WO2005020534A1 - Verfahren und vorrichtung zur ubertragung von sicherheits- und nutzinformationen über getrennte gesicherte verbindung - Google Patents

Verfahren und vorrichtung zur ubertragung von sicherheits- und nutzinformationen über getrennte gesicherte verbindung Download PDF

Info

Publication number
WO2005020534A1
WO2005020534A1 PCT/EP2004/050916 EP2004050916W WO2005020534A1 WO 2005020534 A1 WO2005020534 A1 WO 2005020534A1 EP 2004050916 W EP2004050916 W EP 2004050916W WO 2005020534 A1 WO2005020534 A1 WO 2005020534A1
Authority
WO
WIPO (PCT)
Prior art keywords
connection
data
data terminal
information
security information
Prior art date
Application number
PCT/EP2004/050916
Other languages
English (en)
French (fr)
Inventor
Jochen Grimminger
Mirko Naumann
Michael Schielein
Original Assignee
Siemens Aktiengesellschaft
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Siemens Aktiengesellschaft filed Critical Siemens Aktiengesellschaft
Publication of WO2005020534A1 publication Critical patent/WO2005020534A1/de

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/18—Network architectures or network communication protocols for network security using different networks or channels, e.g. using out of band channels
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L65/00—Network arrangements, protocols or services for supporting real-time applications in data packet communication
    • H04L65/1066—Session management
    • H04L65/1101—Session protocols
    • H04L65/1104—Session initiation protocol [SIP]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/14—Session management
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L69/00—Network arrangements, protocols or services independent of the application payload and not provided for in the other groups of this subclass
    • H04L69/14—Multichannel or multilink protocols

