-
Die vorliegende Erfindung betrifft ein Verfahren zum Erkennen einer Manipulation von Daten. Weiterhin betrifft die vorliegende Erfindung ein Computerprogramm, welches eingerichtet ist, Schritte des Verfahrens durchzuführen, sowie ein maschinenlesbares Speichermedium, auf welchem das Computerprogramm gespeichert ist. Schließlich betrifft die Erfindung ein elektronisches Steuergerät und ein Rechengerät, welche jeweils eingerichtet sind, um Schritte des Verfahrens durchzuführen.
-
Stand der Technik
-
In einem „Balance of Performance“ genannten Verfahren wird im Motorsport zwischen verschiedenen Herstellern beziehungsweise OEMs (Original Equipment Manufacturer) und Rennveranstaltern in jeweils einer Rennserie eine einheitliche Motorleistung aller an der Rennserie beteiligten Fahrzeuge erreicht. Die Motorleistung wird hierzu mittels Justieren von Steuergerätedaten eingestellt. Eine Absicherung der Steuergerätedaten erfolgt gegenüber technischen Fehlern wie beispielsweise defekten Speicherbausteinen oder abgebrochenen Schreibvorgängen. Hierzu wird als Integritätsbeweis der Steuergerätedaten eine Prüfsumme der Daten zusammen mit den eigentlichen Daten im Steuergerät gespeichert. Diese Prüfsumme ist allerdings nicht manipulationssicher. Werden die Steuergerätedaten dahingehend kompromittiert, dass sowohl die Steuergerätedaten zum Justieren der Motorleistung als auch die dazugehörige Prüfsumme manipuliert werden, so kann ein Rennteam auf diese Weise eine Performance-Steigerung der Motoren ihrer Fahrzeuge erreichen, ohne dass dies zu einer Fehlerreaktion führt.
-
Offenbarung der Erfindung
-
Das Verfahren dient zum Erkennen einer Manipulation von Daten, die in einem elektronischen Steuergerät gespeichert sind. Dabei handelt es sich insbesondere um ein elektronisches Steuergerät eines Kraftfahrzeugs, beispielsweise eines Rennwagens. Das Verfahren weist die folgenden Schritte auf:
- a) Bilden einer Prüfsumme aus Datenbereichen eines Datensatzes, die als manipulationsgeschützt gekennzeichnet sind,
- b) Erzeugen eines ersten Schlüssels aus der Prüfsumme und einer Zufallszahl, die in dem Datensatz hinterlegt ist,
- c) Vergleichen des ersten Schlüssels mit einem zweiten Schlüssel, der in dem Datensatz hinterlegt ist, und
- d) Erkennen der Manipulation, wenn sich der erste Schlüssel von dem zweiten Schlüssel unterscheidet.
-
Während bei Verfahren die dazu dienenden Daten gegenüber technischen Fehlern abzusichern stets eine Prüfsumme über die gesamten Daten gebildet wird und mit einer abgespeicherten Prüfsumme verglichen wird, ist es zum Erkennen einer Manipulation von Daten ausreichend, die Prüfsumme über jene Datenbereiche zu bilden, die vor einer Manipulation geschützt werden müssen. Im Rahmen der „Balance of Performance“ ist es für Rennveranstalter beispielsweise wichtig, dass jene Datenbereiche der Daten im Steuergerät, über welche eine Motorleistung eingestellt werden kann, vor Manipulation geschützt werden, während Datenbereiche, die andere Funktionen betreffen, frei verändert werden dürfen. Indem nicht lediglich die über die manipulationsgeschützten Datenbereiche erzeugte Prüfsumme mit einer gespeicherten Prüfsumme verglichen wird, welche ihrerseits einfach manipuliert werden könnte, sondern ein Schlüssel erzeugt wird, der mit einem weiteren Schlüssel verglichen wird, wird die Integrität der manipulationsgeschützten Datenbereiche sichergestellt. Um zu verhindern, dass versucht wird, zur Manipulation der Daten die Schlüssel zu verändern, sollte die Zufallszahl so in dem Datensatz hinterlegt werden, dass sie nicht ohne Weiteres ausgelesen werden kann.
