DE102020203206A1 - Verfahren und Vorrichtung zum Übertragen von Daten in einem Netzwerk - Google Patents

Verfahren und Vorrichtung zum Übertragen von Daten in einem Netzwerk Download PDF

Info

Publication number
DE102020203206A1
DE102020203206A1 DE102020203206.8A DE102020203206A DE102020203206A1 DE 102020203206 A1 DE102020203206 A1 DE 102020203206A1 DE 102020203206 A DE102020203206 A DE 102020203206A DE 102020203206 A1 DE102020203206 A1 DE 102020203206A1
Authority
DE
Germany
Prior art keywords
service
security rule
network
computer
security
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
DE102020203206.8A
Other languages
English (en)
Inventor
Paulius Duplys
Tobias Gehrmann
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Robert Bosch GmbH
Original Assignee
Robert Bosch GmbH
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Robert Bosch GmbH filed Critical Robert Bosch GmbH
Priority to DE102020203206.8A priority Critical patent/DE102020203206A1/de
Priority to CN202110264858.9A priority patent/CN113395253A/zh
Publication of DE102020203206A1 publication Critical patent/DE102020203206A1/de
Pending legal-status Critical Current

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/606—Protecting data by securing the transmission between two devices or processes
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0263—Rule management
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/101—Access control lists [ACL]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/12—Applying verification of the received information
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1458—Denial of Service
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Computing Systems (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Theoretical Computer Science (AREA)
  • General Business, Economics & Management (AREA)
  • Health & Medical Sciences (AREA)
  • Bioethics (AREA)
  • General Health & Medical Sciences (AREA)
  • Software Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Business, Economics & Management (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Computer And Data Communications (AREA)

Abstract

Verfahren zum Übertragen von Daten in einem Netzwerk mit einem dienstorientierten Protokoll, bei dem ein Netzwerkelement wenigstens einen Dienst bereitstellen kann, aufweisend die folgenden Schritte: Verwenden wenigstens einer Sicherheitsregel bezüglich des wenigstens einen Dienstes

