專利名稱：防火墻系統(tǒng)、加入系統(tǒng)的設備以及更新防火墻規(guī)則的方法
技術領域：
本發(fā)明涉及可互連設備的共同體(community)的安全，具體地，涉及防火墻規(guī)則的策略管理，所述防火墻規(guī)則可以對這些設備與其所連接的網(wǎng)絡之間的業(yè)務進行過濾。
背景技術：
本地網(wǎng)絡，更具體地，家用網(wǎng)絡，由連網(wǎng)在一起的設備集合(電視、數(shù)字記錄器、計算機、個人數(shù)字助理等)形成，并且其按照對于用戶透明的方式進行自身配置與相互作用，以便提供給用戶增強的服務。針對家用網(wǎng)絡的標準，目前的一些建議是“UPnPTM DeviceArchitecture 1.0”中所描述的UPnP，“HAVi Specification version 1.1”中所描述的HAVi，以及由E.Guttman在2001年5月的IEEE InternetComputing中的“Autoconfiguration for IP networkingEnabling localcommunication”中所描述的Rendezvous。屬于用戶或者用戶家庭的設備將共享同一個安全策略。這些設備可以通過多個網(wǎng)絡互連。這些網(wǎng)絡可以是在家中的有線網(wǎng)絡，例如IEEE 1394、IEEE以太網(wǎng)等的。其還可以是無線網(wǎng)絡，例如IEEE 802.11、藍牙等。這些設備還可以通過因特網(wǎng)進行通信，例如，用戶將隨其帶到工作地點的移動設備，并且其將通過公司網(wǎng)絡和因特網(wǎng)與住所的網(wǎng)絡相互通信。
如果希望廣泛對其使用，則必須確保這些通信的安全。具體地，存在攻擊用戶設備的動機和真正的機會。確保家用設備共同體安全的第一步驟在于對其邊界進行標記，即，在于限定哪一個設備屬于共同體。
用于確保這些家用共同體安全的第二步驟是限定用于對共同體的設備與外界之間，或者甚至共同體的設備自身之間的通信進行過濾的策略。這種被稱作防火墻過濾器是公知的。存在幾種類型的防火墻。
具體地，已知公司網(wǎng)絡配備了位于該公司網(wǎng)絡與外部之間的鏈接上的防火墻。具體地，在該網(wǎng)絡類型中，網(wǎng)絡和外部之間的所有通信通過一個或多個良好識別(well-identified)的連接點。在這種情況下，由能夠勝任的人員管理防火墻，以定義安全策略并對其進行實施。
此外，已知直接連接到因特網(wǎng)的個人計算機配備了通常被稱作個人防火墻的設備。該防火墻是計算機的軟件過濾器，其過濾計算機和外界之間的網(wǎng)絡業(yè)務。該過濾器實現(xiàn)由用戶所定義的策略的功能。為此，存在允許用戶以簡單的方式表達該策略的工具，并且作為所使用的協(xié)議的功能，所述工具將該策略解釋為分組過濾器規(guī)則的形式、所使用的服務的形式、或者通信方向的形式。盡管這些工具意欲便于用戶的任務，用戶仍然負責其防火墻的管理及其計算機的安全策略的改變。
針對防火墻策略的管理，在具有一些到外部的接入點的網(wǎng)絡中，已經(jīng)發(fā)展了分布式防火墻的概念。在這種類型的防火墻中，在用作策略服務器的網(wǎng)絡角度對安全策略進行定義，并且將其應用于多個點，通常應用于所有網(wǎng)絡接入點。按照這種方式，通過集中策略規(guī)則以及在單個點對其更新，在整個網(wǎng)絡上確保了防火墻策略的一致性。
當嘗試利用根據(jù)上述技術之一的防火墻對其保護時，現(xiàn)代家用設備共同體的特征引起了一定問題。本質(zhì)上共享的RF介質(zhì)的使用、通過因特網(wǎng)的設備之間的通信以及面對面設置的設備之間服務的未覆蓋(uncovering)和自動交換是造成家用網(wǎng)絡的設備與外部之間的家用網(wǎng)絡的物理邊界和接入點位置模糊的多種因素。在這種共同體中，每一個設備都可以與網(wǎng)絡外部的設備進行通信，而不是這種需要通過識別的接入點的通信。
此外，家用設備共同體易于出錯，從而在共同體的其余通信裝置以外，用戶會將其關閉或者拿走。因此，顯而易見，安全策略必須一方面應用于從住所中拿走的設備，另一方面應用于仍留在住所中的設備。因此，不可能依靠在網(wǎng)絡中出現(xiàn)起特權作用的設備來確保共同體的安全。此外，策略必須考慮共同體的改變、新設備的增加或去除。

發(fā)明內(nèi)容
