DE102015109468A1

DE102015109468A1 - Zugangs-und Fahrberechtigungssystem mit erhöhter Sicherheit gegen Relaisangriffe durch Verifikation der Ortbestimmung

Info

Publication number: DE102015109468A1
Application number: DE102015109468.1A
Authority: DE
Inventors: Ludger Weghaus
Original assignee: Hella KGaA Huek and Co
Current assignee: Hella GmbH and Co KGaA
Priority date: 2015-06-15
Filing date: 2015-06-15
Publication date: 2016-12-15
Also published as: EP3307591A1; US10800380B2; US20180148015A1; CN107743458A; CN107743458B; WO2016202592A1

Abstract

Die Erfindung betrifft ein Berechtigungssystem (5) für Fahrzeuge, das wenigstens ein Authentifikationselement (40), wenigstens eine Vorrichtung (15) zur Ortung des Authentifikationselements (40) und wenigstens eine Vergleichseinheit (60) aufweist, wobei das Authentifikationselement (40), insbesondere ein Schlüssel oder ein Keyless-Go-Mittel für ein Fahrzeug (10), beispielsweise ein Automobil, wenigstens eine Funkschnittstelle (46) zum Senden und/oder Empfangen wenigstens eines fahrzeuggenerierten Ortsdatensignals, wenigstens ein Inertialsensorelement (44) zur Erfassung von Inertialdaten im Zusammenhang mit wenigstens einer Bewegung und/oder wenigstens einer Beschleunigung, wenigstens eine Inertialdatenschnittstelle zum Senden und/oder Empfangen von Inertialdaten aufweist, wobei die Vorrichtung (15) zur fahrzeugseitigen Anordnung, insbesondere in oder an einem Automobil, vorgesehen ist, und wobei die Vorrichtung (15) wenigstens eine Funkeinrichtung (50) zum Senden und/oder Empfangen des Ortsdatensignals, und wenigstens eine Ortsdatensignalaustauschschnittstelle zum Austausch von Ortssignaldaten mit der Vergleichseinheit (60) aufweist, wobei die Vergleichseinheit (60) wenigstens eine Empfangseinrichtung zum Empfang der Ortssignaldaten und der Inertialdaten, und wenigstens ein Recheneinheit zur Erzeugung von Vergleichsdaten (60) basierend auf den Ortssignaldaten und den Inertialdaten aufweist. Des Weiteren betrifft die Erfindung auch noch ein Verfahren zur Kontrolle der Zugangsberechtigung mit einem Berechtigungssystem (5).

Description

Die Erfindung betrifft ein Berechtigungssystem für Fahrzeuge, das wenigstens ein Authentifikationselement, wenigstens eine Vorrichtung zur Ortung des Authentifikationselements und wenigstens eine Vergleichseinheit aufweist. Ferner betrift die Erfindung ein Verfahren zur Kontrolle der Berechtigung eines Authentifikationselements mit einem Berechtigungssystem.
Bekannte Berechtigungssysteme für Fahrzeuge, wie z. B. sog. passive schlüssellose Systeme oder sog. hands-free entry/go Systeme bzw. Keyless Entry Systeme, erfordern es nicht, ein Berechtigungsmittel bzw. einen Schlüssel in die Hand zu nehmen, um bestimmte Aktionen auszulösen.
So ist es mit derartigen Systemen beispielsweise möglich, ein Fahrzeug ohne aktive Benutzung eines Berechtigungsmittels bzw. Autoschlüssels zu entriegeln und durch das bloße Betätigen eines Startknopfes zu starten. Ermöglicht wird dies durch das Berechtigungsmittel bzw. einen Keyless-Entry-Schlüssel mit einem Chip, den der Nutzer mit sich führt.
Bei Systemen aus dem Stand der Technik sendet das Fahrzeug ein schwaches Signal mit einer Reichweite von wenigen Metern, das das Berechtigungsmittel empfängt. Das Berechtigungsmittel sendet daraufhin ein Signal an das Fahrzeug, das das Fahrzeug dazu benutzt, zu entscheiden, ob es sich um ein autorisiertes Berechtigungsmittel handelt und ob darauf basierend Zugangs- bzw. Fahrberechtigungsbefehle umgesetzt werden können.
Solche Berechtigungssysteme setzen also keine bewusste Nutzerinteraktion am Berechtigungsmittel mehr voraus, sondern überprüfen nur, ob das Berechtigungsmittel in den Momenten, in denen eine Überprüfung der Autorisierung erfolgen soll, in unmittelbarer Nähe zum Auto – im Falle des Zuganges – bzw. im Auto – im Falle einer Fahrberechtigung – ist.
Im Kontext dieser Berechtigungs- bzw. Keyless Entry Systeme rücken Angriffsszenarien, die eben auf spezielle Eigenschaften der damit verbundenen Technologien zurückgreifen, in den Vordergrund.
So sind mittlerweile Angriffsszenarien bekannt, bei denen die zugehörige Funkstrecke des Berechtigungssystems bzw. die Funkstrecke zwischen Schlüssel und Fahrzeug verlängert wird. Hierbei handelt es sich um sog. Relaisangriffe bzw. relay station attacks (RSA).
Bei einem derartigen Relaisangriff wird das Signal des Fahrzeugs zum Berechtigungsmittel mittels eines Antennenpaares weitergeleitet bzw. verlängert. Dabei muss eine Antenne/eine Relaisstation nah (typsicherweise weniger als 2 Meter) am Fahrzeug sein und die andere Antenne/Relaisstation nah an dem autorisierten Berechtigungsmittel (typischerweise weniger als 2 Meter). Die Distanz zwischen den beiden Relaisstationen (Funkstreckenverlängerungsstationen) kann dabei sehr groß sein und ist lediglich abhängig von der konkreten Implementierung der Relaisstationen, deren Ziel typischerweise krimineller Natur ist und bei denen man auch nicht davon ausgehen kann, dass regulatorische Bestimmungen einschränkend wirken.
Folglich kann das Fahrzeug mittels eines Relaisangriffs geöffnet bzw. gestartet werden, obwohl sich das zugehörige Berechtigungsmittel außerhalb der üblichen Distanz für eine Öffnung bzw. Fahrberechtigung des Fahrzeugs befindet.
