Un método para impedir la falsificación de una dirección de Control de Acceso al Medio (MAC),

caracterizadoporque comprende:

recibir, mediante un dispositivo de autenticación, una dirección MAC fuente e información de puerto de acceso de unpuerto de acceso desde un dispositivo de acceso, en donde la dirección MAC fuente y la información de puerto deacceso están asociadas con una demanda de autenticación desde el puerto de acceso recibida por el dispositivo deacceso;

determinar, mediante el dispositivo de autenticación, si la dirección MAC fuente recibida es una dirección MAC falsificadaen función de la dirección MAC fuente recibida, de la información de puerto de acceso recibida y de la información depuerto de acceso que se memoriza en el dispositivo de autenticación y corresponde a la dirección MAC fuente recibida ysi la dirección MAC fuente recibida es una dirección MAC falsificada, rechazar, por el dispositivo de autenticación, lademanda de autenticación.

Un método, sistema y aparato para impedir la falsificación de una dirección MAC

CAMPO DE LA INVENCIÓN

La presente invención se refiere a las comunicaciones de redes y en particular, a un método, sistema y aparato para impedir la falsificación de dirección de Control de Acceso al Medio.

ANTECEDENTES DE LA INVENCIÓN

Actualmente, dispositivos de acceso tales como Multiplexor de Acceso a la Línea Digital de Abonado (DSLAM) y un Dispositivo de Acceso Integrado se han aplicado, en gran medida, para proporcionar acceso de banda ancha. Dichos dispositivos de acceso pueden proporcionar una diversidad de accesos de banda ancha tales como Bucle de Abonado Digital Asimétrico (ADSL) , Línea de Abonado Digital de Alta Tasa de Transferencia de Línea Única (SHDSL) , Bucle de Abonado Digital de muy Alta Tasa de Transferencia (VDSL) , etc., para permitir a los usuarios acceder a Internet de banda ancha de acceso y para realizar otros servicios tales como servicios de vídeo y servicios de telefonía de IP (Protocolo de Internet) .

Actualmente, con el fin de poner en práctica la autenticación y facturación para usuarios y para evitar un acceso malintencionado de usuarios ilícitos, se emplean criterios de filtro basados en la dirección de Control de Acceso al Medio (MAC) para filtrar a los usuarios que acceden a la red.

Sin embargo, con el aumento de los usuarios de banda ancha, algunos usuarios ilícitos acceden ilegalmente a la red de banda ancha por medio de la falsificación de direcciones MAC legales y pueden prestar sus servicios ilícitos o interferir, de forma malintencionada, con los servicios normales en la red de banda ancha. Por ejemplo, algunos usuarios ilícitos pueden cambiar las direcciones MAC de los usuarios legales utilizando herramientas de software para atacar a los usuarios legales e interferir con los servicios de banda ancha normales. Por lo tanto, la red de acceso de banda ancha necesita capacidades para impedir la falsificación de dirección MAC.

Una solución para evitar la falsificación de dirección MAC está vinculada a una dirección MAC fuente con un puerto de origen. Según esta solución, a cada usuario que tiene acceso a la red se le asigna una o más direcciones MAC fuente y se memoriza una relación entre una dirección MAC fuente y un puerto de acceso. De este modo, a la recepción de un paquete de Ethernet enviado desde un usuario a través de un puerto de acceso, un dispositivo de acceso determina si la dirección MAC fuente del paquete coincide con el puerto de acceso. Si la dirección MAC fuente del paquete coincide con el puerto de acceso, el dispositivo de acceso reenvía el paquete a una capa superior de la red de banda ancha; de no ser así, el dispositivo de acceso desecha el paquete. Según esta solución, a cada uno de los puertos de acceso necesita asignarse al menos una dirección MAC fuente correspondiente y esta operación se realiza de forma aleatoria. Cuando existe un gran número de puertos de acceso en la red de banda ancha, la carga de trabajo para proporcionar una o más direcciones MAC fuente para cada uno de los puertos de acceso es bastante pesada. Además, puesto que la dirección MAC fuente está vinculada con el puerto de acceso, si el usuario tiene un nuevo PC o desea cambiar la dirección MAC actual a otra dirección MAC legal, el usuario ha de efectuar la reposición de la dirección MAC fuente en el dispositivo de acceso para prestar servicios, lo que resulta bastante complejo y por ello, esta solución es difícil de aplicarse ampliamente.