-
Der zweite Schlüssel wird vorzugsweise mittels der folgenden Schritte erzeugt:
- e) Bilden einer Prüfsumme aus den Datenbereichen des Datensatzes, die als manipulationsgeschützt gekennzeichnet sind,
- f) Übertragen der Prüfsumme vom Steuergerät an ein Rechengerät, in welchem dieselbe Zufallszahl hinterlegt ist, wie in dem Steuergerät,
- g) Erzeugen des zweiten Schlüssels aus der Prüfsumme und der Zufallszahl in dem Rechengerät, und
- h) Übertragen des zweiten Schlüssels von dem Rechengerät an das Steuergerät.
-
Dabei kann die Erzeugung des zweiten Schlüssels unter kontrollierten Bedingungen zu einem Zeitpunkt erfolgen, zu dem bekannt ist, dass die Daten noch nicht manipuliert werden konnten, weil beispielsweise gerade erst eine frische Bedatung des Datensatzes stattgefunden hat. Indem die Prüfsumme der garantiert unkompromittierten Daten in derselben Weise mit derselben Zufallszahl verrechnet wird wie beim Erzeugen des ersten Schlüssels wird ein zweiter Schlüssel erzeugt, der so lange mit dem ersten Schlüssel identisch bleibt wie keine Veränderung der manipulationsgeschützten Datenbereiche im elektronischen Steuergerät stattfindet. Deshalb kann aus einem Unterschied zwischen dem ersten Schlüssel und dem zweiten Schlüssel auf eine Manipulation geschlossen werden. Indem die Erzeugung des zweiten Schlüssels nicht im elektronischen Steuergerät, sondern in einem separaten Rechengerät abläuft, kann dies dort durch zusätzliche Sicherheitsprotokolle geschützt werden, um so auszuschließen, dass zum Zweck der Datenmanipulation im elektronischen Steuergerät ein veränderter zweiter Schlüssel unter Verwendung der Prüfsumme von manipulierten Datenbereichen des Datensatzes erzeugt werden kann.
-
Um zu verhindern, dass ein Hersteller beziehungsweise OEM bei der Entwicklung eines Kraftfahrzeugs, bei der ständige Datenänderungen in den manipulationsgeschützten Datenbereichen erfolgen müssen, ständig mittels des Rechengeräts neue zweite Schlüssel generieren muss, ist es bevorzugt, dass in dem Verfahren eine Möglichkeit vorgesehen ist, das Erkennen der Manipulation steuergeräteindividuell zu deaktivieren. Dabei wird das Erkennen der Manipulation ausgesetzt, wenn in dem Steuergerät eine Deaktivierung des Erkennens mittels der folgenden Schritte erkannt wird:
- i) Erzeugen eines ersten Schlüssels aus einem Identifikator des Steuergeräts und der Zufallszahl, die in dem Datensatz hinterlegt ist,
- j) Vergleichen des ersten Schlüssels mit einem dritten Schlüssel, der in dem Datensatz hinterlegt ist, und
- k) Erkennen der Deaktivierung, wenn der erste Schlüssel gleich dem dritten Schlüssel ist.
-
Der Identifikator ist dabei ein in dem Steuergerät hinterlegtes unveränderliches Merkmal des Steuergerätes. Es kann sich beispielsweise um eine Steuergeräteseriennummer handeln, die in einem ROM-Speicher (read-only memory) des Steuergerätes gespeichert ist. Die Verwendung des Identifikators zur Erzeugung des ersten Schlüssels stellt sicher, dass ein dritter Schlüssel, der erstellt wurde, um die Manipulationsprüfung in einem individuellen elektronischen Steuergerät zu deaktivieren, nicht auf ein anderes elektronisches Steuergerät übertragen werden kann. Der dritte Schlüssel wird vorzugsweise nicht zusätzlich zu einem zweiten Schlüssel, sondern anstelle des zweiten Schlüssels in dem Datensatz hinterlegt, da im Fall einer Deaktivierung des Erkennens einer Manipulation kein zweiter Schlüssel benötigt wird. Weiterhin ist es bevorzugt, dass im elektronischen Steuergerät eine Information hinterlegt wird, ob es sich bei dem im Datensatz hinterlegten Schlüssel um einen zweiten Schlüssel oder um einen dritten Schlüssel handelt. Je nachdem, welcher Schlüssel hinterlegt ist, wird der erste Schlüssel dann entweder aus der Prüfsumme und der Zufallszahl oder aus dem Identifikator und der Zufallszahl gebildet.
