DE102014017618B4

DE102014017618B4 - Verfahren zur Freigabe und/oder Auslösung einer Fahrzeugfunktion eines Kraftfahrzeugs und Kraftfahrzeug

Info

Publication number: DE102014017618B4
Application number: DE102014017618.5A
Authority: DE
Inventors: Thomas Ederle; Stefan Vogel
Original assignee: Audi AG
Current assignee: Audi AG
Priority date: 2014-11-28
Filing date: 2014-11-28
Publication date: 2017-11-09
Anticipated expiration: 2034-11-29
Also published as: DE102014017618A1

Abstract

Verfahren zur Freigabe und/oder Auslösung einer Fahrzeugfunktion eines Kraftfahrzeugs, umfassend die Schritte: – Drahtloses Übertragen einer verschlüsselten Identifikationsinformation von einem tragbaren Zugangselement an eine Kommunikationseinrichtung des Kraftfahrzeugs, – Entschlüsseln der verschlüsselten Identifikationsinformation mit einem auf der Kommunikationseinrichtung gespeicherten Kommunikationseinrichtungsschlüssel durch die Kommunikationseinrichtung zur Bereitstellung einer entschlüsselten Identifikationsinformation, – Authentifizieren der Kommunikationseinrichtung gegenüber einer kraftfahrzeugseitigen Freigabeeinrichtung mit der entschlüsselten Identifikationsinformation, wobei die Authentifizierung durch ein kryptographisches Challenge-Response-Verfahren erfolgt, – Authentifizieren der Freigabeeinrichtung gegenüber einer fahrzeugseitigen Steuereinrichtung mit einer auf der Freigabeeinrichtung gespeicherten Freigabeinformation nach erfolgreicher Authentifizierung der Kommunikationseinrichtung, – Freigabe und/oder Auslösung der Fahrzeugfunktion durch die Steuereinrichtung nach erfolgreicher Authentifizierung der Freigabeeinrichtung.

Description

Die Erfindung betrifft ein Verfahren zur Freigabe und/oder Auslösung einer Fahrzeugfunktion eines Kraftfahrzeugs sowie ein zugeordnetes Kraftfahrzeug.
Zur Erhöhung eines Nutzerkomforts werden in Kraftfahrzeugen schlüssellose Zugangssysteme verwendet, bei denen eine Freigabe von Fahrzeugfunktionen, wie ein Auf- oder Abschließen des Kraftfahrzeugs oder ein Starten des Motors, dann erfolgt, wenn erfasst wird, dass sich ein Funkschlüssel oder eine andere tragbare Freigabeeinrichtung in der Nähe des Kraftfahrzeugs beziehungsweise im Kraftfahrzeug befindet. Eine Freigabe kann dann erfolgen, wenn sich die entsprechende Freigabeeinrichtung gegenüber einer Steuereinrichtung des Kraftfahrzeugs drahtlos authentifiziert.
Soll eine Nutzung eines Kraftfahrzeugs nur für ein vorgegebenes Zeitintervall möglich sein, beispielsweise im Rahmen einer Vermietung eines Kraftfahrzeugs oder eines Carsharing-Angebots, sind derartige Freigabeeinrichtungen typischerweise nicht nutzbar, da sie einen zeitlich unbegrenzten Zugang zum Kraftfahrzeug ermöglichen. Um einen zeitlich begrenzten Zugang zum Kraftfahrzeug zu ermöglichen, ist es denkbar, eine separate Kommunikationseinrichtung zu nutzen, die mit einem Zugangselement, das dem Nutzer bereitgestellt wird, kommuniziert und bei einer für das Nutzungsintervall gültigen Identifikation eine im Kraftfahrzeug integrierte Freigabeeinrichtung, also beispielsweise einen eingebauten Funkschlüssel, durch Schalten von Betriebsspannungen aktiviert. Während der Aktivierung der Freigabeeinrichtung ist somit ein normaler Betrieb des Kraftfahrzeugs möglich. Problematisch ist hierbei, dass bei einer Aktivierung der Freigabeeinrichtung Diebstahlsicherungssysteme des Kraftfahrzeugs, beispielsweise eine Wegfahrsperre, nicht aktiv sind, womit durch eine Manipulation an der Freigabeeinrichtung und/oder der Kommunikationseinrichtung eine Nutzung des Kraftfahrzeugs auch ohne ein entsprechendes Zugangselement erreicht werden kann.
Die Druckschrift US 2006/0 255 910 A1 betrifft eine Sicherheitseinrichtung für ein Kraftfahrzeug. Soll eine Maschine des Kraftfahrzeugs gestartet werden, werden ein elektronischer Schlüssel, eine Identifizierungskarte und eine Zugangsinformation des Benutzers überprüft. Sind alle Überprüfungen erfolgreich, wird eine zum Maschinenstart erforderliche Information bereitgestellt. In einer möglichen Ausführungsform wird zunächst ein verschlüsselter elektronischer Schlüssel von der Schlüsselkarte gelesen und entschlüsselt. Anschließend wird eine elektronische Signatur des Schlüssels überprüft. Ist diese Überprüfung erfolgreich, wird ein verschlüsselter Maschinenschlüssel aus einem Speicher der Sicherheitseinrichtung ausgelesen und durch den entschlüsselten elektronischen Schlüssel entschlüsselt. Mithilfe des entschlüsselten Maschinenschlüssels erfolgt eine gegenseitige Authentifizierung zwischen einer Maschinensteuerung und der Sicherheitseinrichtung.
Ein elektronisches Schlüsselsystem, das eine im verschlossenen Objekt angebrachte Einrichtung und eine tragbare Einrichtung umfasst, ist aus der Druckschrift US 2014/0 232 524 A1 bekannt. Im Rahmen eines Verfahrens zur Auslösung einer Fahrzeugfunktion wird zunächst ein elektronischer Schlüssel empfangen und dessen elektronische Signatur wird überprüft. Im Falle einer korrekten Signatur wird eine übertragene Anweisung entschlüsselt und überprüft, ob ein elektronischer Schlüssel korrekt ist. In diesem Fall wird die Anweisung, soweit sie zulässig ist, ausgeführt.
Die Druckschrift WO 2014/187 700 A1 betrifft eine Wegfahrsperre für ein Kraftfahrzeug. Ein Schlüssel kann einen Transponder umfassen, durch den eine Identifikationsinformation übertragen werden kann. Dies kann verschlüsselt erfolgen.
Ein Authentifizierungsverfahren, das für einen Fahrzeugpool genutzt wird, ist in der Druckschrift EP 2 716 510 A1 offenbart. Eine Übermittlung eines elektronischen Schlüssels für einen zukünftigen Fahrzeugzugang erfolgt über ein Authentifizierungszentrum.
Die Druckschrift DE 10 2005 053 485 A1 offenbart eine elektronische Schlüsselvorrichtung für ein Kraftfahrzeug. Durch eine Sende-/Empfangseinheit wird ein Anforderungssignal zu mehreren tragbaren Vorrichtungen gesendet. Diese antworten hierauf mit einem Antwortsignal, das durch eine CPU entschlüsselt und mit gespeicherten Inhalten verglichen wird. Bei einer Übereinstimmung wird ein Steuersignal für eine Antriebseinheit ausgegeben.
Ein System zum Steuern eines Schlüssel-Schloss-Schaltsystems ist in der Druckschrift DE 103 54 972 A1 beschrieben. Im Rahmen dieses Systems können zu übertragende Informationsdaten durch Verschlüsselungs- bzw. Entschlüsselungsverfahren geschützt werden.
