JP2023528033A - 通信を保護するための方法 - Google Patents

Abstract

本発明は、少なくとも２名の加入者（１、２）間の通信を保護するための方法に関し、少なくとも２名の加入者（１、２）はそれぞれ、識別名（ＩＤ）及び保護手段（ＰＩＮ）を有し、それらを用いて好ましくは暗号化して通信するものである。本発明による方法では、加入者は、自身の識別名（ＩＤ）を交換し、加入者（１、２）の少なくとも一方は、他方の加入者（２、１）に、自身の識別名（ＩＤ）の他に、自身の位置（Ｐ３、Ｐ４）を通知し、他方の加入者（２、１）によって、加入者（１、２）の位置（Ｐ３、Ｐ４）は、加入者（１、２）が関与することなく決定又は照会され、その後、加入者（１、２）は、通信された位置（Ｐ３、Ｐ４）と決定又は照会された位置（ＰＰ３、ＰＰ４）との比較に基づいて、他方の加入者（２、１）を検証することを特徴とする。

Description

本発明は、請求項１のプリアンブルに詳細に記載された種類の、少なくとも２名の加入者間の通信を保護するための方法に関する。更に、本発明は、請求項９で詳細に記載のそのような方法の使用に関する。

２名以上の加入者間で適切に保護される通信のための方法は、その範囲では先行技術から公知である。典型的には、加入者のそれぞれが、識別名、例えば、ユーザ名、アカウント名など、及び通信の保護、例えば、パスワード保護されたアカウントなどを使用する。次いで、実際の通信の保護は、技術的には暗号化の方法で行われる。それに加え、パスワードが同様に「鍵」である。

このようなアプローチで常に問題となるのは、加入者のデータ、例えば、加入者の識別名及びパスワードが窃取されるという根本的な危険である。その場合、犯罪的なハッカーが、現存する加入者に成り代わって他方の加入者に連絡することができ、知り得た識別名及びパスワードによって、自分たちが本来期待された加入者であるとこの他方の加入者に信じ込ませるおそれがある。一般的に行われていて、パスワードの代わりに、例えば、記憶媒体などの他の手段も利用することができる、この種の検証は、典型的には、多様な通信で使用される。しかし、上述の例で示したように、この種の検証は、ユーザデータが盗まれて又はハッキングされて他人に知られている場合には安全でない。

ここで、本発明の課題は、加入者データが窃取又はハッキングされた場合であっても、更なる検証によって更に高いセキュリティをもたらす、加入者間の通信のために改善された保護を提供することである。

本発明によれば、本課題は、請求項１の特徴を有する方法によって解決される。これらの特徴の有利な実施形態及び発展形態は、それらに関する従属請求項から明らかになる。更に、請求項９には、本方法の特に好ましい使用が示されている。

２名の加入者間の通信を保護するための本発明による方法では、加入者は、先行技術と同様、例えば、アカウント名、顧客番号などの識別名を使用する。更に、加入者は、例えば、個人識別番号（ＰＩＮ）、パスワードなどによる通信の保護を使用する。それにより、両方の加入者は、原則として、暗号化して通信することができる。しかし、識別名及びパスワードなどが盗難に遭った場合に、不法取得者が加入者に成り代わるおそれがあるという上述の問題がある。これにより、例えば、マルウェアがシステムに潜入する可能性があるため、著しい損害が発生するおそれがある。このシステムが、例えば、自動車である場合、それにより、交通の安全性及びユーザのセキュリティに対して著しい不利益が発生する。

