CN110582800A - 用于防护系统免于中继攻击的蓝牙低功耗（ble）被动车辆访问控制系统及其方法 - Google Patents

Abstract

提供了集成到车辆中的蓝牙低功耗（BLE）被动车辆访问控制系统和外部设备，以防护系统免于中继攻击。该系统包括位置接收器，其被配置成确定系统的当前位置。系统的位置可以是以纬度和经度、高度、或其组合的形式。该系统还包括车辆和外部设备。位置接收器可以集成到车辆、外部设备或两者中。处理器可通信耦合至位置接收器，至任何数量的无线收发器。被配置成比较车辆和外部设备二者的当前位置的比较器可以可选地耦合至位置接收器和处理器。可以在车辆中安装任何数量的用于产生磁场的电磁体，并且所述电磁体位于邻近收发器。外部设备的磁力计测量磁场强度，用磁性密钥加密磁场，并且将经加密的磁场返回给车辆。

Description

用于防护系统免于中继攻击的蓝牙低功耗（BLE）被动车辆访 问控制系统及其方法

技术领域

本公开总体上涉及防中继攻击的访问控制系统（access control system），并且更特别地涉及用于防护系统免于中继攻击的BLE被动车辆访问控制系统及其方法。

背景技术

除非本文另外指出，否则本章节中描述的材料不是针对本申请中的权利要求的现有技术，并且这些材料不因包含在本章节中而被承认为现有技术。

标准被动进入系统（PES）的遥控钥匙（key fob）通常在两个无线电频率（RF）上操作。例如，使用低频（LF）通信用于舒适进出（Comfort Entry Go，CEG）功能性所需的接近检测和定位。使用诸如超高频（UHF）之类的另一频率用于扩展通信范围，以实现远程无钥匙进入（RKE）功能性。被动进入系统（PES）具有严格的接近/定位要求。例如，利用提供RKE和CEG的PES系统，仅当驾驶员或被授权访问的人员处于距车辆约2m的边界之内时，车辆才会解锁车门。PES/CEG系统还会仅在遥控钥匙在车辆内部时才允许用户或驾驶员启动引擎。这些定位要求对于任何无线技术来说都很难满足。因此，当前系统在车辆内部和外部都需要LF（例如125 kHz）天线，连同最佳功率控制，才能满足所述接近/定位要求。另一方面，为了满足范围要求（约50m）和天线尺寸要求（即，天线需要适用于较小的遥控钥匙中）二者，从遥控钥匙到车辆的用于RKE的通信链路（即，当用户明确按下遥控钥匙上的锁定/解锁按钮时）是基于UHF。

这些系统容易受到中继攻击的影响。在中继攻击中，攻击器使用中继装置（诸如模拟放大器）来放大从车辆上的PES或遥控钥匙接收到的信号，并将接收到的信号重传回系统或遥控钥匙。这种攻击使遥控钥匙相信驾驶员在车辆附近，因此遥控钥匙以UHF向车辆发送访问控制命令，进而解锁车辆。在更先进的攻击中，一个攻击器还可以采用先进的中继装置，该装置能够测量接收到的信号的功率并通过相应地调整发射功率来复制所述信号。

由于具有若干优点，集成了无钥匙被动进入系统的电子和可穿戴设备正变得越来越广泛使用。例如，用户不需要依赖遥控钥匙来访问车辆，并且进一步地，用户不需要主动与集成了PES的设备或遥控钥匙进行交互来访问车辆。然而，集成了PES的这些设备也容易受到中继攻击的影响。

因此，长期以来需要提供改进的被动车辆访问控制系统，以防护系统免于中继攻击。

发明内容

下面阐述本文公开的某些实施例的概述。应当理解，呈现这些方面仅是为了向读者提供这些某些实施例的简要概述，并且这些方面并不意图限制本公开的范围。实际上，本公开可以涵盖可能未在下面阐述的各种各样的方面。

