DE102018202176A1

DE102018202176A1 - Master-Slave-System zur Kommunikation über eine Bluetooth-Low-Energy-Verbindung

Info

Publication number: DE102018202176A1
Application number: DE102018202176.7A
Authority: DE
Inventors: Alexander Krebs
Original assignee: Bayerische Motoren Werke AG
Current assignee: Bayerische Motoren Werke AG
Priority date: 2018-02-13
Filing date: 2018-02-13
Publication date: 2019-08-14
Also published as: US20210227368A1; CN111699706B; US11425547B2; CN111699706A; WO2019158157A1

Abstract

Es wird ein Master-Slave-System zur Kommunikation über eine Bluetooth-Low-Energy-Verbindung vorgeschlagen. Das Master-Slave-System weist zumindest eine Slaveeinrichtung und zumindest eine Mastereinrichtung auf, wobei die Slaveeinrichtung und die Mastereinrichtung dazu eingerichtet sind, über die Bluetooth-Low-Energy-Verbindung zu kommunizieren. Die Slaveeinrichtung weist eine Kommunikationseinheit und eine Verarbeitungseinheit auf, wobei die Verarbeitungseinheit der Slaveeinrichtung dazu eingerichtet ist, eine erste Anfragenachricht mit einem Headerfeld und einem Payloadfeld zu erzeugen, wobei die Verarbeitungseinheit der Slaveeinrichtung weiter dazu eingerichtet ist, eine erste Identitätsinformation basierend auf einem ersten gespeicherten Schlüssel zu erzeugen und als erste Information in dem Headerfeld zu speichern, und wobei die Kommunikationseinheit der Slaveeinrichtung dazu eingerichtet ist, die erzeugte erste Anfragenachricht an die Mastereinrichtung über die Bluetooth-Low-Energy-Verbindung zu senden. Die Verarbeitungseinheit der Slaveeinrichtung ist dazu eingerichtet, zumindest eine zweite von der ersten Identitätsinformation verschiedene Identitätsinformation basierend auf zumindest einem zweiten gespeicherten Schlüssel zu erzeugen und zumindest einen Teil der zumindest einen zweiten Identitätsinformation als zumindest zweite Information in dem Payloadfeld der ersten Anfragenachricht zu speichern.

Description

Die Erfindung bezieht sich auf ein Master-Slave-System zur Kommunikation über eine Bluetooth-Low-Energy-Verbindung. Des Weiteren bezieht sich die Erfindung auf eine Mastereinrichtung und auf eine Slaveeinrichtung zur Kommunikation in einem solchen System. Des Weiteren betrifft die vorliegende Erfindung ein Kraftfahrzeug, insbesondere einen Personenkraftwagen, welches eine Slaveeinrichtung oder eine Mastereinrichtung zur Kommunikation mit einer Mastereinrichtung oder einer Slaveeinrichtung in einem Master-Slave-System ist.
In den verschiedensten technischen Bereichen können Geräte über eine Bluetooth-Verbindung kommunizieren. Um den Stromverbrauch während der Kommunikation zu reduzieren, kann beispielsweise Bluetooth Low Energy (BLE) verwendet werden. Bei BLE handelt es sich um eine Erweiterung der Bluetooth-Funktechnik. Ein BLE-Netz weist ein Mastergerät auf, das mit mehreren Slavegeräten kommunizieren kann.
Bei BLE sind sogenannte Advertising-Kanäle vorgesehen, über die jede Verbindung zwischen den Geräten initiiert wird. Hierzu sendet ein Gerät, das eine Slave-Rolle einnimmt, aktiv eine Anfragenachricht, Advertising-Paket genannt, in periodischen Abständen über einen Advertising-Kanal, um sich bei einem anderen Gerät in dem BLE-Netz, das als Master des BLE-Netzes fungiert, anzumelden. Basierend auf der Anfragenachricht kann der Master die Authentizität des Slaves verifizieren und anschließend eine Kommunikation zwischen dem Slavegerät und dem Mastergerät aufbauen.
Die Anmeldung des Slaves erfolgt dabei mit einem Headerfeld der Anfragenachricht, in dem eine Information, die als Resolvable Private Address (RPA) bezeichnet wird, gespeichert ist. Diese Information ermöglicht es dem Slavegerät, seine Identität während der Anmeldephase verschlüsselt zu versenden, so dass sie vor anderen Geräten geheim gehalten wird. Die Information ist dabei mit einem Schlüssel, dem sogenannten Identity Resolving Key (IRK), verschlüsselt. Dieser Schlüssel wird vorab an den Master übermittelt, der die empfangene Information somit entschlüsseln und eine Authentizität des Slaves verifizieren kann.
Da die Anfragenachricht nur ein Headerfeld und somit nur eine RPA-Information enthalten kann, ist es allerdings für ein Gerät nur möglich, sich mit einer einzigen Anfragenachricht bei einem einzigen Master, d.h. in einem BLE-Netz, anzumelden. Alternativ kann das Gerät sich mit derselben Anfragenachricht bei mehreren Mastern anmelden, indem dieselbe Nachricht an mehrere Mastergeräte versendet wird. Allerding ist dabei die Wahrung der Anonymität nicht gegeben, da sich das Gerät mit demselben IRK-Schlüssel bei mehreren Mastern anmeldet, und dieser vorab an alle möglichen Verbindungspartner verteilt werden muss.
Der Erfindung liegt daher die Aufgabe zugrunde, eine Kommunikation zwischen einem Slavegerät und mehreren Mastergeräten zu ermöglichen, während die Identität des Slavegeräts gegenüber anderen Geräten geschützt wird.
Hierzu wird ein Master-Slave-System zur Kommunikation über eine Bluetooth-Low-Energy-Verbindung vorgeschlagen. Das Master-Slave-System weist zumindest eine Slaveeinrichtung und zumindest eine Mastereinrichtung auf, die dazu eingerichtet sind, über die Bluetooth-Low-Energy-Verbindung zu kommunizieren.
