-
Die vorliegende Erfindung betrifft ein Netzwerksystem und Verfahren zur Überprüfung der Funktionsfähigkeit einer Cloudbasierten Steuerungsfunktion sowie ein zugehöriges Computerprogramm(Produkt).
-
Hintergrund der Erfindung
-
Es besteht der Wunsch, dass die Netzinfrastrukturen deutlich schneller werden und die Kommunikation praktisch komplett ohne Verzögerungen ablaufen soll. In Zukunft werden nicht nur Menschen mit einem Handy in der Hand kommunizieren, sondern auch Gegenstände: selbstfahrende Autos, kluge Thermostate, Roboter, Herzschrittmacher, Komponenten bzw. Geräte sowie Werkstücke in Industriellen Anlagen. Mobilfunknetze der 5. Generation (5G) und höher sollen die Technologie für das Internet der Zukunft werden. Dies gilt auch für vernetzte, „mitdenkende“ Industriehallen (Industrie 4.0, Industrial Internet of Things).
-
Die Sicherheit innerhalb solch einer Netzwerkinfrastruktur sowie das Verhindern von absichtlichen Angriffen spielt eine zunehmend wichtigere Rolle. Bei einer erfolgreichen Manipulation kann es zu einer Fehlfunktion in Steuerungsfunktionen der oben genannten Gegenstände kommen. Daher besteht ein Bedarf, die Integrität von Steuerungsfunktionen insbesondere für ein autonomes oder assistiertes Fahren und für Cloudbasierte Robotersteuerung (Cloud Robotics) zu schützen.
-
Durch kryptographische Schutzfunktionen können Ziele wie Integrität, Vertraulichkeit oder Authentizität der Datenübertragung von Gegenständen erreicht werden. Dadurch werden absichtliche, zielgerichtete Angriffe auf die Datenübertragung abgewehrt.
-
Der Begriff „Sicherheit“ bezieht sich im Wesentlichen auf die Sicherheit, Vertraulichkeit und/oder Integrität von Daten sowie deren Übertragung und auch Sicherheit, Vertraulichkeit und/oder Integrität beim Zugriff auf entsprechende Daten. Auch die Authentifizierung bei Datenübertragungen beziehungsweise beim Datenzugriff gehört unter anderem zum Begriff „Sicherheit. Unter einer kryptografischen Funktionalität wird allgemein beispielsweise eine Funktion zur Verschlüsselung, zum Schutz der Vertraulichkeit, zum Integritätsschutz und/oder zur Authentifikation von Daten (z.B. Nutzerdaten, Steuerdaten, Konfigurationsdaten oder administrative Daten) und/oder der Authentifikation von Nutzern oder Gegenständen verstanden. Die kryptografische Schutzfunktionalität kann dabei beispielsweise eine oder mehrere der nachfolgend aufgeführten Funktionalitäten umfassen:
- - Schlüsselspeicherung
- - System- und/oder Nutzer-Authentisierung
- - Attestierung
- - Verschlüsselung
- - Entschlüsselung
- - Berechnen einer kryptografischen Prüfsumme (z.B. Nachrichtenauthentifizierungscode oder digitale Signatur)
- - Prüfen einer kryptografischen Prüfsumme (z.B. Nachrichtenauthentifizierungscode oder digitale Signatur)
- - Schlüssel vereinbarung
- - Schlüsselerzeugung
- - Erzeugen von Zufallszahlen (z.B. Seed-Generierung)
- - Lizenzierung
- - Unterstützung von systemischen Überwachungsfunktionen (z.B. Tamper-Schutz, Systemintegrität, Security Incident and Event Management SIEM)
- - Überwachen oder Überwachung von Daten
- - Validierung von Daten
- - Filterung von Daten
-
Die aufgezählten kryptografischen Funktionalitäten können dabei jeweils wieder mit anderen/weiteren Verfahren oder Kombinationen dieser Verfahren ausgeführt sein.
-
Eine Datenschnittstelle zur Datenübertragung bzw. Kommunikation zwischen den genannten Gegenständen und ggf. Servern kann beispielsweise eine drahtgebundene oder drahtlose Schnittstelle (z.B. Mobilfunkschnittstelle (GSM, UMTS, LTE, 5G und höher), eine WLAN-, eine Bluetooth-, ZigBee- (insbesondere eingesetzt in der Haustechnik) oder eine NFC-Schnittstelle (NFC: Near Field Communication)) sein. Dabei kann die Datenschnittstelle als eine serielle oder parallele Datenschnittstelle ausgebildet und eingerichtet sein. Die Kommunikation zwischen den Geräten und Servern ist nicht auf eine Punkt-zu-Punkt(Peer)-Kommunikation limitiert. Es sind auch Gruppenkommunikation, Broadcast-Nachrichten oder Publish/Subscribe Kommunikationsmuster denkbar.