与BLE被动车辆访问控制系统有关的本公开的实施例包括车辆、可通信耦合至所述车辆的外部设备、位置接收器组件、以及可通信耦合至所述位置接收器组件的处理器，所述位置接收器组件被配置成确定所述车辆和所述外部设备中的至少一个的坐标，如果车辆与所述外部设备的坐标不匹配，则所述处理器禁用所述车辆与所述外部设备之间的通信。所述位置接收器组件包括第一位置接收器和第二位置接收器，其中第一位置接收器确定所述车辆的坐标，并且第二位置接收器确定所述外部设备的坐标。所述坐标包括所述车辆和所述外部设备的纬度和经度、以及高度中的至少一个。所述BLE被动车辆访问控制系统还包括比较器，其被配置成比较所述车辆和所述外部设备的所述坐标。所述位置接收器组件是全球定位系统（GPS）。所述BLE被动车辆访问控制系统还包括磁力计，其被配置成测量由所述车辆产生的磁场的强度，用磁性密钥（secret magnetic key）加密所测量出的磁场，以及将所测量出的磁场与经加密的磁性密钥一起返回给所述车辆。所述磁力计被置于所述外部设备中。

根据本公开的另一示例性实施例，一种访问控制系统包括传感器和与所述传感器通信的处理器，所述传感器用于测量车辆的坐标或磁场强度中的至少一个，所述处理器被配置成禁用外部设备与所述车辆之间的连接。所述传感器是位置接收器，所述位置接收器被置于可通信耦合至外部设备的所述车辆中，以测量所述车辆的坐标。所述坐标是所述车辆的纬度和经度、以及高度中的至少一个。所述传感器是磁力计，其被配置成测量由所述车辆产生的磁场的强度，所述磁力计被置于可通信耦合至所述车辆的外部设备中。所述磁力计还被配置成用磁性密钥加密所测量出的磁场强度，以及将所测量出的磁场强度与所述磁性密钥一起返回给所述车辆。根据本公开的另一示例性实施例，一种方法包括：测量车辆和外部设备中的一个的坐标中的至少一个，以及禁用外部设备与所述车辆之间的连接，其中，所述车辆和所述外部设备的坐标彼此不非常接近地匹配。所述方法还包括：测量由所述车辆产生的磁场的强度，用磁性密钥加密所测量出的磁场强度，以及将所测量出的磁场强度与所述磁性密钥一起返回给所述车辆。

附图说明

当参考附图阅读对某些示例性实施例的以下详细描述时，本公开的这些和其他特征、方面和优点将变得更好理解，其中，各图中同样的记号表示同样的项目（arts），其中：

图1是根据本公开的所描述的实施例的系统的框图；

图2是示出根据公开的RSS简档数据的图表；

图3是根据本公开的另一描述的实施例的系统的框图；

图4是根据本公开的又一描述的实施例的系统的框图；以及

图5是根据本公开的另一描述的实施例的系统的框图。

具体实施方式

呈现以下描述以使得任何本领域技术人员能够制造并使用所描述的实施例，并且以下描述是在特定的应用和其要求的上下文中提供的。对所描述的实施例的各种修改将对于本领域技术人员而言显而易见，并且本文定义的大致原理可以应用于其他实施例和应用而不会偏离所描述的实施例的精神和范围。因此，所描述的实施例不受限于所示实施例，而是应被给予与本文描述的原理和特征相一致的最宽范围。

