CN115226041A - 安全的广播内容递送和验证 - Google Patents

Abstract

本公开提供“安全的广播内容递送和验证”。车辆经由ATSC广播接收内容的第一部分，响应于接收到所述内容生成随机的一次性随机数，并将一次性随机数和对内容验证的请求发送到远程服务器。所述车辆从所述远程服务器接收指示内容的所述第一部分是否可能有效的消息，当所述内容可能有效时，所述消息包括内容的第二部分和哈希值。然后，所述车辆使用随机的一次性随机数和内容的第一部分来计算第二哈希值。所述车辆将所述第二哈希值与第一哈希值进行比较，并且响应于所述第二哈希值与所述第一哈希值匹配，组合内容的所述第二部分和内容的所述第一部分以创建组合内容。然后，所述车辆使用安全策略将所述组合内容转换成可利用内容，并且利用所述内容。

Description

安全的广播内容递送和验证

技术领域

说明性实施例涉及用于安全的广播内容递送和验证的方法和设备。

背景技术

在第一说明性实施例中，一种系统包括处理器，所述处理器被配置为经由ATSC广播接收内容的第一部分。所述处理器还被配置为响应于接收到所述内容而生成随机的一次性随机数，并且将所述一次性随机数和对内容验证的请求发送到远程服务器。而且，所述处理器被配置为从所述远程服务器接收指示内容的所述第一部分是否可能有效的消息，当所述消息指示所述内容可能有效时，所述消息包括内容的第二部分和哈希值。

响应于所述消息指示所述内容可能有效，处理器被配置为使用所述随机的一次性随机数和内容的第一部分作为哈希函数的输入来计算第二哈希值。所述处理器被配置为将所述第二哈希值与第一哈希值进行比较，并且响应于所述第二哈希值与所述第一哈希值匹配，组合内容的所述第二部分和内容的所述第一部分以创建组合内容。所述处理器另外被配置为利用安全策略来将所述组合内容转换成可利用内容并利用所述可利用内容。

在第二说明性实施例中，一种系统包括处理器，所述处理器被配置为根据安全策略来重新配置可递送的车辆内容以得到重新配置的内容。所述处理器还被配置为将所述重新配置的内容分成第一部分和第二部分，并将所述第一部分发送到ATSC广播电台。所述处理器另外被配置为从车辆接收验证在所述车辆处接收到所述第一部分的验证请求，所述请求包括由所述车辆生成的一次性随机数。所述处理器被配置为验证所述车辆是否被指定用于内容接收，并且响应于所述车辆被指定用于内容接收，使用所述重新配置的内容的所述第一部分和所述一次性随机数来生成哈希值。所述处理器还被配置为响应于所述验证请求而将所述哈希值和所述内容的所述第二部分发送到所述车辆。

在第三说明性实施例中，一种系统包括服务器和车辆，所述服务器包括一个或多个服务器处理器并且与车辆通信，所述车辆包括一个或多个车辆处理器。所述车辆处理器被配置为经由ATSC广播接收内容的第一部分，生成随机的一次性随机数并向所述服务器发送包括所述一次性随机数的验证请求。

所述服务器处理器被配置为从所述车辆处理器接收所述验证请求，确认由所述验证请求标识的所述车辆意图接收内容的所述第一部分，并且响应于确认所述车辆意图接收内容的所述第一部分，使用所述一次性随机数和内容的所述第一部分生成第一哈希值。所述服务器还被配置为用所述第一哈希值和内容的第二部分对所述验证请求作出响应。

所述车辆处理器还被配置为接收包括所述第一哈希值和内容的第二部分的服务器响应。响应于所述服务器响应，所述处理器还被配置为使用所述一次性随机数和所接收的内容的第一部分来生成第二哈希值。所述车辆处理器被配置为将所述第一哈希值与所述第二哈希值进行比较，并且响应于所述哈希值匹配，组合内容的所述第一部分和所述第二部分以解析组合内容。所述车辆处理器还被配置为根据包括在所述组合内容中的指令来利用所述组合内容。

发明内容

连接的车辆具有发送和接收数据两种能力。在许多情况下，这是经由直接一对一连接来实现的，其中车辆与远程服务器建立连接并接收或发送有用数据(地图更新、软件更新等)。例如，在使用蜂窝服务促进连接的情况下，当数据的分发者(例如，原始设备制造商(OEM))必须将数据发送到大量车辆时，这可能会导致总体上的数据成本较高。

高级电视系统委员会(ATSC)3.0技术允许使用TV频率来广播数据，然后各种车辆或其他实体可以接收作为广播的一部分的数据。这提供了一对多的机会，但是通常不涉及与单个实体的预期直接通信。即，信息是广播的一部分，然后接收实体必须接收包括在广播中的数据，并且在数据可能并非旨在用于给定的接收实体或可能不适用于所述实体时处理所述数据。

