DE102021006297A1

DE102021006297A1 - Vorrichtung zur Absicherung der Kommunikation

Info

Publication number: DE102021006297A1
Application number: DE102021006297.3A
Authority: DE
Inventors: Osman Aydin; Mei Huang
Original assignee: Mercedes Benz Group AG
Current assignee: Mercedes Benz Group AG
Priority date: 2021-12-21
Filing date: 2021-12-21
Publication date: 2023-06-22
Also published as: EP4309337A1; CN118235368A; WO2023117351A1; KR20240058949A

Abstract

Die Erfindung betrifft eine Vorrichtung zur Absicherung der Kommunikation zwischen wenigstens zwei Teilnehmern (1, 2) über eine Kommunikationseinrichtung, wobei die beiden Teilnehmer (1,2) jeweils über eine Identifikation (ID) und eine Absicherung (PIN) verfügen, um damit, vorzugsweise verschlüsselt, zu kommunizieren, wobei die Kommunikationseinrichtung dazu eingerichtet ist, zur Authentifizierung wenigstens eines der Teilnehmer (1,2) dessen aktuelle geodätische Position (PP3, PP4) zu ermitteln, indem eine Kommunikation mit wenigstens einem Sender/Empfänger (3.1, 3.2, 3.3) erfolgt, um die aktuell erfasste Position (PP3, PP4) mit einer vom jeweils anderen Teilnehmer (2,1 übermittelten oder gespeicherten Position (P3, P4) zu vergleichen oder anhand dieser zu plausibilisieren.Die Erfindung ist dadurch gekennzeichnet, dass die Kommunikationseinrichtung dazu eingerichtet ist zur Erfassung der aktuellen Position (PP3, PP4) des wenigstens einen Teilnehmers (1, 2) einen Ankunftswinkel (α, β, γ) der zur Kommunikation genutzten Signale und/oder eine Signalstärke (SS1, SS2, SS3) der zur Kommunikation genutzten Signale zu erfassen und auszuwerten.

Description

Die Erfindung betrifft eine Vorrichtung zur Absicherung der Kommunikation zwischen wenigstens zwei Teilnehmern, nach der im Oberbegriff der Ansprüche 1 und 3, sowie ein und ein Verfahren zur Absicherung der Kommunikation zwischen wenigstens zwei Teilnehmern gemäß Anspruch 9. Im Anspruch 12 ist eine bevorzugte Verwendung der Vorrichtung und des Verfahrens angegeben.
Verfahren zur Kommunikation zwischen zwei oder auch mehr Teilnehmern, welche entsprechend abgesichert sind, sind soweit aus dem Stand der Technik bekannt. Typischerweise ist es so, dass jeder der Teilnehmer über eine Identifikation, beispielsweise einen Nutzernamen, eine Nutzerkennung oder dergleichen, verfügt sowie über eine Absicherung für die Kommunikation beispielsweise über einen passwortgesicherten Account oder dergleichen. Die eigentliche Absicherung der Kommunikation erfolgt dann technisch auf dem Wege einer Verschlüsselung. Das Passwort ist gleichermaßen der „Schlüssel“ dazu.
Problematisch bei solchen Ansätzen ist es immer, dass die grundlegende Gefahr besteht, dass die Daten eines Teilnehmers, beispielsweise dessen Identifikation und Passwort, entwendet werden. Kriminelle Hacker können dann anstelle des bisherigen Teilnehmers mit dem anderen Teilnehmer in Kontakt treten, und können diesen aufgrund der ihnen bekannten Identifikation und des ihnen bekannten Passworts glauben lassen, dass es sich bei ihnen um den eigentlich erwarteten Teilnehmer handelt. Diese Art der Verifikation, welche so allgemein gängig ist und anstelle eines Passworts auch andere Mittel wie beispielsweise Speichermedien oder dergleichen nutzen kann, wird typischerweise für viele Arten der Kommunikation eingesetzt. Wie das oben dargelegte Beispiel zeigt, ist sie jedoch nicht sicher für den Fall, dass die Nutzerdaten anderen Personen bekannt sind gestohlen oder gehackt worden sind.
Zum Stand der Technik kann dabei auf ALLIG, C. et al. Trustworthiness Estimation of Entities with Collective Perception; in: IEE Vehicular Networking Conference (VNC), 2019, 8 Seiten, ISSN 2157-9865 und ferner auf Norm ETSI EN 302 637-2 V1.3.2 (2014-09). Intelligent Transport Systems (IST); Vehicular Communications; Basic Set of Applications; Part 2: Specification of Cooperative Awareness Basic Service; Seite 1 bis 44 hingewiesen werden. In der Zusammenschau legen diese eine Verifikation der Position eines Teilnehmers aus zwei Datenquellen grundlegend nahe.
Ferner ist eine Authentifizierung von Teilnehmern über deren Position auch in der DE 10 2020 003 329 A1 der Anmelderin beschrieben. Dort wird eine Ortung über Satelliten verwendet, wozu die Laufzeit von zur Kommunikation genutzter Signale zwischen dem Satelliten und dem oder den Teilnehmern ausgewertet werden. Die DE 10 2021 003 610 A1 beschreibt in einer Weiterbildung hiervon eine Lösung, die auch bei einer geringeren Anzahl von sichtbaren Satelliten noch eine Positionserfassung über die Signallaufzeit ermöglicht.
Das in den beiden genannten Schriften der Anmelderin beschriebene Verfahren nutzt zur Erfassung der Position des jeweiligen Teilnehmers auf der Erdoberfläche, also zur Bestimmung seiner tatsächlichen physischen bzw. geodätischen Position, eine Satellitenortung und hier insbesondere die Auswertung der Signallaufzeit von zu mehreren Satelliten laufenden und zurücklaufenden Signalen. Zur Authentifizierung des Teilnehmers lässt sich dann dessen behauptete Position mit seiner tatsächlichen physischen bzw. geodätischen Position abgleichen. Kommt es beim Vergleich der Positionen zu unerlaubt hohen Abweichungen ist die Authentifizierung gescheitert.