Definitions

  • the invention relates to a method for the secure transmission of information via a secure connection between two data terminals in accordance with the preamble features of patent claim 1 and a device 10 for carrying out such a method .
  • the transmission of information, in particular of signaling and data, via a connection in a public network between two data terminal devices is generally known.
  • Secure transmissions are carried out via a secure connection, for example through the use of encryption methods to protect the information from unauthorized parties Protect access.
  • certificates and / or keys are exchanged, if necessary negotiated, between the communication terminals as data terminals at the beginning of the establishment of a connection or at the beginning of the actual transmission connection.
  • At least one protocol is used for a logical and / or physical connection.
  • Well-known protocols are the so-called Session Initiation Protocol (SIP) as a signaling protocol between such data terminals as a signaling protocol with additional functions in the meantime and the so-called Datagram Congestion Control Protocol (DCCP) as a very simple transmission protocol.
  • SIP Session Initiation Protocol
  • DCCP Datagram Congestion Control Protocol
  • a connection according to SIP can be set up as a secure connection between the data terminal devices and possibly a large number of intermediate stations arranged between them, such as so-called proxies and registration computers. Securing can be carried out from station to station by using certificates, keys and / or others
  • IP Internet Protocol
  • Levels are generated, namely within DCCP on the one hand and on the other hand at the application level.
  • a first connection is set up between the two data terminals, a first protocol, for example SIP, being used for this purpose for control / signaling.
  • a first protocol for example SIP
  • SIP Session Initiation Protocol
  • This enables the establishment of a secure connection for signaling and the establishment of the actual transmission connection as a second connection between the two data terminals.
  • the location or a temporary Internet address of a data terminal device to be invited is determined via the first secure connection in order to transmit an invitation to establish the connection.
  • a direct and simply managed Internet connection can then be established between the two data terminal devices. This is done via the second connection with its own protocol, for example DCCP.
  • certificates and / or keys are exchanged between the two data terminal devices in order to be able to secure the subsequent transmission of data, in particular user data, as information using these certificates and / or keys.
  • the object of the invention is to simplify a method for the secure transmission of information via a connection between two data terminals with a view to securing and the procedure up to the actual transmission of user data as information.
  • a method with independent inventive idea and preferred execution in connection with the method of claim 1 has the features of claim 2.
  • Particularly preferred is a method for the secure transmission of information, which generally also means signaling and data, via a connection between two data terminal devices, the method between the data terminal devices regarding at least a first and a second protocol for controlling and / or signaling at least first or second connections different from one another can be set up and at least one piece of security information is used to secure the connection used to transmit the information. It can
  • security information from the first connection can be used as the security information, the first and the second connection connecting the first and the second data terminal device via different logical and / or physical paths.
  • the method for the secure transmission of information via a connection between two data terminal devices between the data terminal devices establishes at least first and second mutually different connections, at least with regard to a first and a second protocol , wherein the first connection is established as a secure connection parallel to the second connection and / or for initializing the second connection, and wherein security information is used to secure the second connection used to transmit the information.
  • the security information for the second connection can be transmitted beforehand via the first connection, which was previously or in parallel.
  • the first and the second connection there is thus the advantageous possibility of exchanging keys and / or certificates between the two data terminal devices, which are then used for the other, second connection, via an existing first connection, which is already secured with mechanisms of some kind become.
  • the transmission of user data as information can thus be started directly via the second connection without a first initially required exchange of keys and certificates as security information.
  • a preferred device as a data terminal device or as a component for such a data terminal device for implementing such methods advantageously has a control device for controlling the functionality of the device and / or for controlling signaling and / or transmission programs in accordance with various protocols, at least one memory device for storing at least a piece of security information for securing the transmission of information via a secure of various connections between such data terminal devices and at least one interface for transmitting information, in particular signaling and / or data, via one or both of the connections to at least one or the other data terminal devices on.
  • the control device is expediently designed such that the safety information, i. in particular certificates and keys that are available for or from the first connection with the first protocol can be used for the second connection with the second protocol.
  • the security information can advantageously be transmitted as data information via the first connection. This enables the use of a higher quality protocol
  • the security information can advantageously also be transmitted in a data packet header section.
  • the security information can be used in a so-called header line. In this way, a single key or a single certificate can be transmitted to a remote data terminal device in order to secure both connections or possibly further connections.
  • the first connection between the data terminal devices and between transmission and / or control devices interposed therebetween is advantageously individually secured.
  • This enables a data terminal device to establish a connection to a second data terminal device at an unknown location or with an unknown temporary Internet address and to use customary methods according to SIP.
  • a connection to a registration computer in particular to a so-called S-CSCF (Serving Call State Control Function), is established in the usual way from an inviting data terminal device via its interface to a public network and, for example, one or more proxies as intermediate transmission devices. as a serving call state control function therein.
  • S-CSCF Serving Call State Control Function
  • the requesting data terminal device can also be informed directly of the temporary Internet address.
  • a direct connection can be set up, which does not require extensive protection from point to point (hop-by-hop)
  • the direct, second connection the use of keys and / or certificates which have been exchanged between the two data terminal devices is sufficient, it being possible to use certificates and keys which are already known in the data terminal devices and can be used for all types of connection.
  • a key or a certificate can also be used for the direct, second connection, which was previously transmitted via the first connection with the response message (OK message).
  • the second data terminal can
  • the transmission of the security information within the data terminal devices from a control area and / or a control program for the first protocol, in particular SIP, to a control area and / or control program for the second protocol, in particular DCCP, is advantageously initiated by a control device of the data terminal device.
  • a control device of the data terminal device it is also possible to initiate an application, in particular an application program, which controls the establishment and maintenance of the individual connection.
  • the application layer transfers the certificates or other security information to the layer with DCCP in a secure manner.
  • the focus is in particular on a procedure outside the direct area of the DCCP for the procurement and provision of security information that can be used in the DCCP area.
  • certificates that are already available in the SIP area or in the area of other signaling protocols can be reused in the DCCP area.
  • FIG. 3 shows different layers of two data terminal devices communicating with one another, with security information being transmitted via a first connection at the start of a connection establishment and subsequently useful data being transmitted over a second connection, the second connection being secured with the security information transmitted via the first connection.
  • security information being transmitted via a first connection at the start of a connection establishment and subsequently useful data being transmitted over a second connection, the second connection being secured with the security information transmitted via the first connection.
  • the information can be signaling such as that used to set up, maintain and clear a connection or other means
  • Information can also be data, in particular user data.
  • the transmission can take place via various connections VI, V2, which are set up in a direct or staggered manner in time and possibly exist in parallel to one another.
  • the connections VI, V2 can, depending on requirements, be pure signaling connections, combined signaling and data transmission connections or pure data connections.
  • the connection paths of the connections VI, V2 can be the same or different with regard to logical and physical connections.
  • the first connection VI of the exemplary embodiment shown leads as a radio link from the first data terminal T1 to a first intermediate device, for example a proxy P1 with a corresponding transmitting and receiving device.
  • the further course of the first connection VI leads from the proxy P1 to a central computer S-CSCF (Serving Call State Control Function), which has a serving call state control function S-CSCF as a functional component.
  • the central computer S-CSCF can thus assume a function as a registrar in which the addresses of various registered subscribers Ti: Tl, T2, T3 are registered in a memory MR.
  • the central computer S-CSCF can also have a further connection to corresponding registration devices. At least one global address and one temporary address are stored in the memory MR for each subscriber Ti.
  • the global address is the SIP address uniquely and permanently assigned to the subscriber Ti, under which the subscriber or the subscriber station can be reached as data terminal equipment Ti, Tl, T2, T3.
  • the temporary address is the IP address (IP: Internet Protocol) which is assigned to a data terminal device Ti, Tl, T2 as the current access address. The temporary address is thus the address at which the data terminal T1, T2 can actually be reached at the moment.
  • central computer S-CSCF converts a global address into a temporary address.
  • the first connection VI leads from the central computer S-CSCF via e.g. a wired connection to another intermediate computer, in the present case proxy P2, and from there via e.g. a further radio interface to the second data terminal device T2.
  • Typical applications provide connections with more or less and possibly also other types of intermediate devices along the connection section of connection VI.
  • the second connection V2 leads from the first data terminal T1 via two intermediate devices, in the present case two proxies P3, P4, to the second data terminal T2. As shown, this connection V2 can also be set up via various types of interface, in the present case two radio interfaces and a wired interface.
  • the first connection VI serves to establish a secure connection V2 between the second data terminal device T2 and the first data terminal device T1.
  • the connection is established using a signaling protocol, for example SIP, H.323 or MGCP (Media Gateway Control Protocol). Any securing mechanisms known per se can be used to secure the connection.
  • security can be secured using security information, for example keys and certificates, which are exchanged between the respective communicating stations and intermediate stations T2, P2, S-CSCF, Pl, Tl.
  • security information for example keys and certificates
  • Secured connections are also known, for example, which are based on the use of an individually assigned line or radio connection.
  • An invitation for example a so-called INVITE message, can then be sent from the second data terminal device T2 to the central computer S-CSCF via the secure first connection VI
  • INVITE message I-Tl etc. contains the address of the requested first data terminal T1.
  • the address is the global address to which the central computer S-CSCF assigns the temporary IP address in order to then forward the INVITE message to the first data terminal T1.
  • a confirmation message OK-T2 which, in addition to the IP address of the second data terminal T2 as the destination address as the sender address, contains the temporary IP address of the first data terminal T1, the information required for establishing the connection is transmitted to the second data terminal T2.
  • the second data terminal T2 thus receives all the information for a direct connection establishment via a second connection V2 between the second and the first data terminal T2, T1 via a secure connection.
  • the second connection V2 is advantageously set up using a very simple signaling protocol, for example DCCP, and is used for the subsequent transmission of data as the actual information.
  • security information is usually exchanged between the data terminals at the beginning.
  • security information can already be exchanged via the first connection VI, so that a certificate C2 and / or key of the second data terminal device T2 can also be transmitted to the first data terminal device T1 together with the INVITE message I-T1.
  • security information in turn for example a certificate C1 and key of the first data terminal T1, is transmitted in the opposite direction from the first data terminal T1 to the second data terminal T2.
  • This previously exchanged security information is also used for the second connection V2, so that an initial exchange of such security information is unnecessary.
  • the time sequence of information transmissions of two data terminal devices and intermediary intermediate devices is illustrated with the aid of FIG. 2.
  • the first data terminal Tl registers with the central computer S-CSCF by sending out a so-called REGISTER message R1.
  • the REGISTER message R1 is sent from the first data terminal T1 to an intermediate device, in the present case a proxy P1, to which the first data terminal T1 is connected.
  • the proxy P1 forwards the REGISTER message R1 to the central computer S-CSCF.
  • the central computer S-CSCF takes the temporary IP address of the first data terminal T1 from the REGISTER message and enters it in the corresponding line of an address assignment table.
  • the second data terminal T2 registers with the central computer S-CSCF by transmitting a corresponding REGISTER message R2.
  • the temporary addresses for which the data terminals T1, T2 can currently be reached are thus registered for the first and for the second data terminal T1, T2 in addition to their global addresses.
  • the second data terminal device T2 or its user would like to set up a data transmission connection to the first data terminal device T1.
  • the second data terminal device T2 sends a so-called INVITE message I-T1 via a secure connection to the intermediate computer or proxy P2 with which the second data terminal device T2 is connected.
  • the invitation or INVITE message I-T1 also contains the global address of the first data terminal device T1.
  • together with the INVITE Message I-T1 transmit a certificate and / or key T2 to the second data terminal T2.
  • the INVITE message I-T1 * is switched from the proxy P2 to the via a further secured connection
  • the central computer S-CSCF forwarded.
  • the temporary and / or global IP address of the second data terminal device T2 and the security information C2 are forwarded as data components of header section lines (headers) or as components of the user data section (body).
  • the central computer S-CSCF assigns the requested global address of the first data terminal T1 to its current temporary IP address and forwards a corresponding message to the second data terminal T2.
  • the central computer S-CSCF forwards the INVITE message in the direction of the first data terminal T1 or to its temporary IP address.
  • This INVITE message I-T1 ° is forwarded, for example, via one or more proxies P1, which forward this or an INVITE message I-T1 00 modified according to the respective system requirements to the first data terminal T1.
  • the first data terminal device T1 After receipt of the INVITE message I-Tl ° ° and the readiness to set up the requested connection, the first data terminal device T1 sends a corresponding confirmation in the form of a confirmation message OK-T2 ° ° in the direction of the second data terminal device T2.
  • the confirmation message OK-T2 00 has as the destination address the global IP address of the second data terminal T2 and preferably security information in the form of a certificate and / or key C1 of the first data terminal T1.
  • the confirmation message OK-T2 00 is transmitted via the same path secured from station to station, ie the intermediate devices in the form of the proxies P1, P2 and the central computer S-CSCF.
  • the confirmation message OK-T2 00 , 0K-T2 ", OK-T2 *, 0K-T2 may be transmitted modified in accordance with the requirements of the selected transmission system.
  • the confirmation message 0K-T2 ° has sent and the second data terminal device T2 has received the confirmation message 0K-T2 00 , these are for
  • the establishment of a direct connection V2 exchanges information required between the two data terminals T1, T2.
  • the registration and 'the exchange of necessary information via the secure connection VI is advantageously carried out according to a per se known and reliable signaling s istsprotokoll, for example, the SIP.
  • the second connection V2 is established as a direct connection from end point to end point between the second and the first data terminal device T2, T1.
  • the now known global address is preferably used in each case.
  • the structure is optionally confirmed by the transmission of an acknowledgment message ACK from the second to the first data terminal T2, T1. From a subsequent fifth time t5, the direct end-to-end point transmission of information, in the present case of data, takes place.
  • the transmission can take place with the interposition of the two intermediate devices or proxies P3, P4, with endpoint protection being used to secure the information or data to be transmitted.
  • endpoint protection being used to secure the information or data to be transmitted.
  • the two data terminal devices T1, T2 use the security information C2 or C1 of the other data terminal device T2, T1 received via the first connection VI during the initialization phase.
  • connection clearing messages BY, OK At a sixth point in time t6, after the transmission of all the necessary information or data, the connection is terminated in a manner known per se by the transmission of corresponding connection clearing messages BY, OK.
  • Binding VI, V2 are omitted or further intermediate stations and the like are added.
  • the first connection VI can be routed past a central computer S-CSCF if the necessary temporary address of the first data terminal T1 is obtained, for example, from a proxy which has a separate connection to a corresponding central computer S-CSCF or the like with a suitable address table can build up.
  • 3 shows schematically individual elements and functions of the two data terminal devices T1, T2 communicating with one another.
  • the logically lowest layer or level is formed by the so-called physical layer.
  • the physical layer is used for the physical transmission of information and signaling according to a standard such as Ethernet, UMTS (Universal Mobile Telecommunications System) or GPRS (General Packet Radio Service).
  • the first connection VI and the second connection V2 are established via the physical layer.
  • the first connection VI is established in accordance with SIP and the establishment and maintenance of the second connection V2 in accordance with DCCP.
  • One or more ports p each lead from the individual data terminal devices T1, T2 as interfaces to the physical layer p.
  • the second level is formed by the Internet protocol IP after the transmission is controlled on the physical layer in a manner known per se.
  • IP User Datagram Protocol
  • TCP TCP arranged as further protocols of the transport layer.
  • TCP enables the higher layers to work in a connection-oriented manner.
  • the signaling protocol SIP is located in a higher layer over UDP and TCP as a kind of application. With this layer arrangement, SIP-controlled connections, such as the first connection VI, can be controlled from a higher-level application.
  • the Internet protocol IP is superordinate, to which the DCCP is the higher-level layer.
  • the DCCP is e.g. a real-time transport protocol RTP (Realtime Transport Protocol) is superordinate, which can be used, for example, for the control of voice transmissions via the Internet in accordance with the so-called Voice over IP (VoIP).
  • RTP Real-time Transport Protocol
  • the data terminal devices T1, T2 expediently also have a control device C for controlling the functionality and a memory device M for storing control programs, operating parameters and preferably also keys and certificates C1, C2.
  • the individual components and other components required for operation are connected to one another via suitable buses and lines L.
  • FIG. 3 shows a temporal situation from the third point in time t3.
  • a first certificate C1 is stored in its storage device M.
  • a second certificate C2 assigned to it is stored in its memory device M.
  • the first data terminal T1 has already been transmitted the second certificate C2 via the first connection VI and has been stored in a memory section of the DCCP and / or the central memory unit of the first data terminal T1.
  • the storage advantageously takes place only for a limited period of time for the duration of the first and the second connection VI, V2 or for a limited period beyond which a renewed transmission of information between the two data terminal devices T1, T2 is to be expected.
  • the certificate C1 of the first data terminal T1 is read out from its memory device M by the active application via the layer of the SIP, the layer with UDP, TCP and pass the layer of the Internet protocol IP to the physical layer.
  • the transmission takes place via the physical layer via the first connection VI to the second data terminal device T2, whereby again appropriate and / or necessary intermediate devices P1, S-CSCF, P2 are run through.
  • the received confirmation message 0K-T2 is transmitted from the physical layer via the protocol layers to the signaling protocol layer SIP.
  • the certificate C1 can be used for certification of further data packets received by the first data terminal device T1.
  • the application of the second data terminal T2 takes over the certificate C1 from the signaling protocol layer SIP and transfers this certificate into the area of the layer for the DCCP.
  • the received certificate C1 can also be temporarily stored in the central storage device M of the second data terminal device T2, in order to enable the various central devices to access various certificates and protocols of the second data terminal device T2 to this certificate C1 of the first data terminal device T1 ,
  • connection V2 according to DCCP for the fourth to sixth time step, i.e. built for the actual transmission of information or data.
  • the connection is made via the physical layer and any intermediate stations P3, P4.
  • the required certificates and / or keys are transferred from the respective application to the corresponding protocol layers (DCCP).
  • DCCP protocol layers
  • a secure SIP-based signaling connection is used for the first exchange of the certificates, the certificates also being used for the later securing of the subscriber data connection between the data terminals T1, T2.
  • the transfer of the certificates and keys can be implemented, for example, with the aid of special software mechanisms, for example in accordance with the known concepts shared memory (shared memory), call back function (callback function) or flags.
  • shared memory shared memory
  • callback function callback function
  • This procedure advantageously precludes unauthorized access during the transmission of encrypted data.
  • certificates and keys of the application can be used, so that special negotiation is not required when establishing the second connection V2.
  • the transfer of certificates and keys to the lower layers for encrypting the data is more effective than performing the encryption in the application itself.
  • the time for renegotiating certificates and keys is also advantageously saved.
  • the number of certificates and keys to be managed can be reduced, which also saves effort.
  • the e.g. The rudimentary security mechanism existing as a simple protocol has been improved by using previously transmitted certificates and keys for DCCP in connection with SIP-controlled connections.
  • the procedure can also be transferred to other protocols, in particular signaling protocols.
  • SIP signaling connection already secured from station to station (hop-by-hop), as the first connection VI between two terminals or data terminal stations T1, T2, the signals required to secure the data connection are established during the signaling to establish a data connection (session). de-to-end valid security certificates exchanged as security information.
  • a new SIP header can be signaled to indicate that the session or data connection to be established should be secured.
  • the public part of the security certificate of the inviting party is transmitted, which can advantageously be done in the SIP message INVITE.
  • the invited data terminal device T1 accepts the session, it transmits the public part of its own certificate C1 in the confirmation response OK (e.g. the SIP response 200 OK known per se).
  • the certificates C1, C2 for an end-to-end connection V2 are then handed over by the SIP software, the application of the respective protocol software being able to be used for this after the respective option (feature option) has been selected within DCCP.
  • Another possibility is that the transport of the necessary information, in particular security information
  • the SIP body is a part or section of the SIP message via which data that are transparent for SIP can be exchanged between applications. This is currently e.g. used for presence information or so-called instant message data and data of the Session Description Protocol (SDP).
  • SDP Session Description Protocol
  • the end-to-end certificates C1, C2 for the application data are thus already exchanged during the signaling via the first connection VI and are therefore available to the user level or the DCCP-controlled second connection V2 without a time delay, which means a faster session Construction enables.
  • Existing certificates C1, C2 can be used without having to carry out the complicated mechanism for exchanging these certificates for the second connection V2 again. In particular, no new certificates have to be generated and managed.
  • the certificates C1, C2 can be transferred under real-time conditions between the areas for SIP and DCCP and the user level.

