CN112567694A

CN112567694A - 对网络连接窃听情况的监测

Info

Publication number: CN112567694A
Application number: CN201980053775.6A
Authority: CN
Inventors: H·齐内尔
Original assignee: Continental Automotive GmbH
Current assignee: Continental Automotive Technologies GmbH
Priority date: 2018-08-17
Filing date: 2019-08-15
Publication date: 2021-03-26
Also published as: DE102018213898A1; DE102018213898B4; US20210194922A1; WO2020035576A1; US11647045B2

Abstract

本发明涉及一种用于检测对网络(3)的第一用户(1)与第二用户(2)之间的通信进行的未授权窃听的方法(100)，该方法具有以下步骤：·第一用户(1)确定(110)用于经由网络(3)向第二用户(2)发送数据的传输时间(11)；·第一用户(1)确定(115)随机值(12)并将该随机值(12)加(120)到该传输时间(11)以便获得等待时间(13)；·第一用户(1)等待(130)该等待时间(13)，创建(140)包含时间戳(41)的至少一个数据包(4)，并将该数据包(4)发送(150)到第二用户(2)；·第二用户(2)记录(160)其接收到数据包(4)的时间(42)并将该时间(42)与数据包(4)中包含的时间戳(41)进行比较(170)；·对于确定：数据包(4)在时间戳(41)中指示的时间之前到达(181)，数据包在时间戳(41)中指示的时间之后的预定的容差时间之后到达(182)，或者数据包在第二用户(2)中能够预期该数据包的时间之前到达(183)或在该时间之后(184)的预定的容差时间之后到达，第二用户(2)将该确定评估(180)为对第一用户(1)与第二用户(2)之间的通信在没有授权的情况下被窃听的指示。

Description

对网络连接窃听情况的监测

技术领域

本发明涉及一种可以用于监测车辆中的以太网网络的方法，尤其用于监测通信是否被在没有授权的情况下环进的用户窃听。

背景技术

对于车辆中的控制单元、传感器和致动器的互连，长期以来一直使用网络来代替单独的点到点连接，以节省布线的成本和重量。为此目的，最常用的是总线系统，诸如CAN、MOST和FlexRay。还期望的是在未来使用以太网，以太网本身已成为用于车辆外部的网络的最常用标准。

从单独的点到点连接到网络的转变节省了布线工作量这一事实是以下事实的直接结果：在网络中多个用户共享一个物理传输介质(例如缆线)。这同时也减少了希望在没有授权的情况下窃听通信的攻击者的工作量。这种窃听的目的可能旨在例如研究装置的行为以便例如在没有授权的情况下对装置的软件进行反向工程，或者旨在使用替换装置来模拟装置的行为。可以使用这种未授权替换来实现例如植入控制单元的目的，该控制单元使得可以在没有原始钥匙的情况下启动被盗车辆。

为了窃听线路路径上的通信，在不是以总线形式构造的网络中，需要将读取器环进(einschleifen)线路路径中。为此目的，线路路径被断开，并且读取器具有两个收发器(PHY)，两个断开端连接到这两个收发器。到达一个PHY的数据包然后被传送到读取器以进行进一步处理或存储并且同时由第二PHY再次发送到线路路径的剩余部分上。

因此，线路路径增加了两个附加的PHY。由于PHY内的信号处理在各自的情况下仅以有限速度起作用，因此被窃听数据包的行进不可避免地被延迟。因此监测包传输时间使得可以检测数据包是否已直接从第一用户传递到第二用户或者该数据包在途中是否还通过了读取器的其他PHY。从DE 10 2012 216 689 B4和DE 10 2014 204 033 A1已知对应的检查方法。

发明内容

本发明提供了一种用于检测对网络的第一用户与第二用户之间的通信进行的未授权窃听的改进方法。

在该方法中，第一用户确定用于经由网络向第二用户发送数据的传输时间。这可以以任何期望的方式来执行。例如，该传输时间可以例如根据时间同步标准IEEE 802.1AS和其中包含的PTP协议在第一用户与第二用户之间的时间同步过程中进行。例如，在该协议的范围内实施的“延迟请求”消息和“对等延迟”消息因此可以用作数据包。然而，该方法不限于此。重要因素仅在于，传输时间是基于从第一用户到第二用户的发送路径的实际物理状况以某种形式确定的，也就是说，存在发送路径的物理状况或特性，该物理状况或特性的变化会导致所确定的传输时间发生变化。

