-
Bezugnahme auf verwandte Anmeldungen
-
Diese Anmeldung beansprucht die Priorität der US Provisional Patentanmeldung mit der Nummer
61/877,818 , eingereicht am 13. September 2013.
-
Technisches Gebiet
-
Ausführungsformen des hier beschriebenen Gegenstands betreffen im Allgemeinen fahrzeugbasierte Datenkommunikationssysteme und Netzwerke, und insbesondere betreffen Ausführungsformen des Gegenstands Verfahren und Systeme zur sicheren Kommunikation innerhalb solcher Systeme.
-
Hintergrund
-
Fahrzeuge benutzen im verstärkten Maße anspruchsvolle interne Kommunikationssystem und Netzwerke, die einen Austausch von Daten zwischen den verschiedenen Modulen und Komponenten innerhalb des Fahrzeugs erlauben. Da solche Kommunikationssysteme typischerweise einen Datenbus aufweisen, der all die Module verbindet, so dass ein Modul an dem Bus Nachrichten zu jedem anderen Modul an dem Bus senden kann, ist es wünschenswert, eine Authentifizierung von Nachrichten, die von einem Modul zu einem anderen über den Datenbus gesendet werden, bereitzustellen, um Replay-Angriffe, Dienstblockaden-Angriffe, und andere solcher Sicherheitsprobleme zu verhindern.
-
Während es wünschenswert wäre, sicherheitsrelevante Daten innerhalb der Nutzlast („payload“) jeder über den Bus übertragenen Nachricht zu übertragen (zum Beispiel in Form eines Anti-Replay-Angriffszählers), kann die Größe der für typische Nachrichten verwendeten Nutzlast solche Daten nicht aufnehmen. Beispielsweise wäre es in einem System, das eine Nachrichten-Nutzlast von 64 Bits verwendet, nicht praktikabel, einen signifikanten Anteil der Nutzlast für einen Zähler zu verwenden, der selbst 32 bis 64 Bits haben kann. Ferner ist es für Nachrichten üblich, mit einer hohen periodischen Frequenz über den Bus gesendet zu werden (zum Beispiel alle 10 ms). Ein Übertragen von zusätzlichen Daten (zum Beispiel ein 64-Bit Anti-Replay-Angriffszähler) bei dieser Rate würde die Busnutzung auf unerwünschte Weise erhöhen.
Die
WO 2013 / 128 317 A1 offenbart Maßnahmen zur Bekämpfung von Abspielfehlern.
Die Lin, C. u.a.: Cyber-Security for the Controller Area Network (CAN) Communication Protocol, University of California, Berkeley, 2012 International Conference on Cyber Security, IEEE, 2012, S. 1-7. offenbart ein Kommunikationsprotokoll.
Die
US 8 037 296 B2 offenbart eine Vorrichtung und Verfahren für zählerbasierte Kommunikation in drahtlosen Sensornetzwerken und anderen Netzwerken.
Die
US 2004 / 0 136 527 A1 offenbart ein Verfahren und Vorrichtung zur Kodierung von Sicherheitsstatusinformationen.
-
Daher besteht der Bedarf für verbesserte Systeme und Verfahren zum Bereitstellen einer sicheren Kommunikation im Kontext von Fahrzeugkommunikationssystemen.
-
Kurze Zusammenfassung
-
Ein erster Aspekt betrifft ein Verfahren zum Bereitstellen einer sicheren Kommunikation zwischen einem ersten Modul und einem zweiten Modul innerhalb eines Fahrzeugkommunikationsnetzwerks gemäß Anspruch 1.
-
Ein zweiter Aspekt betrifft ein sicheres Kommunikationssystem für ein Fahrzeug gemäß Anspruch 7.
-
Figurenliste
-
Ein umfassenderes Verständnis des Gegenstands kann durch Bezug auf die ausführliche Beschreibung und Ansprüche hergeleitet werden, wenn diese in Verbindung mit den Folgenden Figuren betrachtet werden, wobei durch die Figuren gleiche Bezugszeichen ähnliche Elemente bezeichnen.