因为ATSC可以用于广播数据，所以它是一种有用的通信媒介，用于以比在给定广播范围内对多个实体的单独传输低得多的成本递送大量数据，特别是在那些实体中的许多实体需要相同数据的情况下。但是，当实体是车辆时，诸如在本文的说明性实施例中，越来越关注将广播的内容验证为真实的。因为没有双向通信，所以接收实体不能通过握手等执行传统的源验证，而是可以简单地通过ATSC接收器接收数据包，其中数据包据称来自经验证的源，但是车辆实际上并不知道数据包的来源。

另外，因为广播不是以防止从非预期的第三方接收的方式指定的接收者(例如，虽然可能可以告知已知的接收车辆忽略缺少某些车辆标识符的广播，但是防止使用ATSC接收器并且在范围内的人接收该广播并对其进行任何操作是更困难的(如果并非不可能的话))。这可能给OEM带来问题，因为由恶意的第三方接收的车辆软件更新的不安全广播可能可用于对车辆软件的某些方面进行逆向工程，从而使车辆或代码暴露于攻击。

因此，虽然ATSC仍然是用于内容广播的可行媒介，并且是非常具有成本效益的媒介，但是传输的性质和传输的一般可用性意味着需要新的安全方法来保护接收源中的一者或两者免受非授权数据的影响并保护传输实体免于数据误用。

附图说明

图1示出了可用于递送车辆软件包的一般ATSC广播系统的说明性示例；

图2示出了ATSC数据验证系统的说明性示例；

图3示出了说明性的总体传输和验证过程；

图4示出了说明性服务器侧验证过程；

图5示出了说明性车辆侧验证请求过程；并且

图6示出了整个说明性过程中的说明性数据演变。

具体实施方式

本文描述了本公开的实施例。然而，应理解，所公开的实施例仅仅是示例并且其他实施例可以呈现各种和替代形式。附图不一定按比例绘制；一些特征可被放大或最小化以示出特定部件的细节。因此，本文公开的具体结构细节和功能细节不应解释为限制性的，而仅应解释为用于教导本领域技术人员以各种形式利用本发明的代表性基础。如本领域普通技术人员将理解，参考附图中的任一者示出和描述的各种特征可以与一个或多个其他附图中示出的特征组合以产生未明确地示出或描述的实施例。所示特征的组合提供用于典型应用的代表性实施例。然而，对于特定的应用或实现方式，可能期望与本公开的教导一致的对特征的各种组合和修改。

除了使示例性过程由位于车辆中的车辆计算系统执行之外，在某些实施例中，所述示例性过程还可由与车辆计算系统进行通信的计算系统来执行。这种系统可包括但不限于无线装置(例如但不限于移动电话)或通过无线装置连接的远程计算系统(例如但不限于服务器)。此类系统可以统称为车辆相关联计算系统(VACS)。在某些实施例中，VACS的特定部件可以根据系统的特定实现方式来执行过程的特定部分。作为示例而非限制，如果过程具有与配对的无线装置发送或接收信息的步骤，则很可能无线装置未执行所述过程的所述部分，因为无线装置不会与自己“发送并且接收”信息。本领域普通技术人员将理解何时将特定计算系统应用于给定解决方案是不合适的。

可以通过使用单独工作或彼此结合工作并执行存储在各种非暂时性存储介质(诸如但不限于快闪存储器、可编程存储器、硬盘驱动器等)上的指令的一个或多个处理器来促进过程的执行。系统与过程之间的通信可以包括使用例如蓝牙、Wi-Fi、蜂窝通信和其他合适的无线和有线通信。

在本文讨论的每个说明性实施例中，示出可由计算系统执行的过程的示例性的非限制性示例。关于每个过程，执行所述过程的计算系统可以为了执行所述过程的有限目的而变为被配置为用于执行所述过程的专用处理器。所有过程不需要完整地执行，并且被理解为是可执行以实现本发明的要素的过程类型的示例。可根据需要在示例性过程中添加或移除附加步骤。

关于在示出说明性过程流程的附图中描述的说明性实施例，应注意，出于执行由这些附图示出的一些或所有示例性方法的目的，可暂时启用通用处理器作为专用处理器。当执行提供执行所述方法的一些或所有步骤的指令的代码时，处理器可暂时改换用途作为专用处理器，直到所述方法完成为止。在另一个示例中，在适当的程度上，根据经预配置的处理器起作用的固件可以致使处理器充当为执行所述方法或其某一合理变型而提供的专用处理器。

结合ATSC电视台使用服务器，广播实体(例如，OEM)可以以一对多的方式准备和发送被设计为到达电视台广播范围内的多辆车辆的目标数据。即，代替经由与给定车辆的直接连接将数据单独地递送到每辆车辆的是，实体可以准备对指定的一组车辆有用的数据并且发送数据和指令以广播到ATSC电视台。然后，电视台可以发送ATSC广播，并且大量车辆可以同时接收数据。

由于数据可能仅适用于接收车辆的子集或与其相关，因此服务器还可以准备指示数据所适用的车辆的信息。例如，如果数据与道路异常有关，则服务器可以指定异常周围的坐标范围、或异常适用时的当日时间等。如果数据与软件更新有关，则服务器可以指定软件版本，或者甚至特定范围的车辆识别号码(VIN)或电子序列号(ESN)元素。

