JP2004509511A - アクセス制御方法 - Google Patents

Abstract

バスシステムまたはネットワーク内のエレメントへのアクセスを制御するために、外部機器（１００）は機器固有の識別子を介してバスマネージャまたはネットワークマネージャ（３００）に自己証明する。認証後、デジタル鍵に基づいて外部機器に、所定のクラスへのその帰属性に相応して、バスシステムまたはネットワークのエレメントへのアクセスが許容される。

Description

【０００１】
従来の技術
本発明は、バスシステムまたはネットワーク内の素子へのアクセスを制御する方法から出発する。
【０００２】
ＩＥＥＥ規格１３９４［１］から、シリアルバスシステムが公知である。このシリアルバスシステムでは、種々の端末機（ノード）が４−６芯ケーブルまたは光導波体を介して接続される。ここで少なくとも１つのノードは、これがネットワークに対する付加的管理機能を引き受けることができるように構成することができる（バスマネージメント）。
【０００３】
上記の規格の他にバスに依存しない拡張形態もあり、ＨＡＶｉ（Ｈｏｍｅ Ａｕｄｉｏ Ｖｉｄｅｏ ｉｎｔｅｒｏｐｅｒａｂｉｌｉｔｙ）［２］として仕様化されている。このＨＡＶｉ仕様は、とりわけリソースマネージャを使用した、機器の遠隔制御を記述しており、リソースマネージャはリソース（機器）を要求に応じて占有し、これを再び開放する。
【０００４】
ＨＡＶｉ仕様には分散モデルも記載されている。この分散モデルでは、機器の制御がコントロールモジュール、いわゆる「デバイスコントロールモジュール（ＤＣＭ）」を介して行われる。このＤＣＭはソフトウエアエレメントとして、他の機器へコントロール機能を及ぼす機器上で実行される。ここでＤＣＭはそれぞれ所定の機器または機器クラスに対して専用のものである。
【０００５】
ＨＡＶｉ規格はソフトウエアエレメントに２つの異なる保安段階を割り当てる手段を提供する。ここでソフトウエアエレメントは、これが製造者により十分に検査されていれば「信頼できる」と標識付けられる。ダイナミックにシステムにロードされるソフトウエアエレメントでは、デジタル署名を介してソフトウエアエレメントの認証を証明しなければならない。すべてのＤＣＭは状態「信頼できる」を有していなければならない。製造者により「信頼できる」としてマーキングされなかったソフトウエアエレメントは「信頼できない」と標識付けられる。このランク付けに基づいて、装置の受信器は送信側ソフトウエアを信頼するか否かを判断する。すなわち「信頼できない」ソフトウエアエレメントも要求を送信できるが、この要求が満たされるか否かは確実ではない。
【０００６】
発明の利点
請求項１記載の手段により、とりわけ異種ネットワークでの使用、例えば自動車での使用に対して、ＨＡＶｉ規格によって達成されるよりも格段に安全な保安機能が保証される。とりわけ本発明は、種々のバス技術および／またはネットワーク技術を介したソフトウエアエレメント間の通信、およびソフトウエアエレメントとの通信に適する。機器、とりわけソフトウエアエレメントの一義的識別が、例えばＨＡＶｉ規格に従って動作するネットワーク内で達成される。機器またはソフトウエアエレメントは機器固有の識別子に基づき所定のクラスの機器であると識別される。機器ないしソフトウエアエレメントの認証はデジタル鍵に基づいて検出される。認証後、この機器にはそのクラス帰属性に相応する、バスシステムまたはネットワークのエレメントへのアクセスが許容される。
【０００７】
従属請求項には有利な構成が示されている。
【０００８】
請求項２によれば、外部機器はアクセスのためにゲートウエイで申請メッセージにより申請し、この申請メッセージがとりわけ機器識別子と共にバスマネージャまたはネットワークマネージャに伝送されると有利である。
【０００９】
請求項３によれば、機器固有の識別子の他に機器クラス識別子も伝送され、これらに基づいてアクセスを制御することができる。
【００１０】
請求項４および５による共通のキー取り決めによって、とりわけディフィエ・ヘルマン・キー交換（Ｄｉｆｆｉｅ−Ｈｅｌｌｍａｎ Ｋｅｙ−Ｅｘｃｈａｎｇｅ）を使用すれば、第３者がこのキーを検出することができない。
【００１１】
請求項６によれば、共通のキー取り決めの後、認証はチャレンジ・レスポンス法（Ｃｈａｌｌｅｎｇｅ−Ｒｅｓｐｏｎｓｅ−Ｖｅｒｆａｈｒｅｎ）に従って実行される。
