DE102011014560B4 - Effiziente Technik zum Erreichen von Nachweisbarkeit und Widerstandsfähigkeit gegen DoS-Angriffe in drahtlosen Netzen - Google Patents

Abstract

Verfahren zum Authentifizieren von Nachrichten, die von einem Empfänger in einem drahtlosen Netz empfangen werden und durch Sender unter Verwendung eines Übertragungsprotokolls gesendet werden, wobei das Verfahren umfasst:Empfangen der Nachrichten am Empfänger, wobei jede Nachricht einen leichtgewichtigen Rechenauthentifikator und einen schwergewichtigen Rechenauthentifikator umfasst,wobei der leichtgewichtige Authentifikator ein Nachrichtenauthentifizierungscode (MAC) für ein zeitgesteuertes effizientes gegen Stromverlust tolerantes Authentifizierungsprotokoll (TESLA-Protokoll) ist und wobei der schwergewichtige Authentifikator eine digitale Signatur ist;Trennen der empfangenen Nachrichten in Nachrichten mit einer gleichen Senderidentifikation;Feststellen, ob der leichtgewichtige Authentifikator einer jeweiligen Nachricht gültig ist;Verwerfen einer Nachricht, die keinen gültigen leichtgewichtigen Authentifikator aufweist;separates Sammeln der Nachrichten, die einen gültigen leichtgewichtigen Authentifikator aufweisen, für jede Senderidentifikation;Durchführen eines Bündelüberprüfungsprozesses an den Nachrichten, die einen gültigen leichtgewichtigen Authentifikator aufweisen, für jede Senderidentifikation, um festzustellen, ob eine Gruppe von Nachrichten für jede Senderidentifikation einen gültigen schwergewichtigen Authentifikator aufweist;Überprüfen jeder Nachricht in der Gruppe von Nachrichten, wenn der Bündelüberprüfungsprozess zeigt, dass die Gruppe von Nachrichten einen gültigen schwergewichtigen Authentifikator aufweist; undBestimmen des Abstandes zwischen einem Sender und dem Empfänger und Bestimmen der dynamischen Bewegung des Senders und des Empfängers, wobei, wenn der Abstand zwischen dem Sender und dem Empfänger unter einem Schwellenwert liegt und die dynamischen Bewegungen des Senders und des Empfängers bestimmte Anforderungen erfüllen, die Nachricht unter Verwendung nur des schwergewichtigen Authentifikators authentifiziert wird, ansonsten sie unter Verwendung des leichtgewichtigen Authentifikators authentifiziert wird.

