-
HINTERGRUND DER ERFINDUNG
-
1. GEBIET DER ERFINDUNG
-
Diese
Erfindung betrifft das Beschränken
eines Zugriffs auf private Information in Domainennamensystemen.
-
2. BESCHREIBUNG DES VERWANDTEN
SACHSTANDES
-
Viele
distributive (verteilungsbezogene) Systeme weisen Namen in dem distributiven
System durch ein hierarchisches Benennungsverfahren zu, welches
als Domainennamen bekannt ist. Distributive Systeme, die Domainennamen
verwenden, werden Domainennamensysteme (Domain Name Systems; DNSs)
genannt. Ein Domainenname ist eine Sequenz von Domainennamen, die
durch Punkte getrennt sind. Zum Beispiel ist research.att.com ein
Domainenname. Com ist ein Domainenname auf der oberen Ebene einer
Domaine auf der oberen Ebene, att ist ein Domainenname auf der zweiten
Ebene einer Domaine einer zweiten Ebene und research ist ein Domainennamen
einer dritten Ebene einer Domaine einer dritten Ebene. Eine Einrichtung
in einer Domaine wird mit dem Namen der Einrichtung, gefolgt von
dem Domainennamen, bezeichnet. Somit hat eine Einrichtung, die mit „Server" in der research.att.com
Domaine bezeichnet ist, den Namen server.research.att.com. Ein Einrichtungsname
wird auch als ein Domainenname bezeichnet.
-
Während Domainennamen
ein distributives System in einer logischen und hierarchischen Weise
aufteilt, werden Nachrichten zwischen Einrichtungen des DNS durch
Identifizieren von Einrichtungen unter Verwendung von IP-Adressen
transferiert. IP-Adressen sind 32-Bit Zahlen, die als vier 8-Bitwerte,
getrennt durch Punkte, ausgedrückt
werden, wie beispielsweise 191.192.193.2. Die IP-Adressen enthalten
Information, wie beispielsweise eine Netz ID einer Einrichtungs-Netzverbindung
und einer Einrichtungs-ID.
Die IP-Adresse wird durch eine Adressen-Autorität zugewiesen. Die Adressen
werden in Blöcken
an Adressenserver, die die Autorität haben, zugewiesen.
-
Die
IP-Adressen beziehen sich aufeinander auch in einer hierarchischen
Weise. Jedoch stehen die Domainennamen-Hierarchie und die IP-Adressen-Hierarchie
nicht direkt miteinander in Beziehung. Während einige Namenserver auch
Adressenserver sind, müssen
Namen- und Adressen-Server nicht die gleiche Einrichtung sein. Somit
ist es für
einen Server möglich,
dass er die Autorität
hat einen Domainennamen in eine entsprechende IP-Adresse einer Einrichtung
aufzulösen,
wobei der gleiche Namenserver nicht in der Lage ist die IP-Adresse
des entsprechenden Domainennamen der gleichen Einrichtung aufzulösen. Somit
folgt eine Auflösung
von IP-Adressen auf Domainennamen einem ähnlichen Prozess wie die Auflösung von
Domainennamen in IP-Adressen, außer dass andere Server beteiligt
sein können.
-
Weil
IP-Adressen numerisch sind und im Gegensatz zu einem Domainennamen
ohne Bezug auf die logische und hierarchische Organisation des DNS
zugewiesen werden, werden im Allgemeinen Domainennamen in Befehlen
für Funktionen,
wie Datentransfers, verwendet. Somit identifiziert ein Datentransferbefehl
die Empfangseinrichtung nach ihrem Domainennamen. Jedoch muss der
Domainenname in eine entsprechende IP-Adresse umgewandelt werden,
bevor der Datentransfer auftreten kann.
-
Domainennamen
werden durch Einrichtungen, die die Autorität haben und als Namenserver
bezeichnet werden, verwaltet. Namenserver übersetzen Domainennamen in
entsprechende IP-Adressen und umgekehrt. Wenn eine erste Einrichtung
den Wunsch hat eine Nachricht an eine zweite Einrichtung zu transferieren, die
nur durch ihren Domainennamen bekannt ist, muss die erste Einrichtung
einen Namenserver befragen, um die entsprechende IP-Adresse zu dem
bekannten Domainennamen der zweiten Einrichtung zu ermitteln.
-
Wegen
des potentiell großen
Volumens von IP-Adressen-Abfrageanforderungen, die die Effizient
des DNS signifikant verringern können,
sind viele Verfahren implementiert worden, um die Arbeitslast von
Namenservern und den zugehörigen
Netzverkehr zu verringern. Während
diese Vorgehensweisen die Effizienz des DNS verbessern, führen sie
jedoch auch die Möglichkeiten
für nichtautorisierte
Aktivitäten
ein, wie die Möglichkeit
eines nicht autorisierten Zugriffs auf Information, die für eine Domaine
privat ist, oder ein Login in private Maschinen. Somit besteht eine
Notwendigkeit einen Zugriff auf private Information innerhalb eines
DNS zu beschränken.
-
Die
WO 96/13113, auf der der Oberbegriff des Anspruchs 1 gestützt ist,
offenbart ein Untersystem in einem Domainennamensystem zum Filtern
von Information. Das Untersystem ist in der Lage gefährliche
Software abzublocken und somit zu verhindern, dass eine derartige
Software in eine geschützte
Domaine eindringt.