Der Erfindung liegt daher die Aufgabe zu Grunde, ein Berechtigungssystem für Fahrzeuge sowie ein Verfahren zur Kontrolle der Berechtigung eines Authentifikationselements mit einem Berechtigungssystem anzugeben, bei denen mit geringem technischem Aufwand und auf einfache Weise eine Relaisattacke unterbunden werden kann und das Gesamtkonzept der Keyless Entry Systeme für einen Nutzer erhalten bleibt.
Die Aufgabe wird erfindungsgemäß insbesondere durch die Merkmale der unabhängigen Patentansprüche gelöst. Weitere vorteilhafte Weiterbildungen der vorliegenden Erfindung sind Gegenstand der Unteransprüche.
Das Berechtigungssystem für Fahrzeuge weist wenigstens ein Authentifikationselement, wenigstens eine Vorrichtung zur Ortung des Authentifikationselements und wenigstens eine Vergleichseinheit auf. Dabei weist das Authentifikationselement, das insbesondere ein Schlüssel oder ein Keyless-Go-Mittel für ein Fahrzeug ist, beispielswiese ein Automobil, wenigstens eine Funkschnittstelle zum Senden und/oder Empfangen wenigstens eines fahrzeugseitig generierten Ortsdatensignals, wenigstens ein Inertialsensorelement zur Erfassung von Inertialdaten im Zusammenhang mit wenigstens einer Bewegung und/oder wenigstens einer Beschleunigung des Authentifikationselements, wenigstens eine Inertialdatenschnittstelle zum Senden und/oder Empfangen von Inertialdaten auf. Die Vorrichtung zur Ortung des Authentifikationselements ist zur fahrzeugseitigen Anordnung vorgesehen, insbesondere in und/oder einem Automobil und die Vorrichtung weist dabei wenigstens eine Funkeinrichtung zum Senden und/oder Empfangen des Ortsdatensignals und wenigstens eine Ortsdatensignalaustauschschnittstelle zum Austausch von Ortssignaldaten mit der Vergleichseinheit auf. Die Vergleichseinheit weist wenigstens eine Empfangseinrichtung zum Empfangen der Ortssignaldaten und der Inertialdaten und wenigstens eine Recheneinheit zur Erzeugung von Vergleichsdaten basierend auf den Ortssignaldaten und den Inertialdaten auf. Die Ortssignaldaten können mit den Ortsdatensignalen identisch sind, sie können diese ganz oder teilweise umfassen oder die Ortssignaldaten können auf der Grundlage eines oder mehrerer Ortsdatensignale gewonnen werden.
Die Erfindung basiert auf dem Grundgedanken, dass die Kontrolle der Berechtigung des Authentifikationselements insbesondere im Hinblick auf die Zugriffsberechtigung bzw. Öffnung des Fahrzeugs und auch die Fahrberechtigung nicht nur anhand der Position des Authentifikationselements relativ zum Fahrzeug bzw. zur Vorrichtung und zur Ortung des Authentifikationselements überprüft wird, sondern dass zusätzlich als Plausibilitätskontrolle überprüft wird, ob die Bewegungs- und Beschleunigungsdaten, also die Inertialdaten des Authentifikationselements mit den Ortsdaten des Authentifikationselements, die durch die fahrzeugseitige Vorrichtung zur Ortung des Authentifikationselements ermittelt wurden, korrelieren. Korrelieren diese Daten, so wird eine Zugangs- und/oder Fahrberechtigung fahrzeugseitig gewährt, andernfalls nicht. Hierdurch wird es möglich, besonders wirkungsvoll und einfach eine Relaisattacke zu erkennen und entsprechend abzuwehren.
In der gesamten Beschreibung wird vorzugsweise unter einer Bewegung eine geradlinige Bewegung entlang einer Bahn, die allerdings auch eine oder mehrere Krümmungen aufweisen kann, verstanden. Auch wird unter Bewegung die Änderung des Ortes eines Beobachtungsobjektes mit der Zeit verstanden.
Vorzugsweise handelt es sich bei dem Authentifikationselement um ein UID bzw. einen Schlüssel (z.B. Funkschlüssel), um einen Keyless-Go-Mittel für ein Fahrzeug oder Keyless-Entry-Schlüssel. Es ist aber auch möglich, dass das Authentifikationselement mit einem Mobilgerät, wie einem Mobiltelefon, einem Tablet, einem Notebook und/oder einem anderen mobilen bzw. tragbaren Gerät realisiert ist.
Vorteilhafterweise weist das Authentifikationselement eine Funkschnittstelle zum Senden und Empfangen eines Authentifikationssignals und vorzugsweise ein Sensorelement zur Erfassung einer Inertialbewegung auf. Das Authentifikationselement kann dabei eine einzige Funkschnittstelle aufweisen, die sowohl zum Senden und/oder Empfangen des wenigstens einen fahrzeugseitig generierten Ortsdatensignals und auch zum Senden und/oder Empfangen der Inertialdaten genutzt wird. Denkbar ist aber auch, dass eine gesonderte Inertialdatenschnittstelle zum Senden und/oder Empfangen von Inertialdaten vorgesehen ist. Grundsätzlich ist aber denkbar, dass die Funkschnittstelle zum Senden und/oder Empfangen des wenigstens einen fahrzeugseitig generierten Ortsdatensignals auch zugleich die Inertialdatenschnittstelle zum Senden und/oder Empfangen von Inertialdaten beinhaltet.
Bevorzugterweise ist die Vorrichtung fahrzeugseitig, insbesondere in oder an einem Automobil angeordnet. Somit ist die Vorrichtung mit dem Fahrzeug verbunden und kann beispielsweise eingesetzt werden, um dieses zu öffnen und/oder zu starten.
Des Weiteren kann vorgesehen sein, dass das Inertialsensorelement ein MEMS-Beschleunigungssensor ist. Insbesondere kann das Inertialsensorelement ein einfacher 3-Achsen-MEMS basierter Beschleunigungssensor sein, wodurch drei Freiheitsgrade erfassbar sind.
Des Weiteren kann vorgesehen sein, dass das Inertialsensorelement ein kombinierter MEMS-Beschleunigungs- und Gyrosensor ist. Ein kombinierter Sensor, der zusätzlich auch Gyrodaten erfassen kann, erlaubt eine Erfassung und Überprüfung von sechs Freiheitsgraden.