本發(fā)明能夠在每一個設備級上實現(xiàn)防火墻策略的分布式和完全分散式的管理，所述設備是一致的并且動態(tài)地適應于在家用網(wǎng)絡中所出現(xiàn)的變化。這里應討論普遍防火墻(ubiquitous firewalls)。
本發(fā)明涉及一種防火墻系統(tǒng)，可以保證共享至少一個公共全局安全規(guī)則集合的可互連設備的共同體的安全，共同體的每一個設備具有存儲裝置，用于存儲至少包括全局安全規(guī)則、共同體的成員列表及其連接狀態(tài)以及局部提供的服務列表的局部安全策略的裝置，共同體的多個設備包括針對去往和來自所連接的網(wǎng)絡的消息的過濾器，其中，系統(tǒng)不包括集中式裝置(centralized means)，所述系統(tǒng)在共同體的每一個設備上都具有局部裝置，用于計算過濾器所使用的規(guī)則，作為局部安全策略的功能。
根據(jù)本發(fā)明的具體實施例，系統(tǒng)在共同體的每一個設備上都具有用于更新局部安全策略并引起對過濾器所使用的規(guī)則的新計算的裝置。
根據(jù)本發(fā)明的具體實施例，系統(tǒng)具有響應網(wǎng)絡中出現(xiàn)的改變而觸發(fā)對于過濾器所使用規(guī)則的新計算的裝置。
根據(jù)本發(fā)明的具體實施例，觸發(fā)過濾器所使用規(guī)則的新計算所考慮的改變至少包括以下之一共同體的設備的網(wǎng)絡地址的改變、共同體的設備的添加、去除或者排除(banishing)以及共同體的設備上執(zhí)行的服務的狀態(tài)的改變。
根據(jù)本發(fā)明的具體實施例，觸發(fā)過濾器所使用規(guī)則的新計算所考慮的改變至少包括以下之一共同體的設備的網(wǎng)絡地址的改變，共同體的設備的添加、去除或者排除以及共同體的設備局部執(zhí)行的服務的狀態(tài)的改變。
根據(jù)本發(fā)明的具體實施例，系統(tǒng)在共同體的每一個設備上都具有用于確定共同體之外的設備列表的裝置，所述共同體之外的設備具有對共同體的設備所提供的至少一個服務的特權訪問，所述列表與局部安全策略相集成。
本發(fā)明還涉及一種設備，所述裝置用于從屬于可互連的設備的共同體，所述共同體共享至少一個公共全局安全規(guī)則集合，具有存儲至少包括全局安全策略的局部安全策略、共同體的成員列表以及其連接狀態(tài)、以及局部提供的服務列表的裝置，所述設備具有防火墻，其包括去往和來自所連接的網(wǎng)絡的消息過濾器，以使局部裝置可以計算過濾器所使用的防火墻規(guī)則，作為局部安全策略的功能，而不需要集中式裝置。
根據(jù)本發(fā)明的具體實施例，設備具有更新局部安全策略和自動觸發(fā)過濾器所使用的規(guī)則的新計算的裝置。
根據(jù)本發(fā)明的具體實施例，設備具有觸發(fā)過濾器所使用的規(guī)則的新計算的裝置，其在網(wǎng)絡中出現(xiàn)的改變時受到影響。
根據(jù)本發(fā)明的具體實施例，觸發(fā)過濾器所使用的規(guī)則的新計算所考慮的改變至少包括以下之一共同體的設備的網(wǎng)絡地址的改變，共同體的設備的添加、去除或者排除，以及共同體的設備上執(zhí)行的服務的狀態(tài)的改變。
根據(jù)本發(fā)明的具體實施例，針對觸發(fā)過濾器所使用規(guī)則的新計算所考慮的改變至少包括以下之一共同體的設備的網(wǎng)絡地址的改變，共同體的設備的添加、去除或者排除，以及共同體的設備上局部執(zhí)行的服務狀態(tài)的改變。
根據(jù)本發(fā)明的具體實施例，設備具有用于確定共同體之外的設備列表的裝置，所述共同體之外的設備具有對共同體的設備所提供的至少一個服務的特權訪問，該列表與局部安全策略集成到一起。
本發(fā)明還涉及一種更新防火墻所使用規(guī)則的方法，所述防火墻包括對于去往和來自網(wǎng)絡的消息的過濾器，所述網(wǎng)絡與實現(xiàn)該方法的設備相連接，形成可互連的設備的部分共同體的設備共享至少一個公共全局安全規(guī)則的集合，所述設備具有存儲裝置，用于存儲包括至少全局安全規(guī)則的局部安全策略、共同體成員列表及其連接狀態(tài)以及局部所提供的服務列表，作為局部安全策略的功能所計算的所述規(guī)則，所述方法包括至少以下步驟檢測共同體的設備的添加、去除和排除；檢測共同體的設備的網(wǎng)絡地址的改變；
響應局部安全策略的改變，觸發(fā)對于規(guī)則的新計算。
