DE102015225787A1

DE102015225787A1 - Method and apparatus for receiver authentication in a vehicle network

Info

Publication number: DE102015225787A1
Application number: DE102015225787.8A
Authority: DE
Inventors: Marco Baade; Timo WINKELVOS; Christian Gierds; Alexander TSCHACHE
Original assignee: Volkswagen AG
Current assignee: Volkswagen AG
Priority date: 2015-12-17
Filing date: 2015-12-17
Publication date: 2017-06-22

Abstract

Die Erfindung betrifft ein Verfahren zur Empfängerauthentifikation in einem Fahrzeugnetzwerk (14; 140) mit mindestens einem Sender (36; 160) und mindestens einem Empfänger (24; 240). Es sind Schritte vorgesehen, des Sendens eines Authentizitätsmerkmals durch den Empfänger (24; 240); des Empfangens des Authentizitätsmerkmals durch den Sender (36; 160); und des Prüfens der Authentizität des Empfängers (24; 240) anhand des Authentizitätsmerkmals durch den Sender (36; 160). Der Erfindung liegt die Aufgabe zugrunde, die Authentizitätsprüfung eines Empfängers zu vereinfachen.The invention relates to a method for receiver authentication in a vehicle network (14; 140) having at least one transmitter (36; 160) and at least one receiver (24; 240). Steps are provided for sending an authenticity feature by the receiver (24; 240); receiving the authenticity feature by the sender (36; 160); and verifying the authenticity of the recipient (24; 240) based on the authenticity feature by the sender (36; 160). The invention has for its object to simplify the authenticity test of a recipient.

Description

Die Erfindung betrifft ein Verfahren zur Empfängerauthentifikation in einem Fahrzeugnetzwerk, eine Vorrichtung zur Empfängerauthentifikation in einem Fahrzeugnetzwerk sowie ein Fahrzeug. The invention relates to a method for receiver authentication in a vehicle network, a device for receiver authentication in a vehicle network and a vehicle.

Sender von kritischen Informationen in einem heutigen Fahrzeugnetzwerk oder Fahrzeugbussystem können nicht validieren, ob der Empfänger der Nachrichten einen integren Zustand hat. Dies ist insbesondere dann kompliziert, wenn der Empfänger eigentlich keine Nachrichten an den Sender schickt, was bei einer unidirektionalen Kommunikation zum Beispiel im Fahrzeugverbund häufig der Fall ist. Zum Beispiel könnten manipulierte Geräte eingebaut werden, ohne dass der Sender dies feststellen kann. Senders of critical information in a current vehicle network or vehicle bus system can not validate that the recipient of the messages is in an integrity state. This is complicated in particular when the receiver actually does not send any messages to the transmitter, which is often the case with unidirectional communication, for example in the vehicle network. For example, compromised devices could be installed without the sender knowing.

Eine gegenseitige Authentifizierung, wie durch TLS oder IPSec, ist in diesem und auch weiteren Anwendungsbereichen aufgrund von Ressourcenbeschränkungen der Teilnehmer nicht umsetzbar. Mutual authentication, such as through TLS or IPSec, is not feasible in this and other applications due to resource constraints on participants.

WO 2005/115809 A1 offenbart ein Verfahren zur Authentisierung einer fahrzeugexternen Vorrichtung, bei dem in dem Bussystem eine Authentisierungsvorrichtung vorgesehen ist, welche eine Authentisierungsanfrage an die fahrzeugexterne Vorrichtung übermittelt, um eine asymmetrisch verschlüsselte Kommunikation aufzubauen WO 2005/115809 A1 discloses a method for authenticating an off-board device in which an authentication device is provided in the bus system, which transmits an authentication request to the vehicle-external device in order to establish an asymmetrically encrypted communication

WO 2005/116834 A1 offenbart ein Verfahren zur Authentisierung von Steuergeräten in einem Bussystem eines Kraftfahrzeugs, wobei ein erstes Steuergerät über das Bussystem eine Authentisierungsanfrage an eine Authentisierungsvorrichtung übermittelt, derart dass die Kommunikation mit einem symmetrischen Schlüssel gesichert wird. WO 2005/116834 A1 discloses a method for authenticating control units in a bus system of a motor vehicle, wherein a first control unit transmits an authentication request via the bus system to an authentication device, such that the communication is secured with a symmetric key.

Der Erfindung liegt nun die Aufgabe zugrunde, die Authentizitätsprüfung eines Empfängers zu vereinfachen. The invention is based on the object of simplifying the authenticity check of a recipient.

Diese Aufgabe wird gelöst durch ein Verfahren gemäß Anspruch 1, eine Vorrichtung gemäß Anspruch 8 beziehungsweise ein Fahrzeug gemäß Anspruch 12. This object is achieved by a method according to claim 1, a device according to claim 8 or a vehicle according to claim 12.

