DE102018006368A1

DE102018006368A1 - Method for protection against manipulation of software of a vehicle

Info

Publication number: DE102018006368A1
Application number: DE102018006368.3A
Authority: DE
Inventors: Claus Wonnemann
Original assignee: Daimler AG
Current assignee: Mercedes Benz Group AG
Priority date: 2018-08-13
Filing date: 2018-08-13
Publication date: 2019-02-14

Abstract

Die Erfindung betrifft ein Verfahren zum Schutz gegen eine Manipulation einer Software eines Fahrzeugs.
Erfindungsgemäß werden manipulationssichere Prüfsummen (3) für mehrere Softwaremodule, die als Teil einer Steuergerätesoftware (8) eines Steuergeräts (2) des Fahrzeugs implementiert werden, gebildet und als Grundwert hinterlegt, wobei während einer Laufzeit des Steuergeräts (2) periodisch Prüfsummen für die verwendeten Softwaremodule gebildet und mit dem Grundwert verglichen werden, und wobei ein Ergebnis der Prüfung verschlüsselt an ein Backend (7) gesendet wird.

The invention relates to a method for protection against manipulation of a software of a vehicle.
According to the invention tamper-proof checksums (3) for several software modules that are implemented as part of a controller software (8) of a control unit (2) of the vehicle formed and stored as a base value, during a run time of the controller (2) periodically checksums for the software modules used are formed and compared with the base value, and wherein a result of the test is encrypted to a backend (7) is sent.

Description

Die Erfindung betrifft ein Verfahren zum Schutz gegen eine Manipulation einer Software eines Fahrzeugs.The invention relates to a method for protection against manipulation of a software of a vehicle.

Aus dem Stand der Technik ist, wie in der DE 101 23 169 A1 beschrieben, ein Verfahren zum Schutz eines Mikrorechner-Systems gegen Manipulation von in einer Speicheranordnung des Mikrorechner-Systems gespeicherten Daten bekannt. Die Daten werden mit Hilfe eines asymmetrischen Verschlüsselungsverfahrens in der Speicheranordnung signiert oder verschlüsselt abgelegt. Zum Signieren oder Verschlüsseln der Daten wird eine durch eine persönliche Identifikationsnummer geschützte Smart-Card verwendet, auf der der private Schlüssel und ein Verschlüsselungsalgorithmus für das asymmetrische Verschlüsselungsverfahren abgelegt ist.From the prior art, as in the DE 101 23 169 A1 describes a method of protecting a microcomputer system against manipulation of data stored in a memory array of the microcomputer system. The data is stored in the memory arrangement signed or encrypted using an asymmetric encryption method. To sign or encrypt the data, a smart card protected by a personal identification number is used on which the private key and an encryption algorithm for the asymmetric encryption method are stored.

Der Erfindung liegt die Aufgabe zu Grunde, ein gegenüber dem Stand der Technik verbessertes Verfahren zum Schutz gegen eine Manipulation einer Software eines Fahrzeugs anzugeben.The invention is based on the object to provide a comparison with the prior art improved method for protection against manipulation of software of a vehicle.

Die Aufgabe wird erfindungsgemäß gelöst durch ein Verfahren zum Schutz gegen eine Manipulation einer Software eines Fahrzeugs mit den Merkmalen des Anspruchs 1.The object is achieved by a method for protection against manipulation of software of a vehicle having the features of claim 1.

Vorteilhafte Ausgestaltungen der Erfindung sind Gegenstand der Unteransprüche.Advantageous embodiments of the invention are the subject of the dependent claims.

