EP4327506A1 - Managing keys for secure communication between communication subscribers via a separate communication channel - Google Patents

Managing keys for secure communication between communication subscribers via a separate communication channel

Info

Publication number
EP4327506A1
EP4327506A1 EP22735346.3A EP22735346A EP4327506A1 EP 4327506 A1 EP4327506 A1 EP 4327506A1 EP 22735346 A EP22735346 A EP 22735346A EP 4327506 A1 EP4327506 A1 EP 4327506A1
Authority
EP
European Patent Office
Prior art keywords
communication
participant
secure
network
channel
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
EP22735346.3A
Other languages
German (de)
French (fr)
Inventor
Konstantinos Dalamagkidis
Max Tuengerthal
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Siemens Mobility GmbH
Original Assignee
Siemens Mobility GmbH
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Siemens Mobility GmbH filed Critical Siemens Mobility GmbH
Publication of EP4327506A1 publication Critical patent/EP4327506A1/en
Pending legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0819—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s)
    • H04L9/0827—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s) involving distinctive intermediate devices or communication paths
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/84—Vehicles

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Small-Scale Networks (AREA)
  • Mobile Radio Communication Systems (AREA)

Abstract

The invention relates to a method and a system (1) for managing keys for secure communication between a plurality of communication subscribers (2, 4, 6). In the method, the secure communication is carried out (C, CC) via a first communication channel (10) between the plurality of communication subscribers (2, 4, 6). Communication for managing keys via a second communication channel (20), which is separate from the first communication channel (10), is carried out (B, BB) between a first communication subscriber (4, 6) of the plurality of communication subscribers, which comprises a client device (14, 16), and a key management server device (22).

