DE10148830B4

DE10148830B4 - Verfahren und System zur Authentifizierung eines ersten Sende-/Empfangsgeräts gegenüber einem zu diesem entfernt angeordneten zweiten Sende-/Empfangsgerät

Info

Publication number: DE10148830B4
Application number: DE10148830A
Authority: DE
Inventors: Andreas Hagl; Konstantin Aslanidis
Original assignee: Texas Instruments Deutschland GmbH
Current assignee: Texas Instruments Deutschland GmbH
Priority date: 2001-10-04
Filing date: 2001-10-04
Publication date: 2005-10-06
Anticipated expiration: 2021-10-05
Also published as: DE10148830A1; US20030071717A1; US6950008B2; EP1304661A1

Abstract

Verfahren zur Authentifizierung eines ersten Sende-/Empfangsgeräts 2 gegenüber einem zu diesem entfernt angeordneten zweiten Sende-/Empfangsgerät 3, bei dem
mittels des ersten Geräts 2 über eine mit diesem verbundene Antenne 5 ein erstes Signal S1 gesendet wird;
wenn sich das zweite Gerät 3 im Empfangsbereich des ersten Geräts 2 befindet, mittels des zweiten Geräts 3 über eine mit diesem verbundene Antenne 8 das erste Signal S1 empfangen wird, anhand des empfangenen ersten Signals S1 eine Größe gemessen wird, die die Stärke des durch das erste Signal S1 erzeugten elektromagnetischen Feldes am Ort des zweiten Geräts 3 charakterisiert, und ein zweites Signal S2 über die mit dem zweiten Gerät 3 verbundene Antenne 8 gesendet wird, das die Information über die die Feldstärke charakterisierende Größe enthält;
mittels des ersten Geräts 2 das zweite Signal S2 über die mit dem ersten Gerät 2 verbundene Antenne 5 empfangen wird, anhand des empfangenen...

Description

Die Erfindung betrifft ein Verfahren und ein System zur Authentifizierung eines ersten Sende-/Empfangsgeräts gegenüber einem zu diesem entfernt angeordneten zweiten Sende-/Empfangsgerät. Das erste Sende-/Empfangsgerät kann z. B. ein Lesegerät für einen Transponder sein, während das zweite Sende-/Empfangsgerät der Transponder selbst sein kann.

Um einem Individuum den Zugang zu einem geschützten Bereich zu ermöglichen, werden immer häufiger auf Transponder gestützte Sicherheitssysteme angewendet. Ein für ein solches Sicherheitssystem geeigneter Transponder ist beispielsweise in EP 0 301 127 B1 beschrieben. Ein anschauliches Beispiel eines solchen Systems ist die Ermöglichung des Zugangs zu einem versperrten Kraftfahrzeug. Das Aufsperren des Fahrzeugs soll nur berechtigten Individuen gestattet werden. Das berechtigte Individuum führt in diesem Fall einen Transponder mit sich, und in dem Fahrzeug ist eine Steuereinheit angebracht, die beispielsweise durch Anfassen des Türgriffs des Fahrzeugs veranlaßt wird, ein Abfragesignal auszusenden. Dieses Abfragesignal löst im Transponder die Aussendung einer Identifizierungscodegruppe aus, die von der Steuereinheit empfangen und analysiert wird. Wenn die Identifizierungscodegruppe mit der in der Steuereinheit gespeicherten Identifizierungscodegruppe übereinstimmt, wird die Sperrung des Fahrzeugs aufgehoben und das Individuum kann die aufgesperrte Tür öffnen und so in das Innere des Fahrzeugs gelangen.

Dieses System erweist sich in der Praxis hinsichtlich des Sicherheitsaspekts als problematisch. Als Schwachpunkt erweist sich insbesondere das Abfragesignal, das von der Steuereinheit ausgesendet wird und den Transponder veranlaßt, seine Identifizierungscodegruppe zurückzusenden. Dieses Abfragesignal wird zwar nur mit sehr geringer Leistung ausgesendet, so daß es vom Transponder nur empfangen werden kann, wenn sich dieser sehr nahe bei der das Signal aussendenden Antenne befindet. Sobald ein Abstand von ca. 2 m überschritten wird, kann der Transponder das Abfragesignal nicht mehr empfangen, so daß die Identifizierungscodegruppe nicht ausgesendet wird. Es besteht jedoch die Möglichkeit, den erforderlichen geringen Abstand zwischen der Antenne der Steuereinheit und dem Transponder beträchtlich zu vergrößern, indem beispielsweise von einer Person nahe der Antenne der Steuereinheit eine Empfangsspule mit einer angeschlossenen Übertragungseinheit angebracht wird. Diese Person löst die Aussendung des Abfragesignals, im angenommenen Beispiel durch Anfassen des Türgriffs des Fahrzeugs aus, das von der Übertragungseinheit weitergeleitet wird. Eine zweite Person, die sich nahe des berechtigten Individuums aufhält, besitzt einen Empfänger, der das Abfragesignal empfängt und mit einer Sendeantenne wieder aussendet. Der Transponder, der vom berechtigten Individuum mitgeführt wird, reagiert auf dieses Abfragesignal so, als würde sich das berechtigte Individuum nahe bei einem verschlossenen Fahrzeug befinden. Es sendet also die Identifizierungscodegruppe aus, die von einem von der zweiten Person mitgeführten Sende/Empfangsgerät empfangen und wieder ausgesendet wird. Das Sende/Empfangsgerät der ersten Person empfängt die Identifizierungscodegruppe und sendet sie aus, so daß sie von der Antenne der Steuereinheit im Fahrzeug empfangen wird. Da die Identifizierungscodegruppe vom Transponder der berechtigten Person stammt, führt dieser Vorgang dazu, daß die Steuereinheit das Türschloß des Fahrzeugs freigibt, so daß die Tür von der nichtberechtigten Person geöffnet werden kann. Dieses Betrugsverfahren wird auch als "Relay-Attack" bezeichnet.

