SE510393C2 - Förfarande och anordning för detektering av en icke auktoriserad användaraccess till ett kommunikationsnätverk - Google Patents

Description

10 15 20 25 30 510 393 2 "Kärnan" av Intemet består av ett mycket stort antal datorer, fristående eller sarnmankopplade i nätverk, som kan utväxla information direkt huvudsakligen genom att använda något bestämt protokoll, i synnerhet "Transmission Control Protocol/Internet Protocol (TCP/IP)".

Varje dator eller kopplingsanordning i kärnan särskiljes från varandra medelst en IP-adress. IP- adressen består av ett nätverksnumrner. I vissa fall är lP-adressen exklusivt tilldelad en anordning (dator) i andra fall tilldelas lP-adressen en dator temporärt. IP-adressen ger varje ansluten dator/anordning i nätverket en unik identitet.

Datatransmissionen kan, till exempel utföras via fiberoptiska ledningar, satellitanslutningar och telefonledningar.

För närvarande är erhållande av full identifikation av en klient eller en användararbetsstation ansluten eller som försöker att ansluta sig till ett värdsystem inte möjligt. Det är även inte möjligt att på ett enkelt och snabbt sätt att identifiera obehöriga arbetsstationer och därigenom användaren, även om en delvis identifikation är möjligt.

Vid åtkomst till ett nätverk utföres vanligtvis en inloggningsprocedur för äkthetsbestyrkande av användaren. Detta äkthetskontroll fungerar genom att klienten först ger användarnamnet som ska användas för att accessa nätverket. Serviceproducerandeservern svarar då med ett antal äkthetskontrollmetoder vilka som kan accepteras. Klienten sänder sedan en begäran för äkthetskontroll och detta dialogförfarande fortsätter tills en access beviljas eller fömekas. Äkthetskontrollmetodema kan variera från system till system. Några metoder är: ingen kontrollerar om ingen äkthetskontroll är giltig, lösenord en konventionell lösenordsäkthetskontroll, som erfordrar ett lösenord för att accessa, säker identitet säker identitet är en tidsbaserad hårdvarotilldelad identifikation, där användaren inger en tilldelad kod för äkthetskontroll. Även tidsbaserade lösenord och liknande metoder är tillgängliga. Publika nycklar kan nämnas som andra metoder, i vilka innehav av en privet nyckel är äkthetskontroll. 10 15 20 25 30 510 393 3 Stora ansträngningar görs för att utveckla metoder och algoritmer för att sälcra procedurer-na för äkthetskontroll, men inget system är säkrare än dess användare, eftersom lösenord och nycklar kan komma i händerna av icke auktoriserade personer. I Intemet fallet kan även IP-adresser förfalskas, vilket möjliggör åtkomst till nätverket utan problem.

Genom att förfalska IP-adressen är det även möjligt att angripa intemetoperatören, till exempel genom översvämning (flooding) eller liknande. Översvämning är ett förfarande där en oåtkomlig källadress (IP) används mot ett värddator som är målet, vilken försöker att reservera resurser som väntar på ett svar. Angriparen ändrar upprepade gånger den falska källadressen då varje ny accesspaket sänts och således förbrukas ytterligare värdresurser. Om angriparen använder sedan någon giltig adress som källadressen, reagerar det angripna systemet genom att sända ett stort antal svarspaket, vilka till slut resulterar i en försämrad prestanda och även i systemkrasch.