- 1 ist ein konzeptionelles Blockdiagramm, das ein fahrzeugbasiertes Datenkommunikationssystem in Übereinstimmung mit verschiedenen Ausführungsformen zeigt;
- 2 ist eine konzeptionelle Übersicht über eine Nutzlast einer authentifizierten Nachricht in Übereinstimmung mit verschiedenen Ausführungsformen;
- 3 ist ein Flussdiagramm, das ein Verfahren in Übereinstimmung mit verschiedenen Ausführungsformen zeigt; und
- 4 ist ein Flussdiagramm, das ein Verfahren in Übereinstimmung mit verschiedenen Ausführungsformen zeigt.
-
Ausführliche Beschreibung
-
Der hier beschriebene Gegenstand betrifft im Allgemeinen die Verwendung eines Anti-Replay-Zählers in Verbindung mit der Kommunikation von authentifizierten Nachrichten zwischen Modulen an einem Bus, wobei, um die Busauslastung zu reduzieren, nur ein Teil des Zählers (zum Beispiel, n am wenigesten signifikante Bits des vollen Zählers, wobei die n kleiner als die volle Bitlänge des Zählers ist) in der Nutzlast der Nachricht vorkommt. Dieser stellt tatsächlich einen gewissen Grad von „Toleranz“ zur Synchronisierung (wie durch die Größe von n bestimmt) bereit. Die Synchronisierung kann weiterhin verbessert werden durch die Übertragung (mit einer signifikant geringeren Rate) einer Zählersynchronierungs (oder einfach „Zählersync“) -Nachricht, die den vollen Zähler aufweist, während ein vorläufiger Zähler oder „zuletzt guter Zähler“ wählweise benutzt werden, um die Authentizität der empfangenen Nachrichten zu verifizieren - zum Beispiel über den Nachrichten-Authentifizierungs-Code (MAC) der Nachrichten.
-
Die 1 ist ein konzeptionelles Blockdiagramm, das im allgemeinen Sinn, ein fahrzeugbasiertes Datenkommunikationssystem zeigt, das nützlich bei der Beschreibung verschiedener Ausführungsformen ist. Wie gezeigt wird, weist ein Fahrzeug 102 einen Datenbus 120 auf, der dazu eingerichtet ist, eine Kommunikation zwischen verschiedenen Modulen (zum Beispiel die Module 111, 112, und 113) innerhalb des Fahrzeugs 102 zu erlauben. Jedes Modul 111 bis 113 entspricht einem separaten Fahrzeugsystem, Subsystem, einer Komponente, oder dergleichen, die dazu eingerichtet ist, Nachrichten über den Bus 120 sicher zu übertragen und/oder zu empfangen. Das Fahrzeug 102 kann irgendeine Anzahl von solchen Modulen aufweisen, zum Beispiel eine Motorsteuerungseinheit (ECU) und eine Vielfalt von zusätzlichen Modulen und Subsystemen, die herkömmlicherweise mit der ECU kommunizieren.
-
Jedes Modul 111 bis 113 ist dazu eingerichtet, eine Nachricht auf dem Bus 120 zu platzieren (oder „übertragen“) und/oder den Bus 120 auf an sich selbst adressierte Nachrichten zu überwachen (das heißt, Nachrichten „empfangen“). Beispielweise kann das Modul 111 einer ECU entsprechen und kann das Modul 112 einem Getriebesteuermodul entsprechen, das dazu eingerichtet ist, auf geeignete Weise auf Nachrichten (zum Beispiel Drehmoment-bezogene Nachrichten) von dem Modul 111 zu antworten. Der Bus 120 kann jedes geeignete physikalische oder logische Mittel der Verbindung von Computersystemen und Komponenten aufweisen, einschließlich, aber nicht beschränkt auf, direkte festverdrahtete Verbindungen, Fiberoptiken, infrarote und kabellose Bustechnologien. Der Bus 120 kann jedes geeignete Fahrzeugkommunikationsprotokoll verwenden. Für Diskussionszwecke kann ein bestimmtes Modul hier als „Sender“ („Transmitter“), und ein anderes als „Empfänger“ bezeichnet werden. Es sollte jedoch gewürdigt werden, dass jedes Modul 111 bis 113 während des normalen Betriebs tatsächlich sowohl als Empfänger als auch als Sender agieren kann. In dieser Hinsicht kann jedes Modul 111 bis 113 verschiedene Prozessoren, Speichergeräte, Speichereinheiten, und dergleichen aufweisen, die dazu eingerichtet sind, wie im Stand der Technik bekannt, maschinenlesbare Softwareinstruktionen auszuführen.
