-
Die Erfindung betrifft ein Verfahren zum Schützen eines Kilometerstands in einem Steuergerät, das ein HSM-Modul und einen NVM-Speicher aufweist.
-
In einem Kraftfahrzeug wird mit einem Kilometerzähler ein Kilometerstand des Kraftfahrzeugs gezählt. Dabei sollte der Kilometerstand gegen ein unkontrolliertes Zurücksetzen durch eine dritte Partei geschützt werden.
EP 3499398 A2 offenbart beispielweise ein Steuergerät zum Schützen eines Kilometerstands in einem Kraftfahrzeug. Das Steuergerät weist dabei ein Speichermedium und einen Prozessor zum Ausführen von Anweisungen auf. Der Prozessor verwendet dabei einen ersten Schlüssel zum Speichern des Kilometerstands, einen zweiten Schlüssel zum Ausblenden des Kilometerstands und einen dritten Schlüssel zum Sichern des Kilometerstands. Zudem verwendet der Prozessor einen Hauptschlüssel zum Aktualisieren von den anderen Schlüsseln. Nachteiligerweise kann jedoch bei herkömmlichen Steuergeräten der Kilometerstand auch kontrolliert nicht zurückgesetzt werden und das Steuergerät kann nicht erneut - beispielweise zur Vermeidung von Schrott - verwendet werden. Zudem kann bei einem herkömmlichen Steuergerät im Fall einer nicht gewollten Veröffentlichung der verwendeten Schlüssel - ein sogenanntes Security Breach - ein Angreifer zwecks Manipulation einen niedrigeren Kilometerstand speichern.
-
Die Aufgabe der Erfindung ist es daher, ein verbessertes oder zumindest alternatives Verfahren zum Schützen eines Kilometerstands in einem Steuergerät bereitzustellen, bei dem die beschriebenen Nachteile überwunden werden. Die Aufgabe der Erfindung ist es auch, ein entsprechendes Steuergerät zum Ausführen des Verfahrens bereitzustellen.
-
Diese Aufgaben werden erfindungsgemäß durch den Gegenstand der unabhängigen Ansprüche gelöst. Vorteilhafte Ausführungsformen sind Gegenstand der abhängigen Ansprüche.
-
Ein erfindungsgemäßes Verfahren ist zum Schützen eines Kilometerstands in einem Steuergerät vorgesehen. Das Steuergerät weist dabei ein HSM-Modul (HSM: hardware security module) und einen NVM-Speicher (NVM: non-volatile memory) auf. In dem Verfahren werden ein Backend-Schlüssel, ein erster ODO-Schlüssel und wenigstens ein weiterer ODO-Schlüssel (ODO: odometer) in dem HSM-Modul des Steuergeräts vorinstalliert. Der Backend-Schlüssel ist vorzugsweise ein symmetrischer und gerätespezifischer Schlüssel. Der erste ODO-Schlüssel wird mit einem VIN-Wert (VIN: vehicle identification number) eines ersten Kraftfahrzeugs initialisiert und mit einem verschlüsselten und von einem Backend-Server gespeicherten Geheimnis versehen. Der aktuelle Kilometerstand des ersten Kraftfahrzeugs wird dann in einem Schlüssel-Zähler des ersten ODO-Schlüssels nicht löschbar vermerkt. Bei einem kontrollierten Zurücksetzen des Kilometerstands zur Nutzung des Steuergeräts in einem weiteren Kraftfahrzeug wird dann der weitere ODO-Schlüssel mit einem VIN-Wert des weiteren Kraftfahrzeugs initialisiert und mit einem verschlüsselten und von dem Backend-Server gespeicherten Geheimnis versehen. Der aktuelle Kilometerstand des weiteren Kraftfahrzeugs wird dann in einem Schlüssel-Zähler des weiteren ODO-Schlüssels nicht löschbar vermerkt.
