DE10217952A1

DE10217952A1 - Vorrichtung und Verfahren zum Schutz von Datenendgeräten und Datenservern zwischen öffentlichen und privaten Datennetzen

Info

Publication number: DE10217952A1
Application number: DE10217952A
Authority: DE
Inventors: Rene Holzer; Ramona Wonneberger
Original assignee: NUTZWERK INFORMATIONSGMBH
Current assignee: NUTZWERK INFORMATIONSGMBH
Priority date: 2002-04-22
Filing date: 2002-04-22
Publication date: 2003-11-13

Abstract

Die Erfindung betrifft eine Vorrichtung (2) zum Schutz von digitalen Geräten (1) in einem Netzwerk, mit der Funktionalität eines Proxys, mit einer Schnittstelle zum Netzwerk für Anfragen von Endgeräten und/oder Antworten, mit einer Bearbeitungseinheit, die von der Schnittstelle empfangene Anfragen entgegennimmt, diese auf schädliche Informationen prüft, um diese aus der Anfragen zu entfernen und/oder um diese durch reparierte Informationen in der Anfrage zu ersetzen, um dann die geprüfte Anfrage an das Ziel (3) weiterzuleiten, wobei die Antwort vom Ziel ebenfalls auf schädliche Informationen geprüft wird, um diese aus der Antwort zu entfernen und/oder um diese durch reparierte Informationen in der Antwort zu ersetzen, um dann die geprüfte Antwort an das digitale Endgerät weiterzuleiten.