U.S. 5,6l9,65 7 beskriver en metod för att tillhandahålla säkerhetshjälpmedel för ett nätverk av administrationsserverar, genom att använda en databas av "förtroenderelationer" (trust relations) för att bekräfta ömsesidiga relationer mellan administrationsserverarna. Metoden innebär speciellt att skapa konton på ett system över ett nätverk. Administrationsoperationen (MO) innehåller även identiteten för användaren som startar driften _ Genom ett gränssnitt överförs M0 till en avsändare av administrationsservern (MS). Förutom administrering begär MS administrationstjänster tillhandahållna av ett lokalt system och är även ansvarig för dirigering av MO genom säkra vägar till andra lokala system i nätverket och styrning av säkerheten hos det lokala systemet. MS bestämmer ett rätt länksystem genom en databas, vilket upprätthåller förtroenderelationer mellan administrationsserverar. Förtroenderelationslistoma genereras oberoende av utförande av ett kommunikationsprotokoll genom en självständig nätverksfirnktion. Varje MS innehåller en lista. Listoma är indelade i två kategorier, anförtrodda mottagare och anförtrodda avsändare. Baserad på den anförtrodda listan exekveras överföringsoperationema. Kortfattad, så åstadkommer databasen ett medel för dirigering av MO från en MS till en annan MS längs en säker väg bestämd av tillitsrelationerna hos MS vid varje länk i vägen i nätverket som utför MO.

UPPFINNINGENS KÄNNETECKNEN 10 15 20 25 30 510 3.93 4 Det finns ett behov för ett förfarande och en anordning i kommunikationssystem, speciellt i en datomätverk, för att åstadkomma ett enkelt, effektivt och okomplicerat sätt som ökar säkerheten Det finns även ett behov för ett forfarande och en anordning, som tillåter detektering av en otillåtet åtkomstsförsök av en användarstation eller process till en serviceproducerandeenhet eller liknande i ett kommunikationersystem huvudsakligen genom att använda tillgängliga procedurer.

Genom implementering av förfarandet och anordníngen, enligt uppfinningen, ges ett snabbt sätt att spåra de bedragande användarstationernas plats.

Därför innefattar förfarandet, enligt uppfinningen, vid försök att accessa nätverket i fall av en forsta godkänd kontroll av identiteten av en klientstationen, ytterligare steg: att hämta den unika identiteten av varje anordning i kopplingsvägen, genom att sända en identitetsförfrågan, att samla ett responsmeddelande till identitetsförfrågan, vilket omfattar identiteten av åtminstone vane anordning som har en unik identitet sänd av varje anordning som har en identitet och anordnad att svara, att jämföra varje unik identitet av varje anordning och/eller station inkluderad i responsmeddelandet med en lista över godkända identiteter, och att baserad på järnförelseresultatet avvisa eller acceptera accessen.

I ett fördelaktigt utförande innefattar den första verifikationen kontroll av klientstationens identitet och jämförelse av den med en lista av godkända identiteter och/eller antal accesser gjorda av klientstationen. Om klientidentiteten godkänns och en förstagångsaccess upptäcks omfattar förfarandet dessutom stegen av: att hämta den unika identiteten av varje anordning i kopplingsvägen, att framställa en databas för klientstationen för att lagra förbindelsekopplingsvägen, och att inkludera i databasen identiteten av varje anordning som har en unik identitet sänd av varje anordning, som har en identitet och anordnad att svara.

Det är möjligt att identiteten av varje anordning samlas genom att sända en identitetsbegäran och samla responsmeddelanden for identitetsbegäran. Sedan framställes en lista omfattande identiteterna mottagna i responsmeddelandet, där identitetslistan utgör en väglista och listan 10 15 20 25 30 5 1 0 Y 9 3 järnförs med en lista över en godkänd väglista.

I ett utförande utföres jämförelsen av klientstationens identitet med en lista över kända godkända klienter före vägkontrollen, vilken kan genomföras efter vägkontrollen.

I ett fördelaktigt utförandet är kommunikationsnätverket ett datornätverk och den unika identiteten är en IP-adress för klientstationen, värdstationen och åtrninstone någon av kopplingsanordningarna. Företrädesvis är kommunikationsnätverket Intemet.

Kommunikationsnätverket kan även vara Interanet/Extranet.

I ett annat utforingsexempel genereras en alarmsignal i fall en avvisning eller en spårningsprocedur utföres.

