專利名稱：為通信網(wǎng)安全而使用無效碼元安全干擾的方法和設備的制作方法
技術領域：
本發(fā)明一般涉及一種安全管理裝置，本發(fā)明尤其涉及使用無效碼元以干擾與通信網(wǎng)中不希望的網(wǎng)絡裝置進行數(shù)據(jù)通信的防竊聽的方法和設備。
數(shù)據(jù)通信技術的新進步在通過使用提供可靠的高速數(shù)據(jù)信道的網(wǎng)絡在計算機系統(tǒng)之間進行資源共享方面大有進展。通過對通信規(guī)定共同的標準，允許網(wǎng)絡具有通用性，從而可以跨越用戶應用交換不依賴于賣主(vendor)設備的信息。隨著網(wǎng)絡日益普及，對網(wǎng)絡性能的要求也在提高。建立更加復雜的協(xié)議來滿足這個要求，并且使用辦公室建筑物內(nèi)現(xiàn)有的雙絞線，從而實質上所有的計算機的有讀寫能力的用戶以最小的花費訪問資源。
多端口重發(fā)器(repeater)是一種通常使用的通信網(wǎng)絡裝置，以對終端用戶(諸如個人計算機、工作站等等)提供網(wǎng)絡訪問。這個裝置具有多個“端口”。在許多情形中，每個端口連至使用10BASE-T“絞合線對”(Twisted Pair)或由IEEE 802．3標準規(guī)定的100BASE-X連接的一個終端節(jié)點。這些端口用作在通信網(wǎng)絡裝置和終端用戶電臺之間的物理接口。每個端口按照IEEE 802．3重發(fā)器規(guī)范工作。當從任何單個端口接收到一個數(shù)據(jù)通信分組(packet)時，按照該標準，該數(shù)據(jù)分組重發(fā)至所有其他的端口。當在任何時刻接收到一個以上的分組時，多端口重發(fā)器進行在所述標準中規(guī)定的沖突算法(collision algorithm)。
以太網(wǎng)橋接器(bridge)是一種具有兩個或多個物理端口的裝置，它能夠根據(jù)分組的目的地地址把在任何端口接收到的分組遞送至任何其他的單個端口。不遞送至端口的分組視為被濾除的分組。
媒體訪問控制(Media Access Control，MAC)功能把數(shù)字信息(它一般以分組的形式存儲在存儲器中)轉換為能夠在以太網(wǎng)連接上被傳送的實際的以太網(wǎng)幀，或者從網(wǎng)絡連接接收的作為分組存儲在存儲器中的幀。
包括網(wǎng)絡安全性的關鍵問題之一是竊聽問題。由于在重發(fā)器的一個端口上接收到的分組要重發(fā)至重發(fā)器的所有端口，因此發(fā)生竊聽。于是，如果沒有某種安全機制，則連至除了與數(shù)據(jù)分組中的目的地地址相關聯(lián)的一個端口之外的端口的網(wǎng)絡裝置也將接收該分組。以太網(wǎng)橋接器沒有這個問題，因為通過使用包含在分組中的源和目的地信息，它們具有把分組遞送至所希望的端口(即連至終端用戶電臺的端口，該電臺具有與分組中的目的地地址相匹配的源地址)，而不把分組重發(fā)至位于其他端口上的裝置的能力。
為了在使用多端口重發(fā)器的局域網(wǎng)(LAN)或廣域網(wǎng)(WAN)上防竊聽，而沒有與使用橋接器相關聯(lián)的花費和信號延遲，需要有改進的安全機制。在使用“多端口重發(fā)器”的典型的網(wǎng)絡工作中，多端口重發(fā)器的每個端口持久地專用于單個用戶的。對于網(wǎng)絡而言，用與用戶的終端節(jié)點裝置(諸如個人計算機、工作站等等)相關聯(lián)的以太網(wǎng)地址來唯一地識別此用戶。用戶每次在網(wǎng)絡上送出分組時，終端節(jié)點就自動發(fā)送它的以太網(wǎng)地址，該地址在由IEEE 802．3標準規(guī)定的作為分組的一部分的“源地址字段”中。分組還包括“目的地地址字段”，用以識別打算接收該分組的源。
網(wǎng)絡安全性方案遇到的一種情形是網(wǎng)絡裝置截獲不打算給它們的敏感的或機密的數(shù)據(jù)。對待這個問題的一種方法是中止至不希望的網(wǎng)絡裝置的數(shù)據(jù)傳輸。然而，這個方案的主要缺點是當那些網(wǎng)絡裝置打算發(fā)送時由于不了解已經(jīng)有網(wǎng)絡業(yè)務存在而發(fā)生不受歡迎的沖突的可能性。這個方案也違背了IEEE802．3重發(fā)器標準。
