-
Ausführungsformen der vorliegenden Erfindung betreffen eine Aktivierung oder Deaktivierung von (zusätzlichen) Merkmalen in einem Fahrzeug.
-
Es ist bekannt, dass zusätzliche Merkmale in einem Auto fernaktiviert werden können.
-
Die Aufgabe besteht darin, existierende Lösungen zu verbessern und insbesondere die Sicherheit und/oder Sicherheitsanforderungen einer Automobilanwendung beizubehalten oder sogar zu verbessern.
-
Dies wird gemäß den Merkmalen der unabhängigen Ansprüche gelöst. Weitere Ausführungsformen ergeben sich aus den abhängigen Ansprüchen.
-
Die hier vorgeschlagenen Beispiele können insbesondere auf mindestens einer der folgenden Lösungen basieren. Kombinationen der folgenden Merkmale können genutzt werden, um ein gewünschtes Ergebnis zu erreichen. Die Merkmale des Verfahrens könnten mit einem oder mehreren beliebigen Merkmalen der Vorrichtung, der Einrichtung oder des Systems kombiniert werden oder umgekehrt.
-
Eine Vorrichtung ist vorgesehen, die zum Aktivieren oder Deaktivieren von mindestens einem Merkmal in einem Fahrzeug genutzt wird, wobei die Vorrichtung eingerichtet ist zum
- - Empfangen von Informationen über das Merkmal;
- - Aktualisieren einer Zugangssteuerungsrichtlinie auf der Grundlage der Informationen über das Merkmal;
- - Liefern einer Angabe an eine Steuereinheit zum Aktivieren oder Deaktivieren des Merkmals auf der Grundlage der Zugangssteuerungsrichtlinie, nachdem die Steuereinheit geprüft wurde.
-
Die Vorrichtung kann als ein Autorisierungsschlüsselmodul realisiert sein. Es kann zum Speichern von Schlüsseln und Durchführen von kryptographischen Operationen eingerichtet und gehärtet sein.
-
Überprüfen der Steuereinheit kann Validieren der Identität der Steuereinheit umfassen. Dies kann eine unilaterale oder bilaterale Authentifikation zwischen der Steuereinheit und der Vorrichtung umfassen. Die Steuereinheit kann eine elektronische Steuereinheit des Fahrzeugs sein.
-
Das Fahrzeug kann insbesondere ein Auto sein.
-
Die Aktivierung oder Deaktivierung kann zumindest teilweise fernausgelöst werden, d. h. über eine drahtlose Verbindungsstrecke mit dem Fahrzeug.
-
Gemäß einer Ausführungsform ist das Merkmal mindestens eines der Folgenden:
- - eine Autonomfahrfunktion oder ein Autonomfahrmerkmal,
- - ein Multimediadienst,
- - ein Spieledienst,
- - ein Informationsdienst,
- - mindestens ein Motorparameter,
- - mindestens ein Parameter in Bezug auf den Antriebsstrang,
- - ein Merkmal eines Autos, das fernaktiviert oder ferndeaktiviert werden kann.
-
Gemäß einer Ausführungsform umfassen die Informationen über das Merkmal mindestens ein zu aktivierendes Merkmal und/oder mindestens ein zu deaktivierendes Merkmal.
-
Gemäß einer Ausführungsform werden die Informationen über das Merkmal von einem Merkmalsmanager mittels einer verschlüsselten Nachricht an die Vorrichtung übermittelt.
-
Gemäß einer Ausführungsform werden die Informationen über das Merkmal von dem Merkmalsmanager an die Vorrichtung übermittelt, nachdem der Merkmalsmanager mit der Vorrichtung authentifiziert wurde.
-
Gemäß einer Ausführungsform gibt die Zugangssteuerungsrichtlinie an, ob ein Merkmal aktiviert oder deaktiviert werden soll.
-
Gemäß einer Ausführungsform ist die Zugangssteuerungsrichtlinie in der Vorrichtung gespeichert oder dort aktualisiert.
-
Gemäß einer Ausführungsform umfasst die der Steuereinheit zugeführte Angabe zum Aktivieren oder Deaktivieren des Merkmals einen Schlüssel, einen abgeleiteten Schlüssel oder beliebige Zugangsinformationen.
-
Gemäß einer Ausführungsform ist die Steuereinheit eine elektronische Steuereinheit des Fahrzeugs, die insbesondere einen Anwendungsprozessor umfasst, der eingerichtet ist zum Ausführen oder Nutzen des Merkmals, wenn das Merkmal mittels der Vorrichtung aktiviert wurde.
-
Gemäß einer Ausführungsform umfasst Überprüfen der Steuereinheit Authentifizieren der Steuereinheit mit der Vorrichtung.