Bei kleineren Entfernungen zwischen Fahrzeug und Transponder würde eine noch einfachere Möglichkeit des Ausspähens darin bestehen, daß einfach die Enden einer Schlaufe, die jeweils aus eine Antennenspule bestehen, in die Nähe des Transponders bzw. in den Nähe des Fahrzeugs gelegt werden und so induktiv das Ausspähen und Übertragen der Identifizierungscodegruppe erfolgt.

DE 198 50 176 C1 offenbart eine Diebstahlschutzeinrichtung für ein Kraftfahrzeug mit einer Sende- und Empfangseinheit im Fahrzeug sowie einem tragbaren Codegeber, der sich im Besitz der zugangsberechtigten Person befindet. Wenn die Sende- und Empfangseinheit ein Fragesignal aussendet, mißt sie gleichzeitig eine physikalische Umgebungsgröße. Bei Empfang des Fragesignals, mißt der Codegeber diese physikalische Größe ebenfalls und sendet sein Meßergebnis zusammen mit seinem Codesignal an die Sende- und Empfangseinheit zurück. Nur bei Übereinstimmung der beiden Meßwerte der physikalischen Größe zusätzlich zum richtigen Codesignal, wird ein Entriegelungsimpuls gegeben. Bei der physikalischen Größe handelt es sich um eine Umgebungsgröße wie beispielsweise der Temperatur, der Umgebungshelligkeit oder dem Erdmagnetfeld.

FR 2 700 625 A1 offenbart eine Vorrichtung und ein Verfahren zum Öffnen und Verschließen der Türen eines Kraftfahrzeugs bzw. zur Aktivierung einer Diebstahlsicherung, die ebenfalls auf einer Sende-/Empfangseinrichtung im Fahrzeug und einem vom Nutzer mitgeführten tragbaren Gerät beruht. Das Sende-/Empfangsgerät sendet periodisch ein Signal aus. Ist das tragbare Gerät in ausreichender Nähe zum Fahrzeug, so empfängt es dieses ausgesandte Signal und sendet seinerseits ein Codesignal an das Fahrzeug. Die Sende-/Empfangsvorrichtung im Fahrzeug vergleicht den empfangenen Code mit einem voreingestellten Code. Außerdem mißt die Sende-/Empfangsvorrichtung den Leistungspegel des empfangenen Signals. Nur wenn dieser Leistungspegel über oder gleich einem voreingestellten Leistungspegel liegt und das Codesignal mit dem voreingestellten Codesignal übereinstimmt, wird ein Signal zum Öffnen der Türen und zum Freigeben der Diebstahlschutzvorrichtung ausgelöst. Damit handelt es sich um ein klassisches „passive entry"-System, das vom Nutzer keine Aktion zum Öffnen der Türen fordert. Ein Schutz vor Ausspionieren des Codesignals ist nicht vorgesehen. Es ist möglich, die Auswertung anderer Sensorsignale in die Entscheidung für ein Öffnen oder Verschließen der Türen mit einzubeziehen.

Der Erfindung liegt die Aufgabe zugrunde, ein Verfahren und ein System zu schaffen, womit die geschilderten Sicherheitslücken beseitigt werden können.

Zur Lösung der Aufgabe wird durch die Erfindung ein Verfahren zur Authentifizierung eines ersten Sende-/Empfangsgeräts gegenüber einem zu diesem entfernt angeordneten zweiten Sende-/Empfangsgerät geschaffen, bei dem mittels des ersten Geräts über eine mit diesem verbundene Antenne ein erstes Signal gesendet wird;
wenn sich das zweite Gerät im Empfangsbereich des ersten Geräts befindet, mittels des zweiten Geräts über eine mit diesem verbundene Antenne das erste Signal empfangen wird, anhand des empfangenen ersten Signals eine Größe gemessen wird, die die Stärke des durch das erste Signal erzeugten elektromagnetischen Feldes am Ort des zweiten Geräts charakterisiert, und ein zweites Signal über die mit dem zweiten Gerät verbundene Antenne gesendet wird, das die Information über die die Feldstärke charakterisierende Größe enthält;
mittels des ersten Geräts das zweite Signal über die mit dem ersten Gerät verbundene Antenne empfangen wird, anhand des empfangenen zweiten Signals eine Größe gemessen wird, die die Stärke des durch das zweite Signal erzeugten elektromagnetischen Feldes am Ort des ersten Geräts charakterisiert, anhand der beim Senden des ersten und zweiten Signals gemessenen die Feldstärken charakterisierenden Größen überprüft wird, ob die beiden zu den Feldstärken korrespondierenden Ausmaße der Verkopplung zwischen den beiden Antennen übereinstimmen, wobei nur dann, wenn sie übereinstimmen, ein Freigabesignal erzeugt wird.