Description

  • Stand der Technik
  • Die Offenbarung betrifft ein Verfahren zum Übertragen von Daten in einem Netzwerk.
  • Die Offenbarung betrifft ferner eine Vorrichtung zum Übertragen von Daten in einem Netzwerk.
  • Offenbarung der Erfindung
  • Bevorzugte Ausführungsformen beziehen sich auf ein Verfahren zum Übertragen von Daten in einem Netzwerk mit einem dienstorientierten Protokoll, bei dem ein Netzwerkelement wenigstens einen Dienst bereitstellen kann, aufweisend den bzw. die folgenden Schritte: Verwenden wenigstens einer Sicherheitsregel bezüglich des wenigstens einen Dienstes. Dadurch kann vorteilhaft die Sicherheit bei der Übertragung von Daten und dem Anbieten und/oder Nutzen (z.B. Subscriben) des Dienstes in dem Netzwerk gesteigert werden.
  • Bei weiteren bevorzugten Ausführungsformen ist vorgesehen, dass das Verfahren weiter aufweist: Bereitstellen wenigstens einer, vorzugsweise mehrerer, Sicherheitsregeln.
  • Bei weiteren bevorzugten Ausführungsformen ist vorgesehen, dass die wenigstens eine Sicherheitsregel eine Whitelist charakterisiert. Z.B. kann die Whitelist Einträge von Diensten und/oder Aktionen und/oder Eigenschaften bezüglich des Netzwerks enthalten, die erlaubt sind, und (insbesondere alle) anderen Dienste und/oder Aktionen und/oder Eigenschaften können z.B. verboten sein.
  • Bei weiteren bevorzugten Ausführungsformen ist vorgesehen, dass das dienstorientierte Protokoll ein Scalable service-Oriented MiddlewarE over IP, SOME/IP, Protokoll ist. Andere dienstorientierte Protokolle sind gemäß weiteren bevorzugten Ausführungsformen auch denkbar bzw. verwendbar.
  • Bei weiteren bevorzugten Ausführungsformen ist vorgesehen, dass die wenigstens eine Sicherheitsregel ein oder mehrere 2-Tupel aufweisend jeweils einen Dienstidentifikator und einen Instanzidentifikator aufweist, wobei insbesondere der Dienstidentifikator wenigstens einen Dienst charakterisiert und/oder wobei insbesondere der Instanzidentifikator eine Instanz charakterisiert, die den wenigstens einen durch den Dienstidentifikator charakterisierten Dienst anbieten darf und/oder sich für diesen Dienst anmelden darf und/oder diesen Dienst konsumieren darf.
  • Bei weiteren bevorzugten Ausführungsformen ist vorgesehen, dass die wenigstens eine Sicherheitsregel eine, insbesondere zeitliche, Reihenfolge von a) Diensten und/oder b) Diensten mit zugehörigen Instanzen charakterisiert, wobei insbesondere die wenigstens eine Sicherheitsregel eine Liste aufweist mit einer der, insbesondere zeitlichen, Reihenfolge entsprechenden Mehrzahl von a) Dienstidentifikatoren und/oder b) Dienstidentifikatoren mit zugehörigen Instanzidentifikatoren.
  • Bei weiteren bevorzugten Ausführungsformen ist vorgesehen, dass die wenigstens eine Sicherheitsregel charakterisiert, welcher Dienst bzw. welche Dienste durch welche Instanz bzw. welche Instanzen zu welchem Zeitpunkt bzw. welchen Zeitpunkten angeboten werden können und/oder dürfen, wobei insbesondere die wenigstens eine Sicherheitsregel ein oder mehrere 3-Tupel aufweisend jeweils einen Dienstidentifikator und einen Instanzidentifikator und einen Zeitpunkt aufweist.
  • Bei weiteren bevorzugten Ausführungsformen ist vorgesehen, dass das Verfahren weiter aufweist: Empfangen der wenigstens einen Sicherheitsregel, Überprüfen der wenigstens einen Sicherheitsregel, und, optional, Anwenden der wenigstens einen Sicherheitsregel nur dann, wenn das Überprüfen ergeben hat, dass die wenigstens eine Sicherheitsregel gültig ist.
  • Bei weiteren bevorzugten Ausführungsformen ist vorgesehen, dass das Überprüfen aufweist: Überprüfen einer Signatur der wenigstens einen Sicherheitsregel.
  • Bei weiteren bevorzugten Ausführungsformen ist vorgesehen, dass das Verfahren weiter aufweist: a) Bereitstellen eines Moduls zur Erkennung und/oder Verhinderung von Angriffen, Intrusion Detection and/or Prevention, und/oder b) Bereitstellen einer Programmierschnittstelle zur Bereitstellung und/oder zum Senden und/oder Empfangen der wenigstens einen Sicherheitsregel, c) Bereitstellen eines Kryptografiemoduls, insbesondere zum Überprüfen der wenigstens einen Sicherheitsregel, insbesondere zum Überprüfen einer bzw. der Signatur der wenigstens einen Sicherheitsregel.
  • Bei weiteren bevorzugten Ausführungsformen ist vorgesehen, dass das Verfahren weiter aufweist: Verwenden eines mittels Hardware realisierten Kryptografiemoduls bzw. Hardware-Sicherheitsmoduls.
  • Weitere bevorzugte Ausführungsformen beziehen sich auf eine Vorrichtung zur Ausführung des Verfahrens nach wenigstens einem der vorstehenden Ansprüche, wobei insbesondere die Vorrichtung wenigstens eine Recheneinrichtung und eine der Recheneinrichtung zugeordnete Speichereinrichtung zur zumindest zeitweisen Speicherung von Daten und/oder Computerprogrammen aufweist.
  • Bei weiteren bevorzugten Ausführungsformen ist vorgesehen, dass die Vorrichtung eine, vorzugsweise bidirektionale, Datenschnittstelle aufweist.