Description

Die Erfindung betrifft eine Vorrichtung und ein Verfahren zum Schutz von Datenendgeräten und Datenservern zwischen vorzugsweise öffentlichen und privaten Datennetzen. Der Schutz wird für den eingehenden oder ausgehenden bzw. für den gesamten Datenstrom unabhängig vom Typ des angeschlossenen Datenendgerätes bzw. Datenservers gewährleistet. Der Schutz erstreckt sich auf dynamisch und fest angeschlossene Datenendgeräte oder Datenserver an Datennetzwerken. Die Erfindung stellt Schutzvorrichtungen bereit, auch wenn Datenschutzprogramme auf dem Datenendgerät oder Datenserver nicht gespeichert werden können.
Unter einem privaten Netz ist ein Netzwerk oder eine Netzwerkeinheit in einem Datengerät gemeint, dass nur einer bestimmten Nutzergruppe zugänglich ist. Das kann eine einzelne Person sein, eine Familie oder aber auch die Mitarbeiter eine Firma.
Das öffentliche Netz ist ein Datennetzwerk, was von Nutzern unabhängig von Ort und Zeit betreten werden kann, insbesondere das Internet. Die Zuordnung der Datenströme zwischen privaten und öffentlichen Netzen erfolgt durch dynamische oder feste Adressen. Die Datenübertragung zwischen öffentlichen und privaten Netzen wird über definierte Übertragungsprotokolle realisiert. Im Internet zum Beispiel würde die Zuordnung über IP-Adressen erfolgen und die Datenübertragung mit dem TCP/IP Übertragungsprotokoll. Beim Datenaustausch zwischen mobilen Endgeräten erfolgt dagegen die Zuordnung über Telefonnummern und die Datenübertragung durch den GSM- oder UMTS-Standard.
Beim Austausch von Daten zwischen öffentlichen und privaten Netzwerken besteht ein Hauptproblem darin, dass unerwünschte Daten oder Daten, die das Datenendgerät oder den Datenserver beschädigen können, ausgetauscht werden. Zusätzlich besteht die Gefahr darin, dass Zusatzinformationen im Datenstrom unwissentlich vom Datenendgerät oder Datenserver in das Datennetz verschickt oder empfangen werden. Die Zusatzinformation kann an anderer Stelle ausgewertet und missbraucht werden.
Unter unerwünschten Daten sind alle die Daten zu verstehen, die der Nutzer nicht mit dem Datenstrom erhalten möchte. Das sind neben Datenviren auch Werbebanner, Cookies, Programmscripte usw.
Besonders Schäden durch Datenviren sind auf Grund des starken Wachstums der Vernetzung zwischen Datenendgeräten und Datenservern mit einem stetigen Anstieg verbunden. Datenviren gibt es in unterschiedlichen Arten. Die Schäden reichen von der Zerstörung, Manipulation und Missbrauch von Datenträgern bis hin zu Programmen, die Datengeräte und Nutzerdaten ausspionieren und unwissentlich vom Nutzer versenden.
Neben den Datenviren gibt es unerwünschte Zusatzinformationen, die im Datenstrom mitgesendet werden. Diese Zusatzinformationen richten Schäden unterschiedlichster Art an. Das ständige Laden von Werbebannern kann die Verbindung zwischen Datenendgerät und Datenserver merklich verlangsamen. Durch die Speicherung von Zusatzinformationen auf dem Datenendgerät fühlen sich die Nutzer in ihrer Privatsphäre verletzt. Bei der unwissentlichen Speicherung auf dem Datenendgerät bzw. Datenserver kann ein Programm nachträglich Informationen des Datenträgers oder des Nutzers auslesen. Zusätzlich können diese Zusatzinformationen Lücken und Fehler von installierten Datenprogrammen missbrauchen, um Datengeräte zu manipulieren oder auszuspähen.
Dabei sind die Datenviren und unerwünschte Zusatzinformationen nicht auf Datenendgeräte bzw. Datenserver im ursprünglichen Sinne beschränkt. Überall, wo Datenprogramme ablaufen - das sind fast alle Geräte des modernen Lebens - können Schäden angerichtet werden. Es ist bereits bekannt, dass es Datenviren für mobile Endgeräte gibt, die zum Beispiel unwissentlich SMS- Nachrichten versenden.
Immer mehr Geräte werden über öffentliche Netze mit Datenservern verbunden. Dabei können sehr viele Arten von Datenendgeräten nicht zusätzlich durch Schutzprogramme erweitert werden. Die Datengeräte werden fertig bestückt ausgeliefert und bieten keine Möglichkeit eines Nachrüstens wie ein Computer. Computer als Datenendgeräte und Datenserver bieten die Möglichkeit, nachträglich Schutzprogramme zu installieren. Dabei muss der Nutzer die Schutzprogramme nicht nur einwandfrei installieren, sondern ein erheblicher Pflegeaufwand zur Aktualisierung der Erkennungsmuster ist notwendig. Schon die einwandfreie Installation bereitet Nutzern große Probleme. Zu unterschiedlich arbeiten die einzelnen Schutzprogramme mit verschiedenen Betriebssystemen oder weiteren installierten Datenprogrammen.
Die aktuellen Schutzprogramme arbeiten immer innerhalb eines privaten Netzwerkes oder einer Zentraleinheit. So ist z. B. in Fig. 1 die Unterscheidung eines privaten Netzwerkes und einer Zentraleinheit veranschaulicht. Der eingehende oder versendete Datenstrom erreicht erst den Datenträger des Datenendgeräts oder des Datenservers, bevor ein Schutzprogramm Daten untersuchen und Reaktionen einleiten kann.
Diese Eigenschaften ermöglichen nur den Schutz von Geräten, wenn der Nutzer das Schutzprogramm installiert, die zugrunde liegenden Muster und Regeln des Schutzprogramms aktualisiert und das Schutzprogramm einwandfrei arbeitet. Die einwandfreie Arbeitsweise kann nur bedingt festgestellt werden. Wenn ein schadhaftes Programm die ersten Schäden anrichtet, ist es für den Nutzer ersichtlich, dass er eventuelle Einstellungen im Schutzprogramm verändern muss.
Allein im Jahr 2001 sind Schäden an Computern in Höhe von 17 Milliarden Dollar entstanden. Nur 5 Prozent aller Nutzer, die regelmäßig mit einem öffentlichen Netzwerk verbunden sind, haben Schutzprogramme installiert, die einwandfrei arbeiten. Durch die Komplexität der Schutzprogramme und die nicht unerheblichen Investitionen in diese können nur Unternehmen mit eigenem Administrationspersonal einen dauerhaften Schutz für das private Netzwerk gewährleisten. Das betrifft aber nur Computeranlagen. Geräte ohne Möglichkeit der Nachrüstung sind aktuell völlig ungeschützt schadhaften Programmen ausgeliefert.