当车辆接收到广播时，它可以检查与广播相关联的参数数据以确定包含在广播中的数据的适用性。如果参数数据指示车辆可以使用广播数据，则车辆可以处理广播或将其发送到适当的内部系统(更新过程、导航系统等)以进行处理。

虽然这是用于接收软件和处理接收以及决定哪些车辆应接收哪些数据的合适解决方案，但仍然存在对数据验证和数据落入不法之手的担忧。

说明性实施例通过两种示例性技术(和/或在本发明的范围内的其变型)解决了这些担忧，所述技术可以组合或单独地使用以实现对仅数据有效性和/或预期接收者使用中的至少一者的增强的保证。

概括地说，车辆可以向服务器请求对数据的验证，而不必将所有数据重新传输到服务器，从而减少用于直接通信的数据开销，并且服务器可以传输大部分数据作为广播包并保留小部分但可用于完成数据集的数据，以在车辆请求验证时(或在某个其他合适的时间)进行直接传输。

图1示出了与云111的服务器113和多辆车辆121、131、141进行通信的说明性ATSC系统101。在该示例中，ATSC系统101是能够将ATSC广播发送到已知广播区域的ATSC电视台。电视台包括用于接收更新的某种形式的过程105，所述过程通常连接到广域网(例如，互联网)，但是也可以利用蜂窝或其他连接。通过过程105，电视台101从云111的服务器113接收指令，并且在配备有处理器103的电视台计算机中处理那些指令以设计广播。一旦广播准备好，处理器103就可以指示ATSC收发器107将广播发出到接收区域内的任何车辆121、131、141。

在所示的示例中，车辆121、131、141中的任一者可能需要来自云111的服务器113的更新或受益于来自云111的服务器113的更新。在一些情况下，车辆(诸如车辆141)可以包括传感器套件147。单独地更新每辆车辆可能是昂贵且耗时的。同时，使用ATSC来广播整个更新(整个形式)可能是方便的，但是如果非预期方接收到更新，则可能存在安全风险。因此，在示例中，ATSC广播可以是更新的一部分。

在其他情况下，车辆可以是人类驾驶的车辆121、131，并且可以包括处理器123、ATSC调谐器125、导航过程127和其他车载过程、以及远程信息处理控制单元(TCU)129。

服务器113可对递送指令以及车辆121、131、141可使用的用以确定所接收的广播是否适用的任何参数进行打包，然后服务器113将数据包递送到电视台101。然后，电视台101可以将数据包发送到各种车辆121、131、141，所述车辆可以单独地确定数据的适用性。例如，某些车辆可能不需要更新，或者可能已经实现了更新。

然后，接收更新的广播部分的车辆可以直接与服务器113通信以接收更新的完整版本，从而允许车辆如本文所述和/或以类似的方式完成和利用更新文件。

图2示出了ATSC数据验证系统的说明性示例。在该示例中，车辆121包括ATSC调谐器125和TCU 129。车辆121还包括验证过程201，所述验证过程经由蜂窝网络210或通过允许双向通信的其他直接通信媒介与OEM服务器113通信。

车辆121从ATSC发射器101接收广播203，并且内容安全模块201或类似过程尝试验证所接收数据的有效性。在该示例中，模块201使用TCU 129通过蜂窝网络210向服务器113发送验证消息。服务器113基于所接收的请求来验证数据的有效性，并且通过蜂窝网络210发回验证响应209，所述蜂窝网络将验证响应211传递到车辆121。在那里，其由车辆模块201接收和处理。

在该示例中，发生了若干说明性动作，其用于提供可如何在此类系统下实现消息和数据的安全性和验证的示例。例如，服务器113将数据内容分成至少两个部分，并将部分1(较大部分)202发送到ATSC电视台101以进行广播。在该示例中完成该数据所需的第二数据部分在服务器113响应验证请求时经由直接通信发送，但它也可以在其他时间发送。

另外，车辆121的过程210可以使用所接收的数据和随机的一次性随机数来请求验证，并且服务器可以用可以由车辆检查响应的有效性的哈希进行响应(而不是服务器简单地回应数据是有效的，这可能是对欺骗的更容易的响应)。在该示例中，响应还包括由拆分产生的集合的附加数据元素，其可以在车辆处与部分1中的较大集合重新组装，从而提供软件或更新的完整且验证版本。

例如，对于有效内容，服务器和车辆两者都具有以下共同知识：1)数据的部分1的内容；2)随机的一次性随机数(因为车辆将其与有效性请求一起发送到服务器)；以及3)所述车辆的VIN。因此，如果服务器使用其部分1的版本加上一次性随机数加上VIN来计算哈希，则能够访问所有三个元素(假设车辆处的内容有效)的车辆可以确定相同的哈希并且匹配将验证该数据。

