DE10056532A1 - Verfahren zur manipulationsgeschützten Datenkommunikation - Google Patents

Abstract

Die vorliegende Erfindung betrifft ein Verfahren zur manipulationsgeschützten bidirektionalen Datenkommunikation zwischen mindestens einem ersten und einem zweiten Transceiver (T1, T2) über eine Funkdatenübertragungsstrecke, bei der mit informationstragenden Dateninhalten modulierte Funksignale wechselseitig in beide Übertragungsrichtungen übertragen werden, insbesondere zwischen Fahrzeug-Basiseinheiten und mobilen ID-Gebühren von Keyless-Entry-Systemen von Kraftfahrzeugen. Um Manipulationsversuche durch zwischengeschaltete manipulierende Übertragungsstrecken erkennen und abwehren zu können, schlägt das erfindungsgemäße Verfahren vor, dass die Funksignale zumindest zeitweise für beide Übertragungsrichtungen dieselbe Trägerfrequenz (f) haben.

Description

Die vorliegende Erfindung bezieht sich auf ein Verfahren zur manipulationsgeschützten bidirektionalen Datenkommunikation zwischen mindestens einem ersten und einem zweiten Transceiver über eine Funkdatenübertragungsstrecke, bei der mit informationstragenden Dateninhalten modulierte Funksignale wechselseitig in alle Übertragungsrichtungen übertragen werden, insbesondere zwischen Fahrzeug- Basiseinheiten und ID-Gebern von Keyless-Entry-Systemen von Kraftfahrzeugen.

Elektronische Zugangsberechtigungssysteme, wie sie beispielsweise als schlüsselfreie Ver- und Entriegelungseinrichtungen im Kraftfahrzeugbereich als Passive-Entry-/Passive-Go-Systeme zunehmend Verbreitung finden, erfordern einen gesicherten Datenaustausch zwischen den Kommunikationsteilnehmern. Ein solcher wirksamer Schutz setzt zunächst voraus, dass ein Manipulationseingriff in die Kommunikationsverbindung erkannt werden kann, um entsprechende Gegenmaßnahmen einzuleiten.

Von besonderer Bedeutung ist der manipulationsgeschützte Datenaustausch zur Identifizierung bzw. Authentifizierung bei einer funkstreckenbasierten Datenübertragung zwischen Sende- Empfangs-Einrichtungen (Transceivern) wie bei den vorgenannten Passive-Entry-Systemen. Der als Fahrzeug- Basiseinheit dienende Transceiver eines derartigen Systems strahlt zyklisch mit einer Kennung versehene Funksignale ab. Gelangt ein als ID-Geber ausgebildeter Transceiver in den Sendebereich der Fahrzeug-Basiseinheit, sendet der ID-Geber als Antwort ebenfalls ein moduliertes Funksignal, welches von dem ersten Transceiver im Kraftfahrzeug empfangen und ausgewertet wird. Führt die Auswertung zu einer positiven Identifizierung des ID-Gebers als zugangsberechtigt, wird beispielsweise die Entriegelung des Fahrzeugzugangs und die Aktivierung der Zündung veranlasst.

Ein grundlegendes Problem bei der vorangehend erläuterten funkstreckenbasierten Datenkommunikation besteht darin, dass die Funksignale ohne Probleme im Zuge eines Manipulationsversuchs empfangen, gegebenenfalls manipuliert und weitergeleitet werden können. So ist es beispielsweise denkbar, durch ein Paar von zwischengeschalteten Transceivern, die lineare Frequenzumsetzer enthalten, eine zusätzliche Funkstrecke zwischen dem an Bord befindlichen Transceiver und dem mobilen Transceiver zwischenzuschalten, und dadurch dem Passive-Entry-System die Anwesenheit eines berechtigten ID-Gebers in Fahrzeugnähe vorzutäuschen. Hierzu wird lediglich das vom ersten Transceiver gesendete Funksignal linear umgesetzt auf eine Zwischenfrequenz mit gegebenenfalls hoher Leistung und damit hoher Reichweite, die von einem zweiten zwischengeschalteten Transceiver wieder auf die ursprüngliche Trägerfrequenz zurückgesetzt und an den ID- Geber gesendet werden. In der umgekehrten Übertragungsrichtung können die von dem ID-Geber abgegebenen Funksignale an den ersten, im Fahrzeug befindlichen Transceiver zurückgesendet werden. Da diese lineare Frequenzumsetzung quasi in Echtzeit durchführbar ist, ist diese Form der Manipulation bei im Stand der Technik bekannten Funkdatenübertragungsstrecken praktisch nicht erkennbar.

