DE10125952A1 - Authentifizierter Zugang zu einem Storage Area Network - Google Patents
Authentifizierter Zugang zu einem Storage Area NetworkInfo
- Publication number
- DE10125952A1 DE10125952A1 DE10125952A DE10125952A DE10125952A1 DE 10125952 A1 DE10125952 A1 DE 10125952A1 DE 10125952 A DE10125952 A DE 10125952A DE 10125952 A DE10125952 A DE 10125952A DE 10125952 A1 DE10125952 A1 DE 10125952A1
- Authority
- DE
- Germany
- Prior art keywords
- value
- code
- copy
- password
- network
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
Classifications
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F15/00—Digital computers in general; Data processing equipment in general
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
- G06F21/31—User authentication
- G06F21/33—User authentication using certificates
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
- H04L9/3226—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using a predetermined code, e.g. password, passphrase or PIN
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
- H04L9/3297—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving time stamps, e.g. generation of time stamps
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F2221/2129—Authenticate client device independently of the user
Abstract
Es wird ein Verfahren und System für die Authentifizierung des Zugangs zu einem Storage Area Network (SAN) beschrieben, wobei als Reaktion auf eine Zugangsforderung (Login-Anforderung) ein Passwort aus einem ersten Exemplar einer Passwort-Tabelle abgerufen wird, wobei das erste Exemplar der Passwort-Tabelle in einer Vermittlungsstelle gespeichert ist und einem Vermittlungsstellenanschluss entspricht. Das Passwort wird dazu verwendet, eine Antwort aus dem ersten Exemplar der Passwort-Tabelle abzurufen. Die Antwort wird entsprechend einem im Vermittlungsstelle gespeicherten ersten Exemplar eines Codeschlüssels verschlüsselt. Das verschlüsselte Passwort wird danach an den Knoten gesendet, der einen Zugang zum SAN anfordert, wo es entsprechend einem im Knoten gespeicherten zweiten Exemplar des Codeschlüssels entschlüsselt wird. Das entschlüsselte Passwort wird dazu verwendet, eine Antwort aus einem im Knoten gespeicherten zweiten Exemplar der Passwort-Tabelle abzurufen. Die Antwort wird entsprechend dem zweiten Exemplar des Codeschlüssels verschlüsselt und zum Vermittlungsstellenanschluss zurückgesendet. Danach wird die vom Knoten empfangene Antwort mit der aus dem ersten Exemplar der Passwort-Tabelle abgerufenen Antwort verglichen. Der Zugang zum SAN wird gewährt, wenn die beiden Antworten übereinstimmen, ansonsten wird er verwehrt. Das Verfahren enthält außerdem einen Mechanismus zum Erzeugen von Codes auf der grundlage von Hardware-Seriennummern (oder anderen eindeutigen ...
Description
Die vorliegende Erfindung betrifft im allgemeinen den
Bereich der Datenverarbeitung und im besonderen ein
Verfahren und die Ausführung eines gesicherten oder
authentifizierten Zugangs zu einem Storage Area Network,
speziell einem Storage Area Network, das die Anforderungen
eines Fibre Channel erfüllt.
Im Bereich der Datenverarbeitung hat die schnell wachsende
Anzahl der datenintensiven Anwendungen einen scheinbar
unstillbaren Bedarf an Ursprungsdaten-Speicherkapazität
hervorgerufen. Um die Anforderungen von Anwendungen wie
Daten-Lagerhaltung, Daten-Gewinnung, Verarbeitung von
Online-Transaktionen und Multimedia-Browsing im Internet
oder Intranet zu erfüllen, wird jedes Jahr etwa das Doppelte
an zusätzlicher Speicherkapazität benötigt. Gleichzeitig
steigt auch die Anzahl der Netzwerkverbindungen für Server-
Speicher-Untersysteme rapide an. Mit dem Entstehen der
Client-Vernetzung, datenintensiven Computeranwendungen und
elektronischen Kommunikationsanwendungen bekamen beinahe
alle im Netzwerk gespeicherten Daten für die Ausführung der
Aufgaben eine entscheidende Bedeutung. Da man zunehmend
darauf angewiesen ist, auf im Netzwerk gespeicherte Daten
zugreifen zu können, stoßen die traditionellen Server-
Speichersysteme an ihre Grenzen. So wird das Hinzufügen von
zusätzlichem Speicher, die Versorgung von mehr Anwendern und
die Sicherung von mehr Daten zu einer nie endenden Aufgabe.
Der parallele Geräteschnittstellenbus (Small Computer System
Interface Bus, SCSI-Bus), der häufig für die Verbindung
zwischen Server und Speicher in lokalen Netzen (Local Area
Networks, LAN) verwendet wird, erlegt dem Netzwerkspeicher
massive Beschränkungen auf. Um diese Beschränkungen
zusammenzulegen, werden traditionell LAN-Verbindungen für
die Sicherung des Server-Speichers verwendet, was die
nutzbare Client-Bandbreite senkt.
Das Storage Area Network (SAN) ist eine neu entstehende
Datenübertragungs-Plattform, die Server und Speicher mit
Geschwindigkeiten im Gigabaud-Bereich miteinander verbindet.
SAN soll die durch die SCSI-Architekturen auferlegten
Bandbreiten-Engpässe und Skalierbarkeitsgrenzen beseitigen,
indem die LAN-Netzwerkmodelle in die grundlegenden
Komponenten der Serverleistung und Massenspeicherkapazität
integriert werden. Das Fibre-Channel-Protokoll ist ein weit
verbreiteter offener Standard für die SAN-Umgebung. Fibre-
Channel kombiniert hohe Bandbreite und große Skalierbarkeit
mit der Unterstützung verschiedener Protokolle, darunter
SCSI und IP, über eine einzige physische Verbindung. Deshalb
kann das SAN sowohl als Serververbindung als auch als
direkte Verbindung zu Speichervorrichtungen und
Speicherfeldern dienen.
Leider bedingt die Offenheit, die zumindest teilweise für
die zunehmende Vorherrschaft der Storage Area Networks mit
Fibre-Channel verantwortlich ist, ein möglicherweise
schwerwiegendes Sicherheitsproblem für eine immense Anzahl
großer (und kleiner) wertvoller Datenbanken mit sich. Als
offener Standard ist das Fibre-Channel-Netzwerk für viele
der Sicherheitsprobleme des Internet anfällig. Ein
böswilliger Hacker, der die Kontrolle über einen an eine
Fibre-Channel-Vermittlungsstelle angeschlossenen Host-Bus-
Adapter erlangt hat, könnte Daten überall im SAN verändern,
löschen oder anderweitig beschädigen. Ein nicht
autorisierter Nutzer, der Zugang zu einem an das Fibre-
Channel-Netz angeschlossenen Element erlangt, kann eine
Fibre-Channel-Vermittlungsstelle auf mindestens drei Arten
negativ beeinflussen. Erstens könnte der Nutzer Software
schreiben, die eine bestehende Geräteschnittstelle der
Fibre-Channels für die Beeinträchtigung der Netz-
Betriebsumgebung nutzt. Zweitens könnte der Nutzer auf
Geräteebene Treiber installieren, die versuchen, die
Betriebsumgebung auf der physischen und Signal-
Schnittstellenebene des Fibre-Channel (FC-PH) zu
beeinträchtigen. Drittens könnte der Nutzer einen
verfälschten Host-Bus-Adapter installieren, der Hardware
oder Mikrocode enthält, welcher versucht, die
Betriebsumgebung des Netzes auf FC-PH-Ebene auszunutzen.
Deshalb wäre es höchst wünschenswert, einen sicheren und
kostengünstigen Mechanismus zu realisieren, der die
Integrität von Transaktionen auf einem SAN-Netzwerk
sicherstellt.