-
Das
Filter der WO 96/13113 ist nicht in der Lage Information in Bezug
auf Domainennamen oder IP-Adressen der geschützten Domaine von Nachrichten,
die in der geschützten
Domaine von einer Quelle empfangen werden, die extern zu der geschützten Domaine
ist, zu filtern. Es wird deshalb nicht einen Versuch erfassen einen
nicht autorisierten Zugriff auf die geschützte Domaine zu erhalten, indem
eine falsche Adressenauflösungsinformation
zu einer Einrichtung in der geschützten Domaine bereitgestellt
wird.
-
ZUSAMMENFASSUNG
DER ERFINDUNG
-
Ein
erster Aspekt der vorliegenden Erfindung stellt eine Vorrichtung
zur Verwendung in einem Domainennamensystem bereit, umfassend: eine
Filtereinrichtung, die dafür
ausgelegt ist, um Information von einer ersten Einrichtung einer
ersten Domaine bestimmt für
eine zweite Einrichtung einer zweiten Domaine zu empfangen; dadurch
gekennzeichnet, dass die Filtereinrichtung dafür ausgelegt ist, um gefilterte
Information durch Entfernen von privater Information der zweiten
Domaine von der Information, die von der ersten Einrichtung empfangen
wird, zu erzeugen, wobei die private Information der zweiten Domaine
wenigstens einen Domainennamen und eine IP-Adresse einer Einrichtung
der zweiten Domaine einschließt,
und ausgelegt ist, um die gefilterte Information an die zweite Einrichtung
der zweiten Domaine weiterzuleiten.
-
Ein
zweiter Aspekt der Erfindung stellt ein Verfahren für den Betrieb
einer Vorrichtung in einem Domainennamensystem zum Filtern von Information
bereit, wobei das Verfahren die folgenden Schritte umfasst: Empfangen
der Information von der ersten Einrichtung einer ersten Domaine
bestimmt für
eine zweite Einrichtung einer zweiten Domaine; wobei das Verfahren
dadurch gekennzeichnet ist, dass es ferner umfasst: Erzeugen von
gefilteter Information durch Entfernen von privater Information
der zweiten Domaine von der Information, die von der ersten Einrichtung
empfangen wird, wobei die private Information der zweiten Domaine
wenigstens einen Domainennamen und eine IP-Adresse einer Einrichtung
der zweiten Domaine einschließt;
und Weiterleiten der gefilterten Information an die zweite Einrichtung
der zweiten Domaine.
-
Ein
Eindringling erhält
einen Zugriff auf Information, die für eine Domaine privat ist,
indem der Vorteil des Domainennamen-Auflösungsprozesses, der durch DNSs
verwendet wird, ausgenutzt wird. Weil Befehle für Funktionen, wie beispielsweise
Datentransfers, Domainennamen zum Spezifizieren von Zieleinrichtungen verwenden,
müssen
die Domainennamen in IP-Adressen übersetzt (aufgelöst) werden,
bevor ein Datentransfer auftreten kann. Der Eindringling nutzt den
Vorteil des Prozesses zum Auflösen
von Domainennamen in IP-Adressen aus, um einen Zugriff auf private
Information zu erhalten. Insbesondere übergibt der Eindringling zerstörte IP-Adressen
und/oder Domainennamen an eine Zieldomaine, sodass die normale Namenauflösung die
IP-Adresse der Einrichtung des Eindringlings anstelle einer beabsichtigten
Zieleinrichtung erzeugt.
-
Die
Erfindung verhindert, dass der Eindringling einen Zugriff auf private
Information einer Domaine erhält,
indem jegliche Möglichkeit
entfernt wird, dass eine Einrichtung innerhalb der Domaine private
Information von einer Einrichtung, die extern zu der Domaine ist,
empfängt.
Insbesondere stellt die Erfindung eine DNS Proxy-Einrichtung bereit,
die eine Filterungsfunktion ausführt.
-
Die
Filterungsfunktion des DNS Proxy empfängt eine Kommunikation von
Einrichtungen, die extern zu der Domaine sind. Die Kommunikation
wird hinsichtlich privater Information, wie beispielsweise Domainennamen
und/oder IP-Adressen, untersucht. Der DNS Proxy filtert jegliche
private Information, die von den externen Einrichtungen empfangen
werden und die Namen- und Adressen-Auflösungen innerhalb der Domaine
zerstören
können,
indem die private Information entfernt wird. Nur die gefilterte
Kommunikation wird an die Zieleinrichtungen innerhalb der Domaine
weitergeleitet.
-
In
spezifischer Weise stellt die vorliegende Erfindung eine Vorrichtung
zur Verwendung in einem DNS bereit, die einen Zugriff auf private
Information einer ersten Domaine einschränkt bzw. beschränkt. Die
Vorrichtung umfasst eine Filterungseinrichtung. Wenn Information
von der zweiten Domaine empfangen wird untersucht die Filterungseinrichtung
die empfangenen Daten und entfernt jegliche Information, die für die erste
Domaine als privat gilt. In dieser Weise empfängt die Einrichtung in der
ersten Domaine Information nur von Quellen, die auch in der ersten
Domaine sind, und es wird verhindert, dass sie private Information
von der zweiten Domaine empfängt,
die zerstört
sein kann.