Die Slaveeinrichtung weist eine Kommunikationseinheit und eine Verarbeitungseinheit auf, wobei die Verarbeitungseinheit der Slaveeinrichtung dazu eingerichtet ist, eine erste Anfragenachricht mit einem Headerfeld und einem Payload- bzw. Nutzlastfeld zu erzeugen, wobei die Verarbeitungseinheit der Slaveeinrichtung weiter dazu eingerichtet ist, eine erste Identitätsinformation basierend auf einem ersten gespeicherten Schlüssel zu erzeugen und als erste Information in dem Headerfeld zu speichern. Die Information liegt in dem Headerfeld als Resolvable Private Address (RPA) vor. Mit dieser ersten Information kann die Slaveeinrichtung mit einer Mastereinrichtung eine Kommunikation aufbauen, wie es auch mit den bisherigen Anfragenachrichten möglich war.
Um zusätzlich mit weiteren Mastereinrichtungen eine Kommunikation über eine BLE-Verbindung durchzuführen, ist die Verarbeitungseinheit der Slaveeinrichtung dazu eingerichtet, zumindest eine zweite von der ersten Identitätsinformation verschiedene Identitätsinformation basierend auf zumindest einem zweiten gespeicherten Schlüssel zu erzeugen und zumindest einen Teil der zumindest einen zweiten Identitätsinformation als zweite Information in dem Payloadfeld der ersten Anfragenachricht zu speichern. Die Kommunikationseinheit der Slaveeinrichtung ist dazu eingerichtet, die erzeugte erste Anfragenachricht an die Mastereinrichtung über die Bluetooth-Low-Energy-Verbindung, insbesondere über die vorgesehenen Advertising-Kanäle, zu senden.
Somit kann mit einer einzigen Anfragenachricht die Kommunikation mit einer (nur eine Information im Headerfeld) oder mehreren Mastereinrichtungen (erste Information im Headerfeld und weitere zweite, d.h. eine zweite, dritte und weitere, Informationen im Payloadfeld) angefragt werden. Alternativ kann sich die Slaveeinrichtung mit mehreren Funktionalitäten bei einer Mastereinrichtung anmelden. Diese mehreren Funktionalitäten werden durch die erste, die zweite und optionale weitere Informationen repräsentiert. Beispielsweise kann die Slaveeinrichtung sich als Access-Point für Internetdienstleistungen mit einer ersten Identitätsinformation und als Telefon oder Musikdienst mit einer zweiten Identitätsinformation bei einer Mastereinrichtung anmelden.
Während des Anfragevorgangs wird durch die Verschlüsselung der Identitätsinformation die Anonymität der Slaveeinrichtung gegenüber anderen, über dieselben Advertising-Kanäle kommunizierenden, Slaveeinrichtungen oder sonstige Geräte gewahrt. Da die anderen Slaveeinrichtungen und Geräte nicht im Besitz der Schlüssel sind, können diese die Informationen nicht entschlüsseln.
Die verwendeten Schlüssel sind insbesondere Identity Resolving Keys (IRK). Diese werden vorab an die Mastereinrichtungen in dem Master-Slave-System übertragen. Bevorzugt handelt es sich bei der Verschlüsselung um eine symmetrische Verschlüsselung. Sowohl der Slaveeinrichtung als auch jeweils einer Mastereinrichtung liegt dabei derselbe Schlüssel vor. Durch die Schlüssel kann eine sichere verschlüsselte Übertragung von Daten zwischen der Slaveeinrichtung und den Mastereinrichtungen erfolgen.
Die Einbringung der IRK-Schlüssel in die Master- und Slaveeinrichtung kann über einen initialen „Pairingprozess“ realisiert werden. Bei einem Bluetooth-System kann dieser Prozess beispielsweise durch eine 2-Kanal-Authentifizierung, d.h. Funkkanal in Kombination mit einem visuellen Abgleich einer PIN-Nummer) auf den beiden zu paarenden Geräten) durchgeführt werden. Bei einem BLE-System im Fahrzeugverbund sind beispielsweise auch andere 2-Kanal-Verfahren möglich (z.B. Funkkanal in Kombination mit einer NFC-Karte, Funkkanal in Verbindung mit einer authentifizierten Onlineverbindung). Allgemein zeichnet sich der Pairingprozess durch die Verwirklichung einer einmaligen, abhörsicheren Verbindung aus, über die die für die weitere Kommunikation der zu paarenden Geräte notwendigen Schlüssel fest in die Master- und die Slaveeinrichtung eingebracht werden.
Abhängig davon, mit wie vielen Mastereinrichtungen die Slaveeinrichtung kommunizieren möchte und/oder mit wie vielen Funktionalitäten sich die Slaveeinrichtung mit einer Mastereinrichtung verbinden möchte, können in dem Payloadfeld ein oder mehrere Informationen enthalten sein. So kann beispielsweise die Verarbeitungseinheit der Slaveeinrichtung dazu eingerichtet sein, weitere von der ersten und der zweiten Identitätsinformation verschiedene Identitätsinformationen basierend auf weiteren gespeicherten Schlüsseln zu erzeugen und zumindest einen Teil der weiteren Identitätsinformationen als weitere Informationen in dem Payloadfeld der ersten Anfragenachricht zu speichern.
Es können dabei mehr als zwei Informationen, d.h. eine zweite, dritte, vierte und weitere Informationen, in dem Payloadfeld gespeichert werden. Beispielsweise kann eine Information auf eine Größe zwischen 1 und 24 Bit reduziert werden. Auf diese Weise können bis zu 240 Informationen in dem Payloadfeld gespeichert werden.
