CN109005148A - 用于保护车辆网络免受被篡改的数据传输的方法 - Google Patents

Abstract

本发明涉及一种用于保护车辆的车辆网络免受被篡改的数据传输的方法。在此，所述车辆网络包括多个网络节点。在所述车辆网络中的至少一个第一网络节点将接收到的通知与配属于所述第一网络节点的通知进行比较，并且当所述接收到的通知中的一个通知与配属于所述第一网络节点的通知一致、但是并不是由所述第一网络节点所发送时，在所述车辆网络中的至少一个第一网络节点识别到所述被篡改的数据传输。在此，所述第一网络节点只将所述接收到的通知中的选取的通知与配属于所述第一网络节点的通知进行比较或者只将所述接收到的通知与选取的配属于所述第一网络节点的通知进行比较。

Description

用于保护车辆网络免受被篡改的数据传输的方法

技术领域

本发明涉及一种用于保护车辆网络免受被篡改的数据传输的方法以及一种为此而设置的计算机程序。

背景技术

由DE 10 2015 219 996 A1公开了一种用于通过借助于CAN控制器而连接到总线处的节点来阻挡在CAN总线处的篡改。在此，第一节点的被确保的发送模块监视所述总线并且在该第一节点的正常运行中识别该CAN控制器的发送过程。此外，所述发送模块识别与所述正常运行不同在所述总线上以不允许的方式发送的通知，并且当所述发送模块识别到所述通知时，该发送模块开启针对所述篡改所设置的应对措施。

DE 10 2009 026 995 A1公开了一种用于运行总线系统、尤其是CAN总线的方法，多个站能够连接到所述总线系统处。传输的消息具有标识符（Identifier），其中，确定的标识符总是仅允许由唯一一个站使用。这些站中的每一个站将传输的消息的标识符与由其本身使用的标识符进行比较。在相一致的情况下产生错误报告。

发明内容

提出一种方法，利用该方法能够保护车辆的网络并且从而保护所述车辆免受被篡改的数据传输或者加强该网络和该车辆抵抗这样的攻击。在此，所述车辆网络包括多个网络节点，其中，在所述车辆网络中的至少一个第一网络节点进而检查接收到的通知是否是配属于所述第一网络节点的通知、但是并不是由所述第一网络节点所发送。这通过将所述接收到的通知与所述配属的通知进行比较而发生。所述比较能够尤其根据所述通知的标识信息来实现。当所述接收到的通知中的一个通知与配属于所述第一网络节点的通知一致、但是并不是由所述第一网络节点所发送时，所述网络节点识别到所述被篡改的数据传输。

现在提出，所述第一网络节点不将所述接收到的通知中的所有通知与配属于该第一网络节点的通知进行比较、而是将所述接收到的通知中的选取的通知与配属于该第一网络节点的通知进行比较，或者不将所述接收到的通知与配属于该第一网络节点的通知中的所有通知进行比较、而是将所述接收到的通知与配属于该第一网络节点的通知中的选取的通知进行比较。由此，特别有针对性的并且保护资源的（ressourcenschonend）方法是可能的。为此，在一种优选的构型方案中，某些配属的通知（例如通过存储关于这些通知的标识信息）在所述网络节点中能够是确定的，对于所述配属的通知应该进行比较。由此，需要更少的比较，并且所述方法能够集中于对于安全而言特别关键的并且明确地分配给所述网络节点的通知。在另一种优选的构型方案中，从所述接收到的通知中通过存储在所述网络节点中的选择标准而选择一部分用于所述比较。由此，同样保护在所述网络节点中的资源。如果非确定性地或者随机地进行选择，则对于攻击者而言不能够预测所述接收到的通知中的哪些通知被比较或者被检查，这给攻击造成困难。

这些解决方案能够在无附加的硬件的情况下实现并且因此能够简单地在软件中实现或者能够作为软件更新而以改进解决方案（Nachrüstlösung）传递到存在的系统上、例如已经交付的车辆上。

这种解决方案的另一种优点是，该解决方案能够独立于车辆的车辆变体（双门跑车（Coupé）、高级轿车（Limousine）、敞篷轿车（Cabrio）、不同的变速器、不同的发动机等等）来实现，因为每个网络节点、尤其是每个控制器都自我监视。也就是说，无需专门适配于其它网络节点。

如果网络节点根据接收到的通知识别到对该数据传输的篡改，该接收到的通知本来只应该由该网络节点本身发送、然而该网络节点并未发送，则该网络节点优选开启应对措施。下述措施，可能也以组合的方式，证明是有利的：

