DE102005009490A1

DE102005009490A1 - Verfahren, Vorrichtung, Gerät und System zum Schützen eines privaten Kommunikationsschlüssels für eine Fahrzeug-Umwelt-Kommunikation

Info

Publication number: DE102005009490A1
Application number: DE200510009490
Authority: DE
Inventors: Murat Caliskan; Amer Aijaz; Bernd Dr. Rech; Andreas Dr. Lübke
Original assignee: Volkswagen AG
Current assignee: Volkswagen AG
Priority date: 2005-02-24
Filing date: 2005-02-24
Publication date: 2006-09-14
Anticipated expiration: 2025-02-25
Also published as: WO2006089584A1; DE102005009490B4

Abstract

Die Erfindung betrifft ein Verfahren, eine Vorrichtung (3), ein Gerät (4) und ein System (1) zum Schützen eines privaten Kommunikationsschlüssels für eine Fahrzeug-Umwelt-Kommunikation. Es wird das Erzeugen eines Schlüsselpaars während einer Betriebsphase eines Fahrzeugs (2) vorgeschlagen, wobei das Schlüsselpaar den privaten Kommunikationsschlüssel und einen dazugehörigen öffentlichen Kommunikationsschlüssel umfasst. Der private Kommunikationsschlüssel wird in einen Schlüsselteil und mindestens einen Fahrzeugteil geteilt, wobei der mindestens eine Fahrzeugteil des privaten Kommunikationsschlüssels in mindestens einer Speichervorrichtung (11) des Fahrzeugs (2) gespeichert wird. Der Schlüsselteil des privaten Kommunikationsschlüssels wird zu einem von dem Fahrzeug (2) getrennten oder von dem Fahrzeug (2) trennbaren Gerät (4), insbesondere einem Fahrzeugschlüssel, übertragen und in einer weiteren Speichervorrichtung (14) des Geräts (4) gespeichert. Ferner wird jede Repräsentation des Schlüsselteils des privaten Kommunikationsschlüssels in dem Fahrzeug (2) gelöscht.

Description

Die Erfindung betrifft ein Verfahren, eine Vorrichtung, ein Gerät und ein System zum Schützen eines privaten Kommunikationsschlüssels für eine Fahrzeug-Umwelt-Kommunikation.

Bei einer Fahrzeug-Umwelt-Kommunikation werden Informationen und/oder Daten zwischen einem Fahrzeug und Kommunikationseinrichtungen in der Umgebung des Fahrzeugs ausgetauscht. Bei den Kommunikationseinrichtungen in der Umgebung des Fahrzeugs kann es sich um andere Fahrzeuge oder um ortsfeste Relais- und Sendestationen, Einrichtungen eines Verkehrsleitsystems, Erfassungseinrichtungen eines Mautsystems usw. handeln. Bei den Daten kann es sich z. B. um Daten zur Gewinnung von Verkehrsinformationen und zur dynamischen Routenoptimierung handeln. Beispiele für ein Kommunikationsnetz und für die Gewinnung von Verkehrsinformationen sind in den Druckschriften DE 102 066 98 A1 und EP 1 151 428 B1 beschrieben. Es können aber auch sicherheitsrelevante Informationen, z. B. Informationen über den Straßenzustand (beispielsweise Glatteis) zwischen Fahrzeugen ausgetauscht werden. Ferner können Informationen, die eine Identifikation des Fahrzeugs oder seiner Insassen oder seiner Ladung ermöglichen, beispielsweise an ein Mautsystem übertragen werden. Bei diesen sicherheitsrelevanten und personen- und fahrzeugbezogenen Daten ist es notwendig, diese vor einem unerwünschten Zugriff Dritter zu schützen. Daher wird die Kommunikation zwischen dem Fahrzeug und den anderen Kommunikationseinrichtungen verschlüsselt. Hierbei kommen vor allem asymmetrische Schlüsselverfahren zur Anwendung, die mit einem Schlüsselpaar, bestehend aus einem öffentlichen Kommunikationsschlüssel und einem privaten Kommunikationsschlüssel, arbeiten.

Das Fahrzeug teilt seinen öffentlichen Kommunikationsschlüssel anderen Kommunikationsteilnehmern mit. Die anderen Kommunikationsteilnehmer verschlüsseln Nachrichten an das Fahrzeug mit dem öffentlichen Kommunikationsschlüssel. In dem Fahrzeug können die verschlüsselten Nachrichten mittels des privaten Kommunikationsschlüssels entschlüsselt werden. Der private Kommunikationsschlüssel kann ferner verwendet werden, um Nachrichten zu signieren. Hierbei kann ein Empfänger einer signierten Nachricht mittels des öffentlichen Kommunikationsschlüssels überprüfen, ob die Signatur authentisch ist.

Der private Kommunikationsschlüssel stellt bei einem asymmetrischen Verschlüsselungsverfahren eine besonders zu schützende Information dar.

Wenn eine nicht berechtigte Person den privaten Kommunikationsschlüssel einer anderen Person bzw. eines Fahrzeugs erlangt, kann diese Person mit dem privaten Kommunikationsschlüssel auf unterschiedlichste Art Schäden verursachen. Beispielsweise kann sich diese Person für die Person bzw. das Fahrzeug ausgeben (Identitätsdiebstahl) oder verschlüsselte Daten dekodieren, die für die Person oder das Fahrzeug bestimmt sind, deren oder dessen privater Kommunikationsschlüssel entwendet wurde. In der Druckschrift DE 101 41 737 C1 ist eine Kommunikationseinrichtung für ein Fahrzeug (On-Board-Unit) beschrieben, die als ein Trust Center betrieben wird und in der der private Kommunikationsschlüssel abgespeichert ist. Die On-Board-Unit stellt eine definierte Schwachstelle dieses Systems dar. Mit dem Diebstahl oder einem unbemerkten Austauschen der On-Board-Unit können sich Dritte Kenntnis von dem privaten Kommunikationsschlüssel verschaffen, der in der On-Board-Unit gespeichert ist.