-
Gemäß einer Ausführungsform wird die Angabe zum Aktivieren oder Deaktivieren des Merkmals der Steuereinheit mittels einer verschlüsselten Nachricht zugeführt.
-
Auch ist ein System eines Fahrzeugs vorgesehen, das ein Autorisierungsschlüsselmodul und eine Steuereinheit umfasst,
- - wobei das Autorisierungsschlüsselmodul eingerichtet ist zum
- - Empfangen von Informationen über das Merkmal;
- - Aktualisieren einer Zugangssteuerungsrichtlinie auf der Grundlage der Informationen über das Merkmal;
- - Liefern einer Angabe an die Steuereinheit zum Aktivieren oder Deaktivieren des Merkmals auf der Grundlage der Zugangssteuerungsrichtlinie, nachdem die Steuereinheit geprüft wurde;
- - Aktivieren oder Deaktivieren des Merkmals durch die Steuereinheit auf der Grundlage der Angabe.
-
Gemäß einer Ausführungsform werden die Informationen über das Merkmal von einem Merkmalsmanager über eine drahtlose Verbindungsstrecke, insbesondere eine Telekommunikationsverbindungsstrecke geliefert.
-
Gemäß einer Ausführungsform sind das Autorisierungsschlüsselmodul und die Steuereinheit in ein Modul des Fahrzeugs integriert.
-
Ferner wird ein Fahrzeug vorgeschlagen, das mindestens eine wie hier beschriebene Vorrichtung oder mindestens ein wie hier beschriebenes System umfasst.
-
Zusätzlich wird ein Verfahren zum Verarbeiten von Merkmalsinformationen in einem Fahrzeug vorgeschlagen, das Folgendes umfasst:
- - Empfangen von Informationen über das Merkmal;
- - Aktualisieren einer Zugangssteuerungsrichtlinie auf der Grundlage der Informationen über das Merkmal;
- - Liefern einer Angabe an eine Steuereinheit zum Aktivieren oder Deaktivieren des Merkmals auf der Grundlage der Zugangssteuerungsrichtlinie, nachdem die Steuereinheit geprüft wurde.
-
Gemäß einer Ausführungsform werden die Informationen über das Merkmal von einem Merkmalsmanager mittels einer verschlüsselten Nachricht empfangen.
-
Gemäß einer Ausführungsform läuft das Verfahren in einem Autorisierungsschlüsselmodul ab.
-
Auch ist eine Vorrichtung zum Verarbeiten von Merkmalsinformationen in einem Fahrzeug vorgesehen, die Folgendes umfasst:
- - ein Mittel zum Empfangen von Informationen über das Merkmal;
- - ein Mittel zum Aktualisieren einer Zugangssteuerungsrichtlinie auf der Grundlage der Informationen über das Merkmal;
- - ein Mittel zum Liefern einer Angabe an eine Steuereinheit zum Aktivieren oder Deaktivieren des Merkmals auf der Grundlage der Zugangssteuerungsrichtlinie, nachdem die Steuereinheit geprüft wurde.
-
Ein Computerprogrammprodukt wird bereitgestellt, das direkt in einen Speicher einer digitalen Verarbeitungsvorrichtung ladbar ist, das Softwarecodeteile zum Durchführen der wie hier beschriebenen Schritte des Verfahrens umfasst.
-
Ausführungsformen werden unter Bezugnahme auf die Zeichnungen dargestellt und veranschaulicht. Die Zeichnungen dienen dazu, das Grundprinzip zu veranschaulichen, so dass nur für das Verständnis des Grundprinzips notwendige Aspekte veranschaulicht werden. Die Zeichnungen sind nicht maßstabsgetreu. In den Zeichnungen bezeichnen dieselben Bezugszeichen gleiche Merkmale.
- 1 zeigt ein schematisches Diagramm, das einen Merkmalsmanager, ein Autorisierungsschlüsselmodul und eine ECU darstellt;
- 2 zeigt ein schematisches Nachrichtendiagramm zwischen dem Merkmalsmanager und dem Autorisierungsschlüsselmodul;
- 3 zeigt ein schematisches Nachrichtendiagramm zwischen der ECU und dem Autori si erungsschl üsselmodul.
-
Im Automobilumfeld wird das Benutzererlebnis mit modernen Fahrzeugen insbesondere durch Bereitstellen von Diensten verbessert, die (z. B. zeitweise) mindestens ein zusätzliches Merkmal aktivieren. Solch ein Merkmal kann beispielsweise eine Autonomfahrfunktion, ein Multimediadienst, wie etwa Musikstreaming, Gaming, ein Informationsdienst, verbesserte Motorparameter oder dergleichen sein.
