(57)【要約】【課題】第１の通信パートナと第２の通信パートナとの間の第１の通信コネクションを管理するための方法が提供される。【解決手段】本方法は、第１の通信パートナによって第１のメッセージを受信することを含んでいる。ここでは第１のメッセージが、第１の通信コネクションを切断させる命令を含んでいる。さらに、本方法は、第１の通信パートナによって、第２の通信パートナに、第１の通信パートナと第２の通信パートナとの間の異なる第２の通信コネクションを介して、第２のメッセージを送信することを含んでいる。ここでは第２のメッセージが、命令の有効性を確認させる要求を含んでいる。さらに、本方法は、第１の通信パートナが第２の通信コネクションを介して、命令の有効性の確認を含んでいる第３のメッセージを受信した場合に、第１の通信パートナによって第１の通信コネクションを切断することを含んでいる。【選択図】図２
2018101973.tif 000002
【特許請求の範囲】
【請求項１】
第１の通信パートナと第２の通信パートナとの間の第１の通信コネクションを管理するための方法（２００）において、
前記第１の通信パートナによって、前記第１の通信コネクションを切断させる命令を含んでいる第１のメッセージを受信すること（２０２）、
前記第１の通信パートナによって、前記第２の通信パートナに、前記第１の通信パートナと前記第２の通信パートナとの間の異なる第２の通信コネクションを介して、前記命令の有効性を確認させる要求を含んでいる第２のメッセージを送信すること（２０４）、
前記第１の通信パートナが前記第２の通信コネクションを介して、前記命令の前記有効性の確認を含んでいる第３のメッセージを受信した場合には、前記第１の通信パートナによって、前記第１の通信コネクションを切断すること（２０６ａ）、
を含んでいる、方法（２００）。
【請求項２】
さらに、
前記第１の通信パートナが前記第２の通信コネクションを介して、前記命令の前記有効性の否認を含んでいる第４のメッセージを受信した場合には、前記第１の通信パートナによって、前記第１の通信コネクションを維持すること（２０６ｂ）、
を含んでいる、請求項１記載の方法。
【請求項３】
前記第２のメッセージの受信後に、さらに、
前記命令が前記第２の通信パートナによって送信されていたか否かを、前記第２の通信パートナによって検査すること、
前記命令が前記第２の通信パートナによって送信されていた場合には、前記第１の通信パートナに前記第２の通信コネクションを介して前記第３のメッセージを送信すること、または
前記命令が前記第２の通信パートナによって送信されていなかった場合には、前記第１の通信パートナに前記第２の通信コネクションを介して前記第４のメッセージを送信すること、
を含んでいる、請求項２記載の方法。
【請求項４】
さらに、
前記命令が前記第２の通信パートナによって送信されていなかった場合には、前記第１のメッセージを記録すること、
を含んでいる、請求項２または３記載の方法。
【請求項５】
前記第１の通信コネクションは、前記第１の通信パートナと前記第２の通信パートナとの間の無線式のコネクションである、
請求項１から４までのいずれか１項記載の方法。
【請求項６】
前記第２の通信コネクションは、前記第１の通信パートナと前記第２の通信パートナとの間の有線式のコネクションである、
請求項１から５までのいずれか１項記載の方法。
【請求項７】
第１の通信コネクション（３３０）を介して相互に通信する、第１の通信パートナ（３１０）および第２の通信パートナ（３２０）を含んでいるシステム（３００）において、
前記第１の通信パートナ（３１０）は、
前記第１の通信コネクション（３３０）を切断させる命令を含んでいる第１のメッセージを受信し、
前記命令の有効性を確認させる要求を含んでいる第２のメッセージを、前記第２の通信パートナ（３２０）に、前記第１の通信パートナ（３１０）と前記第２の通信パートナ（３２０）との間の異なる第２の通信コネクション（３４０）を介して送信し、
前記第１の通信パートナ（３１０）が前記第２の通信コネクション（３４０）を介して、前記命令の有効性の確認を含んでいる第３のメッセージを受信した場合には、前記第１の通信コネクション（３３０）を切断する、
ように構成されている、システム（３００）。
【請求項８】
前記第１の通信パートナ（３１０）はさらに、該第１の通信パートナ（３１０）が前記第２の通信コネクション（３４０）を介して、前記命令の前記有効性の否認を含んでいる第４のメッセージを受信した場合には、前記第１の通信コネクション（３３０）を維持する、
ように構成されている、請求項７記載のシステム。
【請求項９】
前記第２の通信パートナ（３２０）は、
前記第２のメッセージの受信後に、前記命令が前記第２の通信パートナ（３２０）によって送信されていたか否かを検査し、
前記第２の通信パートナ（３２０）によって前記命令が送信されていた場合には、前記第１の通信パートナ（３１０）に前記第２の通信コネクション（３４０）を介して前記第３のメッセージを送信するか、または
前記第２の通信パートナ（３２０）によって前記命令が送信されていなかった場合には、前記第１の通信パートナ（３１０）に前記第２の通信コネクション（３４０）を介して前記第４のメッセージを送信する、
ように構成されている、請求項８記載のシステム。
【請求項１０】
