-
Technisches Gebiet
-
Die vorliegende Erfindung befasst sich mit Informationssicherheit (Security), spezifischer mit der Authentizität und Vertraulichkeit einer Kommunikation in einem verteilten System. In vielen Szenarien des sogenannten „Internet der Dinge“, wie z.B. für die Heimautomatisierung oder für Sensornetzwerke, kommunizieren kleine, ressourcenbeschränkte Geräte miteinander und teilen dabei potentiell kritische Informationen über die Geräte und über Personen in ihrem Umfeld. Verstärkt sind solche Geräte auch an Aktoren angeschlossen und ermöglichen eine oft drahtlose Steuerung kritischer Funktionen, z.B. in der Heimautomatisierung von Heizungen oder Spannungsquellen oder in der Industrieautomatisierung sogar die Steuerung ganzer Fertigungen.
-
Daher ist es bedeutend, die Authentizität einer Kommunikation (also die Eigenschaft, dass sie von einem bestimmten zulässigen Gerät stammt) und die Vertraulichkeit einer Kommunikation (also die Eigenschaft, dass die Kommunikation nicht von unerwünschten Geräten abgegriffen werden kann) sicherzustellen.
-
Stand der Technik
-
Herkömmliche Ansätze zum Umgang mit Angriffen auf die Kommunikation verteilter Systeme, insbesondere zum Umgang mit Man-in-the-Middle-Angriffen, benötigen in der Regel umfangreiche Elektronik oder sind aufwendig und teuer in der Implementierung. Ein Verfahren zur Detektion und Abwehr von Man-in-the-Middle-Angriffen ist zum Beispiel der
US 2012/0185938 A1 zu entnehmen.
-
Der Einsatz von physikalischen, unklonbaren Funktionen (physical unclonable functions oder PUF) für die Authentifizierung ist zum Beispiel aus der
DE 10 2010 038703 B3 und der
DE 10 2010 041447 A1 bekannt. In den nicht vorveröffentlichten Anmeldungen
DE 10 2014 208975 A1 sowie
DE 10 2014 209042 A1 sind Verfahren für die abgesicherte Kommunikation in einem verteilten System auf Basis von Kanaleigenschaften der verbundenen Einheiten beschrieben. Die letztgenannten Verfahren gehören zu den Ansätzen, die unter dem Schlagwort Physical Layer Security untersucht und entwickelt werden und mit Hilfe derer insbesondere Schlüssel für symmetrische Verfahren automatisch auf der Grundlage physikalischer Eigenschaften der Übertragungskanäle zwischen den involvierten Knoten erzeugt werden können. Dabei nutzt man die Reziprozität und die inhärente Zufälligkeit dieser Übertragungskanäle aus.
-
Offenbarung der Erfindung
-
Die Erfindung geht aus von mindestens zwei Geräten, von denen das eine sich für eine abgesicherte Kommunikation bei dem anderen Gerät authentisieren soll. Dazu wird ein Anforderung-Antwort-Verfahren (Challenge-Response-Verfahren) vorgeschlagen, bei welchem das Gerät, das sich authentisieren möchte, eine Anforderung zumindest teilweise abhängig von physikalischen Eigenschaften eines Kommunikationskanals zwischen ihm und dem Gerät, bei dem es sich authentisieren soll, ermittelt. Das zu authentisierende Gerät ermittelt eine der Anforderung entsprechende Antwort und versendet diese.
-
Aus Sicht des Gerätes, bei dem die Authentisierung erfolgen soll, sieht das vorgeschlagene Authentisierungsverfahren vor, ebenfalls eine Anforderung zumindest teilweise abhängig von physikalischen Eigenschaften des Kommunikationskanals zu ermitteln, eine von dem zu authentisierenden Gerät auf die Anforderung hin ermittelte Antwort zu empfangen und zur Authentisierung zur überprüfen, ob die empfangene Antwort mit einer für die Anforderung erwarteten Antwort übereinstimmt.
-
Dieser Ansatz erschwert Angriffe auf die Kommunikation zwischen den Geräten, wie z.B. Man-in-the-Middle-Angriffe deutlich, da der verwendeten Anforderung von einem Angreifer kaum ermittelbare Eigenschaften des Kommunikationskanals der Geräte zugrunde liegen. Bei somit deutlich erhöhter Sicherheit der Kommunikation sind die beschriebenen Verfahren trotzdem einfach zu implementieren und auch für Geräte mit beschränkten Ressourcen (wie z.B. beschränkter Rechenleistung, beschränktem Speicher, beschränkter Energie) geeignet. Das vorgestellte Verfahren ist zudem robuster und einfacher zu verwalten, die entsprechenden Informationen sind einfacher zu verteilen.