-
Mit dem erfindungsgemäßen Verfahren wird also der Kilometerstand des ersten Kraftfahrzeugs in dem Schlüssel-Zähler des ersten ODO-Schlüssels vermerkt und kann nicht gelöscht werden. Eine dritte Partei hat keinen Zugang zu dem Backend-Schlüssel und das verschlüsselte Geheimnis in dem ersten ODO-Schlüssel ist nur dem Backend-Server bekannt. Dadurch kann die dritte Partei den Schlüssel-Zähler des ersten ODO-Schlüssels ohne den Backend-Server nicht löschen oder zurücksetzen oder manipulieren. Dennoch kann die dritte Partei den Kilometerstand aus dem Schlüssel-Zähler des ersten ODO-Schlüssels jederzeit auslesen.
-
Sollte das Steuergerät in dem weiteren - also zweiten - Kraftfahrzeug beispielweise nach dem Verschrotten des ersten Kraftfahrzeugs verwendet werden, so wird in dem erfindungsgemäßen Verfahren der weitere - also zweite - ODO-Schlüssel initialisiert und der Kilometerstand des weiteren - also zweiten - Kraftfahrzeugs wird nun in dem Schlüssel-Zähler des weiteren - also zweiten - ODO-Schlüssels nicht löschbar vermerkt. Das Zurücksetzen bzw. das Initialisieren des weiteren - also zweiten - ODO-Schlüssels kann dabei ausschließlich unter der Kontrolle des Backend-Servers erfolgen, da nur der Backend-Server das verschlüsselte Geheimnis in dem ersten ODO-Schlüssel und den Backend-Schlüssel kennt.
-
Der Schlüssel-Zähler des weiteren - also zweiten - ODO-Schlüssels weist dabei nach dem Initialisieren den Wert gleich Null auf und der Kilometerstand ist also zurückgesetzt. Dabei wird der erste ODO-Schlüssel nicht gelöscht oder verändert und der Kilometerstand des ersten Kraftfahrzeugs bleibt weiterhin in dem HSM-Modul gespeichert. Der weitere - also zweite - ODO-Schlüssel wird dabei in dem erfindungsgemäßen Verfahren analog zu dem ersten ODO-Schlüssel verwendet. Die dritte Partei hat also weiterhin keinen Zugang zu dem Backend-Schlüssel und das verschlüsselte Geheimnis in dem weiteren - also zweiten - ODO-Schlüssel ist nur dem Backend-Server bekannt. Dadurch kann die dritte Partei auch den Schlüssel-Zähler des weiteren - also zweite - ODO-Schlüssels ohne den Backend-Server nicht löschen oder zurücksetzen oder manipulieren.
-
Wird das Steuergerät als Ersatzgerät in dem bereits benutzten Kraftfahrzeug installiert, so kann der Kilometerstand des bereits benutzen Kraftfahrzeugs in den Schlüssel-Zähler des jeweiligen - also ersten als auch weiteren - ODO-Schlüssels bei dem Initialisieren vorinitialisiert werden. Hierzu wird lediglich der bekannte Kilometerstand des bereits benutzten Kraftfahrzeugs in dem Schlüssel-Zähler des jeweiligen ODO-Schlüssels gespeichert.
-
In dem HSM-Modul können neben dem ersten ODO-Schlüssel mehrere weitere ODO-Schlüssel vorinstalliert sein. Dadurch kann das Steuergerät in dem ersten Kraftfahrzeug und in mehreren weiteren Kraftfahrzeugen verwendet werden. Die weiteren ODO-Schlüssel können dabei nach dem ersten ODO-Schlüssel und nacheinander initialisiert werden. Vorzugsweise sind in dem Steuergerät der erste ODO-Schlüssel und zwei weitere ODO-Schlüssel installiert. Es versteht sich jedoch, dass die Anzahl der weiteren ODO-Schlüsseln auch abweichen kann. Es versteht sich auch, dass der erste ODO-Schlüssel und der jeweilige weitere ODO-Schlüssel in ihrer Struktur und in ihrem Aufbau voneinander nicht unterscheiden. Vorteilhafterweise kann der Kilometerstand in dem Schlüssel-Zähler des jeweiligen ODO-Schlüssels beispielweise mit einer Auflösung von 0,1 km bzw. 100 m vermerkt werden.