Darüber hinaus wird zur Lösung der der Erfindung zugrundeliegenden Aufgabe ein entsprechendes System zur Authentifizierung eines ersten Sende-/Empfangsgeräts gegenüber einem zu diesem entfernt angeordneten zweiten Sende-/Empfangsgerät, mit denen jeweils mindestens eine Antenne verbunden ist, geschaffen, das dadurch gekennzeichnet ist, daß das erste Sende-/Empfangsgerät und das zweite Sende-/Empfangsgerät jeweils ein Mittel aufweisen, mit dem während des Empfangs eines Signals eine Größe gemessen werden kann, die die Stärke des durch das Signal am Ort des empfangenden Geräts erzeugten elektromagnetischen Feldes charakterisiert, und mindestens eines der beiden Sende-/Empfangsgeräte ein Mittel, mit dem anhand der beim Senden eines Signals vom ersten Gerät zum zweiten Gerät gemessenen die Feldstärke am zweiten Gerät charakterisierenden Größe und anhand der beim Senden eines Signals vom zweiten Gerät zum ersten Gerät gemessenen die Feldstärke am ersten Gerät charakterisierenden Größe überprüft werden kann, ob die beiden zu den Feldstärken korrespondierenden Ausmaße der Verkopplung zwischen den beiden Antennen übereinstimmen, und ein weiteres Mittel aufweist, mit dem ein Freigabesignal erzeugt werden kann, wenn die beiden Ausmaße der Verkopplung übereinstimmen.

Gemäß dem erfindungsgemäßen Verfahren findet eine auf dem physikalischen Prinzip des Transformators basierende Authentifizierung zwischen den beiden Sende-/Empfangsgeräten statt. Dabei wird anhand der elektromagnetischen Verkopplung zwischen den beiden Antennen der beiden Sende-/Empfangsgeräte (im Fall induktiver Übertragung der Flußverkopplung), die aus Symmetriegründen unabhängig davon, welches Gerät gerade sendet, übereinstimmen muß, überprüft, ob hier auch zueinander gehörende Geräte miteinander kommunizieren und ob nicht der zugelassene Übertragungsweg durch zwischengeschaltete Geräte von Ausspähern verlängert und überbrückt wird. Beim Senden jedes der beiden Geräte wird jeweils vom gerade empfangenden Gerät eine die Feldstärke am Ort des empfangenden Geräts charakterisierende Größe gemessen, wobei die gemessene Information von zumindest einem Gerät zum anderen übertragen werden muß, damit in diesem aus den gemessenen Feldstärken die beiden Verkopplungen ermittelt und miteinander verglichen werden können. Stimmen die Verkopplungen überein, so passen die beiden Geräte zueinander und es kann ein Freigabesignal zum Beispiel zum Öffnen eines Kraftfahrzeugs abgegeben werden. Werden durch Betrüger zusätzliche Geräte zwischen die beiden zum Authentifizierungssystem gehörenden Sende-/Empfangsgeräte geschaltet, so stimmen die ermittelten Verkopplungen aus physikalischen Gründen in der Regel nicht überein und das Freigabesignal bleibt aus. So kann das oben dargestellte Sicherheitsrisiko, das insbesondere bei Passive-Entry-RFID-Systemen besteht, die mit Transpondern arbeiten, ausgeschaltet oder zumindest erheblich vermindert werden.

Vorteilhafte Ausgestaltungen des erfindungsgemäßen Verfahrens sowie des erfindungsgemäßen Systems sind in den Unteransprüchen gekennzeichnet.