根據(jù)本發(fā)明的具體實施例，該方法還具有檢測由設備所執(zhí)行的服務的狀態(tài)的改變的步驟。
根據(jù)本發(fā)明的具體實施例，該方法此外還具有檢測由共同體的設備所執(zhí)行服務的狀態(tài)的改變的步驟。
根據(jù)本發(fā)明的具體實施例，觸發(fā)防火墻規(guī)則的新計算與對于共同體的設備的添加、去除和排除的檢測相關，并且與共同體的IP地址的改變以及服務狀態(tài)的改變的檢測相關。


通過閱讀以下參考附圖而進行的描述，將對本發(fā)明更好地理解，并且其它特點和優(yōu)點將更加顯而易見，其中圖1表示本發(fā)明所保護的家用設備的共同體的整個圖示。
圖2表示普遍防火墻的體系結構的典型實施例。
圖3表示采用普遍防火墻的家用設備的一般體系結構的典型實施例。
具體實施例方式
現(xiàn)在描述普遍防火墻和使用這種防火墻的安全策略的管理的典型實施例。在通過IP協(xié)議(“因特網(wǎng)協(xié)議”)進行通信的家用設備的共同體的框架內(nèi)給出典型實施例?？梢栽谟蒊ETF(即，因特網(wǎng)工程工作小組)所維護的RFC(即，請求注解)中找到編號791的IP協(xié)議的規(guī)范。然而，本領域的技術人員將理解，不論使用什么協(xié)議，例如IEEE1394等，本發(fā)明均可以應用于任何類型的通信網(wǎng)絡。
在家用設備的共同體中必須處理的約束條件如下。
首先，設備有可能在任何時間打開或關閉。因此，需要管理這些網(wǎng)絡設備的到達和離開。
共同體的設備可以物理地連接到不屬于共同體的設備。具體地，針對無線通信，所連接到物理網(wǎng)絡的設備不需要是共同體的一部分。類似地，任何設備都易于成為共同體和外界之間的接入點。因此，沒有明確地定義互連共同體的網(wǎng)絡的物理邊界。
不是所有屬于共同體的設備都需要處于隨時一起通信的位置。例如，離家的用戶可以使用便攜式電話與數(shù)字助理進行通信，其在二者之間將建立不與留在住所中的設備相連接的子網(wǎng)絡。這些不與其余的家用網(wǎng)絡連接的設備，必須可以應用針對共同體所定義的安全策略。因此，易于將共同體分為任意數(shù)目的臨時無法相互通信的部分。類似地，設備的環(huán)境和特點可以隨時間而改變。因此，例如，設備可以在兩次連續(xù)的與網(wǎng)絡的連接之間改變IP地址。
此外，與例如公司網(wǎng)絡的情況相比，無法依賴于勝任的管理員的幫助從而管理家用共同體。具體地，用戶通常不具有深入研究定制防火墻的問題的能力或時間。但是，同時，用戶是共同體的唯一權威。因此，需要提供給用戶表達安全策略和將其以透明方式解釋為防火墻規(guī)則的簡單裝置。
圖1示出了典型的家用共同體。家用共同體一方面包括參考1.1并位于住所中的空間的設備，并且包括位于住所之外的空間1.3中的設備。這里假設這兩個空間無法彼此通信。住所空間1.1一方面包含連接電視1.5、數(shù)字視頻記錄器1.6、數(shù)字解碼器1.7的有線網(wǎng)絡，同時，ADSL調(diào)制解調(diào)器1.8可以訪問因特網(wǎng)1.4和無線終端1.9，例如，根據(jù)802.11系列的協(xié)議之一進行操作，允許HIFI rig 1.10和計算機1.11的連接。802.11標準系列定義了針對無線網(wǎng)絡上的通信的標準，所述無線網(wǎng)絡已在ANSI/IEEE文檔std 802.11-1999(reaff 2003)中標準化。具有無線能力的鄰近計算機1.14可以物理地連接到無線網(wǎng)絡1.2上，盡管不形成家用共同體部分。在住所之外的用戶可以根據(jù)例如藍牙協(xié)議，通過無線連接將例如數(shù)字組織器(digital organizer)1.13和移動電話1.12連接在一起，從而形成共同體的部分1.3。當用戶回到其住所時，再一次指派該部分連接到共同體的剩余部分。參考號1.15的普遍防火墻設備被分散到每一個設備上，并且通過共同體設備上所出現(xiàn)的灰色矩形劃分界限。
為了確保家用設備的共同體的安全，需要定義安全策略以及使該策略得以實現(xiàn)的安全服務。家用共同體的安全策略更像是在傳統(tǒng)的公司網(wǎng)絡中可見的安全策略。其包括兩部分。
