DE102007051440A1

DE102007051440A1 - Verfahren und Vorrichtung zur Freischaltung von Software in einem Kraftfahrzeug

Info

Publication number: DE102007051440A1
Application number: DE200710051440
Authority: DE
Inventors: Viktor Dr. Bunimov; Klaus Alisch
Original assignee: Volkswagen AG
Current assignee: Volkswagen AG
Priority date: 2007-10-25
Filing date: 2007-10-25
Publication date: 2009-04-30
Anticipated expiration: 2027-10-26
Also published as: DE102007051440B4

Abstract

Die Erfindung betrifft ein Verfahren, eine Vorrichtung und einen Server zur Freischaltung von Software, wobei der Server (2) Überprüfungsmittel umfasst, ob eine angefragte Software in Abhängigkeit eine Ist-Konfiguration der Software in einem Kraftfahrzeug (1) freigeschaltet werden darf, sowie Mittel umfasst, mittels derer ein Freischaltcode berechenbar, verschlüsselbar und übertragbar ist, wobei die Mittel derart ausgebildet sind, dass der übertragene Freischaltcode die Ist-Konfiguration der Software umfasst.

Description

Die Erfindung betrifft ein Verfahren und eine Vorrichtung zur Freischaltung von Software in einem Kraftfahrzeug sowie einen externen Server zur Freischaltung der Software.
In modernen Kraftfahrzeugen existiert eine Vielzahl von Steuergeräten mit Software. Die tatsächlich benötigte Software kann aus verschiedenen Gründen unterschiedlich sein. Sind beispielsweise bestimmte Komponenten im Fahrzeug nicht verbaut, so sind bestimmte Software-Funktionen nicht erforderlich. Eine andere Möglichkeit ist, dass bestimmte Funktionen kostenpflichtig sind, so dass es dem Kraftfahrzeugführer überlassen ist, ob er diese Funktionen nutzen möchte oder auch nicht. Aufgrund der Tatsache, dass das Übertragen von Software teilweise zeitaufwendig ist, wurde bereits vorgeschlagen, das Kraftfahrzeug mit einem vollständigen Software-Paket auszustatten und nicht benötigte Software bzw. Software-Funktionen zu deaktivieren. Bei einem Änderungswunsch des Kraftfahrzeugführers, dass dieser nunmehr eine bestimmte Software-Funktion doch wünscht, kann diese dann durch einen Freischaltcode freigeschaltet werden. Was für die Freischaltung gilt, gilt selbstverständlich auch für die Deaktivierung. Nachfolgend soll also Freischaltung allgemein als Änderung der Funktionalität einer vorhandenen Software in einem Kraftfahrzeug verstanden werden. Das Freischalten kann sich dabei auf das Freischalten ganzer Software-Pakete beziehen als auch auf das Freischalten einzelner Funktionen innerhalb eines bereits aktiven Software-Paketes. Ein solcher Freischaltcode ist dabei kryptografisch zu sichern, um Manipulationen zu verhindern, insbesondere da die Freischaltung auch sicherheitsrelevante Software betreffen kann.
Die Gefahr eines solchen Freischaltungskonzepts liegt in der Tatsache, dass bei voneinander unabhängigen Freischaltungen von verschiedenen Funktionen eine Situation entstehen kann, dass diese freigeschalteten Funktionen inkonsistent zueinander sind und damit ein Funktions- oder Sicherheitsrisiko darstellen. Um eine solche Situation zu verhindern, muss bei einer Freischaltung sichergestellt werden, dass sie zu keiner falschen Konfiguration führen kann.
Eine einfache Abfrage der Ist-Konfiguration über eine Datenverbindung ist nicht abgesichert und kann durch einen Angreifer leicht verfälscht werden.
Eine kryptografische Absicherung durch eine Verschlüsselung bedeutet zusätzlichen logistischen Aufwand, da es sich um einen eigenständigen Prozess handelt. Darüber hinaus müssen zusätzliche Mechanismen in die Steuergeräte eingebaut und zusätzliche kryptografische Schlüssel eingebracht werden.
Der Erfindung liegt daher das technische Problem zugrunde, ein Verfahren und eine Vorrichtung sowie einen Server zur Freischaltung von Software in einem Kraftfahrzeug zu schaffen, mittels derer einfach und sicher eine Freischaltung durchgeführt werden kann.
Die Lösung des technischen Problems ergibt sich durch die Gegenstände mit den Merkmalen der Patentansprüche 1, 4 und 5. Weitere vorteilhafte Ausgestaltungen der Erfindung ergeben sich aus den Unteransprüchen.
Hierzu umfasst das Verfahren zur Freischaltung von Software in einem Kraftfahrzeug mittels eines zentralen Servers die Verfahrensschritte

