Verfahren zur Übertragung und zur Überprüfung von Synchronisierungs-Nachrichten

Die Erfindung betrifft ein Verfahren zur Übertragung von Synchronisierungs-Nachrichten gemäß des Oberbegriffs des Patentanspruchs 1 und eine Verfahren zur Überprüfung einer Synchronisierungs-Nachricht gemäß des Oberbegriffs des Patentanspruchs 11.

In verteilten Kommunikations- oder Datenverarbeitungssystemen werden hohe Anforderungen an die Zeitsynchronität von dessen Komponenten gestellt. Die Zeittaktgeber dieser Komponenten werden häufig durch den Austausch von Synchronisierungs- Nachrichten, also mit Zeitstempeln oder Administrations- Nachrichten versehenen Datenpaketen, über ein asynchrones Netzwerk miteinander oder mit einem über das asynchrone Netzwerk erreichbaren Referenzzeitgeber synchronisiert.

Als Protokoll zur Takt- und Phasensynchronisation von Zeittaktgebern über asynchrone Netzwerke wird gegenwärtig das sog. PTP-Protokoll (PTP: Precision Time Protocol) verwendet, welches im Standard IEEE-1588 (IEEE: "Institute of Electrical and Electronical Engineers") definiert ist. Dabei werden als Synchronisierungs-Nachrichten sog. PTP-Nachrichten beispielsweise mit Hilfe von Datenpaketen, die dem Internet- Protokoll genügen, über das asynchrone Netzwerk ausgetauscht.

Die PTP-Nachrichten werden bislang vornehmlich in Netzwerken und Netzsegmenten eingesetzt, die sowohl geographisch als auch logisch von einer geringen Größe sind. Neue Techniken, insbesondere bei aktiven Netzelementen (Switche, Router, etc.) machen es jedoch möglich, PTP-Nachrichten auch in größeren Netzwerken mit einer hohen Zahl von „Teilnehmern", also Netzelementen, einzusetzen. Dabei hat sich jedoch als nachteilig erwiesen, dass die PTP-Nachrichten „abgehört"

werden können. So sind als Hilfsmittel („Tools") sog. „Sniffer" bekannt, mit denen der gesamte Datenverkehr in einem Netzwerk oder Netzsegment ausgespäht werden kann. Aus einer dabei vorgenommenen missbräuchlichen Analyse der registrierten (abgehörten) PTP-Nachrichten kann dabei auf die Funktion und Arbeitsweise anderer Netzelemente geschlossen werden, was ein Problem für die Datensicherheit darstellen kann. Außerdem ist es möglich, PTP-Nachrichten zu „fälschen" und damit die Funktionsweise anderer Netzelemente zu stören. Schließlich können auch „echte" PTP-Nachrichten aufgezeichnet und wiederholt missbräuchlich in das Netzwerk bzw. Netzsegment eingebracht werden, wodurch ebenfalls die Funktion anderer Netzelemente gestört wird. Letztgenannte missbräuchliche Vorgänge sind auch als „Denial-of-Service- Angriffe" bekannt.

Es ist also eine Aufgabe der vorliegenden Erfindung, die durch missbräuchliche Synchronisierungs-Nachrichten verursachten Störungen zu verhindern oder zu vermeiden.

Die Aufgabe wird durch ein Verfahren gemäß des Patentanspruchs 1 und durch ein Verfahren gemäß des Patentanspruchs 11 gelöst.

Die Lösung sieht dabei ein Verfahren zur Übertragung von Synchronisierungs-Nachrichten vor, wobei eine Synchronisierungs-Nachricht in ein Datenpaket, vorzugsweise gemäß des Internet-Protokolls, eingefügt wird. Dabei wird die Synchronisierungs-Nachricht mit einer elektronischen Signatur (CT) versehen, wobei in einem ersten Schritt eine allgemeine elektronische Signatur erzeugt wird, in einem zweiten Schritt die allgemeine elektronische Signatur mit der Synchronisierungs-Nachricht zu einer Prüfnachricht zusammengefasst wird, in einem dritten Schritt über diese Prüfnachricht ein Hash-Wert (genauer: ein „keyed" Hash-Wert, also ein verschlüsselter Hash-Wert) errechnet wird, in einem vierten Schritt der errechnete Hash-Wert zu der allgemeinen elektronischen Signatur zugefügt wird, und in einem fünften

Schritt die derart elektronisch signierte Synchronisierungs- Nachricht übertragen wird. Durch die Übertragung einer derart elektronisch signierten Synchronisierungs-Nachricht kann eine empfangene Komponente feststellen, ob die Synchronisierungs- Nachricht durch eine autorisierte sendende Komponente signiert wurde, die mit dem richtigen Schlüssel ausgestattet ist. Das setzt voraus, dass in einer sendenden Komponente und in jeder empfangenden Komponente derselbe Schlüssel zur Erzeugung von Hash-Werten gespeichert bzw. verwendet wird.

