(57)【要約】  本発明は、端末装置内にロード可能なソフトウェアコンポーネントを含んでいる、ソフトウェア提供者により提供されているソフトウェアパッケージを認証するための方法に関し、この際、ソフトウェアコンポーネントには認証付録が備えられ、この認証付録が信憑性検査の実施のために端末装置内でチェックされ、この際、上位の認可箇所が設けられていて、この認可箇所が安全性の向上のために認可措置をソフトウェアパッケージに対して実施する。本発明は、上位の認可箇所（１５、１６）により実施される措置が、ソフトウェア提供者（１１、１２）により提供されていてソフトウェアコンポーネント（ＳＷ、ＦＳＣ）の他に第１認証付録（ＸＺ）を含むソフトウェアパッケージ（１３、１４）の検査が成功した後、ソフトウェアパッケージ（１３、１４；１８、１９）に、第１認証付録（ＸＺ）の箇所に少なくとも１つの第２認証付録（ＩＺ）を備えることを含んでいることにより傑出している。
2007527044.tif 000002
【特許請求の範囲】
【請求項１】
端末装置内にロード可能なソフトウェアコンポーネントを含んでいる、ソフトウェア提供者により提供されているソフトウェアパッケージを認証するための方法であって、ソフトウェアコンポーネントには認証付録が備えられ、この認証付録が信憑性検査の実施のために端末装置内でチェックされ、更に、上位の認可箇所が設けられていて、この認可箇所が安全性の向上のために認可措置をソフトウェアパッケージに対して実施する、前記方法において、
上位の認可箇所（１５、１６）により実施される措置が、ソフトウェア提供者（１１、１２）により提供されていてソフトウェアコンポーネント（ＳＷ、ＦＳＣ）の他に第１認証付録（ＸＺ）を含むソフトウェアパッケージ（１３、１４）の検査が成功した後、ソフトウェアパッケージ（１３、１４；１８、１９）に、第１認証付録（ＸＺ）の箇所に少なくとも１つの第２認証付録（ＩＺ）を備えることを含んでいることを特徴とする方法。
【請求項２】
上位の認可箇所（１５、１６）によるソフトウェアパッケージ（１３、１４）の検査が、ソフトウェアコンポーネント（ＳＷ、ＦＳＣ）を提供するためのソフトウェア提供者（１１、１２）の現在の権限の検査を含んでいることを特徴とする、請求項１に記載の方法。
【請求項３】
ソフトウェア提供者（１１、１２）により提供されているソフトウェアパッケージ（１３、１４）の第１認証付録（ＸＺ）が、少なくとも部分的に、このソフトウェア提供者のための個人鍵を用いて暗号化され、上位の認可箇所（１５、１６）にとって周知の公開鍵を用いて復号化可能であることを特徴とする、請求項１又は２に記載の方法。
【請求項４】
少なくとも１つの第２認証付録（ＩＺ）が、上位の認可箇所（１５、１６）により、少なくとも部分的に、この上位の認可箇所のための個人鍵を用いて暗号化され、端末装置内で周知の公開鍵を用いて復号化可能であることを特徴とする、請求項１〜３のいずれか一項に記載の方法。
【請求項５】
ソフトウェアパッケージには、上位の認可箇所により、相前後し、複数の認証付録が備えられ、より早い時点でソフトウェアパッケージに備えられた認証付録が、信憑性検査の実施のために、ソフトウェアパッケージに認証付録を次に備える前に使用されることを特徴とする、請求項１〜４のいずれか一項に記載の方法。
【請求項６】
端末装置内にソフトウェアコンポーネントをロードする際に及び／又は端末装置内でソフトウェアコンポーネントを実行する際に、信憑性検査が上位の認可箇所の複数の認証付録を使用して実施されることを特徴とする、請求項５に記載の方法。
【請求項７】
上位の認可箇所により添えられた認証付録（ＩＺ）が、該当するソフトウェアコンポーネント（ＳＷ、ＦＳＣ）の機能性の制限に関連するデータを含んでいることを特徴とする、請求項１〜６のいずれか一項に記載の方法。
【請求項８】
ソフトウェアコンポーネントが、プログラムコード（ＳＷ）、及び／又は、端末装置内にインストールされているプログラムコード用のイネーブルコード（ＦＳＣ）を含んでいることを特徴とする、請求項１〜７のいずれか一項に記載の方法。
【請求項９】