【００１２】
請求項７の手段によって、ＩＳＯ／ＯＳＩレイヤーモデルによる信号変換、例えばアドレス変換を物理層でも、比較的に高い層でも実行できる。
【００１３】
ゲートウエイは請求項８により有利には、ファイヤウォール機能を装備することができ、他のネットワークからの権限のないアクセスを阻止する。
【００１４】
請求項９によれば、バスシステムまたはネットワークのどのリソースが外部機器をどのような形式で使用および／またはコントロールできるかを検出するために認証を使用することができる。
【００１５】
イネーブルまたはロックは、請求項１１によれば有利にはデータパケットのソースアドレスまたは目標アドレスに基づいて行われる。
【００１６】
請求項１２によれば、ファイヤウォール機能は、検出されたアクセス権限に相応して外部機器の所定のコマンドをフィルタリングすることができる。
【００１７】
アクセス権限をバスマネージャまたはネットワークマネージャにより固定的に割り当てる代わりに、請求項１３によればアクセス権限を取り決めることができる。
【００１８】
１つの外部機器の代わりに、請求項１４によればすべての外部バスシステムまたはネットワークも通信接続を行い、バスシステムまたはネットワークのエレメントにアクセスすることができる。
【００１９】
図面
図面に基づき本発明の実施例を説明する。
【００２０】
図１は、バスシステムのネットワーク構成を示す概略図である。
【００２１】
図２は、種々のネットワークエレメントを示す概略図である。
【００２２】
図３は、バスマネージャでの認証を示す概略図である。
【００２３】
実施例の説明
本発明をＩＥＥＥ規格１３９４［１］によるシリアルバスシステムに基づいて説明する。ここではＨＡＶｉ仕様［２］による拡張も基準にしている。本発明の本来の説明の前に、ＩＥＥＥ規格１３９４とＨＡＶｉ仕様を理解するために説明する。さらにいくつかの概念を説明する。
【００２４】
種々の端末機（ノード）が図１では４−６芯ケーブルまたは光導波体１を介して接続されている。ここでノードは選択的にエンドピース（葉）２００またはリレーノード（枝）３００，４００として構成することができる。最上位のノードは根と称される。種々のノード形式を使用することにより、ネットワークの適切なトポロジーを構成することができる。ここで葉は情報パケットを受信し、そのパケットの目標アドレスが固有のものと一致していれば、これを処理する。枝は付加的に、これがポートに受信するすべてのパケットを他のすべてのポートに送信しなければならない。
【００２５】
ＩＥＥＥ１３９４では、ネットワークが自動コンフィギュレートされる。すなわちスイッチオン後、またはリセット後にすべてのノードは自分自身に関する選択された複数の情報をネットワークに送信する。この情報はすべてのノードにより受信される。ここで１つのノードは、これが付加的にネットワークに対する管理機能（バスマネージメント）を引き受けることができるように構成されている。このためにこのノードは他のノードのすべての情報を収集し、これを処理し、内部に適切に記憶する。複数のノードがバスマネージメント能力を有している場合は、競争方法が存在し、ここから１つのノードが勝利者となり、バスマネージメントを引き受ける。
【００２６】
ＩＥＥＥ１３９４についての仕様に記述された方法の他に、バスに依存しない拡張ＨＡＶｉも存在する。この拡張はＩＥＥＥ１３９４−ネットワークで使用するのに適する。とりわけ機器をネットワーク内の他の各ポイントから遠隔制御することがＨＡＶｉ仕様に記載されている。このために分散モデルが記述されており、このモデルでは機器の制御がコントロールモジュール、いわゆる「デバイスコントロールモジュール（ＤＣＭ）」を介して行われる。このＤＣＭはソフトウエアエレメントとして、他の機器に対してコントロール機能を及ぼそうとする機器上で実行される。ここでＤＣＭは所定の機器または機器クラスに対してそれぞれ専用のものである。ソフトウエアエレメントの別のグループは「機能コンポーネントモジュール」となり、これらのうちそれぞれ複数を階層的にＤＣＭの下に配置することができ、機器の専用機能のそれぞれ一部をコントロールする。
【００２７】
