-
Die Erfindung betrifft ein Verfahren zum Schutz gegen eine Manipulation einer Software eines Fahrzeugs.
-
Aus dem Stand der Technik ist, wie in der
DE 101 23 169 A1 beschrieben, ein Verfahren zum Schutz eines Mikrorechner-Systems gegen Manipulation von in einer Speicheranordnung des Mikrorechner-Systems gespeicherten Daten bekannt. Die Daten werden mit Hilfe eines asymmetrischen Verschlüsselungsverfahrens in der Speicheranordnung signiert oder verschlüsselt abgelegt. Zum Signieren oder Verschlüsseln der Daten wird eine durch eine persönliche Identifikationsnummer geschützte Smart-Card verwendet, auf der der private Schlüssel und ein Verschlüsselungsalgorithmus für das asymmetrische Verschlüsselungsverfahren abgelegt ist.
-
Der Erfindung liegt die Aufgabe zu Grunde, ein gegenüber dem Stand der Technik verbessertes Verfahren zum Schutz gegen eine Manipulation einer Software eines Fahrzeugs anzugeben.
-
Die Aufgabe wird erfindungsgemäß gelöst durch ein Verfahren zum Schutz gegen eine Manipulation einer Software eines Fahrzeugs mit den Merkmalen des Anspruchs 1.
-
Vorteilhafte Ausgestaltungen der Erfindung sind Gegenstand der Unteransprüche.
-
In einem Verfahren zum Schutz gegen eine Manipulation einer Software eines Fahrzeugs werden erfindungsgemäß manipulationssichere Prüfsummen für mehrere Softwaremodule, die als Teil einer Steuergerätesoftware eines Steuergeräts des Fahrzeugs implementiert werden, gebildet und als Grundwert hinterlegt. Während einer Laufzeit des Steuergeräts werden periodisch Prüfsummen für die verwendeten Softwaremodule gebildet und mit dem Grundwert verglichen. Ein Ergebnis der Prüfung wird verschlüsselt an ein Backend gesendet, d. h. an eine fahrzeugexterne Einrichtung, beispielsweise an ein Rechenzentrum. Das Backend kann anschließend über einen Rückkanal eine Reaktion auf eine erkannte Manipulation veranlassen.
-
Mittels der erfindungsgemäßen Lösung wird es ermöglicht, IT-Sicherheitsvorfälle, d. h. Informationstechnologiesicherheitsvorfälle, in im Markt befindlichen, d. h. in einem normalen Nutzerbetrieb eingesetzten, Fahrzeugen frühzeitig zu erkennen, zu analysieren und darauf zu reagieren. Damit kann die Lösung dazu beitragen, Schaden vom Nutzer und vom Fahrzeughersteller abzuwenden, indem IT-Sicherheitsvorfälle in Fahrzeugen identifiziert und entsprechende Gegenmaßnahmen eingeleitet werden können, bevor sich das Problem auf weitere Fahrzeuge ausweitet.
-
Durch die Möglichkeit, über einen direkten Rückkanal auf die Vorfälle reagieren zu können, wird eine Möglichkeit geschaffen, Sofortmaßnahmen zu ergreifen, welche deutlich schneller und kostengünstiger sind als beispielsweise ein Software-Update, d. h. eine Softwareaktualisierung, auch schneller als ein so genanntes Remote-Software-Update, welches über eine Datenfernübertragung vorgenommen wird, und auch schneller als ein Werkstattaufenthalt.
-
Durch den Ansatz, Softwaremanipulationen direkt in einem Programmspeicher zu erkennen, lässt sich eine deutlich höhere Erkennungsquote erzielen als bei anderen Ansätzen, wie zum Beispiel einer Anomalieerkennung.
-
Ausführungsbeispiele der Erfindung werden im Folgenden anhand von Zeichnungen näher erläutert.
-
Dabei zeigen:
- 1 schematisch eine Prüfung einer Software eines Fahrzeugs auf eine Manipulation, und
- 2 schematisch eine Vorgehensweise bei einer festgestellten Manipulation einer Software eines Fahrzeugs.
-
Einander entsprechende Teile sind in allen Figuren mit den gleichen Bezugszeichen versehen.
-
Anhand der 1 und 2 wird im Folgenden ein Verfahren zum Schutz gegen eine Manipulation einer Software eines Fahrzeugs beschrieben. Insbesondere werden in diesem Verfahren manipulationssichere Prüfsummen 3 für mehrere Softwaremodule, die als Teil einer Steuergerätesoftware 8 eines Steuergeräts 2 des Fahrzeugs implementiert werden, gebildet und als Grundwert hinterlegt. Während einer Laufzeit des Steuergeräts 2 werden periodisch Prüfsummen für die verwendeten Softwaremodule gebildet und mit dem Grundwert verglichen. Dies wird beispielsweise mittels eines Systemkernprüfsummenwerkzeugs 14 und eines Scanners 15 durchgeführt. Ein Ergebnis der Prüfung wird verschlüsselt an ein Backend 7 gesendet, d. h. an eine fahrzeugexterne Einrichtung, beispielsweise an ein Rechenzentrum. Dies ist in 1 schematisch dargestellt.