-
Solch eine Nutzung von Merkmalen muss durch kryptographische Verfahren in Kombination mit einem Autorisierungsmechanismus, der gewährleistet, dass eine Anfrage für das Merkmal validiert werden kann, geschützt werden.
-
Existierende elektronische Steuereinheiten (ECUs) eines Fahrzeugs können begrenzte Sicherheit aufweisen, da zusätzliche Sicherheit die Komplexität der ECU erhöhen würde, was somit deren Fehleranfälligkeit erhöhen würde. Daher kann es eine allgemeine Motivation sein, nicht die Komplexität einer ECU zu erhöhen, um die Forderung nach kryptographischen Anforderungen zu erfüllen.
-
Hier beschriebene Ansätze schlagen insbesondere Bereitstellen und Nutzen eines Autorisierungsschlüsselmoduls als eine dedizierte Komponente zum Verbessern der Sicherheitsfähigkeiten in einem Fahrzeug vor. Ein solches Autorisierungsschlüsselmodul kann dafür eingerichtet sein, Aktivieren zusätzlicher Merkmale in einer gesicherten Umgebung zu erlauben.
-
Das Autorisierungsschlüsselmodul stellt Funktionalitäten zum Speichern von Schlüsseln und Durchführen von kryptographischen Operationen bereit. Auch kann das Autorisierungsschlüsselmodul eine Autorisierungsengine enthalten, die in der Lage ist zum Authentifizieren einer Fernentität und/oder einer ECU und zum Zuordnen eines Autorisierungsmechanismus, der kryptographische Schlüssel nutzt.
-
Das Autorisierungsschlüsselmodul kann eine Komponente sein, die von der ECU getrennt vorgesehen ist, oder sie kann ein Teil der ECU sein.
-
Ein Merkmalsaktivierungsprozess kann die folgenden Schritte umfassen, die das Autorisierungsschlüsselmodul nutzen:
- (1) Authentifikation eines Merkmalsmanagers: Der Merkmalsmanager ist eine Komponente, der erlaubt ist, ein Merkmal in dem Fahrzeug zu aktivieren. Der Merkmalsmanager kann eine Komponente sein, die sich in dem Backend befindet. Er kann mit dem Auto mittels einer drahtlosen Verbindungsstrecke (z. B. einer Telekommunikationsverbindungsstrecke) verbunden sein. Ein Benutzer kann ein Merkmal beispielsweise unter Verwendung einer Internetplattform kaufen. Der Merkmalsmanager stößt dann das Fahrzeug zum Aktivieren (Entsperren) dieses Merkmals an. Somit verbindet sich der Merkmalsmanager mit dem Autorisierungsschlüsselmodul und führt eine Authentifizierung durch. Nach der erfolgreichen Authentifizierung erlaubt das Autorisierungsschlüsselmodul dem Merkmalsmanager, den Autorisierungsmechanismus von in dem Autorisierungsschlüsselmodul gespeicherten Schlüsseln zu ändern. Danach ist das Merkmal aktiviert und kann verwendet werden.
- (2) Verwenden des aktivierten Merkmals: Wenn das Fahrzeug verwendet wird, kann sich die ECU mit dem Autorisierungsschlüsselmodul verbinden und einen Schlüssel anfragen, der Zugang zu dem Merkmal erlaubt. Auch kann eine Sitzung zwischen dem Autorisierungsschlüsselmodul und der ECU hergestellt werden, die gewährleistet, dass die ECU authentifiziert ist und dass die in dieser Sitzung ausgetauschte Kommunikation verschlüsselt wird. Dies kann durch Verwendung eines Sitzungsschlüssels erleichtert werden.
-
1 zeigt ein schematisches Diagramm, das einen Merkmalsmanager 101, ein Autorisierungsschlüsselmodul 102 und eine ECU 103 darstellt. Das Autorisierungsschlüsselmodul 102 und die ECU 103 sind in einem Auto 104 platziert. Das Auto 104 umfasst eine Schnittstelle 105, die Datenkommunikation des Autorisierungsschlüsselmoduls 102 oder der ECU 103 mit dem Merkmalsmanager 101 erlaubt. Auch sind das Autorisierungsschlüsselmodul 102 und die ECU 103 eingerichtet zum Kommunizieren miteinander, z. B. über ein Bussystem.
-
Die ECU 103 umfasst eine Anwendungs-CPU, auf der Software läuft, die Merkmale in Abhängigkeit davon, ob sie aktiviert wurden oder nicht, freigibt oder nicht.
