MXPA06002182A

MXPA06002182A - Prevencion del acceso no autorizado de recursos de red de computadora.

Info

Publication number: MXPA06002182A
Application number: MXPA06002182A
Authority: MX
Inventors: Jens-Christian Jorgensen
Original assignee: Motorola Inc
Priority date: 2003-08-28
Filing date: 2004-06-29
Publication date: 2006-05-22
Also published as: EP1661358B1; AU2004302606B2; GB0320057D0; KR20060060717A; AU2004302606A1; CN1846421A; BRPI0413989A; DE602004025361D1; GB2405561A; US20080046973A1; CN1846421B; EP1661358A1; ATE456893T1; KR100789123B1; WO2005022860A1; GB2405561B

Abstract

Un sistema de seguridad de la red de computadora (100) que comprende un dispositivo de transporte de red (102), un Controlador de Dominio (104), y por lo menos un recurso de red (106) y al menos un cliente (108) esta conectado operativamente a un medio para monitorear la autentificacion (110) que se conecta a dicho dispositivo de transporte de red 102. Si dicho cliente 108 se localiza en un lugar remoto de un dominio controlado por dicho Controlador de Dominio 104.

Description

PREVENCIÓN DEL ACCESO NO AUTORIZADO DE RECURSOS DE RED DE COMPUTADORA Campo del Invento La presenta invención se refiere en general a sistemas de seguridad de datos, y en particular a un sistema y un método para prevenir el acceso no autorizado de recursos de la red.

Antecedentes del Invento Con la llegada de redes de computadora y en particular la Internet, los usuarios de computadora conectados a estas redes tienen acceso a una gran variedad de recursos. Estos recursos son documentos, archivos, datos técnicos y financieros asi como otro contenido electrónico. Desde un punto de vista, dicho acceso remoto o local a recursos nos da la posibilidad de utilizar estos recursos independientemente de su localización. Desde otro punto de vista, debido a que en la mayoría de los casos estos recursos son vitales para sus dueños, se produce un riesgo cuando otras personas no autorizadas tienen acceso a ellos. Desde u punto de vista técnico, estos recursos son proporcionados por los proveedores de la red, quienes operan bajo el control de sistemas operativos. ün cliente remoto o local necesita tener acceso a un recurso, envía una petición al servidor, y en respuesta, el servidor envía el recurso (da acceso) al cliente remoto o local. Debido a que la mayoría de los recursos son valiosos e importantes, se puede tener acceso a ellos únicamente por clientes remotos o locales autorizados. Un método de autentificación del cliente remoto o local es un requisito de entrada correcta del nombre y contraseña del usuario. Únicamente esos clientes remotos o locales que pasen la autentificación, pueden tener acceso al recurso. Un esquema de nombre de usuario-contraseña es un mecanismo de autentificación que permite al servidor restringir el acceso a clientes (usuarios) en particular. Sin embargo, a veces sucede que en una red de computadora diferentes recursos de red trabajan bajo el control de distintos sistemas operativos. En dichas situaciones el problema es que los clientes remotos o locales que se conectan al Controlador de Dominio, cuando se encuentran conectándose al dominio controlado por el Controlador de Dominio, pueden derivar el Controlador de Dominio si la instalación del cliente no es una instalación autorizada de cliente Windows NT/2000.

Esto le dará al cliente remoto o local no autorizado acceso a los recursos de la red - por ejemplo, servidores UNIX, que no están controlados para autentificación por el controlador de Dominio de Windows NT/2000 - sin conectarse al Controlador de Dominio al inicio de la sesión. Una solución conocida en este negocio, un llamado Servidor de Acceso Remoto (RAS) , que lleva a cabo la autentificación del cliente remoto, puede colocarse en la trayectoria entre el cliente remoto y el controlador de dominio. Después de la fase de autentificación, el RAS da acceso a la red y no solamente el Controlador de Dominio. Esto significa que el Controlador de Dominio puede ser derivado después de que el cliente remoto ha sido verificado por el RAS. Sin embargo, desde el punto de vista de seguridad de la red el Controlador de Dominio deberá verificar y autorizar todas las sesiones iniciadas por clientes remotos o locales para poder colocar todos los procesos de autentificación en un solo servidor.