Description

• HINTERGRUND
• Gebiet der Erfindung
• Diese Erfindung bezieht sich im Allgemeinen auf ein System und ein Verfahren zum Authentifizieren einer Nachricht, die in einem drahtlosen Netz übertragen wird, und insbesondere auf ein Verfahren zum Authentifizieren einer Nachricht, die in einem drahtlosen Netz übertragen wird, welche sowohl eine digitale Signatur als auch eine zeitgesteuerte effiziente gegen Stromverlust tolerante Authentifizierung (TESLA) verwenden.
• Erörterung des Standes der Technik
• Aktive Kraftfahrzeugsicherheitsanwendungen auf der Basis von Kommunikationen von Fahrzeug zu Fahrzeug (V2V) sind ein leistungsstarker Dienst, der die Anzahl von Kraftfahrzeugunfällen und die zugehörigen Gesundheitsversorgungs- und Versicherungskosten signifikant verringern kann. Die Kommunikationssicherheit ist in diesen Anwendungen kritisch, da erwartet wird, dass Fahrer von Fahrzeugen gemäß den Warnungen und Ratschlägen, die durch die V2V-Anwendungen geschaffen werden, handeln. Da jedoch die Kommunikationssicherheit sowohl mit einem Rechenals auch auf Bandbreite bezogenen Aufwand einhergeht, ist es wichtig, diesen Aufwand zu verringern, um kosteneffiziente Implementierungen zu erhalten.
• V2V-Sicherheitsanwendungen, wie z. B. Warnung vor dem toten Winkel (BSW) und kooperative Kollisionswarnung (CCW), beruhen auf dem wiederholten Austausch von kinematischen Informationen zwischen benachbarten Fahrzeugen durch V2V-Kommunikationen gemäß dem drahtlosen zweckgebundenen Kurzstrecken-Kommunikationsstandard (DSRC-Standard). Diese Nachrichten werden typischerweise periodisch mit der Frequenz von 10 Hz pro Fahrzeug übertragen und werden unter Verwendung von digitalen Signaturen auf der Basis einer zugrundliegenden Infrastruktur mit öffentlichem Schlüssel (PKI) gemäß der IEEE 1609.2-Standardspezifikation authentifiziert. Das Erzeugen und Überprüfen von digitalen Signaturen verbraucht jedoch eine signifikante Menge des Anteils des Kraftfahrzeugprozessors. Wenn das Durchdringen von aktiven Sicherheitsanwendungen auf V2V-Basis zunimmt, besteht ein Bedarf an recheneffizienten Mechanismen zum Überprüfen von Nachrichten, da mit V2V ausgestattete Fahrzeuge eine zunehmende Anzahl von Nachrichten überprüfen müssten.
• Jeder Vollmachtgeber in einem PKI-System weist ein Paar von Schlüsseln auf, nämlich einen privaten Schlüssel und einen öffentlichen Schlüssel. Der private Schlüssel ist nur dem Vollmachtgeber bekannt und der öffentliche Schlüssel kann mit anderen Entitäten in dem System geteilt werden. Die Schlüssel können als Paar von Funktionen P_r und P_u visualisiert werden, die den privaten bzw. den öffentlichen Schlüssel darstellen, und die Eigenschaft M=P_r(P_u(M)) und M=P_u(P_r(M)) aufweisen, wobei M die Nachricht ist, die unter Verwendung der Schlüssel gesichert werden soll. Um die Nachrichtenintegrität sicherzustellen, signiert der Sender der Nachricht die Nachricht mit seinem privaten Schlüssel und fügt diese Signatur zur Nachricht hinzu. Beim Empfang der Nachricht kann der Empfänger die Signatur der Nachricht unter Verwendung des öffentlichen Schlüssels des Senders überprüfen.
• Obwohl die Erörterung hierin eine V2V-Vernetzung betrifft, haben die verschiedenen Sendungsauthentifizierungstechniken eine viel breitere Anwendung. Auf einer abstrakten Ebene gelten die verschiedenen hierin erörterten Sendungsauthentifizierungstechniken für Kommunikationsnetze, wobei Knoten Informationen in einer authentischen Weise zueinander senden. In diesen Netzen ist potentiell jeder Knoten ein Sender und ein Empfänger. Folglich würde ein gegebener Knoten seine Nachrichten zu mehreren Knoten senden und er kann auch Nachrichten von mehreren und möglicherweise verschiedenen Knoten empfangen. Es ist erwünscht, in diesen Typen von Kommunikationsnetzen Bandbreite zu bewahren. Bandbreite wird verbraucht, wenn der öffentliche Schlüssel vor den Nachrichten oder Paketen gesendet wird. Zusätzliche Bandbreite wird auch verbraucht, wenn Signaturen an Nachrichten oder Pakete angehängt werden. Es ist auch erwünscht, die Verwendung des Fahrzeugcomputers oder der CPU zum Überprüfen von empfangenen Nachrichten einzusparen. Wenn alle Knoten Nachrichten mit einer gewissen Rate senden, dann könnte ein Fahrzeug viel mehr Nachrichten im Vergleich dazu, wie viele es sendet, empfangen. Wenn auf den Rechenaufwand Bezug genommen wird, wird folglich im Allgemeinen die Zeit, die für die Schlüsselerzeugung und Signaturerzeugung gebraucht wird, ignoriert und der Prozess konzentriert sich nur auf die Zeit, die für die Signaturüberprüfung gebraucht wird.
• Für die hierin erörterten Kommunikationsnetze würden die Knoten typischerweise ein Authentifizierungsprotokoll verwenden, um eine Sendungsauthentizität der Nachrichten zu erreichen. Ein Authentifizierungsprotokoll zwischen einem Sender und einem Empfänger ermöglicht, dass der Sender Informationen zum Empfänger in einer authentischen Weise sendet. Das in den erörterten Sendenetzwerken verwendete Authentifizierungsprotokoll umfasst drei Schritte, nämlich Schlüsselerzeugung und Verteilung des öffentlichen Schlüssels, Signaturerzeugung und Signaturüberprüfung. Für die Schlüsselerzeugung und die Verteilung des öffentlichen Schlüssels führt der Sender einen Schlüsselerzeugungsalgorithmus für das Authentifizierungsprotokoll aus und erzeugt den öffentlichen Schlüssel, den privaten Schlüssel und andere Variablen. Der Sender verteilt dann den öffentlichen Schlüssel an die Empfänger.
• Für die Signaturerzeugung erzeugt der Sender, wenn der Sender eine authentische Nachricht senden muss, die Nachricht und belegt sie mit den geeigneten Informationen und verwendet dann einen Signaturerzeugungsalgorithmus, der für das Authentifizierungsprotokoll spezifisch ist. Im Fall von digitalen Signaturalgorithmen kann ein öffentliches-privates Schlüsselpaar verwendet werden, um eine theoretisch unbegrenzte Anzahl von Nachrichten zu signieren. Der Signaturerzeugungsalgorithmus verwendet im Allgemeinen das Hash-and-Sign-Paradigma. Dies bedeutet, dass die Nachricht zuerst in eine Kette von Bits mit konstanter Länge zerhackt wird. Die zerhackte Version, die auch Nachrichtenextrakt genannt wird, wird dann unter Verwendung des Signaturerzeugungsalgorithmus signiert.
• Wenn ein Empfänger die Authentizität einer empfangenen Nachricht überprüfen muss, muss er für die Signaturüberprüfung im Besitz des öffentlichen Schlüssels sein, der dem privaten Schlüssel entspricht, der die Nachricht signiert hat. Unter der Annahme, dass der Empfänger den öffentlichen Schlüssel hat, verwendet er den Signaturüberprüfungsalgorithmus für das Authentifizierungsprotokoll. Der Überprüfungsalgorithmus zerhackt auch zuerst die Nachricht, um den Nachrichtenextrakt abzuleiten, der dann weiteren Überprüfungsschritten unterzogen wird.
• Auf der Sicherheitsschicht des PKI-Protokolls besteht die primäre Funktionalität des Sendungsauthentifizierungsprotokolls darin, gefälschte Nachrichten, d. h. jene Nachrichten mit dem korrekten Format, aber mit einer ungültigen Signatur oder einem ungültigen Authentifizierungskennzeichen, zu filtern. Die Sicherheitsstärke des Nachrichtenauthentifizierungsprotokolls wird in n Sicherheitsbits gemessen, d. h. ein Angreifer muss O(2ⁿ) Operationen durchführen, um eine Signatur oder ein Authentifizierungskennzeichen an einer Nachricht zu fälschen. Der IEEE 1609.2-Standard empfiehlt 128 Sicherheitsbits.
• Obwohl die Nachrichtenauthentifizierung ausreicht, um Fehlverhaltensdetektionsalgorithmen auf der Anwendungsschicht zu entwickeln, ist eine Nachweisbarkeit ein erforderliches Attribut, um sich falsch verhaltende Entitäten der Zertifizierungsautorität (CA) in einer V2X-Sicherheitsarchitektur auf PKI-Basis zu melden. Es ist zu beachten, dass die eventuelle Räumung von sich falsch verhaltenden Entitäten über Einträge in einer Zertifikataufhebungsliste (CRL), die durch die CA verbreitet wird, stattfindet.
• Um zu überprüfen, ob eine Nachricht echt oder gefälscht ist, werden Rechenressourcen an einem gegebenen Knoten verbraucht. Im drahtlosen Zusammenhang ist es für eine böswillige Entität ohne Zugang zu beeinträchtigtem Verschlüsselungsmaterial leicht, eine gefälschte Nachricht zu erzeugen und diese Nachrichten in den Kanal einzuleiten, was zu einem Rechendienstverweigerungsangriff (DoS-Angriff) führt. Die Vorstellung von Rechen-DoS-Widerstandsfähigkeit wird als Menge an Rechenarbeit, die von einem Empfänger durchgeführt wird, als Funktion der Menge an Rechenarbeit, die vom Angreifer durchgeführt wird, eingeführt. Leider sind digitale Signaturen auf der Basis der asymmetrischen Schlüsselkryptographie für Rechen-DoS-Angriffe besonders verwundbar.
• Es ist zu beachten, dass die Sendungsauthentifizierung die asymmetrische Eigenschaft erfordert, dass nur der Sender die Signatur oder das Authentifizierungskennzeichen erzeugen kann und irgendein Empfänger nur die Signatur oder das Authentifizierungskennzeichen überprüfen kann. Obwohl die asymmetrische Schlüsselkryptographie alle Stammfunktionen bereitstellen kann, die für die Sendungsauthentifizierung erforderlich sind, sind Stammfunktionen auf der Basis der symmetrischen Schlüsselkryptographie aufgrund ihrer Effizienz bevorzugt. Protokollkonstruktionen zum Erreichen einer Sendungsauthentifizierung unter Verwendung von symmetrischen Schlüsselstammfunktionen umfassen zeitgesteuerte effiziente gegen Stromverlust tolerante Authentifizierung (TESLA) und einmalige Signaturen. Im Zusammenhang mit dem Ad-hoc-Netz des Fahrzeugs (VANET) stützen sich diese Protokolle jedoch zusätzlich auf einen Mechanismus mit digitalen Signaturen auf PKI-Basis.