In einem Verfahren zum Schutz gegen eine Manipulation einer Software eines Fahrzeugs werden erfindungsgemäß manipulationssichere Prüfsummen für mehrere Softwaremodule, die als Teil einer Steuergerätesoftware eines Steuergeräts des Fahrzeugs implementiert werden, gebildet und als Grundwert hinterlegt. Während einer Laufzeit des Steuergeräts werden periodisch Prüfsummen für die verwendeten Softwaremodule gebildet und mit dem Grundwert verglichen. Ein Ergebnis der Prüfung wird verschlüsselt an ein Backend gesendet, d. h. an eine fahrzeugexterne Einrichtung, beispielsweise an ein Rechenzentrum. Das Backend kann anschließend über einen Rückkanal eine Reaktion auf eine erkannte Manipulation veranlassen.In a method for protection against manipulation of software of a vehicle, tamper-proof checksums for a plurality of software modules, which are implemented as part of a control unit software of a control device of the vehicle, are formed according to the invention and stored as the basic value. During a run time of the control unit, checksums for the software modules used are periodically formed and compared with the basic value. A result of the check is sent encrypted to a backend, i. H. to an off-vehicle device, such as a data center. The backend can then cause a response to a detected manipulation via a return channel.

Mittels der erfindungsgemäßen Lösung wird es ermöglicht, IT-Sicherheitsvorfälle, d. h. Informationstechnologiesicherheitsvorfälle, in im Markt befindlichen, d. h. in einem normalen Nutzerbetrieb eingesetzten, Fahrzeugen frühzeitig zu erkennen, zu analysieren und darauf zu reagieren. Damit kann die Lösung dazu beitragen, Schaden vom Nutzer und vom Fahrzeughersteller abzuwenden, indem IT-Sicherheitsvorfälle in Fahrzeugen identifiziert und entsprechende Gegenmaßnahmen eingeleitet werden können, bevor sich das Problem auf weitere Fahrzeuge ausweitet.By means of the solution according to the invention, IT security incidents, ie. H. Information technology security incidents, in the market, d. H. Used in a normal user operation, vehicles early to recognize, analyze and respond to. Thus, the solution can help avert harm to the user and the vehicle manufacturer by identifying IT security incidents in vehicles and taking appropriate countermeasures before the problem expands to other vehicles.

Durch die Möglichkeit, über einen direkten Rückkanal auf die Vorfälle reagieren zu können, wird eine Möglichkeit geschaffen, Sofortmaßnahmen zu ergreifen, welche deutlich schneller und kostengünstiger sind als beispielsweise ein Software-Update, d. h. eine Softwareaktualisierung, auch schneller als ein so genanntes Remote-Software-Update, welches über eine Datenfernübertragung vorgenommen wird, und auch schneller als ein Werkstattaufenthalt.The ability to respond to the incidents via a direct return channel provides a way to take immediate action that is significantly faster and less costly than, for example, a software update. H. a software update, even faster than a so-called remote software update, which is made via a remote data transmission, and faster than a workshop visit.

Durch den Ansatz, Softwaremanipulationen direkt in einem Programmspeicher zu erkennen, lässt sich eine deutlich höhere Erkennungsquote erzielen als bei anderen Ansätzen, wie zum Beispiel einer Anomalieerkennung.The approach of detecting software manipulations directly in a program memory enables a significantly higher recognition rate than other approaches, such as anomaly detection.

Ausführungsbeispiele der Erfindung werden im Folgenden anhand von Zeichnungen näher erläutert.Embodiments of the invention are explained in more detail below with reference to drawings.

Dabei zeigen:

1 schematisch eine Prüfung einer Software eines Fahrzeugs auf eine Manipulation, und
2 schematisch eine Vorgehensweise bei einer festgestellten Manipulation einer Software eines Fahrzeugs.

Showing:

1 schematically an examination of a software of a vehicle on a manipulation, and
2 schematically a procedure in a detected manipulation of a software of a vehicle.

Einander entsprechende Teile sind in allen Figuren mit den gleichen Bezugszeichen versehen.Corresponding parts are provided in all figures with the same reference numerals.

