FI118170B - Menetelmä ja järjestelmä viestin lähettämiseksi turvallisen yhteyden läpi - Google Patents
Menetelmä ja järjestelmä viestin lähettämiseksi turvallisen yhteyden läpi Download PDFInfo
- Publication number
- FI118170B FI118170B FI20020112A FI20020112A FI118170B FI 118170 B FI118170 B FI 118170B FI 20020112 A FI20020112 A FI 20020112A FI 20020112 A FI20020112 A FI 20020112A FI 118170 B FI118170 B FI 118170B
- Authority
- FI
- Finland
- Prior art keywords
- computer
- ike
- ipsec
- proxy
- message
- Prior art date
Links
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
- H04L63/0281—Proxies
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L61/00—Network arrangements, protocols or services for addressing or naming
- H04L61/09—Mapping addresses
- H04L61/25—Mapping addresses of the same type
- H04L61/2503—Translation of Internet protocol [IP] addresses
- H04L61/256—NAT traversal
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
- H04L63/0272—Virtual private networks
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
- H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
- H04L63/061—Network architectures or network communication protocols for network security for supporting key management in a packet data network for key exchange, e.g. in peer-to-peer networks
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/12—Applying verification of the received information
- H04L63/123—Applying verification of the received information received data contents, e.g. message integrity
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/16—Implementing security features at a particular protocol layer
- H04L63/164—Implementing security features at a particular protocol layer at the network layer
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
- H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
- H04L9/0838—Key agreement, i.e. key establishment technique in which a shared key is derived by parties as a function of information contributed by, or associated with, each of these
- H04L9/0841—Key agreement, i.e. key establishment technique in which a shared key is derived by parties as a function of information contributed by, or associated with, each of these involving Diffie-Hellman or related key agreement protocols
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
- H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
- H04L9/0838—Key agreement, i.e. key establishment technique in which a shared key is derived by parties as a function of information contributed by, or associated with, each of these
- H04L9/0841—Key agreement, i.e. key establishment technique in which a shared key is derived by parties as a function of information contributed by, or associated with, each of these involving Diffie-Hellman or related key agreement protocols
- H04L9/0844—Key agreement, i.e. key establishment technique in which a shared key is derived by parties as a function of information contributed by, or associated with, each of these involving Diffie-Hellman or related key agreement protocols with user authentication or key authentication, e.g. ElGamal, MTI, MQV-Menezes-Qu-Vanstone protocol or Diffie-Hellman protocols using implicitly-certified keys
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
- H04L9/321—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving a third party or a trusted authority
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
- H04L2209/80—Wireless
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L61/00—Network arrangements, protocols or services for addressing or naming
- H04L61/09—Mapping addresses
- H04L61/25—Mapping addresses of the same type
- H04L61/2503—Translation of Internet protocol [IP] addresses
- H04L61/2557—Translation policies or rules
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L61/00—Network arrangements, protocols or services for addressing or naming
- H04L61/45—Network directories; Name-to-address mapping
- H04L61/4557—Directories for hybrid networks, e.g. including telephone numbers
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Computer Hardware Design (AREA)
- Computing Systems (AREA)
- General Engineering & Computer Science (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
Description
118170 '? :ι 1 , ·4.
5 MENETELMÄ JA JÄRJESTELMÄ VIESTIN LÄHETTÄMISEKSI TURVALLISEN YHTEYDEN LÄPI
KEKSINNÖN ALA
10
Keksinnön mukainen menetelmä ja järjestelmä on tarkoitettu yhteyksien turvaamiseksi tietoliikenneverkoissa. Ereityisesti se on tarkoitettu Internet-palvelutuottajien, Internet x
Service Provider (ISP), langattomia yhteyksiä varten.
15
TEKNIIKAN TASO
Internet on joukko yksittäisiä verkkoja, jotka on kytketty yhteen niiden välissä olevien verkkolaitteiden kautta ja jotka toimivat yhtenä ainoana suurena verkkona. Erilaisia ··» 20 verkkoja voidaan kytkeä yhteen reitittimillä ja muilla verkostointilaitteilla internetin luomiseksi. # . , Lähiverkko (Local Area Network, LAN) on tietoverkko, joka kattaa suhteellisen pienen * * * *· *; maantieteellisen alueen. Tyypillisesti se kytkee yhteen työasemia, henkilökohtaisia . 25 tietokoneita, tulostimia ja muita laitteita. Kaukoverkko (Wide Area Network, WAN) on • · tietoverkko, joka kattaa suhteellisen laajan maantieteellisen alueen. Kaukoverkot • · φ"\ (WAN) kytkevät lähiverkkoja (LAN) yhteen normaalien puhelinlinjojen ja esimerkiksi • ·· .··.[ optisten verkkojen kautta; siten kytkien yhteen maantieteellisesti hajautuneita käyttäjiä.
• · • * * 30 Tietoja ja tiedonlähteitä pitää suojata leviämiseltä, tiedon autenttisuuden • · .··*. varmistamiseksi ja järjestelmien suojaamiseksi verkkoon kohdistuvilta hyökkäyksiltä.
* * *
Yksityiskohtaisemmin, tarvitaan luottamuksellisuutta (tietojen suojaaminen • * · • · lukemiselta), eheyttä (tietojen suojaaminen muuttamiselta, mikä ei liity * * luottamuksellisuuteen), autentikaatiota (varmuuden saaminen siitä, kuka on tiedon • · » • · 35 lähettäjä), suojaa toistamiselta (suoja, jolla varmistetaan, että tieto on tuoretta, eikä * * · : *’ kopio aikaisemmin lähetetystä tiedosta), identiteettisuojaa (osapuolten identiteettien 2 118170 ' ' ‘ΐ 5 pitäminen salaisena ulkopuolisilta), hyvää saatavuutta, s.o. suojaa palvelun | kieltämiseltä (varmistaa serj, että järjestelmä toimii myös hyökkäyksen alaisena) sekä pääsyn valvontaa. IPSec on teknologia, jolla saadan suurin osa näistä, mutta ei ! kaikkia. (Erityisesti, idententiteettisuojaa ei täysin saada IPSec:illä eikä myöskään suojaa palvelun kieltämiseltä).
10 IP-turvaprotokollat (IPSec) antaa valmiuden turvata satunnaisten verkkoasemien välinen viestintä, esim. LAN:issa, yksitys- ja yleissä kaukoverkoissa (WAN) ja internetissä. IPSec:iä voidaan käyttää eri tavoilla, kuten turvallisten virtuaalisten f yksityisverkkojen rakentamiseksi, turvallisen pääsyn saamiseksi yritysverkkoon tai .
15 muiden organisaatioiden viestinnän varmistamiseksi, varmistaen autentikoinnin ja 1 luottamuksellisuuden, sekä avaintenvaihtomekanismin. IPSec varmistaa luottamuksellisuuden, eheyden, autentikoinnin, toistosuojan, liikennevirran rajoitetun luottamuksellisuuden, rajoitetun identiteettisuojan sekä pääsynvalvonnan, joka perustuu autentikoituihin identiteetteihin. Vaikka joillakin sovelluksilla jo on 20 sisäänrakennettuja turvaprotokollia, IPSec:in käyttö parantaa turvallisuutta edelleen.
IPSec voi salata ja/tai autentikoida liikennettä IP-tasolla. WAN:iin menevä liikenne . , tyypillisesti pakataan ja salataan, ja WAN:ilta tulevan liikenteen salaus puretaan ja • · · • · ·
] ; pakkaus avataan. IPSec:in määrittelee tietyt dokumentit, jotka sisältävät sääntöjä I
• · . 25 IPSec-arkkitehtuuria varten. Dokumentit, jotka määrittelevät IPSec:in ovat tällä hetkellä • · · · » ’ * • · ,·... Internet Engineering Task Force:in (IETF) Request For Comments RFC-sarja, ^ .·.**:* varsinkin RFC.t 2401-2412.
• ·« • * • · * • · • * • · *
Kahta protokollaa käytetään varmuuden saamiseksi IP-tasolla; autentikointiprotokolla, 30 jolle protokollan alkutunniste antaa nimen, Authentication Header (AH) ja yhdistetty • · :***; salaus/autentikointiprotokolla, jolle tämän protokollan pakettiformaatti antaa nimen, eli • · · , Encapsulating Security Payload (ESP). AH ja ESP ovat kuitenkin samantapaisia • · * .·*·. protokollia, molempien lisäten protokollaan alkutunnisteen. Sekä AH että ESP ovat • * • · · pääsynhallintatyökaluja, jotka perustuvat salausavainten jakeluun ja niiden • * .!"* 35 liikennevirtojen hallintaan, jotka liittyvät näihin turvaprotokolliin.
• · 118170 f| 3 5 Turvayhteys (Security Association, SA) on avainkäsite IP:n autentikointi- ja luottamuksellisuusmekanismeissa. Turvayhteys on yksisuuntainen suhde lähettäjän ja vastaanottajan välillä, joka tarjoaa turvapalvelulta sen kantamalle liikenteelle. Jos tarvitaan kaksisuuntaista suhdetta, tarvitaan kaksi turvayhteyttä. Jos ESP ja AH yhdistetään, tai jos ESP:tä ja/tai AH:ta käytetään enemmän kuin kerran, käytetään ro termiä SA-kimppu, joka tarkoittaa sitä, että käytetään yhtä tai useampaa SA;ta. Siten SA-kimppu liittyy yhteen tai useampaan peräkkäin käytettyyn SA.han, jossa suoritetaan esim. ensin ESP-suoja ja sitten AH-suoja. SA-kimppu on kaikkien paketin * turvaamiseksi käytettyjen SA: iden yhdistelmä.
15 Termiä IPSec-yhteys käytetään seuraavassa IPSec-kimpun sijasta yhdestä tai useasta ! turvaliittymästä, tai yhden tai useamman turvayhteyden IPSec-kimppujen parista - yksi kimppu kumpaakin suuntaa varten. Tämä termi kattaa siten sekä yksisuuntaisen että kaksisuuntaisen liikenteen suojaamisen. Suuntien symmetriaan ei oteta kantaa, s.o. kumpaakin suuntaa varten käytetyt algoritmit ja IPSec - muutokset voivat olla erilaisia. :
20 I
Turvayhteys määritetään ainutlaatuisesti kolmen parametrin avulla. Ensimmäinen, joka | on turvaparametri-indeksi (Security Parameters Index, SPI), on bittijono, joka :*·.· osoitetaan tälle SA:lle. SPI sijoitetaan AH- ja ESP-alkutunnisteisiin, jotta ♦ · ·:·*: vastaanottajajärjestelmä voisi valita sen SA:n, jonka alla vastaanotettu paketti *:**: 25 käsitellään. IP-kohdeosoite on toinen parametri, joka on SA:n kohteeen loppupisteen 4 «*' ,·· osoite, joka voi olla loppukäyttäjän järjestelmä tai verkkojärjestelmä, kuten palomuuri > tai reititin. Kolmas parametri, joka on varmuusprotokollan tunnistin, ilmaisee, onko >ί • · · yhteys AH-tai ESP-turvayhteys.
im m : V 30 Jokaisessa IPSec-implementoinnissa on nimellinen turvayhteystietokanta (Security • · · *···* Association Data Base, SADB), joka määrittää jokaiseen SA:hän liittyvät parametrit.
Turvayhteys määritellään normaalisti seuraavien parametrien avulla. Sarjanumerolaskin (Sequence Number Counter) on 38:n bitin arvo, jota käytetään * ;***. järjestysnumerokentän luomiseksi AH- tai ESP-alkutunnisteisiin. Järjestysnumeron *«· 35 ylitys (Sequense Counter Overflow) on ilmaisin, joka ilmaisee sen, pitääkö • · .
järjestysnumerolaskimen ylityksen saada jatkossa aikaiseksi tarkistettava tapahtuma ja ·;$ 4 118170 5 estää tässä SA:ssa lähetettävää liikennettä. Anti-reply Windowta käytetään määrittelemään sitä onko tuleva AH- tai ESP-paketti toisto. AH informaatioon sisältyy informaatiota autentikointi-a.lgoritmista, avaimista ja AH:hon liittyvistä parametreistä. ESP-informaatioon kuuluu informaatiota salaus- ja autentikointialgoritmeistä, avaimista, käynnistysvektoreista ja parametreistä, joita käytetään IPSec:in kanssa.
•fl io Kuudes parametri, tämän turvayhteyden elinaika (Life Time), on aikaväli ja/tai merkkilaskin (bytecount), jonka jälkeen SA on korvattava uudella SA:lla (ja uudella SPI:illä) tai lopetettava sekä osoitus siitä mitkä näistä toimenpiteistä pitäisi tehdä.
IPSec Protocol Mode on joko tunneli- tai kuljetusmenetelmä. Maximum Transter Unit, MTU, joka on valinnainen ominaisuus, määrittelee paketin maksimikoon, joka voidaan 15 lähettää ilman osittamista. Valinnaisesti voidaan käyttää MTU löytöprotokollaa | (discovery protocol) ajankohtaisen MTU:n määrittämiseksi tietylle reitille. Tällainen protokolla on kuitenkin valinnainen.
• $
Sekä AH että ESP tukevat kahta käytettyä menetelmää, kuljetus- ja 20 tunnelimenetelmää.
: ,'i
Kuljetusmenetelmällä saadaan suoja ensisijaisesti ylempien kerrosten protokolliin ja se ulottuu IP-paketin hyötyinformaatio-osaan (payloadiin). Tyypillisesti • * * ** *; kuljetusmenetelmää käytetään kahden verkkoaseman väliseen päästä - päähän ! 25 viestintään. Kuljetusmenetelmää voidaan käyttää yhdessä tunnelointiprotokollan *···· * * kanssa Qoka on muu kuin IPSec-tunnelointi) tunneloinnin mahdollistamiseksi.
• · · " "· • * • · · ·, ·; ..¾ ... Tunnelimalli antaa suojan koko IP-paketille ja sitä käytetään yleisesti viestien • · lähettämiseksi yhden tai usean komponentin läpi, vaikkakin tunnelimenetelmää 30 voidaan myös käyttää kahden verkkoaseman väliseen päästä-päähän viestintään.
• · • · .···. Tunnelimenetelmää käytetään usein silloin, kun SA:n toinen tai molemmat päät ovat * · · turvayhdyskäytäviä (security gateway), kuten palomuureja tai reitittimiä, jotka käyttävät * · * IPSec:iä. Tunnelimenetelmällä joukko verkoissa olevia palomuurien takana olevia * · verkkoasemia voi ryhtyä turvalliseen viestintään käyttämättä IPSec.iä. Sellaisten ♦ « 35 verkkoasemien tuottamat suojaamattomat paketit tunneloidaan ulkoisten verkkojen läpi • · · • * 118170 f
•K
5 5 palomuurissa tai turvareitittrmissä olevan IPSec-ohjelmiston asettamalla SA:n tunnelimenetelmällä alueverkon rajalla. ? Tämän saavuttamiseksi, sen jälkeen kun AH- tai ESP-kentät on lisätty IP-pakettiin, koko pakettia varmuuskenttineen käsitellään uuden ulkoisen IP-paketin payload:ina, ίο jolla on uusi ulkoinen IP-alkutunniste. Koko alkuperäinen, tai sisempi, paketti kulkeutuu tunnelin läpi IP-verkon yhdestä pisteestä toiseen: mikään reititin tien varrella ei kykene tutkimaan sisempää IP-pakettia. Koska alkuperäinen paketti on kapseloitu, uudella suuremmalla paketilla voi olla kokonaan erilaiset lähde- ja kohdeosoitteet, mikä lisää turvallisuutta. Toisin sanoen, ensimmäinen vaihe paketin suojaamisessa 15 tunnelimenetelmää käyttäessä on uuden IP-alkutunnisteen lisääminen pakettiin, siten | ΊΡ/payload’-paketista tulee ΊΡ/ΙΡ/payload’. Seuraava vaihe on paketin varmistaminen käyttämällä ESP:tä tai AH:ta. ESP:n tapauksessa tuloksena saatu paketti on ΊΡ/ESP/IP/payload’. Koko sisempi paketti on ESP:n tai AH:n peittämä. AH myös suojaa ulkoisen alkutunnisteen osia koko sisäpaketin lisäksi.
20 IPSec-tunnelimenetelmä toimii esim. niin, että jos verkossa oleva verkkoasema tuottaa IP-paketin, jolla on toisessa verkossa olevan verkkoaseman kohdeosoite, paketti reititetään alkuperäiseltä verkkoasemalta turvayhdyskäytävälle (Security Gateway, t · · ’· *j SGW), palomuurille tai muulle turvareitittimelle ensimmäisen verkon rajalla. SGVVja \ 25 vastaavat suodattavat kaikki ulosmenevät paketit IPSec-käsittelyn tarpeen !..* määrittelemiseksi- Jos tämä paketti ensimmäiseltä verkkoasemalta toiselle • · .***. verkkoasemalle vaatii IPSec.in, palomuuri suorittaa IPSec-käsittelyn ja kapseloi 5 • · · >*· .*./ paketin ulkoiseen IP- alkutunnisteeseen. Tämän ulkoisen IP- alkutunnisteen lähde-IP-♦ * osoite on tämä palomuuri ja kohdeosoite voi olla palomuuri, joka muodostaa toisen 30 lähiverkon rajan. Tämä paketti reititetään nyt toisen verkkoaseman palomuurille siten, • · .···. että välireitittimet tutkivat ainoastaan ulkoisen IP-alkutunnisteen. Toisen verkkoaseman • * * · · ·. palomuurin äärellä, ulompi IP-alkutunniste poistetaan ja sisempi paketti toimitetaan • · · « · · ' toiselle verkkoasemalle.
• « « · • · · * * * *···* 35 ESP-tunnelimenetelmässä salataan ja valinnaisesti autentikoidaan koko sisempi IP-• * · * • · · : ·* paketti, mukaan lukien sisempi IP-alkutunniste. AH-tunnelimenetelmässä 6 118170 5 autentikoidaan koko sisempi IP-paketti, mukaan lukien sisempi IP-alkutunniste ja valittuja osia ulommasta IP-alkutunnisteesta.