• Dauerhafte Anwendungen wie z. B. BSW oder CCW basieren auf Fahrzeugen, die auf einer kontinuierlichen Basis senden, wie z. B. mit der Rate von zehn Nachrichten pro Sekunde. Wenn die Fahrzeugdichten zunehmen, nimmt die Rate von zu überprüfenden ankommenden Nachrichten linear mit der Anzahl von benachbarten Fahrzeugen zu (unter der Annahme von minimalen Verlusten im drahtlosen Medium). Die Rate von zu signierenden abgehenden Nachrichten ist jedoch immer durch die Rate begrenzt, wie z. B. zehn Nachrichten pro Sekunde. Obwohl es möglich ist, jede abgehende Nachricht mit einer digitalen Signatur auf PKI-Basis zu authentifizieren, kann es nicht durchführbar sein, die digitale Signatur jeder empfangenen Nachricht an einem Knoten zu überprüfen. Daher liegt der Schwerpunkt der effizienten Sendungsauthentifizierung auf effizienten Überprüfungsmechanismen. Beispielsweise sollen 50 Fahrzeuge in der Nähe eines gegebenen gekennzeichneten Fahrzeugs betrachtet werden, die jeweils zehn Nachrichten pro Sekunde senden. Das gekennzeichnete Fahrzeug empfängt jede Sekunde bis zu 500 zu überprüfende Nachrichten. Für ein stabiles System sollte daher die mittlere Überprüfungszeit weniger als 2 ms sein.
• Es besteht eine innewohnende Asymmetrie in der Rate von ankommenden und abgehenden Nachrichten im Zusammenhang mit einem V2V-Netz für aktive Sicherheit. Jedes mit V2V ausgestattete Fahrzeug sendet eine begrenzte Anzahl von Nachrichten pro Zeiteinheit aus, aber empfängt eine zunehmende Anzahl von Nachrichten pro Zeiteinheit, wenn die Anzahl seiner Nachbarn zunimmt. Diese Asymmetrie kann durch Anhängen von dualen Authentifikatoren pro Nachricht (eine digitale Signatur und einen leichtgewichtigen Authentifikator) genutzt werden. Ein Authentifikator wird auf der Basis der Menge an Zeit, die zum Erzeugen oder Überprüfen desselben aufgewendet wird, als leichtgewichtig klassifiziert. Knoten, die in die Übertragungsreichweite des Senders kommen, überprüfen die digitale Signatur zuerst, was ihnen ermöglicht, den leichtgewichtigen Authentifikator für anschließende Nachrichten zu überprüfen.
• Soweit es um das Problem einer effizienten Sendungsauthentifizierung geht, stehen verschiedene Techniken in der Literatur zur Verfügung, um dieses Problem anzugehen. Keine dieser verfügbaren Methoden ist jedoch vollständig zufriedenstellend. Insbesondere führen digitale Signaturen zu einem hohen Rechenaufwand, während einmalige Signaturen wie z. B. Merkle-Winternitz-Signaturen zu einem hohen Kommunikationsaufwand führen, und leichtgewichtige Protokolle wie z. B. TESLA führen zu einer verzögerten Nachrichtenauthentifizierung. Ferner besteht bei einmaligen Signaturen wie z. B. der Merkle-Winternitz-Signatur ein Kompromiss zwischen dem Rechenaufwand und dem Kommunikationsaufwand, die beide im Verhältnis mit der Anzahl von signierten Bits zunehmen.
• Es wird angenommen, dass für einen gegebenen Authentifizierungsmechanismus die mittleren Signierungs- und Überprüfungszeiten (in Sekunden) mit T_s bzw. T_v bezeichnet werden. N_out soll außerdem die Rate bezeichnen, mit der die Sicherheitsschicht zu signierende abgehende Nachrichten pro Sekunde empfängt, und N_in soll die Rate bezeichnen, mit der die Sicherheitsschicht zu überprüfende ankommende Nachrichten pro Sekunde empfängt. Da die Nutzung des OBU-Prozessors höchstens 100 % ist, folgt, dass für ein stabiles System N_outT_s + N_inT_v < 1.
• Eine kurze Beschreibung des TESLA-Protokolls wird bereitgestellt, einschließlich seiner Nachteile im Fahrzeugzusammenhang. Dies schafft die Motivation für Modifikationen am TESLA-Protokoll für VANETs, die dann dargestellt werden. Das TESLA-Protokoll wird im Zusammenhang mit einem einzelnen Sender und mehreren Empfängern beschrieben. Das Protokoll basiert auf der verzögerten Offenbarung von symmetrischen Schlüsseln. Anfänglich hängt ein Sender an jede Nachricht einen Nachrichtenauthentifizierungscode (MAC) auf der Basis eines symmetrischen Schlüssels, der nur ihm selbst bekannt ist, an. Der Empfänger puffert die Nachricht, ohne sie authentifizieren zu können, was zu einer Nachrichtenüberprüfungsverzögerung führt. Eine kurze Zeit später, wenn der Sender den symmetrischen Schlüssel offenbart, kann der Empfänger gepufferte Nachrichten authentifizieren. Das TESLA-Protokoll basiert auf der Eigenschaft von lockerer Zeitsynchronisation, d. h. der Empfänger kennt eine obere Grenze für die lokale Zeit des Senders.
• Der Sender unterteilt die Zeit in L Intervalle mit der Länge T_INT und berechnet eine Einweg-Hashkette, wie nachstehend beschrieben. Für einen symmetrischen Schlüssel K und eine Einweg-Hashfunktion H(.) soll H⁰(K) = K und Hⁱ⁺¹(K) = H(Hⁱ(K)) für ganzzahlige Werte i ≥ 0 sein. Das TESLA-Protokoll weist auch einen Parameter auf, der Schlüsseloffenbarungsverzögerung d genannt wird, der in Einheiten der Intervalllänge T_INT ausgedrückt wird. Zum Startzeitpunkt T₀ berechnet der Sender die Hashkette, die durch [K, H¹(K), H²(K), ..., H^Q(K), ...] bezeichnet ist, wobei Q > L. Der Sender entscheidet an einem Zeitplan, symmetrische Schlüssel dieser Hashkette nicht früher als zum vorbestimmten Zeitpunkt zu offenbaren.
• Der Schlüsseloffenbarungsplan, der als ((T₀, T_INT, H^Q(K)) bezeichnet ist, bezeichnet die Zusage des Senders, den symmetrischen Schlüssel H^Q-w(K) nicht früher als zum Zeitpunkt T₀ + w · T_INT für alle 1 ≤ w ≤ L zu offenbaren. Vor dem Zeitpunkt T₀ wird die Zusage des Senders, symmetrische Schlüssel zu offenbaren, in einer authentischen Weise zu allen Empfängern in einer Schlüsseloffenbarungsplannachricht übertragen. Diese Schlüsseloffenbarungsplannachricht wird mit einer digitalen Signatur signiert und erfordert die Unterstützung des PKI-Sicherheitsrahmens. Alle Entitäten, die den Schlüsseloffenbarungsplan ((T₀, T_INT, H^Q(K)) aufweisen, folgen der Konvention, dass das Intervall w das Zeitintervall [T₀ + w · T_INT, T₀ + (w + 1) · T_INT bezeichnet. Gemäß dem Schlüsseloffenbarungsplan offenbart der Sender den Schlüssel H^Q-w(K) während des Intervalls w für 0 ≤ w ≤ L.
• Die Sende- und Empfangsverarbeitung an einem Knoten wird beschrieben. Wenn ein Paket gesendet wird, wählt der Sender adaptiv einen Wert der Schlüsseloffenbarungsverzögerung d aus. Der Sender offenbart den symmetrischen Schlüssel, der dem aktuellen Zeitintervall entspricht, und hängt einen MAC auf der Basis eines symmetrischen Schlüssels an, der d Zeitintervalle (mit der Länge T_INT) später offenbart wird. Beim Empfang eines Pakets:
1. 1. überprüft der Empfänger, ob der offenbarte Schlüssel ein Teil der Hashkette ist. Der offenbarte Schlüssel wird dann verwendet, um gepufferte Pakete zu überprüfen.
2. 2. bestimmt der Empfänger das Intervall i, in dem das Paket gesendet wurde, auf der Basis des offenbarten Schlüssels im Paket und einer authentischen Version des Schlüsseloffenbarungsplans.
3. 3. schließt der Empfänger auf der Basis seiner aktuellen Zeit und einer Grenze für den Taktsynchronisationsfehler auf das späteste mögliche Intervall x, in dem der Sender sich gegenwärtig befinden könnte.
4. 4. bestimmt der Empfänger den Wert der Parameter d in der Nachricht. Wenn (x < i + d), puffert der Empfänger das Paket für die verzögerte Überprüfung. Wenn (x ≥ i + d), verwirft er ansonsten das Paket als unsicher und lässt es weg.
• Der Hauptvorteil von TESLA ist eine signifikante Verbesserung in der Signierungs- und Überprüfungszeit, da die Mehrheit der Nachrichten über einen MAC auf der Basis eines symmetrischen Schlüssels authentifiziert wird. TESLA erfordert jedoch immer noch die Unterstützung des Sicherheitsrahmens auf PKI-Basis, da der Schlüsseloffenbarungsplan zu allen Empfängern in einer authentischen Weise übermittelt werden muss. Außerdem erfordert TESLA eine Taktsynchronisation an den Knoten und Nachrichten können nicht überprüft werden, bis der entsprechende symmetrische Schlüssel durch den Sender offenbart wird. Es ist zu beachten, dass die Parameter d und T_INT des TESLA-Protokolls sorgfältig ausgewählt werden müssen, damit das Protokoll gut funktioniert.
• Die Hauptnachteile der TESLA-Protokolle im Zusammenhang mit VANETs werden wie folgt beschrieben. TESLA stellt nicht die Nachweisbarkeitseigenschaften bereit. Obwohl die Nachrichtenauthentifizierung ausreicht, um Fehlverhaltensdetektionsalgorithmen auf der Anwendungsschicht zu entwickeln, ist die Nachweisbarkeit ein erforderliches Attribut für das Melden von sich falsch verhaltenden Entitäten an die Zertifizierungsautorität (CA) in einer V2X-Sicherheitsarchitektur auf PKI-Basis. Es ist zu beachten, dass die eventuelle Räumung von sich falsch verhaltenden Entitäten über Einträge in einer Zertifikataufhebungsliste (CRL), die durch die CA verbreitet wird, stattfindet. DSRC-Kanalumschalten zwischen dem Steuerkanal und Dienstkanal kann auch die Leistung von TESLA verschlechtern.