图1例示了根据公开的系统10。系统10是被动车辆访问控制系统，其包括车辆12和可经由通信链路通信耦合至车辆12的外部设备14。如所例示的，通信链路是蓝牙（BT）通信协议和标准，包括蓝牙低功耗（BLE）通信协议。外部设备14可以是任何启用了BLE的设备，诸如钥匙/卡设备或任何其他客户端设备。外部设备14还包括业界普遍已知的被动车辆访问控制功能性。钥匙/卡设备可以是遥控钥匙、钥匙卡、客户端设备、访问钥匙、访问卡、智能卡、智能钥匙或任何合适的启用了BLE的设备。客户端设备可以是智能电话、个人数字助理（PDA）、平板电脑、膝上型电脑、便携式个人计算机、平板手机、可穿戴设备、薄型设备（thindevice）、厚型设备（thick device）、娱乐设备、信息娱乐设备、或者包括蓝牙低功耗协议或任何合适的BT通信协议的任何合适的便携式/可穿戴设备。如所例示的，钥匙/卡设备是智能钥匙18，并且客户端设备是平板手机16，两者均具有BLE被动车辆访问控制。包括集成天线的多个无线收发器20、22、24、26安装在车辆12内和周围的各个位置处。在一个实施例中，天线是定向天线。取决于应用，其他合适的天线可集成到收发器中或耦合至收发器。例如，无线收发器20和24安装在前门把手附近。无线收发器22安装在车辆的后端附近，而无线收发器26安装在车辆的前端。例如，无线收发器26位于仪表板附近的位置处。如可以看到的，除了面向车辆内部的无线收发器26之外，其余的无线收发器20、22、24都面向外部。任何数量的收发器20、22、24、26周期性地发射诸如广告信标之类的信号，以向由车辆12的驾驶员或授权人员携带的智能钥匙18或平板手机16中的至少一个宣告车辆12的存在。当智能钥匙18或平板手机16中的一个接收到这些广告信标时，智能钥匙18或平板手机16中的一个经由例如收发器20、22、24、26开始或发起与车辆12的连接和认证过程。在此过程期间，车辆12与智能钥匙18或平板手机16中的一个不断交换数据包。完成此过程后，智能钥匙18或平板手机16中的一个周期性地发射信标，同时任何数量的收发器20、22、24、26或与收发器20、22、24、26耦合的启用了BLE的被动车辆访问控制设备测量这些信标的接收信号强度（RSS），以便估计智能钥匙18或平板电话16中的一个的位置。启用了BLE的被动车辆访问控制设备也位于车辆12上。在一些实施例中，不止一个启用了BLE的被动车辆访问控制设备可以安装在车辆12中，然后经由任何数量的通信链路耦合至任何车载设备。在一些实施例中，启用了BLE的被动车辆访问控制设备远程地位于车辆12外部，并且可经由任何合适的通信接口通信耦合至车辆12。在另一实施例中，启用了BLE的被动车辆访问控制设备位于网络中。网络可以是例如局域网（LAN）、城域网（MAN）、广域网（WAN）、包括位于车辆12与外部设备14之间的多个子网的主网络、云网络等。在又一实施例中，启用了BLE的被动车辆访问控制设备位于服务器上。云网络可以是例如公共云网络、私有云网络。

为了提高在控制对车辆的访问时的安全性水平并且为了防护系统10免于在车辆12与外部设备14之间建立的通信期间执行的中继攻击，提供了部署在外部设备14中的运动检测器28。在一个实施例中，运动检测器28包括加速度计，并且被配置成检测和区分各种类型的运动和振动。在一些实施例中，运动检测器28包括运动传感器、陀螺仪、磁力计、振动传感器或任何其他合适的传感器。以一组计算机可执行指令或数据结构的形式的期望的程序代码可以存储在运动检测器28中，并且所述指令允许运动检测器28检测和区分各种类型的运动和振动。耦合至加速度计28的处理器接收包括加速度数据的测量出的信息，将加速度数据与如下面详细描述的一组预定判据进行比较，并且区分与外部设备14的运动或振动相关联的加速度数据。此外，处理器分析加速度数据以确定运动和振动的序列是否与一组预定判据（即，运动和振动的预期序列）匹配。一组预定判据包括显著或最大运动，例如走向车辆或从车辆离开；最小运动，例如单步检测；无运动，例如位置无变化；振动模式等。如果运动和振动的序列与该组预定判据不匹配，则禁用车辆12与外部设备14之间的双向通信，这进而破坏了任何中继攻击。