在分別授予Carter等人和Nicols等人的第5，161，192號和第4，901，348號美國專利中揭示了防竊聽的一種方法。采用這種方法，通過用無關的或隨機的碼型代替發(fā)送至不希望的網(wǎng)絡裝置的數(shù)據(jù)，可以防止竊聽。這些安全系統(tǒng)取決于這樣的事實，即，按照IEEE 802．3標準或LAN協(xié)議，用無關的碼型所作的替換將導致不是合法數(shù)據(jù)幀的數(shù)據(jù)幀。說的更具體些，IEEE 802．3標準規(guī)定了媒體訪問控制(MAC)幀結構，它包括檢查被發(fā)送數(shù)據(jù)的有效性的方法。使用預定的算法對于數(shù)據(jù)分組內(nèi)容(不包括起始幀定界符(SFD)和幀校驗序列(FCS)字段)計算循環(huán)冗余校驗(CRC)值。為輸出數(shù)據(jù)分組，傳輸裝置把算得的CRC值插入FCS字段。接收裝置根據(jù)數(shù)據(jù)分組計算CRC值，并且將該值與在已發(fā)送的分組的FCS字段中的值作比較。如果這兩個值不相等，則誤差結果指出數(shù)據(jù)分組是無效的。雖然用這個方法識別不合法的數(shù)據(jù)幀的百分比很高，但仍有這樣的可能性，即，無關的碼型將與被替代的數(shù)據(jù)足夠相像以致不產(chǎn)生誤差。在這種情形下，不希望的網(wǎng)絡裝置不具備指出它不是所希望的目的地以及數(shù)據(jù)是無效數(shù)據(jù)的指示。這將導致不需要的和不希望的負面結果。不正確地使用無關的或隨機的碼型作為合法的數(shù)據(jù)將引導用戶或網(wǎng)絡裝置根據(jù)那些結果采取不合適的和可能是破壞性的行動。
如上面所指出的那樣，需要改進安全機制，以在使用多端口重發(fā)器的LAN或WAN網(wǎng)絡上防竊聽，其中，用這樣的方法對送至不希望的網(wǎng)絡裝置的數(shù)據(jù)分組進行干擾，從而明確地向接收網(wǎng)絡裝置指出，包含在數(shù)據(jù)分組中的數(shù)據(jù)是無效的。
為了克服上述現(xiàn)有技術中的局限性，并且克服在閱讀和理解了本說明書之后將變得更加顯然的其他的局限性，本發(fā)明揭示了一種安全干擾裝置，它使用HALT(暫停)碼元在具有諸如重發(fā)器的通信網(wǎng)絡裝置的通信網(wǎng)絡中防竊聽。安全干擾裝置防止把敏感的或保密的數(shù)據(jù)傳送至通信網(wǎng)絡上的不希望的網(wǎng)絡裝置。此外，如由電氣與電子工程師協(xié)會股份有限公司(IEEE，Inc．)出版的IEEE802．3u標準規(guī)定，并通過參照而引用于此的那樣，HALT碼元指出，在數(shù)據(jù)分組(或協(xié)議數(shù)據(jù)單元(protocol data unit，PDU))中的數(shù)據(jù)是無效的。于是，不希望的終端用戶電臺將不會把HALT碼元誤認為有效數(shù)據(jù)。
安全管理裝置對于連接至通信網(wǎng)絡的網(wǎng)絡裝置存儲網(wǎng)絡裝置源地址。在接收到一個分組之后，安全管理裝置把包含在分組中的目的地地址與已存儲的源地址作比較。源地址與目的地地址不匹配的那些網(wǎng)絡裝置以變更的形式(即，分組中的數(shù)據(jù)被HALT碼元替代)接收被遞送的分組。而源地址與目的地地址匹配的那些網(wǎng)絡裝置以不變更的形式接收被遞送的分組。
在分組中出現(xiàn)HALT碼元確保了不希望的網(wǎng)絡裝置知道數(shù)據(jù)是無效的。對于數(shù)據(jù)的有效性或無效性不會含糊不清。此外，由于HALT碼元代表了與包含在分組中的數(shù)據(jù)無關的值，因此不把關于原始數(shù)據(jù)的信息發(fā)送至通信網(wǎng)絡上的不希望的網(wǎng)絡裝置。
表征本發(fā)明的新穎性的這些優(yōu)點和其他各個優(yōu)點將在所附的并且構成本文件的一部分的權利要求書中詳細指出。然而，為了更好地了解本發(fā)明、它的優(yōu)點、以及由它的使用得到的目的，必須參看附圖(它們構成本文件的又一部分)以及相隨的描述材料，在這些材料中，描述了按照本發(fā)明的一種設備的具體例子。