Schutzprogramme und Einrichtungen arbeiten auf unterschiedlichen Ebenen. Zu den wichtigsten Ebenen zählen die Portebene und die Anwendungsebene. Beide unterscheidet, das in der Portebene nicht auf den Inhalt des Datenstromes Einfluss genommen werden kann. Aus WO 99/54827 und WO 99/48261 sind Vorrichtungen bekannt, die auf Basis von IP-Adressen und Portadressen Schutzvorrichtungen zur Verfügung stellen. Eine inhaltsbezogene Filterung und die Bestimmung des Typs des übertragenen oder empfangenen Datenstromes findet nicht statt.
Aus den Druckschriften US 5996 011 und WO 99/41913 sind Vorrichtungen bekannt, die zusätzlich inhaltsbezogene Informationen berücksichtigen. Dabei wird der Datenstrom entweder weitergleitet oder blockiert. Eine Modifikation des Datenstromes findet nicht statt. Zusätzlich wird nicht der Typ des übertragenen oder empfangenen Datenstromes bestimmt. Dieses ist aber zwingend erforderlich, um je nach Datentyp das entsprechende Schutzprogramm zu laden.
Aufgabe der vorliegenden Erfindung ist es, eine Vorrichtung und ein Verfahren bereitzustellen, dass eine einfache Analyse von Informationen erlaubt, wobei sowohl zustandslose als auch zustandsgebundene Verbindungen berücksichtigt werden.
Gelöst wird diese Aufgabe durch Erfindungen mit den Merkmalen der unabhängigen Ansprüche.
Der prinzipielle Ansatz der Erfindung besteht darin, einen Proxy zu verwenden, der sowohl für zustandslose als auch für zustandsgebundene Verbindungen eine Analyse der Anfragen und Antworten vornimmt. In einer besonderen Ausführungsform wird die Authentifizierung durch den Proxy simuliert, der sich dann beim Ziel (Server) erneut anmeldet.
Nach dem Stand der Technik ist keine Vorrichtung oder Verfahren bekannt, das einen Client (Endgerät) bewegt, im Authentifizierungsverfahren zu warten, damit die unabhängige Schutzvorrichtung sowohl die Daten holt oder versendet und in einem zweiten Schritt die Daten analysiert und behandelt. Alle bekannten Verfahren und Vorrichtungen brechen mit einem Zeitüberschreitungsfehler ab. Dieses hat der Stand der Technik so formuliert, um Verbindungen automatisch dann zu lösen, wenn die Gefahr eines Dauerblockierens der Datenleitung oder des Datenservers besteht.
Das bedeutet, dass der Client, der sich vor Schadprogrammen schützen will, einen Datenserver in Anspruch nehmen muss, der Schutzvorrichtungen installiert hat. Im Internet wäre der Client ein privater Benutzer oder ein Unternehmen und der Datenserver zum Beispiel ein POP3 E-Mail-Postfach bei seinem Provider. Schutz erhält der Benutzer nur dann, wenn der Provider auf seinen POP3-Servern Schutzprogramme installiert hat und diese ständig aktualisiert. Alternativ kann sich der Benutzer Schutzprogramme auf seinem Datenendgerät installieren und pflegen, vorausgesetzt, das Datenendgerät lässt eine Installation von Schutzprogrammen zu.
In Datennetzen wird mit unterschiedlichen Übertragungsmethoden gearbeitet. Auf der einen Seite gibt es die zustandslose Übertragung, zum Beispiel die Übertragung nach dem HTTP- Standard. Auf der anderen Seite gibt es die Übertragung in einem fest definierten Zeitraum, zum Beispiel Übertragung POP3, SMTP, GSM oder UMTS.
Für die zustandslose Übertragung ist es erforderlich, um Schutz für angeschlossene Geräte zu liefern, Datentypen aus dem Datenstrom zu filtern und einer separaten Schutzvorrichtung zu übergeben. Nach Prüfung und Reinigung wird der Datentyp wieder dem Datenstrom zugeführt. Dabei besteht die Notwendigkeit, den Datenstrom nicht vollständig zu blockieren, um eine Analyse durchzuführen. Der Stand der Technik gibt kein Verfahren an, welches komplette Teile des Datenstromes für eine Analyse eliminiert, den nicht betroffenen Datenstrom ungehindert zum Client weiterleitet und nach Analyse und Behandlung die Daten wieder dem Datenstrom zuführt.
Im Gegensatz zur zustandlosen Datenverbindung muss für die feste Datenverbindung der Client eine dauerhafte Verbindung mit einem Datenserver aufbauen. Nach einem Authentifizierungsverfaren werden dem Client Daten übermittelt, die dieser dann weiter verarbeiten kann. Der Client erwartet genau definierte Reaktionen des Datenservers. Eine Schutzvorrichtung ist daher nach technischem Stand entweder nur auf dem Datenendgerät des Nutzers oder nur auf dem Datenserver wirkungsvoll. Diese Schutzvorrichtung bearbeitet die Daten auf dem Datenträger und reinigt oder modifiziert die Daten.
Im Detail wird dieses Problem dadurch gelöst, dass der Client in einen Wartezustand versetzt wird, der nicht zu einem Timeout führt. Dies wird entweder dadurch erreicht, dass zu einem bestimmten Zeitpunkt die Kommunikation unterbrochen wird und der Client in einem definierten Zustand wartet, oder dadurch, dass bekannte Timeouts genutzt werden, um innerhalb dieses Zeitfensters alle Operationen durchzuführen. So ist es z. B. möglich, bis zu 100 E-Mails vom Server zu laden und zu analysieren, bevor bekannte Mailclients (Outlook Express) die Verbindung mit einem Fehler beenden. Bevor dieser Abbruch erfolgt, wird eine Antwort an den Client gesendet. Falls sich mehr als 100 E-Mails im Postfach befinden, so werden in einem ersten Schritt nur die ersten 100 E-Mails übertragen und in einem zweiten Schritt die weiteren. Für diesen zweiten Schritt muss sich der Client erneut anmelden.