-
Vorzugsweise empfängt das authentisierende Gerät die für die Anforderung zu erwartende Antwort, die es für die Verifizierung der Authentizität benötigt, von einem Datenbank-Server. Ein solches Verfahren mit zentraler Datenbank ist einfacher und günstiger realisierbar als typische Public-Key-Infrastrukturen (PKI), da lediglich Challenge-Response-Paare abgelegt werden müssen im Gegensatz zu Rückrufinformationen und schwarzen Listen, wie sie bei einer PKI typisch sind.
-
In besonders bevorzugten Ausführungen werden die vorgestellten Verfahren für Geräte eingesetzt, die miteinander drahtlos kommunizieren. Bei solchen Drahtlossystemen ist es besonders einfach aus dem drahtlosen Kommunikationskanal geeignete Parameter für die Erstellung eines zwischen den Geräten geteilten Geheimnisses abzuleiten, wie es für die Ermittlung der Anforderung erforderlich ist.
-
Vorzugsweise wird die Antwort in dem zu authentisierenden Gerät durch eine Messung physikalischer Eigenschaften dieses Geräts nach einer von der Anforderung abhängigen Anregung bestimmt. Dabei können insbesondere physikalische, unklonbare Funktionen eingesetzt werden. Der Vorteil derartiger Challenge-Response-Verfahren ist die erhöhte Sicherheit und der niedrigere Verwaltungsaufwand gegenüber Verfahren, bei welchen die Challenge-Response-Informationen in beiden Geräten vorliegen müssen.
-
Desweiteren können auch Challenge-Response-Mechanismen einsetzt werden, die auf einer Modellierung physikalischer, unklonbarer Funktionen (PUF) basieren. Das Modell kann für jede Anfrage (Challenge) eine Antwort (Response) generieren, die zwar aufgrund von unvollkommener Modellierung in der Regel fehlerbehaftet ist, jedoch für den Zweck des Authentisierungsverfahrens ausreichend genau erzeugt werden kann. Solche PUF-basierten Ansätze könnten noch einfacher und kostengünstiger implementiert werden.
-
Alternativ können pseudozufällige Funktionen für die Challenge-Response-Authentisierung hinzugezogen werden, insbesondere wenn das Authentisierungsverfahren zusätzlich durch eine verschlüsselte Datenübertragung abgesichert ist. Der Einsatz pseudozufälliger Funktionen erlaubt eine ganz besonders günstige Realisierung der vorgeschlagenen Challenge-Response-Authentisierung. Die Antworten auf die Anforderungen können entweder in den Geräten oder auf einem Datenbank-Server berechnet werden und die Authentisierung durch Vergleich erfolgen. Der verwendete Algorithmus muss auch nicht unbedingt geheim gehalten werden, da ein Angreifer gemäß den vorgestellten Verfahren die Informationen über die Anforderung nicht abhören kann. Dies würde eine Realsierung weiter vereinfachen.
-
In einer besonders sicheren Ausgestaltung wird die Antwort von dem zu authentisierenden Gerät an das authentisierende Gerät verschlüsselt übertragen. Insbesondere erfolgt die Verschlüsselung der Antwort mit einem in beiden Geräten vorhandenen symmetrischen Schlüssel, den die beiden Geräte jeweils aus physikalischen Eigenschaften des gemeinsamen Kommunikationskanals ermitteln. Der so erzeugte, geheime Schlüssel ist somit an die Identität des Geräts gebunden.
-
Da in dieser Ausführung somit weder die Anforderung noch die Antwort während des Authentisierungsverfahrens öffentlich werden, können Challenge-Response-Paare mehrfach verwendet werden. Es müssen somit weniger solcher Wertepaare vorgehalten werden, was die Organisation des Verfahrens vereinfacht. Das Verfahren wird dadurch zudem beschleunigt.
-
Da weder der Schlüssel noch die Anforderung von den beteiligten Geräten in nicht-flüchtigen Speichern abgelegt werden müssen, ist das Verfahren auch besonders sicher gegen Angriffe auf derart gespeicherte Informationen.
-
Insgesamt sind die vorgeschlagenen Verfahren sehr robust, da sowohl die Authentisierung als auch die optionale Verschlüsselung auf Basis von physikalischen Eigenschaften realisiert sind und nicht (allein) auf mathematischen Mechanismen beruhen. Mathematische Mechanismen beruhen auf mathematischen Konstruktionen (wie z.B. elliptischen Kurven), welche strukturelle Eigenschaften besitzen. Das Vorhandensein solcher strukturellen Eigenschaften birgt die Gefahr, dass eines Tages Algorithmen entdeckt werden, die diese mathematischen Mechanismen in polynomieller Zeit brechen (also lösen) können. Physik-basierte Mechanismen haben dagegen – in der praktischen Realisierung – keine strukturellen Eigenschaften, da Rauschen und Nichtlinearitäten das theoretische Verhalten stark verzerren. Mathematische Mechanismen könnten zudem durch die mögliche Verfügbarkeit deutlich stärkerer Rechenleistung (etwa Quantencomputer) in Zukunft angreifbarer werden.