圖1A是說明本發(fā)明的操作的系統(tǒng)圖；圖1B是說明本發(fā)明的改變形式的數(shù)據(jù)分組和不改變形式的數(shù)據(jù)分組的數(shù)據(jù)結構的圖解；圖2是本發(fā)明的安全管理裝置的功能方框圖；圖3是示出本發(fā)明的重發(fā)器管理裝置的系統(tǒng)方框圖；圖4是按照本發(fā)明的重發(fā)器／重發(fā)器管理裝置的方框圖；圖5A是說明按照本發(fā)明的完成防范竊聽所需步驟的序列的方框圖，其中，源地址寄存器用“跟蹤的”源地址更新；圖5B是說明按照本發(fā)明的完成防范竊聽所需步驟的序列的方框圖，其中，源地址寄存器由帶有不鎖定模式的控制器的目的地地址寄存器更新。
在下面的較佳實施例的描述中，參照構成本文件的一部分的附圖，并且通過說明一個可以實現(xiàn)本發(fā)明的實施例示出。應該了解，可以利用其他的實施例以及可以作出變更，而不偏離本發(fā)明的范圍。
本發(fā)明提供了一種用于通信網(wǎng)絡中的通信網(wǎng)絡裝置的安全干擾裝置，它使用無效碼元來防止竊聽。通信網(wǎng)絡裝置包括一個接收單元和一個發(fā)送單元，接收單元用于通過連至通信網(wǎng)絡的至少一個端口接收協(xié)議數(shù)據(jù)單元(PDU)或者分組，發(fā)送單元有效地耦合至接收單元，用于通過連至通信網(wǎng)絡的至少一個端口發(fā)送出協(xié)議數(shù)據(jù)。此外，通信網(wǎng)絡裝置也可以完成一種或多種通信網(wǎng)絡功能，包括切換、路由選擇、橋接、以及重發(fā)。在下面的討論中，參照圖1-5描述接收單元和發(fā)送單元的具體細節(jié)。
圖1A是說明本發(fā)明的操作的系統(tǒng)圖。通信網(wǎng)絡裝置10有效地耦合至一個或多個發(fā)送或接收單元(收發(fā)兩用機)22、24、26和28。包含在數(shù)據(jù)通信分組20或PDU中的消息或數(shù)據(jù)44從收發(fā)兩用機22發(fā)送至通信網(wǎng)絡裝置10。這些消息44中的一些是收發(fā)兩用機特定的，即，不打算把它們遞送給在通信網(wǎng)絡裝置10上的所有的收發(fā)兩用機。為了說明的目的，圖1A示出這樣一種情形，其中，來自收發(fā)兩用機22的消息44打算遞送給收發(fā)兩用機24，而不打算遞送給收發(fā)兩用機26和28。按照本發(fā)明，通信網(wǎng)絡裝置10(它包括重發(fā)器管理裝置60、管理地址跟蹤單元50、安全管理裝置40和安全干擾裝置30)允許原始分組20不變地(不改變的PDU)遞送至希望的收發(fā)兩用機24。然而，在發(fā)送至不希望的裝置26和28之前，通信網(wǎng)絡裝置10把原始的不改變的PDU20的消息44用HALT碼元48來替代，由此產(chǎn)生改變的PDU 32。下面參照圖1B進一步描述這一操作。
圖1B是示出PDU的改變形式32和不改變形式20的數(shù)據(jù)結構的圖。按照IEEE 802．3標準，如圖所示，PDU包括報頭字段34、起始幀界定符(SFD)字段36、目的地地址字段38、源地址字段40、長度字段42、數(shù)據(jù)字段44(如有需要，包括填充字符)、以及幀校驗序列字段(FCS)字段46。在通信網(wǎng)絡裝置10從收發(fā)兩用機22接收到PDU 20之后，通信網(wǎng)絡裝置10把目的地地址38與從所有先前被跟蹤的源的源地址字段得出的已知的源作比較。已知的源包含在源地址寄存器54中，并且在這里參照圖2作進一步的描述。根據(jù)收發(fā)兩用機24、26和28的源地址是否與PDU20的目的地地址匹配，從通信網(wǎng)絡裝置10遞送不改變的PDU至收發(fā)兩用機24、26和28。源地址不與PDU的目的地地址匹配的那些收發(fā)兩用機26和28接收改變的PDU，其中，代替數(shù)據(jù)44，將HALT碼元48插入數(shù)據(jù)字段。也能把HALT碼元48插入PDU20的其他部分而不偏離本發(fā)明的范圍。例如，可以把HALT碼元48置于源地址字段40或者長度字段42。
