NL9301841A - Inrichting voor het bewerken van datapakketten. - Google Patents

Description

Inrichting voor het bewerken van datapakketten.

A. ACHTERGROND VAN DE UITVINDING

De uitvinding heeft betrekking op een inrichting voor het bewerken van datapakketten, omvattende identificatiemiddelen voor het identificeren van een datapakket, bewerkingsmiddelen voor het bewerken van het datapakket, geheugenmiddelen voor het opslaan van informatie met betrekking tot het bewerken, en besturingsmiddelen voor het selecteren van aan het datapakket gerelateerde informatie. Een dergelijke inrichting is bekend uit het Amerikaanse octrooischrift US-5.048.087.

Het is in de praktijk bekend datacommunicatie, met inbegrip van telefonie, door middel van datapakketten te doen plaatsvinden. Er zijn diverse technieken voor datacommunicatie met behulp van datapakketten bekend, zoals X.25 en ATM ("asynchrone transfermodus"). In toenemende mate bestaat er de behoefte om het dataverkeer te beveiligen door middel van vercijfering van de boodschappen (datapakketten). Hiertoe kan in de betreffende dataverbinding aan de zendzijde een vercij-ferinrichting en aan de ontvangzijde een ontcijferinrichting zijn opgenomen.

Bij moderne datacommunicatietechnieken worden over een enkele fysieke verbinding datapakketten verstuurd die behoren tot meerdere logische verbindingen. Dergelijke logische verbindingen zullen in het navolgende in het algemeen kanalen worden genoemd. Zo kunnen bijvoorbeeld bij ATM meerdere "virtuele kanalen" en "virtuele paden" van eenzelfde fysieke verbinding gebruik maken. Daarbij is er geen vast verband tussen de opeenvolgende datapakketten, bij ATM "cellen" genoemd. Slechts aan de kop ("header") van elk datapakket kan worden afgelezen tot welk kanaal het datapakket behoort.

Indien een of meer van deze kanalen door vercijferen beveiligd dienen te worden, moeten maatregelen worden getroffen om datapakketten van een bepaalde logische verbinding op een bepaalde wijze, bijvoorbeeld met een bij die logische verbinding behorende sleutel, te vercijferen en ontcijferen. Hiertoe dienen de datapakketten van de verschillende logische verbindingen geïdentificeerd te worden teneinde het betreffende kanaal, en daarmee bijvoorbeeld de bijbehorende sleutel, van een bepaald datapakket te kunnen vaststellen.

In de uit US-5.048.087 bekende inrichting worden de identificatiemiddelen gevormd door een pakketidentificator. In een geheugen zijn meerdere sleutels opgeslagen, waarvan telkens één wordt opgevraagd om een datapakket van een bepaald kanaal (logische verbinding) te bewerken in de daartoe aanwezige cryptografische eenheid. Bovendien wordt in de bekende inrichting behalve de sleutel telkens een cryptografisch residu opgevraagd respectievelijk opgeslagen. Een dergelijk cryptogra-fisch residu kan de toestand weergeven van een cryptografisch proces waarmee gerelateerde datapakketten worden vercijferd respectievelijk ontcij ferd.

De bekende inrichting heeft het nadeel dat deze relatief traag is. Voor elk binnenkomend datapakket moet aan de hand van de identificatie de bijpassende sleutel en het bijpassende residu worden geladen, waarna de cryptografische bewerking (vercijfering of ontcijfering) plaatsvindt. Na de bewerking moet telkens het nieuwe residu (en eventueel de sleutel) worden opgeslagen, alvorens een volgend datapakket bewerkt kan worden. Het zal duidelijk zijn dat het herhaald, dat wil zeggen voor elk datapakket, uitvoeren van deze stappen ten koste gaat van de verwerkingssnelheid van de bekende inrichting en daarmee van de doorvoersnelheid van de te bewerken datapakketten.

