Source: https://patents.google.com/patent/FI105753B/en
Timestamp: 2019-04-21 03:53:09+00:00
Document Index: 24102064

Matched Legal Cases: ['kko ', 'kko ', 'kko ', 'kko ', 'kko ', 'kko ', 'kko ', 'kko ', 'kko ', 'kko ', 'kko ', 'kko ', 'kko ']

FI105753B - Package authentication method changes the network address and protocol transformation in the presence of - Google Patents
Package authentication method changes the network address and protocol transformation in the presence of Download PDF
FI105753B
FI105753B FI974665A FI974665A FI105753B FI 105753 B FI105753 B FI 105753B FI 974665 A FI974665 A FI 974665A FI 974665 A FI974665 A FI 974665A FI 105753 B FI105753 B FI 105753B
FI974665A
FI974665A (en
FI974665A0 (en
Tatu Yloenen
Ssh Comm Security Oy
1997-12-31 Application filed by Ssh Comm Security Oy filed Critical Ssh Comm Security Oy
1997-12-31 Priority to FI974665 priority Critical
1997-12-31 Priority to FI974665A priority patent/FI105753B/en
1997-12-31 Publication of FI974665A0 publication Critical patent/FI974665A0/en
1999-07-01 Publication of FI974665A publication Critical patent/FI974665A/en
2000-09-29 Publication of FI105753B publication Critical patent/FI105753B/en
105753 105753
Pakettien autentisointimenetelmä verkko-osoitemuutosten ja protokolla-muunnosten läsnäollessa 5 Tämä keksintö koskee datapakettien autentisointia digitaalisessa tiedonsiirto-verkossa. Packet network authentication method, address changes and modifications of the protocol in the presence of 5 This invention relates to the authentication of data packets in a digital communication network. Keksintö käsittää erityisesti autentisoinnin verkossa, jossa paketeille tehdään muunnoksia samalla kun paketit ovat liikkeellä, mikä tekee tekniikan tason mukaisten autentisointimenetelmien käytön vaikeaksi tai mahdottomaksi. The invention comprises, in particular in the authentication network in which packets are variants of the same when the packets are on the move, making it difficult or impossible to use authentication procedures of the prior art.
10 Internetin turvallisuus on saanut viime vuosina suurta tieteellistä ja kaupallista huomiota johtuen Internetin valtavasta kasvusta ja verkkoon liittyvien organisaatioiden nopeasti lisääntyvästä määrästä. 10 Internet security has received in recent years a large scientific and commercialization of the huge increase in Internet and network organizations rapidly increasing amount of attention due. Verkko on tullut monien kaupallisten organisaatioiden toiminnan kriittiseksi osaksi. The network has become a function of many commercial organizations as a critical part. Internetin kaupallista hyväksikäyttöä rajoittaa ankarasti olemassaolevien Intemet-protokollien turvallisuusongelmat, joten In-15 temetin turvallisuuden kehittäminen on välttämätöntä. commercial exploitation of the Internet severely restrict the existing protocols to Internet security problems, so In-15 development temetin safety is essential.
IETF (Internet Engineering Task Force) on standardoinut IP-turvallisuusprotokollan (IPSEC) turvallisuuden lisäämiseksi IP-protokolliin. IETF (Internet Engineering Task Force) has been standardized in order to increase the safety of the IP Security Protocol (IPSEC) IP protocols. Se tarjoaa liikenteelle krypto-graafisen autentisoinnin ja luotettavuuden kahden liikennöivän verkkosolmun välil-20 le. It provides transport crypto-graphic authentication procedure and reliability of the network node to operate in two Inserts le-20. Sitä voidaan käyttää sekä päästä toiseen-tilassa, suoraan kommunikoivien solmujen tai isäntien välillä tai läpikulkutilassa palomuurien tai VPN- (yksityisten virtuaaliverkko-) laitteiden välillä. It can be used in both the second mode, directly between the communicating nodes or hosts, or pass-through mode, firewalls or VPN (private virtual network) devices. Asymmetriset yhteydet, joissa toinen pää on isäntä ja toinen palomuuri tai VPN, ovat myös mahdollisia. Asymmetric connections, where one end is a host and the second firewall or VPN are also possible.
25 IPSEC suorittaa autentisoinnin ja salauksen pakettitasolla lisäämällä uudet protokol-laotsikot kuhunkin pakettiin. 25 IPSEC encryption and authentication procedure carried out on packet level by adding new protocols, each packet laotsikot. IPSEC-autentisointi suoritetaan laskemalla autentisoin-tikoodi kaikelle datalle ja suurimmalle osalle datapaketin otsikkoa. IPSEC authentication is performed by calculating the autentisoin-Code issued to all data and most of the data packet header. Autentisointi-koodi riippuu lisäksi salaisesta avaimesta, jonka vain kommunikoivat osapuolet tuntevat. The authentication code further depends on a secret key known only to the communicating parties are familiar with. Sitten autentisointikoodi talletetaan pakettiin sopivasti koottuna hyvinmääri-30 tettyyn otsikkoon tai lopukkeeseen. autentisointikoodi is then deposited in the package is suitably assembled hyvinmääri-30 tettyyn title or lopukkeeseen.
Autentisoinnin salainen avain voidaan konfiguroida käsin kummallekin kommunikoivan parin isännälle. The authentication procedure secret key can be configured manually for each pair of communicating to the host. Kuitenkin käytännössä käytetään erityisiä avaimenkäsittely-protokollia salaisten avainten generoimiseksi ja vaihtamiseksi dynaamisesti. However, in practice, special key is used to treatment protocols for generating and dynamically exchange of secret keys. 35 IPSEC:ssä standardiprotokollaa tämän tekemiseksi kutsutaan ISAKMP/Oakley-pro-tokollaksi, jossa ISAKMP on Internet Security Association Key Management Protocol. 35 IPSEC: in the standard protocol for doing this is called the ISAKMP / Oakley pro-tokollaksi with ISAKMP is the Internet Security Association Key Management Protocol.
105753 2 IPSEC-autentisointisuoja sisältää paketin lähde- ja kohdeosoitteet, mikä tarkoittaa sitä, että niitä ei voida muuttaa matkalla, jos autentisointikoodi pysyy voimassa. 105 753 2 IPSEC autentisointisuoja includes a packet source and destination addresses, which means that they can not be changed on the way, if autentisointikoodi remains in force. Kuitenkin monet organisaatiot käyttävät nykyisin yksityisiä IP-osoitteita oman organisaationsa sisällä ja muuttavat yksityiset osoitteet maailmanlaajuisesti ainutker-5 täisiksi osoitteiksi ulkoisessa välitinlaitteessa (esim. reitittimessä tai palomuurissa). However, many organizations currently use private IP addresses within their own organization and change their private addresses worldwide ainutker-5 addresses for ingestion by an external gateway (eg. Your router or firewall). Tätä prosessia kutsutaan verkko-osoitteen muuttamiseksi (NAT). This process is referred to adapt the network address translation (NAT). Sellainen muuttaminen käsittää tyypillisesti sekä IP-osoitteiden että TCP- ja UDP-porttinumeroi-den vaihtamisen. Such a modification typically includes both the IP addresses and TCP and UDP-porttinumeroi the replacement.
10 Kuviossa 1 NAT-laite 100 ottaa sisään paketteja 101, jotka lähettävä solmu 102 on lähettänyt sisäisessä yksityisverkossa 103. Se muuntaa näissä paketeissa IP-osoitteet ja porttinumerot, jotka kuuluvat sisäiseen, yksityiseen osoiteavaruuteen, maailmanlaajuisesti ainutlaatuisiksi Intemet-osoitteiksi ulos menevissä paketeissa 104 ennen kuin lähettää paketit ulkoisen verkon 105 kautta vastaanottavaan solmuun 106. Toi-15 seen suuntaan NAT-laitteen 100 läpi kulkeville paketeille tapahtuu osoitemuunto käänteisesti. 10 shows one of the NAT device 100 takes in packets 101 to the transmitting node 102 has sent an internal private network 103. It converts these packets, the IP addresses and port numbers, which include an internal, private address space, a globally unique to Internet addresses out of the influent of the packets 104 before sends the packets to the external network 105 via the host node 106. Tol-direction 15 passing through the NAT device 100 osoitemuunto packets takes place in reverse. Tyypillisesti NAT 100 kuvaa IP-osoitteen ja portin yhdistelmän eri IP-osoitteen ja portin yhdistelmäksi. Typically, a NAT 100 describes the IP address and port combinations to different IP address and port combination. Kuvaus pysyy vakiona verkkoyhteyden keston ajan, mutta voi muuttua (hitaasti) aikaa myöten. Description remains constant for the duration of the connection time, but may change (slowly) with time. Käytännössä NAT-toiminnalli-: suus on usein integroitu palomuuriin tai reitittimeen. In practice, the NAT functionality: content is often integrated into a firewall or a router.
" 20 "20
Internetissä on muuntyyppisiäkin laitteita, jotka voivat muokata laillisesti paketteja niitä lähetettäessä. The Internet has any other category of devices that can legally modify packets are sent. Tyypillisenä esimerkkinä on protokollamuunnin, jonka päätehtävä on muuntaa paketti eri protokollaan häiritsemättä normaalitoimintaa. A typical example is a protocol converter, whose main function is to convert the packet a different protocol without disturbing normal operation. Niiden käyttö johtaa hyvin samanlaisiin ongelmiin kuin NAT-tapauksessa. Using them leads to problems very similar to the NAT case. Protokolla-25 muunnin muuntaa paketit yhdestä protokollasta eri protokollaan. The protocol converter 25 converts packets from one protocol to a different protocol. Melko yksinkertainen, mutta tärkeä esimerkki on muuntaminen IPv4:n ja IPv6:n välillä, jotka ovat In-temet-protokollien eri versioita. Fairly simple but important example is converting between IPv4, which are different versions of the in-temet protocols and IPv6. Lähitulevaisuudessa sellaiset muuntimet tulevat olemaan erittäin tärkeitä ja yleisiä, Paketti voi läpäistä lukuisia tämäntyyppisiä muuntoja matkansa aikana ja on mahdollista, että liikennöinnin päätepisteet käyttä-30 vät itse asiassa eri protokollaa. In the near future, such converters will be extremely important and general packet may pass through a plurality of conversions of this type during the journey, and it is possible that the operation end points of use 30-TEs in fact a different protocol. Kuten NAT, protokollamuunnos suoritetaan usein * reitittimissä ja palomuureissa. Like NAT, protocol conversion is often performed in routers and firewalls *. Kaavio IPv4:n pakettiotsikosta on kuvattu kuviossa 2 ja kaavio IPv6:n pakettiotsikosta kuviossa 3. Kuvioissa 2 ja 3 palstanumerot vastaavat bittejä. Scheme IPv4 packet header is illustrated in Figure 2 and the diagram of the IPv6 packet header in Figure 3. Figures 2 and 3, column numbers correspond to bits.
35 Kuviossa 2 tunnetun IPv4-otsikon kentät ovat seuraavat: Versionumero 201, IHL 202, Palvelun tyyppi 203, Kokonaispituus 204, Identifiointi 205, Liput 206, Osasten poikkeama 207, Elinaika 208, Protokolla 209, Otsikon tarkistussumma 210, Lähde-osoite 211, Kohdeosoite 212, Optiot 213 ja Täyte 214. Kuviossa 3 tunnetun ehdote- i 105753 3 tun IPv6:n otsikon kentät ovat seuraavat: Versionumero 301, Liikenneluokka 302, Datavuo-osoite 303, Hyötykuormapituus 304, Seuraava otsikko 305, Hyppyraja ' 306, Lähdeosoite 307 ja Kohdeosoite 308. Kenttien käyttö osoitteessa on tuttua alan ammattimiehelle. 35 Figure 2 shows the known IPv4 header fields are as follows: Version Number 201, IHL 202, Type of service 203, Total Length 204, Identification 205, Flags 206, the particles deviation 207, life expectancy 208, Protocol 209, the title Checksum 210, Source Address 211, Destination Address 212, options 213 and the filler 214. in Figure 3, a prior proposed i 105 753 3 TU IPv6 header fields are as follows: Version number 301, Traffic class 302, data flows address 303, Payload Length 304, Next header 305, a jump limit "306, Source address 307 and The destination address field 308. The use of address is known to the person skilled in the art. IP-paketti koostuu kuvion 2 tai 3 otsikon kaltaisesta otsikosta, jos-5 sa on saatteena dataosa. An IP packet consists of a header of Figure 2 or 3, like the title, if the SA-5 is accompanied by a data portion. IPv6:ssa voi olla kuviossa 3 esitetyn pääotsikon ja dataosan välissä muutamia niin sanottuja Lisäotsikolta. IPv6 may be between heading and the data part shown in Figure 3 a number of so-called Lisäotsikolta.