Abstract

Die Erfindung bezieht sich auf ein Verfahren zum gesicherten Übertragen von Informationen über eine Verbindung (VI;V2) zwischen zwei Datenendeinrichtungen (T1, T2), bei dem zwischen den Datenendeinrichtungen hinsichtlich zumindest eines ersten und eines zweiten Protokolls (SIP;DCCP) zum Steuern und/oder Signalisieren zumindest erste bzw. zweite zueinander verschiedene Verbindungen (V1, V2) aufgebaut werden und zum Sichern der zum Übertragen der Informationen verwendeten Verbindung jeweils zumindest eine Sicherheitsinformation verwendet wird. Zur Vereinfachung des Verbindungsaufbaus wird vorgeschlagen, für die zweite Verbindung als die Sicherheitsinformation eine Sicherheitsinformation von der ersten Verbindung zu verwenden, wobei die erste und die zweite Verbindung über verschiedene logische und/oder physikalische Wege die erste und die zweite Datenendeinrichtung miteinander verbinden. Gemäss einem weiteren, eigenständigen Aspekt wird die Sicherheitsinformation für die zweite Verbindung zuvor über die erste Verbindung übertragen, so dass die Sicherheitsinformationen nicht erst nach dem Aufbau oder während des Aufbaus der zweiten Verbindung über diese ausgehandelt werden müssen.