Angesichts der vorangehend erläuterten Problematik liegt der vorliegenden Erfindung die Aufgabenstellung zugrunde, ein Verfahren zur Datenkommunikation zur Verfügung zu stellen, welches eine externe Manipulation der Datenkommunikation erschwert bzw. Manipulationsversuche erkennbar macht.

Zur Lösung dieser Aufgabenstellung wird erfindungsgemäß vorgeschlagen, dass die Funksignale zumindest zeitweise für beide Übertragungsrichtungen im wesentlichen die selbe Trägerfrequenz haben.

Während es im Stand der Technik als vorteilhaft angesehen wird, den Funksignalen für die beiden Übertragungsrichtungen zwischen den einzelnen Transceivern unterschiedliche Trägerfrequenzen zu geben, um einen gleichzeitigen Datenaustausch in beide Übertragungsrichtungen vorzusehen, liegt das besondere Merkmal der Erfindung darin, dass die Übertragung jeweils sequenziell aufeinanderfolgend zumindest für eine Anzahl von Übertragungsvorgängen auf der im wesentlichen gleichen Trägerfrequenz erfolgt. Während man im Stand der Technik nämlich davon ausgegangen ist, durch die Wahl unterschiedlicher Übertragungsfrequenzen eine störungsunempfindliche bidirektionale Kommunikation mit hoher Bandbreite realisieren zu können, basiert die Erfindung auf der Erkenntnis, dass damit zugleich eine besonders einfache Manipulation durch Zwischenschaltung von zusätzlichen Übertragungsstrecken durch simple, relativ schnell arbeitende lineare Frequenzumsetzer möglich ist, ohne dass die Manipulation erkennbar wird. Im Gegensatz dazu wird bei der erfindungsgemäßen Datenkommunikation jeweils für definierte Zeitfenster auf derselben Trägerfrequenz eine Datenübertragung jeweils nur in die eine oder die andere Übertragungsrichtung freigegeben.

Ein besonderer Vorteil des erfindungsgemäßen Verfahrens resultiert daraus, dass durch die Festlegung eines Übertragungsprotokolls zwischen den Transceivern mit hoher zeitlicher Genauigkeit vorgegeben werden kann, wann eine Datenübertragung in einer vorgegebenen Übertragungsrichtung stattfinden soll. Zwar kann ein abgesendetes Funksignal ebenfalls über eine zwischengeschaltete Funkstrecke mit schnellen linearen Frequenzumsetzern weitergeleitet werden. Allerdings müssten die zwischengeschalteten Transceiver bei der Umkehrung der Übertragungsrichtung, wenn also der Transceiver beispielsweise eines ID-Gebers auf ein empfangenes Funksignal einer Fahrzeug-Basiseinheit ein Antwortsignal zurücksendet, ebenfalls bezüglich ihrer Übertragungsrichtung umgeschaltet werden. Eine gleichzeitige Aktivierung der Sende- und Empfangsfunktion von zwischengeschalteter Übertragungstechnik ist nämlich nicht möglich, da ansonsten aufgrund der selben Trägerfrequenz Mitkopplungserscheinungen erzwungen werden, welche eine Signalübertragung über die zwischengeschaltete Manipulations- Übertragungsstrecke unmöglich machen würden. Diese zwingend erforderliche Umschaltung der Übertragungsrichtung bei einer zwischengeschalteten Übertragungsstrecke führt jedoch selbst bei schneller Schaltungsauslegung unvermeidlich zu Verzögerungen im meßbaren Bereich. Diese lassen sich jedoch durch eine entsprechende Synchronisierung der Datenkommunikation mit relativ geringem Aufwand feststellen. Auf diese Weise werden durch einen verzögerten Empfang oder in einem vorgegebenen Zeitraum unvollständige Datenübertragung Manipulationsversuche erkannt, so dass geeignete Gegenmaßnahmen eingeleitet werden können, beispielsweise ein Abbruch der Datenkommunikation.