-
Neben den vorgestellten Verfahren betrifft die Erfindung auch Computerprogramme, die diese Verfahren durchführen, sowie Geräte und Systeme, auf denen die beschriebenen Verfahren ablaufen.
-
Zeichnungen
-
Nachfolgend ist die Erfindung unter Bezugnahme auf die beiliegenden Zeichnungen und anhand von Ausführungsbeispielen näher beschrieben. Dabei zeigen
-
1 ein beispielhaftes Netzwerk mit mehreren Geräten als Teilnehmern,
-
2 schematisch einen Man-in-the-Middle-Angriff auf ein Challenge-Response-Authentisierungsverfahren,
-
3 schematisch ein Challenge-Response-Authentisierungsverfahren unter Verwendung von physikalischen Eigenschaften eines Übertragungskanals zur Ermittlung einer Anforderung (Challenge),
-
4 schematisch ein Challenge-Response-Authentisierungsverfahren unter Verwendung von physikalischen Eigenschaften eines Übertragungskanals sowohl zur Ermittlung einer Anforderung (Challenge) als auch zur Ermittlung eines geheimen Schlüssels zur Verschlüsselung einer Kommunikation und
-
5 eine schematische Erläuterung eines Fehlerkorrektur-Verfahren.
-
Beschreibung der Ausführungsbeispiele
-
Die beschriebenen Verfahren sind zur Absicherung der Kommunikation zwischen mindestens zwei Geräten einsetzbar, die untereinander vorzugsweise über drahtlose Kommunikationsverbindungen bzw. -kanäle kommunizieren. Die Geräte können dabei über Punkt-zu-Punkt-Verbindungen oder in einem Kommunikationsnetzwerk anderer Ausprägung miteinander verknüpft sein.
-
Ein möglicher Aufbau für ein Kommunikationsnetzwerk ist in 1 gezeigt. Dabei sind mehrere Geräte in einem Kommunikationsnetzwerkes miteinander verknüpft, in dem gezeigten Ausführungsbeispiel die Teilnehmer 2 bis 4 sowie das Nutzerendgerät 1. Die Teilnehmer 2 bis 4 sind insbesondere kleine, ressourcenlimitierte Sensor- oder Aktorknoten. Kontrolliert bzw. gesteuert werden können diese Teilnehmer 2 bis 4 z.B. über das ebenfalls im Netzwerk befindliches Nutzerendgerät 1. Ein solches Nutzerendgerät 1 verfügt in der Regel über deutlich mehr Ressourcen (Rechenpower, Speicherplatz, Schnittstellen, Energie) und kann beispielsweise durch ein Smartphone, einen Tablet-Computer oder ähnliche Geräte realisiert sein. Zudem kann auch ein Datenbank-Server 10 vorgesehen sein, mit dem das Nutzerendgerät 1, z.B. über das Internet 11, verbunden ist. Der Datenbank-Server 10 kann insbesondere vom Hersteller des Nutzerendgeräts 1 oder einer anderen vertrauenswürdigen Instanz bereit gestellt werden und unter anderem auch für eine Online-Unterstützung des Nutzerendgeräts 1 verwendet werden.
-
In interaktiven Angriffsszenarien mit der Möglichkeit von Man-in-the-Middle-Angriffen (auch Janusangriffe genannt) wird für verteilte Systeme wie die beispielhaft genannten Sensornetzwerke in der Heimautomatisierung das Schutzziel der Vertraulichkeit besonders bedeutend, um implementierte Authentisierungsmechanismen zu schützen, beispielsweise gegen Relay-Angriffe, Replay-Angriffe oder DoS-Angriffe (Denial-of-Service-Angriffe).
-
In solchen Szenarien kann ein Angreifer, in 1 gezeigt als böswilliger Teilnehmer 5 über das Kommunikationssystem einen Man-in-the-Middle-Angriff auf die eingesetzten Challenge-Response-Authentisierungsprotokolle durchführen, indem er z.B. einfache Replay-Angriffe ausführt, wenn Challenges mehrfach verwendet werden, oder interaktive Weiterleitungsangriffe durchführt, wenn sich ständig ändernde Challenge-Response-Paare eingesetzt werden. Bei solchen Angriffen leitet der Angreifer zum Beispiel eine an einen anderen Teilnehmer gerichtete Anforderung (Challenge) an diesen weiter, fängt dessen Antwort (Response) ab und leitet diese wiederum an den anfragenden Teilnehmer weiter. Somit kann er vortäuschen, die korrekte Antwort (Response) auf die Anforderung (Challenge) zu kennen und sich hierüber bei dem anfragenden Teilnehmer authentisieren. Selbst wenn von einem Teilnehmer am Netzwerk, z.B. von einem Nutzerendgerät, erkannt wird, dass eine Einheit versucht, eine andere zu imitieren (z.B. aufgrund übereinstimmender IDs), ist es diesem oft kaum möglich, zu entscheiden, welcher der beiden scheinbar gleichen Teilnehmer der böswillige ist.