Des Weiteren kann vorgesehen sein, dass das Inertialsensorelement ein kombinierter MEMS-Beschleunigungs-, Gyro- und Magnetsensor ist. Durch eine derartige Kombination wird es möglich, neun Freiheitsgrade zu überprüfen.
Darüberhinaus kann vorgesehen sein, dass das Inertialsensorelement bei Annährung an das Fahrzeug mittels eines Wake-up-Signals aktivierbar ist. Dadurch ergibt sich der Vorteil, dass das Inertialsensorelement nicht ständig aktiviert sein muss und erst bei Annäherung an das Fahrzeug aktiviert wird. Hierdurch wird die Batterie des Authentifikationselements geschont. Insbesondere ist in diesem Zusammenhang denkbar, dass seitens der Vorrichtung zur Ortung des Authentifikationselements zyklisch Wake-up-Signale ausgesendet werden, die durch das Authentifikationselement erfassbar sind und bei Erfassung dazu führen, dass das Inertialsensorelement aktiviert wird.
Des Weiteren betrifft die vorliegende Erfindung ein Verfahren zur Kontrolle der Berechtigung eines Authentifikationselements mit einem Berechtigungssystem, insbesondere einem Berechtigungssystem wie vorstehend beschrieben, wobei das Berechtigungssystem wenigstens ein Authentifikationselement, wenigstens eine Vorrichtung zur Ortung des Authentifikationselements und wenigstens eine Vergleichseinheit aufweist, und wobei das Verfahren wenigstens die nachfolgenden Schritte aufweist:

– Es werden die Ortsdaten des Authentifikationselements relativ zur Vorrichtung bestimmt;
– es werden die Inertialdaten im Zusammenhang mit wenigstens einer Bewegung und/oder wenigstens einer Beschleunigung des Authentifikationselements zwischen mindestens zwei Zeitpunkten t = t1 und t = t2 bestimmt;
– die Ortsdaten und die Inertialdaten werden miteinander verglichen;
– in Abhängigkeit des Vergleichs der Ortsdaten und der Inertialdaten wird die Berechtigung des Authentifikationselements kontrolliert.

Sämtliche vorstehend beschriebenen strukturellen und/oder funktionalen Merkmale sowie Vorteile des vorstehend beschriebenen Berechtigungssystems können einzeln oder in Kombination auch im Verfahren zur Kontrolle der Berechtigung mit einem Berechtigungssystem realisiert werden und Anwendung finden.
Des Weiteren kann vorgesehen sein, dass eine Berechtigung nur zuerkannt wird, wenn der Vergleich der Ortsdaten und der Inertialdaten ergibt, dass die Ortsdaten und Inertialdaten ausreichend miteinander korrelieren. Insbesondere kann überprüft werden, ob die Bewegungsdaten des Authentifikationselements, die durch mehrere zeitlich versetzte Ortungsmessungen (z.B. via Trilateration per LF-H-Feldmessung oder Time-off Light (TOF) z.B. Akustiksignal basiert oder Angle-of-Arrival (AoA) basiert) bestimmt wird, mit den Werten aus der Inertialnavigation, beispielsweise der mittels des MEMS-basierten Inertialnavigation korrelierbar sind. Nur falls dies der Fall ist, ist die (ggf. RSA angreifbare) Ortungsmessung verifiziert und es kann somit ein Relaisangriff ausgeschlossen werden. Somit wird also mit anderen Worten ein erfolgreicher Authentifizierungsprozess nur dann erfolgreich abgeschlossen, wenn die Daten aus der Inertialnavigation und die Ortungsdaten, die fahrzeugseitig generiert werden, unter Berücksichtigung von vorgegebenen Toleranzen, z.B. Messtoleranzen, zusammenpassen.
Dies kann dadurch erfolgen, dass das Authentifikationselement diese Überprüfung selber durchführt und dann nur bei Übereinstimmung eine gültige Response (Authentifizierungssignal) an das Fahrzeug schickt, das dann entriegelt oder es kann dadurch erfolgen, dass das Authentifikationselement nur roh- oder vorverarbeitete Messdaten verschlüsselt an das Fahrzeug, schickt, so dass das Fahrzeug diese Übereinstimmungsbetrachtungen durchführen kann und darauf basierend selber die Entscheidung für oder gegen eine erfolgreiche Authentifizierung trifft. Diese Variante hat insbesondere zwei Vorteile, weil die Kommunikation zwischen Authentifikationselement und Fahrzeug so immer gleich abläuft und ein Angreifer also nicht unmittelbar erkennen kann, warum eine Berechtigung nicht erteilt wurde und weiterhin den Vorteil, dass im Fahrzeug wegen der dort vorhandenen größeren Energiequelle und des größeren Bauraumes leistungsfähigere Logik genutzt werden kann.
Beim Normalfall liegt immer eine Übereinstimmung vor, so dass der Authentifizierungsprozess erfolgreich durchlaufen werden kann und der Nutzer also Zugang zu seinem Fahrzeug erhält. Im Falle einer Relaisstationattacke oder einer Funkstreckenverlängerung passen die Daten aus der Inertialnavigation nicht mit den Ortungsdaten zusammen. In diesem Fall würde ein Authentifizierungsprozess also negativ enden und ein Angriff ins Leere laufen.