ゲートウエイは２つのネットワーク相互の接続に用いる。ここでは、どのネットワークレイヤー（ＩＳＯ／ＯＳＩ階層モデルを参照）でこの接続が行われるかが区別される。従って第１の物理層だけを含むゲートウエイは実質的に物理的条件の変換器である。すなわち電子光学的変換器であり、ここで本来のデータは変化しない。比較的に高い層も含むゲートウエイは付加的に所定のデータフィールドを評価し、これを場合により目標システムの必要性の応じて変化し、例えば接続された２つのネットワークが異なるアドレシングスキームを使用する場合、目標アドレスおよびソースアドレスのアドレス変換を行うことができる。
【００２８】
ファイヤウォールはネットワークを、他のネットワークからの、例えばサブネットワークから他のサブネットワークへの不当なアクセスに対して保護する。
【００２９】
認証の際に、通信加入者は他の通信加入者に対して自分のＩＤの証明を行う。
【００３０】
グローバリー・ユニーク・アイデンティファイ（ＧＵＩＤ）はＩＥＥＥ１３９４規格で設定された番号であり、２４ビット長の製造者識別子と、４０ビット長の製造者により選択可能な数字からなる。製造者識別子はＩＥＥＥから申請により一義的に割り当てられる。ＧＵＩＤは、ＩＥＥＥ１３９４同意機器に固定的に記憶され、これを一義的に識別する。
【００３１】
モデルＩＤは２４ビット長のデータフィールドであり、これにより機器の製造者は所定の機器クラスまたはまたは機器ファミリーへの帰属性を表すことができる。
【００３２】
本発明の方法は、例えば自動車に接続される機器の認証を実行するのに用いられる。ここでは一般的に、ゲートウエイを介して準備された外部端子を有する内部ネットワークが設けられている。この端子はユーザポートと称される。ゲートウエイは、一方では物理的変換を行うために必要である。すなわち内部光導波体から外部電気端子または無線端子への変換である。他方では場合によりプロトコル変換を行うために必要である。さらに場合によりファイヤウォールの組み込みが所望される場合もある。これは内部ネットワークの安全を保証するためである。
【００３３】
ユーザ端子には、感知可能なデータを内部ネットワークと交換する機器、例えば工場診断装置も接続できるから、接続された機器およびネットワークの側から確実に認証を実行できることが必要である。この場合、本発明の方法は、ディフィエ・ヘルマン・キー交換として公知の（［３］７．１．５．２章参照）キーを確実に交換するメカニズムを使用する。さらにチャレンジ・レスポンス法として公知の（［３］７．１．５．１章）認証プロシージャを使用する。
【００３４】
３つのエンティティ（図２）が関与すると仮定する。外部機器１００がユーザ端子に接続される。この外部機器はさらにゲートウエイ２００を介して車両の内部ネットワーク１に接続されている。このネットワーク内ではバスマスタないしバスマネージャまたはネットワークマネージャ３００が中央コントロールエンティティとして用いられ、とりわけ接続された機器の認証を監視する。
【００３５】
外部機器１００の接続後、この機器はゲートウエイ２００にログインする。このログインメッセージ１２（図３）と共に、機器１００は自分のＧＵＩＤと有利にはそのモデルＩＤを伝送する。さらにこのメッセージは素数ｎと素数ｇを含んでおり、（ｎ−１）／２も同様に素数である。さらに機器は内部でランダム数ｘを選択する。このｎとｇに加えて、演算結果（ｇ^ｘ　ｍｏｄ　ｎ）がゲートウエイ２００に伝送される。ゲートウエイはこれらすべてのパラメータを受け取り、内部バスマネージャ３００にさらに送信する（１３）。バスマネージャ３００は次にランダム数ｙを選択し、機器１００から伝送された値に基づいて演算（ｇ^ｙ　ｍｏｄ　ｎ）を実行する。この演算結果はゲートウエイ（１４）へ、そしてそこから機器１００へ通知される（１５）。この２つの演算結果を用いて、外部機器１００とますマネージャ３００が演算Ｋ_ＥＢ＝（ｇ^ｘｙ　ｍｏｄ　ｎ）を計算する。この結果Ｋ_ＥＢを以降、共通鍵（１６）として後続の認証に用いる。共通鍵を決定し、しかも第３者がこれを検出できないこの手段は、ディフィエ・ヘルマン・キー交換と称される。
【００３６】