Die Druckschrift DE 10 2007 032 317 A1 offenbart eine Wegfahrsperre für ein Kraftfahrzeug. Die Authentizität jedes Steuergerätes eines Wegfahrsperrenverbunds wird auf Basis eines Challenge-Response-Verfahrens überprüft, bei dem jedes authentische Steuergerät auf eine entsprechende Herausforderung mit der entsprechenden Antwort reagiert. Die Antwort wird durch ein Master-Security-Modul auf Übereinstimmung mit einer zugehörigen Referenznachricht überprüft. Stimmen die Nachrichten überein, kann die Wegfahrsperre nach Erkennung eines authentischen Fahrzeugschlüssels aufgehoben werden.
Die Druckschrift DE 696 33 165 T2 betrifft ein Sende- und Empfängersystem, das eine Vorrichtung enthält, die eine Transponderfunktion zum Rücksendens eines Antwortsignals auf Empfang eines Anforderungssignals hin aufweist. In dem Sende-Empfänger-System tauschen ein Abfragesender und ein Antwortsender Anforderungssignale und Antwortsignale aus. Der Antwortsender variiert bzw. ändert oder zerhackt das gesendete Antwortsignal.
Der Erfindung liegt die Aufgabe zugrunde, ein Verfahren zur Freigabe und/oder Auslösung einer Fahrzeugfunktion eines Kraftfahrzeugs anzugeben, das einen demgegenüber verbesserten Schutz vor einer Freigabe beziehungsweise Aktivierung bei Manipulationen von Kraftfahrzeugsystemen und somit vor einer unberechtigten Nutzung von Fahrzeugfunktionen ermöglicht.
Die Aufgabe wird erfindungsgemäß durch ein Verfahren der eingangs genannten Art gelöst, das die folgenden Schritte umfasst:

– Drahtloses Übertragen einer verschlüsselten Identifikationsinformation von einem tragbaren Zugangselement an eine Kommunikationseinrichtung des Kraftfahrzeugs,
– Entschlüsseln der verschlüsselten Identifikationsinformation mit einem auf der Kommunikationseinrichtung gespeicherten Kommunikationseinrichtungsschlüssel durch die Kommunikationseinrichtung zur Bereitstellung einer entschlüsselten Identifikationsinformation,
– Authentifizieren der Kommunikationseinrichtung gegenüber einer kraftfahrzeugseitigen Freigabeeinrichtung mit der entschlüsselten Identifikationsinformation, wobei die Authentifizierung durch ein kryptographisches Challenge-Response-Verfahren erfolgt,
– Authentifizieren der Freigabeeinrichtung gegenüber einer fahrzeugseitigen Steuereinrichtung mit einer auf der Freigabeeinrichtung gespeicherten Freigabeinformation nach erfolgreicher Authentifizierung der Kommunikationseinrichtung,
– Freigabe und/oder Auslösung der Fahrzeugfunktion durch die Steuereinrichtung nach erfolgreicher Authentifizierung der Freigabeeinrichtung.

Erfindungsgemäß wird vorgeschlagen, eine mehrstufige Authentifizierung zur Freigabe beziehungsweise Auslösung von Fahrzeugfunktionen zu nutzen, wobei das Zugangselement und die Kommunikationseinrichtung zusammenwirken, um eine Authentifizierung gegenüber der Freigabeeinrichtung zu erreichen und die Freigabeeinrichtung sich wiederum gegenüber der Steuereinrichtung authentifiziert.
Als Freigabeeinrichtung kann eine Einrichtung dienen, die im Wesentlichen baugleich zu einem üblichen Funkschlüssel eines Kraftfahrzeugs ist, wobei die Freigabeeinrichtung ausgebildet ist, drahtlos oder drahtgebunden mit der Kommunikationseinrichtung zu kommunizieren, um eine Authentifizierung der Kommunikationseinrichtung über diese Kommunikationsverbindung zu ermöglichen. Die Freigabeeinrichtung ist derart ausgebildet, beispielsweise durch eine entsprechende Programmierung, dass eine Authentifizierung der Freigabeeinrichtung gegenüber der Steuereinrichtung nur dann erfolgt, wenn vorher eine Authentifizierung der Kommunikationseinrichtung gegenüber der Freigabeeinrichtung erfolgt ist.
Eine entsprechende Authentifizierung benötigt im erfindungsgemäßen Verfahren Informationen sowohl der Kommunikationseinrichtung als auch des Zugangselements, nämlich die verschlüsselte Identifikationsinformation, die durch das tragbare Zugangselement bereitgestellt wird, und den auf der Kommunikationseinrichtung gespeicherten Kommunikationseinrichtungsschlüssel zur Entschlüsselung der Identifikationsinformation. Sind die Freigabeeinrichtung und die Steuereinrichtung für sich genommen jeweils ausreichend gegen Manipulationen geschützt, beispielsweise durch eine physikalische Verkapselung der die Freigabeinformation beziehungsweise den Kommunikationseinrichtungsschlüssel speichernden Elemente beziehungsweise ein verschlüsseltes Speichern der Freigabeinformation beziehungsweise des Kommunikationseinrichtungsschlüssels, und abgeschlossene Kommunikationsschnittstellen genutzt, die nur definierte Kommunikationsanfragen zulassen, wird durch das erfindungsgemäße Verfahren erreicht, dass eine Freigabe und/oder Auslösung der entsprechend gesicherten Fahrzeugfunktionen nur bei Kenntnis der Identifikationsinformation beziehungsweise der verschlüsselten Identifikationsinformation möglich ist.
Da die Authentifizierung der Kommunikationseinrichtung gegenüber der Freigabeeinrichtung zusätzlich vom Kommunikationseinrichtungsschlüssel abhängig ist, ist es im erfindungsgemäßen Verfahren auch nicht möglich, die Kommunikationseinrichtung zu umgehen, womit durch die Kommunikationseinrichtung Funktionen zur Begrenzung der Gültigkeitsdauer der verschlüsselten beziehungsweise der entschlüsselten Identifikationsinformation bereitgestellt werden können und ähnliches.
Bei der Kommunikationseinrichtung kann es sich beispielsweise um eine Kommunikationseinrichtung zur Verbindung mit einem Mobilfunknetz, um ein Bluetooth-Gateway oder um eine Kommunikationseinrichtung, die gemäß einem WLAN-Standard, insbesondere gemäß dem IEEE802.11p-Standard, kommuniziert, handeln. Die Kommunikationseinrichtung kann insbesondere neben den im Rahmen der Freigabe beziehungsweise der Auslösung einer Fahrzeugfunktion genutzten Funktionen weitere Kommunikationsfunktionen, beispielsweise im Rahmen einer Car2X-Kommunikation oder eines Datenaustauschs mit Bluetooth-Geräten, erfüllen.