  • Bei weiteren bevorzugten Ausführungsformen ist vorgesehen, dass die Vorrichtung ein Kryptografiemodul, insbesondere ein Hardware-Kryptografiemodul, aufweist.
  • Weitere bevorzugte Ausführungsformen beziehen sich auf ein Netzwerkelement zum Übertragen von Daten in einem Netzwerk mit einem dienstorientierten Protokoll, wobei wenigstens ein Netzwerkelement des Netzwerks, insbesondere das Netzwerkelement, wenigstens einen Dienst bereitstellen kann, aufweisend wenigstens eine Vorrichtung gemäß den Ausführungsformen.
  • Weitere bevorzugte Ausführungsformen beziehen sich auf ein Netzwerk mit einem dienstorientierten Protokoll, insbesondere SOME/IP-basiertes Netzwerk, mit wenigstens einer Vorrichtung gemäß den Ausführungsformen und/oder wenigstens einem Netzwerkelement gemäß den Ausführungsformen.
  • Weitere bevorzugte Ausführungsformen beziehen sich auf ein computerlesbares Speichermedium, umfassend Befehle, die bei der Ausführung durch einen Computer diesen veranlassen, das Verfahren gemäß den Ausführungsformen auszuführen.
  • Weitere bevorzugte Ausführungsformen beziehen sich auf ein Computerprogramm, umfassend Befehle, die bei der Ausführung des Programms durch einen Computer diesen veranlassen, das Verfahren gemäß den Ausführungsformen auszuführen.
  • Weitere bevorzugte Ausführungsformen beziehen sich auf ein Datenträgersignal, das das Computerprogramm gemäß den Ausführungsformen überträgt und/oder charakterisiert.
  • Weitere bevorzugte Ausführungsformen beziehen sich auf eine Verwendung des Verfahrens gemäß den Ausführungsformen und/oder der Vorrichtung gemäß den Ausführungsformen und/oder des Netzwerkelements gemäß den Ausführungsformen und/oder des Netzwerks gemäß den Ausführungsformen und/oder des computerlesbaren Speichermediums gemäß den Ausführungsformen und/oder des Computerprogramms gemäß den Ausführungsformen und/oder des Datenträgersignals gemäß den Ausführungsformen für wenigstens eines der folgenden Elemente: a) Erhöhen der Sicherheit von Datenübertragungen in einem Netzwerk mit einem dienstorientierten Protokoll, insbesondere einem SOME/IP-Protokoll, b) Vorgeben und/oder Verwenden und/oder Anwenden wenigstens einer Sicherheitsregel bezüglich des wenigstens einen Dienstes, c) Unterbinden bzw. Verhindern eines Anbietens und/oder Verwendens und/oder Ausführens von nicht autorisierten Diensten, d) Prüfen einer Signatur einer Sicherheitsregel für ein Netzwerk mit einem dienstorientierten Protokoll.
  • Weitere Merkmale, Anwendungsmöglichkeiten und Vorteile der Erfindung ergeben sich aus der nachfolgenden Beschreibung von Ausführungsbeispielen der Erfindung, die in den Figuren der Zeichnung dargestellt sind. Dabei bilden alle beschriebenen oder dargestellten Merkmale für sich oder in beliebiger Kombination den Gegenstand der Erfindung, unabhängig von ihrer Zusammenfassung in den Ansprüchen oder deren Rückbeziehung sowie unabhängig von ihrer Formulierung bzw. Darstellung in der Beschreibung bzw. in der Zeichnung.
  • In der Zeichnung zeigt:
    • 1 schematisch ein vereinfachtes Blockdiagramm gemäß bevorzugten Ausführungsformen,
    • 2A schematisch ein vereinfachtes Flussdiagramm von Verfahren gemäß weiteren bevorzugten Ausführungsformen,
    • 2B, 2C jeweils schematisch ein vereinfachtes Flussdiagramm von Verfahren gemäß weiteren bevorzugten Ausführungsformen,
    • 3 schematisch ein vereinfachtes Blockdiagramm gemäß weiteren bevorzugten Ausführungsformen,
    • 4 schematisch ein vereinfachtes Blockdiagramm gemäß weiteren bevorzugten Ausführungsformen, und
    • 5 schematisch Aspekte von Verwendungen gemäß weiteren bevorzugten Ausführungsformen.
  • 1 zeigt schematisch ein vereinfachtes Blockdiagramm eines Netzwerks 10 mit einem dienstorientierten Protokoll, bei dem ein Netzwerkelement 11 wenigstens einen Dienst D bereitstellen kann, gemäß bevorzugten Ausführungsformen. Bei dem Netzwerk 10 kann es sich z.B. um ein Netzwerk für ein Fahrzeug oder eine Fertigungseinrichtung handeln, und bei dem Netzwerkelement 11 kann es sich z.B. um ein Steuergerät für ein Fahrzeug oder eine Fertigungseinrichtung handeln. Beispielsweise kann das Netzwerk 10 auch ein geteiltes Medium („shared medium“) 10a aufweisen, das z.B. drahtgebunden (z.B. Ethernet-Netzwerk) oder auch drahtlos ausgebildet sein kann, und auf das neben dem Netzwerkelement 11 auch noch weitere Netzwerkelemente 12 zugreifen können, beispielsweise um den Dienst D zu nutzen.
  • Weitere bevorzugte Ausführungsformen beziehen sich auf ein Verfahren zum Übertragen von Daten in einem Netzwerk mit einem dienstorientierten Protokoll, bei dem ein Netzwerkelement 11 wenigstens einen Dienst D bereitstellen kann, z.B. in dem beispielhaft in 1 abgebildeten Netzwerk 10, wobei das Verfahren die folgenden Schritte aufweist, vgl. 2A: Verwenden 110 wenigstens einer Sicherheitsregel SR1, SR2, SR3 bezüglich des wenigstens einen Dienstes D. Dadurch kann vorteilhaft die Sicherheit bei der Übertragung von Daten und dem Anbieten und/oder Nutzen des Dienstes D in dem Netzwerk 10 gesteigert werden.