• V2X-Sicherheitsanwendungen übertragen kinematische Echtzeitinformationen (wie z. B. Position, Geschwindigkeit und Fahrtrichtung) in Nachrichtennutzinformationen. Typischerweise werden diese Nachrichten von der Anwendungsschicht zur Sicherheitsschicht mit der periodischen Rate von 100 ms gesendet. Wenn TESLA-Schlüsseloffenbarungsnachrichten immer zu Anwendungsnachrichten hinzugefügt werden, dann gilt T_INT = 100 ms, wobei T_INT die Länge der Zeitintervalle bedeutet, die durch das TESLA-Protokoll ausgewählt wird. Daher ist eine untere Grenze für die Nachrichtenüberprüfungsverzögerung 100 ms. Diese Überprüfungsverzögerung kann für V2X-Sicherheitsanwendungen wie z. B. Kollisionsvermeidungsanwendungen zu groß sein. Es ist zu beachten, dass ein Fahrzeug, das mit 90 kph (25 Meter pro Sekunde) fährt, sich in 100 ms um 2,5 Meter bewegt hätte.
• Es gibt zwei Typen von potentiellen Angreifern. Ein äußerer Angreifer, der keine beeinträchtigten kryptographischen Qualifikationen wie z. B. private Schlüssel besitzt. Der äußere Angreifer kann einen DoS-Angriff durch Senden von gefälschten Nachrichten, die ein gültiges Format, aber ein falsches Authentifizierungskennzeichen aufweisen, initiieren. Dieser Typ von Angreifer stiehlt ein gültiges Senderidentifikationskennzeichen aus der Luft und überträgt gefälschte Nachrichten in seinem Namen, wobei der Prozessor des empfangenden Fahrzeugs (Puffer) für den Rechen-DoS-Angriff (Speicher-DoS-Angriff) überlastet wird. Der andere Typ von Angreifer ist ein innerer Angreifer, der eine oder mehrere beeinträchtigte kryptographische Qualifikationen in seinem Besitz hat, wie z. B. die privaten Schlüssel. Dieser Typ von Angreifer kann eine gefälschte Nachricht, d. h. eine Nachricht mit falschen oder ungültigen Nutzinformationen durch (ein) kryptographisch korrekte(s) Authentifizierungskennzeichen senden. Im Fall, dass eine gesendete Nachricht durch sowohl eine digitale Signatur als auch einen TESLA-MAC authentifiziert wird, was als Protokoll für TESLA-Authentifizierung und digitale Signatur (TADS) bezeichnet wird, kann dieser Typ von Angreifer einen besonders heimtückischen Angriff initiieren, der als Angriff mit „korrektem MAC und gefälschter digitaler Signatur“ bezeichnet wird. Dieser Typ von Angreifer kann einen DoS-Angriff mit korrektem MAC und gefälschter digitaler Signatur durch Senden von Nachrichten mit korrekten Nachrichtenauthentifizierungscodes, aber gefälschten digitalen Signaturen initiieren. Diese Nachrichten können falsche Informationen übermitteln, wobei der Angreifer nicht einbezogen wird, wenn nur der MAC überprüft wird.
• In der US 2008/0235509 A1 ist ein Verfahren zum Authentifizieren von Nachrichten beschrieben, die von einem Empfänger in einem drahtlosen Netz empfangen werden und durch Sender unter Verwendung eines Übertragungsprotokolls gesendet werden. Dabei umfasst eine jeweilige vom Empfänger empfangene Nachricht einen leichtgewichtigen Rechenauthentifikator und einen schwergewichtigen Rechenauthentifikator, wobei ein öffentlicher Schlüssel und eine TESLA-Authentifizierung angewandt werden.
• Eine nähere Beschreibung der TESLA-Authentifizierung findet sich in der Veröffentlichung PERRING et al.: Timed Efficient Stream Loss-Tolerant Authentication (TESLA): Multicast Source Authentication Transform Introduction - RFC 4082. Juni 2005. URL:
  http://www.ietf.org/rfc/rfc4082.txt (abgerufen am 14.10.2014).
• Aus der US 2006/0200856 A1 ist die Verwendung einer Aufhebungsliste für Zertifikate im Rahmen einer Verifikation von Gerätekonfigurationen in einem Netzwerk bekannt.
• ZUSAMMENFASSUNG
• Der Erfindung liegt die Aufgabe zugrunde, ein Nachrichten-Authentifizierungsverfahren der eingangs genannten Art anzugeben, mit dem bei einer höheren Recheneffizienz die Sicherheit weiter optimiert wird.
• Die Aufgabe wird erfindungsgemäß durch ein Verfahren mit den Merkmalen des Anspruchs 1 gelöst. Bevorzugte Ausgestaltungen des erfindungsgemäßen Verfahrens ergeben sich aus den Unteransprüchen.
• Gemäß den Lehren der vorliegenden Erfindung wird eine recheneffiziente Nachrichtenüberprüfungsstrategie offenbart, die Nachrichten überprüft, die unter Verwendung einer Kombination einer digitalen Signatur und eines TESLA-MAC authentifiziert werden. Wenn Nachrichten an einem Empfänger wie z. B. einem Fahrzeug empfangen werden, trennt die Überprüfungsstrategie die Nachrichten in Nachrichten mit derselben Senderidentifikation. Die Überprüfungsstrategie stellt für jede Nachricht dann fest, ob der TESLA-MAC-Authentifikator gültig ist, und verwirft diejenigen Nachrichten, die keinen gültigen TESLA-MAC aufweisen. Die Strategie sammelt dann separat die Nachrichten, die einen gültigen TESLA-MAC aufweisen, für jede Senderidentifikation als Gruppe von Nachrichten und führt einen Bündelüberprüfungsprozess an den digitalen Signaturen der Gruppe von Nachrichten durch, um festzustellen, ob die Nachrichten in der Gruppe eine gültige digitale Signatur aufweisen. Die Überprüfungsstrategie erreicht die Eigenschaft der Nachweisbarkeit für jede Nachricht in der Gruppe von Nachrichten, wenn der Bündelüberprüfungsprozess zeigt, dass die Gruppe von Nachrichten eine gültige digitale Signatur aufweist.
• Zusätzliche Merkmale werden aus der folgenden Beschreibung und den beigefügten Ansprüchen in Verbindung mit den begleitenden Zeichnungen ersichtlich.
• Figurenliste
• 1 ist eine Draufsicht eines Fahrzeugs, das ein Fahrzeug-Fahrzeug-Kommunikationssystem verwendet;
• 2 ist ein schematisches Diagramm eines Nachrichtenflusses in einer Fahrzeug-Fahrzeug-Kommunikationsnachricht von der Anwendungsschicht zum physikalischen Kanal; und
• 3 ist ein Blockablaufdiagramm, das einen Prozess zum Authentifizieren einer Nachricht unter Verwendung einer digitalen Signatur und von TESLA zeigt.
• AUSFÜHRLICHE BESCHREIBUNG
• Die folgenden Erörterungen, die auf ein Authentifizierungsprotokoll für ein drahtloses Kommunikationssystem gerichtet sind, das sowohl eine digitale Signatur als auch TESLA-Authentifizierung verwendet, sind dem Wesen nach lediglich beispielhaft und sollen keineswegs den Schutzbereich der Erfindung, ihre Anwendungen oder Verwendungen begrenzen.
• 1 stellt eine Draufsicht eines Fahrzeugs 10 mit einer Bordeinheit (OBU) 12 für ein drahtloses V2X-Kommunikationssystem dar. Die OBU 12 empfängt Ortsinformationen von einem GPS-Empfänger 14 und kann mit anderen OBUs in anderen Fahrzeugen innerhalb einer begrenzten Reichweite kommunizieren. Das Fahrzeug 10 umfasst auch verschiedene Typen von Fahrzeugsensoren 16, wie z. B. Kameras, Beschleunigungsmesser, Temperatursensoren usw., die Informationen zur OBU 12 liefern. Die Fahrzeugsensorinformationen können von der OBU 12 verwendet werden, um andere Fahrzeuge über verschiedene Straßen- und andere Bedingungen, wie z. B. Eis, Ölflecken usw., zu benachrichtigen.
• Das Folgende beschreibt eine recheneffiziente Nachrichtenüberprüfungsstrategie für ein drahtloses Netz, die Nachrichten überprüft, wobei jede gesendete Nachricht sowohl durch eine digitale Signatur als auch einen TESLA-MAC authentifiziert wird und als Protokoll für TESLA-Authentifizierung und digitale Signatur (TADS) bezeichnet wird. Das TADS-Protokoll ist durch die Beobachtung motiviert, dass für den effektiven Betrieb von Kollisionsvermeidungsanwendungen es nicht erforderlich ist, dass ein gegebener Empfänger den gegenwärtigen kinematischen Zustand jedes Fahrzeugs kennt. Intuitiv reicht es aus, wenn der Empfänger gegenwärtige, d. h. aktuelle Informationen des kinematischen Zustandes von Fahrzeugen in seiner unmittelbaren geographischen Umgebung und verzögerte Informationen hinsichtlich Fahrzeugen, die weiter von ihm entfernt sind, hat. Die Begriffe „unmittelbare geographische Umgebung“ und „weiter entfernt“ werden in einer Hinsicht von geographischer Nähe verwendet. Es ist zu beachten, dass, wenn die Fahrzeugdichten zunehmen, die Anzahl von Fahrzeugen, die weiter von einem gegebenen gekennzeichneten Empfänger weg sind, mit einer Rate zunimmt, die signifikant größer ist als die Anzahl von Fahrzeugen, die sich in der unmittelbaren geographischen Umgebung befinden.
• Im TADS-Protokoll befestigt das sendende Fahrzeug zwei Authentifizierungskennzeichen an jeder Nachricht. Ein Kennzeichen ist eine rechenintensive oder schwergewichtige Signatur, das heißt eine digitale Signatur auf PKI-Basis an den Nachrichtennutzinformationen, die den gegenwärtigen kinematischen Zustand des sendenden Fahrzeugs umfassen. Diese Signatur ermöglicht, dass ein gekennzeichneter Empfänger authentische Informationen hinsichtlich des gegenwärtigen kinematischen Zustandes des sendenden Fahrzeugs empfängt. Das andere Kennzeichen ist ein rechnerisch leichtgewichtiger MAC auf der Basis des TESLA-Sendungsauthentifizierungsalgorithmus. Dieses Authentifizierungskennzeichen ermöglicht, dass ein gekennzeichneter Empfänger authentische Informationen hinsichtlich des kinematischen Zustandes des sendenden Fahrzeugs in der jüngsten Vergangenheit erhält. Der TESLA-Authentifikator stellt jedoch ein gleiches Sicherheitsniveau wie die digitale Signatur bereit. TESLA hängt vom zugrundeliegenden PKI-Rahmen zum Austauschen ihres Schlüsseloffenbarungsplans ab. Zusätzlich zum Erfüllen von Echtzeitverzögerungseinschränkungen besteht eine andere Dimension der Entscheidung, die digitale Signatur oder den TESLA-MAC der Nachricht zu überprüfen, darin, ob der Empfänger das stärkere Sicherheitsattribut der Nachweisbarkeit oder die schwächere Auffassung der Nachrichtenauthentifizierung erhalten muss.