In der Praxis könnte sich nun ein Hacker prinzipiell zur Manipulation der Informationen beispielsweise örtlich sehr nahe an einen der Teilnehmer, beispielsweise einem geostationären Server, positionieren und mit der gefälschten Frequenz und Kennung des Satelliten und entsprechend höherer Signalstärke dessen Rolle übernehmen. Trotz der Maßnahmen könnte so eine Manipulation von Daten, beispielsweise eine sicherheitskritische Manipulation von Softwareupdates, welche an eine Fahrzeugflotte verteilt werden sollen, erfolgen.
Die Aufgabe der hier vorliegenden Erfindung besteht nun darin, eine Vorrichtung zur Absicherung der Kommunikation zwischen Teilnehmern anzugeben, welche eine noch höhere Sicherheit bietet.
Erfindungsgemäß wird diese Aufgabe durch eine Vorrichtung zur Absicherung der Kommunikation zwischen wenigstens zwei Teilnehmern mit den Merkmalen in einem der Ansprüche 1 oder 3 gelöst. Vorteilhafte Ausgestaltungen dieser Vorrichtung ergeben sich aus den hiervon jeweils abhängigen Unteransprüchen. Außerdem ist im Anspruch 9 ein Verfahren zur Absicherung der Kommunikation mit derartigen Vorrichtungen beschrieben. Auch hier ergeben sich vorteilhafte Ausgestaltungen und Weiterbildungen aus den hiervon abhängigen Unteransprüchen. Letztlich zeigt außerdem der Anspruch 12 eine bevorzugte Verwendung der Vorrichtung bzw. des Verfahrens.
Die Ansprüche 1 und 3 stellen zwei alternative Methoden zur Verfügung, um zwecks Authentifizierung eines Teilnehmers innerhalb der Kommunikation zwischen den beiden Teilnehmern dessen aktuelle Position über die dafür jeweils eingerichtete Vorrichtung zu bestimmen. Zur Authentifizierung des Teilnehmers lässt sich dann dessen behauptete Position oder dessen bekannter bzw. gespeicherter Standort mit seiner tatsächlichen physischen bzw. geodätischen Position abgleichen.
Gemäß Anspruch 1 wird zur Positionsbestimmung der Ankunftswinkel der zur Kommunikation genutzten Signale erfasst und ausgewertet. Aus den Ankunftswinkeln der Signale von wenigstens einem, bevorzugt von drei verschiedenen, Sendern/Empfängern, insbesondere Satelliten, lässt sich dann über trigonometrische Funktionen in an sich bekannter Weise die geodätische Position ermitteln.
Der Ankunftswinkel, welcher auch mit dem englischen Begriff Angle of Arrival oder darauf basierenden Abkürzung AoA bezeichnet wird, kann gemäß einer vorteilhaften Weiterbildung über ein Antennenarray der Kommunikationseinrichtung erfasst werden. Befindet sich nun beispielsweise die Drohne eines Hackers zwischen einem der Teilnehmer und einem Sender/Empfänger und gibt sich als der Sender/Empfänger aus, dann wird beim anderen der Teilnehmer ein anderer Ankunftswinkel der Signale auftreten, als der zu erwartende Ankunftswinkel bei einem echten Sender/Empfänger, z.B. weil die Drohne natürlich sehr viel tiefer steht als der echte Sender/Empfänger, welcher insbesondere als Satellit ausgebildet sein kann.
Die alternative Ausgestaltung gemäß Anspruch 3 nutzt im Wesentlichen denselben Grundaufbau und verwendet nun anstelle des Ankunftswinkels eine Signalstärke (Signal Strength - SS) der zur Kommunikation genutzten Signale. Die Signalstärke basiert dabei auf der Stärke des ausgesendeten Signals und der auf dem Übertragungsweg aufgetretenen Verluste, welche typischerweise durch die entsprechenden Luftschichten, deren Temperatur, Feuchtigkeit und dergleichen beeinflusst wird. Auch über diese Signalstärke lässt sich damit die Position des entsprechenden Teilnehmers erfassen, indem aus der ankommenden Signalstärke auf den Abstand zum Sender/Empfänger geschlossen wird. Bei vorzugsweise mindestens drei Sendern/Empfängern, insbesondere Satelliten, kann so die exakte und eindeutige geodätische Position bestimmt werden.
Da die Signalstärke eine relativ starke Schwankung auf Basis der Umgebungsbedingungen unterliegt, kann es hier Sinn machen, die Umgebungsbedingungen als Parameter in die Auswertung mit einfließen zu lassen, beispielsweise indem Wetterdaten berücksichtigt werden, um die zu erwartenden Verluste in der Signalstärke abschätzen zu können.
Dennoch könnte ein Hacker relativ einfach durch eine geeignete Verstärkung oder Abschwächung seines eigenen Signals die Signalstärke eines Teilnehmers simulieren und sich dadurch unerlaubt Authentifizieren, insbesondere wenn er die grobe Größenordnung einer derartigen Signalstärke kennt. Abhilfe könnte hier eine weitere vorteilhafte Ausgestaltung der erfindungsgemäßen Vorrichtung bieten, bei welcher die Kommunikationseinrichtung dazu eingerichtet ist, die Signalstärke der ausgehenden Signale nach einem vorgegebenen Muster zeitlich dynamisch zu variieren und die eingehenden Signale bezüglich dieses vorgegebenen Musters zu filtern. Der eine Teilnehmer könnte als beispielsweise die Signale mit einer zeitlichen Variation vorsehen, sodass beispielsweise zu Beginn der Kommunikation für eine vorgegebene Zeitspanne die Signale um 5 dB gedämpft, in der Mitte der Kommunikation 10 dB angehoben und am Ende der Kommunikation wieder abgedämpft werden. Auch eine Modulation von Frequenz, Amplitude und/oder Polarisation wäre denkbar. Wenn nun der andere Teil der Kommunikationseinrichtung, welcher die Signale empfängt, dieses vorgegebene Muster kennt, kann er dieses wieder herausfiltern, um so die Signalstärke als solches auswerten zu können, und dabei die Gefahr einer vorsätzlichen Manipulation weiter zu verringern.