I ett utförande sändes en felmeddelandeförfrågan till varje eller alla anordningar och frågar efter identitetskonfliktsfel och/eller andra fel.

Enligt uppfinningen är en säkerhetsanordning anordnad för detektering och/eller spår-ning av en icke auktoriserad användaraccess till ett kommunikationsnätverk. Nätverket omfattar åtminstone en klientstation, åtminstone en basstation och kopplingsanordningar i en väg mellan sagda klientstation och basstation, varje klientstation, basstation och åtminstone någon av kopplingsanordningama är försedda med en unik identitet. Anordningen omfattar organ för kommunikation med basstationen, klientstationen och kopplingsanordningama, minnesenheter för lagring av information, organ för att hämta identiteten av klientstationen vid inloggning, en järnförelseenhet för att järriföra identiteten av användaren med en lagrad identitetslista, organ för att utsända en anordningidentitetsförfrågan, organ för att identifiera och samla svar för förfrågan omfattande unika identiteter och enhet för att jämföra de samlade identiteterna med en lagrad lista över identiteter.

Med fördel är anordningen integrerad i basstationen eller anordnad separat i en övervakningsserver. Kopplingsanordningar kan vara någon en routerar; infrastrukturenheter såsom bryggor, terrninalserverar, mellannätlinjer, brandväggar, repeterare, applíkationsserverar såsom DNS (Domain Name Server), mailhub, nyhetsserverar, FTP-serverar (FTP: File Transfer 10 15 20 25 30 510 393 e Protocol), WWW-serverar (WWW: World Wide Webb), nätverksdriftsystem och kommunikationsserverar.

Ett telekommunikationsnätverk enligt föreliggande uppfinning omfattande en anropsenhet, en eller flera omkopplingsstationer och länkar och en mottagande station kännetecknas av en säkerhetsanordning för detektering och/eller spårning av en icke auktoriserad användare vid anslutning av anrop för anropsenheten, var och av de anropsenhetema, omkopplingsstationerna/lärikama är försedda med en unik identitet. Anordníngen omfattar dessutom organ för att samla identiteten för varje anropsenhet, omkopplingsstation vid en begäran fiån anordningen och framställa en lista för anropsvägen, jämföra anropsvägen med godkända anropsvägar och godkänna eller avvisa anropet.

KORT BESKRIVNING AV RITNINGARNA Uppfinningen kommer att beskrivas ytterligare i det följande på ett icke begränsande sätt under hänvisning till de bifogade ritningama, i vilka: Fig. l visar en schematisk illustration av ett första utförande av ett system som implementerar uppfinningen.

Fig. 2 visar ett flödesschema, som schematiskt visar funktionen hos utföringsexemplet enligt Fig. l.

Fig. 3 visar ett annat utforingsexempel, enligt uppfinningen.

DETALJERAD BESKRIVNING AV UTFÖRINGSEXEMPLEN I det följande kommer uppfinningen att beskrivas med hänvisning till två icke begränsande utföringsexempel. Det forsta utförandet baseras på ett datomätverk, som använder IP-adresser (TCP/IP protokoll), exempel på sådana nätverk är Internet och intranet/extranet. Det andra utförande är ett telekornmunikationsnät.

Det antas att TCP/IP protokollet och IP-adresskonstruktionen är känd för en fackman, men kortfattad, baseras dess operation på delning av ett meddelande i små paket eller datagram, var och en av vilka överföres individuellt och samlas till ett original meddelande vid destinationen. 10 15 20 25 30 510 393 7 Detta gör det möjligt för paketen att ta en fri väg om en väg är upptagen.

