CN100338930C - 用于在可区分的网络之间安全交换数据的方法和转换接口 - Google Patents

Abstract

本发明涉及在一个内部网和一个外部网之间安全交换数据的方法和转换接口，所说的网络相互间完全无关联。此任务由一个转换接口(3)完成，它在中立区(5)内设置一个被处理查询的等候队伍，其中此查询的处理在安全的内部网(2)范围内并由其主动完成，其中等候队伍的范围不仅对外部，而且对内部通过相应的加密和附加通过一个内部的和/或一个外部的防火墙(4，6)而被保护。

Description

用于在可区分的网络之间安全交换数据的方法和转换接口

技术领域

本发明涉及在可区分的网络之间，尤其是一个外部网和一个内部网之间，例如互联网和一个企业内部网，安全交换数据的方法和转换接口。

背景技术

这种在具有可区分的加密标准的网络之间安全交换的方法和装置属于现有技术。

美国专利5826014公开了一种“防火墙”，用网络的这个单元，不仅可通过开放的读取，而且它还被保护。为此在开放的和受保护的网络之间有一个附加的“可独立应用的计算机”，其上运行防火墙。在此解决方案中，在基于从外部来的查询——一个所谓的“请求”——检查了身份合格性之后，对受保护网络的读取仅由所谓的委托代理人，即可独立应用的计算机的软件，来进行。

这里对网络的受保护数据的直接读取被有效地关断了。查询和受保护数据之间物理上完全无关联这一特征对网络安全性有明显贡献。在此解决方案中仍然没有解决以下问题：基于外部来的查询检查此查询。这种查询的起动可以在其滥用时被触发，这代表了安全缺陷，例如通过大量被容许的读取的滥用起动，即所谓的“轰炸”。

美国专利5826014公开的解决方案因此保护了这种读取不被滥用，但是不保护读取的起动。

按照现有技术，一个内部的数据网通过一个所谓的接口与外部网分开。安全接口在最佳的情况下包括一个外部的和一个内部的服务器，它们通过一个防火墙相互连接。可能发生的由外部服务器收到的用户查询在外部服务器中被处理，并且在经过不同的安全检查后通过防火墙给到内部服务器，它接着读取在被保护的内部网中存储的数据。

内部和外部服务器之间的防火墙应该阻止从外部，尤其是滥用或改变内部网的受保护数据。

防火墙阻止了无相应权利的外部用户与内部网建立数据连接，以及在建立了数据连接时不安全的数据，例如病毒程序，通过防火墙进入内部网。这样例如在缺少授权时也阻碍了容许的用户所要的对内部数据业务的查询。

为此通常的解决方案是开放一个附加的专用的用户-网关，它容许相应的读取。这也有缺点：通过这个虽说特别安全的网关仍可能读取内部网数据。

另一个解决方案保留所有可能发生的用户查询在外部服务器上，并且从而避免了可能发生的，不希望的，有危险的，直接向外的数据连接。然而这种方案的缺点在于，可能发生的秘密的用户数据被中间存储在不受保护的外部服务器上。由于这个原因，数据通常通过映射被均衡。由于由此而增加的数据量，这导致要求提高处理器能力或导致差的时间性能。此外在此解决方案中实时读取内部网的受保护数据几乎是不可能的。

WO97/19611公开了一种解决此问题的方案，称为“加密-网关-接口”(SGI)，它试图这样解决上述问题，首先基于用户请求进行用户授权，并且在用户具有相应权利的情况下接着由外部服务器按照用户查询产生一个自己容许的查询。这样得到由用户传送的数据和最终用于进一步处理的数据之间的真正分离。由外部服务器产生的请求接着通过进一步的安全程序处理，经过防火墙继续传送给内部服务器，并且接着在内部网中被处理，一个回答经过外部服务器被传送给用户。这个系统保证了内部和外部网络的完全无关联。然而仍然没有解决下述问题：对于从外部对外部服务器的读取，容许利用的数据仍然没有受到保护。如果外部不受保护的服务器上的一个滥用读取成功了，不容许的查询可以通过相应发送的操作来产生。这是特别可能的，因为有效查询的授权肯定在外部服务器上进行，从而在系统的广泛的不安全的范围中被授权。

