DE102006008140A1

DE102006008140A1 - Verfahren zum Betrieb eines funkbasierten Identifikationssystem mit einer Zentraleinheit und zumindest einem Identifikationsgeber

Info

Publication number: DE102006008140A1
Application number: DE200610008140
Authority: DE
Inventors: Andreas Russ; Thomas Bareiss; Peter Tolksdorf; Dieter Karg; Helmut Serr; Gerhard Brändle
Original assignee: Conti Temic Microelectronic GmbH
Current assignee: Conti Temic Microelectronic GmbH
Priority date: 2006-02-20
Filing date: 2006-02-20
Publication date: 2007-08-23

Abstract

Es wird ein Verfahren zum Betrieb eines funkbasierten Identifikationssystems mit einer Zentraleinheit und zumindest einem Identifikationsgeber vorgestellt. Die Zentraleinheit erzeugt ein elektrisches Feld vorgegebener Feldstärke mit einer ersten Identifikationsinformation, der Identifikationsgeber die erste Identifikationsinformation erfasst und eine zweite Identifikationsinformation generiert und an die Zentraleinheit sendet. Der Identifikationsgeber ermittelt die Feldstärke und sendet die Feldstärke oder eine daraus abgeleitete Größe als einen Teil der zweiten Identifikationsinformation an die Zentraleinheit zurück. Die Feldstärke ist von der Zentraleinheit dabei veränderbar und wird eine zweite Identifikationsinformation nur dann als korrekt eingestuft, wenn die von dem Identifikationsgeber erkannte und an die Zentraleinheit übermittelte Feldstärke in einem vorgegebenen Feldstärkebereich liegt.

Description

Die Erfindung betrifft ein Verfahren zum Betrieb eines funkbasierten Identifikationssystems mit einer Zentraleinheit und zumindest einem Identifikationsgeber gemäß dem Oberbegriff von Anspruch 1.

Derartige Identifikationssysteme werden beispielsweise bei schlüssellosen Zugangssystemen für Fahrzeuge und Gebäude eingesetzt. Es kommt dabei leider immer wieder zu dem Versuch, dass Unberechtigte den Informationsaustausch zwischen Zentraleinheit und Identifikationsgeber ausnutzen, bspw. durch sogenannte Relaisangriffe, bei denen eine erste Relaisstation im Umgebungsbereich der Zentraleinheit und eine zweite Relaisstation im Umgebungsbereich des Identifikationsgebers gebracht werden, der Signalaustausch über die Relaisstationen aufgebaut und so der Zentraleinheit ein im unmittelbaren Umgebungsbereich befindlicher ID-Geber vorgetäuscht wird.

Bei Keyless-Systemen sollte ein Relaisangriff, d.h. die Verlängerung der Kommunikationsstrecke zwischen Fahrzeug und ID-Geber durch einen Angreifer mit weiteren Sendeempfangseinrichtungen, erkannt, verhindert oder erschwert werden.

Bei vielen Keyless-Systemen wird im ID-Geber hierfür eine oder mehrere Feldstärken gemessen. Diese Messwerte werden zur Auswertung herangezogen und ggf. an das Fahrzeug zurückgegeben. Die Laufzeit der Funkstrecke Fahrzeug – Schlüssel – Fahrzeug wird hierbei herangezogen. Diese Laufzeitmessung ist im Allgemeinen nur mit einem hohen technischen Aufwand möglich.

Aufgabe der Erfindung ist es, Relaisangriffe noch besser zu erkennen. Diese Aufgabe wird durch die Merkmale des Anspruchs gelöst. Vorteilhafte Weiterbildungen sind den Unteransprüchen zu entnehmen.

Es ist dazu vorgesehen, dass die Feldstärke von der Zentraleinheit veränderbar ist. Einem Angreifer ist es daher nicht möglich, die Feldstärke vorher zu wissen und eine technisch aufwendige und daher bei einem Relaisangriff nicht in akzeptabler Zeit durchführbare Feldstärkemessung durch Verwendung eines vorbekannten Wertes zu umgehen.

Eine zweite Identifikationsinformation (2) wird nur dann als korrekt eingestuft, wenn die von dem Identifikationsgeber erkannte und an die Zentraleinheit übermittelte Feldstärke in einem vorgegebenen Feldstärkebereich-liegt.