IPSec: in avaintenhallintaosa sisältää salaisten avaimien määrittelyn ja jakelun. ; IPSec:in automatisoitu avaintenhallinnan oletusprotokolla on ISAKMP/Oakley ja se ίο muodostuu Oakleyn avaintenmäärittelyprotokollasta ja internetin Security Association ja Key Management-protokollasta (ISAKMP). Internet Key Exchange (IKE) on uudempi nimi ISAKMP/Oakley-protokollalle. IKE perustuu Diffie Hellman-algoritmiin ja se tukee muun muassa RSA-allekirjoitusautentikointintia. IKE on kehityskelpoinen protokolla ja se sallii tulevien ja myyjäkohtaisten ominaisuuksien lisäämisen ilman, että 15 toiminallisuus kärsii. % IPSec on suunniteltu luottamuksellisuuden, eheyden ja toistosuojan saamiseksi IP-paketeille. IPSec on kuitenkin tarkoitettu staattiseen verkkotopologiaan, jossa verkkoasemat ovat lukittu tiettyihin aliverkkoihin. Esimerkiksi kun IPSec-tunneli on 20 muodostettu käyttämällä Internet Key Exchange-protokollaa (IKE), tunnelin '% päätepisteet ovat kiinteitä ja jäävät vakioksi. Jos IPSec:iä käytetään liikkuvan verkkoaseman yhteydessä, IKE-avaintenvaihto on tehtävä uudestaan joka kerta kun tullaan uuteen verkkoon. Tämä on ongelmallista, koska IKE-avaintenvaihtoon sisältyy * * · *· tietokoneellisesti kalliita Diffie-Hellman avaintenvaihtoalgoritmilaskelmia ja [ 25 mahdollisesti RSA-laskelmia. Lisäksi, avaintenvaihto vaatii ainakin kolme edestakaista ... signaalia (kuusi viestiä) jos käytetään aggressiivista IKE-menetelmää ja sen jälkeen • « * V’. IKE.n pikamenetelmää ja se vaatii yhdeksän viestiä, jos käytetään IKE.n • · · l.V päämenetelmää ja sen jälkeen IKE:n pikamenetelmää. Tämä saattaa olla suuri • ♦ ongelma korkean latenssin verkoissa, jollainen on esim. General Packet Radio :·.·. 30 Services (GPRS), tietokonelaskelmista riippumatta.
• • · • · · • · • · · *. Tässä tekstissä, termeillä mobiilisuus (liikkuvuus) ja mobiilipäätelaite ei tarkoiteta • · ♦ • · · VV.t ainoastaan fyysistä liikkuvuutta, vaan termillä liikkuvuus tarkoitetaan ensikädessä • · mV siirtymistä yhdestä verkosta toiseen, mikä voidaan suorittaa myös fysikaalisesti • · );·;* 35 kiinteällä päätelaitteella.
• · · • · • · 7 118170 5 Standard IPSec:in ongelmana on, että se on suunniteltu kiinteitä yhteyksiä varten. Esimerkiksi IPSec-tunnelimenetelmässä SA:n päätepisteet ovat kiinteitä. Ei myöskään ole menetelmää SA:n parametrien muuttamiseksi paitsi asettamalla uusi SA, joka korvaa aikaisemman. SA.iden asettaminen ei kuitenkaan ole taloudellista tietokoneen :- ajankäytön ja verkkolatenssin kannalta. . £ 10
Esimerkki skenaariosta, jossa näitä ongelmia on, on kuvattu seuraavassa ongelman kuvaamiseksi.
Tässä skenaariossa on standardi IPSec-turvayhdyskäytävä, jota mobiilipääte käyttää 15 esim. etäpääsyssä. Mobiilipääte on mobiili siinä mielessä, että se muuttaa liittymisverkkopistettä usein. Mobiilipääte voi siten tässä tekstissä olla fysikaalisesti kiinteä tai mobiili. Koska se voidaan kytkeä kolmannen osapuolen hallinnoimiin verkkoihin, sillä saattaa myös olla kiintopiste, joka käyttää yksityisiä osoitteita - s.o., verkko on reitittimien takana, joka suorittaa verkon osoitekääntämistä, network address 20 translation (NAT). Lisäksi, mobiilipäätteen käyttämät verkot pääsyä varten voivat olla '/-‘-si langattomia ja palvelun laatu kehnoa läpipääsyn ja esim. paketin hylkäämisen ^ kannalta. y.
• ♦ • · · ** i Standardi IPSec ei toimi hyvin tässä yhteydessä. Koska IPSec-yhteydet ovat sidottuja • * · · · .?> • a . 25 kiinteisiin osoitteisiin, mobiilipäätteen on aikaansaatava uusi IPSec-yhteys jokaisesta ***** --¾ t*:m liittymispisteestä. Jos käytetään automatisoitua avaintenvaihtoprotokollaa, kuten IKE:ä, y.·' • * uuden IPSec yhteyden asettaminen on epätaloudellista tietokoneen käyttöajan ja • · .*··] verkkolatenssiin kannalta ja saattaa vaatia manuaalisen autentikointivaiheen (esim.
yhden kerran salasanan). Jos IPSec-yhteydet asetetaan manuaalisesti, IPSec-30 yhteysparametrien konfigurointiin liittyy huomattavan paljon manuaalista työtä.
* · ·*· • * * • · ·
Standardi IPSec ei esimerkiksi toimi NAT-laitteiden läpi tällä hetkellä. Tällä hetkellä * * * tehdään standardiprotokollia IPSec NAT.in ylitsepääsemiseksi, mutta • · *·) turvayhdyskäytävä ei ehkä tässä skenaariossa tue tällä tavalla laajennettuja IPSec • · 35 protokollia. Lisäksi tämän hetkiset protokollat IPSec NAT:in ylitsepääsemiseksi eivät • ® · : ** sovellu mobiilisuuteen erityisen hyvin.
8 ' 118170 5 Standardi IPSec-protokolla ei takaa parempaa palvelun laatua langattomissa linkeissä.
Jos pääsyverkossa paketteja hylätään usein niitä hylätään myös mobiiliverkkoasemassa sekä lankaverkkoasemassa, jonka kanssa mobiilipääte s kommunikoi.
ίο Tunnettu menetelmä näiden ongelmien ratkaisemiseksi perustuu siihen, että mobiilipäätteen ja IPSec-turvayhdyskäytävän välillä on välitietokone. Välitietokone voi olla mobiili IP-kotiagentti, joka aikaansaa mobiilisuutta mobiilipäätteen ja kotiagentin välistä yhteyttä varten, kun taas yhteys mobiilinoodista turvayhdyskäytävälle on tavallinen IPSec-yhteys. Tässä tapauksessa mobiilisovelluksen lähettämät paketit 15 käsitellään ensin IPSec.illä ja sitten Mobiili IP:llä.
Yleisessä tapauksessa tämä vaikuttaa mobiilipäätteen ja kotiagentin välissä lähetettyjen pakettien sekä Mobiili IP- että IPSec-alkutunnistekenttiin. Kotiagentti poistaa Mobiili IP-alkutunnisteet ennen kuin paketit jaetaan turvayhdyskäytävälle ja 20 lisätään kun paketit toimitetaan mobiiljpäätteelle. Kahden tunnelointiprotokollan käytön takia (Mobiili IP ja IPSec tunnelointi), tätä ratkaisua kutsutaan "kaksoistunneloinniksi” tässä asiakirjassa.
: Edellä oleva menetelmä ratkaisee mobiilisuusongelman sillä hinnalla, että paketit • · 25 saavat ylimääräisiä alkutunnisteita. Tämä saattaa vaikuttaa merkittävästi verkkoihin, ·:··1 joilla on huono läpipääsy, kuten esim. General Packet Radio System (GPRS).
* 1 » • · * · • · ·
Toinen tunnettu menetelmä taas on välitietokoneen käyttäminen mobiilin ja IPSec- :4 turvayhdyskäytävän välillä. Välitietokoneella on IPSec-implementointi, joka saattaa 30 tukea NAT.in ylitsepääsyä ja mahdollisesti joitakin asianmukaisia laajennuksia, ·· · : V esimerkiksi pääsyverkon palvelun laadun parantamiseksi **f · • · • · · * ' r : Mobiiliverkkoasema aikaan saisi nyt IPSec-yhteyden itsensä ja välitietokoneen välille 5 sekä myös itsensä ja IPSec- turvayhdyskäytävän välille. Tämä ratkaisu muistuttaa ^ .1··. 35 ensin tunnettua menetelmää paitsi, että käytetään kahta IPSec-tunnelia. Se ratkaisee * · 1 * · · • · ♦ · 9 118170 5 erilaiset ongelmat - esimerkiksi NAT:in ylitsepääsyn - mutta lisää paketin kokoa | •”i?l kaksinkertaisen IPSec-tunneloinnin takia.
Kolmas tunnettu mentelmä on samanlaisen välitietokoneen käyttäminen kuin toisessa tunnetussa menetelmässä mutta tässä aikaansaadaan IPSec-yhteys mobiilipäätteen ja ιό välitietokoneen välille ja erillinen IPSec-yhteys välitietokoneen ja turvayhdyskäytävän välille. Mobiilipäätteen ja välitietokoneen välinen IPSec-yhteys saattaa tukea esim.
NAT:in ylitsepääsemistä, kun taas toisen IPSec-yhteyden ei tarvitse.
Kun mobiilipäätteessä oleva sovellus lähettää paketteja, paketit IPSec-käsitellään 15 käyttämällä mobiilipäätteen ja välitietokoneen jakamaa IPSec yhteyttä. Näitä paketteja 'r 4? vastaanottaessa, välitietokone poistaa IPSec-käsittelyn. Jos paketti oli esimerkiksi 5 salattu, välitietokone purkaa paketin salauksen. Alkuperäinen paketti olisi nyt selvätekstisenä välitietokoneella. Tämän jälkeen välitietokone IPSec-käsittelee paketin käyttämällä välitietotokoneen ja turvayhdyskäytävän jakamaa IPSec-yhteyttä ja välittää 20 paketin turvayhdyskäytävälle.
‘•*P
Tämä ratkaisu sallii sellaisen IPSec-implementoinnin käytön, joka tukee NAT.in ylitsepääsemistä ja mahdollisesti muita parannuksia (esim. myyjäkohtaisia), ratkaisten : siten sellaisia ongelmia kuten esim. erilaisten palveluiden laatua pääsyverkoissa.
* * 25 Riippumatta lisätyistä ominaisuuksista, IPSec-turvayhdyskäytävä jää tietämättömäksi •;..j parannuksista eikä laadun parannus vaadi laadun parannukseen liittyvien protokollien implementointia. Ratkaisulla on kuitenkin eräs pääasiallinen haitta. IPSec-pakettien • · salaus poistetaan välitietokoneessa ja siten herkkä tieto on suojaamattomana • m välitietokoneessa.
··· 30 • · · : ·.: Ajatelkaamme kaupankäyntitapahtumaa, jossa yksi ainoa välitietokone tarjoaa * · · parempaa laatua joukolle erillisiä asiakasverkkoja, joista jokaisella on oma standardi : IPSec-turvayhdyskäytävä. Kun erilaisten asiakasverkkojen paketeista on poistettu • · · suoja ja ne on saatu selvätekstimuotoon, välitietokoneessa on selvä turvaongelma. >
··· ~ J
35 ® · • · · *♦ · • * · • · 1° 118170 5 Yhteenvedoksi todetaan, että tunnetuissa ratkaisuissa käytetään joko ylimääräistä f tunnelointia, mikä aiheuttaa ylimääräistä paketin kokoa tai niissä käytetään erillisiä tunneleita, mikä aiheuttaa mahdollisia turvaongelmia välitietokoneissa, jotka päättävät nämä tunnelit. ^ 10
KEKSINNÖN TAVOITE
Keksinnön tavoitteena on menetelmän kehittäminen turvallisten viestien välittämiseksi < kahden tietokoneen välillä erityisesti välitietokoneen kautta kuitenkin välttäen edellä 15 mainittuja haittoja.
.... '5
Erityisesti keksinnön tavoitteena on turvallisten viestien välittäminen niin, että muutosten tekeminen turvayhteyteen on mahdollista.
20 ^
KEKSINNÖN KUVAUS
Keksinnön mukainen menetelmä ja järjestelmä mahdollistaa viestin turvallisen -¾ .·. ; välittämisen ensimmäiseltä tietokoneelta toiselle tietokoneelle välillä olevan • · · • · 25 tietokoneen kautta tietoliikenneverkossa. Se on pääasiassa tunnettu siitä, että viesti • · muodostetaan ensimmäisessä tietokoneessa tai ensimmäisen tietokoneen • · .··*. palvelemassa tietokoneessa ja jälkimmäisessä tapauksessa lähetetään viesti *· · ♦*· : ensimmäiselle tietokoneelle.. Ensimmäisessä tietokoneessa muodostetaan sitten * · · • · turvallinen viesti antamalla viestille ainutlaatuinen tunnus ja kohdeosoite. Viesti ·· · 30 lähetetään ensimmäiseltä tietokoneelta välitietokoneelle, jonka jälkeen mainittua kohdeosoitetta ja ainutlaatuista tunnusta käytetään osoitteen löytämiseksi toiselle tietokoneelle. Tämän hetkinen kohdeosoite korvataan löydetyllä osoitteella toiselle . tietokoneelle ja ainutlaatuinen tunnus korvataan toisella ainutlaatuisella tunnuksella.
··« ;···. Sitten viesti välitetään toiselle tietokoneelle.
··· 35 * · • ·
Edullisilla suoritusmuodoilla on alivaatimusten mukaiset tunnusmerkit.
• · • · 11 118170 5 Edullisesti, ensimmäinen tietokone käsittelee muodostettua viestiä käyttämälllä turvaprotokollaa ja kapseloi viestin ainakin ulkoiseen IP-alkutunnisteeseen. Ulomman IP-alkutunnisteen lähdeosoite on ensimmäisen tietokoneen tämän hetkinen osoite, kun taas kohdeosoite on välitietokoneen osoite. Viesti lähetetään sitten välitietokoneelle, joka yhdistää ulomman IP-alkutunnisteen osoitekentät turvaprotokollan käyttämän lo ainutlaatuiseen tunnukseen ja suorittaa turvaprotokollan käyttämän ulkoisten osoitteiden ja ainutlaatuisen tunnuksen käännöksen. Käännetty paketti lähetetään sitten toiselle tietokoneelle, Joka käsittelee sen käyttämällä kyseenomaista ,y standarditurvaprotokollaa. Keksinnön mukaisessa menetelmässä ei ole ylimääräistä kapselointikuormitusta kuten tekniikan tason menetelmissä. Myöskään välitietokoneen 15 ei tarvitse peruuttaa turvakäsittelyä, esim. salausta, eikä sen tarvitse tinkiä turvallisuudesta kuten tekniikan tason menetelmät. |
Vastaavat vaiheet suoritetaan kun viestit lähetetään päinvastaiseen suuntaan, s.o. toiselta tietokoneelta ensimmäiselle tietokoneelle.
20
Edullisesti, turvallinen viesti muodostetaan käyttämällä IPSec-protokollia, jolloin turvallinen viesti muodostetaan käyttämällä IPSec-yhteyttä ensimmäisen tietokoneen ja välitietokoneen välillä. Ensimmäiseltä tietokoneelta lähetetty viesti sisältää : viestitietoja, sisemmän IP-alkutunnisteen, joka sisältää ajankohtaiset lähettäjän ja * * * 25 vastaanottajan osoitteet, ulomman IP-alkutunnisteen, joka sisältää ensimmäisen • · tietokoneen ja välitietokoneen osoitteet, ainutlaatuisen tunnuksen ja muita .*··. turvaparametrejä. Ainutlaatuinen tunnus on yksi tai useampi SPI-arvo ja muut * · · turvaparametrit sisältävät esim. IPSec-sarjanumeron tai -sarjanumerolta. SPI-arvojen • · numero riippuu SA-kimpun koosta (esim. ESP + AH-kimpulla olisi kaksi SPI-arvoa).
• · · 30 Seuraavassa, aina kun viitataan termiin SA, sama pätee myös SA-kimppuun. Muita :*· J asiaan liittyviä turvaparametrejä, esim. käytettävää algoritmia, liikenteen kuvausta ja SA:n elinikää, ei lähetetä langan kautta. Ainoastaan SPI ja sarjanumero lähetetään . .·. jokaista IPSec.illä käsiteltyä alkutunnistetta varten (yksi SPI ja yksi sarjanumero jos ··* esim. käytetään ainoastaan ESP.tä; kaksi SPI:tä ja kaksi sarjanumeroa, jos käytetään • * · 35 esim. ESP+AH jne.).
* * ♦ ·· ·♦ · • ♦ · • · • · > 12 " 118170 : 5 Siten, lähettävä tietokone muodostaa ei-turvatun tietopakettiviestin, joka tietokone voi olla ensimmäinen tietokone tai sitten ei. Tämän paketin IP-alkutunnisteella on IP lähde-ja kohdeosoitekentät (mm.). Paketti kapseloidaan, esim. tunnelin sisään, ja tuloksena -1 saatu paketti turvataan. Turvatulla paketilla on uusi ulompi IP-alkutunniste, joka sisältää toisen IP-lähde- ja kohdeosoiteasetelman (ulommassa alkutunnisteessa, ίο sisempi alkutunniste on koskematon), s.o. että on kaksi ulompaa osoitetta (lähde- ja kohdeosoite) ja kaksi sisäosoitetta. Käsitellyllä paketilla on ainutlaatuinen tunnus, IPSec SPI arvo(t).
Keksinnön olennainen idea on käyttää standardiprotokollaa (IPSec) välitietokoneen ja 15 toisen tietokoneen välillä ja "parannettua IPSec protokollaa" ensimmäisen tietokoneen ja välitietokoneen välillä. Välitietokone kääntää IPSec:illä suojatut paketit purkamatta IPSec-käsittelyä. Tällä vältetään sekä kaksoistunneloinnin aiheuttama ylikuormitus sekä erillisten tunnelien käyttämiseen liittyvä turvaongelma.
