DE102006008141A1

DE102006008141A1 - Verfahren zum Betrieb eines funkbasierten Identifikationssystem mit einer Zentraleinheit und zumindest einem Identifikationsgeber

Info

Publication number: DE102006008141A1
Application number: DE200610008141
Authority: DE
Inventors: Andreas Russ; Thomas Bareiss; Peter Tolksdorf; Dieter Karg; Helmut Serr; Gerhard Brändle
Original assignee: Conti Temic Microelectronic GmbH
Current assignee: Conti Temic Microelectronic GmbH
Priority date: 2006-02-20
Filing date: 2006-02-20
Publication date: 2007-08-23

Abstract

Es wird ein Verfahren zum Betrieb eines funkbasierten Identifikationssystems mit einer Zentraleinheit und zumindest einem Identifikationsgeber vorgestellt. Die Zentraleinheit erzeugt ein elektrisches Feld mit einer ersten Identifikationsinformation, welche der Identifikationsgeber erfasst und eine zweite Identifikationsinformation generiert und an die Zentraleinheit sendet. Dabei ist eine Zeitspanne, bezogen auf das Aussenden der ersten Identifikationsinformation, hinsichtlich Dauer und Lage vorgegeben und wird die zweite Identifikationsinformation nur innerhalb dieser vorgegebenen Zeitspanne angenommen. Die Zeitspanne ist dabei vorzugsweise variabel und wird während des Betriebs variiert.

Description

Die Erfindung betrifft ein Verfahren zum Betrieb eines funkbasierten Identifikationssystems mit einer Zentraleinheit und zumindest einem Identifikationsgeber gemäß dem Oberbegriff von Anspruch 1.

Derartige Identifikationssysteme werden beispielsweise bei schlüssellosen Zugangssystemen für Fahrzeuge und Gebäude eingesetzt. Es kommt dabei leider immer wieder zu dem Versuch, dass unberechtigte den Informationsaustausch zwischen Zentraleinheit und Identifikationsgeber auszunutzen, bspw. durch sogenannte Relaisangriffe, bei denen eine erste Relaisstation im Umgebungsbereich der Zentraleinheit und eine zweite Relaisstation im Umgebungsbereich des Identifikationsgebers gebracht werden, der Signalaustausch über die Relaisstationen aufgebaut und so der Zentraleinheit ein im unmittelbaren Umgebungsbereich befindlicher ID-Geber vorgetäuscht wird.

Bei Keyless-Systemen sollte ein Relaisangriff, d.h. die Verlängerung der Kommunikationsstrecke zwischen Fahrzeug und ID-Geber durch einen Angreifer mit weiteren Sendeempfangseinrichtungen, erkannt, verhindert oder erschwert werden.

Bei vielen Keyless-Systemen wird im ID-Geber hierfür eine oder mehrere Feldstärken gemessen. Diese Messwerte werden zur Auswertung herangezogen und ggf. an das Fahrzeug zurückgegeben. Die Laufzeit der Funkstrecke Fahrzeug – Schlüssel – Fahrzeug wird hierbei herangezogen. Diese Laufzeitmessung ist im Allgemeinen nur mit einem hohen technischen Aufwand möglich.

Aufgabe der Erfindung ist es, Relaisangriffe noch besser zu erkennen. Diese Aufgabe wird durch die Merkmale des Anspruchs gelöst. Vorteilhafte Weiterbildungen sind den Unteransprüchen zu entnehmen.

Es ist dazu von der Zentraleinheit eine Zeitspanne bezogen auf das Aussenden der ersten Identifikationsinformation vorgegeben und wird die zweite Identifikationsinformation nur innerhalb dieser vorgegebenen Zeitspanne angenommen. Angriffe von nicht auf die Zentraleinheit speziell abgestimmten fremden Baugruppen, die einen Identifikationsgeber vortäuschen sollen, können so aufgrund der Nichteinhaltung der vorgegebenen Zeitspanne erkannt werden.

Wird vom Angreifer bspw. verfügbare Technik in Form von integrierten Schaltungen verwendet, so wird insbesondere durch die Feldstärkemessung die Generierung der Schlüsselantwort messbar verzögert. D.h. diese Schlüsselantwort wird in einem bestimmten Zeitraum erwartet. Wird diese Zeit überschritten, so wird ein Relaisangriff erkannt.