-
KURZBESCHREIBUNG
DER ZEICHNUNGEN
-
Die
Erfindung wird unter Bezugnahme auf die folgenden Zeichnungen ausführlich beschrieben,
wobei gleiche Bezugszeichen gleiche Elemente darstellen. In den
Zeichnungen zeigen:
-
1 ein
Blockdiagramm eines distributiven Systems;
-
2 ein
Diagramm, das eine Hierarchie von Domainennamen zeigt;
-
3 ein
Diagramm von hierarchischen Domainennamen, getrennt in Domainen;
-
4 ein
Diagramm der Domainen der 3 mit Einrichtungen,
die IP-Adressen aufweisen;
-
5 ein
Diagramm einer Domaine, die Einrichtungen mit entsprechenden IP-Adressen
aufweist;
-
6 ein
Diagramm der Domaine der 5 mit Einrichtungen, die untereinander
und mit Einrichtungen außerhalb
der Domaine kommunizieren;
-
7 ein
Diagramm der Domaine, die in 6 gezeigt
ist, mit einer Firewall;
-
8 ein
Diagramm einer Schalteinrichtung;
-
9 ein
Diagramm einer Filterungseinrichtung;
-
10 ein
Diagramm einer Domaine, die eine DNS Proxy-Einrichtung einschließt;
-
11 ein
Diagramm einer Domaine, die eine DNS Proxy-Einrichtung eingebaut
in eine Firewall einschließt;
-
12 ein
Flussdiagramm eines Prozesses der Schalteinrichtung; und
-
13 ein
Flussdiagramm eines Prozesses der Filterungseinrichtung.
-
AUSFÜHRLICHE
BESCHREIBUNG VON BEVORZUGTEN AUSFÜHRUNGSFORMEN
-
1 zeigt
eine physikalische Verbindung für
ein distributives System 20 mit einem Netz 10 und
Einrichtungen 102, 104 und 106. Das distributive
System 20 kann als Domainennamensystem (DNS) 30 organisiert
sein, wie in 2 gezeigt.
-
Das
DNS 30 hat eine Wurzel 100, die die Autorität der höchsten Ebene
für Domainennamen
in dem DNS 30 hält.
Die Wurzel kann Domainennamen, wie edu, com und gov, die Erziehungsanstalten,
kommerzielle Institutionen bzw. Regierungsinstitutionen darstellen,
zuweisen. Jede von diesen Domainen kann ferner in andere Domainen
aufgeteilt werden, wie purdue.edu, att.com und nr1.gov. Die Wurzel 100 kann
die Namenautorität
für Domainen
an andere Einrichtungen delegieren, die als Autoritäts-Namenserver
bezeichnet werden. Zum Beispiel kann die Domaine att.com im Besitz
der AT&T Corporation
sein und von dieser gesteuert werden. AT&T Corporation kann Einrichtungen
bestimmen, die Autoritäts-Namenserver
sein sollen, die eine Autorität zum
Zuweisen und Verwalten von Namen innerhalb der att.com Domaine aufweisen.
Somit kann das vollständige
DNS 30 in eine Vielzahl von Domainen aufgeteilt werden,
in denen die Benennungs-Autorität
in jeder Domaine in Autoritäts-Namenservern
von dieser Domaine eingerichtet ist.
-
Autoritäts-Namenserver
können
ihre Namenautorität
an noch andere Server innerhalb ihrer Domaine delegieren. Zum Beispiel
kann die att.com Domaine eine Einrichtung, die server.att.com genannt
wird, als einen Autoritäts-Namenserver
aufweisen, der eine Autorität
für Domainennamen
unter att.com aufweist. Att.com kann eine Unterdomaine aufweisen,
die research.att.com genannt wird, und server.att.com kann die Namenautorität für die research.att.com
Unterdomaine an eine Einrichtung delegieren, die server.research.att.com genannt
wird. Unterdomainen werden auch als Domainen bezeichnet. Somit hat
server.research.att.com die Namenautorität für Einrichtungsnamen in der
research.att.com Domaine, wie ws1.research.att.com für die Einrichtung 102 und
ws2.research.att.com für
die Einrichtung 104.
-
Server.buzbiz.com
kann ein Autoritäts-Namenserver
für die
buzbiz.com Domaine sein. Die buzbiz.com Domaine kann eine Einrichtung,
wie eine Einrichtung 106 mit dem Namen intru.buzbiz.com,
enthalten.
-
3 zeigt
das DNS 30 in Domainen purdue.edu 202, att.com 204,
buzbiz.com 206, nr1.gov 208 und Wurzel 210 aufgeteilt.
Die Wurzeldomaine 101 ist so gezeigt, dass sie die Domainen
edu, com und gov einschließt.
Die Domainen edu, com und gov können
von dem Wurzelnamenserver 100 an andere Autoritäts-Namenserver
(Authoritative Name Severs) delegiert werden. Jedoch hält in diesem
Fall ein einzelner Namenserver, Wurzel 100, die Autorität für die Domainen
edu, com und gov aufrecht.
-
Wie
voranstehend diskutiert werden Daten zwischen den Einrichtungen 102, 104 und 106 in
dem DNS 30 durch Verwendung von IP-Adressen transferiert. 4 zeigt
die IP-Adressen der Einrichtungen 102, 104 und 106.
Um Daten von der Einrichtung 106 an die Einrichtung 102 zu
transferieren muss die Einrichtung 106 192.193.194.1 für die Ziel-IP-Adresse
spezifizieren.
-
Jede
Einrichtung in dem DNS 30 weist wenigstens eine IP-Adresse
auf. Wie in 5 gezeigt, umfasst die Domaine 204 die
Einrichtungen 102, 104, 108 und 110.
Jede der obigen Einrichtungen weist einen Domainennamen und eine
IP-Adresse auf. Server.research.att.com ist der Namen der Einrichtung 110 mit
der IP-Adresse von 192.203.194.3 und Server.research.att.com ist
ein Autoritäts-Namenserver
für die
research.att.com Domaine 210. Die research.att.com Domaine 210 umfasst
die Einrichtungen 102 und 104 mit den IP-Adressen
192.193.194.1 bzw. 192.193.194.2.