Het opslaan en opvragen van uitsluitend een sleutel voor elk kanaal, wat op zich bekend is uit bijvoorbeeld de in het onderstaande nader aangeduide publicatie "Data security in packet switched networks", kan in principe sneller zijn, maar vergt nog steeds relatief veel verwerkingstijd. Een dergelijke oplossing is verder ongeschikt voor cryptografische processen waarvan de toestand tussen twee bewer-kingsstappen bewaard moet worden. Juist dergelijke processen worden tegenwoordig voor het vercijferen van datacommunicatie veel toegepast.

In de moderne datacommunicatie speelt snelheid een steeds grotere rol. Inrichtingen voor het bewerken van datapakketten, zoals cryptografische inrichtingen, dienen derhalve aan steeds hogere snelheidsvereisten te voldoen. In de bekende inrichting, met het voor elk datapakket opnieuw laden en opslaan van gerelateerde bewerkingsin-forraatie, vormt dit opvragen en opslaan van informatie een snelheids-beperkende factor.

De uitvinding beoogt bovengenoemde en andere nadelen van de stand van de techniek op te heffen en een inrichting voor het bewerken van datapakketten te verschaffen, die een snel bewerken van datapak-ketten mogelijk maakt, ook indien voor elk datapakket een toestand van een bewerkingsproces moet worden opgeslagen en de datapakketten tot verschillende kanalen behoren. In het bijzonder beoogt de uitvinding een inrichting te verschaffen, die geschikt is voor het vercijferen en/of ontcijferen van datapakketten in ATM-netwerken.

De inrichting volgens de uitvinding heeft hiertoe het kenmerk, dat de bewerkingsmiddelen tenminste een eerste en een tweede bewer-kingsorgaan omvatten, en dat de besturingsmiddelen zijn ingericht voor het aan de hand van de identificatie van een datapakket toewijzen van het datapakket aan een van de bewerkingsorganen en het bewerken van dat datapakket met behulp van aan dat datapakket gerelateerde informatie. Met andere woorden, er zijn in de inrichting volgens de uitvinding meerdere, bij voorkeur parallelle, bewerkingsinrichtingen aanwezig, zodat meerdere datapakketten in wezen gelijktijdig bewerkt kunnen worden. Daarbij zijn de besturingsmiddelen zodanig uitgevoerd, dat deze een geïdentificeerd datapakket aan een geschikt bewerkingsorgaan toewijzen. Onder een geschikt bewerkingsorgaan kan zowel een bewerkingsorgaan worden verstaan dat op een bepaald moment beschikbaar is, als een waarin bepaalde informatie van een bewerkingsproces aanwezig is.

In een eerste uitvoeringsvorm van de inrichting volgens de uitvinding is tenminste een bewerkingsorgaan ingericht voor het vercijferen van datapakketten, terwijl in een tweede uitvoeringsvorm tenminste een bewerkingsorgaan is ingericht voor het ontcijferen van datapakketten. Doordat de inrichting volgens de uitvinding van meerdere bewerkingsorganen is voorzien is het mogelijk in een enkele inrichting, eventueel in wezen gelijktijdig, zowel datapakketten te vercijferen als te ontcijferen. Behalve voor cryptografische functies kan de inrichting volgens de uitvinding ook voor andere toepassingen worden ingezet, zoals pariteitscontrole van datapakketten. Met voordeel zijn de bewerkingsorganen programmeerbaar uitgevoerd, zodat met een bewerkingsorgaan verschillende bewerkingsprocessen kunnen worden uitgevoerd. De programma's voor het uitvoeren van de bewerkingsprocessen zijn met voordeel in de geheugenmiddelen opgeslagen, zodat onder β X ft 1 Cl A 4 invloed van de besturingsmiddelen, eventueel in samenwerking met de identificatiemiddelen, een geschikt proces kan worden geladen.