- 关闭所述车辆网络或者所述车辆网络的一部分，

- 使所述第一通知无效，

- 发出错误消息，所述错误消息尤其作为附加的诊断通知或者作为在配属于所述第一网络节点的另一通知中的、尤其是在所述另一通知中的检查区段中的被篡改的信息，

- 停止发送某些通知、尤其是对于安全而言关键的通知，

- 忽略在所述车辆网络中通过所述多个网络节点中的至少所述第一网络节点接收到的消息，

- 将所述车辆置于具有受限的功能的紧急运行中，

- 在点火变化（Zündungswechsel）之后重置在所述车辆网络中的信息。

附图说明

下面参照附图并且根据实施例详细说明本发明。在此，图1示意性地示出具有多个网络参与方或者网络节点的示例性的车辆网络。

具体实施方式

本发明涉及一种用于保护车辆网络免受被篡改的数据传输的方法。

车辆网络通常由不同的网络节点、大多数是控制器节点组成，所述网络节点经由总线系统相互联网，目前主要是CAN、LIN、FlexRay以及MOST。在控制器硬件中，每个总线系统安装有构件（Baustein），该构件不仅在发送方向上而且在接收方向上接管通信。所述控制器节点此外还具有计算单元，该计算单元完成计算机程序。常常如此设置这个计算机程序，使得控制器节点能够发送一定数量的通知并且能够接收一定数量的通知。如果所述控制器不是该总线系统的桥（Bridge）或者网关（Gateway），则这些通知数量通常不相交（disjunkt）。

在图1中，示意性地示出了示例性的车辆网络1。这个车辆网络包括主总线10，一组对于安全而言关键的网络节点20以及一组具有无线电链路（Funkverbindung）的网络节点30与该主总线连接。属于这组对于安全而言关键的网络节点20的例如是马达控制器21、ESP控制器22、变速器控制器23和用于转向装置的控制器24。属于这组具有无线电链路的网络节点30的例如是WLAN和/或蓝牙模块31、集成的车辆电话32和组合式导航和多媒体系统33。同样与所述主总线连接的并且设置为向车辆网络外部或者车辆外部的接口的是OBD插口（OBD-Buchse）60。

所谓的车身控制器40（Body Controller, BCM）不仅与所述主总线10连接，还与另一总线50连接。此外，另外的网络节点、尤其是控制器51至55也与所述另一总线50连接。

在很多情况下，已知的对于车辆网络的攻击篡改在这样的车辆网络1中的标准通知或者诊断通知。在此，由控制器发送本来并非为这些目的而设置的通知。为了使得这些通知相对于在所述总线系统上的正常通知行得通（durchkommen）或者达到目的（sichdurchsetzen），常常以部分显著更高的数据传输率来发送它们。

在所述车辆中占优势的总线类型常常如此工作，使得发送的所有的通知被所有网络节点接收。通常对于进行接收的网络节点而言不清楚的是，哪个（另外的）网络节点发送了某个接收到的通知。通常也不存在1对1通信（1：1-Kommunikation）。这使得识别接收到的通知是否来自于正确的发送方非常困难。

对于车辆网络的、旨在篡改在所述车辆网络中的数据传输的攻击常常远程、即通过无线电接口来执行。这样的攻击能够例如划分为三个步骤：

1. 恶意地远程接管能够遥控的控制器。

2. 篡改该控制器，从而使得这个控制器将某些通知发送到对于安全而言关键的控制器处。

3. 由此使得所述安全而言关键的控制器执行不期望的、尤其是不安全的操作。

能够实现免受这样的供给或者免受被这样篡改的数据传输的保护，其方式是，每个控制器节点都在通知方面监视所述总线，所述通知通常由该总线本身或者只允许由该总线本身来发送。当通过控制器节点识别到这样一个未由其本身发送的通知时，能够存在攻击或者对应的对该数据传输的篡改并且开启合适的应对反应。

然而，恰恰在网络结构更复杂的情况下，用于这样一种措施的资源花费能够急剧增加，例如当大量接收到的通知必须与大量配属于控制器节点的通知进行比较时。此外，可能存在一网络协议，根据所述网络协议通知不允许强制性地只配属于所述控制器节点中的一个控制器节点。这样的通知优选应该从所述比较中排除。因此，为了更有针对性的并且资源更有效的保护措施而提出，不检查所有接收到的通知或者不将所有接收到的通知与配属的通知进行比较，或者所述接收到的通知不与所有配属的通知进行比较。更准确地说，在一种优选的构型方案中，在所述控制器节点中能够存储有某些配属的通知，对于所述配属的通知应该进行与接收到的通知的比较。这优选是对于安全而言特别关键的通知，所述通知也明确地配属于这个控制器节点。控制器节点也能够基于规则地或者随机地或者非确定性地对于比较或者检查而选择所述接收到的通知的子集。