• 2 ist eine Darstellung einer hierarchischen Schichtstruktur 20 des TADS-Protokolls mit einer Anwendungsschicht 22, einer Sicherheitsschicht 24 und einer physikalischen Schicht 26. Die Anwendungsschicht 22 umfasst eine unsignierte Nachricht mit Anwendungsnutzinformationen m, die im Kasten 28 gezeigt sind. Die Sicherheitsschicht 24 umfasst die signierte Nachricht, einschließlich der Anwendungsnutzinformationen m, die im Kasten 30 gezeigt sind, und zwei Authentifizierungskennzeichen, nämlich eine digitale Signatur σ, die im Kasten 38 gezeigt ist, und einen TESLA-Authentifikator-MAC, der im Kasten 36 gezeigt ist, der sowohl die Nachrichtennutzinformationen als auch die digitale Signatur σ umfasst. Die Sicherheitsschicht 24 umfasst auch einen Schlüsseloffenbarungsplan A, der im Kasten 32 gezeigt ist, eine TESLA-Offenbarungsverzögerung d, die im Kasten 34 gezeigt ist, und das Senderidentifikationskennzeichen mit dem digitalen Zertifikat des Senders, das im Kasten 40 gezeigt ist.
• Auf der Sicherheitsschicht 24 befinden sich drei Mechanismen, die ausgeführt werden, nämlich ein Sendungsauthentifizierungsmechanismus, ein Zertifikataustauschmechanismus und eine Empfängerüberprüfungsstrategie. Der Sendungsauthentifizierungsmechanismus hängt Authentifizierungskennzeichen an Nachrichten an, die von der Anwendungsschicht 22 empfangen werden. Der Zertifikataustauschmechanismus tauscht Zertifikate zwischen Fahrzeugen aus, die sich in der Nähe zueinander befinden. Schließlich entscheidet die Überprüfungsstrategie über die Sequenz, in der Nachrichten, die auf der Sicherheitsschicht 24 empfangen werden, verarbeitet, d. h. überprüft, werden sollen.
• Beim Empfangen einer unsignierten Nachricht von der Anwendungsschicht 22 hängt das TADS-Protokoll zwei Authentifikatoren an die Nachricht an, um eine signierte Nachricht zu erzeugen. Insbesondere werden ein rechnerisch leichtgewichtiger TESLA-MAC und eine digitale Signatur angehängt, um eine signierte Nachricht zu erzeugen. Vor dem Beschreiben der Erzeugung der dualen Authentifikatoren wird ein Mechanismus für Fahrzeuge zum Austauschen ihrer digitalen Zertifikate und ihrer TESLA-Schlüsseloffenbarungspläne A dargestellt.
• Der Zertifikataustauschmechanismus hängt periodisch, wie z. B. 1 Sekunde, das digitale Zertifikat des Senders an die signierte Nachricht an. Außerdem schließt der Sender auch seinen TESLA-Schlüsseloffenbarungsplan A ein, sobald er sein digitales Zertifikat anhängt. Dies ermöglicht, dass Fahrzeuge, die sich in der Nähe zueinander befinden, eine authentische Version ihrer öffentlichen Schlüssel und Schlüsseloffenbarungspläne A austauschen. Um den Sender jeder signierten Nachricht eindeutig zu identifizieren, hängt der Zertifikataustauschmechanismus eines der Identifikationskennzeichen an die Nachricht an: das digitale Zertifikat des Senders oder einige der Bytes (z. B. die niedrigstwertigen 10 Bytes oder höchstwertigen 10 Bytes) des SHA-1-Hash des digitalen Zertifikats des Senders. Dieses Identifikationskennzeichen wird von jedem Empfänger verwendet, um den relevanten öffentlichen Schlüssel oder den TESLA-Schlüsseloffenbarungsplan.A zu finden, mit dem die digitale Signatur (oder der TESLA-MAC) der Nachricht authentifiziert werden soll.
• Ein Knoten unterhält einen Cache der digitalen Zertifikate und Schlüsseloffenbarungspläne von Fahrzeugen, die er in der Vergangenheit getroffen hat. Um eine effiziente Suche zu ermöglichen, hält er diesen Cache in einer sortierten Reihenfolge auf der Basis der Bytes des SHA-1-Hash oder irgendeines kryptographischen Hash des digitalen Zertifikats des Senders.
• Wie vorstehend erwähnt, hängt das TADS-Protokoll zwei Authentifikatoren an, um eine signierte Nachricht zu erzeugen. Das allgemeine Format der Nachricht, bevor und nachdem sie durch die Sicherheitsschicht 24 des Senders signiert wird, ist nachstehend gegeben. Es ist zu beachten, dass der TESLA-MAC sowohl die Nachrichtennutzinformationen als auch die digitale Signatur der Nachricht umfasst.
• • Unsignierte Nachricht (Anwendungsnutzinformationen = m)
• • Signierte Nachricht [Anwendungsnutzinformationen = m, TESLA-Schlüsseloffenbarung = K_i oder TESLA-Schlüsseloffenbarungsplan A = (T, K_i), TESLA-Offenbarungsverzögerung = d, TESLA-MAC = HMAC (K_i+d, (m | σ)), digitale Signatur σ = σ_{K pr} (m ∥ A)].
• Sobald der Sender sein digitales Zertifikat als Identifikationskennzeichen sendet, wird eine aktuelle Version seines Schlüsseloffenbarungsplans A auch gesendet. Da Zertifikate periodisch gesendet werden, kann irgendein Fahrzeug, das in die Übertragungsreichweite des Senders kommt, sowohl sein digitales Zertifikat als auch seinen Schlüsseloffenbarungsplan A erhalten. Durch Überprüfen des digitalen Zertifikats des Senders erhält ein Knoten einen authentischen Wert des öffentlichen Schlüssels des Senders. Unter Verwendung desselben kann der Knoten die digitale Signatur σ der Nachricht überprüfen und einen authentischen Wert des Schlüsseloffenbarungsplans des Senders erhalten. Dies ermöglicht, dass der Knoten den rechnerisch leichtgewichtigen TESLA-MAC für anschließende Nachrichten überprüft.
• Wenn der Sender ein Hash seines digitalen Zertifikats als Identifikationskennzeichen sendet, kann es nicht nützlich sein, den TESLA-Schlüsseloffenbarungsplan A in die Nachricht aufzunehmen. Der Schlüsseloffenbarungsplan A des Senders ist nur an einem empfangenden Fahrzeug nützlich, das bereits das digitale Zertifikat des Senders während eines früheren Zusammentreffens mit dem Sender authentifiziert hat, und das digitale Zertifikat des Senders in seinem Cache gespeichert hat. Sobald der Sender seinen Schlüsseloffenbarungsplan A nicht einschließt, muss er seinen offenbarten Schlüssel als Teil der Nachricht einschließen. Zusammengefasst sind die folgenden drei Nachrichtenformate die Ausgabe des Signierungsprozesses. Um den Typ von Nachricht zu identifizieren, die durch das Protokoll gesendet wird, müssen die detaillierten Nachrichtenformate auf Bitebene zwei zusätzliche Bits umfassen.
• • Signierte Nachricht II digitales Zertifikat des Senders, wobei die signierte Nachricht = [Anwendungsnutzinformationen = m, TESLA-Schlüsseloffenbarung A = (T, K_i), TESLA-Offenbarungsverzögerung = d, TESLA-MAC = HMAC(K_i+d, (m ∥ σ)), digitale Signatur σ = σ_{K pr} (m∥A)].
• • Signierte Nachricht II einige der Bytes (z. B. niedrigstwertige 10 Bytes oder höchstwertige 10 Bytes) von Hash (digitales Zertifikat des Senders), wobei die signierte Nachricht = [Anwendungsnutzinformationen = m, TESLA-Schlüsseloffenbarung = K_i, TESLA-Offenbarungsverzögerung = d, TESLA-MAC = HMAC(K_i+d, (m ∥ σ)), digitale Signatur σ = σ_{K pr} (m)].
• • Signierte Nachricht II niedrigstwertige 10 Bytes von Hash (digitales Zertifikat des Senders), wobei die signierte Nachricht = [Anwendungsnutzinformationen = m, TESLA-Schlüsseloffenbarungsplan A = (T, K_i), TESLA-Offenbarungsverzögerung = d, TESLA-MAC = HMAC(K_i+d, (m∥σ)), digitale Signatur σ = σ_{K pr} (m∥A)].
• Um eine spezifische Implementierung des TADS-Protokolls zu vollenden, ist eine Strategie erforderlich, um ankommende Nachrichten an einem Knoten zu überprüfen. Die Überprüfungsstrategie entscheidet über die Sequenz, in der empfangene Nachrichten verarbeitet, d. h. überprüft, werden sollen. Außerdem beinhaltet die Überprüfungsstrategie für jede Nachricht das Treffen einer Entscheidung, ob die digitale Signatur der Nachricht oder der TESLA-Authentifikator überprüft werden soll oder ob die Entscheidung bis zu einem späteren Zeitpunkt verzögert werden soll. Die Strategieplanung entscheidet hinsichtlich dessen, wann digitale Zertifikate und Nachrichten, die Schlüsseloffenbarungspläne enthalten, die authentische Steuerdaten bereitstellen, d. h. öffentliche Schlüssel und Schlüsseloffenbarungspläne, die andere Fahrzeuge betreffen, überprüft werden sollen. Als Teil eines Protokollstandards besteht jedoch kein Bedarf, die Überprüfungsstrategie an einem Empfänger zu standardisieren. Insbesondere können verschiedene Originalgerätehersteller (OEMs) verschiedene Strategien implementieren und die Zusammenarbeitsfähigkeit wird immer noch erreicht. Überdies können Fahrzeuge mit einem schnelleren Bordprozessor eine andere Überprüfungsstrategie im Vergleich zu normalen Fahrzeugen implementieren.
• Für das TADS-Protokoll werden die an der Überprüfung einer durch einen Knoten empfangenen Nachricht beteiligten Schritte umrissen. Beim Empfang einer Nachricht (m, [A = (T₀, T_INT, K) oder K], d, hmac, σ, s) führt der Empfänger die folgenden Handlungen durch, wobei m die Nachrichtennutzinformationen bezeichnet, s das Identifikationskennzeichen des Senders bezeichnet, hmac und σ den TESLA-MAC bzw. die digitale Signatur bezeichnen, die der Nachricht zugeordnet sind, [A = (T₀, T_INT) K)] den Schlüsseloffenbarungsplan bezeichnet, K den offenbarten Schlüssel bezeichnet und d die Schlüsseloffenbarungsverzögerung bezeichnet.
• • Entsprechend dem Sender mit dem Identifikationskennzeichen s Erhalten des (authentischen) Werts des öffentlichen Schlüssels $K_{pub}^s$
  