Description

VERFAHREN UND VORRICHTUNG ZUR ÜBERTRAGUNG VON SICHERHEITS- UND NUTZINFORMATIONEN ÜBER GETRENNTE GESICHERTE VERBINDUNGEN
Beschreibung Verfahren und Vorrichtung zum gesicherten Übertragen von Informationen über eine gesicherte Verbindung 5 Die Erfindung bezieht sich auf ein Verfahren zum gesicherten ttbertagen von Informationen über eine gesicherte Verbindung zwischen zwei Datenendeinrichtungen gemäß den oberbegrifflichen Merkmalen des Patentanspruchs 1 bzw. eine Vorrichtung 10 zum Durchführen eines solchen Verfahrens. Allgemein bekannt ist das Übertragen von Informationen, insbesondere von Signalisierungen und Daten über eine Verbindung in einem öffentlichen Netz zwischen zwei Datenendeinrichtun- 15 gen. Gesicherte Übertragungen über eine gesicherte Verbindung werden vorgenommen, beispielsweise durch den Einsatz von Ver- schlüsselungsverfahren, um die Informationen vor unberechtigtem Zugriff zu schützen. Dazu werden zwischen den Kommunikationsendgeräten als Datenendeinrichtungen zu Beginn des Auf- 20 baus einer Verbindung oder zu Beginn der eigentlichen Übertragungsverbindung Zertifikate und/oder Schlüssel ausgetauscht, ggf. ausgehandelt. Zur Steuerung des Verbindungsaufbaus und der Übertragung wird 25 für eine logische und/oder physikalische Verbindung zumindest ein Protokoll verwendet. Allgemein bekannte Protokolle sind das sog. Session Initiation Protocol (SIP) als Signalisie- rungsprotokoll zwischen derartigen Datenendeinrichtungen als Signalisierungsprotokoll mit zwischenzeitlich weiteren Funk- 30 tionen und das in Entwicklung befindliche sog. Datagram Con- gestion Control Protocol (DCCP) als sehr einfaches Übertragungsprotokoll. Eine Verbindung gemäß SIP kann als gesicherte Verbindung zwischen den Datenendeinrichtungen und ggf. einer Vielzahl zwischen diesen angeordneten Zwischenstationen, wie 35 z.B. sog. Proxys und Registrierungsrechnern eingerichtet werden. Die Sicherung kann dabei von Station zu Station durch den Einsatz von Zertifikaten, Schlüsseln und/oder sonstigen
Sicherheitsmerkmalen der jeweiligen Verbindungstechnologie durchgeführt werden. Außerdem kann ein Austausch von Zertifikaten oder Schlüsseln zwischen den beiden Datenendeinrichtungen erfolgen, so dass diese alternativ oder zusatzlich eine gesicherte Übertragung zwischen diesen selber vornehmen kon-
In DCCP existiert nur ein rudimentärer Sicherheitsmechanismus, welcher bei genauerer Betrachtung jedoch als nicht aus- reichend sicher anzusehen ist. Gemäß dem Standardisierungs- Entwurf/Draft wird ein hoherwertiger Sicherheitsmechanismus auch nicht aufgenommen werden. Der vorhandene Sicherheitsmechanismus entspricht einem einfachen Sicherheitsmechanismus zum Aushandeln von Zertifikaten/Schlüsseln zwischen zwei Da- tenendeinrichtungen. Höhere Protokollschichten oder Applikationen werden nicht involviert. DCCP liefert insbesondere in Punkto kryptografischer Sicherheit keine Garantien. Für Applikationen, welche derartige Anforderungen haben, wird auf Mechanismen in höheren Schichten verwiesen. Auf DCCP-Ebene werden nur Zertifikate erzeugt, welche zwischen zwei Datenendeinrichtungen, also Sender und Empfanger, ein gegenseitiges Identifizieren ermöglichen, um mit diesen DCCP- Mechanismen ein gewisses Maß an Sicherheit gegen bestimmte Angriffe zu gewährleisten. Die Generierung von Zertifikaten auf DCCP-Ebene ist beispielsweise notwendig, um Funktionen wie DCCP-Mobilitat (DCCP Mobility) und das sog. Multi Homeing anbieten zu können. Eine Sicherheit auf Applikationsebene (Application Layer Security) reicht in diesem Zusammenhang jedoch nicht aus, da DCCP selber diese Zertifikate benotigen wurde und noch keine Möglichkeit besteht, diese Zertifikate von höheren ayern (Ebenen) zu nutzen. Ein Grundproblem besteht darin, dass Sender und Empfanger nach einem Verbindungsaufbau wechselseitig Zertifikate/Schlüssel zur Verfugung stellen müssen, welche mit Hilfe eines sicheren Verfahrens gewonnen wurden, um eine Identitatsuberprufung bei einem
Wechsel der IP-Adressen zu gewahrleisten (IP: Internet Protocol) Solche Zertifikate/Schlüssel können derzeit nur auf zwei
Ebenen erzeugt werden, nämlich innerhalb DCCP einerseits und andererseits auf der Applikationsebene.
Sollen Informationen über eine Verbindung zwischen zwei Da- tenendeinrichtungen gesichert übertragen werden, wird zwischen den beiden Datenendeinrichtungen eine erste Verbindung aufgebaut, wobei dafür zum Steuern/Signalisieren ein erstes Protokoll, beispielsweise SIP, verwendet wird. Dies ermöglicht den Aufbau einer gesicherten Verbindung für die Signa- lisierung und den Aufbau der eigentlichen Übertragungsverbindung als einer zweiten Verbindung zwischen den beiden Datenendeinrichtungen. Über die erste gesicherte Verbindung wird der Standort bzw. eine temporäre Internetadresse einer einzuladenden Datenendeinrichtung ermittelt, um dieser eine Einla- düng zum Verbindungsaufbau zu übertragen. Nach dem Zurücksenden einer Bestätigungsnachricht kann dann eine direkte und einfach verwaltete Internetverbindung zwischen den beiden Datenendeinrichtungen aufgebaut werden. Dies erfolgt über die zweite Verbindung mit einem eigenen Protokoll, beispielsweise DCCP. Zu Beginn der Übertragung von Informationen über die zweite Verbindung werden zwischen den beiden Datenendeinrichtungen Zertifikate und/oder Schlüssel ausgetauscht, um die nachfolgende Übertragung von Daten, insbesondere Anwenderdaten, als Informationen mit Hilfe dieser Zertifikate und/oder Schlüssel absichern zu können.
Die Aufgabe der Erfindung besteht darin, ein Verfahren zum gesicherten Übertragen von Informationen über eine Verbindung zwischen zwei Datenendeinrichtungen mit Blick auf die Absi- cherung und die Verfahrensweise bis zur eigentlichen Übertragung von Nutzdaten als Informationen zu vereinfachen.
Diese Aufgabe wird durch das Verfahren mit den Merkmalen des Patentanspruchs 1 bzw. durch die Vorrichtung mit den Merkma- len des Patentanspruchs 16 gelöst.
Ein Verfahren mit eigenständigem erfinderischen Gedanken und bevorzugter Ausfuhrung in Verbindung mit dem Verfahren des Patentanspruchs 1 weist die Merkmale des Patentanspruchs 2 auf.
Besonders bevorzugt wird ein Verfahren zum gesicherten übertragen von Informationen, worunter allgemein auch Signalisierungen und Daten zu verstehen sind, über eine Verbindung zwischen zwei Datenendeinrichtungen, wobei bei dem Verfahren zwischen den Datenendeinrichtungen hinsichtlich zumindest eines ersten und eines zweiten Protokolls zum Steuern und/oder Signalisieren zumindest erste bzw. zweite zueinander verschiedene Verbindungen aufbaubar sind und zum Sichern der zum übertragen der Informationen verwendeten Verbindung zumindest eine Sicherheitsinformation verwendet wird. Dabei kann zur
Vereinfachung für die Zweite der Verbindungen als die Sicherheitsinformation eine SicherheitsInformation von der ersten Verbindung verwendet werden, wobei die erste und die zweite Verbindung die erste und die zweite Datenendeinrichtung über verschiedene logische und/oder physikalische Wege verbinden.
Gemäß dem zweiten hervorzuhebenden und besonders bevorzugten Aspekt, der auch eigenständig umsetzbar ist, werden bei dem Verfahren zum gesicherten Übertragen von Informationen über eine Verbindung zwischen zwei Datenendeinrichtungen zwischen den Datenendeinrichtungen zumindest hinsichtlich eines ersten und eines zweiten Protokolls zumindest erste bzw. zweite zueinander verschiedene Verbindungen aufgebaut, wobei die erste Verbindung als gesicherte Verbindung parallel zur zweiten Verbindung und/oder zum Initialisieren der zweiten Verbindung aufgebaut wird, und wobei zum Sichern der zum übertragen der Informationen verwendeten zweiten Verbindung eine Sicherheitsinformation verwendet wird. Die Sicherheitsinformation für die zweite Verbindung kann dabei zuvor über die zuvor o- der parallel bestehende erste Verbindung übertragen werden.
Unabh ngig von der prinzipiellen Möglichkeit der Nutzung ein- und derselben Sicherheitsinformation für beide Verbindungen,
die erste und die zweite Verbindung, besteht somit die vorteilhafte Möglichkeit, über eine bestehende erste Verbindung, welche bereits mit irgendwie gearteten Mechanismen gesichert ist, Schlüssel und/oder Zertifikate zwischen den beiden Da- tenendeinrichtungen auszutauschen, die dann für die andere, zweite Verbindung verwendet werden. Über die zweite Verbindung kann somit ohne einen ersten anfänglich erforderlichen Austausch von Schlüsseln und Zertifikaten als Sicherheitsinformationen direkt mit der Übertragung von Nutzdaten als In- formationen begonnen werden.
Eine bevorzugte Vorrichtung als Datenendeinrichtung oder als Bestandteil für eine solche Datenendeinrichtung zum Umsetzen solcher Verfahren weist vorteilhafterweise eine Steuerein- richtung zum Steuern der Funktionalität der Vorrichtung und/oder zum Steuern von Signalisierungs- und/oder Übertragungsprogrammen entsprechend verschiedener Protokolle, zumindest eine Speichereinrichtung zum Speichern zumindest einer SicherheitsInformation zum Sichern der Übertragung von Infor- mationen über eine gesicherte von verschiedenen Verbindungen zwischen derartigen Datenendeinrichtungen und zumindest eine Schnittstelle zum Übertragen von Informationen, insbesondere Signalisierungen und/oder Daten, über eine oder beide der Verbindungen zu zumindest der einen oder anderen Datenendein- richtungen auf. Zweckmäßigerweise ist die Steuereinrichtung dabei derart ausgelegt, dass die Sicherheitsinformation, d.h. insbesondere Zertifikate und Schlüssel, die für die oder von der ersten Verbindung mit dem ersten Protokoll bereitsteht, für die zweite Verbindung mit dem zweiten Protokoll verwendet werden kann.
Vorteilhafte Ausgestaltungen sind Gegenstand von abhängigen Ansprüchen . Die Sicherheitsinformation kann über die erste Verbindung vorteilhafterweise als Dateninformation übertragen werden. Dies ermöglicht den Einsatz eines höherwertigen Protokolls
wie SIP, gem ß dem Datenpakete mit einem Body (Rumpfabschnitt) als Datenabschnitt zum übertragen von Zertifikaten und Schlüsseln für die zweite Verbindung verwendet werden können. Neben der Übertragung der Sicherheitsinformation in dem Body bzw. Datenpaket-Datenabschnitt für Nutzdaten kann die Sicherheitsinformation vorteilhafterweise auch in einem Datenpaket-Kopfabschnitt übertragen werden. Beispielsweise kann die Sicherheitsinformation in einer sog. Header-Zeile eingesetzt werden. So kann ein einziger Schlüssel oder ein einziges Zertifikat zu einer entfernten Datenendeinrichtung übertragen werden, um damit beide Verbindungen oder ggf. noch weitere Verbindungen zu sichern.
Vorteilhafterweise wird die erste Verbindung zwischen den Da- tenendeinrichtungen und zwischen dazwischen zwischengeschalteten Ubertragungs- und/oder Steuereinrichtungen individuell gesichert. Dies ermöglicht einer Datenendeinrichtung zu einer zweiten Datenendeinrichtung an einem unbekannten Ort bzw. mit einer unbekannten temporaren Internetadresse eine Verbindung aufzubauen und dabei übliche Verfahrensweisen gemäß SIP zu verwenden. Dabei wird in üblicher Art und Weise von einer einladenden Datenendeinrichtung über deren Schnittstelle zu einem öffentlichen Netz und z.B. einen oder mehrere Proxys als zwischengeschaltete Ubertragungseinrichtungen eine Ver- bindung zu einem Registrierungsrechner, insbesondere zu einer sog. S-CSCF (Serving Call State Control Function) als dienende Rufzustands-Steuerfunktion darin, aufgenommen. Nach dem Erhalt der temporaren IP-Adresse (Adresse gemß Internet- Protokoll) wird eine entsprechende einladende Verbindungsan- forderung (INVITE-Nachricht) an die einzuladende Datenendeinrichtung weitergesendet. Alternativ kann der anfragenden Datenendeinrichtung auch direkt die tempor re Internetadresse mitgeteilt werden. Nachdem die Datenendeinrichtung von der eingeladenen Datenendeinrichtung eine Antwort oder direkt von dem Registrierungsrechner deren temporare IP-Adresse erhalten hat, kann eine direkte Verbindung aufgebaut werden, welche nicht von Punkt zu Punkt (Hop-by-Hop) aufwandig zu sichern
ist. Für die direkte, zweite Verbindung reicht die Verwendung von Schlüsseln und/oder Zertifikaten aus, die zwischen den beiden Datenendeinrichtungen ausgetauscht wurden, wobei auf in den Datenendeinrichtungen bereits bekannte und für vor- zugsweise alle verschiedenartigen Verbindung verwendbare Zertifikate und Schlüssel zurückgegriffen werden kann. Alternativ kann für die direkte, zweite Verbindung auch ein Schlüssel oder ein Zertifikat verwendet werden, welche zuvor über die erste Verbindung mit der Antwort-Nachricht (OK-Nachricht) übertragen wurden. Die zweite Datenendeinrichtung kann im
Falle von aktuell übertragenen Sicherheitsinformationen, insbesondere Schlüsseln und Zertifikaten, solche direkt mit einer ersten Übertragung über die direkte, zweite Verbindung oder zuvor über die gesicherte erste Verbindung, beispiels- weise als Bestandteil der INVITE-Nachricht übertragen bekommen.