Die zeitliche Koordinierung der Transceiver, erfolgt vorzugsweise dadurch, dass die Transceiver durch eine gemeinsame, systemtaktgebende Zeitbasis synchronisiert werden. Hierzu ist beispielsweise ein zyklischer Abgleich einer in den beteiligten Transceivern synchron ablaufenden Kontrollsequenz vorgesehen, gemäß der kryptografisch verschlüsselt für vorgegebene Zeitintervalle die Sende- bzw. Empfangsbereitschaft der Transceiver aktiviert wird.

Vorzugsweise sind die Transceiver kontinuierlich empfangsbereit. Diese Maßnahme ermöglicht mit geringem Aufwand eine hochpräzise Vorgabe der zulässigen Übertragungszeiten, die für eine als gültig akzeptierte Datenkommunikation eingehalten werden müssen. Hierzu wird vorgesehen, dass während der zeitlich synchronisierten Übertragungsintervalle zur Übertragung von informationstragenden Dateninhalten jeweils nur ein Transceiver Funksignale sendet. Die zeitliche Begrenzung der zulässigen Übertragungsintervalle kann dann einfach dadurch erfolgen, dass zumindest zwei Transceiver gleichzeitig Funksignale senden, also beispielsweise gemäß den Vorgaben der synchron ablaufenden Kontrollsequenz der Zeitbasis nach der die Fahrzeug-Basiseinheit und ein mobiler ID-Geber zur selben Zeit kommunikationsredundante Funksignale abgeben.

Bei dem erfindungsgemäßen Verfahren kann dieselbe Trägerfrequenz durchgehend fest vorgegeben sein. Diese Trägerfrequenz kann zusätzlich zeitlich vorgegeben gewechselt, d. h. umgeschaltet werden. Durch die Umschaltung der Trägerfrequenz werden Manipulationsversuche weiter erschwert, da eine zwischengeschaltete manipulierende Übertragungsstrecke diese Änderungen der Trägerfrequenz ebenfalls nachvollziehen müsste, wodurch zusätzlich Laufzeitverlängerung auftreten würde. Die Umschaltung zwischen unterschiedlichen Trägerfrequenzen kann zeitlich synchronisiert dadurch erfolgen, dass zwischen den Transceivern entsprechende Informationen über die einzustellende Trägerfrequenz dieses Frequenz-Hoppings ausgetauscht werden.

Zusätzlich kann vorgesehen sein, dass außerhalb der zugelassenen Übertragungsintervalle zumindest von einem Transceiver ein Zusatzsignalträger gesendet wird, welcher von der Trägerfrequenz abweicht. Dabei handelt es sich um ein zusätzliches, kommunikationsredundantes Funksignal, das beispielsweise von der Fahrzeug-Basiseinheit generiert wird. Dieser zusätzliche Signalträger, der eine abweichende, jedoch ähnliche Frequenz wie die datentragenden Funksignale hat, ermöglicht eine Erkennung und Abwehr auch von manipulierenden Übertragungsstrecken, welche in der Lage sind, Signalmitkopplung zu unterdrücken. Für ein manipulierendes System sind dadurch unvermeidbare Umschaltverzögerungen in den Transceivern nicht detektierbar, so dass der manipulierende Eingriff zusätzlich erschwert wird.

Die Authentifizierung, d. h. die Identifizierung, ob die Kommunikation mit einem berechtigten Transceiver erfolgt, beispielsweise zur Erkennung von Fahrzeug-ID-Gebern, kann bei dem erfindungsgemäßen Verfahren dadurch erfolgen, dass ein Transceiver eine innerhalb eines zeitlich definierten Empfangsintervalls vollständig und unverzögert empfangene Datenfolge als zulässig akzeptiert und die Datenkommunikation fortsetzt. Das zulässige Empfangsintervall wird zeitlich präzise vorgegeben, beispielsweise unmittelbar im Anschluss an eine Sendefolge, so dass eine zwischengeschaltete, manipulierende Übertragungsstrecke unweigerlich zu einer Verzögerung bzw. Verkürzung der übertragenden Datenfolge führen würde, so dass dies eindeutig erkennbar ist. Im Fall, wenn die Datenfolge unvollständig und/oder verzögert ist, wird die Datenkommunikation beendet, da offensichtlich ein Manipulationsversuch vorliegt.