能够设置对于识别到的、在所述车辆网络中的对数据传输的篡改的不同的反应或者应对措施。主要目标应该是，确保该车辆的安全运行。如果这不可能实现，则应该阻止该车辆的运行。

第一障碍（Hürde）在于，识别数据篡改的网络节点如何能够将其它网络节点也纳入到所述应对措施中或者告知这些其它网络节点已识别到攻击。

多种可能性包括：

- 关闭所述车辆网络或者所述车辆网络的一部分，

- 使所述消息无效，

- 将所述信息“隐藏”在合法的通知中（例如错误的CRC码），

- 按要求发送的附加的诊断通知，

- 不再发送合法的通知。

例如，当攻击方用很多通知来淹没所述网络或者所述总线时，最后一种措施也会起作用。在这种情况下，所述通知必然会停止。

第二点在于，所述其它控制器应该如何反应。在这里值得期望的是，尽可能地给攻击方如此少的他能够用来精细化或者扩大攻击的提示。这能够通过下述方式发生，即所有控制器不再信任所述网络或者该网络的一部分、尤其是简单地忽视这个网络。由此，攻击方不再能够继续寻找薄弱点。

附加地，还能够将只有在车间中才能够重置的故障放置在故障存储器中。将该车辆置于紧急运行中是另一种可能性，在点火变化之后重置在所述网络中的信息也是如此。

所提出的的解决方案既不需要附加的硬件，也不需要干预已有的硬件。因此，简单地可能的是，通过具有这样的攻击识别或者具有这样的免受对该数据传输的篡改的保护的软件更新来改进车辆或者车辆网络。

Claims (10)

1.用于保护车辆的车辆网络（1）免受被篡改的数据传输的方法，其中，所述车辆网络（1）包括多个网络节点（21-24、31-33、51-55），并且其中，在所述车辆网络中的至少一个第一网络节点（21）将接收到的通知与配属于所述第一网络节点（21）的通知进行比较，并且当所述接收到的通知中的一个通知与配属于所述第一网络节点（21）的通知一致、但是它并不是由所述第一网络节点（21）所发送时，在所述车辆网络中的至少一个第一网络节点识别到所述被篡改的数据传输，其特征在于，所述第一网络节点（21）只将所述接收到的通知中的选取的通知与配属于所述第一网络节点（21）的通知进行比较或者只将所述接收到的通知与选取的配属于所述第一网络节点（21）的通知进行比较。

2.根据权利要求1所述的方法，其特征在于，在所述第一网络节点（21）中确定为所述比较选取的、配属于所述第一网络节点（21）的通知的数量。

3.根据权利要求1所述的方法，其特征在于，在所述第一网络节点（21）中存储有所述接收到的通知中的哪些通知被选取用于比较的规则。

4.根据权利要求1所述的方法，其特征在于，通过所述第一网络节点（21）从所述接收到的通知中作出用于比较的、不确定性的或者随机的选择。

5.根据上述权利要求中任一项所述的方法，其特征在于，当所述第一网络节点（21）识别到所述被篡改的数据传输时，所述第一网络节点发起用于保护所述车辆网络（1）的应对措施。

6.根据权利要求5所述的方法，其特征在于，所述应对措施包括步骤中的至少一个步骤：

- 关闭所述车辆网络（1）或者所述车辆网络（1）的一部分，

- 使所述第一通知无效，

- 发出错误消息，所述错误消息尤其作为附加的诊断通知或者作为在配属于所述第一网络节点（21）的另一通知中的、尤其是在所述另一通知中的检查区段中的被篡改的信息，

- 停止发送某些通知、尤其是对于安全而言关键的通知，

- 忽略在所述车辆网络（1）中通过所述多个网络节点（21-24、31-33、51-55）中的至少所述第一网络节点（21）接收到的消息，

- 将所述车辆置于具有受限的功能的紧急运行中，

- 在点火变化之后重置在所述车辆网络（1）中的信息。

7.计算机程序，其设置用于执行根据权利要求1至6中任一项所述的方法。

8.机器可读的存储介质，其具有存储在其上的根据权利要求7所述的计算机程序。

9.在车辆中的控制器（21），其特征在于，所述控制器具有计算单元，以便完成根据权利要求7所述的计算机程序，以及具有根据权利要求8所述的机器可读的存储介质。

10.用于保护已经交付的车辆的车辆网络（1）免受被篡改的数据传输的方法，其特征在于，通过软件更新在所述车辆网络（1）的至少一个控制器（21）上运行根据权利要求7所述的计算机程序。