Die vorliegende Erfindung betrifft ein Fahrzeuggerät für ein Straßenmautsystem, auch "Onboard-Unit" bzw. OBU genannt, mit einem Satellitennavigationsempfänger zur fortlaufenden Erzeugung von Ortsdaten für eine Verarbeitungs- und Sendeempfangseinheit des Fahrzeuggeräts und einem gesonderten Trusted-Element-Prozessor zur Protokollierung eines Zeitabschnitts der erzeugten Ortsdaten und zur kryptographischen Signierung desselben. Die Erfindung betrifft ferner ein ad-hoc-Netzwerk aus zumindest zwei solchen Fahrzeuggeräten sowie ein Verfahren zur Protokollierung von Ortsdaten eines ortsaufzeichnenden Fahrzeuggeräts eines Straßenmautsystems mit mehreren Fahrzeuggeräten, die drahtlos Ortsdaten austauschen können.
Zur Überwachung und Kontrolle der Funktionsfähigkeit von interoperablen Straßenmautsystemen, wie dem neuen European Electronic Toll Service (EETS) werden "Secure Monitoring"-Konzepte eingesetzt, die auf einer Protokollierung und abschnittsweisen Signierung ("Real-Time Freezing") der Ortsaufzeichnungen der Fahrzeuggeräte des Straßenmautsystems beruhen. Zur Signierung werden Trusted-Element-Prozessoren verwendet, die eine kryptographische Signatur ("Trusted Element Certificate") des Kontrolleurs, z.B. eines Straßenerhalters, einer Behörde usw. ("Certificate Issuer"), enthalten und daher dessen Vertrauen genießen. Details des Secure Monitoring- bzw. Secure Freezing-Konzepts sind beispielsweise in den Publikationen "Security aspects of the 1,11 EETS", Expert Group 12, Final report V1.0, 5. April 2007; "Electronic fee collection - Application interface definition for autonomous systems - Part 1: Changing", ISO Technical Specification 17575-1, 15. Juni 2010; und "An Example of a view on EETS trust and privacy in GNSS based toll systems", Vis J, Report Ministry of Transport, Public Works and Water Management of The Netherlands, 15. Dezember 2009, enthalten.
Bei den bekannten Systemen werden alle im Fahrzeuggerät anfallenden Ortsdaten protokolliert und fortlaufend abschnittsweise signiert ("freezed"); anschließend werden mit einem externen Kontrollgerät die signierten Zeitabschnitte zu Kontrollzwecken ausgelesen. Dies bedeutet einen hohen Datenanfall und erfordert einerseits einen entsprechend großen Speicherplatz für die Aufbewahrung der signierten Daten und andererseits gesonderte Kontrollgeräte zu deren Auslesung.
Die Erfindung setzt sich zum Ziel, die Nachteile des Standes der Technik zu überwinden und eine verbesserte Secure-Monitoring-Lösung für interoperable Straßenmautsysteme zu schaffen. Dieses Ziel wird in einem ersten Aspekt der Erfindung mit einem Fahrzeuggerät der einleitend genannten Art erreicht, das sich dadurch auszeichnet, dass der Trusted-Element-Prozessor dafür ausgebildet ist, die genannte Protokollierung bei Detektion einer vorgegebenen Zeit oder eines vorgegebenen Orts des Fahrzeuggeräts zu starten und für einen vorgegebenen Zeitabschnitt durchzuführen.
Auf diese Weise wird das Fahrzeuggerät selbst zu seiner eigenen Überwachung eingesetzt: Der in der genannten Weise programmierte Trusted-Element-Prozessor wirkt ähnlich einem Computer-Virus, das zu einer vorgegebenen Zeit oder an einem vorgegebenen Ort für eine begrenzte Zeit Ortsdaten im Fahrzeuggerät sammelt und für Kontrollzwecke bereitstellt. Die genannte Funktionalität des Trusted-Element-Prozessors "schläft" bis zu ihrem Einsatz und führt dann eine einzelne Abschnittsprotokollierung durch. Es erübrigt sich damit, sämtliche Ortsdaten fortlaufend zu protokollieren, zu signieren und aufzubewahren ("einzufrieren"), und es erübrigt sich auch ein gesondertes Kontrollgerät, um den Monitoring-Vorgang auszulösen.