Genauer betrachtet handelt es sich um eine Vorrichtung mit der Funktionalität eines Proxys, die eine Schnittstelle zum Netzwerk für Anfragen von Endgeräten und/oder Antworten von Zielen bzw. Servern besitzt. In der bevorzugten Ausführungsform handelt es sich um eine Netzwerkkarte, die eine Verbindung zum Internet aufweist. In einer vorteilhaften Ausgestaltungsform ist die Vorrichtung, die vorzugsweise als Rechner ausgebildet ist, über das Internet erreichbar und wird als eine Art öffentliche Firewall und Virenfilter verwendet. Jegliche Kommunikation wird über diesen Rechner durchgeführt.
Durch die zentrale Anordnung und die Unterstützung einer Vielzahl von Protokollen kann somit eine sehr aktuelle und einfach zu wartende Dienstleistung dem Benutzer im Internet angeboten werden. Mit Hilfe einer Bearbeitungseinheit, die in der Regel aus einem oder mehreren Prozessoren mit entsprechendem Arbeitsspeicher besteht, werden die von der Schnittstelle empfangenen Anfragen entgegengenommen und auf schädliche Informationen prüft. Die prüfenden Anfragen erfolgen vorzugsweise mit Virenscannern oder anderen für diesen Dateityp spezifischen Programmen. Sollten fragwürdige Informationen gefunden werden, so werden diese aus der Anfrage entfernt und in der bevorzugten Ausführungsform durch reparierte Informationen in der Anfrage ersetzt. Nach der Überprüfung der Anfrage wird diese weitergeleitet an das Ziel, i. d. R. einem Server. Die Antwort vom Ziel bzw. vom Server wird ebenfalls auf schädliche Informationen geprüft. Sollten sich schädliche Informationen in der Antwort befinden, so werden diese repariert oder in der Antwort ersetzt, um dann die geprüfte Antwort an das digitale Endgerät weiterzuleiten.
Eine weitere Ausführungsform wird vorzugsweise für zustandsgebundene Anfragen verwendet, wie sie bei Protokollen wie POP, ftp und smtp gelten. Eine Verbindung ist immer dann zustandsgebunden, wenn auf Anfragen bestimmte Antworten erwartet werden. Sollten diese Antworten nicht eingehen, so wird entweder die Verbindung abgebrochen oder das System wartet solange, bis eine entsprechende Antwort gesendet wird. Wird die Verwendung abgebrochen, so liegt i. d. R. ein Timeout vor.
Bei diesem Ansatz ist das Wesentliche, dass eine Authentifizierung simuliert wird, um die Authentifizierungsdaten zwischenzuspeichern. Die so gewonnenen Authentifizierungsdaten werden für eine Authentifizierung mit dem Ziel bzw. Server erneut verwendet. Die erneute Authentifizierung, das Übermitteln der Anfrage und das Empfangen von Daten sowie deren Überprüfung, dürfen natürlich nicht so viel Zeit in Anspruch nehmen, dass der Client bzw. das Benutzergerät die Verbindung abbricht. Als bekanntestes Beispiel kann man hier das POP Protokoll nennen, das zum Abholen von E-Mails dient. Ein solcher Client würde bei einer zu großen Wartezeit die Verbindung beenden. Durch das Analysieren des Clients können jedoch zu bestimmten Zeitpunkten Unterbrechungen eingefügt werden, die nicht zu einem Abbruch der Verbindung führen. Weiterhin kann die Timeout-Zeit so ausgereizt werden, dass nicht alle Informationen geladen werden und weitergereicht werden, sondern nur die, die in dem Zeitintervall geladen werden können und verarbeitet werden können. Nach dem das Benutzergerät in einen Wartezustand gesetzt wurde, wird die Anfrage auf schädliche Informationen geprüft, um diese aus der Anfrage zu entfernen oder um diese durch reparierte Informationen in der Anfrage zu ersetzen. Die so geprüfte Anfrage wird weiterleitet an das Ziel, wobei die Antwort vom Ziel ebenfalls auf schädliche Informationen geprüft wird, um diese aus der Antwort zu entfernen oder um diese durch reparierte Informationen in der Antwort zu ersetzen, um dann die geprüfte Antwort an das digitale Endgerät weiterzuleiten. Bevor jedoch die Antwort erhalten werden kann, muss eine Anmeldung am Server bzw. am Ziel vorgenommen werden. Hierzu werden die zwischengespeicherten Authentifizierungsdaten verwendet.
In einer bevorzugten Ausführungsform werden nur solange Antworten empfangen, wie das Gerät in einem definierten Wartezustand ist. Sobald zu erwarten ist, dass sich der Zustand ändert, werden Informationen übermittelt. Dies kann daran erkannt werden, dass Anfragen erneut gesandt werden oder dass ein Zähler herunter gezählt wird. Sollte damit zu rechnen sein, dass die Antwort zu groß ist, z. B. bei mehreren 100 E- Mails, so kann die Anfrage dahingehend modifiziert werden, dass nur die ersten 50 E-Mails geladen werden und an den Client übermittelt werden.
Zur Optimierung der Analyse der durch den Proxy zwischengelagerten Informationen, insbesondere der Virusüberprüfung, wird in Abhängigkeit des Informationstyps, insbesondere des Dateityps, eine Analyse vorgenommen. So wird z. B. in Abhängigkeit des Informationstyps ein Programm zur Überprüfung des Inhalts, insbesondere zur Überprüfung auf Viren, ausgewählt und eingesetzt. Hierdurch kann vermieden werden, dass eine einzige Virus-Engine über die Dokumente läuft und dabei Überprüfungen vornimmt, die überflüssig sind. Durch die Verwendung von Konfigurationsdateien kann der Benutzer bestimmen, welche Überprüfungsmethoden auf welche Arten von Datentypen bzw. Dateien anzuwenden sind. So kann es z. B. möglich sein, dass für bestimmte Analysemethoden Extra- Gebühren erhoben werden, wenn diese besonders aufwändig und sicher sind. Sollte der Benutzer jedoch mit einer geringeren Sicherheit zufrieden sein, so besteht die Möglichkeit, dies einzustellen.
Die Vorrichtung erkennt anhand von den Benutzeridentifikationsdaten oder IP-Adressen, um welches Endgerät bzw. welchen Benutzer es sich handelt und kann in Abhängigkeit dieses Benutzers ein Profil laden, in dem eingestellt wurde, wie, zu welchem Zeitpunkt und in welcher Form Überprüfungen vorgenommen werden sollen. Eine Möglichkeit der Authentifizierung gegenüber dem zentralen Proxy-Server besteht darin, dass in Cookies, die auf dem Client abgelegt sind, Benutzerinformationen abgelegt werden.