-
Das Fahrzeug 102 kann (genauso wie jedes der Zielfahrzeuge und dritten Fahrzeuge) eines von einer Anzahl von unterschiedlichen Arten von Automobilen sein, wie zum Beispiel eine Limousine, ein Kombi, ein Lastkraftwagen, oder ein Geländewagen (SUV), und kann zweiradangetrieben (2WD) (das heißt, Hinterradantrieb oder Vorderradantrieb), vierradangetrieben (4WD) oder allradangetrieben (AWD) sein. Das Fahrzeug kann auch eines von, oder eine Kombination von, einer Anzahl von unterschiedlichen Typen von Antriebssystemen aufweisen, wie zum Beispiel einen Benzin- oder Diesel betankten Verbrennungsmotor, oder einen „Flex Fuel Vehicle“ (FEV) Motor (das heißt, eine Mischung aus Benzin und Ethanol verwendend), oder einen mit einer gasförmigen Verbindung (zum Beispiel Wasserstoff oder Erdgas) betankter Motor, einen Verbrennungs/Elektrischer Hybridmotor, und einen elektrischen Motor.
-
In dem Kontext einer sicheren Kommunikation einer authentifizierten Nachricht von Modul 111 zu Modul 112 über den Bus 120, benutzt das Modul 111 einen Zähler 131 (den „autorativen Zähler“), und das Modul 112 benutzt einen Zähler 132 (den „lokalen“ oder „applizierbaren“ Zähler, wie weiter unten ausführlicher diskutiert wird). Die Module 111 und 112 werden im Allgemeinen jedes einen separaten Zähler 132 für jede eindeutig identifizierte Nachricht aufweisen (was von der Art der Module selbst anhängig sein kann, wie sie im Stand der Technik bekannt ist). Im Interesse der Klarheit wird in der beispielhaften Ausführungsform nur ein solcher Zähler gezeigt.
-
Wie unten ausgeführt, sind die Zähler 131 und 132 „Anti-Replay“ in dem Sinne, dass sie dazu verwendet werden, Replay-Angriffe von schädlichen Modulen oder dergleichen, die Zugang zu dem Bus 120 haben, zu verhindern. Die Zähler 131 und 132 sind bevorzugt groß genug, sodass diese sich nicht zurücksetzen („Rollover“) und sich während der Lebenszeit des Fahrzeugs 102 nicht erschöpfen, bei gegebener Frequenz, mit der Nachrichten über den Bus gesendet werden. Nach einer Ausführungsform zum Beispiel sind die Zähler 131 und 132 jeweils 64 Bits lang. Diese Länge wird, im Allgemeinen, beispielsweise Nachrichten, die für 30 Jahre periodisch alle 10ms gesendet werden, Rechnung tragen. Nach anderen Ausführungsformen werden mehr oder weniger Bits benutzt.
-
Nun bezugnehmend auf 2 in Verbindung mit 1, zeigt 2 einen konzeptionellen Überblick einer authentifizierten Nachrichtennutzlast 200 in Übereinstimmung mit verschiedenen Ausführungsformen. Der Kürze halber kann die authentifizierte Nachrichtennutzlast 200 unten einfach als die „Nachrichtennutzlast“ oder „Nachricht“ bezeichnet werden. Wie gezeigt wird, umfasst die authentifizierte Nachrichtennutzlast 200 ein erstes Segment 202, das Sendedaten (zum Beispiel den bestimmten Befehl oder die Nachricht, die von einem Modul zu einem anderen gesendet wird) aufweist, ein zweites Segment 204 (einen „partiellen Zähler“), das nur einen Teil des Anti-Replay-Zählers (zum Beispiel den autorativen Zähler 131 von Modul 111) aufweist, und ein drittes Segment 206, das einen Nachrichtenauthentifzierungscode (MAC) aufweist (von Bit 211 bis Bit 212), der mit der Nutzlast 200 assoziiert ist.