Es ist dabei ein Umgebungsbereich um die aktive Sendeantenne der Zentraleinheit vorgegeben, wobei die Sendeantenne durchaus ausserhalb der Zentraleinheit bspw. an ein exponierten Position im Aussenbereich des Kfz angeordnet sein kann. Eine Identifikation durch den Identifikationsgeber wird nur innerhalb dieses Umgebungsbereichs akzeptiert und aufgrund der an sich ja bekannten oder erfassten Antennencharakteristik ist ein von dem Abstand des Identifikationsgebers zur aktiven Sendeantenne abhängiger Feldstärkeverlust vorgegeben. Der vorgegebene Feldstärkebereich wird in Abhängigkeit von der aktuell gesendeten Feldstärke und einem abstandsabhängigen Feldstärkeverlust gebildet. Hierbei ist der in der Antenne eingeprägte Strom proportional zur Feldstärke im Abstand x.

Vorzugsweise sind die Veränderungen der gesendeten Feldstärke zwischen mehreren Sendevorgängen dabei deutlich unterschiedlich zu dem im Umgebungsbereich maximal möglichen abstandsabhängigen Feldstärkeverlust.

Vorzugsweise sind eine Mehrzahl Antennen vorgesehen und führt der Identifikationsgeber mit zumindest zwei dieser Antennen einen Datenaustausch durch. Die bezüglich den Antennen jeweils gemessenen Feldstärken werden auf Plausibilität geprüft.

Vorzugsweise werden mit einer Antenne in zeitlich kurzem Abstand zueinander zumindest zwei Messungen mit voneinander abweichender Feldstärke durchgeführt und die Veränderung der jeweils gemessenen Feldstärke zu der Veränderung der gesendeten Feldstärken in Relation gesetzt. Der zeitliche Abstand der zwei Messungen ist dabei so gewählt, dass die zu erwartende Positionsänderung des Identifikationsgebers nur zu einer vernachlässigbaren Änderung der abstandsabhängigen Feldstärkeverluste führt.

Zur Verhinderung von Telegrammwiederholungen im Feldmessbereich werden also Kontrollmessungen mit verschiedenen zufallsgenerierten Feldstärken durchgeführt. Dieses Verfahren stellt sicher, dass ein Angreifer die Feldstärken nicht vorhersagen kann und somit gezwungen ist, mit einem hohen technischen Aufwand die Felder zu messen und das Protokoll nachzubilden.

Dies ist bei Relaisangriffen nicht in der für eine Antwort vorzugsweise vordefinierten Zeitspanne möglich.