したがって、本発明によれば、加入者のうちの少なくとも一方が、自身の識別名の他に、物理的属性である自身の位置を他方の加入者に通知するようにする。一方の加入者はある地点にしか存在し得ないため、この属性を改ざんすることはできない。このある地点を、一方の加入者は、他方の加入者に通知する。これと並行して、他方の加入者は、そのそれぞれの相手方の、ここではすなわち、第１の加入者のこの位置を、更に、第１の加入者の関与なしに、例えば、衛星航法による能動的測位を介して、並行経路で応答する。第２の加入者は、このとき、他方の加入者から通知されたデータセットと、他方の加入者の関与なしに、場合によっては他方の加入者の了解なしに、応答されたデータセットと、を有する。したがって、両方のデータセットと、ここでは特に、第１の加入者の位置とは、他方の加入者によって適切に照合することができる。これらが一致する場合、通知された位置を適切に検証することができる。追加で送信されたこの物理的属性に基づいて、この属性が適正である場合には、第１の加入者が実際に期待された加入者であることを前提にすることができる。それにより、高レベルの保護が可能になり、ハッカーが「潜入」し、通信を相当程度悪用する危険を、比較的安全に排除することができる。

したがって、例えば、車両制御システムが交通の安全性に関連するアップデートをダウンロードする場合は、本発明による方法により、相手側の位置の物理的属性に基づいて相手側を検証する。それにより、セキュリティ上の問題などを引き起こしかねない改ざんされたソフトウェアがハッカーから自分に提供されることを、高い確率で除外することができる。

この場合、本発明による方法の特に好都合な実施形態は、加入者が位置に関して相互に検証することを企図している。これにより、本方法は、特に安全になる。

この場合、本着想の極めて有利な一発展形態によれば、一連の通信において、自身の位置の通知と共に、タイムスタンプが自動的に伝送される。次いで、このタイムスタンプに基づいて、対応する信号を簡単かつ効率的に処理して、複数の航法衛星を経由して、又は、それぞれの加入者が互いにあまりにも遠く離れている場合は、典型的には衛星管制センタという形式での１つ以上の中継局を経由して、それぞれの加入者の他方の加入者までの信号伝搬遅延を算出することができる。

この場合、衛星システムごとに前提条件が異なる。こうして、例えば、現在とりわけアジア太平洋地域で使用可能な衛星航法システムＢｅｉｄｏｕの場合、能動的測位が提供サービスの一部となっているため、それぞれの他方の加入者の位置を、衛星航法システムを経由して簡単に、能動的に応答することができる。別の衛星システムでは、この機能が簡単には使用できない。しかし、この機能は、それぞれの他方の加入者の位置が本発明による方法の有利な一発展形態により、タイムスタンプに基づいて、加入者と航法衛星との間の信号伝搬遅延から算出されることによって、利用することができる。これにより、信号伝搬遅延の相応に正確な算出が可能である。この場合、算出において、本着想の極めて有利な一発展形態によれば、特に４つの航法衛星が関与する場合、それぞれの加入者の位置の極めて正確な画像がもたらされる。

次いで、この位置は、保護の検証のために、加入者によって通知された位置と照合することができる。これらの位置が一致しない場合、又は一致しているが、許容範囲を超えている、若しくは場合によっては加入者のうちの一方の移動によって生じる範囲を超える場合には、照会が加入者自身によるものでなく、例えば、実際にはアカウントにアクセスしたハッカーによるものであり、現時点での加入者の実際の滞在地点が不明であることを前提にする必要がある。この場合、通信の保護を検証することができず、したがって通信が確立されず、そのため潜在的なハッカーは、加入者のアカウントを利用することができない。

加入者相互の距離に応じて、航法衛星データの伝送を、算出と同様に、直接行うことができる。しかし、その伝送を、１つ以上の中継局、特にサービスプロバイダである衛星管制センタを経由して行うこともできる、又は対応する位置を、このサービスプロバイダから提供することもできる。

本発明による方法の極めて好都合な一発展形態によれば、このとき更に、通知された位置及び／又は決定された位置が、マップデータを介して検証されることが企図される。これにより、更なるセキュリティ段階が可能になる。マップデータを介した位置の検証時、例えば、通知された位置及び／又は決定された位置が、例えば、直前又は最後の通信時に通知された位置及び／又は決定された位置から相応に相違していることを考慮することができる。相違がわずかな距離の範囲内にある場合、この相違は重大でないと考えられる。しかし、この相違が、ほぼ間違いなく、加入者がこれらの距離を両方の通信の間の時間中に移動することができないほど長い距離である場合、これは既に、加入者のアカウントがハッキングされており、加入者自身が通信に関与していないことを示す指標でもある。