Die Fahrzeug-Umwelt-Kommunikation findet in der Regel über Funksignale statt, die mittels elektromagnetischer Wellen in bestimmten Frequenzbereichen übertragen werden. Geeignet ist z. B. eine Kommunikation mit Eigenschaften eines W-LAN (Wireless Lokal Area Network).

Die Kommunikationseinrichtung (On-Board-Unit) in einem Fahrzeug dient heute häufig als Zugangspunkt (Accesspoint) für Laptops und andere elektronische Geräte, die Daten über die Kommunikationseinrichtung des Fahrzeugs austauschen. Insbesondere wegen ihrer Eigenschaft, als Accesspoint eines W-LAN zu dienen, ist die Kommunikationseinrichtung besonders anfällig gegenüber einem Ausspionieren durch Dritte, da in der Netzwerkprotokollsoftware, die den Zugriff auf den Accesspoint steuert, häufig unentdeckte Sicherheitslücken sind, die einen unberechtigten Zugriff auf die Kommunikationseinrichtung durch Dritte gestatten.

Der Erfindung liegt das technische Problem zugrunde, ein Verfahren, eine Vorrichtung, ein Gerät und ein System zum Schützen eines privaten Kommunikationsschlüssels für eine Fahrzeug-Umwelt-Kommunikation zu schaffen, bei denen der private Kommunikationsschlüssel gegenüber einem Zugriff durch unbefugte Dritte besser geschützt ist.

Das technische Problem wird durch ein Verfahren mit den Merkmalen des Patentanspruchs 1, eine Vorrichtung mit den Merkmalen des Patentanspruchs 10, ein Gerät mit den Merkmalen des Patentanspruchs 19 und ein System mit den Merkmalen des Patentanspruchs 23 gelöst. Vorteilhafte Weiterbildungen der Erfindung ergeben sich aus den Unteransprüchen.

Der Erfindung liegt der Gedanke zugrunde, dass der private Schlüssel zur Aufbewahrung in mindestens zwei Teile, einen Fahrzeugteil und einen so genannten Schlüsselteil, aufgeteilt wird. Der Schlüsselteil des privaten Kommunikationsschlüssels wird auf ein von dem Fahrzeug getrenntes oder von dem Fahrzeug trennbares Gerät übertragen und anschließend in dem Fahrzeug gelöscht. Hierdurch ist es selbst bei einem Zugriff auf das Fahrzeug durch einen Dritten nicht möglich, Kenntnis von dem privaten Kommunikationsschlüssel zu erlangen. Da in dem Gerät nur der Schlüsselteil gespeichert ist, kann sich eine dritte Person durch einen gezielten Diebstahl des Geräts oder bei einem Verlust des Geräts ebenfalls keine Kenntnis von dem privaten Kommunikationsschlüssel verschaffen. In einem solchen Fall fehlt der Fahrzeugteil des privaten Kommunikationsschlüssels.

Insbesondere wird vorgeschlagen: ein Verfahren zum Schützen eines privaten Kommunikationsschlüssels für eine Fahrzeug-Umwelt-Kommunikation umfassend die Schritte:

– Erzeugen eines Schlüsselpaares während einer Betriebsphase eines Fahrzeugs, wobei das Schlüsselpaar den privaten Kommunikationsschlüssel und einen dazugehörigen öffentlichen Kommunikationsschlüssel umfasst, wobei
– der private Kommunikationsschlüssel in einen Schlüsselteil und mindestens einen Fahreugteil geteilt wird, wobei der Fahrzeugteil des privaten Kommunikationsschlüssels in einer Speichervorrichtung des Fahrzeugs gespeichert wird,
– der Schlüsselteil des privaten Kommunikationsschlüssels zu einem von dem Fahrzeug getrennten oder von dem Fahrzeug trennbaren Gerät, insbesondere einem Fahrzeugschlüssel, übertragen wird und in einer weiteren Speichervorrichtung des Geräts gespeichert wird,
– jede Repräsentation des Schlüsselteils des privaten Kommunikationsschlüssels in dem Fahrzeug gelöscht wird.

Ferner ist vorteilhafterweise vorgesehen, dass der Schlüsselteil am Beginn einer nachfolgenden Betriebsphase des Fahrzeugs von dem Gerät zu dem Fahrzeug übertragen wird, der Schlüsselteil mit dem in der Speichervorrichtung des Fahrzeugs abgespeicherten mindestens einen Fahrzeugteil zu dem privaten Kommunikationsschlüssel zusammengesetzt wird und der zusammengesetzte private Kommunikationsschlüssel mittels des öffentlichen Kommunikationsschlüssels authentifiziert wird. Hierzu kann beispielsweise eine Information mittels des öffentlichen Kommunikationsschlüssels kodiert werden. Zur Authentifizierung des privaten Kommunikationsschlüssels wird überprüft, ob die kodierte Information mittels des zusammengesetzten privaten Kommunikationsschlüssels dekodiert werden kann. Ist dies der Fall, so ist der private Kommunikationsschlüssel authentifiziert. Ist dies nicht der Fall, so gehört der von dem Gerät übertragene Schlüsselteil nicht zu dem in dem Fahrzeug gespeicherten Fahrzeugteil des privaten Kommunikationsschlüssels. Handelt es sich bei dem Gerät vorteilhafterweise um einen Fahrzeugschlüssel, so kann der Schlüsselteil des privaten Kommunikationsschlüssels zusätzlich eine Schließfunktion gemeinsam mit der beschriebenen Authentifizierung übernehmen.