Anhand der 1 und 2 wird im Folgenden ein Verfahren zum Schutz gegen eine Manipulation einer Software eines Fahrzeugs beschrieben. Insbesondere werden in diesem Verfahren manipulationssichere Prüfsummen 3 für mehrere Softwaremodule, die als Teil einer Steuergerätesoftware 8 eines Steuergeräts 2 des Fahrzeugs implementiert werden, gebildet und als Grundwert hinterlegt. Während einer Laufzeit des Steuergeräts 2 werden periodisch Prüfsummen für die verwendeten Softwaremodule gebildet und mit dem Grundwert verglichen. Dies wird beispielsweise mittels eines Systemkernprüfsummenwerkzeugs 14 und eines Scanners 15 durchgeführt. Ein Ergebnis der Prüfung wird verschlüsselt an ein Backend 7 gesendet, d. h. an eine fahrzeugexterne Einrichtung, beispielsweise an ein Rechenzentrum. Dies ist in 1 schematisch dargestellt.Based on 1 and 2 In the following, a method for protection against manipulation of software of a vehicle will be described. In particular, tamper-proof checksums are used in this method 3 for multiple software modules that are part of a controller software 8th a control unit 2 of the vehicle are implemented, formed and deposited as a basic value. During a runtime of the controller 2 Checksums for the software modules used are periodically formed and compared with the basic value. This is done, for example, by means of a kernel checksum tool 14 and a scanner 15 carried out. A result of the check is encrypted to a backend 7 sent, ie to a vehicle external device, such as a data center. This is in 1 shown schematically.

Das Backend 7 kann anschließend über einen Rückkanal eine Reaktion auf eine erkannte Manipulation veranlassen. Dies ist in 2 schematisch dargestellt.The backend 7 can then cause a response to a detected manipulation via a return channel. This is in 2 shown schematically.

Dadurch wird das Problem gelöst, IT-Sicherheitsvorfälle, d. h. Informationstechnologievorfälle, in Steuergeräten 2 von Fahrzeugen, die durch Schadsoftware verursacht werden, zu detektieren und über eine Datenfernübertragung 5, beispielsweise über eine Mobilfunkstrecke und/oder das Internet, an ein entferntes Rechenzentrum, auch als Backend 7 bezeichnet, melden zu können. Neben der Detektion solcher Vorfälle in einzelnen Fahrzeugen wird mit diesem Ansatz deren Aggregation an einer zentralen Stelle und damit eine Gesamtsicht auf einen Sicherheitszustand einer Fahrzeugflotte ermöglicht. Darüber hinaus wird ermöglicht, vom entfernten Rechenzentrum aus, d. h. vom Backend 7 aus, über die Datenfernübertragung 5, beispielsweise über die Mobilfunkstrecke, eine Reaktion, auch als Sanktionierung oder Sanktion bezeichnet, auf erkannte Sicherheitsvorfälle, d. h. auf erkannte Manipulationen, zu veranlassen, die in angegebenen Fahrzeugen ausgeführt wird.This solves the problem of IT security incidents, ie information technology incidents, in ECUs 2 of vehicles passing through Malware can be caused to detect and via a remote data transmission 5 For example, via a mobile network and / or the Internet, to a remote data center, as a backend 7 designated to report. In addition to the detection of such incidents in individual vehicles, this approach enables their aggregation at a central location and thus an overall view of a safety status of a vehicle fleet. In addition, it is possible to boot from the remote data center, ie from the backend 7 out, via the remote data transmission 5 , For example, via the mobile radio link, a reaction, also referred to as sanctioning or sanction, to cause detected security incidents, ie on detected tampering, which is performed in specified vehicles.

Die beschriebene Lösung bezieht sich insbesondere auf Steuergeräte 2 im Infotainmentbereich von Fahrzeugen, die durch zahlreiche, drahtlose und/oder drahtgebundene Schnittstellen, insbesondere der Kommunikationsinfrastruktur 6 des Steuergeräts 2, und einen umfangreichen Softwarestack aus Sicht der IT-Sicherheit über eine besonders große Angriffsfläche und Verwundbarkeit verfügen.The described solution relates in particular to control units 2 in the infotainment area of vehicles, through numerous, wireless and / or wired interfaces, in particular the communication infrastructure 6 of the control unit 2 , and have a large software stack from the point of view of IT security over a particularly large attack surface and vulnerability.