Dem oben beschriebenen Problem wird in der vorliegenden
Erfindung durch ein Verfahren und System für einen
authentifizierten Zugang zu einem Storage Area Network (SAN)
begegnet. Zunächst wird als Reaktion auf eine
Zugangsanforderung (Login-Anforderung) ein Passwort aus
einem ersten Exemplar einer Passwort-Tabelle abgerufen,
wobei das erste Exemplar der Passwort-Tabelle in einer
Vermittlungsstelle gespeichert ist und einem
Vermittlungsstellenanschluss entspricht. Das Passwort wird
dazu verwendet, eine Antwort aus dem ersten Exemplar der
Passwort-Tabelle abzurufen. Die Antwort wird entsprechend
eines ersten Exemplars einer Vermittlungsstelle
gespeicherten Codeschlüssels verschlüsselt. Danach wird das
verschlüsselte Passwort an den Knoten gesendet, der einen
Zugang zum SAN anfordert, wo es entsprechend einem im Knoten
gespeicherten zweiten Exemplar des Codeschlüssels
entschlüsselt wird. Das entschlüsselte Passwort wird dazu
verwendet, eine Antwort aus einem im Knoten gespeicherten
zweiten Exemplar der Passwort-Tabelle abzurufen. Die Antwort
wird entsprechend dem zweiten Exemplar des Codeschlüssels
verschlüsselt und zum Vermittlungsstellenanschluss
zurückgesendet. Danach wird die vom Knoten empfangene
Antwort mit dem aus dem ersten Exemplar der Passwort-Tabelle
ermittelten Antwort verglichen. Der Zugang zum SAN wird
gewährt, wenn die beiden Antworten übereinstimmen, ansonsten
wird er verweigert. Das Verfahren enthält außerdem einen
Mechanismus zum Erzeugen von Codes auf der Grundlage von
Hardware-Seriennummern (oder anderen eindeutigen Werten) und
das Vergleichen der Seriennummern mit zuvor gespeicherten
Codes, um festzustellen, ob sich die Hardware-Seriennummern
verändert haben, sowie für das Gewähren oder Verweigern des
Zugangs zum SAN auf der Grundlage dieser Feststellung.
Weitere Aufgaben und Vorteile der Erfindung ergeben sich aus
der folgenden detaillierten Beschreibung und den angefügten
Zeichnungen, in denen:
Fig. 1A eine Ausführungsform eines Storage Area Network
zeigt, das für die Realisierung der vorliegenden
Erfindung geeignet ist;
Fig. 1B das Fibre-Channel-Netz des Netzwerks von Fig. 1A
detaillierter zeigt;
Fig. 2 ein Blockschaltbild eines Datenverarbeitungs-Systems
ist, das als Knoten zum Anschluss an das Storage Area
Network von Fig. 1 geeignet ist;
Fig. 3 ein vereinfachtes Blockschaltbild ist, das eine
Verbindung zwischen einer Netzvermittlungsstelle im
Storage Area Network und einem Endpunktknoten zeigt;
Fig. 4 die Software-Komponenten des
Authentifizierungsmechanismus für ein Storage Area
Network nach einer Ausführungsform der vorliegenden
Erfindung darstellt; und
Fig. 5 ein Flussdiagramm ist, das ein
Authentifizierungsverfahren eines Storage Area Network
nach einer Ausführungsform der vorliegenden Erfindung
darstellt.
Bei der Erfindung sind verschiedenen Modifikationen und
alternative Formen möglich, von denen spezifische
Ausführungsformen als Beispiel in den Zeichnungen
dargestellt und hier im folgenden detailliert beschrieben
werden. Dabei gilt grundsätzlich, dass die hier
dargestellten Zeichnungen und detaillierten Beschreibungen
die Erfindung nicht auf die spezifisch dargestellte
Ausführungsform begrenzen sollen, sondern die Erfindung
deckt im Gegenteil sämtliche Modifikationen, gleichwertige
Vorrichtungen und Alternativen ab, die den Geist und den
Umfang der vorliegenden Erfindung wie durch die anhängenden
Ansprüche definiert erfüllen.
In den Fig. 1A und 1B wird eine Ausführungsform eines für
die Umsetzung der Erfindung geeigneten Datenverarbeitungs-
Netzwerks 100 dargestellt. Das Netzwerk 100 enthält ein
Storage Area Network (SAN) 105, das vorzugsweise Fibre-
Channel-kompatibel ist. Fibre-Channel ist eine skalierbare
Übertragungsschnittstellentechnologie für Daten (zur Zeit
überwiegend mit einer Datenübertragungsrate von 1 GB/s
realisiert), die mehrere allgemeine Übertragungsprotokolle
abbildet, darunter Internet-Protokoll (IP) und SCSI, wodurch
es in einer einzigen Anschlusstechnologie eine
Hochleistungs-Ein-/Ausgabe mit der Netzwerkfunktionalität
vereinigen kann. Fibre-Channel ist ein Satz durch ANSI und
ISO definierter offener Standards. Detaillierte
Informationen über die verschiedenen Fibre-Channel-Standards
sind über das ANSI Accredited Standards Committee (ASC)
X3T11 (ww.t11.org) erhältlich, das hauptsächlich für das
Fibre-Channel-Projekt verantwortlich ist. Auf diese
Standards wird in dieser Patentschrift kollektiv als der
Fibre-Channel-Standard oder die Fibre-Channel-Spezifikation
verwiesen. Fibre-Channel funktioniert sowohl über Kupfer-
als auch Lichtwellenleiterkabel mit Verbindungslängen von
bis zu 10 Kilometern, und es unterstützt verschiedene
interoperable Topologien wie Punkt-zu-Punkt-, Entscheidungs-
Schleifen und Vermittlungsstellen-Topologien (sowie deren
Kombinationen).
Die abgebildete Ausführungsform von SAN 105 enthält einen
Satz Knoten 120, die durch ein Fibre-Channel-Netz 101
untereinander verbunden sind. Die Knoten 120 des Netzwerks
100 können jede beliebige Vielfalt von Geräten oder Systemen
enthalten, darunter wie in Fig. 1A gezeigt ein oder mehrere
Datenverarbeitungs-Systeme (Computer) 102, Magnetband-
Untersysteme 104, RAID-Vorrichtungen 106, Platten-
Untersysteme 108, Fibre-Channel-Entscheidungsschleifen
(FCAL) 110 und andere geeignete Datenspeicher- und
Datenverarbeitungs-Vorrichtungen. Ein oder mehrere Knoten
120 des Netzwerks 100 können an ein mit Referenznummer 103
bezeichnetes externes Netzwerk angeschlossen werden. Das
externe Netzwerk 103 kann ein lokales Netz (LAN) oder ein
IP-gestütztes Netzwerk wie das Internet sein. In der Regel
enthält das Fibre-Channel-Netz 101 ein oder mehrere
zusammengeschaltete Fibre-Channel-Vermittlungsstelle 130,
von denen jeder einen Satz Fibre-Channel-Anschlüsse 140
enthält. Jeder Anschluss 140 enthält in der Regel einen
Steckverbinder, einen Sender, einen Empfänger und eine
unterstützende Logik für ein Ende einer Fibre-Channel-
Verbindung und kann außerdem einen Controller enthalten. Die
Anschlüsse 140 dienen als Zwischenverstärker für alle
anderen Anschlüsse 140 im Netz 101. Eine Beschreibung der
Fibre-Channel-Anschlüsse entsprechend ihrer Topologie: Ein
F-Anschluss bezeichnet einen Vermittlungsstellenanschluss
(wie in Fig. 1B gezeigt), ein L- oder NL-Anschluss
bezeichnet eine Verbindung mit Entscheidungs-Schleife (in
Fig. 1B nicht gezeigt) und ein FL-Anschluss bezeichnet einen
Verbindungs-Anschluss zwischen einer Entscheidungs-Schleife
und einer Vermittlungsstelle. Die Anschlüsse 140
kommunizieren miteinander auf eine standardisierte, von
ihrer Topologie unabhängigen Weise, so dass der Fibre-
Channel die Kommunikation zwischen unterschiedlichen
Topologien unterstützen kann.