Die Ortsdaten können den Verlauf der Ortsdaten des Navigationselements umfassen. Insbesondere ist notwendig, dass wenigstens zwei Ortsdaten vorhanden sind, die dann mit den jeweiligen Inertialdaten abgeglichen werden können. Hierzu werden entsprechende zeitliche Betrachtungen beispielsweise die Änderung der Ortsdaten von PUID(x1, y1, z1) zum Zeitpunkt t = t1 hin zu PUID(x2, y2, z2) zum Zeitpunkt t = t2 gegenüber den aus den Inertialdaten zum Zeitpunkt t = t1 und t = t2 ableitbaren Ortsveränderung (dx, dy, dz) miteinander korreliert. Ausgenutzt wird hierbei insbesondere die Existenz der Erdbeschleunigung, da diese von der Auswerteelektronik dazu genutzt wird, dem UID die Ausrichtung in z-Richtung (vertikal zur Erdoberfläche) vorgibt. Beschleunigungen in absoluter z-Richtung (Gravitationsrichtung), die für Fahrzeug und UID identisch ist, und die sich daraus ableitbaren Ortsveränderung (delta-z) zwischen diesen zwei Punkten, sind so also unmittelbar berechenbar. Für die beiden übrigen Koordinatenrichtungen x und y in der horizontalen Ebene bestehen zwei Optionen der Betrachtung: In einem ersten Ansatz kann eine mathematische Drehoperation um die z-Achse (Gravitationsachse) erfolgen, bei der letztlich in mehreren Schritten der Drehung ein Winkel gesucht wird, bei dem sich für die Ortskoordinatenänderung eine ausreichende Korrelation für die Ortsänderung in der x-y Ebene ergibt. Neben einer reinen Betrachtung der z-Ebene kann dies also als eine weitere Stufe der Plausibilisierung verstanden werden. Eine noch schärfere Plausibilisierungsstufe ergibt sich in dem zweiten Ansatz, bei dem die x-y Ausrichtung des Authentifikationselements aus den H-Feldmessungen im Authentifikationselement während der Trilateration bestimmt wird. Da also mindestens ein Ortspunkt bereits erkannt werden muss, bevor der Nutzer das Fahrzeug erreicht hat, erzeugt das Fahrzeug hierzu zyklisch (z.B. im Raster von wenigen Sekunden) Signale (z.B. ein Magnetfeld oder eine elektromagnetische Welle), die den UID aus einem tiefen energieoptimierenden Schlafzustand heraus wecken können und ihm dadurch mitteilen, dass er beginnen muss, die Inertialnavigationsdaten (z.B. Beschleunigungen, Gyrodaten etc.) aufzunehmen. Dies ist ein bedeutsamer Aspekt, da die Energiequelle im Authentifikationselment sehr limitiert sein kann bzw. ist und ein permanenter Einsatz nicht bzw. in der Regel möglich ist.
Bei der Kontrolle der Berechtigung kann kontrolliert werden, ob die Ortsdaten wenigstens eine Ruheposition des Authentifikationselements umfassen. Durch diese zusätzliche Bedingung wird überprüft, ob beim Authentifizierungsprozess das Authentifikationselement annähernd zur Ruhe kommt, was beim Moment des Türbetätigens zu erwarten ist und was ebenfalls sowohl mit der Ortungsmessung sowie mit der Inertialnavigation gegengeprüft werden kann. Insbesondere kann somit überprüft werden, ob in einem vordefinierbaren Zeitfenster die Beschleunigung und Geschwindigkeit des Authentifikationselements Null bzw. annähernd Null sind und diese Daten mit einem Öffnungsversuch bzw. einer Türöffnung korrelieren. Dies kann dann wiederum mit den Ortsdaten des Authentifikationselements überprüft werden, weil diese Daten mit den Ortsdaten, die im Zusammenhang mit der Tür, bei deren Öffnungsversuch bzw. eine Türöffnung vorliegt, korrelieren müssen.
Nachstehend wird die Erfindung anhand von Ausführungsbeispielen in Verbindung mit zugehörigen Zeichnungen näher erläutert. Diese zeigen schematisch:
1 ein Berechtigungssystem mit einem Authentifikationselement und einer Vorrichtung;
2 ein Koordinatensystem für ein Fahrzeug sowie ein Koordinatensystem für ein Authentifikationselement;
3 eine schematische Zeichnung betreffend die fahrzeugseitige Generierung von Ortsdaten des Authentifikationselements mittels Trilateration; und
4 eine schematische Draufsicht auf das Bewegungsprofil des Authentifikationselements relativ zum Fahrzeug im Zusammenhang mit einem Authentifikationsprozess.
In nachfolgender Beschreibung werden gleiche Bezugszeichen für gleiche Gegenstände verwendet.
1 zeigt ein Berechtigungssystem 5 für ein Kraftfahrzeug 10, das eine Vorrichtung 15 zur Ortung eines Authentifikationselements 40 aufweist. Das Berechtigungssystem 5 weist weiter Sendeantennen 20, 22, 24 und 26 auf, mit der eine Ortung des Authentifikationselements durchgeführt werden kann.
Das Authentifikationselement 40 ist im vorliegenden Beispiel als Schlüssel oder Keyless-Go-Mittel für das Kraftfahrzeug 10 ausgestaltet und weist einen H-Feldsensor 42, einen Inertialsensor 44 zur Erfassung von Inertialdaten im Zusammenhang mit Bewegungen und Beschleunigungen des Authentifikationselements 40 und eine Funkschnittstelle 46 auf.
Des Weiteren weist das Berechtigungssystem eine fahrzeugseitige Funkschnittstelle 50 und eine fahrzeugseitige Elektronik zur Signalerzeugung und Signalerfassung sowie Funktionslogik, die eine Vergleichseinheit 60 bilden, auf. Der Inertialsensor 44 ist ein kombinierter MEMS-Beschleunigungs- und Gyrosensor, mit dem sechs Freiheitsgrade überprüft werden können. Durch die Hinzufügung des H-Feldsensors 42 entsteht insgesamt ein (kombiniertes) Inertialsensorelement, das ein kombinierter MEMS-Beschleunigungs-, Gyro- und Magnetsensor ist. Somit wird eine Messung in insgesamt neun Freiheitsgraden ermöglicht.
Denkbar ist aber auch, dass das Inertialsensorelement 44 als bloßer MEMS-Beschleunigungssensor mit drei Freiheitsgraden ausgeführt sein kann.
Das Inertialsensorelement 44 wird bei Annäherung an das Fahrzeug 10 mittels eines vom Fahrzeug 10 zyklisch ausgesendeten Wake-up-Signals aktiviert.
Das Authentifikationselement 40 weist mit der Funkschnittstelle 46 eine Funkschnittstelle zum Senden und Empfangen von fahrzeugseitig generierten Ortsdatensignalen auf, wobei die Funkschnittstelle 46 auch zur Übertragung der Inertialdaten dient. Mit anderen Worten ist also die Inertialdatenschnittstelle in der Funkschnittstelle 46 integriert.
Die Vorrichtung 15 weist mit der fahrzeugseitigen Funkschnittstelle 50 eine Funkeinrichtung zum Senden und Empfangen des Ortsdatensignals auf sowie eine Ortsdatensignalaustauschschnittstelle, die in der Funkeinrichtung 50 integriert ist. Die Ortsdatensignalaustauschschnittstelle dient zum Austausch der Ortssignaldaten mit der Vergleichseinheit 60.