Bij voorkeur is voor de bewerkingsorganen, dat wil zeggen tussen de ingang van de inrichting en de bewerkingsorganen, een buffer aangebracht. In deze buffer kunnen datapakketten tijdelijk worden opgeslagen alvorens zij naar een bewerkingsorgaan worden overgebracht. Het tijdelijk opslaan verschaft de besturingsmiddelen, in samenwerking met de identificatiemiddelen, de benodigde tijd voor het vaststellen van de respectieve kanalen van de datapakketten en voor het selecteren en eventueel instellen van een geschikt bewerkingsorgaan. Bij lage datasnelheden kan het mogelijk zijn de buffer achterwege te laten. Eventueel kan de buffer in de bewerkingsorganen zijn geïntegreerd, bijvoorbeeld door elk bewerkingsorgaan van een afzonderlijke ingangs-buffer te voorzien.

In een voordelige uitvoeringsvorm zijn de besturingsmiddelen ingericht voor het aan eenzelfde bewerkingsorgaan toewijzen van datapakketten die tot hetzelfde kanaal behoren. Op deze wijze wordt de bewerkingstijd voor de datapakketten van dat kanaal nog verder gereduceerd.

Met voordeel kan de inrichting volgens de uitvinding worden toegepast in ATM-netwerken. Hiertoe kan de inrichting zodanig zijn uitgevoerd, dat een vaste tijdrelatie bestaat tussen het binnenkomen en het uitgaan van datapakketten. Een dergelijke vaste tijdrelatie kan door een geschikte uitvoering van de besturingsmiddelen worden bereikt. Eventueel kan voor dit doel, maar ook ten behoeve van (andere) synchronisatiedoeleinden, een uitgangsbuffer zijn verschaft.

C. REFERENTIES

J.R. Sherwood, "Data security in packet switched networks", Second IEE National Conference on Telecommunications, York, U.K., 2-5 april 1989.

W. Diffie e.a., "Privacy and Authentication: An Introduction to Cryptography", Proceedings of the IEEE, vol. 67, no. 3, maart 1979.

US-5.048.087

D. UITVOERINGSVOORBEELDEN

De uitvinding zal in het onderstaande aan de hand van de figuren nader worden toegelicht.

AX git It J. A tVVUl* OWilClUabiOWU CCU J.1U AUUClUg V W1 UCb WCW6i.ACll v au datapakketten volgens de uitvinding.

Figuur 2 toont schematisch een aantal opeenvolgende te bewerken datapakketten.

Figuur 3 toont schematisch een stelsel voor datacommunicatie, voorzien van inrichtingen volgens figuur 1.

De in figuur 1 schematisch weergegeven inrichting 1 volgens de uitvinding omvat een buffer 10, een eerste bewerkingsorgaan 11, een tweede bewerkingsorgaan 12, een geheugen 13 en een identificatie- en besturingsorgaan 14. De bewerkingsorganen 11 en 12 en het geheugen 13 zijn verbonden door een gemeenschappelijke databus 15. Dataverbindingen zijn in figuur 1 aangeduid door ononderbroken lijnen, besturings-verbindingen door onderbroken lijnen.

Een datapakket, dat in de inrichting 1 binnenkomt, wordt eerst tijdelijk opgeslagen in de buffer 10. Daarbij wordt de kop ("header") van het datapakket gekopieerd naar het identificatieorgaan 14, waar het kanaal (bij ATM het virtuele kanaal of het virtuele pad) van het datapakket wordt vastgesteld. Aan de hand van deze identificatie stuurt het besturingsorgaan, dat in de weergegeven uitvoeringsvorm in het identificatieorgaan is opgenomen maar ook een aparte eenheid kan vormen, de overige delen van de inrichting 1 aan. Indien een bewerkingsorgaan (11 of 12) vrij is, krijgt dit de opdracht een datapakket te ontvangen. In wezen gelijktijdig wordt de buffer 10 opgedragen het betreffende datapakket vrij te geven, terwijl het geheugen 13 wordt opgedragen de bij dat kanaal behorende informatie (bijvoorbeeld de sleutel en de toestand van het vercijfer/ontcijferproces, eventueel de programmatuur van een bewerking) op de bus 15 te zetten. Vervolgens leest het betreffende bewerkingsorgaan zowel de informatie als het datapakket in en voert de gewenste bewerking uit, waarna het datapakket (bijvoorbeeld onder besturing van het besturingsorgaan) door de bewerkingseenheid wordt verzonden. Indien dit verzenden niet onder besturing van het besturingsorgaan plaatsvindt zijn de bewerkingsorganen bij voorkeur op zodanige wijze gekoppeld, dat deze niet tegelijkertijd een datapakket kunnen verzenden. Het kan voordelig zijn, bijvoorbeeld om synchronisatieproblemen te voorkomen, om aan de uitgang van de inrichting 1 een verdere buffer (niet getoond) aan te brengen, of om elk bewerkingsorgaan van een eigen uitgangsbuffer te voorzien.