Eine weitere Eigenschaft der Vorrichtung ist ein Puffer, wie er bei Proxys zum Standard gehört. Hierdurch kann die Analyse von Informationen beschleunigt werden, da die im Puffer abgelegten Informationen mit einem Merkmal versehen sind, aus dem ersichtlich ist, ob die Information bereits geprüft wurden und durch welches Programm.
In einer weiteren bevorzugten Ausführungsform verwenden das Verfahren und die Vorrichtung einen Ansatz, der letztlich dem Benutzer die Möglichkeit gibt zu entscheiden, ob er gefährliche Programme ausführen möchte oder nicht. Anti-Viren- Programme erkennen nur Viren und sonstige schädliche Programme, die ein eindeutiges Muster ausweisen. Alle Programme, die sowohl sehr nützlich für den Anwender sind als auch missbraucht werden können, sind durch Schutzprogramme nicht automatisch zu eliminieren. Beispielhaft sind hier Einwahldialer zu nennen. Zusätzlich gibt es keinen Schutz für das Datenendgerät, wenn ein Virus auftaucht und es noch keine Gegenmaßnahme bzw. Muster für das Anti-Virus-Programm gibt.
Der Ansatz in der vorliegenden Erfindung liegt darin, dass der Dateityp der angeforderten Datei erkannt wird, um diese ggf. einzupacken. Handelt es sich z. B. um eine ausführbare Datei (z. B. BAT- oder EXE-Datei), wird ein Schutzmantel um die Datei gelegt und die modifizierte Datei an den Nutzer weitergeschickt. Der Schutzmantel besteht aus einer Datei (gleiches Dateiformat), die, wenn sie auf dem Rechner des Nutzer gestartet wird, eine Warnmeldung ausgibt. Diese Warnmeldung beinhaltet den Dateinamen der original angeforderten Datei und informiert den Nutzer, dass die Datei eventuell Schaden anrichten kann. Der Nutzer kann jetzt wählen, ob er die Originaldatei installieren und starten oder den Vorgang abbrechen möchte. Beim Abbruch der Aktion wird die Originaldatei unschädlich gemacht.
Durch die mögliche automatische Installation und Ausführung auf dem Datenendgerät von gefährlichen Programmen aus einem Netzwerk (Internet) können sich unerwünschte und gefährliche Programme auf dem Datenendgerät unwissentlich einschleusen.
Durch die Schutzhülle erfährt der Anwender, dass jetzt ein Programm geladen, installiert und ausgeführt werden soll. Der Anwender kann den Vorgang abbrechen. D. h. das Programm in der Schutzhülle gibt dem Anwender die Möglichkeit, den Installations- und Ausführungsvorgang abzubrechen oder das überspielte Programm auszuführen.
Bei diesem Ansatz ist ein Schutz gegeben, wenn nur der Dateityp bekannt ist. Der Anwender erhält jetzt die Möglichkeit, auch nach dem wissentlichen oder unwissentlichen Anstoßen des Ladevorgang noch nachträglich zu entscheiden, ob das angeforderte Programm installiert und ausgeführt werden soll.
Ein wichtiger Einsatzbereich sind Dialer, bei denen es sich um kleine Programme handelt, die es dem Anwender erleichtern sollen, eine gewünschte Online-Verbindung herzustellen.
Oftmals werden Dialer von Internetprovidern angeboten, die es ihren - meist unerfahrenen - potentiellen Kunden vereinfachen sollen, einen passenden Internetzugang einzurichten. Dies geschieht entweder dadurch, dass ein Eintrag im DFÜ-Netzwerk (das ist der Teil von Windows, der für die Einwahl ins Internet verantwortlich ist) im DFÜ-Netzwerk erstellt wird, oder durch die Installation eines eigenen Einwahlprogramms. Die vorliegende Erfindung geht hierbei so weit, dass auch das Resultat der Ausführung des Programms überprüft wird. Sollte der Dialer eine zusätzliche Internetverwendung im DFÜ Netzwerk eingerichtet haben, so wird der Benutzer hierüber informiert. Die Art der automatischen Installation erfolgt auf Basis von ActiveX. ActiveX ist eine Erweiterung der Browserfunktionalität, die es dem Browser ermöglicht, auf weitere Möglichkeiten des Betriebssystems zuzugreifen. So kann man mittels ActiveX zum Beispiel auf das Dateisystem zugreifen oder Programme installieren.
Nach dem Stand der Technik gibt es Hilfs-Programme, die einen Schutz auf dem Datenendgerät gegen Dialer liefern sollen. Diese überwachen die Verbindungsaufnahme zum öffentlichen Netzwerk und unterbrechen die Verbindung, sobald eine kostenpflichtige Nummer angewählt wird. Doch ergreifen die Dialer Gegenmaßnahmen. So gibt es Dialer, die nach ihrer teilweisen automatischen Installation die Anti-Dialer-Software einfach beenden oder löschen. Oder sie setzen sich in eine Autostart-Datei, die automatisch bei jedem Neustart des Datenendgerätes ausgeführt wird.
Nach dem Stand der Technik gibt es Anzeigegeräte und Betriebssysteme, die ein automatisches installieren und ausführen von Programmen nicht zulassen. Dagegen sind diese ausgerüsteten Datenendgeräte aber machtlos, wenn das installieren von Dialern, durch Vorspiegelung falscher Tatsachen geschieht oder sich Dialer in anderen Programmen verbergen und erst nach Ausführung dieser aktiv werden.
Die Problematik der Dialer soll nur exemplarisch zeigen, dass der neuartige Schutz gegen alle Programme funktioniert, die unwissentlich oder durch Vorspiegelung falscher Tatsachen Zugang zum Datenendgerät erlangen. Schadprogramme solcher Art können Nutzerinformationen, andere Datenprogramme oder weitere Detailinformationen des Datenendgerätes missbrauchen.
Im Folgenden wird die Erfindung anhand von Ausführungsbeispielen näher erläutert, die in den Figuren schematisch dargestellt sind. Gleiche Bezugsziffern in den einzelnen Figuren bezeichnen dabei gleiche Elemente. Im Einzelnen zeigt:
Fig. 1 ein Ablaufschema eines Datenstroms vom Datenserver zum Datenendgerät bei einer zustandsgebundenen Verbindung;
Fig. 2 ein Ablaufschema eines Datenstroms zum Datenserver vom Datenendgerät bei einer zustandsgebundenen Verbindung;
Fig. 3 ein Ablaufschema eines Datenstroms vom Datenserver zum Datenendgerät bei einer nicht zustandsgebundenen Verbindung;