  • Bei weiteren bevorzugten Ausführungsformen ist vorgesehen, dass das Verfahren weiter aufweist: Bereitstellen 100 wenigstens einer, vorzugsweise mehrerer, Sicherheitsregeln SR1, SR2, SR3. Wie beispielhaft in 2A abgebildet kann das Bereitstellen 100 z.B. vor dem Verwenden 110 erfolgen.
  • Bei weiteren bevorzugten Ausführungsformen ist vorgesehen, dass die wenigstens eine Sicherheitsregel SR1, SR2, SR3 eine Whitelist charakterisiert. Z.B. kann die Whitelist Einträge von Diensten D und/oder Aktionen und/oder Eigenschaften bezüglich des Netzwerks 10 enthalten, die erlaubt sind, und (insbesondere alle) andere(n) Dienste und/oder Aktionen und/oder Eigenschaften können z.B. verboten sein.
  • Bei weiteren bevorzugten Ausführungsformen ist vorgesehen, dass das dienstorientierte Protokoll ein Scalable service-Oriented MiddlewarE over IP, SOME/IP, Protokoll ist.
  • Bei weiteren bevorzugten Ausführungsformen, vgl. 2B, ist vorgesehen, dass das Verfahren weiter aufweist: Empfangen 120 der wenigstens einen Sicherheitsregel SR1 (z.B. in dem Netzwerkelement 11), Überprüfen 130 der wenigstens einen Sicherheitsregel SR1, und, optional, Anwenden 140 der wenigstens einen Sicherheitsregel SR1 nur dann, wenn das Überprüfen 130 ergeben hat, dass die wenigstens eine Sicherheitsregel SR1 gültig ist. Dadurch ist ein Missbrauch durch Einschleusen falscher Sicherheitsregeln erschwert bzw. unmöglich.
  • Bei weiteren bevorzugten Ausführungsformen ist vorgesehen, dass das Überprüfen 130 aufweist: Überprüfen 130 einer Signatur der wenigstens einen Sicherheitsregel SR1. Bei weiteren bevorzugten Ausführungsformen kann die wenigstens eine Sicherheitsregel SR1 z.B. unter Verwendung eines, vorzugsweise kryptografisch sicheren, Signaturverfahrens erzeugt werden, z.B. durch einen Betreiber des Netzwerks 10 und/oder einen Hersteller des Netzwerkelements 11 und/oder durch eine andere vertrauenswürdige Partei.
  • Weitere bevorzugte Ausführungsformen, vgl. 3, beziehen sich auf eine Vorrichtung 200 zur Ausführung des Verfahrens gemäß den Ausführungsformen, wobei insbesondere die Vorrichtung 200 wenigstens eine einen Rechenkern 202a aufweisende Recheneinrichtung 202 („Computer“) und eine der Recheneinrichtung 202 zugeordnete Speichereinrichtung 204 zur zumindest zeitweisen Speicherung von Daten DAT und/oder Computerprogrammen PRG aufweist. Die Speichereinrichtung 204 kann z.B. einen flüchtigen Speicher 204a (z.B. Arbeitsspeicher, RAM) aufweisen, und/oder einen nichtflüchtigen Speicher 204b (z.B. Flash-EEPROM).
  • Bei weiteren bevorzugten Ausführungsformen ist vorgesehen, dass die Vorrichtung 200 eine, vorzugsweise bidirektionale, Datenschnittstelle 206 aufweist, die z.B. den Zugriff auf das geteilte Medium 10a (1) ermöglicht, und/oder einen Datenaustausch mit wenigstens einer weiteren Einheit, z.B. zum Senden und/oder Empfangen wenigstens einer Sicherheitsregel SR.
  • Bei weiteren bevorzugten Ausführungsformen ist vorgesehen, dass die Vorrichtung ein Kryptografiemodul 207, insbesondere ein Hardware-Kryptografiemodul, aufweist, das z.B. zur Überprüfung der vorstehend beschriebenen Signatur(en) ausgebildet ist.
  • Weitere bevorzugte Ausführungsformen beziehen sich auf ein computerlesbares Speichermedium SM, umfassend Befehle PRG, die bei der Ausführung durch einen Computer 202 diesen veranlassen, das Verfahren gemäß den Ausführungsformen auszuführen.
  • Weitere bevorzugte Ausführungsformen beziehen sich auf ein Computerprogramm PRG, umfassend Befehle, die bei der Ausführung des Programms PRG durch einen Computer 202 diesen veranlassen, das Verfahren gemäß den Ausführungsformen auszuführen.
  • Weitere bevorzugte Ausführungsformen beziehen sich auf ein Datenträgersignal DCS, das das Computerprogramm PRG gemäß den Ausführungsformen überträgt und/oder charakterisiert, und das z.B. über die Datenschnittstelle 206 übertragbar, insbesondere durch die Vorrichtung 200 empfangbar, ist.
  • Weitere bevorzugte Ausführungsformen beziehen sich auf ein Netzwerkelement 11 (1) zum Übertragen von Daten in einem Netzwerk 10 mit einem dienstorientierten Protokoll, wobei wenigstens ein Netzwerkelement 11, 12 des Netzwerks 10, insbesondere das Netzwerkelement 11, wenigstens einen Dienst D bereitstellen kann, aufweisend wenigstens eine Vorrichtung 200 (3) gemäß den Ausführungsformen. Mit anderen Worten kann bei weiteren bevorzugten Ausführungsformen die Vorrichtung 200 bzw. eine der Vorrichtung 200 gemäß 3 entsprechende Funktionalität in dem Netzwerkelement 11 integriert sein.
  • Weitere bevorzugte Ausführungsformen beziehen sich auf ein Netzwerk 10 mit einem dienstorientierten Protokoll, insbesondere SOME/IP-basiertes Netzwerk 10, mit wenigstens einer Vorrichtung 200 gemäß den Ausführungsformen und/oder wenigstens einem Netzwerkelement 11 gemäß den Ausführungsformen.