  und des (authentischen) Werts des Schlüsseloffenbarungsplans $\left(T_0^s,{\text{T}}_{\text{INT}},K_0^s\right).$
  
• • Anfangs Überprüfen, ob der offenbarte Schlüssel K ein Teil der Hashkette ist, die in $K_0^s$
  
  endet. Dieser Schritt hängt davon ab, ob der Schlüsseloffenbarungsplan A oder der offenbarte Schlüssel K ein Teil der Nachricht ist.
  • - Wenn der Schlüsseloffenbarungsplan ein Teil der Nachricht ist, dann Berechnen von $i=\frac{T_s-T_0^s}{T_{INT}}$
    
    und Überprüfen, ob ${\text{H}}^{\text{i}}\left(\text{K}\right)=K_0^s.$
    
  • - Wenn der offenbarte Schlüssel ein Teil der Nachricht ist, Berechnen von $j=\lfloor \frac{\left(t_{trecv}+{\mathrm{\Delta }}_{sync}-T_0^s\right)}{T_{INT}}\rfloor ,$
    
    wobei t_recv die aktuelle Zeit am Empfänger bezeichnet und Δ_sync die Grenze für den Taktsynchronisationsfehler bezeichnet. Überprüfen, dass für eine gewisse ganze Zahl i, 1 ≤ i ≤ j, $H^i\left(K\right)=K_0^s.$
    
  • Wenn der obige Überprüfungsschritt fehlschlägt, Verwerfen des Pakets. Ansonsten Verwenden des offenbarten Schlüssel K, um den TESLA-Authentifikator von gepufferten Paketen mit einem Identifikationskennzeichen s zu überprüfen, die als sicher markiert sind.
• • Die vorstehend berechnete ganze Zahl i stellt das Intervall i dar, in dem der Sender das Paket gesendet hat. Vereinbarungsgemäß bezeichnet das Intervall w das Zeitintervall $[T_0^s+\text{w}\cdot {\text{T}}_{\text{INT}},T_0^s+\left(\text{w}+1\right)\cdot {\text{T}}_{\text{INT}})$
  
  relativ zum ursprünglichen Schlüsseloffenbarungsplan $\left(T_0^s,T_{INT},K_0^s\right).$
  
• • Auf der Basis seiner aktuellen Zeit und von Grenzen für den Taktsynchronisationsfehler schließt der Empfänger auf das letzte mögliche Intervall x, in dem sich der Sender gegenwärtig befinden könnte.
• • Bestimmen des Werts des Parameters d in der Nachricht. Wenn (x < i + d), puffert der Empfänger das Paket und markiert den TESLA-Authentifikator als für die Überprüfung sicher. Wenn x ≥ i + d, puffert er ansonsten das Paket, aber markiert den TESLA-Authentifikator als für die Überprüfung unsicher.
• • Der Empfänger unterhält eine Abschätzung der Netzverzögerung von Ende zu Ende zwischen dem Sender mit dem Identifikationskennzeichen s und sich selbst. Unter Verwendung dessen erhält er eine Abschätzung des frühesten Zeitpunkts, der mit $kr{t}_{i+d}^s$
  
  bezeichnet ist, wenn der symmetrische Schlüssel, mit dem die Nachricht m authentifiziert wurde, empfangen wird, wenn das Paket als für die TESLA-Überprüfung sicher markiert ist.
• • Der TESLA-MAC der Nachricht kann überprüft werden, wenn dieser Knoten den Schlüssel $K_j^s$
  
  für ein gewisses j ≥ i + d empfängt, und die Nachricht als sicher markiert ist. Der Überprüfungsschritt beinhaltet das Berechnen von $K_{i+d}^s$
  
  aus $K_j^s$
  
  und das Prüfen, dass $\text{HMAC}\left(K_{i+d}^s,m\Vert \mathrm{\sigma }\right)=hmac.$
  
• • Um die digitale Signatur der Nachricht zu überprüfen, Überprüfen, dass $\left(K_{pub}^s,m\Vert A,\mathrm{\sigma }\right)=Wahr.$
  
• • Außerdem aktualisiert der Empfänger den Schlüsseloffenbarungsplan für die Sender, wenn $T_0^s=T_0^s+i\cdot T_{\text{INT}}\text{ und }{K}_0^s=K.$
  