Eine Fahrzeugfunktion kann im erfindungsgemäßen Verfahren ausgelöst werden, indem durch das Zugangselement eine entsprechende Funktionsanfrage an die Kommunikationseinrichtung übertragen wird. Die Kommunikationseinrichtung kann zusätzlich zur Authentifizierung der Kommunikationseinrichtung gegenüber der Freigabeeinrichtung eine Auslösung der entsprechenden Funktion durch die Freigabeeinrichtung bewirken. Ist die Freigabeeinrichtung beispielsweise im Wesentlichen baugleich zu einem üblichen Funkschlüssel, so umfasst die Freigabeeinrichtung Funktionen zum Auf- beziehungsweise Absperren des Kraftfahrzeugs, die nach einer erfolgreichen Authentifizierung des Zugangselements durch die Kommunikationseinrichtung und somit auch durch die Freigabeeirnichtung ausgelöst werden können. Alternativ oder ergänzend können Fahrzeugfunktionen freigegeben werden, die durch Bedienelemente des Kraftfahrzeugs selbst ausgelöst werden. Wird beispielsweise ein Start-Knopf des Kraftfahrzeugs betätigt, um einen Motor des Kraftfahrzeugs zu starten, kann die Steuereinrichtung überprüfen, ob sich die Freigabeeinrichtung gegenüber der Steuereinrichtung authentifiziert hat und die Funktion nur in diesem Fall freigeben. Das erfindungsgemäße Verfahren kann in diesem Fall durchgeführt werden, um die Freigabeeinrichtung zu aktivieren, das heißt, die Kommunikationseinrichtung gegenüber der Freigabeeinrichtung zu authentifizieren, so dass sich die Freigabeeinrichtung wiederum gegenüber der Steuereinrichtung authentifiziert und die entsprechende Fahrzeugfunktion somit frei gibt.
Vorzugsweise erfolgt eine Authentifizierung der Kommunikationseinrichtung gegenüber der Freigabeeinrichtung und somit eine Authentifizierung der Freigabeeinrichtung gegenüber der Steuereinrichtung nur, solange das Zugangselement zur Bereitstellung der verschlüsselten Identifikationsinformation bereitsteht. Somit kann die entschlüsselte Identifikationsinformation durch die Kommunikationseinrichtung nach einem vorgegebenen Zeitintervall, beispielsweise von maximal 20 Sekunden, verworfen werden und erneute Authentifizierungsvorgänge können erst dann möglich sein, wenn die verschlüsselte Identifikationsinformation erneut von dem tragbaren Zugangselement an die Kommunikationseinrichtung übertragen wurde.
Das Zugangselement kann Mittel umfassen, um einen Nutzer Hinweise beziehungsweise Informationen zu geben. Es ist daher vorteilhaft, wenn die Kommunikationseinrichtung Fahrzeugzustände des Kraftfahrzeugs, beispielsweise über einen Fahrzeugbus erfasst beziehungsweise durch eine weitere fahrzeugseitige Einrichtung Fahrzeugzustände an die Kommunikationseinrichtung bereitgestellt werden. Nach der Auslösung beziehungsweise einer Freigabe der Funktion kann durch die Kommunikationseinrichtung somit überprüft werden, ob eine Fahrzeugfunktion erfolgreich ausgeführt beziehungsweise abgeschlossen wurde und eine entsprechende Information kann an das Zugangselement übertragen werden, um die Information oder einen Hinweis an den Nutzer auszugeben.
Um die Manipulationssicherheit im erfindungsgemäßen Verfahren zu verbessern ist es vorteilhaft, für zumindest Teile der Kommunikations- beziehungsweise Authentifizierungsprozesse Beschränkungen bezüglich der Anzahl von Versuchswiederholungen beziehungsweise der Zeitintervalle, in denen eine Kommunikation beziehungsweise Authentifizierung möglich ist, vorzugeben. Entsprechende Zeitintervalle und Versuchsanzahlen können in Abhängigkeit von Komfort- und Sicherheitsanforderungen beliebig gewählt werden, vorteilhaft wird jedoch für die Kommunikation zwischen Steuereinrichtung und Freigabeeinrichtung ein bestehender Standard genutzt, wie er beispielsweise zur Authentifizierung eines entsprechenden Funkschlüssels genutzt wird.
Die Authentifizierung der Kommunikationseinrichtung gegenüber der Freigabeeinrichtung erfolgt durch ein kryptographisches Challenge-Response-Verfahren. Entsprechende Challenge-Response-Verfahren sind grundsätzlich bekannt und sollen nicht detailliert erläutert werden. Insbesondere kann eine Authentifizierung durch eine digitale Signatur auf Basis eines asymmetrischen Kryptographieverfahrens oder durch einen Nachrichtenauthentifizierungscode, der auf Basis eines symmetrischen Kryptographieverfahrens, und insbesondere unter Nutzung eines Hash-Verfahrens, generiert wurde, erfolgen. Alternativ oder ergänzend kann auch die Authentifizierung der Freigabeeinrichtung gegenüber der Steuereinrichtung durch ein kryptographisches Challenge-Response-Verfahren erfolgen.
Vorzugsweise ist die Authentifizierung der Kommunikationseinrichtung gegenüber der Freigabeeinrichtung eine beidseitige Authentifizierung, die auch eine Authentifizierung der Freigabeeinrichtung gegenüber der Kommunikationseinrichtung umfasst. Ergänzend oder alternativ kann die Authentifizierung der Freigabeeinrichtung gegenüber der Steuereinrichtung eine beidseitige Authentifizierung sein. Beidseitige Authentifizierungen verbessern insbesondere den Schutz gegenüber sogenannten Mittelsmann-Angriffen, bei denen ein Störer eine Kommunikation zwischen zwei Einrichtungen erfassen und manipulieren kann.
Vor der Authentifizierung der Kommunikationseinrichtung gegenüber der Freigabeeinrichtung kann eine Authentifizierung des Zugangselements gegenüber der Kommunikationseinrichtung durchgeführt werden, bei deren Misserfolg das Verfahren abgebrochen wird. Dies erhöht die Sicherheit des Verfahrens weiter, da in diesem Fall eine Freigabe und/oder Auslösung der Fahrzeugfunktion nur bei Nutzung des korrekten Zugangselementes erfolgt. Für die Authentifizierung kann ein kryptographisches Challenge-Response-Verfahren genutzt werden. Möglichkeiten zur Bereitstellung eines symmetrischen oder asymmetrischen Schlüssels zur Authentifizierung des Zugangselements an die Kommunikationseinrichtung werden später detailliert erläutert. Ein Abbruch des Verfahrens erfolgt insbesondere erst bei einem endgültigen Misserfolg der Authentifizierung. Je nach den konkreten Anforderungen an das Verfahren kann eine Anzahl an möglichen Versuchen zur Authentifizierung beziehungsweise ein Zeitintervall, innerhalb dem die Authentifizierung erfolgen muss, vorgegeben werden.
Vorteilhaft kann durch eine Servereinrichtung ein verschlüsselter Zugangsdatensatz zu dem Zugangselement übertragen werden, wobei ein durch eine Entschlüsselung des verschlüsselten Zugangsdatensatzes bereitgestellter entschlüsselter Zugangsdatensatz eine doppelt verschlüsselte Identifikationsinformation umfasst, aus der durch eine Entschlüsselung die verschlüsselte Identifikationsinformation gewonnen wird. Die Servereinrichtung kann durch einen Carsharing-Dienst, eine Autovermietung oder ähnliches betrieben werden. Durch die Verschlüsselung des Zugangsdatensatzes ist die Identifikationsinformation insgesamt drei Mal verschlüsselt und weitere im Zugangsdatensatz enthaltene Daten sind wenigstens einmal verschlüsselt. Da der Zugangsdatensatz auf dem Zugangselement ausschließlich in verschlüsselter Form vorliegt, kann verhindert werden, dass der Zugangsdatensatz manipuliert wird. Umfasst der Zugangsdatensatz beispielsweise Informationen über ein Zeitintervall, während dem der Zugangsdatensatz eine Freigabe beziehungsweise Auslösung der Fahrzeugfunktion ermöglichen soll, so ist diese aufgrund der Verschlüsselung im Zugangsdatensatz sowohl während der Übertragung von der Servereinrichtung auf das Zugangselement als auch während einer Speicherung auf dem Zugangselement gegen Manipulationen gesichert. Die insgesamt dreifache Verschlüsselung der Identifikationsinformation kann insbesondere genutzt werden, um zu erreichen, dass die Identifikationsinformation erst dann unverschlüsselt vorliegt, wenn die doppelt verschlüsselte Identifikationsinformation sowohl durch die Kommunikationseinrichtung als auch durch das Zugangselement verarbeitet wurde, wodurch das erfindungsgemäße Verfahren besonders manipulationssicher ist.