Gemäß einer Ausführungsform weist die Mastereinrichtung eine Kommunikationseinheit und eine Verarbeitungseinheit auf, wobei die Kommunikationseinheit der Mastereinrichtung dazu eingerichtet ist, die erste Anfragenachricht von der Kommunikationseinheit der Slaveeinrichtung über die Bluetooth-Low-Energy-Verbindung zu empfangen, wobei die Verarbeitungseinheit der Mastereinrichtung dazu eingerichtet ist, die zweite und die optional weiteren in dem Payloadfeld der ersten Anfragenachricht enthaltenen Informationen als zweite Identitätsinformation zu entschlüsseln, der Slaveeinrichtung zuzuordnen und eine Identität der Slaveeinrichtung zu verifizieren.
In der Mastereinrichtung ist ein Schlüssel gespeichert, mit dem die empfangene Information entschlüsselt werden kann.
Die Entschlüsselung der Information kann durch einen vollständigen Vergleich der im Payloadfeld übertragenen Identitätsinformation realisiert werden. Hierfür extrahiert die Mastereinrichtung den variablen Anteil der im Adressfeld der Anfragenachricht angegebenen ersten Identitätsinformation (RPA), welche von der Slaveeinrichtung mittels eines kryptographisch sicheren Zufallszahlengenerators erstellt wurde. Durch Aneinanderkettung des extrahierten Anteils mit jedem in der Mastereinheit gespeicherten IRK-Schlüssel und anschließender, jeweiliger Ausführung einer kryptographischen Hashfunktion für jedes resultierende Kettenpaar generiert die Mastereinheit eine auf der Anfragenachricht der Slaveeinrichtung basierte Menge von eigenen Identitätsinformationen (RPAs). Daraufhin folgend vergleicht die Mastereinheit die selbst generierten RPAs mit den von der Slaveeinrichtung durch die Anfragenachricht kommunizierten RPAs. Tritt bei dem Vergleich eine Übereinstimmung zwischen einer von der Mastereinrichtung generierten RPA und einer von der Slaveeinrichtung in der Anfragenachricht übermittelten RPA auf, so gilt die entsprechende von der Slaveeinrichtung übermittelte RPA als entschlüsselt. Die entschlüsselnde IRK ist dabei jene, welche als Eingangswert der Hashfunktion diente.
Nach dem Entschlüsseln kann die Verarbeitungseinheit der Mastereinrichtung die zweite und optional die weiteren, entschlüsselte(n) Identitätsinformation(en) der Slaveeinrichtung zuordnen und deren Identität damit verifizieren.
Nach Verifizierung der Slaveeinrichtung kann die Verarbeitungseinheit der Mastereinrichtung eine Antwortnachricht zum Aufbau einer Kommunikation mit der Slaveeinrichtung erzeugen, wobei die Kommunikationseinheit der Mastereinrichtung dazu eingerichtet ist, die Antwortnachricht an die Slaveeinrichtung zu übertragen und wobei die Kommunikationseinheit der Slaveeinrichtung dazu eingerichtet ist, die Antwortnachricht zu empfangen und basierend auf der Antwortnachricht eine Bluetooth-Low-Energy-Kommunikation mit der Mastereinrichtung aufzubauen.
Wenn die Mastereinrichtung die Slaveeinrichtung authentifizieren konnte oder zumindest eine für sie ausreichende Menge an Identitätsinformationen erhalten hat, kann sie eine Antwortnachricht an die Slaveeinrichtung zurücksenden. Basierend auf der Antwortnachricht kann die Slaveeinrichtung einen Aufbau der Bluetooth-Low-Energy-Kommunikation zwischen der Slaveeinrichtung und der Mastereinrichtung initiieren.
Das Master-Slave-System kann weitere Mastereinrichtungen aufweisen, die identisch zu der ersten Mastereinrichtung aufgebaut sind. Das bedeutet, dass die weiteren Mastereinrichtung ebenfalls eine Kommunikationseinheit und eine Verarbeitungseinheit aufweisen, wobei die Kommunikationseinheit der weiteren Mastereinrichtung dazu eingerichtet sind, die erste Anfragenachricht von der Kommunikationseinheit der Slaveeinrichtung über die Bluetooth-Low-Energy-Verbindung zu empfangen, und wobei die Verarbeitungseinheit der weiteren Mastereinrichtungen dazu eingerichtet sind, die weiteren in dem Payloadfeld der ersten Anfragenachricht enthaltenen Informationen als weitere Identitätsinformationen zu entschlüsseln und der Slaveeinrichtung zuzuordnen.
Gemäß einer weiteren Ausführungsform ist die Verarbeitungseinheit der Slaveeinrichtung dazu eingerichtet, die zumindest eine zweite Identitätsinformation in eine Mehrzahl von Blöcken zu teilen und eine erste Untergruppe der Blöcke als zumindest zweite Information in dem Payloadfeld der ersten Anfragenachricht zu speichern.
Das Payloadfeld kann beispielsweise eine Länge von 0 bis 41 Byte aufweisen. Im Gegensatz zu der ersten Information, deren Länge (6 Byte) fest ist, kann die Länge der zweiten Information variiert werden und zwischen 1 und 41 Byte enthalten. Andere Werte sind ebenfalls möglich. Insbesondere wenn die Slaveeinrichtung mit mehreren Mastereinrichtungen kommunizieren möchte, kann die zweite Information verkleinert bzw. komprimiert werden, um mehrere Informationen in dem Payloadfeld unterzubringen.
Die Information kann dabei beispielsweise als Hashfunktion basierend auf dem Schlüssel und der jeweiligen Identitätsinformation berechnet werden. Für die zu übertragende Information werden in einer Ausführungsform maximal die 24 höchsten Bits der berechneten Hashfunktion verwendet.
Die Verarbeitungseinheit der Mastereinrichtung kann entscheiden, ob die mit der ersten Anfragenachricht empfangenen Blöcke zur Verifikation der Slaveeinrichtung ausreichen, und wenn ja, basierend auf der ersten Untergruppe der Blöcke die Identität der Slaveeinrichtung verifizieren.