-
In dem erfindungsgemäßen Verfahren kann der Kilometerstand vorteilhafterweise vom unkontrollierten Zurücksetzen durch die dritte Partei geschützt werden. Insbesondere kann die dritte Partei den Kilometerstand ohne den Backend-Server nicht löschen oder zurücksetzen oder manipulieren. Dennoch kann die dritte Partei den Kilometerstand jederzeit auslesen. Vorteilhafterweise ist in dem erfindungsgemäßen Verfahren das kontrollierte Zurücksetzen des Kilometerstands nicht ausgeschlossen, so dass das Steuergerät in dem weiteren Kraftfahrzeug wiederverwendet werden kann.
-
Vorteilhafterweise kann vorgesehen sein, dass das Initialisieren des weiteren ODO-Schlüssels bei dem kontrollierten Zurücksetzen des Kilometerstands zur Nutzung des Steuergeräts in dem weiteren Kraftfahrzeug in zwei Schritten erfolgt. Bei dem ersten Schritt wird dabei eine erste Update-Datei installiert, wobei mittels der ersten Update-Datei die in dem HSM-Modul gespeicherten Daten mit Test-Daten ersetzt werden. Bei dem zweiten Schritt wird eine zweite Update-Datei installiert, wobei mittels der zweiten Update-Datei der weitere ODO-Schlüssel mit dem VIN-Wert des weiteren Kraftfahrzeugs initialisiert und mit einem verschlüsselten und von dem Backend-Server gespeicherten Geheimnis versehen wird. Die erste Update-Datei und die zweite Update-Datei werden dabei von dem Backend-Server bereitgestellt, da nur der Backend-Server das verschlüsselte Geheimnis in dem ersten ODO-Schlüssel und den Backend-Schlüssel kennt. Dadurch können das Zurücksetzen des Kilometerstands bzw. das Initialisieren des weiteren ODO-Schlüssels nur unter Kontrolle des Backend-Servers erfolgen. Bei dem kontrollierten Zurücksetzen kann die dritte Partei von dem Backend-Server validiert werden, um ein unkontrolliertes Manipulieren des Kilometerstands zu verhindern.
-
Zusätzlich kann vorgesehen sein, dass bei dem kontrollierten Zurücksetzen des Kilometerstands zur Nutzung des Steuergeräts in dem weiteren Kraftfahrzeug ein von dem Backend-Server erzeugter öffentlicher Schlüssel genutzt wird. Der Backend-Server kann dann die Häufigkeit der Nutzung des öffentlichen Schlüssels überwachen. Auf diese vorteilhafte Weise kann eine mehrmalige Nutzung der beiden Update-Dateien verhindert werden.
-
Vorteilhafterweise kann vorgesehen sein, dass der aktuelle Kilometerstand des jeweiligen Kraftfahrzeugs zumindest einmal pro Fahrt an den Backend-Server zur Speicherung übermittelt wird. Der übermittelte Kilometerstand wird dabei mittels des Backend-Schlüssels verschlüsselt und mittels des VIN-Wert des jeweiligen Kraftfahrzeugs personalisiert. Vorteilhafterweise kann dadurch der Kilometerstand auch auf dem Backend-Server gespeichert und eine Manipulation des Kilometerstands durch die dritte Partei ist sicher ausgeschlossen. Es versteht sich, dass der aktuelle Kilometerstand des jeweiligen Kraftfahrzeugs an den Backend-Server nur übermittelt wird, wenn eine Verbindung zur Übertragung der Daten bereitsteht.
-
Vorteilhafterweise kann vorgesehen sein, dass ein aktueller Kilometerstand-Wert in dem NVM-Speicher des Steuergeräts gespeichert wird und der Kilometerstand in dem Schlüssel-Zähler des jeweiligen ODO-Schlüssels mit dem Kilometerstand-Wert nicht löschbar überschrieben wird. Das Überschreiben kann dabei nur dann erfolgen, wenn der aktuelle Kilometerstand-Wert in dem NVM-Speicher von dem Kilometerstand in dem Schlüssel-Zähler des jeweiligen ODO-Schlüssels abweicht. Vorteilhafterweise kann vorgesehen sein, dass der Kilometerstand in dem Schlüssel-Zähler des jeweiligen ODO-Schlüssels mit dem Kilometerstand-Wert nur inkrementierbar ist. Das kann durch die Implementation des HSM-Moduls sichergestellt werden. Dadurch wird auch bei einer nicht gewollten Veröffentlichung der verwendeten ODO-Schlüssel - bei einem sogenannten Security Breach - die dritte Partei daran gehindert, den Kilometerstand auf einen niedrigeren Wert zu manipulieren.