Die Kommunikationssicherheit für die Fahrzeug-Umwelt-Kommunikation kann weiter gesteigert werden, wenn der private Kommunikationsschlüssel nur für eine Betriebsphase des Fahrzeugs gültig ist. Eine besondere Ausgestaltung der Erfindung sieht daher vor, dass der private Kommunikationsschlüssel nur in einer Betriebsphase des Fahrzeugs gültig ist, die auf die Betriebsphase folgt, in der der private Kommunikationsschlüssel erzeugt worden ist, wobei in jeder Betriebsphase ein neues Schlüsselpaar erzeugt wird. Der besondere Vorteil dieser Ausführungsform liegt darin, dass der private Kommunikationsschlüssel der in einer Betriebsphase erzeugt wurde, sofort am Beginn der nachfolgenden Betriebsphase verwendet werden kann, um eine verschlüsselte Fahrzeug-Umwelt-Kommunikation durchzuführen. Es muss nicht die Zeit abgewartet werden, die zum Erzeugen eines Schlüsselpaars benötigt wird. So kann beispielsweise das Fahrzeug am Anfang der nachfolgenden Betriebsphase automatisch das Öffnen eines Garagentors über eine Fahrzeug-Umwelt-Kommunikation anfordern.

Um eine Manipulation oder Ausspähung des privaten Kommunikationsschlüssels bereits während der Erzeugung des Schlüsselpaars zu erschweren, ist vorgesehen, dass das Fahrzeug eine Kommunikationseinrichtung und eine Gruppe von Steuergeräten mit jeweils einer Recheneinheit umfasst, wobei die Steuergeräte und die Kommunikationseinrichtung miteinander kommunizieren können, und wobei jedes der Steuergeräte einen Teil eines verteilten Algorithmus zum Erzeugen des privaten Kommunikationsschlüssels umfasst und der private Kommunikationsschlüssel mittels eines oder mehrerer Steuergeräte aus der Gruppe der Steuergeräte erzeugt wird. Die Erzeugung des privaten Kommunikationsschlüssels findet nicht in der Kommunikationseinrichtung statt, die besonders leicht von außen ausgespäht werden kann, wenn sie z. B. als Accesspoint in einem W-LAN arbeitet und die Protokollsoftware, die den Zugriff auf den Accesspoint steuert, unentdeckte Fehler enthält, die Dritten einen unbemerkten und/oder unberechtigten Zugriff auf Daten der Kommunikationseinrichtung gestatten. Bei den Steuergeräten kann es sich um beliebige Komponenten eines Fahrzeugs handeln, die über eine Recheneinheit verfügen, um einen Kommunikationsschlüssel oder Teile eines Kommunikationsschlüssels berechnen zu können. Die Teile des verteilten Algorithmus auf den verschiedenen Steuergeräten müssen nicht identisch sein. In der Regel wird jedes Steuergerät, welches an der Berechnung eines Schlüsselpaares beteiligt ist, nur einen Teilschlüssel erzeugen. Hierdurch wird ein Ausspähen des privaten Kommunikationsschlüssels, indem einzelne Steuergeräte des Fahrzeugs unbemerkt ausgetauscht werden, wenn dieses abgestellt ist, unmöglich gemacht.

Um eine Vorhersage zu erschweren, welches oder welche der mehreren Steuergeräte aus der Gruppe der Steuergeräte einen neuen privaten Kommunikationsschlüssel erzeugen werden, ist vorgesehen, dass das eine oder die mehreren Steuergeräte aus der Gruppe der Steuergeräte nach einem Zufallsprinzip jeweils vor dem Erzeugen des privaten Kommunikationsschlüssels und/oder des neuen privaten Kommunikationsschlüssels ausgewählt werden.

Als besonders vorteilhaft wird eine Ausführungsform angesehen, bei der der private Kommunikationsschlüssel nur auf einem nach dem Zufallsprinzip oder einem anderen Zufallsprinzip ausgewählten Steuergerät der mehreren Steuergeräte zusammengesetzt, während der Betriebsphase und/oder der nachfolgenden Betriebsphase zwischengespeichert und gegebenenfalls in den Fahrzeugteil und den Schlüsselteil geteilt wird. Die Auswahl des Steuergeräts, welches als einziges Kenntnis von dem vollständigen privaten Kommunikationsschlüssel erlangt, kann anhand von Zufallszahlen erfolgen.

Um die Identität des Steuergeräts, welches den privaten Kommunikationsschlüssel speichert, zu verdecken, ist vorgesehen, dass die Kommunikation zwischen den Steuergeräten und/oder der Kommunikationseinrichtung und/oder dem Gerät mittels temporärer ID-Nummern erfolgt, auf die ID-Nummern der Steuergeräte und/oder der Kommunikationseinrichtung und/oder des Geräts abgebildet werden.

