Authentifizieren und Vertrauen schaffen Seminararbeit
Werbung
Institut für Programmstrukturen und Datenorganisation (IPD) Institut für Telematik (ITM) Institut für Wirtschaftstheorie und Operations Research (WIOR) Institut für Wirtschaftspolitik und Wirtschaftsforschung (IWW) Zentrum für Angewandte Rechtswissenschaften (ZAR) Interdisziplinäres Seminar Ausgewählte technische, rechtliche und ökonomische Aspekte des Entwurfs von Fahrerassistenzsystemen Authentifizieren und Vertrauen schaffen Seminararbeit von Liang Chen Sommersemester 2007 Betreuender Mitarbeiter: Dipl.-Inform.Wirt Christoph Sorge 1 Einleitung Vehicular Ad Hoc Networks (VANETs) können als Untergruppe der Mobile Ad Hoc Networks (MANETs) verstanden werden, mit verschiedenen Fahrzeugen, wie z.B. PKWs, LKWs oder Bussen, als Knoten im Netz. Heutzutage spielt die Kommunikation zwischen Fahrzeugen eine immer wichtigere Rolle, weil sie viel dazu beiträgt, den Straßenverkehr sicherer, effizienter und auch komfortabler zu gestalten. Der Austausch von Daten und Informationen zwischen Fahrzeugen hilft Fahrern, verschiedene gefährliche Straßensituationen, wie z.B. Staus, Unfälle oder Glatteis, frühzeitig zu erkennen, sodass darauf reagiert werden kann. Ein Fahrzeugnetz (VANET) lässt verschiedene Fahrzeuge im Netz miteinander kommunizieren. Sie können Daten austauschen, wie z.B. Strasseninformation oder Nachrichten. Die führt zu einem neuen Problemfeld, nämlich der Sicherheit der Kommunikation. Wie kann man - den Kommunikationspartner authentifizieren? - untereinander Vertrauen schaffen? - die Richtigkeit der empfangenen Nachrichten sichern? - einen Angreifer identifizieren? - sich selbst vor den laufenden Angriffen schützen? Diese Problematik wird in der vorliegenden Arbeit erörtert. In Abschnitt 2 wird zunächst betrachtet, aus welchen Komponenten ein VANET besteht und wie es funktioniert. Abschnitt 3 beschäftigt sich mit dem Authentifizierungsproblem im VANET und stellt einen geeigneten Lösungsansatz – die Verwendung einer Public Key Infrastructure (PKI). Besser mit PKI zusammen zu benutzen ist das Reputationssystem, um Vertrauen untereinander zu schaffen. Dies wird im Abschnitt 4 vorgestellt. Schließlich ist noch zu beachten, dass in verschiedenen Situationen Zertifikate von Schlüsseln ungültig werden können, sodass solche ungültigen Zertifikate zurückgezogen werden müssen. Dazu sind schon einige Protokolle entwickelt und eingesetzt worden, die man im Abschnitt 5 ansehen kann. 2 2 VANET “A mobile ad hoc network (MANET) is an autonomous system of mobile routers (and associated hosts) connected by wireless links – the union of which form an arbitrary graph. The routers are free to move randomly and organize themselves arbitrarily; thus, the network’s wireless topology may change rapidly and unpredictably. Such a network may operate in a standalone fashion, or may be connected to the larger Internet.” [Int02] Wie in Abschnitt 1 gesagt, ist ein Fahrzeugnetz (VANET) ein spezielles MANET. Aus diesem Grund ist die oben genannte Definition eines MANETs auch für den Begriff VANET geeignet. Jedoch noch zu beachten: Es bedeutet aber nicht unbedingt, dass ein Fahrzeugnetz nur aus Fahrzeugen besteht, sondern außer diesen mobilen Knoten (Fahrzeugen) gehören noch die stationären Knoten dazu, nämlich die Basisstationen. Das ist ein typisches Fahrzeugnetz. (siehe Abbildung 1) Alle Knoten kommunizieren miteinander über ein drahtloses Medium. Sowohl zwischen den Fahrzeugen als auch zwischen den Fahrzeugen und den Basisstationen werden die Unfallinformationen ausgetauscht, sodass die anderen Fahrer frühzeitig die Straßensituation erfahren und darauf reagieren