Die Vergleichseinheit 60 weist eine Empfangseinrichtung zum Empfangen der Ortssignaldaten und der Inertialdaten auf und ist mit einer Recheneinheit versehen, die zur Erzeugung von Vergleichsdaten basierend auf den Ortssignaldaten und den Inertialdaten dient.
2 zeigt das Koordinatensystem für das Fahrzeug mit der X-Achse X_k, der Y-Achse Y_k und der Z-Achse Z_k, wobei das Koordinatensystem für das Authentifikationselement 40 eine X-Achse X_UID, eine Y-Achse Y_UID und eine Z-Achse Z_UID aufweist.
Das Verfahren zur Kontrolle der Berechtigung des Authentifikationselements 40 weist in einer möglichen Ausführungsform die folgenden Schritte auf:

– Vom Fahrzeug wird zyklisch ein Wake-Up-Signal erzeugt (z.B. ein moduliertes Magnetfeldsignal);
– der UID (40) aktiviert bei Empfang dieses Wake up signales den Inertialsensor im UID (40);
– es werden die Ortsdaten des Authentifikationselements 40 relativ zur Vorrichtung 15 (bzw. relativ zum Fahrzeug 10) bestimmt;
– es werden die Inertialdaten im Zusammenhang mit der Bewegung/Beschleunigung des Authentifikationselements 40 zwischen mindestens 2 Zeitpunkten t = t1 und t = t2 bestimmt;
– die Ortsdaten und die Inertialdaten werden miteinander verglichen; und
– in Abhängigkeit des Vergleichs der Ortsdaten und der Inertialdaten wird die Berechtigung des Authentifikationselements 40 kontrolliert.

Es wird also überprüft, ob die Bewegungsdaten (vgl. 4), die durch mehrere zeitlich versetzte Ortungsmessungen (z.B. mittels Trilateration per LFH-Feldmessung (vgl. 3) oder Time-of-Flight (ToF) z.B. akustiksignalbasiert oder Angle-of-Arrival (AoA) basiert) bestimmt wird, mit den Werten aus der mittels der Inertialsensorelemente 42, 44 korrelierbar ist. Nur falls dies der Fall ist, ist die ggf. mittels RSA angreifbare Ortungsmessung verifiziert und es kann ein Relaisangriff ausgeschlossen werden.
Durch mehrere zeitlich versetzte Ortungsmessungen wird erreicht, dass die Ortsdaten den Verlauf der Ortsdaten des Authentifikationselements 40 umfassen.
Eine Berechtigung wird nur zuerkannt, wenn der Vergleich der Ortsdaten mit dem aus den Inertialdaten des UIDs (40) ableitbaren Bewegungsinformation ergibt, dass diese ausreichend miteinander korrelieren.
Darüberhinaus kann vorzugsweise ergänzend geprüft werden, ob das Authentifikationselement 40 beim Authentifizierungsprozess annähernd zur Ruhe gekommen ist, was im Moment des Türgriffbetätigens zu erwarten ist und was ebenfalls sowohl mittels Ortungsmessung als auch mit der Inertialnavigation gegengeprüft werden kann. Mit anderen Worten wird also beispielsweise geprüft, ob die Ortsdaten wenigstens eine Ruheposition des Authentifikationselements 40 umfassen Diese Bedingung kann zudem mit dem Türöffnungsereignis korreliert werden.
Es ergibt sich somit eine vergleichsweise wenig aufwendige Möglichkeit der Verifikation von Ortungsdaten des Authentifikationselements 40, die aus kostengünstigen technischen Implementierungen gewonnen wurden, die jeweils für sich genommen nicht zwangsweise in sich robust gegen Relaisangriffe sind, jedoch durch die Verifikation durch eine RSA robuste kostengünstige Technologie wie der Inertialnavigation abgesichert werden können.
Grundsätzlich ist es auch möglich, dass aufgrund der Nutzung der Inertialsensorik als absichernde Technologie beispielsweise Smartphones in diesem Kontext einbezogen werden können.
Im Zusammenhang mit 3 und 4 soll nun ein weiteres mögliches Ausführungsbeispiel erläutert werden.
Ein portables elektronisches Gerät als Authentifikationselement 40, wie beispielsweise ein Funkschlüssel (UID) oder ein Mobiltelefon dient zur Authentifizierung der Zugangsberechtigung und Fahrberechtigung, wobei der Nutzer des Kraftfahrzeugs 10 dieses nicht in die Hand nehmen muss (hands free entry).
In dem Moment, in dem der Nutzer den Zugang zu seinem Kraftfahrzeug 10 wünscht, wird die Autorisierung des Nutzers wie folgt überprüft:
Wie aus 4 ersichtlich, nähert sich der Nutzer seinem Kraftfahrzeug 10 und möchte mit diesem wegfahren. Er hat hierzu das Authentifikationselement 40 bei sich und nähert sich dem Kraftfahrzeug 10.
Zum Zeitpunkt t = t0 befindet sich die Position des Authentifikationselements 40 außerhalb jeglicher Bereiche A1, A2, A3, A4, in denen das Signal, das von den Sendeantennen 20, 22, 24 und 26 des Kraftfahrzeugs 10 ausgesendet wird, empfangen werden kann.
Zum Zeitpunkt t = t1 hat das Authentifikationselement 40 den Bereich A1 erreicht, wodurch das Berechtigungssystem 5 erkennen kann, dass eine kurze Entfernung vorliegt. In diesem Fall besteht ein Abstand von mehreren Metern zwischen dem Fahrzeug 10 und dem Authentifikationselement 40.
Die Erkennung, dass sich nunmehr das Authentifikationselement 40 dem Fahrzeug 10 genähert hat, kann beispielsweise dadurch geschehen, dass das Fahrzeug 10 mittels einer Sendeantenne kurze elektrische Signale erzeugt, die das Authentifikationselement 40 empfangen kann oder anders herum, dass das Authentifikationselement 40 zyklisch bestimmte Signale erzeugt, die das Berechtigungssystem 5 des Kraftfahrzeugs empfangen kann.
Die Ortskoordinate des Authentifikationselements 40 wird nun mehrmals zu den Zeitpunkten t1, t2 bis tn durch eine (beliebige) Ortungstechnologie bestimmt, beispielsweise mittels LF-H-Felderzeugung, wie in 3 gezeigt.