-
Auf einem Fahrzeugbus z.B. CAN-Bus wird die Steuerungskommunikation auf einem Fahrzeugbus gegen Manipulation kryptographisch geschützt. Dieser Schutz bezieht sich jedoch auf einzelne Datenpakete, nicht auf eine Steuerungsfunktionalität.
-
Aus der Publikation Stefan Berger, Kenneth Goldman, Dimitrios Pendarakis, David Safford, Enriquillo Valdez, Mimi Zohar: Scalable Attestation: A Step toward Secure and Trusted Clouds, IEEE Cloud Computing 2015 vol. 2 Issue No. 05 - Sept.-Oct., https://www.computer.org/csdl/mags/cd/2015/05/mcd2015050010-abs.html ist eine Bestätigung der Integrität eines Cloud-Servers auf mehreren Ebenen bekannt (infrastructure, integrity, guest virtual machine integrity, application integrity). Dabei kann jeweils ein Trusted Platform Modul (TPM) eine Attestierung zur Bestätigung des Softwarestands bereitstellen. Es ist auch möglich, das Open Attestation Open-Source-Projekt einzusetzen, bei dem ein zentraler Server die TPM-Messungen mehrerer Clients auswertet.
-
Angriffe gegen PKWs sind möglich, bei denen das Bremssystem bzw. die Lenkung manipuliert wird. Aus
https://www.wired.com/2016/08/jeep-hackers-return-high-speedsteering-acceleration-hacks/ ist bekannt, dass Steuerungsfunktionen auf einem Fahrzeug lokal realisiert sein können (insbesondere in Steuergeräten ECUs) oder in einer Cloud. Hierzu gibt es beispielsweise mehrere Publikationen zu „Cloud Robotics and Automation“,
http://goldberg.berkeley.edu/cloud-robotics/ , https://en.wikipedia.org/wiki/Cloud_robotics , http://goldberg.berkeley.edu/pubs/T-ASE-Cloud-RA-Survey-Paper-Final-2015.pdf ).
-
Auch ein Edge Computing im Umfeld von 5G-Mobilfunk soll künftig Steuerungsfunktionen in autonomen Systemen realisieren (https://www.ericsson.com/res/thecompany/docs/publications/er icsson_review/2016/etr-5g-cloud-robotics.pdf ).
-
Assistenzfunktionen eines Fahrzeugs werden durch Steuergeräte realisiert. Ob eine bestimmte Funktionalität verfügbar ist, kann durch das verbaute spezifische Steuergerät vorgegeben sein, oder es kann eine entsprechende Funktionalität in Software auf einem Steuergerät installiert oder freigeschaltet sein (z.B. bei End-Of-Line-Programmierung im Werk entsprechend der bestellten Ausstattungsvariante).
-
Es ist Aufgabe der Erfindung, die Sicherheits- bzw. Schutzmaßnahmen für eine Steuerungsfunktion zu verbessern.
-
Darstellung der Erfindung
-
Diese Aufgabe wird durch die unabhängigen Patentansprüche gelöst. Vorteilhafte Weiterbildungen sind Gegenstand der abhängigen Ansprüche.
-
Die Erfindung beansprucht ein System bzw. Anordnung, vorzugsweise ein Netzwerksystem bzw. Netzwerkanordnung aufweisend:
- - eine Netzwerkinfrastruktur mit wenigstens einer an diese koppelbaren Steuerungsfunktion, welche Steuerinformationen mit mindestens einem Gerät austauschen kann,
- - gekennzeichnet durch wenigstens eine mit der Netzwerk-infrastruktur koppelbare Überprüfungsfunktion zur Überprüfung der Funktionsfähigkeit der Steuerungsfunktion, wobei
- - die Überprüfungsfunktion zumindest eine Freigabefunktion aufweist, die dazu ausgelegt ist, im Falle eines von der Überprüfungsfunktion erkannten Fehlens der Funktionsfähigkeit und/oder einer fehlerhaften Funktionsfähigkeit eine Widerrufsinformation bereitzustellen, welche zu einem Widerruf einer Freigabe einer Aktivierung und/oder einer Ausführung der Steuerungsfunktion führt.