-
Weil
jede Einrichtung in dem DNS 30 einen Domainennamen und
eine IP-Adresse aufweist, können zwei Übersetzungstabellen
konstruiert werden, siehe zum Beispiel Tabelle 1 und Tabelle 2 nachstehend.
Die Tabelle 1 von Domainennamen weist für jeden Domainennamen eine
entsprechende IP-Adresse
auf und die Tabelle 2 von IP-Adressen weist für jede IP-Adresse einen entsprechenden
Domainennamen auf. Wenn die Tabelle 1 nach dem Domainennamen sortiert
wird und die Tabelle 2 nach den IP-Adressen sortiert wird, kann die
Tabelle 1 verwendet werden, um schnell die IP-Adresse für den Domainennamen
zu bestimmen, und die Tabelle 2 kann verwendet werden, um schnell
den Domainennamen für
eine IP-Adresse zu bestimmen. Jeder Namenserver enthält Tabellen
entsprechend Zu der Tabelle 1 und Tabelle 2 für alle Einrichtungen, für die er die
Namenautorität
hat. Weil Autoritäts-Namenserver diese
Information enthalten senden andere Einrichtungen get-adress (Adresse-Holen)
und get-name (Namen-Holen)
Anfragen an die Autoritäts-Namenserver,
um IP-Adressen von Domainennamen und bzw. Domainennamen von IP-Adressen
unter dessen Autorität
bereitzustellen.
-
-
Wenn
eine erste Einrichtung einen Befehl zum Senden von Daten an eine
zweite Einrichtung, die durch ihren Domainennamen bekannt ist, empfängt, dann
sendet die erste Einrichtung eine Abfrageanforderung an einen Autoritäts-Namenserver
der zweiten Einrichtung für
die IP-Adresse der zweiten Einrichtung. Der Autoritäts-Namenserver
gibt entweder die angeforderte Information zurück oder, wenn die Namenautorität delegiert
worden ist, gibt der Autoritäts-Namenserver
den Namen eines anderen Autoritäts-Namenservers
zurück,
der die Information hat. Nach Ermittlung der IP-Adresse baut die
erste Einrichtung die IP-Adresse in eine Nachricht ein, die die
Daten enthält,
und sendet die Nachricht an die zweite Einrichtung.
-
Nicht
alle Namenserver weisen eine Namenautorität auf. Manchmal halten Datei-Server
Domainennamen und IP-Adressen, sodass Einrichtungen, die zu den
Datei-Servern lokal sind, einen einfachen Zugriff auf Namen von
anderen lokalen Einrichtungen erhalten können. Diese Datei-Server werden
ebenfalls als Namenserver oder Auflöser zum Auflösen von
Domainennamen mit IP-Adresse und umgekehrt bezeichnet.
-
Wenn
ein Namenserver (mit einer Autorität oder mit keiner Autorität) eine
IP-Adresse weiterleitet, die der Namenserver nicht kennt, wird die
IP-Adresse auch in dem Cache-Speicher des Namenservers als eine Ressourcenaufzeichnung
zur zukünftigen
Auflösung
des gleichen Domainennamens gespeichert. Somit akkumulieren Autoritäts-Namenserver
auch IP-Adressen und entsprechende Domainennamen, um eine effiziente Auflösung von
Domainennamen auf IP-Adressen und umgekehrt zu ermöglichen.
Somit werden Autoritäts-Namenserver
auch als Auflöser
zum Auflösen
von Domainennamen bezeichnet.
-
In
einer weiteren Anstrengung zum Verbessern des Wirkungsgrads des
DNS 30 übergeben
Namenserver oft eine „zusätzliche
Information", wie
IP-Adressen von anderen verwandten Einrichtungen und deren Domainennamen,
durch Anhängen
der zusätzlichen
Information auf Abfrageanforderungs-Antworten weiter. Auflöser empfangen
und speichern die zusätzliche
Information in den Cache-Speichern für zukünftige Adressenauflösungen.
-
6 zeigt,
dass die Domaine 204 ferner Auflöser 112 und 114 einschließt. Die
Einrichtungen 102 und 104 senden Abfrageaufforderungen
an die Auflöser 112 und 114 über Kommunikationsleitungen 302 bzw. 308, um
Domainennamen in IP-Adressen aufzulösen. Die Auflöser 112 und 114 sind
physikalisch eng zu den Einrichtungen 102 bzw. 104 angeordnet.
Zum Beispiel können
die Auflöser 112 und 114 auf
dem gleichen LAN oder eng verbunden in einem einzelnen Gebäude zu den
Einrichtungen 102 bzw. 104 sein. Somit kann eine Adressenauflösung, die
von den Einrichtungen 102 und 104 benötigt wird,
ausgeführt
werden ohne irgendeinen Netzverkehr über lokale LAN-Verbindungen
hinaus.
-
Wenn
jedoch die Auflöser 112 und 114 Domainennamen
durch Empfangen von IP-Adressen auflösen, die nicht von einer Autoritäts-Quelle
erhalten werden, dann werden die IP-Adressen an der abfragenden
Einrichtung als nichtautorisiert angeboten. Oft entscheidet die
abfragende Einrichtung die IP-Adresse
trotzdem zu verwenden, weil das DNS 30 diese im Allgemeinen
nicht schnell ändert.
-
Das
DNS 30 ändert
sich, weil zum Beispiel Maschinen hinzugefügt, bewegt oder entfernt werden.
In dieser dynamischen Situation umfasst jede der Ressourcenaufzeichnungen
ein Lebenszeit-Feld (Time-To-Live-Feld),
welches die Lebensdauer von jeder Ressourcenaufzeichnung anzeigt.
