi symmetriseen ja epä- 13 symmetriseen salaukseen perustuvaa tekniikkaa tai algoritmia .The terminal memory may have stored a predetermined order of terminals to which the time-30 reference request can be sent. If the time reference request sent to the upstream terminal does not respond, the time reference may be requested from the next upstream terminal. It will be apparent to those skilled in the art that any technology or algorithm based on, for example, symmetric and asymmetric encryption may be used to encrypt the messages.

Kuviossa 2b esitetään keksinnön eräs sovellus, joka jatkaa kuvion 2a suoritusta.Figure 2b shows an embodiment of the invention which continues the execution of Figure 2a.

5 Kun hyväksyttävä lähettäjä on kuvion 2a mu kaisesti lähettänyt laitteelle 100 UDP-sanoman ja UDP-sanoma on hyväksytty, lähettäjä (esimerkiksi päätelaite 112) aloittaa TCP-yhteyden avausprosessin laitteeseen 100. Vaiheen 250 mukaisesti laite 100 vastaanot-10 taa päätelaitteelta 112 aiemmin avattuun TCP-porttiin sanoman. Sanoma on edullisesti TCP-yhteyden aloitussa-noma (SYN-pyyntö). Tämän jälkeen laite 110 tarkistaa sanoman lähettäjän IP-osoitteen (vaihe 252). IP-osoite tarkistetaan TCP-sanomarakenteen lähettäjäkentästä 15 (protokollakehyksestä) . Tässä tapauksessa TCP-sanoman lähetysosoitteena näkyy IP-osoite 212.16.22.112 (yritysverkon 108 palomuurin IP-osoite). Koska päätelaite 112 on yritysverkossa ja sillä on ainoastaan yritysverkon sisällä oleva uniikki IP-osoite (192.168.1.28), 20 päätelaitteen 112 oikea IP-osoite muuntuu yritysver kosta 108 poispäin lähdettäessä esimerkiksi palomuurin IP-osoitteeksi (tässä tapauksessa 212.16.22.112).2a, after the UDP message has been sent to the device 100 according to Fig. 2a and the UDP message has been accepted, the sender (e.g., the terminal 112) initiates the TCP connection opening process to the device 100. According to step 250, the device 100 receives port. Preferably, the message is a TCP connection initiation message (SYN request). The device 110 then checks the message sender IP address (step 252). The IP address is checked from the sender field 15 (protocol frame) of the TCP message structure. In this case, the IP address 212.16.22.112 (the firewall IP address of the corporate network 108) is displayed as the transmission address of the TCP message. Because the terminal 112 is on a corporate network and has only a unique IP address within the corporate network (192.168.1.28), the correct IP address of the 20 terminals 112 is converted, for example, to the firewall IP address (ex 212.16.22.112) when leaving the corporate network 108.

Vaiheessa 252 laite 100 tarkistaa, onko laite 100 aiemmin tallentanut muistiinsa samaisen IP-25 osoitteen (kuvion 2a vaihe 206) . Mikäli IP-osoitetta ei löydy, TCP-yhteyden aloitussanoma hylätään (vaiheet 254 ja 258). Mikäli IP-osoite löytyy laitteen 100 muistista, laite 100 vastaa TCP-yhteyden aloitussano-maan (vaiheet 254 ja 256), ja näin laitteiden 100 ja 30 112 välille muodostetaan TCP-yhteys. Yritysverkon 108 palomuuri voi muodostaa päätelaitteelle 112 ns. refleksiivisen portin, jolle laite 100 muodostaa ns. so-ketin (soketti = IP-osoite + portti). Näin TCP-yhteyttä voidaan käyttää molempiin suuntiin. Huomatta-35 koon kuitenkin, että TCP-yhteyden avaajana voi tässä esimerkissä toimia ainoastaan päätelaite 112, koska sillä ei tässä esimerkissä ole globaalia IP-osoitetta.In step 252, device 100 checks if device 100 has previously stored the same IP-25 address in its memory (step 206 of FIG. 2a). If no IP address is found, the TCP connection start message is rejected (steps 254 and 258). If the IP address is found in the memory of the device 100, the device 100 responds to the TCP connection start message (steps 254 and 256), thereby establishing a TCP connection between the devices 100 and 30112. Firewall of enterprise network 108 may establish a so-called firewall for terminal 112. a reflex port on which the device 100 forms a so-called. socket (blind = IP address + port). This way you can use TCP in both directions. Note, however, that only terminal 112 can act as a TCP connection opener in this example because it does not have a global IP address in this example.