können. Abbildung 1: Ein VANET (Fahrzeuge + Basisstationen) [RH06a] 3 Wie in Abbildung 1 gezeigt wird, können alle Fahrzeuge in einem Fahrzeugnetz beispielsweise Straßeninformationen austauschen oder Touristinformationen herunterladen, sodass Staus und Unfälle verhindert werden können und man viel Zeit und Geld sparen kann. In einem Satz, mit Hilfe der Fahrzeugnetze wird der Straßenverkehr immer sicherer und effizienter. Obwohl ein paar kryptografische Matrialien (wie z.B. Schlüssel, Zertifikat usw.) schon weit eingesetzt werden, ist Sicherheit im Fahrzeugnetz immer ein großes Problem auf folgenden Gründen: - das Netz ist drahtlos - die mobilen Knoten im Netz, nämlich die Fahrzeuge bewegen sich normalerweise in hoher Geschwindigkeit - unter allen Knoten im Netz werden Daten ausgetauscht und Informationen mitgeteilt Außerdem ist es immer wichtig, Sender der Nachrichten zu authentifizieren, um Angriffe mit bösartigen Nachrichten zu verhindern. 4 3 Authentifizierung Wie schon gesagt, im Fahrzeugnetz ist Sicherheit ein besonders großes Problem. Abbildung 2 gibt uns einen Überblick der Sicherheitsarchitektur eines Fahrzeugnetzes, und darin sieht man einige wichtige Komponenten, Event data recorder, Tamper-proof device und Certificate Authority, die gleich erklärt werden. Abbildung 2: Ueberblick der Sicherheitsarchitektur [RH06a] EDR & TPD In jedem Fahrzeug gibt es zwei sehr wichtige Komponenten. Die erste ist Event data recorder (EDR). EDR sorgt dafür, kritische Daten eines Fahrzeugs zu speichern, wie z.B. Zeit, Position, Richtung, Geschwindigkeit, Beschleunigung usw. In den Notfällen funktioniert es ganz ähnlich wie ein „black box“ im Flugzeug. [RH06a] 5 Die zweite Komponente heißt Tamper-proof device (TPD). TPD ist für normale Fahrer isoliert, weil kryptographische Materialien in TPD gespeichert und geschützt werden. Das folgendes wird in TPD jedes Fahrzeugs gespeichert: - eine einzigartige und zertifizierte Identität: Eletronic License Plate (ELP), die von der Regierung oder alternativ eine Electronic Chassis Number (ECN), die vom Hersteller des Fahrzeugs ausgegeben wird. Damit ist sehr leicht, ein Fahrzeug zu identifizieren. - eine Reihe von anonymen öffentlichen/privaten Schlüsselpaaren, die von einer sogenannten Zertifizierungsinstanz (Certificate Authority, kann sowohl Regierung als auch Hersteller sein, siehe unteren Abschnitt „CA“) zertifiziert werden. [RH05a] Außerdem übernimmt TPD noch die kryptographischen Operationen, insbesondere sichere Nachrichten zu signieren bzw. Sicherheit empfangener Nachrichten zu verifizieren. [RH05a] Da TPD unabhängig von der außen Umgebung sein muss, hat es seine eigene Uhr und Batterie, damit es im Notfall auch im Arbeitszustand bleiben kann. [RH05a] CA Certificate Authority (CA), auf Deutsch Zertifizierungsinstanz. Von eier Zertifizierungsinstanz werden alle Zertifikate von Schlüsseln ausgegeben. Außerdem muss bei der Zertifizierungsinstanz folgendes gemacht werden: - Bevor der Sender ein Schlüssel verwendet, muss er diesen Schlüssel zertifizieren lassen. - Nachdem ein Knoten zum ersten Mal von einem Sender eine Nachricht empfangen hat, muss er vor allem den drin verwendeten Schlüssel verifizieren lassen. Da alle Funktionen einer Zertifizierungsinstanz engen Zusammenhang mit den Schlüsseln (Key) von Fahrzeugen haben, wird die Zertifizierungsinstanz eine typische Komponente einer Public Key Infrastruktur (PKI) gesehen. Verwendung einer PKI Es scheint ein wichtiger Punkt in einem Fahrzeugnetz, nämlich Sender der Nachrichten zu authentifizieren. Dazu verwendet man die sogenannte Public Key Infrastruktur (PKI). Jeder Knoten (Fahrzeug) besitzt mindestens ein öffentliches/privates Schlüsselpaar, nämlich einen privaten Schlüssel (private key) und einen zugehörigen öffentlichen Schlüssel (public key), der mit Hilfe der PKI in einem Zertifikat einer Identität zugeordnet wird. Mit einem einfachen Beispiel kann man die Verwendung einer PKI besser verstehen: Befor ein Knoten V eine sichere Nachricht M sendet, signiert er sie mit seinem privaten Schlüssel und dem zugehörigen Zertifikat . 