-
Vorteilhafterweise kann vorgesehen sein, dass der aktuelle Kilometerstand in dem HSM-Modul und/oder der aktuelle Kilometerstand-Wert in dem NVM-Speicher mittels des Backend-Schlüssels verschlüsselt und entschlüsselt werden.
-
Die Erfindung betrifft auch das oben beschriebene Steuergerät mit dem HSM-Modul und dem NVM-Speicher, das zum Ausführen des Verfahrens ausgelegt ist.
-
Weitere wichtige Merkmale und Vorteile der Erfindung ergeben sich aus den Unteransprüchen, aus den Zeichnungen und aus der zugehörigen Figurenbeschreibung anhand der Zeichnungen.
-
Es versteht sich, dass die vorstehend genannten und die nachstehend noch zu erläuternden Merkmale nicht nur in der jeweils angegebenen Kombination, sondern auch in anderen Kombinationen oder in Alleinstellung verwendbar sind, ohne den Rahmen der vorliegenden Erfindung zu verlassen.
-
Bevorzugte Ausführungsbeispiele der Erfindung sind in den Zeichnungen dargestellt und werden in der nachfolgenden Beschreibung näher erläutert, wobei sich gleiche Bezugszeichen auf gleiche oder ähnliche oder funktional gleiche Komponenten beziehen.
-
Dabei zeigen:
- 1 bis 6 Schematische Ansichten einzelner Schritten in einem erfindungsgemäßen Verfahren.
-
1 bis 6 zeigen schematische Ansichten einzelner Schritte in einem erfindungsgemäßen Verfahren 1. Der Datenaustausch ist dabei mit Pfeilen angedeutet und verläuft zeitlich von links nach rechts.
-
1 zeigt einen Vorinstallieren-Schritt in dem erfindungsgemäßen Verfahren 1 zum Schützen eines Kilometerstands in einem erfindungsgemäßen Steuergerät 2. In dem Vorinstallieren-Schritt werden von einem Backend-Server 3 ein symmetrischer gerätespezifischer Backend-Schlüssel BACKEND-KEY, ein erster ODO-Schlüssel ODO-KEY1, ein weiterer bzw. zweiter ODO-Schlüssel ODO-KEY2 und ein weiterer bzw. dritter ODO-Schlüssel ODO-KEY3 in einem HSM-Modul 4 des Steuergeräts 2 vorinstalliert. Der jeweilige ODO-Schlüssel ODO-KEY1, ODO-KEY2, ODO-KEY3 umfasst dabei einen Schlüssel-Zähler 5, der nicht gelöscht oder zurückgesetzt werden kann. Zudem umfasst der jeweilige ODO-Schlüssel ODO-KEY1, ODO-KEY2, ODO-KEY3 einen Schlüsselinhalt 6, der nicht extrahiert werden kann.
-
2 zeigt einen Initialisieren-Schritt in dem erfindungsgemäßen Verfahren 1. Der Initialisieren-Schritt erfolgt nach dem Vorinstallieren-Schritt in 1. In dem Initialisieren-Schritt wird der erste ODO-Schlüssel ODO-KEY1 mit einem VIN-Wert VIN eines ersten Kraftfahrzeugs initialisiert und mit einem Geheimnis SECRET-RANDOM, das von dem Backend-Server 3 vergeben und gespeichert wird, versehen. Der Schlüsselinhalt 6 des ersten ODO-Schlüssels ODO-KEY1 beinhaltet also den VIN-Wert VIN und das Geheimnis SECRET-RANDOM und ist mit dem Backend-Schlüssel BACKEND-KEY über ein kryptographisches Verschlüsselungsverfahren - vorteilhafterweise die AES-Verschlüsselung (AES: Advanced Encryption Standard) - verschlüsselt. In einem NVM-Speicher 7 werden zudem der Schlüsselinhalt 6 des ersten ODO-Schlüssels ODO-KEY1 und ein aktueller Kilometerstand-Wert 8 verschlüsselt abgespeichert. Das Verschlüsseln erfolgt dabei vorteilhafterweise mit einem ECU-Schlüssel ECU-KEY (ECU: electronic control unit) über die AES-Verschlüsselung. Der ECU-Schlüssel ECU-KEY kann vorteilhafterweise der Backend-Schlüssel BACKEND-KEY sein.