Um ein Abhören der Kommunikation zwischen dem Gerät und dem Fahrzeug sowie innerhalb des Fahrzeugs zu erschweren, kann die Kommunikation, einschließlich des Übertragens des privaten Kommunikationsschlüssels, des Fahrzeugteils und des Schlüsselteils des privaten Kommunikationsschlüssels, zwischen dem Gerät und dem Fahrzeug sowie innerhalb des Fahrzeugs über verschlüsselte, insbesondere symmetrisch verschlüsselte, Kommunikationsverbindungen erfolgen.

Für ein weiteres von dem Fahrzeug getrenntes oder trennbares Gerät, welches mit dem Fahrzeug kommunizieren kann, wird analog zu dem privaten Kommunikationsschlüssel ein weiterer privater Kommunikationsschlüssel erzeugt und verwendet. Bei dem weiteren Gerät kann es sich beispielsweise um einen zweiten Fahrzeugschlüssel oder ein Handy oder ein Laptop handeln, die die Accesspoint-Funktion der Kommunikationseinrichtung nutzen wollen.

Es wird ferner eine Vorrichtung zum Schützen eines privaten Kommunikationsschlüssels für eine Fahrzeug-Umwelt-Kommunikation vorgeschlagen, die umfasst:

– eine Schlüsselerzeugungseinrichtung zum Erzeugen eines Schlüsselpaars während einer Betriebsphase eines Fahrzeugs, wobei das Schlüsselpaar den privaten Kommunikationsschlüssel und einen dazugehörigen öffentlichen Kommunikationsschlüssel umfasst,
– Teilungsmittel zum Teilen des privaten Kommunikationsschlüssels in einen Schlüsselteil und mindestens einen Fahrzeugteil, mindestens eine Speichervorrichtung des Fahrzeugs zum Speichern des mindestens einen Fahrzeugteils des privaten Kommunikationsschlüssels,
– eine Kommunikationseinrichtung zum Übertragen des Schlüsselteils des privaten Kommunikationsschlüssels zu einem von dem Fahrzeug getrennten oder von dem Fahrzeug trennbaren Gerät, insbesondere einem Fahrzeugschlüssel, für ein Speichern des Schlüsselteils in einer weiteren Speichervorrichtung des Geräts,
– Mittel zum Löschen jeder Repräsentation des Schlüsselteils des privaten Kommunikationsschlüssels in dem Fahrzeug.

Weiterbildungen der Vorrichtung sind in den Unteransprüchen beschrieben, wobei die Merkmale dieselben Vorteile wie die entsprechenden Merkmale des erfindungsgemäßen Verfahrens aufweisen.

Weiter wird ein Gerät zum Schützen eines privaten Kommunikationsschlüssels für eine Fahrzeug-Umwelt-Kommunikation vorgeschlagen, das ausgestaltet ist, um mit einer beschriebenen Vorrichtung zum Schützen eines privaten Kommunikationsschlüssels zusammenzuwirken. Das Gerät umfasst Kommunikationsmittel zum Austauschen eines Schlüsselteils des privaten Kommunikationsschlüssels mit dem Fahrzeug und eine weitere Speichervorrichtung zum Speichern des Schlüsselteils des privaten Kommunikationsschlüssels.

Um sicherzustellen, dass in dem Gerät jeweils nur der zuletzt von dem Fahrzeug übertragene Fahrzeugteil des privaten Kommunikationsschlüssels abgespeichert ist, ist bei einer vorteilhaften Weiterbildung vorgesehen, dass ein Fahrzeugteil des privaten Kommunikationsschlüssels beim Empfangen eines neuen Fahrzeugteils eines privaten Kommunikationsschlüssels in der weiteren Speichervorrichtung überschreibbar ist.

Für eine sichere Kommunikation mit dem Fahrzeug umfasst das Gerät weitere Verschlüsselungsmittel, so dass die Kommunikation mit dem Fahrzeug über eine verschlüsselte, insbesondere symmetrisch verschlüsselte Kommunikationsverbindung erfolgen kann.

Vorteilhafterweise ist das Gerät als Fahrzeugschlüssel ausgebildet.

Zusätzlich wird ein System zum Schützen eines privaten Kommunikationsschlüssels für eine Fahrzeug-Umwelt-Kommunikation vorgeschlagen, das eine beschriebene Vorrichtung sowie mindestens ein beschriebenes Gerät umfasst.