-
2 zeigt den Ablauf eines möglichen Man-in-the-Middle-Angriffs auf ein herkömmliches Challenge-Response-Verfahren.
-
In einem ersten Schritt 201 fordert das Nutzerendgerät 1 bei dem Datenbank-Server 10 eine gültige, in der Datenbank gespeicherte Anforderung (Challenge) an. Alternativ kann das Nutzerendgerät 1 auch auf bereits vorliegende Anforderungen (Challenges) zurückgreifen. Die Verbindung zwischen Nutzerendgerät 1 und Datenbank-Server 10 ist vorzugsweise bereits mit geeigneten Verfahren abgesichert, die beiden Geräte sind gegenseitig authentisiert und die Daten werden vertraulich übertragen. Die Anforderung (Challenge) soll an den zulässigen Teilnehmer 2 des Kommunikationsnetzwerks übertragen werden, um diesen über eine korrekt berechnete Antwort (Response) authentisieren zu können. Für die Authentisierung gegenüber dem Nutzerendgerät muss die vom Teilnehmer 2 berechnete und wiederum an das Nutzerendgerät gesendete Antwort (Response) zur erhaltenen Anforderung (Challenge) passen, Anforderung (Challenge) und Antwort (Response) müssen also ein gültiges Challenge-Response-Paar bilden. Ob das der Fall ist, kann das Nutzerendgerät 1 zum Beispiel mittels einer entsprechenden Anfrage an den Datenbank-Server 10 oder anhand von auf dem Nutzerendgerät 1 gespeicherten Challenge-Response-Paaren überprüfen.
-
Für eine solche Challenge-Response-Authentisierung können zum Beispiel physikbasierte Verfahren eingesetzt werden. Dabei werden im Vorfeld mittels Messungen physikalischer Eigenschaften eines Systems Werte-Paare bestimmt, wobei jedes Werte-Paar einer Anregung des Systems und der entsprechenden Antwort des Systems entspricht. Sind die dabei zugrundeliegenden physikalischen Eigenschaften sehr schwer oder (zumindest mit realisierbarem Aufwand) gar nicht in einem nachgeahmten System nachzustellen, so dienen diese Werte-Paare quasi als Fingerabdruck des Systems, die zugrunde liegenden Eigenschaften werden oft als physikalische, unklonbare Funktionen (PUFs) bezeichnet. Die Wertepaare können als Challenge-Response-Paare für die Authentisierung des Systems eingesetzt werden. Desweiteren können auch Challenge-Response-Mechanismen einsetzt werden, die auf einer Modellierung physikalischer, unklonbarer Funktionen (PUF) basieren. Ein Modell kann für jede Anfrage (Challenge) eine Antwort (Response) generieren, die zwar aufgrund von unvollkommener Modellierung in der Regel fehlerbehaftet ist, jedoch für den Zweck des Authentisierungsverfahrens ausreichend genau erzeugt werden kann.
-
Will nun ein böswilliger Teilnehmer 5 z.B. manipulierte Daten an das Nutzerendgerät 1 senden, so muss er sich diesem gegenüber authentisieren. Dies kann über einen Man-in-the-Middle-Angriff erfolgen. Der böswillige Teilnehmer 5 verbindet sich hierzu im Schritt 202 beispielsweise mit dem Nutzerendgerät 1 und gibt sich als der zulässige Teilnehmer 2 aus. Das Nutzerendgerät 1 wird dem böswilligen Teilnehmer 5 dann wie oben beschrieben im Schritt 203 eine Anforderung (Challenge) für die Authentisierung senden. Der böswillige Teilnehmer 5 leitet diese Anforderung (Challenge) in Schritt 204 direkt an den eigentlich vorgesehen, zulässigen Teilnehmer 2 weiter und gibt sich dabei als Nutzerendgerät 1 aus. Der zulässige Teilnehmer 2 wird daraufhin die zur empfangenen Anforderung (Challenge) passende Antwort (Response) ermitteln und in Schritt 205 an den böswilligen Teilnehmer 5 senden, den er für das Nutzerendgerät 1 hält. Der böswillige Teilnehmer 5 erhält somit die korrekte Antwort (Response) auf die Anforderung (Challenge) und kann diese in Schritt 206 an das Nutzerendgerät 1 weiterleiten. Das Nutzerendgerät 1 wird die Antwort (Response) wie oben beschrieben als korrekt verifizieren, z.B. indem es in einem Schritt 207 von dem Datenbank-Server 10 die entsprechende Antwort (Response) erfragt, und wird den böswilligen Teilnehmer 5 entsprechend (d.h. als Teilnehmer 2) authentisieren. Alternativ kann das Nutzerendgerät 1 auch auf eine bereits abgespeichert Information zur Verifizierung der Antwort (Response) zurückgreifen. Im Folgenden ist nun der der böswillige Teilnehmer 5 bei dem Nutzerendgerät 1 authentisiert und kann mit diesem wie in Schritt 208 angedeutet kommunizieren. Nutzerendgerät 1 vertraut den Nachrichten des böswilligen Teilnehmers 5 aufgrund der erfolgreichen Authentisierung.