Die Sendeantennen 20, 22, 24 und 26 senden Signale aus und mittels der erfassten Signalintensität kann der jeweilige Abstand zu den einzelnen Antennen 20, 22, 24 und 26 und dem Authentifikationselements 40 ermittelt werden, so dass hieraus mittels der Vergleichseinheit 60 die Position P_UID ermittelt werden kann.
Zwischen den Zeitpunkten t1 und t2 bis tn fragt das Authentifikationselement aber in angemessen hoher Samplingrate die Werte des integrierten Inertialsensors 44 ab..
Es wird nun dafür gesorgt, dass ein erfolgreicher Authentifizierungsprozess nur dann erfolgreich abgeschlossen werden kann, wenn die Vergleichseinheit 60 die Daten aus der Inertialnavigation und die Ortungsdaten unter Berücksichtigung von vorgegebenen Toleranzen, wie beispielsweise Messtoleranzen, angemessen korrigieren kann.
Grundsätzlich kann dies dadurch erfolgen, dass das Authentifikationselement 40 diese Überprüfung selber durchführt und dann nur bei Übereinstimmung eine gültige Response (gültiges Authentifizierungssignal) an das Berechtigungssystem 5 des Kraftfahrzeugs 10 schickt, dass dann entriegelt oder dies kann dadurch erfolgen, dass das Authentifikationselement 40 nur roh- oder vorverarbeitete Messdaten verschlüsselt an das Kraftfahrzeug 10 kommuniziert, so dass das Kraftfahrzeug 10 diese Übereinstimmungsbetrachtung durchführen kann mittels des Berechtigungssystems 5 und hierauf basierend selber die Entscheidung für oder gegen eine erfolgreiche Authentifizierung trifft.
In einem normalen Fall liegt immer eine Übereinstimmung vor, so dass der Authentifizierungsprozess erfolgreich durchlaufen werden kann und der Nutzer Zugang und auch eine Fahrberechtigung zu seinem Kraftfahrzeug 10 erhalten kann. Im Falle einer RSA bzw. einer Funkstreckenverlängerung passen aber die Daten aus der Inertialnavigation nicht mit den Ortungsdaten P_UID zusammen. In diesem Fall würde ein Authentifizierungsprozess also negativ enden und ein Angriff ins Leere laufen.
Grundsätzlich kann darüber hinaus auch überprüft werden, ob die via LF-Trilateration (vgl. 3) errechnete Ortsinformation des UIDs P_UID = [xp, yp, zp] in einem Volumenbereich des Fahrzeugkoordinatensystems liegt, den man applikationsseitig als zulässig für den UID definiert hat. Damit kann das zulässige Volumen weiter und präziser und vor allem applikationsspezifischer eingeschränkt werden als die durch die derzeitige (Stand der Technik) rein abstandsbasierte eher technologisch begründete Einschränkung.
Ermöglicht wird ein solcher Ansatz durch einen Wechsel von rein RSSI basierter Entfernungs- bzw. Bereichsmessung zu einer präziseren Ortsauflösung, wie dies beispielsweise durch Trilateration (z.B. via LF Magnetfeldmessung oder via Laufzeitmessung kurzer Impulse wie bei UWB (Ultra Wide Band Funktechnologie)) oder Triangulation (bei funkwellenbasierten Angle-of-Arrival-Ansätzen)
Um eine erfolgreiche Authentifizierung zu erreichen muss sich ein UID bezogen auf das Fahrzeug-Koordinatensystem zwischen z = 0 (Asphaltniveau; UID in der Tasche auf dem Boden) und z = 2m (UID am Hut) in der Fläche [–60cm < x < 60cm; 80cm (Türaussenseite) < y < 140cm] befinden (Person in Armlänge vom Türgriff) oder zwischen z = 0 (Asphaltniveau; UID in der Tasche auf dem Boden) und z = 1m (oben in einem hohen Koffer) in einer entsprechend einige Dezimeter weiter entfernteren x-y-Fläche etc befinden etc.
Die derzeitige Vorgabe im Zusammenhang mit der Fahrberechtigung, dass ein UID sich für die Erteilung einer Fahrberechtigung im Innenraum des Kraftfahrzeugs 10 befinden muss, ist im wesentlichen technologisch bedingt. Das erscheint zulässig, aber nicht notwendig für die Applikation im realen Umfeld. So könnte die Lage eines ein Schlüssel z.B. nah unter dem Dach oder im oberen Bereich der Frontscheibe etc. als unzulässig definiert werden, was einer Einengung der zulässigen Position entspricht.
Ein RSA Angreifer wäre dann gezwungen, die Signale so aufzunehmen und wiederherzustellen, dass der UID (dessen Position dem Angreifer u.a. nicht immer bekannt ist) damit einer Ortskoordinate im zulässigen, nun eingeengten, weil besser definierten Bereich zugeordnet werden kann.
Alternativ oder zusätzlich kann überprüft werden, ob die via LF errechnete Ortsinformation P_UID = [xp, yp, zp] und die den n sequentiell genutzten Antennen (1..n), also hier die Sendeantennen 20, 22, 24, 26 zuordenbaren vom UID gemessenen H-Feldkomponententrippel H_{UID_i} = [Hix, Hiy, Hiz] mit den vorzugsweise fahrzeugseitig in z.B. einer Look-up-Table (LuT) gespeicherten zu jeder LF Sendeantenne Antenne(i) erzeugten H-Feldgrößentripel – [Hix(P_UID), Hiy(P_UID), Hiz(P_UID)] für diesen Ortspunkt P_UID mindestens für das Feld einer Sendeantenne Antenne(i) mit i bei Trilaterationsverfahren (typischerweise (aber nicht zwingend) n = 3) mit dem aus der Trilateration errechneten Raumpunkt P_UID korrelieren/übereinstimmen.
Da das Koordinatensystem des UIDs 40 aber veränderlich und zunächst unbekannt ist, muss hierzu ein mathematisches Verfahren (Drehung) angewendet werden, um die Koordinatensysteme ineinander zu überführen. Dies kann z.B. durch Algorithmen erfolgen, die die Drehung derart ausführen, dass eine maximale Korrelation des gemessenen mit dem gespeicherten H-Feldtripel erreicht wird. Dadurch kann rückwirkend sogar die Lage des UIDs im Raum bestimmt werden, was bei der Inertialnavigation des UIDs auch dazu dient, die beiden unterschiedlichen Koordinatensysteme ohne ein zusätzliches iteratives, korrelationsoptimierendes Drehverfahren ineinander überführen zu können.