在本發(fā)明的一個實施例中，允許所有希望的收發(fā)兩用機24接收不改變的PDU20(其數(shù)據(jù)44完全不受擾動)，而不希望的收發(fā)兩用機26和28接收改變的PDU32(其數(shù)據(jù)44用HALT碼元48代替)。HALT碼元48向收發(fā)兩用機26和28明確地指出，改變的PDU32包含著無效數(shù)據(jù)。
能夠使用上述的教導來優(yōu)化接收單元24、26和28；發(fā)送單元22；和／或通信網(wǎng)絡裝置10，以應付許多不同類型的協(xié)議數(shù)據(jù)單元20，包括分組、幀和單元(cell)，只要有關的協(xié)議規(guī)定HALT信號或別的類似的信號。接收單元24、26和28；發(fā)送單元22；和通信網(wǎng)絡裝置10也可以被優(yōu)化，以在基于IEEE802通信網(wǎng)絡(諸如基于絞合線對的通信網(wǎng)絡)中工作。
本發(fā)明的一個實施例提供了一種安全操作模式(Secure Operations Mode)，它允許在逐個端口的基礎上，有選擇地啟動竊聽防范。把輸入PDU20的目的地地址38與相應于選出的被啟動端口的被跟蹤的源地址作比較。任何具有與目的地地址38不匹配的源地址的選出的被啟動的端口接收HALT碼元48，而不是包含在PDU20內(nèi)的原始數(shù)據(jù)44。不被這種功能啟動的端口繼續(xù)接收具有不改變的格式的PDU20，而不管目的地地址與已知的源地址是否匹配。
圖2是按照本發(fā)明的安全管理裝置40的功能方框圖。安全管理裝置40可以在管理和地址跟蹤單元50中用硬件和／或軟件的組合來實現(xiàn)。安全管理裝置40確定把哪個PDU以不改變的格式20發(fā)送至收發(fā)兩用機24，并且確定接收改變的PDU32的那些收發(fā)兩用機26和28。
安全管理裝置40包括與源地址寄存器54有效耦合的控制器56以及目的地地址寄存器52。目的地地址寄存器52為由通信網(wǎng)絡裝置10接收到的PDU20保持目的地地址38，而源地址寄存器54保持至少一個源地址。在源地址寄存器54中的每個源地址相應于一個已知的網(wǎng)絡裝置，即，連至網(wǎng)絡裝置10的任何一個收發(fā)兩用機。
安全管理裝置10包括有效地耦合至控制器56的安全干擾裝置30。安全干擾裝置30干擾至收發(fā)兩用機26和28的數(shù)據(jù)通信20，收發(fā)兩用機26和28在源地址寄存器54中的源地址與在數(shù)據(jù)通信20中的目的地地址不匹配。通過把HALT碼元48寫至數(shù)據(jù)通信20的數(shù)據(jù)字段44、長度字段42、或源地址字段40干擾數(shù)據(jù)通信，產(chǎn)生改變的PDU32，安全干擾裝置30干擾數(shù)據(jù)通信20。如IEEE 802．3u標準所規(guī)定的，HALT碼元48清楚地向接收收發(fā)兩用機26和28指出，改變的PDU32無效。
在一個實施例中，控制器56包括以自由運行(free-run)或不鎖定模式工作的機制。在不鎖定模式中，在將源地址寄存器54中的源地址與在目的地地址寄存器52中的目的地地址38作比較之前，把來自目的地地址寄存器52的目的地地址38置入源地址寄存器54。于是，進行比較將總是導致匹配，從而連至通信網(wǎng)絡裝置10的所有的收發(fā)兩用機將接收不改變的PDU 20。
在另一個實施例中，控制器56還包括以鎖定模式工作的機制。在鎖定模式中，不更新包含在源地址寄存器54中的已知的源來包括存儲在目的地地址寄存器52中的目的地地址38。安全管理裝置40用前面對于圖2進行描述的方式工作。
表Ⅰ說明根據(jù)鎖定模式以及存儲在目的地地址寄存器52中的輸入的PDU的目的地地址38是否與存儲在源地址寄存器54中的源地址匹配，由控制器56采取的動作。
表Ⅰ加鎖模式是否匹配 動作不鎖定匹配 無(所有的接收單元接收不改變的
PDU20。)不匹配更新源地址寄存器54，并且所有的接收單元接收不改變的PDU20。鎖定 匹配 匹配的接收單元接收不改變的PDU。