  • Bei weiteren bevorzugten Ausführungsformen, vgl. 2C, ist vorgesehen, dass das Verfahren weiter aufweist: a) Bereitstellen 150 eines Moduls IDPS zur Erkennung und/oder Verhinderung von Angriffen, Intrusion Detection and/or Prevention, und/oder b) Bereitstellen 152 einer Programmierschnittstelle API zur Bereitstellung und/oder zum Senden und/oder Empfangen der wenigstens einen Sicherheitsregel SR1, SR2, SR3, c) Bereitstellen 154 eines Kryptografiemoduls CRYPTO (s. z.B. Element 207 gemäß 3), insbesondere zum Überprüfen der wenigstens einen Sicherheitsregel SR1, SR2, SR3, insbesondere zum Überprüfen einer bzw. der Signatur der wenigstens einen Sicherheitsregel.
  • Bei weiteren bevorzugten Ausführungsformen ist vorgesehen, dass das Verfahren weiter aufweist: Verwenden 160 (2C) eines mittels Hardware realisierten Kryptografiemoduls 207 bzw. Hardware-Sicherheitsmoduls.
  • Obwohl die Schritte 150, 152, 154, 160 gemäß 2C beispielhaft in einer bestimmten Reihenfolge abgebildet sind, kann eine Reihenfolge von zwei oder mehr dieser Schritte bei anderen bevorzugten Ausführungsformen auch anders sein bzw. es kann nur einer der Schritte vorgesehen sein.
  • 4 zeigt schematisch ein vereinfachtes Blockdiagramm gemäß weiteren bevorzugten Ausführungsformen. Abgebildet ist ein Modul IDPS zur Erkennung und/oder Verhinderung von Angriffen, eine Programmierschnittstelle API zur Bereitstellung und/oder zum Senden und/oder Empfangen der wenigstens einen Sicherheitsregel SR1, SR2, SR3, und ein Kryptografiemodul CRYPTO, insbesondere zum Überprüfen der wenigstens einen Sicherheitsregel SR1, SR2, SR3, insbesondere zum Überprüfen einer bzw. der Signatur der wenigstens einen Sicherheitsregel. Beispielsweise kann das Modul IDPS dem Kryptografiemodul CRYPTO eine Signatur zur Überprüfung senden und das Ergebnis der Überprüfung von dem Kryptografiemodul CRYPTO empfangen, und basierend auf dem Ergebnis die Sicherheitsregel z.B. nutzen bzw. für eine zukünftige Nutzung verwenden, oder diese z.B. verwerfen, z.B. wenn die Signatur nicht korrekt ist. Eine derartige signaturbasierte Prüfung ist i.d.R. für einen Angreifer schwer nachbildbar bzw. fälschbar bzw. umgehbar, insbesondere dann, wenn das Kryptografiemodul CRYPTO mittels Hardware realisiert ist.
  • Ebenfalls in 4 abgebildet sind drei Sicherheitsregeln SR1, SR2, SR3, denen jeweils eine Signatur Sig1, Sig2, Sig3 zugeordnet ist, was eine effiziente Überprüfung der Echtheit der betreffenden Sicherheitsregel SR1, SR2, SR3, z.B. mittels des Kryptografiemoduls 207 (3) ermöglicht. Bei weiteren bevorzugten Ausführungsformen sind auch mehr, insbesondere auch weitaus mehr, als die beispielhaft drei in 4 abgebildeten Sicherheitsregeln SR1, SR2, SR3 vorsehbar bzw. verwendbar.
  • Bei weiteren bevorzugten Ausführungsformen ist vorgesehen, dass die wenigstens eine Sicherheitsregel SR1 ein oder mehrere (vorliegend beispielhaft n viele) 2-Tupel 2T aufweisend jeweils einen Dienstidentifikator s1, s2, .., sn und einen Instanzidentifikator i1, i2, .., in aufweist, wobei insbesondere der Dienstidentifikator wenigstens einen Dienst D (1) charakterisiert und/oder wobei insbesondere der Instanzidentifikator eine Instanz (z.B. das Netzwerkelement 11) charakterisiert, die den wenigstens einen durch den Dienstidentifikator charakterisierten Dienst D anbieten darf und/oder sich für diesen Dienst D anmelden darf („Subscriben“) und/oder diesen Dienst D konsumieren darf.
  • Bei weiteren bevorzugten Ausführungsformen ist vorgesehen, dass wenigstens eine Sicherheitsregel SR2 eine, insbesondere zeitliche, Reihenfolge von a) Diensten und/oder b) Diensten mit zugehörigen Instanzen charakterisiert, wobei insbesondere die wenigstens eine Sicherheitsregel SR2 eine Liste L aufweist mit einer der, insbesondere zeitlichen, Reihenfolge entsprechenden Mehrzahl von a) Dienstidentifikatoren und/oder b) Dienstidentifikatoren s1, s5, .., sk mit zugehörigen Instanzidentifikatoren i1, i5, .., ik. Regeln des Typs SR2 sind bei weiteren bevorzugten Ausführungsformen z.B. dann nützlich, wenn ein zeitlicher Ablauf charakterisiert werden soll, z.B. typische Aktionen und/oder Nutzungen von Diensten bzw. ein Starten von Diensten, z.B. bei einem Fahrzeugstart.
  • Bei weiteren bevorzugten Ausführungsformen ist vorgesehen, dass wenigstens eine Sicherheitsregel SR3 charakterisiert, welcher Dienst bzw. welche Dienste durch welche Instanz bzw. welche Instanzen zu welchem Zeitpunkt bzw. welchen Zeitpunkten angeboten und/oder angemeldet und/oder konsumiert werden können und/oder dürfen, wobei insbesondere die wenigstens eine Sicherheitsregel SR3 ein oder mehrere (vorliegend beispielhaft n viele) 3-Tupel 3T aufweisend jeweils einen Dienstidentifikator s1, s2, .., sn und einen Instanzidentifikator i1, i2, .., in und einen Zeitpunkt t1, t2, .., tn aufweist.