-
In der gezeigten Ausführungsform weist das Segment 204 die n letzten signifikanten Bits (LSB) des Anti-Replay-Zählers 131 auf (von Bit 221 bis Bit 222). Der Wert n kann variieren, was von Designüberlegungen abhängig ist. Wenn der Wert von n wächst, dann wächst die effektive „Toleranz“ zur Authentifizierung (wie unten beschrieben wird), wie die Anzahl der Bits der zur Übertragung des Anti-Replay-Zählers wächst. Nach einigen Ausführungsformen liegt n zwischen 4 bis 7 Bits. Nach einigen Ausführungsformen ist n annähernd 7 bis 10 Prozent der gesamten Länge des autorativen Zählers 131.
-
Der MAC 206 weist eine kurze Folge von Bits auf, die verwendet wird, die Nutzlast 200 zu authentifizieren, und wird, wie im Stand der Technik bekannt, über einen geeigneten MAC Algorithmus erzeugt. Das MAC Algorithmus (der zum Beispiel durch Tx 111 durchgeführt wird) akzeptiert im Allgemeinen als Eingabe einen geheimen Schlüssel und eine zu authentifizierende Nachricht von beliebiger Länge (zum Beispiel die Sendedaten 202 und/oder der partielle Zähler 204), und gibt den MAC 206 aus. Der MAC 206 schützt daher sowohl die Datenintegrität der Nachricht als auch deren Authentizität, indem Verifizieren erlaubt wird (zum Beispiel Rx 112, der auch den geheimen Schlüssel besitzt), um irgendwelche Änderungen im Nachrichteninhalt zu detektieren.
-
Während des normalen Betriebs kann das oben beschriebene System wie folgt arbeiten. Zunächst wird angenommen, dass ein Modul (zum Beispiel das Modul 111) der „Sender“ ist, während ein anderes Modul (zum Beispiel das Modul 112) der „Empfänger“ ist. Die Wahrnehmung des Senders (das heißt was er denkt, das wahr ist) des Anti-Replay Zählers ist der autorative Zähler 131, während die Wahrnehmung des Empfängers von dem Anti-Replay Zähler der Zähler 132 ist. Die authentifizierte Nachrichtennutzlast 200 weist die n LSB des autorativen Zählers 131 auf. Wie offensichtlich ist, stellt ein Einschließen der n LSB des autorativen Zählers 131 in der authentifizierten Nachrichtennutzlast 200 eine Toleranz gegen Verlust bis zu 2n Nachrichten dar, während die Zählersynchronisierung mit dem Sender 111 beibehalten wird.
-
Die 3 ist ein Flussdiagramm, das ein beispielhaftes Verfahren zum Bereitstellen einer Verifizierung des MAC 204 auf eine Weise zeigt, die einen Grad von „Toleranz“ für die Synchronisation bereitstellt, wie oben erwähnt wird. Zunächst wird in Schritt 302 die authentifizierte Nachricht (200) (zum Beispiel, von Tx 111) durch Rx 112 empfangen. Daraufhin bestimmt in Schritt 304 Rx 112, ob die n LSB des empfangenen Zählers in der Nachrichtennutzlast 200 (das heißt, das Segment 204) kleiner oder gleich den n LSB des „applizierbaren Zählers“ ist. Der applizierbare Zähler wird, wie weiter unten ausführlicher beschrieben wird, variieren, in Abhängigkeit von einer gegebenen Ausführungsform, wird aber für Diskussionszwecke als der „zuletzt vorgekommene gute Zähler“ angesehen, der aus vorhergehenden erfolgreichen Authentifizierungen bekannt ist.
-
Falls die n Bits des partiellen Zählers 204, der in der Nachrichtennutzlast 200 empfangen wird, größer als die n LSB des applizierbaren Zählers ist, fährt das System mit Schritt 306 fort, und es wird ein „temporärer Zähler“ konstruiert, durch Verkettung der MSB des applizierbaren Zählers, plus eins, mit den n Bits des partiellen Zählers 204. Falls jedoch bei Verzweigung 304 die n Bits des partiellen Zählers 204 in der Nachrichtennutzlast 200 erfunden werden, weniger oder gleich zu den n LSB des applizierbaren Zählers zu sein, wird der temporäre Zähler durch Verkettung der MSB des applizierbaren Zählers mit den n Bits des partiellen Zählers 204 konstruiert.