不匹配所有不匹配的接收單元接收改變的PDU32。
從表Ⅰ可見，當源地址寄存器54“不鎖定”時，當遇到一個先前未知的源地址時，控制器56更新在源地址寄存器54中的源地址。然而，當源地址寄存器“鎖定”時，控制器提供有價值的安全機制，該機制防止被不希望的網(wǎng)絡裝置竊聽或截獲保密的信息，其方法是干擾向未識別的網(wǎng)絡裝置發(fā)送數(shù)據(jù)分組。
在一個實施例中，把PDU 20從端口12遞送到在數(shù)據(jù)傳遞分路58上的端口14、16和18，該數(shù)據(jù)傳遞分路避開了控制器56，從而PDU20在通信網(wǎng)絡裝置10中的傳遞通過硬件和軟件的組合來處理，而不是由控制器56來處理。數(shù)據(jù)傳遞分路58有效地耦合至在通信網(wǎng)絡裝置10上的接收端口12和發(fā)送端口14、16和18，這樣，數(shù)據(jù)分組20的傳遞繞過了控制器56。
這種安排允許控制器56的工作集中在控制操作上，這樣加快了PDU20的處理。然而，當在目的地地址寄存器52和在源地址寄存器54中存儲的相應于端口16和18的源地址之間的比較導致不匹配時，控制器56防止通過端口12接收的PDU20以不改變的格式通過端口16和18被發(fā)送。另一方面，當比較導致目的地地址寄存器54與源地址寄存器54之間的匹配時，在通過端口12接收進PDU20之后，控制器56允許要被發(fā)送的PDU20未受擾動地通過端口14輸出。
圖3是一張系統(tǒng)方框圖，示出重發(fā)器管理控制系統(tǒng)或重發(fā)器管理裝置(RMD)60以及它的相關聯(lián)的接口。RMD60包括管理和地址跟蹤單元50，它通過硬件和／或軟件的組合實現(xiàn)安全管理裝置40。用在管理和地址跟蹤單元50中確定的安全監(jiān)視來控制至管理和地址跟蹤單元50的信息傳遞。本地插腳(pin)78提供從管理和地址跟蹤單元至其他的RMD的通信信道。RMD60使用與重發(fā)器相連的串行接口66，以按規(guī)定路線發(fā)送有關端口狀態(tài)和控制64的信息。然后可將此信息再傳送至管理和地址跟蹤單元50。管理和地址跟蹤單元50以及媒體存取控制器(MAC)70、直接存儲器存取(DMA)74和先進先出存儲器(FIFO)72探聽重發(fā)器間總線84。對于每個端口提供管理信息庫(ManagementInformation Base，MIB)和重發(fā)器監(jiān)視(Repeater monitor，RMON)計數(shù)器76，以跟蹤重發(fā)器端口狀態(tài)。端口狀態(tài)和控制64、DMA74以及MIB和RMON計數(shù)器76都具有至CPU(中央處理器)接口62的入口。在CPU接口62和DMA64之間提供主信道80和遠程訪問信道82。
圖4描繪了重發(fā)器管理裝置(RMD)60的一個實施例。重發(fā)器間總線84按規(guī)定路線與遠地的重發(fā)器94往返傳送信息。把安全和串行信號86按規(guī)定路線送至與RMD60相連的重發(fā)器88。重發(fā)器88提供AUI端口90和絞合線對端口92。CPU總線96把RMD90連至CPU98。使用本地插腳78以與其他的RMD102往返傳送信息。
圖5A是描繪按照本發(fā)明為防范竊聽而進行的總流程的流程圖。在方框100和110處，當控制器56為初始化或編程模式時，通過讀取被發(fā)送的PDU20的源地址而更新源地址寄存器54。在方框100處，控制器56讀取被發(fā)送的PDU20的源地址字段40的源地址。在方框110處，控制器56將源地址存儲在源地址寄存器54中。在方框120處，控制器56讀取從耦合至通信網(wǎng)絡的通信端口12接收的PDU20的目的地地址字段38的目的地地址。在方框130處，控制器56將目的地地址38存儲在目的地地址寄存器52中。在方框140處，控制器56將在目的地地址寄存器52中的目的地地址38與存儲在源地址寄存器54中的源地址作比較。方框140的比較的輸出決定了下一個步驟。在方框150處，存儲在源地址寄存器54中的源地址與存儲在目的地地址寄存器52中的目的地地址38匹配的那些收發(fā)兩用機24接收不改變形式的分組20。在方框160處，存儲在源地址寄存器54中的源地址與存儲在目的地地址寄存器52中的目的地地址38不匹配的那些收發(fā)兩用機26和28接收改變形式的PDU20，其中，用HALT碼元48來替代數(shù)據(jù)44。