端末装置が自動車の制御装置であることを特徴とする、請求項１〜８のいずれか一項に記載の方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、端末装置内にロード可能なソフトウェアコンポーネントを含んでいる、ソフトウェア提供者により提供されているソフトウェアパッケージを認証するための方法に関し、この際、ソフトウェアコンポーネントには認証付録が備えられ、この認証付録が信憑性検査の実施のために端末装置内でチェックされ、この際、上位の認可箇所が設けられていて、この認可箇所が安全性の向上のために認可措置をソフトウェアパッケージに対して実施する。
【背景技術】
【０００２】
この種の方法は、例えば特許文献１から、車両の制御装置により使用するソフトウェアを提供するために知られている。そのような認証方法の基本的な役割は、権限のない及び／又は有害なソフトウェアコンポーネントがソフトウェア被制御式の端末装置内にロードされないことを保証することである。この問題は特に自動車（原動機付き車両；モータビークル）分野においてとても危険なものであり、その理由は、現代自動車がソフトウェア被制御式の多数の制御装置を装備していて、それらの正しい機能が自動車の安全な稼動にとって前提条件であるためである。この際、非承認のソフトウェアのロードは多大な安全リスクを意味することになる。更に今日では現代自動車の多くの性能特性及び／又は快適性特性はソフトウェアに基礎付けられている。つまり車両は高い性能段階及び／又は快適性段階に適したハードウェアを装備しているが、これらのハードウェアは顧客要望に応じて個々に場合により費用負担の義務をもってソフトウェアによりコントロールされる。この際、対応するソフトウェアは、対応する制御装置内に個々にロードされるか、又は既に予めインストールされているソフトウェアが個々に例えば所謂イネーブルコード（使用可能コード）のロードにより活動化され得る。ソフトウェアの権限のないロード及び／又はイネーブルは、意図された料金を支払わずに成されるのであれば、車両製造者に対して多大な経済的損失を発生させることになる。他方、分業制の産業構造及び社会構造は、納入業者、工業などにおいて本質的な多くの役割の交換を要求し、その結果、認証システムであって、一方では端末装置内のソフトウェアの実装に関する厳しい管理を保証し、他方ではユーザフレンドリなサービス運用管理のために必要な柔軟性（フレキシビリティ）を可能にする認証システムが必要である。
【０００３】
周知の方法では次のことが意図されている。即ち、ソフトウェア署名箇所、特にソフトウェア製造者が、ロードすべきソフトウェアコンポーネント、例えばプログラムコード及び／又はイネーブルコードを、それらのための個人鍵を用いて署名し、そのように署名されたソフトウェアが、上位の認可箇所、例えば車両製造者のところにある所謂トラストセンタ（信用センタ）に転送されるということである。その後、トラストセンタ内では、ソフトウェア提供者の署名の検査と、この署名の「保証」とが行われる。この「保証」はトラストセンタ証明書を添える形式で行われ、このトラストセンタ証明書は、トラストセンタの個人鍵を用いて作成された署名の他、好ましくは、ソフトウェア提供者の公開鍵、並びに、ソフトウェアコンポーネントのための１つ又は複数の有効性制限を含んでいる。
【０００４】
ソフトウェアコンポーネントのロード時には、先ず、端末装置内に保管されているトラストセンタの公開鍵を用いてトラストセンタ署名が検査され、それに続き、伝達されたソフトウェア提供者の公開鍵を使ってその署名が検査され、場合によりソフトウェアパッケージの暗号化された領域が復号化され、最後にソフトウェアコンポーネントが、トラストセンタ証明書を用いて伝達された有効性制限を考慮してインストールされる。
【０００５】
この方法は、各端末装置がトラストセンタの署名／証明書もソフトウェア提供者の署名／証明書も処理することができなければならないという短所を有する。このことは、様々な製造者の様々な端末装置、及び同様に多数の様々なソフトウェア製造者により、各端末装置の構造に関して多大な複雑性を要求する。もしくは、独自の規格を作ることにより事実上の納入モノポールを確保し得る所定の納入業者に対する技術的な結び付きである。
【０００６】
【特許文献１】ＤＥ１０１４０７２１Ａ１
【発明の開示】
【発明が解決しようとする課題】
【０００７】
従って本発明の課題は、安全性を損なうことなく全システムの柔軟性が向上され、個々のシステムコンポーネントの構造が容易化されるように冒頭に掲げた種類の認証方法を構成することである。