Description

Beschreibung description
Verwalten von Schlüsseln für eine sichere Kommunikation zwischen Kommunikationsteilnehmern über einen getrennten Kommunikationskanal Management of keys for secure communication between communication participants via a separate communication channel
Die Erfindung betrifft ein Verfahren und ein System zum Verwalten von Schlüsseln für eine sichere Kommunikation zwischen mehreren Kommunikationsteilnehmern. The invention relates to a method and a system for managing keys for secure communication between a number of communication participants.
Virtuelle private Netzwerke (fachmännisch genannt VPN: Virtual Private Networks (technically called VPN:
Virtual Private Network) sind grundsätzlich bekannt und stellen Netzwerkverbindungen zur Verfügung, die von unbeteiligten Kommunikationsteilnehmern nicht einsehbar sind. Mit anderen Worten: Unbeteiligte Kommunikationsteilnehmer haben keinen Zugriff auf das virtuelle private Netzwerk. Virtual Private Network) are known in principle and provide network connections that are not visible to uninvolved communication participants. In other words: uninvolved communication participants have no access to the virtual private network.
Ein Beispiel für eine Software zum Aufbau eines virtuellen privaten Netzwerks ist OpenVPN. Dabei werden Zertifikate eingesetzt, die mit Hilfe einer Zertifizierungsstelle (CA: Certificate Authority) validiert werden. Auf diese Weise ist es möglich, die Zertifikate eines Servers und eines mit dem Server über das virtuelle private Netzwerk kommunizierenden Clients unabhängig voneinander zu verwalten, insbesondere regelmäßig zu erneuern. An example of software for building a virtual private network is OpenVPN. Certificates are used that are validated with the help of a certification authority (CA: Certificate Authority). In this way it is possible to manage, in particular to regularly renew, the certificates of a server and of a client communicating with the server via the virtual private network independently of one another.
Vor diesem Hintergrund ist es Aufgabe der Erfindung, ein verbessertes Verfahren zur Verwaltung von Schlüsseln für eine sichere Kommunikation zwischen Kommunikationsteilnehmern anzugeben . Against this background, the object of the invention is to specify an improved method for managing keys for secure communication between communication participants.
Diese Aufgabe wird durch ein Verfahren zum Verwalten von Schlüsseln für eine sichere Kommunikation zwischen mehreren Kommunikationsteilnehmern gelöst, bei welchem die sichere Kommunikation über einen ersten Kommunikationskanal zwischen den mehreren Kommunikationsteilnehmern erfolgt. Eine Kommunikation zum Verwalten von Schlüsseln erfolgt über einen zweiten Kommunikationskanal zwischen einem ersten Kommunikationsteilnehmer der mehrerenThis object is achieved by a method for managing keys for secure communication between multiple communication participants, in which secure communication takes place via a first communication channel between the multiple communication participants. A communication for managing keys takes place via a second communication channel between a first Communication participants of the several
Kommunikationsteilnehmer , welcher eine Clienteinrichtung umfasst, und einer Schlüsselverwaltungs-Servereinrichtung. Der zweite Kommunikationskanal ist von dem ersten Kommunikationskanal getrennt. Communication participant, which comprises a client device, and a key management server device. The second communication channel is separate from the first communication channel.
Mit der Erfindung wurde erkannt, dass es Verfahren zur sicheren Kommunikation gibt, die keinen Mechanismus zum Verwalten von Schlüsseln für die sichere Kommunikation aufweisen. Ein Verfahren dieser Art ist beispielsweise WireGuard. Eine Verwendung dieser Art von Verfahren zur sicheren Kommunikation ist jedoch in vielen Anwendungen wünschenswert, da diese performanter sein können und einen geringeren Konfigurationsaufwand erfordern. Das erfindungsgemäße Verfahren schafft für diese Art von Verfahren eine Lösung zum Verwalten der Schlüssel (über den zweiten Kommunikationskanal mit einer Schlüsselverwaltungs- Servereinrichtung) . With the invention it was recognized that there are methods for secure communication that have no mechanism for managing keys for secure communication. A method of this type is WireGuard, for example. However, using this type of method for secure communication is desirable in many applications, since these can be more performant and require less configuration effort. The method according to the invention creates a solution for managing the keys (via the second communication channel with a key management server device) for this type of method.
Insbesondere wurde erkannt, dass Verfahren, die keinen Mechanismus zum Verwalten von Schlüsseln aufweisen, häufig über einen Fernzugriff mit geänderten (neuen) Schlüsseln versorgt werden müssen. Die erfindungsgemäße Lösung stellt demgegenüber eine Möglichkeit zur selbstständigen Verwaltung von Schlüsseln (ohne Fremdeingriff) dar. Dies ist besonders vorteilhaft in Szenarien, in denen ein Fremdeingriff nicht ständig möglich ist (beispielsweise aufgrund von zeitweise fehlender Konnektivität). In particular, it was recognized that methods that do not have a mechanism for managing keys often have to be supplied with changed (new) keys via remote access. In contrast, the solution according to the invention represents a possibility for independent management of keys (without external intervention). This is particularly advantageous in scenarios in which external intervention is not constantly possible (for example due to a temporary lack of connectivity).
Zudem basiert die Erfindung auf der Erkenntnis, dass während der Verwaltung von Schlüsseln, insbesondere bei einem Austausch der Schlüssel, beide Kommunikationsteilnehmer ihre Schlüssel aktualisieren müssen. Dafür ist eine Synchronisation zwischen der Schlüsselverwaltungs- Servereinrichtung und der Clienteinrichtung erforderlich. Diese Synchronisation kann die eigentliche sicherer Kommunikation beeinträchtigen. Beispielsweise kann eine Unterbrechung der sicheren Kommunikation für die Synchronisation erforderlich sein. In addition, the invention is based on the knowledge that during the management of keys, in particular when the keys are exchanged, both communication participants have to update their keys. This requires synchronization between the key management server device and the client device. This synchronization can affect the actual secure communication. For example, a Interruption of safe communication may be required for synchronization.
Das erfindungsgemäße Verfahren behebt diese weiteren Probleme, indem die Kommunikation zum Verwalten von Schlüsseln über einen zweiten Kommunikationskanal zwischen einem ersten Kommunikationsteilnehmer und der Schlüsselverwaltungs-Servereinrichtung erfolgt. Der zweite Kommunikationskanal ist von dem ersten Kommunikationskanal getrennt . The method according to the invention eliminates these further problems in that the communication for managing keys takes place via a second communication channel between a first communication participant and the key management server device. The second communication channel is separate from the first communication channel.
Auf diese Weise kann eine Verwaltung von Schlüsseln ausgeführt werden, bei der die eigentliche sichere Kommunikation gar nicht oder zumindest in geringerem Umfang beeinträchtigt wird. In this way, keys can be managed in which the actual secure communication is not impaired at all or at least to a lesser extent.
Die sichere Kommunikation ist beispielsweise eine verschlüsselte Kommunikation. Vorzugsweise erfolgt die sichere Kommunikation über ein virtuelles privates Netzwerk (VPN: Virtual Private Network). The secure communication is, for example, an encrypted communication. The secure communication preferably takes place via a virtual private network (VPN: Virtual Private Network).
Die mehreren Kommunikationsteilnehmer sind beispielsweise Endgeräte, die datentechnisch mit einem Kommunikationsnetz verbunden sind und über dieses Kommunikationsnetz miteinander kommunizieren . The multiple communication participants are, for example, terminals that are connected to a communication network in terms of data technology and communicate with one another via this communication network.
Die Kommunikation zum Verwalten von Schlüsseln über den zweiten Kommunikationskanal erfolgt vorzugsweise unter Anwendung von HTTPS (Hypertext Transfer Protocol Secure). Beispielsweise baut jeder erste Kommunikationsteilnehmer, welcher als Client agiert, eine HTTPS-Verbindung mit der Schlüsselverwaltungs-Servereinrichtung auf. Dabei authentifiziert sich der Kommunikationsteilnehmer mit Hilfe eines X.509-Client-Zertifikats und beantragt einen Schlüssel. Die Schlüsselverwaltungs-Servereinrichtung validiert die Validität des Zertifikats und antwortet (basierend auf einem darin enthaltenen gemeinsamen Namen) mit einem entsprechenden Schlüssel für den Kommunikationsteilnehmer. Der Fachmann versteht unter X.509-Client-Zertifikat vorzugsweise ein digitales Zertifikat gemäß dem Standard ISO/IEC 9594-8. The communication for managing keys via the second communication channel preferably takes place using HTTPS (Hypertext Transfer Protocol Secure). For example, each first communication participant, who acts as a client, establishes an HTTPS connection with the key management server device. The communication participant authenticates himself with the help of an X.509 client certificate and applies for a key. The key management server device validates the validity of the certificate and responds (based on a common name contained therein) with a corresponding key for the communication party. The person skilled in the art understands X.509 client certificate to be preferably a digital certificate in accordance with the ISO/IEC 9594-8 standard.