この場合、マップデータを介した検証時、本着想の有利な一発展形態によれば、保存地点と現在地点との間の地点、距離及び／又は時間が利用される。既に上述の例の他に、地点を、特に安全である又は安全でないと規定することができる。通信が、例えば、サービスプロバイダと加入者としての車両との間で確立される場合、例えば、修理工場、車両所有者自身のガレージなどを安全な地点としてマーキングすることができる。他方では、例えば、車両によって到達できない地点を、非論理的として、したがって、検証に適していない地点として規定することができ、例えば、山岳地域、車両通行可能な道路のない地方などがある。

この場合、本発明による方法は、加入者間のあらゆる種類の通信を保護するために行い、加入者の物理的属性を加入者の位置の形式で有する実に多種多様なアカウントを検証することができる。この場合、本方法は、車両メーカーのサービスセンタとその車両メーカーによって製造された車両との間の通信を保護するのに特に良く適している。それに対応して、本発明による方法の好都合な使用によれば、車両又はサーバと車両との間の通信を保護するための方法を使用することが企図される。これにより、相応に安全な通信を確立することができ、これにより、送信されたデータに関して極めて高いセキュリティを保証することができる。本発明による方法により、可能な限り改ざん不可能にして、例えば、重要な情報を車両メーカーのサーバから車両に送信することを可能にし、これには、例えば、走行機能、運転者支援システム、自律運転機能などを含む、例えば、セキュリティ関連のコンテンツを有するソフトウェアアップデートがある。本発明による方法の極めて有利な一発展形態によれば、ソフトウェアアップデートを送信するために本方法を利用することが相応に企図され得る。

本発明は、更に、本方法を実現することができるコンピュータプログラム製品に関する。

本発明による方法の更なる有利な実施形態は、以下で図を参照して詳述されている実施例からも明らかとなる。

本発明による方法を使用して通信を保護するための、及びその保護を利用するための例示的な手順を示す図である。 衛星管制センタが関与して位置を特定するためのシナリオを示す図である。 衛星管制センタを使用しない代替シナリオを示す図である。

図１には、本発明による方法がどのように機能して利用することができるのかという、連続する様々なステップが概略的に図示されている。図１の左には、加入者１が車両１の形で図示されており、図１の右には、加入者２として、例えば、車両メーカーのサービスセンタ２又はそのバックエンドサーバが図示されている。車両１は、対応するアカウントを介して、加入者２としてのサービスセンタと通信を行う。車両１の識別名（ＩＤ）は、例えば、車両識別番号であり得る。その識別名は、ここで図示された実施例では、Ｖ１である。更に、加入者としての車両１は、ここでは単にＮ５と例示されているＰＩＮを使用する。第２の加入者としてのサービスセンタ２は、同様に、ここではＳ２と例示されているＩＤを使用する。サービスセンタ２のＰＩＮは、Ｎ６と例示されている。更に、両方の加入者１、２が対応する位置にあるということは、すなわち、測地学上の位置にあるということである。この位置は、加入者としての車両１の場合はＰ３と表示され、加入者としてのサービスセンタ２の場合はＰ４と表示されている。

このとき、第１のステップ１００において、サービスセンタ２から識別名Ｖ１を有する車両１への照会が、例えば、ソフトウェアアップデートの時期が到来したという通知を伴って送信される。このとき、識別名Ｖ１を有する加入者としての車両１が、識別名Ｖ１及び対応するＰＩＮを有する自身のアカウントを経由して、サービスセンタへの通信を確立し、誰が第１のステップ１００に由来するメッセージを送信したのかを照会する。これは、図１では、第２のステップ２００として図示されている。サービスセンタ２の領域では、このとき、このサービスセンタが自身の現在位置Ｐ４を自身の識別名及びタイムスタンプＴ８と一緒に通知する第３のステップ３００となる。これらのデータは、第４のステップ４００において車両１に送信される。第５のステップ５００において、このとき、車両１は、サービスセンタ２の物理的位置ＰＰ４を、例えば、タイムスタンプＴ８並びにサービスセンタ２と後で更に詳述する少なくとも４つの衛星３．１、３．２、３．３、及び３．４との間の信号伝搬遅延に基づいて、かつ場合によっては衛星管制センタ４が関与して算出する。次いで、この第５のステップ５００の終了時に、こうして算出された位置ＰＰ４が通知された位置Ｐ４に相当するかどうかを点検することができる。「はい」の場合、通信は相応に検証され、続いて、第６のステップ６００において、自身の位置は、自身のＩＤ及び自身のタイムスタンプ９と結合され、第７のステップ７００において、車両１側での検証の確認と一緒にサービスセンタ２に送信される。Ｐ４とＰＰ４とが一致しない場合、車両１からの通信は、ステップ６１０において中止される。