-
Der Merkmalsmanager 101 kann von einem Anbieter oder einem Automobilhersteller betrieben werden, um einem Benutzer zu erlauben, Merkmale zu buchen oder zu kaufen, die dann in dem Auto 104 aktiviert werden.
-
2 zeigt ein schematisches Nachrichtendiagramm zwischen dem Merkmalsmanager 101 und dem Autorisierungsschlüsselmodul 102.
-
In einem Schritt 201 wird ein Merkmal, z. B. ein Multimediamerkmal oder ein Komfortfahrmerkmal durch einen Benutzer entsperrt. In diesem beispielhaften Fall möchte der Benutzer das Merkmal zu seinem Auto hinzufügen und zahlt daher einen vorbestimmten Geldbetrag, um es in dem Auto verfügbar zu haben, sobald er das nächste Mal in sein Auto einsteigt. Der Merkmalsmanager 101 wirkt somit als Schnittstelle zwischen dem Benutzer und dem Anbieter oder Autohersteller und löst Entsperren des Merkmals in der elektronischen Steuereinheit 103 des Autos aus.
-
Um dies zu bewerkstelligen, wird in einem Schritt 202 eine Sitzung zwischen dem Merkmalsmanager 101 und dem Autorisierungsschlüsselmodul 102 initiiert. Die Sitzung authentifiziert den Merkmalsmanager 101 und erlaubt Verwendung eines Sitzungsschlüssels für Verschlüsselungs-/Entschlüsselungszwecke. Somit können Nachrichten zwischen dem Merkmalsmanager 101 und dem Autorisierungsschlüsselmodul 102 unter Verwendung dieses Sitzungsschlüssels verschlüsselt werden.
-
In einem Schritt 203 initiiert der Merkmalsmanager 101 eine Aktualisierung einer Zugangssteuerungsrichtlinie. Die Zugangssteuerungsrichtlinie ist in dem Autorisierungsschlüsselmodul 102 gespeichert und definiert, welche Merkmale gesperrt und welche Merkmale für dieses bestimmte Auto entsperrt sind.
-
Somit aktualisiert der Merkmalsmanager 101 die Zugangssteuerungsrichtlinie des Autorisierungsschlüsselmoduls 102, welche das Merkmal, das von dem Benutzer gekauft wurde, auf einen Status „aktiv“ einstellt. Um zu vermeiden, dass irgendein Angreifer oder irgendeine andere Komponente als der berechtigte Merkmalsmanager 101 das Merkmal aktiviert, muss der Merkmalsmanager 101 wie oben dargelegt authentifiziert werden. Zusätzlich kann es eine Option geben, dass der Merkmalsmanager 101 die Richtlinienänderung autorisieren muss, bevor ihm erlaubt wird, die Zugangssteuerungsrichtlinie zu aktualisieren. Solch eine Autorisierung der Richtlinienänderung kann durch Senden eines Passworts von dem Merkmalsmanager 101 an das Autorisierungsschlüsselmodul 102 realisiert werden. Nachdem das Autorisierungsschlüsselmodul 102 das Passwort validiert hat, ist es zum Empfangen von Informationen zum Aktualisieren der Zugangssteuerungsrichtlinie von eben diesem Merkmalsmanager 101 (welcher von daher zuvor authentifiziert wurde) empfänglich. Falls das Passwort nicht korrekt ist, wird der Merkmalsmanager 101 nicht in der Lage zum Aktualisieren der Zugangssteuerungsrichtlinie des Autorisierungsschlüsselmoduls 102 sein. Folglich wird das Merkmal nicht aktualisiert (in diesem Beispiel aktiviert).
-
Es ist auch eine Option, dass eine erfolgreiche Aktualisierung durch eine von dem Autorisierungsschlüsselmodul 102 an den Merkmalsmanager 101 gesendete Nachricht angezeigt wird.
-
In einem Schritt 204 endet die Sitzung. Jetzt ist die Zugangssteuerungsrichtlinie des Autorisierungsschlüsselmoduls 102 erfolgreich aktualisiert worden (oder nicht), so dass das Merkmal verwendet werden könnte (oder nicht), wenn das Auto (re-)aktiviert wird.
-
3 zeigt ein schematisches Nachrichtendiagramm zwischen der ECU 103 und dem Autorisierungsschlüsselmodul 102. Dieses Diagramm bezieht sich auf Schritte, die nach der Aktualisierung der Zugangssteuerungsrichtlinie des Autorisierungsschlüsselmoduls 101 auftreten können, wie in 2 gezeigt ist.