Sumario del Invento Existe la necesidad de un sistema de seguridad de la red de la computadora y un método para prevenir el acceso no autorizado a los recursos de la red, que aligera o supera las desventajas de la técnica anterior . De acuerdo con un primer aspecto de la presente invención, tal y como se menciona en la reivindicación 1, se proporciona un sistema de seguridad de red de la computadora . De acuerdo con un segundo aspecto de la presente invención, tal y como se menciona en la reivindicación 11, se proporciona un método para prevenir acceso no autorizado a los recursos de la red de la computadora.

La presente invención permite; 1. Reducir el tráfico de la red entre clientes y servidores que atraviesen por el Controlador de Dominio . 2. Es posible hacerse cargo de las funciones del Controlador de Dominio primario cuando no esté trabajando con el Controlador de Dominio de apoyo . 3. Los clientes remotos o locales conectados al sitio del Controlador de Dominio pueden colocarse en cualquier parte comparado con el sitio del Controlador de Dominio.

Breve Descripción de las Figuras La presente invención deberá entenderse y apreciarse más desde la siguiente descripción detallada de las modalidades tomada en conjunto con los dibujos en los que : La figura 1 representa un diagrama de bloque de un sistema de seguridad de red de computadora en una modalidad de la presente invención, La figura 2 es un diagrama de bloque de un sistema de seguridad de red de computadora en segunda modalidad de la presente invención, La figura 3 es un diagrama de bloque de un sistema de seguridad de red de computadora en tercera modalidad de la presente invención. La figura 4 es una tabla de flujo que ilustra un método para prevenir acceso no autorizado a los recursos de la red de la computadora en una modalidad de la presente invención.