Gemäß einer weiteren Ausführungsform ist die Verarbeitungseinheit der Slaveeinrichtung dazu eingerichtet, eine zweite oder mehrere weitere Anfragenachrichten zu erzeugen und eine zweite oder mehrere weitere Untergruppen der Blöcke als zweite oder weitere Information in dem Payloadfeld zu speichern. Die zweite oder die weiteren Anfragenachrichten werden bevorzugt zeitlich nach der ersten Anfragenachricht versendet.
Wenn die Identität der Slaveeinrichtung durch die Mastereinrichtung basierend auf der ersten Anfragenachricht nicht verifiziert werden konnte, kann die Kommunikationseinheit der Mastereinrichtung die zweite Anfragenachricht aktiv anfragen oder passiv auf eine weitere Anfragenachricht warten und diese empfangen. Die Verarbeitungseinheit der Mastereinrichtung ist in diesem Fall dazu eingerichtet, basierend auf der ersten und der zweiten Untergruppe der Blöcke die Identität der Slaveeinrichtung zu verifizieren.
Konnte die Slaveeinrichtung nicht verifiziert werden, bzw. hat die Slaveeinrichtung noch keine Antwortnachricht von der Mastereinrichtung empfangen, kann die Verarbeitungseinheit der Slaveeinrichtung eine dritte Anfragenachricht erzeugen, in der eine dritte Untergruppe der Blöcke als zweite Information in dem Payloadfeld gespeichert ist, und diese an die Mastereinrichtung senden.
Die Kommunikationseinheit der Mastereinrichtung kann die dritte Anfragenachricht empfangen, und die Verarbeitungseinheit der Mastereinrichtung kann basierend auf der ersten, der zweiten und der dritten Untergruppe der Blöcke die Identität der Slaveeinrichtung verifizieren.
Dieser Vorgang kann mit weiteren Anfragenachrichten, die weitere Untergruppen der zweiten Identitätsinformation enthält, fortgesetzt werden, bis die Mastereinrichtung genügend Informationen hat, um die Slaveeinrichtung zu verifizieren.
Das bedeutet, dass zusätzlich zu der ersten Anfragenachricht beliebig viele weitere Anfragenachrichten versendet werden können. Dabei kann jede weitere Anfragenachricht eine weitere Untergruppe der Identitätsinformation beinhalten. Somit kann die Slaveeinrichtung die Untergruppen einer einzelnen Identitätsinformation auf mehrere Anfragenachrichten aufteilen.
Auf der Empfangsseite kann die Mastereinrichtung entscheiden, wie viele Informationen sie über eine Slaveeinrichtung benötigt, bis sie entscheiden kann, dass die Slaveeinrichtung ausreichend authentifiziert ist. Dies kann beispielweise von der Funktionalität abhängen, die durch die Kommunikation zwischen der Slaveeinrichtung und der Mastereinrichtung durchgeführt werden soll. Für wenig sicherheitsrelevante Funktionalitäten, wie beispielsweise Musikdienste, kann bereits eine geringe Menge an Informationen, und damit eine geringe Wahrscheinlichkeit der korrekten Verifizierung, ausreichen. Im Gegensatz dazu kann für sicherheitsrelevante Funktionalitäten, wie beispielsweise Zugriff auf persönliche Daten, eine größere Menge an Informationen, und damit eine hohe Wahrscheinlichkeit der korrekten Verifizierung, erforderlich sein.
Die Verarbeitungseinheit der Mastereinrichtung kann daher entscheiden, ob die empfangene Information bereits ausreicht, um die Identität der Slaveeinrichtung zu verifizieren, oder ob weitere Informationen erforderlich sind. Hat die Verarbeitungseinheit der Mastereinrichtung eine ausreichende Menge an Informationen erhalten, um die Slaveeinrichtung zu verifizieren, kann die Kommunikationseinheit der Mastereinrichtung eine Nachricht an die Slaveeinrichtung übermitteln, dass keine weiteren Informationen erforderlich sind. Diese Nachricht kann beispielsweise im Rahmen der Antwortnachricht zum Aufbau der Kommunikation mit der Slaveeinrichtung erfolgen. Durch diese Antwortnachricht kann auch das automatische Versenden von weiteren Anfragenachrichten gestoppt werden. Alternativ kann das Versenden von weiteren Anfragenachrichten fortgesetzt werden.
Wie bereits erläutert, kann die Kommunikationseinheit der Slaveeinrichtung eine Mehrzahl von Anfragenachrichten versenden. Gemäß einer Ausführungsform ist die Kommunikationseinheit der Slaveeinrichtung dazu eingerichtet, ein Senden der Anfragenachricht abzubrechen, wenn ein vordefiniertes Abbruchereignis eintritt.
Die Kommunikationseinheit der Slaveeinrichtung kann dabei solange Anfragenachrichten mit Informationen übertragen, bis das Abbruchereignis eintritt. Dabei enthält jede Anfragenachricht eine weitere Untergruppe der Identitätsinformation. Sind alle Untergruppen versendet worden, kann der Vorgang mit der ersten Untergruppe erneut beginnen. Die Slaveeinrichtung kann jedoch eine beinahe unendliche Anzahl an Untergruppen erzeugen.
Das vordefinierte Abbruchereignis kann dabei beispielsweise die Antwortnachricht der Mastereinrichtung sein. Wird ein Kommunikationsaufbau durch die Antwortnachricht initiiert, kann die Slaveeinrichtung das Versenden der Anfragenachrichten stoppen. Ein weiteres Abbruchereignis kann eine vordefinierte abgelaufene Zeitspanne seit Beginn des Versendens der ersten Anfragenachricht sein. Des Weiteren kann das Abbruchereignis das Versenden der letzten Untergruppe der Identitätsinformation sein.