Die Lösung der Aufgabe sieht weiter ein Verfahren zur Überprüfung einer gemäß des vorstehenden Übertragungs- Verfahrens übermittelten Synchronisierungs-Nachricht vor, wobei die Synchronisierungs-Nachricht mit der elektronischen Signatur empfangen wird, der mit der elektronischen Signatur empfangene Hash-Wert ausgelesen wird, ein Vergleichs-Hash- Wert über die aus der Synchronisierungs-Nachricht (PTP-M) und der allgemeinen elektronischen Signatur (CT) gebildete Prüfnachricht errechnet wird, und ein Vergleich des ausgelesenen Hash-Wertes mit dem Vergleichs-Hash-Wert vorgenommen wird. Durch den Einsatz dieses Verfahrens kann die Authentizität und Integrität einer empfangenen Synchronisierungs-Nachricht festgestellt werden.

Vorteilhafte Ausgestaltungen des Übertragungs-Verfahrens sind in den abhängigen Patentansprüchen 2 bis 10 angegeben; vorteilhafte Ausgestaltungen des Überprüfungs-Verfahrens sind in den abhängigen Patentansprüchen 12 bis 14 angegeben. Die Merkmale und Vorteile in den zu dem Übertragungs-Verfahren angegebenen abhängigen Patenansprüchen gelten sinngemäß auch für das erfindungsgemäße Überprüfungs-Verfahren, und umgekehrt .

Wenn die allgemeine elektronische Signatur für die Berechnung des Hash-Wertes mit einem Platzhalter für den Hash-Wert versehen und der Platzhalter anschließend durch den errechneten Hash-Wert ersetzt wird, liegt der Hash-Wert- Berechnung ein größeres Bitmuster zugrunde, was die

Sicherheit der Codierung erhöht. Das gilt insbesondere bei der Verwendung nicht-trivialer Platzhalter, die zwischen sendender Komponente und den empfangenden Komponenten vereinbart werden können.

Als Schlüssel werden in einer sendenden Komponente und in einer empfangenden Komponente vorteilhaft jeweils Hash-Werte gespeichert, die aus einem Passwort errechnet werden. Dadurch wird vermieden, dass das Passwort in den Komponenten jeweils im Klartext gespeichert werden muss.

Als Synchronisierungs-Nachricht wird vorteilhaft eine PTP- Zeitstempel-Nachricht und/oder eine PTP-Administrations- Nachricht gemäß des IEEE-1588-Protokolls verwendet. Nachrichten dieses Protokolls sind besonders zur präzisen Synchronisierung von Komponenten geeignet.

Vorteilhaft wird für PTP-Zeitstempel-Nachrichten als Schlüssel ein Zeitstempel-Schlüssel und PTP-Administrations- Nachrichten ein dazu unterschiedlicher Administrations- Schlüssel verwendet. Damit können Zeitstempel-Nachrichten gleichzeitig an mehrere empfangende Komponenten gerichtet sein, beispielsweise im Broadcast-Verfahren oder im Multicast-Verfahren. Durch die Verwendung eines davon abweichenden Administrations-Schlüssels kann dennoch die Berechtigung zur Administration für jede empfangende Komponente einzeln eingestellt werden. Insbesondere kann dabei vorteilhaft eine PTP-Administrations-Nachricht zur Änderung des Zeitstempel-Schlüssels bei einer Komponente verwendet werden, so dass eine weite Verbreitung eines

Zeitstempel-Schlüssels kein Sicherheitsrisiko bezüglich der Administration in sich birgt und einzelne empfangende Komponenten gezielt für den Empfang von Zeitstempel- Nachrichten freigeschaltet und/oder gesperrt werden können.