仅仅因为不存在匹配并不意味着数据不是源自OEM，而是传输中断和干扰可能导致数据包丢失，这是可以通过各种解决方案来解决的问题。如果过大的数据广播导致严重的无法完成，则服务器还可以将数据分成多个部分1进行广播，并且车辆可以在接收到时验证每一个，并且一旦它接收到完整的数据集就完成该数据。虽然这可能需要更多的广播迭代，但是这仅仅是与对来自服务器的数据的验证(其仍然可以在接收到每个部分1的情况下实现)和/或完成没有显著差异的替代方法的示例。服务器还可以为每个部分1分配序列号并设置每个部分1中的部分1的总数。因此，车辆将知道其是否接收到所有预期的部分1。如果是，则车辆开始下一个验证步骤。如果否，则车辆可以简单地在下一轮广播中等待缺失部分1，或者决定向服务器请求缺失部分1并使用所接收的部分1进行下一个验证步骤。

如所指出的，服务器113可以将内容分成一个或多个较大段以通过ATSC进行传输，并且仍然保留内容的足够部分(例如，随机或策略部分)，使得在没有来自服务器的附加内容的情况下从ATSC广播接收到主要内容不足以利用或解码该内容。

图3示出了说明性的总体传输和验证过程。在该示例中，ATSC广播电台101发送出内容的较大部分(说明性地，一个较大部分将用于贯穿全文的示例)。车辆121在301处接收内容，并且在303处例如从安全模块201向服务器113发送请求。在该示例中，该请求有两个目的，其要求验证所接收的内容(例如，其实际上由OEM发送)，并且其为OEM服务器113提供不仅返回验证而且还返回完整内容的缺失的较小部分的机会。

在该示例中，如图5中更详细地描述的，车辆121生成随机的一次性随机数并请求服务器验证所接收的内容部分，这包括将一次性随机数发送到服务器113。服务器113在305处接收请求并确认存在被传输到车辆121的内容。虽然服务器113不具体知道内容被发送到该车辆121，因为内容是经由ATSC广播的，但是服务器113知道是否应该存在广播的ATSC内容，并且因此如果在没有内容已经发送时出现用于进行验证的请求，则服务器113知道该内容是无效的。如果车辆121应该已经接收到内容(其可以包括例如验证从车辆121发送的某种形式的内容标识符，这在存在多个可能的未完成内容集的情况下可能是有用的)，则服务器可以使用该内容来生成将用于车辆121进行验证的校验和/哈希，以确保所接收的内容是正确的内容并且是完整的。

一旦服务器113在309处确认内容可能有效，服务器就可以使用一次性随机数和车辆121的车辆识别号码(VIN)并使用该内容来创建哈希。这可以作为消息在311处与由服务器113保留的内容的缺失部分一起发送回车辆121。如果车辆121不应该接收到任何内容，则服务器113可以在313处警告车辆，这可以使车辆121丢弃内容。

车辆121在315处从服务器113接收响应，并且在317处确定响应是否包括警告。如果存在警告，则车辆121在319处将内容作为无效内容丢弃。否则，在321处，车辆121使用与服务器相同的分量(例如，VIN、一次性随机数、内容部分1)来计算其自己的哈希版本。将该哈希值与从服务器接收的值进行比较，并且如果内容是完整的(即，没有缺失块)并且是有效的，则这应匹配。这里的“完整”意味着整个部分1被接收，使得车辆121保存与存储在服务器113中的部分相当的部分1，并且通过这种方式，检查可以用作整个部分1被接收的验证，因为如果内容包括错误，则哈希将与服务器生成的不同，即使车辆121原本应该具有该内容。

如果在325处不存在匹配，则车辆121可以在329处丢弃该内容，或采取其他补救动作。服务器还可以采取补救步骤，因为车辆121可以在331处警告服务器113该内容块由于某种原因无效。例如，服务器113可以包括警告处理过程，所述警告处理过程可以确定内容是否应被直接传输、排队以进行重播，或者广播的某些区域是否未接收到完整信号。来自车辆121的消息可以包括被发送到服务器113以帮助确定接下来应采取什么步骤的一些信息(例如，接收到广播的位置、广播的信号强度等)。

如果存在匹配，则车辆121可以使用也在315处从服务器接收的内容的第二部分来重新组装内容以在327处进行处理。如果内容在服务器113分解之前被加扰，则车辆121可以知道如何以未广播的预定义方式对内容进行解扰。在另一个示例中，服务器121可以包括如何解扰内容的一些指示，例如，如果存在服务器用于对内容进行加扰的五个可能程序，则响应消息可以告诉车辆使用哪个预存储程序来对该内容进行解扰。如果单一的解扰手段未被确定为足够安全，则这可能起作用。在又一个示例中，来自服务器的响应可以包括部分指令，例如，车辆121可以具有将内容部分1的每个第N位与内容部分2的每个第M位进行交换并重复直到Y个位被交换的一般指令(车辆知道将发生交换的事实)，并且来自服务器的响应可以包括关于N、M和Y的值的指令。注意，这些不是用于重新组装内容的实际指令，而是用于示出各种可能的安全范式的说明性示例。