在圖5B中描述了另一種防范竊聽的方法，其中，當控制器56在不鎖定模式或自由運行模式中時，由目的地地址寄存器52來更新源地址寄存器54。在方框120處，控制器56讀取被發(fā)送的PDU20的目的地地址38。在方框130處，控制器將目的地地址38存儲在目的地地址寄存器52中。當控制器56在不鎖定模式時，在方框170處，控制器56用存儲在目的地寄存器52中的目的地地址38來更新源地址寄存器54。然后，在方框140處，控制器56將在目的地地址寄存器52中的目的地地址38與在源地址寄存器54中的源地址作比較。比較必將導致匹配，因為在比較之前已用目的地地址寄存器52更新了源地址寄存器54。于是，在方框150處，控制器56將發(fā)送不改變的形式的PDU20。
然而，當控制器在鎖定模式時，在作比較之前不用目的地地址寄存器52來更新源地址寄存器54。這導致跳過方框170，從而在把目的地地址38存儲在目的地地址寄存器52中(方框130)之后進行的步驟是在方框140處，將在目的地地址寄存器52中的目的地地址38與在源地址寄存器54中的源地址作比較。方框140的比較的輸出決定了下一個步驟。在方框150處，存儲在源地址寄存器54中的源地址與存儲在目的地地址寄存器52中的目的地地址38匹配的那些收發(fā)兩用機24接收不改變形式的分組20。在方框160處，存儲在源地址寄存器54中的源地址與存儲在目的地地址寄存器52中的目的地地址38不匹配的那些收發(fā)兩用機26和28接收改變形式的PDU32，其中，用HALT碼元48來替代數(shù)據(jù)44。
這樣結束了對本發(fā)明的較佳實施例的描述。下面的一些段落描述達到相同目的的一些其他的方法。
在本說明書中列舉的應用只是為了說明的目的，而不打算做到無遺漏或嚴格限制本發(fā)明為所揭示的形式。例如，本發(fā)明可應用于任何具有存儲器的I／O裝置適配器而并不限于網(wǎng)絡適配器。
本發(fā)明可用于具有不同的裝置和部件結構的系統(tǒng)。例如，安全管理功能是參照100Mbit／s的以太網(wǎng)重發(fā)器描述的。然而，那些熟悉本領域技術的人可以理解，這些安全管理功能能夠容易地用其他可進行切換、路由選擇和／或橋接的通信網(wǎng)絡裝置來實現(xiàn)，只要實現(xiàn)這些功能的系統(tǒng)使用規(guī)定halt碼元或任何其他碼元的協(xié)議，該碼元明確地通知接收者，具有所示分組的數(shù)據(jù)無效。這些其他的通信網(wǎng)絡任務與這里描述的重發(fā)任務可以連在一起也可以不連在一起。
本發(fā)明可應用不同的方法來產(chǎn)生和存儲存儲在源地址寄存器中的源地址。當安全管理控制器處于不鎖定模式時，除了用目的地地址寄存器信息來更新源地址寄存器之外，也可以通過輸入來自與網(wǎng)絡通信裝置有效耦合的收發(fā)兩用機的源地址信息(即輸入“預期的”或“已知的”源地址)來更新源地址寄存器。另一種做法是，當安全管理控制器處于初始化或編程模式時，可以通過讀取來自數(shù)據(jù)通信分組的源地址信息(即輸入“跟蹤的”源地址)來更新源地址寄存器。
本發(fā)明也能夠用不同類型的存儲器來實現(xiàn)，這些存儲器包括但不限于隨機存取存儲器(RAM)、直接存取存儲器、順序存取存儲器、相聯(lián)存儲器、以及只讀存儲器(ROM)。也可以用多種形式來規(guī)定存儲器，其中包括但不限于寄存器、超高速緩沖存儲器、隊列、虛擬存儲器、以及緩沖器。
本發(fā)明中地址的使用適合于個別的地址以及組地址，諸如多信道廣播組地址(multicast-group addresses)和廣播地址(broadcast addresses)。還可以理解，本發(fā)明可以用各種媒體訪問控制幀結構，這些結構具有目的地地址字段、源地址字段、數(shù)據(jù)字段、以及halt或類似的碼元。