Um die Datenübertragungsmengen zu reduzieren, kann die Schlüsselverwaltungs-Servereinrichtung HTTP-Caching über die Cachekontrolle und HTTP-ETag unterstützen. Dadurch wird der Kommunikationsteilnehmer in die Lage versetzt, den Schlüssel für eine vorgegebene Zeitdauer zu speichern und Datenübertragungsmengen zu reduzieren, wenn der Schlüssel sich nicht geändert hat. Diese Reduktion derIn order to reduce data transfer amounts, the key management server device can support HTTP caching via cache control and HTTP ETag. This enables the communication partner to store the key for a predetermined period of time and to reduce data transmission amounts if the key has not changed. This reduction of
Datenübertragungsmengen ist von besonderer Bedeutung, da das Verwalten von Schlüsseln auf diese Weise effizienter gestaltet wird. Dies führt wiederum zu einer Verringerung der Beeinträchtigung der eigentlichen (sicheren) Kommunikation über den ersten Kommunikationskanal. Data transfer volume is of particular importance as it makes managing keys more efficient. This in turn leads to a reduction in the impairment of the actual (secure) communication via the first communication channel.
Gemäß einer bevorzugten Ausführungsform des erfindungsgemäßen Verfahrens erfolgt die sichere Kommunikation über ein virtuelles privates Netzwerk und der zweiteAccording to a preferred embodiment of the method according to the invention, the secure communication takes place via a virtual private network and the second
Kommunikationskanal liegt außerhalb des virtuellen privaten Netzwerks. Dies stellt eine besonders zweckmäßige Ausführungsform des erfindungsgemäßen Verfahrens dar. Communication channel is outside of the virtual private network. This represents a particularly expedient embodiment of the method according to the invention.
Das virtuelle private Netzwerk wird fachmännisch häufig in englischer Sprache als „virtual private network" bezeichnet und VPN abgekürzt. Die Kommunikationsverbindung zwischen zwei Kommunikationsteilnehmern, die durch das virtuelle private Netzwerk geschaffen wird, wird häufig als VPN-Tunnel bezeichnet . The virtual private network is often referred to as "virtual private network" and abbreviated as VPN. The communication connection between two communication participants that is created by the virtual private network is often referred to as a VPN tunnel.
Bei einer weiteren bevorzugten Ausführungsform des erfindungsgemäßen Verfahrens erfolgt die sichere Kommunikation zwischen dem ersten Kommunikationsteilnehmer und einem zweiten Kommunikationsteilnehmer, welcher eine WireGuard-Servereinrichtung umfasst, unter Anwendung von WireGuard . Diese Ausführungsform basiert auf der Erkenntnis, dass ein auf WireGuard basiertes virtuelles privates Netzwerk bisher keinen Mechanismus zum Verwalten, insbesondere dem Austausch, von Schlüsseln aufweist und die Anwendung von WireGuard demnach darauf basiert, dass Schlüssel bereits verteilt wurden. Demnach ist die Anwendung des erfindungsgemäßen Verfahrens bei einem zweiten Kommunikationsteilnehmer, welcher eine WireGuard-Servereinrichtung umfasst und bei welcher die sichere Kommunikation unter Anwendung von WireGuard erfolgt, besonders vorteilhaft. In a further preferred embodiment of the method according to the invention, the secure communication between the first communication participant and a second communication participant, which includes a WireGuard server device, takes place using WireGuard. This embodiment is based on the finding that a virtual private network based on WireGuard has not yet had a mechanism for managing, in particular for exchanging, keys and the use of WireGuard is therefore based on the fact that keys have already been distributed. Accordingly, the application of the method according to the invention is particularly advantageous for a second communication participant, which includes a WireGuard server device and in which the secure communication takes place using WireGuard.
Die Formulierung „unter Anwendung von WireGuard" ist vorzugsweise dahingehend zu verstehen, dass das WireGuard- Protokoll bei der sicheren Kommunikation angewendet wird. The wording "using WireGuard" should preferably be understood to mean that the WireGuard protocol is used for secure communication.
Nach einer bevorzugten Weiterbildung dieser Ausführungsform umfasst der zweiten Kommunikationsteilnehmer die Schlüsselverwaltungs-Servereinrichtung . Mit anderen Worten: Der zweite Kommunikationsteilnehmer dient zum einen zur sicheren Kommunikation mit dem erstenAccording to a preferred development of this embodiment, the second communication participant includes the key management server device. In other words: the second communication participant is used for secure communication with the first
Kommunikationsteilnehmer über den ersten Kommunikationskanal. Gleichzeitig kann der zweite Kommunikationsteilnehmer für die Verwaltung der Schlüssel über den zweiten Kommunikationskanal vorgesehen sein. Vorzugsweise umfasst der erste Kommunikationsteilnehmer eine Schlüsselverwaltungs- Clienteinrichtung, die für die Verwaltung der Schlüssel, insbesondere den Austausch von Schlüsseln mit der Schlüsselverwaltungs-Servereinrichtung, vorgesehen ist. Communication participants via the first communication channel. At the same time, the second communication participant can be provided for managing the key via the second communication channel. The first communication participant preferably includes a key management client device which is provided for managing the keys, in particular for exchanging keys with the key management server device.
Die oben beschriebene WireGuard-Servereinrichtung und die Schlüsselverwaltungs-Servereinrichtung können jeweils eine Softwarekomponente des zweiten Kommunikationsteilnehmers sein. Analog können die Clienteinrichtung und die Schlüsselverwaltungs-Clienteinrichtung jeweils eine Softwarekomponente des ersten Kommunikationsteilnehmers sein. Der zweite Kommunikationskanal kann beispielsweise ein physikalisch von dem ersten Kommunikationskanal getrennter Kommunikationskanal sein. Nach einer bevorzugten Ausführungsform ist der zweite Kommunikationskanal logisch von dem ersten Kommunikationskanal getrennt. The WireGuard server device described above and the key management server device can each be a software component of the second communication participant. Analogously, the client device and the key management client device can each be a software component of the first communication participant. The second communication channel can be, for example, a communication channel that is physically separate from the first communication channel. According to a preferred embodiment, the second communication channel is logically separated from the first communication channel.
Auf diese Weise kann der zweite Kommunikationskanal auf demselben Kommunikationsnetz wie der erste Kommunikationskanal liegen. Das gemeinsame Kommunikationsnetz, auf dem der erste und zweite Kommunikationskanal liegt, ist beispielsweise ein Ethernet- Netzwerk . In this way, the second communication channel can be on the same communication network as the first communication channel. The common communication network on which the first and second communication channel is located is an Ethernet network, for example.
Der erste Kommunikationskanal für die sichere Kommunikation wendet beispielsweise das WireGuard-Protokoll an. Die logische Trennung wird beispielsweise dadurch erzielt, dass die Kommunikation zum Verwalten von Schlüsseln über den zweiten Kommunikationskanal unter Anwendung von HTTPS erfolgt . The first communication channel for secure communication uses the WireGuard protocol, for example. The logical separation is achieved, for example, in that the communication for managing keys takes place via the second communication channel using HTTPS.
Bei einer weiteren bevorzugten Ausführungsform des erfindungsgemäßen Verfahrens sind dieIn a further preferred embodiment of the method according to the invention
Kommunikationsteilnehmer als Endgeräte ausgebildet, die datentechnisch mit einem Kommunikationsnetz eines Fahrzeugs und/oder einem landseitigen Kommunikationsnetz, welches zur Kommunikation mit dem Kommunikationsnetz des Fahrzeugs dient, verbunden sind. Communication participants designed as terminals that are technically connected to a communication network of a vehicle and / or a land-based communication network, which is used for communication with the communication network of the vehicle.
Dies stellt eine besonders zweckmäßige Anwendung des erfindungsgemäßen Verfahrens dar. Denn insbesondere bei der Anwendung des erfindungsgemäßen Verfahrens für den Betrieb eines Fahrzeugs ist die Verwaltung von Schlüsseln über einen getrennten zweiten Kommunikationskanal besonders vorteilhaft, da die Beeinträchtigung der sicheren Kommunikation über den ersten Kommunikationskanal den Betrieb des Fahrzeugs beeinträchtigen kann. Auch ein Fernzugriff, der der Verwaltung von Schlüsseln dienen soll, ist bei der Anwendung in einem Fahrzeug (aufgrund der zeitweisen fehlenden Konnektivität) nachteilig. Aus diesem Grund ist das erfindungsgemäße Verfahren besonders zweckmäßig für einen teilautomatisierten oder automatisierten Betrieb eines Fahrzeugs für den auch die Verwaltung der Schlüssel selbstständig erfolgen kann. This represents a particularly useful application of the method according to the invention. In particular when using the method according to the invention for the operation of a vehicle, the management of keys via a separate second communication channel is particularly advantageous, since the impairment of secure communication via the first communication channel impairs the operation of the vehicle. Remote access, which is intended to manage keys, is also possible when used in a vehicle (due to the temporarily missing connectivity) disadvantageous. For this reason, the method according to the invention is particularly expedient for partially automated or automated operation of a vehicle for which the keys can also be managed independently.
Vorzugsweise sind die Endgeräte drahtgebunden an das Kommunikationsnetz des Fahrzeugs und/oder an das landseitige Kommunikationsnetz angeschlossen. The terminals are preferably connected to the communication network of the vehicle and/or to the land-based communication network by wire.
Gemäß einer bevorzugten Weiterbildung ist das Fahrzeug ein spurgebundenes Fahrzeug, insbesondere ein Schienenfahrzeug. According to a preferred development, the vehicle is a track-bound vehicle, in particular a rail vehicle.