Die Übertragung der Sicherheitsinformation innerhalb der Datenendeinrichtungen von einem Steuerbereich und/oder einem Steuerprogramm für das erste Protokoll, insbesondere SIP, zu einem Steuerbereich und/oder Steuerprogramm für das zweite Protokoll, insbesondere DCCP, wird vorteilhafterweise durch eine Steuereinrichtung der Datenendeinrichtung veranlasst. Möglich ist aber auch die Veranlassung durch eine Applikati- on, insbesondere ein Anwendungsprogramm, welches den Aufbau und Unterhalt der einzelnen Verbindung steuert.
Ermöglicht wird somit die Verwendung von Endpunkt-zuEndpunkt-Zertifikaten und Schlüsseln, die in einer Datenend- einrichtung beispielsweise durch eine vorherige Signalisierung bereits vorhanden sind und vorteilhafterweise von einer Applikation auf Applikationsebene zur Verfügung gestellt werden. Dies reduziert die Anzahl der insgesamt benötigten Zertifikate und Schlüssel als Sicherheitsinformation, wenn diese zusätzlich in den unteren Schichten bzw. Ebenen Verwendung finden. Dies ist ein besonderer Vorteil gegenüber bisherigen Verfahren, bei denen auf Applikationsschicht vorhandene Zer
tifikate und Schlüssel in den untern Schichten nicht wiederverwendet wurden. Die Applikationsschicht übergibt beispielsweise der Schicht mit DCCP ihre Zertifikate oder sonstige Sicherheitsinformationen auf sichere Art und Weise. Fokussiert wird insbesondere eine Verfahrensweise außerhalb des direkten Bereichs des DCCP für die Beschaffung und Bereitstellung von Sicherheitsinformationen, die im DCCP-Bereich verwendet werden können. Insbesondere können im DCCP-Bereich Zertifikate wiederverwendet werden, die im SIP-Bereich bzw. im Bereich sonstiger Signalisierungsprotokolle bereits vorhanden sind.
Ein Ausführungsbeispiel wird nachfolgend anhand der Zeichnung näher erläutert. Es zeigen:
Fig. 1 zwei verschiedene Verbindungen zwischen zwei Daten- endeinrichtungen;
Fig. 2 ein zeitliches Ablaufdiagramm von Übertragungen zwischen einzelnen der dargestellten Einrichtungen und Stationen; und
Fig. 3 verschiedene Schichten zweier miteinander kommunizierender Datenendeinrichtungen, wobei Sicherheitsinformationen zu Beginn eines Verbindungsaufbaus über eine erste Verbindung übertragen werden und anschließend Nutzdaten über eine zweite Verbindung übertragen werden, wobei die zweite Verbindung mit den über die erste Verbindung übertragenen Sicherheitsinformationen gesichert wird. Wie aus Fig. 1 ersichtlich, besteht die Möglichkeit, zwischen zwei Datenendeinrichtungen, beispielsweise üblichen Terminals Tl, T2, Mobilfunkgeräten, mobilen oder fest vernetzten Computern und dergleichen eine Kommunikationsverbindung zur Übertragung von Informationen aufzubauen. Die Informationen kön- nen dabei Signalisierungen sein, wie sie zum Aufbauen, Aufrechterhalten und Abbauen einer Verbindung oder sonstige Zwe
cke verwendet werden. Informationen können auch Daten, insbesondere Anwenderdaten sein.
Die Übertragung kann über verschiedene Verbindungen VI, V2 erfolgen, welche zeitlich direkt oder versetzt nacheinander aufgebaut werden und ggf. zeitlich parallel zueinander bestehen. Bei den Verbindungen VI, V2 kann es sich je nach Bedarf um reine Signalisierungsverbindungen, kombinierte Signalisie- rungs- und Datenübertragungsverbindungen oder reine Datenver- bindungen handeln. Die Verbindungswege der Verbindungen VI, V2 können dabei hinsichtlich logischer und physikalischer Verbindungen gleich oder verschieden sein.
Die erste Verbindung VI des dargestellten Ausführungsbei- Spiels führt als Funkverbindung von der ersten Datenendeinrichtung Tl zu einer ersten Zwischeneinrichtung, beispielsweise einem Proxy Pl mit einer entsprechenden Sende- und Empfangseinrichtung. Der weitere Verlauf der ersten Verbindung VI führt vom Proxy Pl zu einem zentralen Rechner S-CSCF (Ser- ving Call State Control Function) , der eine dienende Rufzu- stands-Steuerfunktion S-CSCF als eine Funktionskomponente aufweist. Der zentrale Rechner S-CSCF kann somit eine Funktion als ein Registrar übernehmen, bei dem in einem Speicher MR Adressen verschiedener registrierter Teilnehmer Ti: Tl, T2, T3 registriert sind. Alternativ kann der zentrale Rechner S- CSCF auch eine weitere Verbindung zu entsprechenden Registrierungseinrichtungen aufweisen. Für jeden Teilnehmer Ti sind in dem Speicher MR jeweils zumindest eine globale Adresse und eine temporäre Adresse hinterlegt. Die globale Adresse ist die dem Teilnehmer Ti eindeutig und dauerhaft zugeordnete SIP-Adresse, unter welcher der Teilnehmer bzw. die Teilneh- merstation als Datenendeinrichtung Ti, Tl, T2, T3 erreichbar ist. Die temporäre Adresse ist diejenige IP-Adresse (IP: Internet Protokoll) , welche einer Datenendeinrichtung Ti, Tl, T2 als momentane Zugangsadresse zugeordnet ist. Die temporäre Adresse ist somit diejenige Adresse unter der die Datenendeinrichtung Tl, T2 momentan tatsächlich erreichbar ist. Der
zentrale Rechner S-CSCF nimmt eine Umsetzung einer globalen Adresse in eine temporäre Adresse vor.
Die erste Verbindung VI führt von dem zentralen Rechner S- CSCF über z.B. eine leitungsgebundene Verbindung zu einem weiteren zwischengeschalteten Rechner, vorliegend Proxy P2, und von dort aus über z.B. eine weitere Funkschnittstelle zu der zweiten Datenendeinrichtung T2. Typische Anwendungsfälle sehen Verbindungen mit mehr oder weniger sowie ggf. auch an- dersartigen Zwischeneinrichtungen längs der Verbindungsstrecke der Verbindung VI vor.
Die zweite Verbindung V2 führt von der ersten Datenendeinrichtung Tl über zwei Zwischeneinrichtungen, vorliegend zwei Proxys P3, P4, zu der zweiten Datenendeinrichtung T2. Wie dargestellt, kann auch diese Verbindung V2 über verschiedenartige Schnittstellentypen, vorliegend zwei Funkschnittstellen und eine kabelgebundene Schnittstelle, aufgebaut werden. Die erste Verbindung VI dient beim bevorzugten Ausführungsbeispiel dazu, eine gesicherte Verbindung V2 zwischen der zweiten Datenendeinrichtung T2 und der ersten Datenendeinrichtung Tl aufzubauen. Der Verbindungsaufbau erfolgt dabei unter Verwendung eines Signalisierungsprotokolls, beispiels- weise SIP, H.323 oder MGCP (Media Gateway Control Protocol) . Für die Sicherung der Verbindung können beliebige für sich bekannte Sicherungsmechanismen verwendet werden. Beispielsweise kann eine Sicherung über die Verwendung von Sicherheitsinformationen, z.B. Schlüsseln und Zertifikaten erfol- gen, welche zwischen den jeweiligen miteinander kommunizierenden Stationen und Zwischenstationen T2, P2, S-CSCF, Pl, Tl ausgetauscht werden. Bekannt sind z.B. auch gesicherte Verbindungen, die auf der Verwendung einer individuell zugeordneten Leitung oder Funkverbindung beruhen. Über die gesicher- te erste Verbindung VI kann dann eine Einladung, z.B. eine sog. INVITE-Nachricht von der zweiten Datenendeinrichtung T2 zu dem zentralen Rechner S-CSCF gesendet werden, wobei die
INVITE-Nachricht I-Tl u.a. die Adresse der angeforderten ersten Datenendeinrichtung Tl enthalt. Bei der Adresse handelt es sich um die globale Adresse, welcher von dem zentralen Rechner S-CSCF die temporare IP-Adresse zugeordnet wird, um daraufhin die INVITE-Nachricht zu der ersten Datenendeinrichtung Tl weiterzuleiten. Mit einer Bestatigungsnachricht OK- T2, welche neben der IP-Adresse der zweiten Datenendeinrichtung T2 als Zieladresse als Absenderadresse die temporare IP- Adresse der ersten Datenendeinrichtung Tl enthalt, werden der zweiten Datenendeinrichtung T2 die für den Verbindungsaufbau erforderlichen Informationen übermittelt. Die zweite Datenendeinrichtung T2 erhalt somit über eine gesicherte Verbindung alle Informationen für einen direkten Verbindungsaufbau über eine zweite Verbindung V2 zwischen der zweiten und der ersten Datenendeinrichtung T2, Tl.
Die zweite Verbindung V2 wird jedoch vorteilhafterweise mit Hilfe eines sehr einfachen Signalisierungsprotokolls, beispielsweise DCCP aufgebaut und dient zur nachfolgenden Uber- tragung von Daten als den eigentlichen Informationen. Zur Absicherung der zweiten Verbindung V2 werden üblicherweise zu Beginn Sicherheitsinformationen zwischen den Datenendstationen ausgetauscht. Vorliegend wird jedoch vorteilhafterweise ausgenutzt, dass bereits über die erste Verbindung VI Sicher- heitsinformationen austauschbar sind, so dass der ersten Datenendeinrichtung Tl zusammen mit der INVITE-Nachricht I-Tl auch ein Zertifikat C2 und/oder Schlüssel der zweiten Datenendeinrichtung T2 übertragen werden kann. Mit der Bestatigungsnachricht 0K-T2 werden in umgekehrter Richtung von der ersten Datenendeinrichtung Tl zur zweiten Datenendeinrichtung T2 Sicherheitsinformationen, wiederum beispielsweise ein Zertifikat Cl und Schlüssel der ersten Datenendeinrichtung Tl, übertragen. Für die zweite Verbindung V2 werden diese zuvor ausgetauschten Sicherheitsinformationen mitverwendet, so dass ein einleitender Austausch derartiger Sicherheitsinformationen entbehrlich ist.
Anhand Fig. 2 ist der zeitliche Ablauf von Informationsübertragungen zweier Datenendeinrichtungen sowie zwischengeschal- teter Zwischeneinrichtungen veranschaulicht. Zu einem ersten Zeitpunkt tl registriert sich die erste Datenendeinrichtung Tl bei dem zentralen Rechner S-CSCF durch das Aussenden einer sog. REGISTER-Nachricht Rl . Die REGISTER-Nachricht Rl wird dazu von der ersten Datenendeinrichtung Tl zu einer Zwischeneinrichtung, vorliegend einem Proxy Pl gesendet, an dem die erste Datenendeinrichtung Tl angeschlossen ist. Der Proxy Pl leitet die REGISTER-Nachricht Rl zu dem zentralen Rechner S- CSCF weiter. Der zentrale Rechner S-CSCF entnimmt der REGISTER-Nachricht die temporäre IP-Adresse der ersten Datenendeinrichtung Tl und trägt diese in die entsprechende Zeile einer Adresszuordnungstabelle ein. Zum gleichen oder einem anderen Zeitpunkt meldet sich die zweite Datenendeinrichtung T2 beim zentralen Rechner S-CSCF durch das Übertragen einer entsprechenden REGISTER-Nachricht R2 an. In der Tabelle des zentralen Rechners sind somit für die erste und für die zweite Datenendeinrichtung Tl, T2 neben deren globalen Adressen auch die temporären Adressen registriert, unter denen die Datenendeinrichtungen Tl, T2 momentan erreichbar sind.
Zu einem späteren, zweiten Zeitpunkt t2 möchte die zweite Datenendeinrichtung T2 bzw. deren Anwender eine Datenübertra- gungsverbindung zur ersten Datenendeinrichtung Tl aufbauen. Dazu sendet die zweite Datenendeinrichtung T2 eine sog. INVITE-Nachricht I-Tl über eine gesicherte Verbindung zu dem Zwischenrechner bzw. Proxy P2, mit dem die zweite Datenendeinrichtung T2 in Verbindung steht. Die Einladungs- bzw. INVITE-Nachricht I-Tl enthält als Information neben der Ab- senderadresse, insbesondere temporären IP-Adresse, der zweiten Datenendeinrichtung T2 auch die globale Adresse der ersten Datenendeinrichtung Tl. Bei dem bevorzugten Ausführungsbeispiel wird außerdem zusammen mit der INVITE-Nachricht I-Tl ein Zertifikat und/oder Schlüssel T2 der zweiten Datenendeinrichtung T2 übertragen. Über eine weitere gesicherte Verbindung wird die INVITE-Nachricht I-Tl* von dem Proxy P2 zu dem
zentralen Rechner S-CSCF weitergeleitet. Dabei wird die temporäre und/oder globale IP-Adresse der zweiten Datenendeinrichtung T2 sowie die Sicherheitsinformation C2 als Datenbestandteile von Kopfabschnittzeilen (Header) oder als Bestand- teile des Nutzdatenabschnitts (Body) weitergeleitet. Der zentrale Rechner S-CSCF ordnet der angeforderten globalen Adresse der ersten Datenendeinrichtung Tl deren momentane temporäre IP-Adresse zu und leitet eine entsprechende Nachricht an die zweite Datenendeinrichtung T2 zurück. Bei dem bevor- zugten Ausfuhrungsbeispiel leitet der zentrale Rechner S-CSCF die INVITE-Nachricht in Richtung der ersten Datenendeinrichtung Tl bzw. zu deren temporärer IP-Adresse weiter. Die Weiterleitung dieser INVITE-Nachricht I-Tl° erfolgt beispielsweise über einen oder mehrere Proxys Pl, welche diese oder eine entsprechend den jeweiligen Systemvoraussetzungen modifizierte INVITE-Nachricht I-Tl00 zu der ersten Datenendeinrichtung Tl weiterleiten.
Nach dem Empfang der INVITE-Nachricht I-Tl°° und der Bereit- schaft zum Aufbauen der angeforderten Verbindung sendet die erste Datenendeinrichtung Tl eine entsprechende Bestätigung in Form einer Bestätigungsnachricht OK-T2 ° ° in Richtung der zweiten Datenendeinrichtung T2 ab. Die Bestätigungsnachricht OK-T200 weist dabei als Zieladresse die globale IP-Adresse der zweiten Datenendeinrichtung T2 sowie vorzugsweise eine Sicherheitsinformation in Form eines Zertifikats und/oder Schlüssels Cl der ersten Datenendeinrichtung Tl auf. Beim dargestellten Beispiel wird die Bestätigungsnachricht OK-T200 über denselben von Station zu Station gesicherten Weg, d.h. die Zwischeneinrichtungen in Form der Proxys Pl, P2 und den zentralen Rechner S-CSCF übertragen. Die Bestätigungsnachricht OK-T200, 0K-T2", OK-T2*, 0K-T2 wird dabei entsprechend den Anforderungen des gewählten ÜbertragungsSystems ggf. modifiziert übertragen. Nachdem die erste Datenendeinrichtung Tl zu einem dritten Zeitpunkt t3 die Bestätigungsnachricht 0K-T2°° abgesendet hat und die zweite Datenendeinrichtung T2 die Bestätigungsnachricht 0K-T200 empfangen hat, sind die für