Verkon turvallisuusprotokollalta vaaditut turvallisuuspiirteet käsittävät autenttisuuden (paketti oli todella sen solmun lähettämä, joka väittää sen lähettäneensä), eheys 10 (pakettia ei ole muokattu sen liikkeellä ollessa), irtisanoutumattomuus (lähettävä solmu ei voi kiistää lähettäneensä pakettia) ja yksityisyys (mikään kolmas osapuoli ei voi lukea paketin sisältöä). the required network security protocols safety features comprise of authenticity (the package was actually the node sent, that claims to have referred), the integrity of 10 (package does not edited it while on the move), irtisanoutumattomuus (the sending node can not deny having sent the package) and privacy (no third party can not read the contents of the package). IPSEC-protokollassa autenttisuus, eheys ja irtisanoutumattomuus saavutetaan jaetulla salaisella avaimella, jota käytetään kunkin paketin autentisoimiseksi. The IPSEC protocol, authenticity, integrity and irtisanoutumattomuus achieved by a shared secret key that is used to authenticate each packet. Autentisointi suoritetaan laskemalla viestin autentisointikoodi 15 (MAC) käyttäen paketin sisältöä ja yhteistä salausta sekä lähettämällä laskettu MAC osana pakettia AH:ssa (autentisointiotsikko) tai ESP (kapseloituva turvallisuushyö-tykuorma) -otsikossa. The authentication message is performed by calculating the autentisointikoodi 15 (MAC) using the contents of the packet and common encryption and sending the calculated MAC part of the package SP in (autentisointiotsikko) or ESP (turvallisuushyö-encapsulated payload) header. Yksityisyys toteutetaan tyypillisesti salausta käyttämällä ja käyttämällä ESP-otsikkoa. Privacy is typically implemented using encryption, and using the ESP header. AH-otsikko on kuvattu kuviossa 4, jossa palstanumerot : vastaavat bittejä. AH header is illustrated in Figure 4, where column numbers of the corresponding bits. Tunnetun AH-otsikon kentät ovat seuraavat: Seuraava otsikko 401, 20 Pituus 402, Varattu 403, Turvallisuusparametrit 404 ja Autentisointidata 405. Viimeisen kentän 405 pituus on muuttuva määrä 32-bittisiä sanoja. The prior AH header fields are as follows: The following title 401, 20 Length 402, 403, Busy, Safety Parameters Autentisointidata 404 and 405. The last field 405 is the length of a variable number of 32-bit words.
Kapseloituva turvallisuushyötykuorma (ESP) voi esiintyä missä paikassa tahansa IP-paketissa IP-otsikon jälkeen ja ennen lopullista kuljetuskerrosprotokollaa. Encapsulated security payload (ESP) may appear in any location in the IP packet after the IP header and before the final transport layer protocol. Internetin 25 varattujen numeroiden auktoriteetti on varannut protokollanumeron 50 ESP:lIe. 25 reserved numbers, the Internet authority has allocated 50 ESP protocol number: lle. Välittömästi ESP-otsikkoa edeltävä otsikko pitää aina arvon 50 sen Seuraava Otsikko (IPv6)- tai Protokolla (IPv4)-kentässä. Immediately preceding the ESP header to header 50 always keeps the value of the Next Title (IPv6) -, or Protocol (IPv4) field. ESP koostuu salaamattomasta otsikosta, jota seuraa salattu data. ESP consists of unencrypted header followed by encrypted data. Salattu data sisältää sekä suojatut ESP-otsikkokentät että suojatun käyttäjän datan, joka on joko koko IP-datagrammi tai ylemmän kerroksen 30 protokollakehys (esimerkiksi TCP tai UDP). The encrypted data includes both the protected ESP header fields and the protected user data, which is either the entire IP datagram or an upper-layer protocol frame 30 (for example, TCP or UDP). Kuviossa 5a kuvataan korkeatasoinen ' ' diagrammi turvallisesta IP-datagrammista, jossa kentät ovat IP-otsikko 501, optioina olevat muut IP-otsikot 502, ESP-otsikko 503 ja salattu data 504. Kuvio 5b kuvaa ESP-otsikon kahta osaa, jotka ovat 32-bittinen Turvayhteyden Identifioija (SPI) 505 ja Näkyvä Siirrettävän Datan kenttä 506, jonka pituus vaihtelee. Figure 5a discloses a high level of 'a diagram of a secure IP datagram where the fields are IP Header 501, as options on other IP headers 502, ESP header 503 and encrypted data 504. Figure 5b describes the ESP header of two parts, which are 32- the identifier bit Security Association (SPI) 505 and the removable Display data field 506, whose length is variable.
MACin laskemiseksi on useita, hyvin kirjallisuudessa tunnettuja tapoja. the calculation of a MAC, there are several ways well known in the literature. Yksi yleisesti käytetty menetelmä on laskea autentisoitavalle datalle avaimella varustettu 35 105753 4 kryptograafinen hajafunktio (esimerkiksi HMAC-SHA1) käyttämällä yhteistä salausta avaimena. One commonly used method is to compute data with a key autentisoitavalle 35 105753 4 cryptographic hash function (e.g. HMAC-SHA1) using a common encryption key.
Nimitämme pakettien autentisointia, eheyttä ja irtisanoutumattomuutta yhteisesti 5 pakettien autentisoinniksi. We call packet authentication, integrity and irtisanoutumattomuutta joint 5 in the authentication of packets. IPSECissä tämä toiminto saavutetaan laskemalla paketille viestin autentisointikoodi (MAC) lähettävässä solmussa, joka sisältää lasketun viestin autentisointikoodin paketin kanssa AH- tai ESP-otsikossa, sekä vahvistamalla viestin autentisointikoodi vastaanottavassa solmussa. IPSECissä this function is achieved by calculating the message packet autentisointikoodi (MAC) of the transmitting node, which includes the calculated message with autentisointikoodin packet AH or ESP header, and setting the message autentisointikoodi the receiving node. Vahvistus onnistuu, jos molemmat solmut tietävät saman yhteisen salauksen ja vastaanotettu paketti on identti-10 nen verrattuna pakettiin, josta MAC oli laskettu. The confirmation is successful, if both nodes know the same shared secret and the received packet is identti-10 compared to the packet of which the MAC was computed.
NATit ja protokollamuuntimet muokkaavat luonteenomaisesti paketteja niitä siirrettäessä. A pretty shape and protocol converters characteristically packets are transferred. Kuitenkin pakettien autentisoinnin suurin tarkoitus on estää pakettien muokkaamiset ja mikä tahansa muodonmuutos paketissa aiheuttaa autentisoinnin epäon-15 nistumisen. However, a major purpose of the packets authentication procedure to prevent the packets, and any deformation of the pack to cause the authentication procedure amplification in epäon-15. NAT muuttaa paketin lähde- ja/tai kohdeosoitteet tehden siten IPSEC-autentisointikoodin mitättömäksi. NAT in packet source and / or destination addresses, thereby rendering the IPSEC autentisointikoodin void. Autentisoinnin suorittamiseksi sellaisessa ympäristössä on esitetty useita ratkaisuja, kuten olla sisällyttämättä osoitteita autentisoin-tikoodiin, autentisoinnin suorittamista kunkin vierekkäisen NAT-välitinlaiteparin : välillä tai pakettien käärimistä kapseloimalla IP IP:n sisään. perform the authentication procedure in such an environment several solutions have been proposed, such as not to include the addresses of autentisoin-Code issued, the authentication procedure carried out by each pair of adjacent NAT välitinlaiteparin between the wrapping or packets encapsulating IP IP in. Kuitenkaan ei tunneta 20 ratkaisua, joka sallisi päästä päähän autentisoinnin, kun läsnä on tuntematon määrä välittäviä NAT-välitinlaitteita vaatimatta monimutkaisia hakemistoja tai manuaalista konfigurointia tai uudelleen autentisointia kussakin pakettia muokkaavassa välitin-laitteessa. However, no known solution 20, which would allow for end to end of the authentication procedure, the presence of an unknown number of intermediate NAT gateways, without requiring complex directories or manual configuration or re-authentication in each of the machine forming a package relay device.
25 Suuri voima ajaa valmistajia ja yhteisöjä sellaisten teknologioiden käyttöä kohti, jotka muokkavat datapaketteja: IPv4:n osoiteavaruus on loppumassa. 25 large power drive manufacturers and other organizations towards the use of technologies that muokkavat data packets: the IPv4 address space is running out. Siten yhteisöt eivät voi enää saada riittävän monia IP-osoitteita järkevillä kustannuksilla. Thus, the authorities can no longer receive a sufficient number of IP addresses at reasonable cost. Toinen yhteisöjä samaan suuntaan ajava voima on se, että IP-osoitteiden uudelleen-numerointi on erittäin kallista ja yhteisöt voivat joutua vaihtamaan ulkoiset nume-30 ronsa, jos ne vaihtavat eri Intemet-palveluntarjoajaan. The other communities in the same direction driving force is that the IP addresses for re-numbering is very expensive and communities may need to replace the external nume-30 ronsa if they change in different an Internet service provider.
Nämä voimat ajavat Internetiä kohti kahta mahdollista ratkaisua: lisätään NATin käyttöä tai siirrytään IPv6:een (sisältäen pitkän siirtymäkauden, jonka aikana protokollamuunnokset ovat tavallisia). These forces are driving the Internet towards two possible solutions: the use of added or go to the IPv6 NAT C. (containing a long transition period during which protocol conversions are common). Nykyinen IPSEC-protokolla ei selviä näistä kum-35 mastakaan ratkaisusta ilman suuria kompromisseja joustavuudessa tai turvallisuudessa. Current IPSEC protocol is not clear from these kum-35 mastakaan solution without major compromises in flexibility or security.
105753 5 Tämän keksinnön tavoitteena on tarjota menetelmä pakettien autentisoimiseksi, joka on epäherkkä osoitteenmuutoksille ja protokollamuutoksille paketin liikkeessä ollessa. 105 753 5 The objective of this invention is to provide a method for authenticating packets, which is insensitive to changes in address and protocol changes in the motion of the package. Keksinnön lisätavoitteena on tarjota lähettävä verkkolaite ja vastaanottava verkkolaite, jotka kykenevät hyödyntämään edellämainittua menetelmää. A further object of the invention is to provide a transmitting network device and a receiving network device that are able to utilize the above method.
Keksinnön tavoitteet saavutetaan ensin havaitsemalla dynaamisesti paketeille suoritettavat osoitteenmuutokset ja/tai protokollamuunnokset liikennöivien isäntien välillä, ja kompensoimalla nämä muutokset silloin, kun paketin autentisointikoodia lasketaan tai vahvistetaan. The objects are achieved by first dynamically performed by detecting the change of address for packets and / or protocol conversions among the communicating hosts, and compensating for these changes when the packet autentisointikoodia is calculated or set.
Keksinnön mukaiselle menetelmälle on tunnusomaista se, että se käsittää vaiheinaan - paketille reitillä lähettävän ja vastaanottavan solmun välillä tapahtuvien muodonmuutosten havaitsemisen dynaamisesti, - sen tarkistamisen, että havaitut muodonmuutokset ovat hyväksyttäviä perustuen 15 käytettävään turvallisuusperiaatteeseen, ja - dynaamisesti havaittujen, hyväksyttävien muodonmuutosten kompensoimisen ennen pakettien autentisoimista. The method according to the invention is characterized in that it comprises the steps of - detecting occurring in the packet route, the transmitting and the receiving node deformation dynamically, - verification of the shape of the observed changes are acceptable based on 15 used in the safety principle, and - dynamically detected, acceptable transformations compensating before the packets to authenticate.
jt Keksintö koskee myös verkkolaitetta, jonka tunnusomainen piirre on sen kyky hyö- 20 dyntää edellä mainittua menetelmää. jt The invention also relates to a network device for which the characteristic feature is its ability to benefit from 20 backed on the above-mentioned method.
Keksinnön ensimmäinen osa on se, että liikennöintiin, jossa paketit tarvitsee autenti-soida dynaamisesti, osallistuvat verkkolaitteet tai solmut havaitsevat dynaamisesti verkko-osoitemuutoksen ja/tai verkkopolun protokollamuunnoksen ominaisuudet 25 välittämällä koettimen ja vertaamalla informaatiota vastaanotetussa koettimessa sen tunnettuun muotoon lähetyshetkellä. The first part of the invention is that the communication in which packets need to authentic-ring dynamically participating network devices or nodes detect the dynamic network address change and / or network path protocol conversion features 25 by transmitting a probe, and comparing information received from the probe to the known form of the time of transmission.
Keksinnön toinen osa on se, että sen jälkeen kun on havaittu dynaamisesti verkko-osoitemuutos ja/tai verkkopolun protokollamuunnosominaisuudet, lähettävä solmu 30 ja/tai vastaanottava solmu kompensoi kaikki paketille suoritetut osoitemuutokset ja/tai protokollamuunnokset mm^ että paketin autentisointi voidaan suorittaa yhä turvallisesti osoitemuutosten ja/tai protokollamuunnosten läsnäollessa. second aspect of the invention is that, after it has been observed dynamically as the network address of the transformation and / or network path protocol conversion characteristics of the transmitting node 30 and / or the receiving node compensates for all address changes and / or protocol conversions performed packet mm ^ that packet authentication can be carried out more safely address changes, and / or the presence of a protocol transformation.
Uudet ominaisuudet, joita pidetään tunnusomaisina tälle keksinnölle, esitetään eri-35 tyisesti liitetyissä patenttivaatimuksissa' Kuitenkin keksintö itse, sekä rakenteensa että sen toimintamenetelmän osalta yhdessä sen lisätavoitteiden ja etujen kanssa, tulee parhaiten ymmärretyksi seuraavasta erityisten suoritusmuotojen kuvauksesta luettaessa yhdistettynä liitettyihin piirustuksiin. The novel features which are considered as characteristic for the present invention, shown in different 35 particular in the appended claims "However, the invention itself, both its structure and its method of operation, together with further objects and advantages thereof, will be best understood from the following description of specific embodiments when reading in combination with the accompanying drawings.