20 Käännös suoritetaan esim. käännöstaulukon avulla, joka on tallennettu välitietokoneeseen. Välitietokone muuttaa ulomman IP-alkutunnisteen osoitekentät ja/tai SPI arvot niin, että viesti voidaan välittää toiselle tietokoneelle.
.·. . Modifioimalla käännöstaulukkoa ja parametrejä, jotka liittyvät tiettyyn *♦ " ....· 25 käännöstaulukkomerkintään, ensimmäisen tietokoneen ja välitietokoneen välisen • · yhteyden ominaisuuksia voidaan muuttaa ilman uuden IPSec-yhteyden muodostamista .***. tai sekoittamatta asiaan millään tavalla toista tietokonetta.
• · ··* • » * * · • ·· • ·
Eräs esimerkki SA:n muuttamisesta ensimmäisen tietokoneen ja välitietokoneen välillä ··♦ 30 on osoitteiden muuttaminen mobiilisuuden mahdollistamiseksi. Tämä voidaan aikaansaada keksinnössä yksinkertaisesti modifioimalla käännöstaulukon osoitekenttämerkintöjä. Signalointiviestejä voidaan käyttää tällaisen muutoksen : pyytämiseksi. Tällaiset signalointiviestit voidaan autentikoida ja/tai salata tai lähettää ··· selvätekstisenä. Eräs menetelmä autentikointi- ja/tai salausmenetelmä on IPSec- ··· 35 yhteyden käyttäminen ensimmäisen tietokoneen ja välitietokoneen välillä. Toinen • · ;*]·. tietokone on tietämätön tästä IPSec yhteydestä, eikä sen tarvitse osallistua • · • · 13 118170 5 signalointiprotokollaan millään tavalla. Useita muita signalointimenetelmiä on olemassa, esimerkiksi IKE avaintenvaihtoprotokolla voidaan laajentaa tällaisten signalointiviestien kantamiseksi.
Signaloinnissa lähetetään esim. rekisteröintipyyntö ensimmäiseltä tietokoneelta ίο välitietokoneelle, mikä aiheuttaa sen, että välitietokone modifioi osoitteet kartoitustaulukossa ja siten välitietokone voi tunnistaa mobiilin seuraavalla kerralla kun viesti lähetetään. Edullisesti, rekisteröintipyynnön tuloksena, vastausrekisteröinti lähetetään välitietokoneelta takaisin ensimmäiselle tietokoneelle.
is Muita esimerkkejä mahdollisista SA:n modifioinneista - tai yleisesti ottaen paketin I
käsittelystä - ensimmäisen tietokoneen ja välitietokoneen välillä ovat seuraavat.
Yhtenä esimerkkinä ensimmäinen tietokone ja välitietokone suorittaa jonkinlaista uudelleenlähetysprotokollaa, mikä varmistaa sen, että IPSec:illä suojattuja paketteja ei 20 hylätä ensimmäisen ja välitietokoneen välisellä reitillä. Näistä sovelluksista voi olla käyttöä kun ensimmäinen tietokone kytketään käyttämällä verkonpääsymenetelmää, jossa on korkea paketin hylkäysaste esim. GPRS.
· Sellainen protokolla voi helposti perustua esim. IPSec-sarjanumerokenttään ja * · · 25 toistosuojaikkunaan, jolla saadaan menetelmä sellaisen paketin tai sellaisten pakettien * · tunnistamiseksi, jotka on menetetty. Kun vastaanottava verkkoasema tunnistaa, että ^ .·*·. hylättyjä paketteja on, se voi lähettää pyyntöviestin koskien juuri niitä paketteja. | * * «
Pyyntöä voidaan tietysti hyödyntää olemassa olevaan tietopakettiin, jota lähetetään ? » · :***; toiselle verkkoasemalle. Toinen menetelmä uudelleenlähetysten suorittamiseksi voi *·* 30 perustua ylimääräisen protokollan käyttöön, jonka sisälle IP-paketit kääritään :*·[; ensimmäisen ja välitietokoneen välistä lähetystä varten. Joka tapauksessa toinen i"‘: tietokone ei ole tietoinen tällaisesta uudelleen lähetysprotokollasta.
* · · • * · • · · ;*··. Toinen esimerkki on verkko-osoitteen käännöksen, Network Address Translation *·* y y..m 35 (NAT), ylitsepääsemiskapselointi ensimmäisen ja välitietokoneen välillä. Tämä • · • v, menetelmä voisi perustua esim. UDP kapseloinnin käyttämiseen pakettien lähettämistä • · • · 14 ';ί': 118170 5 varten ensimmäisen tietokoneen ja välitietokoneen välillä. Toinen tietokone ei . :'.f vieläkään ole tietoinen tästä käsittelystä, eikä sen edes tarvitse tukea NAT-ylittämistä J ollenkaan. Tämä on hyödyllistä, koska on olemassa useita IPSec-tuotteita, jotka eivät tue NAT;in ylittämistä.
ίο Keksinnön mukainen järjestelmä on tietoliikenneverkko viestien turvalliseksi välittämiseksi ja käsittää ainakin ensimmäisen tietokoneen, toisen tietokoneen ja Ä välitietokoneen. Se on tunnettu siitä, että ensimmäisellä ja toisella tietokoneella on f välineet IPSec-käsittelyn suorittamiseksi ja välittietokoneella on välineet IPSec- • 's käännöksen suorittamiseksi ja mahdollisesti avaintenvaihtoprotokolla, kuten IKE, f 15 edullisesti kartoitustaulukoiden avulla. Välitietokone voi suorittaa IPSec käsittelyä, joka f liittyy toisiin asioihin, kuten edellä kuvattua mobiilisuussignalointia ja muita parannuksia. " ? IPSec-käännösmenetelmä on riippumaton avaintenvaihdon käännösmenetelmästä.
20 Myös manuaalista avaintenvaihtoa voidaan käyttää automaattisen avaintenvaihdon sijasta. Jos käytetään automaattista avaintenvaihtoa, mikä vain avaintenvaihtoprotokolla voidaan modifoida siihen tarkoitukseen; ideana on kuitenkin · · *·’: pitää toinen tietokone epätietoisena ensimmäisen ja välitietokoneen välisestä * ** viestinnästä.
• « « * * * * 25 * · · *···[ Automaattista avaintenvaihtoprotokollaa voidaan käyttää keksinnössä useilla tavoilla.
• · · jj *;./ Olennainen idea on, että toinen tietokone näkee standardi avaintenprotokollan kun • · • · · *** taas ensimmäinen ja toinen tietokone suorittaa modifoidun avaintenvaihdon. Modifioitu ... avaintenvaihtoprotokolla, jota käytetään ensimmäisen ja välitietokoneen välillä • « 30 varmistaa sen, että IPSec-käännöstaulukko ja muut parametrit, joita vaaditaan • · '·[ keksinnössä, asettuu avaintenvaihtoprotokollan sivuvaikutuksena. Eräs sellainen • · * modifoitu protokolla on esitetty hakemuksessa IKE-avaintenvaihtoprotokollan * * *·;’ yhteydessä.
* * · • · • · ··· * · · : V 35 Jokainen käännöstaulukko muodostuu luvuista ja on jaettu kahteen osaan. Ensimmäinen osa sisältää tietokenttiä, jotka liittyvät ensimmäisen ja välitietokoneen 15 118170 5 väliseen yhteyteen, kun taas toinen osa sisältää informaatiokenttiä, jotka liittyvät välitietokoneen ja toisen tietokoneen väliseen yhteyteen.
Käännös tapahtuu tunnistamalla käännöstaulukkomerkintä vertaamalla ensimmäiseen osaan ja yhdistämällä se toiseen. Merkintä sitä liikennettä varten, joka virtaa 10 ensimmäisestä tietokoneesta toista tietokonetta kohti välitietokoneen kautta, löytyy vertaamalla vastaaotettua pakettia ensimmäisen osan merkintöihin ja kääntämällä mainitut kentät käyttämällä toisesta osasta löydettyä tietoa. Vastakkaiseen suuntaan viilaavan liikenteen yhteydessä, toista osaa käytetään oikean käännöstaulukkomerkinnän löytämiseksi ja ensimmäistä osaa käytetään 15 pakettikenttien kääntämiseksi. jj IPSec-käännöstaulukko-osat muodostuvat seuraavasta tiedosta: IP-paikallisesta osoitteesta ja IP-etäosoitteesta (tunnelin päätepisteosoitteet) sekä SPI-arvoista tiedon lähettämiseksi ja vastaanottamiseksi.
20
Kuten mainittiin, käännöstaulukkomerkintä muodostuu kahdesta tällaisesta osasta, % yksi ensimmäisen tietokoneen ja välitietokoneen väliseen viestintään ja toinen välitietokoneen ja toisen tietokoneen väliseen viestintään. f • · * • · * • · * ····· ] 25 Kuvattu keksintö ratkaisee tekniikan tason edellä olevat ongelmat. Ratkaisu perustuu ·«··· !..* siihen, että annetaan toiselle tietokoneelle se vaikutelma, että ensimmäinen tietokone, • ♦ I". on standarditietokone. Siten, toinen tietokone uskoo puhuvansa standardi IPSec- • · « • · · verkkoasemalle, kun taas välitietokone ja toinen tietokone toimivat yhdessä * käyttämällä modifioitua protokollaa, esim. hieman modifioitua IPSec.iä ja IKE:ä, jotka 30 auttavat tämän päämärän saavuttamisessa. On kuitenkin olemassa useita muita * * .···. halllintaprotokollia, joita voitaisiin käyttää yhtä hyvin ensimmäisen tietokoneen ja • · • » · ·. välitietokoneen välillä.
• · · • ♦ * ♦ * ♦ • · · - • e'···; * ♦
Seuraavassa keksintöä kuvataan yksityiskohtaisemmin viittaamalla kuvioihin ··· • * *...* 35 keksinnön suorittamiseksi esitettyjen suoritusesimerkkien avulla. Keksintöä ei rajata • · · • · · • · • « 118170 16 U.| 5 kuvioiden ja siihen liittyvän tekstin.yksityiskohtiin tai olemassa oleviin protokolliin, kuten esim. tällä hetkellä standardisoituun IPSec:iin tai IKE:en.
Erityisesti keksintö voi liittyä muihin titeoliikenneverkkoihin kuin kuvioiden mukaisiin, joihin keksinnön mukaista menetelmää voidaan soveltaa, lo
KUVIOT
Kuvio 1 kuvaa erästä esimerkkiä keksinnön mukaisesta titoliikenneverkosta. ?; 15 Kuvio 2 kuvaa yleisesti esimerkkiä keksinnön mukaisesta menetelmästä.
Kuvio 3 kuvaa esimerkkiä IPSec-käännöstaulukosta, jota välitietokone käyttää ulkoisen IP-osoitteen ja SPI-arvon vaihtamiseksi.
Kuvio 4 kuvaa yksityiskohtaista esimerkkiä siitä, kuinka SA muodostetaan keksinnössä.
20 Kuvio 5 kuvaa esimerkkiä käännöstaulukosta keksinnön mukaista modifoitua avaintenvaihtoa varten.
Kuvio 6 esittää kartoitustaulukkoa käyttäjän turvayhdyskäytävän, Security Gateway • ♦ ·.*·: (SGW), osoitteiden tunnusarvoja varten.
• · - 25 ..--:-¾
KEKSINNÖN YKSITYISKOHTAINEN KUVAUS
• · * · · * · · • · • · · • · *···* Kuviossa 1 on kuvattu esimerkki keksinnön mukaisesta titeoliikenneverkosta, joka käsittää ensimmäisen tietokoneen, tässä asiakastietokone 1, jota palvelee • · * 30 välitietokone, tässä palvelin 2, ja verkkoasematietokone 4, jota palvelee toinen • · **;* tietokone, tässä turvayhdyskäytävä, Security Gateway (SGW) 3. Turvayhdyskäytävä \.v tukee standardi IPSec-protokollaa ja valinnaisesti IKE-avaintenvaihtpprotokollaa.
*·;·* Asiakastietokone ja palvelintietokone tukee modifioitua IPSeciiä ja IKE-protokollaa.
* · * • • · ·· 35 Keksintö ei ole rajoitettu kuvion 1 topologiaan. Muissa suoritusmuodoissa ensimmäinen tietokone voi esim. olla reititin; tai toisen tietokoneen takana voi esim.
17 118170 5 olla verkkoasema (jolloin ensimmäinen ja toinen tietokone puhuvat toisilleen suoraan), jne.
IPSec-käännökset, jotka tapahtuvat kuvoiden 1, 2 ja 3 skenaariossa, esitetään ensin.
Tässä skenaariossa IPSec-yhteydet (kuten SA:t) voidaan aikaansaada manuaalisesti to tai jollain avaintenvaihtoprotokollalla, joka on esim. Internet Key Exchange (IKE). Myöhemmin esitetään modifioitu IKE protokolla, joka perustuu IKE käännökseen, sen kuvaamiseksi, kuinka avaintenvaihtoprotokollaa käytettäisiin kuvion 1 skenaariossa,.
Keksinnössä ensimmäinen tietokone ja toinen tietokone jakavat IPSec-yhteyden, kun £
15 tass välitietokone ylläpitää informaatiota, jota vaaditaan IPSec SPI käännösten ja J
avaintenkäännösten suorittamiseksi paketeille. Nämä käänökset aikaansaavat saman | vaikutuksen kuin ’’kaksoistunnelointikin” (kuvattu tekniikan tason osassa), mutta * kuitenkaan keksinnön mukaisella menetelmällä pakettien luottamuksellisuudesta ei tingitä, eikä myöskään aiheuteta ylimääräistä kuormitusta verrattuna standardi 20 IPSec:iin. Välitietokone ei tunne salausavaimia, joita käytetään pakettien salaamiseksi ja/tai autentikoimiseksi eikä voi siten päästä osalliseksi niiden sisällöstä.
Keksinnön etuna on, että ensimmäisen ja toisen tietokoneen jakamaa loogista IPSec • · · *· *j yhteyttä voidaan parantaa ensimmäisen ja välitietokoneen toimesta ilman että toisen | 25 tietokoneen tarvitsee osallistua siihen. Varsinkin nk. "ingressisuodatus” joita jotkut • ♦ · · · ...* reitittimit suorittavat, ei aiheuta ongelmia kun käytetään osoitteiden käännöksiä.
• · V\ Esitetyssä esimerkissä, jokainen verkkoasema myös hallinnoi omaa IPSec SPI | • · · .% tilaansa itsenäisesti.
• · * * .. ? • · · ··.·?, :v. 30 Kuvion 1 mukaisessa esimerkissä muodostetaan IPSec-yhteys asiakastietokoneen 1 i • · . .. i: *.···. (ensimmäinen tietokone) ja turvayhdyskäytävän 3 (toinen tietokone) välille. IPSec- • · ··♦
·, tunnelin luomiseksi muodostetaan SA (tai tavallisimmin SA:n kimppu) kyseenomaisten J
• · · tietokoneiden välille ja tätä edeltää avaintenvaihto. Ensimmäisen ja toisen tietokoneen * m • · välinen avaintevaihto voi tapahtua manuaalisesti tai se voidaan suorittaa *···* 35 automaattisella avaintenvaihtoprotokollalla, kuten IKE protokollalla. Mainitun • · · • · · : ·* avaintenvaihdon suorittamiseksi, käytetään standardi IKE-protokollaa palvelimen 2 ja 118170 18 5 turvayhdyskäytävän 3 välillä ja modifioitua IKE-protokollaa asiakastietokoneen 1 ja palvelimen 2 välillä. Esimerkki modifioidusta IKE-protokollasta, jota voidaan käyttää keksinnössä, on kuvattu kuvion 4 yhteydessä.
Verkkoasemapäätteelle 4 lähetettävät viestit asiakastietokoneelta 1 lähetetään ensin io palvelimelle 2, jossa tapahtuu IPSec-käännös ja IKE-käännös. Sen jälkeen viesti voidaan lähettää turvayhdyskäytävälle 3, joka lähettää viestin edelleen selvätekstisenä verkkoasemapäätteelle 4.
Keksinnön mukaista menetelmää, jossa lähetetään viestejä pakettimuodossa 15 reitittämällä loppukohteeseen, kuvataan yleisesti kuvion 2 yhteydessä. Seuraavassa kuvauksessa oletetaan, että ensimmäisen ja toisen tietokoneen välinen IPSec-yhteys on jo muodostettu. IPSec-yhteys voidaan asettaa manuaalisesti tai automaattisesti "*
esim. IKE-vaihtoprotokollalla, joka kuvataan myöhemmin. I
20 Kuvio 2 kuvaa tapahtumasarjaa, joka tapahtuu kun ensimmäinen tietokone, joka | .<A* vastaa mobiilipäätettä kuviossa 1, lähettää paketin kohdevaerkkoasemalle, joka on " merkitty X kuviossa ja kun verkkoasema X lähettää paketin mobiilipäätteelle.
" >* • · * i • * · ,
·*··-- Z
• · ·, - ·:*·: IP-paketit muodostuvat eri osista, kuten tiedon hyötyosasta ja protokollan - *:**i 25 alkutunnisteista. Protokollan alkutunnisteet puolestaan muodostuvat kentistä.
··· • · . % ··· · . . JsJi • ·
Kuvion 2 vaiheessa 1, ensimmäinen tietokone, esim. mobiilipääte, muodostaa IP- ] * · · Λ·;
paketin, joka on tarkoitus lähettää verkkoasemalle X. Tyypillisesti, tämä paketti T
luodaan sovelluksella, joka pyörii mobiilipäätteessä. IP-paketin lähdeosoite on * · * • « · • y 30 mobiilipäätteen osoite, kun taas kohdeosoite on verkkoasema X.