Durch die beschriebene Lösung werden insbesondere IT-Sicherheitsvorfälle, d. h. Manipulationen, erkannt, die sich durch eine Veränderung eines Programmcodes in einem Speicher des Steuergeräts 2 im Vergleich zu einem zuvor definierten Grundzustand auszeichnen. Dies betrifft eine besonders große Klasse von IT-Sicherheitsvorfällen, d. h. Manipulationen, und geht über von vielen anderen Ansätzen, zum Beispiel von bestimmten Virenscannern oder so genannten Intrusion Detection Systemen, erkannte Klassen hinaus. Insbesondere werden volatile Programmcodeveränderungen zur Laufzeit erfasst, ohne dass diese auf einem Massenspeicher persistiert werden müssten.The described solution particularly identifies IT security incidents, ie manipulations, which result from a change in a program code in a memory of the control device 2 in comparison to a previously defined ground state. This concerns a particularly large class of IT security incidents, ie manipulations, and goes beyond many other approaches, such as certain virus scanners or so-called intrusion detection systems, to recognized classes. In particular, volatile program code changes are detected at runtime without having to persist them on a mass storage device.

Die oben bereits grundsätzlich beschriebene Lösung besteht aus mehreren Softwaremodulen, die als Teil der Steuergerätesoftware 8 implementiert werden und dazu dienen, Applikationen 1 des Steuergeräts 2 zur Laufzeit periodisch gegen als Grundzustand vorab hinterlegte manipulationssichere Prüfsummen 3, so genannte Secure Hashes zu prüfen. Durch kryptographische Eigenschaften der Prüfsummen ist sichergestellt, dass jegliche Veränderung im Vergleich zum hinterlegten Grundzustand erkannt wird.The solution already described in principle above consists of several software modules that are part of the control unit software 8th be implemented and serve applications 1 of the control unit 2 periodically at runtime against tamper-proof checksums that are stored in advance as the basic state 3 to check so-called secure hashes. Cryptographic properties of the checksums ensure that any change compared to the stored ground state is detected.

Das Ergebnis der Prüfung wird vorteilhafterweise zu einem Report 4 in einem definierten Format zusammengefasst, der insbesondere mit einem im Steuergerät 2 hinterlegten Schlüssel signiert wird, um Manipulationen auf der Übertragungsstrecke der Datenfernübertragung 5 erkennen zu können. Der signierte Report 4 wird vorteilhafterweise mittels der Datenfernübertragung 5 über eine mobile Kommunikationsinfrastruktur 6 des Fahrzeuges als so genannter Uplink 16 an das Backend 7 geschickt, auf dem beispielsweise solche Reports 4 aus allen beteiligten Fahrzeugen bzw. Steuergeräten 2 ausgewertet werden können. Auf diese Weise wird es ermöglicht, Muster bezüglich des Sicherheitszustandes der Fahrzeugflotte zu identifizieren, wie zum Beispiel ein regional und zeitlich verteiltes Auftreten von Schadsoftware oder eine Häufung von IT-Sicherheitsvorfällen, d. h. Manipulationen, in bestimmten Applikationen 1 oder Fahrzeugtypen.The result of the test is advantageously a report 4 summarized in a defined format, in particular with one in the control unit 2 deposited key to manipulations on the transmission path of the remote data transmission 5 to be able to recognize. The signed report 4 is advantageously by means of remote data transmission 5 via a mobile communication infrastructure 6 of the vehicle as a so-called uplink 16 to the backend 7 sent on the example of such reports 4 from all participating vehicles or control units 2 can be evaluated. In this way, it is possible to identify patterns relating to the safety status of the vehicle fleet, such as a regionally and temporally distributed occurrence of malware or an accumulation of IT security incidents, ie manipulations, in certain applications 1 or vehicle types.