-
Der dritte Schlüssel wird vorzugsweise mittels folgender Schritte erzeugt:
- l) Übertragen des Identifikators vom Steuergerät an ein Rechengerät, in welchem dieselbe Zufallszahl hinterlegt ist, wie in dem Steuergerät,
- m) Erzeugen des dritten Schlüssels aus der Prüfsumme und der Zufallszahl in dem Rechengerät, und
- n) Übertragen des dritten Schlüssels von dem Rechengerät an das Steuergerät.
-
Genauso wie beim Erzeugen des zweiten Schlüssels hat auch das Erzeugen des dritten Schlüssels in einem separaten Rechengerät den Vorteil, dass der Erzeugungsvorgang besonders geschützt werden kann, um so auszuschließen, dass zu Manipulationszwecken in unzulässiger Weise ein dritter Schlüssel für ein elektronisches Steuergerät erzeugt wird, um das Erkennen der Manipulation dauerhaft zu deaktivieren und eine Manipulation so zu verschleiern. Außerdem kann im Rahmen des Erzeugens des dritten Schlüssels im Rechengerät aufgrund des übertragenen Identifikators eine Registrierung des Steuergeräts erfolgen, das auf diese Weise von der Manipulationsprüfung ausgenommen wird. Wenn Rennveranstaltern Zugriff auf eine Liste der derart registrierten Steuergeräte gewährt wird, kann ausgeschlossen werden, dass ein Fahrzeug, dessen Steuergerät für Testzwecke nicht auf eine Manipulation seiner manipulationsgeschützten Daten geprüft wird, in einer Rennserie eingesetzt wird. Wird zu einem späteren Zeitpunkt der dritte Schlüssel wieder aus dem elektronischen Steuergerät gelöscht, so kann der Identifikator dieses Steuergerätes aus der Liste gestrichen werden.
-
Wenn eine Manipulation von Daten erkannt wurde, weil sich der erste Schlüssel von dem zweiten Schlüssel unterscheidet und/oder wenn zur Deaktivierung des Erkennens der Manipulation ein dritter Schlüssel verwendet wird, welcher sich vom ersten Schlüssel unterscheidet, so kann vorzugsweise mindestens eine Maßnahme eingeleitet werden, um zu verhindern, dass der Fahrer eines Kraftfahrzeugs von einer unzulässigen Veränderung im Datensatz des Steuergeräts eines Kraftfahrzeugs profitiert. Diese Maßnahme ist in einer Ausführungsform des Verfahrens die Ausgabe eines optischen oder akustischen Signals. In einer anderen Ausführungsform erfolgt eine Reduzierung oder Begrenzung der Motorleistung. In noch einer anderen Ausführungsform wird ein Starten des Motors verhindert. Es kann auch vorgesehen sein, dass gleichzeitig mehrere dieser Maßnahmen ergriffen werden.
-
Das Verfahren wird vorzugsweise bei jedem Start des elektronischen Steuergeräts durchgeführt, um auf diese Weise sicherzustellen, dass bei ausgeschaltetem Steuergerät keine Manipulation in manipulationsgeschützten Datenbereichen des Datensatzes erfolgt ist.
-
Das Computerprogramm ist eingerichtet, um zumindest die Schritte a) bis d) des Verfahrens durchzuführen. Wenn die Möglichkeit einer Deaktivierung des Erkennens der Manipulation vorgesehen sein soll, so ist das Computerprogramm weiterhin eingerichtet, um die Schritte i) bis k) des Verfahrens durchzuführen. Dieses Computerprogramm ermöglicht die Implementierung des Verfahrens auf einem elektronischen Steuergerät, ohne hieran bauliche Veränderungen vornehmen zu müssen. Hierzu ist es auf dem maschinenlesbaren Speichermedium gespeichert. Durch Aufspielen des Computerprogramms auf ein herkömmliches elektronisches Steuergerät wird ein elektronisches Steuergerät erhalten, welches eingerichtet ist, um mittels der Schritte a) bis d) des Verfahrens eine Manipulation von Daten zu erkennen.