6 Hier steht „*“ für alle Empfänger der Nachricht und „T“ für die Zeitstempel. [RH05a] Wenn irgendein Knoten diesen Nachricht empfängt, muss der Empfänger zuerst mit Hilfe des Zertifikats den öffentlichen Schlüssel des Senders verifizieren, und dann mit Hilfe dieses öffentlichen Schlüssels die Authentifizierung (Signatur) des Senders verifizieren. Wenn alles richtig gelaufen ist, wird M erst als eine authentische Nachricht angenommen. 7 4 Vertrauen und Reputation Im Abschnitt 3 wird gezeigt, wie den Sender der Nachrichten zu authentifizieren. Aber bei der Verwendung einer PKI existiert das folgende Problem: Obwohl die Identität eines Senders schon authentifiziert worden ist, kann der Empfänger immer noch nicht feststellen, ob die von diesem Sender gesendeten Nachrichten vertraubar sind. D.h. die Verwendung einer PKI kümmert sich nicht um die Qualität der Nachrichten, die in den Kommunikationen zwischen Fahrzeugen aber nicht eine unwichtigere Rolle spielt, typischerweise beim Empfang einer Nachricht über kritische Straßeninformationen, wie z.B. Staus oder Unfälle. Dabei muss sich ein Knoten zwischen den vertraubaren und nicht vertraubaren Knoten unterscheiden. Um Vertrauen (Trust) zu schaffen, wird das Reputationssystem verwendet. „Trust – a peer’s belief in another peer’s capabilities, honesty and reliability based on its own direct experiences; Reputation – a peer’s belief in another peer’s capabilities, honesty and reliability based on recommendations received from other peers. “ Ein Reputationssystem kann sowohl zentral als auch dezentral sein. Unter einem zentralen Reputationssystem versteht man, dass die Reputation der Knoten von einem zentralen vertrauenswürdigen „dritte Partei“ berechnet bzw. gespeicht wird. Für ein Ad-Hoc (dezentral) Netz wie das Fahrzeugnetz ist es nicht gut geeignet. Als bessere Möglichkeit steht das dezentrales Reputationssystem: Die Reputation wird dezentral und unabhängig von jeden Knoten selbst berechnet. Jedesmal nach einem Kommunikationsvorgang wird sich die beiden Kommunikationspartner gegenseitig bewerten, anhand solcher Reputationsdaten kann ein Knoten nachher bei einer neuen Kommunikation die Vertraubarkeit seines Partners erfahren, und damit betrogene Nachrichten rechtzeitig entdecken. 8 5 Zurückziehen von Zertifikaten Jedes ausgegebene Zertifikat wird in einem bestimmten Zeitraum gelten. Aber in ihrer Lebensdauer können nicht vorhersehbare Situationen auftreten [RH06] : - Schlüssel sind gebrochen worden. - CA entdeckt fehlerhafte Zertifikate, die aber schon ausgegeben werden. - Von einem Knoten werden immer bösartige Nachrichten gesendet. (d.h. Angreifer möglich) - Das Registrierungsdomain muss regelmässig geändert werden. Bei solchen Situationen müssen die zugehörigen Zertifikate zurückgezogen werden. Dazu werden schon einige Protokolle entwickelt und eingesetzt. CRL Am einfachsten ist es, CRL (Certificate Revocation Lists) zu verwenden. In solchen Widerrufslisten sind alle zurückzuziehenden Zertifikate enthalten. Üblicherweise können gleichzeitig noch die kurzlebendigen Zertifikate verwendet werden, die automatisch Schlüssel zurückziehen. CRL ist einfach und wird auch sehr weit benutzt. Aber wegen der großen Anzahl der Automobile und