Das erfindungsgemäße Verfahren zur Empfängerauthentifikation in einem Fahrzeugnetzwerk mit mindestens einem Sender und mindestens einem Empfänger umfasst die Schritte:

– Senden eines Authentizitätsmerkmals durch den Empfänger;
– Empfangen des Authentizitätsmerkmals durch den Sender; und
– Prüfen der Authentizität des Empfängers anhand des Authentizitätsmerkmals durch den Sender.

The inventive method for receiver authentication in a vehicle network with at least one transmitter and at least one receiver comprises the steps:

Sending an authenticity feature by the recipient;
Receiving the authenticity feature by the sender; and
Checking the authenticity of the recipient based on the authenticity feature by the sender.

Das erfindungsgemäße Verfahren hat den Vorteil, dass es ressourcenschonend ist und daher auch auf Teilnehmern mit geringer Rechenleistung ausgeführt werden kann. Zum ist es gut skalierbar bezüglich Umfang und Anzahl der Teilnehmer. Das Verfahren kann auf unterschiedlichen Bus- und Protokolltechnologien eingesetzt werden und beeinflusst nicht die bestehenden Botschaften und Signale. Die Gefahr durch informationstechnische Manipulationen, welche mit der steigenden Digitalisierung verbunden ist, kann durch das vorgeschlagene Verfahren verringert werden, da direkt der Empfänger authentifiziert wird und nicht wie meist üblich die Nachrichten zwischen Sender und Empfänger. Dies erlaubt die Identifizierung nicht authentischer Netzwerkteilnehmer. Diese Identifizierung oder Authentizitätsprüfung wird zum Beispiel mit einer Authentizitätsbotschaft vor dem Senden der eigentlichen Nachrichten ausgeführt, so dass der Sender der eigentlichen Nachricht einen Mechanismus für die Authentifizierung des oder der Empfänger seiner Daten zur Verfügung gestellt bekommt. Das Fahrzeugnetzwerk kann zum Beispiel ein Bussystem, wie ein CAN-Bus, sein. The method according to the invention has the advantage that it is resource-conserving and therefore can also be executed on subscribers with low computing power. For it is well scalable in terms of size and number of participants. The method can be used on different bus and protocol technologies and does not affect the existing messages and signals. The risk of information technology manipulation, which is associated with the increasing digitization, can be reduced by the proposed method, since the receiver is authenticated directly and not, as is usual, the messages between sender and receiver. This allows the identification of non-authentic network participants. This identification or authenticity check is carried out, for example, with an authenticity message prior to the transmission of the actual messages, so that the sender of the actual message receives a mechanism for the authentication of the receiver (s) of his data. The vehicle network may be, for example, a bus system, such as a CAN bus.

Das Authentizitätsmerkmal kann eine Signatur sein. Eine Signatur ist bereits vorhanden oder einfach zu erstellen, was die Umsetzung des Verfahrens erleichtert. Statt einer Signatur kann zum Beispiel eine konstante Zahl als Authentizitätsmerkmal verwendet werden, die dann im Sender und im Empfänger vorhanden ist. The authenticity feature can be a signature. A signature is already present or easy to create, which facilitates the implementation of the procedure. For example, instead of a signature, a constant number can be used as an authenticity feature, which then exists in the sender and receiver.

Das Authentizitätsmerkmal kann auf zuvor in den mindestens einen Sender und den mindestens einen Empfänger symmetrischen Schlüsseln basieren. Oft sind derartige Schlüssel, zum Beispiel für die Verschlüsselung der Kommunikation in dem Fahrzeugnetzwerk bereits vorhanden, so dass kein weiterer Aufwand betrieben werden muss. Im Vergleich zu asymmetrischen Verschlüsselungsverfahren ist der Rechenaufwand bei dem hier vorgeschlagenen symmetrischen Verschlüsselungsverfahren geringer. Bei ausreichender Infrastruktur kann auch ein asymmetrisches Verschlüsselungsverfahren eingesetzt werden. The authenticity feature may be based on keys symmetric previously to the at least one sender and the at least one receiver. Often such keys, for example, for the encryption of communication in the vehicle network already exists, so that no further effort must be operated. In comparison to asymmetric encryption methods, the computational effort is lower in the case of the symmetrical encryption method proposed here. With sufficient infrastructure, an asymmetric encryption method can also be used.

Das Authentizitätsmerkmal kann zyklisch gesendet werden. Ein zyklisches Aussenden eignet sich insbesondere für Systeme mit mehreren Sendern und Empfängern. Da die das Authentizitätsmerkmal enthaltene Authentizitätsbotschaft keine weitere Datenlast hat, führt eine zyklische Versendung nicht zu einer Verringerung der Übertragungsbandbreite. The authenticity feature can be sent cyclically. A cyclical transmission is particularly suitable for systems with multiple transmitters and receivers. Since the authenticity message containing the authenticity feature has no further data load, a cyclical transmission does not lead to a reduction of the transmission bandwidth.