Fi g. 1 visar ett datornätverk omfattande åtminstone en serviceproducerande server (SPS) eller övervalcningsserver 10. En användare eller klientstation (CS) ll kan accessa SPS'en 10 genom ett nätverk 12 omfattande en eller flera anslutníngsanordningar 13 - 17. Varje SPS 10, CS ll och huvudsakligen varje anslutningsanordning är försedd med en unik identitet, såsom en IP- adress. Dessutom är SPS 10 anordnad med en lagringsenhet 18. CS 11 kan även vara medlem av ett annat lokalt nätverk, förbunden med andra datorer i det lokala nätverket medelst nätverkskort på ett känt sätt. I detta fall kan anslutningsanordningen 13 vara en router eller liknande.

Kopplingsanordningar och anordningar som har IP-adress kan vara någon av: * Routerar; * Infrastruktur anordningar såsom bryggor, terrninalserverar, mellannätlinj er, brandväggar, repeterare; * Applikationsserverar såsom DNS (Domain Name Server), mailhub, nyhetsserverar, FTP-serverar (FTP: File Transfer Protocol), WWW-serverar (WWW: World Wide Webb), nätverksdrifisystem o.s.v.; * Periferiska anordningar, såsom printrar, printerserverar, CD-ROM serverar, kommunikationsserverar o.s.v.

I regel är ovan nämnda anordningar anordnade för att returnera sin unika adress om en förfrågan riktas till dem.

Grundidéen med uppfinningen kommer att förtydligas genom följande icke begränsande operativa exempel med hänsyn till flödesschemat i fig. 2.

Klíentstationen 11 sänder 100 en accessbegäran till en eller flera serverar 10, vilka även kan vara en säkerhetserver. En äkthetskontrollsprocedur 101 startas då av servem 10 som kräver ett lösenord eller något liknande. Svaret från klientstationen jämförs 102 då med en lista för godkända identiteter lagrad i databasen, till exempel lagrad i anordning 18 av servem 10. Om användarnamnet och lösenordet finns i listan godkännes det första access-steget, annars avvisas 10 15 20 25 30 510 393 s 103 accessen på ett känt sätt. Servem 10 kan endast kontrollera IP-adressen av CS'en 11 och använda IP-adressen för ytterligare äkthetskontrollsprocess.

Om det första accesssteget är accepterat, kontrollerar 104 äkthetskontrollsproceduren om det är första gången som en klientstation accessar servem (systemet). Om det är förstagångsaccess sker bildas 105 en ny databas för klienten. Sedan sänder proceduren ut en förfrågan på nätverket riktad till varje 106 anordning 13-17 eller alla 107 anordningar 13-17 i vägen, genom vilken kommunikationen mellan servern 10 och klientstationen 11 är etablerad. Denna förfrågan begär identiteten (IP-adress) för varje anslutningsanordning 13-17 i vägen. Om en anordning är försedd med en identitet transmitterar den tillbaka sin identitet vid mottagande av identitetsförfrågan. Identitetema mottagna av servern samlas och lagras 108 sedan i databasen.

Eñersom detta är den första accessen tillåtes sedan klientstationen att accessa 109 nätverket (tj änstema).

Om det bestämmes att det inte är den första accessen av klientstationen öppnas vid steg 104 en databas omfattande data beträffande klientstationen eller tillägnad klientstationen, till exempel omfattande identitetema för kopplingsanordningar sarnlade medelst en procedur enligt föregående sektion. Sedan utsänder lll proceduren en förfrågan på nätverket riktad till varje anordning 13-17 eller alla 112 anordningar l3-l 7 i vägen, genom vilka kommunikationen mellan servem 10 och klientstationen ll är etablerad. Denna förfrågan frågar efter identiteten (IP-adress) för varje anslutningsanordning i vägen. Om en anordning är försedd med en identitet transmitterar den tillbaka sin identitet vid mottagande av identitetsförfrågan.