– Anfrage an den Server nach Freischaltung einer Software,
– Überprüfen im Server, ob die angefragte Software in Abhängigkeit von einer Ist-Konfiguration der Software freigeschaltet werden darf,
– Berechnen eines Freischaltcodes für die Software durch den Server, wobei die Ist-Konfiguration Bestandteil des Freischaltcodes ist,
– Verschlüsseln des Freischaltcodes durch den Server,
– Übertragen des verschlüsselten Freischaltcodes an das Kraftfahrzeug,
– Entschlüsseln des Freischaltcodes im Kraftfahrzeug,
– Vergleichen der mit dem Freischaltcode übermittelten Ist-Konfiguration mit einer im Kraftfahrzeug vorhandenen Ist-Konfiguration und
– Freischalten der Software durch den Freischaltcode, wenn der Vergleich der Ist-Konfiguration keine Abweichung ergeben hat.

Hierdurch wird es möglich, ohne zusätzlichen kryptografischen Aufwand die Ist-Konfiguration vom Server verschlüsselt an das Kraftfahrzeug zu übermitteln.
In einer bevorzugten Ausführungsform wird die Ist-Konfiguration für die Überprüfung von dem Kraftfahrzeug an den Server übertragen. Diese Übertragung kann dann unverschlüsselt erfolgen, da eine Manipulation bei dieser Übertragung bei der späteren Überprüfung im Kraftfahrzeug auffallen würde.
In einer alternativen Ausführungsform lädt der Server die Ist-Konfiguration zur Überprüfung aus einer serverseitigen Datenbank. In diesem Fall findet bis auf die Anfrage zur Freischaltung keine unverschlüsselte Kommunikation statt. Dabei wird davon ausgegangen, dass der Kraftfahrzeughersteller die Ist-Konfiguration der Software aller seiner Kraftfahrzeuge kennt. Da aber nicht auszuschließen ist, dass die Software ohne Kenntnis des Kraftfahrzeugherstellers bereits verändert wurde, wird die Ist-Konfiguration, die bei der Überprüfung im Server zugrunde lag, auch wieder mit der Ist-Konfiguration im Kraftfahrzeug verglichen.
Der Server zur Freischaltung von Software umfasst Überprüfungsmittel, ob eine angefragte Software in Abhängigkeit einer Ist-Konfiguration der Software in einem Kraftfahrzeug freigeschaltet werden darf, sowie Mittel, mittels derer ein Freischaltcode berechenbar, verschlüsselbar und übertragbar ist, wobei die Mittel derart ausgebildet sind, dass der übertragene Freischaltcode die Ist-Konfiguration der Software umfasst.
Die Vorrichtung zur Freischaltung von Software in einem Kraftfahrzeug umfasst Mittel zum Anfragen einer freizuschaltenden Software, Mittel zum Entschlüsseln eines empfangenen Freischaltcodes und Mittel zum Vergleichen einer mit dem Freischaltcode übermittelten Ist-Konfiguration mit einer vorhandenen Ist-Konfiguration von Software.
Die Erfindung wird nachfolgend anhand eines bevorzugten Ausführungsbeispieles näher erläutert. Die Fig. zeigen:
1 einen schematischen Ablaufplan eines Verfahrens zur Freischaltung von Software in einem Kraftfahrzeug und
2 einen schematischen Ablaufplan eines alternativen Verfahrens zur Freischaltung von Software in einem Kraftfahrzeug.
In der 1 ist ein schematischer Ablauf des Verfahrens zur Freischaltung von Software dargestellt. Dabei sind ein Fahrzeug 1 und ein Server 2 über ein Kommunikationsmedium 3 miteinander verbunden, wobei das Kommunikationsmedium eine Busleitung oder eine Luftschnittstelle sein kann. In einem ersten Schritt erfolgt eine Anfrage für die Funktion X vom Fahrzeug 1 an den Server 2. Zusätzlich übermittelt das Fahrzeug 1 eine Ist-Konfiguration an den Server 2. Dies kann gleichzeitig mit der Anfrage für die Funktion X erfolgen oder aber nach einem Dialog zwischen Server 2 und Fahrzeug 1 nach Empfang der Anfrage für die Funktion X durch den Server 2. Im Server 2 erfolgt in Abhängigkeit der übermittelten Ist-Konfiguration eine Überprüfung, ob die Funktion X freigeschaltet werden darf. Ist die Prüfung erfolgreich, also die Freischaltung möglich, so wird ein Freischaltcode berechnet. In diesem berechneten Freischaltcode wird die Ist-Konfiguration eingefügt und dieser modifizierte Freischaltcode mittels einer Signatur verschlüsselt und über das Kommunikationsmedium 3 an das Fahrzeug 1 übertragen. Im Fahrzeug 1 wird die Signatur überprüft und aus dem modifizierten Freischaltcode die Ist-Konfiguration extrahiert. Diese übermittelte Ist-Konfiguration wird mit der Ist-Konfiguration der Software im Fahrzeug 1 verglichen. Sind die beiden Ist-Konfigurationen gleich, so wird mittels des Freischaltcodes die Funktion X freigeschaltet.
In der 2 ist ein alternatives Verfahren dargestellt, wobei nur die Unterschiede zum Verfahren gemäß 1 erläutert werden sollen. Hierbei wird die Ist-Konfiguration für die Überprüfung, ob die Funktion X freigeschaltet werden darf, aus einer eigenen Datenbank des Servers 2 abgerufen. Diese aus der Datenbank abgerufene Ist-Konfiguration wird dann zusammen mit dem Freischaltcode signiert an das Fahrzeug 1 übertragen und dort mit der Ist-Konfiguration der Software des Fahrzeugs 1 verglichen.
Es versteht sich, dass die Freischaltung nicht vorgenommen werden darf, wenn die Überprüfung der Signatur oder der Vergleich der Ist-Konfiguration eine Abweichung festgestellt hat.