Ein Ausführungsbeispiel der Erfindung wird nun unter Bezugnahme auf die Zeichnungen näher erläutert. Es zeigen:
1 eine schematische Darstellung eines erfindungsgemäßen Systems zur Authentifizierung eines ersten Sende-/Empfangsgeräts gegenüber einem zu diesem entfernt angeordneten zweiten Sende-/Empfangsgerät und
2 den Verlauf der magnetischen Feldstärke H gegenüber dem Abstand von der Antenne wie er bei einer gemäß einer bevorzugten Ausführungsform des erfindungsgemäßen Verfahrens verwendeten Antennenform auftritt.
Das in der 1 dargestellte System 1 zur Authentifizierung eines ersten Sende-/Empfangsgeräts 2 gegenüber einem zu diesem entfernt angeordneten zweiten Sende-/Empfangsgerät 3 weist als erstes Sende-/Empfangsgerät ein Lesegerät zum Auslesen eines Transponders auf, der das zweite Sende-/Empfangsgerät bildet.
Das Lesegerät 2 weist eine Elektronik 4 auf, die eine in der 1 nicht dargestellte Sende- und Empfangseinheit aufweist. In der Sende- und Empfangseinheit kann z. B. eine Sendeleistung zur Aktivierung und Energieversorgung des Transponders 3 erzeugt werden, die Modulation eines Sendersignals zur Übertragung von Daten an den Transponder 3 stattfinden und der Empfang und die Demodulation von Signalen, die vom Transponder 3 ausgehen, erfolgen. Da derartige Sende- und Empfangseinheiten im Stand der Technik hinreichend bekannt sind, wird im folgenden nicht näher darauf eingegangen werden.
Vorzugsweise weist das Lesegerät 2 darüber hinaus einen in der 1 nicht dargestellten Mikrokontroller mit Speicher zur Steuerung des Lesegeräts 2 auf, der z. B. den Kommunikationsablauf mit einem Transponder 3 steuert und die empfangenen und ausgesendeten Signale codieren bzw. decodieren kann.
Das Lesegerät weist darüber hinaus eine Antenne 5 auf, die mit der Sende- und Empfangseinheit verbunden ist und über die Signale zum Transponder 3 gesendet bzw. vom Transponder 3 empfangen werden können.
Schließlich ist in dem Lesegerät 2 ein mit der Antenne 5 verbundenes Mittel 6 vorhanden, mit dem während des Empfangs eines Signals vom Transponder 3 eine Größe gemessen werden kann, die die Stärke des durch das Transpondersignal am Ort der Antenne 5 des Lesegeräts 2 erzeugten elektromagnetischen Feldes charakterisiert. Vorzugsweise ist diese Größe die Spannung der Antenne des Lesegeräts 2, so daß das Mittel 6 ein Spannungsmesser sein kann. Alternativ dazu kann das Mittel 6 aber auch z. B. ein Gerät zum Messen des Antennenstroms sein.
Der Transponder 3 weist ebenfalls eine Elektronik 7 auf, die eine in der 1 nicht dargestellte Sende- und Empfangseinheit aufweist. In der Sende- und Empfangseinheit können die vom Lesegerät stammenden Signale demoduliert werden und vom Transponder 3 aussendende Daten über einen Modulator ausgesendet werden. Der Transponder 3 weist auch eine Steuerlogik oder einen Mikrokontroller auf, die bzw. der die Transponderfunktionen steuert. Auch wird ein Speicher vorgesehen sein, in dem z. B. ein Identifizierungscode abgelegt sein kann. Darüber hinaus können bei passiven Transpondern z. B. Bauelemente vorhanden sein, die die aus dem Feld des Lesegerätes 2 entnommene Energie nach Gleichrichtung speichern. Bei aktiven Transpondern wird eine eigene Energieversorgung z. B. in Form einer Batterie vorgesehen sein.
Der Transponder 3 weist darüber hinaus eine Antenne 8 auf, die mit der Sende- und Empfangseinheit verbunden ist und über die Signale zum Lesegerät 2 gesendet bzw. vom Lesegerät 2 empfangen werden können.
Schließlich ist auch in dem Transponder 3 ein mit der Antenne 8 verbundenes Mittel 9 vorhanden, mit dem während des Empfangs eines Signals vom Lesegerät 2 eine Größe gemessen werden kann, die die Stärke des durch das Lesegerätssignal am Ort der Antenne 8 des Transponders 3 erzeugten elektromagnetischen Feldes charakterisiert. Vorzugsweise ist diese Größe die Antennenspannung, so daß das Mittel 9 ein Spannungsmesser sein kann. Alternativ dazu kann das Mittel 9 aber z. B. auch ein Gerät zum Messen des Antennenstroms sein.
Bei einem Türschließsystem für ein Kraftfahrzeug kann der Transponder 3 z. B. in dem Zündschlüssel des Kraftfahrzeugs und das Lesegerät 2 in dem Kraftfahrzeug selbst integriert sein.
Das erfindungsgemäße Verfahren zur Authentifizierung eines ersten Sende-/Empfangsgeräts (hier das Lesegerät) gegenüber einem zu diesem entfernt angeordneten zweiten Sende-/Empfangsgerät (hier der Transponder), läuft nun wie folgt ab:
Zunächst sendet das Lesegerät 2 mittels seiner Sende-/Empfangseinheit über die mit dem Lesegerät 2 verbundene Antenne 5 ein Abfragesignal S1 zum Transponder 3 aus. Durch das Abfragesignal S1 wird ein elektromagnetisches Feld erzeugt, das auch am Ort der Antenne 8 des Transponders 3 wirkt. Im vorliegenden Beispiel wird davon ausgegangen, daß mit induktiver Kopplung zwischen der Antenne 5 des Lesegeräts 2 und der Antenne 8 des Transponders 3 gearbeitet wird, so daß es sich bei dem Feld um ein magnetisches Feld handelt. Die Antennen 5 und 8 sind dabei vorzugsweise magnetische Antennenspulen.
Wenn sich der Transponder 3 im Empfangsbereich des Lesegeräts 2 befindet, empfängt er über die mit ihm verbundene Antenne 8 das Abfragesignal S1. Dabei wird die durch das von der Antenne 5 des Lesegeräts 2 am Ort der Transponderantenne 8 erzeugte magnetische Feld hervorgerufene Transponderantennenspannung mittels des im Transponder 3 vorhandenen Meßgeräts 9 gemessen und dann im Transponder 3 gespeichert. Die gemessene Transponderantennenspannung stellt eine Maß für die Stärke des empfangenen Signals und damit für die Größe des am Ort der Transponderantenne 8 durch die Lesegerätantenne 5 erzeugten magnetischen Feldes dar.