-
Um für die Kommunikation in einem verteilten System Angriffe wie den oben skizzierten Man-in-the-Middle-Angriff abwehren zu können, wird nun der Einsatz von Challenge-Response-Authentisierungsprotokollen unter Verwendung von Methoden der Physical Layer Security vorgeschlagen. Dabei wählen die Teilnehmer im Netzwerk für die gegenseitige Authentisierung auf Basis eines Challenge-Response-Verfahrens nicht eine aus einer vorgegebenen Anzahl von Anforderungen (Challenges), sondern ermitteln diese Anforderung zumindest teilweise aus physikalischen Eigenschaften des Kommunikationskanals zwischen ihnen.
-
Der beispielhafte Ablauf eines solchen Verfahrens zur Sicherstellung der Authentizität und Vertraulichkeit von kommunizierten Daten in einem verteilten System ist in 3 gezeigt.
-
In einem ersten Schritt 301 kommunizieren hierzu das Nutzerendgerät 1 und der zulässige Teilnehmer 2. Diese Kommunikation (und damit der Start des Challenge-Response-Authentisierungsverfahrens) kann durch das Nutzerendgerät 1 oder den zulässigen Teilnehmer 2 initiiert werden. Aus physikalischen Eigenschaften ihres gemeinsamen Übertragungskanals ermitteln sie nun jeweils Werte, insbesondere eine Bitfolge, die sie der jeweils ermittelten Anforderung (Challenge) zugrunde legen. Dabei werden die Reziprozität und die inhärente Zufälligkeit des Übertragungskanals zwischen den beteiligten Geräten ausgenutzt. Dies kann im Detail beispielsweise ablaufen wie im Folgenden beschrieben.
-
Die zwei Geräte schätzen eine bestimmte Anzahl von Kanalparametern, evtl. auch über die Zeit. Diese Kanalparameter werden von beiden Geräten geeignet quantisiert. Vorzugsweise folgen dann Maßnahmen zur Rausch- bzw. Fehlerreduktion, z.B. durch Verwendung von fehlerkorrigierenden Codes.
-
Mit Hilfe geeigneter Mechanismen erfolgt dann ein Abgleich der quantisierten Kanalparameter zwischen den Geräten, vorzugsweise unter Verwendung eines öffentlichen Protokolls. Dies ist oft notwendig, da aufgrund von Messungenauigkeiten, Rauschen, Interferenzen, etc. beide Geräte im Allgemeinen zunächst keine identischen Parametersätze ermittelt haben. Der Abgleich sollte dabei derart gestaltet sein, dass ein potenzieller Angreifer, der die ausgetauschten Daten mithören kann, davon nicht ohne Weiteres auf die quantisierten Kanalparameter schließen kann. Hierzu können beispielsweise Paritätsbits zwischen den Geräten ausgetauscht werden. Optional können noch eine Validierung des geteilten Geheimnisses (z.B. eine Entropieabschätzung) und eine Verbesserung des so bestimmten, geteilten Parametersatzes bzw. der geteilten Bitfolge (z.B. durch Verdichtung über Hashwert-Bildung) durchgeführt werden. Schließlich verfügen beide Geräte auf Grundlage der derart quantisierten, verarbeiteten und abgeglichenen Kanalparameter über ein geteiltes Geheimnis.
-
Dabei wird angenommen, dass ein potenzieller Angreifer einen genügend großen Abstand zu den beiden Geräten hat, in denen das geteilte Geheimnis erzeugt werden soll. Der Abstand sollte dabei mindestens in der Größenordnung der so genannten Kohärenzlänge liegen, die bei den gängigen drahtlosen Kommunikationssystemen im Bereich von wenigen Zentimetern liegt. Damit sieht der Angreifer jeweils andere (unabhängige) Übertragungskanäle zu diesen beiden Geräten und kann nicht ohne weiteres dasselbe geteilte Geheimnis rekonstruieren.