El documento US 6.115.376 da a conocer un método para mejorar la seguridad de la red en una red. A la recepción de un paquete en un puerto particular, el proceso implica determinar si el paquete soporta una dirección fuente con la que los datos de autenticación establecen una correspondencia, o mapeo, con el puerto particular. Si el paquete soporta una dirección fuente con la que los datos de autenticación establecen una correspondencia con el puerto particular, en tal caso, se acepta el paquete y en caso contrario, se ejecuta un protocolo de autenticación en el puerto para determinar si la dirección tiene su origen, o no, en un emisor autorizado.

SUMARIO DE LA INVENCIÓN

Un método, un sistema y un aparato para impedir la falsificación de dirección MAC se dan a conocer por las formas de realización de esta invención, con el fin de evitar la falsificación de la dirección MAC y aligerar la carga de trabajo del sistema sin asignar una o más direcciones MAC a cada puerto de acceso.

Un método para impedir la falsificación de dirección MAC comprende:

recibir, por un dispositivo de autenticación, una dirección MAC fuente e información de puerto de acceso de un puerto de acceso desde un dispositivo de acceso, en donde la dirección MAC fuente y la información de puerto de acceso están asociadas con una demanda de autenticación desde el puerto de acceso recibida por el dispositivo de acceso;

determinar, por el dispositivo de autenticación, si la dirección MAC fuente recibida es una dirección MAC falsificada en función de la dirección MAC fuente recibida, de la información de puerto de acceso recibida y de la información de puerto de acceso que se memoriza en el dispositivo de autenticación y corresponde a la dirección MAC fuente recibida y

si la dirección MAC fuente recibida es una dirección MAC falsificada, rechazar, por el dispositivo de autenticación, la demanda de autenticación.

La recepción, por el dispositivo de autenticación, de la dirección MAC fuente y de la información de puerto de acceso del puerto de acceso comprende:

añadir por un dispositivo de acceso, la información de puerto de acceso a la demanda de autenticación después de recibir la demanda de autenticación que soporta la dirección MAC fuente desde el puerto de acceso y

recibir, por el dispositivo de autenticación, la demanda de autenticación que soporta la dirección MAC fuente y la información de puerto de acceso desde el dispositivo de acceso.

En otra forma de realización, la recepción, por el dispositivo de autenticación, de la dirección MAC fuente y de la información de puerto de acceso del puerto de acceso comprende:

recibir, por el dispositivo de autenticación, la demanda de autenticación que soporta la dirección MAC fuente desde un dispositivo de acceso que recibe la demanda de autenticación que soporta la dirección MAC fuente desde el puerto de acceso;

enviar un mensaje de interrogación que soporta la dirección MAC fuente al dispositivo de acceso para consultar la información de puerto de acceso del puerto de acceso y

recibir la información de puerto de acceso desde el dispositivo de acceso.

El rechazo de la demanda de autenticación comprende:

el envío, por el dispositivo de autenticación, al dispositivo de acceso de un mensaje que indica que una autenticación correspondiente a la demanda de autenticación es fallida e incluyendo la información de puerto de acceso del puerto de acceso que envía la demanda de autenticación.

La determinación de si la dirección MAC fuente recibida es una dirección MAC falsificada en función de la dirección MAC fuente recibida, de la información de puerto de acceso recibida y de la información de puerto de acceso que se memoriza en el dispositivo de autenticación y que corresponde a la dirección MAC fuente recibida, comprende:

determinar, por el dispositivo de autenticación, si la dirección MAC fuente recibida ha sido memorizada, o no, en el dispositivo de autenticación;

si la dirección MAC fuente recibida no se memoriza en el dispositivo de autenticación, la determinación, por el dispositivo de autenticación, de que la dirección MAC fuente recibida no es una dirección MAC falsificada y la memorización de una relación entre la dirección MAC fuente y la información de puerto de acceso recibida;

si la dirección MAC fuente recibida se memoriza en el dispositivo de autenticación, la determinación, por el dispositivo de autenticación, de si la información de puerto de acceso recibida es coherente, o no, con la información de puerto de acceso que se memoriza en el dispositivo de autenticación y corresponde a la dirección MAC fuente recibida; si la información de puerto de acceso recibida... [Seguir leyendo]

1. Un método para impedir la falsificación de una dirección de Control de Acceso al Medio (MAC) , caracterizado porque comprende:

recibir, mediante un dispositivo de autenticación, una dirección MAC fuente e información de puerto de acceso de un puerto de acceso desde un dispositivo de acceso, en donde la dirección MAC fuente y la información de puerto de acceso están asociadas con una demanda de autenticación desde el puerto de acceso recibida por el dispositivo de acceso;

determinar, mediante el dispositivo de autenticación, si la dirección MAC fuente recibida es una dirección MAC falsificada en función de la dirección MAC fuente recibida, de la información de puerto de acceso recibida y de la información de puerto de acceso que se memoriza en el dispositivo de autenticación y corresponde a la dirección MAC fuente recibida y

si la dirección MAC fuente recibida es una dirección MAC falsificada, rechazar, por el dispositivo de autenticación, la demanda de autenticación.