外部设备14的运动检测器28或位于车辆12中的处理器可以被配置成区分真实运动事件与虚假运动事件。例如，位于车辆12中的处理器从运动检测器28接收包括加速度数据的测量出的信息，将加速度数据与一组预定判据进行比较，并在真实运动事件和虚假运动事件之间区分所述加速度数据。如果该事件被确定为是虚假运动事件，即，外部设备14没有正在移动，则禁用车辆12与外部设备14之间的双向通信，以防护车辆12和外部设备14免于任何中继攻击。在一个示例中，处理器和加速度计可以集成到运动检测器28中。在另一示例中，处理器位于外部设备14内的某处，并且是与运动检测器28彼此独立的组件。在又一个示例中，处理器位于车辆12中，并且运动检测器28可通信耦合至处理器。

为了在控制对车辆的访问时提供另一安全性水平并且为了防护系统10免于在车辆12与外部设备14之间建立的通信期间的中继攻击，提供了具有一组计算机可执行指令的微处理器30，所述指令包括TX功率简档。在连接和认证阶段期间，外部设备14和车辆12向彼此发射若干个包。例如，发射设备（诸如外部设备14）根据特定且秘密的模式来调制连续发射的发射（TX）功率水平，从而在通信链路的接收端（诸如车辆12）处创建同样的RX功率（RSS）水平简档，其用作建立外部设备14与车辆12之间的连接之前的认证。车辆12中的通信链路的接收端测量连续传入信号的RX功率（RSS）水平，将连续传入信号的RX功率水平与存储在机器可读介质中的预定义的安全模式进行比较。机器可读介质可以位于车辆12、外部设备14、网络或服务器中。如果传入信号的RSS恒定，则禁用车辆12与外部设备14之间的通信，这进而破坏了任何中继攻击。图2A示出了由攻击器产生的恒定RSS简档的图表40。现在参考图2B，秘密的TX功率简档产生了特定且秘密的RSS简档模式，如图表48所例示的那样。如可以看到的，车辆12和外部设备14二者都能够通过测量接收信号的功率并然后将所得RSS简档与预定义且安全的TX功率简档进行比较来检测中继攻击的存在。在一个实施例中，在连接和认证阶段期间以改变发射功率水平的方式多次发射同一个包（消息）。在另一实施例中，在连接和认证阶段期间以改变发射功率水平的方式发射每个包（消息）。在又一实施例中，可以将用于发射包（消息）的发射功率水平添加到经加密的所发射的包的有效载荷中。车辆12中的通信链路的接收端测量接收到的包的RSS，并且将该值添加到经加密的响应包的有效载荷中。进而，发射设备14进一步使用该信息来将其自身的发射功率水平调整至相同的水平。

图3例示了根据公开的另一系统60。系统60与图1中例示的系统10相同，除了系统60包括被配置成测量大气压力的大气压力传感器64，最终将所测量出的大气压力转换成高度值。如果车辆12的高度值与外部设备14的高度值不匹配，则禁用车辆12与外部设备14之间的双向通信，这进而破坏了任何中继攻击。该高度或大气压力读取过程在控制对车辆12的访问时以及为了防护系统60免于在车辆12与外部设备14之间建立的通信期间的中继攻击而提供了安全性水平。在一个实施例中，大气压力传感器64集成到运动检测器28中。在另一实施例中，大气压力传感器64可以是可通信耦合至运动检测器28的单独的部件。以一组计算机可执行指令或数据结构的形式的合适的程序代码可以存储在大气压力传感器64中，并且所述指令使大气压力传感器64测量大气压力水平并比较车辆12和外部设备14的所得高度。在一些实施例中，先前在图1中描述的处理器不仅能够将由加速度计28收集的加速度数据与一组预定判据进行比较并区分与外部设备14的运动或振动相关联的加速度数据，而且该处理器还能够比较车辆12和外部设备14的高度。