第一部分帶來了共同體的成員問題。具體地，要解決的第一問題是共同體的邊界定義問題。家用共同體將組成統(tǒng)一安全策略的應用域。同一個共同體的所有設備將共享公共的安全策略，并且將共享較高的互信任級。通常地，認為同一個共同體的設備可以彼此自由地通信。例如，通過以下文獻中所描述的技術解決了該問題Nicolas Prigent和Jean-Pierre Andreaux在proceedings of the second symposium onsecurity of information and communication technologies(SSTIC 2004)中所發(fā)表的“Gestion sécurisée de groupes de dispositifs dans unréseaudomestique”[家用網(wǎng)絡中的設備群組的安全管理]。在該文獻中，利用每一個設備的可查明的密碼的幫助，解釋了用戶怎樣容易地定義屬于其家用共同體的設備。用戶可以管理共同體的設備的添加和去除。
共同體的安全策略的第二部分用于管理共同體的設備和外界之間的通信。因此，這包括共同體的設備和不屬于共同體但可以與共同體的設備進行通信的設備之間的通信。這里發(fā)現(xiàn)了可以通過因特網(wǎng)訪問的設備，其由客人帶入住所并且臨時連接到用戶的家用網(wǎng)絡的設備。由于認為家用共同體之內(nèi)的設備遵照安全策略，通常允許由形成共同體的部分的設備所發(fā)起的通信可以自由退出共同體。相反地，必須監(jiān)控由共同體之外的設備所發(fā)起的通信，并且要確保其順應安全策略。在實際中，必須由用戶明確認證對于由屬于共同體的設備所提供的服務所進行的訪問，以便于可以在共同體的邊界接收去往這些服務的請求。
更準確地，可以將共同體的設備的服務公布為公開的(即，任何設備可以訪問相同的)、受限的(即，對于該服務的訪問受限于某條件)、或者私有的(禁止由外部設備的訪問)。則，需要驗證由共同體之外的設備所發(fā)起的通信是否符合該策略。
顯然，所描述的安全策略是示例，并且在不偏離典型實施例的框架的前提下，可以修改如此所定義的規(guī)則。
現(xiàn)在描述該安全策略的實施的典型模式。為此，將定義普遍防火墻的概念。由于已經(jīng)描述了約束條件，無法使得共同體的設備起具體作用，需要確保所有設備上的安全策略，而不預設家用網(wǎng)絡的共同體的另一設備的出現(xiàn)和可訪問性。因此，將在共同體的每一個設備級定義被稱作普遍防火墻服務。
圖2示出了該服務的體系結構。其包括局部知識庫，參考號2.1，其包含屬于策略的信息以及關于設備的當前環(huán)境的信息。該信息由參考號2.5的普遍防火墻的核心使用，從而產(chǎn)生防火墻規(guī)則。該局部知識庫自身包括局部策略管理器(GPL)，參考號2.2，其任務是得到、存儲并管理關于安全策略的信息；以及用于適應環(huán)境的模塊(MAE)，參考2.3號，其任務是得到、存儲并管理關于該設備環(huán)境的信息。加密模塊，參考2.4號，自身用于局部設備和其它設備之間的認證操作，以及作為可以用于建立安全通信信道的密鑰。普遍防火墻核心，參考2.5號，用于基于局部知識庫所包含的信息，并且通過對于從加密模塊所得到的密鑰的可能使用，將自身部分用于產(chǎn)生參考號2.6的消息過濾器所使用的規(guī)則。參考號2.6的消息過濾器，將如此所得到的規(guī)則應用于來自并指向網(wǎng)絡協(xié)議層的消息，在這種情況下，所述網(wǎng)絡協(xié)議層是IP層。參考號2.8和2.9的應用程序?qū)⒁酝该鞯姆绞皆L問網(wǎng)絡協(xié)議層，并且將在應用過濾器之后接收消息。
局部安全管理器負責獲得、存儲和管理安全策略。其管理關于一般(generic)全局策略的相關信息，其對于共同體的所有設備相同。該策略的示例由以下兩個規(guī)則形成—屬于家用共同體的設備以安全的方式或其它方式彼此自由通信。
—監(jiān)控家用共同體之外的設備對于由共同體的設備所提供的服務的訪問。
通過使用這種普通的策略以及具有關于家用共同體的具體的信息，具體地，共同體的設備列表及其連接狀態(tài)，局部或通過共同體所提供的服務列表，以及其公開的、限制的或者私有的狀態(tài)，管理器可以建立其自身的安全策略的局部視圖。