  • Bei weiteren bevorzugten Ausführungsformen kann anstelle der Zeitpunkte der Regel SR3 z.B. auch ein jeweiliger Zustand z.B. des Netzwerks oder eines anderen Zielsystems verwendet werden, es wird durch eine Sicherheitsregel also z.B. charakterisiert, welcher Dienst bzw. welche Dienste durch welche Instanz bzw. welche Instanzen in welchem Zustand bzw. welchen Zuständen angeboten und/oder angemeldet und/oder konsumiert werden können und/oder dürfen.
  • Bei weiteren bevorzugten Ausführungsformen kann dadurch z.B. abgebildet werden, dass diagnosebezogene Funktionen bzw. Dienste D, die z.B. typischerweise in einer Werkstatt bzw. in einem Stillstand eines Fahrzeugs ausgeführt werden, dann nicht ausgeführt und/oder gestartet werden dürfen, wenn das Fahrzeug gerade fährt. Sofern dies wider Erwarten doch passiert, kann bei weiteren bevorzugten Ausführungsformen darauf geschlossen werden, dass die entsprechende Sicherheitsregel verletzt worden ist, mithin ein Anzeichen für eine Anomalie bzw. einen Angriff vorliegt.
  • Bei weiteren bevorzugten Ausführungsformen kann basierend auf einer Sicherheitsregel z.B. dann auf einen Manipulationsversuch (und/oder einen Fehler, z.B. der Hardware) geschlossen werden, wenn z.B. ein Netzwerkelement ein (Betriebs-)Verhalten aufweist, das nicht der Sicherheitsregel entspricht, z.B. wenn das Netzwerkelement einen Dienst anbietet, den es zuvor nicht angeboten hat, oder zu dessen Nutzung bzw. Anbieten es nicht vorgesehen bzw. autorisiert ist.
  • Wenn z.B. ein Angreifer sm versuchen würde, einen Dienst ij anzubieten, würde er z.B. die Sicherheitsregel SR1 gemäß 4 verletzen, weil darin kein 2-Tupel (sm, ij) (mit m == j) definiert ist. Somit könnte dadurch eine Anomalie bzw. der Angriff durch den Angreifer sm festgestellt werden, z.B. durch das Modul IDPS.
  • Bei weiteren bevorzugten Ausführungsformen kann das Modul IDPS im Falle eines vermuteten und/oder erkannten Angriffs wenigstens eine Gegenmaßnahme bzw. Fehlerreaktion einleiten, z.B. durch Anweisen der Funktion F, dass diese nicht den potentiell maliziösen Dienst ij zu einer Liste zulässiger Dienste hinzufügen darf.
  • Bei weiteren bevorzugten Ausführungsformen können mittels der Programmierschnittstelle API dem Modul IDPS zur Erkennung und/oder Verhinderung von Angriffen ein oder mehrere der Sicherheitsregeln SR1, SR2, SR3 übermittelt bzw. zur Verfügung gestellt werden, das die Sicherheitsregeln SR1, SR2, SR3 z.B. gemäß weiteren bevorzugten Ausführungsformen durchsetzt, z.B. in Bezug auf eine Funktion F, die, z.B. basierend auf einer Dienstkennung service_id und einer Instanzkennung (Instanzidentifikator) instance_id einen Dienst D (1) bereitstellen kann.
  • Bei weiteren bevorzugten Ausführungsformen kann wenigstens eines der Module IDPS, CRYPTO, API mittels Hardware und/oder Software oder einer beliebigen Kombination daraus realisiert werden, z.B. unter Verwendung von Komponenten 202, 204 der Vorrichtung 200 gemäß 3.
  • Bei weiteren bevorzugten Ausführungsformen können die Sicherheitsregeln SR1, SR2, SR3 dem Modul IPDS z.B. während einer Fertigung des Moduls IPDS bzw. der Vorrichtung 200 zur Verfügung gestellt werden. Bei weiteren bevorzugten Ausführungsformen können die Sicherheitsregeln SR1, SR2, SR3 dem Modul IPDS auch dynamisch, d.h. zur Laufzeit des Moduls IPDS bzw. der Vorrichtung 200 zur Verfügung gestellt werden.
  • Weitere bevorzugte Ausführungsformen, vgl. 5, beziehen sich auf eine Verwendung 300 des Verfahrens gemäß den Ausführungsformen und/oder der Vorrichtung 200 gemäß den Ausführungsformen und/oder des Netzwerkelements 11 gemäß den Ausführungsformen und/oder des Netzwerks 10 gemäß den Ausführungsformen und/oder des computerlesbaren Speichermediums SM gemäß den Ausführungsformen und/oder des Computerprogramms PRG gemäß den Ausführungsformen und/oder des Datenträgersignals DCS gemäß den Ausführungsformen für wenigstens eines der folgenden Elemente: a) Erhöhen 302 bzw. Gewährleisten der Sicherheit von Datenübertragungen in einem Netzwerk 10 mit einem dienstorientierten Protokoll, insbesondere einem SOME/IP-Protokoll, b) Vorgeben 304 und/oder Verwenden 306 und/oder Anwenden 308 wenigstens einer Sicherheitsregel bezüglich des wenigstens einen Dienstes D, c) Unterbinden 310 bzw. Verhindern eines Anbietens und/oder Verwendens und/oder Ausführens von nicht autorisierten Diensten, d) Prüfen 312 einer Signatur einer Sicherheitsregel für ein Netzwerk mit einem dienstorientierten Protokoll.
  • Das Prinzip gemäß bevorzugten Ausführungsformen ermöglicht vorteilhaft zu verhindern, dass ein Angreifer z.B. einen, insbesondere gefährlichen bzw. maliziösen, Dienst D anbietet, der ggf. ungeprüft in dem Netzwerk verwendbar ist, beispielsweise um falsche bzw. manipulierte Daten in das Netzwerk einzuschleusen und/oder zur Ausführung von Angriffen, z.B. denial of service (DoS)-Angriffen. Vielmehr kann bei weiteren bevorzugten Ausführungsformen z.B. unter Verwendung der Sicherheitsregel(n) geprüft werden, ob der Dienst angeboten werden darf bzw. von wem (bzw. von welchem Netzwerkelement) der Dienst für welche Instanzen er angeboten werden darf, usw.