Die Erfindung wird im Folgenden anhand eines bevorzugten Ausführungsbeispiels unter Bezugnahme auf eine Zeichnung näher erläutert. Hierbei zeigen:
1 eine schematische Ansicht eines Systems zum Schützen eines privaten Kommunikationsschlüssels für eine Fahrzeug-Umwelt-Kommunikation; und
2 eine schematische Ansicht eines Steuergeräts.
In 1 ist schematisch ein System 1 zum Schützen eines privaten Kommunikationsschlüssels für eine Fahrzeug-Umwelt-Kommunikation dargestellt. Ein Fahrzeug 2 umfasst eine Vorrichtung 3 zum Schützen eines privaten Kommunikationsschlüssels für eine Fahrzeug-Umwelt-Kommunikation. Die Vorrichtung 3 wirkt mit einem Gerät 4 zum Schützen eines privaten Kommunikationsschlüssels für eine Fahrzeug-Umwelt-Kommunikation und/oder einem weiteren Gerät 5 zum Schützen eines privaten Kommunikationsschlüssels für eine Fahrzeug-Umwelt-Kommunikation zusammen. Das Gerät 4 ist vorzugsweise als Fahrzeugschlüssel ausgebildet. Das weitere Gerät 5 kann beispielsweise ein Handy, ein Laptop usw. sein.
Die Vorrichtung 3 zum Schützen eines privaten Kommunikationsschlüssels umfasst eine Kommunikationseinrichtung 6, über die das Fahrzeug 2 die Fahrzeug-Umwelt-Kommunikation durchführt. Kommunikationspartner des Fahrzeugs 2 können andere Fahrzeuge, Verkehrsleitsysteme, Mauterfassungssysteme usw. sein. Bei der Fahrzeug-Umwelt-Kommunikation werden zum Teil sensible Daten übertragen, die beispielsweise Auskunft über eine Identität eines Fahrers oder eine Ladung des Fahrzeugs 2 geben.
Um diese Daten zu schützen, wird die Fahrzeug-Umwelt-Kommunikation mittels eines asymmetrischen Schlüsselverfahrens verschlüsselt. Für das asymmetrische Verschlüsslungsverfahren wird ein Schlüsselpaar benötigt, das einen öffentlichen Kommunikationsschlüssel und einen privaten Kommunikationsschlüssel umfasst.
Die Vorrichtung 3 zum Schützen des privaten Kommunikationsschlüssels umfasst eine Schlüsselerzeugungseinrichtung 7. Die Schlüsselerzeugungseinrichtung 7 umfasst mehrere Steuergeräte 8. Die Steuergeräte 8 und die Kommunikationseinrichtung 6 sind über einen Fahrzeugbus 9 miteinander verbunden. Bei dem Fahrzeugbus 9 kann es sich beispielsweise um einen CAN-, einen FlexRay- oder TTP-Bus handeln. Jedes Steuergerät 8, von denen eines schematisch in 2 dargestellt ist, umfasst eine Recheneinheit 10 und eine Speichervorrichtung 11.
Die Erzeugung des Schlüsselpaars erfolgt mittels eines verteilten Algorithmus, wobei jedes Steuergerät 8 einen Teil des verteilten Algorithmus umfasst. Die einzelnen Teile des Algorithmus können auf den Steuergeräten 8 parallel ausgeführt werden. Der verteilte Algorithmus ist so ausgestaltet, dass vor dem Erzeugen eines Schlüsselpaares nach einem Zufallsprinzip, welches bevorzugt Zufallszahlen verarbeitet, festgelegt wird, welches oder welche der Steuergeräte 8 am Erzeugen des privaten Kommunikationsschlüssels beteiligt werden. Vorzugsweise werden nicht alle Steuergeräte 8 an dem Erzeugungsprozess beteiligt. Jedes der ausgewählten Steuergeräte 8 erzeugt einen Teil des zu erzeugenden privaten Kommunikationsschlüssels. Per Zufallsauswahlmittel, die in dem verteilten Algorithmus enthalten sind, wird eines der Steuergeräte 8 bestimmt, auf dem die verschiedenen Teile des privaten Kommunikationsschlüssels zu dem privaten Kommunikationsschlüssel zusammengesetzt werden. Dieses bestimmte Steuergerät 8' teilt der Kommunikationseinrichtung 6 mit, dass es in Besitz des privaten Kommunikationsschlüssels ist. Das bestimmte Steuergerät 8' umfasst Teilungsmittel zum Teilen des privaten Kommunikationsschlüssels in einen Schlüsselteil und mindestens einen Fahrzeugteil. Bevorzugt wird der private Kommunikationsschlüssel in den Schlüsselteil und mehrere Fahrzeugteile geteilt. Der mindestens eine Fahrzeugteil bzw. die mehreren Fahrzeugteile werden verteilt in den Speichervorrichtungen 11 der Steuergeräte 8 gespeichert. Der Schlüsselteil des privaten Kommunikationsschlüssels wird über einen Sender 12 zu dem Gerät 4 übertragen. Anschließend wird jegliche Repräsentation des Schlüsselteils des privaten Kommunikationsschlüssels in dem Fahrzeug 2 gelöscht. Der Schlüsselteil des privaten Kommunikationsschlüssels wird von Kommunikationsmitteln 13 des Geräts 4 zum Schützen des privaten Kommunikationsschlüssels empfangen und in einer weiteren Speichervorrichtung 14 des Geräts 4 abgespeichert.