前記第１の通信コネクション（３３０）は、前記第１の通信パートナ（３１０）と前記第２の通信パートナ（３２０）との間の無線式のコネクションである、
請求項７から９までのいずれか１項記載のシステム。
【請求項１１】
前記第２の通信コネクション（３４０）は、前記第１の通信パートナ（３１０）と前記第２の通信パートナ（３２０）との間の有線式のコネクションである、
請求項７から１０までのいずれか１項記載のシステム。
【請求項１２】
請求項７から１１までのいずれか１項記載のシステム（４１０）を備えている、車両（４００）。
【請求項１３】
前記第１の通信パートナまたは前記第２の通信パートナは、セルラネットワークと通信するための前記車両の通信装置（５２０）であり、他方の通信パートナは、前記車両のインフォテイメントシステム（５１０）である、
請求項１２記載の車両。
【請求項１４】
前記第１の通信コネクションは、無線式のローカルネットワーク（５３０）である、
請求項１２または１３記載の車両。
【請求項１５】
前記第２の通信コネクションは、ＣＡＮバス（５４０）である、
請求項１２から１４までのいずれか１項記載の車両。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、２つの通信パートナ間の通信に関する。特に、本発明は、第１の通信コネクションを管理するための方法、第１の通信パートナおよび第２の通信パートナを含んでいるシステムに関し、また車両にも関する。
【背景技術】
【０００２】
２つの機器間の通信コネクション（例えば、無線式または有線式の通信コネクション）には、攻撃者によって障害がもたらされる可能性がある。例えば、無線ローカルエリアネットワーク（英語：Ｗｉｒｅｌｅｓｓ  Ｌｏｃａｌ  Ａｒｅａ  Ｎｅｔｗｏｒｋ，ＷＬＡＮ）を介する、２つの機器間の無線式の通信コネクションには、攻撃者による、容易に改竄することができる認証解除リクエスト（英語：ｄｅａｕｔｈｅｎｔｉｆｉｃａｔｉｏｎ  ｒｅｑｕｅｓｔ）によって障害がもたらされる可能性がある。この場合、外部の攻撃者によって、一方の機器は既存のコネクションを解除するよう指示される。これによって、２つの機器間のＷＬＡＮ通信に障害がもたらされる。その結果、例えば、このＷＬＡＮコネクションを使用する機能を提供することができなくなる。
【０００３】
例示のために、ＷＬＡＮコネクションにおける例示的な認証解除攻撃（英語：ｄｅａｕｔｈｅｎｔｉｆｉｃａｔｉｏｎ  ａｔｔａｃｋ）の概略的な経過が図１に示されている。
【０００４】
クライアント１１０は、例えば認証リクエスト（英語：ａｕｔｈｅｎｔｉｃａｔｉｏｎ  ｒｅｑｕｅｓｔ）１１１を、ネットワークアクセスポイント１２０に送信する。ネットワークアクセスポイント（英語：Ａｃｃｅｓｓ  Ｐｏｉｎｔ，ＡＰ）１２０は、それに対して認証レスポンス（英語：ａｕｔｈｅｎｔｉｃａｔｉｏｎ  ｒｅｓｐｏｎｓｅ）１２１を、クライアント１１０に送信する。それに続いて、クライアント１１０は、アソシエーションリクエスト（英語：ａｓｓｏｃｉａｔｉｏｎ  ｒｅｑｕｅｓｔ）１１２を、ネットワークアクセスポイント１２０に送信する。ネットワークアクセスポイント１２０は、それに対してアソシエーションレスポンス（英語：ａｓｓｏｃｉａｔｉｏｎ  ｒｅｓｐｏｎｓｅ）１２２を、クライアント１１０に送信する。これをもって、クライアント１１０とネットワークアクセスポイント１２０との間のＷＬＡＮコネクションが確立されており、データ１１３を、クライアント１１０とネットワークアクセスポイント１２０との間で交換することができる。
【０００５】
ここで、攻撃者（英語：ａｔｔａｃｋｅｒ）１３０によって、改竄された認証解除リクエスト１３１が、ネットワークアクセスポイント１２０に送信される可能性がある。これによって、クライアント１１０とネットワークアクセスポイント１２０との間での後続のデータ１１４の伝送が停止されるか、または、そのような後続のデータ１１４の伝送が不可能になる。さらにネットワークアクセスポイント１２０は、クライアント１１０に対して、認証解除１２３を通知する。
【０００６】
したがって、認証解除攻撃によって、ＷＬＡＮコネクションには持続的な障害がもたらされる可能性がある。この攻撃は、さらなる攻撃のための準備にもなる可能性がある。
【発明の概要】
【発明が解決しようとする課題】
【０００７】
したがって、第三者の攻撃に対する通信コネクションのロバスト性を改善する可能性を提供する必要性が生じている。
【課題を解決するための手段】
【０００８】
本発明は、これを第１の通信パートナと第２の通信パートナとの間の第１の通信コネクションを管理するための方法によって実現する。第１の通信パートナも、第２の通信パートナも、通信コネクションを介して相互にデータないし情報を交換することができるあらゆる装置であってよい。例えば、第１の通信パートナないし第２の通信パートナは、モバイル端末装置、制御装置、コンピュータまたはネットワークアクセスポイントであってよい。通信コネクションは、２つの通信パートナ間での通信を実現するあらゆる通信コネクションであってよい。つまり、第１の通信コネクションを、無線式（例えば、電気工学・電子工学の学会、ＩＥＥＥの標準ＩＥＥＥ８０２．１１に準拠するＷＬＡＮ；ＩＥＥＥの標準ＩＥＥＥ８０２．１５．１に準拠するＢｌｕｅｔｏｏｔｈ；国際標準化機構の標準ＩＳＯ１４４４３，１８０９２ないし２１４８１のうちの１つに準拠する、近距離通信、ＮＦＣ；欧州電子計算機工業会のＥＣＭＡ３４０，３５２，３５６，３６２ないし欧州電気通信標準化機構のＥＴＳＩ  ＴＳ１０２  １９０）に実施しても、有線式（例えば、ローカルエリアネットワーク、ＬＡＮ；イーサネット；バス）に実施してもよい。