Der verschlüsselte Zugangsdatensatz kann durch das Zugangselement an die Kommunikationseinrichtung übertragen werden, wonach der verschlüsselte Zugangsdatensatz durch den oder einen weiteren in der Kommunikationseinrichtung gespeicherten Kommunikationseinrichtungsschlüssel durch die Kommunikationseinrichtung zur Bereitstellung des entschlüsselten Zugangsdatensatzes entschlüsselt wird. Der entschlüsselte Zugangsdatensatz liegt somit erst vor, nachdem der Zugangsdatensatz von der Servereinrichtung zu dem Zugangselement und von dem Zugangselement zu der Kommunikationseinrichtung, also zu einer kraftfahrzeugseitigen Einrichtung übertragen wurde. Durch die durchgehend verschlüsselte Übertragung des Zugangsdatensatzes von der Servereinrichtung zu der Kommunikationseinrichtung wird erreicht, dass die im Zugangsdatensatz enthaltenen Informationen sowohl gegen ein Ausspähen als auch gegen eine Manipulation gesichert sind. Hierzu wird der Zugangsdatensatz nach seiner Erzeugung durch die Servereinrichtung verschlüsselt und nach seiner Übertragung durch die Kommunikationseinrichtung entschlüsselt. Der Zugangsdatensatz kann durch ein symmetrisches Verschlüsselungsverfahren, beispielsweise das AES-Verfahren, oder durch ein asymmetrisches Verschlüsselungsverfahren, beispielsweise das RSA-Verfahren, verschlüsselt sein. Auch die im Folgenden erläuterten Verschlüsselungen beziehungsweise Entschlüsselungen können wahlweise symmetrisch oder asymmetrisch erfolgen.
Nach der Entschlüsselung des verschlüsselten Zugangsdatensatzes kann die doppelt verschlüsselte Identifikationsinformation von der Kommunikationseinrichtung an das Zugangselement übertragen werden, wonach die doppelt verschlüsselte Identifikationsinformation mit einem in dem Zugangselement gespeicherten Elementschlüssel zur Bereitstellung der verschlüsselten Identifikationsinformation entschlüsselt wird. Durch das Vorsehen einer Entschlüsselung der doppelt verschlüsselten Identifikationsinformation durch das Zugangselement ist sichergestellt, dass die Identifikationsinformation nur durch ein Zusammenwirken der Kommunikationseinrichtung und des Zugangselements aus dem Zugangsdatensatz gewonnen werden kann. Dies erhöht die Manipulationssicherheit des Verfahrens.
Gleichzeitig kann durch das Vorsehen einer doppelt verschlüsselten Identifikationsinformation, die durch das Zugangselement nur zu einer einfach verschlüsselten Identifikationsinformation entschlüsselt wird, erreicht worden, dass im Zugangselement selbst niemals die entschlüsselte Identifikationsinformation vorliegt und dass die entschlüsselte Identifikationsinformation niemals unverschlüsselt übertragen wird. Ein Angreifer, der die unverschlüsselte Identifikationsinformation gewinnen könnte, könnte die Kommunikationsverbindung zwischen der Kommunikationseinrichtung und der Freigabeeinrichtung manipulieren und eine weitere Einrichtung durch Nutzung der Identifikationsinformation gegenüber der Freigabeeinrichtung authentifizieren. Dies wird durch das beschriebene Vorgehen verhindert.
Das erfindungsgemäße Verfahren ist besonders vorteilhaft nutzbar, wenn ein Zugangsdatensatz jeweils nur eine Freigabe und/oder Auslösung einer Fahrzeugfunktion während eines bestimmten Zeitintervalls, beispielsweise während einer vertraglich vereinbarten Nutzungszeit für das Kraftfahrzeug, erlauben soll. Es ist daher vorteilhaft, wenn der Kommunikationseinrichtung ein Zeitsignal bereitgestellt wird, wobei der entschlüsselte Zugangsdatensatz eine ein zeitliches Gültigkeitsintervall beschreibende Gültigkeitsinformation umfasst, wobei nach Entschlüsselung des Zugangsdatensatzes der Zugangsdatensatz verworfen wird, wenn das Zeitsignal einen Zeitpunkt außerhalb des Gültigkeitsintervalls beschreibt. Da der Zugangsdatensatz auf dem Kommunikationsweg von der Servereinrichtung über das Zugangselement auf die Kommunikationseinrichtung durchgehend verschlüsselt ist, kann eine Manipulation der Gültigkeitsinformation verhindert werden. Um das Verfahren auch gegen Manipulationen im Kraftfahrzeug zu sichern, ist es vorteilhaft, wenn der Kommunikationseinrichtung ein Zeitsignal zugeführt wird, das durch kryptographische Verfahren, beispielsweise eine AES-Verschlüsselung, gesichert ist. Eine Manipulation des Zeitsignals während einer Übertragung zwischen einer Zeitquelle und der Kommunikationseinrichtung kann somit verhindert werden. Vorteilhaft führt die Kommunikationseinrichtung eine Plausibilitätsprüfung des Zeitsignals durch, so dass beispielsweise Replay-Attacken, die zu einer Wiederholung bestimmter Zeitsignale führen würden, erkannt werden.
Es ist möglich, dass durch die Kommunikationseinrichtung eine Entschlüsselung der verschlüsselten Identifikationsinformation beziehungsweise eine Authentifizierung gegenüber der Freigabeeinrichtung durch die Identifikationsinformation nur innerhalb eines vorgegebenen Zeitintervalls nach einer Entschlüsselung des Zugangsdatensatzes durchgeführt wird. Nach einem vorgegebenen Zeitintervall, beispielsweise 20 Sekunden, können ein entschlüsselter Zugangsdatensatz sowie die zugehörige entschlüsselte Identifikationsinformation verworfen werden und es kann somit keine Authentifizierung gegenüber der Freigabeeinrichtung mehr erfolgen, bis der Zugangsdatensatz erneut vom Zugangselement an die Kommunikationseinrichtung übertragen wird. Alternativ wäre es auch möglich, nach einem vorgegebenen Zeitintervall, beispielsweise 20 Sekunden, jeweils nur die entschlüsselte Identifikationsinformation zu verwerfen und den entschlüsselten Zugangsdatensatz erst nach Ablauf des Gültigkeitsintervalls zu verwerfen. Die Überprüfung, ob das Zeitsignal einen Zeitpunkt außerhalb des Gültigkeitsintervalls beschreibt, kann ergänzend oder alternativ auch jedes Mal dann durchgeführt werden, wenn eine verschlüsselte Identifikationsinformation entschlüsselt werden soll oder wenn eine Authentifizierung der Kommunikationseinrichtung gegenüber der Freigabeeinrichtung erfolgen soll.