In einem Netzwerk können unterschiedliche Verfahren zur Erzeugung des Hash-Wertes eingesetzt werden, indem die elektronische Signatur zumindest eine Angabe über den zur

Erzeugung des Hash-Wertes verwendeten Algorithmus und eine Sequenz-Nummer aufweist. Dabei wird vorteilhaft für jede Synchronisierungs-Nachricht eine unterschiedliche Sequenznummer eingesetzt. Dadurch können durch eine empfangene Komponente missbräuchlich duplizierte

Synchronisierungs-Nachrichten (sog. ,,Replay"-Attacke) identifiziert werden, wobei nur solche Synchronisierungs- Nachrichten akzeptiert werden, die eine zu den vorhergehenden Synchronisierungs-Nachrichten unterschiedliche Sequenz-Nummer aufweisen. Vorteilhaft werden als Sequenz-Nummern monoton steigende oder fallende Zahlenwerte verwendet, so dass für die Überprüfung immer nur die Sequenz-Nummer der vorangehenden Synchronisierungs-Nachricht gespeichert und verglichen werden muss.

Durch die Aufnahme der elektronischen Signatur in die Synchronisierungs-Nachricht können derart signierte Synchronisierungs-Nachrichten in dem für Synchronisierungs- Nachrichten vorgesehenen Protokoll-Stack einer Komponente überprüft werden. Die elektronische Signatur ist somit unabhängig von den zur Übertragung der Synchronisierungs- Nachrichten verwendeten zusätzlichen Protokollelementen, beispielsweise einen IP-Header und/oder einem UDP-Header des Internet Protokolls.

Ausführungsbeispiele dem erfindungsgemäßen Verfahren sind nachfolgend anhand der Zeichnung erläutert.

Dabei zeigt die einzige Figur schematisch den Aufbau einer mittels des Internet-Protokolls zu versendenden

Synchronisierungs-Nachricht mit einer elektronischen Signatur.

Eine Synchronisierungs-Nachricht PTP-M soll von einer sendenden Komponente zu einer empfangenden Komponente übermittelt werden. Im vorliegenden Ausführungsbeispiel soll dafür ein paketvermitteltes Datennetz, nämlich ein Ethernet- basiertes LAN (Local Area Network) verwendet werden. Die

sendende und die empfangende Komponente sind dabei in derselben Sub-Domäne angeordnet. Zur Übertragung der Synchronisierungs-Nachricht wird das Internet-Protokoll UDP/IP verwendet. Aus diesem Grund ist das in der Figur 1 schematisch dargestellte Datenpaket sowohl mit einem IP- Header als auch mit einem UDP-Header ausgestattet. Selbstverständlich können auch andere Übertragungswege benutzt werden, beispielsweise Feldbus-Systeme, Funknetzwerke o.a., wobei in diesen Fällen anstelle der UDP/lP-Header andere Protokollelemente zum Einsatz kommen.

Das in der Figur dargestellte Datenpaket wird mit Hilfe des UDP-Headers an einen speziell für signierte Synchronisierungs-Nachrichten reservierten UDP-Port der empfangenden Komponente adressiert. Alternativ kann auch ein allgemein für Synchronisierungs-Nachrichten reservierter UDP- Port verwendet werden; in diesen Fällen muss dann aber der für Synchronisierungs-Nachrichten eingesetzte Protokoll-Stack selbsttätig zwischen signierten und nicht-signierten Synchronisierungs-Nachrichten differenzieren.

Im vorliegenden Ausführungsbeispiel kommen als Synchronisierungs-Nachrichten sog. PTP-Messages (PTP = Precision Time Protocol) des Standards IEEE-1588 zum Einsatz. Dabei sind mit Synchronisierungs-Nachrichten sowohl

Zeitstempel-Nachrichten, also Nachrichten mit für die Synchronisierung von Komponenten bestimmten

Zeitinformationen, als auch Administrierungs-Nachrichten (MM- Nachrichten = Management-Nachrichten) gemeint.

Die Synchronisierungs-Nachricht PTP-M soll vor dem Versenden mit einer elektronischen Signatur CT („Crypto Token") versehen werden. Die elektronische Signatur CT besteht aus mehreren Elementen; im vorliegenden Ausführungsbeispiel sind das u.a. eine Identifikationsnummer („Crypto Token ID"), eine Längenangabe, eine Angabe über die Sendezeit, eine Identifizierung für den Sender, eine Angabe über den zur Erzeugung eines „keyed" Hash-Wertes verwendeten Algorithmus'

und der Hash-Wert selbst. In alternativen Aus führungsformen kann natürlich die Anzahl der Datenfelder in der elektronischen Signatur CT variiert sein.