【０００９】
本方法は、第１の通信パートナによって第１のメッセージを受信することを含んでいる。ここでは第１のメッセージが、第１の通信コネクションを切断させる命令を含んでいる。この場合、第１のメッセージは、第１の通信パートナとの第１の通信コネクションを切断しようとしている第２の通信パートナに由来する可能性も、第１の通信パートナと第２の通信パートナとの間の通信コネクションに障害をもたらそうとしている攻撃者に由来する可能性もある。これに関して攻撃者が、例えば、第２の通信パートナのＩＤないし識別子を探り、また第１のメッセージによって第２の通信パートナはこのメッセージの送信者であると証明されるように第１のメッセージを改竄する可能性がある。
【００１０】
したがって本方法はさらに、第１の通信パートナによって、第２の通信パートナに、第１の通信パートナと第２の通信パートナとの間の異なる第２の通信コネクションを介して、第２のメッセージを送信することを含んでいる。ここでは第２のメッセージが、命令の有効性を確認させる要求を含んでいる。したがって、第１の通信パートナおよび第２の通信パートナは、２つの通信コネクションを介して、すなわち、２つの異なる通信チャネルを介してメッセージを交換することができる。第１の通信コネクションと同様に、第２の通信コネクションは、２つの通信パートナ間の通信を実現し、かつ第１の通信コネクションとは異なる任意の通信コネクションであってよい。第２のメッセージを用いることによって、第１の通信パートナは、切断命令を含んでいる第１のメッセージが実際にも第２の通信パートナに由来するものであるか否かについての確認をさらに確実なものにすることができる。
【００１１】
さらに、本方法は、第１の通信パートナが第２の通信コネクションを介して、命令の有効性の確認を含んでいる第３のメッセージを受信した場合に（のみ）、第１の通信パートナによって第１の通信コネクションを切断することを含んでいる。したがって、切断は、通信コネクションが実際に切断されるべきことが、第２の通信パートナによって確認された後に（のみ）行われる。したがって、第三者による攻撃（すなわち、第三者による第１のメッセージの送信）に起因する、通信コネクションの誤った切断を回避することができる。これによって、第三者の攻撃に対する第１の通信コネクションのロバスト性を改善することができる。
【００１２】
本発明の幾つかの実施例によれば、本方法はさらに、第１の通信パートナが第２の通信コネクションを介して、命令の有効性の否認を含んでいる第４のメッセージを受信した場合に、第１の通信パートナによって第１の通信コネクションを維持することを含んでいる。したがって、第１のメッセージが第２の通信パートナに由来しない場合には、第１の通信コネクションは維持される。したがって、第三者による攻撃（すなわち、第三者による第１のメッセージの送信）に起因する、通信コネクションの誤った切断を回避することができる。これによって、第三者の攻撃に対する第１の通信コネクションのロバスト性を改善することができる。
【００１３】
本発明の幾つかの実施例においては、本方法はさらに、第２のメッセージの受信後に、命令が第２の通信パートナによって送信されていたか否かを、第２の通信パートナによって検査することを含んでいる。すなわち、第２の通信パートナは、第１の通信パートナによる要求に応じて、切断命令を含んでいる第１のメッセージが、実際に第２の通信パートナによって、すなわち自身によって送信されていたか否かを能動的に検査する。したがって、本方法はさらに、命令が第２の通信パートナによって送信されていた場合に、第１の通信パートナに第２の通信コネクションを介して第３のメッセージを送信することを含んでいる。本方法は、代替的に、命令が第２の通信パートナによって送信されていなかった場合に、第１の通信パートナに第２の通信コネクションを介して第４のメッセージを送信することを含んでいる。要求に応じた第２の通信パートナの能動的な検査によって、第１の通信パートナに、第１のメッセージの有効性を証明するための情報を提供することができる。また第２の通信コネクションを介する第３のメッセージないし第４のメッセージの伝送は、第三者による不正操作に対する安全性を高めることができる。何故ならば、第三者は、第１の通信コネクションの他に、第２の通信コネクションも知らなければならなくなり、また２つの通信コネクションを実質的に同時に不正操作しなければならなくなるか、または２つの通信コネクションに実質的に同時に影響を及ぼさなければならなくなるからである。
【００１４】