Das Authentizitätsmerkmal kann auf Anfrage gesendet werden. Hierbei kann zum Beispiel ein Sender oder ein Busmaster dediziert das Authentizitätsmerkmal eines, mehrerer oder aller Empfänger eines Systems anfordern. Dies kann zum Beispiel vor dem Senden einer Nachricht oder für eine Bestandsaufnahme oder Überprüfung des Systems geschehen. Die zyklische Sendung und die Sendung auf Anfrage können auch kombiniert werden. The authenticity feature can be sent on request. In this case, for example, a sender or a bus master can dedicately request the authenticity feature of one, several or all recipients of a system. This can be done before, for example Sending a message or doing an inventory or review of the system. The cyclic transmission and the transmission on request can also be combined.

Es kann vorgesehen sein, dass der mindestens eine Sender und der mindestens eine Empfänger Steuergeräte sind. In Fahrzeugen sind dies typische Busteilnehmer, die auch, zum Beispiel im Rahmen einer Reparatur, ausgetauscht werden können. Dadurch ändert sich das System oder der Verbund, so dass die Authentifizierung des oder der Steuergeräte die Sicherheit erhöht. It can be provided that the at least one transmitter and the at least one receiver are control devices. In vehicles these are typical bus subscribers, which can also be exchanged, for example as part of a repair. This changes the system or the interconnect so that authentication of the controller (s) increases security.

Es kann weiter vorgesehen sein, dass eine Nachricht durch den Sender an den Empfänger nur bei erfolgter Authentifizierung gesendet wird. Dadurch wird verhindert, dass ein nicht authentifizierter Teilnehmer Daten oder Nachrichten von dem Sender erhält. Auf diese Weise kann ein nicht erwünschter Abfluss von Daten oder Informationen verhindert werden. It may further be provided that a message is sent by the sender to the receiver only when authentication has taken place. This prevents an unauthenticated subscriber from receiving data or messages from the sender. In this way, unwanted outflow of data or information can be prevented.

Die erfindungsgemäße Vorrichtung zur Empfängerauthentifikation in einem Fahrzeugnetzwerk mit mindestens einem Sender und mindestens einem Empfänger, dadurch gekennzeichnet, dass der mindestens eine Empfänger eingerichtet ist, ein Authentizitätsmerkmal zu senden und dass der mindestens eine Sender eingerichtet ist, die Authentizität des Empfängers anhand des Authentizitätsmerkmals zu prüfen. Es gelten die gleichen Vorteile und Modifikationen wie zuvor beschrieben. The device according to the invention for receiver authentication in a vehicle network with at least one transmitter and at least one receiver, characterized in that the at least one receiver is set up to send an authenticity feature and that the at least one transmitter is set up to check the authenticity of the receiver based on the authenticity feature , The same advantages and modifications apply as described above.

Der mindestens eine Sender und der mindestens eine Empfänger können Steuergeräte sein. In Fahrzeugen sind dies typische Busteilnehmer, die auch, zum Beispiel im Rahmen einer Reparatur, ausgetauscht werden können. Dadurch ändert sich das System oder der Verbund, so dass die Authentifizierung des oder der Steuergeräte die Sicherheit erhöht. The at least one transmitter and the at least one receiver may be control devices. In vehicles these are typical bus subscribers, which can also be exchanged, for example as part of a repair. This changes the system or the interconnect so that authentication of the controller (s) increases security.

Der mindestens eine Sender kann ein Busmaster des Fahrzeugnetzwerkes sein. Der Busmaster kann durch den Empfang von Authentizitätsmerkmalen einzelner oder aller Teilnehmer beziehungsweise Empfänger diese authentifizieren. Der Busmaster kann eine entsprechende Liste oder Datenbank anlegen beziehungsweise pflegen. Die Teilnehmer des Busses können auf diese Liste zugreifen oder der Busmaster kann die Kommunikation zentral steuern. The at least one transmitter may be a bus master of the vehicle network. The bus master can authenticate these by receiving authenticity features of individual or all subscribers or recipients. The bus master can create or maintain a corresponding list or database. The participants of the bus can access this list or the bus master can control the communication centrally.

Der mindestens eine Sender kann eingerichtet sein, bei erfolgreicher Prüfung eine Nachricht an den mindestens einen Empfänger zu senden. Im Falle einer nicht erfolgreichen Prüfung erfolgt keine Sendung. Zudem kann der Empfänger in eine Liste nicht authentifizierter Teilnehmer aufgenommen werden, um jegliche Kommunikation mit diesem Teilnehmer zu unterbinden, bis eine erfolgreiche Authentifizierung erfolgt oder eventuell der Empfänger ausgetauscht wurde. The at least one transmitter can be set up to send a message to the at least one receiver if the check is successful. In the case of an unsuccessful check, there will be no mailing. In addition, the recipient may be included in a list of unauthenticated subscribers to prevent any communication with that subscriber until successful authentication or the recipient has been exchanged.