Der entschlüsselte Zugangsdatensatz kann einen Datensatzschlüssel umfassen, wobei wenigstens eine nach der Entschlüsselung des entschlüsselten Zugangsdatensatzes erfolgende Datenübertragung zwischen dem Zugangselement und der Kommunikationseinrichtung durch den Datensatzschlüssel oder einen dem Datensatzschlüssel zugeordneten Paarschlüssel verschlüsselt wird. Der Paarschlüssel und der Datensatzschlüssel können insbesondere ein Schlüsselpaar eines asymmetrischen Verschlüsselungsverfahrens bilden. Da der Datensatzschlüssel von der Servereinrichtung als Teil des Zugangsdatensatzes verschlüsselt an das Zugangselement und von dort an die Kommunikationseinrichtung übertragen wird, bleibt der Datensatzschlüssel während der Datenübertragung verborgen. Somit kann auch ein Schlüssel für ein symmetrisches Verschlüsselungsverfahren, das im Rahmen einer Kommunikation zwischen der Kommunikationseinrichtung und dem Zugangselement genutzt wird, an die Kommunikationseinrichtung übertragen werden.
Durch die Übermittlung des Datensatzschlüssels an die Kommunikationseinrichtung ist es möglich, dass das Zugangselement gegenüber der Kommunikationseinrichtung, beispielsweise durch Nutzung einer digitalen Signatur oder eines Nachrichtenauthentifizierungscodes, authentifiziert wird und/oder dass die Kommunikation zwischen dem Zugangselement und der Kommunikationseinrichtung verschlüsselt abläuft, ohne dass das Zugangselement beziehungsweise dessen geheimer Schlüssel beziehungsweise ein diesem zugeordneter Schlüssel vor Empfang und Entschlüsselung des Zugangsdatensatzes kommunikationseinrichtungsseitig bekannt sind. Es kann ausreichen, wenn das Zugangselement beziehungsweise ein entsprechender Schlüssel der Servereinrichtung bekannt ist. Die entsprechende Information kann als Teil des Zugangsdatensatzes übertragen werden.
Der Zugangsdatensatz kann zudem eine Identifikationsinformation umfassen, die der Kommunikationseinrichtung, dem Zugangselement oder einem Nutzer zugeordnet sein kann. Vorzugsweise ist der Zugangsdatensatz digital signiert oder weist einen Nachrichtenauthentifizierungscode auf, so dass die Kommunikationseinrichtung überprüfen kann, ob der Zugangsdatensatz tatsächlich durch die Servereinrichtung bereitgestellt ist.
Als Zugangselement kann eine Mobilkommunikationseinrichtung, insbesondere ein Mobiltelefon oder ein Tablet-PC, oder eine NFC-Karte (near field communication; Nahfeldkommunikation) verwendet werden. Die fahrzeugseitige Kommunikationseinrichtung kann insbesondere über Bluetooth, WLAN, insbesondere IEEE802.11p, oder ein Mobilkommunikationsprotokoll, beispielsweise ein GSM-basiertes Protokoll, mit dem Zugangselement kommunizieren. Bei Nutzung einer NFC-Karte kann ein Kartenleser beziehungsweise ein NFC-Transponder als Teil der Kommunikationseinrichtung vorgesehen sein. Alternativ wäre es auch möglich, RFID-Karten als Zugangselement zu nutzen.
Neben dem erfindungsgemäßen Verfahren betrifft die Erfindung ein Kraftfahrzeug, das eine Kommunikationseinrichtung, eine Freigabeeinrichtung und eine Steuereinrichtung umfasst, die jeweils zur Teilnahme an dem erfindungsgemäßen Verfahren ausgebildet sind. Merkmale, die zum erfindungsgemäßen Verfahren erläutert sind, können mit den dort beschriebenen Vorteilen äquivalent auf das erfindungsgemäße Kraftfahrzeug übertragen werden.
Weitere Vorteile und Einzelheiten der Erfindung zeigen die folgenden Ausführungsbeispiele sowie die zugehörigen Zeichnungen. Dabei zeigen:
1 schematisch ein Ablaufdiagramm eines erfindungsgemäßen Verfahrens,
2 einen Abschnitt eines Ablaufdiagramms eines weiteren Ausführungsbeispiels des erfindungsgemäßen Verfahrens, und
3 ein erfindungsgemäßes Kraftfahrzeug.
1 zeigt ein Ablaufdiagramm eines Ausführungsbeispiels eines Verfahrens zur Auslösung einer Fahrzeugfunktion eines Kraftfahrzeugs. Die Schritte S1 bis S23 des Verfahrens sind in fünf durch gestrichelte Linien getrennten Bereichen 1, 2, 3, 4, 5 dargestellt. Schritte, die im Bereich 1 dargestellt sind, werden durch eine Servereinrichtung, Schritte, die im Bereich 2 dargestellt sind, durch ein Zugangselement, Schritte, die im Bereich 3 dargestellt sind, durch eine Kommunikationseinrichtung eines Kraftfahrzeugs, Schritte, die im Bereich 4 dargestellt sind, durch eine kraftfahrzeugseitige Freigabeeinrichtung und Schritte, die im Bereich 5 dargestellt sind, durch eine Steuereinrichtung des Kraftfahrzeugs durchgeführt.
In Schritt S1 wird durch die Servereinrichtung ein verschlüsselter Zugangsdatensatz bereitgestellt, durch den eine Auslösung einer Fahrzeugfunktion ermöglicht werden soll. Die Servereinrichtung ist einem Dienstleister zugeordnet, der Nutzern für vorbestimmte Zeiträume eine Nutzung von bestimmten Kraftfahrzeugen ermöglicht. Für die Auslösung der Fahrzeugfunktion relevante Daten werden von der Servereinrichtung in den Zugangsdatensatz übernommen und der Zugangsdatensatz wird anschließend verschlüsselt. Diese Verschlüsselung sowie die im Folgenden erläuterten Verschlüsselungen erfolgen jeweils asymmetrisch, wobei eine Verschlüsselung mit einem ersten Schlüssel erfolgt und eine Entschlüsselung mit einem zweiten zugeordneten Schlüssel. In alternativen Ausführungsformen des Verfahrens könnten die im Verfahren genutzten Verschlüsselungen jedoch vollständig oder teilweise durch symmetrische Verschlüsselungen ersetzt werden. Je nachdem, ob symmetrische oder asymmetrische Verschlüsselungen genutzt werden, können die Authentifizierungen im Verfahren insbesondere durch digitale Signaturen oder Nachrichtenauthentifizierungscodes erfolgen. Die Verschlüsselung erfolgt derart, dass eine Entschlüsselung durch einen auf der Kommunikationseinrichtung gespeicherten Kommunikationseinrichtungsschlüssel möglich ist.
Der Zugangsdatensatz umfasst eine Gültigkeitsinformation, die ein zeitliches Gültigkeitsintervall beschreibt, während dem unter Nutzung des Zugangsdatensatzes eine Fahrzeugfunktion ausgelöst werden kann, einen Datensatzschlüssel, der gemeinsam mit einem auf dem Zugangselement gespeicherten Elementschlüssel ein asymmetrisches Schlüsselpaar bildet, sowie eine doppelt verschlüsselte Identifikationsinformation, die nach zwei Entschlüsselungsvorgängen zur Authentifizierung der Kommunikationseinrichtung gegenüber der Freigabeeinrichtung nutzbar ist. Ergänzend umfasst der Zugangsdatensatz Identifikationsinformationen, die das Zugangselement, den Nutzer sowie das Kraftfahrzeug, dessen Funktion aktivierbar sein soll, bezeichnen. Die doppelt verschlüsselte Identifikationsinformation wird bereitgestellt, indem eine geheime Identifikationsinformation, die auf der Servereinrichtung bereitgestellt ist, zwei Mal asymmetrisch verschlüsselt wird. Dabei ist der Schlüssel für die erste Verschlüsselung einem auf der Kommunikationseinrichtung gespeicherten Kommunikationseinrichtungsschlüssel zugeordnet und der Schlüssel für die darauffolgende zweite Verschlüsselung einem in dem Zugangselement gespeicherten Elementschlüssel zugeordnet.