本発明の幾つかの実施例によれば、本方法はさらに、命令が第２の通信パートナによって送信されていなかった場合に、第１のメッセージを記録することを含んでいる。この記録によって、第１の通信コネクションに対して試みられた攻撃を確認し、その後、それらの攻撃を例えば解析し、対抗措置を講じることができる。代替的または補完的に、命令が第２の通信パートナによって送信されていなかった場合には、第１の通信パートナ、第２の通信パートナおよび／または第１の通信コネクションの責任者に対して、第１のメッセージについて報告を行うこともできる。このようにして、責任者には、考えられ得る攻撃に関して適時に情報を提供することができ、例えばその攻撃に対して反応することができる。
【００１５】
本発明の幾つかの実施例においては、第１の通信コネクションが、第１の通信パートナと第２の通信パートナとの間の無線式のコネクションである。第１の通信コネクションは、例えば通信パートナ間でのデータ交換のために一般的に利用されているコネクションである。第１の通信コネクションを無線式のコネクションとして構成することによって、通信パートナ間のデータ交換をより簡単に構成することができる。何故ならば、例えば、データレートが高いケーブルコネクションを２つの通信パートナ間に設置ないし準備しなくてもよいからである。
【００１６】
本発明の幾つかの実施例によれば、第２の通信コネクションは、第１の通信パートナと第２の通信パートナとの間の有線式のコネクションである。本発明による方法においては、第２の通信コネクションを介して、切断命令の有効性を検査するためのメッセージないしデータしか伝送されないので、例えば、２つの通信パートナ間の既存の有線コネクションを低いデータレートで利用することができる。有線式のコネクションはさらに、第三者の攻撃に対する安全性を高めることができる。何故ならば、ケーブル、ワイヤないし線路への物理的なアクセスが必要になるからである。
【００１７】
本発明の別の態様によれば、第三者の攻撃に対する通信コネクションのロバスト性は、第１の通信パートナおよび第２の通信パートナを含んでいるシステムによって改善される。この場合、第１の通信パートナおよび第２の通信パートナは、第１の通信コネクションを介して相互に通信する。
【００１８】
ここでは第１の通信パートナが、第１の通信コネクションを切断させる命令を含んでいる第１のメッセージを受信するように構成されている。上記において既に説明したように、第１のメッセージは、第１の通信パートナとの第１の通信コネクションを切断しようとしている第２の通信パートナに由来する可能性も、第１の通信パートナと第２の通信パートナとの間の通信コネクションに障害をもたらそうとしている攻撃者に由来する可能性もある。
【００１９】
したがって、第１の通信パートナはさらに、第２のメッセージを第２の通信パートナに、第１の通信パートナと第２の通信パートナとの間の異なる第２の通信コネクションを介して送信するように構成されている。ここでは第２のメッセージが、命令の有効性を確認させる要求を含んでいる。すなわち、第１の通信パートナおよび第２の通信パートナは、２つの通信コネクションを介して相互に接続されている。つまり、第１の通信パートナおよび第２の通信パートナは、メッセージないし情報を、２つの異なる通信チャネルを介して交換することができる。第２のメッセージを用いることによって、第１の通信パートナは、切断命令を含んでいる第１のメッセージが実際にも第２の通信パートナに由来するものであるか否かについての確認をさらに確実なものにすることができる。
【００２０】
また、第１の通信パートナは、この第１の通信パートナが第２の通信コネクションを介して、命令の有効性の確認を含んでいる第３のメッセージを受信した場合に（のみ）、第１の通信コネクションを切断するように構成されている。したがって、第１の通信パートナは、通信コネクションが実際に切断されるべきことが第２の通信パートナによって確認された後に（のみ）、第１の通信コネクションを切断する。したがって、第三者による攻撃（すなわち、第三者による第１のメッセージの送信）に起因する、通信コネクションの誤った切断を回避することができる。これによって、第三者の攻撃に対する第１の通信コネクションのロバスト性を改善することができる。
【００２１】
本発明の幾つかの実施例によれば、第１の通信パートナはさらに、この第１の通信パートナが第２の通信コネクションを介して、命令の有効性の否認を含んでいる第４のメッセージを受信した場合には、第１の通信コネクションを維持するように構成されている。したがって、第１のメッセージが第２の通信パートナに由来しない場合には、第１の通信コネクションは維持される。したがって、第三者による攻撃（すなわち、第三者による第１のメッセージの送信）に起因する、通信コネクションの誤った切断を回避することができる。これによって、第三者の攻撃に対する第１の通信コネクションのロバスト性を改善することができる。
【００２２】