-
Schließlich, bei Schritt 310, versucht das System den MAC 206 unter Verwendung des temporären Zählers zu verifizieren, dessen Wert variieren kann, wie oben ausführlich beschrieben wird. Auf diese Weise wird eine MAC Verifizierung auf eine Weise bereitgestellt, die eine gewisse Verfizierungstoleranz (bestimmt durch n) bereitstellt, während nur ein kleiner Zählerwert 204 periodisch über den Bus 120 gesendet werden muss.
-
Wie nun gezeigt wird, kann das in Figur umrissene Verfahren in Verbindung mit, und als ein Teil von, anderen Authentifizierungsverfahren verwendet werden. Zum Beispiel können, wie oben kurz erwähnt, nach einigen Ausführungsformen, ferner eine Synchronisierung bereitgestellt werden (zum Beispiel, wenn die bereitgestellte Toleranz erschöpft ist), durch Übertragung, bei einer signifikant niedrigeren Rate, einer Zählersynchronisierungs (oder einfach „Zählersync“) - Nachricht, die den vollen Zähler (131) aufweist, während wahlweise ein vorläufiger Zähler oder ein „zuletzter guter Zähler“ benutzt werden, um die Authentizität von empfangenen Nachrichten 200 zu verifizieren.
-
Insbesondere benutzt das System, in Übereinstimmung mit einer Ausführungsform, für jede authentifizierte, bei einer periodischen Rate gesendeten, Nachricht, eine Zählersync-Nachricht, die bei einer niedrigeren Rate übertragen wird (zum Beispiel, bei ungefähr 1/16 der vollen Rate der authentifizierten Nachrichtennutzlast) und welche den vollen autoritativen Zähler 131 in dem Nutzlastbereich aufweist. Wie gezeigt wird, stellt die Zählersync-Nachricht einen Weg dar, den Anti-Replay-Zähler zwischen dem Sender (Tx 111) und dem Empfänger (Rx 112) der Nachricht 200 synchronisiert zu halten. Ferner wird durch Senden der Zählersync-Nachricht bei einer niedrigeren Rate im Vergleich zu der Nachricht selbst, die insgesamte Einwirkung auf die Bus 120 Nutzung begrenzt.
-
Die 4 stellt ein ausführliches Flussdiagramm eines solchen Verfahrens bereit, und beginnt mit dem Empfang einer Zählersync-Nachricht (zum Beispiel einer Nachricht, deren gesamte Nutzlast den vollen Zähler 131 aufweist, ohne eine Form von MAC) (Schritt 402). Die Zählersync-Nachricht wird dann als ein „vorläufiger Zähler“ gespeichert (welchem, an diesem Punkt, nicht getraut werden kann) (Schritt 404). Als nächstes wird ein „vorläufiger-Zähler-Status“ aktiv gesetzt. Der vorläufige-Zähler-Status ist ein gespeicherter binärer Zustand (AKTIV, INAKTIV), der festlegt, ob vorher bei Schritt 404 ein vorläufiger Zähler gespeichert wurde.
-
Als nächstes, bei Schritt 408, wartet das System auf eine authentifizierte Nachricht 200, nach der das System abfragt, ob der vorläufige-Zähler-Zustand auf AKTIV gesetzt ist. Falls dies der Fall ist, fährt das Verfahren bei Schritt 414 fort, und setzt den „applizierbaren Zähler“ auf den vorläufigen Zähler. Das System versucht dann, den MAC 206 unter Verwendung des applizierbaren Zählers zu verifizieren (Schritt 416). Die MA Verifizierung kann auf eine Anzahl von Arten durchgeführt werden. Nach einer Ausführungsform kann beispielsweise das in 3 beschriebene Verfahren (welches eine Authentifizierungs-Toleranz vorsieht) an Stelle des Schritts 416 verwendet werden.