105753 6 105 753 6
Kuvio 1 kuvaa tunnetun NAT-laitteen sisäisen ja ulkopuolisen verkon välillä, Figure 1 illustrates a prior internal NAT device and the external network,
Kuvio 2 kuvaa tunnettua IPv4-pakettiotsikkoa, 5 Kuvio 3 kuvaa tunnettua IPv6-pakettiotsikkoa, Figure 2 illustrates a known IPv4 packet header 5. Figure 3 illustrates the prior IPv6 packet header;
Kuviot 4, 5a ja 5b kuvaavat tunnettuja pakettiotsikoita, Figures 4, 5a and 5b illustrate known packet headers,
Kuvio 6 kuvaa keksinnön mukaista erillistä koetinta, 10 Figure 6 illustrates a single probe of the invention, 10
Kuviot 7 ja 8 kuvaavat eri tapoja käsitellä keksinnön mukaista lähetettävää pakettia, Figures 7 and 8 illustrate different ways of dealing with packets to be transmitted according to the invention,
Kuvio 9 kuvaa keksinnön mukaista koestusta linjassa, 15 Kuvio 10 kuvaa keksinnön mukaista suoritusmuotoa kulkukaaviona, Figure 9 illustrates the testing of the invention, line 15 of Figure 10 illustrates an embodiment of the invention in a flow diagram,
Kuvio 11 kuvaa kuvion 10 yksityiskohtaa, ;y Kuvio 12 kuvaa keksinnön suoritusmuotoa tilakoneena ja 20 Figure 11 illustrates a detail of Figure 10, y 12 illustrates an embodiment of the invention and the state machine 20
Kuvio 13 kuvaa lohkokaaviota keksinnön mukaisesta laitteesta. Figure 13 illustrates a block diagram of a device according to the invention.
Kuvioihin 1 - 5b viitattiin tekniikan tason kuvauksessa, joten seuraava käsittely viittaa pääosin kuvioihin 6-13. Figures 1 - 5b referred to in the prior art, so the following discussion refers mainly to Figures 6-13.
Keksintöä kuvataan IP-protokollan ja IPSEC ja ISAKMP/Oakley-mekanismien yhteydessä. The invention is described in the IP protocol and IPSEC and ISAKMP / Oakley mechanisms connection. Kuitenkin tämä keksintö on yhtä lailla sovellettavissa muihin verkkoprotokolliin ja muihin turvallisuusmekanismeihin korvaamalla protokolla- ja mekanismis-pesifiset nimitykset ja määrittelyt seuraavassa kuvauksessa vastaavilla vastineilla 30 toisissa verkkoprotokollissa ja muissa turvallisuusmekanismeissa. However, this invention is equally applicable to other network protocols and other security mechanisms by replacing the protocol-and mekanismis specificities to the names and definitions of the following description of the respective counterparts 30 in other network protocols and other security mechanisms.
« • Tämä keksintö koskee menetelmää pakettien autentisoinnin suorittamiseksi silloin, kun on NAT(Verkko-osoitteenmuutos)-laitteita ja/tai protokollamuuntimia, jotka muokkaavat pakettia sen ollessa liikkeellä. «• The present invention relates to a method for performing packet authentication procedure when there is a NAT (Network Address change) devices and / or protocol converters that modify the packet while it is in motion. Keksintö soveltuu yhtä lailla myös mo-35 nen muun tyyppisiin muodonmuutoksiin, joita saatetaan suorittaa paketille, kuten määrättyjen IP-optioiden (esimerkiksi lähteen reititys) poistamiseen tai turval-lisuusoptioiden (esimerkiksi IPSO tai CIPSO) lisäämiseen. The invention is equally applicable to other Mo-35 type of deformation which may be carried out to the packet, as provided for the removal of IP options (e.g. source routing) or adding Safe-lisuusoptioiden (e.g. IPSO or C ipso).
7 105753 7 105753
Keksintö perustuu siihen seikkaan, että on mahdollista saada autentisointi toimimaan osoitteen muodonmuutosten ja/tai protokollamuunnosten jälkeen kompensoimalla ne joko etukäteen autentisointikoodia luotaessa lähetyssolmussa tai jälkeenpäin sitä koodia vahvistettaessa vastaanottajasolmussa. The invention is based on the fact that it is possible to operate the authentication after the address transformations and / or protocol transformation by compensating for them either beforehand autentisointikoodia creating a transmission node, or after the code is fixed, the recipient node. Kuitenkin sellainen kompen-5 sointi edellyttää niiden tarkkojen muodonmuutosten tietämistä, jotka tullaan suorittamaan paketille liikennöivien kumppaneiden välillä. However, such COMPENSATION 5-ring requires the precise deformations of the road, which will be performed among the communicating partners packet. Monet muodonmuutokset ovat aikariippuvia, esimerkiksi NATin antamat ulkoiset osoitteet voivat vaihdella ajan mukaan ensin tuleva - ensin palveltava -periaatteella. Many transformations are time dependent, for example, the external addresses given by a NAT may vary over time from the first - first serve basis. Jopa silloin, kun muodonmuutokset ovat vakioita, olisi muodonmuutosinformaation konfigurointi ja ylläpito 10 staattisella tavalla jokaiselle mahdolliselle liikennöivien solmujen parille äärimmäisen työlästä. Even when the transformations are constant, configuring and maintaining should deformation on static information 10 is operated by way of each possible pair of nodes extremely laborious.
Keksinnön mukaisessa menetelmässä voidaan dynaamisesti havaita, mitkä muodonmuutokset on suoritettu missä tahansa erityisessä verkkoyhteydessä sillä hetkellä 15 kun liikennöinti tapahtuu ja kompensoida muodonmuutokset suoritettaessa pakettien autentisointia. the method according to the invention can be dynamically detected, which deformation is carried out at any particular network connection at the time 15 when the communication takes place, and compensate for the deformations of performing packet authentication. Ongelma on siten jaettu määrään alaongelmia; The problem is thus divided into the number of Other subjects; kuinka havaitseminen voidaan tehdä luotettavasti ja turvallisesti, mitä havaittuja muodonmuutoksia pidetään hyväksyttävinä ja kuinka kompensoidaan muodonmuutokset, jotka ilmenevät paketin ollessa liikkeessä. how the detection can be done reliably and securely, which discovered deformations are considered acceptable, and how compensating for the deformations that occur in the package is in motion.
'· ' 20 '·' 20
Liikennöivien solmujen välisen reitin muodonmuutosominaisuudet täytyy määrittää riittävän pienellä rakeisuudella? operating on the route between the nodes to determine the deformation properties must be sufficiently small granularity? Tässä riittävän pieni rakeisuus viittaa verkko-osoitteiden sarjoihin (esimerkiksi IP-alaverkot, yksittäiset IP-osoitteet tai jopa porttinumerot). This sufficiently small granularity refers to a series of network addresses (e.g. IP subnets, individual IP addresses, or even port numbers). Esimerkiksi monet NÄTit voivat kuvata IP-osoitteen ja portin yhdistel-25 män toiseksi IP-osoitteen ja portin yhdistelmäksi. For example, many can describe a pretty IP address and port consol-25 system the second IP address and port combination. Sellaisessa tapauksessa rakeisuus kohdistuu porttiin. In such a case, the granularity is directed to port. Toisaalta eri ympäristössä samaa kiinteätä muodonmuutosta voidaan käyttää koko IP-alaverkolle tai sarjalle alaverkkoja. On the other hand in a different environment the same fixed transformation can be used for the entire IP subnet or set of subnets. Toteutuksessa täytyy varmistaa, että muodonmuutosominaisuudet määritellään erikseen kullekin ''rakeelle”. Projects need to make sure that the deformation properties shall be determined separately for each '' granule '. Tosiasiassa tässä rae on suuriirkirkko-osoitteiden (IP-osoitteet, porttinumerot) yk-30 sikkö, jonka sisällä muodonmuutoksen voidaan taata olevan yhtenäinen. In fact, this granule is suuriirkirkko addresses (IP addresses, port numbers) y k-30 unit, within which the deformation can be guaranteed to be uniform.
Miettikäämme ensiksi ensimmäistä edellä nimettyä alaongelmaa, nimittäin liikkeessä ilmenevien muodonmuutosten dynaamista havaitsemista. Let us consider first of all the first sub-problems named above, namely the dynamic motion detection occurring deformations. Sellaiset muodonmuutokset voivat riippua IP-paketin sisällöstä, erityisesti TCP- ja UDP-porttinumeroista. Such deformations may depend on the contents of the IP packet, especially the TCP and UDP port numbers. 35 Ei ole olemassa helppoa menetelmää laskea täsmällisesti muodonmuutoksia etukäteen, koska sellaiseen laskentaan tarvittavaa informaatiota (esimerkiksi NATien sisäistä konfiguraatiota ja tilaa) ei ole ja sitä ei ole helppoa tehdä saataville. 35 There is no easy method to calculate the precise deformation in advance, because the information needed for such a calculation (for example, Natien internal configuration and status) is not and it is not easy to make accessible.
105753 8 105 753 8
Keksinnön mukaisessa menetelmässä liikennöivät kumppanit koestavat ilmenevät muodonmuutokset lähettämällä vähintään yhden koetinpaketin läpi koko näiden välisen liikennöintireitin ja katsovat mitä tapahtuu. the method according to the invention for testing operating partners to occur deformation by transmitting through the at least one probe packet size of the traffic route between and consider what happens. Koetinpaketin - tai lyhyemmin koettimen - täytyy olla riittävän samanlainen todellisten datapakettien kanssa niin, 5 että siihen suoritetut muodonmuutokset ovat samat kuin todellisille datapaketeille suoritetut. The probe packet - or shorter probe - must be sufficiently similar to real data packets so that the five transformations performed on it are the same as those carried out for real data packets. Koettimen vastaanottavan järjestelmän täytyy myös voida tunnistaa se koettimeksi. The probe of the receiving system must also be able to recognize it as a probe. Vaihtoehtoisesti tämä keksinnön osa voidaan toteuttaa sisällyttämällä koetininformaatio ensimmäiseen kumpaankin suuntaan lähetettävään datapakettiin. Alternatively, this part of the invention may be implemented by including the probe information to be transmitted in either direction to the first data packet. Nimitämme näitä kahta vaihtoehtoa erilliseksi koestukseksi ja koestukseksi linjassa. We call these two options as a separate tests and the test is in line.
Joissakin tapauksissa muodonmuutosinformaatio voidaan konfiguroida käsin joitakin kohteita varten (sisältäen mahdollisesti ''oletuskohteen”). In some cases, the deformation information can be configured manually for some items (including any '' default object "). Sellaisissa tapauksissa ei ole tarpeen määrittää ominaisuuksia koestamalla; In such cases, it is not necessary to determine the properties by testing; sen sijaan ne voidaan määrittää suoraan konfigurointi-informaatiosta. Instead, they can be directly determined from the configuration information. Esimerkiksi kuvion 1 asetelma on riittävän 15 yksinkertainen siihen, että konfigurointi käsin voi olla toteutettavissa tässä tapauksessa. For example, the arrangement of Figure 1 15 is sufficiently simple that manual configuration may be feasible in this case. Kuitenkaan konfigurointi käsin ei ole yleisesti mahdollinen, sillä tarvittavaa informaatiota esimerkiksi IPv4:n ja IPv6:n välisestä muunnoksesta ei saata olla ollenkaan saatavilla. However, manual configuration is generally not possible because the necessary information such as the IPv4 and IPv6 conversion between n may not be available at all.
20 Erillisen ja linjassa tapahtuvan koestuksen vaihtoehdoista katsotaan ensiksi erillistä koestusta. 20 separate line and place the test options is considered the first separate testing. Tässä lähettävä solmu 601 lähettää erillisen koetinpaketin 602 vastaanottavalle solmulle 603 kuvion 6 mukaisesti. In this transmitting node 601 sends a separate probe packet 602 to the receiving node 603 in accordance with Figure 6. Vastaanottavan solmun täytyy tunnistaa koetinpaketti sellaiseksi. The receiving node must recognize the probe packet as such. Mahdollisuudet tähän ovat rajalliset, sillä paketin täytyy käyttää samaa protokollaa (esimerkiksi AH, ESP, TCP tai UDP) ja samoja porttinu-25 meroita (milloin käytettävissä) kuin datapakettien. The possibilities for this are limited, as the packet must use the same protocol (e.g. AH, ESP, TCP or UDP) and the same numerals are porttinu-25 (when applicable) as the data packets. Vaihtoehdot sen määrittämiseksi, että se on koetinpaketti, sisältävät: - paketissa 701 erityisen sisällön dataosan 702 (esimerkiksi niin kutsuttu avainten hallitsijan neuvottelema taika-avain (engl. "magic cookie") 703 tai sellaisen johdannainen). Alternatives for determining that it is a probe packet include: - pack 701 specific content of the data part 702 (for example, the so-called keys negotiated by the ruler magic key (in English: "Magic Cookie") 703, or a derivative thereof.). Tämä on kuvattu kuviossa 7. Taika-avain 703 voi olla riittävän pitkä 30 merkkijono niin, että todennäköisyys sen esiintymiseksi normaalissa paketissa on :[ äärimmäisen pieni (käytännöllisesti nolla). This is illustrated in Figure 7. The magic key 703 may be sufficiently long string 30 so that the probability of the presence of the normal packet is: [extremely low (virtually zero).
- erityiset liput pakettien otsikoissa (esimerkiksi varattu-lipun käyttö IP-, TCP- tai UDP-otsikossa) tai kummallinen arvo jossakin kentässä. - special tickets packet header (for example, the use of the busy flag IP, TCP or UDP header), or a strange value in some field.
- erityisoptiot IP-, TCP- tai UDP-otsikoissa 802 (esimerkiksi IP-optionumero, joka 35 on varattu nimenomaan tätä tarkoitusta varten). - specific IP options, TCP or UDP header 802 (e.g. an IP option number which 35 are reserved expressly for this purpose). Tämä on kuvattu kuviossa 8. Paketin identifioimiseksi koettimeksi käytetään erityistä optionumeroa. This is illustrated in Figure 8. The package as probe to identify a special option number.
- vastaanottava solmu asetetaan tilaan, jossa se tarkastelee seuraavaa pakettia määrättyyn protokollaan, osoitteeseen ja portin yhdistelmään koettimeksi. - the receiving node is set to a state in which it will examine the next packet to a certain protocol, address and port combination as a probe. Tila voidaan l 105753 9 asettaa ja poistaa avainten hallitsijan toimesta liikennöinnissä lähettävän solmun kanssa. State 105 753 9 I can be set and removed by the key ruler in transport services with the transmitting node.