• • * * * * t
Paketti käsitellään käyttämällä IPSec-tunnelimenetelmä SA:ta, joka kapseloi IP-paketin * * · turvallisesti. Esimerkki olettaa, että käytetään ESP-tyyppistä IPSec-salausta ja/tai %\\\x autentikointia paketin käsittelemiseksi, vaikkakaan keksintöä ei rajata ainoastaan :***: 35 ESP:n käyttöön, vaan mitä vain IPSec-yhteyttä voidaan käyttää. * 19 118170 s Mainitussa käsittelyssä laaditaan uusi IP-alkutunniste paketille niin kutsutuilla ulkoisilla IP-osoitteilla. Paketin ulkoinen lähdeosoite voi olla sama kuin sisäinen IP-osoite - s.o. " mobiilipäätteen osoite - mutta se voi olla erilainen, jos mobiilipääte on vieraassa .
verkossa. Tässä tapauksessa ulkoinen lähdeosoite vastaa mobiilipäätteeltä saatua lainaosoitetta vieraassa verkossa. Ulkoinen Kohdeosoite on välitietokoneen osoite.
10 Uuden IP-alkutunnisteen lisäksi lisätään ESP-alkutunniste kun käytetään IPSec ESP-menetelmää. ESP-alkutunnisteen SPI-kenttä, jonka IPSec-käsittely lisää, asetetaan SPI-arvoksi, jota välitietokone käyttää pakettien vastaanottamiseksi mobiilipäätteltä.
Yleisesti ottaen paketissa voi olla enemmän kuin yksi SPI-kenttä.
15 Pakettien käsittely välitietokoneella perustuu käännöstaulukkoon, s.o. IPSec- J
-'t kännöstaulukkooon, joka on näytetty kuviossa 3. Taulukko on jaettu kahteen osaan. ?
Vasempi niistä, jonka tunnistaa etuliitteestä ”c-”, liittyy ensimmäisen tietokoneen (verkkoasema 1 kuviossa 1) ja välitietokoneen (verkkoasema 2 kuviossa 1) väliseen verkkoyhteyteen. Oikeanpuoleinen, joka tunnistetaan etuliitteellä ’s-', liittyy 20 välitietokoneen ja toisen tietokoneen (tietokone 3 kuviossa 1) väliseen verkkoyhteyteen. Jälkiliiteestä ”-2", tai "-3") tunnistetaan kyseenomainen ^ verkkoasema. Siten, osoitekentät faddr”) liittyvät paketin ulkoisiin osoitteisiin, kun taas SPI-kentät (”SPI’j viittavat pakettien vastaanottajaan, jotka paketit lähetettiin tällä "
• · S
*· 'j SPI:llä. Siten, ”c-SPI-2” on verkkoaseman 2 (välitietokone) käyttämä SPI-arvo kun se ] 25 vastaanottaa paketteja verkkoasemalta 1 (ensimmäinen tietokone) ja SPI-arvo ”c-SPI- i i..1 Γ on se SPI-arvo, jolla ensimmäinen tietokone vastaanottaa viestejä ja jolla • m .***. välitietokone lähettää viestejä ensimmäiselle tietokoneelle ja niin edespäin. . i • · ♦ • · · • · • · · * · * 1
Kuvion 3 tavoin, ulkoinen lähdeosoite olisi ”c-addr-1” (195.1.2.3), ulompi kohdeosoite ..... 30 olisi ”c-addr-2” (212.90.65.1), kun taas SPI arvo olisi ’'c-SPI-2" (0x12341234). Merkintä • · ]···. OxNNNNNNNN tarkoittaa 32-bitin ei-merkittyä kokonaisarvoa,. joka on koodattu • · ·. käyttämällä hexadesimaalimerkintää (base 16). IPSec käsittelee sisemmän * 1 1 lähdeosoitteen ensimmäisellä tietokoneella ja se olisi tyypillisesti salattu. Tässä • 1 • 1 "1 esimerkissä sisempi lähdeosoite olisi mobiilipäätteen kiinteä osoite, esim. 10.0.0.1.
• · · * « *···1 35 »» · • 1 · · 20 118170 5 Kun välitietokone vastaanottaa vaiheessa 1 lähetetyn paketin, jota kuvattiin edellä, se suorittaa SPI:n käännöksen varmistaen sen, että turvayhdyskäytävä (kuvion 1 verkkoasema 3) voi hyväksyä paketin. Suurin osa paketista on turvattu käyttämällä IPSec:iä, ja koska välitietokoneella ei ole salausavaimia mobiilipäätteen tekemän IPSec-käsittelyn poistamiseksi, se ei voi purkaa paketin salattujen osien salausta, io mutta se voi käyttää ulompia IP-osoitteita ja sisään tulevaa SPI-arvoa sen määrittämiseksi kuinka ulompi osoite ja SPI muutetaan, jotta ne olisivat sopivia toiselle tietokoneelle, joka on seuraava kohde. SPI on nyt muutettu arvoksi 0x56785678 välitietokoneella ja osoite on muutettu toisen tietokoneen osoitteeksi. Tämä tehdään
kuvion 3 IPSec-käännöstaulukon avulla. A
l 15
Kuvion 3 ensimmäinen rivi on rivi, jonka välitietokone on havainnut sopivan esimerkin A pakettiin ja siten välitietokone valitsee tämän käännöstä varten. Uusi ulompi lähdeosoite s-addr-2 (212.90.65.1) korvataan ulomman lähdeosoitteen oaddr-1 (195.1.2.3) tilalle ja uusi ulompi kohdeosoite s-addr-3 (103.6.5.4) korvataan ulomman 20 kohdeosoitteen c-addr-2 (212.90.65.1) tilalle. Uusi SPI arvo, s-SPI-3 (0x56785678) korvataan SPI arvon c-SPI-” (0x12341234) tilalle. Jos käytetään enemmän kuin yhtä .‘s SPI-arvoa, kaikki SPI arvot korvataan samalla tavalla. Esimerkissä s-addr-2 ja c-addr-2 sattuvat olemaan samat taulukon molemmissa osissa. Näin ei välttämättä ole, vaan • · :·**: välitietokone voi myös valita toisen osoitteen lähettämistä varten.
m
Kuvion 2 vaiheessa 2 käännetty paketti läheteään edelleen toiselle tietokoneelle.
• · . Λ'* *;·*! Sisempää IP-pakettia ei ole muutettu sen jälkeen kun ensimmäinen tietokone lähetti • · · paketin. Toinen tietokone käsittelee paketin käyttämälllä standardi IPSec algoritmejä. | * * .
*9 ' V
*** Turvayhdyskäytävä (toinen tietokone) voi esim. purkaa salauksen ja/tai tarkistaa .. .t 30 paketin autentisuuden ja sitten poistaa IPSec-tunneloinnin ja välittää alkuperäinen • · )··*, paketti kohti kohdeverkkoasemaa X. Siten käännös ei vaikuttanut alkuperäiseen ·. pakettiin mitenkään, koska IP-alkutunniste, ja siten osoitekentät, oli IPSec:in peittämä.
• · · • i Φ • · · • · · • · • m *.** Sen jälkeen kun alkuperäinen paketti on varattu IPSec tunnelista, toinen tietokone ··· %..* 35 tekee reitityspäätöksen, joka perustuu alkuperäisen paketin IP-alkutunnisteeseen.
• · · • · 21 118170 5 Esimerkissä IP-kohdeosoite on X (verkkoasema X kuviossa 2) ja siten toinen tietokone toimittaa paketin suoraan X: Ile tai seuraavalle hop reitittimelle.
Kuvion 2 vaiheessa 3, paketti lähetetään toiselle tietokoneella (vastaa SGW:tä kuviossa 1) verkkoasemalle X, jolla nyt on ainoastaan alkuperäinen lähde IP-osoite ίο 10.0.0.1 ja alkuperäinen kohde IP-osoite X IP-alkutunnisteessa. Siten vaiheessa 3, verkkoasema X vastaanottaa toisen tietokoneen lähettämän paketin. Tavallisesti sovellusprosessi, joka pyörii verkkoasemalla X, tuottaisi jonkin verran paluuliikennettä.
Tämä aiheuttaisi sen, että tuotettaisiin IP-paketti, joka lähetettäisiin toiselle tietokoneelle.
' 15
Jos paketti lähetetään takaisin verkkoasemalta X ensimmäiselle tietokoneelle (vastaa J
asiakastietokonetta kuviossa 1), suoritetaan vaiheille 1 - 3 analogiset vaiheet. Paketti .·> lähetetään siten ensin toiselle tietokoneelle siten, että lähde IP-soite on X ja kohde IP-soite on 10.0.0.1, vaiheessa 4. Toinen tietokone vastaanottaa sitten tuotetun paketin.
20 Toisen tietokoneen IPSec politiikka vaatii sen, että paketti on käsiteltävä IPSec:illä .
käyttämällä tunnelimenetelmän mukaista IPSec SA:ta. Tämä käsittely muistuttaa vaiheiden 1 ja 2 käsittelyä. Uusi, ulompi IP-alkutunniste lisätään pakettiin toisessa tietokoneessa, jonka jälkeen tuloksena saatu paketti varmistetaan käyttämällä IPSec • · :·**ϊ SA:ta. Ulompi IPSec lähdeosoite asetetaan olevan s-addr-3 (103.6.5.4) kun taas ] 25 ulompi IP kohdeosoite asetetaan arvoksi s-addr-2 (212.90.65.1). SPI-kenttä asetetaan arvoksi s-SPI-2 (0xc1230012). Vaiheessa 5, tuloksena saatu paketti lähetetään uuden *;·*! ulomman IP-kohdeosoitteen osoittamaan osoitteeseen, s-addr-2, välitietokone.
* · · Välitietokone vastaanottaa paketin ja suorittaa samanlaisen osoitteen ja SPI:n • · • · käännöksen.
... 30 • · ·
Sisemmät osoitteet ovat yhä samat eikä välitietokone muokkaa niitä. Koska paketti on • · *·] tarkoitettu lähettäväksi ensimmäiselle tietokoneelle, uusi käännetty ulompi kohde IP- • · φ :::* osoite osoittaa ensimmäisen tietokoneen osoitetta.
· ♦ · • * · ··· j · 35 Tuloksena saatu paketti lähetetään ensimmäiselle tietokoneelle vaiheessa 6.
• * · • · • · 22 118170 5 Vaiheen 6 tuloksena ensimmäinen tietokone vastaanottaa paketin. IPSec-käsittely puretaan, s.o. salaus puretaan ja/tai suoritetaan autentikointi ja alkuperäinen paketti kääritään ulos IPSec-tunnelista. Alkuperäinen paketti toimitetaan sitten ensimmäisellä tietokoneella pyörivälle sovellukselle. Jos ensimmäinen tietokone toimii reitittimenä, paketti voidaan toimittaa verkkoasemalle aliverkossa, jolle ensimmäinen tietokone io toimii reitittimenä.
Ensimmäinen tietokone voi olla mobiilipääte, jonka ulompi osoite muuttuu silloin tällöin. Käännöstaulukkko muokataan sitten käyttämällä jonkinlaisia signalointiviestejä, kuten on kuvattu keksinnön kuvauksessa. Kun välitietokone vastaanottaa käännöksen j '.'j, 15 muokkauspyynnön se päivittää siihen liittyvän käännöstaulukon sopimaan ?
V
ensimmäisen tietokoneen toimittamaa uutta informaatiota. Protokollan toiminta etenee |i sitten kuten on esitetty edellä.
Edellä oleva esitys on rajoitettu esimerkki keksinnön kuvaamiseksi. Muissa 20 suoritusmuodoissa voidaan yhteyttä varten käyttää esim. enempää kuin yhtä SA:ta- f esimerkiksi ESP:tä ja sen jälkeen AH:ta. Tämä aikaansaa kaksi SPI-arvoa, jotka on käännettävä. Tietenkin voidaan käyttää useampaakin kuin kahta SA:ta. Lisäksi .·. : esimerkki koski ainoastaan IPSec ESP:tä. Muutokset jotka vaaditaan suoritusmuotoon • ·· • · jossa käytetään AH:ta (tai ESP+AH), esitetään seuraavassa. | ·:··: 25 . '
Muutokset AH:n käyttämiseksi: *·· • · • · · ·:.· • ♦*
Jos käytetään Authentication Header (AH) IPSec-turvallisuutta on otettava enemmän ΐ asioita huomioon kuin edellä olevassa esimerkissä. Erityisesti pakettikenttien ^ • V 30 muokkaukset - mukaan lukien ulompi IP-alkutunniste - tunnistetaan jos käytetään ··· AH:ta. Siten ensimmäinen tietokone vaatii seuraavan nimellisen käsittelyn. Toinen ;tietokone suorittaa standardi IPSec-käsittelyn myös tässä tapauksessa.
• * · ^ *·· « · ♦ · • · · .
,···. Vaiheessa 1, kun lähetetään paketti, ensimmäisen tietokoneen on suoritettava IPSec-• · ··· 35 käsittely käyttämällä niitä SPI-arvoja ja osoitteita, joita käytetään välitietokoneen ja • * toisen tietokoneen välisessä yhteydessä. Esimerkiksi SPI-arvo olisi s-SPI 3, ulompi 23 118170 5 lähdeosoite s-addr-2 ja ulompi kohdeosoite s-addr-3. AH:n eheystarkistusarvo, >
Integrity Check Value (ICV), on laskettava käyttämällä näitä arvoja. ICV on arvo, joka autentikoi suurimman osan paketin kentistä. Käytännössä autentikoidaan ne kentät, joita reitittimet eivät koskaan modifioi.
to Kun AH:n eheystarkistusarvo on laskettu, ulommat osoitteet ja SPI-arvo korvataan arvoilla, joita käytetään ensimmäisen tietokoneen ja välitietokoneen välillä: c-addr-1 ulommalle lähdeosoitteelle, c-addr-2 ulommalle kohdeosoitteelle ja c-SPI-2 SPI:lle.
Vaiheessa 2 välitietokone suorittaa osoitteen ja SPI:n käännökset kuten esimerkissä 15 edellä jossa kuvattiin ESP. Tuloksena saati paketti on identtinen sen kanssa, jonka : :i ensimmäinen tietokone käytti AH:n eheystarkistusarvon laskemiseen, paitsi f mahdollisesti niiden kenttien osalta, joita AH ei kata (kuten Time-To-Live field, 3 alkutunnisteen tarkistussumma jne.). Siten AH:n eheystarkitusarvo on nyt oikea. Ϊ 20 Vaiheessa 3, toinen tietokone suorittaa AH:n standardi IPSec-käsittelyn. Paketti, joka | nyt kääritään auki tunnelista lähetetään verkkoasemalle X. Kuten edellisessä 3 esimerkissä, verkkoasemassa X oleva sovellus tuottaa tavallisimmin palautuspaketin joka on lähetettävä ensimmäiselle tietokoneelle. Paketti lähetetään toiselle • · tietokoneelle vaiheessa 4.
· · · · 25 * • · · « «
Pakettia vastaanottaessa toisen tietokoneen käsittely on sama kun esimerkissä, joka * · liittyi ESP:hen. Toinen tietokone laskee tunneloidun paketin AH:n eheystarkistusarvon, • · · jonka se lähettää mobiilipäätteelle. Eheystarkistusarvo lasketaan lähdeosoitteen s- ? • · * · addr-3 ulommasta kohdeosoitteesta, ulommasta kohdeosoitteesta s-addr-2 ja SPI j
JS
... 30 arvosta s-SPI-2.
• · · • · « · • · * • · • · '·* Vaiheessa 5, kun välitietokone vastaanottaa paketin se suorittaa paketin tavanomaisen * * * *;“* käännöksen. Uusi ulompi lähdeosoite on c-addr-2, ulompi kohdeosoite c-addr-1 ja SPI j "** arvo on c-SPI-1. Tässä pisteessä AH:n eheystarkistusarvo on väärä, minkä • · · 35 käännökset aiheuttivat.
• · · • · * • · ♦ · ** 24 118170 5 Kun mobiilipääte vastaanottaa paketin, se suorittaa tämän hetkisten ulompien osoitteiden ja SPI-kentän käännöksen toisen tietokoneen alkuperäisten tilalle: s-addr-3 on sitten ulompi lähdeosoite, s-addr-2 on sitten ulompi kohdeosoite s-addr-2 ja SPI ,'i arvo on s-SPI-2. Tämä uudelleen tuottaa toisen tietokoneen alkuperäisesti lähettämän paketin paitsi mahdollisesti ne kentät, joita AH ei kata. Tämä toimenpide palauttaa ίο AH:n eheystarkistuarvon alkuperäiseen oikeaan arvoon. AH:n eheystarkistus suoritetaan sitten näille kentille.
Avaintenvaihtohuomioita : 15 Edellä oleva esimerkki esitti välitietokoneen suorittamia vakio IPSec-käännöksiä. | IPSec SAt ja IPSec-käännöstaulukkomerkinnät voidaan asettaa manuaalisesti tai käyttämällä automatisoitua protokollaa, kuten Internet Key Exchange (IKE) protokollaa.
Koska turvayhdyskäytävä (toinen tietokone) on standardi IPSec-verkkoasema, se I
20 implementoi jotakin standardi avaintenvaihtoprotokollaa, kuten IKE:ä. Ensimmäinen | tietokone ja välitietokone voivat käyttää jotakin IKE:n modifioitua versiota tai jotain * muuta sopivaa automaattista avaintenvaihtoprotokollaa.
• · *· *· Avaintenvaihdon on näytettävä standardiavaintenvaihdolta toisen turvayhdyskäytävän ) 25 (toisen tietokoneen) tukemalle avaintenvaihtoprotokollalle, kuten IKE:Itä. Siten
ensimmäisen tietokoneen, välitietokoneen ja toisen tietokoneen suorittama yleisen J
• · ’;·*! avaintenvaihdon on saatava aikaan, ei ainoastaan salausavaimet, vaan myös IPSec f * · · käännöstaulukkomerkinnät. Yleisen avaintenvaihtoprotokollan ei pitäisi paljastaa IPSec | • · .