-
Verschiedene Ereignisse können die in 3 gezeigten Schritte auslösen. In einem Beispiel möchte der Benutzer sein Auto aktivieren oder fahren und sich des zuvor gekauften Merkmals erfreuen. In einem anderen Beispiel können die in 3 gezeigten Schritte durch das Auto in einem regelmäßigen oder unregelmäßigen Zeitintervall vorgenommen werden, um sich potentiell aktivierter Merkmale bewusst zu werden. Die in 3 gezeigten Schritte können ablaufen, wenn sich das Auto in einem Bereitschaftsmodus oder in einem aktiven Modus befindet. Eine Option besteht darin, dass manche Merkmale nur aktiviert werden können, wenn sich das Auto in einem vorbestimmten Zustand oder Modus befindet; dies betrifft insbesondere Merkmale, die sicherheitsrelevant sind oder die Fahreigenschaften des Autos beeinträchtigen.
-
In einem Schritt 301 wird eine Sitzung zwischen der ECU 103 und dem Autorisierungsschlüsselmodul 102 initiiert. Die Sitzung authentifiziert die ECU 103 und erlaubt Verwendung eines Sitzungsschlüssels für Verschlüsselungs-/Entschlüsselungszwecke. Somit können Nachrichten zwischen der ECU 103 und dem Autorisierungsschlüsselmodul 102 unter Verwendung dieses Sitzungsschlüssels verschlüsselt werden.
-
Um auf das Merkmal zugreifen zu können, benötigt die ECU 103 einen Schlüssel. In einem Schritt 302 wird eine Schlüsselanforderung von der ECU 103 beim Autorisierungsschlüsselmodul 102 eingereicht. In einem Schritt 303, überprüft das Autorisierungsschlüsselmodul 102 die aktualisierte Zugangssteuerungsrichtlinie und liefert in einem Schritt 304 den bzw. die Schlüssel für das Merkmal bzw. die Merkmale nur für den Fall, dass die aktualisierte Zugangssteuerungsrichtlinie angibt, dass dieses Merkmal bzw. diese Merkmale zugreifbar sein soll(en). Falls es gemäß den in der (aktualisierten) Zugangssteuerungsrichtlinie verfügbaren Informationen kein entsperrtes Merkmal gibt, werden keine derartigen Schlüssel von dem Autorisierungsschlüsselmodul 102 an die ECU 103 übermittelt.
-
In einem Schritt 305 kann die Sitzung enden.
-
In einem Schritt 306 wird das Merkmal durch die ECU 103 unter Verwendung des von dem Autorisierungsschlüsselmodul 102 erhaltenen Schlüssels aktiviert.
-
Eine Option besteht darin, dass der Schritt 305 nach dem Schritt 306 ausgeführt wird. Die Sitzung wird zwischen den Schritten 301 und 305 aufrechterhalten. Wie oben erläutert wurde, kann die Sitzung den Sitzungsschlüssel dazu verwenden, zu gewährleisten, dass jegliche Kommunikation zwischen der ECU 103 und dem Autorisierungsschlüsselmodul 102 verschlüsselt ist.
-
Eine Option besteht auch darin, dass der Schlüssel eine beliebige Art von Merkmalsinformation ist. Somit können in dem Schritt 302 merkmalsspezifische Informationen von der ECU 103 dem Autorisierungsschlüsselmodul 102 zugeführt werden. Der Schritt 303 kann dann insbesondere auf der Grundlage dieser merkmalsspezifischen Informationen ausgeführt werden. Schritt 304 kann jegliche Zugangsinformationen und/oder einen abgeleiteten Schlüssel anstelle eines Schlüssels, der innerhalb des Autorisierungsschlüsselmoduls 102 geheim gehalten werden muss, transportieren.
-
Es gibt einige alternative Ausführungsformen für die ECU 103 und/oder das Autorisierungsschlüsselmodul 102, von einem oder mehreren zusätzlichen zu aktivierenden Merkmalen zu erfahren. Ein Beispiel besteht darin, dass die ECU 103 bei regelmäßigen oder unregelmäßigen Zeitintervallen oder Ereignissen (wie etwa jeder n-te Start des Autos) als die Anfrage 302 eine Nachricht übermittelt, die nach den Schlüsseln von allen zurzeit entsperrten Merkmalen fragt.
-
Als eine Alternative kann die ECU 103 vorab, über beispielsweise den Merkmalsmanager 101 oder das Autorisierungsschlüsselmodul 102, mit Informationen über zusätzliche Merkmale, die aktiviert werden könnten, versehen werden. Um diese aktiviert zu bekommen, sendet die ECU 103 dann als die Anfrage 302 eine Nachricht, die nach den zusätzlichen Merkmalen fragt, die es aktiveren möchte.