Es versteht sich, dass der vorgegebene Ort, welcher detektiert wird, nicht notwendigerweise punktförmig sein muss, sondern auch ausgedehnt sein kann, z.B. ein Distrikt, eine bestimmte Straße usw. Gemäß einer ersten Variante der Erfindung detektiert der Trusted-Element-Prozessor den vorgegebenen Ort in den eigenen Ortsdaten seines Fahrzeuggeräts, was den Aufwand gering hält.
Eine besonders vorteilhafte Ausführungsform der Erfindung zeichnet sich dadurch aus, dass der Trusted-Element-Prozessor den vorgegebenen Ort in fremden Ortsdaten detektiert, die er über ein Drahtlosnetzwerk von benachbarten Fahrzeuggeräten empfängt. Dies stellt einen qualitativen Sprung in der Sicherheit der Überwachung dar: Die Ortsdaten anderer Fahrzeuggeräte sind unabhängig von allfälligen Manipulationen oder Fehlfunktionen des kontrollierten Fahrzeuggeräts; die Verwendung fremder Ortsdaten als Auslösekriterium für das Secure Freezing der eigenen Ortsdaten ermöglicht somit eine hochsichere Kontrolle der Funktionsfähigkeit eines Fahrzeuggeräts für den Kontrolleur bzw. Certificate Issuer. Die genannten benachbarten Fahrzeuggeräte brauchen nicht notwendigerweise von Fahrzeugen mitgeführt werden; sie können auch infrastrukturgestützt ortsfest sein.
Bevorzugt ist das Drahtlosnetzwerk ein ad-hoc-Netzwerk, insbesondere ein Vehicular-ad-hoc-Network (VANET), besonders bevorzugt nach dem WAVE- (wireless access in a vehicle environment) oder WLAN- (wireless local area network) Standard. Solche Netzwerke können spontan zwischen einer Gruppe benachbarter, sich in gegenseitiger Sendeempfangsreichweite befindlicher Fahrzeuggeräte ausgebildet werden.
Besonders günstig ist es, wenn der Trusted-Element-Prozessor die fremden Ortsdaten mehrerer benachbarter Fahrzeuggeräte empfängt und miteinander abgleicht, um in den abgeglichenen fremden Ortsdaten den vorgegebenen Ort zu detektieren.
Um Vertraulichkeitsanforderungen zu erfüllen, kann der Trusted-Element-Prozessor gemäß einem weiteren bevorzugten Merkmal die fremden Ortsdaten der benachbarten Fahrzeuggeräte anonym abfragen, z.B. unter einer zufällig gewählten (anonymen) Netzwerk-Absenderkennunq, einer - ohne Zusatzinformationen nicht weiter zuordenbaren - MAC-Adresse im ad-hoc-Netzwerk, usw.
Zur Erhöhung der Kontrollsicherheit kann der Trusted-Element-Prozessor die fremden Ortsdaten unter Austausch eines Schlüssels mit zeitlich und/oder örtlich begrenzter Gültigkeit abfragen und nur jene fremden Ortsdaten, die unter einem gültigen Schlüssel empfangen werden, berücksichtigen. Dadurch kann die Aktualität der als Auslösekriterium verwendeten Ortsdaten und/oder ihr Nachbarschaftsbereich verifiziert werden; in einem hochmobilen Umfeld wie einem VANET kann damit die Genauigkeit der Verortung des protokollierten Fahrzeuggeräts erhöht werden.
In einer weiteren Variante der Erfindung kann der Trusted-Element-Prozessor den signierten Zeitabschnitt mittels der Sendeempfangseinheit des Fahrzeuggeräts an eine Zentrale des Straßenmautsystems absenden. Alternativ kann der Trusted-Element-Prozessor den signierten Zeitabschnitt über eine Schnittstelle des Fahrzeuggeräts zur Abfrage bereitstellen.