-
Das Backend 7 kann anschließend über einen Rückkanal eine Reaktion auf eine erkannte Manipulation veranlassen. Dies ist in 2 schematisch dargestellt.
-
Dadurch wird das Problem gelöst, IT-Sicherheitsvorfälle, d. h. Informationstechnologievorfälle, in Steuergeräten 2 von Fahrzeugen, die durch Schadsoftware verursacht werden, zu detektieren und über eine Datenfernübertragung 5, beispielsweise über eine Mobilfunkstrecke und/oder das Internet, an ein entferntes Rechenzentrum, auch als Backend 7 bezeichnet, melden zu können. Neben der Detektion solcher Vorfälle in einzelnen Fahrzeugen wird mit diesem Ansatz deren Aggregation an einer zentralen Stelle und damit eine Gesamtsicht auf einen Sicherheitszustand einer Fahrzeugflotte ermöglicht. Darüber hinaus wird ermöglicht, vom entfernten Rechenzentrum aus, d. h. vom Backend 7 aus, über die Datenfernübertragung 5, beispielsweise über die Mobilfunkstrecke, eine Reaktion, auch als Sanktionierung oder Sanktion bezeichnet, auf erkannte Sicherheitsvorfälle, d. h. auf erkannte Manipulationen, zu veranlassen, die in angegebenen Fahrzeugen ausgeführt wird.
-
Die beschriebene Lösung bezieht sich insbesondere auf Steuergeräte 2 im Infotainmentbereich von Fahrzeugen, die durch zahlreiche, drahtlose und/oder drahtgebundene Schnittstellen, insbesondere der Kommunikationsinfrastruktur 6 des Steuergeräts 2, und einen umfangreichen Softwarestack aus Sicht der IT-Sicherheit über eine besonders große Angriffsfläche und Verwundbarkeit verfügen.
-
Durch die beschriebene Lösung werden insbesondere IT-Sicherheitsvorfälle, d. h. Manipulationen, erkannt, die sich durch eine Veränderung eines Programmcodes in einem Speicher des Steuergeräts 2 im Vergleich zu einem zuvor definierten Grundzustand auszeichnen. Dies betrifft eine besonders große Klasse von IT-Sicherheitsvorfällen, d. h. Manipulationen, und geht über von vielen anderen Ansätzen, zum Beispiel von bestimmten Virenscannern oder so genannten Intrusion Detection Systemen, erkannte Klassen hinaus. Insbesondere werden volatile Programmcodeveränderungen zur Laufzeit erfasst, ohne dass diese auf einem Massenspeicher persistiert werden müssten.
-
Die oben bereits grundsätzlich beschriebene Lösung besteht aus mehreren Softwaremodulen, die als Teil der Steuergerätesoftware 8 implementiert werden und dazu dienen, Applikationen 1 des Steuergeräts 2 zur Laufzeit periodisch gegen als Grundzustand vorab hinterlegte manipulationssichere Prüfsummen 3, so genannte Secure Hashes zu prüfen. Durch kryptographische Eigenschaften der Prüfsummen ist sichergestellt, dass jegliche Veränderung im Vergleich zum hinterlegten Grundzustand erkannt wird.
-
Das Ergebnis der Prüfung wird vorteilhafterweise zu einem Report 4 in einem definierten Format zusammengefasst, der insbesondere mit einem im Steuergerät 2 hinterlegten Schlüssel signiert wird, um Manipulationen auf der Übertragungsstrecke der Datenfernübertragung 5 erkennen zu können. Der signierte Report 4 wird vorteilhafterweise mittels der Datenfernübertragung 5 über eine mobile Kommunikationsinfrastruktur 6 des Fahrzeuges als so genannter Uplink 16 an das Backend 7 geschickt, auf dem beispielsweise solche Reports 4 aus allen beteiligten Fahrzeugen bzw. Steuergeräten 2 ausgewertet werden können. Auf diese Weise wird es ermöglicht, Muster bezüglich des Sicherheitszustandes der Fahrzeugflotte zu identifizieren, wie zum Beispiel ein regional und zeitlich verteiltes Auftreten von Schadsoftware oder eine Häufung von IT-Sicherheitsvorfällen, d. h. Manipulationen, in bestimmten Applikationen 1 oder Fahrzeugtypen.
-
Das Backend 7 kann anschließend über einen Rückkanal, auch als Downlink 17 bezeichnet, eine Reaktion auf einen erkannten Sicherheitsvorfall, d. h. auf eine erkannte Manipulation, in definierten Fahrzeugen veranlassen, auch als Sanktion oder Sanktionierung bezeichnet. Analog zur Übertragung des Reports 4 wird ein entsprechendes Sanktionskommando 18 vorteilhafterweise in einem definierten Format kodiert und vor der Übertragung in das Fahrzeug insbesondere mit einem Schlüssel signiert. Die Signatur ermöglicht dem Steuergerät 2 die Prüfung der Authentizität des Sanktionskommandos 18.