den Aufbau einer direkten Verbindung V2 erforderlichen Informationen zwischen den beiden Datenendeinrichtungen Tl, T2 ausgetauscht. Die Registrierung sowie 'der Austausch erforderlicher Informationen über die gesicherte Verbindung VI erfolgt vorteilhafterweise gemäß einem für sich bekannten und sicheren Signali- sierungsprotokoll, beispielsweise das SIP. Nachfolgend wird die zweite Verbindung V2 als direkte Verbindung von Endpunkt zu Endpunkt zwischen der zweiten und der ersten Datenendeinrichtung T2, Tl aufgebaut. Dabei wird nun vorzugsweise jeweils die nun bekannte globale Adresse verwendet. Optional wird der Aufbau durch das Übertragen einer Bes- tätigungsnachricht ACK von der zweiten zur ersten Datenendeinrichtung T2, Tl bestätigt. Ab einem nachfolgenden fünften Zeitpunkt t5 erfolgt dann die direkte Endpunkt-zu-Endpunkt- Übertragung von Informationen, vorliegend von Daten. Die Ü- bertragung kann dabei unter Zwischenschaltung der beiden Zwi- scheneinrichtungen bzw. Proxys P3, P4 erfolgen, wobei eine Endpunktabsicherung für die Sicherung der zu übertragenden Informationen bzw. Daten verwendet wird. Anstelle eines vorherigen Austauschs entsprechender Sicherheitsinformationen verwenden die beiden Datenendeinrichtungen Tl, T2, die wäh- rend der Initialisierungsphase über die erste Verbindung VI empfangenen Sicherheitsinformationen C2 bzw. Cl der jeweils anderen Datenendeinrichtung T2, Tl .
Zu einem sechsten Zeitpunkt t6 wird die Verbindung nach Über- tragung aller erforderlicher Informationen bzw. Daten in für sich bekannter Art und Weise durch das Übertragen entsprechender Verbindungsabbau-Nachrichten BY, OK abgebaut.
Alternative Ausführungsbeispiele können für verschiedenar- tigste Signalisierungs- und Übertragungsprotokolle entwickelt werden. Auch können Zwischeneinrichtungen Pl, P2, P3, P4 oder der zentralen Rechner S-CSCF aus der ersten bzw. zweiten Ver
bindung VI, V2 weggelassen werden oder weitere Zwischenstationen und dergleichen hinzugefügt werden. Insbesondere kann die erste Verbindung VI an einem zentralen Rechner S-CSCF vorbeigeführt werden, wenn die notwendige temporäre Adresse der ersten Datenendeinrichtung Tl beispielsweise von einem Proxy beschafft wird, welcher eine separate Verbindung zu einem entsprechenden zentralen Rechner S-CSCF oder dergleichen mit einer geeigneten Adresstabelle aufbauen kann. Fig. 3 zeigt schematisch einzelne Elemente und Funktionen der beiden miteinander kommunizierenden Datenendeinrichtungen Tl, T2. Die logisch unterste Schicht bzw. Ebene wird durch den sog. physikalischen Layer ausgebildet. Der physikalische Lay- er dient zur physikalischen Übertragung der Informationen und Signalisierungen gemäß einem Standard wie beispielsweise E- thernet, UMTS (Universal Mobile Telecommunications System) oder GPRS (General Packet Radio Service) . Über den physikalischen Layer werden die erste Verbindung VI und die zweite Verbindung V2 aufgebaut. Beim bevorzugten Ausführungsbeispiel erfolgt der Aufbau der ersten Verbindung VI gemäß SIP und der Aufbau und Unterhalt der zweiten Verbindung V2 gemäß DCCP. Von den einzelnen Datenendeinrichtungen Tl, T2 führen jeweils einer oder mehrere Ports p als Schnittstellen zum physikalischen Layer p.
Die zweite Ebene wird durch das Internetprotokoll IP ausgebildet, nachdem in für sich bekannter Art und Weise die Steuerung der Übertragung auf der physikalischen Schicht durchgeführt wird. In der zweiten Schicht sind das sog. User Da- tagram Protocol (UDP) und das Transmission Control Protocol
(TCP) als weitere Protokolle der Transportschicht angeordnet. Das TCP ermöglicht den höheren Schichten eine verbindungsori- entierte Arbeitsweise. Über UDP und TCP sitzt in einer höheren Schicht das Signalisierungsprotokoll SIP als eine Art Ap- plikation. Mit dieser Schichtanordnung lassen sich von einer übergeordneten Applikation aus SIP-gesteuerte Verbindungen, wie die erste Verbindung VI, ansteuern.
Für die Ansteuerung der zweiten Verbindung V2 gemäß DCCP gibt es einen ähnlichen Schichtau au, der von der übergeordneten Applikation angesteuert werden kann. In der untersten Schicht befindet sich wiederum der physikalische Layer mit einem oder mehreren Ports p. Übergeordnet ist das Internetprotokoll IP, dem als darüber liegende Schicht das DCCP übergeordnet ist. Dem DCCP ist z.B. ein Echtzeit-Transportprotokoll RTP (Realtime Transport Protocol) übergeordnet, welches beispielsweise für die Steuerung von Sprachübertragungen über das Internet gemäß dem sog. Voice over IP (VoIP) einsetzbar ist.
Die Datenendeinrichtungen Tl, T2, weisen zweckmäßigerweise auch eine Steuereinrichtung C zum Steuern der Funktionalität sowie eine Speichereinrichtung M zum Abspeichern von Steuerprogrammen, Betriebsparametern und vorzugsweise auch Schlüsseln und Zertifikaten Cl, C2 auf. Die einzelnen Komponenten sowie weitere für den Betrieb erforderlichen Komponenten sind über geeignete Busse und Leitungen L miteinander verbunden.
Fig. 3 zeigt eine zeitliche Situation ab dem dritten Zeitpunkt t3. In der ersten Datenendeinrichtung Tl ist in deren Speichereinrichtung M ein erstes Zertifikat Cl abgespeichert. In der zweiten Datenendeinrichtung T2 ist in deren Spei- chereinrichtung M ein dieser zugeordnetes zweites Zertifikat C2 abgespeichert.
Über eine vorherige INVITE-Nachricht I-Tl wurde der ersten Datenendeinrichtung Tl über die erste Verbindung VI zuvor be- reits das zweite Zertifikat C2 übertragen und in einem Speicherabschnitt des DCCP und/oder der zentralen Speichereinrichtung der ersten Datenendeinrichtung Tl gespeichert. Vorteilhafterweise erfolgt die Speicherung nur zeitlich befristet für die Dauer der ersten und der zweiten Verbindung VI, V2 oder eine begrenzte Zeitdauer darüber hinaus, innerhalb derer eine erneute Übertragung von Informationen zwischen den beiden Datenendeinrichtungen Tl, T2 zu erwarten ist.
Zu dem dritten Zeitpunkt t3 wird zusammen mit der Bestätigungsnachricht OK-Tl oder in einer eigenen zusätzlichen Nachricht das Zertifikat Cl der ersten Datenendeinrichtung Tl nach dem Auslesen aus deren Speichereinrichtung M von der aktiven Applikation über die Schicht des SIP, die Schicht mit UDP, TCP und die Schicht des Internetprotokolls IP zur physikalischen Schicht übergeben. Über die physikalische Schicht erfolgt die Übertragung über die erste Verbindung VI zu der zweiten Datenendeinrichtung T2, wobei wiederum entsprechend geeignete und/oder erforderliche Zwischeneinrichtungen Pl, S- CSCF, P2 durchlaufen werden.
In der zweiten Datenendeinrichtung T2 wird die empfangene Bestätigungsnachricht 0K-T2 von der physikalischen Schicht über die Protokollschichten zu der Signalisierungsprotokoll- schicht SIP übertragen. In dieser kann das Zertifikat Cl für eine Zertifizierung weiterer von der ersten Datenendeinrichtung Tl empfangener Datenpakete verwendete werden. Gemäß dem bevorzugten Ausführungsbeispiel übernimmt die Applikation der zweiten Datenendeinrichtung T2 das Zertifikat Cl aus der Sig- nalisierungsprotokollschicht SIP und überträgt dieses Zertifikat in den Bereich der Schicht für das DCCP. Zusätzlich o- der alternativ kann das empfangene Zertifikat Cl auch in der zentralen Speichereinrichtung M der zweiten Datenendeinrichtung T2 zwischengespeichert werden, um von der zentralen Speichereinrichtung aus einen Zugriff für verschiedenste Einrichtungen und Protokolle der zweiten Datenendeinrichtung T2 auf dieses Zertifikat Cl der ersten Datenendeinrichtung Tl zu ermöglichen.
Nachdem die beiden Datenendeinrichtungen Tl, T2 auf diese Art und Weise über die erste Verbindung VI jeweils ein Zertifikat C2 bzw. Cl der anderen Datenendeinrichtung T2 bzw. Tl empfan- gen haben und auch alle anderen Informationen für den Aufbau einer direkten zweiten Verbindung V2 vorliegen, wird zwischen der ersten und der zweiten Datenendeinrichtung Tl, T2 die
zweite Verbindung V2 gemäß DCCP für den vierten bis sechsten Zeitschritt, d.h. für die eigentliche Übertragung von Informationen bzw. Daten aufgebaut. Die Verbindung erfolgt dabei über die physikalische Schicht und ggf. zwischengeschaltete Zwischenstationen P3, P4.
Ermöglicht wird insbesondere auf Applikationsebene vorhandene Zertifikate und Schlüssel in den unteren Schichten wieder zu verwenden. Die benötigten Zertifikate und/oder Schlüssel wer- den von der jeweiligen Applikation an die entsprechenden Pro- tokollschichten (DCCP) übergeben. Dabei wird für den ersten Austausch der Zertifikate eine gesicherte SIP-basierte Signa- lisierungsverbindung verwendet, wobei die Zertifikate auch für die spätere Sicherung der Teilnehmer-Datenverbindung zwi- sehen den Datenendeinrichtungen Tl, T2 verwendet werden. Die Übergabe der Zertifikate und Schlüssel kann beispielsweise mit Hilfe spezieller Softwaremechanismen, beispielsweise gemäß den bekannten Konzepten shared emory (geteilter Speicher) , call back Funktion (Rückruffunktion) oder flags reali- siert werden. Vorteilhafterweise wird dazu in den Protokollen der unteren Schichten die Obergabe der Zertifikate und Schlüssel an diese unteren Schichten berücksichtigt. Zur eigentlichen Verschlüsselung können für sich bekannte Verfahren herangezogen werden.
Vorteilhafterweise ist bei dieser Vorgehensweise während der Übertragung verschlüsselter Daten ein unberechtigter Zugriff ausgeschlossen. Außerdem können Zertifikate und Schlüssel der Applikation verwendet werden, so dass eine spezielle Aushand- lung beim Aufbau der zweiten Verbindung V2 nicht erforderlich ist. Die Übergabe der Zertifikate und Schlüssel an die unteren Schichten zur Verschlüsselung der Daten ist effektiver als die Verschlüsselung in der Applikation selber durchzuführen. Vorteilhafterweise wird auch die Zeit für ein erneutes Aushandeln von Zertifikaten und Schlüsseln eingespart. Außerdem kann die Anzahl der zu verwaltenden Zertifikate und Schlüssel reduziert werden, was zusätzlich Aufwand einspart.
Gemäß dem zweiten grundlegenden Aspekt wird der in z.B. DCCP als einfachem Protokoll existierende rudimentäre Sicherheitsmechanismus verbessert, indem in Verbindung mit SIP- gesteuerten Verbindungen zuvor übertragene Zertifikate und Schlüssel auch für DCCP verwendet werden. Anstelle von SIP und DCCP ist die Verfahrensweise auch auf andere Protokolle, insbesondere Signalisierungsprotokolle übertragbar. Über die bereits von Station zu Station (Hop-by-Hop) gesicherte SIP-Signalisierungsverbindung als erster Verbindung VI zwischen zwei Terminals bzw. Datenendstationen Tl, T2 werden während der Signalisierung zum Aufbau einer Datenverbindung (Session) die zum Sichern der Datenverbindung notwendigen En- de-zu-Ende-gültigen Sicherheitszertifikate als Sicherheitsinformation ausgetauscht.
Dafür kann beispielsweise ein neuer SIP-Header signalisiert werden, um mitzuteilen, dass die aufzubauende Session bzw. Datenverbindung gesichert werden soll. Außerdem wird der öffentliche Teil des Sicherheitszertifikates des Einladenden übertragen, was vorteilhafterweise in der SIP-Nachricht INVITE erfolgen kann. Wenn die eingeladene Datenendeinrichtung Tl die Session annimmt, überträgt sie in der Bestätigungsantwort OK (z.B. der für sich bekannten SIP Response 200 OK) den öffentlichen Teil ihres eigenen Zertifikates Cl . Die Zertifikate Cl, C2 für eine Ende-zu-Ende-Verbindung V2 werden dann von der SIP-Software übergeben, wobei dazu die Applikation der jeweiligen Protokollsoftware verwendet werden kann, nachdem innerhalb von DCCP die jeweilige Option (Feature Option) ausgewählt worden ist.
Eine weitere Möglichkeit besteht darin, dass der Transport der notwendigen Informationen, insbesondere Sicherheitsinf r
mationen, wie z.B. das Flag, dass Sicherheit für die User plane (Anwenderebene) erforderlich ist, sowie die Zertifikate Cl, C2 der Anwender bzw. Datenendeinrichtungen Tl, T2, in einem Teil des SIP-Body durchgeführt wird. Der SIP-Body ist ein Teil bzw. Abschnitt der SIP-Nachricht, über den für SIP transparente Daten zwischen Applikationen ausgetauscht werden können. Dies wird derzeit z.B. für Presence-Informationen oder sog. Instant-Message-Daten und Daten des Session Desc- ription Protocol (SDP) benutzt.
Die Ende-zu-Ende-Zertifikate Cl, C2 für die Anwendungsdaten werden somit bereits während der Signalisierung über die erste Verbindung VI ausgetauscht und stehen daher der Anwenderebene bzw. der DCCP-gesteuerten zweiten Verbindung V2 ohne Zeitverzögerung zur Verfügung, was einen schnelleren Session- Aufbau ermöglicht. Es können bereits vorhandene Zertifikate Cl, C2 verwendet werden, ohne den komplizierten Mechanismus zum Austausch dieser Zertifikate für die zweite Verbindung V2 erneut durchführen zu müssen. Insbesondere müssen keine neuen Zertifikate generiert und verwaltet werden. Die Zertifikate Cl, C2 können unter Echtzeitbedingungen zwischen den Bereichen für SIP und DCCP sowie der Anwenderebene übertragen werden.