Die Auflöser 112 und 114 löschen Ressourcenaufzeichnungen
periodisch, wenn der Time-To-Live Wert der Ressourcenaufzeichnungen abläuft. Die
Time-To-Live Werte werden durch den Namensserver eingestellt, der
die Autorität über die
Inhalte der Ressourcenaufzeichnung, wie die IP-Adresse, hat.
-
Wie
voranstehend diskutiert kann att.com eine Domaine sein, die im Besitz
von AT&T Corporation
ist und von dieser gesteuert wird. Somit sind sämtliche Einrichtungen, die
von der AT&T
Corporation gesteuert werden, innerhalb der att.com Domaine. Die
AT&T Corporation
kann die Einrichtungen in der att.com Domaine in Sites (an Stellen),
die physikalisch entfernt voneinander sind, verteilen. Zum Beispiel
kann die Einrichtung 102 und der Auflöser 112 an einer Stelle
angeordnet sein und die Einrichtung 104 und der Auflöser 114 können an
einer anderen Stelle angeordnet sein. Die Kommunikationspfade 302, 304 und 308 stellen
eine Interkommunikation zwischen Einrichtungen innerhalb der att.com
Domaine bereit, obwohl ein Kommunikationspfad 304 geografisch
zwischen zwei entfernten Orten ist. Kommunikationspfade 310 und 312 stellen
Kommunikationspfade zwischen den Auflösern 112 und 114 innerhalb
der att.com Domaine und Einrichtungen von anderen Domainen dar.
-
Weil
Information, die gerade innerhalb der att.com Domaine ausgetauscht
wird, für
die AT&T Corporation
wertvoll sein kann, gibt es ein großes Interesse die Information,
die als privat für
att.com gilt, vor einem nichtautorisierten Zugriff zu schützen. Private
Information einer Domaine ist Information, die irgendetwas über diese
Domaine schreibt. Die Autorität
zum Ändern
der privaten Information liegt innerhalb der Domaine. Zum Beispiel
sind IP-Adressen und Domainennamen private Information innerhalb
der Domaine.
-
Einrichtungen
wie eine Firewall 402, wie in 7 gezeigt,
sind installiert, um Datentransfers in die Domaine 204 hinein
und davon heraus zu steuern. Kommunikationspfade 310 und 312 gehen
durch die Firewall 402 bevor sie Einrichtungen außerhalb
der Domaine 204 über
eine Kommunikationsleitung 316 erreichen. Die Firewall 402 verhindert
einen nichtautorisierten Transfer von privater Information aus der
Domaine 204 heraus und lehnt Anforderungen von Einrichtungen,
die extern zu der Domaine 204 sind, nach Information, die
für die Domaine 204 privat
ist, ab.
-
Jedoch
verhindern einige herkömmliche
Firewalls einen Zugriff auf private Information, die indirekt durch
Ausnutzen von Namenauflösungsverfahren
erhalten werden, die durch Domainennamensysteme, wie das DNS 30,
verwendet werden, nicht. Insbesondere kann der Prozess, mit dem
Domainennamen in die entsprechenden IP-Adressen aufgelöst werden,
von einem von mehreren Verfahren ausgenutzt werden. Einige von diesen
Verfahren werden nachstehend mit Hilfe von Beispielen erläutert.
-
Für die Zwecke
der folgenden Beispiele wird angenommen, dass ein Eindringling eine
Zieleinrichtung, einen Benutzernamen zur Personifizierung und eine
Einrichtung, der von der Zieleinrichtung vertraut wird, identifiziert
hat, sodass ein Passwort (Kennwort) für die vertraute Einrichtung
zum Login in die Zieleinrichtung nicht erforderlich ist. Der Eindringling
kann in der Lage sein Zieleinrichtungen aus Mail-Nachrichten oder
Nachrichtenartikeln identifizieren. Sobald die Zieleinrichtung identifiziert
ist kann der Eindringling standardmäßige Dienste, beispielsweise
ein einfaches Netzmanagementprotokoll (Simple Network Management
Protokoll; SNMP) verwenden, um die Zieleinrichtung zu untersuchen,
um andere Einrichtungen zu entdecken, die mit der Zieleinrichtung
verbunden sind. Zusätzlich
stellen Dienste wie „Finger" eine persönliche Information über entweder
einen individuellen Benutzer oder einen anderen Benutzer, die auf
ein System eingeloggt sind, bereit. Ferner zeigen Mail-Header oft
den Namen eines Dateiservers an, der ein offensichtlicher Absender
der Mail ist, und zeigen den Namen der tatsächlichen Einrichtung an, die
die Mail ursprünglich
hervorgebracht hat, was typischerweise der Name einer Arbeitsstation
ist. Im Allgemeinen kommunizieren Dateiserver und Workstations (Arbeitsstationen),
die von dem Dateiserver bedient werden, ohne Verwendung von Passwörtern. Somit kann
der Eindringling die gesamte benötigte
Information unter Verwendung von standardmäßigen verfügbaren Diensten erhalten.
-
Unter
der Annahme, dass der Eindringling eine Kontrolle bzw. Steuerung
eines legitimierten Namenservers hat, wie intru.buzbiz.com in der
buzbiz.com Domaine, hat der Eindringling die Fähigkeit irgendwelche Dateien
in intru.buzbiz.com zu modifizieren. Wenn der Eindringling ws1.research.att.com
als ein Ziel identifiziert hat und auch ws2.research.att.com als
eine Einrichtung identifiziert hat, der ws1.research.att.com vertraut,
dann kann der Eindringling die Umwandlungstabelle, ähnlich wie
in Tabelle 2, die zum Umwandeln von IP-Adressen in entsprechende
Domainennamen verwendet wird, modifizieren, sodass die IP-Adresse
von intru.buzbiz.com (201.202.203.1) dem Domainennamen ws2.research.att.com
entspricht. Nach einer Modifikation der Umwandlungstabelle versucht
der Eindringling dann auf ws1.research.att.com als eine vertraute
Einrichtung unter Verwendung einer rlogin Prozedur und durch Bereitstellen
von 201.202.203.1 für
die IP-Adresse von ws2.research.att.com einzuloggen.