Am Beginn einer nachfolgenden Betriebsphase des Fahrzeugs 2, beispielsweise wenn das Fahrzeug mittels des als Fahrzeugschlüssel ausgestalteten Geräts 4 aufgeschlossen wird oder der Fahrzeugschlüssel in ein Zündschloss eingeführt wird, wird der Schlüsselteil des privaten Kommunikationsschlüssels von dem Gerät 4 zum Schützen des privaten Kommunikationsschlüssels über die Kommunikationsmittel 13 zu einem Empfänger 15 des Fahrzeugs 2 übertragen. Anhand der Zufallsauswahlmittel wird von den Steuergeräten 8 eines festgelegt, welches den Schlüsselteil und den mindestens einen Fahrzeugteil bzw. die mehreren Fahrzeugteile des privaten Kommunikationsschlüssels zusammensetzt. Das festgelegte Steuergerät 8'' authentifiziert anschließend den privaten Kommunikationsschlüssel mit Hilfe des zugehörigen öffentlichen Kommunikationsschlüssels. Hierzu wird beispielsweise eine Nachricht mittels des öffentlichen Kommunikationsschlüssels verschlüsselt und anschließend mittels des privaten Kommunikationsschlüssels entschlüsselt. Ist die Entschlüsselung erfolgreich, so ist der private Kommunikationsschlüssel authentifiziert. Das festgelegte Steuergerät 8'' teilt der Kommunikationseinrichtung 6 mit, dass es im Besitz eines authentifizierten privaten Kommunikationsschlüssels ist. Während dieser dem Erzeugen des Kommunikationsschlüssels nachfolgenden Betriebsphase ist das festgelegte Steuergerät 8'' für die Entschlüsselung eingehender verschlüsselter Nachrichten zuständig. Auf der Kommunikationseinrichtung 6 ist der private Kommunikationsschlüssel zu keiner Zeit gespeichert. Verwaltungsmittel (nicht dargestellt), die vorzugsweise in Software ausgeführt sind, stoßen am Beginn einer jeden Betriebsphase des Fahrzeugs 2 das Erzeugen eines neuen Schlüsselpaares an. Am Ende einer jeden Betriebsphase werden der aktuell gültige private Kommunikationsschlüssel und der dazugehörige öffentliche Kommunikationsschlüssel für ungültig erklärt und gegebenenfalls gelöscht. In einer auf die nachfolgende Betriebsphase folgenden Betriebsphase des Fahrzeugs 2 wird der neue Kommunikationsschlüssel, der in der nachfolgenden Betriebsphase erzeugt wurde, der für die Entschlüsselung verwendete private Kommunikationsschlüssel.
Analog wird ein weiterer privater Kommunikationsschlüssel für das weitere Gerät 5 gebildet und verwaltet, um zum einen eine Kommunikation des weiteren Gerätes 5 mit der Umwelt über die Kommunikationseinrichtung 6 zu ermöglichen und/oder das weitere Gerät 5 zu authentifizieren. Ist das weitere Gerät 5 als zweiter Fahrzeugschlüssel ausgebildet, so wird der weitere private Kommunikationsschlüssel für die Fahrzeug-Umwelt-Kommunikation verwendet, wenn das Fahrzeug mittels des weiteren Geräts 5, d. h. des zweiten Fahrzeugschlüssels, geöffnet und gestartet wird.
Bei der hier beschriebenen Ausführungsform besitzt ein Schlüsselpaar jeweils nur in der Betriebsphase des Fahrzeugs 2 Gültigkeit, die auf die Betriebsphase folgt, in der das Schlüsselpaar erzeugt wurde. Ein Schlüsselpaar ist somit jeweils nur für eine Betriebsphase gültig. In einer einfachen Ausführungsform kann jedoch ein Schlüsselpaar auch für mehrere Betriebsphasen als gültiges Schlüsselpaar verwendet werden. In jedem Fall wird der Schlüsselteil des privaten Kommunikationsschlüssels am Ende der Betriebsphase in dem Fahrzeug 2 gelöscht.
Die Kommunikation zwischen den Steuergeräten 8 und der Kommunikationseinrichtung 6 sowie dem Gerät 4 kann mittels versteckter Identitäten ausgeführt werden. Hierbei werden eine Identitätsnummer (ID-Nummer) auf einen bestimmten Wert abgebildet (Hash-Wert) und eine temporäre ID-Nummer für die Steuergeräte 8, die Kommunikationseinrichtung 6 und das Gerät 4 für die Kommunikation erzeugt. Die Kommunikation wird des Weiteren mittels eines hinreichend sicheren symmetrischen Verschlüsselungsverfahrens gesichert. Hierfür sind in der Vorrichtung 3 zum Schützen eines privaten Kommunikationsschlüssels für eine Fahrzeug-Umwelt-Kommunikation Verschlüsselungsmittel (nicht dargestellt) und in dem Gerät 4 und dem weiteren Gerät 5 weitere Verschlüsselungsmittel (nicht dargestellt) vorgesehen.
Bei den beschriebenen bevorzugten Ausführungsformen ist die Kommunikationseinrichtung nicht an der Erzeugung und/oder Zwischenspeicherung des privaten Kommunikationsschlüssels beteiligt. Andere Ausführungsformen können dies jedoch vorsehen. Ebenso kann bei einer Ausführungsform vorgesehen sein, dass die Kommunikationseinrichtung ein Steuergerät im oben beschriebenen Sinne ist.