1414

Toiminnallisuutta itse soketteihin (eng. socket, niiden luomista, ylläpitoa jne.) liittyen ei tässä yhteydessä kuvata tarkemmin, koska alan ammattimies on tietoinen tästä toiminnallisuudesta.The functionality with regard to the sockets themselves (creation, maintenance, etc.) is not described in detail herein, as one skilled in the art is aware of this functionality.

5 TCP-yhteyden muodostamisen jälkeen laite 100 voi kontrolloida määräaikoina yhteyden olemassaoloa päätelaitteeseen 112 päin lähettämällä yhteydellä tes-tauspaketin. Näin tulee testattua sekä muodostetun so-ketin että muodostetun refleksiivisen portin toiminta. 10 On mahdollista, että TCP-yhteys laitteiden välillä katkeaa syystä tai toisesta. Esimerkiksi palomuurissa voi olla yhteyden aikavalvonta, joka purkaa yhteyden, jos yhteydellä ei ole ollut tiettynä ajanjaksona liikennettä. Tällöin, mikäli huomataaan, että yhteys 15 laitteiden välillä on katkennut, päätelaite 112 aloittaa yhteydenmuodostuksen laitteeseen 100 uudelleen kuviossa 2a esitetyllä tavalla.After establishing a TCP connection, the device 100 may periodically control the existence of a connection to the terminal 112 by sending a test packet over the connection. In this way, the function of both the formed socket and the formed reflex port must be tested. 10 It is possible that the TCP connection between the devices is lost for one reason or another. For example, a firewall may have a connection timeout that terminates the connection if the connection has not been in traffic for a certain period of time. In this case, if it is noticed that the connection between the devices 15 has been interrupted, the terminal 112 will resume the connection to the device 100 as shown in Fig. 2a.

Kuvio 3 esittää erään esimerkin keksinnön mukaisesta laitteesta 308. Käytännössä laite 308 voi ol-20 la mikä tahansa laite, jonka toimintaan kuuluu, että vain ennalta määrätyt toiset päätelaitteet voivat muodostaa siihen yhteyden.Figure 3 illustrates an example of a device 308 according to the invention. In practice, device 308 may be any device whose operation involves only predetermined second terminals being able to communicate with it.

Laite 308 käsittää prosessointivälineet 300, jotka on yhdistetty muistiin 302 ja rajapintaan 304. 25 Päätelaite 308 voidaan haluttaessa rakentaa hyvin yksinkertaiseksi eikä siinä välttämättä lainkaan tarvita yleisimpiä monimutkaisia käyttöjärjestelmiä. Eräässä sovelluksessa riittää, että laitteessa ja UDP- ja TCP-protokollapinot. Prosessointivälineet 300 ohjaavat 30 laitteen 308 toimintaa muistiin 302 tallennetun yhden tai useamman sovelluksen ohjaamana. Muistiin 302 on lisäksi tallennettu yksi tai useampi tunnistetieto, joka viittaa toisiin päätelaitteisiin, joista tulevat viestit ovat sallittuja. Muisti 302 itsessään voi vii-35 tata yhteen tai useampaan erilliseen muistiin. Lisäksi jokin muisteista voi olla myös prosessointivälineiden 300 sisäistä muistia. Muistityyppinä voidaan käyttää 15 mitä tahansa sopivaa haihtuvaa tai haihtumatonta muis-tityyppiä.The device 308 comprises processing means 300 connected to the memory 302 and the interface 304. The terminal 308 may, if desired, be very simple to construct and not necessarily require the most common operating systems. In one application, it is sufficient to have both UDP and TCP protocol stacks on the device. The processing means 300 control the operation of the device 308 under the control of one or more applications stored in the memory 302. The memory 302 further includes one or more credentials referring to other terminals from which messages are allowed. The memory 302 itself may carry 35 or more separate memories. In addition, one of the memories may also be the internal memory of the processing means 300. Any suitable volatile or nonvolatile memory type may be used as the memory type.