Claims

Verfahren zur Freischaltung von Software in einem Kraftfahrzeug (1) mittels mindestens eines zentralen Servers (2), umfassend die folgenden Verfahrensschritte: a) Anfrage an den Server (2) nach Freischaltung einer Software, b) Überprüfen im Server (2), ob die angefragte Software in Abhängigkeit von einer Ist-Konfiguration der Software freigeschaltet werden darf, c) Berechnen eines Freischaltcodes für die Software durch den Server (2), wobei die Ist-Konfiguration Bestandteil des Freischaltcodes ist, d) Verschlüsseln des Freischaltcodes durch den Server (2), e) Übertragen des verschlüsselten Freischaltcodes im Kraftfahrzeug (1), f) Entschlüsseln des Freischaltcodes im Kraftfahrzeug (1), g) Vergleichen der mit dem Freischaltcode übermittelten Ist-Konfiguration mit einer im Kraftfahrzeug (1) vorhandenen Ist-Konfiguration und h) Freischalten der Software durch den Freischaltcode, wenn der Vergleich der Ist-Konfiguration keine Abweichung ergeben hat.
Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass die Ist-Konfiguration zur Überprüfung gemäß Verfahrensschritt b) von dem Kraftfahrzeug (1) an den Server (2) übertragen wird.
Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass der Server (2) die Ist-Konfiguration zur Überprüfung gemäß Verfahrensschritt b) aus einer serverseitigen Datenbank lädt.
Server (2) zur Freischaltung von Software, wobei der Server (2) Überprüfungsmittel umfasst, ob eine angefragte Software in Abhängigkeit einer Ist-Konfiguration der Software in einem Kraftfahrzeug (1) freigeschaltet werden darf, sowie Mittel umfasst, mittels derer ein Freischaltcode berechenbar, verschlüsselbar und übertragbar ist, wobei die Mittel derart ausgebildet sind, dass der übertragene Freischaltcode die Ist-Konfiguration der Software umfasst.
Vorrichtung zur Freischaltung von Software in einem Kraftfahrzeug, umfassend Mittel zum Anfragen einer freizuschaltenden Software, Mittel zum Entschlüsseln eines empfangenen Freischaltcodes und Mittel zum Vergleichen einer mit dem Freischaltcode übermittelten Ist-Konfiguration mit einer vorhandenen Ist-Konfiguration von Software.