2. El método según la reivindicación 1, en donde la recepción, por el dispositivo de autenticación, de la dirección MAC fuente y de la información de puerto de acceso del puerto de acceso comprende:

la adición, por un dispositivo de acceso, de información de puerto de acceso a la demanda de autenticación después de recibir la demanda de autenticación que transmite la dirección MAC fuente desde el puerto de acceso y

la recepción, por el dispositivo de autenticación, de la demanda de autenticación que transmite la dirección MAC fuente y de la información de puerto de acceso desde el dispositivo de acceso.

3. El método según la reivindicación 1, en donde la recepción, por el dispositivo de autenticación, de la dirección MAC fuente y de la información de puerto de acceso del puerto de acceso comprende:

la recepción, por el dispositivo de autenticación, de la demanda de autenticación que transmite la dirección MAC fuente desde un dispositivo de acceso que recibe la demanda de autenticación que transmite la dirección MAC fuente desde el puerto de acceso;

el envío de un mensaje de interrogación que transmite la dirección MAC fuente al dispositivo de acceso para demandar la información de puerto de acceso del puerto de acceso y

la recepción de la información de puerto de acceso desde el dispositivo de acceso.

4. El método según la reivindicación 2 o 3, en donde el rechazo de la demanda de autenticación comprende:

el envío, por el dispositivo de autenticación, al dispositivo de acceso de un mensaje que indica un fallo de autenticación correspondiente a la demanda de autenticación e incluye la información de puerto de acceso del puerto de acceso que envía la demanda de autenticación.

5. El método según la reivindicación 1, 2 o 3, en donde la determinación de si la dirección MAC fuente recibida es una dirección MAC falsificada en función de la dirección MAC fuente recibida, de la información de puerto de acceso recibida y de la información de puerto de acceso que se memoriza en el dispositivo de autenticación y que corresponde a la dirección MAC fuente recibida comprende:

determinar, por el dispositivo de autenticación, si la dirección MAC fuente recibida ha sido memorizada, o no, en el dispositivo de autenticación;

si la dirección MAC fuente recibida no se memoriza en el dispositivo de autenticación, la determinación, por el dispositivo de autenticación, de que la dirección MAC fuente recibida no es una dirección MAC falsificada y la memorización de una relación entre la dirección MAC fuente y la información de puerto de acceso recibida;

si la dirección MAC fuente recibida se memoriza en el dispositivo de autenticación, determinar, por el dispositivo de autenticación, si la información de puerto de acceso recibida es coherente, o no, con la información de puerto de acceso que se memoriza en el dispositivo de autenticación y que corresponde a la dirección MAC fuente recibida; si la información de puerto de acceso recibida es coherente con la información de puerto de acceso que se memoriza en el dispositivo de autenticación y corresponde a la dirección MAC fuente recibida, la determinación de que la dirección MAC fuente recibida no es una dirección MAC falsificada; si la información de puerto de acceso recibida no es coherente con la información de puerto de acceso que se memoriza en el dispositivo de autenticación y corresponde a la dirección MAC fuente recibida, la determinación de que la dirección MAC fuente es una dirección MAC falsificada.

6. El método según la reivindicación 2 o 3, que comprende, además:

el registro, por el dispositivo de autenticación, del número de fallos de autenticación que ocurren en el puerto de acceso y la notificación al dispositivo de acceso el cierre del puerto de acceso si el número de fallos de autenticación, que ocurren en el puerto de acceso dentro de un periodo de tiempo preestablecido, es superior a un número preestablecido.

7. El método según la reivindicación 4 que comprende, además:

después de recibir la información de puerto de acceso del puerto de acceso, el registro, por el dispositivo de acceso, del número de fallos de autenticación que se producen al nivel del puerto de acceso y el cierre del puerto de acceso si el número de fallos de autenticación, que se producen a nivel del puerto de acceso en un periodo de tiempo preestablecido, es superior a un número preestablecido.

8. El método según cualquiera de las reivindicaciones 2 a 7 que comprende, además:

la memorización, por el dispositivo de acceso, de una relación entre la información MAC fuente y la información de puerto de acceso.

9. El método según la reivindicación 4 o 7, que comprende, además:

la supresión, por el dispositivo de acceso, de la dirección MAC fuente correspondiente a la información de puerto de acceso recibida que se memoriza en el propio dispositivo de acceso después de recibir la información de puerto de acceso del puerto de acceso, en donde ocurre un fallo de autenticación.