-
Die technische Ausgestaltung des Downlink 17 ist vorteilhafterweise analog zum Uplink 16. Das Steuergerät 2 baut über die Kommunikationsinfrastruktur 6 des Fahrzeuges eine gesicherte Verbindung zum Backend 7 auf, prüft das Vorhandensein des Sanktionskommandos 18 und lädt das Sanktionskommando 18 gegebenenfalls, insbesondere wenn dieses vorhanden ist, herunter. Anschließend wird dessen Authentizität, insbesondere in einem gesicherten Bereich des Steuergeräts 2, geprüft und das Sanktionskommando 18 wird anschließend ausgeführt, beispielsweise mittels eines Sanktionswerkzeugs 19.
-
Ein Umfang der Sanktionskommandos 18 kann beispielsweise frei gestaltet werden und zum Beispiel eine Anzeige für einen Fahrer des Fahrzeugs, ein Sperren bestimmter Dienste und/oder eine Terminierung, d. h. insbesondere Beendigung, bestimmter Applikationen 1 veranlassen.
-
Um eine Funktionsfähigkeit und Zuverlässigkeit des beschriebenen Ansatzes sicherzustellen, werden auf dem Steuergerät 2 insbesondere bestimmte Voraussetzungen erfüllt. Diese Voraussetzungen sind in bestimmten derzeit schon verwendeten Steuergeräten 2 bereits erfüllt und beinhalten insbesondere eine hardwaregesicherte Speichermöglichkeit für Schlüsselmaterial sowie eine hardwaregeschützte Ausführungsumgebung, auch als Trusted Execution Environment (TEE) bezeichnet, gekennzeichnet durch Bezugszeichen 9, und eine durch das Bezugszeichen 10 gekennzeichnete hardwareunterstützte Prüfung der Systemsoftware beim Startup, d. h. insbesondere bei einem Start des Steuergeräts 2, betreffend insbesondere einen Betriebssystemkern 11 und das Trusted Execution Environment (TEE). Dies wird auch als Secure Boot bezeichnet. Die Hardware 12 des Steuergeräts 2 weist hierfür einen unveränderbaren Secure Boot Key 13 auf. Eine weitere solche Voraussetzung ist ein Zugang zum Internet über ein Fahrzeugkommunikationsmodul (TCU).
-
Mittels der beschriebenen Lösung wird es ermöglicht, IT-Sicherheitsvorfälle, d. h. Informationstechnologiesicherheitsvorfälle, in im Markt befindlichen, d. h. in einem normalen Nutzerbetrieb eingesetzten, Fahrzeugen frühzeitig zu erkennen, zu analysieren und darauf zu reagieren. Damit kann die Lösung dazu beitragen, Schaden vom Nutzer und vom Fahrzeughersteller abzuwenden, indem IT-Sicherheitsvorfälle in Fahrzeugen identifiziert und entsprechende Gegenmaßnahmen eingeleitet werden können, bevor sich das Problem auf weitere Fahrzeuge ausweitet.
-
Durch die Möglichkeit, über einen direkten Rückkanal auf die Vorfälle reagieren zu können, wird eine Möglichkeit geschaffen, Sofortmaßnahmen zu ergreifen, welche deutlich schneller und kostengünstiger sind als beispielsweise ein Software-Update, d. h. eine Softwareaktualisierung, auch schneller als ein so genanntes Remote-Software-Update, welches über eine Datenfernübertragung 5 vorgenommen wird, und auch schneller als ein Werkstattaufenthalt.
-
Durch den Ansatz, Softwaremanipulationen direkt in einem Programmspeicher zu erkennen, lässt sich eine deutlich höhere Erkennungsquote erzielen als bei anderen Ansätzen, wie zum Beispiel einer Anomalieerkennung.
-
Bezugszeichenliste
-
- 1
- Applikation
- 2
- Steuergerät
- 3
- manipulationssichere Prüfsumme
- 4
- Report
- 5
- Datenfernübertragung
- 6
- Kommunikationsinfrastruktur
- 7
- Backend
- 8
- Steuergerätesoftware
- 9
- hardwaregesicherte Speichermöglichkeit und hardwaregeschützte Ausführungsumgebung
- 10
- hardwareunterstützte Prüfung der Systemsoftware beim Startup
- 11
- Betriebssystemkern
- 12
- Hardware
- 13
- Secure Boot Key
- 14
- Systemkernprüfsummenwerkzeug
- 15
- Scanner
- 16
- Uplink
- 17
- Downlink
- 18
- Sanktionskommando
- 19
- Sanktionswerkzeug
-
ZITATE ENTHALTEN IN DER BESCHREIBUNG
-
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
-
Zitierte Patentliteratur
-