De inrichting 1 bezit overeenkomstig de uitvinding tenminste twee (parallelle) bewerkingsorganen. Hierdoor is het in de eerste plaats mogelijk twee datapakketten tegelijkertijd te bewerken. Hierbij kunnen deze datapakketten zowel van hetzelfde kanaal als van verschillende kanalen zijn. Het zal duidelijk zijn dat de doorvoersnelheid van datapakketten door de aanwezigheid van meerdere, parallelle bewerkingsorganen wezenlijk wordt vergroot. Indien gewenst kunnen, zoals in het bovenstaande werd vermeld, meer dan twee bewerkingsorganen worden toegepast, zoals drie, vier, vijf of meer bewerkingsorganen, waardoor een verdere snelheidsverhoging gerealiseerd kan worden.

In de tweede plaats biedt de aanwezigheid van twee (of meer) parallelle bewerkingsorganen de mogelijkheid datapakketten van een bepaald kanaal in één bewerkingsorgaan te bewerken, terwijl datapakketten van een ander kanaal of van andere kanalen in een ander bewerkingsorgaan worden bewerkt. Met andere woorden, de besturing wordt zodanig ingericht dat datapakketten van een bepaald kanaal naar dat bewerkingsorgaan worden gestuurd, waarin daarvoor een datapakket van hetzelfde kanaal is bewerkt. Hierdoor kan de verwerkingssnelheid worden vergroot doordat het telkens uit het geheugen laden van de benodigde informatie, alsmede het eventuele na de bewerking wegschrijven van informatie, voor dat bewerkingsorgaan achterwege kan blijven. Verder bestaat de mogelijkheid één van de bewerkingsorganen (of, in het geval van meer dan twee bewerkingsorganen, enkele bewerkingsorganen) voor een bepaald kanaal te reserveren, bijvoorbeeld indien relatief veel datapakketten tot dit kanaal behoren. Dit reserveren kan eventueel dynamisch plaatsvinden, bijvoorbeeld op basis van, door het identificatie- en besturingsorgaan bijgehouden, statistische gegevens. Hierdoor kan de doorvoersnelheid voor althans het betreffende kanaal verder worden vergroot. In de buffer 10 kunnen hiervoor zonodig passende maatregelen worden getroffen, bijvoorbeeld het aanpassen van de buffercapaciteit aan de verwachte hoeveelheid datapakketten die niet direct bewerkt kunnen worden.

In de derde plaats biedt de inrichting volgens de uitvinding de mogelijkheid in één bewerkingsorgaan bijvoorbeeld te vercijferen, terwijl het andere bewerkingsorgaan op hetzelfde moment voor ontcijferen wordt gebruikt. Met andere woorden, met de inrichting volgens de uitvinding is het mogelijk meerdere en verschillende bewerkingen tegelijkertijd in één inrichting uit te voeren. Daarbij is het ook eventueel afhankelijk van het kanaal van het betreffende datapakket, in het geheel geen bewerking uit te voeren. Indien het in veel gevallen, bijvoorbeeld voor veel kanalen, gewenst is geen bewerking op de datapakketten uit te voeren, kan het voordelig zijn om parallel aan de bewerkingsorganen een verbinding aan te brengen die de buffer 10 direct met de uitgang van de inrichting 1 verbindt.