Claims

Patentansprüche
1. Verfahren zum gesicherten übertragen von Informationen ü- ber eine Verbindung (VI; V2) zwischen zwei Datenendeinrich- tungen (Tl, T2) bei dem,
- zwischen den Datenendeinrichtungen (Tl, T2) hinsichtlich zumindest eines ersten und eines zweiten Protokolls (SIP; DCCP) zum Steuern und/oder Signalisieren zumindest erste bzw. zweite zueinander verschiedene Verbindungen (VI bzw. V2) auf- baubar sind und
- zum Sichern der zum übertragen der Informationen verwendeten Verbindung zumindest eine Sicherheitsinformation (Cl, C2) verwendet wird, dadurch g e k e n n z e i c h n e t , dass - für die zweite Verbindung (V2) als die Sicherheitsinformation eine Sicherheitsinformation (Cl, C2) von der ersten Verbindung (VI) verwendet wird und dass die erste und die zweite Verbindung (VI, V2) über verschiedene logische und/oder physikalische Wege (SIP, Tl-Pl- (S-CSCF) -P2-T2 bzw. DCCP, T1-P3- P4-T2) die erste und die zweite Datenendeinrichtung (T1-T2) verbinden.
2. Verfahren zum gesicherten übertragen von Informationen u- ber eine Verbindung (VI; V2) zwischen zwei Datenendeinrich- tungen (Tl, T2) , insbesondere Verfahren nach Anspruch 1, bei dem,
- zwischen den Datenendeinrichtungen (Tl, T2) zumindest hinsichtlich eines ersten und eines zweiten Protokolls (SIP, DCCP) zumindest erste bzw. zweite zueinander verschiedene Verbindungen (VI bzw. V2) aufgebaut werden, wobei die erste Verbindung (VI) als gesicherte Verbindung parallel zur zweiten Verbindung (V2) und/oder zum Initialisieren der zweiten Verbindung (V2) aufgebaut wird (t2 - t3) , und
- zum Sichern der zum Übertragen der Informationen (Daten) verwendeten zweiten Verbindung (V2) eine Sicherheitsinformation (Cl, C2) verwendet wird (t5) , dadurch g e k e n n z e i c h n e t , dass
- die Sicherheitsinformation (Cl, C2) für die zweite Verbindung (V2) zuvor (t2 - t3) über die erste Verbindung (VI) ü- bertragen wird oder wurde.
3. Verfahren nach Anspruch 2, bei dem die Sicherheitsinformation (Cl, C2) über die erste Verbindung als Dateninformation (Daten) übertragen wird.
4. Verfahren nach Anspruch 3, bei dem die Sicherheitsinformation (Cl, C2) in einem Datenpaket-Kopfabschnitt oder in einem Datenpaket-Datenabschnitt für Nutzdaten übertragen wird.
5. Verfahren nach einem vorstehenden Anspruch, bei dem die Sicherheitsinformation zum Sichern der ersten und der zweiten Verbindung (VI, V2) verwendet wird.
6. Verfahren nach einem vorstehenden Anspruch, bei dem die erste Verbindung (VI) zwischen den Datenendeinrichtungen (Tl, T2) und zwischen zwischengeschalteten Ubertragungs- und/oder Steuereinrichtungen (Tl-Pl, Pl-S-CSCF, S-CSCF-P2, P2-T2) individuell gesichert wird (Hop-by-Hop) .
7. Verf hren nach einem vorstehenden Anspruch, bei dem die zweite Verbindung (V2) zwischen den Datenendeinrichtungen
(Tl, T2) als Endpunkten der Verbindung (V2) von Endpunkt zu Endpunkt gesichert wird.
8. Verfahren nach einem vorstehenden Anspruch, bei dem die Sicherheitsinformation (Cl, C2) in der Datenendeinrichtung
(Tl; T2) in einem für das erste und das zweite Protokoll (SIP, DCCP) gemeinsam zugeordneten Speicherbereich (M) gespeichert und aus diesem in Echtzeit abgerufen wird.
9. Verfahren nach einem vorstehenden Anspruch, bei dem die Sicherheitsinformation (Cl, C2) in der Datenendeinrichtung (Tl, T2) von einem Steuerbereich und/oder einem Steuerpro
gramm für das erste Protokoll (SIP) zu einem Steuerbereich und/oder einem Steuerprogramm für das zweite Protokoll (DCCP) übertragen wird.
10. Verfahren nach einem vorstehenden Anspruch, bei dem als die Sicherheitsinformation (Cl, C2) zumindest ein Zertifikat oder Schlüssel zum Authentisieren bzw. Verschlüsseln oder Entschlüsseln verwendet wird.
11. Verfahren nach einem vorstehenden Anspruch, bei dem als die Sicherheitsinformation für die zweite Verbindung (V2) die Sicherheitsinformation (Cl, C2) von einer zeitlich früher bestandenen oder einer parallelen ersten Verbindung (VI) übernommen und verwendet wird.
12. Verfahren nach einem vorstehenden Anspruch, bei dem als Informationen Signalisierungen durchgeführt werden und/oder Nutzdaten übertragen werden.
13. Verfahren nach einem vorstehenden Anspruch, bei dem die erste Verbindung (VI) als Initialisierungs- und/oder Steuerverbindung, insbesondere gemäß einem Signalisierungsprotokoll (SIP: Session Initiation Protocol), und die zweite Verbindung (V2) als einfache Datenübertragungsverbindung, insbesondere gemäß DCCP (Datagram Congestion Control Protocol) , gesteuert wird.
14. Verfahren nach Anspruch 13, bei dem die erste Verbindung (VI) zum Initialisieren und Einrichten der zweiten Verbindung (V2) verwendet wird.
15. Verfahren nach einem vorstehenden Anspruch, bei dem die Verwendung oder Übertragung der Sicherheitsinformation von einer Applikation der Datenendeinrichtung (Tl, T2) gesteuert wird.
16. Vorrichtung als Datenendeinrichtung (Tl, T2) oder als Bestandteil für eine solche Datenendeinrichtung, insbesondere zum Durchführen eines Verfahrens nach einem vorstehenden Anspruch, mit - einer Steuereinrichtung (C) zum Steuern der Funktionalität der Vorrichtung und/oder zum Steuern von Signalisierungsund/oder Übertragungsprogrammen mit verschiedenen Protokollen (SIP, DCCP) für verschiedene Verbindungen (VI, V2) zwischen derartigen Datenendeinrichtungen (Tl, T2), - zumindest einer Speichereinrichtung (M) zum Speichern zumindest einer Sicherheitsinformation (Cl, C2) zum Sichern der Übertragung von Informationen über eine der Verbindungen (VI, V2) und
- zumindest einer Schnittstelle (p) zum Übertragen von Infor- mationen, insbesondere Signalisierungen und/oder Daten, über eine der Verbindungen zu zumindest der einen anderen Datenendeinrichtung (T2, Tl) , dadurch gekennzeichnet , dass
- die Steuereinrichtung derart ausgelegt ist, dass die Si- cherheitsinformation (Cl, C2) , die für die oder von der ersten Verbindung (VI) mit einem ersten der Protokolle (SIP) bereitsteht, für die zweite Verbindung (V2) mit einem zweiten der Protokolle (DCCP) verwendet wird.
PCT/EP2004/050916 2003-08-13 2004-05-26 Verfahren und vorrichtung zur ubertragung von sicherheits- und nutzinformationen über getrennte gesicherte verbindung WO2005020534A1 (de)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
DE10337293A DE10337293A1 (de) 2003-08-13 2003-08-13 Verfahren und Vorrichtung zum gesicherten Übertragen von Informationen über eine gesicherte Verbindung
DE10337293.8 2003-08-13