Das erfindungsgemäße Fahrzeug mit einem Fahrzeugnetzwerk mit mindestens einem Sender und mindestens einem Empfänger umfasst eine Vorrichtung wie zuvor beschrieben. Es gelten die gleichen Vorteile und Modifikationen wie zuvor beschrieben. The vehicle according to the invention with a vehicle network with at least one transmitter and at least one receiver comprises a device as described above. The same advantages and modifications apply as described above.

Weitere bevorzugte Ausgestaltungen der Erfindung ergeben sich aus den übrigen, in den Unteransprüchen genannten Merkmalen. Further preferred embodiments of the invention will become apparent from the remaining, mentioned in the dependent claims characteristics.

Die verschiedenen in dieser Anmeldung genannten Ausführungsformen der Erfindung sind, sofern im Einzelfall nicht anders ausgeführt, mit Vorteil miteinander kombinierbar. The various embodiments of the invention mentioned in this application are, unless otherwise stated in the individual case, advantageously combinable with each other.

Die Erfindung wird nachfolgend in Ausführungsbeispielen anhand der zugehörigen Zeichnungen erläutert. Es zeigen: The invention will be explained below in embodiments with reference to the accompanying drawings. Show it:

1 eine schematische Darstellung einer ersten Vorrichtung zur Empfängerauthentifikation in einem Fahrzeugnetzwerk; und 1 a schematic representation of a first device for receiver authentication in a vehicle network; and

2 eine schematische Darstellung einer zweiten Vorrichtung zur Empfängerauthentifikation in einem Fahrzeugnetzwerk. 2 a schematic representation of a second device for receiver authentication in a vehicle network.

1 zeigt eine Vorrichtung 10 zur Empfängerauthentifikation in einem Fahrzeug 12. Die Vorrichtung 10 dient zur Authentifizierung von Empfängern in einem Netzwerk 14 des Fahrzeugs 12. Das Fahrzeug 12 kann zum Beispiel ein PKW, LKW, Motorrad, Bus oder Bahn sein. Als Fahrzeug werden hier sämtliche Land-, Luft- und Wasserfahrzeuge angesehen. 1 shows a device 10 for recipient authentication in a vehicle 12 , The device 10 is used to authenticate recipients in a network 14 of the vehicle 12 , The vehicle 12 can be for example a car, truck, motorcycle, bus or train. As a vehicle here all land, air and water vehicles are considered.

Das Netzwerk 14 hat einen Busmaster 16, der hier in Form eines Gateways zwischen einem Bussystem 18 und einer Netztopographie 20. Das Bussystem 18 ist in diesem Beispiel ein CAN Bus oder ein anderer Feldbus. Der Busmaster 16 agiert als Busmaster für das Bussystem 18 und enthält eine entsprechende Bus-Schnittstelle 22. An das Bussystem 18 sind mehrere Steuergeräte 24, 26 und 28 angeschlossen, so dass sie mit der Bus-Schnittstelle 22 kommunizieren können. The network 14 has a busmaster 16 which is here in the form of a gateway between a bus system 18 and a network topography 20 , The bus system 18 is in this example a CAN bus or another fieldbus. The bus master 16 acts as bus master for the bus system 18 and contains a corresponding bus interface 22 , To the bus system 18 are multiple controllers 24 . 26 and 28 connected so they connect to the bus 22 to be able to communicate.

Zur Kommunikation mit der Netztopographie 20 hat der Busmaster 16 eine Netz-Schnittstelle 30, zum Beispiel in Form eines Switches, Routers oder Hubs. Die Netz-Schnittstelle 30 kontrolliert die Netztopographie 20, zum Beispiel in Form eines DNS-Servers (Domain Name System). Die Netztopographie 20 kann zum Beispiel auf dem Ethernet-Standard basieren. For communication with the network topography 20 has the busmaster 16 a network interface 30 , for example in the form of a switch, router or hub. The network interface 30 controls the network topography 20 , for example in the form of a DNS server (Domain Name System). The network topography 20 can be based on the Ethernet standard, for example.

Zur Umsetzung zwischen den beiden Teilnetzen beziehungsweise zwischen dem Bussystem 18 und der Netztopographie 20 kann der Busmaster 16 eine Netzwerk-Bridge oder ähnliches aufweisen. Vorzugsweise enthält der Busmaster 16 einen Mikrocomputer oder ähnliches, um die anfallenden Berechnungen auszuführen. To implement between the two subnets or between the bus system 18 and the network topography 20 can the bus master 16 have a network bridge or the like. Preferably, the bus master contains 16 a microcomputer or the like to perform the calculations.