Der in Schritt S1 bereitgestellte verschlüsselte Zugangsdatensatz wird in Schritt S2 an das Zugangselement übertragen. Nach der Übertragung wird der verschlüsselte Zugangsdatensatz zunächst auf dem Zugangselement gespeichert.
Im Schritt S3 möchte der Nutzer das Zugangselement nutzen, um ein Kraftfahrzeug zu entriegeln. Alternativ könnten andere Fahrzeugfunktionen aktiviert werden. Das Zugangselement ist dabei beispielsweise ein Mobiltelefon. Durch eine Bedienangabe an dem Mobiltelefon kann eine Sperrfunktion beziehungsweise Entsperrfunktion des Kraftfahrzeugs aktiviert werden. Dies entspricht einer klassischen Sperr- beziehungsweise Entsperrfunktion eines Funkschlüssels. Zur Aktivierung dieser Funktion wird durch das Mobiltelefon eine entsprechende Aufforderung an die Kommunikationseinrichtung des Kraftfahrzeugs übertragen. Um zu verhindern, dass ein Sperren beziehungsweise Entsperren durch jeden beliebigen Nutzer möglich ist, ist hierfür eine mehrstufige Authentifizierung erforderlich. Hierzu wird der durch das Zugangselement zuvor von der Servereinrichtung empfangene und gespeicherte verschlüsselte Zugangsdatensatz an die Kommunikationseinrichtung übertragen.
In Schritt S4 wird der verschlüsselte Zugangsdatensatz durch die Kommunikationseinrichtung durch Nutzung des Kommunikationseinrichtungsschlüssels entschlüsselt, wodurch ein entschlüsselter Zugangsdatensatz bereitgestellt wird, der, wie zu Schritt S1 erläutert, eine Gültigkeitsinformation, einen Datensatzschlüssel, eine doppelt verschlüsselte Zugangsinformation sowie zusätzliche Identifikationsdaten umfasst. Die zusätzlichen Identifikationsdaten können insbesondere für Protokollfunktionen genutzt werden, um beispielsweise Nutzungsintervalle durch bestimmte Nutzer zu erfassen oder ähnliches.
In Schritt S5 wird überprüft, ob der in Schritt S3 begonnene Versuch des Auslösens einer Fahrzeugfunktion innerhalb des durch die Gültigkeitsinformation beschriebenen zeitlichen Gültigkeitsintervalls liegt. Hierzu wird aus einer sicheren Zeitquelle, die beispielsweise digital signierte Zeitinformationen bereitstellt, eine den momentanen Zeitpunkt beschreibende Zeitinformation ausgelesen und überprüft, ob diese innerhalb des Gültigkeitsintervalls liegt. Ist dies nicht der Fall, so wird der Zugangsdatensatz verworfen und das Verfahren abgebrochen. In diesem Fall ist es möglich, in einem nicht gezeigten Schritt eine Rückmeldung an das Zugangselement zu übertragen, um einen Nutzer zu informieren, dass er einen ungültigen Zugangsdatensatz nutzt.
Nach Entschlüsselung des Zugangsdatensatzes in Schritt S4 beginnt zudem ein Zeitintervall zu laufen, innerhalb dem die folgenden Schritte zur Auslösung der Fahrzeugfunktion durchgeführt werden müssen. Wird dieses Zeitintervall überschritten, so wird das Verfahren abgebrochen. Ein entsprechendes Zeitintervall kann beispielsweise 20 Sekunden lang sein.
Die Schritte S6 bis S10 dienen sowohl der Bestimmung einer einfach verschlüsselten Identifikationsinformation aus der doppelt verschlüsselten Identifikationsinformation als auch der Authentifizierung des Zugangselements gegenüber der Kommunikationseinrichtung. Hierzu wird in Schritt S6 ein verschlüsseltes Datenpaket von der Kommunikationseinrichtung an das Zugangselement übertragen, das eine durch die Kommunikationseinrichtung bestimmte Zufallszahl sowie die doppelt verschlüsselte Identifikationsinformation umfasst. Das Datenpaket wird mit dem aus dem entschlüsselten Zugangsdatensatz gewonnenen Datensatzschlüssel verschlüsselt.
In Schritt S7 wird der verschlüsselt übertragene Datensatz durch das Zugangselement mit dem Elementschlüssel entschlüsselt. Wie erläutert bilden der Elementschlüssel und der Datensatzschlüssel ein Schlüsselpaar, so dass nach Schritt S7 die zuvor durch die Kommunikationseinrichtung berechnete Zufallszahl sowie die doppelt verschlüsselte Identifikationsinformation unverschlüsselt auf dem Zugangselement vorliegen.
In Schritt S8 wird die doppelt verschlüsselte Identifikationsinformation durch den Elementschlüssel entschlüsselt, womit eine einfach verschlüsselte Identifikationsinformation bereitgestellt wird.
Die einfach verschlüsselte Identifikationsinformation sowie die in Schritt S7 bereitgestellte Zufallszahl werden anschließend durch den Elementschlüssel verschlüsselt und an die Kommunikationseinrichtung übertragen. Die übertragenen Daten werden in Schritt S10 mit dem Datensatzschlüssel entschlüsselt, womit die in Schritt S6 bestimmte Zufallszahl sowie die einfach verschlüsselte Identifikationsinformation bereitgestellt werden.
In Schritt S11 wird überprüft, ob die in Schritt S10 bereitgestellte Zufallszahl und die in Schritt S6 ursprünglich ermittelte Zufallszahl identisch sind. Dies ist dann der Fall, wenn der Datensatzschlüssel und der Elementschlüssel ein Schlüsselpaar des genutzten asymmetrischen Kryptographieverfahrens bilden. Passen diese Schlüssel nicht zueinander und entspricht das Zugangselement somit nicht jenem Zugangselement, für das der Zugangsdatensatz von der Servereinrichtung bereitgestellt wurde, stimmen diese Zufallszahlen nicht überein. In diesem Fall soll das Verfahren abgebrochen werden und in Schritt S12 wird eine entsprechende Mitteilung an einen Nutzer des Zugangselements, beispielsweise auf einer Anzeigeeinrichtung eines als Zugangselement genutzten Mobiltelefons, ausgegeben.
Für die beschriebene Authentifizierung ist es wesentlich, dass eine asymmetrische Verschlüsselung genutzt wird, so dass eine Verschlüsselung der in Schritt S6 bestimmten Zufallszahl mit dem Kommunikationseinrichtungsschlüssel und eine Verschlüsselung der gleichen Zufallszahl mit dem Elementschlüssel nicht zu einem identischen Ergebnis führen. Anderenfalls könnte eine Authentifizierung bereits dadurch vorgetäuscht werden, dass die verschlüsselte Zufallszahl identisch zurückgeschickt wird. Würde eine symmetrisches Verschlüsselungsverfahren genutzt, könnte beispielsweise ein sogenannter Nachrichtenauthentifizierungscode genutzt werden. In diesem Fall würde beispielsweise die Zufallszahl unverschlüsselt sowie ein mit einem geheimen Schlüssel verschlüsselter Hashwert der Zufallszahl übertragen. Die jeweils andere Einrichtung könnte in diesem Fall ebenfalls einen Hashwert der übertragenen Zufallszahl ermitteln und diesen mit dem eigenen Schlüssel verschlüsseln und anschließend die jeweils verschlüsselten Werte vergleichen, um eine Authentifizierung zu überprüfen.