本発明の幾つかの実施例においては、第２の通信パートナが、第２のメッセージの受信後に、命令は第２の通信パートナによって送信されていたか否かを検査するように構成されている。すなわち、第２の通信パートナは、第１の通信パートナによる要求に応じて、切断命令を含んでいる第１のメッセージは、実際に自身によって送信されていたか否かを能動的に検査する。第２の通信パートナは、命令が第２の通信パートナによって送信されていた場合には、第１の通信パートナに第２の通信コネクションを介して第３のメッセージを送信するように構成されている。第２の通信パートナは、命令が第２の通信パートナによって送信されていなかった場合には、第１の通信パートナに第２の通信コネクションを介して第４のメッセージを送信するように構成されている。要求に応じた第２の通信パートナの能動的な検査によって、第１の通信パートナに、第１のメッセージの有効性を証明するための情報を提供することができる。また第２の通信コネクションを介する第３のメッセージないし第４のメッセージの伝送は、第三者による不正操作に対する安全性を高めることができる。何故ならば、第三者は、第１の通信コネクションの他に、第２の通信コネクションも知らなければならなくなり、また２つの通信コネクションを実質的に同時に不正操作しなければならなくなるか、または２つの通信コネクションに実質的に同時に影響を及ぼさなければならなくなるからである。
【００２３】
本発明の幾つかの実施例によれば、第１の通信コネクションはやはり、第１の通信パートナと第２の通信パートナとの間の無線式のコネクションである。第１の通信コネクションを無線式のコネクションとして構成することによって、上記において述べたように、通信パートナ間の一般的なデータ交換をより簡単に構成することができる。
【００２４】
本発明の幾つかの実施例においては、第２の通信コネクションがやはり、第１の通信パートナと第２の通信パートナとの間の有線式のコネクションである。これによって、上記において述べたように、例えば２つの通信パートナ間の既存の有線コネクションを、低いデータレートで利用することができる。同様に、有線式のコネクションは、第三者の攻撃に対する安全性を高めることができる。
【００２５】
本発明の幾つかの別の実施例においては、システムないしシステムのコンポーネントを、上述のさらなる方法ステップのうちの１つまたは複数を実施するように構成することができる。
【００２６】
本発明のさらに別の１つの態様によれば、第三者の攻撃に対する通信コネクションのロバスト性が車両によって改善される。この場合、車両が上述の実施例によるシステムを含んでいる。車両は、人間または貨物を輸送するための可動の交通手段である。したがって、車両は、自家用車であっても商用車であってもよい。例えば、車両は、乗用車、トラック、オートバイまたはトラクタであってよい。一般的に、車両は、原動機、パワートレイン系および車輪を含んでいる乗り物と解することができる。
【００２７】
したがって、相互に通信する、２つの車両コンポーネント間の通信コネクションの切断は、通信コネクションが実際に切断されるべきことが確認された後に（のみ）行われる。したがって、第三者による攻撃に起因する、通信コネクションの誤った切断を回避することができる。これによって、第三者の攻撃に対する、車両内の通信コネクションのロバスト性を改善することができる。
【００２８】
本発明の幾つかの実施例においては、システムの第１の通信パートナまたは第２の通信パートナが、（例えば、第３世代パートナシッププロジェクト、３ＧＰＰの標準に準拠する）セルラネットワークと通信するための車両の通信装置であり、他方の通信パートナが、車両のインフォテイメントシステムである。インフォテイメントシステムと通信装置とは、車両において、例えば、車両機能（例えば、緊急通報機能）を提供するために、またはインフォテイメント機能（例えばリアシートエンターテイメント、オーディオストリーミングまたはビデオストリーミング）も提供するために接続されている。本発明によれば、第三者の攻撃に起因する、インフォテイメントシステムと通信装置との間の通信の機能不全、したがって前述の機能の機能不全も阻止することができる。
【００２９】
本発明の幾つかの実施例によれば、第１の通信コネクションが無線式のローカルネットワークである。無線式のローカルネットワークを介するコネクションは、車両内の配線を低減することができ、したがって実装の簡略化の他に、車両の製造コストも低減することができる。
【００３０】
本発明の幾つかの実施例においては、第２の通信コネクションがコントローラエリアネットワーク（ＣＡＮ）バスである。車両内の多数のコンポーネント（例えば、インフォテイメントシステムおよび通信装置）は、例えばそれらのコンポーネント間で証明書を交換できることを保証するために、ＣＡＮバスを介して相互に接続されている。したがって、第２の通信コネクションとしてＣＡＮバスを利用することによって、既に車両内に存在している通信コネクションを利用することができる。したがって、本発明を実施するための付加的なコンポーネントの組み込みを回避することができる。
【００３１】
以下では添付の図面を参照しながら、本発明の実施例を詳細に説明する。
【図面の簡単な説明】
【００３２】
【図１】例示的な認証解除攻撃の概略的な経過を示す。
【図２】第１の通信パートナと第２の通信パートナとの間の第１の通信コネクションを管理するための方法の一実施例のフローチャートを示す。
【図３】第１の通信パートナおよび第２の通信パートナを含んでいるシステムの一実施例を示す。
【図４】車両の一実施例を示す。
【図５】車両のインフォテイメントシステムおよび通信装置を含んでいるシステムの一実施例を示す。
【図６】車両のインフォテイメントシステムと通信装置との間の、本発明による方法の概略的な経過の一実施例を示す。
【発明を実施するための形態】
【００３３】
図２には、第１の通信パートナと第２の通信パートナとの間の第１の通信コネクションを管理するための方法２００が示されている。