Die erfindungsgemäße Vorrichtung kann nun außerdem ergänzend zu einem oder beiden beschriebenen Methoden bezüglich ihrer Kommunikationseinrichtung dazu eingerichtet sein, die Erfassung der aktuellen Position des wenigstens einen Teilnehmers über die Laufzeit der zur Kommunikation genutzten Signale zwischen den Sendern/Empfängern, insbesondere Satelliten, und wenigstens einem der Teilnehmer zu nutzen. Diese Ermittlung der Position über die Laufzeit, die sogenannte Transfertime, welche auch mit der englischen Abkürzung TT bezeichnet wird, bietet also eine weitere - dritte - Möglichkeit zur Erfassung der aktuellen Position, welche grundlegend alternativ, wie es im eingangs genannten Stand der Technik beschrieben ist, oder auch ergänzend zu den beiden hier vorgestellten physikalischen Methoden genutzt werden kann.
Die Kommunikationseinrichtung der Vorrichtung, welche zur Durchführung der einzelnen Schritte eingerichtet ist, kann dabei zu einem Teil in jedem der Teilnehmer angeordnet sein, sodass diese sich gegenseitig bezüglich ihrer aktuellen Position erfassen und hierüber authentifizieren können.
Ein Teil der Kommunikationseinrichtung kann dabei gemäß einer sehr vorteilhaften Weiterbildung insbesondere auch in den eingesetzten Sendern/Empfängern, insbesondere Satelliten, eingerichtet sein, wenn es hier die Rechenkapazitäten entsprechend erlauben. In diesem Fall könnte allein über den Sender/Empfänger bereits eine Authentifizierung erfolgen, sodass von einem über eine fehlerhafte Position erkannten Hacker die Kommunikation erst gar nicht weitergeleitet wird, sondern bereits im Sender/Empfänger abgeblockt werden könnte.
Diese Prinzipien lassen sich bei allen möglichen Arten von Sender/Empfängern Satelliten anwenden. Insbesondere dann, wenn ortsfeste Station als Sender/Empfänger involviert sind, z.B. Sendemasten im Mobilfunknetz, Radio- oder Fernsehstationen oder ähnliches, welche als zentrale Sender/Empfänger mehrere bewegte Objekte abdecken. Besonders bevorzugt sollen die Sender/Empfänger jedoch gemäß einer vorteilhaften Ausgestaltung der erfindungsgemäßen Vorrichtungen als Satelliten ausgebildet sein. Neben der hohen Verfügbarkeit von Satelliten, z.B. GPS und vergleichbare Systeme) in annähernd allen Gebieten der Erde bieten diese einen hohen Vertrauensschutz, da ein eigener Satellit zur Manipulation der Authentifizierung für Hackergruppen kaum zu realisieren ist.
Das erfindungsgemäße Verfahren zur Absicherung der Kommunikation zwischen wenigstens zwei Teilnehmern über eine derartige Vorrichtung nutzt nun den in der Kommunikationseinrichtung der Vorrichtung vorgenommenen Vergleich zwischen einer bekannten Position, beispielsweise der bekannten geostationären Position eines Servicecenters, welche bereits bei der Herstellung eines Fahrzeugs in dessen Steuerungssystem hinterlegt ist, um sicherzustellen, dass die Kommunikation tatsächlich mit dem entsprechenden Servicecenter erfolgt. Alternativ dazu wäre bei beweglichen Objekten wie beispielsweise Fahrzeugen als Teilnehmer auch lediglich eine Plausibilisierung möglich. So könnte beispielsweise aus einer vorhergehenden Kommunikation die entsprechende Position des Fahrzeugs zwischengespeichert werden, um sie dann mit der aktuellen Position zu vergleichen. Liegt die letzte Kommunikation beispielsweise einige Stunden zurück, lässt sich bei einer solchen Plausibilisierung feststellen, dass das Fahrzeug sich beispielsweise in einem Umkreis von 200 bis 300 Kilometer zur vorherigen Position befinden kann. Ist dies der Fall, wird ein positives Plausibilisierungsergebnis erzeugt. Ist dies nicht der Fall und der Abstand ist deutlich größer als er unter normalen Umständen in dieser Zeit sein kann, beispielsweise mehrere tausend Kilometer zwischen der zuletzt gespeicherten Position und der aktuellen Position bei einem Zeitabstand von wenigen Stunden, dann würde ein negatives Plausibilisierungsergebnis erzeugt. Das erfindungsgemäße Verfahren zur Absicherung der Kommunikation über eine solche Vorrichtung wird nun bei einem negativen Vergleichsergebnis oder einem solchen negativen Plausibilisierungsergebnis die Kommunikation abbrechen, da davon ausgegangen werden kann, dass der Teilnehmer mit dem negativen Vergleichsergebnis oder dem negativen Plausibilisierungsergebnis als unseriös einzustufen ist, insbesondere dass es sich um einen Hacker handelt, welcher einem Nutzer als dem anderen Teilnehmer manipulierte Daten senden will oder sensible Daten des entsprechenden Teilnehmers abgreifen möchte.