An die Netz-Schnittstelle 30 sind direkt zwei Steuergeräte 32 und 34 sowie ein Switch 36 angeschlossen. An den Switch 36 sind wiederum zwei weitere Steuergeräte 38 und 40 angeschlossen. Der Switch 36 selbst kann auch ein Steuergerät sein. Die hier gezeigte Netzstruktur der Netztopographie 20 ist lediglich beispielhaft und kann alle technisch möglichen Kombinationen von Netzwerkkomponenten umfassen. Auch ist es möglich, dass nur ein Teilnetz, zum Beispiel das Bussystem 18, vorhanden ist. Alternativ können auch mehr als die zwei hier dargestellten Teilnetze vorhanden sein. To the network interface 30 are directly two controllers 32 and 34 as well as a switch 36 connected. To the switch 36 are again two more controllers 38 and 40 connected. The switch 36 itself can also be a control unit. The network structure of the network topography shown here 20 is merely exemplary and may include all technically possible combinations of network components. It is also possible that only one subnetwork, for example the bus system 18 , is available. Alternatively, more than the two subnets shown here may be present.

Die Teilnehmer des Netzwerks 14, das heißt die Steuergeräte 24, 26, 28, 32, 34, 38 und 40, der Busmaster 16 und der Switch 36 kommunizieren miteinander. Diese Kommunikation kann zum Beispiel eine symmetrische Verschlüsselung verwenden. Dazu ist in jedem Teilnehmer mindestens ein symmetrischer Schlüssel 42 vorhanden, von denen der Übersicht wegen nur zwei in dem Steuergerät 24 und dem Switch 36 dargestellt sind. Diese in diesem Beispiel bereits vorhandenen symmetrischen Schlüssel 42 werden außerdem zur Prüfung der Authentizität von Steuergeräten verwendet, wie im Folgenden erläutert wird. Die Teilnehmer beziehungsweise die Steuergeräte haben einen Authentifizierungsmechanismus für Nachrichten, mit dem sie in Kombination mit dem symmetrischen Schlüsselmaterial die Authentizität der Sender von Nachrichten überprüfen können. The participants of the network 14 that is the control units 24 . 26 . 28 . 32 . 34 . 38 and 40 , the bus master 16 and the switch 36 communicate with each other. For example, this communication can use symmetric encryption. For this purpose, there is at least one symmetric key in each participant 42 of which, for the sake of clarity, only two in the control unit 24 and the switch 36 are shown. These symmetric keys already present in this example 42 are also used to verify the authenticity of ECUs, as explained below. The participants or the control units have a message authentication mechanism that, in combination with the symmetric key material, can verify the authenticity of the message senders.

In diesem Beispiel ist der Switch beziehungsweise das Steuergerät 36 der potentielle Sender einer Nachricht oder von Daten und das Steuergerät 24 ist der potentielle Empfänger. Vor der tatsächlichen Übersendung einer Nachricht von dem Switch 36 zu dem Steuergerät 24 stellt sich allerdings die Frage, ob das Steuergerät 24 authentisch ist. Dies kann der Sender, das heißt der Switch 36 nicht wissen. Bevor eine Nachricht oder Daten gewissermaßen blind an das Steuergerät 24 geschickt werden, wird hier die Authentizität von Steuergerät 24 geprüft. In this example, the switch or the controller 36 the potential sender of a message or data and the controller 24 is the potential recipient. Before actually sending a message from the switch 36 to the controller 24 However, the question arises whether the control unit 24 authentic. This can be the transmitter, that is the switch 36 do not know. Before a message or data in a sense blind to the control unit 24 be sent, here is the authenticity of the controller 24 checked.

Dazu senden die Empfänger der entsprechenden Inhalte, hier das Steuergerät 24, regelmäßige Authentizitätsbotschaften 44, die sowohl vom zentralen Gateway beziehungsweise Busmaster 16 als auch von den möglichen Sendern, hier der Switch 36, an diese Steuergeräte empfangen und validiert werden. Die Authentizitätsbotschaft 44 kann zyklisch oder auf Anfrage gesendet werden und enthält ein Authentizitätsmerkmal, wie eine Signatur. Die Signatur basiert auf dem symmetrischen Schlüssel 42, wenn dieser zum Einsatz gelangt. Alternativ kann zum Beispiel eine konstante Zahl verwendet werden. Zusammengefasst sendet der Empfänger, das heißt hier das Steuergerät 24, zyklische, signierte Authentizitätsbotschaften 44 mittels eines Vernetzungsbus-unabhängigen Signaturprotokolls. Diese Nachrichten haben keinen applikativen Inhalt; sie bestehen nur aus der Signatur und gegebenenfalls einem Protokolloverhead. For this, send the recipients of the corresponding content, here the control unit 24 , regular authenticity messages 44 which are both from the central gateway or bus master 16 as well as the possible channels, here the switch 36 , are received and validated to these controllers. The authenticity message 44 can be sent cyclically or on request and contains an authenticity feature, such as a signature. The signature is based on the symmetric key 42 when this is used. Alternatively, for example, a constant number may be used. In summary, the receiver sends, that is the control unit here 24 , cyclic, signed authenticity messages 44 by means of a network bus independent signature protocol. These messages have no application content; they consist only of the signature and possibly a protocol overhead.