Sanomarajapinnan 304 kautta laite 308 vastaanottaa UDP- ja TCP-sanomia tietoliikenneverkosta.Via message interface 304, device 308 receives UDP and TCP messages from a communication network.

5 Rajapinta 304 voi viitata pelkästään fyysiseen laite-rajapintaan tietoliikenneverkkoon päin tai fyysisen ja ohjelmistollisen rajapinnan yhdistelmään. Sanomaraja-pinnan 304 kautta muut päätelaitteet voivat saada yhteyden laitteeseen 308 UDP- ja TCP-porttien kautta. 10 Kuten edellä on selitetty, laitteesta 308 ulospäin avattu UDP-portti tai UDP-portti on passiivinen eivätkö lähetä minkäänlaista vastausta vastaanottamiinsa sanomiin. Edelleen, kuten aiemmin on esitetty, edullisessa sovelluksessa laitteesta ei normaalitilassa ole 15 ulospäin auki yhtään TCP-porttia, vaan TCP-portti avataan edellä kuviossa 2a esitetellyllä menetettelyllä.Interface 304 may refer only to a physical device interface towards a communication network or a combination of a physical and software interface. Via the message boundary interface 304, other terminals can access the device 308 via UDP and TCP ports. As explained above, the UDP port or UDP port opened from the device 308 is inactive and does not send any response to the received messages. Further, as previously described, in a preferred embodiment, no TCP port is open outwardly from the device in normal mode, but the TCP port is opened following the procedure outlined in Figure 2a above.

Kuviossa 3 on myös esitetty, että laite 308 voi sisältää toisen rajapinnan 306 esimerkiksi valvottavaan kohteeeseen (mikäli laitetta 308 käytetään val-20 vovana laitteena). Tällöin valvontarajapinnan 306 kautta vastaanotettuna signaaleja voidaan välittää eteenpäin muodostettua TCP-yhteyttä pitkin. Alan ammattimies kuitenkin ymmärtää, että laitetta voidaan käyttää missä tahansa muussa sovellusympäristössä. 25 Laite 100 voi eräässä keksinnön sovelluksessa toimia valvovana laitteena ja eräässä toisessa keksinnön sovelluksessa valvontatietoa vastaanottavEräässä toisessa sovelluksessa laite ei lainkaan sisällä erityistä valvontaraj apintaa.Figure 3 also shows that device 308 may include a second interface 306, for example, to a target to be monitored (if device 308 is used as a monitoring device). In this case, when received through the monitoring interface 306, the signals can be transmitted over a TCP connection established. However, one of ordinary skill in the art will appreciate that the device can be used in any other application environment. In one embodiment of the invention, the device 100 may function as a monitoring device and in another embodiment of the invention, the device may not include any specific monitoring limit.