10. Un sistema para impedir la falsificación de dirección de Control de Acceso al Medio (MAC) caracterizado porque comprende:

un dispositivo de acceso, configurado para recibir una demanda de autenticación desde un puerto de acceso y para enviar una dirección MAC fuente e información de puerto de acceso asociada con la demanda de autenticación y

un dispositivo de autenticación, configurado para recibir la dirección MAC fuente y la información de puerto de acceso asociada con la demanda de autenticación desde el dispositivo de acceso, para determinar si la dirección MAC fuente recibida es, o no, una dirección MAC falsificada en función de la dirección MAC fuente recibida, de la información de puerto de acceso recibida y de la información de puerto de acceso que se memoriza en el dispositivo de autenticación y corresponde a la dirección MAC fuente recibida y si la dirección MAC fuente recibida es una dirección MAC falsificada, rechazar la demanda de autenticación.

11. El sistema según la reivindicación 10, en donde el dispositivo de autenticación comprende:

un módulo identificador de falsificación de dirección MAC, configurado para determinar si la dirección MAC fuente recibida está memorizada, o no, en el dispositivo de autenticación;

si la dirección MAC fuente recibida no está memoriza en el dispositivo de autenticación, determinar que la dirección MAC fuente recibida no es una dirección MAC falsificada y memorizar una relación entre la dirección MAC fuente y la información de puerto de acceso;

si la dirección MAC fuente recibida se memoriza en el dispositivo de autenticación, determinar si la información de puerto de acceso recibida es coherente, o no, con la información de puerto de acceso que se memoriza en el dispositivo de autenticación y corresponde a la dirección MAC fuente recibida; si la información de puerto de acceso recibida es coherente con la información de puerto de acceso que se memoriza en el dispositivo de autenticación y corresponde a la dirección MAC fuente recibida, determinar que la dirección MAC fuente recibida no es una dirección MAC falsificada; si la información de puerto de acceso recibida no es coherente con la información de puerto de acceso que se memoriza en el dispositivo de autenticación y corresponde a la dirección MAC fuente recibida, determinar que la dirección MAC fuente es una dirección MAC falsificada.

12. El sistema según la reivindicación 10 o 11, en donde el dispositivo de acceso comprende un primer módulo de conteo, configurado para registrar el número de fallos de autenticación que ocurren en el puerto de acceso después de recibir un mensaje que indica que una autenticación correspondiente a la demanda de autenticación está fallida y para cerrar el puerto de acceso si el número de fallos de autenticación, que ocurren en el puerto de acceso, satisface una condición.

13. El sistema según la reivindicación 10 o 11, en donde el dispositivo de autenticación comprende:

un segundo módulo de conteo, configurado para registrar el número de fallos de autenticación que ocurren en el puerto de acceso y para notificar al dispositivo de acceso el cierre del puerto de acceso si el número de fallos de autenticación, que ocurren en el puerto de acceso, satisface una condición.

14. Un dispositivo de acceso para impedir la falsificación de una dirección de Control de Acceso al Medio (MAC) , caracterizado porque comprende:

un módulo de acceso, configurado para recibir una demanda de autenticación que transmite una dirección MAC fuente 5 desde un puerto de acceso y para enviar la demanda de autenticación;

un módulo de procesamiento de dirección MAC, configurado para recibir la demanda de autenticación desde el módulo de acceso y para enviar la dirección MAC fuente y la información de puerto de acceso del puerto de acceso, en donde la dirección MAC fuente y la información de puerto de acceso están asociadas con la demanda de autenticación y

un módulo de interfaz de enlace ascendente, configurado para recibir la dirección MAC fuente y la información e información de puerto de acceso desde el módulo de procesamiento de dirección MAC y para enviar la dirección MAC fuente y la información de puerto de acceso a un dispositivo de autenticación.

15. El dispositivo de acceso según la reivindicación 14, en donde el módulo de procesamiento de dirección MAC comprende un módulo de conteo, configurado para registrar el número de fallos de autenticación que ocurren en el puerto de acceso después de recibir un mensaje que indica que se produjo un fallo en una autenticación correspondiente a la demanda de autenticación y para cerrar el puerto de acceso si el número de fallos de autenticación, que ocurren en el puerto de acceso, satisface una condición.