第一用户确定随机值并将随机值加到传输时间以便获得等待时间。在这种情况下，该随机值可以是正值或负值。特别地，正的负的随机值的分布例如可以在零或任何期望的其他预期值附近波动。

第一用户等待该等待时间，创建包含时间戳的至少一个数据包，并将该数据包发送到第二用户。时间戳在这种情况下可以特别地包含尽可能接近数据包的实际发送时间的时间指定。等待时间本身仍然是秘密的且不会经由网络发送。

第二用户记录其接收到数据包的时间并将该时间与数据包中包含的时间戳进行比较。

对于确定(Feststellung)：数据包在时间戳中指示的时间之前到达，数据包在时间戳中指示的时间之后的预定的容差时间之后到达，或数据包在第二用户中能够预期该数据包的时间之前到达，第二用户将该确定评估为对第一用户与第二用户之间的通信在没有授权的情况下被窃听的指示。

已经认识到，由用于发送数据的传输时间和随机值的组合形成等待时间使该方法出人意料地特别能抵抗旁路尝试。

如上文解释的，将读取器环进线路路径中导致该线路路径于是包含两个其他PHY。由此导致的包传输时间延迟不能再被读取器消除。然而，如果可以从读取器的角度预测包将从第一用户发送到第二用户以及该包将大致具有什么内容，则读取器可以自己生成该包，并可以在适当的时间将其发送到第二用户。从第二用户的角度，这样就好像数据包是直接从第一用户到达的，而没有中间的读取器。如果第一用户现在实际发送数据包，则这会被读取器抑制。

例如尤其是在第一用户与第二用户根据预定的协议以双向方式交换数据并以周期性间隔检查包传输时间的情况下，这种攻击是可以想到的。

将随机成分引入到等待时间中现在确保了读取器更加难以预测第一用户发送包的时间以及因此第二用户根据时间戳预期该包的时间。这增加了由读取器以未经授权的方式创建的并旨在替换由第一用户发送的数据包的数据包在第二用户没有预期该数据包的时间到达第二用户和/或数据包的时间戳与该数据包到达第二用户的时间之间存在差异的可能性。特别地，从第二用户的角度，如果数据包在其据称的发送时间之前到达，或者如果该数据包例如作为对来自第二用户的请求的响应早于考虑到往返的传输时间的实际可能时间到达，则这绝对不是合适的。

在此上下文中，对先前确定的传输时间的考虑也是附加的熵源，这进一步提高了安全性。在将非确定性物理过程(例如电子噪声或放射性衰变)转换为数字信号的意义上，用于计算机(并且尤其是用于嵌入式系统或网络组件)的典型随机数发生器不是“真实”的随机数发生器。而是，这里使用了伪随机数发生器。从初始化开始，这些发生器以确定性方式生成数字序列，并且通常还依赖于准随机系统事件进行初始化。如果数据包的发送时间仅随伪随机数发生器而变化，则因此可以在一定范围内预测该时间。在这种情况下，对传输时间的附加考虑意味着等待时间取决于真实的物理随机成分，而无需为此目的增加硬件。

一般情况下，将等待时间关联到先前确定的传输时间具有的效果是，在生产和配置上相同的用户取决于网络中的使用地点而使用不同的等待时间。

例如，在千兆位以太网网络中，两个PHY之间的常规包发送延迟约为400ns。添加其他PHY会导致100至200ns数量级的进一步延迟，并且因此非常明显。

在一种特别有利的配置中，该第二用户附加地还将以下确定评估为对该第一用户与该第二用户之间的通信在没有授权的情况下被窃听的指示：该时间戳处在第一用户能够发送数据包的时间之前或处在该时间之后的预定的容差时间之后。例如，如果该数据包是对来自第二用户的请求的响应，则实际上，此响应不可能在第一用户最早可以收到该请求之前就被发送。