Die praktische Umsetzung des erfindungsgemäßen Verfahrens kann in zeitlicher Abfolge die Verfahrensschritte vorsehen:

• - beide Transceiver senden und empfangen gleichzeitig Funksignale mit gleicher Trägerfrequenz;
• - der erste Transceiver beendet das Senden und erwartet den Empfang eines Funksignals mit Trägerfrequenz des zweiten Transceivers;
• - wenn der erste Transceiver das Funksignal des zweiten Transceivers verzögerungsfrei und vollständig empfängt: Fortsetzung der Datenkommunikation;
• - wenn der erste Transceiver das Funksignal des zweiten Transceivers verzögert, unvollständig oder nicht empfängt: Beendigung der Datenkommunikation.

Alternativ bzw. zusätzlich kann vorgesehen sein, dass die beiden Transceiver die Trägerfrequenz der Funksignale zeitweise wechseln. Dabei handelt es sich um das sogenannte Frequenz-Hopping, wobei jedoch das Grundprinzip beibehalten wird, dass der wechselseitige Datenaustausch zumindest zeitweilig auf derselben Trägerfrequenz erfolgt.

Darüber hinaus kann zumindest einer der Transceiver zumindest zeitweise ein Zusatzfunksignal senden, welche eine von der jeweiligen Trägerfrequenz abweichende, jedoch im selben Bereich liegende Frequenz hat. Dadurch kann eine manipulierende Breitbandübertragungsstrecke blockiert werden.

Nachfolgend wird das erfindungsgemäße Verfahren näher erläutert unter Bezugnahme auf die beigefügten Zeichnungen.

Darin zeigen:

Fig. 1 schematisch eine erfindungsgemäß betriebene Datenkommunikationseinrichtung;

Fig. 2 eine Datenkommunikationseinrichtung gemäß Fig. 1 mit einer zusätzlichen manipulierenden Übertragungsstrecke;

Fig. 3 eine erfindungsgemäße Datenkommunikationsfolge;

Fig. 4 schematisch eine erweiterte erfindungsgemäße Datenkommunikation.

Fig. 1 zeigt schematisch einen ersten Transceiver T1, der beispielsweise die Fahrzeug-Basiseinheit eines Passive-Entry- Systems darstellt, sowie einen zweiten Transceiver T2, beispielsweise ein tragbarer ID-Geber. Diese Transceiver T1 bzw. T2 umfassen jeweils Sender S1 bzw. S2 sowie Empfänger E1 bzw. E2. Zwischen den Transceivern T1 und T2 werden zur Datenkommunikation in beide Übertragungsrichtungen Funksignale übertragen, und zwar beim erfindungsgemäßen Verfahren zumindest zeitweilig mit der gleichen Trägerfrequenz f.

Fig. 2 zeigt, wie der Übertragungsstrecke zwischen den Transceivern T1 und T2 ein manipulierendes System M zwischengeschaltet ist. Dieses besteht aus insgesamt vier Lineartransvertern L, welche zum Empfangen, Frequenzumsetzen und Weitersenden von empfangenen Funksignalen geeignet sind. Wegen der erfindungsgemäß für beide Übertragungsrichtungen gleichen Trägerfrequenz f ist in den Lineartransvertern 1 jeweils ein Umschalten der Übertragungsrichtung erforderlich. Eine gleichzeitige Aktivierung der manipulierenden Einrichtung M für beide Übertragungsrichtungen führt wegen der Frequenzgleichheit der zwischen S1 und E2 bzw. S2 und E1 übertragenen Funksignale unweigerlich zu Mitkopplungseffekten, wie dies mit den geschwungenen Pfeilen angedeutet ist. Dadurch wird die Datenübertragung gestört, was durch die Verzögerung bzw. die unvollständige oder fehlende Übertragung der auf der Trägerfrequenz übertragenen Datenfolge feststellbar ist, so dass der Manipulationsversuch erkennbar ist und die Datenkommunikation beendet werden kann.