-
Nach
Empfangen der rlogin Aufforderung führt ws1.research.att.com eine
Get-Name (Namen-Holen) Aufforderung
für, die
IP-Adresse 201.202.203.1 aus, um den entsprechenden Domainennamen
zu erhalten. Die Get-Name Aufforderung wird schließlich an
intru.buzbiz.com gelenkt, weil intru.buzbiz.com der Autoritäts-Adressenserver
für die
201.202.203.1 IP-Adresse ist und die Tabelle aufweist, um 201.202.203.1
in ihren entsprechenden Domainennamen umzuwandeln. Weil jedoch die
Tabelle modifiziert worden ist, um ws2.research.att.com anstelle
von intru.buzbiz.com im Ansprechen auf eine Get-Name Aufforderung
für die
IP-Adresse 201.202.203.1 auszugeben, wird der fehlerhafte Domainennamen
von ws2.research.att.com zurückgegeben.
Somit empfängt
ws1.research.att.com für
den Domainennamen der Einrichtung, die der rlogin Aufforderung entspricht,
ws2.research.att.com. Da ws2.research.att.com eine vertraute Maschine
ist, akzeptiert ws1.research.att.com die rlogin Aufforderung und
erlaubt dem Eindringling auf ws1.research.att.com einzuloggen. Demzufolge
erhält
der Eindringling einen Zugriff auf die gesamte private Information,
die von innerhalb ws1.research.att.com erreichbar ist.
-
Eine
andere Technik, um einen nichtautorisierten Zugriff auf private
Information zu erhalten, besteht darin den Cache-Speicher eines
Auflösers,
wie des Auflösers 112,
zu vergiften. Unter der Annahme, dass der Eindringling als ein Ziel
ws1.research.att.com identifiziert hat, veranlasst der Eindringling
durch verschiedene Verfahren ws1.research.att.com intru.buzbiz.com
nach Information abzufragen. Ws1.research.att.com sendet eine Get-Adress
(Adresse-Holen) Aufforderung an den Auflöser 112, um die IP-Adresse
der eindringenden Einrichtung intru.buzbiz.com zu erhalten. Da der
Auflöser 112 keinerlei
Information bezüglich
intru.buzbiz.com aufweist, gibt er eine Get-Adress Aufforderung
an einen Namenserver für
intru.buzbiz.com aus, was in diesem Fall intru.buzbiz.com selbst
ist. Intru.buzbiz.com gibt die angeforderte IP-Adresse zurück, hängt aber
zusätzliche
Information an, die anzeigt, dass die IP-Adresse von ws2.research.att.com
zu der IP-Adresse 201.202.203.1 anstelle der legitimierten IP-Adresse
192.193.194.2 gehört.
Der Eindringling stellt eine sehr kurze Lebenszeit (Time-To-Live)
für die
zusätzlichen
Informationen ein, sodass der Auflöser 112 die zerstörte Ressourcenaufzeichnung
bald löschen
wird, nachdem der Eindringling den nichtautorisierten Zugriff beendet.
Der Auflöser
akzeptiert die Antwort von intru.buzbiz.com und, wie früher diskutiert,
gibt er die IP-Adresse für
intru.buzbiz.com in seinen Cache sowie die zerstörte IP-Adresse 201.202203.1
für ws2.research.att.com
ein. Somit wird der Cache-Speicher des Auflösers 112 mit der zerstörten IP-Adresse
für ws2.research.att.com
vergiftet.
-
Danach
führt intru.buzbiz.com
ein Login auf ws1.research.att.com unter Verwendung von 201.202.203.1
für die
IP-Adresse durch. Wenn ws1.research.att.com einen Get-Name Befehl
ausführt,
gibt der Auflöser 112 ws2.research.att.com
auf Grundlage der Information in seinem vergifteten Cache zurück. Ws1.research.att.com
erlaubt dann die rlogin Aufforderung durch den Eindringling, weil
ws2.research.att.com eine vertraute Einrichtung ist. Weil die kurze
Lebenszeit (Time-To-Live) der Ressourcenaufzeichnung für die zerstörte IP-Adresse
abläuft,
löscht
dann der Auflöser 112 die
Ressourcenaufzeichnung, wobei jegliche Spur der Eindringung gelöscht wird.
Somit hat der Eindringling erfolgreich einen Zugriff auf die gesamte
private Information von innerhalb ws1.research.att.com wiederum
erhalten.
-
Der
Eindringling ist nicht darauf beschränkt die rlogin Prozedur zu
verwenden, wie voranstehend diskutiert. Sobald zum Bespiel die zerstörte IP-Adresse
durch den Auflöser 1l2 oder
ws1.research.att.com akzeptiert wird, kann der Eindringling wählen irgendwelche
Nachrichten abzufangen, die durch ws1.research.att.com an ws2.research.att.com
gesendet werden. Das Abfangen ist möglich, weil der Auflöser 112 an
ws1.research.att.com die IP-Adresse entsprechend zu intru.buzbiz.com
anstelle der IP-Adresse
von ws2.research.att.com zurückgibt.