In einem zweiten Aspekt schafft die Erfindung auch ein ad-hoc-Netzwerk aus zumindest zwei Fahrzeuggeräten von jener Art, bei der als Auslösekriterium für das Secure Freezing Daten benachbarter Fahrzeuggeräte verwendet werden, gemäß den Merkmalen des Anspruchs 10.
In einem dritten Aspekt schafft die Erfindung ein Verfahren zur Protokollierung von Ortsdaten eines ortsaufzeichnenden Fahrzeuggeräts eines Straßenmautsystems mit mehreren Fahrzeuggeräten, die drahtlos Ortsdaten austauschen können, umfassend, in einem ersten Fahrzeuggerät:
- Empfangen von Ortsdaten eines zweiten Fahrzeuggeräts,
- Detektieren eines vorgegebenen Orts in den empfangenen Ortsdaten des zweiten Fahrzeuggeräts,
- Starten der Protokollierung eines Zeitabschnitts der Ortsdaten des ersten Fahrzeuggeräts, und
- Signieren des protokollierten Zeitabschnitts mit einer kryptographischen Signatur.
Bevorzugt erfolgt das Detektieren, Protokollieren und Signieren in einem Trusted-Element-Prozessor des ersten Fahrzeuggeräts.
Wenn die Protokollierung der eigenen Ortsdaten zeitgesteuert ausgelöst wird, können die Ortsdaten der anderen Fahrzeuggeräte als zusätzliche Validierungsdaten verwendet werden, indem sie beim Secure Freezing der eigenen Ortsdaten "miteingefroren" werden. Demgemäß schafft die Erfindung in einer alternativen Ausführungsform auch ein Verfahren zur Protokollierung von Ortsdaten eines ortsaufzeichnenden Fahrzeuggeräts eines Straßenmautsystems mit mehreren Fahrzeuggeräten, die drahtlos Ortsdaten austauschen können, umfassend, in einem ersten Fahrzeuggerät:
- Detektieren einer vorgegebenen Zeit,
- Starten der Protokollierung eines Zeitabschnitts der Ortsdaten des ersten Fahrzeuggeräts und Empfangen von Ortsdaten eines zweiten Fahrzeuggeräts, und
- Signieren des protokollierten Zeitabschnitts und der empfangenen Ortsdaten mit einer kryptographischen Signatur.
Hinsichtlich der Vorteile des ad-hoc-Netzwerks und der Verfahren der Erfindung wird auf die obigen Ausführungen zum erfindungsgemäßen Fahrzeuggerät verwiesen.
Die Erfindung wird nachstehend anhand eines in den beigeschlossenen Zeichnungen dargestellten Ausführungsbeispiels näher erläutert. In den Zeichnungen zeigt
- Fig. 1 ein Straßenmautsystem mit Fahrzeuggeräten in einem erfindungsgemäßen ad-hoc-Netzwerk unter Verwendung des Verfahrens der Erfindung in Blockschaltbildform; und
- Fig. 2 eines der Fahrzeuggeräte von Fig. 1 in Blockschaltbildform im Detail.
Fig. 1 zeigt ein interoperables Straßenmautsystem 1, das sich aus einer Vielzahl von Fahrzeuggeräten (onboard units, OBUs, O1 - O6) 2, einer Mehrzahl verschiedener Mautbetreiberzentralen (Toll Charger, TC1, TC2) 3 und einer Mehrzahl verschiedener Verrechnungszentralen (Certificate Issuer, CI1 - CI3) 4 zusammensetzt. Die Fahrzeuggeräte 2 bestimmen mittels Satellitennavigationsempfängern 5 (Fig. 2) fortlaufend ihren Ort p in einem globalen Satellitennavigationssystem (global navigation satellite system, GNSS) 6 und erzeugen daraus einen fortlaufenden Strom (track) von Ortsdaten (position fixes) pi.