-
3 und 4 zeigen jeweils Vermerken-Schritte in dem erfindungsgemäßen Verfahren 1. In 3 wird der aktuelle Kilometerstand-Wert 8 in dem NVM-Speicher 7 von 0 auf 1 geändert. Entsprechend wird der Schlüssel-Zähler 5 in dem ersten ODO-Schlüssel ODO-KEY1 erhöht und der Schlüsselinhalt 6 des ODO-Schlüssels ODO-KEY1 verschlüsselt abgespeichert. Der Wert des Schlüssel-Zählers 5 entspricht nun dem aktuellen Kilometerstand des ersten Kraftfahrzeugs. In 4 wird der aktuelle Kilometerstand-Wert 8 in dem NVM-Speicher 7 von n auf n+1 geändert. Entsprechend wird der Schlüssel-Zahler 5 in dem ersten ODO-Schlüssel ODO-KEY1 erhöht und der Schlüsselinhalt 6 des ODO-Schlüssels ODO-KEY1 verschlüsselt abgespeichert. Die Nutzdaten bzw. das Payload weist dabei immer dieselbe Länge auf. Die Auflösung des gespeicherten Kilometerstand-Werts 8 und/oder des Kilometerstands in dem Schlüssel-Zähler 5 ist hierbei frei wählbar und kann vorteilhafterweise im Bereich 100 m liegen.
-
5 und 6 zeigen ein Zurücksetzen-Schritt in dem erfindungsgemäßen Verfahren 1. In dem Zurücksetzen-Schritt werden dabei ein Wert 3rdPartyRND der dritten Partei 9, zufällige Geheimnisse ECU-Random und ECU-Random2 und zwei von dem Backend-Server 3 erzeugte Geheimnisse SECRET-RANDOM2 und SECRET-RANDOM3 verwendet.
-
Bezugnehmend auf 5 wird der Zurücksetzen-Schritt von einer dritten Partei 9 initialisiert und durch den Backend-Server 3 kontrolliert. Dabei sendet die dritte Partei 9 an den Backend-Server 3 eine erste Anfrage und der Backend-Server 3 erzeugt eine erste Update-Datei. Das Geheimnis ECU-Random wird dabei in dem NVM-Speicher vermerkt und aus dem NVM-Speicher gelöscht, sobald der zweite ODO-Schlüssle ODO-KEY2 initialisiert ist. Mit der ersten Update-Datei kann die dritte Partei 9 die in dem HSM-Modul 4 gespeicherten Daten mit Test-Daten der ersten Update-Datei ersetzen. Danach sendet die dritte Partei 9 an den Backend-Server 3 eine zweite Anfrage und der Backend-Server 3 erzeugt eine zweite Update-Datei.
-
Bezugnehmend auf 6, wird bei der Installation der zweiten Update-Datei nun der zweite ODO-Schlüssel ODO-KEY2 mit dem VIN-Wert VIN des zweiten Kraftfahrzeugs initialisiert. Der Kilometer-Wert 8 wird nun in dem Schlüssle-Zähler 5 des zweiten ODO-Schlüssels ODO-KEY2 nicht löschbar vermerkt. Der erste ODO-Schlüssel ODO-KEY1 bleibt in dem HSM-Modul 4 abgespeichert und der Kilometerstand des ersten Kraftfahrzeugs in dem Schlüssle-Zähler 5 des ersten ODO-Schlüssels wird nicht gelöscht.
-
ZITATE ENTHALTEN IN DER BESCHREIBUNG
-
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
-
Zitierte Patentliteratur
-