Nach Empfang der Ausgänge
von ws1.research.att.com anstelle von ws2.research.att.com kann
der Eindringling die Daten an ws2.research.att.com weiterleiten,
sodass die Kommunikation zwischen ws1.research.att.com und ws2.research.att.com
fortdauert, ohne modifiziert zu werden. Somit kann der Eindringling
private Information, beispielsweise Passwörter, abfangen, und zwar mit
nur einer geringen Chance, dass er erfasst wird.
-
Der
nichtautorisierte Zugriff auf private Information durch den Eindringling,
der voranstehend beschrieben wurde, wird erreicht, weil Einrichtungen
innerhalb der Domaine 204 eine IP-Adresse von anderen Einrichtungen
in der Domaine 204 von einer unzuverlässigen Quelle extern zu der
Domaine 204 empfangen. Die vorliegende Erfindung verhindert,
dass eine zerstörte
private Information, wie IP-Adressen, in eine Domaine eindringen,
indem das Auftreten von zwei Typen von Kommunikationen verhinder
wird, wie nachstehend diskutiert.
- 1) die Erfindung
verhindert, dass ein Einrichtung von innerhalb einer Domaine private
Information von einer Einrichtung extern zu der Domaine anfordert.
Wie in 8 gezeigt empfängt
eine Schalteinrichtung 500 Abfragen 510 von Get-Name
oder Get-Address Anforderungen. Die Schalteinrichtung 500 durchsucht
die Inhalte von jeder Anforderung und irgendeine Anforderung nach
Namen oder IP-Adressen von Einrichtungen innerhalb der Domaine 204 wird
an einen Namenserver intern zu der Domaine 204 als umgeleitete
Anforderungen 514 umgeleitet. Anforderungen von Namen oder
IP-Adressen von
Einrichtungen außerhalb der
Domaine 204 werden an den geeigneten Namenserver extern
zu der Domaine 204 als weitergeleitete Anforderungen 512 weitergeleitet.
- 2) die Erfindung stellt eine Filtereinrichtung bereit, die verhindert,
dass private Information in die Domaine von einer unzuverlässigen Quelle
extern zu der Domaine eintritt. Die Filtereinrichtung filtert die
gesamte private Information, die durch Einrichtungen extern zu der
Domaine bereitgestellt wird, heraus.
-
Wie
in 9 gezeigt empfängt
die Filtereinrichtung 502 Nachrichten 520 von
Einrichtungen, die extern zu der Domaine 204 sind. Die
Filtereinrichtung 502 untersucht die empfangenen Nachrichten 520 nach
irgendeiner Information, die privat für die Domaine 204 ist,
beispielsweise nach IP-Adressen und Domainennamen, und löscht die
private Information aus den Nachrichten. Dann werden die gefilterten
Nachrichten 522 an die Zieleinrichtungen in der Domaine 204 weitergeleitet.
-
10 zeigt,
dass die Domaine 204 eine DNS Proxy-Einrichtung 404 einschließt. Der
DNS Proxy 404 führt
die Schalt- und Filterungs-Funktionen aus, die voranstehend beschrieben
wurden. In dieser Ausführungsform
werden die Einrichtungen innerhalb der Domaine 204 modifiziert,
um sämtliche
Abfragen an den DNS Proxy 404 zu richten. Der DNS Proxy 404 untersucht
sämtliche
Abfrage-Anforderungen
von Einrichtungen in der Domaine 204 und trennt Anforderungen
nach Information, die privat für
die Domaine 204 ist, und Anforderungen nach anderer Information.
Anforderungen für
private Information werden an Namenserver innerhalb der Domaine 204,
beispielsweise server.att.com und server.research.att.com, umgeleitet.
Abfragen nach anderer Information als privater Information werden
an die Firewall 402 über
den Kommunikationspfad 328 weitergeleitet, der wiederum
die Anforderung an externe Quellen über den Kommunikationspfad 316 weiterleitet.
-
Die
in 10 gezeigte Ausführungsform erfordert eine Modifikation
der Software von Einrichtungen, wie den Auflösern 112 und 114 und
der Einrichtung 116, um Abfrage-Anforderungen an den DNS
Proxy 404 anstelle eines geeigneten Namenservers extern
zu der Domaine 204 umzuleiten. Die Einrichtung 116 ist
nicht ein Namenserver, weist aber die Fähigkeit auf mit externen Quellen
direkt über
den Kommunikationspfad 322 zu kommunizieren. Diese Ausführungsform
leitet die Kommunikationspfade 318, 320 und 322 an
den DNS Proxy 404 um.
-
Information,
die von externen Quellen über
den Kommunikationspfad 330 empfangen wird, wird durch den
DNS Proxy 404 gefiltert. Der DNS Proxy 404 untersucht
die gesamte Information, die in die Domaine 204 eintritt,
und filtert jegliche Information heraus, die für die Domaine 204 privat
ist, beispielsweise IP-Adressen von Einrichtungen innerhalb der
Domaine 204. Die private Information, die in der Information
enthalten ist, die durch die externen Quellen zugeführt wird,
wird gelöscht,
bevor die Information an die Zieleinrichtung innerhalb der Domaine 204 weitergeleitet
wird. Somit werden irgendwelche Versuche zerstörte IP-Adressen auf legitimierte
Antworten zu Abfrage-Anforderungen anzuhängen, beseitigt.
-
Information,
die von den externen Quellen über
den Kommunikationspfad 330 empfangen wird, kann auch wegen
lokaler Sicherheitsverwaltungsstrategien gelöscht oder modifiziert werden.