次いで、第８のステップ８００において、第５のステップ５００において車両１で実施された点検がサービスセンタ２の側でも行われる。したがって、サービスセンタ２は、ここで８００と記されたこの第８のステップにおいて、同一のデータを同一の手法で決定し、次いで、車両Ｖ１がこの値の決定に能動的に影響を与えることなく、位置ＰＰ３を算出することができる。その場合、この位置は、車両１がハッキングされているか否かに関わらず、以前にサービスセンタ２の位置ＰＰ４が信頼できるものであったのと同様に、信頼できるものである。ステップ９００において、決定された位置ＰＰ３と通知された位置Ｐ３とが再度同じであった場合には、サービスセンタ２の側で検証が行われ、この検証は、第１０のステップ１０００において車両に通知される。同じでなかった場合、ステップ９１０において中止となる。

両方の加入者１、２の肯定的検証に引き続き、保護された通信を、例えば、ここで１１００と表示されたステップにおいて、双方向通信として行うことができる。本明細書の冒頭に既に述べたように、この通信へのハッカーの侵入は、加入者１、２の位置という形式での物理的属性の点検に基づいて、ほとんど不可能であるか、又は極端な費用をかけなければ不可能であるため、この通信のセキュリティは相応に高い。次いで、第１０のステップ１０００におけるこの通信の範囲において、例えば、ソフトウェアアップデートは、サービスセンタ２から車両１にアップロードされる。この場合、この通信を、現在の通信にのみ適用される、１回限りの鍵で保護することが可能であるため、通信終了後、この鍵はまた、仮にその鍵が悪意の者に渡ったとしても、ほとんど無価値である。

図２の図示では、このとき第１のシナリオと認識できる。この場合、既に述べたように、車両１及びサービスセンタ２は、２名の加入者として、暗示された地球５の上に対応して図示されている。この地球５の上方の宇宙には、個別の４つの衛星３．１、３．２、３．３、及び３．４が示されている。更に、地球５の上の両方の加入者１、２の間には、ここで中継局及びサービスプロバイダとして通信に関与する衛星管制センタ４がある。このとき、それぞれの他方の加入者の位置を決定するために、例えば、サービスセンタ２は、その上方にある衛星３．３及び３．４を経由して、「位置Ｐ３にある車両１に、私の位置を通知してください」という短い照会を管制センタ４に送信する。このとき、管制センタ４では、サービスセンタ２と衛星３．４との間、及びサービスセンタ２と衛星３．３との間のデータの経過時間に基づいて、サービスセンタの位置が決定され、ここで図示された実施例では、衛星３．１を経由して車両１に相応に通知される。次いで、この車両１は、管制センタ４を経由してこのように取得した位置を位置ＰＰ４として利用し、この位置を、サービスセンタ２から直接、例えば、モバイルデータ接続を経由して通知された位置Ｐ４と照合する。

図３の図示では、衛星管制センタ４がここで介在する必要なく、同じシナリオが再度示されている。サービスセンタ２は、ここで、メッセージを車両１に、自身のタイムスタンプ及び自身のＩＤと共に、好適には４つの衛星３．１、３．２、３．３、及び３．４を経由して送信する。衛星は、メッセージ及び対応する信号を車両１に転送し、車両１は、このとき、自律的に信号伝搬遅延に基づいて個々の衛星を経由してサービスセンタ２の位置を、すなわち、図１の図示によれば位置ＰＰ４を算出することができる。