In Fig. 2 wird ein Blockschaltbild der Ausführungsform eines
Datenverarbeitungs-Systems (Computer) 102 gezeigt, welches
als Knoten 120 des Netzwerks 100 dienen kann. Man bedenke,
dass Fig. 2 zwar spezifisch die Datenverarbeitung 102
beschreibt, die beschriebene Architektur aber allen Knoten
120 des Netzwerks 100 gemeinsam ist. So kann jeder Knoten
120 einen oder mehrere Prozessoren einen Systembus,
Systemspeicher, einen E/A-Bus und E/A-Adapter mit einen
Host-Bus-Adapter (HBA) enthalten, geeignet für den Anschluss
an einen Anschluss 140 einer Fibre-Channel-
Vermittlungsstelle, wie unten speziell im Hinblick auf den
Computer 102 beschrieben. Die dargestellte Ausführungsform
des Computers 102 enthält einen oder mehrere Prozessoren
200a bis 200n (hier generisch oder kollektiv als
Prozessor(en) 200 bezeichnet), die über einen Systembus 204
zusammengeschaltet sind. Die Prozessoren 200 können als
RISC-Prozessoren ausgeführt sein, wie die PowerPC®-
Prozessorenfamilie der IBM Corporation. In anderen
Ausführungsformen können die Prozessoren 200 Sparc®-
Prozessoren von Sun Microsystems, x86-kompatible Prozessoren
wie die der Pentium®-Prozessorenfamilie der Intel
Corporation oder beliebige andere geeignete Prozessor-
Architekturen sein.
Die Prozessoren 200 sind über den Systembus 204 mit einem
Systemspeicher 206 verbunden. Der Systemspeicher kann
Betriebssystem-Software (oder Teile davon) enthalten, wie
das AIX®-Betriebssystem von IBM, verschiedene
Betriebssysteme auf UNIX®-Grundlage oder ein Windows®-
Betriebssystem von Microsoft. Der Systembus 204 ist über
eine Host-Brücke 208 an einen E/A-Bus 209 angeschlossen. In
der dargestellten Ausführungsform sind die Host-Brücke 208
und der E/A-Bus 209 kompatibel mit dem
Peripheriekomponenten-Schnittstellenprotokoll (PCI-
Protokoll), wie in PCI Local Bus Specification Rev. 2.2
spezifiziert, erhältlich bei der PCI Special Interest Group
unter (www.pcisig.com). Der PCI-konforme E/A-Bus 209 stellt
einen prozessorunabhängigen Datenpfad zwischen den
Prozessoren 200 und verschiedenen Peripherieeinheiten her,
darunter ein Netzadapter 212 und Grafikadapter 214. An den
E/A-Bus 209 können noch andere Peripherieeinheiten wie zum
Beispiel eine Festplatte angeschlossen werden. Außerdem kann
an den Bus 209 eine Brücke zwischen PCI und PCI (nicht
abgebildet) angeschlossen werden, um einen oder mehrere
zusätzliche PCI-konforme Busse zur Verfügung zu stellen.
Eine Brücke 216 stellt eine Schnittstelle zwischen dem PCI-
E/A-Bus 209 und einem ISA-Bus (Industry Standard
Architecture Bus) 218 her, an den über einen E/A-Adapter 220
verschiedene E/A-Einheiten wie eine Maus 222, eine Tastatur
224 und ein Diskettenlaufwerk 226 angeschlossen sind.
Die dargestellte Ausführungsform des Computers 102 enthält
einen an den PCI-E/A-Bus 209 angeschlossenen Fibre-Channel-
HBA 210. Der HBA 210 verfügt über einen Steckverbinder und
eine unterstützende Logik, die zum Anschluss eines Knotens
120 wie ein Computer 102 an das Fibre-Channel-Netz 101
geeignet ist. Genauer gesagt stellt der HBA 210 in Fig. 3
einen Steckverbinder dar, der über eine Verbindung 303 an
einen Anschluss 140 einer Fibre-Channel-Vermittlungsstelle
130 innerhalb des Fibre-Channel-Netzes 101 angeschlossen
werden kann. Die Verbindung 303 kann entsprechend der Fibre-
Channel-Spezifikation als Kupfer oder Lichtwellenleiterkabel
ausgeführt sein.
Die Fibre-Channel-Spezifikation setzt voraus, dass ein
Knoten 120 immer dann eine Netzanmeldung durchführt, wenn
ein Computer (oder anderer Knoten) versucht, eine Verbindung
zwischen zwei Endpunkten des Netzes 101 herzustellen. Als
offener Standard bietet die durch die Fibre-Channel-
Spezifikation definierte Netzanmeldung aber keinen sicheren
Mechanismus, um sicherzustellen, dass der Zugang zum SAN 105
autorisiert ist. Wenn einem nichtautorisierten Nutzer der
Zugang zum HBA 210 gelingt, eventuell über ein externes
Netzwerk 103 wie das Internet, ist die Sicherheit aller
Daten auf dem SAN 105 gefährdet. Die vorliegende Erfindung
beabsichtigt ein stark authentifiziertes Verfahren und einen
Mechanismus, um das Risiko eines nichtautorisierten Zugangs
zum Fibre-Channel-konformen SAN 105 zu minimieren. Dieses
Verfahren kann in die spezifizierte Netzanmelde-Sequenz des
Fibre-Channel selbst integriert sein oder als Teil eines
erweiterten Anmeldedienstes (Extended Login Service, ELS)
ausgeführt werden. Der ELS ist ein vom Fibre-Channel
spezifiziertes Dienstprogramm, das Erweiterungen der
bestehenden spezifizierten Anmeldesequenz des Fibre-Channel
realisieren kann.
In den Fig. 3 und 4 werden Blockschaltbilder von
Hardware- bzw. Software-Komponenten gezeigt, welche wie hier
beschrieben zusammen mit einer authentifizierten
Anmeldesequenz zum Fibre-Channel-Netz verwendet werden. In
der dargestellten Ausführungsform bilden ein Knoten 120 und
eine Vermittlungsstelle 130 eine Fibre-Channel-Verbindung.
Genauer gesagt ist ein HBA 210 an Knoten 120 über ein
Kupfer- oder Lichtwellenleiterkabel 303 mit einem
Vermittlungsstellenanschluss 140 der Vermittlungsstelle
verbunden. Der Knoten 120 enthält eine nichtflüchtige
Speichervorrichtung 302 und einen Systemspeicher 206, auf
die ein Host-Bus-Adapter 210 über einen oder mehrere Busse
zugreifen kann. Ähnlich enthält die Vermittlungsstelle 130
auf der Vermittlungsstellenseite der Verbindung eine
nichtflüchtige Speichervorrichtung 304 und einen
Vermittlungsstellen-Speicher 306, auf die der
Vermittlungsstellenanschluss 140 zugreifen kann.
In der dargestellten Ausführungsform enthält das Fibre-
Channel-Netz 101 eine Schlüsselserver-Anwendung 408, die zum
Erzeugen von Codeschlüsseln und Passwort-Tabellen
entsprechend der vorliegenden Erfindung verantwortlich ist.
Der Schlüsselserver 408, der vorzugsweise nur von einem
Administrator oder Nutzer mit privilegiertem Zugang zur
Anwendung bedient wird, erstellt die Schlüsselerzeugungs-
Agenten 404 und 414 auf dem Knoten 120 (aus als Host 120
bezeichnet) bzw. der Vermittlungsstelle 130. In einer
Ausführungsform ist der Schlüsselserver 408 für die
Erzeugung von Schlüsseln und Passwort-Tabellen für jedes
Knoten-Anschluss-Paar im Netz 100 verantwortlich. Der
Schlüsselserver 408 wird vorzugsweise periodisch ausgeführt,
um als zusätzliche Sicherheitsmaßnahme neue Codeschlüssel
und Passwort-Tabellen zu erzeugen. In der bevorzugten
Ausführungsform werden für jedes Knoten-Anschluss-Paar ein
eindeutiger Codeschlüssel und eine Passwort-Tabelle erzeugt.