-
Die Netzwerkinfrastruktur kann ein kabelgebundenes oder Funk-Übertragungsnetzwerk sein, innerhalb der genannten Funktionen beispielsweise in Servern organisiert sein können. Von Server- bzw. Cloud-Anbietern können Speicherplatz und Clouddienste zur Verfügung gestellt werden. Die Überprüfungsfunktion kann Überwachungs- und/oder Detektions- und/oder Analysefunktionen umfassen, welche netzwerkseitig bzw. cloudseitig implementiert sein können. Die Aufgaben- und (Teil-)funktionen der Überprüfungsfunktion können auch verteilt in einer oder mehrerer Clouds und in einem Gerät implementiert sein oder auch vollständig in einem Gerät implementiert sein.
-
Eine fehlerhafte Funktionsfähigkeit umfasst auch eine Beeinträchtigung bzw. Einschränkung der Funktionsfähigkeit.
-
Die Überprüfung der Funktionsfähigkeit kann kontinuierlich bzw. dauerhaft und/oder einmalig ausgeführt werden. Sie kann dann die Widerrufsinformation bereitstellen, welche direkt einen Widerruf hervorrufen oder einen Widerruf einleiten kann. Dabei kann die Widerrufsinformation zu einem Widerruf einer ggf. bereits laufenden Ausführung der Steuerungsfunktion einmalig oder temporär oder dauerhaft führen.
-
Die Widerufsinformation kann auch eine Nichtwiderrufsinformation sein, d.h. eine Art Positivbestätigung, dass die Steuerungsfunktion nicht widerrufen ist.
-
Geräte können beispielsweise Fahrzeuge, führerlose Transportsysteme, Roboter, Testgeräte oder andere Komponenten einer industriellen Anlage sein.
-
Die Steuerungsfunktion kann sicherheitsrelevante Maßnahmen umfassen, wie z.B. ein Anhalten eines Fahrzeugs oder Roboters bevor eine Kollision eintritt. Es können durch die Steuerungsfunktion auch Steuerinformationen hinsichtlich von Software- bzw. Hardwareversionen auf den Geräten und in Knoten/Server der Netzwerkinfrastruktur geliefert werden, um die Kompatibilität und vollständige Funktionalität der Versionen zu gewährleisten.
-
Erfindungsgemäß werden die Sicherheits- bzw. Schutzmaßnahmen für eine Steuerungsfunktion sichergestellt. Die Erfindung auch als eine Art Safety Watchdog (Sicherheitsüberwachung) für eine Netzwerkinfrastruktur, die als ein verteiltes Cloud Robotics System (siehe nachstehendes Ausführungsbeispiel) verstanden werden. Damit können sicherheitskritische „Fehlfunktionen“ gesichert und in einer Ausführungsform manipulationsgeschützt verhindert werden.
-
Die Erfindung zeichnet sich zudem dadurch aus, dass die Aktivierung eines nicht freigegebenen Versionsstands einer Steuerungsfunktion zuverlässig und ggf. manipulationsgeschützt verhindert wird. Dabei wird insbesondere die Kompatibilität der Geräteseitige und netzwerkseitigen Funktionalitätsversionsstände sichergestellt.
-
Eine Weiterbildung der Erfindung sieht ein mit einer Netzwerk-Infrastruktur in Verbindung stehendes und mit der Steuerungsfunktion steuerbares Testgerät vor, welches dazu ausgelegt ist, die Funktionsfähigkeit des mindestens einen Gerätes zu überwachen und diese der Netzwerk-Infrastruktur für die Steuerungsfunktion zu attestieren. Das Testgerät kann entsprechende Überwachungsinformation hinsichtlich der Funktionsfähigkeit eines oder mehrerer Geräte liefern. Das Testgerät kann die empfangene Steuerinformation tatsächlich ausführen (physikalisch) oder simulieren (virtuell).
-
Eine Weiterbildung der Erfindung sieht vor, dass die Widerrufsinformation dann bereitgestellt werden kann, wenn eine kryptographisch schützbare Sperrinformation vorliegt oder eine erwartete kryptographisch schützbare Freigabeinformation ausbleibt.
-
Eine Weiterbildung der Erfindung sieht vor, dass die Freigabe- und/oder Sperrinformation vorgebbar oder durch die Überprüfungsfunktion ermittelbar ist.