Eine besonders günstige Ausgestaltung des erfindungsgemäßen Verfahrens kann es nun vorsehen, dass eine, zwei oder drei der genannten Methoden genutzt werden, um die Position des Teilnehmers festzustellen und diesen damit entsprechend zu authentifizieren. Hierdurch ist es möglich, je nach Situation beispielsweise über das eine oder das andere der Verfahren oder auch einen Mix zwischen diesen Verfahren die Authentifizierung vorzunehmen, was eine deutliche Erhöhung der Sicherheit gegenüber der Nutzung lediglich eines Verfahrens liefert.
Neben der reinen Authentifizierung über eines oder mehrere der genannten Verfahren ist es auch möglich, mit den beschriebenen Methoden so umzugehen, dass eine oder zwei der Methoden zu Authentifizierung, also zur Bestimmung der tatsächlichen Position des entsprechenden Teilnehmers, genutzt werden, während die weiteren Verfahren oder das weitere Verfahren genutzt wird, um diese Authentifizierung entsprechend zu validieren, die übermittelten Werte also direkt oder zumindest hinsichtlich ihrer Plausibilität nochmals zu überprüfen. Dies kann situationsbedingt und insbesondere auch in Abhängigkeit der verfügbaren Rechenleistung des jeweiligen Teilnehmers in beliebiger Kombination und/oder Reihenfolge vorgenommen werden. Dabei könnte es dann z.B. ausreichen bei einer Authentifizierung über die Signallaufzeit den Ankunftswinkel und/oder die Signalstärke von nur einem Sender/Empfänger auszuwerten, um die Authentifizierung zu validieren. Dies spart Ressourcen und Rechenleistung ein.
Die erfindungsgemäße Vorrichtung bzw. das erfindungsgemäße Verfahren in der einen oder auch der anderen Variante können dabei zur Absicherung jeder Art von Kommunikation zwischen Teilnehmern dienen, um so verschiedenartige Accounts mit physischen Eigenschaften der Teilnehmer in Form ihrer Position zu validieren. Besonders gut geeignet ist das Verfahren dabei zur Absicherung einer Kommunikation zwischen einem Servicecenter eines Fahrzeugherstellers und dem von ihm hergestellten Fahrzeugen. Dementsprechend ist es gemäß einer günstigen Verwendung des erfindungsgemäßen Verfahrens vorgesehen, dass das Verfahren zur Absicherung der Kommunikation zwischen Fahrzeugen oder Servern und Fahrzeugen zum Einsatz kommt. Hierdurch lässt sich eine entsprechend sichere Kommunikation aufbauen, wodurch eine sehr hohe Sicherheit bezüglich der übermittelten Daten garantiert werden kann. Das erfindungsgemäße Verfahren ermöglicht es so, eine weitgehend manipulationsfreie Möglichkeit zu schaffen, um beispielsweise wichtige Informationen von einem Server des Fahrzeugherstellers an das Fahrzeug zu übermitteln, wie Softwareupdates mit sicherheitsrelevanten Inhalten, welche beispielsweise Fahrfunktionen, Fahrerassistenzsysteme, autonome Fahrfunktionen und dergleichen umfassen.
Weitere vorteilhafte Ausgestaltungen der erfindungsgemäßen Vorrichtungen und des Verfahrens ergeben sich auch aus dem Ausführungsbeispiel, welches nachfolgend unter Bezugnahme auf die Figuren näher dargestellt ist.
Dabei zeigen:

1 ein beispielhafter Ablauf zur Absicherung der Kommunikation sowie zur Nutzung der Absicherung mittels des erfindungsgemäßen Verfahrens;
2 ein Szenario zur Positionsbestimmung mittels der Signallaufzeit (TT) von Satelliten;
3 ein erstes Szenario zur Positionsbestimmung mittels des Ankunftswinkels (AoA) der Signale;
4 ein zweites Szenario zur Positionsbestimmung mittels des Ankunftswinkels (AoA) der Signale; und
5 ein Szenario zur Positionsbestimmung mittels der Signalstärke (SS).

In der Darstellung der 1 ist schematisch in verschiedenen aufeinanderfolgenden Schritten dargestellt, wie das erfindungsgemäße Verfahren funktionieren und genutzt werden kann. In der Darstellung der 1 links ist ein Teilnehmer 1 in Form eines Fahrzeugs 1 dargestellt, in der Darstellung der 1 rechts findet sich als Teilnehmer 2 beispielsweise ein Servicecenter 2 des Fahrzeugherstellers bzw. dessen Backendserver. Das Fahrzeug 1 verfügt über eine Kommunikation mit dem Servicecenter als Teilnehmer 2 über einen entsprechenden Account. Seine Identifikation (ID) kann beispielsweise die Fahrzeugidentifikationsnummer sein. Sie ist im hier dargestellten Ausführungsbeispiel V1. Außerdem verfügt das Fahrzeug 1 als Teilnehmer über eine PIN, welcher hier rein beispielhaft mit N5 angegeben ist. Das Servicecenter 2 als zweiter Teilnehmer verfügt ebenfalls über eine ID, welche hier mit S2 beispielhaft angegeben ist. Die PIN des Servicecenters 2 ist mit N6 beispielhaft angegeben. Außerdem ist es so, dass beide Teilnehmer 1, 2 in einer entsprechenden Position sind, sich also an einer geodätischen Position befinden. Diese Position ist im Falle des Fahrzeugs 1 als Teilnehmer mit P3 angegeben, im Falle des Servicecenters 2 als Teilnehmer mit P4.