Mit Hilfe einer Verarbeitungs- und Sendeempfangseinheit 7, 8 (Fig. 2) sendet jedes Fahrzeuggerät 2 seine Ortsdaten pi entweder in "roher Form" oder - bevorzugt - verarbeitet zu Mautdaten m über eine Betreiberzentrale 3 an eine Verrechnungszentrale 4. Der Verarbeitungsteil 7 der Einheit 7, 8 ist beispielsweise ein Mikroprozessor, und die Sendeempfangseinheit 8 der Einheit 7, 8 ein DSRC- (dedicated short range communication), WAVE-, WLAN- oder bevorzugt PLMN- (public land mobile network) Sendeempfänger.
Die Mautdaten m sind bevorzugt akkumulierte und ortsanonymisierte Mauttransaktions-Datensätze, welche beispielsweise eine Anzahl gefahrener Kilometer, ein befahrenes Streckensegment eines Straßennetzes, die Aufenthaltszeit in einem Mautgebiet (z.B. Citymaut) usw. angeben. Zur Generierung der Mautdaten m aus den Ortsdaten pi können letztere beispielsweise mit vorgespeicherten Mautkarten abgeglichen werden ("map matching"). Zu diesem Zweck können sich die Fahrzeuggeräte 2 beispielsweise auch eines externen Kartenabgleichs-Servers (map matching proxy) 9 bedienen, an den map matching-Aufgaben unter anonymisierten Taskkennungen ausgelagert werden, um die Vertraulichkeit der Ortsdaten pi gegenüber den Betreiber- und Abrechnungszentralen 3, 4 zu wahren, wie dem Fachmann bekannt. Die Mautdaten m können vom proxy 9 auch direkt an die Betreiber- oder Verrechnungszentralen 3, 4 gesandt werden.
Zur Überwachung und Kontrolle der Funktionen der Fahrzeuggeräte 2 und auch Betreiberzentralen 3 wird gemäß Fig. 2 jedes Fahrzeuggerät 2 mit einem Trusted-Element-Prozessor 10 ausgestattet, der eine kryptographische Signatur (trusted key) tk enthält. Die Signatur tk wird z.B. von einem Contract Issuer CI, Inhaber einer der Verrechnungszentralen 4, ausgestellt und ist für diesen vertrauenswürdig. Unter einem "Trusted-Element-Prozessor" 10 wird in der vorliegenden Beschreibung ein mit einer kryptographischen Signatur ausgestattetes und kryptographisch - bevorzugt auf Hardwareniveau - zugangsgesichertes Prozessorelement verstanden. Prozessorelemente dieser Art erfüllen hohe Sicherheitsanforderungen, wie sie beispielsweise an die auf SIM-Karten, Kreditkarten, Bankkarten usw. integrierten Single-Chip-Prozessoren gestellt werden.
Der Trusted-Element-Prozessor 10 empfängt den Strom von Ortsdaten pi aus dem Satellitennavigationsempfänger 5 des Fahrzeuggeräts 2 direkt oder über den Verarbeitungsteil 7 und ist dafür ausgebildet bzw. programmiert, jederzeit auf spezifische Anforderungen bzw. Auslösung (Triggerung) über einen vorgegebenen Zeitabschnitt s, z.B. eine, fünf oder zehn Minuten lang, die Ortsdaten pi aufzuzeichnen. Der aufgezeichnete Zeitabschnitt s(pi) wird vom Trusted-Element-Prozessor 10 anschließend mit seiner kryptographischen Signatur tk signiert und damit "eingefroren".
Bei der Signierung oder auch unmittelbar davor kann eine Datenreduktion am Zeitabschnitt s vorgenommen werden, beispielsweise durch Bildung eines Hashwerts desselben. Unter einem Hashwert wird in der folgenden Beschreibung die Anwendung einer praktisch unumkehrbaren n:1-Abbildungsfunktion auf einen Eingangsdatensatz verstanden, d.h. einer Funktion, die nur (extrem) vieldeutig umkehrbar ist, so dass aus der Kenntnis des Hashwerts praktisch nicht mehr auf den Eingangsdatensatz geschlossen werden kann. Beispiele solcher Hashfunktionen sind die Quersummenfunktion, die Modulofunktion usw.