-
Eine Weiterbildung der Erfindung sieht vor, dass die Überprüfung der Funktionsfähigkeit der Steuerungsfunktion eine kryptographisch schützbare Integritätsprüfung umfasst.
-
Eine Weiterbildung der Erfindung sieht vor, dass eine Cloudverarbeitungsstelle innerhalb der Netzwerkinfrastruktur angeordnet und dazu ausgebildet ist, die von der Steuerungsfunktion angewiesenen Arbeitsschritte des mindestens einen Gerätes zu verarbeiten und/oder anzuhalten und/oder zu beenden, wobei die Cloudverarbeitungsstelle die von der Freigabefunktion bereitgestellte und von der Steuerungsfunktion weitergeleitete Widerrufsinformation erhält.
-
Ein weiterer Aspekt der Erfindung sieht eine Einrichtung Einrichtung zur Überprüfung der Funktionsfähigkeit einer Steuerungsfunktion aufweisend wenigstens eine Überprüfungsfunktion zur Überprüfung der Funktionsfähigkeit, wobei diese mit einer Netzwerkinfrastruktur koppel bar ist, an welche wenigstens eine Steuerungsfunktion zur Steuerung von mindestens einem Gerät koppel bar ist, und zumindest eine Freigabefunktion, die dazu ausgelegt ist, im Falle eines von der Überprüfungsfunktion erkannten Fehlens der Funktionsfähigkeit und/oder fehlerhaften Funktionsfähigkeit, eine Widerrufsinformation bereitzustellen, welche zu einem Widerruf einer Freigabe einer Aktivierung und/oder einer Ausführung der Steuerungsfunktion führt.
-
Ein weiterer Aspekt der Erfindung sieht ein Verfahren zum Betrieb des Systems der vorstehend beschriebenen Art vor, welches Verfahren zum Betrieb des Systems nach einem der vorherstehenden Systemansprüche, welches
- - eine Netzwerkinfrastruktur mit wenigstens einer Steuerungsfunktion, welche Steuerinformationen mit mindestens einem Gerät austauschen kann,
- - und wenigstens eine mit der Netzwerkinfrastruktur koppelbare Überprüfungsfunktion aufweist,
- - die die Funktionsfähigkeit der Steuerungsfunktion überprüft, wobei durch zumindest eine Freigabefunktion der Überprüfungsfunkton im Falle einem von der Überprüfungsfunktion erkannten Fehlen der Funktionsfähigkeit und/oder fehlerhaften Funktionsfähigkeit, eine Widerrufsinformation bereitgestellt wird, welche zu einem Widerruf einer Freigabe einer Aktivierung und/oder einer Ausführung der Steuerungsfunktion führt.
-
Die vorstehend genannten Funktionen können in Software, Firmware und/oder Hardware implementiert sein. Sie können als eine Art Funktionseinheiten verstanden werden, die auch in Ihrer Funktion in beliebiger Kombination in eine einzige Einheit (Komponente bzw. Server bzw. Gerät) integriert sein können.
-
Ein weiterer Aspekt der Erfindung kann ein Computerprogramm bzw. ein Computerprogrammprodukt mit mindestens einem Computerprogramm mit Mitteln zur Durchführung des Verfahrens und dessen genannte Ausgestaltungen sein, wenn das Computerprogramm (Produkt) bzw. das mindestens eine Computerprogramm verteilt innerhalb der Kommunikationsanordnung nach oben beschriebener Art zur Ausführung gebracht wird.
-
Obige Einrichtungen, Verfahren und gegebenenfalls das Computerprogramm(Produkt) können im Wesentlichen analog wie das System bzw. die Anordnung und dessen Ausgestaltungen bzw. Weiterbildungen entsprechend aus- bzw. weitergebildet werden.
-
Ausführungsbeispiel (e) :
-
Weitere Vorteile, Einzelheiten und Weiterbildungen der Erfindung ergeben sich aus der nachfolgenden Beschreibung von Ausführungsbeispielen in Verbindung mit den Zeichnungen.
-
Dabei zeigt:
- 1 schematisch eine Netzwerkinfrastruktur, auf die das erfindungsgemäße Vorgehen angewendet werden kann, und
- 2 ein Ablaufdiagramm.