• Um die Sicherheitsattribute des TADS-Protokolls zu beschreiben, wird eine spezifische Sender-ID beobachtet, so dass der private Schlüssel, der dieser Sender-ID zugeordnet ist, nicht beeinträchtigt wurde. Daher ist ein Angreifer nicht im Besitz des privaten Schlüssels, der der Sender-ID zugeordnet ist. Die durch das TADS-Protokoll in Bezug auf seine dualen Authentifikatoren bereitgestellten Garantien werden angenommen. Es ist zu beobachten, dass ein Angreifer die folgenden Handlungen durchführen kann.
• • Die zugrundeliegenden Eigenschaften der asymmetrischen Schlüsselkryptographie und des TESLA-Sendungsauthentifizierungsprotokolls stellen sicher, dass ein Angreifer Nutzinformationen m' seiner Wahl nicht erstellen und entweder die korrekte digitale Signatur oder den korrekten TESLA-MAC für die Nachricht mit den Nutzinformationen m' erzeugen kann. Der Angreifer kann jedoch eine gefälschte Nachricht mit einem falschen TESLA-MAC und einer falschen digitalen Signatur erstellen. Solche Nachrichten werden vom TADS-Protokoll verworfen.
• • Nun soll angenommen werden, dass der Sender mit der Identifikationskennzeichen-Sender-ID eine Nachricht mit Nutzinformationen m und dem korrekten TESLA-MAC und der korrekten digitalen Signatur sendet. Die folgenden Fälle sollen betrachtet werden:
  • - Der Angreifer kann die Nachricht durch Modifizieren des TESLA-MAC und Beibehalten der digitalen Signatur wiedergeben. In diesem Fall versagt die TESLA-Authentifizierung, d. h. wenn die Nachrichtenüberprüfung zu einem späteren Zeitpunkt stattfindet.
  • - Der Angreifer kann auch die Nachricht durch Modifizieren der digitalen Signatur und Beibehalten des TESLA-MAC wiedergeben. Da der TESLA-MAC-Überprüfungsschritt an einem Empfänger die digitale Signatur der empfangenen Nachricht umfasst, versagt wiederum die leichtgewichtige TESLA-Authentifizierung. Dies erklärt auch, warum die TESLA-MAC-Berechnung sowohl die Nachricht als auch ihre digitale Signatur σ umfasst. In dem Fall, in dem der TESLA-Authentifikator nur über die Nachrichtennutzinformationen m berechnet wird, kann ein Angreifer ein authentisches Protokollpaket durch Beibehalten des TESLA-Authentifikators und Modifizieren der digitalen Signatur wiedergeben. In dieser Weise kann der Angreifer den Sender bei der Täuschung, d. h. bei der Verletzung des Protokolls durch Senden von Protokollpaketen mit einem gültigen TESLA-Authentifikator, aber einer ungültigen digitalen Signatur einbeziehen, um sich später der Einbeziehung zu entziehen.
• Es ist zu beachten, dass die obige Begründung zeigt, dass ein gekennzeichneter Empfänger das Folgende ableiten kann. Sobald der TESLA-MAC-Überprüfungsschritt gelingt, wurde die digitale Signatur, die der Nachricht zugeordnet ist, auch durch den Sender gesendet.
• Das Anhängen von dualen Authentifikatoren an jede Nachricht ermöglicht, dass die komplementären Attribute sowohl von digitalen Signaturen als auch TESLA erhalten werden. Insbesondere schafft der TESLA-Authentifikator eine leichtgewichtige Überprüfung und Widerstandsfähigkeit gegen Rechen-DoS-Angriffe. Andererseits schaffen digitale Signaturen eine Nachweisbarkeit und Robustheit für den Betrieb des TESLA-Protokolls in einem sehr mobilen drahtlosen Netz. Die Eigenschaften des TADS-Protokolls werden nachstehend gegeben. Der TESLA-Authentifikator ermöglicht, dass das Protokoll die folgenden Attribute erreicht.
• • Das Protokoll erhält eine Nachrichtenauthentifizierung mit einer Betonung auf der leichtgewichtigen Überprüfung. Der Empfänger kann auch folgern, dass, sobald der TESLA-MAC-Überprüfungsschritt gelingt, die der Nachricht zugeordnete digitale Signatur auch durch den Sender übertragen wurde.
• • In Abhängigkeit von der Empfängerüberprüfungsstrategie ist das vorgeschlagene Protokoll gegen DoS-Angriffe widerstandfähig. Im TADS-Protokoll führt jede gefälschte Nachricht, die von einem Angreifer gesendet wird, für die ein Empfänger die Überprüfung der Nachricht bis zu einem späteren Zeitpunkt verzögern kann, wenn der symmetrische TESLA-Schlüssel, mit dem die Nachricht authentifiziert wurde, durch den Sender offenbart werden müsste, zu einer erhöhten Widerstandsfähigkeit gegen Rechen-DoS-Angriffe.
• Die digitale Signatur ermöglicht, dass das Protokoll die folgenden Attribute erhält.
• • Die Nachweisbarkeitseigenschaft wird erhalten, wenn die Überprüfung der digitalen Signatur erfolgreich ist.
• • An einem Empfänger ist ein Paket aufgrund der Anwesenheit der digitalen Signatur niemals unsicher. Es wird daran erinnert, dass bei TESLA ein empfangenes Paket als unsicher betrachtet wird, wenn zu dem Zeitpunkt, zu dem es empfangen wird, der Sender bereits den symmetrischen Schlüssel offenbart hat, mit dem das Paket authentifiziert wurde.
• • Obwohl die Überprüfung der digitalen Signatur rechenintensiv ist, kann sie sofort überprüft werden.
• Der Hauptnachteil des TADS-Protokolls sind vermehrte Funkverbindungsbytes für die dualen Authentifikatoren. Außerdem bestehen erhöhte Verarbeitungsanforderungen, wenn eine Nachricht signiert wird, da der Sender duale Authentifikatoren an jede Nachricht anhängt.
• Bei TESLA wird ein empfangenes Paket als unsicher betrachtet, wenn zu dem Zeitpunkt, zu dem es empfangen wird, der Sender bereits den symmetrischen Schlüssel offenbart hat, mit dem das Paket authentifiziert wurde. Die Wartezeit von Ende zu Ende von dem Zeitpunkt, zu dem eine Nachricht durch die Sicherheitsschicht 24 des sendenden Fahrzeugs zeitgestempelt wird, bis zu dem Zeitpunkt, zu dem sie von der Sicherheitsschicht 24 des empfangenden Fahrzeugs empfangen wird, wird untersucht. Diese Wartezeit von Ende zu Ende bestimmt die Wirksamkeit des TESLA-Authentifikators im TADS-Protokoll im Zusammenhang mit Adhoc-Fahrzeugnetzen.
• In Anbetracht des Aufwands zum Senden von reinen Schlüsseloffenbarungsnachrichten auf dem drahtlosen Medium wird empfohlen, dass das TADS-Protokoll mit T_INT = 100 ms arbeitet. Angesichts der obigen Verzögerungen von Ende zu Ende zwischen den Sicherheitsschichten des sendenden und des empfangenden Fahrzeugs wählt das Protokoll zum Zeitpunkt t_c die TESLA-Offenbarungsverzögerung d derart aus, dass der symmetrische Schlüssel K_i+d nicht früher als t_c + z offenbart wird, wobei z = 20 ms.
• Die VANET-Authentifizierung mit Signaturen und TESLA (VAST) ist ein verwandtes Protokoll, das digitale Signaturen und eine Variante von TESLA, die TESLA für Fahrzeugnetze genannt wird, kombiniert. VAST wurde entworfen, um Widerstandsfähigkeit gegen sowohl Speicher- als auch Rechen-DoS-Angriffe zu erreichen. Das VAST-Protokoll erreicht jedoch dies durch Verzögern der Übertragung der Echtzeit-Nachrichtennutzinformationen und ihrer digitalen Signatur. Daher kann das VAST-Protokoll selektive Überprüfungstechniken an einem Empfänger ausschließen, bis die Nachrichtennutzinformationen empfangen werden. Im Gegensatz zum TADS-Protokoll, bei dem sowohl die Nachrichtennutzinformationen als auch die digitale Signatur ohne Verzögerung übertragen werden, übernimmt VAST auch nicht die Sofortüberprüfungseigenschaft von digitalen Signaturen. Im Vergleich zu VAST erfordert jedoch das TADS-Protokoll größere Speicherressourcen zum Puffern von Paketen, bis sie überprüft werden. Außerdem kann die Sofortüberprüfungseigenschaft von digitalen Signaturen das TADS-Protokoll für Rechen-DoS-Angriffe öffnen.
• Da VAST den TESLA-MAC und die Nachrichtennutzinformationen in separaten, aber aufeinander folgenden Paketen überträgt, müssen beide dieser Pakete an einem gekennzeichneten Knoten empfangen werden, um eine leichtgewichtige Überprüfung zu ermöglichen. Andererseits übernimmt das TADS-Protokoll die Widerstandsfähigkeit des TESLA-Protokolls gegen Nachrichtenverlust. Um eine leichtgewichtige Überprüfung eines Pakets P an einem Knoten zu ermöglichen, erfordert das TADS-Protokoll insbesondere den erfolgreichen Empfang von zwei Paketen, nämlich des Pakets P und von irgendeinem der durch den Sender nach dem Paket P gesendeten Pakete. Der Nachrichtenverlust führt jedoch zu zunehmenden Nachrichtenwartezeiten bei der Überprüfung des Pakets P unter Verwendung seines TESLA-Authentifikators.
• 3 ist ein Ablaufblockdiagramm 50, das einen Prozess zum Authentifizieren einer Nachricht am Empfänger zeigt, die unter Verwendung des vorstehend beschriebenen TADS-Protokolls gesendet wurde. Die Strategie sammelt zuerst Nachrichten mit einer speziellen Sender-ID im Kasten 52 im empfangenden Fahrzeug. Das Protokoll überprüft dann den TESLA-MAC oder -Authentifikator für jede Nachricht im Kasten 54 für einen speziellen Sender. Wenn der TESLA-MAC durchfällt, was bedeutet, dass der Sender die Nachricht nicht tatsächlich gesendet hat, dann verwirft das empfangende Fahrzeug die Nachricht als gefälschte Nachricht im Kasten 56. Das Protokoll sammelt dann alle Nachrichten von diesen Sendern, die gültige TESLA-MAC-Authentifikatoren aufweisen, im Kasten 58 und führt einen Bündelüberprüfungsprozess für digitale Signaturen im Kasten 62 durch. Die Bündelüberprüfung ist ein bekannter Algorithmus zum gleichzeitigen Überprüfen von vielen Potenzierungen. Auf dem Fachgebiet wurde vorgeschlagen, die Bündelüberprüfung von digitalen Signaturen vorzusehen, um die Rechenlast der Überprüfung von digitalen Signalen zu erleichtern. Für ein gewisses Signaturschema und einen öffentlichen Schlüssel Pk für dieses soll Verify_Pk(.,.) der Überprüfungsalgorithmus für dieses Schema sein. Mit anderen Worten, eine Signatur x für die Nachricht Mist gültig, wenn Verify_Pk(M,x) = 1. Eine Bündelinstanz für die Signaturüberprüfung besteht aus einer Sequenz (M₁,x₁), ... (M_n,x_n), wobei x_i eine angebliche Signatur von M_i relativ zum öffentlichen Schlüssel Pk ist. Für die Vektoren oder Bündel M = (M₁, ... M_n) und x = x₁, ... x_n) wäre die Bündelüberprüfung für den Satz von Nachrichten durch die Beziehung Verify_Pk(M,x) definiert: der Test würde mit hoher Wahrscheinlichkeit zurückweisen, wenn irgendeine Nachricht M_i, 1 ≤ i ≤ n vorhanden wäre, für die Verify_Pk(M_i,x_i) = 0. Im Bündelüberprüfungsprozess führt das empfangende Fahrzeug eine Bündelüberprüfung einer willkürlich gewählten Teilmenge von Nachrichten durch, die empfangen werden. Unter Verwendung des Bündelüberprüfungsprozesses wird ein effizienter Mechanismus zum Vorsehen einer Nachweisbarkeit für das Bündel von Nachrichten geschaffen, obwohl er eine geringere Sicherheitsstärke aufweist. Das Überprüfen jeder Nachricht unter Verwendung des TESLA-MAC ist rechnerisch leichtgewichtig und ist gegen Rechen-DoS-Angriffe widerstandsfähig. Wenn die Authentifizierung der digitalen Signatur für einen speziellen Sender misslingt, dann wird diese Sender-ID im Kasten 60 in eine lokale Aufhebungsliste gesetzt. Wenn nicht, dann werden die Nachrichten im Kasten 64 authentifiziert. Der vorstehend beschriebene Prozess wird für die Nachrichten, die vom Empfänger empfangen werden, für jede unterschiedliche Sender-ID durchgeführt.
• Die TADS-Überprüfungsstrategie bestimmt, ob der TESLA-Authentifikator oder die digitale Signatur für die Authentifizierung einer Nachricht verwendet wird, auf der Basis dessen, wie nahe das sendende Fahrzeug und das empfangende Fahrzeug zueinander sind, und ihrer gegenwärtigen dynamischen Bewegung. Für diejenigen Fälle, in denen die Fahrzeuge weit genug auseinander liegen und eine Kollisionsvermeidung nicht bevorsteht, kann dann die Überprüfungsstrategie auch den verzögerten TESLA-Authentifikator verwenden, um festzustellen, ob die Nachrichten authentisch sind. Wenn jedoch die Fahrzeuge nahe genug sind, wobei eine Kollision wahrscheinlicher ist, dann muss die Authentifizierung der digitalen Signatur verwendet werden.
• Die vorangehende Erörterung offenbart und beschreibt lediglich beispielhafte Ausführungsformen der vorliegenden Erfindung. Ein Fachmann auf dem Gebiet erkennt leicht aus einer solchen Erörterung und aus den begleitenden Zeichnungen und Ansprüchen, dass verschiedene Änderungen, Modifikationen und Variationen darin durchgeführt werden können, ohne vom Gedanken und Schutzbereich der Erfindung, wie in den folgenden Ansprüchen definiert, abzuweichen.