-
Das Rechengerät ist eingerichtet, um mittels des Schrittes g) einen zweiten Schlüssel zu erzeugen und/oder mittels des Schrittes m) einen dritten Schlüssel zu erzeugen. Bei dem Rechengerät kann es sich grundsätzlich um ein weiteres elektronisches Steuergerät handeln, das im selben Fahrzeug angeordnet ist wie das elektronische Steuergerät, in welchem die Daten gespeichert sind, deren Manipulation erkannt werden soll. Weiterhin ist es auch möglich, dass es sich bei dem Rechengerät um einen Computer handelt, der drahtlos oder drahtgebunden mit dem elektronischen Steuergerät verbunden werden kann, um Daten mit diesem auszutauschen. Bevorzugt handelt es sich bei dem Rechengerät allerdings um ein Cloud-Rechengerät. In dieses kann sich ein Hersteller beziehungsweise OEM webbasiert einwählen, um zum Erzeugen des zweiten Schlüssels oder des dritten Schlüssels Daten mit dem elektronischen Steuergerät auszutauschen. Dabei unterliegt das Rechengerät der vollständigen Kontrolle durch eine Institution, die beispielsweise gegenüber Rennveranstaltern die Manipulationssicherheit der Daten auf allen elektronischen Steuergeräten, die sich mit dem Rechengerät verbinden dürfen, garantieren kann.
-
Figurenliste
-
Ausführungsbeispiele der Erfindung sind in den Zeichnungen dargestellt und werden in der nachfolgenden Beschreibung näher erläutert.
- 1 zeigt schematisch die Erstellung eines Computerprogramms und dessen Laden auf ein elektronisches Steuergerät in einem Ausführungsbeispiel der Erfindung.
- 2 zeigt schematisch die Erstellung eines zweiten Schlüssels in einem Ausführungsbeispiel der Erfindung.
- 3 zeigt schematisch den Vergleich eines ersten Schlüssels mit einem zweiten Schlüssel in einem Ausführungsbeispiel der Erfindung.
- 4 zeigt schematisch die Erstellung eines dritten Schlüssels in einem Ausführungsbeispiel der Erfindung.
- 5 zeigt schematisch den Vergleich eines ersten Schlüssels mit einem dritten Schlüssel in einem Ausführungsbeispiel der Erfindung.
-
Ausführungsbeispiele der Erfindung
-
In einem Ausführungsbeispiel der Erfindung, das in 1 dargestellt ist, sind ein Hersteller 10 und ein Zulieferer 20 an der Herstellung eines Kraftfahrzeugs beteiligt, das im Rennsport Verwendung finden soll. Dieses Kraftfahrzeug weist ein elektronisches Steuergerät 30 auf. Der Hersteller 10 sieht eine erste Liste 11 von Daten vor, die in veränderbarer Weise in dem elektronischen Steuergerät 30 hinterlegt werden sollen. Aus dieser Liste 11 trifft er eine Auswahl 12, um eine zweite Liste 13 zu erzeugen. In dieser zweiten Liste 13 sind jene Daten gelistet, die vom Kunden geändert werden dürfen. Alle anderen Daten sollen in manipulationssicherer Weise im elektronischen Steuergerät 30 gespeichert werden. Der Zulieferer 20 entwirft ein Computerprogramm, mittels dessen das elektronische Steuergerät 30 betrieben werden soll. Hierzu nimmt eine Generierung 21 einer Zufallszahl Z vor, die in die Erstellung 22 des Computerprogramms einfließt. Bei der Erstellung wird außerdem die zweite Liste 13 des Herstellers 10 berücksichtigt. Das so erstellte Computerprogramm wird auf ein elektronisches Steuergerät 30 aufgespielt, das vom Hersteller bereitgestellt wird. Dieses weist einen unveränderlichen Identifikator ID auf, welcher es ermöglicht, mehrere elektronische Steuergeräte 30 voneinander zu unterscheiden. Im Auslieferungszustand unterscheiden sich die elektronischen Steuergeräte 30 mehrere baugleicher Kraftfahrzeuge lediglich durch ihre Identifikatoren ID. Das aufgespielte Computerprogramm und dessen Grundbedatung sind identisch. Das Computerprogramm sieht in dem elektronischen Steuergerät 30 einen Datensatz 31 vor. Dieser umfasst die Zufallszahl Z sowie mehrere Datenbereiche. Die Datenbereiche werden in solche Datenbereiche 32a -32d unterschieden, welche als manipulationsgeschützt gekennzeichnet sind und solche Datenbereiche 33a - 33c, welche aufgrund ihrer Listung in der zweiten Liste 13 vom Kunden verändert werden dürfen. Durch das Computerprogramm wird weiterhin ein Rechenmodul 34 im elektronischen Steuergerät 30 bereitgestellt, das im Betrieb des elektronischen Steuergeräts 30 zur Erzeugung eines ersten Schlüssels dient.