Opgemerkt dient te worden dat in de weergegeven uitvoeringsvorm één geheugen aanwezig is dat via een gemeenschappelijke databus met alle, in het weergegeven geval beide, bewerkingsorganen is verbonden. Het kan voordelig zijn de inrichting zodanig uit te voeren dat elk bewerkingsorgaan over een eigen geheugen beschikt, in welk geval de gemeenschappelijke databus eventueel achterwege kan blijven. Het is verder mogelijk het identificatie-orgaan (de identificatiemiddelen) in het geheugen 13 op te nemen. Daarbij kan de kop van een datapakket bijvoorbeeld worden gebruikt om het geheugen direct of indirect (bijvoorbeeld door middel van multiplexen) te adresseren.

De inrichting volgens de uitvinding kan uit gebruikelijke componenten worden opgebouwd. In dit verband wordt verwezen naar algemene handboeken op het gebied van de elektronica, zoals "The Art of Electronics" van P. Horowitz en W. Hill, Cambridge University Press, 1989. Met voordeel kan de inrichting echter als een ASIC ("applicatie-specifieke geïntegreerde schakeling") zijn uitgevoerd. De bewerkingsorganen omvatten bij voorkeur een processor (bijvoorbeeld een microprocessor) voor het uitvoeren van de bewerking. De bewerking zelf kan een bekende cryptografische of anderssoortige bewerking zijn. In dit kader wordt verwezen naar de publicatie "Privacy and Authentication: An Introduction to Cryptography" van W. Diffie e.a. in Proceedings of the IEEE, vol. 67, no. 3, maart 1979, en naar de daarin opgenomen bibliografie.

In figuur 2 is een reeks datapakketten weergegeven, die met behulp van de inrichting volgens de uitvinding vercijferd worden. Drie opeenvolgende datapakketten 100, 200 en 300 bezitten elk een kop 101, 201 respectievelijk 301, en een dataveld 102, 202 respectievelijk 302. In het weergegeven voorbeeld behoren de datapakketten 100 en 300 tot het kanaal A, terwijl het datapakket 200 tot het kanaal B behoort. Hiertoe zijn de koppen 101, 201 en 301 van geschikte identificatie-informatie voorzien.

Indien het datapakket 100 in de inrichting 1 arriveert en daarvoor geen ander datapakket in één van de bewerkingsorganen 11 of 12 aanwezig was, kan het datapakket 100 direct in een bewerkingsor-gaan, stel het bewerkingsorgaan 11, worden geladen, samen met de bij het kanaal A behorende informatie, die aan de hand van de kop 101 uit het geheugen 13 is opgevraagd. Zodra de verbinding tussen de buffer 10 respectievelijk het geheugen 13 en het bewerkingsorgaan 12 vrij is, kan het datapakket 200 in het bewerkingsorgaan 12 worden geladen. Ondertussen kan het datapakket 100 bewerkt worden. Zodra deze bewerking is beëindigd, kan het bewerkte datapakket 100 verstuurd worden.

Nu dient eventueel, afhankelijk van de uitgevoerde bewerking, informatie met betrekking tot kanaal A, bijvoorbeeld de toestand van het vercijferproces, in het geheugen 13 te worden teruggeschreven. Het zal duidelijk zijn dat dit terugschrijven, en het daaropvolgende opvragen van informatie met betrekking tot een ander kanaal, achterwege kan blijven indien het volgende datapakket dat in het bewerkingsorgaan 11 wordt geladen eveneens tot het kanaal A behoort. In het weergegeven geval behoort het volgende datapakket (300) tot het kanaal A, zodat inderdaad tijd wordt bespaard, aangezien het bewerkingsorgaan 11 al op het bewerken van datapakketten van kanaal A is voorbereid. Indien het datapakket tot het kanaal B zou behoren, zou het in sommige gevallen voordelig kunnen zijn om dat datapakket in de buffer 10 te laten wachten tot het bewerkingsorgaan 12 vrij is, aangezien dat bewerkingsorgaan al op kanaal B is voorbereid. Dit zou bijvoorbeeld het geval kunnen zijn als een verder datapakket (niet getoond) tot het kanaal A zou behoren. Teneinde een dergelijk wachten effectief uit te voeren dient de buffer 10 van voldoende buffercapaciteit te zijn voorzien. Verder is het voordelig het identificatieorgaan zodanig uit te voeren, dat de identiteit (het kanaal) van meerdere gebufferde datapakketten kan worden vastgesteld teneinde de toewijzing van de datapakketten aan de bewerkingsorganen efficiënt te kunnen uitvoeren.