Claims

Verfahren zum Schützen eines privaten Kommunikationsschlüssels für eine Fahrzeug-Umwelt-Kommunikation umfassend die Schritte: a. Erzeugen eines Schüsselpaars während einer Betriebsphase eines Fahrzeugs (2), wobei das Schlüsselpaar den privaten Kommunikationsschlüssel und einen dazugehörigen öffentlichen Kommunikationsschlüssel umfasst, dadurch gekennzeichnet, dass b. der privaten Kommunikationsschlüssel in einen Schlüsselteil und mindestens einen Fahrzeugteil geteilt wird, wobei der mindestens eine Fahrzeugteil des privaten Kommunikationsschlüssels in mindestens einer Speichervorrichtung (11) des Fahrzeugs (2) gespeichert wird, c. der Schlüsselteil des privaten Kommunikationsschlüssels zu einem von dem Fahrzeug (2) getrennten oder von dem Fahrzeug (2) trennbaren Gerät (4), insbesondere einem Fahrzeugschlüssel, übertragen wird und in einer weiteren Speichervorrichtung (14) des Geräts (4) gespeichert wird, d. jede Repräsentation des Schlüsselteils des privaten Kommunikationsschlüssels in dem Fahrzeug (2) gelöscht wird.
Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass der Schlüsselteil am Beginn einer nachfolgenden Betriebsphase des Fahrzeugs (2) von dem Gerät (4) zu dem Fahrzeug (2) übertragen wird, der Schlüsselteil mit dem in der mindestens einen Speichervorrichtung (11) des Fahrzeugs (2) abgespeicherten mindestens einen Fahrzeugteil zu dem privaten Kommunikationsschlüssel zusammengesetzt wird und der zusammengesetzte private Kommunikationsschlüssel mittels des öffentlichen Kommunikationsschlüssels authentifiziert wird.
Verfahren nach Anspruch 1 oder 2, dadurch gekennzeichnet, dass der private Kommunikationsschlüssel nur in einer Betriebsphase des Fahrzeugs (2) gültig ist, die auf die Betriebsphase folgt, in der der private Kommunikationsschlüssel erzeugt worden ist, wobei in jeder Betriebsphase ein neues Schlüsselpaar erzeugt wird.
Verfahren nach einem der vorangehenden Ansprüche, dadurch gekennzeichnet, dass das Fahrzeug (2) eine Kommunikationseinrichtung (6) und eine Gruppe von Steuergeräten (8) mit jeweils einer Recheneinheit (10) umfasst, wobei die Steuergeräte (8) und die Kommunikationseinrichtung (6) miteinander kommunizieren können und wobei jedes der Steuergeräte (8) einen Teil eines verteilten Algorithmus zum Erzeugen des privaten Kommunikationsschlüssels umfasst und der private Kommunikationsschlüssel mittels eines oder mehrerer Steuergeräte (8) aus der Gruppe der Steuergeräte (8) erzeugt wird.
Verfahren nach Anspruch 4, dadurch gekennzeichnet, dass das eine oder die mehreren Steuergeräte (8) aus der Gruppe der Steuergeräte (8) nach einem Zufallsprinzip jeweils vor dem Erzeugen des privaten Kommunikationsschlüssels und/oder des neuen privaten Kommunikationsschlüssels ausgewählt werden.
Verfahren nach einem der vorangehenden Ansprüche, dadurch gekennzeichnet, dass der private Kommunikationsschlüssel auf nur einem nach dem Zufallsprinzip oder einem anderen Zufallsprinzip ausgewählten Steuergerät (8', 8'') der mehren Steuergeräte (8) zusammengesetzt, während der Betriebsphase und/oder der nachfolgenden Betriebsphase zwischengespeichert und gegebenenfalls in den mindestens einen Fahrzeugteil und den Schlüsselteil geteilt wird.
Verfahren nach einem der vorangehenden Ansprüche, dadurch gekennzeichnet, dass die Kommunikation zwischen den Steuergeräten (8) und/oder der Kommunikationseinrichtung (6) und/oder dem Gerät (4) mittels temporärer ID-Nummern erfolgt, auf die ID-Nummern der Steuergeräte (8) und/oder der Kommunikationseinrichtung (6) und/oder des Geräts (4) abgebildet werden.
Verfahren nach einem der vorangehenden Ansprüche, dadurch gekennzeichnet, dass die Kommunikation, einschließlich des Übertragens des privaten Kommunikationsschlüssels, des mindestens einen Fahrzeugteils und des Schlüsselteils des privaten Kommunikationsschlüssels, zwischen dem Gerät (4) und dem Fahrzeug (2) sowie innerhalb des Fahrzeugs (2) über verschlüsselte, insbesondere symmetrisch verschlüsselte, Kommunikationsverbindungen erfolgt.
Verfahren nach einem der vorangehenden Ansprüche, dadurch gekennzeichnet, dass für ein weiteres von dem Fahrzeug (2) getrenntes oder trennbares Gerät (5), welches mit dem Fahrzeug (2) kommunizieren kann, analog zu dem privaten Kommunikationsschlüssel ein weiterer privater Kommunikationsschlüssel erzeugt und verwendet wird.
Vorrichtung (3) zum Schützen eines privaten Kommunikationsschlüssels für eine Fahrzeug-Umwelt-Kommunikation umfassend: a. eine Schlüsselerzeugungseinrichtung (7) zum Erzeugen eines Schüsselpaars während einer Betriebsphase eines Fahrzeugs (2), wobei das Schlüsselpaar den privaten Kommunikationsschlüssel und einen dazugehörigen öffentlichen Kommunikationsschlüssel umfasst, gekennzeichnet durch b. Teilungsmittel zum Teilen des privaten Kommunikationsschlüssels in einen Schlüsselteil und mindestens einen Fahrzeugteil, c. mindestens eine Speichervorrichtung (11) des Fahrzeugs (2) zum Speichern des mindestens einen Fahrzeugteils des privaten Kommunikationsschlüssels, d. eine Kommunikationseinrichtung (6) zum Übertragen der Schlüsselteil des privaten Kommunikationsschlüssels zu einem von dem Fahrzeug (2) getrennten oder von dem Fahrzeug (2) trennbaren Gerät (4), insbesondere einem Fahrzeugschlüssel, für ein Speichern des Schlüsselteils in einer weiteren Speichervorrichtung (14) des Geräts (4), e. Mittel zum Löschen jeder Repräsentation des Schlüsselteils des privaten Kommunikationsschlüssels in dem Fahrzeug (2).