发明内容

本发明的目的在于给出在可区分的网络间安全交换数据的一种方法和一种装置，保证两个网络间的完全无关联，并克服现有技术的上述缺点。

此任务这样来解决：通过一个转换接口实现一个外部网和一个内部网之间安全交换数据的方法，其中一个外部使用者可在内部网内部进行规定的数据转换，转换接口包括在外部网中的一个入口，一个在读取方向上位于后面的中立区，它至少配置有：一个接口服务器和一个接口存储器，以及一个内部服务器，它已被设置在内部网中，其中，外部使用者的查询，它们由接口服务器处理内部网中的数据转换，并且以规定格式中间存储在接口存储器中，并且接口存储器只被内部服务器以规定的频率查询，以及包括用户授权在内的整个处理在内部网中完成。以及用于在一个外部网和一个内部网之间安全交换数据的转换接口，其中外部使用者可触发在内部网中的规定的数据转换，并且转换接口包括：一个中立区，它设置在读取方向上外部网中一个入口的后面，并且它具有至少一个接口服务器，以及具有至少一个接口存储器，至少一个内部服务器，它被配置在内部网中，其中，在接口存储器中设置一个等候队列，用于中间存储用户查询，所述等候队列可以通过规定的频率由内部服务器来查询，并且在传送相应的已处理的查询到内部网之后，包括用户授权在内的整个查询的处理在内部网中进行。

这样，不同于现有技术，所有外部用户查询被一个接口服务器处理，并以规定的形式中间存储在一个接口存储器中，包括用户授权在内的查询的整个处理却是在安全的内部网中进行，绝不可能从外部读取内部网的涉及安全的数据领域。

下面给出本发明的其它优化方案。

存储在接口存储器中的等候队伍只被内部服务器以规定的频率查询，从而不可能由一个外部网主动地起动内部网中的任何数据业务，因为整个起动工作从内部网的安全范围出发，并且也由此开始并接着在这里进行。尤其是用户的授权也算作起动工作。

本方法的安全性可通过应用中立区与连接的外部网之间的外部防火墙而进一步提高。此外这样对存储在中立区中的数据的胡乱读取是困难的，即使当这些数据不涉及安全问题时也如此。

在此意义上安全性的进一步提高通过中立区和内部网之间的另一个内部防火墙实现。内部防火墙也保证了反间谍活动的有效性，即防止从内部网读取中立区所存储的用户数据。

内部防火墙迫使一个唯一的非间接的通信。其中原则上仅有来自内部网范围的调用是可接受的。由中立区在受保护的内部网范围中的调用是不可能的。

用户查询可以不同的数据格式输入，为此这可能是有意义的：在中立区设置一个专用的外部服务器，它主管某个选出的数据格式并在继续传送在此输入的用户查询到自己的接口服务器去之前首先变换它，并且必要时传送一个输入证实到用户。

由于在接口存储器的等待队伍中被接受的查询直至其完全被处理一直被中间存储，在一个完整的系统故障之后，处理本身可基本上无数据丢失地仍被记录。在最坏的情况下，查询的处理必须被重复。因此本发明方法是在最大程度上对故障安全的，这不仅是提高数据安全性的措施，而且也是提高管理友好性的措施。

本发明方法的另一个有用特征在于，处理速度可以适配于相应的负荷。这一方面可通过对接口存储器的查询的取决于负荷的频率控制实现。

然而这也可以有优点地通过激活接口位置服务器和/或内部服务器内的并行过程实现。其中负荷控制由系统的外部服务器或借助于防火墙的一个负荷控制模块实现。这有一定的意义，因为负荷控制被设置于在读取方向上位于接口服务器和/或内部服务器前面的位置上，从而要求的过程容量可在其被需要之前准备好。因此同样提高了系统的应用友好性。

除了软件方式的接通和激活外，其它的处理器活动性也可通过相应的负荷控制被激活或被封锁。

在接口位置存储器中存储的用户查询被加密是有优点的。查询的加密使得从外部，而且从内部读取可能的秘密用户查询变得困难了。从而不仅从外部的，而且从内部的间谍活动被预防了。