Nach einer weiteren bevorzugten Ausführungsform des erfindungsgemäßen Verfahrens umfasst der erste Kommunikationsteilnehmer eine Schlüsselverwaltung- Clienteinrichtung, wobei ein privater und ein öffentlicher Schlüssel für die sichere Kommunikation mittels der Schlüsselverwaltungs-Clienteinrichtung erzeugt wird und der öffentliche Schlüssel über den zweiten Kommunikationskanal an die Schlüsselverwaltung-Servereinrichtung gesendet wird. According to a further preferred embodiment of the method according to the invention, the first communication participant comprises a key management client device, with a private and a public key for secure communication being generated by means of the key management client device and the public key being sent to the key management server device via the second communication channel .
Bei dieser für die Anwendung des erfindungsgemäßen Verfahrens zweckmäßigen Konstellation ist der ersteIn this constellation, which is expedient for the application of the method according to the invention, the first
Kommunikationsteilnehmer in der Lage, einen privaten und öffentlichen Schlüssel selbst zu erzeugen. Der erzeugte Schlüssel wird an die Schlüsselverwaltungs-Servereinrichtung gesendet. Vorzugsweise quittiert die Schlüsselverwaltungs- Servereinrichtung den Erhalt des Schlüssels und versendet öffentliche Schlüssel weiterer Kommunikationsteilnehmern an den ersten Kommunikationsteilnehmer. Communication participants able to generate a private and public key itself. The generated key is sent to the key management server device. The key management server device preferably acknowledges receipt of the key and sends public keys from other communication participants to the first communication participant.
Der Fachmann versteht die Begriffe „privater" und „öffentlicher" Schlüssel vorzugsweise im Sinne einer asymmetrischen Verschlüsselung (auch Public-Key- Verschlüsselungsverfahren genannt). Bei einer weiteren bevorzugten Ausführungsform des erfindungsgemäßen Verfahrens wird ein privater und ein öffentlicher Schlüssel für die sichere Kommunikation mittels der Schlüsselverwaltungs-Servereinrichtung erzeugt und zumindest der private (und vorzugsweise öffentliche)The person skilled in the art understands the terms “private” and “public” key preferably in the sense of an asymmetric encryption (also called public-key encryption method). In a further preferred embodiment of the method according to the invention, a private and a public key for secure communication are generated by means of the key management server device and at least the private (and preferably public)
Schlüssel über den zweiten Kommunikationskanal an den ersten Kommunikationsteilnehmer gesendet. Key sent over the second communication channel to the first communication participant.
Bei dieser für die Anwendung des erfindungsgemäßen Verfahrens besonders zweckmäßigen Konstellation ist der erste Kommunikationsteilnehmer selbst nicht in der Lage, einen privaten Schlüssel zu erzeugen. Dies ist beispielsweise häufig bei Kommunikationsteilnehmern der Fall, die als eingebettete Geräte ausgebildet sind und keinen eigenen Zufallszahlengenerator aufweisen. Der erzeugte Schlüssel (insbesondere der private und öffentliche Schlüssel) wird an den ersten Kommunikationsteilnehmer gesendet. Zusätzlich werden vorzugsweise öffentliche Schlüssel weiterer Kommunikationsteilnehmer an den ersten Kommunikationsteilnehmer gesendet. In this constellation, which is particularly expedient for the application of the method according to the invention, the first communication participant is not able to generate a private key himself. This is often the case, for example, with communication participants that are in the form of embedded devices and do not have their own random number generator. The generated key (in particular the private and public key) is sent to the first communication participant. In addition, preferably public keys of other communication participants are sent to the first communication participant.
Die Erfindung betrifft ferner ein Computerprogramm, umfassend Programmbefehle, die bei der Ausführung des Programms durch eine Recheneinrichtung diese verlassen, das Verfahren der vorstehend beschriebenen Art auszuführen. Die Erfindung betrifft ferner ein Computerprogrammprodukt mit einem Computerprogramm der vorstehend beschriebenen Art. The invention also relates to a computer program, comprising program instructions which, when the program is executed by a computing device, leave the latter in order to carry out the method of the type described above. The invention also relates to a computer program product with a computer program of the type described above.
Die Erfindung betrifft ferner eine Bereitstellungsvorrichtung für das Computerprogramm der vorstehend beschriebenen Art.The invention also relates to a provision device for the computer program of the type described above.
Die Bereitstellungsvorrichtung ist beispielsweise eine Speichereinheit, die das Computerprogramm speichert und/oder bereitstellt. Alternativ und/oder zusätzlich ist die Bereitstellungsvorrichtung beispielsweise ein Netzwerkdienst, ein Computersystem, ein Serversystem, insbesondere ein verteiltes, beispielsweise cloudbasiertes Computersystem und/oder virtuelles Rechnersystem, welches das Computerprogramm vorzugsweise in Form eines Datenstroms speichert und/oder bereitstellt. The provision device is, for example, a memory unit that stores and/or provides the computer program. Alternatively and/or additionally, the provision device is, for example, a network service, a computer system, a server system, in particular a distributed, for example cloud-based computer system and/or virtual computer system, which Computer program preferably stores and / or provides in the form of a data stream.
Die Bereitstellung erfolgt in Form eines Programmdatenblocks als Datei, insbesondere als Downloaddatei, oder als Datenstrom, insbesondere als Downloaddatenstrom, des Computerprogramms. Diese Bereitstellung kann beispielsweise aber auch als partieller Download erfolgen, der aus mehreren Teilen besteht. Ein solches Computerprogramm wird beispielsweise unter Verwendung derThe provision takes place in the form of a program data block as a file, in particular as a download file, or as a data stream, in particular as a download data stream, of the computer program. However, this provision can also be made, for example, as a partial download consisting of several parts. Such a computer program is, for example, using the
Bereitstellungsvorrichtung in ein System eingelesen, sodass das erfindungsgemäße Verfahren auf einem Computer zur Ausführung gebracht wird. Provisioning device read into a system, so that the inventive method is carried out on a computer for execution.
Die Erfindung betrifft ferner ein System zum Verwalten von Schlüsseln für eine sichere Kommunikation zwischen mehreren Kommunikationsteilnehmern . Das System umfasst einen ersten Kommunikationskanal, welcher ausgebildet ist, eine sichere Kommunikation zwischen den mehreren Kommunikationsteilnehmern zu unterstützen. Das System umfasst ferner einen zweiten Kommunikationskanal, welcher von dem ersten Kommunikationskanal getrennt und ausgebildet ist, eine Kommunikation zum Verwalten von Schlüsseln zwischen einem ersten Kommunikationsteilnehmer der mehreren Kommunikationsteilnehmer , welcher eine Clienteinrichtung umfasst, und einer Schlüsselverwaltungs-Servereinrichtung zu unterstützen . The invention also relates to a system for managing keys for secure communication between a number of communication participants. The system includes a first communication channel, which is designed to support secure communication between the multiple communication participants. The system also includes a second communication channel, which is separate from the first communication channel and is designed to support communication for managing keys between a first communication participant of the plurality of communication participants, which comprises a client device, and a key management server device.
Gemäß einer bevorzugten Ausführungsform des erfindungsgemäßen Systems ist der erste Kommunikationsteilnehmer datentechnisch an ein Kommunikationsnetz eines Fahrzeugs angeschlossen und der zweite Kommunikationsteilnehmer datentechnisch an ein landseitiges Kommunikationsnetz, welches zur Kommunikation mit dem Kommunikationsnetz des Fahrzeugs dient, angeschlossen . According to a preferred embodiment of the system according to the invention, the first communication participant is connected in terms of data to a communication network of a vehicle and the second communication participant is connected in terms of data to a land-based communication network which is used for communication with the communication network of the vehicle.
Nach einer weiteren bevorzugten Ausführungsform des erfindungsgemäßen Systems ist der erste Kommunikationsteilnehmer datentechnisch an ein landseitiges Kommunikationsnetz, welches zur Kommunikation mit einem Kommunikationsnetz eines Fahrzeugs dient, angeschlossen und der zweite Kommunikationsteilnehmer datentechnisch an ein Kommunikationsnetz des Fahrzeugs angeschlossen. According to a further preferred embodiment of the system according to the invention is the first Communication participants connected in terms of data to a land-based communication network, which is used for communication with a communication network of a vehicle, and the second communication participant connected in terms of data to a communication network of the vehicle.
Zu Vorteilen, Ausführungsformen und Ausgestaltungsdetails des erfindungsgemäßen Computerprogramms, der erfindungsgemäßen Bereitstellungsvorrichtung und des erfindungsgemäßen Systems kann auf die vorstehende Beschreibung zu den entsprechenden Merkmalen des erfindungsgemäßen Verfahrens verwiesen werden. For advantages, embodiments and configuration details of the computer program according to the invention, the provision device according to the invention and the system according to the invention, reference can be made to the above description of the corresponding features of the method according to the invention.
Ausführungsbeispiele der Erfindung werden anhand der Zeichnungen erläutert. Es zeigen: Embodiments of the invention are explained with reference to the drawings. Show it:
Figur 1 schematisch den Aufbau eines Ausführungsbeispiels des erfindungsgemäßen Systems, Figure 1 shows schematically the structure of an embodiment of the system according to the invention,
Figur 2 schematisch den Ablauf eines Ausführungsbeispiels des erfindungsgemäßen Verfahrens, Figure 2 shows schematically the sequence of an embodiment of the method according to the invention,
Figur 3 schematisch den Ablauf eines weiteren Ausführungsbeispiels des erfindungsgemäßen Verfahrens und Figure 3 schematically shows the sequence of a further embodiment of the method according to the invention and
Figur 4 schematisch den Aufbau einesFigure 4 schematically shows the structure of a
Ausführungsbeispiels eines Fahrzeugs und einer landseitigen Einrichtung, die ein erfindungsgemäßes System bilden. Embodiment of a vehicle and a land-based device that form a system according to the invention.
Figur 1 zeigt eine schematische Ansicht eines Systems 1 mit mehreren Kommunikationsteilnehmern 2, 4 und 6. Figur 2 zeigt ein schematisches Ablaufdiagramm, welches den Ablauf des Ausführungsbeispiels des erfindungsgemäßen Verfahrens darstellt . FIG. 1 shows a schematic view of a system 1 with a plurality of communication participants 2, 4 and 6. FIG. 2 shows a schematic flowchart which shows the sequence of the exemplary embodiment of the method according to the invention.
Der Kommunikationsteilnehmer 2 ist als Server vorgesehen und umfasst eine WireGuard-Servereinrichtung 12 zur sicheren Kommunikation mit den Kommunikationsteilnehmern 4 und 6 sowie eine Schlüsselverwaltungs-Servereinrichtung 22. The communication participant 2 is provided as a server and includes a WireGuard server device 12 for secure Communication with the communication participants 4 and 6 and a key management server device 22.
Der Kommunikationsteilnehmer 4 bzw. 6 ist als Client vorgesehen und umfasst jeweils eine Clienteinrichtung 14 bzw. 16 zur sicheren Kommunikation mit demThe communication participant 4 or 6 is provided as a client and each includes a client device 14 or 16 for secure communication with the
Kommunikationsteilnehmer 2 und eine Schlüsselverwaltungs- Clienteinrichtung 24 bzw. 26. Communication participant 2 and a key management client device 24 or 26.
Figur 1 zeigt einen einzigen Kommunikationsteilnehmer 2, der als Server vorgesehen ist, und zwei Kommunikationsteilnehmer 4 und 6, die als Client vorgesehen sind. Eine Konstellation mit mehr als einem bzw. mehr als zweiFIG. 1 shows a single communication participant 2, which is provided as a server, and two communication participants 4 and 6, which are provided as clients. A constellation with more than one or more than two
Kommunikationsteilnehmern 2 bzw. 4, 6 ist jedoch von demCommunication participants 2 or 4, 6, however, is of the
Gedanken der Erfindung umfasst. Includes the idea of the invention.
Die Kommunikationsteilnehmer 4 und 6 werden im Folgenden unter anderem jeweils als erster Kommunikationsteilnehmer bezeichnet und der Kommunikationsteilnehmer 2 wird im Folgenden jeweils als zweiter Kommunikationsteilnehmer bezeichnet . The communication participants 4 and 6 are each referred to below as the first communication participant, and the communication participant 2 is referred to below as the second communication participant.
Die sichere Kommunikation zwischen demSecure communication between
Kommunikationsteilnehmer 2 und den Kommunikationsteilnehmern 4 und 6 ist unter Anwendung des WireGuard-Protokolls über einen ersten Kommunikationskanal 10 vorgesehen. Die Clienteinrichtung 14 bzw. 16 ist demnach als WireGuard-Client vorgesehen . Communication participants 2 and the communication participants 4 and 6 are provided using the WireGuard protocol via a first communication channel 10 . The client device 14 or 16 is therefore provided as a WireGuard client.
Die sichere Kommunikation über den ersten Kommunikationskanal 10 setzt voraus, dass Schlüsselmaterial an die Kommunikationsteilnehmer verteilt wurde bzw. zwischen diesen ausgetauscht wurde. Dazu ist der Kommunikationsteilnehmer 2 jeweils über einen zweiten Kommunikationskanal 20 mit dem Kommunikationsteilnehmer 4 und 6 verbunden. Dieser zweite Kommunikationskanal 20 ist logisch von dem ersten Kommunikationskanal 10 getrennt. Beispielsweise liegen der erste und zweite Kommunikationskanal 10 und 20 auf einem gemeinsamen Kommunikationsnetz 30, beispielsweise einem Ethernet-Netzwerk . Secure communication via the first communication channel 10 presupposes that key material has been distributed to the communication participants or has been exchanged between them. For this purpose, the communication participant 2 is connected to the communication participant 4 and 6 via a second communication channel 20 in each case. This second communication channel 20 is logically separated from the first communication channel 10 . For example, the first and second communication channels 10 and 20 are on one common communication network 30, for example an Ethernet network.
In einem Verfahrensschritt A erzeugt dieIn a step A generates the
Schlüsselverwaltungs-Servereinrichtung 22 Schlüsselmaterial für die sichere Kommunikation. Key management server device 22 key material for secure communication.
Die Kommunikation zum Verwalten von Schlüsseln erfolgt in einem Verfahrensschritt B über den zweiten Kommunikationskanal 20, der von dem erstenThe communication for managing keys takes place in a method step B via the second communication channel 20 from the first
Kommunikationskanal 10 getrennt ist. Insbesondere erfolgt die sichere Kommunikation über ein virtuelles privates Netzwerk (auch genannt VPN: Virtual Private Network) unter Anwendung von WireGuard über den ersten Kommunikationskanal 10, wobei der zweite Kommunikationskanal 20 außerhalb des virtuellen privaten Netzwerks liegt. Communication channel 10 is disconnected. In particular, the secure communication takes place via a virtual private network (also called VPN: Virtual Private Network) using WireGuard via the first communication channel 10, with the second communication channel 20 being outside the virtual private network.
Diese Kommunikation zum Verwalten von Schlüsseln ist gemäß dem gezeigten Ausführungsbeispiel eine Kommunikation zum Austausch von Schlüsseln und erfolgt unter Anwendung von HTTPS (Hypertext Transfer Protocol Secure). Dazu baut der erste Kommunikationsteilnehmer 4 bzw. 6 in einem Verfahrensschritt Bl eine HTTPS-Verbindung mit der Schlüsselverwaltungs-Servereinrichtung 22 auf. In einem Verfahrensschritt B2 authentifiziert sich der erste Kommunikationsteilnehmer 4 bzw. 6 mit Hilfe eines X.509- Client-Zertifikats und beantragt einen Schlüssel. Die Schlüsselverwaltungs-Servereinrichtung 22 validiert die Validität des Zertifikats in einem Verfahrensschritt B3. Basierend auf einem darin enthaltenen gemeinsamen Namen stellt die Schlüsselverwaltungs-Servereinrichtung 22 in einem Verfahrensschritt B4 einen privaten und öffentlichen Schlüssel, die von dem ersten Kommunikationsteilnehmer 4 bzw. 6 für die folgende sichere Kommunikation verwendet werden, bereit. In einem Verfahrensschritt B5 antwortet die Schlüsselverwaltungs-Servereinrichtung 22 mit einem entsprechenden Schlüssel für den Kommunikationsteilnehmer 4 bzw. 6: Dabei sendet die Schlüsselverwaltungs- Servereinrichtung 22 einen privaten und einen öffentlichen Schlüssel an den ersten Kommunikationsteilnehmer 4 bzw. 6. According to the exemplary embodiment shown, this communication for managing keys is a communication for exchanging keys and takes place using HTTPS (Hypertext Transfer Protocol Secure). For this purpose, the first communication participant 4 or 6 sets up an HTTPS connection with the key management server device 22 in a method step B1. In a method step B2, the first communication participant 4 or 6 authenticates itself using an X.509 client certificate and requests a key. The key management server device 22 validates the validity of the certificate in a method step B3. Based on a common name contained therein, the key management server device 22 provides a private and public key in a method step B4, which are used by the first communication participant 4 or 6 for the subsequent secure communication. In a method step B5, the key management server device 22 responds with a corresponding key for the communication participant 4 or 6: The key management Server device 22 a private and a public key to the first communication participant 4 or 6.
Zudem werden in einem Verfahrensschritt B6 öffentliche Schlüssel weiterer Kommunikationsteilnehmer 6 bzw. 4 an den Kommunikationsteilnehmer 4 bzw. 6 übertragen. In addition, public keys of further communication participants 6 or 4 are transmitted to the communication participant 4 or 6 in a method step B6.
Um die Datenübertragungsmengen zu reduzieren, unterstützt die Schlüsselverwaltungs-Servereinrichtung 22 HTTP-Caching über die Cachekontrolle und HTTP-ETag. Dadurch wird der Kommunikationsteilnehmer 4 bzw. 6 in die Lage versetzt, den Schlüssel für eine vorgegebene Zeitdauer zu speichern und Datenübertragungsmengen zu reduzieren, wenn der Schlüssel sich nicht geändert hat. To reduce data transfer amounts, the key management server device 22 supports HTTP caching via cache control and HTTP ETag. This puts the communication participant 4 or 6 in a position to store the key for a predetermined period of time and to reduce data transmission volumes if the key has not changed.
In einem Verfahrensschritt B7 wird die Verbindung zwischen dem ersten Kommunikationsteilnehmer 4 bzw. 6 und der Schlüsselverwaltungs-Servereinrichtung 22 abgebaut. In a method step B7, the connection between the first communication subscriber 4 or 6 and the key management server device 22 is cleared.
Nun liegen die Voraussetzungen für die sichere Kommunikation zwischen dem Kommunikationsteilnehmer 2 und den Kommunikationsteilnehmern 4 und 6 vor. Diese erfolgt in einem Verfahrensschritt C unter Anwendung des WireGuard-Protokolls über den ersten Kommunikationskanal 10. The prerequisites for secure communication between communication participant 2 and communication participants 4 and 6 are now in place. This takes place in a method step C using the WireGuard protocol via the first communication channel 10.