In figuur 3 is een stelsel voor datacommunicatie schematisch weergegeven. Het stelsel omvat twee inrichtingen 1 voor het bewerken van datapakketten, waarbij de inrichtingen zijn verbonden door een leiding 2. Met behulp van de inrichting volgens de uitvinding is het mogelijk meerdere vercijferde logische kanalen over een enkele leiding met een grote snelheid over te dragen. In het stelsel van figuur 3 kunnen zonodig meerdere inrichtingen 1 worden aangebracht, bijvoor- beeld in serie, teneinde in meerdere stappen of op meerdere plaatsen bewerkingen op datapakketten te kunnen uitvoeren.

Het zal deskundigen duidelijk zijn dat de uitvinding niet beperkt is tot de weergegeven uitvoeringsvormen en dat vele wijzigingen en aanvullingen mogelijk zijn zonder buiten het kader van de uitvinding te treden.

Claims (13)

1. Inrichting voor het bewerken van datapakketten, omvattende - identificatiemiddelen voor het identificeren van een datapakket, bewerkingsmiddelen voor het bewerken van het datapakket, geheugenmiddelen voor het opslaan van informatie met betrekking tot het bewerken, en besturingsmiddelen voor het selecteren van aan het datapakket gerelateerde informatie, met het kenmerk, dat de bewerkingsmiddelen tenminste een eerste en een tweede bewer-kingsorgaan omvatten, en dat de besturingsmiddelen zijn ingericht voor het aan de hand van de identificatie van een datapakket toewijzen van dat datapakket aan een van de bewerkingsorganen en het bewerken van dat datapakket met behulp van aan dat datapakket gerelateerde informatie.

2. Inrichting volgens conclusie 1, waarin tenminste een bewerkings-orgaan is ingericht voor het vercijferen van datapakketten.

3. Inrichting volgens conclusie 1 of 2, waarin tenminste een bewer-kingsorgaan is ingericht voor het ontcijferen van datapakketten.

4. Inrichting volgens conclusie 2 of 3, waarin de informatie met betrekking tot het bewerken een sleutel en een toestand van een bewerkingsproces omvat.

5. Inrichting volgens een van de voorgaande conclusies, ingericht voor het bewerken van datapakketten die een kop en een informatieveld omvatten, waarin de identificatiemiddelen zijn ingericht voor het aan de hand van de kop identificeren van het kanaal waartoe het datapakket behoort.

6. Inrichting volgens conclusie 5, waarin de bewerkingsmiddelen zijn ingericht voor het bewerken van uitsluitend het informatieveld van een datapakket.

7. Inrichting volgens een van de voorgaande conclusies, waarin voor de bewerkingsorganen een buffer is aangebracht.

8. Inrichting volgens een van de voorgaande conclusies, waarin de besturingsmiddelen zijn ingericht voor het aan eenzelfde bewerkingsor-gaan toewijzen van datapakketten die tot hetzelfde kanaal behoren.

9. Inrichting volgens een van de voorgaande conclusies, waarin het eerste bewerkingsorgaan, het tweede bewerkingsorgaan en de geheugenmiddelen door middel van een gemeenschappelijke databus zijn verbon- den.

10. Inrichting volgens een van de voorgaande conclusies, waarin tenminste een bewerkingsorgaan van eigen geheugenmiddelen is voorzien.

11. Inrichting volgens een van de voorgaande conclusies, waarin tenminste een bewerkingsorgaan programmeerbaar is.

12. Inrichting volgens een van de voorgaande conclusies, ingericht voor het bewerken van ATM-datapakketten.

13. Stelsel voor datacommunicatie door middel van datacellen, voorzien van tenminste een inrichting volgens een van de conclusies 1 tot en met 12.