共通鍵（１６）外部機器１００とバスマスタ３００の両方で存在した後、認証はチャレンジ・レスポンス法に従って実行される。ここではバスマネージャ３００がランダム数Ｒ_Ｂ（いわゆるチャレンジ）を発生し、これを外部機器１００へ送信する（１７，１８）。外部機器１００はこのチャレンジを共通鍵Ｋ_ＥＢにより暗号化し、結果（１９）をゲートウエイ２００を介してバスマネージャに返信する（２０）（いわゆるレスポンス）。さらにこのメッセージはランダム数Ｒ_Ｅを含んでおり、これはチャレンジとしてバスマネージャに送信される。そしてバスマネージャはランダム数Ｒ_Ｂが正しい鍵Ｋ_ＥＢにより暗号化されたか否かを検査する。検証の後、バスマネージャはチャレンジＲ_Ｅを同様に鍵Ｋ_ＥＢにより暗号化し、結果（２１，２２）を外部機器１００へ送信する。外部機器はこの結果の正当性を自分の側で検査する。両方の検査で正しい結果が得られれば、両方の通信パートナー（機器１００とバスマネージャ３００）は認証される。バスマネージャは次にＧＵＩＤに含まれる製造者識別子およびシリアル番号または特に有利にはモデルＩＤに基づいて、ネットワークの所定のリソースへのアクセスを許容するか、または阻止する。
【００３７】
特に有利にはゲートウエイ２００は物理的条件および／またはプロトコルを変換する他に、ファイヤウォール機能２０１も有する。ここで特に有利には前に説明した認証方法を用いて、どのリソースが外部機器をどのような形式で使用および／またはコントロールできるかを検出する。
【００３８】
バスマネージャ３００はＧＵＩＤに含まれる製造者識別子（ベンダーＩＤ）および／またはシリアル番号および／または付加的モデルＩＤに基づいて、外部機器がどの機器タイプであるか、ないしはどの機器であるかを識別する。内部での方法の後、バスマネージャ３００は、個の利き１００に対するネットワークエレメントのアクセス権限を設定する。この検出されたアクセス権限に基づいて、バスマネージャ３００はファイヤウォール２０１をゲートウエイ２００内でコンフィギュレートし（２４）、これによりゲートウエイは設定された権限に従って阻止または開放する。ここでこの権限はソースアドレスに基づき、すなわちデータパケットの出所アドレス、またはデータパケットの目標アドレスに基づき調整できる。所定のコマンドをフィルタリングすることも可能であるが、面倒である。この場合、ファイヤウォールはデータパケットを非常に詳細に評価しなければならない。
【００３９】
図２の実施例では、外部機器１００が無線インタフェースを介して、車両内部のネットワーク１を備えるゲートウエイ２００に接続される。車両内部のネットワーク１には、バスマネージャ（バスマスタ）として標識付けられた少なくとも１つの機器３００と別の機器４００がある。
【００４０】
この例では、外部機器は工場診断装置であるとする。この診断装置は、車両内部の機器４００への通信を実行し、この機器、例えば中央制御ユニットで調整を読出し、変更することを可能にする機能を有している。この変更は条件にエラーのある場合には、機器または車両の機能に影響を及ぼし得るから、この制御ユニットへのアクセスに対しては認証が必要である。すなわち診断装置は、機器および／またはユーザがバスマネージャ３００に対して認証された場合にだけ制御ユニットへのアクセス権を得る。このために診断装置とバスマネージャはまず、キーセットを交換し、後続の認証を実行できるようにする。続いて認証が実行される。認証が成功すると、バスマネージャはどの形式のアクセスで診断装置が車両内部ネットワークのエレメントへアクセスをするかを決定し、ファイヤウォールモジュール２０１をゲートウエイ２００内部で相応にコンフィギュレートする。この場合、バスマネージャは車両製造者の自動化診断装置を識別し、完全なアクセス権をネットワークのすべての機器に対して許可する。これにより例えば後進をオペレーティングソフトウエアまたはユーザソフトウエアにより実行し、またはシステムのエラー診断を実行することができる。
【００４１】
図１の別の実施例では、接続される外部機器が自動化診断装置ではなく、携帯コンピュータである。この携帯コンピュータにより、ユーザは情報を車両に組み込まれた機器、例えばナビゲーション装置４００に伝送することができる。認証プロシージャの後、ファイヤウォールモジュール２０１にあるバスマネージャ３００は外部機器１００に対して、ナビゲーション装置４００に対するアクセスと、データ交換に必要な制御命令とを許容する。他の機器へのアクセスまたは他の命令は不可能である。なぜならこれはファイヤウォールモジュールによってブロックされているからである。
【００４２】