在一种特别有利的配置中，该方法分支返回至等待该等待时间并且然后创建并发送下一数据包，直到满足预定的基于时间或事件的中止条件为止。在此还可以分别等待标称的循环时间。例如，标称上可以每秒发送一个数据包，其中，等待时间也被附加地加到这一秒。于是可以将一次随机确定的等待时间用于发送多个数据包。

作为对满足了中止条件的响应，该方法分支返回至确定传输时间或确定随机值。这然后产生了新的等待时间。检测到对网络的攻击例如被认为是基于事件的中止条件。

在进一步特别有利的配置中，第二用户保留关于在数据包的到达时间与数据包中包含的时间戳之间的比较的结果的历史记录。此外，对于以下确定：新的比较的结果显著不同于该历史记录，该第二用户将该确定评估为对第一用户与第二用户之间的通信在没有授权的情况下被窃听的指示，和/或对第一用户已经在没有授权的情况下被另一装置替换的指示。

包传输时间总是可能存在一定波动，这例如是由抖动或环境温度的变化引起的。然而，例如，如果包传输时间跳跃式变化，则这指示存在操纵。可以将对历史记录的考虑例如用于例如基于温度波动或基于为PHY安装的晶体的已知老化曲线来检测长期趋势，并用于仅将与该趋势不同的包传输时间变化评估为可疑。在此方面，然后可以相应地缩小容差限制。

在此上下文中，已经认识到，PHY处理包所需的时间在不同的PHY之间的差异很大，尤其是即使两个PHY标称上都来自同一制造商的情况下。其原因在于，为PHY安装的并产生系统时钟的晶体的制造容差。如果以所描述的方式考虑历史记录，则可以检测一个PHY是否已被另一个PHY替换。特别地，因此可以检测到第一用户已经在没有授权的情况下被另一装置替换。

在防盗保护的意义上，该检测尤其可以用于将车辆中的装置彼此联合。

例如，如果车辆的中央控制单元(ECU)已经在没有授权的情况下被另一装置替换，则与该中央控制单元协作的装置可以停止起作用。这样就不能再通过将中央控制单元替换为受操纵的控制单元来启动车辆，该受操纵的控制单元允许即使在没有原始钥匙的情况下也进行启动。此外，这还使得可以防止其他操纵，例如通过替换中央控制单元而未经授权就提高动力或提高规定的最大速度。

然而，防盗保护还可以例如针对单独的装置(例如针对永久安装的导航系统)来实施。因此，可以通过检查至其他装置(例如中央控制单元)的包传输时间，将导航系统“捆绑”到特定的车辆。与装置的序列号和其他标识符相比，这些包传输时间实际上不能被伪造，因为它们是由布线架构、并且特别地还由所涉及的PHY确定的。

例如，还可以检测到转速计或另一控制单元的替换，该替换目的是使二手车的公里数“复原”并用过高的现值欺骗购买者。

根据以上描述，有利地将网络选择为太网网络。广泛使用的以太网网络是对主要用于汽车技术和其他控制技术(诸如CAN、MOST和FlexRay)的网络的灵活且可扩展的替代。以太网的广泛使用的缺点是，例如，很容易获得读取器以及使用读取器所必要的知识。例如，“Taps”(测试访问点)是常用的诊断网络问题的工具，其使得可以在没有检查包传输时间的情况下不被察觉地窃听通信。因此，通过更改为以太网，对车辆网络攻击的障碍首先倾向于被降低。这在使用所描述的方法的情况下被过度补偿。

该数据包有利地是在OSI模型的物理层/比特位传输层上发送的。然后，实际的发送时间最接近数据包中包含的时间戳。

根据以上描述，有利地选择车辆的车载网络作为该网络。该方法提供的效果(具体是防止对通信的未经授权窃听和防止装置替换)也可以在车辆外部以不同的方式并且以更高的安全级别(例如通过使用加密术)来实现。相比之下，在车辆中，为连接到网络的所有用户购买足以进行无缝加密通信的硬件设备通常是不经济的。所描述的方法以相当少的硬件资源为前提并因此提高了安全级别，而这并不必须与网络或连接到网络的装置的更高生产成本相关联。