In Schritt S13 wird die in Schritt S8 berechnete einfach verschlüsselte Identifikationsinformation durch den Kommunikationseinrichtungsschlüssel entschlüsselt und die unverschlüsselte Identifikationsinformation wird bereitgestellt. Mit dieser erfolgt in den Schritten S14 und S15 eine gegenseitige Authentifizierung zwischen der Kommunikationseinrichtung und der Freigabeeinrichtung. Dies ist insbesondere möglich, wenn die Identifikationsinformation mit einer in der Freigabeeinrichtung gespeicherten geheimen Information ein Schlüsselpaar eines asymmetrischen Verschlüsselungsverfahrens bildet. Es ist jedoch auch möglich, dass die Identifikationsinformation und die geheime Information identisch sind. In diesem Fall kann eine Authentifizierung auf Basis eines symmetrischen Kryptographieverfahrens mit der Identifikationsinformation oder einer daraus abgeleiteten Information als Schlüssel erfolgen. Die Authentifizierung kann wie zu den Schritten S6 bis S11 erläutert erfolgen, es sind jedoch auch beliebige andere Authentifizierungsverfahren nutzbar. Die Authentifizierung erfolgt gegenseitig, so dass die Kommunikationseinrichtung gegenüber der Freigabeeinrichtung authentifiziert wird und umgekehrt.
In Schritt S16 wird überprüft, ob die beidseitige Authentifizierung erfolgreich war. Ist dies nicht der Fall, so wird in Schritt S17 durch das Zugangselement ein entsprechender Hinweis an einen Nutzer ausgegeben. Bei einer erfolgreichen Authentifizierung wird in Schritt S18 eine Auslösefunktion der Freigabeeinrichtung aktiviert. Die Freigabeeinrichtung kann funktional einem Funkschlüssel eines Kraftfahrzeugs entsprechen und entsprechend können bestimmte Funktionen, insbesondere ein Ver- beziehungsweise Entriegeln von Türen des Kraftfahrzeugs, durch das Freigabeelement direkt ausgelöst werden. Hierzu wird ein Signal an die Steuereinrichtung des Kraftfahrzeugs übertragen. Die Steuereinrichtung führt eine entsprechende Funktion jedoch nur dann aus, wenn eine gegenseitige Authentifizierung zwischen dem Freigabeelement und der Steuereinrichtung, die in den Schritten S19 und S20 durchgeführt wird, erfolgreich ist. Eine Authentifizierung der Freigabeeinrichtung gegenüber der Steuereinrichtung erfolgt aufgrund einer entsprechenden Programmierung der Freigabeeinrichtung jedoch nur nach einer erfolgreichen Authentisierung der Kommunikationseinrichtung gegenüber der Freigabeeinrichtung in den Schritten S14 und S15 und somit nur bei einer Übertragung eines passenden Zugangsdatensatzes von dem passenden Zugangselement. Ist die Authentifizierung erfolgreich, so wird in Schritt S21 ein Steuereingriff durch die Steuereinrichtung ausgeführt, die entsprechende Fahrzeugsysteme zur Durchführung der Fahrzeugfunktion steuert.
In Schritt S22 wird durch die Kommunikationseinrichtung durch eine Abfrage über einen Fahrzeugbus, beispielsweise einen CAN-Bus, ermittelt, ob die Fahrzeugfunktion ausgeführt wurde. Informationen über den Erfolg beziehungsweise Misserfolg der Ausführung der Fahrzeugfunktion werden an das Zugangselement übertragen und in Schritt S23 durch das Zugangselement an den Nutzer ausgegeben.
2 zeigt einen Abschnitt eines Ablaufdiagramms eines weiteren Ausführungsbeispiels eines Verfahrens zur Freigabe einer Fahrzeugfunktion eines Kraftfahrzeugs. Der Ablauf des Verfahrens entspricht weitgehend dem in 1 gezeigten Verfahren, weshalb nur die ersten Schritte des Verfahrens gezeigt sind, wonach der weitere Ablauf des Verfahrens nahezu identisch ist. Wie bereits in 1 sind in 2 die Bereiche 1, 2, 3, 4, 5 dargestellt, die eine Durchführung der entsprechenden Schritte durch die Servereinrichtung, das Zugangselement, die Kommunikationseinrichtung, die Freigabeeinrichtung und die Steuereinrichtung anzeigen.
In Schritt S24 wird ein Zugangsdatensatz durch die Servereinrichtung bereitgestellt und verschlüsselt und in Schritt S25 an das Zugangselement übertragen. Diese beiden Schritte entsprechen den Schritten S1 und S2 in 1.
In Schritt S26 wird durch die Steuereinrichtung des Kraftfahrzeugs eine Betätigung eines Bedienelements des Kraftfahrzeugs, beispielsweise eines Startknopfes zum Starten des Motors des Kraftfahrzeugs, erfasst. Da diese Bedieneingabe eine Fahrzeugfunktion auslösen soll, die eine Freigabe durch die Freigabeeinrichtung erfordert, initiiert die Steuereinrichtung eine gegenseitige Authentifizierung zwischen der Steuereinrichtung und der Freigabeeinrichtung, die in den Schritten S27 und S28 durchgeführt wird. Da die Freigabeeinrichtung zum Zeitpunkt der Authentifizierung in den Schritten S27 und S28 nicht durch eine entsprechende gegenseitige Authentifizierung mit der Kommunikationseinrichtung aktiviert wurde, schlägt die in den Schritten S27 und S28 durchgeführte gegenseitige Authentifizierung fehl.
Aufgrund der fehlgeschlagenen gegenseitigen Authentifizierung wird eine Nachricht an die Kommunikationseinrichtung übertragen, woraufhin durch die Kommunikationseinrichtung in Schritt S29 eine Anfrage nach einer Auslöseberechtigung an das Zugangselement übertragen wird. Nach Empfang dieser Anfrage überträgt das Zugangselement in Schritt S30 den zuvor in Schritt S25 von der Servereinrichtung übertragenen Zugangsdatensatz an die Kommunikationseinrichtung. Diese entschlüsselt den Zugangsdatensatz in Schritt S31, wie zu Schritt S4 erläutert. Der weitere Verfahrensablauf entspricht den in 1 gezeigten Schritten S5 bis S23. Einziger Unterschied zum in 1 beschriebenen Verfahren ist, dass die Auslösung einer Steuerfunktion durch das Zugangselement in Schritt S18 im Verfahren gemäß 1 im Verfahren gemäß 2 nicht durchgeführt wird. Eine entsprechende Auslösung einer Funktion erfolgt mit in 2 gezeigten Verfahren bereits durch das Erfassen einer Bedieneingabe in Schritt S26.
3 zeigt ein Kraftfahrzeug 10, das zur Durchführung der mit Bezug auf 1 und 2 beschriebenen Verfahren ausgebildet ist. Beispielhaft wird die Auslösung einer Fahrzeugfunktion des Kraftfahrzeugs 10 zum Entriegeln des Türschlosses 16 der Tür 9 erläutert. Die Auslösung anderer Fahrzeugfunktionen und die Freigabe von Fahrzeugfunktionen, beispielsweise eines Startens eines Motors bei der Betätigung des Startknopfes, verläuft entsprechend.
Die Servereinrichtung 6 stellt zu einem Zeitpunkt, bevor eine Fahrzeugfunktion des Kraftfahrzeugs 10 durch den Nutzer 8 aktiviert oder freigegeben werden soll, einen verschlüsselten Zugangsdatensatz an das Zugangselement 7 bereit, das diesen speichert. Möchte der Nutzer 8 das Schloss 16 der Tür 9 des Kraftfahrzeugs 10 entriegeln, betätigt er ein Bedienelement des Zugangselements 7, worauf dieses eine Anfrage zur Entriegelung des Türschlosses 16 sowie den verschlüsselten Zugangsdatensatz, der zuvor von der Servereinrichtung 6 empfangen wurde, an das Kraftfahrzeug 10 überträgt. Die übertragenen Daten werden durch die Dachantenne 11 des Kraftfahrzeugs empfangen und an die Kommunikationseinrichtung 12 bereitgestellt.
