Ein grundlegender Schritt im Authentifizierungsprozess einer Peer-Android-SDV-VM ist die Ermittlung, ob diese Peer-VM auf einem vertrauenswürdigen Gerät ausgeführt wird. Nur VMs, auf denen geprüfte Software auf vertrauenswürdigen Geräten ausgeführt wird, können dem SDV-Sicherheits-Mesh beitreten. Weitere Informationen zum Überprüfungsprozess für die Peer-Software finden Sie im SDV-Profil für DICE.
Für das Gerätevertrauen werden in Android SDV zwei unterschiedliche Autoritäten mit unterschiedlichen Berechtigungen definiert:
Gerätevertrauenswürdigkeit zuweisen: Nur der OEM hat diese Berechtigung.
Definieren Sie die Gruppe von Geräten, deren VMs das SDV-sichere Mesh eines Fahrzeugs bilden. Der OEM muss den Zugriff zuweisen und steuern. Mitarbeiter, die Teile ersetzen, haben diese Berechtigung.
In den folgenden Abschnitten werden die Details zur Mitgliedschaft von Mesh-Geräten und zum Gerätevertrauen beschrieben.
uds_pubs-Datei
Geräte werden eindeutig durch ihre jeweiligen öffentlichen Schlüssel für das eindeutige Gerätesecret (Unique Device Secret, UDS) identifiziert.
Wenn eine Android-SDV-VM dem SDV-Sicherheits-Mesh beitritt, gehen wir davon aus, dass das Gerät, auf dem diese VM ausgeführt wird, dem SDV-Sicherheits-Mesh beigetreten ist.
Die Datei uds_pubs enthält die öffentlichen UDS-Schlüssel aller Geräte, die dem sicheren SDV-Mesh beitreten können. Diese Datei wird im Ablauf für die Bereitstellung in der Fabrik erstellt und im Ablauf für den Ersatz von Teilen aktualisiert.
Diese Datei befindet sich in der vvmtruststore-Partition.
Die Aufnahme in diese Liste bedeutet nicht, dass die Apps vertrauenswürdig sind. Damit ein Gerät dem sicheren SDV-Mesh beitreten kann, müssen zwei Bedingungen erfüllt sein:
- Der öffentliche UDS-Schlüssel (oder die öffentlichen UDS-Schlüssel) muss sich in
uds_pubsbefinden. - Es muss sich um ein vertrauenswürdiges Gerät handeln.
Methoden für vertrauenswürdige Geräte
Damit eine Android-SDV-VM einem Gerät vertrauen kann, auf dem eine Peer-Android-SDV-VM ausgeführt wird, gibt es zwei Methoden:
- Das Gerät enthält UDS-Zertifikate. Dies ist die bevorzugte Methode.
- Geräte werden während der Bereitstellung ab Werk dauerhaft miteinander verknüpft. Dies wird durch VVMFactoryTrust ausgedrückt. Dies ist die alternative Methode, die OEMs verwenden können, wenn es technisch nicht möglich ist, UDS-Zertifikate für Geräte am (oder vor dem) Fahrzeugmontageband bereitzustellen.
UDS-Zertifikate
Die Peer-VM für Android-Geräteüberprüfung kann ein UDS-Zertifikat für ihren öffentlichen UDS-Schlüssel präsentieren.
Der öffentliche Schlüssel der UDS-Root-Bereitstellungsstelle, die als ultimativer Vertrauensanker für die Geräteauthentifizierung dient, ist in der Datei vvmconfig definiert.
Die eigenen UDS-Zertifikate der VM werden in der Datei uds_certs in der Partition vvmtruststore gespeichert.
Die Unterstützung dieser Methode für vertrauenswürdige Geräte ist obligatorisch.
Geräte mit VVMFactoryTrust binden
Gemeinsam bereitgestellte Geräte können dauerhaft gebunden werden, wodurch eine vertrauenswürdige Gruppe entsteht, die nicht auf UDS-Zertifikate angewiesen ist. Dadurch ist es nicht mehr erforderlich, dass die zugehörige Public-Key-Infrastruktur diese Zertifikate generiert. Dieses Vertrauen ist spezifisch für diese Gruppe. Wenn also ein Gerät in dieser gebundenen Gruppe ersetzt wird, wird das Vertrauen für die gesamte Gruppe widerrufen.
Diese dauerhafte Bindung wird durch VVMFactoryTrust erreicht, einen Hash der uds_pubs-Datei, die im OTP-Speicher (One-Time Programmable) gespeichert ist.
Genauer gesagt ist es ein 32-Byte-Wert, in dem der SHA256 von uds_pubs gespeichert wird, wie er während der Bereitstellung war. Dieser Wert wird als Kernel-Parameter an Android SDV übergeben. Wenn der gespeicherte VVMFactoryTrust mit dem Hash von uds_pubs übereinstimmt, werden die Geräte, die durch diese öffentlichen UDS-Schlüssel identifiziert werden, als vertrauenswürdig eingestuft.
Damit Personen, die nur zum Ersetzen von Teilen autorisiert sind, nicht auch die Berechtigung zum Zuweisen von Gerätevertrauen erhalten, sollten sie nur Geräte mit einem VVMFactoryTrust erhalten, der nicht geschrieben werden kann. Ohne diese Vorsichtsmaßnahme könnte ein Werkstatttechniker bei einem vollständigen Austausch von Geräten im Fahrzeug authentische und nicht authentische Geräte mischen.
Die Unterstützung dieser Hardware-Vertrauensmethode ist optional und sollte nur implementiert werden, wenn die Bereitstellung von UDS-Zertifikaten am (oder vor dem) Fahrzeugmontageband nicht möglich ist.