Darauf wird ein zweites Signal S2 von der im Transponder 3 befindlichen Sende-/Empfangseinheit über die Transponderantenne 8 ausgesendet. Dieses zweite Signal, das die gleiche Trägerfrequenz wie das erste Signal S1 aufweist, enthält in modulierter Form die Information über die während des Sendens des ersten Signals S1 gemessene Größe der Transponderantennenspannung und kann darüber hinaus vorzugsweise einen in dem Transponderspeicher abgelegten Identifizierungscode umfassen.
Das Lesegerät 2 empfängt nun mittels der darin eingebauten Sende-/Empfangseinheit über die Antenne 5 das zweite Signal S2 und mißt anhand dieses Signals die dabei auftretende Lesegerätantennenspannung mit dem Spannnungsmeßgerät 6. Die gemessene Lesegerätantennenspannung stellt eine Maß für die Stärke des empfangenen Signals S2 und damit für die Größe des am Ort der Lesegerätantenne 8 durch die Transponderantenne 5 erzeugten magnetischen Feldes dar. Der gemessene Wert der Lesegerätantennenspannung wird im Lesegerät 2 gespeichert. Vorzugsweise wird neben der empfangenen Information der Transponderantennenspannung, die beim Senden des Signals S1 gemessen wurde, auch der mit dem zweiten Signal S2 übertragene Identifizierungscode im Lesegerät 2 ausgelesen. Beide Werte werden ebenfalls im Lesegerät 2 gespeichert.
In dem in dem Lesegerät 2 vorhandenen Mikrokontroller wird nun anhand der beim Senden des ersten Signals S1 und des zweiten Signals S2 gemessenen die magnetischen Feldstärken charakterisierenden Transponderantennen- bzw. Lesegerätspannungen überprüft, ob die beiden zu den gemessenen Antennenspannungen jeweils korrespondierenden Ausmaße der Flußverkopplung zwischen den beiden Antennen übereinstimmen. Werden die Signale S1 und S2 zeitlich unmittelbar aufeinanderfolgend zwischen denselben Geräten ausgetauscht, d.h. sind neben Transponder 3 und Lesegerät 2 keine weiteren Geräte an der Kommunikation beteiligt, so muß aus physikalischen Gründen das Ausmaß der Flußverkopplung, das in der Regel durch den sogenannten Kopplungsfaktor beschrieben wird, in beiden Fällen gleich sein, d.h. die magnetische Wirkung der stromdurchflossenen Antenne 5 des Lesegeräts 2 beim Senden des ersten Signals S1 auf die empfangende Antenne 8 des Transponders 3 ist symmetrisch zur magnetischen Wirkung der stromdurchflossenen Antenne 8 des Transponders 3 beim Senden des zweiten Signals S2 auf die empfangende Antenne 5 des Lesegeräts 2. Die Größe des Kopplungsfaktors hängt dabei von den geometrischen Abmessungen der beiden Spulenantennen, der Lage (Abstand, Orientierung) der Spulenantennen zueinander sowie den magnetischen Eigenschaften des Mediums ab, das sich zwischen Transponder 3 und Lesegerät 2 befindet.
Vorzugsweise ist in dem mit dem Mikrokontroller des Lesegeräts 2 verbundenen Speicher eine Nachschlagetabelle gespeichert, in der vorherbestimmten während des Sendens des ersten Signals S1 am Lesegerät 2 möglicherweise auftretenden Lesegerätantennenspannungen solche Transponderantennenspannungen zugeordnet sind, die während des Sendens des zweiten Signals am Transponder erwartet werden, wenn das Ausmaß der Verkopplung, ausgedrückt z. B. durch den Kopplungsfaktor, zwischen den Antennen in beiden Fällen des Sendens (S1, S2) konstant ist.
Der Kopplungsfaktor k zwischen zwei den beiden magnetischen Antennenspulen 5, 8 des Lesegeräts 2 und des Transponders 3 läßt sich prinzipiell durch die folgende Gleichung beschreiben:
Dabei ist U_T die Spannung an der Transponderantennenspule 8, U_L die Spannung an der Lesegerätantennenspule 5, L_T ist die Induktivität der Transponderantennenspule 8 und L_L die Induktivität der Lesegerätantennenspule 5, wobei A_k ein Korrekturfaktor ist.
Werden mit U_TS1 die im Transponder gemessene Spannung an der Transponderantennenspule während des Aussendens des ersten Signals S1 vom Lesegerät zum Transponder und mit U_LS2 die im Lesegerät gemessene Spannung an der Lesegerätantennenspule während des Aussendens des zweiten Signals S2 vom Transponder zum Lesegerät bezeichnet, so ergibt sich unter der Voraussetzung, daß die entsprechenden Antennenspannungen der jeweils sendenden Antennen U_LS1 (Spannung an der Lesegerätantennenspule beim Senden des ersten Signals) und U_TS2 (Spannung an der Transponderantennenspule beim Senden des zweiten Signals) bekannt sind und der Kopplungsfaktor k konstant ist, die folgende Beziehung unter Zuhilfenahme der Gleichung (1): UTS1 = α·ULS2 (2), in der α eine leicht zu berechnende Konstante darstellt.
Mit Hilfe dieser Gleichung (2) läßt sich nun leicht die Nachschlagetabelle erzeugen, in dem zu den möglicherweise auftretenden Transponderantennenspannungen U_TS1 die passenden Lesegerätantennenspannungen U_LS2 errechnet werden, die erwartet werden, wenn der Kopplungsfaktor konstant ist.
Im Mikrocontroller des Lesegeräts wird nun anhand der Nachschlagetabelle die mit dem zweiten Signal übermittelte gemessene Transponderantennenspannung U_TS1 zusammen mit der am Lesegerät gemessenen Lesegerätantennenspannung U_LS2 daraufhin überpüft, ob der Kopplungsfaktor übereinstimmt. Findet sich zu der gemessenen Transponderantennenspannung U_TS1 in der Nachschlagetabelle eine zugeordnete Lesegerätantennenspannung U_LS2 die der gemessenen Lesegerätantennenspannungen U_LS1 entspricht, so bedeutet dieses, daß der Kopplungsfaktor in beiden Fällen des Sendens (S1, S2) übereinstimmt und somit sichergestellt ist, daß der Transponder gegenüber dem Lesegerät authentifiziert ist. In diesem Fall erzeugt das Lesegerät ein Freigabesignal.
Ist der Transponder im Zündschlüssel eines Kraftfahrzeugs und das Lesegerät in dem Kraftfahrzeug integriert, so kann das Freigabesignal z. B. den Zugang zu dem Kraftfahrzeug oder das Verschließen des Kraftfahrzeugs ermöglichen.