Wird die Kommunikation mit einer von mehreren Mastereinrichtungen aufgebaut, kann die Slaveeinrichtung weitere Anfragenachrichten ohne die Information für die Mastereinrichtung, mit der bereits kommuniziert wird, versenden. Das Versenden der Anfragenachrichten wird dabei also nicht vollständig abgebrochen, sondern die Anfragenachrichten lediglich ohne die der bereits verbundenen Mastereinrichtung zugehörigen Informationen versendet.
Gemäß einem weiteren Aspekt wird ein Kraftfahrzeug, insbesondere ein Personenkraftwagen, vorgeschlagen. Das Kraftfahrzeug kann entweder die Slaveeinrichtung oder die Mastereinrichtung in einem wie oben beschriebenen Master-Slave-System repräsentieren. Die entsprechende Master- oder Slaveeinrichtung zur Kommunikation mit dem Kraftfahrzeug kann ein mobiles Gerät, wie beispielsweise ein Smartphone, Tablet-PC oder ähnliches sein.
Des Weiteren wird ein Verfahren zur Kommunikation über eine Bluetooth-Low-Energy-Verbindung in einem Master-Slave-System vorgeschlagen. Das Verfahren weist die folgenden Schritte auf:

Erzeugen einer ersten Anfragenachricht mit einem Headerfeld und einem Payloadfeld, wobei eine erste Identitätsinformation basierend auf einem ersten gespeicherten Schlüssel erzeugt und als erste Information in dem Headerfeld gespeichert wird,
Erzeugen zumindest einer zweiten von der ersten Identitätsinformation verschiedene Identitätsinformation basierend auf zumindest einem zweiten gespeicherten Schlüssel und Speichern von zumindest einem Teil der zweiten Identitätsinformation als zweite Information in dem Payloadfeld der ersten Anfragenachricht, und
Senden der erzeugten ersten Anfragenachricht an eine Mastereinrichtung über die Bluetooth-Low-Energy-Verbindung.

Auf der Empfangsseite, d.h. in der Mastereinrichtung kann die erste Anfragenachricht empfangen werden. Anschließend kann die zumindest zweite in dem Payloadfeld der ersten Anfragenachricht enthaltene Information als zweite Identitätsinformation entschlüsselt, der Slaveeinrichtung zugeordnet und eine Identität der Slaveeinrichtung verifiziert werden.
Die für das vorgeschlagene Master-Slave-System beschriebenen Ausführungsformen und Merkmale gelten für das vorgeschlagene Verfahren entsprechend.
Weiterhin wird ein Computerprogrammprodukt vorgeschlagen, welches einen Programmcode aufweist, der dazu ausgebildet ist, auf einem Computer die Durchführung des wie oben erläuterten Verfahrens zu veranlassen.
Ein Computerprogrammprodukt, wie z.B. ein Computerprogramm-Mittel, kann beispielsweise als Speichermedium, wie z.B. Speicherkarte, USB-Stick, CD-ROM, DVD, oder auch in Form einer herunterladbaren Datei von einem Server in einem Netzwerk bereitgestellt oder geliefert werden. Dies kann zum Beispiel in einem drahtlosen Kommunikationsnetzwerk durch die Übertragung einer entsprechenden Datei mit dem Computerprogrammprodukt oder dem Computerprogramm-Mittel erfolgen.
Weitere mögliche Implementierungen der Erfindung umfassen auch nicht explizit genannte Kombinationen von zuvor oder im Folgenden bezüglich der Ausführungsbeispiele beschriebenen Merkmale oder Ausführungsformen. Dabei wird der Fachmann auch Einzelaspekte als Verbesserungen oder Ergänzungen zu der jeweiligen Grundform der Erfindung hinzufügen.
Weitere Vorteile und vorteilhafte Ausführungsformen sind in der Beschreibung, den Zeichnungen und den Ansprüchen angegeben. Dabei sind insbesondere die in der Beschreibung und in den Zeichnungen angegebenen Kombinationen der Merkmale rein exemplarisch, so dass die Merkmale auch einzeln oder anders kombiniert vorliegen können.
Im Folgenden soll die Erfindung anhand von in den Zeichnungen dargestellten Ausführungsbeispielen näher beschrieben werden. Dabei sind die Ausführungsbeispiele und die in den Ausführungsbeispielen gezeigten Kombinationen rein exemplarisch und sollen nicht den Schutzbereich der Erfindung festlegen. Dieser wird allein durch die anhängigen Ansprüche definiert.
Es zeigen:

1: ein Master-Slave-System mit einer Slaveeinrichtung und zwei Mastereinrichtungen;
2: ein Beispiel einer Anfragenachricht, die von der Slaveeinrichtung von 1 erzeugt wird; und
3: ein schematisches Ablaufdiagramm zum Aufbau einer Kommunikation in dem Master-Slave-System von 1.

Im Folgenden werden gleiche oder funktionell gleichwirkende Elemente mit denselben Bezugszeichen gekennzeichnet.
1 zeigt ein Master-Slave-System 1 mit einer Slaveeinrichtung 10 und zwei Mastereinrichtungen 20, 30. Es können auch nur eine Mastereinrichtung 20 oder beliebig viele weitere Mastereinrichtungen vorgesehen sein.
Die Slaveeinrichtung 10 weist eine Kommunikationseinheit 11 und eine Verarbeitungseinheit 12 auf. Die Mastereinrichtungen 20, 30 weisen ebenfalls jeweils eine Kommunikationseinheit 21, 31 und eine Verarbeitungseinheit 22, 32 auf.
Um eine Kommunikation mit einer oder beiden Mastereinrichtungen 20, 30 über eine Bluetooth-Low-Energy-Verbindung zu starten, muss die Slaveeinrichtung 10 zunächst eine Anfragenachricht 40 an die Mastereinrichtungen 20, 30 senden. Diese Anfragenachricht 40 kann über Advertising-Kanäle, wie sie bei Bluetooth-Low-Energy vorgesehen sind, vor der eigentlichen Kommunikation gesendet werden.