-
Es sei angemerkt, dass die Anfrage 302 eine dedizierte Anfrage sein kann, die einen Schlüssel zu einem bestimmten Merkmal betrifft, oder als eine mehrere Schlüssel zu mehreren Merkmalen betreffende Anfrage ist oder eine jegliche Merkmale, für welche Schlüssel in der (aktualisierten) Zugangssteuerungsrichtlinie verfügbar sind, betreffende Anfrage ist.
-
Es sei weiter angemerkt, dass die Anfrage 302 auch eine Anfrage für einen abgeleiteten Schlüssel oder ein beliebiges Token, der bzw. das es der ECU 103 erlaubt - nachdem der abgeleitete Schlüssel oder das Token empfangen wurde -, das Merkmal bzw. die Merkmale, das/die mit diesem/diesen verknüpft ist/sind, zu aktivieren.
-
Eine Option besteht auch darin, dass ein einziger Schlüssel oder ein einziger abgeleiteter Schlüssel (oder Token) zum Aktivieren von mehr als einem Merkmal verwendet werden soll.
-
Auch kann ein einmal aktiviertes Merkmal nach einem vorbestimmten Zeitraum ablaufen. Beispielsweise kann ein Benutzer ein Multimediamerkmal für eine Dauer von z. B. einem Jahr abonnieren. Nach dieser Dauer und ohne Erneuerung des Abonnements sollte das Merkmal inaktiv werden. Dies kann über den Merkmalsmanager 101 (gemäß 2) erreicht werden, der eine Aktualisierung der Zugangssteuerungsrichtlinie initiiert, wodurch das Merkmal deaktiviert wird. In einer nachfolgenden Kommunikation zwischen der ECU 103 und dem Autorisierungsschlüsselmodul 102 kann das Autorisierungsschlüsselmodul 102 die ECU 103 aktiv über das Merkmal informieren, das nicht mehr länger verfügbar ist, und die ECU 103 blockiert dieses Merkmal.
-
Als eine Alternative (oder zusätzlich) kann der ECU 103 und/oder dem Autorisierungsschlüsselmodul 102 ein Merkmal bekannt sein, das nur für einen vorbestimmten Zeitraum aktiv sein sollte, wenn es erstmalig aktiviert wird, wodurch ein Zeitgeber oder ein Zeitstempel (Laufzeitende) eingestellt wird; nachdem der Zeitgeber ausgelaufen ist (oder das Kaufzeitende erreicht ist), ist der Schlüssel zum Aktivieren dieses Merkmals nicht länger gültig oder der Schlüssel zu diesem Merkmal wird von dem Autorisierungsschlüsselmodul 102 nicht mehr zur Verfügung gestellt. Dieser Ansatz kann in einem Falle vorteilhaft sein, bei dem der in 3 gezeigte Mechanismus auf einer regelmäßigen Basis abläuft, wodurch die von dem Autorisierungsschlüsselmodul 102 bereitgestellten Schlüssel wieder bestätigt werden; somit führt, dass das Autorisierungsschlüsselmodul 102 keinen (gültigen) Schlüssel mehr für ein zu bestätigendes Merkmal bereitstellt, zur Deaktivierung dieses Merkmals durch die ECU 103.
-
Noch eine weitere Option besteht darin, dass die ECU 103 jede Schlüsselverwendung mit dem Autorisierungsschlüsselmodul 102 autorisieren muss durch beispielsweise Senden eines Passworts an das Autorisierungsschlüsselmodul 102. Nachdem das Autorisierungsschlüsselmodul 102 das Passwort validiert hat, ist es zum Empfangen der Anfrage 302 empfänglich. Falls das Passwort nicht korrekt ist, wird die ECU 103 keine Schlüssel erhalten.
-
Vorteile und weitere Aspekte
-
Gemäß den hier beschriebenen Beispielen wird eine Autorisierung vorteilhafterweise zu dem Autorisierungsschlüsselmodul übertragen, welches als eine geschützte und gesicherte Umgebung wirkt. Es kann sogar einen speziellen Schlüsselspeicher innerhalb des Autorisierungsschlüsselmoduls geben, das für den Zweck dieses Ansatzes genutzt wird. Das Autorisierungsschlüsselmodul ist in der Lage, den Merkmalsmanager und/oder die ECU zu validieren und eine bilaterale Verbindung mit dem Merkmalsmanager und/oder der ECU herzustellen. Bevorzugt werden kryptographische Operationen innerhalb des Autorisierungsschlüsselmoduls ausgeführt.
-
Eine Option besteht darin, den Schlüssel von dem Autorisierungsschlüsselmodul an die ECU zu senden, oder einen abgeleiteten Schlüssel zu senden, so dass der Originalschlüssel innerhalb des Autorisierungsschlüsselmoduls verborgen bleibt.