30 Alan ammattimies lisäksi ymmärtää, että kek sinnössä esitetty laite ei ole rajoitettu pelkästään sovelluksiin, joissa päätelaite toimii valvovana laitteena tai valvontatietoa vastaanottavana laitteena. Sen sijaan, keksinnön mukaista laitetta voidaa sovel-35 taa missä tahansa ympäristössä, jossa halutaan muodostaa TCP-yhteys kahden toisensa tunnistavan osapuolen välille. Keksinnön sovellukset voivat käsittää esimer- 16 kiksi palvelimia, työasemia, kannettavia tietokoneita, PDA-laitteita (PDA, Personal Digital Assistant), mo-biileja laitteita, matkapuhelimia, langattomia laitteita ja vastaavia, jotka pystyvät suorittamaan kek-5 sinnön esimerkinomaisia sovelluksia. Keksinnön sovelluksissa käytetyt laitteet, sovellukset tai järjestelmät voivat kommunikoida toistensa kanssa käyttämällä mitä tahansa sopivaa protokollaa.In addition, one of ordinary skill in the art will appreciate that the device disclosed in the invention is not limited to applications where the terminal acts as a monitoring device or as a receiving device for monitoring information. In contrast, the device according to the invention voidaa application 35-TAA in any environment where it is desirable to establish a TCP connection between two parties which identify each other. Applications of the invention may include, for example, servers, workstations, laptops, PDAs (Personal Digital Assistant), mobile devices, mobile phones, wireless devices, and the like, capable of performing exemplary applications of the invention. The devices, applications, or systems used in the embodiments of the invention may communicate with each other using any suitable protocol.

Yhtä tai useampaa rajapintamekanismia voidaan 10 käyttää keksinnön sovelluksissa, sisältäen esimerkiksi Internetin, tietoliikenteen missä tahansa muodossa käyttäen mitä tahansa sopivaa tietoliikenneverkkoa. Käytetyt tietoliikenneverkot tai linkit voivat sisältää yhden tai useamman langattoman verkon, 3G-15 matkaviestinverkon, puhelinverkon (PSTN, Public Switched Telephone Network), pakettidataverkon, Internetin, intranetin tai joidenkin näiden yhdistelmän.One or more interface mechanisms may be used in embodiments of the invention, including, for example, the Internet, in any form of communication using any suitable communication network. The telecommunications networks or links used may include one or more wireless networks, a 3G-15 mobile network, a public switched telephone network (PSTN), a packet data network, the Internet, an intranet, or a combination thereof.

Alan ammattimies ymmärtää, että esitetyt keksinnön sovellukset ovat vain esimerkinomaisia sovel-20 luksia, ja esimerkinomaisen sovelluksen yksi tai use ampi komponentti voidaan toteuttaa yhdellä tai useammalla laitteistolla ja/tai ohjelmistolla. Esimerkinomaiset sovellukset voivat tallentaa tietoa liittyen erilaisiin prosesseihin esimerkiksi yhteen tai use-25 ampaan muistiin, kuten kovalevylle, optiselle levylle tai muihin vastaaviin muisteihin.It will be appreciated by those skilled in the art that the embodiments of the invention disclosed are exemplary only, and that one or more components of the exemplary embodiment may be implemented by one or more hardware and / or software. Exemplary applications may store information related to various processes, for example, in one or more memory, such as a hard disk, optical disk, or the like.

Kaikki tai osa esimerkinomaisista sovelluksista voidaan toteuttaa käyttämällä yhtä tai useampaa yleiskäyttöistä prosessoria, mikroprosessoria, mikro-30 kontrolleria tai vastaavaa, joka on ohjelmoitu toteut taa keksinnön sovelluksia. Edelleen, keksinnön esimerkinomaiset sovellukset voidaan toteuttaa esimerkiksi ASIC-piireillä (ASIC, Application Specific Integrated Circuit). Siten keksinnön esimerkinomaiset sovellukset 35 eivät ole rajoitettuja ainoastaan tietyn laitteiston ja/tai ohjelmiston yhdistelmään.All or some of the exemplary embodiments may be implemented using one or more general-purpose processors, microprocessors, micro-controllers, or the like, programmed to implement embodiments of the invention. Further, exemplary embodiments of the invention may be implemented, for example, with Application Specific Integrated Circuits (ASICs). Thus, exemplary embodiments 35 of the invention are not limited to a particular combination of hardware and / or software.