-
Falls das Verifizierungsverfahren in Schritt 416 erfolgreich ist, setzt das System den „zuletzen guten Zähler“ auf den temporären Zähler (Schritt 420), wie früher in Bezug auf 3 beschrieben wurde. Dann setzt das System den vorläufigen-Zähler-Status auf INAKTIV (Schritt 424), und fährt mit dem verifzierten MAC fort (Schritt 426). Falls, bei Schritt 426, der MAC nicht verifiziert werden konnte, fährt das System mit Schritt 422 fort und setzt den vorläufigen-Zähler-Status auf INAKTIV, effektiv die Sendedaten 202 der Nachricht ignorierend. Nach einer Alternative zu Schritt 420, in welcher der zuletzte gute Zähler auf den vorläufigen Zähler gesetzt wird, nach nur einer erfolgreichen MAC-Verifizierung, kann das System warten, bis eine vorbestimmte Anzahl von solchen Verifizierungen durchgeführt wurden (zum Beispiel, 2, 3, oder mehr erfolgreiche Verifizierungen).
-
Falls vorher bei Schritt 410 bestimmt wurde, dass der vorläufige-Zähler-Status nicht auf AKTIV gesetzt wurde, fährt das System mit Schritt 412 fort und setzt den applizierbaren Zähler auf den zuletzten guten Zähler, wonach das System versucht, den MAC zu verifizieren (Schritt 418). Wie bei Schritt 416, kann an der Stelle von Schritt 418 das Verfahren aus 3 verwendet werden. Falls der MAC verifiziert worden ist, fährt das System fort, den zuletzt guten Zähler auf den temporären Zähler zu setzen (Schritt 428), und fährt mit dem verifizierten MAC fort (Schritt 432). Falls nicht, ignoriert das System bei Schritt 439 den Inhalt der Sendedaten 202 und wartet effektiv darauf, dass der Prozess nochmal durchläuft (zum Beispiel, Empfangen einer anderen Zählersync-Nachricht und Warten auf eine entsprechende authentifizierte Nachricht).
-
Beispiele.
-
Beispiel 1. Ein Verfahren zum Bereitstellen einer sicheren Kommunikation zwischen einem ersten Modul und einem zweiten Modul innerhalb eines Fahrzeugkommunikationsnetzwerks:
- Bereitstellen, in dem ersten Modul, eines ersten Anti-Replay-Zählers;
- Bereitstellen in dem zweiten Modul, eines zweiten Anti-Replay-Zählers;
- Übertragen einer Nachricht von dem ersten Modul zu dem zweiten Modul über das Fahrzeugkommunikationsnetzwerk wobei die Nachricht einen partiellen Zähler aufweist, der nur einen Teil des Inhalts des ersten Anti-Replay-Zählers aufweist; und
- Authentifizieren der Nachricht bei dem zweiten Modul, basierend auf den partiellen Zähler.
-
Beispiel 2. Das Verfahren nach Beispiel 1, wobei der partielle Zähler die n wenigsten signifikanten Bits des ersten Anti-Replay-Zählers aufweist, wobei n größer als vier und kleiner als sieben ist.
-
Beispiel 3. Das Verfahren nach Beispiel 1, wobei n annähernd 7 bis 10 Prozent der gesamten Länge des ersten Anti-Replay-Zählers ausmacht.
-
Beispiel 4. Das Verfahren nach Beispiel 1, wobei der partielle Zähler die n wenigsten signifikanten Bits des ersten Anti-Replay-Zählers aufweist, und wobei das Authentifizieren der Nachricht basierend auf den partiellen Zähler ein Bestimmen, ob der partielle Zähler weniger oder gleich zu den n wenigsten signifikanten Bits des zweiten Anti-Replay-Zählers ist, aufweist.
-
Beispiel 5. Das Verfahren nach Beispiel 4, wobei, wenn der partielle Zähler weniger oder gleich den n wenigsten signifikanten Bits des zweiten Anti-Replay-Zählers ist, das Authentifizieren der Nachricht ein Verwenden eines temporären Zählers, der aus einem Teil des zweiten Anti-Replay-Zählers und einem Teil des partiellen Zählers konstruiert ist, und ein Versuchen, einen Nachrichten-Authentifizierungs-Code der Nachricht, basierend auf den temporären Zähler, zu verifizieren, aufweist.