ihrer hohen Mobilität können diese Widerrufslisten in kurzer Zeit sehr lange werden. Deswegen ist es für das Fahrzeugnetz nicht ganz geeignet. Glücklicherweise existieren noch andere bessere Lösungen. RCCRL RCCRL (Revocation using Compressed Certificate Revocation Lists) ist eine Variante von CRL. Die beiden funktionieren ganz ähnlich. Der Unterschied liegt nur darin, dass bei RCCRL die Widerrufslisten (wie bei CRL) zuerst komprimiert werden und erst dann ins ganze Netz übertragen werden können, wie in der Abbildung 3 gezeigt wird. 9 Abbildung 3 : RCCRL [RH06a] Um Widerrufslisten zu komprimieren, wird das sogenannte Bloom filter (eine Möglichkeitsdatenstruktur) benutzt, damit zu überprüfen, ob ein element zu einer Menge gehört. Ein Bloom filter (Abbildung 4) besteht aus eine Reihe von m Bits, die alle am Anfang als „0“ gesetzt werden (Vektor). [B70] Jeder Element hat seine eigene k-Hash-Funktion, die die entsprechenden Bits „1“ setzt. [RH06b] Abbildung 4 : Bloom filter [RH06a] 10 Bei der Überprüfung muss ein Teilnehmer nur die gehashten Bits zu vergleichen. Wenn mindestens ein Bit „0“ ist, das eigentlich aber „1“ sein soll, dann bedeutet das, dass dieses Element nicht in Bloom filter enthalten ist. Durch ein ganz simples Beispiel wird es noch mal erklärt. (Abbildung 5) Wir haben jetzt ein Bloom filter mit 18 Bits und die Hash-Funktion für jedes Element N. Element 1, 4 und 6 enthält das Bloom filter, d.h. für Element 1 werden die gehashten k*1 Bits, nämlich Bit 1,2 und 3 von „0“ als „1“ gesetzt. Für Element 4 und 6 ist analog. Bit 12 wird zwei Mal gesetzt und bleibt als „1“. Jetzt wenn ein Element überprüfen möchte, ob es selbst im Bloom filter enthalten ist, braucht nur die gehashten Bits verglichen zu werden. Bei Element 1, 4 und 6 ist es kein Thema. Bei Element 3 werden dadurch Bit 3, 6 und 9 verglichen, und es entdeckt, dass Bit 9 ist unverändert, also immer „0“ bleibt, dann kann Element 3 schon feststellen, dass es nicht drin ist. Bei Element 2 sieht aber anders aus: alle gehashten Bits sind „1“, aber alle wurden für andere Elemente gesetzt. Obwohl der Bloom filter eigentlich Element 2 nicht enthält, glaubt Element 2, dass selbst im Bloom filter enthalten ist. Das führt zu „overkill“. Aber wie gesagt, dieses Beispiel ist ganz simple. In der realität werden längere Bloom filter und viel komplizierte Hash-Funktionen verwendet. Solche „false positives“ wie Element 2 im Beispiel kann man nicht mit Sicherheit vermeiden, aber wegen der ganz Minderheit solcher Fälle ist dies aus Sicherheitssicht akzeptable. Abbildung 5 : Beispiel für Bloom filter RTPD Es kann solche besondere Situation geben, dass alle Schlüssel eines Fahrzeugs zurückgezogen werden müssen. (z.B. das Fahrzeug wird schon als Angreifer identifiziert.) Hier ist nicht noetig, RCCRL zu benutzen. Die Protokolle namens RTPD (Revocation of the Tamper-Proof Device) ist viel einfacher und effizienter. (Abbildung 6 ) Das CA erzeugt eine Nachricht für das TPD des Fahrzeugs (M), in dieser Nachricht ist M’s einzigartige Identität Electronic License Plate (ELP) enthalten. Dann wird die Nachricht dem 11 Fahrzeug auf drei unterschiedlichen Weisen gesendet, je nach dem, ob CA die genaue Positionsinformation des Fahrzeugs hat. [RH06b] - CA weiss M’s Position: die Nachricht wird sofort zu M routen. - CA weiss M’s Position nicht: ein sogenanntes „paging area“ wird definiert. „Paging area“ ist ein von mehreren Basisstationen bedeckter Bereich, wo M sich bewegt. CA sendet die Nachricht allen diesen Basisstationen, und die Basisstation, die am nächsten zu M liegt, sendet M die Nachricht weiter. - Die beiden oben genannten scheitet: CA nimmt ein anderes