图4示出了说明性服务器侧验证过程。在该过程中，服务器113首先接收递送到预期或已知在ATSC广播区域内的多辆车辆所需的内容(例如，更新)。在403处，服务器113将内容分成至少两个部分，其示例相对于图6示出。较大部分由服务器113发送以用于ATSC广播(例如，在405处通过递送指令发送到ATSC服务器)。由于服务器113可以采用非明显策略来分解内容，因此仅具有内容的任一段可能甚至不允许人理解他们拥有的该段。由于加密、位交换和其他随机化技术，每段内容在没有其对应物的情况下可能基本上是无意义的或不可用的。

在已经经由ATSC广播内容并由至少一辆车辆121接收内容之后的某个时刻，车辆121将开始请求对内容的验证。如果服务器113接收到这种请求并且已经指示没有内容进行广播，则服务器可能会立即拒绝有效性。另一方面，内容可能已经在某个时间之前发送，因此服务器可以接收据称所述内容所对应的至少某个指示符。因为该内容仍将需要匹配服务器处的任何内容，以便导出哈希，因此即使黑客伪造了内容报头以匹配真实内容报头，车辆121处的最终哈希函数也将返回不正确的结果并且因此，车辆121仍将拒绝该内容。

在该示例中，服务器113从车辆121接收作为请求的一部分的一次性随机数。由于每辆车辆121生成其自己的一次性随机数，因此在该示例中，现在仅车辆121和服务器113两者知道该一次性随机数。服务器113还知道哪辆车辆121发送了该请求，因此服务器113可以获得该车辆121的VIN(例如，经由数据库查找)。最后，服务器113具有内容的部分1的完整版本，其可以在409处与VIN和一次性随机数一起使用来生成哈希。如果车辆在知道其自己的VIN和自己的一次性随机数的情况下用相同的内容尝试哈希函数，则将获得相同的结果，并且因此将确认有效性。如果车辆具有错误的VIN、错误的一次性随机数或无效的内容，则哈希将不匹配，并且因此车辆121将知道由于某种原因存在问题并且可以丢弃该内容。

理论上，以恶意意图接收内容的人可能能够向服务器伪造消息，假装是具有黑客已知的VIN的车辆121，并且提供一次性随机数，并且因此可以接收包括该消息的第二部分的响应。但即使如此，黑客也必须知道如何重新组装内容，这可能不是直接加入内容。此外，这些度量是对服务器和车辆已知的值的说明，并且没有详尽地表示可以在这种程序的实例中使用的值。

服务器113在411处发送回哈希的副本以及内容的第二部分。如果车辆121在处理内容时遇到错误，则服务器可以在413处接收警告并且可以在415处进行警告处理过程。否则，服务器113可以假设车辆已经成功地处理了内容。

警告处理过程没有详细描述，但是可以包括例如如果太多车辆121意外地报告错误则重新发送较大的内容以进行ATSC广播，如果似乎没有足够的车辆在接收内容则将该内容发送到一个或多个附加的ATSC电视台，重新调度广播，联系ATSC电视台以确定是否存在广播错误，等待干扰清除等。服务器还可以将较大的内容分成多个小段，并为每个小段分配序列号并设置小段的总数。因此，即使车辆没有经由广播接收到所有小段，它仍然可以使用接收到的小段来对服务器请求验证。

图5示出了说明性车辆侧验证请求过程。在该示例中，车辆121在501处接收内容部分1。例如，这是经由ATSC调谐器接收的，但是车辆121可能无法实际上确认该内容是针对车辆121的(仅基于内容)并且来自OEM并且在本质上不是恶意的。为了避免恶意内容，车辆121可以在503处生成一次性随机数，并且在505处请求服务器113验证该内容，这可以包括通过蜂窝网络或其他直接连接(例如，Wi-Fi)将一次性随机数的副本和任何其他必要信息直接发送到服务器113。

一旦服务器113完成其验证过程的部分，诸如图4中所示的示例，车辆121就在507处接收响应。在该示例中，该响应可以是来自服务器的内容无效的警告，或者可以是哈希和/或内容的第二部分。

如果在509处该响应包括警告，诸如内容从不意图进行递送或没有内容意图进行递送的消息，则车辆121可以在510处丢弃该内容。否则，如果应该有内容已经被车辆121接收到，如通过接收到哈希和/或第二内容部分所指示，则车辆121可以在511处使用其自己的一次性随机数、VIN和内容部分1来计算其自己的哈希版本。车辆121在513处比较两个哈希值，一个是从服务器接收的，另一个是由车辆121计算的，并且如果在515处所述值匹配，则车辆121断定内容一定是有效的。

如果所述值不匹配，则车辆121接收到错误内容或接收到包括一定数量的错误的内容部分。即使车辆121应该已经接收到内容，所接收的内容仍然可能是恶意的。然而，在任一情况下，车辆121都可能在523处丢弃该内容，因为哈希不匹配，并且由于VIN和一次性随机数是已知的且恒定的，因此该内容一定是该不匹配的来源。车辆121还可以在525处警告服务器，使得服务器可以采取任何必要的缓解动作。