-
Wenn das Kraftfahrzeug in einer Rennserie eingesetzt werden soll, so werden die manipulationsgeschützten Datenbereiche 32a - 32d nach Vorgaben des Rennveranstalters bedatet. Um diese Bedatung zu signieren, wird anschließend in der in 2 dargestellten Weise ein zweiter Schlüssel SII erstellt. Hierzu wird aus den manipulationsgeschützten Datenbereichen 32a - 32d im elektronischen Steuergerät 30 eine Prüfsumme P berechnet und im Datensatz 31 abgelegt. Von dort wird sie an ein Rechengerät 40 übertragen, welches als Cloud-Rechengerät ausgeführt ist, das mittels einer Web-App adressiert werden kann. Dieses Rechengerät 40 wurde vom Zulieferer 20 erstellt und dabei mit der Zufallszahl Z bedatet und mit einem Rechenmodul 41 zum Erzeugen des zweiten Schlüssels SII versehen. Das Rechenmodul 41 erzeugt den zweiten Schlüssel SII aus der Prüfsumme P und der Zufallszahl Z. Anschließend wird dieser an das elektronische Rechengerät 30 zurückgesendet und dort im Datensatz 31 abgespeichert.
-
Wie in 3 dargestellt ist, erfolgt bei jedem folgenden Start des elektronischen Steuergeräts 30 eine Prüfung, ob die Daten in den manipulationsgeschützten Datenbereichen 32a - 32d gegenüber der Bedatung des Rennveranstalters verändert wurden. Hierzu wird erneut eine Prüfsumme P aus den manipulationsgeschützten Datenbereichen 32a - 32d gebildet. Das Rechenmodul 34 des elektronischen Steuergeräts 30 berechnet aus der Prüfsumme P und der Zufallszahl Z einen ersten Schlüssel SI. Dann erfolgt ein Vergleich 35 des ersten Schlüssels SI mit dem zweiten Schlüssel SII, der im Datensatz 31 abgespeichert ist. Unterscheiden sich die beiden Schlüssel SI, SII, so wird eine Manipulation der Daten erkannt und es wird mindestens eine Maßnahme eingeleitet. Im vorliegenden Ausführungsbeispiel besteht die Maßnahme darin, dass die Leistung des Verbrennungsmotors des Kraftfahrzeugs verringert wird.
-
Bei der Fahrzeugentwicklung kann seitens des Herstellers 10 der Wunsch bestehen, die Prüfung auf Manipulationen der Daten vorübergehend auszusetzen. Hierzu wird in der in 4 dargestellten Weise ein dritter Schlüssel SIII erzeugt. Der Identifikator ID wird vom elektronischen Steuergerät 30 an das Rechengerät 40 übertragen. Im Rechenmodul 41 des Rechengeräts 40 wird aus dem Identifikator ID und der Zufallszahl Z der dritte Schlüssel SIII erzeugt. Dieser wird an das elektronische Steuergerät 30 zurückgesendet und anstelle des zweiten Schlüssels SII im Datensatz 31 gespeichert. Das Rechengerät 40 trägt den Identifikator ID außerdem in eine Liste ein, mittels derer Fahrzeuge identifiziert werden können, welche nicht auf die Manipulation ihrer Daten überprüft werden. Diese Fahrzeuge können dann von der Teilnahme an Rennen ausgeschlossen werden.
-
Beim nächsten Start des elektronischen Steuergeräts 30 erfolgt die Erzeugung des ersten Schlüssels SI nicht in der in 3 dargestellten Weise, sondern stattdessen in der in 5 dargestellten Weise. Wenn erkannt wird, dass im Datensatz 31 anstelle eines zweiten Schlüssels SII ein dritter Schlüssel SIII hinterlegt wurde, so wird der erste Schlüssel SI im Rechenmodul 34 des elektronischen Steuergeräts 30 aus der Zufallszahl Z und dem Identifikator ID des elektronischen Steuergeräts 30 erzeugt. Wenn das Vergleichen 35 des ersten Schlüssels SI mit dem dritten Schlüssel SIII ergibt, dass die beiden Schlüssel SI, SIII identisch sind, so erfolgt der weitere Betrieb des elektronischen Steuergeräts 30, ohne dass eine Manipulationsprüfung der Daten in den manipulationsgeschützten Datenbereichen 32a - 32d stattgefunden hat. Wenn die beiden Schlüssel SI, SIII hingegen nicht gleich sein sollten, so wird eine Maßnahme eingeleitet, bei der es sich im vorliegenden Ausführungsbeispiel auch in diesem Fall um eine Verringerung der Motorleistung handelt.