Die Erfindung wird nachfolgend anhand von Ausführungsbeispielen und Figuren näher erläutert.
Es zeigt 1: Zeitschema des Ablaufs des Verfahrens Startet zum Zeitpunkt t0 die Zentraleinheit die Übertragung des elektrischen Feldes und ihrer ersten Identifikationsfunktion, so definiert bspw. das Ende t1 dieser Übertragung den Bezugszeitpunkt für die vorgegebene Zeitspanne T von t2 bis t3, innerhalb der eine Antwort des Identifikationsgebers erwartet wird.
Es ist also bezogen auf das Aussenden der ersten Identifikationsinformation 1, also dem Zeitpunkt t0 des Beginns oder des Zeitpunktes t1 des Endes des Aussendens der Identifikationsinformation 1 eine Zeitspanne T vorgegeben, d.h. die Zeitspanne hinsichtlich Anfangsposition t2 und Dauer T definiert.
Die zweite Identifikationsinformation 2a wird von der Zentraleinheit nur innerhalb dieser vorgegebenen Zeitspanne T, also bis zum Zeitpunkt t3 angenommen und jede zeitlich ausserhalb der Zeitspanne T zu t4 übermittelte Identifikationsinformation 2b als fehlerhaft bzw. Relaisangriff gewertet.
Die Zeitspanne T ist dabei vorzugsweise so positioniert, d.h. der Abstand t1 zu t2 so gewählt, dass nur ein Identifikationsgeber unmittelbar im Umgebungsbereich der Zentraleinheit, also bspw. des Kfz in der Lage ist, entsprechend schnell die Feldstärke zu bestimmen und die zweite Identifikationsinformation zu generieren und an die Zentraleinheit zu senden. Wird ein Relaisangriff durchgeführt, tritt aufgrund der Weiterleitung über die Relaisstationen eine Laufzeitverzögerung auf, die anhand der verspäteten Rücksendung t4 erkannt wird.
Besonders bevorzugt ist es daher, auch die aktuell ermittelte Feldstärke als Teil der zweiten Identifikationsinformation 2 vom ID-Geber zurück zur Zentraleinheit zu senden. Wird während des Betriebs, also bspw. bei jedem neuen Datenaustausch, auch die Feldstärke variiert, muss der ID-Geber zwingend die Feldstärke korrekt messen und können Relaisangriffe unter Umgehung der Feldstärkemessung verhindert werden, da die Feldstärke nicht vorher bekannt ist.
Selbstverständlich kann auch eine bewusst verzögerte Sendung der zweiten Identifikationsinformation vereinbart werden.
Darauf basiert eine besonders bevorzugte Weiterbildung, bei welcher insbesondere der Beginn t2 der Zeitspanne T während des Betriebs veränderbar ist und darauf hin der Identifikationsgeber in der veränderten Zeitspanne sendet und die Zentraleinheit in der veränderten Zeitspanne empfängt. Die neue, veränderte Zeitspanne T wird vorzugsweise mit der ersten Identifikationsinformation (1) von der Zentraleinheit zum Identifikationsgeber verschlüsselt übertragen.
So kann von den Antwortzeiten eines Telegramms nicht auf die Antwortzeiten der nächsten Telegramme geschlossen werden. Der bspw. durch einen Zufallsgenerator erzeugte Antwortzeitpunkt wird verschlüsselt ausgetauscht und darf die Zeitspanne nicht verletzt (unter- oder überschritten) werden, sonst wird ein Relaisangriff erkannt.

Claims

Verfahren zum Betrieb eines funkbasierten Identifikationssystems mit einer Zentraleinheit und zumindest einem Identifikationsgeber, wobei die Zentraleinheit ein elektrisches Feld mit einer ersten Identifikationsinformation (1) erzeugt, der Identifikationsgeber die erste Identifikationsinformation (1) erfasst und eine zweite Identifikationsinformation (2) generiert und an die Zentraleinheit sendet, dadurch gekennzeichnet, dass von der Zentraleinheit eine Zeitspanne (T) bezogen auf das Aussenden der ersten Identifikationsinformation (1) vorgegeben ist und die zweite Identifikationsinformation (2) nur innerhalb dieser vorgegebenen Zeitspanne (T) angenommen wird.
Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass der Identifikationsgeber die Stärke des Feldes ermittelt und die Zeitspanne so gewählt ist, dass nur ein unmittelbar im Umgebungsbereich des Fahrzeugs befindlicher Identifikationsgeber die Feldstärke erfassen und innerhalb der Zeitspanne (T) die zweite Identifikationsinformation (2) senden kann.
Verfahren nach Anspruch 2, dadurch gekennzeichnet, dass Identifikationsgeber die Stärke des Feldes oder eine daraus abgeleitete Größe als ein Teil der zweiten Identifikationsinformation (2) an die Zentraleinheit sendet.
Verfahren nach einem der vorangehenden Ansprüche, dadurch gekennzeichnet, dass der Beginn (t2) und/oder die Dauer der Zeitspanne (T) während des Betriebs veränderbar ist und darauf hin der Identifikationsgeber in der veränderten Zeitspanne sendet und die Zentraleinheit in der veränderten Zeitspanne empfängt.
Verfahren nach Anspruch 4, dadurch gekennzeichnet, dass die neue, veränderte Zeitspanne (T) mit der ersten Identifikationsinformation (1) von der Zentraleinheit zum Identifikationsgeber verschlüsselt übertragen wird.
Verfahren nach einem der Ansprüche 3 bis 5, dadurch gekennzeichnet, dass während des Betriebs die Feldstärke von der Zentraleinheit verändert und eine zweite Identifikationsinformation nur angenommen wird, wenn Zeitspanne und Feldstärke korrekt sind.