home *** CD-ROM | disk | FTP | other *** search
/ NetNews Usenet Archive 1992 #16 / NN_1992_16.iso / spool / comp / protocol / tcpip / 3858 < prev    next >
Encoding:
Internet Message Format  |  1992-07-28  |  3.1 KB
  1. Path: sparky!uunet!usc!news
  2. From: tsudik@pollux.usc.edu (Gene Tsudik)
  3. Newsgroups: comp.protocols.tcp-ip
  4. Subject: Firewall usage
  5. Date: 28 Jul 1992 02:44:34 -0700
  6. Organization: University of Southern California, Los Angeles, CA
  7. Lines: 55
  8. Sender: tsudik@pollux.usc.edu (Gene Tsudik)
  9. Distribution: world
  10. Message-ID: <l7a5o2INNngi@pollux.usc.edu>
  11. NNTP-Posting-Host: pollux.usc.edu
  12.  
  13.  
  14. In article <1992Jul28.010344.9414@PA.dec.com> mogul@pa.dec.com (Jeffrey Mogul) 
  15. writes:
  16.    
  17.    >In article <JTW.92Jul27142002@pmws.lcs.mit.edu> jtw@lcs.mit.edu 
  18.    >(John Wroclawski) writes:
  19.    >>Dave [Clark's] second point is that perhaps it is time to rethink the core
  20.    >>architecture of the internet (or its follow-on) to specifically
  21.    >>-include- mechanism to separate organizational policy functions (such
  22.    >>as authentication, logging, and access control) from the actual
  23.    >>service functions running on the typical host.
  24.    > 
  25.    >Actually, I think this approach was (in embryonic form, at least)
  26.    >suggested several years ago by Deborah Estrin, who developed the
  27.    >concept of Visa protocols.  In this model, "border" routers pass
  28.  
  29. Visa protocol addresses only end-to-end (in terms of domains, not hosts) access 
  30. control/authentication issues. Control of transit traffic is also quite 
  31. important and will (may) become more so in the future. Charging for providing
  32. transit services may well become the chief reason for implementing 
  33. transit "hurdles" (the term "firewall" doesn't really apply here). 
  34. For details, see "Secure Control of Transit Internetwork Traffic" (D. Estrin &
  35. G. Tsudik), Computer Networks and ISDN Systems, October 1991.
  36.  
  37.    >only those packets deemed allowable by an Access Control Server (ACS).
  38.    >Instead of requiring each packet to pass through an ACS on the way
  39.    >in or out of an organization, the end hosts get cryptographically-
  40.    >sealed thingies (visas) to stick onto their packets.  This allows
  41.    >a distributed implementation, but also allows the ACS to set whatever
  42.    >policy is desired.  The downside is that the cryptographic stuff could
  43.    >be rather costly, and the whole model depends on every external-access
  44.    >host implementing the mechanism.   For details, see
  45.    >    Deborah Estrin, Jeffrey C. Mogul, and Gene Tsudik.
  46.    >    Visa Protocols for Controlling Inter-Organization Datagram Flow.
  47.    >    IEEE Journal on Selected Areas in Communication 7(4):486-498, May, 1989.
  48.  
  49. A more up-to-date Visa protocol description can be obtained via anonymous
  50. FTP from jerico.usc.edu (pub/gene/new-visa.ps.Z). 
  51.  
  52.    >.... 
  53.    >From time to time, I (hidden behind a firewall) find Digital's policies
  54.    >to be a major pain; I still don't use services such as WAIS because of
  55.  
  56. Ditto for IBM (imho). 
  57.  
  58.    >the extra effort involved.  But, I (and my coworkers) no longer spend
  59.    >a significant part of our time either tracking down intruders, or
  60.    >explaining to the corporate security types why they shouldn't shut down
  61.    >our gateway complex.
  62.    > 
  63. -- 
  64. ----------------------
  65. Gene Tsudik
  66. Spiritually at the University of Southern Califlower
  67. Physically at the IBM Zurich Research Laboratory
  68.