In Fig. 3 ist der bitweise zeitliche Ablauf einer Datenkommunikation gemäß dem erfindungsgemäßen Verfahren exemplarisch dargestellt. In der ersten Zeile ist eine für beide Transceiver T1 und T2 zeitsynchron ablaufende Kontrollsequenz c(k) dargestellt. Wenn diese den Wert 1 hat, bedeutet dies, dass alle Kommunikationsteilnehmer, also die Transceiver T1 und T2 gleichzeitig Funksignale der Trägerfrequenz f senden, was jeweils anhand der gleichzeitig in beide Richtungen weisenden vertikalen Übertragungspfeile zwischen T1 und T2 erkennbar ist. Der Wert 0 bedeutet hingegen, dass ausschließlich ein Kommunikationsteilnehmer, also T1 oder T2, nach einer vorab vereinbarten Folge sendeberechtigt ist.

In der zweiten Zeile und in der letzten Zeile ist eine sogenannte Redundanzsequenz r(k) dargestellt, die gleichzeitig von T1 und T2 gesendet wird, wenn diese durch die Kontrollsequenz c(k) = 1 gleichzeitig aktiviert sind.

In der dritten Zeile ist für T1 und in der sechsten Zeile für T2 eine Informationssequenz i(k) angegeben. Dabei handelt es sich um eine der Trägerfrequenz f aufmodulierte Folge, mit welcher ein allein sendeberechtigter Kommunikationsteilnehmer, also jeweils T1 oder T2, den jeweils anderen Kommunikationsteilnehmer adressiert.

In der vierten Zeile ist für T1 und in der fünften Zeile ist für T2 eine zulässig auf die Übertragungsstrecken gegebene, informationstragende Datensequenz d(k) dargestellt. Diese hat entweder gültige Informationsinhalte X(1, 2) oder, wenn beide Sender S1 und S2 durch die Kontrollsequenz c(k) = 1 gleichzeitig aktiviert sind, keinen verwertbaren Informationsgehalt.

Aus der in Fig. 3 dargestellten Abfolge von Datenkommunikationsvorgängen ist ersichtlich, dass immer für die Zeitintervalle, wenn c(k) den Wert 1 annimmt, beide Sender S1 und S2 gleichzeitig aktiv sein können, so dass bei einem manipulierendem System M wie in Fig. 2 dargestellt, Mitkopplungserscheinungen erzwungen würden. Die Datenkommunikation setzt für eine Übertragungsrichtung immer genau dann ein, wenn dieser bewusst nicht zur Informationsübertragung genutzte Zustand beendet wird, so dass gemäß einer definierten, verschlüsselten, für beide Transceiver T1 und T2 ablaufenden Kontrollsequenz k genau einer der Sender S1 bzw. S2 auf Sendebetrieb geht und ein Funksignal auf der Trägerfrequenz f übertragen wird. Dank dieser präzisen, schnellen Synchronisierung ist es unmöglich, ein manipulierendes System M wie in Fig. 2 dargestellt, zwischenzuschalten, ohne dass durch Laufzeiteffekte eine Verzögerung bei der Signalübertragung auftreten würde. Diese problemlos erkennbare Verzögerung zeigt jedoch eindeutig einen Manipulationseingriff, so dass die Datenkommunikation unterbrochen werden kann.

Fig. 4 zeigt im Detail einen Kommunikationsvorgang zwischen einem ersten Transceiver T1, beispielsweise einer Fahrzeug- Basiseinheit, und einem Transceiver T2, beispielsweise einem ID-Geber. Darin sendet T1 mit der Trägerfrequenz f zum Zeitpunkt t1 kommunikationsrelevante Daten an T2. Zum Zeitpunkt t2 wird auf Seiten von T1 ein Zusatzträger mit der Frequenz (f + z) zugeschaltet. Damit wird eine breitbandige, manipulierende Übertragungseinrichtung blockiert und gleichzeitig die zum Zeitpunkt t3 erfolgende Umschaltung der Übertragungsrichtung verdeckt. Zum Zeitpunkt t4 ist zwar T1 grundsätzlich wieder empfangsbereit, empfängt jedoch zusätzlich das Zusatzsignal mit der Frequenz f + z, so dass keine wirksame Datenübertragung von T2 zu T1 erfolgen kann. Dies ist mit den gestrichelten Übertragungspfeilen angedeutet. Erst wenn zum Zeitpunkt t5 das Zusatzsignal Z beendet wird, kann eine definierte Datenübertragung von T2 zu T1 erfolgen. Es ist jedoch für ein manipulierendes System M gemäß Fig. 2 mit Lineartransvertern L praktisch unmöglich, im Zeitpunkt t5 hinreichend schnell zu reagieren. Diese unvermeidliche Verzögerung in der Größenordnung in einem meßbaren Zeitbereich reicht aus, um den manipulierenden Eingriff in die Übertragungsstrecke zu erkennen und in diesem Fall die Datenkommunikation abzubrechen.