图4例示了根据公开的另一系统80。系统80与图1中例示的系统10相同，除了系统80包括用于确定系统的当前位置的位置接收器82。在一个实施例中，位置接收器82是全球定位系统（GPS），其被配置成确定系统的当前坐标，诸如纬度和经度。在另一实施例中，不同于纬度和经度，位置接收器82可以确定系统80的高度。外部设备14和车辆12中的每一个包括位置接收器82。外部设备14的位置接收器82经由合适的通信协议将外部设备14的当前位置详细资料发射给车辆12。车辆12的位置接收器82接收外部设备14的当前位置详细资料，并将接收到的外部设备14的当前位置详细资料与车辆12的当前位置详细资料进行比较。如果车辆12和外部设备14的这两个位置详细资料不匹配，则禁用车辆12与外部设备14之间的双向通信并终止认证过程。在一些实施例中，可以提供可选的比较器以比较车辆12和外部设备14二者的当前位置详细资料。如果车辆12和外部设备14的当前位置详细资料彼此不匹配，则禁用车辆12与外部设备14之间的双向通信并终止认证过程。在一个实施例中，比较器可以集成到位置接收器82中。在其他实施例中，比较器可以耦合至位置接收器82。

图5例示了根据公开的另一系统100。系统100与图1中例示的系统10相同，除了系统100被配置成测量由车辆12产生的磁场的强度。如所描绘的，车辆12包括至少一个电磁体E，其位于与收发器20、22、24、26相同的位置处。在一些实施例中，电磁体E可以被置于收发器20、22、24、26内。在另一实施例中，电磁体E可以被置于邻近收发器20、22、24、26处。描绘了三个电磁体E，然而，可以建议任何数量的电磁体而不会脱离本公开的范围。外部设备14（诸如智能钥匙18、瘦型客户端28或任何合适的设备）至少包括传感器92，诸如磁力计。当车辆12接收到来自中继攻击器的复制外部设备14的包时，车辆12根据随机产生的密钥而产生包括强度变化的磁场。外部设备14中的任何一个使用磁力计92来测量由车辆12产生的磁场的强度。磁力计92用磁性密钥来加密所测量出的磁场，并将所测量出的磁场与经加密的磁性密钥一起发射回给车辆12。该过程确认了外部设备14确实存在于车辆12附近。如果磁性指纹不能被外部设备14中的至少一个识别或测量，则外部设备14接收包括磁性指纹的包，并且确定接收到的包不是由车辆12发射的而是从诸如攻击器之类的另一未授权设备发射的。外部设备14继续检测任何正在进行的攻击并停止与车辆12的通信。

已通过示例的方式示出了上述实施例，并且应当理解，这些实施例可以容许各种修改和替代形式。还应当理解，权利要求不意图受限于所公开的特定形式，而是意图覆盖落入本公开的精神和范围内的所有修改、等同和替代方案。

在本公开范围内的实施例还可以包括用于承载计算机可执行指令或数据结构或具有计算机可执行指令或数据结构存储于其上的非暂时性计算机可读存储介质或机器可读介质。这样的非暂时性计算机可读存储介质或机器可读介质可以是通用或专用计算机能够访问的任何可用介质。以示例而非限制的方式，这样的非暂时性计算机可读存储介质或机器可读介质可以包括RAM、ROM、EEPROM、CD-ROM或其他光盘存储、磁盘存储或其他磁性存储设备、或者可以用于承载或存储以计算机可执行指令或数据结构的形式的期望的程序代码构件的任何其他介质。上述的组合也应包括在非暂时性计算机可读存储介质或机器可读介质的范围内。

实施例也可以实践于分布式计算环境中，其中任务由通过通信网络（通过硬连线链路、无线链路或通过其组合）来链接的本地和远程处理设备来执行。

计算机可执行指令包括例如使通用计算机、专用计算机或专用处理设备实行某些功能或功能组的指令和数据。计算机可执行指令还包括由单机或网络环境中的计算机执行的程序模块。一般而言，程序模块包括执行特定任务或实现特定抽象数据类型的例程、程序、对象、部件和数据结构等。计算机可执行指令、相关联的数据结构和程序模块表示用于执行本文公开的方法的步骤的程序代码构件的示例。此类可执行指令或相关联的数据结构的特定序列表示用于实现这样的步骤中描述的功能的对应动作的示例。