-
Beispiel 6. Das Verfahren nach Beispiel 5, wobei, wenn der partielle Zähler größer als die n wenigsten signifikanten Bits des zweiten Anti-Replay-Zähler ist, das Authentifizieren der Nachricht ein Verwenden eines temporären Zählers aufweist, der aus einem inkrementierten Teil des zweiten Anti-Replay-Zählers und einem Teil des partiellen Zählers konstruiert ist, und ein Versuchen, einen Nachrichten-Authentifizierungs-Code der Nachricht basierend auf den temporären Zähler zu verifizieren, aufweist.
-
Beispiel 7. Das Verfahren nach einem der Beispiele 1 bis 6, ferner aufweisend ein periodisches Senden einer Zählersync-Nachricht, die den gesamten ersten Anti-Replay-Zähler aufweist, von dem ersten Modul zu dem zweiten Modul bei einer Rate, die wesentlich kleiner ist als die Rate, bei der die Nachricht von dem ersten Modul zu dem zweiten Modul gesendet wird.
-
Beispiel 8. Das Verfahren nach Beispiel 7, ferner aufweisend und verwendend einen vorläufigen Zähler, der auf die Zählersync-Nachricht basiert, um die Nachricht zu authentifizieren, bis eine vorbestimmte Anzahl von erfolgreichen Authentifizierungen stattgefunden hat.
-
Beispiel 9. Ein sicheres Kommunikationssystem für ein Fahrzeug, aufweisend:
- ein erstes Modul mit einem ersten Anti-Replay-Zähler, wobei das erste Modul dazu eingerichtet ist, eine Nachricht über ein Fahrzeugkommunikationsnetzwerk zu übertragen;
- ein zweites Modul mit einem zweiten Anti-Replay-Zähler, wobei das zweite Modul dazu eingerichtet ist, die Nachricht über das Fahrzeugkommunikationsnetzwerk zu empfangen;
- wobei die Nachricht einen partiellen Zähler aufweist, der nur einen Teil des Inhalts des ersten Anti-Replay Zählers aufweist; und das zweite Modul dazu eingerichtet ist, die Nachricht basierend auf den partiellen Zähler zu Authentifizieren.
-
Beispiel 10. Das System nach Beispiel 9, wobei der partielle Zähler die n wenigstens signifikanten Bits des ersten Anti-Replay Zählers aufweist, wobei n größer als vier und kleiner als sieben ist.
-
Beispiel 11. Das System nach Beispiel 9, wobei n annähernd 7 bis 10 Prozent der gesamten Länge des ersten Anti-Replay-Zählers ausmacht.
-
Beispiel 12. Das System nach Beispiel 9, wobei der partielle Zähler die n am wenigstens signifikanten Bits des Anti-Replay-Zählers aufweist, und wobei das Authentifizieren der Nachricht basierend auf den partiellen Zähler ein Bestimmen, ob der zweite Replay-Zähler kleiner oder gleich den n am wenigstens signifikanten Bits des ersten Anti-Replay-Zählers ist, aufweist.
-
Beispiel 13. Das System nach einem der Beispiele 9 bis 12, wobei das erste Modul periodisch eine Zählersync-Nachricht, die den gesamten ersten Anti-Replay-Zähler aufweist, von dem ersten Modul zu dem zweiten Modul bei einer Rate sendet, die wesentlich kleiner ist als die Rate, bei der die Nachricht von dem ersten Modul zu dem zweiten Modul gesendet wird.
-
Beispiel 14. Das System nach einem der Beispiele 9 bis 13, wobei das zweite Modul einen auf die Zählersync-Nachricht basierenden vorläufigen Zähler verwendet, um die Nachricht zu authentifizieren, bis eine vorbestimmte Anzahl von erfolgreichen Authentifizierungen stattgefunden haben.