Das Backend 7 kann anschließend über einen Rückkanal, auch als Downlink 17 bezeichnet, eine Reaktion auf einen erkannten Sicherheitsvorfall, d. h. auf eine erkannte Manipulation, in definierten Fahrzeugen veranlassen, auch als Sanktion oder Sanktionierung bezeichnet. Analog zur Übertragung des Reports 4 wird ein entsprechendes Sanktionskommando 18 vorteilhafterweise in einem definierten Format kodiert und vor der Übertragung in das Fahrzeug insbesondere mit einem Schlüssel signiert. Die Signatur ermöglicht dem Steuergerät 2 die Prüfung der Authentizität des Sanktionskommandos 18.The backend 7 can then via a return channel, as a downlink 17 denotes a reaction to a detected security incident, ie to a detected manipulation, in defined vehicles cause, also referred to as sanction or sanctioning. Analogous to the transmission of the report 4 becomes a corresponding sanction command 18 advantageously encoded in a defined format and signed before transmission in the vehicle, in particular with a key. The signature allows the controller 2 the verification of the authenticity of the sanctions command 18 ,

Die technische Ausgestaltung des Downlink 17 ist vorteilhafterweise analog zum Uplink 16. Das Steuergerät 2 baut über die Kommunikationsinfrastruktur 6 des Fahrzeuges eine gesicherte Verbindung zum Backend 7 auf, prüft das Vorhandensein des Sanktionskommandos 18 und lädt das Sanktionskommando 18 gegebenenfalls, insbesondere wenn dieses vorhanden ist, herunter. Anschließend wird dessen Authentizität, insbesondere in einem gesicherten Bereich des Steuergeräts 2, geprüft und das Sanktionskommando 18 wird anschließend ausgeführt, beispielsweise mittels eines Sanktionswerkzeugs 19.The technical design of the downlink 17 is advantageously analogous to the uplink 16 , The control unit 2 builds on the communication infrastructure 6 the vehicle a secure connection to the backend 7 on, checks the presence of the sanction command 18 and invite the Sanction Command 18 if necessary, especially if it is present down. Subsequently, its authenticity, especially in a secure area of the controller 2 , checked and the Sanction Command 18 is then executed, for example by means of a sanctioning tool 19 ,

Ein Umfang der Sanktionskommandos 18 kann beispielsweise frei gestaltet werden und zum Beispiel eine Anzeige für einen Fahrer des Fahrzeugs, ein Sperren bestimmter Dienste und/oder eine Terminierung, d. h. insbesondere Beendigung, bestimmter Applikationen 1 veranlassen.A scope of sanctions commands 18 For example, it can be designed freely and, for example, a display for a driver of the vehicle, a blocking of certain services and / or a termination, ie in particular termination, of certain applications 1 cause.

Um eine Funktionsfähigkeit und Zuverlässigkeit des beschriebenen Ansatzes sicherzustellen, werden auf dem Steuergerät 2 insbesondere bestimmte Voraussetzungen erfüllt. Diese Voraussetzungen sind in bestimmten derzeit schon verwendeten Steuergeräten 2 bereits erfüllt und beinhalten insbesondere eine hardwaregesicherte Speichermöglichkeit für Schlüsselmaterial sowie eine hardwaregeschützte Ausführungsumgebung, auch als Trusted Execution Environment (TEE) bezeichnet, gekennzeichnet durch Bezugszeichen 9, und eine durch das Bezugszeichen 10 gekennzeichnete hardwareunterstützte Prüfung der Systemsoftware beim Startup, d. h. insbesondere bei einem Start des Steuergeräts 2, betreffend insbesondere einen Betriebssystemkern 11 und das Trusted Execution Environment (TEE). Dies wird auch als Secure Boot bezeichnet. Die Hardware 12 des Steuergeräts 2 weist hierfür einen unveränderbaren Secure Boot Key 13 auf. Eine weitere solche Voraussetzung ist ein Zugang zum Internet über ein Fahrzeugkommunikationsmodul (TCU).To ensure operability and reliability of the approach described, are on the control unit 2 in particular meets certain conditions. These requirements are in certain currently used control devices 2 already met and include in particular a hardware-secured storage option for key material and a hardware-protected execution environment, also referred to as Trusted Execution Environment (TEE), characterized by reference numerals 9 , and one by the reference numeral 10 featured Hardware-supported testing of the system software during startup, ie in particular when starting the control unit 2 , in particular concerning an operating system kernel 11 and the Trusted Execution Environment (TEE). This is also known as Secure Boot. The hardware 12 of the control unit 2 has an unchangeable Secure Boot Key 13 on. Another such requirement is access to the Internet via a vehicle communication module (TCU).