Kern der elektronischen Signatur CT ist der keyed

(„verschlüsselte") Hash-Wert, also eine mittels eines speziellen Algorithmus' erzeugte „Checksumme", zu deren Erzeugung ein Schlüssel („Shared Secret") verwendet wird. Dabei wird der Hash-Wert sowohl über die Synchronisierungs- Nachricht PTP-M bzw. ein wesentlicher Teil davon, als auch über die elektronische Signatur CT errechnet. Das ist in der Figur durch den Bereich IC (Integrity Check) dargestellt.

Der errechnete Hash-Wert soll innerhalb der elektronischen Signatur CT angeordnet und zusammen mit der

Synchronisierungs-Nachricht PTP-M und der elektronischen Signatur CT übermittelt werden. Da selbstverständlich zum Zeitpunkt der Errechnung des Hash-Wertes dieser in der elektronischen Signatur CT noch nicht vorliegt, wird für die Errechnung des Hash-Wertes innerhalb der hier noch als allgemein zu bezeichnenden elektronischen Signatur CT anstelle des Hash-Wertes ein Platzhalter eingefügt, beispielsweise eine Folge von logischen Nullen. Dieser Platzhalter hat dabei die gleiche Anzahl von Bit-Stellen wie der spätere Hash-Wert. Im vorliegenden Ausführungsbeispiel ist die Größe des Platzhalters 12 Oktette, also 96 Bit. Nun wird über die Synchronisierungs-Nachricht PTP-M und die mit dem Platzhalter versehene elektronische Signatur (CT) ein Hash-Wert berechnet. Dazu wurde sowohl in der sendenden Komponente als auch in jeder (potenziell) empfangenden

Komponente der gleiche Schlüssel (Shared Secret) hinterlegt. Zur Errechnung des Hash-Wertes wird im vorliegenden Beispiel der Algorithmus HMAC-SHAl-96 (Hashed Message Authentication Code/Secure Hash Algorithm/96 bit) eingesetzt. Ergebnis der Berechnung ist ein 160 Bit langer Hash-Wert (20 Oktette) , von dem im Folgenden die linken 96 Bit (12 Oktette) verwendet und anstelle des Hash-Platzhalters in die allgemeine elektronische Signatur CT eingefügt werden.

Alternativ kann der Hash-Wert auch über die Synchronisierungs-Nachricht PTP-M und die elektronische Signatur CT ohne den Platzhalter errechnet werden und dann zur Erweiterung der allgemeinen elektronischen Signatur CT angehängt oder vorangestellt werden.

Anschließend wird in der sendenden Komponente ein Zähler für die Sequenz-Nummern der elektronischen Signaturen um 1 erhöht, und die mit dem errechneten Hash-Wert signierte

Nachricht an die empfangende Komponente oder die empfangenden Komponenten versendet. Im RFC2104 (RFC = Request for Comment der IETF) ist das Verfahren zur Verwendung eines Schlüssels bei der Berechnung von Hash-Werten beschrieben (IETF RFC 2104 (1997), HMAC: "Keyed hashing for message authentication", H. Krawczyk, M. Bellare, R. Canetti, February 1997) .

Eine empfangende Komponente kann eine gemäß des vorstehend beschriebenen Verfahrens signierte Synchronisierungs- Nachricht hinsichtlich ihrer Authentizität und Integrität überprüfen. Dieser Vorgang ist im Folgenden beschrieben.

Es wird davon ausgegangen, dass die empfangende Komponente mit dem gleichen Schlüssel (Shared Secret) ausgestattet ist, den die sendende Komponente zur Erzeugung der elektronischen Signatur CT, genau genommen des darin enthaltenen Hash- Wertes, verwendet hat. Ferner wird davon ausgegangen, dass die empfangende Komponente einen Zwischenspeicher für zumindest die als letztes empfangene Sequenz-Nummer aufweist. Zunächst speichert die empfangende Komponente den in der empfangenen Synchronisierungs-Nachricht bzw. der zugeordneten elektronischen Signatur CT enthaltenen Hash-Wert in einem Zwischenspeicher ab. Alternativ kann selbstverständlich auch das gesamte empfangene Datenpaket in einer Kopie gespeichert werden.