-
Die 1 zeigt ein mögliches Ausführungsbeispiel für die Erfindung. Eine Netzwerkinfrastruktur z.B. ein 5G-Netzwerk 5G verfügt über eine Steuerungsfunktion CRS, die netzwerkseitig als Clouddienst bzw. als Funktion eines Cloud Servers ausgebildet sein kann. Im Falle eines zu steuernden Gerätes R in Form eines Roboters ist der Cloud Server ein „Cloud Robotics Server“, um kritische Steuerungsfunktionen auf einem Roboter zu steuern. Es sind auch andere zu steuernde Geräte V in Form von autonom fahrenden Fahrzeugen denkbar. Im dargestellten Beispiel ist eine Überprüfungsfunktion in Form eines Servers vorgesehen, um die korrekte Funktionalität des Cloud Robotics Servers kontinuierlich zu überprüfen. Dies kann über eine weitere zweite Netzwerkinfrastruktur z.B. eines öffentlichen Netzwerks PN erfolgen. Letztendlich ist die Überprüfungsfunktion direkt oder indirekt über das Netzwerk PN mit der ersten Netzwerkinfrastruktur gekoppelt. Als eine Ausführungsform der Überprüfungsfunktion ist ein Cloud Robotics Security Operation Center CRO vorgesehen, um Sicherheitsvorfälle zu erkennen und zu analysieren. Es kann als Überprüfungsfunktion desweiteren ein weiterer Cloud Robotics Test Server CRT vorgesehen sein, der beispielsweise eine Freigabefunktion umfasst, die die Aktivierung von nicht freigegebenen Versionsständen der genannten Steuerungsfunktion durch Bereitstellung einer Widerrufsinformation verhindert bzw. einen Widerruf einleitet. Weiterhin ist ein Test-Gerät TD vorgesehen, das - wie die Geräte V und R - von dem Cloud Robotics Server gesteuert wird und das die korrekte Funktionalität überwacht (z.B. durch Beaufschlagen des Cloud Robotics Servers mit Testdaten). Des Weiteren kann eine in der Figur nicht dargestellte Cloud-Verarbeitungsstelle in der Netzwerkinfrastruktur des 5G-Netzes angeordnet sein, die quasi die „Intelligenz“ der Geräte V und R darstellt. Sie kann Arbeitsschritte des Roboters verarbeiten und steht mit der Steuerungsfunktion in Verbindung, um (Steuerungs-)funktionen auszutauschen. Die Steuerungsfunktion kann auch statt als Cloud Robotics Server CRS auch in das Gerät z.B. V integriert sein. Dies wird eher bei einem autonom fahrenden Fahrzeug der Fall sein, das auch im Zweifel ohne eine Netzwerkverbindung zum 5G-Netzwerk weiterhin „autonom“ funktionieren muss.
-
Sowohl die Überprüfungsfunktion als auch die Steuerungsfunktion sind flexibel in unterschiedlichen Formen innerhalb der Netzwerkinfrastrukturen implementierbar. Die Überprüfungsfunktion kann auch in die oben erwähnte Cloud-Verarbeitungsstelle integriert sein.
-
Die bereitgestellte Widerrufsinformation kann kryptographisch verschlüsselt sein. Die Widerrufsinformation wird dann bereitgestellt, wenn eine kryptographisch schützbare Sperrinformation vorliegt oder eine erwartete kryptographisch schützbare Freigabeinformation ausbleibt. In diesem Kontext kann ein kryptographischen Schlüssel bzw. ein digitales Zertifikat, das einen kryptographischen Schlüssel umfasst, widerrufen werden. Es ist möglich, dazu ein Zertifikat in einer Zertifikatswiderrufsliste aufzuführen oder eine OCSP-Response zu verwenden, um den aktuellen Widerrufsstatus eines digitalen Zertifikats zu bestätigen. Solch eine Art Widerruf kann die Erfindung verwenden, wenn die verschlüsselte bzw. zertifizierte Freigabeinformation auf diese Weise widerrufen werden soll.