Vorzugsweise überprüft das Lesegerät vor dem Erzeugen des Freigabesignals auch, ob ein in dem Transponder abgespeicherter und mit dem zweiten Signal an das Lesegerät übermittelter Identifikationscode zu einem in dem Lesegerät 2 abgespeicherten Identifikationscode paßt und erzeugt das Freigabesignal nur in dem Fall, wenn sowohl die Kopplungsfaktoren als auch die Identifikationscodes jeweils zueinander passen.
Wenn nun ein Betrüger wie bei dem eingangs beschriebenen „Relay-Attack" durch Zwischenschalten von zwei weiteren Sende-/Empfangsgeräten versucht, das Freigabesignal auszulösen, so werden die über die beiden im Transponder und Lesegerät gemessenen Antennenspannungen ermittelten Kopplungen in der Regel nicht übereinstimmen, so daß die beiden gemessenen Spannungen U_TS1 und U_LS2 in der Nachschlagetabelle nicht einander zugeordnet werden können und kein Freigabesignal abgegeben wird.
Das erfindungsgemäße Verfahren läßt sich besonders gut im Nahfeld (x < (λ/2π), λ = Wellenlänge der Signale) von magnetischen Antennenspulen anwenden, bei denen die Dämpfung der magnetischen Feldstärke in etwa 60 dB pro Dekade der Entfernung (x) von der Antenne beträgt, da sich die Kopplungsfaktoren hier bereits bei kleinen Abstandänderungen stark verändern. Hier kann unter Umständen dann auch schon ein geringes Auflösungsvermögen der die Antennenspannungen messenden Vorrichtungen 6, 9 genügen, um das Verfahren mit zufriedenstellender Sicherheit durchführen zu können. 2 zeigt den Verlauf der magnetischen Feldstärke H gegenüber dem Abstand von der Antenne wie er bei einer magnetischen Antennenspule auftritt. Im Fernfeld nimmt die Dämpfung der magnetischen Feldstärke stark ab und beträgt dann nur noch 20 dB pro Dekade der Entfernung (x) von der Antenne.
Rein theoretisch besteht bei dem bisher dargestellten erfindungsgemäßen Verfahren und System noch die Gefahr, daß eine symmetrische Schlaufe, an deren Enden zwei identische Spulen angebracht sind, in völlig symmetrischer Weise zwischen Lesegerät und Transponder gelegt wird, d.h., daß die Spulen jeweils den gleichen Abstand und die gleiche Lage zu der Transponderantennenspule bzw. zu der Lesegerätantennenspule aufweisen. In diesem Fall, der natürlich in der Praxis praktisch nicht zu realisieren ist, könnte das erfindungsgemäße Sicherheitssystem unter Umständen getäuscht werden, da auch hier die beim Senden des ersten und zweiten Signals ermittelte Kopplung identisch wäre. Soll auch dieser Fall ausgeschlossen werden, so können am Transponder bzw. am Lesegerät jeweils eine oder mehrere weitere Antennen angebracht werden, die in einem Winkel zu der einen bzw. den anderen Antennen ausgerichtet sind. Das erfindungsgemäße Verfahren würde dann sukzessive zwischen zwei aufgrund ihrer Anordnung einander zugeordneten Antennen des Lesegeräts und des Transponders ablaufen, wobei anhand der beim Senden des ersten und zweiten Signals zwischen zwei einander zugeordneten Antennen des Lesegeräts und des Transponders gemessenen Antennenspannungen überprüft werden würde, ob die beiden korrespondierenden Ausmaße der Verkopplung zwischen den beiden zu einem Antennenpaar gehörenden Antennen übereinstimmen und das Freigabesignal erst dann abgegeben werden würde, wenn die Ausmaße der Verkopplung jeweils zwischen zwei einander zugeordneten Antennen übereinstimmen.
Das erfindungsgemäße Authentifizierungsverfahren und das erfindungsgemäße Authentifizierungssystem können in vielfältiger Weise abgewandelt werden, was für den Fachmann leicht erkennbar sein wird. So kann z. B. an Stelle der Antennenspannung auch der Antennenstrom gemessen werden oder eine andere Größe, solange sie nur die Stärke des elektromagnetischen Feldes am Ort der Antenne, die ein Signal empfängt, repräsentiert. Bei Systemen, bei denen eines der beiden Sende-/Empfangsgeräte ständig sendet, kann es auch erforderlich sein, die die elektrische Feldstärke charakterisierende Größe nicht aus der Trägerfrequenz, sondern allein aus dem aufmodulierten Signal zu ermitteln. Diese Ermittlung wird dann nicht wie in der 1 dargestellt so erfolgen können, daß das Meßgerät direkt mit der Antenne verbunden ist, sondern sie wird in dem in dem entsprechenden Gerät integrierten Empfänger erfolgen.
Auch muß nicht notwendigerweise mit einer Nachschlagetabelle gearbeitet werden, um festzustellen, ob die die beiden Ausmaße der Verkopplung übereinstimmen. So können Kopplungsfaktoren, die zu den beiden gemessenen Antennenspannungen, die die Feldstärken repräsentieren, gehören, auch im Mikrokontroller des Lesegeräts aus den gemessenen Antennenspannungswerten berechnet und dann miteinander verglichen werden. Dabei können bei der Berechnung neben den gemessenen Antennenspannungen am Ort der jeweils empfangenden Geräte (Lesegerät, Transponder) vorherbestimmte Konstanten verwendet werden, die Antennenspannungen (und damit die Feldstärke) am Ort der jeweils sendenden Antenne der Geräte (Lesegerät, Transponder) beschreiben. Die Antennenspannungen (und damit die Feldstärke) am Ort der jeweils sendenden Antenne der Geräte (Lesegerät, Transponder) können gemäß einer weiteren Ausführungsform auch am Ort des jeweils sendenden Geräts mittels der Meßvorrichtungen 6 und 9 gemessen werden, wobei die Information über die beim Senden des zweiten Signals am Ort des Transponders gemessene Antennenspannung auch zum Lesegerät gesendet wird.
Es können zudem zusätzliche Sicherheitsmerkmale das erfindungsgemäße Verfahren ergänzen, so kann z. B. das zweite Signal, das vom Transponder zum Lesegerät übermittelt wird, in verschlüsselter Form übermittelt werden.
Neben der oben dargestellten Anwendung eines Fahrzeugtürsicherungssystems sind eine Vielzahl von weiteren Anwendungen des erfindungsgemäßen Verfahrens denkbar.
So kann es z. B. in ein Kreditkartenzahlungssystem integriert werden, bei dem der Transponder in einer Kreditkarte und das Lesegerät in einem Kreditkartenlesegerät integriert ist, wobei das Freigabesignal monetäre Transaktionen ermöglicht.