【００３４】
ここで、方法２００は、第１の通信パートナによって第１のメッセージを受信すること２０２を含んでいる。ここでは第１のメッセージが、第１の通信コネクションを切断させる命令を含んでいる。
【００３５】
さらに、方法２００は、第１の通信パートナによって、第２の通信パートナに、第１の通信パートナと第２の通信パートナとの間の異なる第２の通信コネクションを介して、第２のメッセージを送信すること２０４を含んでいる。ここでは第２のメッセージが、命令の有効性を確認させる要求を含んでいる。
【００３６】
さらに、方法２００は、第１の通信パートナが第２の通信コネクションを介して、命令の有効性の確認を含んでいる第３のメッセージを受信した場合には、第１の通信パートナによって第１の通信コネクションを切断すること２０６ａを含んでいる。
【００３７】
択一的に、方法２００は、第１の通信パートナが第２の通信コネクションを介して、命令の有効性の否認を含んでいる第４のメッセージを受信した場合に、第１の通信パートナによって第１の通信コネクションを維持すること２０６ｂを含んでいる。
【００３８】
したがって、通信コネクションの切断は、通信コネクションが実際に切断されるべきことの、第２の通信パートナによって確認された後に（のみ）行われる。したがって、第１のメッセージが第２の通信パートナに由来しない場合には、第１の通信コネクションは維持される。したがって、第三者による攻撃（すなわち、第三者による第１のメッセージの送信）に起因する、通信コネクションの誤った切断を回避することができる。これによって、第三者の攻撃に対する第１の通信コネクションのロバスト性を改善することができる。
【００３９】
方法２００のさらなる詳細および態様は、上記において説明しており、また１つまたは複数の実施例との関係において下記においても説明する。方法２００は、その他の実施例のうちの１つまたは複数によるオプションとしての１つまたは複数の特徴を含むことができる。
【００４０】
さらに、図３には、第１の通信パートナ３１０および第２の通信パートナ３２０を含んでいるシステム３００が示されている。ここでは第１の通信パートナ３１０および第２の通信パートナ３２０が、第１の通信コネクション３３０を介して相互に通信する。
【００４１】
ここでは第１の通信パートナ３１０が、第１の通信コネクション３３０を切断させる命令を含んでいる第１のメッセージを受信するように構成されている。上記において既に説明したように、第１のメッセージは、第１の通信パートナ３１０との第１の通信コネクション３３０を切断しようとしている第２の通信パートナ３２０に由来する可能性も、第１の通信パートナ３１０と第２の通信パートナ３２０との間の通信コネクション３３０に障害をもたらそうとしている攻撃者に由来する可能性もある。
【００４２】
さらに、第１の通信パートナ３１０は、第２のメッセージを第２の通信パートナ３２０に、第１の通信パートナ３１０と第２の通信パートナ３２０との間の異なる第２の通信コネクション３４０を介して送信するように構成されている。ここでは第２のメッセージが、命令の有効性を確認させる要求を含んでいる。第２のメッセージを用いることによって、第１の通信パートナ３１０は、切断命令を含んでいる第１のメッセージが実際にも第２の通信パートナ３２０に由来するものであるか否かについての確認をさらに確実なものにすることができる。
【００４３】
ここではさらに、第１の通信パートナ３１０は、この第１の通信パートナが第２の通信コネクション３４０を介して、命令の有効性の確認を含んでいる第３のメッセージを受信した場合に（のみ）、第１の通信コネクション３３０を切断するように構成されている。したがって、第１の通信パートナ３１０は、通信コネクションが実際に切断されるべきことが第２の通信パートナ３２０によって確認された後に（のみ）、第１の通信コネクション３３０を切断する。したがって、第三者による攻撃（すなわち、第三者による第１のメッセージの送信）に起因する、通信コネクション３３０の誤った切断を回避することができる。
【００４４】
ここではさらに、第１の通信パートナが第２の通信コネクション３４０を介して、命令の有効性の否認を含んでいる第４のメッセージを受信した場合には、第１の通信コネクション３３０を維持するように、第１の通信パートナを構成することもできる。したがって、第１のメッセージが第２の通信パートナ３２０に由来しない場合には、第１の通信コネクション３３０は維持される。したがって、第三者による攻撃（すなわち、第三者による第１のメッセージの送信）に起因する、通信コネクション３３０の誤った切断を回避することができる。これによって、第三者の攻撃に対する第１の通信コネクション３３０のロバスト性を改善することができる。
【００４５】
システム３００のさらなる詳細および態様は、上記において説明しており、また１つまたは複数の実施例との関係において下記においても説明する。システム３００は、その他の実施例のうちの１つまたは複数によるオプションとしての１つまたは複数の特徴を含むことができる。
【００４６】