Descripción Detallada del Invento Con referencia a la figura 1 se muestra una modalidad de un sistema de seguridad 100 de la red de computadora de acuerdo a la presente invención, ün sistema de seguridad de la red de computadora 100 comprende un dispositivo de transporte de red 102, responsable de dirigir los paquetes de datos a sus direcciones IP de destino. En una modalidad, dicho dispositivo de transporte de red 102 puede ser un enrutador.y en otra modalidad puede ser un interruptor. Dicho dispositivo de transporte está conectado a un Controlador de Dominio (también conocido como DC) 104 y a un servidor UNIX 106. Un cliente 108 está conectado operativamente a un medio para monitorear la autentificación 110f que se conecta a dicho dispositivo de transporte de red 102. Si dicho cliente 108 se localiza en un lugar remoto de un dominio controlado por dicho Controlador de Dominio 104 , dicho cliente se conecta a dicho medio para monitorear la autentificación 110 a través del enrutador con una WAN o una interfase de linea de marcación. Con referencia a la figura 2 y 3 , se muestra otra modalidad de dicho sistema de seguridad de red de computadora. Si por lo menos un cliente se localiza dentro de un dominio controlado por dicho Controlador de Dominio (cliente local 218) y por lo menos un cliente se localiza remotamente (cliente remoto 202) , dicho cliente local 218 se conecta a un segundo medio para monitorear la autentificación 216 a través de un interruptor o un núcleo 220 y dicho cliente remoto se conecta a un primer medio para monitorear la autentificación 206 a través de un enrutador con una WAN o una interfase de linea de marcaciónll2. De forma alterna, si sólo se comparte un medio para monitorear la autentificación en el dominio, dicho enrutador con la WAN o interfase de marcación 112 se conecta al interruptor o dicho núcleo 220. Si dicho controlador de dominio 104 y dicho servidor UNIX 106 trabajan bajo control de sistemas operativos distintos, entonces el acceso a dicho servidor UNIX 106 no está controlado para autentificación por dicho Controlador de Dominio 104. Cuando el cliente 108 está iniciando una sesión con un servidor 108 o anfitrión dentro de un dominio bajo control de un controlador de dominio 104, dicho cliente 108 es dirigido por un medio para monitorear la autentificación 110, basándose en la dirección IP de destino a dicho controlador de dominio 104. Dicho cliente 108 es verific Iado por dicho Controlador de Dominio 104 antes de que el acceso a los recursos de la red dentro de dicho dominio se autorice o se niegue. Antes de la autentificación, dicho medio para monitorear la autentificación 110 permite que haya una conexión solamente con dicho Controlador de Dominio 104. Con referencia a la figura 4 se presenta en una modalidad un método para prevenir el acceso no autorizado a recursos de la red de computadora. En la figura 4 dicho medio para monitorear la autentificación se conoce como "AM" . Al momento de iniciar la sesión, dicho cliente 108 solicita autentificación 402 a dicho dominio controlado por dicho Controlador de Dominio 104. Dicho medio para monitorear la autentificación 110 revisa la dirección IP de destino 404 de dicho cliente 108 para prevenir el acceso a los recursos de la red¡ que no se encuentran controlados para autentificación . Únicamente aquéllos clientes cuyas direcciones de destino IP sean aquéllas de dicho Controlador de Dominio 406, se enrutan 408 a dicho Controlador de Dominio 104 para autentificación . Si antes de la autentificación la dirección IP de destino de dicho cliente 108 no es la de dicho Controlador de Dominio 104, dicho medio para monitorear la autentificación 110 cambia la dirección IP de destino mencionada y permite el enrutamiento únicamente a dicho Controlador de Dominio 10 . El proceso de autentificación puede basarse en un mecanismo de encriptación acordado entre dicho cliente 108 y dicho controlador de dominio 104. Si dicho cliente es verificado 410, se envía un paquete de aprobación 412 de dicho Controlador de Dominio 104 a dicho cliente 108 a través de dicho medio para monitorear la autentificación 110. Basado en esta información, dicho medio para monitorear la autentificación 110 abre conexiones 414 para dicho cliente para recursos de la red en dicho dominio. En consecuencia, la trayectoria para esa sesión no se limita a la trayectoria entre el Controlador de Dominio 104 y el cliente 108, sino que también a otros servidores 106 y 214 pueden contactarse por dicho cliente 108 durante esa sesión. Dicho medio para monitorear la autentificación 110 lleva un registro de la sesión basándose en el algoritmo de encriptación y claves para esa sesión. El mecanismo de autentificación basado en la encriptación y usado por dichos medios para monitorear la autentificación 110, se realiza en la trayectoria entre dicho medio para monitorear la autentificación 110 y dicho cliente 108 únicamente. Es debido a los servidores UNIX y otros dispositivos de la red que los accesos del cliente 108 pueden no tener ese mecanismo de encriptación en su lugar. Dicho medio para monitorear la autentificación 110 desconecta 422 a dicho cliente 108 si dicha autentificación falló o si no se lleva a cabo en un periodo pre-determinado de tiempo. Para llevar el control sobre el cliente conectado al dominio, dicho medio para monitorear la autentificación 110 envía 416 a dicho Controlador de Dominio 104 información a dichos recursos de la. red contactados por dicho cliente. Dicho medio para monitorear la autentificación reúne las direcciones IP y los números de puerto UDP/TCP por dicho cliente 108 y esta información se envía 416 a dicho Controlador de Dominio 104. En respuesta dicho Controlador de Dominio 104 envía 418 a dicho medio para monitorear la información de autentificación 110 para otorgar o negar el acceso a dichos recursos de la red. Dicho medio para monitorear la autentificación 420, convierte dicha información para otorgar o negar acceso al filtro de paquete IP dinámico. Dicho medio para monitorear la autentificación 110 desconecta dicho cliente 108 si dicho cliente intenta conectarse a recursos de la red a los que dicho cliente no está autorizado. El acceso a dichos recursos de la red 214 se mantiene siempre y cuando la sesión iniciada durante la autentificación se encuentre activa. Dicho medio para monitorear la autentificación 110 determina si la sesión corresponde a dicho cliente 108 basándose en la dirección IP fuente de dicho cliente y el mecanismo de encriptación . Para otorgar seguridad a la red de la computadora, se lleva a cabo una encriptación estándar de la contraseña del cliente 108 utilizada durante la autentificación por una característica ya implementada en dicho Controlador de Dominio 104 y un cliente. En caso de que el Controlador de Dominio opere con Windows NT/2000, el mecanismo de encriptación se lleva a cabo entre el cliente y el Controlador de Dominio, de tal forma que el proceso de autentificación sea confiable, es decir, es muy difícil copiar este proceso para un cliente que no sea el cliente correcto. Para la encriptación de una sesión entre dicho cliente 108 y dicho recurso de red, que no está controlado por dicho Controlador de Dominio 104, se utiliza un túnel Virtual de Red Privada. Dicho túnel Virtual de Red Privada se establece entre dicho cliente 108 y dicho medio para monitorear la autentificación 110 o un punto de acceso en una red de área local, por ejemplo, enrutar con interfase WAN 112. En una modalidad, el medio para monitorear la autentificación 110 se implementa en programas ejecutables en dicho dispositivo de transporte de red 102 (por ejemplo, enrutador) . Una implementación de programa tiene un costo relativamente bajo y permite una fácil re-configuración. Sin embargo, la implementación de equipo también es posible. No obstante, se podrá apreciar que la presente invención puede ser equipo o programas implementados y puede usarse en redes de computadoras. Es muy importante enfatizar que las modalidades de la presente invención permiten la autentificación de los clientes que tratan de tener acceso a los recursos de la red que operan bajo control de distintos sistemas operativos . dentro de un dominio. Además, todo el proceso de autentificación y toda la información relacionada a . dichos recursos de red contactados por dicho cliente se colocan en un solo servidor.