16. Un dispositivo de autenticación para impedir la falsificación de dirección de Control de Acceso al Medio (MAC) caracterizado porque comprende:

un módulo de interfaz, configurado para recibir una dirección MAC fuente e información de puerto de acceso de un

puerto de acceso, en donde la dirección MAC fuente y la información de puerto de acceso están asociadas con una demanda de autenticación desde un dispositivo de acceso;

un módulo de procesamiento, configurado para determinar si la dirección MAC fuente recibida es, o no, una dirección MAC falsificada en función de la dirección MAC fuente recibida, de la información de puerto de acceso recibida y de la

información de puerto de acceso que se memoriza en el dispositivo de autenticación y corresponde a la dirección MAC fuente recibida y si la dirección MAC fuente recibida es una dirección MAC falsificada, rechazar la demanda de autenticación.

17. El dispositivo de autenticación según la reivindicación 16, en donde el módulo de procesamiento comprende:

un módulo de memorización de información de usuario, configurado para memorizar la dirección MAC fuente y la información de puerto de acceso; configurado para determinar si la dirección MAC fuente recibida se memoriza, o no, en el dispositivo de autenticación;

si la dirección MAC fuente recibida no se memoriza en el dispositivo de autenticación, determinar que la dirección MAC fuente recibida no es una dirección MAC falsificada y memorizar una relación entre la dirección MAC fuente y la información de puerto de acceso;

si la dirección MAC fuente recibida se memoriza en el dispositivo de autenticación, determinar si la información de puerto

45 de acceso recibida es coherente, o no, con la información de puerto de acceso que se memoriza en el dispositivo de autenticación y corresponde a la dirección MAC fuente recibida;

si la información de puerto de acceso recibida es coherente con la información de puerto de acceso que se memoriza en el dispositivo de autenticación y corresponde a la dirección MAC fuente recibida, determinar que la dirección MAC fuente

50 recibida no es una dirección MAC falsificada; si la información de puerto de acceso recibida no es coherente con la información de puerto de acceso que se memoriza en el dispositivo de autenticación y corresponde a la dirección MAC fuente recibida, para enviar un mensaje que indica que la información de puerto de acceso recibida no es coherente con la información de puerto de acceso que se memoriza en el dispositivo de autenticación y corresponde a la dirección MAC fuente recibida;

55 un módulo identificador de falsificación de dirección MAC, configurado para enviar un mensaje de interrogación que transmite la dirección MAC fuente y la información de puerto de acceso al módulo de memorización de información de usuario; al recibo del mensaje que indica que la información de puerto de acceso recibida no es coherente con la información de puerto de acceso que se memoriza en el dispositivo de autenticación y corresponde a la dirección MAC

60 fuente recibida, para enviar un mensaje de fallo de autenticación al dispositivo de acceso; de no ser así, para enviar la demanda de autenticación a un módulo de autenticación y

el módulo de autenticación, configurado para recibir la demanda de autenticación desde el módulo identificador de falsificación de dirección MAC y para realizar una autenticación.

65 18. El dispositivo de autenticación según la reivindicación 17, en donde el módulo identificador de falsificación de dirección MAC comprende:

un módulo de conteo, configurado para registrar el número de fallos de autenticación que se producen en el puerto de acceso y para notificar al dispositivo de acceso el cierre del puerto de acceso si el número de fallos de autenticación, que se producen en el puerto de acceso, satisface una condición.

Un usuario envía una demanda de autenticación que soporta una dirección MAC fuente a un dispositivo de acceso por intermedio de un puerto de acceso

El dispositivo de acceso envía la dirección MAC fuente y la información de puerto de acceso correspondiente al puerto asociado con la demanda de autenticación a un dispositivo de autenticación y memoriza una relación entre la dirección MAC fuente y la información de puerto de acceso

El dispositivo de autenticación recibe la información MAC fuente y la información de puerto de acceso correspondiente al puerto de acceso asociado con la demanda de autenticación

Está memorizada la dirección MAC fuente en el dispositivo de autenticación?

Sí

Es la información del puerto de acceso coherente con la información de puerto de acceso memorizada correspondiente a la dirección MAC fuente?

No

Reenviar mensaje fallo autenticación al dispositivo de acceso

El dispositivo de acceso suprime la dirección MAC fuente asociada con la información de puerto de acceso

No

Transmitir la autenticación y memorizar una relación de la dirección MAC fuente, la información de puerto de acceso y la información de puerto del dispositivo de autenticación

Sí

Transmitir la autenticación

Figura 1

Demanda de autenticación

Demanda de autenticación Dispositivo de acceso

Figura 2

Dispositivo de acceso

Módulo de acceso

Módulo procesamiento dirección MAC

Módulo interface enlace ascendente

Figura 3

Dispositivo de autenticación

Dispositivo de autenticación

Módulo memorización información usuario

Módulo identificador falsificación dirección MAC

Módulo de autenticación

Figura 4