図４には、実施例によるシステム４１０を備えている車両４００が示されている。したがって、相互に通信する、車両４００の２つの通信パートナ間の通信コネクションの切断は、通信コネクションが実際に切断されるべきことが確認された後に（のみ）行われる。したがって、第三者による攻撃に起因する、通信コネクションの誤った切断を回避することができる。これによって、第三者の攻撃に対する、車両４００内の通信コネクションのロバスト性を改善することができる。
【００４７】
さらに図５には、第１の通信パートナが車両のインフォテイメントシステム５１０であり、かつ第２の通信パートナがセルラネットワークと通信するための車両の通信装置５２０である、システム５００の一実施例を示す。
【００４８】
図５に示したシステム５００においては、通信装置（通信ユニット、ＯＣＵ）５２０のホットスポット５２１とインフォテイメントシステム（ＭＩＢ）５１０との間にＷＬＡＮコネクションが存在している。アクセスポイント５２２を介して、セルラネットワークにアクセスすることができる。
【００４９】
さらに、２つの機器間にＣＡＮコネクションが存在している。この区間を介して、例えば自動的な認証を行うための制御パラメータを交換することができる。
【００５０】
ＯＣＵとＭＩＢとの間のＷＬＡＮコネクションの機能は、車両機能（例えば緊急通報機能のような車両固有サービス）を提供するために、および、インフォテイメント機能（例えばリアシートエンターテイメント、オーディオデータ／ビデオデータ）を提供するために重要であると考えられる。しかしながら、この区間は、例えば認証解除攻撃（英語：ｄｅａｕｔｈｅｎｔｉｆｉｃａｔｉｏｎ  ａｔｔａｃｋ）が行われた場合には、危険に晒されている。
【００５１】
このシステム５００においては、ＯＣＵ５２０およびＭＩＢ５１０は、不可視のホットスポットによって相互に接続されており、また付加的に、ＣＡＮバス５４０を介してメッセージを交換することができる。ＣＡＮバス５４０によって、２つの機器間で証明書を交換できることが保証されている。したがって、２つの通信加入者（すなわち、通信パートナ）のみが存在している。これを、認証解除攻撃に対する防護対策として使用することができる。
【００５２】
認証解除リクエスト（英語：ｄｅａｕｔｈｅｎｔｉｆｉｃａｔｉｏｎ  ｒｅｑｕｅｓｔ）を受信した場合には、既存の第２のチャネル（この場合には、ＣＡＮバス５４０）を介して、認証解除リクエストは適切に行われたものか否かの問合せが開始される。
【００５３】
認証解除リクエストが外部の攻撃者からのものである場合には、確認を行う必要はないであろうし、またリクエストを無視することができる。
【００５４】
したがって、第２の通信コネクションとしてのＣＡＮバス５４０の利用によって、ＷＬＡＮコネクション５３０を介する第１の通信コネクションを第三者の攻撃に対して保護することができる。これによって、第三者の攻撃に起因する、インフォテイメントシステム５１０と通信装置５２０との間の通信の機能不全、したがって前述の機能の機能不全も阻止することができる。
【００５５】
したがって、認証解除攻撃に対するＷＬＡＮコネクションのロバスト性を改善することができる。
【００５６】
次に図６には、車両のインフォテイメントシステムと通信装置との間の、本発明による通信の概略的な経過が示されている。換言すれば、このシステムは、上述の加入者から構成することができる。ここでは、認証解除フレームの受信後の通信シナリオが示されている。
【００５７】
まず、インフォテイメントシステムのＷＬＡＮクライアント６１０と、通信装置のＷＬＡＮアクセスポイント（ホットスポット）６２０と、の間の通常のＷＬＡＮ通信６００が行われる。インフォテイメントシステムのＷＬＡＮクライアント６１０は、攻撃者６３０から認証解除フレーム、すなわち、通信装置のＷＬＡＮアクセスポイント６２０とのＷＬＡＮコネクションを切断させる命令を受信する（参照番号６０１）。
【００５８】
続いて、インフォテイメントシステムのＷＬＡＮクライアント６１０は、インフォテイメントシステムのＣＡＮバス接続部６１１に、認証解除フレームの有効性を確認する要求を送信する（参照番号６０２）。インフォテイメントシステムのＣＡＮバス接続部６１１は、要求を通信装置のＣＡＮバス接続部６２１に転送する（参照番号６０３）。通信装置のＣＡＮバス接続部６２１から、要求が通信装置のＷＬＡＮアクセスポイント６２０に転送される（参照番号６０４）。
【００５９】
次に、ＷＬＡＮアクセスポイント６２０は、自身が認証解除フレームを、ＷＬＡＮコネクションを介して、インフォテイメントシステムのＷＬＡＮクライアント６１０に送信したか否かを検査する。ＷＬＡＮアクセスポイント６２０が認証解除フレームを送信していなかった場合には、ＷＬＡＮアクセスポイント６２０は、認証解除フレームの有効性の否認を、通信装置のＣＡＮバス接続部６２１に送信する（参照番号６０５）。通信装置のＣＡＮバス接続部６２１は、情報をインフォテイメントシステムのＣＡＮバス接続部６１１に転送し（参照番号６０６）、インフォテイメントシステムのＣＡＮバス接続部６１１もまた、情報をインフォテイメントシステムのＷＬＡＮクライアント６１０に転送する（参照番号６０７）。
【００６０】
認証解除フレーム６０１の有効性が否認されているので、この認証解除フレーム６０１は、それ以降、インフォテイメントシステムのＷＬＡＮクライアント６１０からは無視される（参照番号６０８）。さらに、それに続いて、インフォテイメントシステムのＷＬＡＮクライアント６１０と通信装置のＷＬＡＮアクセスポイント６２０との間の通常のＷＬＡＮ通信６０９が行われる。