Ein Exemplar des Schlüssels und der Passwort-Tabelle für
jedes Knoten-Anschluss-Paar wird sowohl auf Host-Seite (in
Fig. 4 durch die Host-Passwort-Tabelle 402 dargestellt) als
auch auf Vermittlungsstellen-Seite (Vermittlungsstellen-
Passwort-Tabelle 412) gespeichert. Die Passwort-Tabellen 402
und 412, die den vom Schlüsselserver 408 erzeugten Schlüssel
enthalten können, werden vorzugsweise in den nichtflüchtigen
Speichervorrichtungen 302 und 304 gespeichert, um den
Verlust von Schlüssel und Tabelle beim Ausschalten der
Stromzufuhr der entsprechenden Vorrichtung zu verhindern.
Die Schlüsselerzeugungs-Agenten (oder Teile von ihnen) sind
hingegen bei ihrer Ausführung in der Regel im Systemspeicher
206 oder der Vermittlungsstellen-Speicher 306 gespeichert.
Der Schlüssel und die Passwort-Tabellen 402 und 412 sind
vorzugsweise an einem geheimen Ort der nichtflüchtigen
Speichervorrichtungen 302 und 304 gespeichert. Dieser
geheime Ort ist nur den im Host 120 bzw. Vermittlungsstelle
130 gespeicherten Schlüsselerzeugungs-Agenten 404 und 414
bekannt.
Die vom Schlüsselserver 408 erzeugten Codeschlüssel und
Passwort-Tabellen müssen über einen zuverlässigen
Mechanismus an die verschiedenen Hosts übertragen werden. In
einer Ausführungsform könnten die Schlüssel und Passwort-
Tabellen erzeugt, auf einer tragbaren Speichervorrichtung
wie einer Diskette gespeichert und dann an jedem Host durch
einen Administrator oder einen anderen privilegierten und
vertrauenswürdigen Nutzer manuell installiert werden. In
einer anderen Ausführungsform könnten die Schlüssel und
Passwort-Tabellen an jeden Host 120 mittels einer
vertrauenswürdigen und vorzugsweise verschlüsselten
Verbindung über ein externes Netzwerk übertragen werden. Es
könnte zum Beispiel eine sichere IP-Verbindung verwendet
werden, um die verschiedenen Schlüssel und Passwort-Tabellen
an jeden Knoten 120 zu verteilen. Diese Verteilermethode
selbst könnte innerhalb einer Anwendung ausgeführt werden,
die wie eine passwortgeschützte Anwendung ebenfalls einen
sicheren Zugang erfordert.
Neben dem unten detaillierter beschriebenen
Authentifizierungs-Verfahren kann die Erfindung die
Verwendung einer bindenden Software/Hardware beinhalten, um
den Zugang zum Fibre-Channel-Netz 101 weiter zu sichern.
Allgemein enthält die Bindefunktion die Erzeugung eines
bindenden Codes auf der Grundlage einer eindeutigen Nummer
(wie der Seriennummer), über die jeder Endpunkt einer
Hardware-Vorrichtung verfügt. Beim Hochfahren eines Systems
oder einer Software-Rücksetzung vergleicht die Software den
bindenden Code jeder Verbindung mit der Seriennummer (oder
anderen eindeutigen Nummer) jeder angeschlossenen Hardware-
Vorrichtung. Entspricht der Code nicht der zugehörigen
Seriennummer, wird die Verbindung zum SAN abgebrochen und
ein Administrator informiert.
In Fig. 5 wird ein Flussdiagramm einer Ausführungsform eines
Authentifizierungs-Mechanismus und Verfahren 500 für das
betrachtete Fibre-Channel-Netz dargestellt. Das Verfahren
500 kann als Computerprogramm-Produkt (Software) ausgeführt
werden, wobei ein Satz von einem Prozessor ausführbarer
Befehle für die Zugangs-Authentifizierung zum SAN 105 auf
einem computerlesbaren Medium wie einer Diskette, CD-ROM,
Festplatte, Magnetbandspeicher, einer nichtflüchtigen
Speichervorrichtung wie einem PROM, EEPROM oder Flash-
Speicher oder in einem zu einem oder mehreren Prozessoren
gehörenden Systemspeicher oder Cachespeicher gespeichert
werden. Verschiedene Teile der Software können von einem
Prozessor auf einem Knoten 120 ausgeführt werden, während
andere von einem Prozessor in einer Vermittlungsstelle 130
des Netzwerks 100 ausgeführt werden können. Ähnlich können
verschiedene Teile einer Software-Ausführung des Verfahrens
500 Teile der SAN-Software-Schnittstelle 416 der
Vermittlungsstelle oder der Software-Schnittstelle 406 des
Knotens umfassen. In einer Ausführungsform (wie in Fig. 4
gezeigt) geschieht die Authentifizierung durch die Software-
Schnittstellen 406 und 416 auf beiden Seiten der Verbindung.
Die Software-Schnittstelle des Host überwacht, ob Vorgänge
im Host Teile des Authentifizierungs-Mechanismus auslösen.
Wird zum Beispiel ein Hochfahren oder eine Software-
Rücksetzung festgestellt (Block 502), liest (Block 504) die
Software-Schnittstelle 406 des Host eine Kenn-Nummer der
Host-Vorrichtung (wie die Seriennummer). Aus der
Seriennummer kann die Software-Schnittstelle 406 einen
bindenden Code erzeugen und den erzeugten bindenden Code mit
dem beim ursprünglichen Erzeugen der bindenden Codes (wie
bei der ersten Installation des Hosts 120) gespeicherten
Code vergleichen (Block 506). Falls der erzeugte bindende
Code nicht mit dem gespeicherten bindenden Code
übereinstimmt, wird die Software-Schnittstelle gesperrt
(Block 508), und der Systemadministrator wird informiert.
Der bindende Code kann durch die Einbeziehung zusätzlicher
Informationen in den Code noch weiter verbessert werden. Bei
der ursprünglichen Erzeugung des bindenden Codes können ein
Zeitstempel und Datumsstempel verwendet werden. Wenn der
während eines späteren Hochfahrens oder einer Software-
Rücksetzung festgestellte Zeitstempel und Datumsstempel
zeitmäßig nicht größer (später) sind als der ursprünglich
festgestellte Datums- und Zeitstempel, kann die Software
unterbrochen werden. Diese Hardware-/Software-Bindung
verhindert, dass ein nichtautorisierter Nutzer einen
autorisierten HBA physisch durch einen nichtautorisierten
HBA austauscht, um einen nichtautorisierten Zugang zum SAN
105 zu erhalten. Ähnlich verhindern die bindenden Codes,
dass ein nichtautorisierter Nutzer eine nicht autorisierte
Version einer Software = Schnittstelle 406 installiert, um
Zugang zum SAN 105 zu erhalten. So bietet der beschriebene
Binde-Mechanismus einen zusätzlichen Grad an Sicherheit für
das SAN 105. Bei einer Hochfahr-Sequenz oder einer Software-
Rücksetzung ist der nichtautorisierte HBA und/oder die
Software-Schnittstelle nicht in der Lage, die erforderlichen
bindenden Codes zu lesen, wodurch der Zugang zur
Schlüsselerzeugungs-Anwendung verhindert wird, ohne die der
Nutzer keinen Zugang zum SAN 105 erhält.
Falls eine Hochfahr-Sequenz erfolgreich durchgeführt wurde
und der bindende Code jeder Hardware-Vorrichtung überprüft
wurde (und keine Software-Rücksetzung durchgeführt wird),
überwacht die Software-Schnittstelle 406, ob ein Ereignis
vorliegt, das eine authentifizierte Netz-Anmeldesequenz
entsprechend der vorliegenden Erfindung auslöst.