具體地，局部策略管理器具有關于共同體的第—類信息。其包含屬于家用共同體的關于設備的、以及關于使得可以將其識別并認證的方法的主要信息。向家用共同體的每一個設備提供可查明的身份，其使得可以利用其網(wǎng)絡的其它設備識別并認證其自身。將容易驗證但難以奪取并且允許加密硬件的安全的身份稱作“可查明身份”。例如，可以將公開密鑰的公開/私有對用作可查明身份；假裝要由該公開密鑰識別的設備可以使用該私有密鑰標記驗明身份(challenge)，并且自身可以將利用該公開密鑰所加密的消息進行解密。此外，通過使用其各自的可查明身份，兩個設備可以產(chǎn)生安全通信信道，具體地，其使得可以通過使用例如關于密鑰的一致協(xié)議來安裝對稱的會話密鑰。這種點對點的會話密鑰可以用于隨后的認證，并且確保兩個設備之間的通信(認證和機密性)。
存在多種公知的方法用于可靠地確保共同體的設備成員，包括已經(jīng)引用的“Secure management of groups of devices in a domesticnetwork”。
局部策略管理器具有關于所認證用于跨越家用共同體等的邊界的通信的第二類信息。在該類中，首先發(fā)現(xiàn)由設備所提供的公開服務列表，例如，公開HTTP服務器。其中還發(fā)現(xiàn)受限的服務列表。因此，僅在一定條件下可以訪問這些服務。對于這些服務的每一個，管理器具有關于針對訪問該服務必須完成的條件的信息。該信息的示例可以是用戶姓名和利用認證方法所使用的密碼、信息的具體加密項的知識、明確的認證設備列表、其設備被認證的域、或者其它情況。存在一些針對局部策略管理器的信息源。這可以是用戶或者安全策略的合理源，例如家用共同體的另一個設備。
某些在局部策略中出現(xiàn)的修改在共同體的各種設備之間共享。這些設備可以是一些類型。另一方面，用戶可以添加、去除或排除共同體中的設備?？梢詫τ谶B接到新設備的共同體設備進行添加，其中用戶將指定新設備應該被認為形成了部分共同體。設備的去除可以對于用戶希望從共同體中去除的設備或者屬于其的另一個設備進行。排除涉及的過程是用戶將向共同體指出必須停止認為不再訪問的設備是共同體的成員。機制使得可以類似地實現(xiàn)已引用的文獻“Securemanagement of groups of devices in a domestic network”中的描述。因此，當其處于通信狀態(tài)時，將由共同體的所有設備考慮這些修改。
策略改變的另一個類型是共同體的設備的服務狀態(tài)的改變。這里可以假設兩種方案。第一方案在于僅裝置所提供的服務列表形成該裝置的局部策略的部分。因此，不需要在其它設備上發(fā)送設備上所出現(xiàn)的服務狀態(tài)的改變。該方案的結果是僅在該同一設備上可以進行針對給定設備上所提供的服務的未認證請求的阻止。因此，不具有服務狀態(tài)的知識的網(wǎng)絡的其它設備將續(xù)傳該請求，而無法驗證其是否與安全策略相符合。第二方案在于發(fā)送關于共同體的所有設備上的服務狀態(tài)的信息。在這種情況下，將設備上的服務狀態(tài)中的任何改變自動發(fā)送給共同體的所有所連接的設備。在其下一次連接期間，對于在改變的時間未連接的設備進行更新。當?shù)竭_共同體的第一設備時，該方案使得可以阻止不順應的請求。可以僅在提供服務的設備上認證用戶對于服務狀態(tài)的改變。在這種情況下，在共同體的兩部分之間可以不存在策略的沖突，一直認為在提供服務的部分中所定義的狀態(tài)是其它部分的設備上要發(fā)送的正確狀態(tài)。在用戶認證來自共同體的任一設備的服務狀態(tài)改變的情況下，針對給定服務具有不同狀態(tài)的共同體的兩部分可以發(fā)生相互連接的情況。通過考慮狀態(tài)的最后改變的時間表，或者通過請求用戶的仲裁來確認在兩狀態(tài)之間的選擇，可以解決這種沖突。
針對其部分，用于適應環(huán)境的模塊負責對于設備的身份與網(wǎng)絡地址之間的關聯(lián)的管理，在這種情況下，所述網(wǎng)絡地址即其在給定時間具有的IP。具體地，當希望向設備發(fā)送消息時，該信息是不可缺少的，否則所述設備僅通過其可查明身份而知。該模塊還保留地址和訪問共同體的特權設備的身份之間的關聯(lián)。即，盡管設備沒有形成共同體的部分，其將具有對于共同體的一定服務的特權訪問。針對每一個設備，針對該模塊能夠獲得并保持設備身份與其在網(wǎng)絡上的地址之間的關聯(lián)的多種解決方法之一在于，在網(wǎng)絡上周期性地發(fā)送其地址和身份。當用于適應環(huán)境的模塊接收到該類型的消息，則其可以驗證該身份是合法的，從而與任何可能的侵占相斗爭。該模塊還負責以其它設備的MAE也可以自我更新的方式發(fā)送周期的聲明消息。