• · salausavaimia välitietokoneelle mahdollisten turvaongelmien välttämiseksi. f - iy
... 30 I
• · · ♦ ♦
Seuraavassa esitetään modifioidun IKE-protokollan esimerkki tällaisen protokollan • · toiminnallisuuden esittämiseksi keksinnön yhteydessä. Protokolla aikaansaa edellä • « · lii* kuvatun toiminnallisuuden. Erityisesti, välitietokoneella ei ole mitään tietoa • · *:*’ aikaansaaduista IPSec salausavaimista. Protokolla esitetään yleisellä tasolla esityksen ΐ * * · :···** 35 helpottamiseksi.
• · · • · · ;·-> • · •'f • · 118170 & 25 · ,Γ 5 Automaattista IKE-protokollaa käytetään ennen muita protokollia vahvasti autentikoidun session salausavainten saamiseksi IPSec ESP-ja AH-protokollia varten.
IKE suorittaa seuraavat toiminnot: (1) turvapolitiikkaneuvottelun (mitä algoritmejä tulee käyttää, elinikiä jne.), (2) Diffie-Hellman avaintenvaihdon, ja (3) vahvan käyttäjä/verkkoasema-autentikoinnin (tavallisimmin käyttämällä joko RSA:han ίο perustuvia allekirjoituksia tai jaettuja autentikointiavaimia). IKE on jaettu kahteen vaiheeseen: vaiheeseen 1 ja vaiheeseen 2. Vaihe 1 neuvottelee ja saa aikaan salausavaimet itse IKE-protokollan sisäistä käyttöä varten ja suorittaa myös käyttäjän tai verkkoaseman vahvan autentikoinnin. Vaihe 2 neuvottelee ja saa aikaan JPSec.in ? salausavaimet. Jos käytetään IPSec tunnelimenetelmää myös vaihe 2 neuvottelee sen 15 liikenteen, jota lähetetään käyttämällä tunnelia (nk. liikenteen selektorit).
IKE-kehykset tukevat useita ’’aliprotokollia” vaiheita 1 ja 2 varten. Vaaditut ovat i vaiheen 1 mukainen "päämoodi” ja vaiheen 2 mukainen ’’pikamoodi”. Näitä käytetään kuvaavina mutta keksintöä ei rajoiteta näihin IKE-aliprotokolliin. ? 20 Ä
Turvayhdyskäytävän (toisen tietokoneen) näkökulmasta, IKE-sessio näyttää tulevan J
kuvion 3 osoitteesta s-addr-2. Koska välitietokoneen palvelemia mobiilipäätteitä ?! saattaa olla minkälainen lukumäärä tahansa, välitietokoneen tulisi joko (1) hallinnoida • · s-addr-2 käännöstaulukon osoitetta varten käytettävää osoiteryhmää, siten antamalla 25 jokaiselle käyttäjälle eri ’’korvaava osoite” tai (2) käyttää samaa osoitetta (tai samaa rajoitettua osoitejoukkoa) ja varmistua siitä, että mobiilipäätteet tunnistetaan *·.·* käyttämällä jotain muita keinoja kuin niiden IP-osoitetta (IKE mahdollistaa sellaisia • · · .
tunnistustapoja, joten se ei ole ongelma).
• · • · ♦ · · .. . 30 Modifioitu IKE-protokolla on analoginen IPSec-käännöstaulukolle. SPI-arvojen sijasta • · · käytetään kuitenkin nk. IKE-evästeitä käännösindeksien sijasta. IKE-evästeet ovat • · * · olennaisesti IKE-sessiotunnisteita ja ovat siten analogisia IPSec SPI-arvojen kanssa, • · * t ·:.* mikä on toinen sessiomuoto tai tunnistus. On olemassa kahdenlaisia evästeitä: • « · • * *·;·* käynnistyseväste, jonka valitsee se verkkosema, joka käynnistää IKE-session ja ··· 35 vastauseväste, jonka valitsee se verkkoasema, joka vastaa session käynnistämisestä.
• · » • · · * * • · . 'f 26 118170 5 Protokollan olennaiset ominaisuudet ovat, (1) että se näyttää olevan aivan tavanomainen IKE-avaintenvaihto turvayhdyskäytävän näkökulmasta, (2) että IPSec käännöstaulukkomerkinnän muodostaa välitietokone protokollan toiminnan aikana, (3) että ensimmäinen tietokone saa kaiken tarvittavan informaation paketin käsittelylle ja (4) että välitietokone ei saa IP$ec:n salaisia sessioavaimia.
10
Protokollan yleiset vaiheet ovat: 1. Ensimmäinen tietokone käynnistää avaintenvaihtoprotokollan lähettämällä viestin välitietokoneelle. Tämä viesti on olennaisesti IKE-päämoodin käynnistysviesti, jota on muokattu hieman tämän sovelluksen vaatimuksia varten.
15 2. Välitietokone määrittää mille turvayhdyskäytävälle (toinen tietokone) tämä IKE- sessio tulee välittää ja aikaansaa myös alustavan IKE-käännöstaulukkoarvon " merkinnän, joka perustuu viestistä saatavaan informaatioon. 1 3. Turvayhdyskäytävä (toinen tietokone) vastaa IKE päämoodin käynnistysviestiin.
4, Välitietokone täydentää IKE-kartoituksen Joka perustuu vastausviestiin.
20 5. Modifioitu IKE-protokolla jatkuu koko IKE-päämoodin ajan (vaiheen 1 kommunikointi), jonka jälkeen seuraa pikamoodi (vaiheen 2 kommunikointi).
Standardi IKE-viestien laajennuksia käytetään ensimmäisen tietokoneen ja . , välitietokoneen välillä tämän modifioidun IKE-protokollan ylimääräisten päämäärien j * 1 * ** ’! saavuttamiseksi.
# · 25 • ·
#...# Kuviossa 4, IKE-sessio kuvataan viesti viestiltä. Seuraava teksti osoittaa jokaisen J
viestin sisällön ja kuinka ne käsitellään eri verkkoasemissa. Protokollassa on kuusi * 1 ♦ ' K- .·*·.1 päämoodiviestiä, jotka nimetään mml, mm2, ..., mm6 ja kolme pikamoodiviestiä, ^ * · jotka nimetään qm1, qm2 ja qm3.
30 ♦ · ♦ · .***. Kuvio 5 kuvaa IKE-käännöstaulukkomerkintää, joka liittyy modifioituun IKE- • 1 · > avaintenvaihtoon, joka suoritetaan. Lihavoidulla kirjoitetut arvot jokaisessa vaiheessa • · · ,··1. lisätään tai muutetaan tässä vaiheessa tekstissä kuvatun käsittelyn tuloksena.
* ♦ * · · .
··· ··’? ; : ' 1 35 Ensimmäisen tietokoneen ja välitietokoneen välistä yhteyttä varten IKE-
t · I
1' käännöstaulukko-osa on seuraava (kenttänimi kuviossa 5 annetaan suluissa): 27 118170 5 · paikallinen ja etäinen IP-osoite (c-addr-1, c-addr2) r • käynnistys- ja vastauseväste (c-icky, c-rcky) • ensimmäisen tietokoneen IKE-tunnistus (c-userid, esim. joe@netseal.com) IKE käännöstaulukko-osa, joka on välitietokoneen ja toisen tietokoneen välistä yhteyttä lo varten on seuraava (kenttänimi kuviossa 5 annetaan suluissa): .1
".V
• paikallinen ja etäinen IP-osoite (s-addr-2, s-addr3) • käynnistyseväste ja vastausväste (s-icky, s-rcky) t- : ..-¾
Lisäksi, välitietokone ja/tai ensimmäinen tietokone voi ylläpitää muutakin tietoa. | • -.'ϊφ- - 15 . . .
Avaintenvaihto käynnistyy luomalla käynnistyseväste ja lähettämällä nolla- J
vastauseväste toiselle tietokoneelle. Vastauseväste luodaan toisessa tietokoneessa ja IP-osoitteiden ja IKE-evästearvojen yhdistäminen suoritetaan välitietokoneessa. ! Käännöstaulukkoa käytetään IKE-pakettien modifioimiseksi lennossa muokkaamalla 20 ulkoisia IP-osoitteita ja mahdollisesti IKE-pakettien IKE-evästeitä.
Joko modifioitua IKE-protokollaa ensimmäisen tietokoneen ja välitietokoneen välillä . . muokataan siten, että IKE-avaimet toimitetaan ensimmäiseltä tietokoneelta • * · • · · * välitietokoneelle IKE-pakettien salauksen purkamiseksi ja muokkaamiseksi tai • **· 25 vaihtoehtoisesti modifitoitua IKE-protokollaa ensimmäisen ja välitietokoneen välillä • · ' ·# ··. muokataan siten, että IKE-avaimia ei lähetetä ensimmäiseltä tietokoneelta • · * välitietokoneelle IKE-pakettien salauksen purkamiseksi ja modifioimiseksi, vaan * ·· • · .*··. ensimmäinen tietokone tekee IKE-pakettien muokkauksen siten, että välitietokone • · ·*· pyytää näitä modifiointeja. Jälkimmäinen vaihtoehto esitetään seuraavassa 30 esimerkissä, koska se on turvallisempi kuin ensimmäinen vaihtoehto.
• · • · · • · • · ··· . )·. Ylimääräistä informaatiota, kuten käyttäjätietoa ja SPI.n muutospyyntöjä lähetettäväksi * * · ensimmäisen tietokoneen ja välitietokoneen välillä lähetetään liittämällä ylimääräinen • φ tieto standardi IKE-viesteihin. IKE-standardi 11a on viestin koodaussääntöjä, jotka • · .1” 35 osoittavat määrätyn pituuden, siten lisätty ylimääräinen tieto voidaan erottaa itse IKE- • * · • · viestistä. Ylimääräiset tietokentät edullisesti salataan ja autentikoidaan, esimerkiksi 28 118170 5 käyttämällä ensimmäisen tietokoneen ja välitietokoneen jakamaa salaisuutta. Tämän prosessin yksityiskohdat eivät ole relevantteja keksinnölle.
Ylimääräistä informaatiota jokaisessa IKE-viestissä kutsutaan viestin "lopuksi" λ seuraavassa. ^ 10 IKE-viestit koostuvat IKE-alkutunnisteesta, johon sisältyy evästekentät ja viestin tunnuskenttä (ID-kenttä), sekä Payloadeista (hyötyinformaatiosta). Payloadilla ' (hyötyinformaatiolla) on tyyppi ja siihen liittyvää tietoa.
is Kuvio 4 koskee pakettien reitittämisesimerkkiä keksinnön mukaisesti ottamalla J
huomioon IPSec-turvayhteyden asettaminen avainten jakelemiseksi. Kuten edellisessä kuviossa 2, sessio alkaa lähettämällä paketti asiakastietokoneelta (ensimmäinen tietokone) palvelimelle (välitietokone).
20 Ensimmäinen tietokone aloittaa avaintenvaihdon. Siten kuvion 4 vaiheessa 1
S
ensimmäinen tietokone laatii mm1:en. Viestin IP-alkutunniste käsittää seuraavat arvot: I
- IP-lähdeosoite 195.1.2.3 (c-addr-1) 4 - IP-kohdeosoite 212.90.65.1 (c-addr-2) , 1 . . ^ • · · · y * ·· ] 25 IKE-alkutunniste sisältää seuraavat arvot (kuvion X vaihe 1): 1 *«··· - Käynnistyseväste: CKY1 (c-icky) • · /;
V*! - Vastauseväste: 0 (c-rcky) I
- Viesti ID: 0 • ! · • · φ ·· >; ;.t.4 30 Viesti sisältää seuraavat hyötysisällöt: - Turvayhteyden (SA) hyötysisältö, joka sisältää ensimmäisen tietokoneen • · tarjoaman IKE:n ensimmäisen vaiheen turvapolitiikan, ···..·· 'lii - Viesti saattaa sisältää lisää hyötysisältöjä, kuten myyjän tunnistussisältöjä - • · *:*’ Vendor Identification (VID) payloads, sertifikaattipyyntöjä, vastauksia jne. j ··· S...J 35 - VID-hyötysisältöä voidaan käyttää osoittamaan, että ensimmäinen tietokone ·*·*' 4 ·* ·*’ tukee tässä kuvattua protokollaa. % I ' 118170 29 5 Viestin loppuosa sisältää seuraavaa tietoa: - Käyttäjätunnuksen tyyppi ja arvo - c-userid-kenttä. Näitä välitietokone käyttää sen turvayhdyskäytävän valitsemiseksi, jolle tämä sessio välitetään. Tunnustyyppi voi olla mikä vain IKE-tyyppi, mutta lisätyyppejä voidaan määritellä. Vaihtoehtona tälle kentälle on suoraan osoittaa ίο turvayhdyskäytävä välittämistä varten. On olemassa myös muita vaihtoehtoja, mutta ne eivät ole olennaisia keksinnölle.
Vaiheessa 2, välitietokone ottaa vastaan mm1:n. Välitietokone tutkii viestin ja muodostaa alustavan IKE-käännöstaulukkomerkinnän. Kuvion 5 vaihe 1 kuvaa 15 alustavan merkinnän sisällöt. C-userid-kenttä lähetetään mml :n loppuosassa. J
• -’s . 4 Välitietokone määrittää sitten, mille turvayhdyskäytävälle tämä IKE-sessio välitetään.
Määritys voi perustua mihin vain saatavilla olevaan tietoon, staattiseen asetukseen, kuormitustilanteeseen tai olemassa oleviin saatavuusvaatimuksiin. Esitetty 20 yksinkertainen menetelmä on käyttää tunnistusinformaatiota mm1:n loppuosassa ja 4 tutkia ensimmäiset yhteensopivat tunnistustyyppi ja arvo taulukosta. Esimerkki sellaisesta taulukosta on esitetty kuviossa 6.
· **· Kuvion 6 tunnistusyhdistämistaulukko on eräs menetelmä turvayhdyskäytävän * ····· * [ 25 valitsemiseksi, joka sopii yhteen sisääntulevaan mobiilipäätteeseen. Tunnistustaulukko voisi tässä esimerkissä olla tunnistustyyppi/arvo parien tilattu lista, joka sopii yhteen • · annetun turvayhdyskäytävän osoitteeseen. Kun sisääntulevan mobiilipäätteen tunnus ? * * * **..* sopii taulukon tunnukseen, käytetään vastaavaa turvayhdyskäytävää. Esimerkiksi ? • · * · ^ ’** john.smith@netseal.com sopisi yhteen taulukon ensimmäisen rivin kanssa, s.o., ;v> 30 turvayhdyskäytävä 123.1.2.3, kun taas joe@netseal.com sopisi yhteen toisen rivin • « kanssa, s.o., turvayhdyskäytävä 103.6.5.4. Tunnustyyppeihin sisältyy vain IKE- **.* protokollaa varten määritellyt tunnustyypit ja ne voivat sisältää myös muitakin tyyppejä, 4 • * * kuten työntekijänumeroita jne.
% » • * ··· -¾.
* ' £ ··· 35 Muita menetelmiä turvayhdyskäytävän määrittämiseksi voidaan käyttää. Eräs sellainen ·* ** : ·* menetelmä mobiilipäätteelle on suoraan osoittaa tietty turvayhdyskäytävä 30 118170 5 käytettäväksi. Mobiilipääte voi myös osoittaa ryhmän turbayhdyskäytäviä, joista käytetään yhtä. Täsmälliset yksityiskohdat eivät ole olennaisia keksinnölle.
Paitsi turvayhdyskäytävän osoitteen määrittäminen, välitietokone määrittää mitä osoitetta se käyttää viestintään itsensä ja toisen tietokoneen välillä. Samaa osoitetta, ίο jota käytetään viestintään ensimmäisen ja välitietokoneen välillä voidaan käyttää, mutta voidaan käyttää myös uutta osoitetta. Osoite voidaan määrittää käyttämällä samanlaista taulukkoa kuin kuviossa 6 tai kuvion 6 taulukkoa voidaan laajentaa ? sisällyttämään tämä osoite. ΐ - k is Välitietokone tuottaa sitten oman käynnistysevästeen. Tämä tehdään jotta mainitut '? kaksi session tunnistustilaa voitaisiin pitää kokonaan erillään, vaikkakin sama · käynnistyseväste saattaa läpäistä sellaisenaan.
Näiden määritysten jälkeen muokataan alustava käännöstaulukkomerkintä. Kuvion 5 | 20 vaihe 2 kuvaa merkintäsisällöt tässä vaiheessa. i sr
•V
.-¾
Alkuperäiset IP-alkutunnistekentät muokataan seuraavasti (kuvion 4 vaihe 2): .
- IP-lähdeosoite 212.90.65.1 (s-addr-2) 5 i,*·· - IP-kohdeosoite 103.6.5.4 (s-aadr-3) · t i, 25 IKE-alkutunniste muokataan seuraavalla tavalla: ^ • · · - Käynnistyseväste: CKY2 (s-icky) • · :.**i - Vastauseväste: 0 (s-rcky) • · · : - Viesti ID: 0 30 • * ·
Viestin loppu poistetaan. VID-hyötysisältö, joka tunnistaa tuen tälle muokatulle • · **:·’ protokollalle poistetaan myös. mm1 välitetään sitten toiselle tietokoneelle.
• • · · »*· ···
Vaiheessa 3, toinen tietokone vastaa mm2:lfa. Viestin IP-alkutunniste sisältää (j. 35 seuraavat arvot (kuvion 4 vaihe 3): * IP-lähdeosoite: 103.6.5.4 (s-addr-3) ' ' "St 31 118170 5 - IP-kohdeosoite 212.90.65.1 (s-addr-2) IKE-alkutunniste sisältää seuraavat arvot: - Käynnistyseväste: CKY2 (s-icky) - Vastauseväste: CKY3 (s-rcky) ίο - Viesti ID: 0
Viesti sisältää seuraavat hyötysisällöt: i - Turvayhteyden (SA) hyötysisältö. Tämä on vastaus ensimmäisen tietokoneen tarjoukselle ja osoittaa mikä turvakonfiguraatio on hyväksyttävä 15 toiselle tietokoneelle (tämä skenaario olettaa menestystä, joten mahdollista |§ virheviestiä ei ole otettu huomioon).
