Sicherheit in Rechnernetzen: - Professur Datenschutz und ...

174
A. Pfitzmann: Datensicherheit und Kryptographie; TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
173
A. Pfitzmann: Datensicherheit und Kryptographie; TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
Si+1 . Si+1 vereint die beiden (verzahnten) Datenströme wieder (Bild 5-9, unten rechts). Dies
ist einer Rekonfigurierung des inneren Rings (Bild 5-9, unten links) vorzuziehen, da auf diese
Weise ggf. noch Ausfälle von inneren Leitungen und Stationen toleriert werden können.
„Acht“, d.h. zwei durch eine Station verbundene Ringe etc.) zu rekonfigurieren, der alle fehlerfreien
Stationen umfaßt.
S i+1
Si+1
L
i-1 → i+1
L
i-1 → i+1
L
i → i+1
S S
i-1 i
L
i-1 → i
Rekonfiguration des äußeren Rings
bei Ausfall einer Station
L
i → i+1
S S
i-1 i
L
i-1 → i
Betrieb zweier Ringe
sofern keine Ausfälle
Die einfachste und am wenigsten aufwendige Art der Ringrekonfigurierung ist die Verwendung einer
By-Pass-Einrichtung (bypass) an jeder Station. Diese By-Pass-Einrichtung schließt den Ring
physisch, wenn die Station bemerkt, daß sie fehlerhaft ist, ausgeschaltet wird oder ihre Versorgungsspannung
ausfällt. Allerdings kann mit diesem Verfahren natürlich der Ausfall einer Leitung genausowenig
toleriert werden wie Fehler von Stationen, die diese nicht selbst diagnostizieren können. Kann
nur die Station selbst ihre By-Pass-Einrichtung schließen, so hat deren Einrichtung keine tieferen
problematischen Wechselwirkungen mit der Anonymität oder Unbeobachtbarkeit des RING-Netzes.
Ein Angreifer kann natürlich insbesondere das Schließen der By-Pass-Einrichtung angrenzender, von
ihm nicht kontrollierter Stationen beobachten, da sich dann analoge Charakteristika seines Eingangssignals
ändern (vgl. das in §5.4.4 über digitale Signalregenerierung Gesagte). Dann weiß er, daß jetzt
eine kleinere Gruppe von Teilnehmerstationen umzingelt ist, wodurch er entsprechend mehr Information
über das Senden dieser Teilnehmer erhält. Kann ein Angreifer aber nur viele Teilnehmerstationen
gleichzeitig umzingeln und sind an diesen Teilnehmerstationen jeweils nur wenige By-Pass-Einrichtungen
geschlossen, so ist dies nicht schlimm.
Die Verwendung von Ring-Verkabelungs-Konzentratoren, d.h. von By-Pass-Einrichtungen, die
nicht bei der Teilnehmerstation gelegen sind und auch nicht von ihr kontrolliert werden [BCKK_83,
KeMM_83], ist mit den in §5.4.4.1 erläuterten Zielen des RING-Netzes unverträglich. Denn Ring-
Verkabelungs-Konzentratoren wären ideale Beobachtungspunkte für einen Angreifer, da sie die vollständige
Beobachtung aller angeschlossenen Stationen durch Beobachtung dieses einen Gerätes
erlauben.
S i+1
S i+1
L
i-1 → i+1
L
i-1 → i+1
L
i → i+1
L
i → i+1
S i
L
i-1 → i
S i-1
Rekonfiguration des äußeren Rings
bei Ausfall einer äußeren Leitung
S S
i-1 i
L
i-1 → i
Rekonfiguration des inneren Rings
bei Ausfall einer äußeren Leitung
Eine ebenfalls einfache, aber bereits aufwendige Art der Ringrekonfigurierung ist die Verwendung
mehrerer paralleler Ringe (statisch erzeugte Redundanz). Fällt eine Leitung eines Ringes aus, so
wird ein anderer, noch intakter Ring verwendet (dynamisch aktivierte Redundanz). Dies erlaubt, solange
noch mehr als ein Ring intakt ist, einen größeren Durchsatz als das Senden jeder Informationseinheit
auf allen Ringen gleichzeitig (statisch aktivierte Redundanz). Allerdings muß dann, sofern kein
Ring mehr als Ganzes intakt ist, entweder die Zuordnung von Leitungen zu Ringen gewechselt oder
doch auf allen Ringen gleichzeitig dasselbe gesendet werden. Allerdings kann natürlich auch mit
diesem Verfahren ein Fehler einer Station, den diese nicht bemerkt, nicht toleriert werden.
Entsprechendes gilt für eine Kombination von By-Pass-Einrichtung und mehreren parallelen Ringen.
genutzte Leitung ungenutzte Leitung genutzte Leitung, auf der die Hälfte
aller Nachrichten übertragen wird
Bild 5-9: Geflochtener Ring kann bei Ausfällen von Stationen oder Leitungen so rekonfiguriert
werden, daß die Anonymität der Netzbenutzer gewahrt bleibt.
Um mindestens einen beliebigen permanenten Einzelfehler im Übertragungssystem des Rings tolerieren
zu können, wird ein geflochtener Ring (braided ring, siehe Bild 5-9) verwendet. Solange
keine permanenten Fehler auftreten, werden die Leitungen, die benachbarte Stationen verbinden, als
ein RING-Netz betrieben. Für ungerade Stationsanzahlen können die anderen Leitungen als ein
zweites RING-Netz betrieben werden, was die nutzbare Übertragungskapazität verdoppelt.
Basierend auf diesen drei Grundkonzepten zur Tolerierung des Ausfalls kann der geflochtene Ring
(auch bei den meisten Mehrfachfehlern) mittels des folgenden, von jeder Station auszuführenden
Protokolls so rekonfiguriert werden, daß jede fehlerfreie Station jederzeit in einem rekonfigurierten,
fast alle fehlerfreien Stationen umfassenden Ring liegt, d.h. auf der ein- und der auslaufenden Leitung
werden Informationseinheiten von fast allen nichtfehlerhaften Stationen übertragen.
Im geflochtenen Ring gibt es drei mögliche Einzelfehler, nämlich den Ausfall
• einer Station i: sie wird mit Leitung L i-1→i+1 überbrückt (Bild 5-9, oben rechts).
• einer inneren Leitung Li-1→i+1 : der äußerer Ring bleibt intakt und wird solange ausschließlich
benutzt, bis der Ausfall der Leitung behoben ist.
Rekonfigurationsprotokoll für den geflochtenen Ring:
Bemerkt eine Station Si einen permanenten Signalausfall auf einer ihrer Eingangsleitungen, so
signalisiert sie das mittels einer an alle anderen Stationen adressierten Nachricht auf ihren
beiden Ausgangsleitungen. Solange der Signalausfall nicht behoben ist, ignoriert Si diese
Eingangsleitung.
• einer äußeren Leitung Li-1→i : Station Si-2 sendet an die Stationen Si-1 und Si (kopiert den
Datenstrom auf zwei Leitungen). Damit Station Si+1 die Station Si nicht beobachten kann,
sendet Station Si-1 die Hälfte aller Informationseinheiten (z.B. alle Übertragungsrahmen mit
gerader Nummer, sofern i-1 gerade) an Station Si+1 , entsprechend sendet Station Si die andere
Hälfte (z.B. alle Übertragungsrahmen mit ungerader Nummer, sofern i ungerade) an Station