針對其部分，加密數(shù)據(jù)模塊將具有至少兩個主要功能。一方面，其將負責管理設備的可查明身份。另一方面，其還將服務于構建安全通信信道。具體地，由于不可能阻止外部和潛在惡意的設備在物理上訪問網(wǎng)絡，保證共同體的設備之間的通信是有用的。因此，可以創(chuàng)建群集家用共同體的設備的虛擬的私有網(wǎng)絡。由于在家用網(wǎng)絡中不穩(wěn)定的連接特點，安全通信信道的建立必須不要求共同體中超過兩個設備出現(xiàn)?；诠餐w所具有的局部知識，每一個設備處于確保與其它設備進行通信的點對點安全的位置。由于性能的原因，對稱密碼的使用較受歡迎，但是顯而易見，還可以使用非對稱的密碼。對稱密碼的使用要求在設備中對稱地安裝點對點密鑰。為了使用方面，不可能讓用戶定義和將這些對稱密鑰輸入進設備。此外，這將在安全級起反作用實際上存在用戶可能選擇薄弱密鑰的危險。例如，可以通過使用W.Diffie，P.van Oorschot和M.Wiener于1992年發(fā)表在Design Codesand Cryptography，2107-125的文獻“Authentication and authenticatedkey exchanges”中所定義的STS(“站對站”)協(xié)議進行密鑰的安裝。密鑰因此以無條件方式進行安裝，所述無條件方式是指不需要不具有所使用密鑰知識的用戶的干預。這使得可以得到較好的安全級和較好的系統(tǒng)人機工程學。點對點密鑰的該系統(tǒng)的另一個優(yōu)點是其對于設備的破壞的抵抗力。具體地，如果攻擊者要控制設備，其它設備之間的通信并不泄密，由于密鑰在共同體的每一對設備之間是嚴格點對點的。此外，當兩個設備出現(xiàn)在家用共同體中時，系統(tǒng)工作。家用共同體的受限大小和密鑰的整體分布式管理意味著每個設備要管理的密鑰的數(shù)目隨共同體的大小線性增加，并且合理地保留。
防火墻的核心是負責產(chǎn)生將被過濾器所使用的防火墻規(guī)則?；谝砸韵路绞降牟呗砸?guī)則影響該產(chǎn)生。
首先，防火墻的核心將建立認證普遍防火墻的操作所需的通信的規(guī)則。這包括在MAE之間所交換從而宣布并檢測可以通信的設備的消息，以及在加密模塊中所交換從而允許認證和點對點密鑰交換的消息，所述點對點密鑰在安裝了安全通信信道的情況下進行交換。在加密模塊之間的消息，盡管對于普遍防火墻的操作不是必不可少的，對于在家用共同體之內(nèi)建立較高的安全級別是需要。以下還需要其認證局部知識庫之間的消息，以及，那些有助于得到網(wǎng)絡地址的消息，例如DHCP請求等。所有這些通信的認證不需要在過濾器級別進行保護(加密或鑒權)。
其次，防火墻的核心將建立允許共同體的設備之間通信的規(guī)則。從用于適應屬于共同體的環(huán)境的模塊所識別的地址而來的任何消息將可以被解密，并且通過公知源的可查明身份，或者由密碼模塊所安裝的一個或多個對稱密鑰，將驗證其真實性(authenticity)。如果安裝了認證，如果認證正確，則將接收消息，并且否則將其拒絕。如果沒有安裝認證，則接收消息。
類似地，對于任何去往共同體的設備的消息，可以基于目的地的可查明身份或者基于由加密模塊所安裝的一個或多個對稱密鑰執(zhí)行加密和其認證，然后，將其分派。
防火墻的核心還將定義對于屬于特權服務的通信進行控制的規(guī)則。該規(guī)則必須實現(xiàn)對于驗證訪問狀態(tài)的檢查。例如，如果策略指示具有這種可查明身份的設備可以訪問給定的特權服務，則這里可以使用MAE，從而確定與可查明身份相對應的IP地址，以便于產(chǎn)生規(guī)則，其用于認證去往該設備以及來自該地址的請求。還可以使用IP協(xié)議的安全群組IPsec的性質(zhì)，從而過濾對于利用共享的秘密進行加密的服務的請求?？梢栽谟蒊ETF(即，因特網(wǎng)工程工作小組)所維護的RFC(即，請求注解)中找到編號2401的IPsec協(xié)議群組的規(guī)范，以及部分協(xié)議的描述，其中組成了編號分別為2402、2406和2409的AH、ESP和IKE。另一方面，通過較高級別認證方法保證對于服務的訪問是安全的，所述服務將聲明為公開服務，并且，在這種情況下，將在服務級進行認證。在這種情況下，可以引用對于通過用戶姓名和密碼可訪問的HTTP服務器的訪問。在這種情況下，在網(wǎng)絡協(xié)議級無法檢查。
防火墻的核心將類似地產(chǎn)生規(guī)則，所述規(guī)則不管消息源而認證屬于公開服務的通信。