為了描述的目的，給出了本發(fā)明的較佳實施例的上述描述。不打算做到無遺漏或嚴格限制本發(fā)明為所揭示的形式。由于上面的教導，可以作出許多修改和變化。打算不是由詳細的描述而是由這里所附的權利要求書來限定本發(fā)明的范圍。
權利要求
1．一種安全管理裝置，用于在多個收發(fā)兩用機之間提供安全的數(shù)據(jù)通信，所述收發(fā)兩用機之間提供安全的數(shù)據(jù)通信，所述收發(fā)兩用機耦合至局域網(wǎng)中的通信網(wǎng)絡裝置上的端口，所述數(shù)據(jù)通信包括一個或多個數(shù)據(jù)分組，所述數(shù)據(jù)分組具有源地址、目的地地址和數(shù)據(jù)字段，所述安全管理裝置有效地耦合至所述通信網(wǎng)絡裝置，其特征在于，所述安全管理裝置包括(a)源地址存儲器，用于對耦合至所述通信網(wǎng)絡裝置的每個所述收發(fā)兩用機存儲源地址；(b)安全管理控制器，它耦合至所述源地址存儲器，用于把所述目的地地址與存儲在所述源地址存儲器中的所述源地址作比較；以及(c)安全干擾裝置，它耦合至所述安全管理控制器，用于干擾與這樣一些所述收發(fā)兩用機的數(shù)據(jù)通信，這些收發(fā)兩用機具有的所述源地址與在所述數(shù)據(jù)分組中的所述目的地地址不匹配，其中，所述安全干擾裝置把無效碼元存儲入所述數(shù)據(jù)通信的所述數(shù)據(jù)字段，而所述無效碼元明確地向所述接收收發(fā)兩用機指出，所述數(shù)據(jù)通信無效。
2．如權利要求1所述的安全管理裝置，其特征在于，所述安全管理裝置還包括數(shù)據(jù)傳遞分路，它耦合至在所述通信網(wǎng)絡裝置上的接收和發(fā)送端口，用于在所述收發(fā)兩用機和所述通信網(wǎng)絡裝置之間迅速傳遞所述數(shù)據(jù)分組，其中，所述數(shù)據(jù)分組的傳遞繞過了所述安全管理控制器。
3．如權利要求2所述的安全管理裝置，其特征在于，所述安全管理裝置還包括耦合至所述安全管理控制器的目的地地址存儲器，用于存儲所述目的地地址，其中所述安全管理控制器將存儲在所述目的地地址存儲器中的所述目的地地址與存儲在所述源地址存儲器中的所述源地址作比較。
4．如權利要求1所述的安全管理裝置，其特征在于，無效碼元是如由IEEE802．3u標準規(guī)定的HALT碼元。
5．如權利要求1所述的安全管理裝置，其特征在于，所述安全管理控制器為了防范竊聽而有選擇地啟動每個端口。
6．如權利要求1所述的安全管理裝置，其特征在于，所述通信網(wǎng)是基于IEEE 802的通信網(wǎng)。
7．如權利要求1所述的安全管理裝置，其特征在于，所述通信網(wǎng)是基于絞合線對的通信網(wǎng)。
8．如權利要求3所述的安全管理裝置，其特征在于，所述安全管理控制器包括用于更新所述源地址存儲器的裝置，其方法是在將所述目的地址址存儲器中的所述目的地地與在所述源地址存儲器中的所述源地址作比較之前，把所述目的地地址存儲器中的所述目的地地址插入所述源地址存儲器，其中，所述比較導致匹配，從而把所述數(shù)據(jù)分組重發(fā)至連至所述通信網(wǎng)絡裝置的所有的所述收發(fā)兩用機。
9．一種用于在局域網(wǎng)中的多個收發(fā)兩用機之間提供數(shù)據(jù)通信的通信網(wǎng)絡裝置，所述數(shù)據(jù)通信包括至少一個數(shù)據(jù)分組，所述數(shù)據(jù)分組具有源地址、目的地地址和數(shù)據(jù)字段，其特征在于，所述通信網(wǎng)絡裝置包括(a)安全管理裝置，它耦合至所述通信網(wǎng)絡裝置，用于提供竊聽防范，所述安全管理裝置包括(ⅰ)源地址存儲器，用于對連接至所述通信網(wǎng)絡裝置的每個所述收發(fā)兩用機存儲源地址；(ⅱ)安全管理控制器，它耦合至所述源地址存儲器，用于將所述數(shù)據(jù)分組中的所述目的地地址與存儲在所述源地址存儲器中的所述源地址作比較；(ⅲ)安全干擾裝置，它耦合至所述安全管理控制器，用于干擾至這樣一些收發(fā)兩用機的數(shù)據(jù)通信，存儲在所述源地址存儲器中的這些收發(fā)兩用機的所述源地址與在所述數(shù)據(jù)分組中的所述目的地地址不匹配，其中，所述安全干擾裝置將無效碼元存