-
Als Kanalparameter kommen z.B. durch den Übertragungskanal bedingte Phasenverschiebungen, Dämpfungen sowie daraus abgeleitete Größen in Frage. Der Received Signal Strength Indicator (RSSI) stellt z.B. einen gängigen Indikator für die Empfangsfeldstärke kabelloser Kommunikationsanwendungen dar und kann für diese Zwecke herangezogen werden. Zur Ermittlung der Kanalparameter können beiden Seiten bekannte Pilotsignalfolgen zwischen den Geräten übertragen werden, welche die nötigen Kanalschätzungen erleichtern.
-
Bei den beschriebenen Verfahren wird davon ausgegangen, dass die Übertragungskanäle zwischen den Geräten ausreichende Schwankungen ihrer Kanaleigenschaften aufweisen, um daraus geeignete Kanalparameter ableiten zu können, die sich als Grundlage für eine Generierung eines geteilten Geheimnisses in den Teilnehmer eignen (insbesondere ausreichende Zufallseigenschaften aufweisen). Diese Schwankungen können dabei insbesondere sowohl im Zeit- als auch im Frequenzbereich auftreten sowie bei Mehrantennensystemen auch im räumlichen Bereich. Es wird aber auch angenommen, dass die Kanaleigenschaften über kurze Zeitspannen eine ausreichend hohe Korrelation aufweisen, dass Datenübertragungen in beide Richtungen erfolgen können, aus denen die jeweiligen Geräte trotz zeitlichen Versatzes ausreichend gleiche Kanaleigenschaften abschätzen können, um ausreichend ähnliche Kanalparameter zu erhalten, aus denen gleiche geteilte Geheimnisse erhalten werden können. Das geteilte Geheimnis kann dann entweder direkt als Anforderung (Challenge) herangezogen werden oder dieser zumindest zugrunde gelegt werden.
-
In einem Schritt 302 übermittelt der zulässige Teilnehmer 2 eine der aus den Kanaleigenschaften ermittelten Anforderung (Challenge) entsprechende Antwort (Response) an das Nutzerendgerät 1. Die Antwort (Response) wird dabei vorzugsweise über eine Messung physikalischer Eigenschaften des Teilnehmers 2, insbesondere mit Hilfe physikalischer, unklonbarer Funktionen, ermittelt.
-
Das Nutzerendgerät 1 kann die Antwort (Response) verifizieren und somit den zulässigen Teilnehmer 2 authentisieren, z.B. wiederum über eine als Schritt 303 gezeigte Anfrage an den Datenbank-Server 10. Wie im Schritt 303 gezeigt, können das Nutzerendgerät 1 und der zulässige Teilnehmer 2 nach der Authentisierung miteinander kommunizieren. Das Nutzerendgerät vertraut dabei den Nachrichten des zulässigen, authentisierten Teilnehmers 2.
-
Will sich nun ein böswilliger Teilnehmer 5 dem Nutzerendgerät 1 gegenüber als zulässiger Teilnehmer 2 ausgeben, erfasst das Nutzerendgerät die Anforderung (Challenge) auf Basis der physikalischen Eigenschaften des Kommunikationskanals zwischen ihm und dem böswilligen Teilnehmer 5. Der böswillige Teilnehmer 5 kann somit auch unter der vorgetäuschten Identität des Nutzerendgeräts 1 nicht einfach die Anforderung (Challenge) an den zulässigen Teilnehmer 2 weiterleiten, um an die korrekte Antwort (Response) zu kommen.
-
Vielmehr würde der zulässige Teilnehmer 2 bei einer Anfrage durch den böswilligen Teilnehmer 5 die Anforderung (Challenge) wiederum auf Basis der physikalischen Eigenschaften des Kommunikationskanals zwischen dem böswilligen Teilnehmer 5 und dem zulässigen Teilnehmer 2 erfassen und für dieser Anforderung (Challenge) die Antwort (Response) generieren. Da in diesem Fall aber nun die im Nutzerendgerät 1 erfasste Anforderung (Challenge) und die im zulässigen Teilnehmer 2 erfasste Anforderung (Challenge) nicht übereinstimmen (da die physikalischen Eigenschaften der unterschiedlichen Kommunikationskanäle in aller Regel abweichen), passt auch die vom zulässigen Teilnehmer 2 generierte Antwort (Response) nicht zur Anforderung (Challenge) des Nutzerendgeräts 1. Der böswillige Teilnehmer 5 kann sich somit dem Nutzerendgerät gegenüber nicht als zulässiger Teilnehmer 2 authentifizieren.