-
Beispiel 15. Ein Modul für ein Fahrzeug, aufweisend:
- einen Prozessor;
- einen Speicher zum Speichern von maschinenlesbaren Softwareinstruktionen und eines lokalen Anti-Replay-Zählers;
- wobei der Prozessor dazu eingerichtet ist, die maschinenlesbaren Softwareinstruktionen auszuführen, um die folgenden Schritte durchzuführen:
- Empfangen einer Nachricht über ein Kommunikationsnetzwerk des Fahrzeugs von einem ersten externen Modul, wobei die Nachricht einen partiellen Zähler aufweist, der nur einen Teil des Inhalts eines bei dem ersten externen Modul gespeicherten autorativen Anti-Replay-Zählers aufweist; und
- Authentifizieren der Nachricht basierend auf den partiellen Zähler.
-
Beispiel 16. Das Modul nach Beispiel 15, wobei der partielle Zähler die n am wenigsten signifikanten Bits des autorativen Anti-Replay-Zählers aufweist, wobei n größer als vier ist und kleiner als sieben.
-
Beispiel 17. Das Modul nach Beispiel 15, wobei n annähernd 7 bis 10 Prozent der gesamten Länge des autorativen Anti-Replay-Zählers ausmacht.
-
Beispiel 18. Das Modul nach Beispiel 15, wobei der partielle Zähler die n wenigsten signifikanten Bits des autorativen Anti-Replay-Zählers aufweist, und wobei das Authentifizieren basierend auf den partiellen Zähler ein Bestimmen, ob der partielle Zähler kleiner oder gleich den n wenigsten signifikanten Bits des lokalen Anti-Replay-Zählers ist, aufweist.
-
Beispiel 19. Das Modul nach jedem der Beispiel 15 bis 18, wobei der Prozessor ferner dazu eingerichtet ist, periodisch eine Zählersync-Nachricht, die den gesamten ersten autorativen Anti-Replay-Zähler aufweist, von dem ersten externen Modul bei einer Rate zu empfangen, die wesentlich kleiner ist als die Rate, bei der die Nachricht empfangen wird.
-
Beispiel 20. Das Modul nach Beispiel 19, wobei der Prozessor ferner dazu eingerichtet ist, einen vorläufigen Zähler zu verwenden, der auf die Zählersync-Nachricht basiert, um die Nachricht zu authentifizieren, bis eine Anzahl von erfolgreichen Authentifizierungen stattgefunden hat.
-
Zusammenfassend beschreiben das Vorhergehende die Verwendung eines Anti-Replay-Zählers in Verbindung mit einer Kommunikation von authentifizierten Nachrichten zwischen Modulen an einem Bus, wobei um die Busnutzung zu reduzieren, nur ein Teil des Zählers in der Nutzlast der Nachricht eingeschlossen ist. Es wird ferner durch die Übertragung (bei einer wesentlich niedrigeren Rate) einer Zählersynchronisierungsnachricht eine Synchronisierung bereitgestellt, während ein vorläufiger Zäher selektiv benutzt wird, um die Authentizität der empfangenen Nachrichten temporär zu verifizieren.
-
Während in der vorhergehenden ausführlichen Beschreibung wenigstens eine beispielhafte Ausführungsform gezeigt wurde, sollte gewürdigt werden, dass eine große Anzahl von Variationen existiert. Es sollte auch gewürdigt werden, dass die beispielhafte Ausführungsform oder die beispielhaften Ausführungsformen nur Beispiele sind, und nicht dazu vorgesehen sind, den Umfang, die Anwendbarkeit oder die Konfiguration der Offenbarung in irgendeiner Weise zu begrenzen. Stattdessen wird die vorhergehende ausführlich Beschreibung einem Fachmann mit einer bequemen Anleitung zum Implementieren der beispielhaften Ausführungsform oder der beispielhaften Ausführungsformen ausstatten. Es sollte verstanden werden, dass in der Funktion und der Anordnung der Elemente verschiedene Änderungen vorgenommen werden können, ohne von dem Rahmen und der Offenbarung, wie sie in den anhängenden Ansprüchen und deren rechtlichen Äquivalente dargestellt werden, abzuweichen. Daher sollten Einzelheiten der beispielhaften Ausführungsformen oder anderer oben beschriebener Einschränkungen in Abwesenheit einer klaren gegenteiligen Intension nicht in die Ansprüche hineingelesen werden.