【課題を解決するための手段】
【０００８】
前記の課題は、請求項１の前提部に記載した構成要件と関連し、次のことにより解決される。即ち、上位の認可箇所により実施される措置が、ソフトウェア提供者により提供されていてソフトウェアコンポーネントの他に第１認証付録を含むソフトウェアパッケージの検査が成功した後、ソフトウェアパッケージに、第１認証付録の箇所に少なくとも１つの第２認証付録を備えることを含んでいることである。このことは、認証付録、即ち例えばソフトウェア提供者の署名及び／又は証明書を解釈し且つ考慮しなくてはならないという役割から各々の端末装置が解放されることを意味する。今まで通常であった、ソフトウェア提供者の証明書、署名などの「保証」に代わり、本発明に従い、これは、例えばトラストセンタにより中央で授与される認証付録により置き換えられる。それにより端末装置は、トラストセンタにより使用されている署名及び／又は証明方法とだけ互換性があればよく、それに対応して以前よりも簡単に構成され得る。同時にしかしながら安全性の欠落は発生せず、その理由は、中央の認証付録の授与がソフトウェア提供者の認証付録の検査後に初めて実施されるためである。このことは、ソフトウェアを提供するために個々のソフトウェア提供者の権限の変更に短期で反応する可能性をも提供する。
【０００９】
ここで、認証付録の「置き換え」及び認証付録の「箇所に」との概念は機能的な置き換えに関することに注意すべきである。従って、好ましくは、しかし必然的ではないが、ソフトウェアパッケージ内の対応するデータの物理的な置き換えも伴っている。しかし、端末装置内にソフトウェアコンポーネントをロードする際にトラストセンタの認証付録だけが考慮され、トラストセンタにより既に検査されたソフトウェア提供者の認証付録が無視されるように、全システムが構築されていることによっても、本発明に従う課題が満たされる。
【００１０】
既述のように、本発明に従う方法は、上位の認可箇所によるソフトウェアパッケージの検査が、ソフトウェアコンポーネントを提供するためのソフトウェア提供者の現在の権限の検査を含んでいる可能性を提供する。また本発明に従う方法の有利な構成ではこのオプションが実際に実現されている。
【００１１】
本発明に従う方法をＰＫＩ構想（public key infrastructure）により構成することは特に有利である。そのためには例えば、ソフトウェア提供者により提供されているソフトウェアパッケージの第１認証付録が、少なくとも部分的に、このソフトウェア提供者のための個人鍵を用いて暗号化され、上位の認可箇所にとって周知の公開鍵を用いて復号化可能であることが意図され得る。このことは、周知のＰＫＩ構想による署名処理或いは証明処理に対応する。この際、ソフトウェア提供者の公開鍵は、証明書の枠内で、上位の認可箇所へと伝達され得る、又はその公開鍵は別の経路で認識され得るので、証明書の代わりにソフトウェア提供者の簡単な署名処理で十分である。
【００１２】
ＰＫＩ構想を一貫して続けることで、本発明に従う方法の更なる構成においては、少なくとも１つの第２認証付録が、上位の認可箇所により、少なくとも部分的に、この上位の認可箇所のための個人鍵を用いて暗号化され、端末装置内で周知の公開鍵を用いて復号化可能であることが意図され得る。ここでも、秘密保持理由から暗号化をしない場合、証明書の枠内で公開鍵が伝達され得る。また他方では、公開鍵を端末装置のアクセス不能メモリ領域内に即ち秘密保持して保管することも可能である。
【００１３】
本発明に従う方法の基本思想は高い柔軟性を可能とする。特に、上位の認可箇所内で認可階層を創作することが可能である。つまり、有利な構成では例えば、ソフトウェアパッケージには、上位の認可箇所により、相前後し、複数の認証付録が備えられることが意図され得て、この際、より早い時点でソフトウェアパッケージに備えられた認証付録が、信憑性検査の実施のために、ソフトウェアパッケージに認証付録を次に備える前に使用される。このことは例えば、２段階又は複数段階で形成され得る、署名及び「保証」のシステムを、上位の認可箇所内で可能とさせる。
【００１４】