Vorzugsweise wird die authentifizierte Anmeldesequenz bei
jeder regulären Vermittlungsstellen-Anmeldung und bei jedem
unregulären Vermittlungsstellen-Ereignis (Anmeldung oder
Abmeldung) gestartet. Beim Eintreten eines solchen
Ereignisses fordert die Software-Schnittstelle 406 eine
Anmeldung zur Vermittlungsstelle 130 an (Block 510). Als
Reaktion darauf erzeugt einer Software-Schnittstelle 416 an
Vermittlungsstelle 130 einen zufälligen Hash-Zugriff (Block
512) auf die Passwort-Tabelle 412. Nun wird auf der
Grundlage des zufälligen Hash-Zugriffs ein Passwort aus der
Passwort-Tabelle 412 abgerufen. Dieses Passwort stellt
selbst einen Hash-Zugriff auf die Passwort-Tabelle 412 dar.
Die Software-Schnittstelle 416 ermittelt aus der Tabelle 412
eine Antwort, die dem durch das gelesene Passwort
dargestellten Hash-Zugriff entspricht. Die Software-
Schnittstelle 416 speichert (Block 516) diese Antwort lokal
und verschlüsselt (Block 518) das entsprechende Passwort
gemäß dem an einem geheimen und vorzugsweise nichtflüchtigen
Ort auf Vermittlungsstelle 130 gespeicherten Codeschlüssel.
Nun wird das verschlüsselte Passwort an den Host 120
gesendet (Block 520), wo die Software-Schnittstelle 406 das
Passwort entsprechend ihrem lokal gespeicherten Exemplars
des Codeschlüssels (der mit der Vermittlungsstelle 130
gespeicherten Codeschlüssel übereinstimmt) entschlüsselt
(Block 522) und das entschlüsselte Passwort für einen Hash-
Zugriff auf die Passwort-Tabelle 402 des Hosts verwendet.
Der Speicherort der Host-Passwort-Tabelle 402 und der Ort
der Vermittlungsstelle-Passwort-Tabelle 412 sind nur der
entsprechenden Software-Schnittstelle bekannt. Beim Abrufen
des Passworts aus ihrer Passwort-Tabelle 402 verschlüsselt
(Block 524) die Software-Schnittstelle 406 die Antwort
entsprechend ihrem lokal gespeicherten Codeschlüssel und
sendet die Antwort zurück an die Vermittlungsstelle 130.
Beim Empfangen der verschlüsselten Antwort des Host 120
entschlüsselt sie die Software-Schnittstelle 416 mit dem
Codeschlüssel und vergleicht die empfangene Antwort mit der
in Block 516 gespeicherten Antwort. Stimmen die Antworten
überein, erlaubt (Block 530) die Software-Schnittstelle 416
die Anmeldung am Fibre-Channel-Netz 101 und bestätigt dem
anfordernden Nutzer die erfolgreiche Anmeldung. Stimmen die
Antworten nicht überein, wird die Netzanmeldung verweigert
(Block 528), und der Zugang des Nutzers zum Netz 101 wird
verhindert.
Auf diese Weise bietet das beschriebene Authentifizierungs-
Verfahren eine auf Aktion und Reaktion beruhende Form eines
autorisierten Zugangs zu einer geschützten oder kritischen
Ressource wie einem SAN 105. Für die Authentifizierung mit
Aktion und Reaktion müssen sich beide Parteien einer
Verbindung auf ein gemeinsames Passwort (oder Passwörter)
einigen. Da die Einigung auf einem gemeinsamen und
verschlüsselten Mechanismus beruht, verhindert die
Authentifizierung wirksam, dass ein "Schnüffler" das
Passwort (die Passwörter) stiehlt, weil die Passwörter in
verschlüsseltem Format über die Verbindung gesendet werden.
Fachleute werden aus dieser Darlegung ersehen, dass die
vorliegende Erfindung einen stark authentifizierten Zugang
zu einem Fibre-Channel-SAN beabsichtigt. Die in der
detaillierten Beschreibung und den Zeichnungen gezeigten und
beschriebenen Formen der Erfindung sind nur als derzeit
bevorzugte Beispiele zu werten. Die folgenden Ansprüche sind
großzügig zu interpretieren, so dass sie alle Variationen
der dargelegten bevorzugten Ausführungsformen umfassen.
Claims (22)
1. Verfahren des Zugriffs auf ein Storage Area Network
(SAN), umfassend:
Abrufen eines ersten Wertes aus einem ersten Exemplar einer Passwort-Tabelle;
Verwenden des ersten Werts, um einen zweiten Wert aus dem ersten Exemplar der Passwort-Tabelle abzurufen;
Verschlüsseln des ersten Werts entsprechend einem ersten Exemplar eines Codeschlüssels;
Senden des verschlüsselten ersten Werts an einen Knoten des SAN;
Entschlüsseln des verschlüsselten ersten Werts entsprechend einem zweiten Exemplars des Codeschlüssels;
Verwenden des entschlüsselten ersten Werts, um einen dritten Wert aus einem zweiten Exemplar der Passwort- Tabelle abzurufen;
Verschlüsseln des dritten Werts entsprechend dem zweiten Exemplar des Codeschlüssels und Zurücksenden des verschlüsselten dritten Werts an einer Vermittlungsstelle des SAN;
Entschlüsseln des dritten Werts gemäß dem ersten Exemplar des Codeschlüssels und Vergleichen des entschlüsselten dritten Werts mit dem zweiten Wert; und
Gewähren des Zugangs zum SAN, falls der dritte Wert und der zweite Wert übereinstimmen.
Abrufen eines ersten Wertes aus einem ersten Exemplar einer Passwort-Tabelle;
Verwenden des ersten Werts, um einen zweiten Wert aus dem ersten Exemplar der Passwort-Tabelle abzurufen;
Verschlüsseln des ersten Werts entsprechend einem ersten Exemplar eines Codeschlüssels;
Senden des verschlüsselten ersten Werts an einen Knoten des SAN;
Entschlüsseln des verschlüsselten ersten Werts entsprechend einem zweiten Exemplars des Codeschlüssels;
Verwenden des entschlüsselten ersten Werts, um einen dritten Wert aus einem zweiten Exemplar der Passwort- Tabelle abzurufen;
Verschlüsseln des dritten Werts entsprechend dem zweiten Exemplar des Codeschlüssels und Zurücksenden des verschlüsselten dritten Werts an einer Vermittlungsstelle des SAN;
Entschlüsseln des dritten Werts gemäß dem ersten Exemplar des Codeschlüssels und Vergleichen des entschlüsselten dritten Werts mit dem zweiten Wert; und
Gewähren des Zugangs zum SAN, falls der dritte Wert und der zweite Wert übereinstimmen.
2. Verfahren nach Anspruch 1, außerdem umfassend:
als Reaktion auf einen zwischen einem Hochfahren und einer Software-Rücksetzung ausgewählten Vorgang, Lesen einer einem Host zugehörigen Serien-Kennnummer;
Erzeugen eines Codewerts auf der Grundlage der Seriennummer;
Vergleichen des erzeugten Codewerts mit einem zuvor bestimmten Codewert; und
Verweigern des Zugangs zum SAN, falls der erzeugte Codewert und der zuvor bestimmte Codewert sich unterscheiden.
als Reaktion auf einen zwischen einem Hochfahren und einer Software-Rücksetzung ausgewählten Vorgang, Lesen einer einem Host zugehörigen Serien-Kennnummer;
Erzeugen eines Codewerts auf der Grundlage der Seriennummer;
Vergleichen des erzeugten Codewerts mit einem zuvor bestimmten Codewert; und
Verweigern des Zugangs zum SAN, falls der erzeugte Codewert und der zuvor bestimmte Codewert sich unterscheiden.
3. Verfahren nach Anspruch 2, wobei der Codewert außerdem
auf einem Zeitstempel und Datumsstempel beruht.
4. Verfahren nach Anspruch 1, wobei das SAN ein Fibre-
Channel-konformes SAN ist.
5. Verfahren nach Anspruch 1, außerdem umfassend das
periodische Ausführen einer Schlüsselerzeugungs-
Anwendung, die eine eindeutige Passwort-Tabelle und
einen Codeschlüssel für jeden an das SAN angeschlossenen
Knoten erzeugt.
6. Verfahren nach Anspruch 5, wobei die
Schlüsselerzeugungs-Anwendung einen privilegierten
Zugang voraussetzt.