In einem ersten Schritt 100 wird nun ausgehend vom Servicecenter 2 eine Anfrage an das Fahrzeug 1 mit der Identifikation V1 gesandt, beispielsweise mit der Mitteilung, dass ein Softwareupdate fällig ist. Das Fahrzeug 1 als Teilnehmer mit der Identifikation V1 baut nun über seinen Account mit der Identifikation V1 und der entsprechenden PIN eine Kommunikation zu dem Servicecenter auf, und fragt an, wer die Nachricht aus dem ersten Schritt 100 gesandt hat. Dies ist in der Darstellung der 1 der zweite Schritt 200. Im Bereich des Servicecenters 2 kommt es nun zum dritten Schritt 300, in welchem dieses Servicecenter seine aktuelle Position P4 zusammen mit seiner Identifikation und einem Zeitstempel T8 mitteilt. Diese Daten werden im vierten Schritt 400 an das Fahrzeug 1 übermittelt. Im fünften Schritt 500 berechnet das Fahrzeug 1 nun die physische Position PP4 des Servicecenters 2 beispielsweise auf Basis des Zeitstempels T8 und der Signallaufzeiten zwischen dem Servicecenter 2 und in den 2ff gezeigten Satelliten 3.1,3.2, 3.3 und 3.4 sowie gegebenenfalls unter Einbeziehung eines Satellitenkontrollzentrums. Im Abschluss dieses fünften Schrittes 500 kann dann überprüft werden, ob die so berechnete Position PP4 der mitgeteilten Position P4 entspricht. Falls ja, wird die Kommunikation entsprechend validiert und im Gegenzug wird die eigene Position mit der eigenen ID und einem eigenen Zeitstempel 9 in einem sechsten Schritt 600 zusammengestellt und im siebten Schritt 700 zusammen mit einer Bestätigung der Validierung seitens des Fahrzeugs 1 an das Servicecenter 2 gesendet. Falls P4 und PP4 nicht übereinstimmen, wird die Kommunikation vom Fahrzeug 1 im Schritt 610 abgebrochen.
In einem achten Schritt 800 erfolgt dann die im fünften Schritt 500 beim Fahrzeug 1 vorgenommene Überprüfung auch seitens des Servicecenters 2. Das Servicecenter 2 ermittelt also in diesem achten hier mit 800 bezeichneten Schritt dieselben Daten in derselben Art und Weise und gelangt dann, ohne dass das Fahrzeug V1 die Ermittlung dieses Werts aktiv beeinflussen kann, zu einer errechneten Position PP3. Diese Position ist dann unabhängig davon, ob das Fahrzeug 1 gehackt worden ist oder nicht, zuverlässig, ebenso wie es zuvor die Position PP4 des Servicecenters 2 war. Ist im Schritt 900 die ermittelte Positionen PP3 und die mitgeteilte Position P3 wieder gleich, dann erfolgt auch seitens des Servicecenters 2 die Validierung, welche dem Fahrzeug in einem zehnten Schritt 1000 mitgeteilt wird. Ansonsten kommt es zum Abbruch in Schritt 910.
Im Anschluss an eine positive Validierung von beiden Teilnehmern 1, 2 kann dann eine abgesicherte Kommunikation beispielsweise in dem hier mit 1100 dargestellten Schritt als bidirektionale Kommunikation erfolgen. Die Sicherheit dieser Kommunikation ist entsprechend hoch, da, wie es eingangs in der Beschreibung schon beschrieben worden ist, der Eingriff von Hackern in diese Kommunikation aufgrund der Überprüfung der physischen Eigenschaft in Form der Position der Teilnehmer 1, 2 quasi nicht oder nur mit extremem Aufwand möglich ist. Im Rahmen dieser Kommunikation im zehnten Schritt 1000 kann dann beispielsweise das Softwareupdate vom Servicecenter 2 auf das Fahrzeug 1 aufgespielt werden. Dabei ist es möglich, diese Kommunikation mit einem einmaligen Schlüssel, welcher nur für die aktuelle Kommunikation gilt, abzusichern, sodass nach Ende der Kommunikation auch dieser Schlüssel, falls er in falsche Hände gelangen sollte, quasi wertlos ist.
In der Darstellung der 2 ist nun ein erstes Szenario zur Positionsbestimmung mittels der Signallaufzeit (Transfer Time - TT) von Satelliten 3.1, 3.2, 3.3, 3.4 zu erkennen. Beispielhaft sind dabei vier Satelliten 3.1, 3.2, 3.3, 3.4 über der Erdoberfläche 4 eingezeichnet, von welchen die drei Satelliten 3.1, 3.2, 3.3 zur Bestimmung der Position genutzt werden, wobei der vierte Satellit 3.4 in an sich bekannter Weise zur Synchronisation der Zeit mit eingesetzt wird.
Ausgehend vom Satelliten 3.1 kann nun, wie es mit punktierter Linie dargestellt ist, anhand der Signallaufzeiten Δt₁ des ersten Satelliten 3.1 ein mit 5.1 bezeichneter Kreis auf der Erdoberfläche beschrieben werden. Dabei ist von jedem Punkt dieses Kreises 5.1 die Laufzeit zu dem bzw. von dem jeweiligen Satellit 3.1 gleich. Bei einer bestimmten Laufzeit Δt₁ eines Signals lässt sich also lediglich ermitteln, dass der gewünschte Punkt einer der Punkte des Kreises 5.1 ist. Zeitgleich wird bei dem Verfahren nun die Laufzeit Δt₂ von Signalen des zweiten Satelliten 3.2 ausgewertet. Auch hier ergibt sich ein Kreis der Punkte mit derselben Signallaufzeit Δt₂, welcher hier mit strichpunktierter Linie dargestellt und mit 5.2 bezeichnet ist. Dies führt nun dazu, dass zwischen den beiden Kreisen 5.1 und 5.2 in dem hier dargestellten Ausführungsbeispiel lediglich zwei Schnittpunkte verbleiben, sodass die mögliche Position, hier rein beispielhaft des Fahrzeugs 1, bereits entsprechend eingeschränkt ist. Über einen dritten Satelliten 3.3 und Signallaufzeiten Δt₃ von Signalen dieses Satelliten lässt sich dann dementsprechend ein dritter Kreis 5.3 ermitteln, welcher nun zu einem eindeutigen Schnittpunkt dieser drei Kreise 5.1, 5.2, 5.3 führt und es dementsprechend die Position des hier eingezeichneten Fahrzeugs 1 auf der Erdoberfläche 4 zu bestimmen.