Das in Figur 3 gezeigte schematische Ablaufdiagramm stellt ein weiteres Ausführungsbeispiel des erfindungsgemäßen Verfahrens dar. Dieses geht von einer Konstellation aus, bei dem die Schlüsselverwaltungs-Clienteinrichtung 24 einen Zufallszahlengenerator 25 (in Figur 1 gestrichelt dargestellt) aufweist und in der Lage ist, Schlüsselmaterial selbst zu erzeugen. Die gestrichelte Darstellung des Zufallszahlengenerators 25 in Figur 1 soll verdeutlichen, dass bei dem in Bezug auf Figur 2 beschriebenen Ausführungsbeispiel des erfindungsgemäßen Verfahrens ein Zufallszahlengenerator 25 nicht vorhanden ist. Demnach erzeugt die Schlüsselverwaltungs-Clienteinrichtung 24 in einem Verfahrensschritt AA Schlüsselmaterial, insbesondere einen privaten und öffentlichen Schlüssel, für die sichere Kommunikation . The schematic flowchart shown in Figure 3 represents a further embodiment of the method according to the invention. This is based on a constellation in which the key management client device 24 has a random number generator 25 (shown in dashed lines in Figure 1) and is able to key material itself generate. The dashed representation of the random number generator 25 in FIG. 1 is intended to make it clear that a random number generator 25 is not present in the exemplary embodiment of the method according to the invention described with reference to FIG. Accordingly, in a method step AA, the key management client device 24 generates key material, in particular a private and public key, for secure communication.
Die Kommunikation zum Verwalten von Schlüsseln erfolgt in einem Verfahrensschritt BB über den zweiten Kommunikationskanal 20: The communication for managing keys takes place in a method step BB via the second communication channel 20:
In einem Verfahrensschritt BB1 baut der erste Kommunikationsteilnehmer 4 eine HTTPS-Verbindung mit der Schlüsselverwaltungs-Servereinrichtung 22 auf. In einem Verfahrensschritt BB2 stellt die Schlüsselverwaltungs- Clienteinrichtung 24 einen öffentlichen Schlüssel (auf Basis des eigenständig in Verfahrensschritt AA erzeugten Schlüsselmaterials) zur Übertragung an dieIn a method step BB1, the first communication participant 4 establishes an HTTPS connection with the key management server device 22. In a step BB2, the key management client device 24 provides a public key (based on the key material generated independently in step AA) for transmission to the
Schlüsselverwaltungs-Servereinrichtung 22 zur Verfügung und sendet diesen an die Schlüsselverwaltungs-Servereinrichtung 22. In einem Verfahrensschritt BB3 stellt dieKey management server device 22 is available and sends it to the key management server device 22. In a step BB3, the
Schlüsselverwaltungs-Servereinrichtung 22 ihren öffentlichen Schlüssel zur Übertragung an die Schlüsselverwaltungs- Clienteinrichtung 24 bereit. Key management server device 22 their public key for transmission to the key management client device 24 ready.
Zudem wird in einem Verfahrensschritt BB4 der öffentliche Schlüssel des weiteren Kommunikationsteilnehmers 6 an den Kommunikationsteilnehmer 4 übertragen. In addition, the public key of the further communication participant 6 is transmitted to the communication participant 4 in a method step BB4.
In einem Verfahrensschritt BB5 wird die Verbindung zwischen dem ersten Kommunikationsteilnehmer 4 und der Schlüsselverwaltungs-Servereinrichtung 22 abgebaut. In a method step BB5, the connection between the first communication subscriber 4 and the key management server device 22 is cleared.
Nun liegen die Voraussetzungen für die sichere Kommunikation zwischen dem Kommunikationsteilnehmer 2 und dem Kommunikationsteilnehmer 4 vor. Diese erfolgt in einem Verfahrensschritt CC unter Anwendung des WireGuard-Protokolls über den ersten Kommunikationskanal 10. Figur 4 zeigt eine schematische Ansicht eines Systems 1 mit einem Fahrzeug 103 und einer landseitigen Einrichtung 105.The prerequisites for secure communication between the communication participant 2 and the communication participant 4 are now in place. This takes place in a method step CC using the WireGuard protocol via the first communication channel 10. Figure 4 shows a schematic view of a system 1 with a vehicle 103 and a land-based device 105.
Das Fahrzeug 103 ist ein spurgebundenes Fahrzeug 107, insbesondere ein Schienenfahrzeug 109. Die landseitige Einrichtung 105 ist Teil einer Betriebsleitzentrale. The vehicle 103 is a rail vehicle 107, in particular a rail vehicle 109. The land-based facility 105 is part of an operations control center.
Das spurgebundene Fahrzeug 105 weist ein Kommunikationsnetz 30 auf, welches beispielsweise als Ethernet-Netz ausgebildet ist. An das Kommunikationsnetz 30 sind unter anderem ein Endgerät 9 sowie eine Servereinrichtung 110 datentechnisch angeschlossen. Beispielsweise ist das Endgerät 9 eine Fahrgastzähleinrichtung, die gemeinsam mit der Servereinrichtung 110 ein sogenanntes automatisches Fahrgastzählsystem (fachmännisch häufig AFZS abgekürzt) bildet. Zudem ist ein Kommunikationsgateway 111 an das Kommunikationsnetz 30 angeschlossen. DasThe rail-bound vehicle 105 has a communication network 30 which is designed, for example, as an Ethernet network. Among other things, a terminal device 9 and a server device 110 are connected to the communication network 30 in terms of data technology. For example, the terminal 9 is a passenger counting device which, together with the server device 110, forms a so-called automatic passenger counting system (often abbreviated as AFZS by experts). In addition, a communication gateway 111 is connected to the communication network 30 . That
Kommunikationsgateway 111 ist beispielsweise ein sogenanntes Mobile-Communication-Gateway (MCG). Das Kommunikationsgateway 111 ist mit einer drahtlosen Kommunikationsschnittstelle 113 verbunden. Das Kommunikationsgateway 111 bildet zusammen mit der drahtlosen Kommunikationsschnittstelle 113 eine Kommunikationseinrichtung 115, welche ausgebildet ist, Daten an die landseitige Einrichtung 105 zu senden und Daten von der landseitigen Einrichtung 105 zu empfangen. Communication gateway 111 is, for example, what is known as a mobile communication gateway (MCG). The communication gateway 111 is connected to a wireless communication interface 113 . The communication gateway 111 together with the wireless communication interface 113 forms a communication device 115 which is designed to send data to the land-side device 105 and to receive data from the land-side device 105 .
Die landseitige Einrichtung 105 weist ein Kommunikationsnetz 117 auf, welches als Ethernet-Netz ausgebildet ist. An das Kommunikationsnetz 117 sind beispielsweise eine landseitige Servereinrichtung 119 und ein Endgerät 120 angeschlossen. Zudem ist ein Ground-Communication-Gateway 121 an das Kommunikationsnetz 117 angeschlossen, welches mit einer drahtlosen Kommunikationsschnittstelle 123 verbunden ist. Das Ground-Communication-Gateway 121 bildet zusammen mit der drahtlosen Kommunikationsschnittstelle 123 eine Kommunikationseinrichtung 125, welche ausgebildet ist, Daten von dem Fahrzeug 103 zu empfangen. Die Kommunikationseinrichtungen 115 und 125 bilden gemeinsam eine Kommunikationsverbindung 130 zum Übertragen von Daten zwischen dem spurgebundenen Fahrzeug 107 und der landseitigen Einrichtung 105. The land-based device 105 has a communication network 117 which is in the form of an Ethernet network. A land-side server device 119 and a terminal 120 are connected to the communication network 117, for example. In addition, a ground communication gateway 121 is connected to the communication network 117 which is connected to a wireless communication interface 123 . Together with the wireless communication interface 123, the ground communication gateway 121 forms a communication device 125 which is designed to receive data from the vehicle 103. The communication devices 115 and 125 together form a communication link 130 for transmitting data between the rail-bound vehicle 107 and the land-based device 105.
Die sichere Kommunikation gemäß dem Verfahrensschritt A erfolgt beispielsweise zwischen dem Endgerät 9 (als erster Kommunikationsteilnehmer) und der landseitigen Servereinrichtung 119 (als zweiter Kommunikationsteilnehmer). Der erste Kommunikationskanal (nicht in Figur 4 gezeigt) und zweite Kommunikationskanal (nicht in Figur 4 gezeigt) liegen dabei auf dem Kommunikationsnetz 30, der Kommunikationsverbindung 130 und dem landseitigen Kommunikationsnetz 117. The secure communication according to method step A takes place, for example, between the terminal 9 (as the first communication participant) and the land-side server device 119 (as the second communication participant). The first communication channel (not shown in Figure 4) and the second communication channel (not shown in Figure 4) are on communication network 30, communication link 130 and land-side communication network 117.
Alternativ kann die sichere Kommunikation gemäß dem Verfahrensschritt A beispielsweise zwischen dem Endgerät 120 (als erster Kommunikationsteilnehmer) und derAlternatively, the secure communication according to step A, for example, between the terminal 120 (as the first communication participant) and the
Servereinrichtung 110 (als zweiter Kommunikationsteilnehmer) erfolgen. Auch bei dieser Alternative liegen der erste Kommunikationskanal und zweite Kommunikationskanal auf dem Kommunikationsnetz 30, der Kommunikationsverbindung 130 und dem landseitigen Kommunikationsnetz 117. Server device 110 take place (as the second communication participant). In this alternative, too, the first communication channel and second communication channel are on communication network 30, communication link 130 and land-side communication network 117.
Obwohl die Erfindung im Detail durch das bevorzugte Ausführungsbeispiel näher illustriert und beschrieben wurde, so ist die Erfindung nicht durch die offenbarten Beispiele eingeschränkt und andere Variationen können vom Fachmann hieraus abgeleitet werden, ohne den Schutzumfang der Erfindung zu verlassen. Although the invention has been illustrated and described in detail by the preferred embodiment, the invention is not limited by the disclosed examples and other variations can be derived therefrom by those skilled in the art without departing from the scope of the invention.