Identitetema mottagna av servem samlas sedan och jämförs 113 med identitetslistan i databasen. Om listoma för identitetema bekräftas accepteras 109 accessen. I annat fall genereras 114 ett larm. Eftersom identiteten av varje anslutningsanordning motsvarande en fysisk plats är hämtad är det möjligt att spåra 114 den fysiska platsen för klientstationen, även om användamarnnet, lösenordet och IP-adressen är förfalskade.

Dessutom är det möjligt att kontrollera ett försök att bygga upp en falsk väg eller ändra IP- adresserna utan tillåtelse. Anordningen kan transmittera en förfrågan, som begär kopplingsanordningarna för vissa identitetskonflikter eller något felmeddelande om identitetsproblem. Om en identitetskonflikt eller felmeddelande upptäcks kan då systemet 10 15 20 25 30 510 393 9 rapportera upptäcktema till en systemoperatör och fråga efier en manuell bekräftelse.

Kontroll av förstagängsaccessen sker, till exempel genom att utföra inspektion av en motsvarande databas för förekomst av klientstationsidentitet (t.ex. användarnamn eller IP- adress). I vissa fall kan identitetema i vägen variera, till exempel när en anslutningsanordning som har permanent identitet ersättes eller meddelandet tar en annan väg. I dessa fall är det möjligt att i databasen lägga till de nya identitetsvägarna företrädesvis efter en dubbelkontroll av klientstationen för att se om den opereras av en godkänd klient. Det är även möjligt att anordna kopplingsanordningama att rapportera ändringen till en kontrollerande databas, varvid servern kan kontrollera för möjliga ändringar. Tester har visat att datagramrnen i ett TCP/IP baserat nätverk tar huvudsakligen alltid samma väg genom nätverket.

Det är även möjligt att utföra den första äkthetskontrollsproceduren 102 genom att fråga efter användarnamn och lösenord efter väggodkännande stegen 108 eller ll3.

Förfrågningama för identiteten av anordningarna kan utföras genom att använda existerande procedurer eller speciella procedurer. Det är möjligt att sända "ekobegäran (echo demand)" i forrn av en databunt till en fjärran värd och vänta på varje ekosvar från varje anordning. Genom att använda en vägspårningfunktion (traceroute function) kan servem spåra och registrera de aktuella vägarna en IP-bunt följer till ett nätverk, Intemet- eller intranetvärd. Funktionen "finger" returnerar användarna inloggade på ett fjärran system. Det är även möjligt att sända ett meddelande, som retumerar inloggning från en fiärregistrering och information om domäner (WHOIS). Det är även möjligt att använda nätavsökningsfunktioner, företrädesvis över ett specificerat område av IP-adresser, till exempel genom "ping" av varje område, vilken även retumerar namnen och lägger in dem i möjliga värdfiler.

För att undvika en "översvämningsangrepp" kan genom användning av förutsättningarna enligt uppfinningen en server kontrollera vägen till utgången av (den förfalskade) IP-adressen och vidta en rätt handling om det behövs och därigenom undvika onödig ACK/REQ- transmissioner, vilka försämrar systemprestandan.

Det är även möjligt att arrangera anordningar som inte är försedda med IP-adresser med andra 10 15 20 i 510 393 10 unika identiteter, som kan lagras i vägdatabasen av servern.

F ig. 3 visar ett telekommunikationssystem som utnyttjar förfarandet enligt uppñnningen.

Systemet innefattar en anropsenhet 20, en mottagningsenhet 21 och kopplingsanordningar, som kan vara en eller flera av basstationer 22, växlar 23, 28, länkar 24, satellitreläer 25, 27 och satelliter 26. Företrädesvis är varje anordning 20-28 försedd med en unik identitet. När ett anrop omkopplas är företrädesvis basstationen 28 eller den mottagande enheten 21 anordnad med en databas omfattande anropsvägen för ett anrop från varje behörig anropsenhet 20.

Speciellt kan varje anordning i ett digitalt nätverk utformas att, automatiskt eller på anrnodan lägga till sin identitet i ett meddelande till basstationen 28 eller den mottagande enheten 21.