Je nach verwendeter Netzinfrastruktur kann der Switch 36 die Authentizitätsbotschaft 44 direkt empfangen oder die Authentizitätsbotschaft 44 wird dem Switch 36 mittels des Busmasters 16 zugestellt. In diesem Fall wird zum Beispiel der Sender der eigentlichen applikativen Botschaft, das heißt der Switch 36, über die Datenfestlegung als Empfänger der Authentizitätsbotschaft 44 festgelegt. Daraufhin kann der Busmaster 16 die Authentizitätsbotschaft 44 von dem Empfänger 24 an den Sender 36 weiterleiten. Generell werden die Authentizitätsbotschaften 44 zu jedem Sender mit Authentifizierungsbedarf dieses Empfängers weitergeleitet. Depending on the network infrastructure used, the switch 36 the authenticity message 44 receive directly or the authenticity message 44 will the switch 36 by means of the bus master 16 delivered. In this case, for example, the sender of the actual applicative message, that is, the switch 36 , about the data specification as the recipient of the authenticity message 44 established. Then the bus master can 16 the authenticity message 44 from the receiver 24 to the transmitter 36 hand off. In general, the authenticity messages 44 forwarded to each sender with authentication needs of that recipient.

Nach erhaltener Authentizitätsbotschaft 44 führt der Switch 36 einen Authentifizierungsalgorithmus auf die Authentizitätsboschaft 44 beziehungsweise das Authentizitätsmerkmal aus und entscheidet oder prüft den Status der Authentizität, also der Integrität, von dem Empfänger 24. After received authenticity message 44 leads the switch 36 an authentication algorithm on the Authentizitätsboschaft 44 or the authenticity feature and decides or checks the status of the authenticity, ie the integrity, of the recipient 24 ,

Falls die Authentifizierung erfolgreich ist, sendet der Sender, das heißt der Switch 36, die Nachricht mit applikativem Inhalt beziehungsweise einer Nutzlast an den Empfänger, das heißt das Steuergerät 24. Falls die Authentifizierung fehlschlägt, kann der Switch 36 geeignete, vorher definierte Ersatzreaktionen einleiten, wie zum Beispiel eine entsprechende Meldung an den Busmaster 16. Somit ist die die Möglichkeit der Identifizierung nicht authentischer Empfänger gegeben. If the authentication is successful, the sender sends, that is, the switch 36 , the message with applicative content or a payload to the receiver, that is, the control unit 24 , If the authentication fails, the switch can 36 initiate suitable, previously defined substitute reactions, such as a corresponding message to the bus master 16 , Thus, the possibility of identifying non-authentic recipients is given.

2 zeigt ein weiteres Ausführungsbeispiel einer Vorrichtung 100 zur Empfängerauthentifikation in einem Fahrzeug 120. Die Vorrichtung 100 dient zur Authentifizierung von Empfängern in einem Netzwerk 140 des Fahrzeugs 120. Das Fahrzeug 120 kann zum Beispiel ein PKW, LKW, Motorrad, Bus oder Bahn, sein. Als Fahrzeug werden hier sämtliche Land-, Luft- und Wasserfahrzeuge angesehen. 2 shows a further embodiment of a device 100 for recipient authentication in a vehicle 120 , The device 100 is used to authenticate recipients in a network 140 of the vehicle 120 , The vehicle 120 can be, for example, a car, truck, motorcycle, bus or train. As a vehicle here all land, air and water vehicles are considered.

Das Netzwerk 140 hat einen Gateway oder Busmaster 160 für eine Netztopographie 180. Zur Kommunikation mit der Netztopographie 180 hat der Busmaster 160 eine Netz-Schnittstelle 200, zum Beispiel in Form eines Switches, Routers oder Hubs. Die Netz-Schnittstelle 200 kontrolliert die Netztopographie 180, zum Beispiel in Form eines DNS-Servers (Domain Name System). Die Netztopographie 180 kann zum Beispiel auf dem Ethernet-Standard basieren. An die Netz-Schnittstelle 200 sind direkt zwei Steuergeräte 220 und 240 angeschlossen. Die hier gezeigte Netzstruktur der Netztopographie 180 ist lediglich beispielhaft und kann alle technisch möglichen Kombinationen von Netzwerkkomponenten umfassen. The network 140 has a gateway or bus master 160 for a network topography 180 , For communication with the network topography 180 has the busmaster 160 a network interface 200 , for example in the form of a switch, router or hub. The network interface 200 controls the network topography 180 , for example in the form of a DNS server (Domain Name System). The network topography 180 can be based on the Ethernet standard, for example. To the network interface 200 are directly two controllers 220 and 240 connected. The network structure of the network topography shown here 180 is merely exemplary and may include all technically possible combinations of network components.