Claims (20)

  1. Verfahren zum Übertragen von Daten in einem Netzwerk (10) mit einem dienstorientierten Protokoll, bei dem ein Netzwerkelement (11) wenigstens einen Dienst (D) bereitstellen kann, aufweisend die folgenden Schritte: Verwenden (110) wenigstens einer Sicherheitsregel (SR1, SR2, SR3) bezüglich des wenigstens einen Dienstes (D).
  2. Verfahren nach Anspruch 1, weiter aufweisend: Bereitstellen (100) wenigstens einer, vorzugsweise mehrerer, Sicherheitsregeln (SR1, SR2, SR3).
  3. Verfahren nach wenigstens einem der vorstehenden Ansprüche, wobei die wenigstens eine Sicherheitsregel (SR1, SR2, SR3) eine Whitelist charakterisiert.
  4. Verfahren nach wenigstens einem der vorstehenden Ansprüche, wobei das dienstorientierte Protokoll ein Scalable service-Oriented MiddlewarE over IP, SOME/IP, Protokoll ist.
  5. Verfahren nach wenigstens einem der vorstehenden Ansprüche, wobei die wenigstens eine Sicherheitsregel (SR1) ein oder mehrere 2-Tupel (2T) aufweisend jeweils einen Dienstidentifikator (s1, s2, .., sn) und einen Instanzidentifikator (i1, i2, .., in) aufweist, wobei insbesondere der Dienstidentifikator (s1, s2, .., sn) wenigstens einen Dienst (D) charakterisiert und/oder wobei insbesondere der Instanzidentifikator (i1, i2, .., in) eine Instanz charakterisiert, die den wenigstens einen durch den Dienstidentifikator (s1, s2, .., sn) charakterisierten Dienst (D) anbieten darf und/oder sich für diesen Dienst (D) anmelden darf und/oder diesen Dienst (D) konsumieren darf.
  6. Verfahren nach wenigstens einem der vorstehenden Ansprüche, wobei die wenigstens eine Sicherheitsregel (SR2) eine, insbesondere zeitliche, Reihenfolge von a) Diensten (D) und/oder b) Diensten (D) mit zugehörigen Instanzen charakterisiert, wobei insbesondere die wenigstens eine Sicherheitsregel (SR2) eine Liste (L) aufweist mit einer der, insbesondere zeitlichen, Reihenfolge entsprechenden Mehrzahl von a) Dienstidentifikatoren und/oder b) Dienstidentifikatoren mit zugehörigen Instanzidentifikatoren.
  7. Verfahren nach wenigstens einem der vorstehenden Ansprüche, wobei die wenigstens eine Sicherheitsregel (SR3) charakterisiert, welcher Dienst (D) bzw. welche Dienste durch welche Instanz bzw. welche Instanzen zu welchem Zeitpunkt bzw. welchen Zeitpunkten angeboten werden können und/oder dürfen, wobei insbesondere die wenigstens eine Sicherheitsregel (SR3) ein oder mehrere 3-Tupel (3T) aufweisend jeweils einen Dienstidentifikator (s1, s2, .., sn) und einen Instanzidentifikator (i1, i2, .., in) und einen Zeitpunkt (t1, t2, .., tn) aufweist.
  8. Verfahren nach wenigstens einem der vorstehenden Ansprüche, weiter aufweisend: Empfangen (120) der wenigstens einen Sicherheitsregel (SR1), Überprüfen (130) der wenigstens einen Sicherheitsregel (SR1), und, optional, Anwenden (140) der wenigstens einen Sicherheitsregel (SR1) nur dann, wenn das Überprüfen (130) ergeben hat, dass die wenigstens eine Sicherheitsregel (SR1) gültig ist.
  9. Verfahren nach Anspruch 8, wobei das Überprüfen (130) aufweist: Überprüfen einer Signatur der wenigstens einen Sicherheitsregel (SR1).
  10. Verfahren nach wenigstens einem der vorstehenden Ansprüche, weiter aufweisend: a) Bereitstellen (150) eines Moduls (IDPS) zur Erkennung und/oder Verhinderung von Angriffen, Intrusion Detection and/or Prevention, und/oder b) Bereitstellen (152) einer Programmierschnittstelle (API) zur Bereitstellung und/oder zum Senden und/oder Empfangen der wenigstens einen Sicherheitsregel (SR1, SR2, SR3), c) Bereitstellen (154) eines Kryptografiemoduls (CRYPTO), insbesondere zum Überprüfen der wenigstens einen Sicherheitsregel (SR1, SR2, SR3), insbesondere zum Überprüfen einer bzw. der Signatur der wenigstens einen Sicherheitsregel (SR1, SR2, SR3).
  11. Verfahren nach wenigstens einem der vorstehenden Ansprüche, weiter aufweisend: Verwenden (160) eines mittels Hardware realisierten Kryptografiemoduls.
  12. Vorrichtung (200) zur Ausführung des Verfahrens nach wenigstens einem der vorstehenden Ansprüche, wobei insbesondere die Vorrichtung (200) wenigstens eine Recheneinrichtung (202) und eine der Recheneinrichtung (202) zugeordnete Speichereinrichtung (204) zur zumindest zeitweisen Speicherung von Daten (DAT) und/oder Computerprogrammen (PRG) aufweist.
  13. Vorrichtung (200) nach Anspruch 12, wobei die Vorrichtung (200) eine, vorzugsweise bidirektionale, Datenschnittstelle (206) aufweist.
  14. Vorrichtung (200) nach Anspruch 12 oder 13, wobei die Vorrichtung (200) ein Kryptografiemodul, insbesondere ein Hardware-Kryptografiemodul (207), aufweist.
  15. Netzwerkelement (11) zum Übertragen von Daten in einem Netzwerk (10) mit einem dienstorientierten Protokoll, wobei wenigstens ein Netzwerkelement des Netzwerks (10), insbesondere das Netzwerkelement (11), wenigstens einen Dienst (D) bereitstellen kann, aufweisend wenigstens eine Vorrichtung (200) nach wenigstens einem der Ansprüche 12 bis 14.
  16. Netzwerk (10) mit einem dienstorientierten Protokoll, insbesondere SOME/IP-basiertes Netzwerk, mit wenigstens einer Vorrichtung (200) nach wenigstens einem der Ansprüche 12 bis 14 und/oder wenigstens einem Netzwerkelement (11) nach Anspruch 15.
  17. Computerlesbares Speichermedium (SM), umfassend Befehle (PRG), die bei der Ausführung durch einen Computer (202) diesen veranlassen, das Verfahren nach wenigstens einem der Ansprüche 1 bis 11 auszuführen.
  18. Computerprogramm (PRG), umfassend Befehle, die bei der Ausführung des Programms (PRG) durch einen Computer (202) diesen veranlassen, das Verfahren nach wenigstens einem der Ansprüche 1 bis 11 auszuführen.
  19. Datenträgersignal (DCS), das das Computerprogramm (PRG) nach Anspruch 18 überträgt und/oder charakterisiert.
  20. Verwendung (300) des Verfahrens nach wenigstens einem der Ansprüche 1 bis 11 und/oder der Vorrichtung (200) nach wenigstens einem der Ansprüche 12 bis 14 und/oder des Netzwerkelements (11) nach Anspruch 15 und/oder des Netzwerks (10) nach Anspruch 16 und/oder des computerlesbaren Speichermediums (SM) nach Anspruch 17 und/oder des Computerprogramms (PRG) nach Anspruch 18 und/oder des Datenträgersignals (DCS) nach Anspruch 19 für wenigstens eines der folgenden Elemente: a) Erhöhen (302) der Sicherheit von Datenübertragungen in einem Netzwerk (10) mit einem dienstorientierten Protokoll, insbesondere einem SOME/IP-Protokoll, b) Vorgeben (304) und/oder Verwenden (306) und/oder Anwenden (308) wenigstens einer Sicherheitsregel (SR1, SR2, SR3) bezüglich des wenigstens einen Dienstes (D), c) Unterbinden (310) bzw. Verhindern eines Anbietens und/oder Verwendens und/oder Ausführens von nicht autorisierten Diensten, d) Prüfen (312) einer Signatur (Sig1) einer Sicherheitsregel (SR1) für ein Netzwerk (10) mit einem dienstorientierten Protokoll.
DE102020203206.8A 2020-03-12 2020-03-12 Verfahren und Vorrichtung zum Übertragen von Daten in einem Netzwerk Pending DE102020203206A1 (de)