Claims

Patentansprüche patent claims
1. Verfahren zum Verwalten von Schlüsseln für eine sichere Kommunikation zwischen mehreren Kommunikationsteilnehmern (2, 4, 6), bei welchem die sichere Kommunikation über einen ersten Kommunikationskanal (10) zwischen den mehreren Kommunikationsteilnehmern (2, 4, 6) erfolgt (C, CC) und eine Kommunikation zum Verwalten von Schlüsseln über einen von dem ersten Kommunikationskanal (10) getrennten zweiten Kommunikationskanal (20) zwischen o einem ersten Kommunikationsteilnehmer (4, 6) der mehreren Kommunikationsteilnehmer, welcher eine Clienteinrichtung (14, 16) umfasst, und o einer Schlüsselverwaltungs-Servereinrichtung (22) erfolgt (B, BB). 1. A method for managing keys for secure communication between a plurality of communication participants (2, 4, 6), in which the secure communication takes place via a first communication channel (10) between the plurality of communication participants (2, 4, 6) (C, CC ) and communication for managing keys via a second communication channel (20) separate from the first communication channel (10) between o a first communication participant (4, 6) of the plurality of communication participants, which comprises a client device (14, 16), and o one Key management server setup (22) takes place (B, BB).
2. Verfahren nach Anspruch 1, bei welchem die sichere Kommunikation über ein virtuelles privates Netzwerk erfolgt und der zweite Kommunikationskanal (20) außerhalb des virtuellen privaten Netzwerks liegt. The method of claim 1, wherein the secure communication is over a virtual private network and the second communication channel (20) is outside the virtual private network.
3. Verfahren nach Anspruch 1 oder 2, bei welchem die sichere Kommunikation zwischen dem ersten Kommunikationsteilnehmer (4, 6) und einem zweiten3. The method of claim 1 or 2, wherein the secure communication between the first communication participant (4, 6) and a second
Kommunikationsteilnehmer (2), welcher eine WireGuard- Servereinrichtung (12) umfasst, unter Anwendung von WireGuard erfolgt. Communication participant (2), which includes a WireGuard server device (12), takes place using WireGuard.
4. Verfahren nach Anspruch 3, bei welchem der zweite Kommunikationsteilnehmer (2) die Schlüsselverwaltungs-Servereinrichtung (22) umfasst. 4. The method as claimed in claim 3, in which the second communication participant (2) comprises the key management server device (22).
5. Verfahren nach wenigstens einem der vorhergehenden Ansprüche, bei welchem der zweite Kommunikationskanal (20) logisch von dem ersten Kommunikationskanal (10) getrennt ist. 5. The method according to at least one of the preceding claims, in which the second communication channel (20) is logically separated from the first communication channel (10).
6. Verfahren nach wenigstens einem der vorhergehenden Ansprüche, bei welchem die Kommunikationsteilnehmer (2, 4, 6) als6. The method according to at least one of the preceding claims, in which the communication participants (2, 4, 6) as
Endgeräte ausgebildet sind, die datentechnisch mit einem Kommunikationsnetz (30) eines Fahrzeugs (103) und/oder einem landseitigen Kommunikationsnetz (117), welches zur Kommunikation mit dem Kommunikationsnetz (30) des Fahrzeugs (103) dient, verbunden sind. Terminals are designed which are connected in terms of data technology to a communication network (30) of a vehicle (103) and/or a land-based communication network (117) which is used for communication with the communication network (30) of the vehicle (103).
7. Verfahren nach Anspruch 6, bei welchem das Fahrzeug (103) ein spurgebundenes Fahrzeug (107), insbesondere ein Schienenfahrzeug (109), ist. 7. The method according to claim 6, wherein the vehicle (103) is a rail vehicle (107), in particular a rail vehicle (109).
8. Verfahren nach wenigstens einem der vorhergehenden Ansprüche, bei welchem der erste Kommunikationsteilnehmer (4, 6) eine8. The method according to at least one of the preceding claims, in which the first communication participant (4, 6) a
Schlüsselverwaltungs-Clienteinrichtung (24) umfasst, ein privater und ein öffentlicher Schlüssel für die sichere Kommunikation mittels der Schlüsselverwaltungs- Clienteinrichtung (24) erzeugt wird (AA) und der öffentliche Schlüssel über den zweiten Kommunikationskanal an die Schlüsselverwaltungs- Servereinrichtung (22) gesendet wird (BB2). Key management client device (24), a private and a public key for secure communication by means of the key management client device (24) is generated (AA) and the public key is sent to the key management server device (22) via the second communication channel ( BB2).
9. Verfahren nach wenigstens einem der vorhergehenden Ansprüche 1 bis 7, bei welchem ein privater und ein öffentlicher Schlüssel für die sichere Kommunikation mittels der Schlüsselverwaltungs- Servereinrichtung (22) erzeugt wird (A) und zumindest der private Schlüssel über den zweiten Kommunikationskanal an den ersten Kommunikationsteilnehmer gesendet wird (B5). 9. The method according to at least one of the preceding claims 1 to 7, in which a private and a public key for secure communication by means of the key management server device (22) is generated (A) and at least the private key via the second communication channel to the first Communication participant is sent (B5).
10. Computerprogramm, umfassend Programmbefehle, die bei der Ausführung des Programms durch eine Recheneinrichtung diese veranlassen, das Verfahren nach wenigstens einem der Ansprüche 1 bis 9 auszuführen. 10. Computer program, comprising program instructions which, when the program is executed by a computing device, cause the latter to carry out the method according to at least one of claims 1 to 9.
11. Bereitstellungsvorrichtung für das Computerprogramm nach Anspruch 10, wobei die Bereitstellungsvorrichtung das Computerprogramm speichert und/oder bereitstellt. 11. Provision device for the computer program according to claim 10, wherein the provision device stores and/or provides the computer program.
12. System zum Verwalten von Schlüsseln für eine sichere Kommunikation zwischen mehreren Kommunikationsteilnehmern (2, 4, 6), umfassend : einen ersten Kommunikationskanal (10), welcher ausgebildet ist, eine sichere Kommunikation zwischen den mehreren Kommunikationsteilnehmern (2, 4, 6) zu unterstützen, einen zweiten Kommunikationskanal (20), welcher von dem ersten Kommunikationskanal (10) getrennt und ausgebildet ist, eine Kommunikation zum Verwalten von Schlüsseln zwischen o einem ersten Kommunikationsteilnehmer (4, 6) der mehreren Kommunikationsteilnehmer (2, 4, 6), welcher eine Clienteinrichtung (14, 16) umfasst, und o einer Schlüsselverwaltungs-Servereinrichtung (22) zu unterstützen. 12. System for managing keys for secure communication between multiple communication participants (2, 4, 6), comprising: a first communication channel (10), which is designed to secure communication between the multiple communication participants (2, 4, 6). support, a second communication channel (20), which is separate from the first communication channel (10) and configured, communication for managing keys between o a first communication participant (4, 6) of the plurality of communication participants (2, 4, 6), which a client device (14, 16), and o a key management server device (22).
13. System nach Anspruch 12, bei welchem der erste Kommunikationsteilnehmer (4, 6) datentechnisch an ein Kommunikationsnetz (30) eines Fahrzeugs (103) angeschlossen ist und der zweite Kommunikationsteilnehmer (2) datentechnisch an ein landseitiges Kommunikationsnetz (117), welches zur Kommunikation mit dem Kommunikationsnetz des Fahrzeugs (103) dient, angeschlossen ist. 13. System according to claim 12, in which the first communication participant (4, 6) is connected to a communication network (30) of a vehicle (103) in terms of data technology and the second communication participant (2) is connected to a land-based communication network (117) in terms of data technology, which is used for communication with the communication network of the vehicle (103) is connected.
14. System nach Anspruch 12, bei welchem der erste Kommunikationsteilnehmer (4, 6) datentechnisch an ein landseitiges Kommunikationsnetz (117), welches zur14. System according to claim 12, wherein the first communication participant (4, 6) data technology to a land-side communication network (117), which for
Kommunikation mit einem Kommunikationsnetz eines Fahrzeugs (103) dient, angeschlossen ist und der zweite Kommunikationsteilnehmer (2) datentechnisch an ein Kommunikationsnetz (30) des Fahrzeugs (103) angeschlossen ist. Communication with a communication network of a vehicle (103) is used, is connected and the second communication participant (2) is connected to a communication network (30) of the vehicle (103) in terms of data technology.
EP22735346.3A 2021-06-29 2022-06-09 Managing keys for secure communication between communication subscribers via a separate communication channel Pending EP4327506A1 (en)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
DE102021206755.7A DE102021206755A1 (en) 2021-06-29 2021-06-29 Management of keys for secure communication between communication participants via a separate communication channel
PCT/EP2022/065679 WO2023274678A1 (en) 2021-06-29 2022-06-09 Managing keys for secure communication between communication subscribers via a separate communication channel