Vorrichtung (3) nach Anspruch 10, dadurch gekennzeichnet, dass die Kommunikationseinrichtung Empfangsmittel (15) zum Empfangen des Schlüsselteils am Beginn einer nachfolgenden Betriebsphase des Fahrzeugs (2) von dem Gerät (4) umfasst und mittels einer Authentifizierungseinrichtung der Schlüsselteil mit dem in der mindestens einen Speichervorrichtung (11) des Fahrzeugs (2) abgespeicherten mindestens einen Fahrzeugteil zum dem privaten Kommunikationsschlüssel zusammensetzbar ist und der zusammengesetzte private Kommunikationsschlüssel mittels des öffentlichen Kommunikationsschlüssels authentifizierbar ist.
Vorrichtung (3) nach Anspruch 10 oder 11, gekennzeichnet durch Verwaltungsmittel zum Löschen und/oder Ungültigerklären des privaten Kommunikationsschlüssels am Ende einer Betriebsphase des Fahrzeugs (2), die auf die Betriebsphase folgt, in der der private Kommunikationsschlüssel erzeugt worden ist, und zum Einleiten des Erzeugens ein neues Schlüsselpaar in jeder Betriebsphase.
Vorrichtung (3) nach einem der Ansprüche 10 bis 12, gekennzeichnet durch eine Gruppe von Steuergeräten (8) mit einer Recheneinheit (10), wobei die Steuergeräte (8) und die Kommunikationseinrichtung (6) untereinander kommunizieren können und wobei jedes der Steuergeräte (8) einen Teil eines verteilten Algorithmus zum Erzeugen des privaten Kommunikationsschlüssels umfasst und der private Kommunikationsschlüssel mittels eines oder mehrerer Steuergeräte (8) aus der Gruppe der Steuergeräte (8) erzeugbar ist.
Vorrichtung (3) nach Anspruch 13, gekennzeichnet durch Zufallsauswahlmittel, mittels derer das eine oder die mehreren Steuergeräte (8) aus der Gruppe der Steuergeräte (8) nach einem Zufallsprinzip anhand von Zufallszahlen jeweils vor dem Erzeugen des privaten Kommunikationsschlüssels und/oder des neuen privaten Kommunikationsschlüssels auswählbar sind.
Vorrichtung (3) nach einem der Ansprüche 10 bis 14, dadurch gekennzeichnet, dass mittels der Zufallsauswahlmittel nach dem Zufallsprinzip oder einem anderen Zufallsprinzip eines der mehren Steuergeräte (8) auswählbar ist, auf dem der private Kommunikationsschlüssel zusammensetzt, während der Betriebsphase und/oder der nachfolgenden Betriebsphase in der mindestens einen Speichervorrichtung (11) zwischengespeichert und gegebenenfalls in den mindestens einen Fahrzeugteil und den Schlüsselteil geteilt wird.
Vorrichtung (3) nach einem der Ansprüche 10 bis 15, dadurch gekennzeichnet, dass die Kommunikation zwischen den Steuergeräten (8) und/oder der Kommunikationseinrichtung (6) und/oder dem Gerät (4) mittels temporärer ID- Nummern durchführbar ist, auf die ID-Nummern der Steuergeräte (8) und/oder der Kommunikationseinrichtung (6) und/oder des Geräts (4) abbildbar sind.
Vorrichtung (3) nach einem der Ansprüche 10 bis 16, dadurch gekennzeichnet, dass die Steuergeräte (8) und die Kommunikationseinrichtung (6) Verschlüsselungsmittel umfassen, so dass die Kommunikation, einschließlich des Überfragens des privaten Kommunikationsschlüssels, des mindestens einen Fahrzeugteils und des Schlüsselteils des privaten Kommunikationsschlüssels, zwischen dem Gerät (4) und dem Fahrzeug (2) sowie innerhalb des Fahrzeugs (2) über verschlüsselte, insbesondere symmetrisch verschlüsselte, Kommunikationsverbindungen erfolgen kann.
Vorrichtung (3) nach einem der Ansprüche 10 bis 17, dadurch gekennzeichnet, dass für ein weiteres von dem Fahrzeug (2) trennbares Gerät (5), welches mit dem Fahrzeug (2) kommunizieren kann, analog zu dem privaten Kommunikationsschlüssel ein weiterer privater Kommunikationsschlüssel erzeugbar und verwendbar ist.
Gerät (4) zum Schützen eines privaten Kommunikationsschlüssels für eine Fahrzeug-Umwelt-Kommunikation, das ausgestaltet ist, um mit einer Vorrichtung (3) zum Schützen eines privaten Kommunikationsschlüssels nach den Ansprüchen 10 bis 18 zusammenzuwirken, mit Kommunikationsmitteln (13) zum Austauschen eines Fahrzeugteils des privaten Kommunikationsschlüssels mit dem Fahrzeug (2) und einer weiteren Speichervorrichtung (14) zum Speichern des Schlüsselteils des privaten Kommunikationsschlüssels.
Gerät (4) nach Anspruch 19, dadurch gekennzeichnet, dass der Schlüsselteil des privaten Kommunikationsschlüssels beim Empfangen eines neuen Schlüsselteils eines neuen privaten Kommunikationsschlüssels in der weiteren Speichervorrichtung (14) überschreibbar ist.
Gerät (4) nach Anspruch 19 oder 20, gekennzeichnet durch weitere Verschlüsselungsmittel, so dass die Kommunikation mit dem Fahrzeug (2) über eine verschlüsselte, insbesondere symmetrisch verschlüsselte, Kommunikationsverbindung erfolgen kann.
Gerät (4) nach einem der Ansprüche 19 bis 21, dadurch gekennzeichnet, dass es als Fahrzeugschlüssel ausgebildet ist.
System (1) zum Schützen eines privaten Kommunikationsschlüssels für eine Fahrzeug-Umwelt-Kommunikation, welches eine Vorrichtung (3) nach einem der Ansprüche 10 bis 18 und mindestens ein Gerät (4) nach einem der Ansprüche 19 bis 22 umfasst.