Claims

13 NOVEDAD DE LA INVENCIÓN Habiendo descrito la presente invención, se considera como novedad y por lo tanto, se reclama como propiedad lo contenido en las siguientes: R E I V I N D I C A C I O N E S

1. Un sistema de seguridad de red de la computadora (100) que comprende un dispositivo de transporte de red (102) , un Controlador de Dominio (104) , por lo menos un recurso de red (106) y por lo menos un cliente (108) conectado en operación para formar una red de computadora caracterizada en eso, un medio para monitorear la autentificación (110) de dicho cliente (108) a dicho Controlador de Dominio (104) se conecta entre dicho dispositivo de transporte de red (102) y dicho cliente (108) .

2. El sistema de seguridad de la red de la computadora, de conformidad con la reivindicación 1, caracterizado porque el acceso a dicho recurso de red no está controlado para autentificación por dicho Controlador de Dominio.

3. El sistema de seguridad de la red de la computadora, de conformidad con la reivindicación 1 ó 2, caracterizado porque dicho medio para monitorear la 14 autentificación comprende un medio para desconectar a dicho cliente si dichas autentificación falla.

4. El sistema de seguridad de la red de la computadora , de conformidad con la reivindicación 3, caracterizado porque dicho medio para monitorear la autentificación comprende un medio para desconectar a dicho cliente si la autentificación no se lleva a cabo en un periodo de tiempo predeterminado.

5. El sistema de seguridad de la red de la computadora, de conformidad con cualquiera de las reivindicaciones anteriores, caracterizado porque dicho medio para monitorear la autentificación comprende un medio para desconectar a dicho cliente si dicho cliente trata de conectarse a recursos de la red a los que dicho cliente no tiene autorización.

6. El sistema de seguridad de la red de la computadora, de conformidad con cualquiera de las reivindicaciones anteriores, caracterizado porque un segundo dispositivo de transporte de la red equipado con una AN o una interfase de linea de marcación (112) se conecta entre el dicho cliente (108) y dicho medio para monitorear la autentificación (110) .

7. El sistema de seguridad de la red de la computadora, de conformidad con cualquiera de las reivindicaciones anteriores, caracterizado porque dicho 15 dispositivo de transporte de la red es un enrutador.

8. El sistema de seguridad de la red de la computadora, de conformidad con cualquiera de las reivindicaciones anteriores, caracterizado porque dicho dispositivo de transporte de la red es un interruptor.

9. El sistema de seguridad de la red de la computadora, de conformidad con cualquiera de las reivindicaciones anteriores, caracterizado porque dicho cliente se localiza remotamente.