如果存在匹配，则车辆121在517处将从服务器113接收的内容的第二部分与内容的现有较大部分组合。在519处根据如本文先前描述的解密模式等对组合内容进行解密(这些步骤可以以任一顺序发生)。然后，在521处，车辆121处理完整的解密内容，以更新ECU或其他模块或软件，或者采取由该内容指示的任何其他必要动作。

存在车辆和服务器可以协调从而以防止恶意行为者伪造哈希请求以接收第二内容部分的方式重新组装内容的多种方式。即使车辆可能会忽略由于哈希比较而返回无效的内容，但黑客将已经拥有内容的已知可能完整部分并且实际上不会关心哈希，而事实上只想欺骗该函数以接收内容的所述第二部分。黑客仍然可以在任何情况下发送一次性随机数，以确保第一部分是完整的，然而，即使黑客可以穿透服务器与车辆之间的相当安全的通信信道，也可能存在若干障碍。

首先，黑客将不太可能知道特定的哈希函数，或者甚至可能不知道服务器将接受的随机的一次性随机数的格式，尽管理论上黑客可以拦截消息以便简单地复制一次性随机数。然而，在没有哈希函数的情况下，黑客无法比较结果以便验证该内容。此外，即使黑客假设内容部分是有效的，黑客也不能容易地将内容的第二部分与第一部分重新组装，除非它们只是被附加。如本文所述，存在使这种重新组装变得困难的多种方式，因此OEM可以合理地确保内容将在正确接收时得到验证，在错误或无法验证时被丢弃，并且在没有这样做的足够的权限的情况下将不太可能被任何人利用。

图6示出了整个说明性过程中的说明性数据演变。这仅仅是可以如何以如下方式策略性地划分内容的示例，所述方式使得拦截方在不充分了解初始划分和加密过程的情况下难以或不可能重新组装该内容。

在该示例中，内容601的D1-Dn位以由服务器113接收以进行递送的内容的原始形式存在。这可以是更新、安全消息或OEM想要大规模地递送给车辆的任何其他内容。不过，这可以是非常大的文件，并且因此ATSC用于经由广播以非常低的数据开销成本来递送该大文件的较大部分是合理的。

接下来，在该示例中，服务器113将内容加密为m个位E1–Em603。在该示例中，内容仍然是完整形式，但是被加密。然后，服务器113以某种方式对内容进行加扰，使得虽然仍然保留m个位，但现在位是乱序的，顺序为S1–Sm 605。因此，为了即使从该部分重新组装内容，人也需要知道如何对内容进行解扰和解密两者以解析原始的n个位。

然后，服务器将内容分成k个位和m-k个位，在该示例中较大的部分是k个位S1–Sk607，而较小的部分是剩余的S(k+1)–Sm位609。然后，服务器113将S1-Sk位611发送到ATSC电视台101以进行广播，并且保留S(k+1)–Sm位613以用于直接传输到请求验证所接收的S1–Sk位的车辆121。

当车辆121具有两个部分时，车辆121可以通过附加这两个部分(或采取其他合适的动作，例如，交错或任何其他已知方法)来重新组装内容。内容的该组合部分仍然被加扰和加密，并且因此即使如此组装，它对于黑客来说在很大程度上也是无用的。由于车辆121知道服务器113如何对位进行加扰，因此车辆121然后可以对位进行解扰以具有加密的m位消息E1-Em 615的正确版本。然而，这仍然是加密消息。

然后，车辆121可以使用与服务器113所使用的加密方案相对应的已知解密方案来将m个加密位解析为原始n位消息D1–Dn 617。

说明性实施例允许消息验证、防止恶意或错误的消息处理、消息加密/组装而不被拦截，并且通常允许ATSC(通常可能不是特别安全的格式)用于促进高安全性消息的传送。虽然解决方案的所有元素或其类似变型不需要在给定实现方式中使用，但是它们提供了关于如何利用ATSC降低数据开销成本同时由此避免对发送的信息的安全性的担忧的许多选项和指导。

尽管上文描述了示例性实施例，但这些实施例并不意图描述权利要求所涵盖的所有可能形式。在说明书中使用的词语是描述词语而非限制性词语，并且应理解，在不脱离本公开的精神和范围的情况下，可以做出各种改变。如先前所述，各种实施例的特征可以组合以形成可能未明确描述或示出的本发明的另外的实施例。尽管各种实施例就一个或多个期望的特性而言可能已经被描述为提供优点或优于其他实施例或现有技术实现方式，但本领域普通技术人员应认识到，可以折衷一个或多个特征或特性来实现期望的整体系统属性，这取决于具体应用和实现方式。这些属性可以包括但不限于成本、强度、耐久性、生命周期成本、可销售性、外观、包装、大小、可维护性、重量、可制造性、易组装性等。因此，就一个或多个特性而言被描述为不如其他实施例或现有技术实现方式期望的实施例处在本公开的范围内，并且对于特定应用来说可能是期望的。