- Mahdollisia valinnaisia IKE-hyötysisältöja kuten VI D-hyötysi säl I
sertifikaattipyynnöt/vastaukset jne. ; f 20 Ei ole viestin loppuosaa. 5
Vaiheessa 4, välitietokone ottaa vastaan mm2: n. Välitietokone päivittää vastaanotettuun viestiin perustuvan IKE-käännöstaulukon. Kuvion 5 vaihe 3 kuvaa ·*· ♦ *.*" käännötaulukon sisällöt tässä vaiheessa.
·«··· * · 25 ····· \mm' Välitietokone tuottaa oman vastausevästeensä CKY4, ja päivittää taas • · ***** käännöstaulukon. Vaihe 4 kuviossa 5 kuvaa merkinnän tässä vaiheessa. Tämän • · • · « _·, *:.” vaiheen jälkeen käännöstaulukko merkintä on täydellinen ja osoite- ja • · ***** evästekäännökset suoritetaan kuten vaiheessa 1-4 seuraaville viesteille.
·· « 30 • » ♦ ♦ · Käännetty viesti sisältää seuraavat IP-alkutunnistekentät (kuvio 4, vaihe 4): • · *·[ - IP-lähdeosoite: 212.90.65.1 (c-addr-2) • * · *;;;* - IP-kohdeosoite 195.1.2.3 (c-addr-1) x • · ··· • Φ · 35 IKE-alkutunniste sisältää seuraavat kentät: ♦ · φ ϊ V - Käynnistyseväste: CKY1 (c-icky) 32 ' 118170 5 - Vastauseväste: CKY4 (c-rcky)
Viesti sisältää seuraavat hyötysisällöt: - Toisen tietokoneen lähettämä SA-hyötysisältö - Mikä tahansa toisen tietokoneen lähettämä mahdollinen hyötysisältö io - VID-hyötysisältö voidaan lisätä osoittamaan tukea tälle muokatulle protokollalle ensimmäiselle tietokoneelle.
Lisätään viestin loppuosa ja sisältää seuraavan tiedon: - Valitun turvayhdyskäytävän osoite- ja tunnistetietoa (toinen tietokone). Tätä j 15 tietoa asiakastietokone voi käyttää asianmukaisen autentikointi-informaation,
kuten RSA avainten, valitsemiseksi. I
Viesti välitetään sitten ensimmäiselle tietokoneelle. ..
20 Vaiheessa 5, ensimmäinen tietokone muodostaa mm3:n. Viesti sisältää seuraavat hyötysisällöt: - Avaintenvaihdon (IKE) hyötysisällön, joka sisältää tämän tietokoneen Diffie- J Hellman avaintenvaihtotietoa.
• · - Nonce (NONCE) hyötysisällön, joka sisältää ensimmäisen tietokoneen ·····..
• 25 valitseman sattumanvaraisen numeron.
• 1 1 · · 'i ]<φ1 - Mahdolliset valinnaiset hyötysisällöt. ·' • 1 • 1 * 1 · • · * 1 1 φ
Viesti lähetetään välitietokoneelle. ? » · ...s * 1 :? ;Vi 30 Vaiheessa 6, mm3 välitetään toiselle tietokoneelle. Viestin sisältöjä ei vaihdeta, ainoastaan IP-alkutunnisteen osoitteet ja IKE-evästeet, sillä tavalla kun on kuvattu « 1 *·1 vaiheissa 1-4.
. :;-i • · · v! • « · . -j • · 1 .· 'li.
» 1 **;·1 Vaiheessa 7, toinen tietokone vastaanottaa mm3 ja vastaa mm4:llä. Viesti sisältää • · 1 35 seuraavat hyötysisällöt: * 1 · • · · • » • · ϊ,ΐ1 :¾ 33 118170 5 - Avaintenvaihdon (KE) hyötysisällön, joka sisältää toisen tietokoneen Diffie- ·.*'
Hellman avaintenvaihtotietoa.
- Nonce (NONCE) hyötysisällön, joka sisältää toisen tietokoneen valitseman sattumanvaraisen numeron.
- Mahdolliset valinnaiset IKE-hyötysisällöt. , j 10
Vaiheessa 8, mm4 välitetään ensimmäiselle tietokoneelle.
Vaiheessa 9, ensimmäinen tietokone laatii mm5:n, joka on ensimmäinen salattu viesti tässä sessiossa. Kaikki sen jälkeiset viestit salataan käyttämällä IKE-sessioavaimia, 15 jotka on saatu aikasemmasta Diffie-Hellman-avaintenvaihdosta (viestit mm3 ja mm4) hash-toimenpiteiden (tiiviste-toimenpiteiden) avulla, kuten on kuvattu IKE- ί spesifikaatiossa. Huomaa, että välitietokoneella ei ole näitä avaimia eikä siten voi tutkia minkään sen jälkeisen IKE-viestin sisältöä. Itse asiassa välitietokoneella ei ole mitään etua verrattuna vihollishyökkääjään, jos se yrittää tulkita IKE-liikenteen. Sitä 20 vastoin välitietokone epäsuorasti modifioi joitakin kenttiä IKE-viesteissä lähettämällä muokkauspyynnön IKE-viestin loppuosassa ensimmäiselle tietokoneelle, joka tekee pyydetyt muokkaukset ennen IKE-salauskäsittelyä.
' ;y :.**i Viesti sisältää seuraavat hyötysisällöt joita ovat: 25 - Tunnistuksen (ID) hyötysisältö, joka tunnistaa ensimmäisen tietokoneen * * toiselle tietokoneelle. Tämä tunnistus voi olla sama kun mml:n loppuosassa Ϊ • · · * * ’;··] lähetetty tunnistus, mutta voi poiketa siitä. Näillä kahdella tunnistuksella on | • * · ‘l" eri tarkoitukset: mm1:n loppuosan tunnistusta (c-userid) käytetään · · ·.
'*** valitsemaan turvayhdyskäytävä IKE-sessiolle (toinen tietokone), kun taas J
M
... 30 toinen tietokone käyttää ID-hyötysisältöä tässä viestissä IKE-autentikointi- 1 • · · λ • · tarkoituksiin, esimerkiksi asianmukaisten RSA-autentikointiavainten • · »4 valitsemiseksi. ; • -.
• * * *;;;* - Allekirjoitus (SIG) tai hash (HASH) hyötysisältö, joka toimii autentikaattorina.
* * '·;** Allekirjoitushyötysisältöä käytetään jos RSA:han tai DSS:ään perustuvaa * * * ;...: 35 autentikointia käytetään, kun taas hash-hyötysisältöä käytetään jaetussa • * · i avainten autentikoinnissa. IKE:ssä ei ole muita autentikointimenetelmiä ja 34 118170 ;|j 5 IKE voidaan myös laajentaa uusiin autentikointimenetelmiin. Nämä eivät ole olennaisia keksinnölle ja seuraava teksti olettaa RSA-autentikoinnin käyttöä (s.o., allekirjoituksen hyötysisällön käyttöä).
- Mahdolliset valinnaiset IKE-hyötysisällöt.
ίο Viestin loppuosa sisältää seuraavaa tietoa: - SPI-arvo, jota ensimmäinen tietokone haluaa käyttää IPSec:illä suojattujen viestien vastaanottamiseksi välitietokoneelta, s.o., kuvion 3 mukaisen IPSec- 1 '· ? käännöstaulukon c-SPI-1 arvo. Tässä voitaisiin lähettää useampi kuin yksi SPI-arvo, mutta yksinkertaisuuden vuoksi seuraavassa esityksessä · 15 oletetaan, että ainoastaan yksi SPI on välttämätön (s.o. ainoastaan yhtä SA:ta käytetään IPSec-liikenteen käsittelyyn). On helppo laajentaa esimerkki useamman SPI:n käyttöön.
Vaiheessa 10, mm5 välitetään toiselle tietokoneelle. ·
20 .J
Välitietokone poistaa viestin loppuosan ja suorittaa IKE-käännöksen, josta keskusteltiin f c aiemmin ja välittää sitten viestin toiselle tietokoneelle. j • · '-j • * ·
’· Vaiheessa 11, toinen tietokone vastaanottaa mm5-viestin ja autentikoi käyttäjän (tai T
• · · · · 25 verkkoaseman riippuen siitä mitä tunnistustyyppiä käytetään). Olettaen, että j * · · · · - j, autentikointi etenee, toinen tietokone etenee autentikoiden itsensä ensimmäiselle • · tietokoneelle. ^ • · · 's • · · • * ',·
• * * T
• · • * mm6 viesti sisältää seuraavat hyötysisällöt: 30 - Tunnistuksen (ID) hyötysisällön, joka tunnistaa toisen tietokoneen • · !··’. ensimmäiselle tietokoneelle.
♦ · T
·. - Allekirjoituksen (SIG) hyötysisällön (tässä oletetaan RSA autentikointia).
• · * - Mahdollisia valinnaisia IKE hyötysisältöjä.
• · • * *·· ··· *..·* 35 Vaiheessa 12, välitietokone vastaanottaa mm6:n. Välitietokone ei muuta itse viestiä ·· · • · · : ·' mutta lisää loppuosan, jossa on seuraavaa tietoa: 35 118170 5 - Se SPI-arvo, jonka välitietokone haluaa ensimmäisen tietokoneen tarjoavan toiselle tietokoneelle qm1-viestissä. Koska välitietokone ei pääse IKE- ? viestien sisältöihin, tämä muunnospyyntö tehdään käyttämällä viestin loppuosaa (katso vaiheen 9:n keskustelua). Lähetetty SPI-arvo sopii yhteen kuvion 3 IPSec-käännöstaulukon s-SPI-2 kentän kanssa, ίο - Se SPI-arvo, jonka välitietokone haluaa ensimmäisen tietokoneen käyttävän itse viesteille. Tämä vastaa kuvion 3 IPSec-käännöstaulukon c-SPI-2-kenttää.
Tuloksena saatu viesti välitetään ensimmäiselle tietokoneelle.
15 .:1
Vaiheessa 13, ensimmäinen tietokone rakentaa qm1:n, joka sisältää seuraavat IKE-hyötysisällöt: ·.$ - Hash (HASH) hyötysisältö, joka toimii viestin autentikaattorina.
- Turvayhteyden (SA) hyötysisältö, joka sisältää ensimmäisen tietokoneen 20 tarjoaman IKE:n toisen vaiheen turvapolitiikan, s.o. jonka IPSec & turvapolitiikka tarjoaa. SA-hyötysisältö sisältää SPI-arvon, joka on osoitettu i ensimmäiselle tietokoneelle mm6 viestissä, s.o., s-SPI-2 kuviossa 3. ? - Valinnaisesti, avaintenvaihdon (KE) hyötysisältö, jos uusi Diffie-Hellman • · · ** avaintenvaihto suoritetaan vaiheessa 2 (tämä riippuu SA-hyötysisällön [ 25 sisällöistä).
• ♦ · · · · .· 1 • · ·Γ'ν ...t - Nonce (NONCE) hyötysisältö, joka sisältää sattumanvaraisen arvon, jonka - * 1 !'1. ensimmäinen tietokone valitsee.
• 1 1 * ·· ,···'. - Valinnaisesti kaksi tunnistuksen (ID) hyötysisältöä, jotka osoittavat ne IPSec- ^ * · liikenneselektorit, jotka ensimmäinen tietokone ehdottaa IPSec 30 tunnelimenetelmän SA:lle. Jos IPSec-kuljetusmenetelmää käytetään, nämä • · .···. eivät ole välttämättömiä mutta niitä voidaan kuitenkin käyttää. Ne voidaan • 1 1 *. myös jättää pois jos käytetään IPSec tunnelimenetelmää.
• · · * 1 1 • · · 1 · • · • · .. -ä \\\ IKE-alkutunniste on sama kuin aiemmin, paitsi että viestin ID-kenttä nyt sisältää non- f • · "l-f· 35 zero 32-bitin arvon, joka toimii toisen vaiheen session tunnistajana. Tämä tunnistin jää • 1 1 : ·1 vakioksi koko pikamoodivaihdon ajaksi.
36 118170 5 Viesti lähetetään välitietokoneelle.
Vaiheessa 14, välitietokone välittää qm1 viestin toiselle tietokoneet le.
Vaiheessa 15, toinen tietokone tarkistaa turvapolitiikkatarjoukset ja muun tiedon, joka ίο on sisällytetty qm1 viestiin ja määrittää mikä turvapolitiikkatarjous sopii yhteen sen oman turvapolitiikan kanssa (jos mikään turvapolitiikoista ei täsmää, lähetetään virheilmoitus).
Toinen tietokone vastaa qm2 viestillä, joka sisältää seuraavat hyötysisällöt:
15 - Hash (HASH) hyötysisällön, joka toimiin viestin autentikaattorina. I
- Turvayhteyden (SA) hyötysisällön, joka osoittaa toisen tietokoneen | valitseman turvapolitiikkatarjouksen. Viesti sisältää myös sen SPI-arvon, jonka toinen tietokone haluaa käyttää vastaanottaessaan IPSec:illä suojattuja viestejä. SPI-arvo sopii yhteen taulukon 3 IPSec-kännöstaulukon 20 s-SPI-3;n kanssa. ή - Valinnaisesti, avaintenvaihdono (KE) hyötysisällön, jos uusi Diffie-Hellman avaintenvaihto suoritetaan vaiheessa 2. 4 - Nonce (NONCE) hyötysisällön, joka sisältää sattumanvaraisen arvon, jonka • · • t · *· " toinen tietokone valitsee.
• » « » · 25 - Jos ensimmäinen tietokone lähetti tunnistus (ID) hyötysisältöjä, toinen • · * * · ]„* tietokone lähettää myös tunnistushyötysisältöjä.
• · • · ·>;* • · · • · *
Vaiheessa 16, välitietokone välittää qm2 viestin ensimmäiselle tietokoneelle. Ϊ
• · —' O
• ♦ • · · .•S' 30 Vaiheessa 17, ensimmäinen tietokone rakentaa qm3 viestin, joka sisältää seuraavia • · hyötysisältöjä: ,| - Hash (HASH) hyötysisällön, joka toimiin viestin autentikaattorina.
• · · • · · ··· • · *:* Seuraava tieto lähetetään viestin loppuosassa: • · · 35 - Toisen tietokoneen lähettämä SPI arvo qm2 viestissä. Tämä lähetetään ·· « : V tässä, koska välitietokone ei osaa purkaa qm2 viestin salausta ja katsoa 37 "-! 118170
Vi 5 SPI:tä sieltä. SPI-arvo sopii yhteen taulukon 3 IPSec käännöstaulukon s- SPI-3:n kanssa.
Vaiheessa 18, välitietokone ottaa vastaan qm3:n ja lukee s-SPI-3 arvon viestin loppuosasta. Kaikki IPSec-käännöstaulukon rakentamiseen vaadittu tieto on nyt :: ίο annettu ja merkintä voidaan lisätä käännöstaulukkoon. Varsinkin tietokentät ovat seuraavia: - c-addr-1: sama kuin IKE-session c-addr-1 (195.1.2.3) - c-addr-2: sama kuin IKE-session c-addr-2 (212.90,65.1) - c-SPI-1: vastaanotettu mm5 viestin loppuosassa ensimmäiseltä 15 tietokoneelta.
- c-SPI-2: välitietokoneen valitsema, lähetetty ensimmäiselle tietokoneelle mm6 viestin loppuosassa.
- s-addr-2: sama kuin IKE-session s-addr-2 (212.90.65.1 tässä esimerkissä \T3 voi olla eri kuin c-addr-2).
20 - s-addr-3: sama kuin IKE-session s-addr-3 (103.6.5.4) ^ - s-SPI-2: välitietokoneen valitsema, lähetetty ensimmäiselle tietokoneelle mm6 viestin loppuosassa. ; • » » ** " - s-SPI-3: toisen tietokoneen lähettämä qm2:ssa ensimmäiselle tietokoneelle, \ joka lähettää sen välitietokoneelle qm3 viestin loppuosassa.
• · ... 25 • · s, • * ·...£ V*. Välitietokone välittää qm3 viestin toiselle tietokoneelle, joka täydentää IKE- | • · · <.r I..‘ avaintenvaihdon ja IPSec-käännöstaulukon asettamisen.
• * * yrr • m • · · IPSec-salausavaimet, jotka on aikaan saatu käyttämällä edellä kuvattua modifioitua • · .···. 30 IKE-avaintenvaihtoa on joko johdettu Diffie-Hellman avaintenvaihdosta, joka on * * * ·, suoritettu IKE-päämoodissa tai (valinnainen) Diffie-Hellman avaintenvaihdosta, joka on II· • · · suoritettu pikamoodissa. Molemmissa tapauksissa välitietokoneella ei ole mitään S · "* pääsyä jaettuun salaisuuteen, joka on aikaan saatu käyttämällä Diffie-Hellman • · *···* algoritmiä. Tosiasiassa välitietokoneella ei ole mitään etua verrattuna i · · : ** 35 sattumanvaraiseen vihamieliseen hyökkääjään.
38 118170 5 Edellä oleva esitys yksinkertaistettiin ja tehtiin esimerkinomaiseksi esityksen selvyyden ·.· lisäämiseksi. On useita asioita, joita ei mainittu, mutta ne eivät ole olennaisia keksinnölle.
X
Jotkut näistä asioista ovat seuraavat: 10 - Vaihe 1 käytti päämoodia. Mitä vain muuta IKE-vaiheen 1 vaihtoa voidaan käyttää; tämä muuttaa protokollan yksityiskohtia mutta ei sen olennaisia ideoita.
- On muita lähestymistapoja kuin tässä esitetty. Eräs lähestymistapa on, että 15 ensimmäinen tietokone toimittaa IKE-avaimet välitietokoneelle niin, että toinen tietokone voi modifoida viestin vaaditut kentät (nimittäin SPI-arvot). - £
- Esityksessä oletetaan, että ensimmäinen tietokone käynnistää IKE-vaihdon. J
Vastakkainen suunta on myös mahdollinen mutta vaatii enemmän huomioon otettavia asioita. I
20 - IKE.n commit bit ominaisuutta ei käytetä. Sen lisääminen on helppoa. g λ - Turvayhdyskäytävän valinta perustuu taulukkoarvoon, joka on tunnistettu '· \ tunnuksen tyyppiarvoparilla, joka on ensimmäisen tietokoneen lähettämä. j . -i
Muita mekanismeja on helppo implementoida.