Die Erfindung wird nachfolgend anhand von Figuren und Zeichnungen noch näher erläutert. Es zeigen:
1 grundsätzlichen Protokollaustausch zwischen Zentraleinheit und ID-Geber
2 Variation der Sendefeldstärke zur Erkennung einer tatsächlichen Feldstärkemessung im IG-Geber sowie Positionsabweichung bei fest angenommener Feldstärke
3 variierte Feldstärke in einem Protokoll mit einer Antenne
4 variierte Feldstärke in einem Protokoll mit mehreren Antennen
1 zeigt den Protokollaustausch zwischen der Zentraleinheit und dem ID-Geber, wobei für die Antwort vom ID-Geber vorzugsweise ein fester Zeitbereich vereinbart ist, in dem der ID-Geber seine Identifikationsinformation einschließlich der an seiner Position gemessenen Feldstärke an die Zentraleinheit zurücksendet.
2 zeigt nun die Auswirkungen der erfindungsgemäß vorgeschlagenen Variation der Sendefeldstärke auf die an einem ID-Geber an der Position P1 messbare Feldstärke. So zeigen die Linien B0, B1 und B2 Feldstärkeverteilungen in Abhängigkeit vom Abstand von der Antenne für unterschiedliche Sendeströme I0 bis I2 und damit auch entsprechend unterschiedliche Sendefeldstärken.
Dabei ist mit P_max die Grenze desjenigen Umgebungsbereichs markiert, innerhalb dem sich der ID-Geber befinden muss, um die gewünschte Aktion, bspw. das Öffnen einer Tür eines Kfz auszulösen. Der sich anschließende Bereich ist somit als nicht zu berücksichtigender Bereich straffiert dargestellt.
Befindet sich ein ID-Geber also bspw. an der Position P1, so wird er auf B1 einen Feldstärkewert in einem Bereich um den Wert X(P1, B0) erfassen und zurücksenden, während er bei auf B0 bzw. B1 geänderter Sendefeldstärke entsprechend Feldstärken um X(P1, B0) bzw. X(P1, B2) erfasst.
Eine solche Messung ist aber bei einem Relaisangriff nicht innerhalb der erforderlichen Zeit möglich. Würde eine Relaisangreifer dann bspw. den bei der ersten Messung mit B1 erfassten Wert X(P1, B1) für die Folgemessungen als konstant annehmen, würde sich bei geänderten Sendefeldstärke die diesem gemessenen Feldstärkewert X(P1, B1) korrespondierende Position schlagartig verschieben, d.h. bei tatsächlicher Sendeleistung B2 sogar in den unzulässigen Bereich größer Pmax verschoben. Ein Relaisangriff mit konstant angenommener oder frei geschätzter Sendefeldstärke kann somit aufgrund der starken Positionsabweichungen sofort erkannt werden.
3 zeigt den gleichen Zusammenhang in einer etwas anderen Ansicht. Hier wird ausgehend von einer ersten Feldstärke 1, welche die sogenannte „Passt-Schwelle" definiert, nachfolgend ebenfalls die gesendete Feldstärke variiert, so dass daraus „Check-Schwellen" abweichender Höhe entstehen.
Der ID-Geber muss diese Änderungen erkennen, was einem Relaisangreifer unmöglich ist (daher dort die konstanten grauen Balken).
4 zeigt nun eine besonders bevorzugte Weiterbildung, bei der ein ID-Geber mit mehreren Antennen A1, A2, An jeweils die Informationen austauscht und für zumindest zwei, vorzugsweise alle Antennen dieses Verfahren der Übertragung mit unterschiedlichen Feldstärken angewendet wird. Das Protokoll enthält also für die Antennen zunächst die jeweiligen Passt-Schwellen (je Antenne) und nachfolgend die wegen der Variation der Sendefeldstärke entsprechend angepassten Check-Schwellen je Antenne A1, A2, An.

Claims

Verfahren zum Betrieb eines funkbasierten Identifikationssystems mit einer Zentraleinheit und zumindest einem Identifikationsgeber, wobei die Zentraleinheit ein elektrisches Feld vorgegebener Feldstärke mit einer ersten Identifikationsinformation (1) erzeugt, der Identifikationsgeber die erste Identifikationsinformation (1) erfasst und eine zweite Identifikationsinformation (2) generiert und an die Zentraleinheit sendet, der Identifikationsgeber die Feldstärke ermittelt und die Feldstärke oder eine daraus abgeleitete Größe als ein Teil der zweiten Identifikationsinformation (2) an die Zentraleinheit sendet, dadurch gekennzeichnet, dass die Feldstärke (B0, B1, B2) von der Zentraleinheit veränderbar ist und eine zweite Identifikationsinformation (2) nur dann als korrekt eingestuft wird, wenn die von dem Identifikationsgeber erkannte und an die Zentraleinheit übermittelte Feldstärke (X) in einem vorgegebenen Feldstärkebereich liegt.
Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass ein Umgebungsbereich (< Pmax) um die aktive Sendeantenne der Zentraleinheit vorgegeben ist, eine Identifikation durch den Identifikationsgeber nur innerhalb dieses Umgebungsbereichs (Px < Pmax) akzeptiert wird und ein von dem Abstand des Identifikationsgebers zur aktiven Sendeantenne abhängiger Feldstärkeverlust vorgegeben und der vorgegebene Feldstärkebereich in Abhängigkeit von der aktuell gesendeten Feldstärke und einem abstandsabhängigen Feldstärkeverlust gebildet wird.
Verfahren nach einem der vorangehenden Ansprüche, dadurch gekennzeichnet, dass eine Mehrzahl Antennen vorgesehen sind und der Identifikationsgeber mit zumindest zwei dieser Antennen einen Datenaustausch durchführt und die bezüglich den Antennen jeweils gemessenen Feldstärken auf Plausibilität geprüft werden.
Verfahren nach einem der vorangehenden Ansprüche, dadurch gekennzeichnet, dass mit einer Antenne in zeitlich kurzem Abstand zueinander zumindest zwei Messungen mit voneinander abweichender Feldstärke durchgeführt und die Veränderung der jeweils gemessenen Feldstärke zu der Veränderung der gesendeten Feldstärken in Relation gesetzt werden.