Wird nur eine Kommunikation mit einer einzigen Mastereinrichtung 20 gewünscht, kann die Slaveeinrichtung 10 ihre eigene Identität in einem Headerfeld 41 der Anfragenachricht 40, wie sie in 2 gezeigt ist, übermitteln. Soll jedoch die Kommunikation mit mehr als einer Mastereinrichtung 20, 30 aufgebaut werden, kann die Slaveeinrichtung 10 eine Anfragenachricht 40 übertragen, die mehrere Identitätsinformationen 43, 44 enthält.
Hierzu erzeugt die Verarbeitungseinheit 12 die Anfragenachricht 40 mit dem Headerfeld 41 und einem Payloadfeld 42, wobei eine erste Identitätsinformation, die basierend auf einem ersten Schlüssel erzeugt wird als erste Information in dem Headerfeld 41 gespeichert wird.
Zusätzlich erzeugt die Verarbeitungseinheit 12 zumindest eine zweite und optional mehrere von der ersten Identitätsinformation verschiedene Identitätsinformation basierend auf einem zweiten bzw. weiteren Schlüsseln und speichert zumindest einen Teil der zweiten Identitätsinformation als zweite Information 43 in dem Payloadfeld 42. Wenn die Slaveeinrichtung 10 eine Kommunikation mit mehreren Mastereinrichtungen 20, 30 aufbauen möchte, kann das Payloadfeld 42 bis zu n Identitätsinformationen 43, 44 aufweisen. Dabei ist jede Identitätsinformation mit einem eigenen Schlüssel verschlüsselt. Die Schlüssel können vorab zwischen der Slaveeinrichtung 10 und den jeweiligen Mastereinrichtungen 20, 30 ausgetauscht werden.
Nach dem Erzeugen der Anfragenachricht 40 überträgt die Kommunikationseinheit 12 die erzeugte Anfragenachricht 40 über die Advertising-Kanäle an die Mastereinrichtungen 20, 30.
Um eine Mehrzahl von Informationen 43, 44 in dem Payloadfeld 42 speichern zu können, kann die Verarbeitungseinheit 12 die zweite und weitere Identitätsinformationen jeweils in eine Mehrzahl von Blöcken aufteilen. Eine erste Untergruppe der Blöcke der zweiten bzw. der weiteren Identitätsinformation wird dann als zweite Information 43 in dem Payloadfeld 42 der ersten Anfragenachricht 30 gespeichert. Analog wird von jeder weiteren Identitätsinformation eine erste Gruppe von Blöcken als Identitätsinformation 44 in dem Payloadfeld 42 gespeichert.
Das Payloadfeld 42 kann beispielsweise eine Länge von 0 bis 41 Byte aufweisen. Im Gegensatz zu der ersten Information, deren Länge (6 Byte) fest ist, kann die Länge der zweiten Information 43, 44 variiert werden und zwischen 1 und 41 Byte enthalten. Insbesondere wenn die Slaveeinrichtung 10 mit mehreren Mastereinrichtungen 20, 30 kommunizieren möchte, kann die zweite Information 43, 44 verkleinert bzw. komprimiert werden, um mehrere Informationen 43, 44 in dem Payloadfeld 42 unterzubringen.
Wenn nur eine erste Untergruppe der jeweiligen Identitätsinformation in den Informationen 43, 44 enthalten ist, kann die Verarbeitungseinheit 12 weitere Anfragenachrichten 40 erzeugen, die die weiteren Untergruppen der Identitätsinformation in den Informationen 43, 44 enthalten.
Die Anfragenachrichten 40 werden von den Kommunikationseinheiten 21, 31 der Mastereinrichtungen 20, 30 empfangen. Die Verarbeitungseinheiten 22, 32 untersuchen die in dem Headerfeld 41 und dem Payloadfeld 42 enthaltenen Informationen. Sofern die Verarbeitungseinheiten 22, 32 eine für sie bestimmte zweite Information 43, 44 erkennen, wird die zweite bzw. die weiteren Informationen 43, 44 unter Verwendung eines gespeicherten Schlüssels als zweite bzw. weitere Identitätsinformationen entschlüsselt und der Slaveeinrichtung 10 zugeordnet.
Die Verarbeitungseinheiten 22, 32 verifizieren, basierend auf der zweiten Identitätsinformation und basierend auf dem gespeicherten Schlüssel, eine Identität der Slaveeinrichtung 10. Wurde nur eine Untergruppe der Identitätsinformation übertragen, kann die jeweilige Verarbeitungseinheit 22, 32 entscheiden, ob die empfangenen Informationen bereits zur Verifizierung der Slaveeinrichtung 10 ausreichen. Ist dies nicht der Fall, kann die Kommunikationseinheit 21, 31 der entsprechenden Mastereinrichtung 20, 30 eine weitere Anfragenachricht 40 empfangen, die eine zweite Untergruppe der Identitätsinformation als zweite Information 43, 44 in dem Payloadfeld 42 aufweist.
Sobald die Verarbeitungseinheit 22, 32 ausreichende Informationen über die Identität der Slaveeinrichtung 10 besitzt, um diese mit einer vorgegebenen Wahrscheinlichkeit zu verifizieren, kann die Verarbeitungseinheit 22, 32 eine Antwortnachricht erzeugen, die durch die Kommunikationseinheit 21, 31 an die Slaveeinrichtung 10 übertragen wird.
Wenn die Kommunikationseinheit 11 der Slaveeinrichtung 10 eine entsprechende Antwortnachricht von einer der Mastereinrichtungen 20 empfängt, kann sie basierend auf dieser Antwortnachricht eine Bluetooth-Low-Energy-Kommunikation mit der entsprechenden Mastereinrichtung 20 aufbauen.