• · *·'*: - Esityksessä oletetaan menestyksekästä IKE-avaintenvaihtoa.
* 25 Virhetapaukset on helppo käsitellä.
- Vaiheen 1 politiikkatarkistus (kun käsitellään mml ja mm2 viestejä) ei • * *;·'! perustu IKE vastapuolen tunnukseen. Tämä ei ole pääasia, koska vaiheen 1 f • · · turvapolitiikka voi olla riippumaton vastapuolesta, ilman että se rajoittaa • · ' \ *“ käyttökelpoisuutta.
;v> 30 - Vaihe 1 on edellytys protokollan käyttämiselle tässä esimerkissä. Tämä a » [·.*. voidaan helposti vaihtaa siirtämällä joitakin’’loppuosa-asioita” vaiheeseen 2.
• · - Protokolla aikaan saa SA:n parin, yhden kummallekin suunnalle ja hallinnoi näiden SA:iden SPI-arvomuutoksia. On helppo laajentaa tämä kattamaan ♦ · T SA-kimput, joissa on enemmän kuin yksi SA, s.o. SA:ita joita käytetään • ·· 35 peräkkäin (ESP jonka jälkeen on AH, esimerkiksi). Tämä vaatii enemmän ·· · • φ · ♦ · • · 39 118170 5 kuin yhden SPI:n kummallekin suunnalle mutta on helppo lisätä kuvattuun protokollaan.
Keksintö ei koske avaintenvaihtoprotokollan yksityiskohtia. Esitetty prosessi yhdelle - sellaiselle protokollalle on annettu esimerkkinä, useita muita vaihtoehtoja on olemassa. io Keksintö ei myöskään koske IKE-avaintenvaihtoprotokollaa: muita avaintenvaihtoprotokollia on olemassa ja samantapaisia ideoita voidaan soveltaa käyttämällä niitä keksinnön yhteydessä.
A
• t • · · • ·· • · ··««· » t • · · · · * · • · · • · • · * Φ · * · .'.i
« · · · J
• ·· ‘"4 * · · ":λ • * 'l • · * * * ·· · • · · * · • · · • · • · ··* • · « • · · : • · · • · · • · • · ··· j • · · * ··* ·· · * · · » · • · .. j? t $
Claims (20)
1. Menetelmä viestin turvalliseksi välittämiseksi yhdeltä tietokoneelta toiselle i tietokoneelle välitietokoneen kautta tietoliikenneverkossa, tunnettu siitä, että a) muodostetaan viesti ensimmäisessä tietokoneessa tai tietokoneessa, jota ίο ensimmäinen tietokone palvelee, ja viimeksi mainitussa tapauksessa lähetetään viesti ensimmäiselle tietokoneelle, b) ensimmäisessä tietokoneessa muodostetaan turvallinen viesti antamalla viestille ainutlaatuinen tunnus ja kohdeosoite, c) lähetetään viesti ensimmäiseltä tietokoneelta välitietokoneelle, ^ 15 d) käytetään mainittua kohdeosoitetta ja ainutlaatuista tunnusta osoitteen löytämiseksi toiselle tietokoneelle, e) korvataan tämänhetkinen kohdeosoite sillä osoitteella, joka löydettiin toiselle '1 tietokoneelle, f) korvataan ainutlaatuinen tunnus toisella ainutlaatuiselle tunnuksella, ,1 -4 20 g) välitetään viesti toiselle tietokoneelle.
2. Patenttivaatimuksen 1 mukainen menetelmä, tunnettu siitä että viestin turvallinen välittäminen suoritetaan käyttämällä IPSec protokollia, joilloin turvallinen * · *V‘: viesti muodostetaan vaiheessa b) käyttämällä IPSec yhteyttä ensimmäisen *!2: 25 tietokoneen ja toisen tietokoneen välillä, joka muodostetaan tähän tarkoitukseen menetelmässä. » · · • 1 ·-• · * 1 1 • · ♦ · 1
*· 3. Patenttivaatimuksen 1 mukainen menetelmä, tunnettu siitä että viestin • 1 1 • 1 *···' turvallinen välittäminen suoritetaan käyttämällä SSL- tai TLS-protokollia. 30 ·· · • ♦ ·
4. Patenttivaatimuksen 2 mukainen menetelmä, tunnettu siitä että edeltävä • · • ♦ *:1 avaintenjakelu komponenteille IPSec yhteyden muodotamiseksi suoritetaan manuaalisesti. ΐ • · · • · • · • · 1 • ; • · · f · * · ' ··1 -:¾ · 1 • · · 2 • · 4 1 118170 41 : ' · -ϋ
5. Patenttivaatimuksen 2 mukainen menetelmä, tunnettu siitä, että edeltävä avaintenjakelu IPSec yhteyden muodostamiseksi suoritetaan automaattisella avaintenvaihtoprotokollalla.
6. Patenttivaatimuksen 5 mukainen menetelmä, tunnettu siitä, että automaattinen ίο avaintenvaihtoprotokolla ensimmäisen tietokoneen ja toisen tietokoneen välillä suoritetaan modifioidun IKE-avaintenvaihtoprotokollan avulla ensimmäisen tietokoneen ja välitietokoneen välillä ja standardi IKE-avaintenvaihtoprotokollalla välitietokoneen ja toisen tietokoneen välillä. "Όί is 7. Patenttivaatimuksen 2,5 tai 6 mukainen menetelmä, tunnettu siitä, että viesti, :¾ •"ti joka lähetetään ensimmäiseltä tietokoneelta vaiheessa c) on paketti ja sisältää viestidataa, sisemmän IP-alkutunnisteen, joka sisältää todelliset lähettäjän ja vastaanottajan osoitteet, ulomman IP-alkutunnisteen, joka sisältää ensimmäisen tietokoneen ja välitietokoneen osoitteet, ainutlaatuisen tunnuksen ja muita ; rj 20 turvaparametrejä. 4
8. Jonkin patenttivaatimuksen 2,5 tai 6 mukainen menetelmä, tunnettu siitä, että ? IPSec-yhteys on yksi tai useampi turvayhteys (SA) ja ainutlaatuinen tunnus on yksi tai useampi SPI-arvo ja muihin turvaparametreihin kuuluu sarjanumero(t). ·:··: 25
9. Jonkin patenttivaatimuksen 1-8 mukainen menetelmä, tunnettu siitä, että :\i yhteensopivuus vaiheessa d) suoritetaan käännöstaulukon avulla^ joka on tallennettu välitietokoneelle. • « « • · 1 : 30 10. Jonkin patenttivaatimuksen 1-9 mukainen menetelmä, tunnettu siitä, että ··· välitietokone muuttaa sekä osoitteen että SPI-arvon vaiheessa e) ja vast. f). · · • · · • · ·
11. Jonkin patenttivaatimuksen 1-10 mukainen menetelmä, tunnettu siitä, että .···. ensimmäinen tietokone , ja mobiilipääte, jolloin mobiilisuus mahdollistetaan 35 modifioimalla käännöstaulukko välitietokoneella. • 1 • · 42 . 118170
12. Patenttivaatimuksen 11 mukainen menetelmä, tunnettu siitä, että | käänöstaulukon mainittu modifiointi suoritetaan lähettämällä pyyntö uuden > osoitteen rekisteröimisestä ensimmäiseltä tietokoneelta välitietokoneelle ja valinnaisesti lähettämällä rekisteröintivastaus välitietokoneelta ensimmäiselle tietokoneelle. 10
13. Patenttivaatimuksen 12 mukainen menetelmä, tunnettu siitä, että rekisteröinti ja/tai vastaus autentikoidaan ja/tai salataan IPSeciillä. f
14. Jonkin patenttivaatimuksen 4 - 13 mukainen menetelmä, t u n n e 11 u siitä, että 15 turvallisten yhteyksien avaintenjakelu aikaan saadaan aikaan saamalla IKE- protokollan käännöstaulukko ja käyttämällä käännöstaulukkoa IP-osoitteiden ja f IKE-pakettien evästearvojen modifioimiseksi välitietokoneessa. I
15. Patenttivaatimuksen 14 mukainen menetelmä, tunnettu siitä, että 20 avaintenvaihtojakelu aikaan saadaan luomalle käynnistyseväste ja lähettämällä nollavastauseväste toiselle tietokoneelle, luomalla vastauseväste toisessa tietokoneessa, . . aikaansaamalla IP-osoitteiden ja IKE-evästearvojen yhteensopivuus J • · · • m -r I välitietokoneessa, * ·»··· >- • · <ί#ι. 25 käyttämällä käännöstaulukkoa IKE-pakettien modifoimiseksi lennossa modifoimalla • · .···. ulkoiset IP-osoitteet ja mahdollisesti IKE-pakettien IKE-evästeet. - • · • · · * · ·,. • · * /·.' *. ·: · .·*·. 16. Patenttivaatimuksen 14 tai 15 mukainen menetelmä, tunnettu siitä, että • · .V • · · modifioitu IKE-protokolla ensimmäisen tietokoneen ja välitietokoneen välillä •V; 30 mofioidaan niin, että IKE-avaimet lähetetään ensimmäiseltä tietokoneelta --.4 • · välitietokoneelle IKE-pakettien salaamiseksi ja modifioimiseksi. • · · • · · • · · .*··. 17. Patenttivaatimuksen 14 tai 15 mukainen menetelmä, tunnettu siitä, että ♦ · • · · ensimmäisen tietokoneen ja välitietokoneen välisessä modifioidussa IKE- • · * * .t" 35 protokollassa IKE-pakettien modifiointi tehdään niin, että ensimmäinen tietokone ♦ * · * * pyytää näitä modifiointeja välitietokoneelta. -.43 118170 I -jfr ·;$ ' S
18. Patenttivaatimuksen 16 mukainen menetelmä, tunnettu siitä, että osoite l määritellään niin, että välitietokone tunnistaa ensimmäisen tietokoneen toiselle tietokoneelle IP-osoitteen avulla, joka on otettu käyttäjien IP-osoitteiden ryhmästä käännöstaulukkoa tehdessä. V '?4\ io 19. Jonkin patenttivaatimuksen 1-18 mukainen menetelmä, tunnettu siitä, että turvallinen viesti lähetetään käyttämällä IPSec-kuljetusmenetelmää.
20. Jonkin patenttivaatimuksen 1-18 mukainen menetelmä, tunnettu siitä, että turvallinen viesti lähetetään käyttämällä IPSec-tunnelimenetelmää. 15 . :! ·> : »i
21. Tietoliikenneverkko viestien turvalliseksi välittämiseksi, joka käsittää ainakin * ensimmäisen tietokoneen, toisen tietokoneen ja välitietokoneen, tunnettu siitä, • '* että ensimmäisellä ja toisella tietokoneella on välineet IPSec käsittelyn l; suorittamiseksi ja välitietokoneella on elimet IPSec käännöksen suorittamiseksi. 20
22. Patenttivaatimuksen 21 mukainen verkko, tunnettu siitä, että välitietokoneella lisäksi on välineet IKE-käännöksen suorittamiseksi. • · ♦ · * * a * -f1
23. Patenttivaatimuksen 21 tai 22 mukainen verkko, tunnettu siitä, että välineet *«φ«· • · . 25 IPSec-käännöksen ja IKE-käännöksen suorittamiseksi muodostuvat ·*«·· J ,···, käännöstaulukoista. • · Mt ···' • · • * · • · · .*··. 24. Patenttivaatimuksen 22 mukainen verkko, tunnettu siitä, että käännöstaulukko * · • * · IPSec käännöstä varten käsittää välitietokoneen IP-osoitteita yhteen sovitettavaksi 30 toisen tietokoneen IP-osoitteiden kanssa. • · • · · ··· • · ---/ ♦ · r « · · # |.t 25. Patenttivaatimuksen 22 mukainen verkko, tunnettu siitä, että yksi • ♦ ♦ ' yhdistämistaulukoista IKE-käännöstä varten muodostuu kahdesta osasta, yksi, joka • » ]·] on tarkoitettu ensimmäisen tietokoneen ja välitietokoneen väliselle viestinnälle ja • · 35 toinen, joka on tarkoitettu välitietokoneen ja toisen tietokoneen väliselle » « · : *’ viestinnälle. 44 ,.*! 118170
26. Patenttivaatimuksen 25 mukainen verkko, tunnettu siitä, että molemmat yhdistämistaulukon osat IKE-käännöstä varten sisältävät käännöskenttiä lähdetP- osoitetta varten, kohdelP-osoitetta varten, aloite- ja vastausevästeitä }'| kyseenomaisten tietokoneiden välillä. io 27. Patenttivaatimuksen 23 mukainen verkko, tunnettu siitä, että on olemassa toinen taulukko IKE-käännöstä varten, joka sisältää kenttiä tietyn käyttäjän yhdistämiseksi tiettyyn toiseen tietokoneeseen. . >·?* : , ! :¾ ,R . ΐ -.--¾ • « • · « ···'· • · < ♦ * · ., ·! • ♦ • * · • · • · • · · • · * · · e··.·.-• « • ♦ · * · • · • · · 1 2 ' ' · « .·*: m 9 · ... -·..> • · • · o; 2 • · . • · ♦ • ' i 9 •99 • 99 •9 9 • 9 9 • · · • 9 • 9 9 9 ;! 9 9 9 • 9 • 9 ··· } 9 9 9 9 9 9 9 9 • · 118170 ' 1 2 3 - '·<! 45 ' ί’
5 PATENTKRAV f.'.;
Priority Applications (12)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| FI20020112A FI118170B (fi) | 2002-01-22 | 2002-01-22 | Menetelmä ja järjestelmä viestin lähettämiseksi turvallisen yhteyden läpi |
| EP03700132.8A EP1698136B1 (en) | 2002-01-22 | 2003-01-21 | Method and system for sending a message through a secure connection |
| PCT/FI2003/000045 WO2003063443A1 (en) | 2002-01-22 | 2003-01-21 | Method and system for sending a message through a secure connection |
| EP19187555.8A EP3576374B1 (en) | 2002-01-22 | 2003-01-21 | Method and system for sending a message through a secure connection |
| DK03700132T DK1698136T3 (da) | 2002-01-22 | 2003-01-21 | Fremgangsmåde og system til at sende en besked gennem en sikker forbindelse |
| US10/500,930 US8346949B2 (en) | 2002-01-22 | 2003-01-21 | Method and system for sending a message through a secure connection |
| US13/685,544 US9762397B2 (en) | 2002-01-22 | 2012-11-26 | Method and system for sending a message through a secure connection |
| US15/372,208 US9712494B2 (en) | 2002-01-22 | 2016-12-07 | Method and system for sending a message through a secure connection |
| US15/376,558 US9712502B2 (en) | 2002-01-22 | 2016-12-12 | Method and system for sending a message through a secure connection |
| US15/609,312 US9838362B2 (en) | 2002-01-22 | 2017-05-31 | Method and system for sending a message through a secure connection |
| US15/610,979 US10673818B2 (en) | 2002-01-22 | 2017-06-01 | Method and system for sending a message through a secure connection |
| US16/874,501 US11283772B2 (en) | 2002-01-22 | 2020-05-14 | Method and system for sending a message through a secure connection |
Applications Claiming Priority (2)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| FI20020112 | 2002-01-22 | ||
| FI20020112A FI118170B (fi) | 2002-01-22 | 2002-01-22 | Menetelmä ja järjestelmä viestin lähettämiseksi turvallisen yhteyden läpi |
Publications (3)
| Publication Number | Publication Date |
|---|---|
| FI20020112A0 FI20020112A0 (fi) | 2002-01-22 |
| FI20020112L FI20020112L (fi) | 2003-07-23 |
| FI118170B true FI118170B (fi) | 2007-07-31 |
Family
ID=8562863
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| FI20020112A FI118170B (fi) | 2002-01-22 | 2002-01-22 | Menetelmä ja järjestelmä viestin lähettämiseksi turvallisen yhteyden läpi |
Country Status (5)
| Country | Link |
|---|---|
| US (7) | US8346949B2 (fi) |
| EP (2) | EP1698136B1 (fi) |
| DK (1) | DK1698136T3 (fi) |
| FI (1) | FI118170B (fi) |
| WO (1) | WO2003063443A1 (fi) |
Families Citing this family (46)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| FI118170B (fi) | 2002-01-22 | 2007-07-31 | Netseal Mobility Technologies | Menetelmä ja järjestelmä viestin lähettämiseksi turvallisen yhteyden läpi |
| US7500102B2 (en) * | 2002-01-25 | 2009-03-03 | Microsoft Corporation | Method and apparatus for fragmenting and reassembling internet key exchange data packets |
| AU2002253738A1 (en) * | 2002-04-09 | 2003-10-27 | Telefonaktiebolaget L M Ericsson (Publ) | Secure file transfer |
| US7286512B1 (en) * | 2003-03-07 | 2007-10-23 | Utstar, Inc. | System and method for supporting alternative addressessing in a mobile network |
| US20050022017A1 (en) | 2003-06-24 | 2005-01-27 | Maufer Thomas A. | Data structures and state tracking for network protocol processing |
| US20050071848A1 (en) * | 2003-09-29 | 2005-03-31 | Ellen Kempin | Automatic registration and deregistration of message queues |
| US8050275B1 (en) * | 2003-11-18 | 2011-11-01 | Cisco Technology, Inc. | System and method for offering quality of service in a network environment |
| GB2414367B (en) * | 2004-05-20 | 2009-03-04 | Vodafone Plc | Data transmission |
| KR100651716B1 (ko) * | 2004-10-11 | 2006-12-01 | 한국전자통신연구원 | Ｄｉａｍｅｔｅｒ 기반 프로토콜에서 모바일 네트워크의부트스트랩핑 방법 및 그 시스템 |
| IES20050439A2 (en) * | 2005-06-30 | 2006-08-09 | Asavie R & D Ltd | A method of network communication |
| US8009676B2 (en) * | 2005-07-26 | 2011-08-30 | Cisco Technology, Inc. | Dynamically providing a quality of service for a mobile node |
| US20070061465A1 (en) * | 2005-09-15 | 2007-03-15 | Hostway Corporation | Host migration system |
| US7818454B2 (en) * | 2005-09-15 | 2010-10-19 | Hostway Corporation | Host migration system |
| WO2007035655A2 (en) * | 2005-09-16 | 2007-03-29 | The Trustees Of Columbia University In The City Of New York | Using overlay networks to counter denial-of-service attacks |
| US8503621B2 (en) * | 2006-03-02 | 2013-08-06 | Cisco Technology, Inc. | Secure voice communication channel for confidential messaging |