In der LuT ist für Raumpunkte [x, y, z] in einem geeignet zu wählenden Raster (z.B. äquidistantes Raster z.B. von ca. 5cm bis ca. 10cm in jede Raumrichtung und vorteilhafterweise (weil weniger Speicher nötig) vergrößerters Rastermaß in größeren Abständen, in denen die Werte ohnehin weniger Änderungen pro Volumenelement aufweisen) also das zu jeder Sendeantenne Antenne(i) gehörende Magnetfeldtripel [Hix(x, y, z), Hiy(x, y, z), Hiz(x, y, z)] abgespeichert. Diese sind entweder aus einer Simulation, die auf der realen Kraftfahrzeug-Geometrie basiert errechnet und/oder an einem realen Kraftfahrzeug per Messung gewonnen worden.
Um eine erfolgreiche Authentifizierung zu erreichen, muss sich der bzw. ein vom UID gemessener H_{UID_i} Vektor über mathematische Drehoperationen so drehen lassen, dass es mindestens eine Drehoperation gibt, bei der der so gedrehte Vektor unter Berücksichtigung einer vorgegebenen Toleranz dem im Kraftfahrzeug 10 z.B. in der LuT gespeicherten H-Feldvektor für diesen Ortspunkt gleicht.
Dies ist nämlich explizit für die Drehung/Überführung in das Kraftfahrzeug-Koordinatensystem der Fall. Denn das Kraftfahrzeug 10 speichert für jeden Raumpunkt die an diesem Raumpunkt erwarteten H-Feldkomponenten in seinem Koordinatensystem.
Ein RSA Angreifer wäre dann gezwungen, die Signale so aufzunehmen und wiederherzustellen, dass die orthogonalen Feldkomponenten zum aus der Ortsbestimmung (z.B. Trilateration) errechneten Ort des UIDs passen.
In weiterer Ausgestaltung kann vorgesehen sein, dass zur Plausibilisierung der Lageinformation ein singulärer Messzyklus ausreicht pro sensorischem Kanal.
Somit wird mittels LF-Trilateration mit mehreren (n), sequentiell angesteuerten Antennen 22, 24, 26 der Ortspunkt P_UID = [xp, yp, zp] und n H-Feldkomponententrippel [Hix, Hiy, Hiz] bezogen auf das UID Koordinatensystem bestimmt. Durch mathematische Operationen (Drehung) können diese ins Kraftfahrzeug-Koordinatensystem gedreht werden. Mittels mathematischer Drehoperationen kann dann eine Korrelation der Daten erfolgen.
Um eine erfolgreiche Authentifizierung im Zusammenhang Zugang/Fahrberechtigung zu erreichen, muss der z-Anteil des vom UID gemessener H_{UID_i} Vektor für mindestens ein j mit der z-Komponente aus dem LuT in definierten Grenzen übereinstimmen, wobei die z-Komponente über die Ausrichtung des UIDs gegen die Gravitationsachse der Erde durch die Inertialsensorik bekannt ist.
Weiterhin muss sich ein vom UID gemessener H_{UID_i} Vektor über mathematische Drehoperationen um die Gravitationsachse so drehen lassen, dass es mindestens eine Drehoperation gibt, bei der der so gedrehte Vektor unter Berücksichtigung einer vorgegebenen Toleranz dem im Kraftfahrzeug z.B. in der LuT gespeicherten H-Feldvektor für diesen Ortspunkt gleicht. Dies ist nämlich explizit für die Drehung/Überführung in das Kraftfahrzeug-Koordinatensystem der Fall.
Denn das Kraftfahrzeug speichert für jeden Raumpunkt die an diesem Raumpunkt erwarteten H-Feldkomponenten in seinem Koordinatensystem.
Ein RSA Angreifer wäre also dann gezwungen, die Signale so aufzunehmen und wiederherzustellen, dass die orthogonalen Feldkomponenten zum aus der Trilateration errechneten Ort des UIDs passen und zusätzlich die umgerechnete Hz Komponente einen bestimmten Wert haben muss und da für den UID bzgl. seiner Lage nur noch Drehungen um die z-Achse möglich sind (also in der x-y-Ebene) sind auch die Restriktionen für die anderen Feldvektoren deutlich eingeschränkter, weil der fehlerminimierende Korrelationsalgorithmus nur noch einen Freiheitsgrad hat.
Zusätzlich kann weiter überprüft werden, ob die Bewegungstrajektorie, die durch mehrere zeitlich versetzte Ortungsmessungen (z.B. via Trilateration per LF H-Feldmessung oder Time of Flight (ToF) z.B. Akustiksignalen basiert oder Angle-of-Arrival (AoA) basiert) bestimmt wird, mit den Werten aus der MEMS basierten Inertialnavigation korrelierbar ist.
Ergänzend kann vorzugsweise geprüft werden, ob der UID beim Authentifizierungsprozess annähernd zur Ruhe kommt, was beim Moment des Türgriffbetätigens bzw. der Türöffnung zu erwarten ist und was ebenfalls sowohl mit der Ortungsmessung sowie mit der Inertialnavigation gegengeprüft werden kann.
Problematisch bei der Inertialnavigation ist die mangelnde Initialbedingung. Aus energetischen Gründen kann der Sensor nicht permanent den MEMS Sensor mit schnellem Zyklus abfragen. Vorzugsweise wird eine Startbedingung bei Annäherung an das Kraftfahrzeug durch andere Optionen (z.B. durch „Welcome“ Funktionen und fahrzeugseitig zyklisch ausgesendete LF „Wake-Up-Signale“) erreicht.
Die Inertialnavigation startet also zu einem Zeitpunkt, an dem die Geschwindigkeit des UIDs nicht bekannt ist. In Verbindung mit wenigstens zwei aufeinanderfolgenden Ortungsmessungen können allerdings Ortsinformationen und daraus abgeleitet Geschwindigkeitsinformationen gewonnen werden und als Eingangsbedingungen für die Inertialnavigation dienen.