Fig. 4 ein Ablaufschema eines Datenstroms zum Datenserver vom Datenendgerät bei einer nicht zustandsgebundenen Verbindung;
Fig. 5 Endgerät mit erfindungsgemäßem Proxy beim Datenversand;
Fig. 6 Endgerät mit erfindungsgemäßem Proxy beim Datenempfang.
In Fig. 3 wird ein Ablaufschema zur Datenstromanforderung vom Datenserver an das Datenendgerät durch eine zustandslose Verbindung gezeigt. Hierbei baut das Datenendgerät über den erfindungsgemäßen Proxy eine Verbindung mit dem erfindungsgemäßen Proxy-Server auf. Der Proxy-Server nimmt die Datenanforderung entgegen. Der Proxy-Server baut die Verbindung mit dem Datenserver auf. Der Datenserver sendet die angeforderten Daten an den Proxy-Server. Der Proxy erkennt den binären Datenstrom und ermittelt den Datentyp. Anhand des Datentyps wird eine Entscheidung hinsichtlich des zu ladenden Schutzprogramms getroffen. Sollte ein Schutzprogramm vorliegen, so wird ein Datentyp aus dem Datenstrom entfernt und der Schutzvorrichtung übergeben; ansonsten wird der Datenstrom an das Datenendgerät weiterleiten. Die Schutzvorrichtung stellt die Analysewerkzeuge für den ermittelten Datentyp fest und nimmt eine Analyse vor. Sollte die Analyse negativ sein, so wird der Datenstrom modifiziert, indem gereinigte Ersatzdaten bereitgestellt werden oder eine Löschung vorgenommen wird.
In Fig. 4 wird ein Ablaufschema beschrieben, bei dem ein Datenstromversand vom Datenendgerät an den Datenserver durch eine zustandslose Verbindung erfolgt. Im ersten Schritt baut ein Datenendgerät über einen Übergabepunkt eine Verbindung mit dem öffentlichen Netzwerk zum Proxy-Server auf, um dann den Datenstrom zu senden. Daraufhin baut der Proxy-Server eine Verbindung mit dem Datenserver auf. Der Proxy-Server erkennt den binären Datenstrom und ermittelt den Datentyp. Es folgt die Entscheidung, ob der Datentyp analysiert werden soll. Wenn dies der Fall sein sollte, so wird der Datentyp aus dem Datenstrom entfernt und der Schutzvorrichtung übergeben; ansonsten wird der Datenstrom an den Server weitergeleitet.
Wie bereits oben beschreiben wurde, stellt die Schutzvorrichtung die Analysewerkzeuge zusammen, die maßgeblich sind für den ermittelten Datentyp. Sollte sich herausstellen, dass die Daten infiziert sind, so werden die Informationen modifiziert wieder in den Datenstrom eingefügt, ersetzt oder entfernt.
Die Fig. 1 zeigt ein Detail einer zustandsgebundenen Verbindung, wie es z. B. bei den Protokollen POP oder ftp der Fall ist, bei der ein Endgerät Informationen vom Server abholt. Es ist deutlich zu erkennen, wie eine Anmeldung simuliert wird. Der Proxy-Server fragt das Passwort und den Benutzernamen ab. Dies führt dazu, dass ein Profil geladen wird, in dem entweder weitere Benutzernamen und Passwörter abgespeichert sind oder in dem lediglich Regeln für die Überprüfung der Informationen abgelegt sind. Der Proxy-Server baut daraufhin eine Verbindung mit dem Server auf, indem er entweder die übermittelten Authentifizierungsdaten verwendet oder die im Nutzerprofil. Gleichzeitig wird der Client in einen Wartezustand versetzt. Dies kann in Abhängigkeit des Clients, der sich anmeldet, durch unterschiedliche Techniken vorgenommen werden. Im Folgenden werden die Daten vom Server abgeholt. Die Überprüfung der heruntergeladenen Daten erfolgt wie bereits oben beschrieben wurde in Abhängigkeit des Datentyps und des Nutzerprofils. Erst nachdem die Daten heruntergeladen wurden, wird die Authentifizierung mit dem Client bestätigt. Dies ist eine Möglichkeit zu erreichen, dass der Client über einen längeren Zeitraum wartet.
Nachdem die Authentifizierung als erfolgreich gemeldet wurde, wird vom Client angefragt, wie viele Daten in welchem Umfang übermittelt werden sollen. Danach wird die Übermittlung begonnen.
Die Fig. 2 zeigt die Verfahrensschritte beim Senden von Informationen durch einen Client an einen Datenserver bei einer zustandsgebundenen Verbindung. Auch hier werden zwei Authentifizierungen vorgenommen, wobei die erste Authentifizierung erst bestätigt wird, wenn die zweite erfolgreich war. Die dann vom Client gesendeten Daten werden überprüft anhand der Datentypen, die gesendet werden. Erst nach der Überprüfung werden die so überprüften Daten an den Server gesendet.
Die Fig. 6 zeigt eine erfindungsgemäße Vorrichtung in Form des Proxy-Servers 2, der mit einem Datenendgerät 1 verbunden ist. Der Datenaustausch erfolgt transparent mit einem Datenserver 3. Der Proxy-Server umfasst ein Erkennungsmodul 4 zur Erkennung von Datentypen. Durch die Schutzvorrichtung 5 werden Daten geschleust, um zu erkennen, ob sie infiziert sind oder nicht. Ein Statistikmodul 7 entscheidet dann, in welcher Form die Daten weitergeleitet werden oder ob keine Weiterleitung stattfindet. Ein Datenvernichter 6 dient zur Ablage von befallenen Informationen. Die strichpunktierten Linien zeigen den Fluss von sauberen gereinigten Daten, wobei der versendete Datenstrom durch eine durchgezogene Linie erkennbar ist.
In der Fig. 5 wird der Datenempfang beschrieben. Hierbei umfasst der Proxy-Server 2 zusätzlich einen Zwischenspeicher 8, der als Puffer verwendet werden kann. In Abhängigkeit der angeforderten Daten werden entweder bereits gereinigte Daten aus dem Zwischenspeicher 8 geholt oder vom Server 3 geladen. Die gepunkteten Linien zeigen in dieser Figur die empfangenen Daten.
In einer nicht dargestellten Variante der Vorrichtung werden die Informationen in Abhängigkeit des Informationstyps eingepackt beziehungsweise umhüllt, damit der Benutzer eine abschließende Entscheidung über die Ausführung des Programms treffen kann. Liste der zitierten Literatur WO 99/54827
WO 99/48261
US 5996 011
WO 99/41913 Bezugszeichen 1 Datenendgerät
2 Proxy
3 Datenserver
4 Erkennungsmodul für Datentyp
5 Schutzvorrichtung
6 Datenvernichter
7 Statistikmodul
8 Zwischenspeicher