Priority Applications (2)

Application Number Priority Date Filing Date Title
DE102020203206.8A DE102020203206A1 (de) 2020-03-12 2020-03-12 Verfahren und Vorrichtung zum Übertragen von Daten in einem Netzwerk
CN202110264858.9A CN113395253A (zh) 2020-03-12 2021-03-11 用于在网络中传输数据的方法和设备

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
DE102020203206.8A DE102020203206A1 (de) 2020-03-12 2020-03-12 Verfahren und Vorrichtung zum Übertragen von Daten in einem Netzwerk

Publications (1)

Publication Number Publication Date
DE102020203206A1 true DE102020203206A1 (de) 2021-09-16

Family

ID=77457087

Family Applications (1)

Application Number Title Priority Date Filing Date
DE102020203206.8A Pending DE102020203206A1 (de) 2020-03-12 2020-03-12 Verfahren und Vorrichtung zum Übertragen von Daten in einem Netzwerk

Country Status (2)

Country Link
CN (1) CN113395253A (de)
DE (1) DE102020203206A1 (de)

Also Published As

Publication number Publication date
CN113395253A (zh) 2021-09-14

Similar Documents

Publication Publication Date Title
DE102012110499B9 (de) Sicherheitszugangsverfahren für elektronische Automobil-Steuergeräte
EP3110101A1 (de) Verfahren zu einem manipulationsschutz von über ein bussystem zwischen systemkomponenten zu übertragenden nutzdatenpaketen
EP2891266B1 (de) Verfahren und anordnung zur sicheren kommunikation zwischen netzwerkeinrichtungen in einem kommunikationsnetzwerk
DE102016110414A1 (de) Verfahren und vorrichtungen zur steuerung der kommunikation von endpunkten in einem industrieunternehmenssystem auf der basis von integrität
DE102017223099A1 (de) Vorrichtung und Verfahren zum Übertragen von Daten zwischen einem ersten und einem zweiten Netzwerk
EP3811261B1 (de) Kryptografiemodul und betriebsverfahren hierfür
EP3314339B1 (de) Verfahren, server, firewall, steuergerät, und system zur programmierung eines steuergeräts eines fahrzeugs
EP3113438B1 (de) Verfahren zur konfiguration von elektronischen geräten, insbesondere zur konfiguration von komponenten eines zugangskontrollsystems
EP3695337B1 (de) Verfahren und bestätigungsvorrichtung zur integritätsbestätigung eines systems
WO2017167527A1 (de) Verfahren zum austausch von nachrichten zwischen sicherheitsrelevanten vorrichtungen
EP3369027A1 (de) Verfahren und sicherheitsmodul zum bereitstellen einer sicherheitsfunktion für ein gerät
DE102020203206A1 (de) Verfahren und Vorrichtung zum Übertragen von Daten in einem Netzwerk
DE102007051440A1 (de) Verfahren und Vorrichtung zur Freischaltung von Software in einem Kraftfahrzeug
DE102013225755A1 (de) Verfahren zur zeitbeschränkten Freigabe eines Zugriffs eines externen Geräts auf Daten in einem Fahrzeug sowie Vorrichtung hierzu
EP1473614A2 (de) Computersystem für ein Fahrzeug und Verfahren zum Kontrollieren des Datenverkehrs in einem solchen Computersystem
EP3253638B1 (de) Verfahren zum überwachen einer netzwerkkomponente sowie anordnung mit einer netzwerkkomponente und einer überwachungs-einrichtung
WO2020057938A1 (de) Verfahren für eine sichere kommunikation in einem kommunikationsnetzwerk mit einer vielzahl von einheiten mit unterschiedlichen sicherheitsniveaus
DE102012021719A1 (de) Übermittlung von Datenelementen von einem entfernten Server an einen Endgeräte Chip
EP3422234A1 (de) Container-image, computerprogrammprodukt und verfahren
DE102016203534A1 (de) Verfahren und Analysemodul zur Überprüfung von verschlüsselten Datenübertragungen
DE102021201443A1 (de) Verfahren und Vorrichtung zum Übertragen von Daten in einem Netzwerk mit einem dienstorientierten Protokoll
DE102022203720A1 (de) Verfahren und System zur Fernbestätigung der Integrität eines Computerprogramms in einer zu prüfenden Recheneinheit
DE102021113961A1 (de) Verfahren zur Kommunikation eines Heizgerätes mit einem Netzwerk
DE102014215493A1 (de) Verfahren und System zum Schutz einer Software
WO2020164828A1 (de) Verfahren zum betreiben von im zähler-modus betriebenen schlüsselstromgeneratoren zur sicheren datenübertragung, schlüsselstromgenerator mit zähler-modus-betrieb zur sicheren datenübertragung und computer-programm-produkt zur schlüsselstromerzeugung

Legal Events

Date Code Title Description
R079 Amendment of ipc main class

Free format text: PREVIOUS MAIN CLASS: H04L0012260000

Ipc: H04L0043000000