Publications (1)

Publication Number Publication Date
EP4327506A1 true EP4327506A1 (en) 2024-02-28

Family

ID=82321569

Family Applications (1)

Application Number Title Priority Date Filing Date
EP22735346.3A Pending EP4327506A1 (en) 2021-06-29 2022-06-09 Managing keys for secure communication between communication subscribers via a separate communication channel

Country Status (3)

Country Link
EP (1) EP4327506A1 (en)
DE (1) DE102021206755A1 (en)
WO (1) WO2023274678A1 (en)

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN116389105B (en) * 2023-03-30 2023-12-01 广东省城乡规划设计研究院有限责任公司 Remote access management platform and management method
CN117640289A (en) * 2023-11-27 2024-03-01 长扬科技(北京)股份有限公司 Gateway architecture and equipment based on user mode WirelGuard protocol

Family Cites Families (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8700892B2 (en) 2010-03-19 2014-04-15 F5 Networks, Inc. Proxy SSL authentication in split SSL for client-side proxy agent resources with content insertion
US20150033016A1 (en) 2013-07-23 2015-01-29 Battelle Memorial Institute Systems and methods for securing real-time messages
US11463410B2 (en) * 2019-10-31 2022-10-04 Cisco Technology, Inc. Cloud-native VPN service

Also Published As

Publication number Publication date
DE102021206755A1 (en) 2022-12-29
WO2023274678A1 (en) 2023-01-05

Similar Documents

Publication Publication Date Title
DE60108927T2 (en) Computer systems, in particular virtual private networks
DE60212289T2 (en) Management of Private Virtual Networks (VPN)
WO2023274678A1 (en) Managing keys for secure communication between communication subscribers via a separate communication channel
DE102005032692A1 (en) Arrangement and method for configuring interfaces of a wireless connection for data transmission and a corresponding computer program and a corresponding computer-readable storage medium
EP3577871B1 (en) Method and device for the modular orientation of an avb stream
WO2016045885A1 (en) Method for transmitting data, and associated network node and associated network
EP3572965A1 (en) Operating a software defined network by synchronizing the view of the network via a blockchain
EP3799379B1 (en) Method and ip-based communication system for changing connection control instances without reregistration of end subscribers
DE102004047371A1 (en) Method for distributing software and configuration data and corresponding data network
EP3753205B1 (en) Data transmission in time-sensitive data networks
DE102006003167B3 (en) Real-time communication protecting method for e.g. automation system, involves producing and managing code in discrete device for protecting real-time communication that takes place by protecting unit in connection layer of reference model
DE102011080676A1 (en) Configuration of a communication network
DE102021122686A1 (en) PROCEDURE FOR OPERATING A NETWORK
EP1843929A1 (en) Control system for controlling and/or monitoring an object
EP1537719B1 (en) Updating of software stored in a computer of a data communication system
DE102022001115B3 (en) System for secure data transmission between a motor vehicle and a cloud service
DE60015942T2 (en) Communication management table transmission system, management device, encryptor and communication management table transmission method
DE102016125345A1 (en) Method for operating a collaboration and communication platform and collaboration and communication platform
WO2000019678A2 (en) Arrangement and method for encoding and decoding digital data according to the internet protocol
DE102022120136A1 (en) Computer program, device and method for controlling a data transmission rate of several participants in a communication network
DE102018208018A1 (en) Method of communication in a networked system
WO2023078769A1 (en) Method, computer program product and storage means for establishing a data connection in a computer network
DE102022124174A1 (en) Computer program, device and method for controlling a data transmission rate of several participants in a communication network
WO2023036479A1 (en) Method for configuring a plurality of gateway controllers of a vehicle, computer-readable medium, system, and vehicle
DE102021209505A1 (en) System and method for upgrading an outdated client/server application for secure and confidential data transmission

Legal Events

Date Code Title Description
STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: UNKNOWN

STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: THE INTERNATIONAL PUBLICATION HAS BEEN MADE

PUAI Public reference made under article 153(3) epc to a published international application that has entered the european phase

Free format text: ORIGINAL CODE: 0009012

STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: REQUEST FOR EXAMINATION WAS MADE

17P Request for examination filed

Effective date: 20231123

AK Designated contracting states

Kind code of ref document: A1

Designated state(s): AL AT BE BG CH CY CZ DE DK EE ES FI FR GB GR HR HU IE IS IT LI LT LU LV MC MK MT NL NO PL PT RO RS SE SI SK SM TR