Keksintö ei rajoita menetelmää, jota käytetään tunnistamaan koetin vastaanottavassa 5 solmussa. The invention is not limited by the method used for identifying the probe 5 in the host node.
Sen jälkeen, kun erillinen koetin on kulkenut koko liikennöintireitin ja vastaanottava solmu on tunnistanut sen koettimeksi, voidaan tehdä päättely siitä, mitä muodonmuutoksia liikkeellä ollessa tapahtui vertaamalla alkuperäistä koettimen sisältöä 10 (tyypillisesti otsikoita) siihen mikä nähdään vastaanottavassa päässä. After the separate probe has traveled the entire driving path and the receiving node has recognized it as a probe, inference can be made as to what changes in the shape of the move occurred by comparing the original contents of the probe 10 (typically headers) to that which is seen from the host. Tämä vertailu voidaan tehdä joko lähettävässä tai vastaanottavassa solmussa. This comparison may be done either in the sending or receiving node. Jos se tehdään vastaanottavassa solmussa täytyy sille siirtää riittävä informaatio vertailun tekemiseksi (joko itse koetinpaketin dataosassa tai muulla liikennöinnillä, esimerkiksi käyttämällä avainten hallitsijaa). If it is done in the receiving node need to transfer sufficient information to make the comparison (either in the probe itself part of the packet data or other services means, for example using keys ruler). Jos lähettävä solmu tekee sen, täytyy vastaanottavan solmun 15 lähettää takaisin riittävä informaatio vastaanotetusta paketista vertailun mahdollistamiseksi. If the sending node does, have the receiving node 15 to send back sufficient information from the received packet to enable the comparison. Yksi mahdollinen informaation siirtomuoto on lähettää täysin alkuperäiset tai vastaanotetut otsikot toiselle puolelle paketin dataosassa. One possible information transfer format is sent with full original or received headers to the other side of the data portion of the packet. (Muodonmuutokset, jotka muokkaavat paketin dataosaa ovat harvinaisia ja tavallisesti ei-hyväksyttäviä turvallisuusnäkökohtien kannalta.) ' 20 (Deformations that modify the data portion of the packet are rare, and usually unacceptable from a safety viewpoint.) "20
Kuvion 9 linjassa koestamisen suoritusmuodossa koestusinformaatio lähetetään ensimmäisessä datapaketissa 901. On kaksi mahdollista linjassa tapahtuvan koestamisen muotoa: hajottamaton ja hajottava koestus. Figure 9 embodiment, the testing of the line koestusinformaatio transmitted in the first data packet 901. There are two possible inline testing of the form: undigested and nondestructive testing. Hajottamattomassa koestuksessa paketti 901 näyttää täysin normaalilta datapaketilta vastaanottavalle solmulle 902 ja 25 jos vastaanottava solmu ei tiedä käytettyä koestusmekanismia, se jättää koestusin-formaation huomiotta ja prosessoi sen normaalina datapakettina. Dispersive testing package 901 looks completely normal data packets to the receiving node koestusmekanismia 902 and 25 if the receiving node does not know the used, it fails to take account of the formation, a testing and processed as a normal data packet. Toisaalta hajottavassa koestuksessa vastaanottava solmu 902 ei kykene prosessoimaan pakettia normaalisti jos ei se tiedä koestusmenetelmästä. On the other hand nondestructive testing the receiving node 902 is unable to process the packet normally if it does not know the testing methods.
30 Hajottamaton koestus on samanlainen kuin erillisen koetinpaketin käyttö, paitsi että • data ensimmäistä datapakettia varten sisällytetään myös samaan IP-pakettiin kuin koestusinformaatio. 30 undigested test is similar to the use of a separate probe packet, except that • the data for the first data packet is included in the same IP packet as koestusinformaatio.
Hajottamaton koetin jää vastaanottavalta solmulta 902 huomiotta jos se ei ymmärrä 35 sitä, missä tapauksessa keksintö ei ole sovellettavissa: pakettiautentisoidut liikennöinnit eivät ole mahdollisia, elleivät solmut tue soveltuvaa menetelmää niistä selviytymiseksi. Remains undigested probe 902 from the receiving node to ignore it if it does not understand 35, in which case the present invention is not applicable: pakettiautentisoidut Transactions in is not possible, unless the nodes to support a suitable method for coping with them. Jos tässä tapauksessa vastaanottava solmu lähettää vastauspaketin takaisin, se ei sisällä vastausinformaatiota koettimelle. In this case, the receiving node sends a response packet back, it does not contain information about the response to the probe. Tätä voi alkuperäinen lähettävä 105753 10 solmu 903 käyttää määrittämään, että vastaanottava solmu ei tukenut koestusta. This may be the original sending node 105 753 10 903 uses to determine that the receiving node did not support the testing. (Huomioikaa, että vastaanottava solmu jättää luultavasti paketin huomioimatta, jos muodonmuutoksia todellakin ilmeni). (Please note that the receiving node will probably leave the package, if in deformation indeed occurred). Jos vastaanottava solmu ymmärsi koestusin-formaation, on keksintö käytettävissä ja alkuperäiselle lähetyssolmulle vastauspa-5 ketti tulee sisältämään kaiken vastausinformaation, mikä tarvitsee lähettää sille ja sen koestusinformaation mikäli se on tarkoituksenmukaista. If the receiving node koestusinformaation realized, the invention is available for the original and the transmit packet is vastauspa-5 will include any reply information that needs to be sent to it and koestusinformaation if appropriate. Keksinnön näkökannalta tämä paketti voi tai ei voi olla hajottamaton alkuperäisen lähettävän solmun ominaisuuksien ollessa jo osittain tunnetut alkuperäiselle vastaanottavalle solmulle sen lähettäessä ensimmäistä vastauspakettiaan. aspect of the invention, this packet may or may not be undigested properties of the original transmitting node is already partly known to the original receiving node when it sent the first vastauspakettiaan.
Vastauspaketin tehtävä on vahvistaa lähettävälle solmulle 903, että koetin on vastaanotettu ja että vastaanottava solmu tukee pakettiautentisoituja liikennöintejä. The response packet is required to adopt the sending node 903 that the probe has been received and that the receiving node supports pakettiautentisoituja communication. Jos alkuperäinen koetinpaketti tai vastauspaketti katoaa verkossa, saattaa olla tarpeen lähettää se uudelleen lukuisia kertoja, ikuisesti tai kunnes uudelleenyritysmäärä yli-15 tetään. If the original package or probe response packet network is lost, it may be necessary to send it again a number of times, in perpetuity or until the retry number of over-15 VED.
Kuten edellä on selitetty on hajottamaton linjassa tapahtuva koestus mahdollinen menetelmä neuvottelemaan, tukeeko toinen pää tässä kuvauksessa kuvattuja menetelmiä ja suorittamaan samanaikaisesti dynaamista havaitsemista. As described above have been characterized in the methods of undigested line testing possible method to negotiate, whether the other end of this description and at the same time to carry out a dynamic detection. On myös muita 20 menetelmiä sen neuvottelemiseen, tukeeko toinen pää näitä menetelmiä, sisältäen: - neuvottelun käyttäen avainten hallitsijaa (esimerkiksi ISAKMP/Oakley, käyttämällä valmistaja-ID-hyötykuormia ja/tai perusprotokollan laajentuma) - konfiguroimisen ennalta verkko- tai isäntäperustaisesti. There are also other methods for negotiating 20 if it supports the other end of these methods, including: - a key negotiation with a ruler (such as the ISAKMP / Oakley, using the manufacturer-ID payloads, and / or basic protocol dilatation) - pre-configured in the network or isäntäperustaisesti.
25 Huolimatta siitä, käytettiinkö erillistä vai linjassa tapahtuvaa koestusta, on välttämätön vaatimus, että kompensaation suorittava solmu (lähettävä tai vastaanottava solmu) tietää, mitkä muodonmuutokset tapahtuivat, kyetäkseen kompensoimaan ne. 25 Despite the fact was used for single or an on-line testing, is a necessary requirement for carrying out the compensation of the node (sending or receiving node) knows what format changes took place, to be able to compensate for them. Kaksisuuntaisessa yhteydessä kullekin paketille voitaisiin kompensointi suorittaa vastaavan lähettävän solmun toimesta, vastaavan vastaanottavan solmun toimesta tai 30 aina saman puolen toimesta riippumatta paketin suunnasta. The bi-directional connection for each packet to be compensation carried out by the respective sending node, by the respective receiving node, or 30 always by the same side regardless of the direction of the packet. Muodonmuutosten mää-” rittäminen voidaan helpoiten tehdä vertaamalla vastaanotettua pakettia (otsikkoa) lähetettyyn pakettiin (otsikkoon). The deformations amounts "KPIs can be most easily accomplished by comparing the received packet (header) transmitted the packet (the header). Tämän tekemiseksi joko vastaanotettu otsikko täytyy liikennöidä lähettävälle solmulle tai lähetetty otsikko alkuperäisessä muodossaan täytyy liikennöidä vastaanottavalle solmulle. To do this, either the received header must communicate to the sending node or the sent header in its original form must communicate to the receiving node. Tämä liikennöinti voi tapahtua 35 joko osana linjassa tapahtuvaa koettimen vaihtoa tai avaimen hallitsijan liikennöinnillä tai muilla menetelmillä. This communication can take place 35 takes place either as part of the exchange line of the probe or ruler key service, or other methods. Sekä alkuperäisen otsikon lähettäminen vastaanottavalle solmulle että vastaanotetun otsikon palauttaminen lähettävälle solmulle ovat toteuttamiskelpoisia vaihtoehtoja. Both the title of the original sending to the receiving node that received title to the sending node to restore are viable alternatives.
ii 105753 ii 105 753
Harkitaanpa lähetettyjen ja vastaanotettujen pakettiotsikoiden vertaamista osana edellä määritettyä toista alaongelmaa: mitkä muodonmuutokset ovat hyväksyttäviä kompensointia varten. Harkitaanpa the sent and received packet headers as a part of the comparison of the second sub-problems defined above: which transformations are acceptable for compensation. Useita erilaisia muodonmuutoksia voi tapahtua paketille, kuten: 5 - IP-osoitteet ja porttinumerot voivat muuttua. A variety of deformations may occur packet, such as: 5 - IP addresses and port numbers may change. NAT aiheuttaa tämän tyypillisesti. Typically, NAT will cause this.
''Sisäisten” ja ''ulkoisten” osoitteiden välinen kuvaus on kiinteätä tietyn liikennöinnin aikana; 'Internal' and 'external "addresses is fixed between the description of a specific operating time; kuitenkin kuvaus voisi olla erilainen jos/kun samoja osoitteita ja portteja käytetään myöhemmin uudelleen. However, the description might be different if / when the same addresses and ports are used again later.
- IP-optiot saatetaan poistaa. - IP options might be removed. Esimerkiksi jotkut välitinlaitteet voivat poistaa kaiken 10 lähdereititysinformaation. For example, some gateways can remove all 10 source routing information.
- IP-optioita saatetaan lisätä. - IP options may be added. Esimerkiksi jotkut välitinlaitteet voivat lisätä paketteihin IPSO- tai ClPSO-optioita. For example, some gateways can add packages or ipso ClPSO options.
- Pakettia muunnetaan IPv4:n ja IPv6:n välillä. - The package is converted between IPv4 and IPv6. Tämä käsittää otsikon perusrakenteen muuttamisen, IP-optioiden järjestyksen muuttamisen, osoitteiden muuttamisen 15 (vaikka tämä voi olla joskus melko yksinkertaista), ja voi muuttaa MACien laskentatavan. This includes the title of the basic structure of the conversion, the conversion of the order of IP options, conversion of 15 addresses (though this may sometimes be fairly straightforward), and may change the way MACs calculation. Tämä voi sisältää joidenkin optioiden lisäämisen/poistamisen samalla kun joitakin optioita voidaan siirtää pakettiin. This can include the addition / removal of some options, while some options can be transferred to the package. Paketti voi joutua useiden sellaisten edestakaisten muodonmuutosten kohteeksi erityisesti sen siirtymäkauden aikana, joka ilmenee todennäköisesti seuraavana muutamana vuotena. The package may have a number of reciprocating deformation in particular during the transition period, which is likely to occur next few years. Lähettävä ja vastaanottava 20 solmu voivat käyttää eri liikennöintiprotokollaa (esimerkiksi yksi käyttää IPv4- ja toinen IPv6-protokollaa). The transmitting and the receiving node 20 may use a different communication protocol (for example, one uses IPv4 to IPv6 and the second protocol). Täytyy myös huomioida se, että eri välitinlaitetoteutukset voivat käsitellä joitakin optioita eri tavalla tai järjestää ne eri tavoin. It must also be noted that the various välitinlaitetoteutukset can handle some options differently or arrange them differently.
- Pakettia voidaan muuntaa IP:n ja jonkun täysin erilaisen protokollan välillä, tai sitä voidaan muuntaa kahden täysin eri protokollan välillä. - The package can be transformed into IP between two completely different from the protocol, and some completely different protocol, or may be modified. Voi tulla äärimmäisen vai- 25 keaksi tai mahdottomaksi ylläpitää paketin autentisointi sellaisten muunnosten läpi, mutta se on silti tämän keksinnön mahdollinen sovellus. It may become extremely difficult or impossible rigid access pipe 25 to maintain packet authentication of the variations, but it is still a possible application of this invention.
- Paketin dataosaa voidaan muokata joissakin tilanteissa, kuten sen sisältämien IP-osoitteiden muokkaaminen NAT-läitteissa niinkutsutun DNS-informaation saamiseksi vastaamaan NATin sisällään näkemiä IP-osoitteita. - a data part of the package may be modified in some situations, such as editing it contains the IP address to obtain a so-called NAT devices, the DNS information corresponding to the NAT involves seeing IP addresses.