Nun wird in der elektronischen Signatur CT des empfangenden Datenpaketes bzw. der empfangenden Synchronisierungs-

Nachricht PTP-M der Hash-Wert durch einen entsprechend bemessenen Platzhalter (hier: 96 logische Nullen) ersetzt. Anhand der in der elektronischen Signatur CT enthaltenen Angabe wählt die empfangende Komponente nun das auch von der sendenden Komponente verwendete Berechnungsverfahren (Algorithmus) zur Errechnung des Hash-Wertes aus und berechnet über die mit dem Platzhalter versehene Nachricht (Bereich IC = Integrity Check) einen Hash-Wert. Sofern die empfangende Synchronisierungs-Nachricht PTP-M bzw. die empfangende elektronische Signatur CT nicht beschädigt wurde bzw. manipuliert wurde, sollte die nun vorgenommene Hash- Wert-Berechnung das gleiche Ergebnis liefern, wie die senderseitige Hash-Wert-Berechnung. Dabei wird gemäß der Angaben in der elektronischen Signatur CT ebenfalls der errechnete 160 Bit lange Hash-Wert auf die 96 linken

Bitstellen reduziert. Dadurch stehen einem potentiellen Angreifer weniger Informationen über das Hash-Code-Ergebnis zur Verfügung. Dieser Hash-Wert wird mit dem zuvor zwischengespeicherten und empfangenen Hash-Wert verglichen, wobei bei einer Nicht-Übereinstimmung (negatives

Überprüfungsergebnis) die empfangene Synchronisierungs- Nachricht verworfen wird. Gleiches gilt für die Fälle, in denen sich die Sequenz-Nr. der gerade empfangenden Synchronisierungs-Nachricht PTP-M bzw. der dieser zugeordneten Elektronischen Signatur CT nicht in der vorgeschriebenen Weise (hier: + 1) von den zuvor empfangenden Datenpaketen unterscheidet. In diesen Fällen wird nämlich von einer „Denial-of-Service-Attacke" bzw. von einer „Replay- Attacke" ausgegangen.

Mit den vorstehend beschriebenen Verfahren können sowohl Zeitstempel-Nachrichten als auch Administrations-Nachrichten vor Manipulationen und vor einer Duplizierung geschützt werden bzw. eine Manipulierung bzw. Duplizierung erkannt werden, so dass derart manipulierte bzw. „gefälschte"

Synchronisierungs-Nachrichten PTP-M nicht verarbeitet werden. Sinnvoller Weise werden unterschiedliche Schlüssel (Shared Secrets) für Zeitstempel-Nachrichten und Administrations-

Nachrichten verwendet. Dabei können Administrations- Nachrichten auch zur Änderung von Schlüsseln in einer empfangenden Komponente verwendet werden. Dabei sollte selbstverständlich der neue Schlüssel (Shared Secret) nur in verschlüsselter Form, beispielsweise mit Hilfe des AES- oder des 3DES-Algorithmus, übertragen werden. Als Schlüssel für diesen Verschlüsselungsvorgang bietet sich wiederum die Verwendung des bislang für die Administration verwendeten Schlüssels an, wobei bei einem neu zu verteilenden Administrations-Schlüssel für die Verschlüsselung dieses neuen Administrations-Schlüssels (letztmalig) der bisher verwendete Administrations-Schlüssel verwendet werden sollte. Falls in den Komponenten als Schlüssel Passwörter verwendet werden sollen, die beispielsweise aus Buchstaben, Zahlen und Sonderzeichen bestehen, kann vorteilhaft für die interne Darstellung dieser Passwörter ein keyed Hash-Wert benutzt werden, der mittels eines vorher vereinbarten Verfahrens und eines vorher vereinbarten „Start-Schlüssels" aus der Zeichenfolge des Passworts errechnet wird.

In der sendenden und vor allem in der empfangenden Komponente wird die Erzeugung bzw. die Überprüfung der elektronischen Signatur CT bevorzugt im Protokoll-Stack für Synchronisierungs-Nachrichten, hier also dem IEEE-1588- Protokoll-Stack, vorgenommen. Das hat zum einen den Vorteil, dass vorhandene Anwendungsprogramme in einer bekannten Art und Weise auf den PTP-Protokoll-Stack zugreifen können, und zum anderen den Vorteil, dass die durch die Erstellung der elektronischen Signatur CT bzw. durch die Überprüfung der elektronischen Signatur CT eintretenden Verzögerungen

(Laufzeitverlängerungen) durch den jeweiligen PTP-Protokoll- Stack berücksichtigt werden können.