Der vierte hier eingezeichnete Satellit 3.4 kann nun einerseits zum Ausgleich von Laufzeitfehlern durch die Refraktion an der Ionosphäre eingesetzt werden als auch zum Abgleich der Uhrzeiten, da typischerweise das System in dem Fahrzeug 1 und die Satelliten keine Uhren mit ausreichend hoher Genauigkeit haben, das auf einen solchen Abgleich verzichtet werden kann, wozu in der Praxis ein zusätzlicher Satellit notwendig und üblich ist.
Tritt nun an die Stelle des Fahrzeugs 1 als berechtigter erster Teilnehmer 1 ein hier beispielhaft als Kreis mit der Bezeichnung 1* bezeichneter Hacker, dann befindet sich dieser rein beispielhaft auf dem Kreis 5.1, nicht jedoch auf den weiteren Kreisen 5.2 und 5.3, welche letztlich die exakte Position des Fahrzeugs 1 ergeben. Der Hacker 1* gibt vielmehr vor, das Fahrzeug 1 zu sein. Die Positionsbestimmung ergibt nun dieselbe erste Signallaufzeit Δt₁. Die beiden anderen Signallaufzeiten Δt₂* und Δt₃* des Hackers weichen jedoch von den Originallaufzeiten Δt₂ und Δt₃, welche für die übermittelte Position des Fahrzeugs 1 gelten, ab, sodass hier eine abweichende Position festgestellt werden kann. Die Kommunikation wird dementsprechend abgebrochen.
Bei dieser ersten Methode wird also die Laufzeit der Signale genutzt, die sogenannte Transfer Time (TT). Diese erste beschriebene Methode basiert dabei im Wesentlichen auf dem aus der DE 10 2020 003 329 A1 beschriebenen Verfahren. Bei der Sichtbarkeit von weniger Satelliten ließe sich hier alternativ dazu selbstverständlich auch das Verfahren aus der eingangs genannten DE 10 2021 003 610 A1 entsprechend anwenden.
Eine Alternative zu dieser Bestimmung der Position über die Signallaufzeit TT ist die Verwendung eines Ankunftswinkels (Angle of Arrival - AoA) der Signale. Um einen solchen Ankunftswinkel mit ausreichender Genauigkeit zu erfassen, ist dabei ein Feld von mehreren Antennen notwendig, um zusätzlich zum reinen Signal dessen Ankunftswinkel zu erfassen. Dieser Ankunftswinkel AoA würde in einem der 2 vergleichbaren in 3 dargestellten Szenario nun bei dem realen Fahrzeug 1 zu Ankunftswinkel der Signale, z.B. gegenüber einer gedachten senkrechten Verbindung des jeweiligen Satellits 3.1, 3.2, 3.3 zur Erdoberfläche 4, führen, welche hier mit α, β und γ bezeichnet sind. Analog zur Ausführung gemäß 2 würde ein an einer anderen Position befindlicher Hacker 1* wiederum andere Ankunftswinkel der Signale generieren. Diese sind hier mit α', β' und γ' bezeichnet. Die Abweichung der Winkel führt auch hier zu Erfassung der Tatsache, dass die angegebene Position mit der tatsächlichen Position nicht übereinstimmt, die Authentifizierung also gescheitert ist.
Handelt es sich bei dem Teilnehmer 1, 2, dessen Position zur Authentifizierung überprüft werden soll, nicht wie in der Darstellung der 2 und 3 angedeutet um das Fahrzeug 1 sondern um das Servicecenter 2, welches eine eindeutige Position auf der Erdoberfläche 4 aufweist, dann kann diese Position auch innerhalb des Systems, beispielsweise in einem Fahrzeug 1, gespeichert sein, um so auf die Übermittlung durch das Servicecenter 2 grundlegend verzichten zu können. Insbesondere kann ein Fahrzeughersteller in seine Fahrzeuge 1 die exakte Position seiner Servicecenter 2, insbesondere je nach Region, bereits in die Steuerungssysteme implementieren.
Eine weitere Alternative könnte es sein, dass die Satelliten 3.1, 3.2 und 3.3, der Satellit 3.4 ist bei dem Szenario gemäß 3 nicht mehr notwendig, ihrerseits die Ankunftssignale entsprechend überwachen. Basierend auf eigenen gespeicherten Daten oder zuvor beim anderen Teilnehmer, beispielsweise einem Servicecenter als Teilnehmer 2, angefragten Daten könnte dann direkt über die Satelliten 3.1, 3.2, 3.2, welche dann einen Teil der erforderlichen Kommunikationseinrichtung zum Aufbau der abgesicherten Kommunikation aufweisen, der Vergleich vorgenommen werden. Signale eines offensichtlichen Hackers 1*, dessen Daten mit falschen Ankunftswinkeln AoA bei den Satelliten 3.1, 3.2, 3.3 ankommen, könnten dann unmittelbar verworfen und nicht zu dem weiteren Teilnehmer 2 weitergeleitet werden.