尽管已参考各种实施例描述了本专利，但是将要理解，这些实施例是例示性的，并且本公开的范围不限于这些实施例。许多变型、修改、添加和改进是可能的。更一般地，已在特定实施例的上下文中描述了根据本专利的实施例。可以在本公开的各种实施例中以不同方式分离或整块组合功能性，或者以不同的术语描述功能性。这些和其他变型、修改、添加和改进可以落入如随附权利要求中限定的本公开的范围内。

Claims (17)

1.一种BLE被动车辆访问控制系统，包括：

车辆；

可通信耦合至所述车辆的外部设备；

位置接收器组件，所述位置接收器组件被配置成确定所述车辆和所述外部设备中的至少一个的坐标；以及

可通信耦合至所述位置接收器组件的处理器，如果车辆与所述外部设备的坐标不匹配，则所述处理器禁用所述车辆与所述外部设备之间的通信。

2.根据权利要求1所述的BLE被动车辆访问控制系统，其中，所述位置接收器组件包括第一位置接收器和第二位置接收器；

其中，第一位置接收器确定所述车辆的坐标，并且第二位置接收器确定所述外部设备的坐标。

3.根据权利要求2所述的BLE被动车辆访问控制系统，其中，所述坐标包括所述车辆和所述外部设备的纬度和经度、以及高度中的至少一个。

4.根据权利要求3所述的BLE被动车辆访问控制系统，还包括比较器，其被配置成比较所述车辆和所述外部设备的所述坐标。

5.根据权利要求2所述的BLE被动车辆访问控制系统，其中，所述位置接收器组件是全球定位系统（GPS）。

6.根据权利要求2所述的BLE被动车辆访问控制系统，还包括磁力计，其被配置成测量由所述车辆产生的磁场的强度，用磁性密钥加密所测量出的磁场，以及将所测量出的磁场与经加密的磁性密钥一起返回给所述车辆。

7.根据权利要求6所述的BLE被动车辆访问控制系统，其中，所述磁力计被置于所述外部设备中。

8.根据权利要求6所述的BLE被动车辆访问控制系统，其中，所述外部设备是钥匙/卡设备和客户端设备中的至少一个。

9.根据权利要求8所述的BLE被动车辆访问控制系统，其中，所述钥匙/卡设备是遥控钥匙、钥匙卡、访问钥匙、访问卡、智能卡和智能钥匙。

10.根据权利要求8所述的BLE被动车辆访问控制系统，其中，所述客户端设备是智能电话、个人数字助理（PDA）、平板电脑、膝上型电脑、便携式个人计算机、平板手机、可穿戴设备、薄型设备、厚型设备、娱乐设备和信息娱乐设备。

11.一种用于车辆的访问控制系统，包括：

传感器，其用于测量所述车辆的坐标或磁场强度中的至少一个；以及

与所述传感器通信的处理器，其被配置成禁用外部设备与所述车辆之间的连接。

12.根据权利要求11所述的访问控制系统，其中，所述传感器是位置接收器，所述位置接收器被置于可通信耦合至外部设备的所述车辆中，以测量所述车辆的坐标。

13.根据权利要求12所述的访问控制系统，其中，所述坐标是所述车辆的纬度和经度、以及高度中的至少一个。

14.根据权利要求11所述的访问控制系统，其中，所述传感器是磁力计，其被配置成测量由所述车辆产生的磁场的强度，所述磁力计被置于可通信耦合至所述车辆的外部设备中。

15.根据权利要求14所述的访问控制系统，其中，所述磁力计还被配置成用磁性密钥加密所测量出的磁场强度，以及将所测量出的磁场强度与所述磁性密钥一起返回给所述车辆。

16.一种方法，包括：

测量车辆和外部设备中的一个的坐标中的至少一个；以及

禁用外部设备与所述车辆之间的连接；

其中，所述车辆和所述外部设备的坐标彼此不非常接近地匹配。

17.根据权利要求15所述的方法，还包括：

测量由所述车辆产生的磁场的强度；

用磁性密钥加密所测量出的磁场强度；以及

将所测量出的磁场强度与所述磁性密钥一起返回给所述车辆。