Der signierte protokollierte Zeitabschnitt, hier mit s*(pi,tk) bezeichnet, wird anschließend über die Sendeempfangseinheit 8 des Fahrzeuggeräts 2 an eine Betreiberzentrale 3 und von dieser an eine Verrechnungszentrale 4 gesandt. Die Verrechnungszentrale 4 kann anhand der Signatur tk des signierten Zeitabschnitts s* auf dessen authentischen Ursprung aus einem Trusted-Element-Prozessor 10 ihres Vertrauens schließen. Alternativ oder zusätzlich kann der signierte protokollierte Zeitabschnitt s* auf einer Schnittstelle 11 des Fahrzeuggeräts 2 zur Abfrage bereitgestellt werden.
Das Starten des Zeitabschnitts s der Protokollierung der Ortsdaten pi im Trusted-Element-Prozessor 10 kann auf verschiedene Arten ausgelöst werden. Eine erste Ausführungsform besteht darin, dass das Fahrzeuggerät 2 einen Zeitgeber 12 enthält, in der Art eines "Watchdog", welcher zu einem vorgegebenen Zeitpunkt T die genannte Protokollierung auslöst, d.h. den Trusted-Element-Prozessor 10 zu der genannten Funktionalität "aufweckt", wenn die aktuelle Zeit t = T ist.
Ein zweites Startkriterium besteht darin, dass der Trusted-Element-Prozessor 10 das Auftreten eines vorgegebenen Orts P in den Ortsdaten pi detektiert. Bei dem vorgegebenen Ort P kann es sich um einen punktuellen Ort handeln, z.B. um eine "virtuelle Mautstation", oder um einen ausgedehnten Ort wie einen Parkplatz, eine Innenstadt, ein Autobahnteilstück usw. Sobald der Trusted-Element-Prozessor 10 den Ort P in den Ortsdaten pi detektiert, d.h. feststellt, dass eine Position p in den Ortsdaten pi in den Grenzen oder in die Nähe des vorgegebenen Orts P gelangt, startet die Protokollierung über den genannten vorgegebenen Zeitabschnitts, z.B. über zehn Minuten. Nach Abschluss der Protokollierung liegt der signierte protokollierte Zeitabschnitt s* der Ortsdaten pi zur Versendung und Abfrage vor.
Ein weiteres, besondere Sicherheit bietendes Startkriterium besteht darin, dass der Trusted-Element-Prozessor 10 das Auftreten des vorgegebenen Orts P nicht in den eigenen Ortsdaten pi des eigenen Fahrzeuggeräts 2, sondern in "fremden" Ortsdaten pi' detektiert, welche ihm von anderen ("fremden") benachbarten Fahrzeuggeräten 2 mitgeteilt werden. Dies wird nun im Einzelnen erläutert.
Wie in den Fig. 1 und 2 dargestellt, können eine Gruppe von Fahrzeuggeräten 2 des Straßenmautsystems 1 ein Drahtlosnetzwerk 13 bilden, indem sie untereinander über Drahtlosverbindungen 14 in Verbindung stehen. Die Drahtlosverbindungen 14 können beispielsweise nach dem WAVE- oder WLAN-Standard aufgebaut sein und das Drahtlosnetzwerk 13 ist bevorzugt ein ad-hoc-Netzwerk oder VANET. Zu diesem Zweck verfügt jedes Fahrzeuggerät 2 über einen geeigneten Drahtlos-Sendeempfänger 15. Optional können der Drahtlos-Sendeempfänger 15 und die Sendeempfangseinheit 8 des Fahrzeuggeräts 2 ident sein.
Innerhalb des Drahtlosnetzwerks 13 können Fahrzeuggeräte 2 sich gegenseitig über ihren jeweiligen aktuellen Ort p informieren oder z. B. fortlaufend ihre Ortsdaten pi austauschen. Ein Beispiel hiefür ist der Austausch von VST-Nachrichten (Vehicle Service Table Messages) im Rahmen eines VANETs, bei dem sich die einzelnen Netzknoten (Fahrzeuggeräte 2) bei Aufbau einer Drahtlosverbindung 14 über ihre Kommunikationsfähigkeiten und die von ihnen angebotenen Dienste gegenseitig informieren und einander ihre Orte p oder ihre Ortsdaten pi der letzten Zeit mitteilen.