Claims

Verfahren zur Authentifizierung eines ersten Sende-/Empfangsgeräts 2 gegenüber einem zu diesem entfernt angeordneten zweiten Sende-/Empfangsgerät 3, bei dem mittels des ersten Geräts 2 über eine mit diesem verbundene Antenne 5 ein erstes Signal S1 gesendet wird; wenn sich das zweite Gerät 3 im Empfangsbereich des ersten Geräts 2 befindet, mittels des zweiten Geräts 3 über eine mit diesem verbundene Antenne 8 das erste Signal S1 empfangen wird, anhand des empfangenen ersten Signals S1 eine Größe gemessen wird, die die Stärke des durch das erste Signal S1 erzeugten elektromagnetischen Feldes am Ort des zweiten Geräts 3 charakterisiert, und ein zweites Signal S2 über die mit dem zweiten Gerät 3 verbundene Antenne 8 gesendet wird, das die Information über die die Feldstärke charakterisierende Größe enthält; mittels des ersten Geräts 2 das zweite Signal S2 über die mit dem ersten Gerät 2 verbundene Antenne 5 empfangen wird, anhand des empfangenen zweiten Signals S2 eine Größe gemessen wird, die die Stärke des durch das zweite Signal S2 erzeugten elektromagnetischen Feldes am Ort des ersten Geräts 2 charakterisiert, anhand der beim Senden des ersten und zweiten Signals S1, S2 gemessenen die Feldstärken charakterisierenden Größen überprüft wird, ob die beiden zu den Feldstärken korrespondierenden Ausmaße der Verkopplung zwischen den beiden Antennen 5, 8 übereinstimmen, wobei nur dann, wenn sie übereinstimmen, ein Freigabesignal erzeugt wird.
Verfahren nach Anspruch 1, bei dem das zweite Gerät ein Transponder und das erste Gerät ein Lesegerät für diesen Transponder ist.
Verfahren nach Anspruch 1 oder 2, bei dem die Größe, die die Stärke des elektromagnetischen Feldes charakterisiert, die Antennenspannung ist.
Verfahren nach Anspruch 1 oder 2, bei dem die Größe, die die Stärke des elektromagnetischen Feldes charakterisiert, der Antennenstrom ist.
Verfahren nach einem der vorhergehenden Ansprüche, bei dem die Antennen induktiv (transformatorisch) verkoppelt sind, so daß das elektromagnetische Feld ein Magnetfeld ist.
Verfahren nach Anspruch 5, bei dem die Antennen magnetische Spulenantennen sind.
Verfahren nach Anspruch 6, bei dem die Dämpfung der magnetischen Feldstärke bei den Antennen im Nahfeld (x < (λ/2π), λ = Wellenlänge) in etwa 60 dB pro Dekade der Entfernung (x) von der Antenne beträgt.
Verfahren nach Anspruch 3, bei dem im ersten Gerät eine Nachschlagetabelle abgespeichert ist, in der vorherbestimmten während des Sendens des ersten Signals am zweiten Gerät möglicherweise auftretenden Antennenspannungen solche Antennenspannungen zugeordnet werden, die während des Sendens des zweiten Signals am ersten Gerät erwartet werden, wenn das Ausmaß der Verkopplung zwischen den Antennen in beiden Fällen des Sendens konstant ist, und mit Hilfe der Nachschlagetabelle überprüft wird, ob die beiden anhand der die Feldstärke charakterisierenden Größen gemessenen Ausmaße der Verkopplung übereinstimmen.
Verfahren nach einem der Ansprüche 1 bis 7, bei dem bei der Überprüfung, ob die beiden zu den Feldstärken korrespondierenden Ausmaße der Verkopplung zwischen den beiden Antennen übereinstimmen, die zu den beiden Feldstärken gehörenden Kopplungsfaktoren berechnet und miteinander verglichen werden.
Verfahren nach Anspruch 9, bei dem bei der Berechnung neben den gemessenen die Feldstärken am Ort der empfangenden Geräte charakterisierenden Größen vorherbestimmte Konstanten verwendet werden, die die Feldstärke am Ort der jeweils sendenden Antenne beschreiben.
Verfahren nach Anspruch 9, bei dem neben den gemessenen die Feldstärken am Ort der empfangenden Geräte charakterisierenden Größen auch Größen am Ort des jeweils sendenden Geräts gemessen werden, die die Feldstärke am Ort der jeweils sendenden Antenne beschreiben, wobei die Information über die beim Senden des zweiten Signals am Ort des zweiten Geräts gemessene Feldstärke am Ort der mit dem zweiten Gerät verbundenen Antenne ebenfalls zu dem ersten Gerät gesendet wird.
Verfahren nach einem der vorhergehenden Ansprüche, bei dem das zweite Signal darüber hinaus einen in dem zweiten Gerät abgespeicherten Identifikationscode umfaßt, wobei das erste Gerät das Freigabesignal nur dann abgibt, wenn auch der Identifikationscode zu einem in dem ersten Gerät abgespeicherten Identifikationscode paßt.