Medium, wie z.B. das Radio, die Nachricht weiter zu übertragen. Sobald M’s TPD die Nachricht empfängt, löscht es sofort alle Schlüssel und hört damit auf, weitere Nachricht zu signieren. Am Ende sendet es eine Acknowledgment-Nachricht zum CA zurück. Schliesslich erzeugt CA noch eine komprimierte Widerrufsliste mit allen Schlüsseln von M wie bei RCCRL, und versendet die im gesamten Netz, um andere Fahrzeuge zu warnen, falls M seinen Angriff vor Empfangen der „TPD-killer“-Nachricht fortführt. Abbildung 6 : RTPD [RH06a] 12 DRP Sowohl RCCRL als auch RTPD müssen von CA initiiert werden, aber was passiert wenn (1) ein Angreifer nicht rechtzeitig von CA entdeckt wird oder (2) CA in einem kurzen Zeitraum nicht erreichbar ist (d.h. die CCRL oder TPD-killer-Nachrichten nicht rechtzeitig zu den Zielknoten ankommen) ? [RH06b] Mit DRP (Distributed Revocation Protocol) können solche Probleme gut gelöst werden. Unter DRP versteht man, dass auf einer reinen ad-hoc Ebene die Nachbarn eines Angreifers ihn entdecken, identifizieren und „vorübergehend“ zurückziehen. (Weil nur CA in der Lage ist, Schlüssel zurückzuziehen.) Hierfür ist besonders wichtig, Informationen zusammen zu teilen. Das profitiert, wenn jeder Knoten immen die neuesten Informationen bekommen kann. [RH06b] Abbildung 7 : DRP [RH06a] Abbildung 7 gibt ein einfaches Beispiel dazu: Fahrzeuge A, B, oder/und C sammeln „Anklagen“ gegen M und tauschen Informationen miteinander aus. Sobald genügend viele Anklagen-Nachrichten gegen M eingesammelt werden (z.B. ein Schwellenwert ueberschreiten), wird statt der Anklagen-Nachricht eine Warnungsnachricht versendet. Jeder Knoten, der eine solche Warnungsnachricht empfängt, kommuniziert nicht mit M mehr. Wenn irgendein Knoten (z.B. A) wieder mit CA kommunizieren kann, werden CA alle Informationen von M berichtet. Schlißlich übernimmt CA die reste Arbeit, z.B. verwendet eine Protokoll wie RCCRL oder RTPD weiter, wie wir vorher schon gesehen haben. [RH06b] 13 Fazit In diesem Papier haben wir erklaert, was ein Fahrzeugnetz (VANET) ist, wie es funktioniert, und warum die Kommunikation zwischen den Teilnehmern im Fahrzeugnetz sicher sein muss. Um dieses Ziel zu erreichen, haben wir auch ein paar Methoden diskutiert, beispielsweise Verwendung einer PKI sowie des Reputationssystems und verschiedene Protokolle, die dazu dienen, ungültige Zertifikate zurückzuziehen, und wie Knoten im Netz untereinander authentifizieren, Vertrauen schaffen, um sowohl die Informationsaustausch möglichst sicher zu garantieren als auch Knoten im Netz selbst vor den Angriffen zu schützen. 14 Literaturverzeichnis [B70] BURTON H. B.: Space/time trade-offs in hash coding with allowable errors. Commun. ACM, 13(7): 422-426, 1970, Seite 422-426 [Int02] INTERNET ENGINEERING TASK FORCE: Proceedings of the 53. Internet Engineering Task Force. http://www3.ietf.org/proceedings/02mar. Version: 2002 [RH05a] RAYA, M. ; HUBAUX, J. P.: The Security of Vehicular Ad Hoc Networks. In: Proceedings of SASN‘05, 2005, Seite 11-21 [RH05b] RAYA, M. ; HUBAUX, J. P.: The Security of Vehicular Networks. In: EPFL Technical Report IC/2005/009, 2005, Seite 31-32 [RH06a] RAYA, M. ; HUBAUX, J. P.; PAPADIMITRATOS P.: Securing Vehicular Communications. In: IEEE Wireless Communications Magazine, Special Issue on Inter-Vehicular Communicaions, 2006, Seite 8-15 [RH06b] RAYA, M. ; HUBAUX, J. P. ; JUNGELS, D.; AAD, I. : Certification revocation in vehicular ad hoc networks, Technischer Bericht, EPFL, Lausanne 2006 [YJ03] 15 YAO, W. ; JULITA, V.:Trust and Reputation Model in Peer-to-Peer Networks, Peer-to-Peer Computing, 2003 (P2P 2003). Proceedings. Third International, Seite 150-157