一个有优点的加密方法如下所述：其中特别好的安全性由所用密钥的单独可规定的寿命获得。这意味着，甚至于在一个滥用的读取可能成功地破译所用密钥的情况下，也不能保证此密钥能完成所要求的滥用或完全的一个数据转换，这是因为由密钥寿命确定的时间通道如此之短，密钥的一个滥用的二次应用由于其有限的寿命已很好地被排除。

本发明的另一个主要的安全特征在于，各个用户的授权由各自的处理分开实现。

这是有决定性作用的：不仅用户的授权完全在内部网的安全范围内进行，而且相应指配给用户的口令不能从中立区传送到内部网或以相反的方向传送。

下面给出了本发明所述装置的其它有优点的结构。

本发明装置的安全性可通过应用一个内部和/或外部的防火墙提高。

转换接口的应用友好性和应用范围可通过一个附加的设置在中立区中的外部服务器而提高。

转换接口的动态结构通过固定的、最好是周期性地和首先自发地从内部网的安全范围被更新，从而取得进一步的安全性，因为可能的来自外部网络的无权读取进行的滥用结构操纵肯定由于短的时间期而被排除，并从而排除了一个“潜行的”渗入。业已证实，慢的摇摆的干预比立即和坚实的干预——它们可以迅速被察觉和制止——有明显更大的危险性。

在发明的转换接口中，可通过相应的标定实现更好的负荷适配，以及接口位置存储器对相应负荷的匹配。

必要时在中立区内指配多个网络计算机用于更好的负荷控制。

由于同样原因，在内部网中也可指配多个网络计算机。

如果本发明转换接口设有一个CORBA-接口，在内部网范围内不同的操作系统可以一起工作，并且通过本发明转换接口被保护。

在一个特别有优点的实施形式中，整个转换接口具有一个连续的CORBA-总线结构。

转换接口内部的通信进行加密是有好处的，最好是DES加密。

在处理相应的用户查询之前可以传送一个证实请求到用户，这样转换接口能用于互联网中的正确的缔约。这样获得的用户查询或合同的再次证实保证了在电子商务范围中的无懈可击的缔约。

转换接口的全部工作借助于一个所谓联机-协议中的一个相应的联机-模块进行。在此联机-协议中全部转换和信息——如相应用户查询在等待队伍中的停留时间期，用户的ID等——被记录。

这样管理者可以监视运行情况，即时发现可能的错误，特别是揭示可能的滥用尝试。

附图说明

下面借助于一个或多个简要示于附图中的实施例详细说明本发明。附图中：

图1是转换接口的结构方框图，

图2是转换接口的详细方框图，

图3是安全交换数据的方法的流程图，以及

图4是方法过程的方框图。

具体实施方式

图1示出一个外部网1和一个内部网2，它们可通过一个转换接口3建立相互间数据连接。

外部网1大多数是互联网，而且内部网2是一个企业的内部网，通常是一个LAN-网络。转换接口3不严格被认为在两个网络之间被设置。

原则上安全的数据交换在外部网1中开始，并最后作为结果送至内部网2中的转换，它借助于图1中的虚线示出。

此外转换接口3具有一个外部防火墙4，它用于隔离中立区5和外部网2。

中立区5还通过另一个内部防火墙6与内部网2隔离。图1中的箭头仅表示相互分界的范围间的交换作用，而不表示数据流方向。

如图2详细所示，中立区5包括一个接口服务器7及一个外部服务器10。在外部服务器10在大多数情况下是一个通常的Web-服务器。此外在中立区中有一个接口存储器11，它最好作为接口服务器7的一部分。接口服务器7通过内部防火墙6与已经设置在内部网2的安全范围内的一个内部服务器12数据连接。内部服务器12通过CORBA接口13与一个或多个网络服务器14连接或者通过CORBA-总线连接分配数据库15。CORBA-总线16是一个开放的总线系统，它实现了不同的系统，以及不同的操作系统也可通过CORBA-总线16相互通信。

因此，例如Unix-或Windows-操作系统，高楼控制系统(Gebudesteuerungssysteme)或Sun-工作站可通过同一个CORBA-总线16通信。

