Die derzeitige Netzwerkarchitektur bietet eine allgemeine, einheitliche Schnittstelle für eine große Anzahl von verschiedenen Endsystemen. Jedoch beschränkt das schichten-orientierte Modell auch die innovative Entwicklung und Integration von zusätzlichen Netzwerkdiensten. Bereits heute existiert eine Vielzahl von Ansätzen, die eine höhere Funktionsvielfalt im Netz zulassen. Zukünftige Netzwerkarchitekturen, die aktuell in der Forschungsgemeinschaft diskutiert werden, sind mitunter in ihrer Ausrichtung und mit ihrem Schwerpunkt sehr unterschiedlich und verfolgen sogar nicht selten gegensätzliche Philosophien. Doch es gibt auch Gemeinsamkeiten. Als Beispiel vereint eine Vielzahl von Ansätzen, dass Netze sich dienstorientiert, flexibel und dynamisch aus atomaren intelligenten Diensten orchestrieren.

In diesen neuen dienstorientierten Ansätzen benötigen die Netzwerkdienste aber Steuerungsdaten, die signalisiert werden müssen, um den gewünschten Mehrwert zu erzielen. Hierfür kommen bei den verschiedenen Ansätzen wiederum verschiedene, etablierte Signalisierungsarten in Frage. Bekannt ist zum Beispiel, dass Steuerungsdaten, wie beispielsweise Paketadressen, den Benutzerdaten vorangestellt signalisiert werden können. Weiterhin können Steuerungsdaten auch auf einer eigenständigen Ebene übertragen werden, so wie es beispielsweise beim Austausch von Routing-Informationen der Fall ist. Darüber hinaus können Steuerungsdaten aber auch in den Benutzerdaten selbst enthalten sein, was beim Einsatz von Audio-Codecs der Fall ist.

In jedem Fall muss aber den Netzwerkdiensten Zugriff auf diese Steuerungsdaten ermöglicht werden, wenn darauf der zu erbringende Dienst basiert. Dies ist eine Grundanforderung, um den ganzen Funktionsumfang der Netzwerkorchestrierung nutzen zu können. Auch ist abzusehen, dass die Vielfalt und der Umfang der benötigten Steuerungsdaten in einem orchestrierten Netz noch weiter ansteigen werden. Denn Kommunikationsendpunkte eines orchestrierten Netzes müssen Informationen über den eigenen Status und die eigenen Anforderungen bereitstellen und mitteilen, damit die Dienste entsprechend den Anforderungen handeln können. Diese Bekanntgabe der Informationen ist aber nicht immer unkritisch und kann sicherheitsrelevante Bereiche berühren. Probleme können aufkommen, wenn diese sensiblen Informationen abgefangen, gesammelt und im schlimmsten Fall gar manipuliert werden. Daher ist es unvermeidbar, dass bereits bei der Entwicklung neuer Architekturen darüber nachgedacht wird, wie zukünftige Netzwerkarchitekturen die Sicherstellung der Informationsvertraulichkeit und Integrität gewährleisten können, ohne dabei die Funktionsvielfalt zur verlieren.

Neben diesen Überlegungen zu den zukünftigen Netzen, ist die bisher etablierte De-facto-Standardmethode die Ende-zu-Ende-Verschlüsselung von Informationen, die zwischen zwei Endpunkten etabliert wird, um die Vertraulichkeit und Integrität anzubieten. Hier kommen kryptografische Algorithmen wie AES und RSA bei sicheren Kommunikationsprotokollen wie SSH, TLS/SSL und IPsec zum Einsatz. Es muss dabei aber festgehalten werden, dass Netzwerkdienste bei diesem Einsatz keine Möglichkeit mehr haben, auf die verschlüsselten Steuerungsdaten zuzugreifen, und infolgedessen ihre Aufgaben nicht mehr vollbringen können. Wenn Kommunikationsendpunkte Ende-zu-Ende-Verschlüsselung vollziehen, ist der Mehrwert von orchestrierten Netzwerkdiensten für zukünftige Netzwerkarchitekturen nicht mehr für jeden Einsatzbereich schlüssig.

Unsere Vision besteht nun darin, diesen Zustand im ersten Schritt für Teilbereiche, aber auch in einem zweiten Schritt im Allgemeinen für zukünftige Netze zu lösen. Ziel soll es sein, sowohl intelligente Netzwerkdienste zu etablieren als auch Informationsvertraulichkeit und Integrität in einem bestimmten Rahmen sicherzustellen. In diesem Umfeld sollen neue Arten von kryptografischen Algorithmen wie „Public key Encryption with Keyword Search“ (PEKS) und „Fully Homomorphic Encryption“ (FHE) zum Einsatz kommen, die uns helfen können, Daten soweit zu verschleiern, dass Informationsvertraulichkeit und Integrität im Netz bei vollem Funktionsumfang der Dienste etabliert werden können. Basis der Überlegungen ist, dass Operationen wie Vergleichen, Addieren und Multiplizieren an den verschleierten Daten immer noch korrekt ausgeführt werden, ohne dass deren Informationsgehalt direkt zugänglich sein muss. Diese bedarf eine Umgestaltung und Adaption der bisher diskutierten Ansätze, wobei aber nicht ein Ersatz für die Ende-zu-Ende-Verschlüsselung entwickelt werden soll, sondern eine für viele Bereiche nutzbare Alternative. Wir wollen den gegenwärtigen Zustand „Entweder Sicherstellung von Informationssicherheit oder Etablierung von Netzwerkdiensten“ zu einem neuen Zustand „Sowohl Sicherstellung von Informationssicherheit als auch Etablierung von Netzwerkdiensten“ weiterentwickeln. Die Machbarkeit unseres Ansatzes wurde am Beispiel des Paketweiterleitung-Dienstes präsentiert. Wir haben diesen Dienst als Beispiel ausgewählt, weil er einer von grundlegenden Diensten ist, die für die meisten Netzwerkarchitekturen erforderlich ist.

I. Simsek, M. Becke, Y. I. Jerschow, and E. P. Rathgeb, “A Clean- Slate Security Vision for Future Networks,” in Proceedings of the IEEE International Conference on Network of the Future (NoF’13), Pohang, South Korea, Oct. 2013 (Best Paper Award).

I. Simsek, M. Becke, Y. I. Jerschow, and E. P. Rathgeb, “Blind Packet Forwarding in a Hierarchical Architecture with Locator/Identifier Split,” in Proceedings of the IEEE International Conference on Network of the Future (NoF’14), Paris, France, Dec. 2014.

Simsek, Irfan, Yves Igor Jerschow, and Erwin P. Rathgeb. "Blind Packet Forwarding Using a Locator/Identifier Split Approach." ISCC 2015-the Twentieth IEEE Symposium on Computers and Communications. IEEE, 2015.

Simsek, Irfan. "Blind Packet Forwarding in a Hierarchical Level-based Locator/Identifier Split." Computer Communications 150 (2020): 286-303.