30 " Vertaaminen voidaan suorittaa tarkistamalla ensin muunnos jostakin pääprotokollas- ta toiseen (esimerkiksi IPv4 vastaan IPv6). IP:lle vertailun loppu voidaan suorittaa seuraavasti: - Otsikko on jaettuna kenttiin, esimerkiksi IP-lähdeosoite, IP-kohdeosoite, protokol-35 la (TCP/UDP/muu), lähdeportti, kohdeportti, IP-optiot, TCP/UDP-optiot ja niin edelleen. 30 "The comparison can be performed by first checking to transform from a pääprotokollas- to another (for example, against the IPv4 to IPv6) IP at the end of the comparison can be carried out as follows: -. The title is divided into fields, such as source IP address, destination IP address, the protocol-35 Ia (TCP / UDP / other), source port, destination port, IP options, TCP / UDP options, and so on.
- Useimpia kenttiä voidaan verrata yksinkertaisesti (esimerkiksi osoitteita, protokollaa, portteja). - Most fields can be simply compared (e.g., addresses, protocol, ports). Jotkut muodonmuutokset ovat aina selvästi ei-hyväksyttäviä (esimer- 105753 12 kiksi protokollanumeron muuttuminen) ja aiheuttavat vertailun hylkäyksen. Some transformations are clearly always unacceptable (Examples 105 753 12 example, the protocol number changing), and the comparison result in the rejection. Muita rajoituksia voidaan määrätä turvallisuuslähtökohdista. Other restrictions may be imposed security perspective.
- ΓΡ-optiot voivat joutua kulkemaan useantyyppisten muutosten läpi, kuten lisääminen, poisto tai uudelleenjärjestely. - ΓΡ options may have to pass through several types of changes, such as adding, deleting or reordering. Kuitenkaan tyypillisesti useimmilla paketeilla ei 5 ole IP-optioita ja hyvin harvoja optioita käytetään yleisesti tai paikallisen turvalli-suusperiaatteen sallimalla tavalla. However, most typically five packets will not have an IP options, and very few options in general or local-safety principle of proportionality is used to allow. Vielä harvemmat optiot joutuvat todennäköisesti muutetuiksi. Even fewer options are likely to be modified. Todennäköisimmät turvallisuusnäkökohdat sallivat vain hyvin spesifiset muutostyypit. The most likely safety considerations permit only very specific types of changes.
- Tavalliset verkkovälitinlaitteet luultavasti muuttavat harvoin TCP-otsikoita. - Touring verkkovälitinlaitteet probably rarely change the TCP headers. 10 Useimmat toteutukset eivät luultavasti salli muutoksia niissä. 10 Most implementations will probably not allow any changes in them.
Turvallisuusnäkökohdat tarkoittavat sitä, että määritetään autentisointiproseduurin riskit joko antaa väärä hälytys, toisin sanoen että se kiistää autentisoinnin vaikka ainoastaan laillisia muodonmuutoksia tapahtui, tai päästää laittoman muodonmuutok-15 sen menemään huomaamatta sitä. Safety aspects mean that the risk is determined autentisointiproseduurin either provide a false alarm, that is to say that it rejects the authentication procedure even though the only legal deformation occurred, or allow illegal muodonmuutok 15 to go unnoticed it. Hyväksyttävä riskin taso voi vaihdella siirrettävän datan tärkeyden mukaan. The acceptable level of risk may vary according to the importance of the data to be transferred. Soveltuvat riskitasot ja johdonmukaiset rajoitukset sille, mikä on laillinen muodonmuutos, voidaan löytää kokeilemalla ilman erityistä keksinnöllistä toimintaa. Suitable levels of risk and consistent limits of what is legally deformation, can be found by experimenting without specific inventive activity.
• » ( 20 On mahdollista, että reitillä verkon läpi tapahtuvat muodonmuutokset voivat yhtäkkiä muuttua liikennöinnin ollessa aktiivisena. Tämä saattaisi tapahtua esimerkiksi jos linkki on päivitetty käyttämään IPv6:a IPv4:n sijaan. Sellaiset muutokset tulevat olemaan harvinaisia ja voidaan luultavasti jättää huomiotta. Jos kuitenkin halutaan selvitä niistä on mahdollista ajaa dynaaminen havaitsemisproseduuri uudelleen vas-25 taanotettaessa virheellisesti autentisoituja paketteja keskellä aktiivista liikennöintiä. Jos tuetaan sellaista uudelleenhavaitsemista, täytyy kuitenkin huolehtia palvelun eväämishyökkäyksien välttämisestä lähettämällä muutamia virheellisesti autentisoituja paketteja. • »(20 It is possible that the path through the network strains may suddenly change operation is active, this could occur, for example, if a link is upgraded to use IPv6: a. IPv4. Instead Such changes will be rare, and can probably be ignored If, however. is to cope with it, it is possible to drive the dynamic left-spotting again by taking 25 incorrectly authenticated packets in the middle of an active communication. If a supported uudelleenhavaitsemista, however, must take care to avoid eväämishyökkäyksien service by transmitting a few incorrectly authenticated packets.
30 Turvallisuusnäkökohdat ovat kriittisiä muodonmuutosten dynaamisten havaitsemis-" ten suorittamisessa. Vain muutamat muodonmuutostyypit ovat hyväksyttäviä. Jos mielivaltaiset muodonmuutokset sallittaisiin, hyökkääjät voisivat väärentää lähteen IP-osoitteita ja portteja miten vain ja saada toisen pään luulemaan että muodonmuutos tapahtui verkossa. 30 Security issues are critical for the detection of dynamic deformation "of the performance. Only a few types of deformation are acceptable. If arbitrary transformations were allowed, attackers could forge source IP addresses and ports and the only way to get the second end into thinking that the deformation occurred in the network.
Turvallisuusongelma monimutkaistuu seikalla, että NATit piilottavat usein todelliset lähettävän ja vastaanottavan solmun IP-osoitteet. Safety The problem becomes more complicated fact that a pretty often hide the actual sending and receiving node IP addresses. Kukin osapuoli näkee sitten vain toisen pään palomuurille kuuluvat osoitteet, ei todellisten koneiden osoitteita. Each party then sees only the other end of the firewall includes addresses, not actual addresses of machines.
i 35 105753 13 i 35 105753 13
Jos oletamme, että toinen pää tekee muodonmuutosten kompensoinnin korvaamalla toisessa päässä nähdyn osoitteen MACin laskennassa tai vahvistamisessa, korvauk-r sen tekevän solmun täytyy tietää toisen solmun todellinen IP-osoite. If we assume that the other end makes a deformation compensation by substituting the address seen at the other end in calculating or verifying a MAC, korvauk-r to make a node must know the other node to the real IP address.
5 Tosin on tapa välttää tämä vaatimus. 5 However, there is a way to avoid this requirement. Jos kukin solmu NATin takana voi oppia IP-osoitteen (ja muun informaation), jonka se tulee saamaan NAT-välitinlaitteen ulkopuolella, se voi laskea MACin tätä informaatiota käyttämällä ja kommunikoida tämän informaation vastaanottavalle solmulle todellisena osoitteenaan. If each node behind a NAT can learn the IP address (and other information) that it will receive from outside the NAT gateway, it can compute the MAC using that information, and the receiving node to communicate this information to the real addressing the adherents. Samanlainen proseduuri soveltuu vastaanottavalle solmulle. A similar procedure applies to the receiving node.
Palatkaamme nyt turvallisuusnäkökohtiin. Let us now return to safety issues. Pohjmuniltamme haluamme autentisoida, että vastaanotetut paketit todellakin ovat alunperin siitä lähettävästä solmusta josta ajattelemme niiden olevan. Pohjmuniltamme we want to authenticate that the received packets are indeed originally from the sending node from which we think them to be. On useita mahdollisia informaatiolähteitä lähettävästä solmusta, sisältäen seuraavat: 15 - Se voi olla lähettävän solmun lähettämä paketin mukana (koestus linjassa), autenti- soitu käyttämällä mitä tahansa autentisointiavainta, josta kumppanit ovat sopineet. There are several possible sources of information from the sending node, including the following: 15 - It can be involved in the sending packet transmitted by the node (testing line), authentication catalyzed using any autentisointiavainta, which partners have agreed. Lähettävän solmun identiteetti oli tuotu vastaanottavan solmun tietoon niiden sopiessa autentisointiavaimesta. The sending node identity had been brought to the attention of the receiving node of the Parties, autentisointiavaimesta.
, - Se on voitu kommunikoida käyttämällä avainten hallitsijaa erityiseen turvayhtey- * ...... - It is possible to communicate using the keys ruler special turvayhtey- * ......
20 teen liittyneenä identiteettinä. 20 I attached to an identity. Informaatio autentisoitiin avainten hallitsijoiden välisessä avaintenvaihdossa. Information autentisoitiin key exchange between the keys rulers.
- Se voidaan lähettää koetinpaketissa, joka autentisoidaan millä tahansa autentisoin-tiavaimella, joka on turvayhteydelle hyväksytty. - It can send the probe packet, which is authenticated by any autentisoin-wrenches, which is accepted by the safety connection.
25 Olettaen, että paketti on kryptograafisilla menetelmillä (sekä paketin autentisointi että yksityisyyden suojaus) riittävästi suojattu, emme itse asiassa välitä siitä, mitä tietä se kulkee verkon läpi. 25 Assuming that the package is a cryptographic methods (as well as packet authentication and privacy protection) sufficiently protected, we do not actually care what way it passes through the network. Tässä mielessä emme välitä paketin IP-osoitteista tai porteista niin kauan, kuin olemme varmoja, että avaininformaatio oli neuvoteltu soveliaan todellisen päätepisteen kanssa. In this sense, we do not care package IP addresses or ports, as long as we are sure that key information had been negotiated with an appropriate the actual endpoint. Tämä informaatio (riippumatta siitä käyte-30 täänkö tätä keksintöä) täytyy olla autentisoitu muilla välineillä kuin IP-osoitteilla, ' ' sillä IP-osoitteet ovat epäluotettavia. This information is (whether avai-30 täänkö of the invention) must be authenticated by other means such as IP addresses, '' as IP addresses are unreliable. On olemassa useita tunnettuja menetelmiä, joita tällä hetkellä käytetään autentisoimaan toinen liikennöivä solmu ja vahvistamaan sen oikeutus liikennöidä, joihin sisältyvät. There are several known methods currently used for operating the second node to authenticate and verify its legitimacy to operate, which is included.
- käsin konfiguroidut, kiinteät avaimet (”saat liikennöidä kenen tahansa kanssa, joka 35 tuntee avaimen”) - dynaamisesti sovitut, ennalta yhteisellä salauksella autentisoidut avaimet (''saat liikennöidä kenen tahansa kanssa, joka tuntee salauksen”) 105753 14 - luotetun CA:n sertifikaatti ("saat liikennöidä kenen tahansa kanssa, jolla on luotetun CA:n sertifikaatti”) - luotetun CA:n sertifikaatti määrätylle verkko-osoitealueelle (''saat liikennöidä kenen tahansa kanssa, joka voi esittää luotetun CA:n sertifikaatin sille IP- osoitteelle, 5 jota he käyttävät”) - luotetun valtuuttajan sertifikaatti, joka antaa toiselle solmulle auktorisoinnin liikennöidä toisen solmun kanssa (esimerkiksi käyttämällä SPKI-sertifikaattia) - muut muodot ja periaatteet ovat myös mahdollisia ja niitä todennäköisesti kehitetään tulevina vuosina. - manually configured, fixed keys ( "you will get to operate with anyone who 35 knows the key") - dynamically agreed, pre-autentisoidut common encryption keys ( '' get to operate with anyone who is familiar with encryption ") 105 753 14 - a trusted CA. certificate ( "you will get to operate with anyone who has a trusted CA certificate") - a trusted CA certificate to a specific network address range ( '' get to operate with anyone who may make the trusted CA certificate to an IP address, 5 they are using "), - the represented trusted certificate, which allows the second node communicate with authorization of (for example, using a SPKI certificate) to the second node - other forms and policies are also possible and are expected to be developed over the coming years.
Jotkut näistä menetelmistä tuottavat suoraan liikennöivän etäisen solmun tai käyttäjän identiteetin (esimerkiksi luotetun CA:n sertifikaattiin liittyvän nimen muodossa); Some of these methods provide a remote node, or the user directly operating on the identity (e.g., a trusted CA, the name of the certificate); jotkut tuottavat auktorisoinnin mutta eivät kerro mitään etäisen solmun tai käyttäjän identiteetistä. some produce by certification but do not say anything about the identity of the remote node or user.
Joka tapauksessa etäisen solmun käyttämällä IP-osoitteella ja porttinumerolla on NATia käytettäessä autentisointimerkityksessä vain vähän arvoa osoitteen tullessa enemmän tai vähemmän sattumanvaraisesti (tyypillisesti osoitealueen sisällä). In any case, the remote node using the IP address and port number for the NAT is used autentisointimerkityksessä little value when the address of more or less random (within the address range typically).
« « · 20 Asia on siten, että IP-osoite ja portti eivät ole todella käytettävissä autentisointiin NATin läsnäollessa, vaikka liikenne autentisoidaan muilla tavoin. «« · 20 The matter is such that the IP address and port are not really available for authentication in the presence of NAT, even though the traffic authenticated by other means. Liikennöivien solmujen autentisointi täytyy tehdä käyttämällä sertifikaatteja tai muuta informaatiota, jota vaihdetaan osana avaimenvaihtoprotokollaa. Operating on the nodes of the authentication must be done using certificates or other information exchanged as part of the key exchange protocol.
25 Emme siten todella välitä siitä IP-osoitteesta, joka esitetään vastaanottavalle solmul le. 25 We therefore really care about the IP address that is shown to the receiving solmul le. Sitä osoitetta ei tarvitse autentisoida (ja ei voida kovin paljoa tehdä sen autenti-soimiseksi, paitsi vaatia sertifikaatilla listaus niiden osoitteiden alueesta, johon NAT-välitinlaite sen saattaa muuttaa). It addresses do not have to authenticate (and is not that much to make it authentic-proteins, for not only require a certificate listing the area of ​​addresses to which the NAT gateway, it may change).