在进一步特别有利的配置中，使用温度传感器来测量该车辆中的温度T₁和/或环境温度T₂。将容差时间和/或数据包的预期发送或接收时间追溯到温度T₁的变化和/或温度T₂的变化。

已经认识到，温度是改变包发送的传输时间的最重要物理影响变量。通过至少部分地消除这种影响，容差时间总体上可以范围更窄。因此，从读取器的角度，猜测用于发送旨在代替由第一用户发送的数据包的数据包的正确时间变得更加困难。

对于确定通信在没有授权的情况下被窃听和/或该第一用户已经在没有授权的情况下被另一装置替换，作为相应：有利地阻断控制单元、导航系统和/或娱乐系统的功能，锁定该车辆的防盗器，和/或通过控制该车辆的转向系统、驱动系统和/或制动系统将该车辆从车流中移出。所述操纵是在使用者常规地使用车辆期间不会发生的事件。通常还已知的是，不允许对车辆的重要部件进行操纵，并且这种操纵可能导致操作许可失效。因此，部分或完全阻断功能、或者甚至停用车辆都是合理的。

在进一步有利的配置中，对于传输时间处在下限阈值与上限阈值之间的范围之外，作为响应：确定网络已被操纵。在这种情况下，由此可以获取到的操纵不限于对通信的窃听和装置替换。更确切地说，例如，还可以获取到对网络的架构的改变。例如，如果第一用户与第二用户之间的距离发生变化，或者如果针对连接使用了不同的缆线类型，则传输时间可能会发生变化。

如果使用上限阈值和下限阈值，则可以有利地检查传输时间与等待时间之和是否在下限阈值与上限阈值之间。如果不在下限阈值与上限阈值之间，则可以相应地调整等待时间，例如，如果该和低于下限阈值，则通过加上下限阈值；或者如果该和高于上限阈值，则通过减去上限阈值。这使得可以防止第二用户已经错误地将等待该等待时间评估为操纵。

如上所述，该方法的主要优点在于，即使在不使用附加硬件的情况下，该方法也可以将从第一用户到第二用户的线路用作用于随机形成等待时间的硬件相关的熵产生手段。该方法尤其可以以软件的形式实施，该软件可以作为对网络中用户的现有软件或固件的更新或升级来出售，并且在这方面构成独立的产品。因此，本发明还涉及一种具有机器可读指令的计算机程序，这些机器可读指令当在计算机、控制单元和/或嵌入式系统上执行时使得该计算机、该控制单元或该嵌入式系统执行所描述的方法。本发明同样还涉及具有这种计算机程序的机器可读的数据存储介质或下载产品。

原则上，该方法也可以在车辆外部使用，特别是在嵌入式系统领域。取决于这些系统的应用领域，还存在很高的安全性要求，而同时只有很少的计算能力可用于实施附加安全机制。硬件平台的修订周期也比较长，特别是当这种修订会使平台的现有认证无效并需要新的批准时。

附图说明

下文中基于附图说明本发明的主题，但是不限制本发明的主题。在附图中：

图1：示出了方法100的示例性实施例；

图2：示出了通过读取器6进行的对网络3的攻击场景；

图3：示出了通过用另一装置1’替换第一用户1进行的对网络3的攻击场景。

具体实施方式

图1示出了方法100的示例性实施例。在可选步骤101中，选择以太网网络作为网络3。在可选步骤102中，选择车辆5的车载网络作为网络3。

在步骤110中，网络3的第一用户1确定用于向第二用户2传输数据的传输时间11，这尤其可以在第一用户1与第二用户2之间时间同步105的过程中进行。

在步骤115中，第一用户1还确定随机值12，该随机值在步骤120中将被加到传输时间11以便形成等待时间13。在步骤130中，以等待时间13进行等待。

然后在步骤140中生成具有时间戳41的数据包4，并在步骤150中将该数据包发送到第二用户2。在步骤160中，第二用户2记录其接收到数据包4的时间42。在步骤170中，将该时间42与时间戳41进行比较。如果：