Genom att använda den mottagna listan för anordningar-na i vägen, kan basstationen 28 eller den mottagande enheten 21 avgöra att tillåta eller avvisa anropet. Detta utförande kan tillämpas på vilket telekommunikationssystem som helst, vars komponenter har eller kan förses med identiteter, såsom GSM, NMT o.s.v.

Detta system är speciellt användbart, till exempel för säkerhetsanrop, banktransaktioner o.s.v.

Uppfinningen är inte begränsad till de illustrerade uttöringsexemplen utan kan varieras på ett antal sätt utan att avlägsnas från närslutna patentkravens omfång, och anordningen och förfarandet kan implementeras på olika sätt beroende på applikation, funktionella enheter, behov, krav o.s.v..

Claims (22)

10 15 20 25 30 510 393 11 PATENTKRAV
1. l. Förfarande för detektering och/eller spåming av en icke auktoriserad klientstation (11, 20) vid access till en värdstation (10, 21) i ett kommunikationsnätverk ( 12), omfattande kopplingsanordningar (13-17, 22-28) i en väg mellan klientstationen och värdstationen (10, 21), varje klientstation (11, 20), värdstation (10, 21) och åtminstone någon av kopplingsanordningama (13-17, 22-28) är försedd med en unik identitet, vilket förfarande omfattar stegen att utföra en första verifiering, kännetecknar av, att förfarandet, i fall av en godkänd första verifiering, dessutom innefattar steget att vägkontrollera, omfattande: - hämtning av den unika identiteten av varje anordningar i kopplingsvägen, genom att utsända en identitetstörfrågan, - samling av ett responsmeddelande till identitetsförfrågan, omfattande identiteten av åtminstone varje anordning som har en unik identitet, - jämförelse av varje unik identitet av varje anordning och/eller station inkluderad i responsmeddelandet med en lista av godkända identiteter, och - avvisning eller acceptering av accessen, baserad på järnförelsens resultat.
2. 2. Förfarandet enligt patentkrav l, kännetecknat av, att den första verifieringen innefattar kontroll av klientstationens (1 1, 20) identitet och jämförelse av denna med en lista av godkända identiteter.
3. 3. Förfarandet enligt patentkrav leller 2, kännetecknar av, att den första verifieringen innefattar kontroll av antal accessar gjorda av klientstationen (l l, 20).
4. 4. Förfarandet enligt patentkrav 3, kännetecknar av, att om klientidentiteten godkännes samt en törstagångsaccess upptäckes innefattar förfarandet 10 15 20 25 30 510 393 12 ytterligare steg av: - att hämta den unika identiteten av varje nämnd anordning (13-17, 22-28) i kopplingsvägen, - att anordna en databas för klientstationen för lagring av förbindelsekopplingsvägen, och - att införa identiteten i databasen av varje anordning (13-17, 22-28) som har en unik identitet sänt via varje anordning som har en identitet och anordnad att svara.
5. 5. Förfarandet enligt patentkrav 4, kännetecknar av, att identiteten av varje anordning samlas genom att utsända en identitetsbegäran och samla responsmeddelande till identitetsbegäran.
6. 6. Förfarandet enligt patentkrav 4, kännetecknar av, att framställa en lista omfattande identiteterna mottagna i responsmeddelandet, vilken identitetslista utgör en vâglista och att jämföra listan med en lista av godkänd väglista.
7. 7. F örfarandet enligt patentkrav 2, kännetecknar av, att jämförelsen av klientstationens identitet med en lista av kända godkända klienter utföres före vägkontrollen.
8. 8. Förfarandet enligt patentkrav 2, kännetecknar av, att jämförelsen av klientstationens identitet med en lista av kända godkända klienter utföres eñer vägkontrollen.