Wenn zum Bespiel die von den externen Quellen empfangene Information
Zeiger auf Namenserver außerhalb
der Domaine 204 einschließt, müssen die Zeiger gelöscht werden,
bevor die Information an eine Zieleinrichtung innerhalb der Domaine 204 weitergeleitet
wird. Ansonsten können
Einrichtungen innerhalb der Domaine 204 versuchen diese Namenserver
direkt ohne die Intervention des DNS Proxy 404 zu kontaktieren.
Im Gegensatz dazu können Zeiger
auf Namenserver innerhalb der Domaine 204 in die Information
eingefügt
werden, die von externen Quellen empfangen wird, sodass zukünftige Namen-
oder Adressen-Abfragen, die zu der Domaine 204 intern sind,
direkt aufgelöst
werden können,
d.h. ohne die Hilfe des DNS Proxy 404.
-
Ferner
kann Information, die von den externen Quellen empfangen wird, wie
beispielsweise Aufzeichnungen eines Electronic Mail Austauschs modifiziert
werden, um eine nach außen
gerichtete Electronic Mail an eine Logging-Einrichtung (nicht gezeigt)
innerhalb der Domaine 204 umzuleiten, um eine Log-Aufzeichnung aufrechtzuerhalten.
Die Log-Aufzeichnung stellt zusätzliche
Information bereit, um den Schutz von privater Information innerhalb
der Domaine 204 zu unterstützen.
-
11 zeigt,
dass der DNS Proxy 404 in die Firewall 402 eingebaut
ist. In dieser Ausführungsform müssen keine
der Programme der Einrichtungen innerhalb der Domaine 204 modifiziert
werden. Alle Abfrage-Anforderungen werden weiter an externe Quellen über Kommunikationspfade 310, 312 und 322 umgeleitet. Jedoch
schaltet der DNS Proxy innerhalb der Firewall 402 sämtliche
Abfrage-Anforderungen
nach privater Information der Domaine 204 an entweder den
server.att.com oder den server.research.att.com, zum Beispiel über Kommunikationspfade 324 bzw. 326.
Information, die von externen Quellen über Kommunikationspfade 322 eingegeben
wird, wird gefiltert, um jegliche private Information zu löschen, bevor
eine Weiterleitung an die Zieleinrichtungen innerhalb der Domaine 204 vorgenommen
wird.
-
12 zeigt
einen Prozess des DNS Proxy 404, der die Schaltfunktion
ausführt.
Im Schritt S1000 empfängt
der große
DNS Proxy 404 Abfrage-Anforderungen, die an Einrichtungen
extern zu der Domaine 204 gerichtet sind, und geht zum
Schritt S1002. Im Schritt S1002 untersucht der DNS Proxy 404 jede
Abfrage-Aufforderung, um zu bestimmen, ob private Information von
den Einrichtungen extern zu der Domaine 204 gerade angeboten
wird. Dann geht der DNS Proxy 404 zu dem Schritt S1004.
Im Schritt S1004 geht der DNS Proxy 404 zu dem Schritt
S1006, wenn private Information angefordert wurde; ansonsten geht
der DNS Proxy 404 zu dem Schritt S1010.
-
Im
Schritt S1006 trennt der DNS Proxy 404 Anforderungen nach
privater Information der Domaine 204 von Anforderungen
nach Information, die für
die Domaine 204 nicht privat ist. Dann geht der DNS Proxy 404 zu
dem Schritt S1008. Im Schritt S1008 leitet der DNS Proxy 404 sämtliche
Anforderungen nach privater Information an eine Einrichtung innerhalb
der Domaine 204, wie einen Namenserver der Domaine 204,
um. Dann geht der DNS Proxy zum Schritt S1010.
-
Im
Schritt S1010 leitet der DNS Proxy 404 sämtliche
Anforderungen nach Information, die für die Domaine 204 nicht
privat ist, an die Einrichtung weiter, die extern zu der Domaine 204 ist.
Dann geht der DNS Proxy 404 zu dem Schritt S1012 und beendet
den Prozess.
-
13 zeigt
den Prozess des DNS Proxy 404 zum Filtern einer Kommunikation,
die von einer Einrichtung extern zu der Domaine 204 empfangen
wird. Im Schritt S2000 empfängt
der DNS Proxy 404 die Kommunikation von der externen Einrichtung
und geht zum Schritt S2002. Im Schritt S2002 untersucht der DNS
Proxy 404 die Kommunikation nach privater Information und
geht zum Schritt S2004. Im Schritt S2004 geht der DNS Proxy 404 zu
dem Schritt S2006, wenn private Information in der Kommunikation
von der externen Einrichtung entdeckt wurde; ansonsten geht der
DNS Proxy 404 zu dem Schritt S2008.
-
Im
Schritt S2006 filtert der DNS Proxy 404 die Kommunikation
durch Entfernen von sämtlicher
privater Information von der Kommunikation und geht zu dem Schritt
S2008. Im Schritt S2008 leitet der DNS Proxy 404 die gefilterte
Information an die Zieleinrichtung innerhalb der Domaine 204 weiter,
geht zum Schritt S2010 und beendet den Prozess.
-
Während diese
Erfindung in Verbindung mit spezifischen Ausführungsformen davon beschrieben
worden ist, ist ersichtlich, dass zahlreiche Alternativen, Modifikationen
und Variationen der Durchschnittsfachleute in dem technischen Gebiet
ersichtlich sind. Demzufolge ist beabsichtigt, dass bevorzugte Ausführungsformen der
Erfindung, wie hier aufgeführt,
illustrativ und nicht einschränkend
sind. Verschiedene Änderungen
können ohne
Abweichen von dem Umfang der Erfindung, wie in den folgenden Ansprüchen definiert,
durchgeführt
werden.