Verfahren nach einem der vorhergehenden Ansprüche, bei dem das zweite Signal im zweiten Gerät verschlüsselt wird, bevor es ausgesendet wird, und vom ersten Gerät entschlüsselt wird, bevor es ausgelesen wird.
Verfahren nach einem der vorhergehenden Ansprüche, bei dem das erste Signal und das zweite Signal die gleiche Trägerfrequenz aufweisen.
Verfahren nach einem der vorhergehenden Ansprüche, bei dem am ersten Gerät und am zweiten Gerät jeweils mehrere in einem Winkel zueinander angeordnete Antennen angebracht sind und das Verfahren nach einem der vorhergehenden Ansprüche jeweils nacheinander zwischen zwei aufgrund ihrer Anordnung einander zugeordneten Antennen des ersten Geräts und des zweiten Geräts abläuft, anhand der beim Senden des ersten und zweiten Signals zwischen zwei einander zugeordneten Antennen des ersten Geräts und des zweiten Geräts gemessenen, die Feldstärken charakterisierenden Größen überprüft wird, ob die beiden zu den Feldstärken korrespondierenden Ausmaße der Verkopplung zwischen den beiden zu einem Antennenpaar gehörenden Antennen übereinstimmen und das Freigabesignal erst dann abgegeben wird, wenn die Ausmaße der Verkopplung jeweils zwischen zwei einander zugeordneten Antennen übereinstimmen.
Verfahren nach einem der Ansprüche 2 bis 15, bei dem der Transponder im Zündschlüssel eines Kraftfahrzeugs und das Lesegerät in dem Kraftfahrzeug integriert ist, wobei das Freigabesignal den Zugang zu dem Kraftfahrzeug oder das Verschließen des Kraftfahrzeugs ermöglicht.
Verfahren nach einem der Ansprüche 2 bis 15, bei dem der Transponder in einer Kreditkarte und das Lesegerät in einem Kreditkartenlesegerät integriert ist, wobei das Freigabesignal monetäre Transaktionen ermöglicht.
System zur Authentifizierung eines ersten Sende-/Empfangsgeräts gegenüber einem zu diesem entfernt angeordneten zweiten Sende-/Empfangsgerät, mit denen jeweils mindestens eine Antenne verbunden ist, dadurch gekennzeichnet, daß das erste Sende-/Empfangsgerät und das zweite Sende-/Empfangsgerät jeweils ein Mittel aufweisen, mit dem während des Empfangs eines Signals eine Größe gemessen werden kann, die die Stärke des durch das Signal am Ort des empfangenden Geräts erzeugten elektromagnetischen Feldes charakterisiert, und mindestens eines der beiden Sende-/Empfangsgeräte ein Mittel, mit dem anhand der beim Senden eines Signals vom ersten Gerät zum zweiten Gerät gemessenen die Feldstärke am zweiten Gerät charakterisierenden Größe und anhand der beim Senden eines Signals vom zweiten Gerät zum ersten Gerät gemessenen die Feldstärke am ersten Gerät charakterisierenden Größe überprüft werden kann, ob die beiden zu den Feldstärken korrespondierenden Ausmaße der Verkopplung zwischen den beiden Antennen übereinstimmen, und ein weiteres Mittel aufweist, mit dem ein Freigabesignal erzeugt werden kann, wenn die beiden Ausmaße der Verkopplung übereinstimmen.
System nach Anspruch 18, bei dem das zweite Gerät ein Transponder und das erste Gerät ein Lesegerät für diesen Transponder ist.
System nach einem der Ansprüche 18 oder 19, bei dem das erste und das zweite Gerät darüber hinaus jeweils einen Speicher umfassen, in dem ein identischer Identifikationscode abgespeichert ist, wobei das Freigabesignalerzeugungsmittel in dem ersten Gerät so ausgebildet ist, daß es nur dann ein Freigabesignal abgibt, wenn im ersten Gerät festgestellt wird, daß auch der im zweiten Gerät abgespeicherte und zum ersten Gerät gesendete Identifikationscode zu dem in dem ersten Gerät abgespeicherten Identifikationscode paßt.
Türschließsystem für ein Kraftfahrzeug bestehend aus einem System nach einem der Ansprüche 19 oder 20, bei dem der Transponder im Zündschlüssel eines Kraftfahrzeugs und das Lesegerät in dem Kraftfahrzeug integriert ist, wobei das Freigabesignal den Zugang zu dem Kraftfahrzeug oder das Verschließen des Kraftfahrzeugs ermöglicht.
Kreditkartenzahlungssystem bestehend aus einem System nach einem der Ansprüche 19 oder 20, bei dem der Transponder in einer Kreditkarte und das Lesegerät in einem Kreditkartenlesegerät integriert ist, wobei das Freigabesignal monetäre Transaktionen ermöglicht.