根据本发明，提供了一种系统，所述系统具有：处理器，所述处理器被配置为：经由ATSC广播接收内容的第一部分；响应于接收到所述内容，生成随机的一次性随机数；将所述一次性随机数和对内容验证的请求发送到远程服务器；从所述远程服务器接收消息，所述消息指示内容的所述第一部分是否可能有效并且当所述消息指示所述内容可能有效时，包括内容的第二部分和哈希值；响应于所述消息指示所述内容可能有效，使用所述随机的一次性随机数和内容的所述第一部分作为哈希函数的输入来计算第二哈希值；将所述第二哈希值与第一哈希值进行比较；响应于所述第二哈希值与所述第一哈希值匹配，组合内容的所述第二部分和内容的所述第一部分以创建组合内容；利用安全策略将所述组合内容转换成可利用内容；并且利用所述可利用内容。

根据一个实施例，所述处理器还被配置为使用车辆识别号码作为所述哈希函数的另外的输入来计算所述哈希。

根据一个实施例，响应于所述消息指示所述内容无效，所述处理器被配置为丢弃所述内容。

根据一个实施例，响应于所述第二哈希值不匹配所述第一哈希值，所述处理器被配置为警告所述服务器所述不匹配。

根据一个实施例，所述处理器被配置为利用安全策略，所述安全策略包括以预定义方式解扰所述组合内容的位。

根据一个实施例，所述处理器被配置为使用在响应中接收的一个或多个可变元素来解析所述安全策略中的变量以制定可用于对所述内容进行解扰的完整的解扰过程。

根据一个实施例，所述处理器被配置为利用安全策略，所述安全策略包括解扰所述组合内容的位以及解密所述组合内容。

根据一个实施例，其中内容的所述第一部分是内容的多个第一部分中的一个，并且包括关于其对应于所述多个第一部分中的哪一个的指示符和所述多个第一部分的总数的指示符。

根据一个实施例，所述处理器被配置为根据预定义组合策略使用在响应中接收的一个或多个可变元素来解析所述组合策略中的变量以制定可用于组合所述内容的完整的组合过程来组合所述内容。

根据本发明，提供了一种系统，所述系统具有：处理器，所述处理器被配置为：根据安全策略来重新配置可递送的车辆内容以得到重新配置的内容；将所述重新配置的内容分成第一部分和第二部分；将所述第一部分发送到ATSC广播电台；从车辆接收验证在所述车辆处接收到所述第一部分的验证请求，所述请求包括由所述车辆生成的一次性随机数；验证所述车辆是否被指定用于内容接收；响应于所述车辆被指定用于内容接收，使用所述重新配置的内容的所述第一部分和所述一次性随机数来生成哈希值；以及响应于所述验证请求而将所述哈希值和内容的所述第二部分发送到所述车辆。

根据一个实施例，所述处理器还被配置为基于与所述车辆相关联的车辆识别号码生成所述哈希值。

根据一个实施例，响应于所述车辆不被指定用于内容接收，所述处理器被配置为警告所述车辆非预期内容的存在。

根据一个实施例，所述处理器被配置为通过根据预定义加扰策略对所述可递送的车辆内容进行加扰来重新配置所述可递送的车辆内容。

根据一个实施例，所述预定义加扰策略包括至少一个可变加扰元素，并且其中所述处理器被配置为生成针对所述加扰元素的加扰变量值并将所述加扰变量值包括在响应于所述验证请求至所述车辆的发送中。

根据一个实施例，所述处理器被配置为根据包括至少一个可变划分元素的预定义划分策略来划分所述内容，并且其中所述处理器被配置为生成针对所述划分元素的划分变量值并将所述划分变量值包括在响应于所述验证请求至所述车辆的发送中。

根据一个实施例，所述处理器被配置为将所述重新配置的内容分成多个第一部分，所述多个第一部分中的每一个都包括指示所述第一部分中的每一个对应于所述多个第一部分中的哪一个的有序指示符以及所述多个第一部分的总数，并且将所述多个第一部分发送到所述ATSC广播电台，所述多个第一部分中的每一个包括所述有序指示符和总数。

根据本发明，提供了一种系统，所述系统具有：服务器，所述服务器包括一个或多个服务器处理器并且与车辆通信；以及车辆，所述车辆包括一个或多个车辆处理器；其中所述车辆处理器被配置为：经由ATSC广播接收内容的第一部分；生成随机的一次性随机数；向所述服务器发送包括所述一次性随机数的验证请求；其中，所述服务器处理器被配置为：从所述车辆处理器接收所述验证请求；确认由所述验证请求识别的所述车辆意图接收内容的所述第一部分；响应于确认所述车辆意图接收内容的所述第一部分，使用所述一次性随机数和内容的所述第一部分生成第一哈希值；用所述第一哈希值和内容的第二部分来响应所述验证请求；其中所述车辆处理器还被配置为：接收包括所述第一哈希值和内容的第二部分的服务器响应；响应于所述服务器响应，使用所述一次性随机数和所接收的内容的第一部分生成第二哈希值；比较所述第一哈希值和所述第二哈希值；响应于所述哈希值匹配，组合所述内容的所述第一部分和所述第二部分以解析组合内容；并且根据所述组合内容中所包括的指令来利用所述组合内容。