In der Darstellung der 4 ist nun ein weiteres Szenario dargestellt, bei welchem rein beispielhaft nur einer der Satelliten 3.1 mit dargestellt ist. Als Teilnehmer 1 fungiert hier wieder ein Fahrzeug 1, es könnte jedoch auch das Servicecenter 2 als Teilnehmer 2 an dessen Stelle treten, was hier gestrichelt angedeutet ist. Der Hacker 1* gibt sich in diesem Szenario als das Netzwerk aus, versucht also über einen gefälschten Satelliten die Kommunikation zu manipulieren. In diesem Fall wäre es beispielsweise so, dass eine hochfliegende Drohne 6 gegenüber den Teilnehmern 1, 2 oder einem der Teilnehmer 1, 2 vorgibt, der Satellit 3.1 zu sein. in diesem Fall könnte ebenfalls durch eine Auswertung des Ankunftswinkels bei den Teilnehmern 1, 2 oder dem Teilnehmer 1, 2 ein falscher Winkel α* gegenüber der Senkrechten zur Erdoberfläche bei einem von der Drohne 6 gesendeten Signal gegenüber dem zu erwartenden Ankunftswinkel des Signals α beim echten Satelliten 3.1 erfasst und ausgewertet werden, um die Manipulation aufzudecken.
Die Darstellung in der 5 greift nun ein weiteres Szenario auf, bei welchem anstelle der Signallaufzeit TT oder des Ankunftswinkels AoA der Signale die Signalstärke (Signal Strength -SS) der Signale entsprechend ausgewertet wird. Diese Signalstärke SS hängt einerseits von der Entfernung und den auf der Wegstrecke vorliegenden Wetterbedingungen wie beispielsweise Luftfeuchtigkeit, Wolken, Regen oder dergleichen zusammen. Entsprechend ergibt sich für den Teilnehmer 1 ein Tripel von Signalstärken SS₁, SS₂, SS₃ bei einer entsprechenden Kommunikation mit den Satelliten 3.1, 3.2 und 3.3, welche für seine Position relativ eindeutig sind, wobei bei der Signalstärke SS immer eine gewisse Toleranz aufgrund der atmosphärischen Bedingungen zu erwarten ist. Bei einer deutlich anderen Position des Hackers 1* ergeben sich für diesen jedoch auch deutlich abweichende Signalstärken SS₁*, SS₂*, SS₃* im Vergleich. Auch so lässt sich also eine fehlerhafte Positionierung erkennen, um die Kommunikation rechtzeitig abbrechen und eine Manipulation verhindern zu können.
Besonders sinnvoll ist es dabei, die verschiedenen Methoden TT, AoA und/oder SS miteinander zu kombinieren. So können beispielsweise zur Feststellung der Position zwecks Authentifikation der Teilnehmer 1, 2 die Signallaufzeit TT Verwendung finden. Über den Ankunftswinkel AoA und/oder die Signalstärke SS lässt sich dieses Ergebnis dann validieren, um also sicherzustellen, dass die Signallaufzeit TT nicht in irgendeiner Weise manipuliert worden ist.
Eine gewisse Limitierung liegt dabei bei der Signalstärke SS vor, da diese vergleichsweise einfach manipuliert werden kann, wenn die auf dem Weg auftretenden Verluste bekannt sind oder abgeschätzt werden können. Ein Hacker kann dann die Übertragungsleistung entsprechend anpassen, um die gewünschte Signalstärke zu generieren. Da diese gleichzeitig aufgrund der Möglichkeit sich ändernder atmosphärischer Bedingungen und/oder Wetterbedingungen mit einem relativ großen Toleranzband versehen werden muss, ist so die Gefahr einer Manipulation nicht gänzlich ausgeschlossen.
Um diese Gefahr noch weiter zu verringern kann das ausgesendete Signal zusätzlich mit einer dynamisch über der Zeit variierenden Kodierung versehen werden. Hier ließe sich beispielsweise die Signalstärke, die Frequenz, die Amplitude oder auch die Polarisation des Signals über der Zeit variieren. Folgt dies einem vorgegebenen Muster, welches in den Kommunikationseinrichtungen der tatsächlichen Teilnehmer 1, 2 entsprechend hinterlegt ist, dann kann diese Variation, welche vom sendenden Teilnehmer 1, 2 aufgeprägt wird, vom empfangenden Teilnehmer 2, 1 herausgefiltert werden, um so die tatsächliche Signalstärke auswerten zu können. Dadurch wird die Sicherheit gegenüber einer potenziellen Manipulation nochmals erhöht.
Selbstverständlich ist es auch möglich, die verschiedenen Methoden bei dieser Technik untereinander auszutauschen, also beispielsweise die eigentliche Authentifizierung über den Ankunftswinkel AoA vorzunehmen und die Validierung über die Signallaufzeit TT und/oder die Signalstärke oder die eigentliche Authentifizierung über die Signalstärke vorzunehmen usw. Alternativ dazu lassen sich auch zwei der Methoden zur Authentifikation einsetzen und bei identischer Authentifikation dieser beiden Methoden lässt sich die dritte Methode zur Validierung nutzen oder es lassen sich alle drei Methoden zur Authentifikation nutzen oder es ließe sich ein entsprechender Mix der verschiedenen Methoden in beliebiger Art und Weise verwenden. Insbesondere kann dieser Mix in Abhängigkeit verschiedener Parameter immer wieder verändert werden, um so die Sicherheit nochmals weiter zu erhöhen.
ZITATE ENTHALTEN IN DER BESCHREIBUNG
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
Zitierte Patentliteratur

DE 102020003329 A1 [0005, 0034]
DE 102021003610 A1 [0005, 0034]

Claims

Vorrichtung zur Absicherung der Kommunikation zwischen wenigstens zwei Teilnehmern (1, 2) über eine Kommunikationseinrichtung, wobei die beiden Teilnehmer (1,2) jeweils über eine Identifikation (ID) und eine Absicherung (PIN) verfügen, um damit, vorzugsweise verschlüsselt, zu kommunizieren, wobei die Kommunikationseinrichtung dazu eingerichtet ist, zur Authentifizierung wenigstens eines der Teilnehmer (1,2) dessen aktuelle geodätische Position (PP3, PP4) zu ermitteln, indem eine Kommunikation mit wenigstens einem Sender/Empfänger (3.1, 3.2, 3.3) erfolgt, um die aktuell erfasste Position (PP3, PP4) mit einer vom jeweils anderen Teilnehmer (2,1 übermittelten oder gespeicherten Position (P3, P4) zu vergleichen oder anhand dieser zu plausibilisieren, dadurch gekennzeichnet, dass die Kommunikationseinrichtung dazu eingerichtet ist zur Erfassung der aktuellen Position (PP3, PP4) des wenigstens einen Teilnehmers (1, 2) einen Ankunftswinkel (α, β, γ) der zur Kommunikation genutzten Signale zu erfassen und auszuwerten.