儲入所述數(shù)據(jù)分組的所述數(shù)據(jù)字段，而所述無效碼元明確地向接收收發(fā)兩用機指出所述數(shù)據(jù)分組無效；(b)發(fā)送和接收端口，它們耦合至所述通信網(wǎng)絡裝置，用于接至所述收發(fā)兩用機以發(fā)送和接收所述數(shù)據(jù)通信；以及(c)數(shù)據(jù)傳遞分路，它耦合至所述接收和發(fā)送端口，用于在所述收發(fā)兩用機和所述通信網(wǎng)絡裝置之間加快所述數(shù)據(jù)分組的傳遞，其中，在所述網(wǎng)絡通信裝置內(nèi)的數(shù)據(jù)傳遞繞過了所述安全管理控制器。
10．如權利要求9所述的安全管理裝置，其特征在于，所述安全管理裝置還包括耦合至所述安全管理控制器的目的地地址存儲器，用于存儲所述目的地地址，其中，所述安全管理控制器將存儲在所述目的地地址存儲器中的所述目的地地址與存儲在所述源地址存儲中的所述源地址作比較。
11．如權利要求10所述的通信網(wǎng)絡裝置，其特征在于，所述安全管理控制器包括用于更新所述源地址存儲器的裝置，其做法是，在將所述目的地地址存儲器中的所述目的地地址與在所述源地址存儲器中的所述源地址作比較前，把在所述目的地地址存儲器中的所述目的地地址插入所述源地址存儲器中，使所述比較導致匹配，從而重發(fā)所述數(shù)據(jù)分組至連至所述通信網(wǎng)絡裝置的所有的所述收發(fā)兩用機。
12．如權利要求9所述的通信網(wǎng)絡裝置，其特征在于，如IEEE 802．3u標準所規(guī)定的，無效碼元是HALT碼元。
13．如權利要求9所述的通信網(wǎng)絡裝置，其特征在于，為了防范竊聽，所述安全管理控制器有選擇地啟動每個所述端口。
14．一種在通信網(wǎng)上防止竊聽的方法，所述通信網(wǎng)包括多個耦合至通信網(wǎng)絡裝置的收發(fā)兩用機，其特征在于，所述方法包括(a)讀取從所述收發(fā)兩用機發(fā)送來的數(shù)據(jù)分組，所述數(shù)據(jù)分組具有在源地址字段中的源地址、在目的地字段中的目的地地址和在數(shù)據(jù)字段中的數(shù)據(jù)；(b)把所述目的地地址與所述源地址存儲器作比較，該源地址存儲器具有所述源地址，所述源地址存儲器有效地耦合至所述通信網(wǎng)絡裝置；以及(c)在發(fā)送到這樣一些收發(fā)兩用機的所述數(shù)據(jù)分組的所述數(shù)據(jù)字段中插入無效碼元，這些所述收發(fā)兩用機在所述源地址存儲器中具有的所述源地址與在所述數(shù)據(jù)分組中的所述目的地地址不匹配。
15．如權利要求14所述的防止竊聽的方法，其特征在于，所述方法還包括把所述源地址輸入所述源地址存儲器的步驟。
16．如權利要求15所述的防止竊聽的方法，其特征在于，將所述源地址輸入所述源地址存儲器的步驟包括當所述安全管理控制器處于初始化或編程模式時，讀取所述數(shù)據(jù)分組中的所述源地址字段的所述源地址，并且將所述源地址存儲在所述源地址存儲器中。
17．如權利要求15所述的防止竊聽的方法，其特征在于，將所述源地址輸入所述源地址存儲器的步驟包括當所述安全管理控制器處于不鎖定模式時，讀取所述數(shù)據(jù)分組的所述目的地地址，并將所述目的地地址作為所述源地址存儲在所述源地址存儲器中。
全文摘要
揭示了一種在局域網(wǎng)通信網(wǎng)絡裝置(諸如多端口重發(fā)器)中使用的用于防止竊聽的安全裝置,其做法是在發(fā)送給所有與通信網(wǎng)絡裝置連接的不希望的收發(fā)兩用機的數(shù)據(jù)通信分組中,用無效碼元來重寫數(shù)據(jù)。由于與數(shù)據(jù)無關地規(guī)定無效碼元,因此不把保密的和用戶敏感的信息傳送給不希望的收發(fā)兩用機。無效碼元明確地告訴不希望的收發(fā)兩用機,在數(shù)據(jù)分組中的數(shù)據(jù)無效。
文檔編號H04L12/22GK1290088SQ9912107
公開日2001年4月4日 申請日期1999年9月27日 優(yōu)先權日1999年9月27日
發(fā)明者邁克爾·A·索科爾 申請人:一級通訊股份有限公司