10. El sistema de seguridad de la red de la computadora, de conformidad con cualquiera de las reivindicaciones anteriores, caracterizado porque dicho cliente se localiza dentro del dominio controlado por dicho Controlador de Dominio.

11. Un método para prevenir acceso no autorizado a los recursos de la red de la computadora, que comprende los siguientes pasos: un cliente solicita la autentificación (402) a un dominio controlado por un Controlador de Dominio, caracterizado por: un medio para monitorear la autentificación revisa la dirección de destino IP (404) de dicho cliente; si dicha dirección de destino IP es aquélla de dicho Controlador de Dominio (406) , dicho cliente se enruta (408) a dicho Controlador de Dominio para 16 autentificación; si dicho cliente se autentifica (410) se envía un paquete de aceptación (412) de dicho Controlador de Dominio a dicho cliente a través de dicho medio para monitorear la autentificación; dicho medio para monitorear la autentificación abre conexiones (414) para dicho cliente a recursos de red en dicho dominio.

12. El método, de conformidad con la reivindicación 11, caracterizado porque además comprende los pasos: f) el medio para monitorear la autentificación envía (416) a dicho Controlador de Dominio información acerca de dichos recursos de red contactados por dicho cliente; g) el Controlador de Dominio envía (418) a dicho medio para monitorear la información de autentificación para otorgar o negar acceso a dichos recursos de red; h) el medio para monitorear la autentificación convierte (420) dicha información en otorgamiento o negación del acceso al filtro de paquete IP dinámico.

13. El método, de conformidad con las reivindicaciones 11 ó 12, caracterizado porque el enrutamiento se hace permitiendo una ruta únicamente a dirección IP del Controlador de Dominio.

14. El método, de conformidad con cualquiera de las 17 reivindicaciones 11 a 13, caracterizado porque para la identificación de dichas direcciones IP de recursos de red o UDP/TCP se utilizan números de puerto.

15. El método, de conformidad con cualquiera de las reivindicaciones 11 a 14, caracterizado porque dicho medio para monitorear la autentificación desconecta (422) dicho cliente si dicha autentificación falló.

16. El método, de conformidad con cualquiera de las reivindicaciones 11 a 14, en donde dicho medio para monitorear la autentificación desconecta 422 dicho cliente si dicha autentificación no se lleva a cabo en un periodo pre-determinado de tiempo.

17. El método, de conformidad con cualquiera de las reivindicaciones 11 a 14, caracterizado porque dicho medio para monitorear la autentificación desconecta dicho cliente si dicho cliente trata de conectarse a los recursos de la red a los que dicho cliente no está autorizado a conectarse.

18. El método, de conformidad con cualquiera de las reivindicaciones 11 a 14, caracterizado porque el acceso a dichos recursos de red se mantienen siempre y cuando una sesión iniciada durante la autentificación se encuentre activa.

19. El método, de conformidad con cualquiera de las reivindicaciones 11 a 18, caracterizado porque para 18 encriptar una sesión entre dicho cliente y dicho recurso de la red, que no se encuentra controlado por dicho Controlador de Dominio, se utiliza un túnel Virtual de Red Privada.

20. El método, de conformidad con la reivindicación 19, caracterizado porque dicho Túnel Virtual de Red Privada se establece entre dicho cliente y dicho medio para monitorear la autentificación .

21. El método, de conformidad con las reivindicaciones 18 a 20, caracterizado porque dicho medio para monitorear la autentificación determina si la sesión pertenece a dicho cliente basándose en dicha dirección IP fuente del cliente y el mecanismo de encriptación .

22. El método, de conformidad con la reivindicación 20, caracterizado porque dicho túnel Virtual de Red Privada se establece entre dicho cliente y un punto de acceso en una red de área local.

23. El método, de conformidad con cualquiera de las reivindicaciones 11 a 22, caracterizado porque el acceso al menos a una porción de dichos recursos de red no está controlada para autentificación por dicho Controlador de Dominio.

24. Un enrutador o interruptor adaptado para llevar a cabo cualquiera de los pasos del método de cualquiera 19 de las reivindicaciones 11 a 23 anteriores.