【００６１】
したがって、図６に示されている概略的な経過は、ＷＬＡＮ認証解除フレームの有効性を確認するために、独立した第２の通信チャネルが利用されることを教示している。
【００６２】
もちろん、図６に示したシナリオは、認証フレームの受信時に、通信装置（ＯＣＵ）によって同様に経過する（すなわち、命令の受信時に通信コネクションが確立される）と解される。
【００６３】
認証解除（したがって、認証解除フレームの送信）を、クライアントによってのみ行うことができるのではなく、ネットワークアクセスポイント（英語：ａｃｃｅｓｓ  ｐｏｉｎｔ）によっても行うことができる。この場合、上記において説明した発明も、もちろん同様に機能すると考えられる。
【００６４】
改竄された認証解除フレームの送信以外にも、ＷＬＡＮコネクションには、例えば、ディスアソシエーションフレーム（ｄｉｓａｓｓｏｃｉａｔｉｏｎ  ｆｒａｍｅ）の送信によって障害がもたらされる可能性がある。ディスアソシエーションフレームは、クライアントとネットワークアクセスポイントとの間のコネクションが確かに切断されるべきであるが、しかしながら認証パラメータがリセットされるべきではない場合（例えば、ＷＬＡＮネットワークの２つのネットワークアクセスポイント間のＷＬＡＮローミングの場合）に、送信される。ディスアソシエーションフレームを、クライアントからも、ネットワークアクセスポイントからも送信することができる。もちろん、上記において説明した発明は、ディスアソシエーションフレームにも同様に適用できると解される。
【００６５】
上記においては、車両の通信装置と車両のインフォテイメントシステムとの間の（ＷＬＡＮを介する）無線式のコネクションを例示的に説明したが、もちろん、本発明は、例えば車両内の制御装置間の無線式のコネクション（例えば、ＷＬＡＮ）に使用することも、または車両と外部の機器（例えば車両乗員のモバイル端末装置）との間の無線式のコネクション（例えば、ＷＬＡＮ）に使用することも、または車両に無関係の機器間の無線式のコネクション（例えば、ＷＬＡＮ）に使用することも可能であると解される。
【符号の説明】
【００６６】
１１０  クライアント
１１１  認証リクエスト
１１２  アソシエーションリクエスト
１１３  データ
１１４  データ
１２０  ネットワークアクセスポイント
１２１  認証レスポンス
１２２  アソシエーションレスポンス
１２３  認証解除
１３０  攻撃者
１３１  改竄された認証解除リクエスト
２００  第１の通信コネクションを管理するための方法
２０２  第１のメッセージの受信
２０４  第２のメッセージの送信
２０６ａ  第１の通信コネクションの切断
２０６ｂ  第１の通信コネクションの維持
３００  システム
３１０  第１の通信パートナ
３２０  第２の通信パートナ
３３０  第１の通信コネクション
３４０  第２の通信コネクション
４００  車両
４１０  システム
５１０  インフォテイメントシステム
５２０  通信装置
５２１  ホットスポット
５２２  アクセスポイント
５３０  ＷＬＡＮコネクション
５４０  ＣＡＮバス
６００  ＷＬＡＮ通信
６０１  認証解除フレーム
６０２  受信
６０３  送信
６０４  転送
６０５  送信
６０６  転送
６０７  転送
６０８  無視
６０９  ＷＬＡＮ通信
６１０  インフォテイメントシステムのＷＬＡＮクライアント
６１１  インフォテイメントシステムのＣＡＮバス接続部
６２０  通信装置のＷＬＡＮアクセスポイント
６２１  通信装置のＣＡＮバス接続部
６３０  攻撃者
【図１】
2018101973.tif 000003
【図２】
2018101973.tif 000004
【図３】
2018101973.tif 000005
【図４】
2018101973.tif 000006
【図５】
2018101973.tif 000007
【図６】
2018101973.tif 000008
【外国語明細書】
2018101973.tif 000009
2018101973.tif 000010
2018101973.tif 000011
2018101973.tif 000012
2018101973.tif 000013
2018101973.tif 000014
2018101973.tif 000015
2018101973.tif 000016
2018101973.tif 000017
2018101973.tif 000018
2018101973.tif 000019
2018101973.tif 000020
2018101973.tif 000021
2018101973.tif 000022
2018101973.tif 000023
2018101973.tif 000024
2018101973.tif 000025
2018101973.tif 000026
2018101973.tif 000027
2018101973.tif 000028
2018101973.tif 000029
2018101973.tif 000030
2018101973.tif 000031
2018101973.tif 000032