Claims

1. Verfahren zum Schutz von digitalen Geräten in einem Netzwerk, mit einem Proxy, dessen Funktionalität sich vorzugsweise auf eine Vielzahl von Protokollen erstreckt,

- wobei der Proxy Anfragen von den digitalen Geräten entgegennimmt, diese auf schädliche Informationen prüft, um diese aus der Anfrage zu entfernen und/oder um diese durch reparierte Informationen in der Anfrage zu ersetzen,

- wobei der Proxy die geprüften Anfragen weiterleitet an das Ziel,

- wobei der Proxy die Antworten auf schädliche Informationen prüft, um diese aus der Antwort zu entfernen und/oder um diese durch reparierte Informationen in der Antwort zu ersetzen,

- wobei der Proxy die geprüfte Antwort an das digitale Endgerät weiterleitet.

2. Verfahren zum Schutz von digitalen Geräten in einem Netzwerk, mit einem Proxy, dessen Funktionalität sich vorzugsweise auf eine Vielzahl von Protokollen erstreckt,

- wobei der Proxy Anfragen von den digitalen Geräten entgegennimmt, eine Authentifizierung simuliert, um eine weitere Authentifizierung mit dem Ziel vorzunehmen, wobei vorzugsweise zwischengespeicherte Authentifizierungsdaten verwendet werden, wobei das Benutzergerät in einen Wartezustand versetzt wird, wobei die Anfrage auf schädliche Informationen geprüft wird, um diese aus der Anfrage zu entfernen und/oder um diese durch reparierte Informationen in der Anfrage zu ersetzen, um dann die geprüfte Anfrage weiterzuleiten an das Ziel, wobei die Antwort vom Ziel ebenfalls auf schädliche Informationen geprüft wird, um diese aus der Antwort zu entfernen und/oder um diese durch reparierte Informationen in der Antwort zu ersetzen, um dann die geprüfte Antwort an das digitale Endgerät weiterzuleiten.

3. Verfahren nach einem oder mehreren der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass die Anfragen sowohl zu einer zustandsgebundenen, insbesondere POP oder ftp, als auch zu einer zustandslosen Verbindung, insbesondere http, führen.

4. Verfahren nach einem oder mehreren der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass eine Analyse des Informationstyps vorgenommen wird, und anhand des Informationstyps ein Programm zur Überprüfung des Inhalts, insbesondere zur Überprüfung auf Viren, ausgewählt und eingesetzt wird.

5. Verfahren nach einem oder mehreren der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass der Proxy Informationen puffert und in einem Cache verwaltet.