30 Kompensaation suorittavalle solmulle liikennöitävä informaatio tulisi kuitenkin autentisoida niiden hyökkäysten välttämiseksi, joissa valeosoite syötetään kompensoimaan muutokset muualla paketissa. However, operated by performing the node 30 of the compensation information should authenticate to avoid the attacks, in which the cast address is applied to compensate for changes elsewhere in the packet. Voidaan väittää, että hyvä MAC ei salli kom-pensointiosoitteen määrittämistä, mutta on aina turvallisempaa autentisoida osoite. It can be argued that a good MAC does not allow determination of kom-pensointiosoitteen, but it is always safer to authenticate the location address. Voi olla tarkoituksenmukaista autentisoida liikennöity informaatio käyttäen samaa 35 autentisointiavainta, jota käytetään muun paketin autentisoimiseen. It may be convenient to authenticate the information using the same trafficked autentisointiavainta 35, which is used to authenticate the rest of the package.
i 105753 15 i 105 753 15
Solmun paikallinen turvallisuusperiaate määrittää, mitä muodonmuutoksia se pitää hyväksyttävinä kullekin saavutetun autentisoinnin muodolle. The node local security principle to determine what changes shape it must be acceptable in the authentication procedure achieved in each mode. Monet sellaiset periaatteet ovat mahdollisia. Many of the principles are possible. Yksi mahdollinen periaate on määritetty alla: - Älä salli muita muutoksia protokollissa kuin IPv4 ja IPv6. One possible principle is set forth below: - Do not allow other changes to the protocols of IPv4 and IPv6.
5 - Hyväksy IPv4:n ja IPv6:n väliset muodonmuutokset kompensoiden muotoilumuu tokset. 5 - Accept IPv4 and IPv6 deformation between the compensating muotoilumuu changes.
- Hyväksy mielivaltaiset muutokset liikennöinnin alkuunpanijan lähdeosoitteessa ja portissa; - Accept arbitrary changes in operating instigator of the source address and port; älä salli muutoksia alkuunpanijan kohdeosoitteessa tai vastaajan lähde-osoitteessa, ellei sitä yksiselitteisesti sallita vastaajan sertifikaatissa. do not allow changes to the originator or destination address of the defendant at the source, unless it is explicitly allowed the defendant's certificate. Kuitenkin 10 muutos IPv4:n ja vastaavan IPv6-osoitteen (niin kuin on määritetty IPv6-osoitemää-rityksissä) välillä on aina sallittu. However, the change 10 in IPv4 and the corresponding IPv6 address (as defined in the IPv6-assays of destination) is always allowed.
- Älä salli muutoksia protokollanumerossa (TCP vastaan UDP vastaan joku muu); - Do not allow changes to the protocol number (TCP versus UDP against someone else); jätä huomiotta muiden protokollien kuin TCP:n ja UDP:n porttinumerot. Ignore the other TCP protocols, and UDP port numbers.
- Älä hyväksy muutoksia IP-optioissa, TCP-optioissa tai muissa paketin osissa. - Do not agree to any change in IP options, TCP options, or other parts of the package.
Keksintö ei rajoita periaatteen valintaa. The invention does not limit the choice of law.
Kun esiintyvät muodonmuutokset on määritetty, ne täytyy kompensoida yhden tai : \ molempien liikennöivien solmujen toimesta, mikä on edellämainittu kolmas alaon- 20 gelma. When deformations occur is determined, it must be compensated by one or, by the \ both operating on the nodes, which have the above-mentioned third alaon- 20 arises. Jos käytetään koestusta linjassa, sisältää itse koetinpaketti riittävästi informaatiota vastaanottavalle solmulle kaikkien hyväksyttävien muodonmuutosten kompensoimiseksi; If the alignment test is used, the probe packet itself contains enough information for the receiving node to compensate for any acceptable transformations; kuitenkin sellaisen informaation lisääminen jokaiseen pakettiin ei ole toivottavaa, koska se kuluttaa turhaan verkon kaistaleveyttä. However, adding such information to each packet is undesirable because it unnecessarily consume network bandwidth. Siten on luultavasti toivottavaa pitää kompensoivassa solmussa kirjaa ilmenevistä muodonmuutoksista ja 25 kompensoida ne käyttäen kirjattua informaatiota sen sijaan, että sisällytetään yksityiskohtainen kompensaatioinformaatio joka pakettiin. Thus, it is probably desirable to keep record of the node compensating deformations that occur and 25 to compensate for them using a record of information, rather than included in the detailed information that the compensation package.
Kompensointi voidaan suorittaa joko laskettaessa MACia pakettia lähetettäessä tai silloin kun MACia vahvistetaan paketin vastaanottamisen jälkeen. Compensation can be performed either by calculating the MAC is sending a packet, or when the MAC is set after the receipt of the packet.
30 ' • '! 30 '•'! MAC lasketaan tavallisesti paketin sisällöstä ja salaisesta avaimesta käyttämällä so veltuvaa kryptograafisesti vahvaa hajafunktiota (tai muuta funktiota, joka sekoittaa bitit yhteen jäljittämättömällä tavalla) seuraavalla tavalla: - Salainen avain sisältyy MACiin. The MAC is normally calculated on the content and the secret key using the packet mutatis cryptographically strong hash function (or other function that mixes bits together traceable manner) in the following manner: - The secret key is included in the MAC.
35 - Pakettidata sisältyy MACiin. 35 - A packet data included in the MAC.
- Kaikki paketin otsikon käyttökelpoiset osat sisältyvät MACiin. - All usable parts packet header included in the MAC. On joitakin kenttiä, jotka tavallisesti muuttuvat pakettia lähetettäessä, kuten TTL-kenttä. There are some fields that are normally changed when sending a package, such as the TTL field. Nämä eivät si- Ίϋ575ό 16 säily MACin laskentaan (tai ne nollataan ennen MACin laskentaa). These do not contain Ίϋ575ό 16 remained MAC computation (or are zeroed before MAC computation). Useimmat muut kentät sisältyvät MACin laskentaan. Most of the other fields included in the MAC calculation.
- Lähde-ja kohdeosoitteet sisältyvät tavallisesti MACin laskentaan. - Source and destination addresses are usually included in the MAC calculation.
5 MAC on tyypillisesti bittivektori, jossa jokainen bitti riippuu jokaisesta MACiin kuuluvasta bitistä jäljittämättömällä tavalla. 5 The MAC is typically a bit vector where every bit depends on each bit belonging to the MAC-traceable manner. Bittien määrä MACissa on riittävän suuri (toisin sanoen MAC on riittävän vahva) niin, että ei ole mahdollista löytää dataa joka täsmää tiettyyn MACiin. On a Mac, the number of bits is large enough (in other words, the MAC is strong enough) so that it is not possible to find data that matches a specific MAC. Ajatuksena on ettei ole mahdollista tuottaa sellaista MACia, joka voitaisiin onnistuneesti vahvistaa tietyllä avaimella tuntematta 10 avainta. The idea is that it is not possible to produce the kind of Mac, which could be successfully confirm a specific key 10 without knowing the key.
Muodonmuutosten kompensoimiseksi lähettävässä solmussa lähettävä solmu käyttää vastaanottavan solmun näkemiä muodonmuutoksia ennen kuin se laskee MACin. To compensate for the deformations, the sending node, the sending node uses the deformations seen by the receiving node before it computes the MAC. Siten lähetettävässä paketissa MAC ei täsmää pakettiin, jonka lähettävä solmu lähet-15 tää, mutta se täsmää siihen pakettiin, jonka vastaanottava solmu näkee. Thus, the packet transmitted to the MAC does not match the packet that the sending node sending a 15-TAA, but it will match the packet that the receiving node sees.
Muodonmuutosten kompensoimiseksi vastaanottavassa solmussa vastaanottava solmu käyttää vastaanotetulle datalle käänteisiä muodonmuutoksia ennen kuin se las-: : kee MACin. To compensate for the deformations, the receiving node, the receiving node uses the received data to inverse distortion before calculating: Kee MAC. Siten lähettävä solmu lähettää paketin, jolla on oikea MAC ja vas- 20 taanottava solmu muuntaa paketin lähettävän solmun lähettämään muotoon ennen kuin vahvistaa MACin. Thus, the sending node sends the packet with the correct MAC and received by the host node 20 to convert the packet of the sending node transmit format before establish a MAC.
Miettikäämme nyt yhtä mahdollista tämän keksinnön toteutusta yksityiskohtaisesti viitaten kulkukaavioon kuviossa 10. Yksinkertaisuuden vuoksi tämä toteutus käsitte-25 lee vain IPv4-protokollaa ja se on tarkoitettu selviytymään vain IPv4 NATeista (IP-osoite- ja porttimuodonmuutoksista TCP- ja UDP-protokollille). Now let us consider one possible implementation of the present invention in detail with reference to the flowchart in Figure 10. For simplicity, this implementation käsitte 25-lee only the IPv4 protocol, and it is intended to cope with IPv4 NATeista (IP address and port deformations of the TCP and UDP protocols). Tulee kuitenkin olemaan selvää alan ammattimiehelle kuinka tämä laajennetaan selviytymään IPv4-IPv6-protokollamuunnoksista tai muuntyyppisistä muodonmuutoksista. There will, however, be apparent to those skilled in the art how this is extended to cope with IPv4-IPv6 protocol conversions or other types of deformation. Oletamme, että käytetään IPSEC-mekanismia IPv4-pakettien autentisoimiseksi. We assume that the IPSEC mechanism is used for IPv4 packets to authenticate. Emme harkitse 30 salausta; We do not consider the 30 encryption; kuitenkin autentisointi voidaan yhtä hyvin suorittaa käyttämällä ESP-otsikoita, mahdollisesti yhdistettyinä salaukseen, niin kuin se on tässä kuvattu käyttämällä AH-otsikoita. However, the authentication can equally well be performed using ESP headers, potentially combined with encryption, as it is described herein using AH headers.
Nimittäkäämme liikennöiviä solmuja initiaattoriksi ja vastaajaksi. Let us call operating on nodes initiator, and as a defendant. Initiaattori on 35 solmu, joka lähettää ensimmäisen paketin liikennöinnin aloittamiseksi; The initiator 35 is the node that sends the first packet to start operating; vastaaja on se, jolle ensimmäinen paketti lähetetään (ja tyypillisesti se vastaa tälle paketille lähettämällä yhden tai useampia vastauspaketteja takaisin). it is a voice, to which the first packet is sent to (and typically it responds to this packet by sending one or more reply packets back). Alla olevassa kuvauksessa rajoitumme tapaukseen, jossa NAT-välitinlaite eristää initiaattorin Internetistä, ja 105753 17 vastaaja on näkyvissä Internetissä käyttäen omaa IP-osoitetta ja todellisia porttinumerolta. The following description is limited to cases where a NAT gateway from the Internet to isolate the initiator, and 17 105 753 respondent is visible on the Internet using its own IP address and real port number. Tämä yleinen asetelma tunnetaan sellaisenaan ja se oli kuvattu kuviossa 1. This general arrangement is known as such and was illustrated in Figure 1.
Kun initiaattori haluaa liikennöidä vastaajan kanssa ja ne eivät ole liikennöineet 5 viime aikoina (toisin sanoen niiden välille ei ole vielä asetettu mitään turvayhteyttä), initiaattori aloittaa ensiksi ISAKMP-vaihdon vastaajan kanssa, johon yleisesti viitataan viitteellä 1001. Tämä tehdään tavallisesti lähettämällä UDP-paketti porttiin 500 (missä 500 on portti- eikä viittausnumero) vastaajan IP-osoitteeseen. When the initiator wants to communicate with the answering and they are not operated in the last 5 times (in other words, has not yet been subject to any security association between them), initiator to start first with the respondent ISAKMP exchange generally referred to by reference number 1001. This is normally done by sending an UDP packet port 500 (where 500 is the port and a reference number) of the respondent's IP address. NAT korvaa lähdeosoitteen ja lähdeportin paketissa. NAT replaces the source address and source port package. Sekä initiaattorin että vastaajan avainten 10 hallitsijat vaihtavat ISAKMP-paketteja ja muodostavat ISAKMP-turvayhteyden avaintenhoitajien välille. Both the initiator answering the key 10 rulers exchange ISAKMP packets and forming the ISAKMP security association key managers. Tämän prosessin osana ne autentisoivat (tai auktorisoivat) toisensa käyttämällä ISAKMP:n tukemaa menetelmää. As part of this process, they autentisoivat (or authoritative) using another ISAKMP-supported methods.
Seuraavaksi luodaan IPSEC SA (turvayhteys) initiaattorin ja vastaajan välille (itse 15 asiassa kaksi, yksi kumpaankin suuntaan) vaiheessa, johon viitataan yleisesti viitteellä 1002. Kuhunkin SA:han liittyy yhteinen salaus, jota käytetään johtamaan avainmateriaali (salaus- ja autentisointialgoritmit) IPSEC-muodonmuutoksiin, joita käytetään suojaamaan SA:ta käyttäen lähetettyä liikennettä. Next, create the IPSEC SA (security association) between the initiator and the respondent (15 itself in two, one in each direction) step, generally referred to by reference number 1002. Each SA is of common encryption, which is used to derive key material (encryption and autentisointialgoritmit) IPSEC deformation , which are used to protect the SA using the transmitted traffic.