9. 9. Förfarandet enligt något av patentkraven 1 - 8, kännetecknar av, att kommunikationsnätverket är ett datomätverk (12). 10 15 20 25 30 510 393 13
10. 10. Förfarandet enligt patentlcrav 9, kännetecknar av, att den unika identiteten är IP-adress för klientstationen (11), värdstationen (11) och åtminstone någon av kopplingsanordningama (13-18).
11. 1 1. F örfarandet enligt patentkrav 9 eller 10, kännetecknar av, att kommunikationsnätverket är lntemet.
12. 12. Förfarandet enligt patentkrav 9 eller 10, kännetecknar av, att kommunikationsnätverket är ett interanet/extranet.
13. 13. Förfarandet enligt något av patentkraven 1-12, kännetecknar av, att en larmsignal genereras i fall av en avvisning.
14. 14. Förfarandet enligt någon en av patentkrav 1-13, kännetecknar av, att en spårningsprocedur utföras i fall av en avvisning.
15. 15. Förfarandet enligt patentkrav 1, kännetecknar av, att en felmeddelandeforfrågan sänds till varje anordning eller alla anordningar, som efterfrågar identitetskonfliktsfel och/eller andra fel.
16. 16. F örfarandet enligt patentkrav 1, kännetecknar av, att access förnekas i fall av en misslyckad första verifikation.
17. 17. Säkerhetsanordning for detektering och/eller spåming av en icke auktoriserad användaraccess till ett kommunikationsnätverk (12), vilket omfattar åtminstone en klientstation 10 15 20 25 30 510 393 14 (11), åtminstone en värdstation (10) och kopplingsanordningar (13-17) i en väg mellan klientstationen och värdstationen, varvid vane klientstation, värdstation och åtminstone någon av kopplingsanordningania är försedda med en unik identitet, kännetecknad därav, att anordningen omfattar organ för kommunikation mellan värdstationen, klientstationen och kopplingsanordningarna, minnesenheter för att lagra information och instruktioner, organ för att hämta identiteten av klientstationen vid inloggning, organ för att jämföra identiteten av användaren med en lagrad identitetslista, organ för att utsända en anordningidentitetsförfrågan, organ för att identifiera och samla svar för förfrågan omfattande unika identiteter och organ för att jämföra de samlat identitetema med en lagrad lista av identiteter.
18. 18. Anordningen enligt patentkrav 17, kännetecknad därav, att anordningen är integrerad i värdstationen (1 O).
19. 19. Anordningen enligt patentkrav 17, kännetecknad därav, att anordningen är separat anordnad i en övervakningsserver.
20. 20. Anordningen enligt någon en av patentkrav 17 - 19, kännetecknad därav, att väglistan uppdateras automatiskt.
21. 21. Anordningen enligt något av patentkraven 17 - 20, kännetecknad därav, att anslutningsanordningarna är någon av routerar, infrastrukturanordningar såsom bryggor, terminalserverar, mellarmätlinj er, brandväggar, repeterare, applikationsserverar såsom DNS (Domain Name Server), mai1hub,nyhetsserverar, FTP- serverar (File Transfer Protocol), WWW-serverar (World Wide Webb), nätverksdriftsystem och kommunikationsserverar.
22. 22. Telekommunikationsnätverk omfattande en anropande enhet (20), en eller flera omkopplingsstationer, länkar (22-28) och en mottagande station (21), 510 'S93 15 kännetecknat därav, att det innefattar en säkerhetsanordning för detektenng och/eller spåming av en icke auktoriserad användare vid koppling av anrop från den anropande enheten (20), att varj e anropande enhet (20), ornkopplingsstation/lärm (22-28) är försedd med en unik identitet, att anordningen dessutom omfattar enhet fór att samla identitet for varje anropande enhet (20), omkopplingsstation (22-28) på en begäran från säkerhetsanordningen och framställa en lista för en ariropsväg, järnfcâra ariropsvägen med godkända anropsvägar och acceptera eller avvisa anropet,