| US7865717B2 (en) * | 2006-07-18 | 2011-01-04 | Motorola, Inc. | Method and apparatus for dynamic, seamless security in communication protocols |
| US8068499B2 (en) * | 2006-08-10 | 2011-11-29 | Motorola Solutions, Inc. | Optimized tunneling methods in a network |
| US8418241B2 (en) | 2006-11-14 | 2013-04-09 | Broadcom Corporation | Method and system for traffic engineering in secured networks |
| US8566583B2 (en) * | 2006-11-30 | 2013-10-22 | Telefonaktiebolaget L M Ericsson (Publ) | Packet handling in a mobile IP architecture |
| GB0712022D0 (en) * | 2007-06-20 | 2007-10-17 | Still First Ltd | Encrypted communication system |
| US8379623B2 (en) * | 2007-07-10 | 2013-02-19 | Motorola Solutions, Inc. | Combining mobile VPN and internet protocol |
| US7992209B1 (en) * | 2007-07-19 | 2011-08-02 | Owl Computing Technologies, Inc. | Bilateral communication using multiple one-way data links |
| EP2294734A1 (en) * | 2008-07-03 | 2011-03-16 | The Trustees of Columbia University in the City of New York | Methods and systems for controlling traffic on a communication network |
| WO2010043254A1 (en) | 2008-10-15 | 2010-04-22 | Telefonaktiebolaget Lm Ericsson (Publ) | Secure access in a communication network |
| WO2011053040A2 (en) * | 2009-11-02 | 2011-05-05 | Lg Electronics Inc. | Nat traversal for local ip access |
| US8800022B2 (en) * | 2010-07-01 | 2014-08-05 | Broadcom Corporation | Method and system for handling security in an IP multimedia gateway |
| WO2012026855A1 (en) * | 2010-08-25 | 2012-03-01 | Telefonaktiebolaget Lm Ericsson (Publ) | Methods and arrangements for secure communication over an ip network |
| CN102333042A (zh) * | 2011-10-31 | 2012-01-25 | 深信服网络科技（深圳）有限公司 | 一种防止数据泄密的方法、安全网关及系统 |
| US9930067B1 (en) | 2014-12-18 | 2018-03-27 | Amazon Technologies, Inc. | Techniques for secure session reestablishment |
| US9961055B1 (en) | 2014-12-18 | 2018-05-01 | Amazon Technologies, Inc. | Inaccessibility of data to server involved in secure communication |
| US9325793B1 (en) * | 2015-04-30 | 2016-04-26 | Smartsky Networks LLC | Smart aviation dynamic cookie |
| US10051000B2 (en) * | 2015-07-28 | 2018-08-14 | Citrix Systems, Inc. | Efficient use of IPsec tunnels in multi-path environment |
| GB2550905A (en) * | 2016-05-27 | 2017-12-06 | Airbus Operations Ltd | Secure communications |
| US10986076B1 (en) * | 2016-09-08 | 2021-04-20 | Rockwell Collins, Inc. | Information flow enforcement for IP domain in multilevel secure systems |
| US11876786B2 (en) * | 2016-12-08 | 2024-01-16 | Comcast Cable Communications, Llc | Protocol obfuscation in moving target defense |
| CN106936814B (zh) * | 2017-01-20 | 2018-07-06 | 北京海泰方圆科技股份有限公司 | 一种网络防护方法、装置和系统 |
| US20190097968A1 (en) * | 2017-09-28 | 2019-03-28 | Unisys Corporation | Scip and ipsec over nat/pat routers |
| US11546304B2 (en) * | 2017-11-13 | 2023-01-03 | Intel Corporation | Multi-domain message routing with E2E tunnel protection |
| US11108739B2 (en) * | 2018-02-20 | 2021-08-31 | Blackberry Limited | Firewall incorporating network security information |
| EP3847791A1 (en) | 2018-09-04 | 2021-07-14 | Telefonaktiebolaget LM Ericsson (publ) | Signalling storm mitigation in a secured radio access network |
| EP3871395A4 (en) * | 2018-11-15 | 2021-12-08 | Huawei Technologies Co., Ltd. | RELEASE TO A SA SECURITY ASSOCIATION |
| US11196726B2 (en) | 2019-03-01 | 2021-12-07 | Cisco Technology, Inc. | Scalable IPSec services |
| EP3935813A4 (en) * | 2019-03-22 | 2022-04-27 | Nephron Pharmaceuticals Corporation | BLOCKCHAIN SYSTEMS AND METHODS FOR REMOTE MONITORING |
| US11936620B2 (en) | 2019-10-25 | 2024-03-19 | Parallel Wireless, Inc. | Randomized SPI for distributed IPsec |
| US12166677B2 (en) | 2020-12-11 | 2024-12-10 | Cisco Technology, Inc. | Encrypted tunnel migration |
| US20250080502A1 (en) * | 2022-12-14 | 2025-03-06 | Rakuten Symphony, Inc. | System and method for securing network traffic using internet protocol security tunnels in a telecommunication network |
Family Cites Families (46)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US6091951A (en) | 1997-05-14 | 2000-07-18 | Telxon Corporation | Seamless roaming among multiple networks |
| FI105753B (fi) | 1997-12-31 | 2000-09-29 | Ssh Comm Security Oy | Pakettien autentisointimenetelmä verkko-osoitemuutosten ja protokollamuunnosten läsnäollessa |
| US7032242B1 (en) * | 1998-03-05 | 2006-04-18 | 3Com Corporation | Method and system for distributed network address translation with network security features |
| US20020004900A1 (en) * | 1998-09-04 | 2002-01-10 | Baiju V. Patel | Method for secure anonymous communication |
| US6985953B1 (en) * | 1998-11-30 | 2006-01-10 | George Mason University | System and apparatus for storage and transfer of secure data on web |
| US6418130B1 (en) | 1999-01-08 | 2002-07-09 | Telefonaktiebolaget L M Ericsson (Publ) | Reuse of security associations for improving hand-over performance |
| US6973057B1 (en) * | 1999-01-29 | 2005-12-06 | Telefonaktiebolaget L M Ericsson (Publ) | Public mobile data communications network |
| US7055027B1 (en) * | 1999-03-22 | 2006-05-30 | Microsoft Corporation | System and method for trusted inspection of a data stream |
| US7249377B1 (en) * | 1999-03-31 | 2007-07-24 | International Business Machines Corporation | Method for client delegation of security to a proxy |
| US6718388B1 (en) | 1999-05-18 | 2004-04-06 | Jp Morgan Chase Bank | Secured session sequencing proxy system and method therefor |
| JP3668047B2 (ja) | 1999-05-20 | 2005-07-06 | 株式会社東芝 | 移動通信方法、移動計算機装置及び暗号化通信装置 |
| US6957346B1 (en) * | 1999-06-15 | 2005-10-18 | Ssh Communications Security Ltd. | Method and arrangement for providing security through network address translations using tunneling and compensations |
| US7174018B1 (en) | 1999-06-24 | 2007-02-06 | Nortel Networks Limited | Security framework for an IP mobility system using variable-based security associations and broker redirection |
| US6757823B1 (en) * | 1999-07-27 | 2004-06-29 | Nortel Networks Limited | System and method for enabling secure connections for H.323 VoIP calls |
| US7079499B1 (en) | 1999-09-08 | 2006-07-18 | Nortel Networks Limited | Internet protocol mobility architecture framework |
| US6732269B1 (en) | 1999-10-01 | 2004-05-04 | International Business Machines Corporation | Methods, systems and computer program products for enhanced security identity utilizing an SSL proxy |
| ATE297645T1 (de) * | 1999-10-22 | 2005-06-15 | Ericsson Telefon Ab L M | Mobiltelefon mit eingebauter sicherheitsfirmware |
| US6587680B1 (en) | 1999-11-23 | 2003-07-01 | Nokia Corporation | Transfer of security association during a mobile terminal handover |
| JP2001160828A (ja) * | 1999-12-03 | 2001-06-12 | Matsushita Electric Ind Co Ltd | セキュリティ・ゲートウェイ装置におけるｖｐｎ通信方法 |
| US6744741B1 (en) * | 1999-12-15 | 2004-06-01 | Cisco Technology, Inc. | System and method for maintaining a plurality of media conferences |
| GB2364477B (en) * | 2000-01-18 | 2003-11-05 | Ericsson Telefon Ab L M | Virtual private networks |
| US7752333B1 (en) * | 2000-01-18 | 2010-07-06 | Avaya Inc. | Methods and apparatus for local network address acquisition, analysis and substitution |
| US6934763B2 (en) * | 2000-04-04 | 2005-08-23 | Fujitsu Limited | Communication data relay system and method of controlling connectability between domains |
| GB2365717B (en) * | 2000-05-24 | 2004-01-21 | Ericsson Telefon Ab L M | IPsec processing |
| US6708218B1 (en) * | 2000-06-05 | 2004-03-16 | International Business Machines Corporation | IpSec performance enhancement using a hardware-based parallel process |
| US7953834B1 (en) * | 2000-06-22 | 2011-05-31 | Emc Corporation | System and method for reducing bandwidth consumed by looping message packets in local area network |
| SE518604C2 (sv) * | 2000-06-29 | 2002-10-29 | Wireless Login Ab | Metod och anordning för säker anslutning till ett kommunikationsnätverk |
| US20020124090A1 (en) * | 2000-08-18 | 2002-09-05 | Poier Skye M. | Method and apparatus for data communication between a plurality of parties |
| US7092390B2 (en) * | 2000-09-07 | 2006-08-15 | Sbc Technology Resources, Inc. | Internal substitution bi-level addressing for compatible public networks |
| US6954790B2 (en) | 2000-12-05 | 2005-10-11 | Interactive People Unplugged Ab | Network-based mobile workgroup system |
| US6931529B2 (en) * | 2001-01-05 | 2005-08-16 | International Business Machines Corporation | Establishing consistent, end-to-end protection for a user datagram |
| US7624265B1 (en) * | 2001-02-14 | 2009-11-24 | Emc Corporation | Methods and apparatus for establishing communications with a data storage system |
| US20020147820A1 (en) * | 2001-04-06 | 2002-10-10 | Docomo Communications Laboratories Usa, Inc. | Method for implementing IP security in mobile IP networks |
| US7016499B2 (en) * | 2001-06-13 | 2006-03-21 | Sun Microsystems, Inc. | Secure ephemeral decryptability |
| US20030005328A1 (en) * | 2001-06-29 | 2003-01-02 | Karanvir Grewal | Dynamic configuration of IPSec tunnels |
| US6981032B2 (en) * | 2001-07-27 | 2005-12-27 | International Business Machines Corporation | Enhanced multicast-based web server |
| FI116027B (fi) | 2001-09-28 | 2005-08-31 | Netseal Mobility Technologies | Menetelmä ja järjestelmä viestien turvallisen lähettämisen varmistamiseksi |
| FI116025B (fi) | 2001-09-28 | 2005-08-31 | Netseal Mobility Technologies | Menetelmä ja verkko viestien turvallisen lähettämisen varmistamiseksi |
| US7159109B2 (en) | 2001-11-07 | 2007-01-02 | Intel Corporation | Method and apparatus to manage address translation for secure connections |
| US7093121B2 (en) * | 2002-01-10 | 2006-08-15 | Mcafee, Inc. | Transferring data via a secure network connection |
| US20030135616A1 (en) * | 2002-01-11 | 2003-07-17 | Carrico Sandra Lynn | IPSec Through L2TP |
| US7181612B1 (en) | 2002-01-17 | 2007-02-20 | Cisco Technology, Inc. | Facilitating IPsec communications through devices that employ address translation in a telecommunications network |
| FI118170B (fi) | 2002-01-22 | 2007-07-31 | Netseal Mobility Technologies | Menetelmä ja järjestelmä viestin lähettämiseksi turvallisen yhteyden läpi |
| US7159242B2 (en) * | 2002-05-09 | 2007-01-02 | International Business Machines Corporation | Secure IPsec tunnels with a background system accessible via a gateway implementing NAT |
| US7860978B2 (en) * | 2004-01-22 | 2010-12-28 | Toshiba America Research, Inc. | Establishing a secure tunnel to access router |
| US7848335B1 (en) * | 2005-10-27 | 2010-12-07 | Juniper Networks, Inc. | Automatic connected virtual private network |
-
2002
- 2002-01-22 FI FI20020112A patent/FI118170B/fi not_active IP Right Cessation
-
2003
- 2003-01-21 US US10/500,930 patent/US8346949B2/en active Active
- 2003-01-21 EP EP03700132.8A patent/EP1698136B1/en not_active Expired - Lifetime
- 2003-01-21 EP EP19187555.8A patent/EP3576374B1/en not_active Expired - Lifetime
- 2003-01-21 WO PCT/FI2003/000045 patent/WO2003063443A1/en not_active Application Discontinuation
- 2003-01-21 DK DK03700132T patent/DK1698136T3/da active
-
2012
- 2012-11-26 US US13/685,544 patent/US9762397B2/en not_active Expired - Lifetime
-
2016
- 2016-12-07 US US15/372,208 patent/US9712494B2/en not_active Expired - Lifetime
- 2016-12-12 US US15/376,558 patent/US9712502B2/en not_active Expired - Lifetime
-
2017
- 2017-05-31 US US15/609,312 patent/US9838362B2/en not_active Expired - Lifetime
- 2017-06-01 US US15/610,979 patent/US10673818B2/en not_active Expired - Fee Related
-
2020
- 2020-05-14 US US16/874,501 patent/US11283772B2/en not_active Expired - Lifetime
Also Published As
| Publication number | Publication date |
|---|---|
| EP3576374B1 (en) | 2021-04-28 |
| WO2003063443A1 (en) | 2003-07-31 |
| US9762397B2 (en) | 2017-09-12 |
| US20060173968A1 (en) | 2006-08-03 |
| EP3576374A1 (en) | 2019-12-04 |
| US20130080781A1 (en) | 2013-03-28 |
| US20170093580A9 (en) | 2017-03-30 |
| FI20020112A0 (fi) | 2002-01-22 |
| US9838362B2 (en) | 2017-12-05 |
| US20170093799A1 (en) | 2017-03-30 |
| US8346949B2 (en) | 2013-01-01 |
| US11283772B2 (en) | 2022-03-22 |
| US20170272409A1 (en) | 2017-09-21 |
| EP1698136B1 (en) | 2019-07-24 |
| US9712494B2 (en) | 2017-07-18 |
| US9712502B2 (en) | 2017-07-18 |
| EP1698136A1 (en) | 2006-09-06 |
| US20200274853A1 (en) | 2020-08-27 |
| US20170272410A1 (en) | 2017-09-21 |
| DK1698136T3 (da) | 2019-10-28 |
| FI20020112L (fi) | 2003-07-23 |
| US10673818B2 (en) | 2020-06-02 |
| US20170099266A1 (en) | 2017-04-06 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| FI118170B (fi) | Menetelmä ja järjestelmä viestin lähettämiseksi turvallisen yhteyden läpi | |
| FI116025B (fi) | Menetelmä ja verkko viestien turvallisen lähettämisen varmistamiseksi | |
| Jokela et al. | Using the encapsulating security payload (ESP) transport format with the host identity protocol (HIP) | |
| JP4737089B2 (ja) | Ｖｐｎゲートウェイ装置およびホスティングシステム | |
| US20020042875A1 (en) | Method and apparatus for end-to-end secure data communication | |
| Montenegro et al. | Sun's SKIP firewall traversal for mobile IP | |
| CA2428712A1 (en) | System and method for secure network mobility | |
| US8037302B2 (en) | Method and system for ensuring secure forwarding of messages | |
| US20150381387A1 (en) | System and Method for Facilitating Communication between Multiple Networks | |
| JP5151197B2 (ja) | 通信システム、パケット転送処理装置及びそれらに用いる通信セッション制御方法 | |
| JP6075871B2 (ja) | ネットワークシステム、通信制御方法、通信制御装置及び通信制御プログラム | |
| Wright | Virtual private network security | |
| Arora et al. | Comparison of VPN protocols–IPSec, PPTP, and L2TP | |
| Schinazi et al. | RFC 9484: Proxying IP in HTTP | |
| FI113597B (fi) | Menetelmä viestien lähettämiseksi usean yhteyden läpi | |
| Bhupathiraju | Security aspects in voice over IP systems | |
| Montenegro et al. | RFC2356: Sun's SKIP Firewall Traversal for Mobile IP | |
| LIOY | Advanced Security Technologies in Networking 55 95 B. Jerman-Blažič et al.(Eds.) IOS Press, 2001 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| PC | Transfer of assignment of patent |
Owner name: NETSEAL MOBILITY TECHNOLOGIES-NMT OY Free format text: NETSEAL MOBILITY TECHNOLOGIES-NMT OY |
|
| FG | Patent granted |
Ref document number: 118170 Country of ref document: FI |
|
| PC | Transfer of assignment of patent |
Owner name: MOBILITY PATENT HOLDING MPH OY Free format text: MOBILITY PATENT HOLDING MPH OY |
|
| PC | Transfer of assignment of patent |
Owner name: MPH TECHNOLOGIES OY Free format text: MPH TECHNOLOGIES OY |
|
| MA | Patent expired |