Vorrichtung nach Anspruch 1, dadurch gekennzeichnet, dass die Kommunikationseinrichtung ein Antennenarray aufweist.
Vorrichtung zur Absicherung der Kommunikation zwischen wenigstens zwei Teilnehmern (1, 2) über eine Kommunikationseinrichtung, wobei die beiden Teilnehmer (1,2) jeweils über eine Identifikation (ID) und eine Absicherung (PIN) verfügen, um damit, vorzugsweise verschlüsselt, zu kommunizieren, wobei die Kommunikationseinrichtung dazu eingerichtet ist, zur Authentifizierung wenigstens eines der Teilnehmer (1,2) dessen aktuelle geodätische Position (PP3, PP4) zu ermitteln, indem eine Kommunikation mit wenigstens einem Sender/Empfänger (3.1, 3.2, 3.3) erfolgt, um die aktuell erfasste Position (PP3, PP4) mit einer vom jeweils anderen Teilnehmer (2,1 übermittelten oder gespeicherten Position (P3, P4) zu vergleichen oder anhand dieser zu plausibilisieren, dadurch gekennzeichnet, dass die Kommunikationseinrichtung dazu eingerichtet ist zur Erfassung der aktuellen Position (PP3, PP4) des wenigstens einen Teilnehmers (1, 2) eine Signalstärke (SS₁, SS₂, SS₃) der zur Kommunikation genutzten Signale zu erfassen und auszuwerten.
Vorrichtung nach Anspruch 3, dadurch gekennzeichnet, dass die Kommunikationseinrichtung ferner dazu eingerichtet ist die Signalstärke (SS₁, SS₂, SS₃) der ausgehenden Signale nach einem vorgegebenen Muster zeitlich dynamischen zu variieren und die eingehenden Signale bezüglich des vorgegebenen Musters zu filtern.
Vorrichtung nach einem der Ansprüche 1 bis 4, dadurch gekennzeichnet, dass die Kommunikationseinrichtung ferner dazu eingerichtet ist zur Erfassung der aktuellen Position (PP3, PP4) des wenigstens einen Teilnehmers (1, 2) die Laufzeit (Δt₁, Δt₂, Δt₃) der zur Kommunikation genutzten Signale zwischen den Sendern/Empfängern (3.1, 3.2, 3.3) und wenigsten einem der Teilnehmer (1, 2) zu erfassen und auszuwerten.
Vorrichtung nach einem der Ansprüche 1 bis 5, dadurch gekennzeichnet, dass ein Teil der Kommunikationseinrichtung in jedem der Teilnehmer (1, 2) angeordnet ist.
Vorrichtung nach einem der Ansprüche 1 bis 5, dadurch gekennzeichnet, dass ein Teil der Kommunikationseinrichtung in den Sendern/Empfängern (3.1, 3.2, 3.3) angeordnet ist.
Vorrichtung nach einem der Ansprüche 1 bis 7, dadurch gekennzeichnet, dass zumindest einer der Sender/Empfänger als Satellit (3.1, 3.2, 3.3) ausgebildet ist.
Verfahren zur Absicherung der Kommunikation zwischen wenigstens zwei Teilnehmern (1, 2) über eine Vorrichtung nach einem der Ansprüche 1 bis 8, wobei im Fall eines negativen Vergleichsergebnisses oder eines negativen Plausibiliserungsergebnisses die Kommunikation abgebrochen wird.
Verfahren nach Anspruch 9, dadurch gekennzeichnet, dass zur Erfassung der aktuellen Position (PP3, PP4) des wenigstens einen Teilnehmers (1, 2) die Auswertung des Ankunftswinkels (α, β, γ) der Signale, die Auswertung der Signalstärke (SS₁, SS₂, SS₃) der ankommenden Signale und/oder die Laufzeit (Δt₁, Δt₂, Δt₃) der zur Kommunikation genutzten Signale zwischen den Sendern/Empfängern (3.1, 3.2, 3.3) und wenigsten einem der Teilnehmer (1, 2) genutzt werden.
Verfahren nach Anspruch 9 oder 10, dadurch gekennzeichnet, dass zur Erfassung der aktuellen Position (PP3, PP4) des wenigstens einen Teilnehmers (1, 2) eine oder zwei der Methoden: die Auswertung des Ankunftswinkels (α, β, γ) der Signale, die Auswertung der Signalstärke (SS₁, SS₂, SS3) der ankommenden Signale und/oder die Laufzeit (Δt₁, Δt₂, Δt₃) der zur Kommunikation genutzten Signale zwischen den Sendern/Empfängern (3.1, 3.2, 3.3) und wenigstens einem der Teilnehmer (1, 2) genutzt werden., wobei zur Validierung des Ergebnisses eine oder zwei bisher nicht genutzte Methoden verwendet werden.
Verwendung der Vorrichtung nach einem der Ansprüche 1 bis 8 und/oder des Verfahrens nach einem der Ansprüche 9 bis 11 zur Absicherung der Kommunikation zwischen Fahrzeugen (1) und fahrzugexternen Servern (2), insbesondere zur Übermittlung von Softwareupdates.