Die Teilnehmer des Netzwerks 140, das heißt die Steuergeräte 220 und 240 und der Busmaster 160 kommunizieren miteinander. Diese Kommunikation kann zum Beispiel eine symmetrische Verschlüsselung verwenden. Dazu ist in jedem Teilnehmer mindestens ein symmetrischer Schlüssel 42 vorhanden, von denen der Übersicht wegen nur zwei in dem Steuergerät 240 und dem Busmaster 160 dargestellt sind. Diese in diesem Beispiel bereits vorhandenen symmetrischen Schlüssel 42 werden außerdem zur Prüfung der Authentizität von Steuergeräten verwendet, wie im Folgenden erläutert wird. Die Teilnehmer beziehungsweise die Steuergeräte 220 und 240 und der Busmaster 160 haben einen Authentifizierungsmechanismus für Nachrichten, mit dem sie in Kombination mit dem symmetrischen Schlüsselmaterial die Authentizität der Sender von Nachrichten überprüfen können. The participants of the network 140 that is the control units 220 and 240 and the bus master 160 communicate with each other. For example, this communication can use symmetric encryption. For this purpose, there is at least one symmetric key in each participant 42 of which, for the sake of clarity, only two in the control unit 240 and the busmaster 160 are shown. These symmetric keys already present in this example 42 are also used to verify the authenticity of ECUs, as explained below. The participants or the control units 220 and 240 and the bus master 160 have a message authentication mechanism that, in combination with the symmetric key material, allows them to verify the authenticity of message senders.

In diesem Beispiel ist der Busmaster 160 beziehungsweise ein weiterer nicht dargestellter Teilnehmer wie ein Steuergerät der potentielle Sender einer Nachricht oder von Daten und das Steuergerät 240 ist der potentielle Empfänger. Es stellt sich allerdings die Frage, ob das Steuergerät 240 authentisch ist. In this example, the bus master 160 or another subscriber, not shown, such as a control unit, the potential sender of a message or data and the control unit 240 is the potential recipient. However, it raises the question of whether the controller 240 authentic.

Der Busmaster 160 kann eine Soll-Liste aller Teilnehmer des Netzwerks 140 enthalten. Es kann vorgesehen sein, dass jeder Teilnehmer oder Slave, hier die beiden Steuergeräte 220 und 240 per Voreinstellung authentisch ist. Für einen aktuellen Abgleich senden die Teilnehmer, in diesem Beispiel das Steuergerät 240 Authentizitätsbotschaften 280, die von dem zentralen Gateway beziehungsweise Busmaster 160 empfangen und validiert werden. Die Authentizitätsbotschaft 280 kann zyklisch oder auf Anfrage gesendet werden und enthält ein Authentizitätsmerkmal, wie eine Signatur. Die Signatur basiert auf dem symmetrischen Schlüssel 260, wenn dieser zum Einsatz gelangt. Alternativ kann zum Beispiel eine konstante Zahl verwendet werden. Zusammengefasst sendet der Empfänger, das heißt hier das Steuergerät 240, zyklische, signierte Authentizitätsbotschaften 280 mittels eines Vernetzungsbus-unabhängigen Signaturprotokolls. Diese Nachrichten haben keinen applikativen Inhalt; sie bestehen nur aus der Signatur und gegebenenfalls einem Protokolloverhead. The bus master 160 can be a list of all participants in the network 140 contain. It can be provided that each participant or slave, here the two control units 220 and 240 is authentic by default. For a current comparison the participants send, in this example the control unit 240 authenticity messages 280 from the central gateway or bus master 160 be received and validated. The authenticity message 280 can be sent cyclically or on request and contains an authenticity feature, such as a signature. The signature is based on the symmetric key 260 when this is used. Alternatively, for example, a constant number may be used. In summary, the receiver sends, that is the control unit here 240 , cyclic, signed authenticity messages 280 by means of a network bus independent signature protocol. These messages have no application content; they consist only of the signature and possibly a protocol overhead.

Der Busmaster 160, der auch als Domänenmaster bezeichnet werden kann, kann diese Authentizitätsbotschaften 280 authentifizieren. Bei erfolgreicher Authentifizierung kann dies gegebenenfalls in der Soll-Liste aller Teilnehmer des Netzwerks 140 vermerkt werden und der Betrieb kann normal weiter laufen. Wenn die Authentifizierung fehlschlägt, kann zum Beispiel über einen Eintrag in der Soll-Liste eine Kennzeichnung für Aftersales Services, wie zum Beispiel für eine Kundendienstwerkstatt, zur Überprüfung und/oder Austausch vorgenommen werden. Es kann vorgesehen sein, dass der Busmaster 160 nur Teilnehmer auf Authentizität überprüft, die in der Soll-Liste aller Teilnehmer des Netzwerks 140 beziehungsweise in der Soll-Liste der dem Busmaster 160 zugeordneten Teilnehmer aufgeführt sind. The bus master 160 who can also be termed domain master can use these authenticity messages 280 authenticate. If authentication is successful, this may be in the target list of all participants in the network 140 be noted and the operation can continue to run normally. If the authentication fails, for example, via an entry in the debit list, an indication for aftersales services, such as for a service station, for review and / or replacement can be made. It can be provided that the bus master 160 only participants checked for authenticity, which in the target list of all participants of the network 140 or in the nominal list of the bus master 160 associated participants are listed.