-在步骤181中，确定了该数据包4在时间戳41中所指示的时间之前到达，

-在步骤182中，确定了该数据包在时间戳41中指示的时间之后的预定的容差时间之后到达，

-在步骤183中，确定了该数据包在第二用户2中能够预期该数据包的时间之前到达，

-在步骤184中，确定了该数据包在第二用户中能够预期该数据包的时间之后的预定的容差时间之后到达，

-在步骤185中，确定了时间戳41是在第一用户1能够发送数据包4的时间之前，或者

-在步骤186中，确定了时间戳41是在第一用户1能够发送数据包4的时间之后的预定的容差时间之后，

则在步骤180中对此作出如下评估：在第一用户1与第二用户2之间的通信在没有授权的情况下被窃听。

在此例如可以根据第二用户2向第一用户1发送请求20(图1中未描绘)的时间来得到在第二用户2中能够预期该数据包4的最早可能时间。然后，响应于这种请求20而发送的数据包4实际上必须至少延迟一定时间，该时间至少是通过网络3往返所需的时间。如果数据包4较早到达，则该数据包只能是来自图1中未描绘的读取器6的预制的数据包4’。

同样，第二用户2发出请求20的时间也可以规定第一用户1根据时间戳41最早能够发送数据包4的时间：实际上，第一用户1不能在其最早能够接收到请求20之前发送响应4。

当数据包4不是对来自第二用户2的先前请求的响应时，也可以检测到时间戳41与第二用户2接收到数据包4的时间之间的差异。由于可能的读取器6无法根据第一用户1的读取的真实数据包4或根据第二用户2的读取的请求20生成伪造数据包4’，因此可能会出现这种差异。以这种方式生成的伪造数据包4’在任何情况下都准备得太晚，并且甚至将更晚到达第二用户2。相反，伪造数据包4’必须预先产生，并且必须在预测的或猜测的发送时间被发送。

在可选步骤171中，使用温度传感器来测量车辆5中的温度T₁和/或环境温度T₂。在可选步骤172中，将容差时间和/或数据包4的预期发送或接收时间追溯到温度T₁的变化和/或温度T₂的变化。

在可选步骤175中，可以保留比较170的结果的历史记录21。如果然后在步骤187中确定新比较170的结果显著不同于历史记录21，则同样可以在步骤180中推断出存在对通信的未经授权窃听。

还可以检查传输时间11是否实际上在下限阈值11a与上限阈值11b之间的合理范围内。如果不是这种情况(真值0)，则在步骤188中可以确定网络3已被操纵。

相比之下，如果符合合理范围(真值1)，并且同时如果先前的检查181至187均是不值得注意的(在各自的情况下为真值0)，则可以检查是否已满足基于时间或事件的中止条件190。如果不是这种情况(真值0)，则可以在步骤200中可能在等待正常的周期性循环时间之后分支返回等待随机确定的等待时间13，也就是说，现有等待时间13可以继续用于下一循环。

相反，如果已满足中止条件190，则可以在步骤191中更新对传输时间11的确定110和/或可以在步骤192中更新对随机值12的确定115。

响应于确定180通信在没有授权的情况下被窃听和/或第一用户1已经在没有授权的情况下被另一装置1’替换，和/或响应于确定188网络3实际上已被操纵，则可以在步骤210至230中做出反应。在步骤210中，因此可以阻断控制单元51、导航系统52和/或娱乐系统53的功能。在步骤220中，可以锁定车辆5的防盗器54。在步骤230中，可以通过控制转向系统55、驱动系统56和/或制动系统57将车辆5从车流中移出。

图2示出了可能的攻击场景，在该攻击场景中，读取器6已环进具有第一用户1和第二用户2的网络3中。如果不存在读取器6，则将在用户1的PHY 1a与用户2的PHY 2a之间直接发送数据包。读取器6将两个其他PHY 6a和PHY 6b引入数据包的行进路线中，这导致对应的延迟。