この場合、シナリオでは、図２の図示において認識できるように、衛星管制センタ４自体がサービスセンタ２と衛星３．３及び３．４との間の信号の経過時間からサービスセンタ２の位置を、既知の自身の位置を利用して正確に決定し、相応に転送することによって、衛星管制センタ４は、能動的な役割を果たす。その代わりに、もちろん、このシナリオでは図３のシナリオの場合と同様に扱われることも考えられよう。その場合、衛星サービスセンタ４は、中継局の機能のみを有し、サービスプロバイダの機能は全く有さないであろう。次いで、データは相応に順送りされ、以前のタイムスタンプに代わる自身のタイムスタンプを付与されて、加入者１、２の場合、算出を適切な方法で直接実施することができよう。

両方のシナリオでは、このとき、車両１は、両方の位置を相応に照合することができる、すなわち、図１で５００と称されるステップを適切に実施し、車両１側で反対方向にデータを送信して、ステップ８００においてサービスセンタ２が同じことを実施することができる。全ての位置Ｐ３及びＰ４が適正に検証された場合、このとき、権限のない加入者と通信するおそれが極めて高くならずに、安全に通信することができる。

本発明は、請求項１のプリアンブルに詳細に記載された種類の、少なくとも２名の加入者間で通信を保護するための方法に関する。更に、本発明は、請求項７で詳細に記載のそのような方法の使用に関する。

このようなアプローチで常に問題となるのは、加入者のデータ、例えば、加入者の識別名及びパスワードが窃取されるという根本的な危険である。その場合、犯罪的なハッカーが、現存する加入者に成り代わって他方の加入者に連絡することができ、知り得た識別名及びパスワードによって、自分たちが本来期待された加入者であるとこの他方の加入者に信じ込ませるおそれがある。一般的に行われていて、パスワードの代わりに、例えば、記憶媒体などの他の手段も利用することができる、この種の検証は、典型的には、多様な通信で使用される。しかし、上述の例で示したように、この種の検証は、ユーザデータが盗まれて又はハッキングされて他人に知られている場合には安全でない。
この場合、先行技術に関しては、ＡＬＬＩＧ，Ｃ．ｅｔ ａｌ．Ｔｒｕｓｔｗｏｒｔｈｉｎｅｓｓ Ｅｓｔｉｍａｔｉｏｎ ｏｆ Ｅｎｔｉｔｉｅｓ ｗｉｔｈ Ｃｏｌｌｅｃｔｉｖｅ Ｐｅｒｃｅｐｔｉｏｎ；ｉｎ：ＩＥＥ Ｖｅｈｉｃｕｌａｒ Ｎｅｔｗｏｒｋｉｎｇ Ｃｏｎｆｅｒｅｎｃｅ（ＶＮＣ），２０１９，８頁，ＩＳＳＮ ２１５７－９８６５、及び、更に、ＥＴＳＩ規格 ＥＮ ３０２ ６３７－２ Ｖ１．３．２（２０１４－０９）．Ｉｎｔｅｌｌｉｇｅｎｔ Ｔｒａｎｓｐｏｒｔ Ｓｙｓｔｅｍｓ（ＩＳＴ）；Ｖｅｇｈｉｃｕｌａｒ Ｃｏｍｍｕｎｉｃａｔｉｏｎｓ；Ｂａｓｉｃ Ｓｅｔ ｏｆ Ａｐｐｌｉｃａｔｉｏｎｓ；Ｐａｒｔ ２：Ｓｐｅｃｆｉｃａｔｉｏｎ ｏｆ Ｃｏｏｐｅｒａｔｉｖｅ Ａｗａｒｅｎｅｓｓ Ｂａｓｉｃ Ｓｅｒｖｉｃｅ；１－４４頁を参照することができる。概観すれば、これらの参照文献では、基本的に２つのデータソースから加入者の位置を検証することが示唆されている。
これに加えて、ＡＮＷＡＲ ＡＮＩＫＡ ＥＴ ＡＬ：“Ｃｌｏｕｄ－ｂａｓｅｄ Ｓｙｂｉｌ Ａｔｔａｃｋ Ｄｅｔｅｃｔｉｏｎ Ｓｃｈｅｍｅ ｆｏｒ Ｃｏｎｎｅｃｔｅｄ Ｖｅｈｉｃｌｅｓ”，２３．Ｏｃｔｏｂｅｒ ２０１９（２０１９－１０－２３），１１４－１２１頁，ＸＰ０３３７７７３６９では、車両が接続されている分散型コンピュータネットワークへの攻撃をそれによっていかに検知するかという、クラウドベースのアプローチについて記載されている。