Die Anzahl der benötigten Anfragenachrichten 40 kann von der jeweiligen Mastereinrichtung 20, 30 abhängen. Nach einem vordefinierten Abbruchereignis kann die Slaveeinrichtung 10 das Übertragen von Anfragenachrichten ohne Aufbau einer Kommunikationsverbindung abbrechen. Ein solches Abbruchereignis kann beispielsweise auftreten, wenn alle Untergruppen der Identitätsinformation übertragen wurden, ohne dass eine Antwortnachricht empfangen wurde.
Der Ablauf des Kommunikationsaufbaus ist in 3 noch einmal erläutert.
Zunächst wird in einem ersten Schritt 51 eine Anfragenachricht 40 erzeugt. Diese Anfragenachricht 40 kann, wie oben erläutert, eine oder mehrere Informationen in einem Payloadfeld 42 enthalten, die jeweils einer Mastereinrichtung 20, 30 zugeordnet sind. Im Folgenden wird der Empfang der Anfragenachricht 40 durch eine Mastereinrichtung 20 beschrieben. Dieser erfolgt analog für jede weitere Mastereinrichtung 30.
In einem zweiten Schritt 52 wird die Anfragenachricht 40 empfangen und die darin enthaltene Information 43 anschließend wie oben beschrieben in Schritt 53 entschlüsselt. Ist die Mastereinrichtung 20 nicht in der Lage, die Information 43 zu entschlüsseln, kann die Mastereinrichtung 20 auf eine weitere Anfragenachricht 40 warten. Dies kann beispielsweise der Fall sein, wenn die in der Anfragenachricht 40 enthaltenen Informationen 43, 44 nicht für die Mastereinrichtung 20 bestimmt sind und diese daher keinen entsprechenden Schlüssel besitzt.
Wurde die Information 43 entschlüsselt, entscheidet die Mastereinrichtung 20 in Schritt 54, ob die Identitätsinformationen zur Verifizierung der Slaveeinrichtung 10 ausreichen. Dies kann beispielweise von der Funktionalität abhängen, die durch die Kommunikation zwischen der Slaveeinrichtung 10 und der Mastereinrichtung 20 durchgeführt werden soll. Für wenig sicherheitsrelevante Funktionalitäten, wie beispielsweise Musikdienste, kann bereits eine geringe Menge an Informationen, und damit eine geringe Wahrscheinlichkeit der korrekten Verifizierung, ausreichen. Im Gegensatz dazu kann für sicherheitsrelevante Funktionalitäten, wie beispielsweise Zugriff auf persönliche Daten, eine größere Menge an Informationen, und damit eine hohe Wahrscheinlichkeit der korrekten Verifizierung, erforderlich sein.
Ist die Verifizierung nicht ausreichend, wartet die Mastereinrichtung 20 auf weitere Anfragenachrichten 40 mit weiteren Untergruppen der Identitätsinformation. Das Verfahren wird dann mit den Schritten 51 bis 54 fortgesetzt, bis die Informationen zur Verifizierung ausreichen.
Ist dies der Fall, wird in Schritt 55 eine Kommunikation zwischen der Slaveeinrichtung 10 und der Mastereinrichtung 20 aufgebaut. Hierzu kann die Mastereinrichtung 20, wie oben beschrieben, eine Antwortnachricht an die Slaveeinrichtung 10 versenden, um den Kommunikationsaufbau zu initiieren.
In den Figuren ist beschrieben, dass mit einer einzigen Anfragenachricht 40 die Kommunikation mit mehreren Mastereinrichtungen 20, 30 angefragt werden. Alternativ oder zusätzlich kann sich die Slaveeinrichtung 10 mit mehreren Funktionalitäten bei einer einzigen Mastereinrichtung 20 anmelden. Diese mehreren Funktionalitäten werden durch die erste und zweite Information repräsentiert. Beispielsweise kann die Slaveeinrichtung 10 sich als Access-Point für Internetdienstleistungen mit einer ersten Identitätsinformation und als Telefon oder Musikdienst mit einer zweiten Identitätsinformation bei einer Mastereinrichtung 20 bzw. den Mastereinrichtungen 20, 30 anmelden. Der Ablauf ist analog wie oben beschrieben, wobei die Mastereinrichtungen 20, 30 jeweils mehrere Informationen mit mehreren Schlüsseln entschlüsseln.
Durch das vorgeschlagene Master-Slave-System ist es möglich, dass eine Slaveeinrichtung nicht nur die Kommunikation mit einer Mastereinrichtung anfragt. Vielmehr kann die Slaveeinrichtung zeitgleich mit einer einzigen Nachricht an mehrere Mastereinrichtungen eine Anfrage zum Kommunikationsaufbau übertragen.