-
Noch weiter abgesichert werden kann die Kommunikation über ein zweistufiges Verfahren, wie es beispielhaft in 4 gezeigt ist und bei welchem in beiden Stufen Methoden der Physical Layer Security angewandt werden. In einer ersten Stufe ermitteln das Nutzerendgerät 1 und der zulässige Teilnehmer 2 auf Basis der physikalischen Eigenschaften des Kommunikationskanals zwischen ihnen einen gemeinsamen, symmetrischen Schlüssel, mit welchem sie die Kommunikation untereinander durch Verschlüsselung absichern. Die Schlüsselgenerierung kann dabei vom Nutzerendgerät 1 oder vom zulässigen Teilnehmer 2 initiiert werden. Hierzu kommunizieren das Nutzerendgerät 1 und der zulässige Teilnehmer 2 in einem Schritt 401 miteinander und ermitteln jeweils den gleichen Schlüssel, vorzugsweise mit den zu 3 beschriebenen Verfahren der Physical Layer Security aus einem gemeinsamen Geheimnis, das sie aus ihrem gemeinsamen Kommunikationskanal abgeleitet haben.
-
Der böswillige Teilnehmer 5 kann nicht den gleichen Schlüssel wie der zulässige Teilnehmer 2 ermitteln, da der Schlüssel von den spezifischen physikalischen Eigenschaften des Kommunikationskanals zwischen dem Nutzerendgerät 1 und dem zulässigen Teilnehmer 2 abhängt und diese Eigenschaften so ausgewählt sind, dass sie von einem Angreifer, der nicht in unmittelbarer Nähe des zulässigen Teilnehmers ist, nicht ermittelt werden können (siehe oben). Sollte der böswillige Teilnehmer 5 als Angreifer selbst mit dem Nutzerendgerät 1 eine Schlüsselgenerierung initiieren und durchführen, wäre der resultierende Schlüssel nicht identisch mit dem Schlüssel, der zwischen dem Nutzerendgerät 1 und dem zulässigen Teilnehmer 2 erstellt wurde.
-
In der zweiten Stufe wird zwischen dem Nutzerendgerät 1 und dem zulässigen Teilnehmer 2 wiederum unter Verwendung von Methoden der Physical Layer Security die Anforderung (Challenge) für eine Challenge-Response-Authentifizierung ermittelt. Hierzu kommunizieren das Nutzerendgerät 1 und der zulässige Teilnehmer 2 in Schritt 402. In einer alternativen Ausgestaltung ist auch denkbar, dass der Schlüssel für die abgesicherte Kommunikation und die Anforderung (Challenge) für die Challenge-Response-Authentisierung während der gleichen Kommunikation zwischen Nutzerendgerät 1 und dem zulässigen Teilnehmer 2 ermittelt werden.
-
Auf Basis der geteilten, geheimen Anforderung (Challenge) erstellt der zulässige Teilnehmer 2 die entsprechende Antwort (Response) (siehe oben) und übermittelt diese in Schritt 403 an Nutzerendgerät 1. Nutzerendgerät 1 authentisiert den zulässigen Teilnehmer auf Basis der Antwort (Response), z.B. durch eine Datenbank-Server-Anfrage in Schritt 404. Die folgende Kommunikation zwischen Nutzerendgerät 1 und zulässigem Teilnehmer 2 ist als Schritt 405 gezeigt.
-
Auch hier kann die Antwort (Response) des zulässigen Teilnehmers 2 nicht einfach von einem Man-in-the-Middle-Angreifer wie dem böswilligen Teilnehmer 5 zur eigenen Authentisierung mit dem Nutzerendgerät 1 verwendet werden. In dieser bevorzugten Ausführung wird die Antwort (Response) auf die Anforderung (Challenge) von dem zulässigen Teilnehmer 2 an das Nutzerendgerät 1 zudem verschlüsselt übertragen. Zudem werden vorzugsweise auch weitere Nachrichten, z.B. zum Abgleich des geteilten Geheimnisses für die Ermittlung der geteilten Anforderung (Challenge) verschlüsselt übertragen.
-
Da der Schlüssel hierzu wie oben beschrieben in der ersten Stufe mit Methoden der Physical Layer Security erstellt wurde, kennt auch diesen der Angreifer 5 nicht. Somit sind durch die doppelte Anwendung der Methoden der Physical Layer Security die Vertraulichkeit der kommunizierten Daten (Confidentiality) durch Verschlüsselung und die Authentisierung der Kommunikationsteilnehmer (Authenticity) durch Challenge-Response-Verfahren derart miteinander verknüpft, dass Man-in-the-Middle-Angriffe oder ähnliche Angriffe deutlich erschwert werden.