所谓CORBA-总线-结构以有优点的设计用于转换接口3内的整个数据交换。

下面借助图3和图4说明基于来自外部网1的一个用户查询，一个所谓的请求的安全交换数据的方法的详细流程。

一个外部使用者17可通过互联网的HTP-协议，例如一个HTML-格式取得与内部网2的数据交换。他有机会在此HTML-格式中格式化其请求。HTML-格式的应用是必要的，因为在此所述安全交换数据的方法中只有规定的容许的数据转换是可能的。通过应用HTML-格式也保证了仅有这些来自外使用者17的规定的查询被格式化。HTML-格式通过一个客户-接口20，例如一个Java-控制台，加密后通过互联网，并且倘若外部使用者17提供了相应权利或口令，通过外部防火墙4抵达中立区5中的外部服务器10。外部服务器10在此情况下是一个Web-服务器。转换接口3在本发明中也可用另外的数据格式，如RMI，建立数据连接。交换也可借助于原来的浏览器-形式或用互联网中其它网络格式进行。

此查询然后不在外部服务器10上进行，而是直接抵达接口服务器7。

Web服务器10完全可以是接口服务器7的一个自己的处理器单元或一个模块。这里它不一定是一个端接的计算单元。在图4所示实施例中，中立区5主要由接口位置服务器7构成，它具有一系列模块。

图4中虚线箭头线表示一个调用，它触发被调用位置的动作，并且实箭头线表示在箭头方向上的数据流。

在输入Web服务器10后，由互联网2收到的查询首先被解密读出，并接着传送给接口服务器7。接口服务器7具有一个欢迎模块21，它用于主动证实输入或欢迎使用者17。此外，输入证实或欢迎外部使用者17通过Web-服务器10和外部防火墙4返回给用户17。

这时根据查询确定并通知使用者17，是否完成输入查询的一个同步或异步处理。在同步处理时外部网得到在同一网中的其查询结果的在线-支持。

不同的是在异步处理时，结果首先在下次在线-支持或在一个特殊过程传送给外部用户。是否完成了一个同步或异步处理的判决遵循从外部使用者17接收到的查询的强度和重要性。

现在接口服务器7开始拆开接收查询为非临界的数据包，并且放入一个等待队伍中22或22′中，它们被安排在一个接口存储器11或11′中，而存储器被设置在中立区5内。

至少在此实施例中用于使用者授权的等待队伍22与本来意义上的查询用的等候队伍22′是有区别的，一般是同一个等候队伍，然而不同的存储区。

一个常规的用户查询还包括用户ID，和一个口令，用户ID利用由使用者17在其查询中传送的口令加密，存储到等候队伍22中。

为了给使用者17授权，内部服务器12的查询上的相应使用者ID通过战胜内部防火墙6，不加密地给到内部网2范围中一个授权模块23上。

在授权模块23中利用在内部网2范围中对相应使用者ID存储的口令对使用者ID加密，并且通过内部防火墙6加密地返回到中立区5。

在中立区5中然后借助于一个设置在中立区中的接口服务器7的授权服务器24，利用由用户17输入的口令解密相应的使用者-ID，并且得到的使用者-ID与中间存储的使用者-ID比较。

对于两个ID相符的情况，处理被继续或释放，并且完成一个对外部使用者17的相应的通知。

在从外部使用者17收到的查询以相应处理格式进入等候队伍22′之前，完成查询的确认。仅仅语法正确的数据组才被输入到等候队伍中。并且处理被中断，一个相应的消息通过Web服务器10给到外部使用者17。

此外，在中立区5中一个处理协议25被引到实时进行的处理。

在接口存储器11中的等候队伍22′以规则的间隔由内部服务器12检查可能存在并且被处理的查询。

这保证了外部使用者17决不会触发安全的内部网2内的任何活动，而对输入到等候队伍22′中的查询的读取由内部服务器12一方自动完成。这是避免可能的滥用操纵的一个重要方面。

如果由内部服务器12引起的等候队伍22′的查询上在等待队伍22′内还有待处理的用户查询，则它被内部服务器12请求。在传送查询到内部服务器12之前首先完成查询的加密。在此加密按照DES方法用56比特的密钥长度进行，当然也可用其它的加密方法和密钥长度。所用密钥在一个密钥管理中被监视和不断地改变。