-
Es sei angemerkt, dass der oben erwähnte Sitzungsschlüssel (siehe Schritt 202 in 2 und Schritt 301 in 3) ein von einem Diffie-Hellman-Protokoll abgeleiteter Schlüssel sein kann. Der Sitzungsschlüssel kann dazu verwendet werden, die Kommunikation (z. B. Befehl und Reaktion) zwischen den jeweiligen Komponenten zu verschlüsseln.
-
Die Authentifizierung des Autorisierungsschlüsselmoduls 102 in 2 kann unter Verwendung eines Authentifikationsschlüssels des Autorisierungsschlüsselmoduls durchgeführt werden, wodurch eine einseitige Authentifizierung erreicht wird. Dies kann entsprechend auf die Authentifizierung der ECU 103 in 3 anwendbar sein.
-
Somit verbessern die hier beschriebenen Vorschläge eine Systemarchitektur durch Einbeziehen eines gesicherten und dedizierten Autorisierungsschlüsselmoduls. Die Sicherheitsfunktionalität zur Merkmalsaktivierung (und -deaktivierung) wird somit zu dem geschützten Autorisierungsschlüsselmodul migriert. Dieses Autorisierungsschlüsselmodul kann gegenüber potentiellen Angriffen sicherheitsgehärtet sein.
-
Ein weiterer Vorteil besteht darin, dass das Autorisierungsschlüsselmodul in vorhandene Lösungen, insbesondere Fahrzeugumgebungen, integriert werden kann.
-
Es sei angemerkt, dass die hier beschriebene ECU ein Anwendungsprozessor sein kann, oder dass sie eine Steuerungskomponente sein kann, die einen solchen Anwendungsprozessor umfasst. Eine weitere Option besteht darin, dass die ECU und das Autorisierungsschlüsselmodul in demselben Modul integriert sind. Noch eine weitere Option besteht darin, dass die ECU ferner einen Mikrocontroller und/oder ein Bussystem und/oder eine Ethernet-Schnittstelle und/oder einen Speicher umfasst.
-
Bei einem oder mehreren Beispielen können die hier beschriebenen Funktionen zumindest teilweise in Hardware implementiert sein, wie etwa als spezielle Hardwarekomponenten oder als ein Prozessor. Allgemeiner können die Techniken in Hardware, Prozessoren, Software, Firmware oder einer beliebigen Kombination davon implementiert sein. Falls sie in Software implementiert sind, können die Funktionen als eine oder mehrere Anweisungen oder Code auf einem computerlesbaren Medium gespeichert oder über ein solches übertragen werden und können durch eine hardwarebasierte Verarbeitungseinheit ausgeführt werden. Computerlesbare Medien können computerlesbare Speichermedien beinhalten, die einem greifbaren Medium, wie etwa Datenspeichermedien, oder Kommunikationsmedien einschließlich eines beliebigen Mediums entsprechen, das einen Transfer eines Computerprogramms von einer Stelle zu einer anderen, z. B. gemäß einem Kommunikationsprotokoll, ermöglicht. Auf diese Weise können computerlesbare Medien allgemein (1) greifbaren, computerlesbaren Speichermedien, die nichtflüchtig sind, oder (2) einem Kommunikationsmedium, wie etwa einem Signal oder einer Trägerwelle, entsprechen. Datenspeichermedien können beliebige verfügbare Medien sein, auf die von einem oder mehreren Computern oder von einem oder mehreren Prozessoren zugegriffen werden kann, um Anweisungen, Code und/oder Datenstrukturen zur Implementierung der in dieser Offenbarung beschriebenen Techniken abzurufen. Ein Computerprogrammprodukt kann ein computerlesbares Medium beinhalten.