-
Da die zumindest teilweise aus physikalischen Eigenschaften eines Kommunikationskanals abgeleitete Anforderung (Challenge) in den beschriebenen Verfahren nicht aus einer vorbestimmten Liste von Challenge-Response-Paaren stammt, ist nicht in jedem Fall gesichert, dass es zur ermittelten Anforderung (Challenge) und der daraus abgeleiteten Antwort (Response) ein festgelegtes Challenge-Response-Paar gibt. Dieses ist aber (zumindest bei Anwendung einer PUF-Authentisierung wie oben beschrieben) nötig, um zu verifizieren, dass die Antwort (Response) auf die Anforderung (Challenge) der für das zu authentisierenden Gerät erwarteten Antwort (Response) entspricht. Diesem Problem kann begegnet werden, indem das Verfahren in einer Schleife durchgeführt, bis zu der ermittelten Anforderung (Challenge) eine entsprechende, zu erwartende Antwort (Response) bekannt ist. Zudem können durch Quantisierung und Prozessierung (z.B. durch Error Correction Codes) der physikalischen Kanaleigenschaften gemäß den oben beschriebenen Methoden zur Physical Layer Security in der Regel jeweils ermittelte Werte für die Kanaleigenschaften aus einem bestimmten Bereich auf eine gleichen Bitfolge projiziert werden. Je nach Verarbeitung der bestimmten Werte kann derart die Anzahl der möglichen Anforderungen (Challenges) und der möglichen Antworten (Responses) geeignet begrenzt werden.
-
Z.B. können Fehlerkorrekturverfahren bei der Challenge-Response-Authentisierung eingesetzt werden, um Challenge-Response-Paare z.B. mit einer Vorwärtsfehlerkorrektur (FEC) derart zu bearbeiten, dass eine endliche Zahl gültiger Challenge-Response-Paare definiert wird. Dies wird in 5 schematisch dargestellt. Dabei stellen die ungefüllten, kleinen Kreise wie z.B. 53 und 54 Ergebnisse von Messungen der physikalischen Eigenschaften nach einer Anregung eines physikalischen Systems abhängig von einer Anforderung wie oben beschrieben dar. Die kleinen, gefüllten Kreise wie z.B. 52 stellen gültige Antworten, insbesondere gültige Bitfolgen bzw. Codewörter für eine Antwort, dar. Die großen, ungefüllten Kreise wie z.B. 51 stellen den Bereich um gültige Antworten (z.B. Bereich 51 um die gültige Antwort 52) dar, aus welchem entsprechende Ergebnisse durch die Fehlerkorrektur auf die entsprechende gültige Antwort abgebildet werden (aus dem Bereich 51 z.B. auf die gültige Antwort 52). So wird z.B. ein Ergebnis 53 auf die gültige Antwort 52 abgebildet, da es sich im Bereich 51 befindet. Es kann dabei auch Ergebnisse geben, die nicht auf eine gültige Antwort abgebildet werden können, in 5 z.B. dargestellt als Ergebnis 54. Entsprechend zum beschriebenen Vorgehen können auch mögliche Werte für Anforderungen auf eine endliche Zahl gültiger Anforderungen abgebildet bzw. codiert werden.
-
Anstelle der beschriebenen PUF-Authentisierungsverfahren können für die Challenge-Response-Authentisierung insbesondere bei der oben beschrieben zweistufigen Variante auch pseudozufällige Funktionen (Pseudo Random Funktion PRF) eingesetzt werden. Da dabei sowohl die Anforderung (Challenge) als auch die Antwort (Response) über vertrauliche Kanäle übermittelt werden, aus denen ein Angreifer keine Informationen gewinnen kann, können pseudozufällige Funktionen ausreichend sicher sein. Als Pseudo-Zufallsfunktionen kommen z.B. verschlüsselte Streuwertfunktionen oder Message Authentication Codes (z.B. HMAC) in Frage. Das anfordernde Gerät benötigt in diesem Fall keine vorliegenden Challenge-Response-Paare zur Verifizierung der korrekten Antwort (Response) auch eine Anforderung (Challenge), sondern kann diese selbst mithilfe der pseudozufälligen Funktionen berechnen.
-
Eingesetzt werden können die vorgeschlagenen Authentisierungsverfahren beispielsweise in drahtlos kommunizierenden Kleinstsensoren und in Sensornetzwerken der Heimautomatisierung.
-
ZITATE ENTHALTEN IN DER BESCHREIBUNG
-
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
-
Zitierte Patentliteratur
-
- US 2012/0185938 A1 [0003]
- DE 102010038703 B3 [0004]
- DE 102010041447 A1 [0004]
- DE 102014208975 A1 [0004]
- DE 102014209042 A1 [0004]