加密借助于一个在系统结构中建立的基本密钥完成，它作用于一个异步SSL-加密。此外利用此基本密钥完成一个同步DES-加密。

尤其是所用密钥只具有一个单独可结构的寿命。这意味着对密钥配置只开放一个窄的时间通道进行安全的数据交换。在寿命期过去后密钥不再被使用，这时一个无权进入的人可能对此密钥已破译。这样几乎排除了滥用密钥的可能性。

在传送到内部服务器12之前查询的重新加密一方面用于避免从内部雇用，即避免了在安全的内部网2中容许的用户查询的窃听。

这样所述安全的数据交换方法还预防了内部间谍活动。这样加密的查询被根据结构，内容和区域内容重新检查。

对于当时产生的查询被证实是不容许的情况，在此位置上中断后续处理，并传送相应的通知给外部使用者17。

如果查询是容许的，即对应规定的数据查询或转换，涉及的查询通过转换接口3的内部防火墙6被传送给内部服务器12。数据库查询可以根据安全性重要性和强度，通过吸收一个或多个数据库15在一个或多个服务器12、12′或12″上处理。从而所有与安全性有关的过程在内部网2的安全范围内进行。

为此，首先在处理前对抵达内部服务器12的查询解密。

在查询被处理后实现一个结果输出，它通过内部防火墙6返回到接口位置服务器7。接口位置服务器7然后实现所谓的“适配-控制”；即检查在内部网2范围内产生的结果是否与用户查询一致。如果不一致，传送一个错误消息给外部用户17。

如果一致，结果被传送到Web-服务器10，转换为一个合适的格式，并接着经过外部防火墙4传输到互联网1给外部使用者17。从而通过利用本发明的转换接口3实现了完全的数据转换。

转换接口3还具有一个动态负荷控制，它使得转换接口3对相应“业务量”的适配成为可能。此外如图4所示，根据业务量完成一个与负荷有关的接口存储器11′的定标。在图4中这表示为可能的多个重复的参考符号11′表示的范围。

这意味着，接口服务器7按照所加的负荷将相应进入的查询排到等候队伍11或11′中，并且按需要起动后面的过程，即激活并行的等候队伍11′，使它们并行地工作。为此在中立区5中可有多个接口服务器7，7′或服务器范围，它们根据负荷被激活。其中或者是Web-服务器10，或者是外部防火墙4的一个模块，或者是接口服务器7的负荷控制模块26承担负荷控制工作。

上述负荷管理最好如图4那样也支持内部网2范围中的相应负荷控制。

这样可以根据所加负荷激活或关闭多个内部服务器12，12′，并且激活附加的数据库15，以处理在内部网2范围内的输入查询。

这里这是有帮助的：整个转换接口3具有一个通行的CORBA-总线-结构，从而每个查询可以对应一个或多个服务过程。

在内部网2一侧活动的内部服务器12为此具有一个CORBA-接口13。

系统中所用的内部和外部防火墙4和6可以是完全传统的软件产品。

CORBA-总线还使得在内部网-侧连接不同的操作系统，如Windows，NT或Unix.

上述转换接口3的专门结构可以满足与有效缔约有关的，在电子商务范围所要求的最低需要。一个经过Web-服务器10传送到接口服务器7的查询首先被检查：是否这是一个签约的查询。如果它是这种查询，一个所述的设置在接口服务器7上的签约模块在进一步处理之前首先安排一个证实查询到外部使用者，并且仅在这个证实通过Web-服务器10到达的情况下，如上述的后续处理才进行。

接口服务器7还有一个联机-模块，它协调转换接口3的整个转换过程。这样整个过程可被一个管理人员不断地监视，并且必要时立即发现错误或滥用企图。

管理人员仅坐在内部网2的范围内。转换接口的构成可只在这里完成。

如此给出了用于在两个不同的网络1，2之间安全交换数据的方法和转换接口3，它在网络1和2完全没有关联的情况下以高性能工作，并且不可能出现从外部以及内部的滥用。

                          符号表

1外部网  2内部网  3转换接口  4外部防火墙  5中立区  6内部防火墙  7接口服务器  10外部服务器  11接口存储器  12，12′，12″内部服务器  13CORBA-接口  14网络服务器  15数据库  17外部使用者  20顾客-接口  21欢迎模块  22，22′等候队伍  23授权模块  24授权服务器  25会议协议  26负荷控制模块