そのように階層的に構造化された認可構想が使用される場合、端末装置内にソフトウェアコンポーネントをロードする際に及び／又は端末装置内でソフトウェアコンポーネントを実行する際に、信憑性検査が上位の認可箇所の複数の認証付録を使用して実施されると有利である。このことは、他言すると、端末装置内で複数段階の認可がステップごとに理解或いはチェックされ得るが、この際、本発明の肯定的な作用として、上位の認可箇所により使用されている署名方法或いは証明方法との互換性だけが要求されていることを意味する。
【００１５】
上述のように、上位の認可箇所により添えられた認証付録が、該当するソフトウェアコンポーネントの機能性の制限に関連するデータを含んでいるという可能性がある。またこのオプションは本発明に従う方法の有利な形態において実際に履行されている。機能性制限又は有効性制限は、所定のアプリケーションのイネーブル化、及び場合により各々のアプリケーションのバージョン状況に該当する。更に、車両（例えば車台番号を介して）又は所定の車両タイプに対する個別化、或いは１つの又は複数の制御装置又は制御装置タイプに対する個別化（例えば制御装置番号を介して）、或いは個別の人物に対する個別化（例えば車両キー内に組み込まれている個別化されたチップカードを介して又は自動車電話内のＧＳＭカードを介して）が可能である。更に一時的な有効性制限が構成され得る。このためには例えば、時間部分（タイムセグメント）、稼動時間数、走行距離、又は（アプリケーション特有に）所定数の機能呼出のための限定された有効性がある。更に、選択的な有効性制限が意図され得て、つまり、デモバージョン又は減少された機能範囲を有するバージョンの意味におけるアプリケーション特有の制限である。最後に地域的な有効性制限の可能性もあり、この有効性制限は例えば車両の現在の所在地に結び付けられている。この種の有効性制限或いは機能性制限は、有効性のチェックが端末装置により実施されない又はソフトウェアコンポーネントの最初のロード時だけでなく反復されて後の稼動中にも実施される場合、特に有効である。この際、当然のことであるが、複数の有効性制限のブール演算が可能である。
【００１６】
端末装置内にロードすべきソフトウェアコンポーネントは、例えば、プログラムコード、及び／又は、端末装置内にインストールされているプログラムコード用のイネーブルコードを含み得る。
【００１７】
上述の説明で既に示唆されているように、端末装置は、好ましくは自動車の制御装置であり、この際、「制御装置」という概念のもとには、所定の車両コンポーネントをコントロールするための実際の意味における制御装置も、例えばナビゲーションシステムや情報システムのような他の快適性装備も想定されている。
【発明を実施するための最良の形態】
【００１８】
本発明の他の詳細は、以下の詳細な説明から、及び本発明の有利な実施形態が例として具現化されている添付の図面から見てとれる。
【実施例１】
【００１９】
図１には、本発明に従う方法の実施形態を実施するために適しているインフラストラクチャが描かれていて、これは、特に自動車（原動機付き車両；モータビークル；ＦＺＧ）内の制御装置の稼動用に設けられているソフトウェアの運用管理に適用したものである。従来技術による方法の情報経路は点線で描かれている。
【００２０】
従来技術によるインフラストラクチャの中央箇所は所謂トラストセンタ（信用センタ；ＴＣ）１０であり、このＴＣ１０は、通常、車両製造者の直接的な管理下にある。ＴＣ１０は外部のソフトウェア提供者と情報交換をする。このことは例えば外部のソフトウェア署名箇所（Ｘ−ＳＷＳＳ）１１に係り、このソフトウェア署名箇所は、通常、外部のソフトウェア製造者のところにあり、このソフトウェア製造者は例えば制御装置用のプログラム文の形式のソフトウェア（ＳＷ）を作成する。図１には同様に、外部のイネーブルコード箇所（Ｘ−ＦＳＣＳ）１２に係る可能性が描かれていて、このイネーブルコード箇所を介し、イネーブルコード（使用可能コード；ＦＳＣ）が、既に車両の制御装置内にインストールされているが非活動状態のソフトウェアのために提供される。ここで使用される「ソフトウェアコンポーネント」という一般的な概念は、ＦＳＣもプログラム文も、並びに端末装置内にロード可能な他のソフトウェアも含んでいる。従来技術によるとソフトウェアコンポーネントは、例えば署名及び／又は証明書を作成することにより、外部の提供者により署名される。