Mittels der beschriebenen Lösung wird es ermöglicht, IT-Sicherheitsvorfälle, d. h. Informationstechnologiesicherheitsvorfälle, in im Markt befindlichen, d. h. in einem normalen Nutzerbetrieb eingesetzten, Fahrzeugen frühzeitig zu erkennen, zu analysieren und darauf zu reagieren. Damit kann die Lösung dazu beitragen, Schaden vom Nutzer und vom Fahrzeughersteller abzuwenden, indem IT-Sicherheitsvorfälle in Fahrzeugen identifiziert und entsprechende Gegenmaßnahmen eingeleitet werden können, bevor sich das Problem auf weitere Fahrzeuge ausweitet.The described solution enables IT security incidents, i. H. Information technology security incidents, in the market, d. H. Used in a normal user operation, vehicles early to recognize, analyze and respond to. Thus, the solution can help avert harm to the user and the vehicle manufacturer by identifying IT security incidents in vehicles and taking appropriate countermeasures before the problem expands to other vehicles.

Durch die Möglichkeit, über einen direkten Rückkanal auf die Vorfälle reagieren zu können, wird eine Möglichkeit geschaffen, Sofortmaßnahmen zu ergreifen, welche deutlich schneller und kostengünstiger sind als beispielsweise ein Software-Update, d. h. eine Softwareaktualisierung, auch schneller als ein so genanntes Remote-Software-Update, welches über eine Datenfernübertragung 5 vorgenommen wird, und auch schneller als ein Werkstattaufenthalt.The ability to respond to the incidents via a direct return channel provides a way to take immediate action that is significantly faster and less expensive than, for example, a software update, ie a software update, even faster than a so-called remote software Update, which via a remote data transmission 5 and faster than a workshop visit.

BezugszeichenlisteLIST OF REFERENCE NUMBERS

11: Applikationapplication
22: Steuergerätcontrol unit
33: manipulationssichere Prüfsummetamper-proof checksum
44: Reportreport
55: DatenfernübertragungRemote data transmission
66: Kommunikationsinfrastrukturcommunications infrastructure
77: Backendbackend
88th: SteuergerätesoftwareECU software
99: hardwaregesicherte Speichermöglichkeit und hardwaregeschützte Ausführungsumgebunghardware-backed storage capability and hardware-protected execution environment
1010: hardwareunterstützte Prüfung der Systemsoftware beim Startuphardware-supported testing of the system software during startup
1111: BetriebssystemkernOperating system kernel
1212: Hardwarehardware
1313: Secure Boot KeySecure Boot Key
1414: SystemkernprüfsummenwerkzeugSystemkernprüfsummenwerkzeug
1515: Scannerscanner
1616: Uplinkuplink
1717: Downlinkdownlink
1818: Sanktionskommandosanctions command
1919: Sanktionswerkzeugsanctions tool

ZITATE ENTHALTEN IN DER BESCHREIBUNG QUOTES INCLUDE IN THE DESCRIPTION

Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.This list of the documents listed by the applicant has been generated automatically and is included solely for the better information of the reader. The list is not part of the German patent or utility model application. The DPMA assumes no liability for any errors or omissions.

Zitierte PatentliteraturCited patent literature

DE 10123169 A1 [0002]

Claims

Method for protection against manipulation of software of a vehicle, characterized in that tamper-proof checksums (3) for a plurality of software modules, which are implemented as part of a control unit software (8) of a control device (2) of the vehicle, are formed and stored as a basic value, wherein during a run time of the control device (2) checksums for the software modules used are periodically formed and compared with the base value, and wherein a result of the test is encrypted to a backend (7) is sent.

Method according to Claim 1 , characterized in that the backend (7) causes a reaction in a detected manipulation via a return channel.