Claims (6)

1. Verfahren zum Authentifizieren von Nachrichten, die von einem Empfänger in einem drahtlosen Netz empfangen werden und durch Sender unter Verwendung eines Übertragungsprotokolls gesendet werden, wobei das Verfahren umfasst: Empfangen der Nachrichten am Empfänger, wobei jede Nachricht einen leichtgewichtigen Rechenauthentifikator und einen schwergewichtigen Rechenauthentifikator umfasst, wobei der leichtgewichtige Authentifikator ein Nachrichtenauthentifizierungscode (MAC) für ein zeitgesteuertes effizientes gegen Stromverlust tolerantes Authentifizierungsprotokoll (TESLA-Protokoll) ist und wobei der schwergewichtige Authentifikator eine digitale Signatur ist; Trennen der empfangenen Nachrichten in Nachrichten mit einer gleichen Senderidentifikation; Feststellen, ob der leichtgewichtige Authentifikator einer jeweiligen Nachricht gültig ist; Verwerfen einer Nachricht, die keinen gültigen leichtgewichtigen Authentifikator aufweist; separates Sammeln der Nachrichten, die einen gültigen leichtgewichtigen Authentifikator aufweisen, für jede Senderidentifikation; Durchführen eines Bündelüberprüfungsprozesses an den Nachrichten, die einen gültigen leichtgewichtigen Authentifikator aufweisen, für jede Senderidentifikation, um festzustellen, ob eine Gruppe von Nachrichten für jede Senderidentifikation einen gültigen schwergewichtigen Authentifikator aufweist; Überprüfen jeder Nachricht in der Gruppe von Nachrichten, wenn der Bündelüberprüfungsprozess zeigt, dass die Gruppe von Nachrichten einen gültigen schwergewichtigen Authentifikator aufweist; und Bestimmen des Abstandes zwischen einem Sender und dem Empfänger und Bestimmen der dynamischen Bewegung des Senders und des Empfängers, wobei, wenn der Abstand zwischen dem Sender und dem Empfänger unter einem Schwellenwert liegt und die dynamischen Bewegungen des Senders und des Empfängers bestimmte Anforderungen erfüllen, die Nachricht unter Verwendung nur des schwergewichtigen Authentifikators authentifiziert wird, ansonsten sie unter Verwendung des leichtgewichtigen Authentifikators authentifiziert wird.
2. Verfahren nach Anspruch 1, wobei das Übertragungsprotokoll ein Protokoll auf der Basis einer Infrastruktur mit öffentlichem Schlüssel (PKI) ist.
3. Verfahren nach Anspruch 1, das ferner das Setzen einer Senderidentifikation in eine lokale Aufhebungsliste umfasst, wenn eine Nachricht mit dieser Senderidentifikation beim Bündelüberprüfungsprozess durchfällt.
4. Verfahren nach Anspruch 1, wobei der Empfänger ein Fahrzeug ist.
5. Verfahren nach Anspruch 1, wobei das Bestimmen der dynamischen Bewegung des Empfängers und des Senders die Verwendung von kinematischen Bewegungsmodellen umfasst.
6. Verfahren nach Anspruch 5, wobei die Verwendung von kinematischen Bewegungsmodellen das Betrachten der Geschwindigkeit, Beschleunigung und Fahrtrichtung des Senders, der Geschwindigkeit, Beschleunigung und Fahrtrichtung des Empfängers und des Abstandes zwischen dem Empfänger und dem Sender umfasst.

Images