Geschwindigkeiten und zurückgelegte Wegstrecken errechnen sich durch Integration bzw. doppelte Integration der gemessenen Beschleunigungen, wobei die Erdbeschleunigung zuvor herausgerechnet werden muss.
Drift, Offsetfehler und Messungenauigkeiten führen bekanntermaßen weiterhin dazu, dass die Inertialnavigation mit Fehlern behaftet ist. Allerdings sind hier nur kurze Zeiträume betrachtet, so dass eine ausreichende Nutzbarkeit der Daten gegeben ist, die insbesondere einen Relaisangriff nahezu unmöglich machen, weil definierte Bewegungsinformationen des UIDs zwingend erforderlich sind.
Um eine erfolgreiche Authentifizierung im Zusammenhang mit der Zugangsberechtigungsüberprüfung zu erreichen, müssen die Ergebnisse aufeinanderfolgender Ortungsmessungen (die prinzipiell via RSA angreifbar sind) mit den Inertialnavigationsdaten des UIDs/des Mobiltelefons übereinstimmen.
Die Korrelation der wie auch immer gearteten Ortung/Lokalisierung mit der Inertialnavigation im UID/Mobiltelefon erzwingt, dass der UID tatsächlich ein Bewegungsprofil durchlaufen muss, dass mit der Ortungstrajektorie übereinstimmt. Ein Angreifer muss darüber hinaus ggf. auch dafür sorgen, dass der UID im letzten Moment zur Ruhe kommt
Bezugszeichenliste

5: Berechtigungssystem
10: Kraftfahrzeug
15: Vorrichtung zur Ortung des Authentifikationselements
20: Sendeantenne
22: Sendeantenne
24: Sendeantenne
26: Sendeantenne
40: Authentifikationselement
42: H-Feld Sensor / Magnetfeldsensor
44: Inertialsensor
46: Funkschnittstelle
50: Fahrzeugseitige Funkschnittstelle
60: Fahrzeugseitige Elektronik zur Signalerzeugung und Signalerfassung und Funktionslogik bzw. Vergleichseinheit

Claims

Berechtigungssystem (5) für Fahrzeuge (10), das wenigstens ein Authentifikationselement (40), wenigstens eine Vorrichtung (15) zur Ortung des Authentifikationselements (40) und wenigstens eine Vergleichseinheit (60) aufweist, – wobei das Authentifikationselement (40), insbesondere ein Schlüssel oder ein Keyless-Go-Mittel für ein Fahrzeug (10), beispielsweise ein Automobil, wenigstens folgendes aufweist: • wenigstens eine Funkschnittstelle (46) zum Senden und/oder Empfangen wenigstens eines fahrzeugseitig generierten Ortsdatensignals, • wenigstens ein Inertialsensorelement (42) zur Erfassung von Inertialdaten im Zusammenhang mit wenigstens einer Bewegung und/oder wenigstens einer Beschleunigung, • wenigstens eine Inertialdatenschnittstelle zum Senden und/oder Empfangen von Inertialdaten, – wobei die Vorrichtung (15) zur fahrzeugseitigen Anordnung, insbesondere in oder an einem Automobil, vorgesehen ist, und wobei die Vorrichtung (15) folgendes aufweist: • wenigstens eine Funkeinrichtung (50) zum Senden und/oder Empfangen des Ortsdatensignals, und • wenigstens eine Ortsdatensignalaustauschschnittstelle zum Austausch von Ortssignaldaten mit der Vergleichseinheit (60), – wobei die Vergleichseinheit (60) folgendes aufweist: • wenigstens eine Empfangseinrichtung zum Empfang der Ortssignaldaten und der Inertialdaten, und • wenigstens eine Recheneinheit zur Erzeugung von Vergleichsdaten basierend auf den Ortssignaldaten und den Inertialdaten.
Berechtigungssystem (5) nach Anspruch 1, wobei das Inertialsensorelement (44) ein MEMS-Beschleunigungssensor ist.
Berechtigungssystem (5) nach Anspruch 2, wobei das Inertialsensorelement (44) ein kombinierter MEMS-Beschleunigungs- und Gyrosensor ist.
Berechtigungssystem (5) nach Anspruch 3, wobei das Inertialsensorelement (44) ein kombinierter MEMS-Beschleunigungs-, Gyro- und Magnetsensor ist.
Berechtigungssystem (5) einem der Ansprüche 1 bis 4, wobei das Inertialsensorelement (44) bei Annäherung an das Fahrzeug (10) mittels eines Wake-Up-Signals aktivierbar ist.
Verfahren zur Kontrolle der Berechtigung eines Authentifikationselements (40) mit einem Berechtigungssystem (5), insbesondere einem Berechtigungssystem (5) gemäß einem der Ansprüche 1 bis 5, wobei das Berechtigungssystem (5) wenigstens ein Authentifikationselement (40), wenigstens eine Vorrichtung (15) zur Ortung des Authentifikationselements (40) und wenigstens eine Vergleichseinheit (60) aufweist, und wobei das Verfahren wenigstens nachfolgende Schritte aufweist: – Es werden die Ortsdaten des Authentifikationselements (40) relativ zur Vorrichtung (15) bestimmt; – es werden die Inertialdaten im Zusammenhang mit wenigstens einer Bewegung und/oder wenigstens einer Beschleunigung des Authentifikationselementes (40) zwischen mindestens zwei Zeitpunkten t = t1 und t = t2 bestimmt; – die Ortsdaten und die Inertialdaten werden miteinander verglichen; – in Abhängigkeit des Vergleichs der Ortsdaten und der Inertialdaten wird die Berechtigung des Authentifikationselements (40) kontrolliert.
Verfahren nach Anspruch 6, wobei eine Berechtigung nur zuerkannt wird, wenn der Vergleich der Ortsdaten und der Inertialdaten ergibt, dass die Ortsdaten und die Inertialdaten ausreichend miteinander korrelieren.
Verfahren nach Anspruch 6 oder 7, wobei die Ortsdaten den Verlauf der Ortsdaten des Authentifikationselements (40) umfassen.
Verfahren nach einem der Ansprüche 6 bis 8, wobei bei bei der Kontrolle der Berechtigung kontrolliert wird, ob die Ortsdaten wenigstens eine Ruheposition des Authentifikationselements (40) umfassen.