択一的に、アクセス権限をバスマネージャ３００と外部機器１００との間で取り決めることができる。この場合、外部機器は所定のアクセス権限を要求し、これをバスマネージャは許可または拒絶することができる。
【００４３】
ゲートウエイ２００に接続された外部機器１００の代わりに、ネットワークと通信接続しようとする外部ネットワークを接続することもできる。識別および認証のプロシージャは前の説明と同じように実行される。ネットワークはもちろん複数のゲートウエイを有することができ、これらのゲートウエイを介して複数の機器または複数のネットワークを接続することができる。これらはタイムシェアリングで、または同時にバスシステムまたはネットワークへアクセスする。とりわけ同じリソースに同時にアクセスする場合には、バスマネージャ３００はアクセスを、前もって取り決めた優先度に従い、または交渉により許可する。
【００４４】
【外１】

Claims (14)

1. バスシステムまたはネットワーク内のエレメントへのアクセス制御方法において、
   バスシステムまたはネットワークと通信接続しようとする外部機器（１００）が、機器固有の識別子を介してバスマネージャまたはネットワークマネージャ（３００）に自己証明し、
   ここで機器固有の識別子または該識別子に配属されたデータセットは、当該機器の所定のクラスへの帰属性についての情報を含んでおり、
   前記外部機器（１００）の認証をデジタル鍵に基づいて行い、
   認証後、外部機器（１００）に、バスシステムまたはネットワークのエレメントへの、そのクラス帰属性に相応するアクセスを許可する、
   ことを特徴とするアクセス制御方法。
2. 外部機器（１００）はアクセスのためにゲートウエイ（２００）に申請メッセージによって申請し、
   該申請メッセージをとりわけ機器識別子と共にバスマネージャまたはネットワークマネージャ（３００）に伝送する、請求項１記載の方法。
3. 機器固有の識別子の他に、機器クラス識別子も伝送する、請求項２記載の方法。
4. 共通のキー取り決めを、外部機器（１００）とバスマネージャまたはネットワークマネージャ（３００）との間で、とりわけパラメータ、すなわち素数、ランダム数およびそれらの結合数を交換することにより行う、請求項１から３までのいずれか１項記載の方法。
5. 共通のキー取り決めのために、ディフィエ・ヘルマン法を使用する、請求項４記載の方法。
6. 外部機器（１００）とバスマネージャまたはネットワークマネージャ（３００）との間で共通のキー取り決めを行った後、チャレンジ・レスポンス法による認証を実行する、請求項１から５までのいずれか１項記載の方法。
7. ゲートウエイ（１００）は、ＩＳＯ／ＯＳＩ階層モデルによる信号変換を、少なくとも１つの物理層および／または比較的高い層で実行するように構成されている、請求項２から６までのいずれか１項記載の方法。
8. ゲートウエイ（２００）は、ファイヤウォール機能（２０１）を実行するように構成されている、請求項２から７までのいずれか１項記載の方法。
9. 認証は、バスシステムまたはネットワークのどのリソースが外部機器（１００）をどのような形式で使用および／またはコントロールできるかを検出するために用いる、請求項８記載の方法。
10. バスマネージャまたはネットワークマネージャ（３００）は、当該バスマネージャまたはネットワークマネージャにより検出されたアクセス権限に基づいて、ファイヤウォール機能（２０１）をコンフィギュレートし、これによりファイヤウォール機能は検出されたアクセス権限に相応して、バスシステムまたはネットワークのリソースの開放または阻止を行う、請求項８または９記載の方法。
11. 前記開放または阻止は、データパケットのソースアドレスまたは目標アドレスに基づいて行う、請求項１０記載の方法。
12. 前記ファイヤウォール機能（２０１）は、検出されたアクセス権限に相応して外部機器（１００）の所定の命令をフィルタリングする、請求項１０記載の方法。
13. アクセス権限は外部機器（１００）とバスマネージャまたはネットワークマネージャ（３００）との間で取り決められる、請求項１から１２までのいずれか１項記載の方法。
14. 外部機器（１００）の代わりにまたは付加的に、外部バスシステムまたは外部ネットワークがバスシステムまたはネットワークとの通信接続を行い、これによりバスシステムまたはネットワークのエレメントへのアクセスを行う、請求項１から１３までのいずれか１項記載の方法。