Claims (30)

1.通过一个转换接口(3)实现一个外部网和一个内部网(1和2)之间安全交换数据的方法，其中一个外部使用者可在内部网(2)内部进行规定的数据转换，转换接口(3)包括

——在外部网(1)中的一个入口，

——一个在读取方向上位于后面的中立区(5)，它至少配置有：

——一个接口服务器(7)和

——一个接口存储器(11)，以及

——一个内部服务器(12)，它已被设置在内部网(2)中，其特征在于，

——外部使用者(17)的查询，它们由接口服务器(7)处理内部网(2)中的数据转换，并且以规定格式中间存储在接口存储器(11)中，并且

——接口存储器(11)只被内部服务器(12)以规定的频率查询，以及

——包括用户授权在内的整个处理在内部网(2)中完成。

2.如权利要求1所述的方法，其特征在于，以下步骤被执行：

——可能经过入口输入的用户查询被设置在中立区(5)中的接口服务器(7)读出，并且必要时被应答，

——其中可能的应答被传送给使用者，

——接口服务器(7)通过与大量规定的容许查询的比较检查此查询的容许性及其语法正确性，并且在错误的情况下拒绝此查询，否则进行如下的进一步处理，

——在进一步处理的情况下，接口服务器(7)将此查询放置到一个等候队列(22、22′)中，此队列置于接口存储器(11)中，

——此等候队列(22，22′)以规定的频率被内部服务器(12)查询，

——其中响应此查询上将被处理的请求传送到内部网(2)中，

——然后在内部网(2)中进行包括使用者(17)的授权在内的整个处理，

——结果被返送回接口服务器(7)，并且

——检查结果和查询是否相符，

——在肯定的情况下给使用者(17)一个答复。

3.如权利要求1或2所述的方法，其特征在于，从外部网(1)来的用户查询在应用一个外部防火墙(4)的条件下给到中立区(5)。

4.如权利要求3所述的方法，其特征在于，中立区(5)和内部网(2)之间的数据交换在穿过一个内部防火墙(6)的条件下进行。

5.如权利要求4所述的方法，其特征在于，在中立区(5)中附加配置一个外部服务器(10)，最好是一个Web-服务器，其中至少用户查询的一部分通过这个外部服务器(10)被传送给接口服务器(7)。

6.如权利要求5所述的方法，其特征在于，在接口存储器(11)的等候队列(22，22′)中接收的查询在直至完全处理之前或直至一个规定的时间行程之前一直被存储着。

7.如权利要求6所述的方法，其特征在于，等候队列-查询的频率根据用户查询的数量和/或重要性借助于一个相应的频率控制来改变。

8.如权利要求7所述的方法，其特征在于，根据用户查询的数量和/或重要性，起动或关闭接口服务器(7)和/或内部服务器(12)中的并行过程。

9.如权利要求8所述的方法，其特征在于，在中立区(5)中配置多个接口服务器(7)，它们按照用户查询的数量和/或重要性被激活或关闭，并且这里所要求的负荷控制借助于外部服务器(10)和/或借助于外部防火墙(4)的一个负荷控制模块实现。

10.如权利要求8所述的方法，其特征在于，在内部网(2)中设置多个内部服务器(12)，它们根据用户查询的数量和/或重要性被激活或关闭，并且这里要求的负荷控制借助于内部防火墙(6)的一个负荷控制模块实现。

11.如权利要求9所述的方法，其特征在于，在内部网(2)中设置多个内部服务器(12)，它们根据用户查询的数量和/或重要性被激活或关闭，并且这里要求的负荷控制借助于内部防火墙(6)的一个负荷控制模块实现。