-
Eine Steuerungsfunktion kann dabei nur aktiviert werden, wenn eine der Steuerungsfunktion zuordenbare kryptographisch geschützte Freigabeinformation (Freigabe-Attestierung) vorliegt. Diese kann vorgebbar bzw. administrativ oder automatisch durch einen Selbsttest bzw. durch die Überprüfungsfunktion ausgestellt werden. Es können mehrere Freigaben erforderlich sein (z.B. keine administrative Sperrung, und positive Bestätigung des Selbsttests). Die mehreren Freigaben können sich insbesondere auf unterschiedliche Komponenten einer Cloud-Lösung beziehen (z.B. Backend Selbsttest; freigegebene Fahrzeugsteuerungsfunktion für aktuellen Backend-Versionstand). Damit kann zuverlässig verhindert werden, dass ein veralteter Versionsstand geräteseitig aktiviert wird, der nicht für den aktuellen Versionsstand der Cloud-Seite freigegeben ist. Weiterhin kann zuverlässig verhindert werden, dass eine Steuerungsfunktion, insbesondere eine geräteseitige Steuerungsfunktion, aktiviert wird, wenn die Cloud-Seite eine Fehlfunktion aufweist.
-
Für den Widerruf kann eine Whitelisting- oder eine Blacklisting-Strategie jeweils einzeln oder in Kombination angewandt werden:
- - Blacklisting: Widerrufene Steuerungsfunktionen (identifiziert z.B. durch Hash-Wert, Versionsnummer)
- - Ausbleiben einer Positiv-Bestätigung (es liegt keine positive Bestätigung vor, dass die Funktionalität noch gültig ist) .
-
Die Freigabe- bzw. Sperrinformation kann sich auf eine abstrakte Funktionalität, auf eine spezielle Softwareversion einer Firmware oder auf eine Kombination von Softwareständen mehrerer Steuerungsfunktionen bzw. Steuergeräte beziehen. Weiterhin kann die Information die Hardware-Version des Steuergerätes angeben. Weiterhin kann ein geographisches Gebiet angegeben werden, auf das sich die Freigabeinformation bzw. die Sperrinformation bezieht. Die Freigabe- bzw. Sperrinformation ist vorzugsweise durch eine kryptographische Prüfsumme geschützt (digitale Signatur, Message Authentication Code). Die Freigabeinformation insbesondere einer sicherheitskritischen Steuerungsfunktion ist erfindungsgemäß veränderlich, d.h. sie kann im laufenden Betrieb eingeschränkt werden. So kann insbesondere dann, wenn eine sicherheitsrelevante Steuerungsfunktion zum autonomen oder assistiertem Fahren in der Praxis sich als unzuverlässig, fehlerhaft, manipulierbar oder bereits manipuliert herausgestellt hat, diese deaktiviert werden, sodass keine Gefährdung mehr von ihr ausgeht. Das Aktivieren einer entsprechenden Fahrfunktion bei einem Fahrzeug kann hiermit zuverlässig unterbunden werden.
-
Folgende Komponenten stellen Freigabe-Attestierungen aus:
- - Selbsttest des Gerätes V oder des Gerätes R (ausgewertet durch den Cloud Robotics Server)
- - Cloud Robotics Security Operation Server CRO stellt eine Freigabeinformation aus (ausgewertet vom Cloud Robotics Server, Gerät V, Gerät R)
- - Cloud Robotics Test Server CRT stellt Attestierung aus (ausgewertet durch Cloud Robotics Server, Gerät V, Gerät R)
- - Test-Gerät TD stellt Attestierung aus (ausgewertet durch Cloud Robotics Server)
-
Weiterhin kann die Integrität im laufenden Betrieb bei aktivierter Steuerungsfunktion weiterhin überprüft werden. Ggf. erfolgt ein Abschalten (z.B. Übergabe an Fahrzeugführer) oder eine Aktivierungen eines autonomen Notprogramms (z.B. Halt an Fahrbahnrand).
-
Die Überprüfung kann lokal auf einem Fahrzeug erfolgen, oder in einem Backend System (Cloud Robotics). Das Ergebnis der Integritätsprüfung ist vorzugsweise kryptographisch geschützt (Attestierung der Freigabebestätigung). Diese wird wie oben beschrieben, als eine kryptographisch geschützte Freigabeinformation für die Aktivierung einer Steuerungsfunktion genutzt. D.h., dass die Freigabeinformation (bzw. Sperrinformation) sowohl administrativ vergeben werden kann (z.B. bei erkannten Schwachstellen) oder durch die Überprüfung der Funktionalität (attestierter Selbsttest) selbst ermittelt werden kann.