本発明によれば、本課題は、請求項１の特徴を有する方法によって解決される。これらの特徴の有利な実施形態及び発展形態は、それらに関する従属請求項から明らかになる。更に、請求項７には、本方法の特に好ましい使用が示されている。

Claims (12)

1. 少なくとも２名の加入者（１、２）間の通信を保護するための方法であって、前記少なくとも２名の加入者（１、２）はそれぞれ、識別名（ＩＤ）及び保護手段（ＰＩＮ）を有し、それらを用いて好ましくは暗号化して通信する、前記方法において、
   前記加入者（１、２）は、自身の識別名（ＩＤ）を交換し、前記加入者（１、２）の少なくとも一方は、他方の加入者（２、１）に、自身の識別名（ＩＤ）の他に自身の位置（Ｐ３、Ｐ４）を通知し、前記他方の加入者（２、１）によって、前記加入者（１、２）の前記位置（Ｐ３、Ｐ４）は、前記加入者（１、２）が関与することなく決定又は照会され、その後、前記加入者（１、２）は、前記通知された位置（Ｐ３、Ｐ４）と前記決定又は照会された位置（ＰＰ３、ＰＰ４）との比較に基づいて、前記他方の加入者（２、１）を検証することを特徴とする、方法。
2. 前記加入者（１、２）は、前記位置に関して相互に検証することを特徴とする、請求項１に記載の方法。
3. 前記位置（Ｐ３、Ｐ４）の前記通知と共に、タイムスタンプ（Ｔ８、Ｔ９）が自動的に伝送されることを特徴とする、請求項１又は２に記載の方法。
4. それぞれの前記他方の加入者（１、２）の前記位置（ＰＰ３、ＰＰ４）は、能動的測位を介して、衛星航法システム及び衛星管制センタ（４）を使用して照会されることを特徴とする、請求項１、２又は３に記載の方法。
5. それぞれの前記他方の加入者（１、２）の前記位置（ＰＰ３、ＰＰ４）は、前記タイムスタンプ（Ｔ８、Ｔ９）に基づいて前記加入者（１、２）と衛星（３．１、３．２、３．３、３．４）との間の信号伝搬遅延から算出されることを特徴とする、請求項１、２又は３に記載の方法。
6. 前記算出において、少なくとも４つの衛星（３．１、３．２、３．３、３．４）が関与することを特徴とする、請求項５に記載の方法。
7. 前記通知及び／又は前記算出は、直接、又は、少なくとも１つの中継局として及び／又はサービスプロバイダとして衛星管制センタ（４）が関与して行われることを特徴とする、請求項１から６のいずれか一項に記載の方法。
8. 前記通知された位置及び／又は前記決定された位置（Ｐ３、Ｐ４、ＰＰ３、ＰＰ４）は、マップデータを介して検証されることを特徴とする、請求項１から７のいずれか一項に記載の方法。
9. マップデータを介して地点を検証するために、保存地点と現在地点との間の距離及び／又は時間が利用されることを特徴とする、請求項８に記載の方法。
10. 車両（１）及び／又はサーバ（２）と車両（１）との間の前記通信のための、請求項１から９のいずれか一項に記載の通信を保護するための方法の使用。
11. 前記通信は、ソフトウェアアップデートを送信するために使用されることを特徴とする、請求項１０に記載の使用。
12. 請求項１から１１のいずれか一項に記載の方法を実行するように構成されている、コンピュータプログラム製品。

Images