12.如权利要求11所述的方法，其特征在于，用户查询在其被传送到内部网(2)之前在中立区(5)中被加密。

13.如权利要求12所述的方法，其特征在于，为加密所使用的各密钥具有可单独规定的寿命。

14.如权利要求13所述的方法，其特征在于，用户(17)的授权独立于用于查询的其它处理完成。

15.如权利要求14所述的方法，其特征在于，为了实现用户(17)的授权，下面的步骤被执行：

-在中立区(5)内从用户查询中分选出一个用户-ID和一个用户口令，

-在内部网(2)的查询上传送用户-ID到内部网(2)中，

-使用内部网(2)中对于此用户-ID所存储的口令，在内部网(2)中加密用户-ID，

-并且返送这种加密的用户-ID给中立区(5)，

-使用用户(17)所输入的、并且中间存储在中立区(5)中的口令，解密此从内部网(2)返送回来的用户-ID，

-将解密的用户-ID与用户输入的用户-ID进行比较，在相符的情况下进行授权，在不相符的情况下不予授权，并且根据比较结果继续处理或者不继续处理此用户查询。

16.用于在一个外部网和一个内部网(1和2)之间安全交换数据的转换接口，其中外部使用者(17)可触发在内部网(2)中的规定的数据转换，并且转换接口(3)包括：

-一个中立区(5)，它设置在读取方向上外部网(1)中一个入口的后面，并且它具有至少一个接口服务器(7)，以及

-具有至少一个接口存储器(11)，

-至少一个内部服务器(12)，它被配置在内部网(2)中，其特征在于，

-在接口存储器(11)中设置一个等候队列(22，22′)，用于中间存储用户查询，

-所述等候队列可以通过规定的频率由内部服务器(12)来查询，并且

-在传送相应的已处理的查询到内部网(2)之后，包括用户授权在内的整个查询的处理在内部网(2)中进行。

17.如权利要求16所述的转换接口，其特征在于，中立区(5)相对于外部网(1)借助于一个外部防火墙(4)隔离。

18.如权利要求16或17所述的转换接口，其特征在于，内部网(2)相对于中立区(5)借助于一个内部防火墙(6)隔离。

19.如权利要求16所述的转换接口，其特征在于，在中立区(5)中还附加配置一个外部服务器(10)，它可由外部网(1)直接开启或通过接口服务器(7)间接开启，用于处理用户查询。

20.如权利要求16所述的转换接口，其特征在于，转换接口(3)的动态结构在可规定的时间间隔内从内部网(2)自发地被更新。

21.如权利要求16所述的转换接口，其特征在于，在中立区(5)中存储的数据在可规定的时间间隔内从内部网(2)自发地被更新。

22.如权利要求16所述的转换接口，其特征在于，接口存储器(11)可如此定标：由外部网(1)输入的用户查询根据容量和紧迫性相应归入接口服务器(7)的等候队列(22，22′)中，并且必要时可激活附加的过程。

23.如权利要求22所述的转换接口，其特征在于，在中立区(5)内设置多个网络计算机，其上分别设置一个接口服务器(7)，并且可以根据用户查询的数量和/或重要性激活或关闭附加的服务器(7)，其中负荷控制由外服务器(10)和/或外部防火墙(4)实现。

24.如权利要求21或22所述的转换接口，其特征在于，在内部网(2)的范围内设置多个网络计算机，它们分别具有一个内部服务器(12)，它们可根据用户查询的数量和重要性而被激活或关闭，其中负荷控制由内部防火墙(6)或一个或多个接口服务器(7)实现。

25.如权利要求16所述的转换接口，其特征在于，内部服务器(12)通过CORBA-总线与内部网(2)通信。

26.如权利要求25所述的转换接口，其特征在于，整个转换接口(3)通过连续的CORBA-总线系统进行数据连接。

27.如权利要求16所述的转换接口，其特征在于，全部内部接口通信进行SSL-加密，最好是DES-加密。

28.如权利要求16所述的转换接口，其特征在于，接口服务器(7)在放入某个用户查询之前，传输一个证实查询给使用者(17)，并且在输入了证实之后才进行后续处理。

29.如权利要求16所述的转换接口，其特征在于，借助于一个联机-模块存储一个联机-协议，它描绘全部在转换接口(3)上进行的转换。

30.如权利要求16所述的转换接口，其特征在于，接口服务器(7)的结构可以仅由内部网(2)来实现。

Images