Die Kommunikationseinrichtung 12 ist ausgebildet, den Zugangsdatensatz wie zu 1 erläutert zu entschlüsseln, in Abhängigkeit einer durch eine sichere Zeitquelle 15 bereitgestellten Zeitinformation zu ermitteln, ob der Zugangsdatensatz zum momentanen Zeitpunkt gültig ist, das Zugangselement 7 zu authentifizieren und im Zusammenspiel mit dem Zugangselement 7 die im entschlüsselten Zugangsdatensatz enthaltene doppelt verschlüsselte Identifikationsinformation zu entschlüsseln. Nach einer gegenseitigen Authentifizierung zwischen der Kommunikationseinrichtung 12 und der Freigabeeinrichtung 13 mit Hilfe der entschlüsselten Identifikationsinformation wird die Freigabeeinrichtung 13 angesteuert, um die durch den Nutzer 8 an dem Zugangselement 7 vorgegebene auszulösende Fahrzeugaktion durch Ansteuerung der Freigabeeinrichtung 13 auszulösen.
Die Freigabeeinrichtung 13 entspricht im Wesentlichen einem üblichen Funkschlüssel, wobei über herausgeführte Datenleitungen des Funkschlüssels die beschriebenen Kommunikations- und Authentifizierungsfunktionen bereitgestellt werden. Nach der Authentifizierung der Kommunikationseinrichtung 12 löst die Freigabeeinrichtung 13 durch Übertragung einer entsprechenden Anweisung an die Steuereinrichtung 14 das Öffnen des Schlosses 16 aus. Die Steuereinrichtung 14 überprüft, ob eine gegenseitige Authentifizierung mit der Freigabeeinrichtung 13 erfolgreich ist und steuert nach erfolgreicher Authentifizierung das Schloss 16 der Tür 9 an, um diese zu öffnen. Die Kommunikation zwischen der Freigabeeinrichtung 13 und der Steuereinrichtung erfolgt insbesondere drahtlos.

Claims

Verfahren zur Freigabe und/oder Auslösung einer Fahrzeugfunktion eines Kraftfahrzeugs, umfassend die Schritte: – Drahtloses Übertragen einer verschlüsselten Identifikationsinformation von einem tragbaren Zugangselement an eine Kommunikationseinrichtung des Kraftfahrzeugs, – Entschlüsseln der verschlüsselten Identifikationsinformation mit einem auf der Kommunikationseinrichtung gespeicherten Kommunikationseinrichtungsschlüssel durch die Kommunikationseinrichtung zur Bereitstellung einer entschlüsselten Identifikationsinformation, – Authentifizieren der Kommunikationseinrichtung gegenüber einer kraftfahrzeugseitigen Freigabeeinrichtung mit der entschlüsselten Identifikationsinformation, wobei die Authentifizierung durch ein kryptographisches Challenge-Response-Verfahren erfolgt, – Authentifizieren der Freigabeeinrichtung gegenüber einer fahrzeugseitigen Steuereinrichtung mit einer auf der Freigabeeinrichtung gespeicherten Freigabeinformation nach erfolgreicher Authentifizierung der Kommunikationseinrichtung, – Freigabe und/oder Auslösung der Fahrzeugfunktion durch die Steuereinrichtung nach erfolgreicher Authentifizierung der Freigabeeinrichtung.
Verfahren nach Anspruch 1, dadurch gekennzeichnet, das die Authentifizierung der Kommunikationseinrichtung gegenüber der Freigabeeinrichtung eine beidseitige Authentifizierung ist, die auch eine Authentifizierung der Freigabeeinrichtung gegenüber der Kommunikationseinrichtung umfasst.
Verfahren nach Anspruch 1 oder 2, dadurch gekennzeichnet, dass vor der Authentifizierung der Kommunikationseinrichtung gegenüber der Freigabeeinrichtung eine Authentifizierung des Zugangselements gegenüber der Kommunikationseinrichtung durchgeführt wird, bei deren Misserfolg das Verfahren abgebrochen wird.
Verfahren nach einem der vorangehenden Ansprüche, dadurch gekennzeichnet, dass durch eine Servereinrichtung ein verschlüsselter Zugangsdatensatz zu dem Zugangselement übertragen wird, wobei ein durch eine Entschlüsselung des verschlüsselten Zugangsdatensatzes bereitgestellter entschlüsselter Zugangsdatensatz eine doppelt verschlüsselte Identifikationsinformation umfasst, aus der durch eine Entschlüsselung die verschlüsselte Identifikationsinformation gewonnen wird.
Verfahren nach Anspruch 4, dadurch gekennzeichnet, dass der verschlüsselte Zugangsdatensatz durch das Zugangselement an die Kommunikationseinrichtung übertragen wird, wonach der verschlüsselte Zugangsdatensatz durch den oder einen weiteren in der Kommunikationseinrichtung gespeicherten Kommunikationseinrichtungsschlüssel durch die Kommunikationseinrichtung zur Bereitstellung des entschlüsselten Zugangsdatensatzes entschlüsselt wird.
Verfahren nach Anspruch 5, dadurch gekennzeichnet, dass nach der Entschlüsselung des verschlüsselten Zugangsdatensatzes die doppelt verschlüsselte Identifikationsinformation von der Kommunikationseinrichtung an das Zugangselement übertragen wird, wonach die doppelt verschlüsselte Identifikationsinformation mit einem in dem Zugangselement gespeicherten Elementschlüssel zur Bereitstellung der verschlüsselten Identifikationsinformation entschlüsselt wird.
Verfahren nach einem der Ansprüche 4 bis 6, dadurch gekennzeichnet, dass der Kommunikationseinrichtung ein Zeitsignal bereitgestellt wird, wobei der entschlüsselte Zugangsdatensatz eine ein zeitliches Gültigkeitsintervall beschreibende Gültigkeitsinformation umfasst, wobei nach Entschlüsselung des Zugangsdatensatzes der Zugangsdatensatz verworfen wird, wenn das Zeitsignal einen Zeitpunkt außerhalb des Gültigkeitsintervalls beschreibt.
Verfahren nach einem der Ansprüche 4 bis 7, dadurch gekennzeichnet, dass der entschlüsselte Zugangsdatensatz einen Datensatzschlüssel umfasst, wobei wenigstens eine nach der Entschlüsselung des verschlüsselten Zugangsdatensatzes erfolgende Datenübertragung zwischen dem Zugangselement und der Kommunikationseinrichtung durch den Datensatzschlüssel oder einen dem Datensatzschlüssel zugeordneten Paarschlüssel verschlüsselt wird.
Verfahren nach einem der vorangehenden Ansprüche, dadurch gekennzeichnet, dass als Zugangselement eine Mobilkommunikationseinrichtung, insbesondere ein Mobiltelefon oder ein Tablet-PC, oder eine NFC-Karte verwendet wird.
Kraftfahrzeug, dadurch gekennzeichnet, dass es eine Kommunikationseinrichtung (12), eine Freigabeeinrichtung (13) und eine Steuereinrichtung (14) umfasst, die jeweils zur Teilnahme an dem Verfahren gemäß eines der vorangehenden Ansprüche ausgebildet sind.