20 On mahdollista, että avainten vaihdon aikana ISAKMP-paketeille tapahtui joitakin muodonmuutoksia. 20 It is possible that during the ISAKMP key exchange packets happened to some deformation. Kuitenkaan näitä muodonmuutoksia ei voida käyttää määrittämään niitä muodonmuutoksia, jotka tulevat ilmenemään datapaketeille, sillä data siirretään käyttämällä eri porttinumeroita ja sillä voi olla eri kuvaus. However, these deformations can not be used to determine the deformation, which will appear from the data packets, as data is transferred using a different port numbers, and it may have a different description. Tähän pisteeseen asti yhteyden muodostus on edennyt tekniikan tason mukaisesti. Up to this point the connection has proceeded according to the prior art.
Ensimmäinen datapaketti lähetetään sitten initiaattorilta vastaajalle vaiheessa 1003. Paketti autentisoidaan ja suojataan muuten käyttämällä AH- ja ESP-otsikoita niin kuin avainten vaihdossa oli neuvoteltu. The first data packet is then transmitted at step 1003. The initiator respondent packet authenticated and otherwise protected using the AH and ESP headers as negotiated key exchange. Lisäksi erityinen IP-optio lisätään pakettiin. In addition, a specific IP option is added to the package. Tällä IP-optiolla on erityinen, varattu numero ja sitä käytetään koestamaan initiaat-30 torin ja vastaajan välisen liikennöintikanavan muodonmuutosominaisuudet. This IP option has a special, reserved number, and is used to probe the Initia-30 traffic channel between the rotor and the deformation characteristics of the respondent. Tämä on yksi hajottamattoman linjassa tapahtuvan koestuksen variaatio. This is one of the non-dispersive variation of the test is to take place in line. Tämän option muoto ja sisältö on kuvattu kuviossa Γ1. The form and contents of this option are described in Figure Γ1. MAC 1101 voi olla esimerkiksi loppuoption HMAC-SHA1 :n ensimmäiset 96 bittiä käyttäen samaa avainta kuin paketille käytetty autentisoinnin muodonmuutos. The MAC 1101 can be for example a final option for the HMAC-SHA1 of the first 96 bits using the same signature as the strain used in the authentication packet. ''Koetin vastaanotettu”-kentän 1102 arvo tulee 35 olemaan VÄÄRIN osoittaakseen, että emme ole vielä vastaanottaneet koetinpakettia toiselta puolelta. '' Probe received "field 1102 is 35 will be FALSE to indicate that we have not yet received a probe packet from the other side. Toteutuskohtainen data 1103 voi olla mikä tahansa data, joka tarvitsee liikennöidä toiselle puolelle,Tcuten informaatio initiaattorin tukemista ominaisuuksista. Implementation-specific data 1103 can be any data that needs to operate on the other side, the support information Tcuten initiator properties. Alkuperäinen IP-otsikko pakettia lähetettäessä 1104 on myös esitetty. The original IP header when sending packets 1104 is also shown.
105753 18 105 753 18
On kiinnostavaa huomata, että vaikka NATit vaihtavat porttinumerolta piilottaa AH/ESP-kapselointi TCP/UDP-otsikon NATilta ja siten NAT ei todennäköisimmin kykene muokkaamaan porttinumerolta. It is interesting to note that, although a pretty exchange port number to hide the AH / ESP encapsulation of the TCP / UDP header and therefore pretty looking NAT is most likely to be able to modify the port number. Tämä voi myös saada aikaan haitallisen vaikutuksen NAT-suorituskyvyssä niiden täytyessä nyt miehittää yksi ulkoinen osoite 5 jokaiselle sisäiselle osoitteelle jolla on yhteys auki sen sijaan, että multipleksoitai-siin useita samaan osoitteeseen muokkaamalla porttinumerolta. This can also be achieved by the detrimental effect of NAT performance by fulfilling them now occupy one external address 5 for each internal address in connection with the open instead of multipleksoitai-THIRD several to the same address by editing the port number. Tämä keksintö on käytettävissä myös niissä tapauksissa, joissa NAT muuttaa porttinumerolta AH/ESP-otsikon sisällä. This invention is applicable also in cases where a NAT port number to change the AH / ESP header within.
10 Jos initiaation lähettää muita paketteja vastaajalle ennen kuin vastaanottaa koettimen palautteen, tulevat nämä paketit sisältämään samanlaisen koetinoption. 10 If the initiation sends other packets to the respondent before receiving the feedback of the probe, these packets will contain a similar probe option.
Kun vastaaja vastaanottaa tämänmuotoisen paketin vaiheessa 1004, se vertaa vastaanotetussa koettimessa olevaa dataa vastaanotetussa IP-paketissa olevaan infor-15 maatioon. When the responder receives a packet of this format at step 1004, it compares the received probe data in a received IP packet informal-15 transformation. Se käyttää vertailua tuottamaan käänteisen muodonmuutoksen sille muodonmuutokselle, joka tapahtui paketin ollessa liikkeellä. It uses the comparison to produce an inverse transformation of the transformation that occurred in the package is in motion. Tämä data talletetaan käytettäväksi niiden tulevien pakettien prosessoinnissa, jotka vastaanotetaan samaa SA.ta käyttävinä, ja initiaattorille vastaamiseen, kun ensimmäinen paketti lähetetään : r sille. This data is stored for future use in processing packets that are received at the same SA.ta use, and initiator to respond, when the first packet is transmitted by r to it.
Kun vastaaja lähettää ensimmäisen pakettinsa initiaattorille vaiheessa 1005 se tarkistaa, oliko koetinoptio mukana ensimmäisessä initiaattorilta vastaanotetussa paketissa. When the responder transmits a first package of initiator in step 1005, it checks whether a probe option with the first initiator in the received packet. Jos oli, se sisällyttää oman koetinoptionsa. If so, it will include its own probe option. Tämä koetinoptio on identtinen verrattuna initiaattorin lähettämään, paitsi että ''koetin vastaanotettu”-kenttä on TOSI 25 osoittamaan että vastaaja on jo vastaanottanut koettimen ja initiaattorin ei enää tarvitse lähettää koettimia. This probe option is identical to the initiator to transmit, except that 'the probe received "field is TRUE 25 to indicate that the respondent has already received a probe and the initiator is no longer necessary to send probes.
Initiaattori sisällyttää seuraavaan, vaiheessa 1006 tämän vastaanottamansa paketin jälkeen, pakettiinsa yhä koetinoption, jossa on nyt ''koetin vastaanotettu” TOSI il-30 maisemaan, että vastaajan ei tarvitse lähettää enää lisää koettimia. The initiator is included in the next step 1006 of the received packet after, still in its package probe option, which will now '' probe received "TRUE IL-30 landscape, the respondent is not required to send any more probes. Jos pakettien , vaihto on edennyt sujuvasti on osoitemuutosten (ja protokollamuunnosten, vaikkei niitä erityisesti käsitelty viitaten kuvioon 10) dynaaminen havaitseminen valmis ja initiaattori ja vastaaja voivat jatkaa pakettien vaihtoa prosessoiden tulevat vastaanotetut paketit käyttäen samaa SA:ta sen informaation mukaisesti, joka on talletettu 35 osoitemuutoksista (ja protokollamuunnoksista) vaiheissa 1004 ja 1006. If packets, the exchange is proceeded smoothly dynamic detection of complete and the initiator and the respondent may continue to packet exchange address changes (although not particularly discussed with reference to Figure 10 and the protocol transformation,) processing the sprint the packets received using the same SA in accordance with a deposit of 35 address changes to the information (and protocol conversions) stages in 1004 and 1006.
Saattaa kuitenkin olla komplikaatioita. However, there may be complications. Järjestelmän täytyy kyetä käsittelemään kadonneita paketteja. The system must be able to handle lost packets. On myös pieni mahdollisuus, että vastaaja tahtoisi itsestään lä- 105753 19 hettää paketin initiaattorille sen jälkeen kun niiden väliset SA:t on asetettu mutta ennen kuin se on vastaanottanut ensimmäistä pakettia initiaattorilta. There is also a small possibility that the respondent would like to automatically transmit 105753 19 sends the packet initiator after the SA between them: t is set but before it has received the first package of the initiator.
Kunnollinen toiminta koettimien lähettämisen suhteen voidaan summata kuvion 12 5 tilakoneella. Proper operation with respect to the transmission of the probes can be summed May 12 state machine of FIG. Tilan käsite kuuluu erillisenä kullekin SA:lle. The concept of a separate state for each SA.
Eräs ongelma, jota ei edellä käsitelty, on turvayhteyksien rakeisuus verrattuna muo-donmuutosinformaation rakeisuuteen. One problem which has been discussed above, the safety connections granularity compared fas-donmuutosinformaation granularity. SA voisi olla. SA could be. koko alaverkkojen välissä kattaen monia isäntiä, tai se voisi olla esimerkiksi vain yhtä TCP/IP-porttiparia varten. between the size of the sub-network covering many hosts, or it could be the only one TCP / IP port pair. 10 Toisaalta muodonmuutosinformaatio on tyypillisesti vakio vain isäntäperustaisesti tai jopa vain porttiperustaisesti (se ei voi olla porttiperustaisesti, jos portti-informaatio ei ole näkyvissä NATille AH-ja ESP-otsikoiden takia). 10 On the other hand the deformation information is typically constant only isäntäperustaisesti or even just porttiperustaisesti (it can not be porttiperustaisesti, if port information is not visible due to nät the AH and ESP headers).
Tämä nostaa esiin kysymyksen, missä tulee säilyttää informaatio muodonmuutoksis-15 ta, SA:ssa vai erillisenä datarakenteena, joka taltioi kullekin isännälle/portille muo-donmuutosinformaation, mahdollisesti yhdistettynä SA:han. This raises the question as to what information should be stored muodonmuutoksis-15 to SA or in as separate data structure that records for each host / port fas-donmuutosinformaation, optionally in combination with SA. Molemmat lähestymistavat ovat mahdollisia. Both approaches are possible. Tässä oletamme, että käytetään erillistä datarakennetta taltioimaan muodonmuutosinformaatio erillisesti kullekin SA:n kattamalle isännälle. Here we assume that a separate data structure to store deformation information separately for each of SA's covered by the host.
«fj ' ' «Fj ''
20 Kuvio 13 on yksinkertaistettu lohkokaavio verkkolaitteesta 1300, joka voi toimia kuvion 10 menetelmän initiaattorina tai vastaajana. 20 Figure 13 is a simplified block diagram of a network device 1300 that can act as an initiator or a party to the method of Figure 10. Verkkoliittymä 1301 yhdistää verkkolaitteen 1300 fyysisesti verkkoon. The network interface 1301 connects the network device 1300 physically to the network. Osoitteenhallintalohko 1302 pitää lukua sekä itse verkkolaitteen 1300 että sen kumppanin (ei esitetty) oikeista verkko-osoitteista, porttinumeroista ja muusta olennaisesta julkisesta identifiointi-informaatiosta. Address management block 1302 keeps track of both the network device 1300 itself and its partners (not shown) of the correct network addresses, port numbers and other essential public identification information obtained. 25 ISAKMP-lohko 1303 vastaa ävamtenhallintaprosessistaja muista toiminnoista, jotka liittyvät salaisen informaation vaihtoon. 25 ISAKMP block 1303 is responsible for ävamtenhallintaprosessistaja other activities related to the exchange of secret information. Salaus/salauksen purkulohko 1304 toteuttaa datan salauksen ja salauksen purun heti kun ISAKMP-lohkolta 1303 on saatu salainen avain. The encryption / decryption block 1304 to implement a data encryption and decryption as soon as the ISAKMP-by-block 1303 has been the secret key. Kompensointilohkoa 1305 käytetään lähetettyjen ja/tai vastaanotettujen pakettien luvallisten muodonmuutosten kompensoimiseen keksinnön mukaisesti. Compensation block 1305 is used to transmitted and / or received packets authorized to compensate for deformation in accordance with the present invention. 30 Paketin kokoaja/purkajalohko 1306 on välittäjä lohkojen 1302 - 1305 ja fyysisen ' '· verkkoliittymän 1301 välillä. 30 packet assembler / purkajalohko 1306 is a mediator of blocks 1302 - 1305, and the physical '' · the network interface 1301. Kaikki lohkot toimivat valvontalohkon 1307 valvon nassa, joka huolehtii myös iniorinaation reitityksestä muiden lohkojen ja muiden • verkkolaitteiden välillä, esimerkiksi informaation näyttämiseksi käyttäjälle näyt- töyksikön välityksellä (ei esitetty) ja komentojen saamiseksi käyttäjältä näppäimis-35 tön välityksellä (ei esitetty). All blocks operate under the supervision control block 1307 direction, which also iniorinaation the routing between the other blocks and • the other network devices, for example, for displaying information to the user via a display unit (not shown) and obtaining commands via a user-näppäimis 35 ton (not shown). Kuvion 13 lohkot on hyödyllisimmin toteutettu mikroprosessorin toiminnallisina esiohjelmoituina proseduureina, joiden toteuttaminen on alan ammattimiehelle sinänsä tunnettua. the microprocessor 13 blocks are usefully implemented Fig functional pre-programmed as procedures to be undertaken by the skilled person per se known in the art. Muitakin kuin kuviossa 13 esitettyjä järjestelyjä voidaan yhtä hyvin käyttää keksinnön muuntamiseksi käytäntöön. However, other than the arrangements shown in Figure 13 can be used as well to convert the practice of the invention.
1. Menetelmä paketin autentisoinnin saavuttamiseksi lähettävän solmun (903) ja vastaanottavan solmun (902) välillä verkossa käytettävän turvallisuusperiaatteen 5 mukaisesti, tunnettu siitä, että se käsittää vaiheet: - paketille reitillä lähettävän ja vastaanottavan solmun välillä tapahtuvien muodonmuutosten havaitseminen dynaamisesti (1003, 1004), - sen tarkistaminen (1004), että havaitut muodonmuutokset ovat hyväksyttäviä käytettävään turvallisuusperiaatteeseen perustuen, ja 10. dynaamisesti havaittujen, hyväksyttävien muodonmuutosten kompensointi (1004, 1006) ennen lähettävästä solmusta vastaanottavaan solmuun lähetettyjen pakettien autentisointia. 1. Process for the dispatch order to achieve packet in the authentication node (903) and a receiving node (902) the security principle used in the network according to 5, characterized in that it comprises the steps of: - packet route emitting and sensing taking place between the host node deformation dynamically (1003, 1004); - verifying (1004) that the shape of the observed changes are acceptable for use in safety based on the principle, and acceptable deformation 10. dynamically detected, compensating (1004, 1006) before the authentication transmitted from the sending node to the receiving node packages.