6. Verfahren nach einem oder mehreren der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass der Proxy in Abhängigkeit des Endgerätes und/oder von Benutzeridentifikationsdaten ein Prüfmuster lädt, das die Art von Informationen, die Prüfalgorithmen und die Konsequenzen festlegt.

7. Verfahren nach einem oder mehreren der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass in Abhängigkeit des Informationstyps der Information, die Information vorzugsweise durch ein ausführbares Programm ummantelt wird, so dass der Benutzer beim Ausführen der so ummantelten Information einen Hinweis auf den Typ der Information erhält.

8. Vorrichtung zum Schutz von digitalen Geräten in einem Netzwerk, mit der Funktionalität eines Proxys,

- mit einer Schnittstelle zum Netzwerk für Anfragen von Endgeräten und/oder Antworten,

- mit einer Bearbeitungseinheit, die von der Schnittstelle empfangene Anfragen entgegennimmt, diese auf schädliche Informationen prüft, um diese aus der Anfrage zu entfernen und/oder um diese durch reparierte Informationen in der Anfrage zu ersetzen, um dann die geprüfte Anfrage an das Ziel weiterzuleiten, wobei die Antwort vom Ziel ebenfalls auf schädliche Informationen geprüft wird, um diese aus der Antwort zu entfernen und/oder um diese durch reparierte Informationen in der Antwort zu ersetzen, um dann die geprüfte Antwort an das digitale Endgerät weiterzuleiten.

9. Vorrichtung zum Schutz von digitalen Geräten in einem Netzwerk, mit der Funktionalität eines Proxys,

- mit einer Schnittstelle zum Netzwerk für zustandsgebundene Anfragen von Endgeräten und/oder Antworten, insbesondere nach Protokollen POP, ftp und smtp,

- mit einer Bearbeitungseinheit, die von der Schnittstelle empfangene Anfragen entgegennimmt, eine Authentifizierung simuliert, um eine weitere Authentifizierung mit dem Ziel vorzunehmen, wobei vorzugsweise zwischengespeicherte Authentifizierungsdaten verwendet werden, wobei das Benutzergerät in einen Wartezustand versetzt wird, wobei die Anfrage auf schädliche Informationen geprüft wird, um diese aus der Anfrage zu entfernen und/oder um diese durch reparierte Informationen in der Anfrage zu ersetzen, um dann die geprüfte Anfrage weiterzuleiten an das Ziel, wobei die Antwort vom Ziel ebenfalls auf schädliche Informationen geprüft wird, um diese aus der Antwort zu entfernen und/oder um diese durch reparierte Informationen in der Antwort zu ersetzen, um dann die geprüfte Antwort an das digitale Endgerät weiterzuleiten.

10. Vorrichtung nach dem vorhergehenden Vorrichtungsanspruch dadurch gekennzeichnet, dass nur solange Antworten empfangen werden, wie das Gerät in einem definierten Wartezustand ist.

11. Vorrichtung nach dem vorhergehenden Vorrichtungsanspruch, dadurch gekennzeichnet, dass die Anfrage so modifiziert wird, dass nur ein Teil der Antwort, insbesondere beim POP-Protokoll, abgefragt wird, so dass das Gerät in einem definierten Wartezustand bleibt.

12. Vorrichtung nach einem oder mehreren der vorhergehenden Vorrichtungsansprüche, dadurch gekennzeichnet, dass eine Analyse des Informationstyps, insbesondere des Dateityps, vorgenommen wird, und in Abhängigkeit des Informationstyps ein Programm zur Überprüfung des Inhalts, insbesondere zur Überprüfung auf Viren, ausgewählt und eingesetzt wird.

13. Vorrichtung nach einem oder mehreren der vorhergehenden Vorrichtungsansprüche, dadurch gekennzeichnet, dass der Proxy Informationen puffert und in einem Cache verwaltet.

14. Vorrichtung nach einem oder mehreren der vorhergehenden Vorrichtungsansprüche, dadurch gekennzeichnet, dass die Anfragen sowohl zu einer zustandsgebundenen, insbesondere POP oder ftp, als auch zu einer zustandslosen Verbindung, insbesondere http, führen.

15. Vorrichtung nach einem oder mehreren der vorhergehenden Vorrichtungsansprüche, dadurch gekennzeichnet, dass in Abhängigkeit des Endgerätes und/oder von Benutzeridentifikationsdaten ein Prüfmuster geladen wird, das die Art von Informationen, die Prüfalgorithmen und die Konsequenzen festlegt.

16. Vorrichtung nach einem oder mehreren der vorhergehenden Vorrichtungsansprüche, dadurch gekennzeichnet, dass Mittel vorhanden sind, die in Abhängigkeit des Informationstyps der Information die Information vorzugsweise durch ein ausführbares Programm ummanteln, so dass der Benutzer beim Ausführen der so ummantelten Information einen Hinweis auf den Typ der Information erhält.

17. Software, dadurch gekennzeichnet, dass auf einem digitalen Rechnersystem, das aus einem oder mehreren Rechnersystemen bestehen kann, ein Verfahren nach einem oder mehreren der vorhergehenden Verfahrensansprüche implementiert wird.

18. Datenträger, gekennzeichnet durch eine Datenstruktur, die nach dem Laden auf ein digitales Rechnersystem, das aus einem oder mehreren Rechnersystemen bestehen kann, ein Verfahren nach einem oder mehreren der vorhergehenden Verfahrensansprüche implementiert.