Bezugszeichenliste

1: Master-Slave-System
10: Slaveeinrichtung
11: Kommunikationseinheit
12: Verarbeitungseinheit
20: Mastereinrichtung
21: Kommunikationseinheit
22: Verarbeitungseinheit
30: Mastereinrichtung
31: Kommunikationseinheit
32: Verarbeitungseinheit
40: Anfragenachricht
41: Headerfeld
42: Payloadfeld
43: zweite Information
44: n-te Information
51-55: Verfahrensschritte

Claims

Master-Slave-System (1) zur Kommunikation über eine Bluetooth-Low-Energy-Verbindung, mit zumindest einer Slaveeinrichtung (10) und zumindest einer Mastereinrichtung (20), wobei die Slaveeinrichtung (10) und die Mastereinrichtung (20) dazu eingerichtet sind, über die Bluetooth-Low-Energy-Verbindung zu kommunizieren, wobei die Slaveeinrichtung (10) eine Kommunikationseinheit (11) und eine Verarbeitungseinheit (12) aufweist, wobei die Verarbeitungseinheit (11) der Slaveeinrichtung (10) dazu eingerichtet ist, eine erste Anfragenachricht (40) mit einem Headerfeld (41) und einem Payloadfeld (42) zu erzeugen, wobei die Verarbeitungseinheit (11) der Slaveeinrichtung (10) weiter dazu eingerichtet ist, eine erste Identitätsinformation basierend auf einem ersten gespeicherten Schlüssel zu erzeugen und als erste Information in dem Headerfeld (41) zu speichern, und wobei die Kommunikationseinheit (11) der Slaveeinrichtung (10) dazu eingerichtet ist, die erzeugte erste Anfragenachricht (40) an die Mastereinrichtung (20) über die Bluetooth-Low-Energy-Verbindung zu senden, dadurch gekennzeichnet, dass die Verarbeitungseinheit (12) der Slaveeinrichtung (10) dazu eingerichtet ist, zumindest eine zweite von der ersten Identitätsinformation verschiedene Identitätsinformation basierend auf zumindest einem zweiten gespeicherten Schlüssel zu erzeugen und zumindest einen Teil der zumindest einen zweiten Identitätsinformation als zumindest zweite Information (43) in dem Payloadfeld (42) der ersten Anfragenachricht (40) zu speichern.
Master-Slave-System (1) nach Anspruch 1, dadurch gekennzeichnet, dass die Verarbeitungseinheit (12) der Slaveeinrichtung (10) dazu eingerichtet ist, weitere von der ersten und der zweiten Identitätsinformation verschiedene Identitätsinformationen basierend auf weiteren gespeicherten Schlüsseln zu erzeugen und zumindest einen Teil der weiteren Identitätsinformationen als weitere Informationen (44) in dem Payloadfeld (42) der ersten Anfragenachricht (40) zu speichern.
Master-Slave-System (1) nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass die Mastereinrichtung (20) eine Kommunikationseinheit (21) und eine Verarbeitungseinheit (22) aufweist, wobei die Kommunikationseinheit (21) der Mastereinrichtung (20) dazu eingerichtet ist, die erste Anfragenachricht (40) von der Kommunikationseinheit (11) der Slaveeinrichtung (10) über die Bluetooth-Low-Energy-Verbindung zu empfangen, wobei die Verarbeitungseinheit (22) der Mastereinrichtung (20) dazu eingerichtet ist, die zumindest eine zweite in dem Payloadfeld (42) der ersten Anfragenachricht (40) enthaltene Information (43) als zweite Identitätsinformation zu entschlüsseln, der Slaveeinrichtung (10) zuzuordnen und eine Identität der Slaveeinrichtung (10) zu verifizieren.
Master-Slave-System (1) nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass die Verarbeitungseinheit (22) der Mastereinrichtung (20) dazu eingerichtet ist, nach Verifizierung der Slaveeinrichtung (10) eine Antwortnachricht zum Aufbau einer Kommunikation mit der Slaveeinrichtung (10) zu erzeugen, dass die Kommunikationseinheit (21) der Mastereinrichtung (20) dazu eingerichtet ist, die Antwortnachricht an die Slaveeinrichtung (10) zu übertragen und dass die Kommunikationseinheit (11) der Slaveeinrichtung (10) dazu eingerichtet ist, die Antwortnachricht zu empfangen und basierend auf der Antwortnachricht eine Bluetooth-Low-Energy-Kommunikation mit der Mastereinrichtung (20) aufzubauen.
Master-Slave-System (1) nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass die Verarbeitungseinheit (12) der Slaveeinrichtung (10) dazu eingerichtet ist, die zumindest eine zweite Identitätsinformation in eine Mehrzahl von Blöcken zu teilen und eine erste Untergruppe der Blöcke als zumindest zweite Information (43) in dem Payloadfeld (42) der ersten Anfragenachricht (40) zu speichern.
Master-Slave-System (1) nach Anspruch 5, dadurch gekennzeichnet, dass die Verarbeitungseinheit (22) der Mastereinrichtung (20) dazu eingerichtet ist, zu entscheiden, ob die empfangenen Blöcke zur Verifikation der Slaveeinrichtung (10) ausreichen, und, wenn ja, basierend auf der ersten Untergruppe der Blöcke die Identität der Slaveeinrichtung (10) zu verifizieren.
Master-Slave-System (1) nach Anspruch 5 oder 6, dadurch gekennzeichnet, dass die Verarbeitungseinheit (12) der Slaveeinrichtung (10) dazu eingerichtet ist, eine zweite oder mehrere weitere Anfragenachrichten (40) zu erzeugen und eine zweite oder mehrere weitere Untergruppen der Blöcke als zweite oder weitere Information (43) in dem Payloadfeld (42) zu speichern.
Master-Slave-System (1) nach Anspruch 7, dadurch gekennzeichnet, dass, wenn die Identität der Slaveeinrichtung (10) nicht verifiziert ist, die Kommunikationseinheit (21) der Mastereinrichtung (20) dazu eingerichtet ist, die zweite oder weitere Anfragenachrichten (40) anzufragen und/oder zu empfangen, und dass die Verarbeitungseinheit (22) der Mastereinrichtung (20) dazu eingerichtet ist, basierend auf der ersten und der zweiten oder weiteren Untergruppen der Blöcke die Identität der Slaveeinrichtung (10) zu verifizieren.
Master-Slave-System (1) nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass die Kommunikationseinheit (11) der Slaveeinrichtung (10) dazu eingerichtet ist, ein Senden der Anfragenachricht abzubrechen, wenn ein vordefiniertes Abbruchereignis eintritt.
Kraftfahrzeug (1), insbesondere Personenkraftwagen, welches eine Slaveeinrichtung (10) oder eine Mastereinrichtung (20) zur Kommunikation mit einer Mastereinrichtung (20) oder einer Slaveeinrichtung (10) in einem Master-Slave-System (1) nach einem der vorhergehenden Ansprüche ist.