根据一个实施例，使用所述车辆的车辆识别号码生成所述第一哈希值和所述第二哈希值。

根据一个实施例，所述服务器处理器被配置为在所述车辆处理器接收到内容的所述第一部分之前将所述组合内容的副本加扰为加扰内容并且将所述加扰内容分成第一加扰部分和第二加扰部分，并且其中由所述车辆处理器接收的内容的第一部分和内容的第二部分是所述第一加扰部分和所述第二加扰部分，并且其中所述车辆处理器被配置为在利用所述组合内容之前对所述组合内容进行解扰，其中所述服务器处理器和所述车辆处理器两者都设置有存储器，所述存储器包括用于对所述内容进行加扰的策略，所述策略由所述服务器处理器用于对所述内容进行加扰并且由所述车辆处理器用于对所述内容进行解扰。

根据一个实施例，所述服务器处理器被配置为根据利用由所述服务器生成并与所述服务器响应一起发送的至少一个随机编码变量值的至少一个编码策略来对所述内容进行编码，并且其中所述车辆处理器被配置为接收所述编码变量值，并且在利用所述组合内容之前根据利用所接收的编码变量值的解码策略来对所述组合内容进行解码。

Claims (15)

1.一种系统，其包括：

处理器，所述处理器被配置为：

经由ATSC广播接收内容的第一部分；

响应于接收到所述内容，生成随机的一次性随机数；

将所述一次性随机数和对内容验证的请求发送到远程服务器；

从所述远程服务器接收消息，所述消息指示内容的所述第一部分是否可能有效，并且当所述消息指示所述内容可能有效时，包括内容的第二部分和哈希值；

响应于所述消息指示所述内容可能有效，使用所述随机的一次性随机数和内容的所述第一部分作为哈希函数的输入来计算第二哈希值；

将所述第二哈希值与第一哈希值进行比较；

响应于所述第二哈希值与所述第一哈希值匹配，组合内容的所述第二部分和内容的所述第一部分以创建组合内容；

利用安全策略将所述组合内容转换成可利用内容；以及

利用所述可利用内容。

2.如权利要求1所述的系统，其中所述处理器还被配置为使用车辆识别号码作为所述哈希函数的另外的输入来计算哈希。

3.如权利要求1所述的系统，其中响应于所述消息指示所述内容无效，所述处理器被配置为丢弃所述内容。

4.如权利要求1所述的系统，其中响应于所述第二哈希值不匹配所述第一哈希值，所述处理器被配置为警告所述服务器所述不匹配。

5.如权利要求1所述的系统，其中所述处理器被配置为利用安全策略，所述安全策略包括以预定义方式解扰所述组合内容的位。

6.如权利要求5所述的系统，其中所述处理器被配置为使用在响应中接收的一个或多个可变元素来解析所述安全策略中的变量以制定能够用于对所述内容进行解扰的完整的解扰过程。

7.如权利要求1所述的系统，其中所述处理器被配置为利用安全策略，所述安全策略包括解扰所述组合内容的位以及解密所述组合内容。

8.如权利要求1所述的系统，其中内容的所述第一部分是内容的多个第一部分中的一个，并且包括关于其对应于所述多个第一部分中的哪一个的指示符和所述多个第一部分的总数的指示符。

9.如权利要求8所述的系统，其中所述处理器被配置为根据预定义组合策略使用在响应中接收的一个或多个可变元素来解析所述组合策略中的变量以制定能够用于组合所述内容的完整的组合过程来组合所述内容。

10.一种系统，其包括：

处理器，所述处理器被配置为：

根据安全策略来重新配置可递送的车辆内容以得到重新配置的内容；

将所述重新配置的内容分成第一部分和第二部分；

将所述第一部分发送到ATSC广播电台；

从车辆接收验证在所述车辆处接收到所述第一部分的验证请求，所述请求包括由所述车辆生成的一次性随机数；

验证所述车辆是否被指定用于内容接收；

响应于所述车辆被指定用于内容接收，使用所述重新配置的内容的所述第一部分和所述一次性随机数来生成哈希值；以及

响应于所述验证请求而将所述哈希值和内容的所述第二部分发送到所述车辆。

11.如权利要求10所述的系统，其中所述处理器还被配置为基于与所述车辆相关联的车辆识别号码生成所述哈希值。

12.如权利要求10所述的系统，其中响应于所述车辆不被指定用于内容接收，所述处理器被配置为警告所述车辆非预期内容的存在。

13.如权利要求10所述的系统，其中所述处理器被配置为通过根据预定义加扰策略对所述可递送的车辆内容进行加扰来重新配置所述可递送的车辆内容。

14.如权利要求13所述的系统，其中所述预定义加扰策略包括至少一个可变加扰元素，并且其中所述处理器被配置为生成针对所述加扰元素的加扰变量值并将所述加扰变量值包括在响应于所述验证请求至所述车辆的发送中。

15.如权利要求10所述的系统，其中所述处理器被配置为根据包括至少一个可变划分元素的预定义划分策略来划分所述内容，并且其中所述处理器被配置为生成针对所述划分元素的划分变量值并将所述划分变量值包括在响应于所述验证请求至所述车辆的发送中。

Images