7. Verfahren nach Anspruch 5, wobei die Passwort-Tabellen
und die Codeschlüssel für jeden Knoten manuell an jeden
Knoten verteilt werden.
8. Verfahren nach Anspruch 5, wobei die Passwort-Tabellen
und die Codeschlüssel für jeden Knoten über eine
verschlüsselte Verbindung verteilt werden.
9. Datenverarbeitungs-Netzwerk, umfassend:
ein Vermittlungsstellenanschluss mit Controller, Empfänger, Sender, nichtflüchtigem Speicher und Speicher, wobei der nichtflüchtige Speicher der Vermittlungsstelle ein erstes Exemplar einer Passwort- Tabelle und ein erstes Exemplar eines Codeschlüssels enthält;
ein Knoten mit Prozessor, nichtflüchtigem Speicher, Speicher und ein Host-Bus-Adapter, wobei der nichtflüchtige Speicher des Knotens ein zweites Exemplar der Passwort-Tabelle und ein zweites Exemplar des Codeschlüssels enthält; und
wobei der Speicher des Knotens mindestens einen Teil einer Software-Schnittstelle einer Vermittlungsstelle enthält, wobei die Software-Schnittstellen Befehle für das Abrufen eines Passworts aus dem ersten Exemplar der Passwort-Tabelle als Reaktion auf eine Einwahlanforderung enthalten, für das Verwenden des Passworts zur Bestimmung einer ersten Antwort, Senden des Passworts zum Knoten, Verwenden des Passworts, um eine zweite Antwort aus dem zweiten Exemplar der Passwort-Tabelle zu bestimmen, Zurücksenden der zweiten Antwort zum Knoten, Vergleichen der ersten und zweiten Antwort und Ablehnen der Anmeldeanforderung, falls sich die erste und die zweite Antwort unterscheiden.
ein Vermittlungsstellenanschluss mit Controller, Empfänger, Sender, nichtflüchtigem Speicher und Speicher, wobei der nichtflüchtige Speicher der Vermittlungsstelle ein erstes Exemplar einer Passwort- Tabelle und ein erstes Exemplar eines Codeschlüssels enthält;
ein Knoten mit Prozessor, nichtflüchtigem Speicher, Speicher und ein Host-Bus-Adapter, wobei der nichtflüchtige Speicher des Knotens ein zweites Exemplar der Passwort-Tabelle und ein zweites Exemplar des Codeschlüssels enthält; und
wobei der Speicher des Knotens mindestens einen Teil einer Software-Schnittstelle einer Vermittlungsstelle enthält, wobei die Software-Schnittstellen Befehle für das Abrufen eines Passworts aus dem ersten Exemplar der Passwort-Tabelle als Reaktion auf eine Einwahlanforderung enthalten, für das Verwenden des Passworts zur Bestimmung einer ersten Antwort, Senden des Passworts zum Knoten, Verwenden des Passworts, um eine zweite Antwort aus dem zweiten Exemplar der Passwort-Tabelle zu bestimmen, Zurücksenden der zweiten Antwort zum Knoten, Vergleichen der ersten und zweiten Antwort und Ablehnen der Anmeldeanforderung, falls sich die erste und die zweite Antwort unterscheiden.
10. Netzwerk nach Anspruch 9, außerdem umfassend eine
Schlüsselserver-Anwendung, bestehend aus einem Satz von
Befehlen zum Erzeugen des Codeschlüssels und der
Schlüssel-Passwort-Tabelle für den Knoten und
Vermittlungsstelle.
11. Netzwerk nach Anspruch 10, wobei die Schlüsselserver-
Anwendung einen Codeschlüssel und Passwort-Tabelle für
jedes Knoten-Vermittlungsstelle-Paar des Netzwerks
erzeugt.
12. Netzwerk nach Anspruch 10, wobei der Codeschlüssel und
die Passwort-Tabelle auf einer tragbaren
Speichervorrichtung gespeichert und manuell an den
Knoten verteilt werden.
13. Netzwerk nach Anspruch 10, wobei der Codeschlüssel und
die Passwort-Tabelle über ein externes Netzwerk an den
Knoten verteilt werden.
14. Netzwerk nach Anspruch 10, wobei die Schlüsselserver-
Anwendung periodisch ausgeführt wird, um neue Schlüssel
und Passwort-Tabellen zu erzeugen.
15. Netzwerk nach Anspruch 9, wobei das erste und zweite
Exemplar der Passwort-Tabelle entsprechend dem
Codeschlüssel verschlüsselt werden und wobei die
Software-Schnittstellen Befehle für das Verschlüsseln
und Entschlüsseln der Antworten und Passwörter
entsprechend dem Codeschlüssel enthalten.
16. Netzwerk nach Anspruch 9, wobei die Software-
Schnittstelle des Knotens außerdem Befehle für das Lesen
einer einem Host zugehörigen Serien-Kennnummer enthält,
einen Codewert auf der Grundlage der Seriennummer
erzeugt, den erzeugten Codewert mit einem zuvor
bestimmten Codewert vergleicht und den Zugang zum SAN
verweigert, falls der erzeugte Codewert und der zuvor
bestimmte Codewert sich unterscheiden.
17. Netzwerk nach Anspruch 16, wobei die Befehle für das
Erzeugen eines Codewerts als Reaktion auf einen zwischen
einem Hochfahren und einer Software-Rücksetzung
ausgewählten Vorgang ausgeführt werden.
18. Netzwerk nach Anspruch 9, wobei die Vermittlungsstelle
einen Fibre-Channel-konformen Vermittlungsstelle
umfasst.
19. Computerprograinm-Produkt, umfassend ein computerlesbares
Speichermedium mit Befehlen für die Autorisierung des
Zugangs zu einem Storage Area Network; wobei die Befehle
umfassen:
eine Abrufvorrichtung, um einen ersten Wert aus einem ersten Exemplar einer Passwort-Tabelle abzurufen;
Mittel zur Nutzung der Abrufvorrichtung und des ersten Werts zum Abrufen eines zweiten Werts aus dem ersten Exemplar der Passwort-Tabelle;
eine Verschlüsselungsvorrichtung zum Verschlüsseln des ersten Werts entsprechend einem ersten Exemplars eines Codeschlüssels;
Mittel für das Senden des verschlüsselten ersten Werts an einen Knoten des SAN;
eine Entschlüsselungsvorrichtung zum Entschlüsseln des verschlüsselten ersten Werts entsprechend einem zweiten Exemplar des Codeschlüssels;
Mittel zur Nutzung des entschlüsselten ersten Werts zum Abrufen eines dritten Werts aus einem zweiten Exemplar der Passwort-Tabelle;
Mittel zur Verschlüsselung des dritten Werts entsprechend dem zweiten Exemplar des Codeschlüssels und Zurücksenden des verschlüsselten dritten Werts zu einer Vermittlungsstelle des SAN;
Mittel zur Entschlüsselung des dritten Werts entsprechend dem ersten Exemplar des Codeschlüssels und zum Vergleichen des entschlüsselten dritten Werts mit dem zweiten Wert; und
Mittel zum Gewähren des Zugangs zum SAN, falls der dritte Wert und der zweite Wert übereinstimmen.
eine Abrufvorrichtung, um einen ersten Wert aus einem ersten Exemplar einer Passwort-Tabelle abzurufen;
Mittel zur Nutzung der Abrufvorrichtung und des ersten Werts zum Abrufen eines zweiten Werts aus dem ersten Exemplar der Passwort-Tabelle;
eine Verschlüsselungsvorrichtung zum Verschlüsseln des ersten Werts entsprechend einem ersten Exemplars eines Codeschlüssels;
Mittel für das Senden des verschlüsselten ersten Werts an einen Knoten des SAN;
eine Entschlüsselungsvorrichtung zum Entschlüsseln des verschlüsselten ersten Werts entsprechend einem zweiten Exemplar des Codeschlüssels;
Mittel zur Nutzung des entschlüsselten ersten Werts zum Abrufen eines dritten Werts aus einem zweiten Exemplar der Passwort-Tabelle;
Mittel zur Verschlüsselung des dritten Werts entsprechend dem zweiten Exemplar des Codeschlüssels und Zurücksenden des verschlüsselten dritten Werts zu einer Vermittlungsstelle des SAN;
Mittel zur Entschlüsselung des dritten Werts entsprechend dem ersten Exemplar des Codeschlüssels und zum Vergleichen des entschlüsselten dritten Werts mit dem zweiten Wert; und
Mittel zum Gewähren des Zugangs zum SAN, falls der dritte Wert und der zweite Wert übereinstimmen.