2. Patenttivaatimuksen 1 mukainen menetelmä, tunnettu siitä, että jokainen lä-15 hettävältä solmulta (903) vastaanottavalle solmulle (902) lähetetty paketti sisältää kiyptograafisen autentisointikoodin (1101), joka on johdettu salaisesta avaimesta ja alkuperäisen paketin sisällöstä. 2. The method according to claim 1, characterized in that each of LA-15 a sending node (903) to the receiving node (902) a transmitted packet contains kiyptograafisen autentisointikoodin (1101), which is derived from a secret key and the contents of the original packet.
, 3. Patenttivaatimuksen 2 mukainen menetelmä, tunnettu siitä, että dynaamisesti 20 havaittujen muodonmuutosten kompensoimiseksi alkuperäisen paketin sisältöä käsitellään lähettävässä solmussa (903) ennen mainitun kryptograafisen autentisointikoodin (1101) laskemista. 3. The method according to claim 2, characterized in that the deformation dynamically compensate for the content 20 identified in the original packet processed in the sending node (903) prior to said cryptographic autentisointikoodin (1101) calculation.
4. Patenttivaatimuksen 2 mukainen menetelmä, tunnettu siitä, että dynaamisesti 25 havaittujen muodonmuutosten kompensoimiseksi vastaanotetun paketin sisältöä käsitellään vastaanottavassa solmussa (902) ennen mainitun kryptograafisen autentisointikoodin (1101) vahvistamista. 4. The method according to claim 2, characterized in that the content of the received format changes dynamically to compensate for the detected packet 25 is treated before the host node (902) of said cryptographic autentisointikoodin (1101) reinforcement.
5. Patenttivaatimuksen 4 mukainen menetelmä, tunnettu siitä, että ainakin yksi 30 lähettävästä solmusta (903) vastaanottavalle solmulle (902) siirretty datapaketti , (602, 901) sisältää talletetun kopion vähintään osasta alkuperäistä pakettiotsikkoa (1104), ja vastaanottava solmu käyttää talletettua kopiota pakettiotsikossa vahvistaessaan vastaanotetun paketin mainittua kryptograafista autentisointikoodia. 5. The method according to claim 4, characterized in that at least one of the 30 from the transmitting node (903) to the receiving node (902), the transferred data packet (602, 901) includes the stored copy of at least a portion of the original packet header (1104), and the receiving node uses the stored copy of a packet header setting the received packet to said cryptographic autentisointikoodia.
6. Patenttivaatimuksen 5 mukainen menetelmä, tunnettu siitä, että mainittu talle tettu kopio on tallennettuna pakettiotsikon erityisoptiossa. 6. The method according to claim 5, characterized in that said been stored with a copy of the packet header erityisoptiossa. 105753 105753
7. Patenttivaatimuksen 6 mukainen menetelmä, tunnettu siitä, että mainittu eri-tyisoptio on IP-optio. 7. The method of claim 6, characterized in that said different tyisoptio is an IP option.
8. Patenttivaatimuksen 5 mukainen menetelmä, tunnettu siitä, että mainittu talle-5 tettu kopio on kryptograafisesti autentisoitu. 8. A method according to claim 5, characterized in that said store vari-five been copy is cryptographically authenticated.
9. Patenttivaatimuksen 1 mukainen menetelmä, tunnettu siitä, että pakettien siirrossa lähettävältä solmulta vastaanottavalle solmulle perustana oleva protokolla on IPv4-protokolla, ja pakettien autentisointi suoritetaan käyttämällä IPSEC-protokol- 10 laa. 9. The method according to claim 1, characterized in that the transmission of packets from the sending node to the receiving node in the underlying protocol is the IPv4 protocol, and packet authentication is performed using the IPSEC protocol in box 10.
10. Patenttivaatimuksen 1 mukainen menetelmä, tunnettu siitä, että pakettien siirrossa lähettävältä solmulta vastaanottavalle solmulle perustana oleva protokolla on IPv6-protokolla. 10. A method according to claim 1, characterized in that the transmission of packets from the sending node to the receiving node in the underlying protocol is the IPv6 protocol. 15 15
11. Patenttivaatimuksen 1 mukainen menetelmä, tunnettu siitä, että muodonmuutokset sisältävät IP-osoitemuunnoksia (100). 11. A method according to claim 1, characterized in that the deformation contain the IP address transformations (100). : r r
- 12. Patenttivaatimuksen 1 mukainen menetelmä, tunnettu siitä, että muodonmuu- 20 tokset sisältävät T CP/UDP-porttimuunnoksia. - 12. A method according to claim 1, characterized in that the deformation 20 changes include T CP / UDP porttimuunnoksia.
13. Patenttivaatimuksen 1 mukainen menetelmä, tunnettu siitä, että muodonmuutokset sisältävät muunnon IPv4- ja IPv6-protokollien välillä. 13. The method according to claim 1, characterized in that the shape changes include conversion between the IPv4 and IPv6 protocols.
14. Patenttivaatimuksen 1 mukainen menetelmä, tunnettu siitä, että dynaaminen havaitseminen suoritetaan käyttämällä seuraavista otettua koestusmenetelmää: hajot-tamaton koestus linjassa, hajottava koestus linjassa, erillinen koestus. 14. A method according to claim 1, characterized in that the dynamic detection is carried out using received the following test methods: Test for integral hajot-line, nondestructive testing in line, separate testing.
15. Patenttivaatimuksen 14 mukainen menetelmä, jossa koestusmenetelmä käsittää 30 vaiheen, jossa lähetetään koetin (1003) lähettävästä solmusta vastaanottavaan solmuun, tunnettu siitä, että koetin on paketti, joka lähetetään samaan verkko-osoitteeseen kuin normaalit datapaketit. 15. A method according to claim 14, wherein the test method comprises a step 30 of sending a probe (1003) from the sending node to the receiving node, characterized in that the probe is a packet to be sent to the same network address as normal data packets.
16. Patenttivaatimuksen 15 mukainen menetelmä, tunnettu siitä, että vasteena 35 koettimen vastaanottoon vastaanottava solmu lähettää koetinvastauksen (1005) lähettävälle solmulle. 16. A method according to claim 15, characterized in that in response to receipt of the probe 35, the receiving node sends a probe response (1005) to the transmitting node. 105753 105753
17. Patenttivaatimuksen 1 mukainen menetelmä, tunnettu siitä, että liikennöivät solmut neuvottelevat, tukevatko ne molemmat autentisointia silloin, kun liikkeellä-oleviin paketteihin kohdistuu muodonmuutoksia. 17. A method according to claim 1, characterized in that the operating nodes negotiate, they support both of the authentication, when the go-to packets directed to deformation.
18. Patenttivaatimuksen 1 mukainen menetelmä, tunnettu siitä, että se käsittää vaiheen, jossa varmistetaan, että muunto-ominaisuudet määritetään riittävän pienellä rakeisuudella hienorakeisimpien muodonmuutosten selvittämiseksi liikennöivien solmujen välisellä reitillä. 18. The method according to claim 1, characterized in that it comprises the step of ensuring that the conversion characteristics are determined with sufficiently small grain size between the fine granular operated to determine the deformation of the nodes on the route.
19. Verkkolaite (1300) digitaalisen informaation lähettämiseksi pakettiautentisoi- dussa muodossa käytettävän turvallisuusperiaatteen mukaisesti toiselle verkkolaitteelle verkossa, tunnettu siitä, että se käsittää välineet (1305, 1306, 1307) - paketille reitillä sen ja toisen verkkolaitteen välillä tapahtuvien muodonmuutosten havaitsemiseksi dynaamisesti, 15. sen tarkistamiseksi, että havaitut muodonmuutokset ovat hyväksyttäviä käytettä vään turvallisuusperiaatteeseen perustuen, ja - dynaamisesti havaittujen, hyväksyttävien muodonmuutosten kompensoimiseksi ennen autentisoitavien pakettien lähettämistä toiselle verkkolaitteelle. 19. A network device (1300) for transmitting the digital information pakettiautentisoi- in accordance with the principle of safety used in the buffered form to a second network device, the network, characterized in that it comprises means (1305, 1306, 1307) - the packet route between itself and a second network device for detection of deformation dynamically, 15 of the to check that the shape of the observed changes are acceptable but safety would be based on the principle, and - the acceptable deformation observed dynamically, to compensate for autentisoitavien before sending the packets to another network device.
20. Verkkolaite (1300) digitaalisen informaation vastaanottamiseksi pakettiautenti- soidussa muodossa käytettävän turvallisuusperiaatteen mukaisesti toiselta verkkolaitteelta verkossa, tunnettu siitä, että se käsittää välineet (1305, 1306, 1307) -paketille reitillä sen ja toisen verkkolaitteen välillä tapahtuvien muodonmuutosten havaitsemiseksi dynaamisesti, 25 -sen tarkistamiseksi, että havaitut muodonmuutokset ovat hyväksyttäviä käytettävään turvallisuusperiaatteeseen perustuen, ja - dynaamisesti havaittujen, hyväksyttävien muodonmuutosten kompensoimiseksi ennen toiselta verkkolaitteelta vastaanotettujen pakettien autentisoimista. 20. The network device (1300) in accordance with the principle of safety of the digital information receiving pakettiautenti- soidussa, the second network device to the network, characterized in that it comprises means (1305, 1306, 1307) packets for a route between itself and a second network device for detection of deformation dynamically, 25 -the to check that the shape of the observed changes are acceptable for use in safety based on the principle, and - to compensate for the deformations acceptable dynamically detected before the received packets from the second network device to authenticate. • < » 105753 • < »105753
FI974665A 1997-12-31 1997-12-31 Package authentication method changes the network address and protocol transformation in the presence of FI105753B (en)
IL13678798A IL136787D0 (en) 1997-12-31 1998-12-30 A method for packet authentication in the presence of network address translation and protocol conversions
JP2000528056A JP3457645B2 (en) 1997-12-31 1998-12-30 The method of packet authentication when network address translation and protocol translation exists
CA 2315722 CA2315722C (en) 1997-12-31 1998-12-30 A method for packet authentication in the presence of network address translations and protocol conversions
PCT/FI1998/001032 WO1999035799A2 (en) 1997-12-31 1998-12-30 A method for packet authentication in the presence of network address translations and protocol conversions
DE1998631974 DE69831974T2 (en) 1997-12-31 1998-12-30 A method for packet authentication in the presence of network address translations and protocol conversions
AU18795/99A AU1879599A (en) 1997-12-31 1998-12-30 A method for packet authentication in the presence of network address translations and protocol conversions
US09/319,575 US6795917B1 (en) 1997-12-31 1998-12-30 Method for packet authentication in the presence of network address translations and protocol conversions
EP19980963576 EP1036460B1 (en) 1997-12-31 1998-12-30 A method for packet authentication in the presence of network address translations and protocol conversions
AT98963576T AT307449T (en) 1997-12-31 1998-12-30 A method for packet authentication in the presence of network address translations and protocol conversions
FI974665A0 FI974665A0 (en) 1997-12-31
FI974665A FI974665A (en) 1999-07-01
FI105753B true FI105753B (en) 2000-09-29
AT (1) AT307449T (en)
AU (1) AU1879599A (en)
DE (1) DE69831974T2 (en)
IL (1) IL136787D0 (en)
WO (1) WO1999035799A2 (en)
JP4489008B2 (en) 2005-11-16 2010-06-23 株式会社東芝 Communication apparatus, communication method, and communication program
TWI500768B (en) * 2010-07-05 2015-09-21 Metabolic Explorer Sa Method for the preparation of 1,3-propanediol from sucrose
1997-12-31 FI FI974665A patent/FI105753B/en not_active IP Right Cessation
1998-12-30 AT AT98963576T patent/AT307449T/en not_active IP Right Cessation
1998-12-30 AU AU18795/99A patent/AU1879599A/en not_active Abandoned
1998-12-30 IL IL13678798A patent/IL136787D0/en active IP Right Grant
1998-12-30 WO PCT/FI1998/001032 patent/WO1999035799A2/en active IP Right Grant
1998-12-30 CA CA 2315722 patent/CA2315722C/en not_active Expired - Lifetime
1998-12-30 DE DE1998631974 patent/DE69831974T2/en not_active Expired - Lifetime
1998-12-30 EP EP19980963576 patent/EP1036460B1/en not_active Expired - Lifetime
1998-12-30 JP JP2000528056A patent/JP3457645B2/en not_active Expired - Lifetime
1998-12-30 US US09/319,575 patent/US6795917B1/en not_active Expired - Lifetime
IL136787D0 (en) 2001-06-14
AU1879599A (en) 1999-07-26
US6795917B1 (en) 2004-09-21
EP1036460A2 (en) 2000-09-20
FI974665A (en) 1999-07-01
DE69831974D1 (en) 2005-11-24
WO1999035799A2 (en) 1999-07-15
WO1999035799A3 (en) 1999-09-10
EP1036460B1 (en) 2005-10-19
FI105753B1 (en)
FI974665A0 (en) 1997-12-31
FI974665D0 (en)
AT307449T (en) 2005-11-15
JP2002501332A (en) 2002-01-15
CA2315722C (en) 2007-12-04
JP3457645B2 (en) 2003-10-20
CA2315722A1 (en) 1999-07-15
DE69831974T2 (en) 2006-06-08