Alternativ kann ein Trusted-Element-Prozessor 10 eines Fahrzeuggeräts 2 auch von sich aus jederzeit Positionen p bzw. Ortsdaten pi' benachbarter Fahrzeuggeräte 2 abfragen. Auch können die in einem Fahrzeuggerät 2 empfangenen Ortsdaten pi' mehrerer benachbarter Fahrzeuggeräte 2 miteinander abgeglichen werden, z.B. auf Konsistenz, um Ausreißer-Messwerte auszublenden oder um die empfangenen Ortsdaten pi' zu mitteln.
Beim Abfragen bzw. Empfangen der fremden Ortsdaten pi' der benachbarten Fahrzeuggeräte 2 können Abfrage- bzw. Sendeschlüssel mit zeitlich und/oder örtlich begrenzter Gültigkeit verwendet werden, so dass nur jene fremde Ortsdaten pi', welche innerhalb eines vorgegebenen Zeitbereichs empfangen werden oder aus einem vorgegebenen Ortsbereich rund um das Fahrzeuggerät 2 stammen, Berücksichtigung finden.
Der Trusted-Element-Prozessor 10 ist nun dafür ausgebildet bzw. programmiert, dass er das Auftreten des vorgegebenen Orts P in den fremden Ortsdaten pi' der benachbarten Fahrzeuggeräte 2 detektiert und dies als Auslösekriterium für das Starten der Protokollierung der Ortsaufzeichnungen pi seines eigenen Fahrzeuggeräts 2 verwendet. Dadurch bleiben allfällige Manipulationen, Korrumptionen bzw. Störungen der eigenen Ortsdaten pi bei der Auslösung der Protokollierung des Ortsdatenabschnitts s bzw. s* unberücksichtigt, was das Aufdecken eines Fehlverhaltens erleichtert: Stimmen die im eingefrorenen Zeitabschnitt s* enthaltenen Ortsaufzeichnungen pi nicht (annähernd) mit jenem vorgegebenen Ort P überein, der in den fremden Ortsdaten pi' detektiert wurde, liegt eine Manipulation oder eine Fehlfunktion des Fahrzeuggeräts 2 vor.
Auch ist es möglich, die genannten Ausführungsformen zu kombinieren: So kann der Zeitgeber 12 den Trusted-Element-Prozessor 10 dazu veranlassen, zu einem bestimmten Zeitpunkt t die Ortsdaten pi' benachbarter Fahrzeuggeräte 2 abzufragen und sie gemeinsam mit dem Zeitabschnitt s der eigenen Ortsdaten pi aufzuzeichnen und zu signieren, d.h. s*(pi,tk,pi'), so dass eine Berücksichtigung der Nachbarorte pi' bei der Überprüfung der eigenen Ortsaufzeichnungen pi erfolgen kann.
Die benachbarten Fahrzeuggeräte 2, deren Ortsdaten pi' verwendet werden, können unter Umständen auch ortsfest sein, z.B. nicht von einem Fahrzeug mitgeführt, sondern in einer ortsfesten Infrastruktur stationiert. In diesem Fall brauchen sie ihre Ortsdaten pi' nicht fortlaufend neu bestimmen, sondern können diese einmal bestimmen oder vorgegeben eingespeichert enthalten. Auch solche "infrastrukturgebundene" Fahrzeuggeräte 2 fallen unter den hier verwendeten Begriff der benachbarten Fahrzeuggeräte 2.
Die vorgegebene Zeit T, der vorgegebene Ort P und/oder die Länge des Zeitabschnitts können bei der Fertigung des Fahrzeuggeräts 2 oder des Trusted-Element-Prozessors 10 in dieses bzw. diesen eingespeichert oder später über die Schnittstelle 11, die Sendeempfangseinheit 8 oder den Sendeempfänger 15 eingegeben werden.
Die Erfindung ist demgemäß nicht auf die dargestellten Ausführungsformen beschränkt, sondern umfasst alle Varianten und Modifikationen, die in den Rahmen der angeschlossenen Ansprüche fallen.