20. Computerprogramm-Produkt nach Anspruch 19, außerdem
umfassend:
eine Lesevorrichtung, die eine einem Host zugehörige Serien-Kennnummer, als Reaktion auf das Feststellen eines zwischen einem Hochfahrvorgang und einem Software- Rücksetzungsvorgang ausgewählten Vorgangs feststellen kann;
ein Codewert-Erzeuger, der einen Codewert auf der Grundlage der Seriennummer erzeugen kann;
ein Vergleichsprogramm, das den erzeugten Codewert mit einem zuvor bestimmten Codewert vergleichen kann; und
Mittel zum Verweigern des Zugangs zum SAN, falls der erzeugte Codewert und der zuvor bestimmte Codewert sich unterscheiden.
eine Lesevorrichtung, die eine einem Host zugehörige Serien-Kennnummer, als Reaktion auf das Feststellen eines zwischen einem Hochfahrvorgang und einem Software- Rücksetzungsvorgang ausgewählten Vorgangs feststellen kann;
ein Codewert-Erzeuger, der einen Codewert auf der Grundlage der Seriennummer erzeugen kann;
ein Vergleichsprogramm, das den erzeugten Codewert mit einem zuvor bestimmten Codewert vergleichen kann; und
Mittel zum Verweigern des Zugangs zum SAN, falls der erzeugte Codewert und der zuvor bestimmte Codewert sich unterscheiden.
21. Computerprogramm-Produkt nach Anspruch 20, wobei der
Codewert außerdem auf einem Zeitstempel und
Datumsstempel beruht.
22. Computerprogramm-Produkt nach Anspruch 19, außerdem
umfassend eine Schlüsselerzeugungs-Anwendung, die eine
eindeutige Passwort-Tabelle und einen Codeschlüssel für
jeden an das SAN angeschlossenen Knoten erzeugt.
Applications Claiming Priority (2)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
US09/583,711 | 2000-05-31 | ||
US09/583,711 US6971016B1 (en) | 2000-05-31 | 2000-05-31 | Authenticated access to storage area network |
Publications (2)
Publication Number | Publication Date |
---|---|
DE10125952A1 true DE10125952A1 (de) | 2001-12-13 |
DE10125952B4 DE10125952B4 (de) | 2007-11-22 |
Family
ID=24334248
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
DE10125952A Expired - Fee Related DE10125952B4 (de) | 2000-05-31 | 2001-05-29 | Authentifizierter Zugang zu einem Storage Area Network |
Country Status (3)
Country | Link |
---|---|
US (1) | US6971016B1 (de) |
KR (1) | KR100431167B1 (de) |
DE (1) | DE10125952B4 (de) |
Families Citing this family (43)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JP4719957B2 (ja) * | 2000-05-24 | 2011-07-06 | 株式会社日立製作所 | 記憶制御装置及び記憶システム並びに記憶システムのセキュリティ設定方法 |
US7080133B1 (en) * | 2000-07-17 | 2006-07-18 | International Business Machines Corporation | Method and system for configuring a computer network |
WO2002065298A1 (en) * | 2001-02-13 | 2002-08-22 | Candera, Inc. | Silicon-based storage virtualization server |
US7203730B1 (en) | 2001-02-13 | 2007-04-10 | Network Appliance, Inc. | Method and apparatus for identifying storage devices |
KR100390705B1 (ko) * | 2001-06-19 | 2003-07-12 | 김정한 | 온라인 전송데이터의 복제방지 방법 |
JP2005521112A (ja) * | 2001-07-06 | 2005-07-14 | コンピュータ アソシエイツ シンク,インコーポレイテッド | 情報バックアップシステム及び方法 |
KR100418361B1 (ko) * | 2001-09-17 | 2004-02-11 | 노승환 | 통신망을 통해 레이드 시스템을 원격으로 관리하는 방법 |
US7243229B2 (en) * | 2001-10-02 | 2007-07-10 | Hitachi, Ltd. | Exclusive access control apparatus and method |
JP2003202929A (ja) * | 2002-01-08 | 2003-07-18 | Ntt Docomo Inc | 配信方法および配信システム |
US20030149869A1 (en) * | 2002-02-01 | 2003-08-07 | Paul Gleichauf | Method and system for securely storing and trasmitting data by applying a one-time pad |
ES2461241T3 (es) * | 2002-04-03 | 2014-05-19 | Ntt Docomo, Inc. | Método de transmisión, sistema de transmisión y unidad de terminal |
US20030217173A1 (en) * | 2002-05-15 | 2003-11-20 | Butt Alan B. | Automatic proxy detection |
US7656884B1 (en) | 2002-05-24 | 2010-02-02 | Cisco Technology, Inc. | Apparatus and method for a generic service locking mechanism for a fibre channel switching fabric of a storage area network |
AU2003301719A1 (en) * | 2002-10-25 | 2004-05-25 | Grand Virtual Inc | Password encryption key |
US8881270B2 (en) | 2002-12-20 | 2014-11-04 | Creative Mines Llc | Method and apparatus for selectively enabling a microprocessor-based system |
US8041933B2 (en) * | 2002-12-20 | 2011-10-18 | The Invention Science Fund I | Method and apparatus for selectively enabling a microprocessor-based system |
JP4226350B2 (ja) * | 2003-02-17 | 2009-02-18 | 株式会社日立製作所 | データ移行方法 |
JP4176533B2 (ja) * | 2003-03-31 | 2008-11-05 | 株式会社エヌ・ティ・ティ・ドコモ | 端末装置及びプログラム |
US7565566B2 (en) | 2003-04-23 | 2009-07-21 | Dot Hill Systems Corporation | Network storage appliance with an integrated switch |
US7401254B2 (en) * | 2003-04-23 | 2008-07-15 | Dot Hill Systems Corporation | Apparatus and method for a server deterministically killing a redundant server integrated within the same network storage appliance chassis |
US7320083B2 (en) | 2003-04-23 | 2008-01-15 | Dot Hill Systems Corporation | Apparatus and method for storage controller to deterministically kill one of redundant servers integrated within the storage controller chassis |
US7627780B2 (en) * | 2003-04-23 | 2009-12-01 | Dot Hill Systems Corporation | Apparatus and method for deterministically performing active-active failover of redundant servers in a network storage appliance |
JP4329412B2 (ja) * | 2003-06-02 | 2009-09-09 | 株式会社日立製作所 | ファイルサーバシステム |
US7546373B2 (en) * | 2003-11-14 | 2009-06-09 | Microsoft Corporation | Secure dynamic credential distribution over a network |
US20050228721A1 (en) * | 2004-03-31 | 2005-10-13 | Ralf Hofmann | Authentication system and method for providing access for a subsystem to a password-protected main system |
US7193185B2 (en) * | 2004-04-01 | 2007-03-20 | Electrolux Home Products, Inc. | Mini-oven |
JP4566668B2 (ja) * | 2004-09-21 | 2010-10-20 | 株式会社日立製作所 | 記憶階層を有する計算機システムにおける暗号復号管理方法 |
JP2007102387A (ja) * | 2005-10-03 | 2007-04-19 | Fujitsu Ltd | ストレージシステム,暗号化パス切替え方法,暗号化パス切替え用プログラムおよびそのプログラムを記録した記録媒体 |
US20080022120A1 (en) * | 2006-06-05 | 2008-01-24 | Michael Factor | System, Method and Computer Program Product for Secure Access Control to a Storage Device |
US7853150B2 (en) * | 2007-01-05 | 2010-12-14 | Emcore Corporation | Identification and authorization of optoelectronic modules by host system |
US7861168B2 (en) * | 2007-01-22 | 2010-12-28 | Dell Products L.P. | Removable hard disk with display information |
US8549619B2 (en) * | 2007-01-22 | 2013-10-01 | Dell Products L.P. | Removable hard disk with embedded security card |
US8607359B2 (en) * | 2007-01-22 | 2013-12-10 | Dell Products L.P. | Removable hard disk with front panel input |
US7711979B2 (en) * | 2007-02-16 | 2010-05-04 | Symantec Corporation | Method and apparatus for flexible access to storage facilities |
US20080209136A1 (en) * | 2007-02-28 | 2008-08-28 | Yanling Qi | System and method of storage system assisted i/o fencing for shared storage configuration |