-
In 2 ist ein Ablaufdiagramm zum erfindungsgemäßen Vorgehen gezeigt, das in Schritt S0 den Startpunkt andeutet. In Schritt S1 wird eine Steuerungsfunktion aktiviert. In Schritt S2 wird eine Überprüfung durch die Überprüfungsfunktion dieser Steuerungsfunktion durchgeführt. Es wird überprüft, ob eine Freigabeinformation (Freigabe-Attestierung) für die Steuerungsfunktion vorliegt. Dies ist der Fall, wenn weder fehlhafte Funktionalität der Steuerungsfunktion noch ein Fehlen der Funktionalität vorliegt. Ist das Ergebnis der Überprüfung in Ordnung (siehe Schritt S3), dann wird in Schritt S4 die Steuerungsfunktion aktiviert. Ist das Ergebnis der Überprüfung nicht in Ordnung, dann wird in Schritt 6 eine Widerrufsinformation bereitgestellt, die bei bereits aktivierter bzw. laufender Steuerungsfunktion zum Widerruf der Aktivierungsfreigabe führt. Letztendlich kommt es zur temporären oder einmaligen oder dauerhaften Sperrung bzw. Deaktivierung der Steuerungsfunktion. Schritt S6 kennzeichnet das Ende des oben erläuterten Vorgehens.
-
Obwohl die Erfindung im Detail durch das bevorzugte Ausführungsbeispiel näher illustriert und beschrieben wurde, so ist die Erfindung nicht durch die offenbarten Beispiele eingeschränkt und andere Variationen können vom Fachmann hieraus abgeleitet werden, ohne den Schutzumfang der Erfindung zu verlassen.
-
Die Implementierung der vorstehend beschriebenen Prozesse oder Verfahrensabläufe kann anhand von Instruktionen erfolgen, die auf computerlesbaren Speichermedien oder in flüchtigen Computerspeichern (im Folgenden zusammenfassend als computerlesbare Speicher bezeichnet) vorliegen. Computerlesbare Speicher sind beispielsweise flüchtige Speicher wie Caches, Puffer oder RAM sowie nichtflüchtige Speicher wie Wechseldatenträger, Festplatten, usw.
-
Die vorstehend beschriebenen Funktionen oder Schritte können dabei in Form zumindest eines Instruktionssatzes in/auf einem computerlesbaren Speicher vorliegen. Die Funktionen oder Schritte sind dabei nicht an einen bestimmten Instruktionssatz oder an eine bestimmte Form von Instruktionssätzen oder an ein bestimmtes Speichermedium oder an einen bestimmten Prozessor oder an bestimmte Ausführungsschemata gebunden und können durch Software, Firmware, Microcode, Hardware, Prozessoren, integrierte Schaltungen usw. im Alleinbetrieb oder in beliebiger Kombination ausgeführt werden. Dabei können verschiedenste Verarbeitungsstrategien zum Einsatz kommen, beispielsweise serielle Verarbeitung durch einen einzelnen Prozessor oder Multiprocessing oder Multitasking oder Parallelverarbeitung usw.
-
Die Instruktionen können in lokalen Speichern abgelegt sein, es ist aber auch möglich, die Instruktionen auf einem entfernten System abzulegen und darauf via Netzwerk zuzugreifen.
-
Der Begriff „Prozessor“, „zentrale Signalverarbeitung“, „Steuereinheit“ oder „Datenauswertemittel“, wie hier verwendet, umfasst Verarbeitungsmittel im weitesten Sinne, also beispielsweise Server, Universalprozessoren, Grafikprozessoren, digitale Signalprozessoren, anwendungsspezifische integrierte Schaltungen (ASICs), programmierbare Logikschaltungen wie FPGAs, diskrete analoge oder digitale Schaltungen und beliebige Kombinationen davon, einschließlich aller anderen dem Fachmann bekannten oder in Zukunft entwickelten Verarbeitungsmittel. Prozessoren können dabei aus einer oder mehreren Vorrichtungen bzw. Einrichtungen bzw. Einheiten bestehen. Besteht ein Prozessor aus mehreren Vorrichtungen, können diese zur parallelen oder sequentiellen Verarbeitung bzw. Ausführung von Instruktionen ausgelegt bzw. konfiguriert sein.
-
ZITATE ENTHALTEN IN DER BESCHREIBUNG
-
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
-
Zitierte Nicht-Patentliteratur
-
- Stefan Berger, Kenneth Goldman, Dimitrios Pendarakis, David Safford, Enriquillo Valdez, Mimi Zohar: Scalable Attestation: A Step toward Secure and Trusted Clouds, IEEE Cloud Computing 2015 vol. 2 Issue No. 05 - Sept.-Oct. [0009]