-
Auf beispielhaftem Wege und nicht durch Beschränkung können derartige computerlesbare Speichermedien RAM, ROM, EEPROM, CD-ROM oder andere optische Plattenspeicher, magnetische Plattenspeicher oder andere magnetische Speichereinrichtungen, Flash-Speicher oder ein beliebiges anderes Medium, das zum Speichern von gewünschtem Programmcode in der Form von Anweisungen oder Datenstrukturen verwendet werden kann und auf das von einem Computer zugegriffen werden kann, umfassen. Ebenfalls wird eine beliebige Verbindung ordnungsgemäß als ein computerlesbares Medium, d. h. als ein computerlesbares Übertragungsmedium, bezeichnet. Falls zum Beispiel Anweisungen von einer Website, einem Server oder einer anderen fernen Quelle unter Verwendung eines Koaxialkabels, eines Glasfaserkabels, einer verdrillten Doppelleitung, eines digitalen Teilnehmeranschlusses (DSL - Digital Subscriber Line) oder drahtloser Technologien, wie etwa Infrarot, Funk und Mikrowellen, übertragen werden, dann sind das Koaxialkabel, das Glasfaserkabel, die verdrillte Doppelleitung, der DSL oder die drahtlosen Technologien, wie etwa Infrarot, Funk und Mikrowellen, in der Definition von Medium eingeschlossen. Es versteht sich allerdings, dass computerlesbare Speichermedien und Datenspeichermedien keine Verbindungen, Trägerwellen, Signale oder andere transiente Medien beinhalten, sondern stattdessen auf nichttransiente, greifbare Speichermedien abzielen. Disk und Disc beinhalten, so wie sie hier verwendet werden, eine Compact Disc (CD), eine Laser Disc, eine optische Disc, eine Digital Versatile Disc (DVD), eine Floppy-Disk und eine Blu-ray Disc, wobei Disks Daten üblicherweise magnetisch reproduzieren, wohingegen Discs Daten optisch mit Lasern reproduzieren. Kombinationen des Obigen sollten ebenfalls innerhalb des Umfangs von computerlesbaren Medien enthalten sein.
-
Anweisungen können von einem oder mehreren Prozessoren ausgeführt werden, wie etwa von einer oder mehreren zentralen Recheneinheiten (CPU - Central Processing Unit), Digitalsignalprozessoren (DSPs), Allzweck-Mikroprozessoren, anwendungsspezifischen integrierten Schaltungen (ASICs - Application Specific Integrated Circuits), feldprogrammierbaren Logikarrays (FPGAs - Field Programmable Gate-Arrays), oder anderen äquivalenten integrierten oder diskreten Logikschaltungen. Dementsprechend kann sich der Ausdruck „Prozessor“, so wie er hier verwendet wird, auf eine beliebige der vorausgehenden Strukturen oder eine beliebige andere für eine Implementation der vorliegend beschriebenen Techniken geeignete Struktur beziehen. Zusätzlich dazu kann die hier beschriebene Funktionalität bei manchen Aspekten innerhalb dedizierter Hardware- und/oder Software-Module bereitgestellt sein, die zum Codieren und Decodieren ausgelegt sind, oder in einem kombinierten Codec integriert sein. Auch könnten die Techniken vollständig in einem oder mehreren Schaltkreisen oder Logikelementen implementiert sein.
-
Die Techniken dieser Offenbarung können in einer breiten Vielfalt von Einrichtungen oder Vorrichtungen implementiert werden, einschließlich eines drahtlosen Handapparats, einer integrierten Schaltung (IC) oder eines Satzes von ICs (z. B. eines Chip-Sets). Verschiedene Komponenten, Module oder Einheiten werden in dieser Offenbarung beschrieben, um funktionale Aspekte von Vorrichtungen zu betonen, die dafür ausgelegt sind, die offenbarten Techniken durchzuführen, aber nicht notwendigerweise eine Realisierung durch verschiedene Hardwareeinheiten erfordern. Eher können, wie oben beschrieben, verschiedene Einheiten in einer einzigen Hardwareeinheit kombiniert oder durch eine Ansammlung von interoperativen Hardwareeinheiten bereitgestellt werden, einschließlich, wie oben beschrieben, eines oder mehrerer Prozessoren zusammen mit geeigneter Software und/oder Firmware.
-
Obwohl verschiedene Ausführungsbeispiele der Erfindung offenbart wurden, wird es einem Fachmann ersichtlich sein, dass verschiedene Änderungen und Modifikationen vorgenommen werden können, die manche der Vorteile der Erfindung erzielen werden, ohne vom Gedanken und Schutzumfang der Erfindung abzuweichen. Es wird für einen Fachmann offensichtlich sein, dass andere Komponenten, die die gleichen Funktionen durchführen, zweckmäßig eingesetzt werden können. Es sei erwähnt, dass Merkmale, die mit Bezugnahme auf eine spezielle Figur erklärt wurden, mit Merkmalen anderer Figuren kombiniert werden können, selbst in jenen Fällen, in denen dies nicht ausdrücklich erwähnt wurde. Ferner können die Verfahren der Erfindung entweder in reinen Softwareimplementierungen unter Verwendung der geeigneten Prozessoranweisungen oder in Hybridimplementierungen, die eine Kombination von Hardwarelogik und Softwarelogik nutzen, um dieselben Ergebnisse zu erzielen, erzielt werden. Derartige Modifikationen des erfinderischen Konzepts sollen durch die angehängten Ansprüche abgedeckt werden.