US8925073B2 (en) * | 2007-05-18 | 2014-12-30 | International Business Machines Corporation | Method and system for preventing password theft through unauthorized keylogging |
US8712050B2 (en) * | 2007-09-11 | 2014-04-29 | International Business Machines Corporation | Method for implementing dynamic pseudorandom keyboard remapping |
US8712049B2 (en) * | 2007-09-11 | 2014-04-29 | International Business Machines Corporation | System for implementing dynamic pseudorandom keyboard remapping |
US8010810B1 (en) | 2007-12-27 | 2011-08-30 | Emc Corporation | Techniques for protecting data using an electronic encryption endpoint device |
US8190921B1 (en) | 2007-12-27 | 2012-05-29 | Emc Corporation | Methodology for vaulting data encryption keys with encrypted storage |
US8170213B1 (en) | 2007-12-27 | 2012-05-01 | Emc Corporation | Methodology for coordinating centralized key management and encryption keys cached through proxied elements |
KR20110103747A (ko) * | 2010-03-15 | 2011-09-21 | 삼성전자주식회사 | 보안 기능을 갖는 저장 장치 및 그 보안 방법 |
MX361983B (es) | 2014-06-02 | 2018-12-19 | Schlage Lock Co Llc | Sistema de gestión de credenciales electrónicas. |
Family Cites Families (12)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
US5237611A (en) * | 1992-07-23 | 1993-08-17 | Crest Industries, Inc. | Encryption/decryption apparatus with non-accessible table of keys |
US6061794A (en) * | 1997-09-30 | 2000-05-09 | Compaq Computer Corp. | System and method for performing secure device communications in a peer-to-peer bus architecture |
US5941972A (en) * | 1997-12-31 | 1999-08-24 | Crossroads Systems, Inc. | Storage router and method for providing virtual local storage |
WO1999046671A1 (en) * | 1998-03-10 | 1999-09-16 | Quad Research | High speed fault tolerant mass storage network information server |
US6260120B1 (en) * | 1998-06-29 | 2001-07-10 | Emc Corporation | Storage mapping and partitioning among multiple host processors in the presence of login state changes and host controller replacement |
US6493825B1 (en) * | 1998-06-29 | 2002-12-10 | Emc Corporation | Authentication of a host processor requesting service in a data processing network |
US7756986B2 (en) * | 1998-06-30 | 2010-07-13 | Emc Corporation | Method and apparatus for providing data management for a storage system coupled to a network |
US6212606B1 (en) * | 1998-10-13 | 2001-04-03 | Compaq Computer Corporation | Computer system and method for establishing a standardized shared level for each storage unit |
WO2000029954A1 (en) * | 1998-11-14 | 2000-05-25 | Mti Technology Corporation | Logical unit mapping in a storage area network (san) environment |
US6665714B1 (en) * | 1999-06-30 | 2003-12-16 | Emc Corporation | Method and apparatus for determining an identity of a network device |
US6714968B1 (en) * | 2000-02-09 | 2004-03-30 | Mitch Prust | Method and system for seamless access to a remote storage server utilizing multiple access interfaces executing on the remote server |
DE60212599D1 (de) * | 2001-03-01 | 2006-08-03 | Storeage Networking Technologi | Sicherheit für ein san (storage area network) |
-
2000
- 2000-05-31 US US09/583,711 patent/US6971016B1/en not_active Expired - Fee Related
-
2001
- 2001-05-09 KR KR10-2001-0025218A patent/KR100431167B1/ko not_active IP Right Cessation
- 2001-05-29 DE DE10125952A patent/DE10125952B4/de not_active Expired - Fee Related
Also Published As
Publication number | Publication date |
---|---|
DE10125952B4 (de) | 2007-11-22 |
KR100431167B1 (ko) | 2004-05-12 |
KR20010109092A (ko) | 2001-12-08 |
US6971016B1 (en) | 2005-11-29 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
DE10125952B4 (de) | Authentifizierter Zugang zu einem Storage Area Network | |
DE10393456B4 (de) | Verkapselung einer TCPA-vertrauenswürdigen Plattformmodulfunktionalität innerhalb eines Server-Management-Coprozessor-Subsystems | |
US6243816B1 (en) | Single sign-on (SSO) mechanism personal key manager | |
US7065784B2 (en) | Systems and methods for integrating access control with a namespace | |
US6240512B1 (en) | Single sign-on (SSO) mechanism having master key synchronization | |
DE112010004930B4 (de) | Sicherer kerberisierter Zugriff auf ein verschlüsseltes Dateisystem | |
US7165152B2 (en) | Method and apparatus for managing access to storage devices in a storage system with access control | |
US6845395B1 (en) | Method and apparatus for identifying network devices on a storage network | |
US6665714B1 (en) | Method and apparatus for determining an identity of a network device | |
DE102007033615B4 (de) | Verfahren und Vorrichtung zum Umwandeln von Authentisierungs-Token zur Ermöglichung von Interaktionen zwischen Anwendungen | |
DE19983331B4 (de) | Verfahren und Vorrichtung zum Bereitstellen einer Datenverwaltung für ein mit einem Netzwerk gekoppelten Speichersystem | |
DE69915441T2 (de) | System und Verfahren für automatischen authentifizierten Zugang zu einer Mehrzahl von Netzbetreibern durch eine einzige Anmeldung | |
DE60201854T2 (de) | Verhandlung von sicheren Verbindungen durch einen Proxy-Server | |
US20020073320A1 (en) | Aggregated authenticated identity apparatus for and method therefor | |
US8516086B2 (en) | Generalized credential and protocol management of infrastructure | |
DE112018005203T5 (de) | Authentifizierung unter Verwendung von delegierten Identitäten | |
DE112013007160T5 (de) | Entwicklungsumgebungssystem, Entwicklungsumgebungsvorrichtung, Entwicklungsumgebungsbereitstellungsverfahren und Programm | |
DE112011103580B4 (de) | Verfahren, sichere Einheit, System und Computerprogrammprodukt für das sichere Verwalten des Benutzerzugriffs auf ein Dateisystem | |
DE102021108971A1 (de) | Steuerung des zugriffs auf periphere anschlüsse eines host-rechnersystems | |
US20060129685A1 (en) | Authenticating a node requesting another node to perform work on behalf of yet another node | |
DE60300661T2 (de) | Initialisierung der Sicherheitsinformation in einem Netzwerkgerät | |
US8874907B1 (en) | Controlling access to an NFS share | |
DE602004013254T2 (de) | Verfahren und System zur Generierung von Authentifizierungsstapeln in Kommunikationsnetzen | |
Bishop et al. | Goal-oriented auditing and logging | |
DE112020003720T5 (de) | Zugriffsverwaltung zur aktivierung von sicherheit auf einem host-system |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
OP8 | Request for examination as to paragraph 44 patent law | ||
8125 | Change of the main classification |
Ipc: H04L 9/32 |
|
8320 | Willingness to grant licences declared (paragraph 23) | ||
8364 | No opposition during term of opposition | ||
R119 | Application deemed withdrawn, or ip right lapsed, due to non-payment of renewal fee |