最后，防火墻的核心將產(chǎn)生規(guī)則，所述規(guī)則除了通過上述的規(guī)則之一所明確認證的連接，禁止任何進入的連接，并且對于任何外出的連接進行認證。具體地，通過默認，認為所有服務是私有的。
利用安全策略的每一個修改或者當修改設備的環(huán)境時，來重新產(chǎn)生這些規(guī)則。這些修改可以來自布局的修改，即，來自網(wǎng)絡的一個或多個設備的添加或去除。這里注意，網(wǎng)絡的設備的去除，即不離開共同體的設備的連通性的損失，不要求新產(chǎn)生防火墻規(guī)則。只要IP地址沒有修改，則不超過連通性的返回(return of connectivity)。因此，僅共同體的設備的IP地址的改變或者批準訪問特權服務的設備的IP地址的改變、共同體的設備的去除、添加以及排除是要求新產(chǎn)生防火墻規(guī)則的事件。該修改還可以來自關于共同體內(nèi)可用的服務的策略的修改。正如所見，可以在提供服務的設備上局部地整體管理該修改，其單獨必須產(chǎn)生新的規(guī)則集合，或者可以在共同體中發(fā)送該修改，并且然后要求在共同體的所有設備上的新產(chǎn)生。由于該產(chǎn)生是完全自動化的，與具有其知識的安全策略相一致的防火墻規(guī)則的集合在任何時間對于設備都是可用的。
用戶是共同體中唯一的權威。因此，用戶自己可以定義其所擁有的設備所提供的服務的狀態(tài)，所述服務狀態(tài)是公開、私有或者受限的。為此，用戶必須在提供服務的設備上認證自己，所述服務的狀態(tài)是用戶希望修改的。在設備上認證自己的方式將依賴于設備，并且不需要在共同體內(nèi)一致?？梢园ㄒ斎氲揭苿与娫挼奶柎a、電視的密碼等。當被認證為設備的權威時，為用戶提供設備所提供的服務列表，并且用戶可以修改其狀態(tài)。后者還可以針對受限的服務，將訪問狀態(tài)規(guī)定為要用作示例的共享的秘密。
圖3表示參與防火墻設備的典型的通常的體系結構，參考號3.1。這種設備包括網(wǎng)絡接口，參考號3.6，用于將設備連接到參考號3.7的網(wǎng)絡。還包括永久存儲器，參考號3.5，用于根據(jù)圖2的體系結構來存儲需要防火墻的執(zhí)行的程序。將這些程序加載到隨機存取存儲器，參考3.3，用于通過參考3.2的中央處理器執(zhí)行。所有這些部件將通過參考號3.4的通信總線而連接起來。對于本領域的技術人員而言，以下是顯而易見的該體系結構可以變化這些裝置的排列，并且該體系結構僅是能夠?qū)崿F(xiàn)普遍防火墻的設備的典型體系結構。
按照這種方式，定義了在家用裝置的共同體的每一個設備上操作的普遍防火墻。該防火墻將在整個共同體內(nèi)實現(xiàn)一致和統(tǒng)一的安全策略，并且通過對通信進行過濾來對其保護。該防火墻完全分布在每一個設備上，并且沒有設備以其操作的方式起任何具體作用。該策略動態(tài)地變化，并且自動適應共同體內(nèi)的連通性的變化。用戶可以容易地修改該策略，而不必確定防火墻的實現(xiàn)細節(jié)。對于本領域的技術人員而言，以下是顯而易見的本發(fā)明可以在遵從包括不基于IP的各種通信協(xié)議網(wǎng)絡框架之內(nèi)實現(xiàn)，并且其并不成為對于本發(fā)明框架的偏離，從而修改所應用的安全策略的規(guī)則，或者修改表示普遍防火墻的體系結構的功能型分割。
權利要求
1.一種防火墻系統(tǒng)，能夠保證共享至少一個公共全局安全規(guī)則集合的可互連設備的共同體的安全，所述共同體的每一個設備具有存儲裝置，用于存儲至少包括全局安全規(guī)則、共同體的成員列表及其連接狀態(tài)、以及局部提供的服務列表的局部安全策略，所述共同體的多個設備包括對于去往和來自所連接的網(wǎng)絡的消息的過濾器，其特征在于，所述系統(tǒng)不包括集中式裝置，所述系統(tǒng)在共同體的每一個設備上具有計算過濾器所使用的規(guī)則的局部裝置，作為局部安全策略的功能。
2.根據(jù)權利要求1所述的系統(tǒng)，其特征在于，所述系統(tǒng)在共同體的每一個設備上具有用于更新局部安全策略并引起對過濾器所使用的規(guī)則的新計算的裝置。
3.根據(jù)權利要求2所述的系統(tǒng)，其特征在于，所述系統(tǒng)具有響應網(wǎng)絡中出現(xiàn)的改變而觸發(fā)對于過濾器所使用規(guī)則的新計算的裝置。