1717

Yhdelle tai useammalle tiedon tallenusväli-neelle tallennettuna keksinnön esimerkinomaiset sovellukset voivat sisältää ohjelmiston esimerkinomaisten sovellusten komponenttien ohjaamiseksi. Tällainen oh-5 jelmisto voi sisältää esimerkiksi laitteistoajureita, firmware-sovelluksia, käyttöjärjestelmiä ja vastaavia.Exemplary applications of the invention, stored on one or more data storage media, may include software for controlling components of exemplary applications. Such software may include, for example, hardware drivers, firmware applications, operating systems, and the like.

Kuten yllä todettiin, esimerkinomaisten sovellusten komponentit voivat sisältää tietokoneella tai muulla laitteella luettavissa olevan välineen tai 10 muisteja esillä olevan keksinnön mukaan ohjelmoitujen käskyjen tallentamiseksi. Luettavissa oleva väline tai muisti voi olla mikä tahansa tunnettu tallenusväline.As noted above, the components of exemplary applications may include computer or other device readable means or memories for storing instructions programmed in accordance with the present invention. The readable medium or memory may be any known storage medium.

Keksintöä ei rajata pelkästään edellä esitettyjä sovellusesimerkkejä koskevaksi, vaan monet muun-15 nokset ovat mahdollisia pysyttäessä patenttivaatimusten määrittelemän keksinnöllisen ajatuksen puitteissa.The invention is not limited solely to the above exemplary embodiments, but many other modifications are possible within the scope of the inventive idea defined by the claims.

Claims

A method of opening a protocol protocol connection, characterized in that the method comprises 5 steps: storing at least one sender identification information in the device; opening a passive application-free word-mapping protocol application port from the device; 10 receiving, at the application port of the offline message protocol, a message whose content data comprises the sender's identification information; verifying, from the received message, the identity of the sender; and if the identifier-15 information contained in the message corresponds to the sender's identification information pre-stored in the device; storing the IP address of the message sender in the device memory; and opening a predetermined port of the on-line message protocol.

The method of claim 1, further comprising: receiving a message at said opened communication message protocol port; 25 verifying the IP address of the message sender; replying to a message if the IP address matches the IP address stored in the device memory during the recording step; or discard the message if the IP address does not match the IP address stored in the device memory during the save phase.

The method of claim 1 or 2, further comprising: closing port 35 of the on-line message protocol after a predetermined period of time after opening the port.

The method of claim 3, further comprising: deleting the sender's IP address contained in the offline message protocol message from the device memory after said predetermined period of time.

The method according to any one of claims 1 to 4, wherein the received offline message protocol message is encrypted and the method further comprises: decrypting the offline message protocol message before the checking step.

An apparatus for opening a protocol protocol connection, the apparatus (308) comprising: an interface (304) for connecting the apparatus (308) to the public communications network (102); characterized in that the device (308) further comprises: a first memory (302) arranged to store at least one sender identification information; 20 processing means (300) configured to open the passive offline message protocol application port, wherein the application port is arranged to receive the offline message protocol message whose content data comprises sender identifier information; and wherein the processing means (300) are configured to check the sender identification information of the received offline message protocol message and store the message sender IP address memory (302) 30 if the identification information contained in the message matches the predefined sender identity information stored in the device.

The apparatus of claim 6, wherein: the opened port of the on-line message protocol is arranged to receive the message; and processing means (300) arranged to check the IP address of the message sender of the connection message protocol and reply to the message if the IP address matches the IP address stored in the device memory 5 (302), or to reject the message if the IP address does not match the device and an IP address stored in the memory (302).

Device according to Claim 6 or 7, characterized in that: 10 processing means (300) are arranged to close the port of a land-based message protocol after a predetermined period of time after the port has been opened.

The device of claim 8, characterized in that: 15 processing means (300) are arranged to remove the IP address of the sender of the land-based message protocol message from the device memory (302) after said predetermined period of time.

Device according to any one of the preceding claims 6 to 20, characterized in that if the received offline message protocol message is encrypted, the processing means (300) are arranged to decrypt the offline message protocol message before checking the transmitted identification information. 25