在图2所示的情况下，第二用户2向第一用户1发送请求20，并等待对该请求的响应。由读取器6的两个附加PHY 6a和PHY 6b引起的延迟总体上较大，使得响应于请求20或者甚至响应于来自第一用户1的真实数据包4才生成带有时间戳41’的伪造数据包4’将准备得太晚，以至于不足够接近如果在没有读取器6的情况下带有时间戳41的真实数据包4会到达第二用户的时间。替代地，在第二用户2发送请求20之前，读取器6必须已经创建了伪造数据包4’及其时间戳41’。因此，读取器6必须猜测第一用户1发送数据包4的时间。通过随机确定的等待时间13，猜测变得更加困难。

图3示出了另一可能的攻击场景，在该攻击场景中，在网络3中，第一用户1已被具有PHY 1a’的另一装置1’替换。用户1通常将发送带有时间戳41的数据包4。替代地，替换装置1’发送带有时间戳41’的伪造数据包4’。由于PHY 1a’不可避免地与原始第一用户1的PHY1a不同，因此它会导致时间戳41’的创建与数据包4的创建之间的延迟不同于原始PHY所导致的在时间戳41的创建与数据包4的创建之间的延迟。这导致在第二用户2侧，数据包4’的到达与包含在该数据包中的时间戳41’之间的显著不同的偏移量。在第一用户1被另一装置1’替换之前，第二用户2已经创建了该偏移量的历史记录21，因此可以检测到该替换。