この際、これらの署名及び／又は証明書及びそれに類似する署名処理結果は一般的に「認証付録」と称され、その理由は、それらが、そのように処理されたソフトウェアの出所と非損傷性を信憑性検査時にチェックさせることに適しているためである。外部の提供者からのそれらの出所に従い、認証付録は図１において「ＸＺ」で記されている。従来技術によるとこれらの認証付録はＴＣ１０により検査され、検査が成功した場合、他の署名及び／又は他の証明書を付録とすることより確認される。そのように署名され「保証」されたソフトウェアコンポーネントは、その後、車両の制御装置内にロードされ、この際、ＴＣ１０の認証付録もＸ−ＳＷＳＳ１１又はＸ−ＦＳＣＳ１２の認証付録も、各々そのために特別に必要とされる方法を用いて検査されなくてはならない。
【００２１】
図１において本発明に従う方法はベタの矢印により描かれている。それによるとＸ−ＳＷＳＳ１１或いはＸ−ＦＳＣＳ１２は、各々ＳＷ或いはＦＳＣ及び認証付録ＸＺから成るソフトウェアパッケージ１３或いは１４を内部のソフトウェア署名箇所（Ｉ−ＳＷＳＳ）１５或いは内部のイネーブルコード箇所（Ｉ−ＦＳＣＳ）１６へと提供する。これらの内部の箇所Ｉ−ＳＷＳＳ１５及びＩ−ＦＳＣＳ１６は、好ましくは車両製造者の管理下だけにあり、特に、階層的に構造化された車両トラストセンタＦＺＧ−ＴＣ１７の一部分である。
【００２２】
内部の箇所Ｉ−ＳＷＳＳ１５及びＩ−ＦＳＣＳ１６は、外部の箇所Ｘ−ＳＷＳＳ１１及びＸ−ＦＳＣＳ１２の認証付録ＸＺを検査し、好ましくは、例えばソフトウェアコンポーネントを提供するための情報で外部の箇所１１及び１２の現在の権限に関する情報が保管されている内部のデータベースとの調整を実施する。外部の認証付録ＸＺは、検査が成功した場合、内部の認証付録ＩＺにより置き換えられる。このことは、好ましくは、対応するメモリ内容の物理的な置き換えにより行われる。
【００２３】
修正されたソフトウェアパッケージ１８或いは１９が得られ、これらはＳＷ或いはＦＳＣの他に内部の認証付録ＩＺを含んでいて、この認証付録ＩＺは、車両ＦＺＧの制御装置内にソフトウェアコンポーネントをロードする際に及び／又は反復して制御装置の稼動中に検査される。特に内部の認証付録ＩＺは追加的にソフトウェアコンポーネントの有効性制限に関する情報を含み得る。
【００２４】
このようにして、外部の箇所により使用されている認証方法も処理可能でなくてはならない以前のものに代わり、使用されている制御装置が、内部の箇所により使用されている認証方法とだけ互換性があればよいということが達成される。
【００２５】
本発明に従う方法が自動で進行すると特に有利であり、この際、署名すべき／証明すべきソフトウェアコンポーネントはオンラインで内部のサーバに送られ、このサーバが認証検査を実施し、再署名された／再証明されたソフトウェアパッケージが、例えば、工場、生産プラント、オンラインセンタなどに対し、各々そのために設けられている制御装置内への伝送のために更に分配される。
【００２６】
当然のことであるが、ここで説明した実施形態は本発明の特別な且つ特に有利な実施例に係るものである。本発明の枠内で当業者には多数の修正可能性が提供され得る。特に、内部の認証付録ＩＺの具体的な構造、場合により階層的にそれらを作成すること、並びに制御装置内でのそれらの特別な解釈は、多岐に渡る形態の対象であり得る。
【図面の簡単な説明】
【００２７】
【図１】本発明に従う方法を実施するための認証インフラストラクチャのブロック図を示す図である。
【符号の説明】
【００２８】
１０    トラストセンタ
１１    外部のソフトウェア署名箇所
１２    外部のイネーブルコード箇所
１３    ソフトウェアパッケージ
１４    ソフトウェアパッケージ
１５    内部のソフトウェア署名箇所
１６    内部のイネーブルコード箇所
１７    車両トラストセンタ
１８    修正されたソフトウェアパッケージ
１９    修正されたソフトウェアパッケージ
【図１】
2007527044.tif 000003
【国際調査報告】
2007527044.tif 000004
2007527044.tif 000005
2007527044.tif 000006
2007527044.tif 000007
2007527044.tif 000008
2007527044.tif 000009