Mit diesem Vorgehen kann ein manipuliertes beziehungsweise getauschtes Steuergerät, das gemäß der Soll-Liste dem Busmaster 160 zugeordnet ist, in diesem Falle im Busmaster 160 als nicht authentischer Teilnehmer gekennzeichnet werden. With this procedure, a manipulated or exchanged control unit, which according to the target list the bus master 160 is assigned, in this case in the bus master 160 be marked as non-authentic participant.

Somit ist die die Möglichkeit der Identifizierung nicht authentischer Empfänger gegeben. Thus, the possibility of identifying non-authentic recipients is given.

BezugszeichenlisteLIST OF REFERENCE NUMBERS

10 10: Vorrichtung contraption
12 12: Fahrzeug vehicle
14 14: Netzwerk network
16 16: Busmaster bus master
18 18: Bussystem bus system
20 20: Netztopographie network topography
22 22: Bus-Schnittstelle Bus Interface
24 24: Steuergerät control unit
26 26: Steuergerät control unit
28 28: Steuergerät control unit
30 30: Netz-Schnittstelle Network Interface
32 32: Steuergerät control unit
34 34: Steuergerät control unit
36 36: Switch Switch
38 38: Steuergerät control unit
40 40: Steuergerät control unit
42 42: symmetrischer Schlüssel symmetric key
44 44: Authentizitätsbotschaft authenticity Embassy
100 100: Vorrichtung contraption
120 120: Fahrzeug vehicle
140 140: Netzwerk network
160 160: Busmaster bus master
180 180: Netztopographie network topography
200 200: Bus-Schnittstelle Bus Interface
220 220: Steuergerät control unit
240 240: Steuergerät control unit
260 260: symmetrischer Schlüssel symmetric key
280 280: Authentizitätsbotschaft authenticity Embassy

ZITATE ENTHALTEN IN DER BESCHREIBUNG QUOTES INCLUDE IN THE DESCRIPTION

Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.This list of the documents listed by the applicant has been generated automatically and is included solely for the better information of the reader. The list is not part of the German patent or utility model application. The DPMA assumes no liability for any errors or omissions.

Zitierte PatentliteraturCited patent literature

WO 2005/115809 A1 [0004]
WO 2005/116834 A1 [0005]

Claims

Method for recipient authentication in a vehicle network ( 14 ; 140 ) with at least one transmitter ( 36 ; 160 ) and at least one recipient ( 24 ; 240 ), comprising the steps: - sending an authenticity feature by the recipient ( 24 ; 240 ); Receiving the authenticity feature by the sender ( 36 ; 160 ); and checking the authenticity of the recipient ( 24 ; 240 ) based on the authenticity feature by the sender ( 36 ; 160 ).

A method according to claim 1, characterized in that the authenticity feature is a signature.

Method according to one of the preceding claims, characterized in that the authenticity feature on previously in the at least one transmitter ( 36 ; 160 ) and the at least one recipient ( 24 ; 240 ) symmetric keys ( 42 ; 360 ).

Method according to one of the preceding claims, characterized in that the authenticity feature is sent cyclically.

Method according to one of the preceding claims, characterized in that the authenticity feature is sent on request.

Method according to one of the preceding claims, characterized in that the at least one transmitter ( 36 ; 160 ) and the at least one recipient ( 24 ) Are control devices.

Method according to one of the preceding claims, characterized in that a message by the transmitter ( 36 ; 160 ) to the recipient ( 24 ; 240 ) is only sent when authentication has been completed.

Device for receiver authentication in a vehicle network ( 14 ; 140 ) with at least one transmitter ( 36 ; 160 ) and at least one recipient ( 24 ; 240 ), characterized in that the at least one receiver ( 24 ; 240 ) is arranged to send an authenticity feature and that the at least one transmitter ( 36 ; 160 ), the authenticity of the recipient ( 24 ; 240 ) based on the authenticity feature.

Apparatus according to claim 8, characterized in that the at least one transmitter ( 36 ) and the at least one recipient ( 24 ) Are control devices.

Device according to one of the preceding claims, characterized in that the at least one transmitter ( 160 ) a bus master of the vehicle network ( 140 ).

Device according to one of the preceding claims, characterized in that the at least one transmitter ( 36 ; 160 ) is set up, upon successful checking a message to the at least one recipient ( 24 ; 240 ) to send.

Vehicle with a vehicle network with at least one transmitter ( 36 ; 160 ) and at least one recipient ( 24 ; 240 ), characterized in that a device ( 10 ; 100 ) is provided according to one of claims 8 to 11.