4.根據(jù)權利要求3所述的系統(tǒng)，其特征在于，觸發(fā)過濾器所使用規(guī)則的新計算所考慮的改變包括至少以下之一共同體的設備的網(wǎng)絡地址的改變，共同體的設備的添加、去除或者排除，以及共同體的設備所執(zhí)行的服務的狀態(tài)的改變。
5.根據(jù)權利要求3所述的系統(tǒng)，其特征在于，觸發(fā)過濾器所使用規(guī)則的新計算所考慮的改變包括至少以下之一共同體的設備的網(wǎng)絡地址的改變，共同體的設備的添加、去除或者排除，以及共同體的設備局部所執(zhí)行的服務的狀態(tài)的改變。
6.根據(jù)權利要求1所述的系統(tǒng)，其特征在于，所述系統(tǒng)在共同體的每一個設備上具有用于確定共同體之外的設備列表的裝置，所述共同體之外的設備具有對共同體的設備所提供的至少一個服務的特權訪問，所述列表與局部安全策略集成在一起。
7.一種包括裝置的設備，所述裝置用于從屬于可互連的設備的共同體，所述設備共享至少一個公共全局安全規(guī)則集合，具有存儲裝置，用于存儲至少包括全局安全策略的局部安全策略、共同體的成員列表以及其連接狀態(tài)、以及局部提供的服務列表，所述設備具有防火墻，其包括去往和來自所連接的網(wǎng)絡的消息過濾器，從而使得局部裝置計算過濾器所使用的防火墻規(guī)則作為局部安全策略的功能，不需要集中化裝置。
8.根據(jù)權利要求7所述的設備，其特征在于，所述設備具有更新局部安全策略和自動觸發(fā)過濾器所使用的規(guī)則的新計算的裝置。
9.根據(jù)權利要求8所述的設備，其特征在于，所述設備具有觸發(fā)過濾器所使用的規(guī)則的新計算的裝置，其在響應網(wǎng)絡中出現(xiàn)的改變時受到影響。
10.根據(jù)權利要求9所述的設備，其特征在于，觸發(fā)過濾器所使用的規(guī)則的新計算所考慮的改變包括至少以下之一共同體的設備的網(wǎng)絡地址的改變，共同體的設備的添加、去除或者排除，以及共同體的設備所執(zhí)行的服務的狀態(tài)的改變。
11.根據(jù)權利要求9所述的設備，其特征在于，觸發(fā)過濾器所使用規(guī)則的新計算所考慮的改變包括至少以下之一共同體的設備的網(wǎng)絡地址的改變，共同體的設備的添加、去除或者排除，以及共同體的設備局部所執(zhí)行的服務狀態(tài)的改變。
12.根據(jù)權利要求7所述的設備，其特征在于，所述設備具有用于確定共同體之外的設備列表的裝置，所述共同體之外的設備具有對共同體的設備所提供的至少一個服務的特權訪問，該列表與局部安全策略集成在一起。
13.一種更新防火墻所使用規(guī)則的方法，所述防火墻包括對于去往和來自網(wǎng)絡的消息的過濾器，所述網(wǎng)絡與實現(xiàn)該方法的設備相連接，形成可互連的設備的部分共同體的設備共享至少一個公共全局安全規(guī)則的集合，所述設備具有存儲裝置，用于存儲包括至少全局安全規(guī)則的局部安全策略、共同體成員列表及其連接狀態(tài)、以及局部所提供的服務列表，作為局部安全策略的功能所計算的所述規(guī)則，所述方法包括至少以下步驟檢測共同體的設備的添加、去除和排除；檢測共同體的設備的網(wǎng)絡地址的改變；響應局部安全策略的改變，觸發(fā)對于規(guī)則的新計算。
14.根據(jù)權利要求13所述的方法，其特征在于，還具有檢測由設備所執(zhí)行的服務的狀態(tài)的改變的步驟。
15.根據(jù)權利要求13所述的方法，其特征在于，還具有檢測由共同體的設備所執(zhí)行服務的狀態(tài)的改變的步驟。
16.根據(jù)權利要求14或15之一所述的方法，其特征在于，觸發(fā)防火墻規(guī)則的新計算與對于共同體的設備的添加、去除和排除的檢測相關，并且與共同體的IP地址的改變以及服務狀態(tài)的改變的檢測相關。
全文摘要
本發(fā)明涉及一種通過可互連的家用共同體的防火墻進行的保護。本發(fā)明允許在每一個設備級上所實現(xiàn)的防火墻策略的分布式和全部分散式的管理，其與在家用網(wǎng)絡之內(nèi)所出現(xiàn)的變化相一致，并且動態(tài)地對其適應。應討論普遍防火墻。
文檔編號H04L12/28GK1719834SQ20051008194
公開日2006年1月11日 申請日期2005年7月8日 優(yōu)先權日2004年7月9日
發(fā)明者尼古拉斯·普里讓, 奧利維耶·赫恩, 克里斯托夫·比當, 奧里維耶·庫爾泰, 讓-皮埃爾·安德烈奧斯 申請人:湯姆森許可貿(mào)易公司