Publications (1)

Publication Number Publication Date
WO2005020534A1 true WO2005020534A1 (de) 2005-03-03

Family

ID=34177532

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/EP2004/050916 WO2005020534A1 (de) 2003-08-13 2004-05-26 Verfahren und vorrichtung zur ubertragung von sicherheits- und nutzinformationen über getrennte gesicherte verbindung

Country Status (2)

Country Link
DE (1) DE10337293A1 (de)
WO (1) WO2005020534A1 (de)

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP1705854A1 (de) * 2005-03-22 2006-09-27 Research In Motion Limited Verfahren und Vorrichtung zum Austausch von kryptographischen Daten in einem mobilen Kommunikationssystem
CN101146100B (zh) * 2007-09-19 2011-11-23 北京交通大学 一种基于传输协议sctp和dccp的sip网络电话实现方法
US8234716B2 (en) 2006-03-30 2012-07-31 Siemens Aktiengesellschaft Method for user data transmission
EP2557756A1 (de) * 2011-08-11 2013-02-13 Funai Electric Co., Ltd. Kommunikationssystem und Kommunikationsverfahren

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2001091398A2 (en) * 2000-05-24 2001-11-29 Expertron Group (Pty) Ltd Authentication system and method
WO2002037745A1 (de) * 2000-11-06 2002-05-10 Siemens Aktiengesellschaft Verfahren zur sicheren datenübertragung zwischen zwei endgeräten und vorrichtung zur durchführung dieses verfahrens
EP1259046A2 (de) * 2001-04-23 2002-11-20 Albert Fischlmayr Anlage für die sichere Durchführung von Transaktionen zwischen informationsverarbeitenden Systemen

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2001091398A2 (en) * 2000-05-24 2001-11-29 Expertron Group (Pty) Ltd Authentication system and method
WO2002037745A1 (de) * 2000-11-06 2002-05-10 Siemens Aktiengesellschaft Verfahren zur sicheren datenübertragung zwischen zwei endgeräten und vorrichtung zur durchführung dieses verfahrens
EP1259046A2 (de) * 2001-04-23 2002-11-20 Albert Fischlmayr Anlage für die sichere Durchführung von Transaktionen zwischen informationsverarbeitenden Systemen

Cited By (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP1705854A1 (de) * 2005-03-22 2006-09-27 Research In Motion Limited Verfahren und Vorrichtung zum Austausch von kryptographischen Daten in einem mobilen Kommunikationssystem
US8234716B2 (en) 2006-03-30 2012-07-31 Siemens Aktiengesellschaft Method for user data transmission
CN101146100B (zh) * 2007-09-19 2011-11-23 北京交通大学 一种基于传输协议sctp和dccp的sip网络电话实现方法
EP2557756A1 (de) * 2011-08-11 2013-02-13 Funai Electric Co., Ltd. Kommunikationssystem und Kommunikationsverfahren
US8842686B2 (en) 2011-08-11 2014-09-23 Funai Electric Co., Ltd. Communication system configured with an SIP functioned relay server and communication method using the same

Also Published As

Publication number Publication date
DE10337293A1 (de) 2005-03-10

Similar Documents

Publication Publication Date Title
EP2245832B1 (de) Verfahren zum authentisieren einer schlüsselinformation zwischen endpunkten einer kommunikationsbeziehung
DE69831974T2 (de) Verfahren zur paketauthentifizierung in gegenwart von netzwerkadressübersetzungen und protokollumwandlungen
DE60201522T2 (de) Ermöglichen legales abfangen von ip-verbindungen
EP1289227B1 (de) Verfahren, System und Rechner zum Aushandeln einer Sicherheitsbeziehung auf der Anwendungsschicht
DE19742681A1 (de) GPRS-Teilnehmerauswahl von mehreren Internet-Dienstanbietern
DE10297253T5 (de) Adressiermechanismus in Mobile-IP
DE10138718A1 (de) Verfahren zur Übermittlung von Chiffrierungsinformationen an Teilnehmer einer Multicast-Gruppe
EP1512260A1 (de) Verfahren und vorrichtung zur authentifizierung eines teilnehmers für die inanspruchnahme von diensten in einem wirelees lan (wlan)
DE60311898T2 (de) Verfahren, um ein Paket von einem ersten IPSeC Klienten zu einem zweiten IPSec Klienten über einen L2TP Tunnel zu übertragen
EP1814278B1 (de) Verfahren zur Zuordnung von zumindest einer Nutzdatenverbindung zu zumindest einer Multiplexverbindung
WO2002073929A2 (de) Übermittlung von informationen mit einer verifizierten qos in einem kommunikationsnetz
EP1282280B1 (de) Verfahren, Steuereinrichtung und Programmmodul zur Steuerung und Lenkung von Datenströmen einer Kommunikationsverbindung zwischen Teilnehmern eines Paketdatennetzes
WO2005020534A1 (de) Verfahren und vorrichtung zur ubertragung von sicherheits- und nutzinformationen über getrennte gesicherte verbindung
EP1227632B1 (de) Verfahren zum Betrieb eines Multimedia-Kommunikationsnetzwerkes
EP1341357B1 (de) Verfahren zur Dienstgütesicherung in einem Kommunikationsnetz sowie Anordnung und Einrichtungen zur Realisierung des Verfahrens
EP1841161B1 (de) Verfahren zur gesicherten Nutzdatenübertragung
DE60023393T2 (de) Verfahren und Vorrichtung zur Paketkommunikation
DE102006002892A1 (de) Verfahren, System, Computerprogramm, Datenträger und Computerprogramm-Produkt zum Übertragen von Mediendaten eines Multicast-Dienstes
EP1776821B1 (de) System und verfahren zum sicheren anmelden in einem kommuniktionssystem mit netzwerkverbindungs- und verbindungssteuerungs-rechnern
EP1430688A1 (de) Netzübergangseinrichtung und kommunikationssystem für echtzeitkommunikationsverbindungen
EP1452044A1 (de) Verfahren zum übermitteln von signalisierungsnachrichten, zugehörige vorrichtung, zugehörige signalisierungsnachricht und zugehöriges programm
EP1430701B1 (de) Verfahren zum steuern von leistungsmerkmalen in paketorientierten kommunikationssystemen
EP2247062A1 (de) Vorrichtungen und Verfahren zum Überprüfen einer Anfrage-Nachricht auf Authentizität und Authorisierung
DE19833069A1 (de) Verfahren zur Verbindung von Endgeräten mit externen Modems
EP2279603B1 (de) Vorrichtung und Verfahren zur Neuverhandlung einer Multimediaverbindung sowie zugehöriges Kommunikationssystem, digitales Speichermedium, Computer-Programm-Produkt und Computerprogramm

Legal Events

Date Code Title Description
AK Designated states

Kind code of ref document: A1

Designated state(s): AE AG AL AM AT AU AZ BA BB BG BR BW BY BZ CA CH CN CO CR CU CZ DE DK DM DZ EC EE EG ES FI GB GD GE GH GM HR HU ID IL IN IS JP KE KG KP KR KZ LC LK LR LS LT LU LV MA MD MG MK MN MW MX MZ NA NI NO NZ OM PG PH PL PT RO RU SC SD SE SG SK SL SY TJ TM TN TR TT TZ UA UG US UZ VC VN YU ZA ZM ZW

AL Designated countries for regional patents

Kind code of ref document: A1

Designated state(s): BW GH GM KE LS MW MZ NA SD SL SZ TZ UG ZM ZW AM AZ BY KG KZ MD RU TJ TM AT BE BG CH CY CZ DE DK EE ES FI FR GB GR HU IE IT LU MC NL PL PT RO SE SI SK TR BF BJ CF CG CI CM GA GN GQ GW ML MR NE SN TD TG

121 Ep: the epo has been informed by wipo that ep was designated in this application
122 Ep: pct application non-entry in european phase