Claims (11)

1. Verfahren zur manipulationsgeschützten bidirektionalen Datenkommunikation zwischen mindestens einem ersten und einem zweiten Transceiver über eine Funkdatenübertragungsstrecke, bei der mit informationstragenden Dateninhalten modulierte Funksignale wechselseitig in beide Übertragungsrichtungen übertragen werden, insbesondere zwischen Fahrzeug- Basiseinheiten und mobilen ID-Gebern von Passive-Entry- Systemen von Kraftfahrzeugen, gekennzeichnet dadurch, dass die Funksignale zumindest zeitweise für beide Übertragungsrichtungen im wesentlichen dieselbe Trägerfrequenz (f) haben.

2. Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass die Transceiver (T1, T2) durch eine gemeinsame systemtakt gebende Zeitbasis synchronisiert werden.

3. Verfahren nach Anspruch 1 oder 2, dadurch gekennzeichnet, dass die Transceiver (T1, T2) kontinuierlich empfangsbereit sind.

4. Verfahren nach einem der Ansprüche 1 bis 3, dadurch gekennzeichnet, dass für zeitlich synchronisierte Übertragungsintervalle zur Übertragung von informationstragenden Dateninhalten jeweils nur ein Transceiver (T1, T2) Funksignale sendet.

5. Verfahren nach einem der Ansprüche 1 bis 4, dadurch gekennzeichnet, dass außerhalb zeitlich synchronisierter Übertragungsintervalle zumindest zwei Transceiver (T1, T2) gleichzeitig Funksignale senden.

6. Verfahren nach einem der Ansprüche 1 bis 5, dadurch gekennzeichnet, dass durchgehend dieselbe Trägerfrequenz (f) benutzt wird.

7. Verfahren nach einem der Ansprüche 1 bis 5, dadurch gekennzeichnet, dass zeitlich vorgegeben die Trägerfrequenz (f) gewechselt wird (Frequenz-Hopping).

8. Verfahren nach einem der Ansprüche 1 bis 7, dadurch gekennzeichnet, dass außerhalb der Übertragungsintervalle von zumindest einem Transceiver (T1) ein Zusatzsignalträger (Z) gesendet wird, welcher von der Trägerfrequenz (f) abweicht.

9. Verfahren nach einem der Ansprüche 1 bis 8, dadurch gekennzeichnet, dass ein Transceiver (T1, T2) eine innerhalb eines zeitlich definierten Empfangsintervalls vollständig und unverzögert empfangene Datenfolge als zulässig akzeptiert und die Datenkommunikation fortsetzt.

10. Verfahren nach einem der Ansprüche 1 bis 8, dadurch gekennzeichnet, dass ein Transceiver (T1, T2) eine innerhalb eines zeitlich definierten Empfangsintervalls unvollständig, verzögert oder nicht empfangene Datenfolge nicht als zulässig akzeptiert und die Datenkommunikation beendet.

11. Verfahren nach einem der vorangehenden Ansprüche 1 bis 10, gekennzeichnet durch die Verfahrensschritte

• - Beide Transceiver (T1, T2) senden und empfangen gleichzeitig Funksignale gleicher Trägerfrequenz (f);
• - Einer der beiden Transceiver (T1, T2) beendet das Senden und erwartet den Empfang eines Funksignals mit der Trägerfrequenz (f) des jeweils anderen Transceivers;
• - Wenn der eine Transceiver das Funksignal des anderen Transceivers verzögerungsfrei und vollständig empfängt: Fortsetzung der Datenkommunikation;
• - Wenn der eine Transceiver das Funksignal des zweiten Transceivers verzögert, unvollständig oder nicht empfängt: Beendigung der Datenkommunikation.