附图标记列表

1 网络3的第一用户

1’ 第一用户1的替换装置

1a 第一用户1的PHY接口

1a’ 替换装置1’的PHY接口

11 从第一用户1到第二用户2的传输时间

11a 传输时间11的下限阈值

11b 传输时间11的上限阈值

12 随机值

13 由传输时间11和随机值12形成的等待时间

2 网络3的第二用户

2a 第二用户1的PHY接口

20 第二用户2发送的请求

21 比较170的结果的历史记录

3 网络

4 来自第一用户1的真实数据包

4’ 伪造数据包

41 真实数据包4的时间戳

41’ 伪造数据包4’的时间戳

5 车辆

51 车辆5的控制单元

52 车辆5的导航系统

53 车辆5的娱乐系统

54 车辆5的防盗器

55 车辆5的转向系统

56 车辆5的驱动系统

57 车辆5的制动系统

6 读取器

6a 读取器6的第一PHY

6b 读取器6的第二PHY

100 方法

101 选择以太网网络作为网络3

102 选择车辆的车载网络作为网络3

105 用户1与用户2之间的时间同步

110 确定传输时间11

115 确定随机值12

120 形成等待时间13

130 以等待时间13进行等待

140 创建带有时间戳41的数据包4

150 向第二用户2发送数据包4

160 用户2记录接收时间42

170 将接收时间42与时间戳41进行比较

171 确定温度T₁和/或T₂

172 温度相关的追溯

175 与历史记录21进行比较

180 确定通信已被窃听/装置已被替换

181 数据包4在时间戳41之前到达

182 数据包4在时间戳41之后太晚的时间到达

183 数据包4在预期时间之前到达

184 数据包4在预期时间之后太晚的时间到达

185 数据包4在可能的发送之前到达

186 数据包4在可能的发送之后太晚的时间到达

187 偏离历史记录21

188 确定网络3已被操纵

190 中止条件

191 更新传输时间11

192 更新随机值12

200 将等待时间13进一步用于下一循环

210 阻断系统51至54

220 锁定防盗器54

230 将车辆5从车流中移出

t 时间

T₁ 车辆5中的温度

T₂ 环境温度

Claims

1.一种用于检测对网络(3)的第一用户(1)与第二用户(2)之间的通信进行的未授权窃听的方法(100)，该方法具有以下步骤：

·第一用户(1)确定(110)用于经由网络(3)向第二用户(2)发送数据的传输时间(11)；

·第一用户(1)确定(115)随机值(12)并将该随机值(12)加(120)到传输时间(11)以便获得等待时间(13)；

·第一用户(1)等待(130)该等待时间(13)，创建(140)包含时间戳(41)的至少一个数据包(4)，并将该数据包(4)发送(150)到第二用户(2)；

·第二用户(2)记录(160)其接收到数据包(4)的时间(42)并将该时间(42)与数据包(4)中包含的时间戳(41)进行比较(170)；

·对于确定：数据包(4)在时间戳(41)中指示的时间之前到达(181)，数据包在时间戳(41)中指示的时间之后的预定的容差时间之后到达(182)，或者数据包在第二用户(2)中能够预期该数据包的时间之前(183)到达或在第二用户(2)中能够预期该数据包的时间之后(184)的预定的容差时间之后到达，第二用户(2)将该确定评估(180)为对第一用户(1)与第二用户(2)之间的通信在没有授权的情况下被窃听的指示。

2.根据权利要求1所述的方法(100)，其中，该方法分支返回(200)至等待(130)所述等待时间(13)并且然后创建(140)并发送(150)下一数据包(4)直到满足预定的基于时间或事件的中止条件(190)为止，其中，作为对满足中止条件(190)的响应，该方法分支返回(191)至确定(110)传输时间(11)或分支返回(192)至确定(115)随机值(12)。

3.根据权利要求1至2之一所述的方法(100)，其中，所述传输时间(11)在第一用户(1)与第二用户(2)之间的时间同步(105)的过程中被确定(110)。

4.根据权利要求1至3之一所述的方法(100)，其中，第二用户保留(175)关于比较(170)的结果的历史记录(21)，并且对于以下确定：新的比较(170)的结果显著不同于(187)历史记录(21)，第二用户将该确定评估(180)为对第一用户(1)与第二用户(2)之间的通信在没有授权的情况下被窃听的指示，和/或对第一用户(1)已经在没有授权的情况下被另一装置(1’)替换的指示。

5.根据权利要求1至4之一所述的方法(100)，其中，第二用户(2)附加地还将以下确定评估为对第一用户(1)与第二用户(2)之间的通信在没有授权的情况下被窃听的指示：时间戳(41)处在第一用户(1)能够发送数据包(4)的时间之前(185)或处在该时间之后(186)的预定容差时间之后。

6.根据权利要求1至5之一所述的方法(100)，其中，选择(101)以太网网络作为所述网络(3)。

7.根据权利要求1至6之一所述的方法(100)，其中，数据包(4)是在OSI模型的比特位传输层上发送(150)的。

8.根据权利要求1至7之一所述的方法(100)，其中，选择(102)车辆(5)的车载网络作为所述网络(3)。

9.根据权利要求8所述的方法，其中，使用温度传感器来测量(171)车辆(5)中的温度T1和/或环境温度T2，并且其中，将容差时间和/或数据包(4)的预期发送或接收时间追溯(172)到温度T1的变化和/或温度T2的变化。

10.根据权利要求8至9之一所述的方法(100)，其中，对于确定(180)通信在没有授权的情况下被窃听和/或第一用户(1)已经在没有授权的情况下被另一装置(1’)替换，作为响应：阻断(210)控制单元(51)、导航系统(52)和/或娱乐系统(53)的功能，锁定(220)车辆(5)的防盗器(54)，和/或通过控制车辆(5)的转向系统(55)、驱动系统(56)和/或制动系统(57)将车辆(5)从车流中移出(230)。

11.根据权利要求1至10之一所述的方法(100)，其中，对于传输时间(11)处在下限阈值(11a)与上限阈值(11b)之间的范围之外，作为响应：确定(188)网络(3)已被操纵。

12.一种包含机器可读指令的计算机程序，这些机器可读指令当在计算机、控制单元和/或嵌入式系统上执行时使该计算机、该控制单元或该嵌入式系统执行根据权利要求1至10之一所述的方法(100)。

13.一种具有根据权利要求11所述的计算机程序(100)的机器可读的数据存储介质或下载产品。