[go: up one dir, main page]
More Web Proxy on the site http://driver.im/

DE102021206755A1 - Management of keys for secure communication between communication participants via a separate communication channel - Google Patents

Management of keys for secure communication between communication participants via a separate communication channel Download PDF

Info

Publication number
DE102021206755A1
DE102021206755A1 DE102021206755.7A DE102021206755A DE102021206755A1 DE 102021206755 A1 DE102021206755 A1 DE 102021206755A1 DE 102021206755 A DE102021206755 A DE 102021206755A DE 102021206755 A1 DE102021206755 A1 DE 102021206755A1
Authority
DE
Germany
Prior art keywords
communication
participant
secure
network
participants
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
DE102021206755.7A
Other languages
German (de)
Inventor
Konstantinos Dalamagkidis
Max Tuengerthal
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Siemens Mobility GmbH
Original Assignee
Siemens Mobility GmbH
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Siemens Mobility GmbH filed Critical Siemens Mobility GmbH
Priority to DE102021206755.7A priority Critical patent/DE102021206755A1/en
Priority to EP22735346.3A priority patent/EP4327506A1/en
Priority to PCT/EP2022/065679 priority patent/WO2023274678A1/en
Publication of DE102021206755A1 publication Critical patent/DE102021206755A1/en
Pending legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0819—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s)
    • H04L9/0827—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s) involving distinctive intermediate devices or communication paths
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/84—Vehicles

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Small-Scale Networks (AREA)
  • Mobile Radio Communication Systems (AREA)

Abstract

Die Erfindung betrifft ein Verfahren und ein System (1) zum Verwalten von Schlüsseln für eine sichere Kommunikation zwischen mehreren Kommunikationsteilnehmern (2, 4, 6). Bei dem Verfahren erfolgt (C, CC) die sichere Kommunikation über einen ersten Kommunikationskanal (10) zwischen den mehreren Kommunikationsteilnehmern (2, 4, 6). Eine Kommunikation zum Verwalten von Schlüsseln über einen von dem ersten Kommunikationskanal (10) getrennten zweiten Kommunikationskanal (20) erfolgt (B, BB) zwischen einem ersten Kommunikationsteilnehmer (4, 6) der mehreren Kommunikationsteilnehmer, welcher eine Clienteinrichtung (14, 16) umfasst, und einer Schlüsselverwaltungs-Servereinrichtung (22) .The invention relates to a method and a system (1) for managing keys for secure communication between a number of communication participants (2, 4, 6). In the method, secure communication (C, CC) takes place via a first communication channel (10) between the multiple communication participants (2, 4, 6). Communication for managing keys via a second communication channel (20) separate from the first communication channel (10) takes place (B, BB) between a first communication participant (4, 6) of the plurality of communication participants, which includes a client device (14, 16), and a key management server device (22).

Description

Die Erfindung betrifft ein Verfahren und ein System zum Verwalten von Schlüsseln für eine sichere Kommunikation zwischen mehreren Kommunikationsteilnehmern.The invention relates to a method and a system for managing keys for secure communication between a number of communication participants.

Virtuelle private Netzwerke (fachmännisch genannt VPN: Virtual Private Network) sind grundsätzlich bekannt und stellen Netzwerkverbindungen zur Verfügung, die von unbeteiligten Kommunikationsteilnehmern nicht einsehbar sind. Mit anderen Worten: Unbeteiligte Kommunikationsteilnehmer haben keinen Zugriff auf das virtuelle private Netzwerk.Virtual private networks (technically called VPN: Virtual Private Network) are known in principle and provide network connections that are not visible to uninvolved communication participants. In other words: uninvolved communication participants have no access to the virtual private network.

Ein Beispiel für eine Software zum Aufbau eines virtuellen privaten Netzwerks ist OpenVPN. Dabei werden Zertifikate eingesetzt, die mit Hilfe einer Zertifizierungsstelle (CA: Certificate Authority) validiert werden. Auf diese Weise ist es möglich, die Zertifikate eines Servers und eines mit dem Server über das virtuelle private Netzwerk kommunizierenden Clients unabhängig voneinander zu verwalten, insbesondere regelmäßig zu erneuern.An example of software for building a virtual private network is OpenVPN. Certificates are used that are validated with the help of a certification authority (CA: Certificate Authority). In this way it is possible to manage, in particular to regularly renew, the certificates of a server and of a client communicating with the server via the virtual private network independently of one another.

Vor diesem Hintergrund ist es Aufgabe der Erfindung, ein verbessertes Verfahren zur Verwaltung von Schlüsseln für eine sichere Kommunikation zwischen Kommunikationsteilnehmern anzugeben.Against this background, the object of the invention is to specify an improved method for managing keys for secure communication between communication participants.

Diese Aufgabe wird durch ein Verfahren zum Verwalten von Schlüsseln für eine sichere Kommunikation zwischen mehreren Kommunikationsteilnehmern gelöst, bei welchem die sichere Kommunikation über einen ersten Kommunikationskanal zwischen den mehreren Kommunikationsteilnehmern erfolgt. Eine Kommunikation zum Verwalten von Schlüsseln erfolgt über einen zweiten Kommunikationskanal zwischen einem ersten Kommunikationsteilnehmer der mehreren Kommunikationsteilnehmer, welcher eine Clienteinrichtung umfasst, und einer Schlüsselverwaltungs-Servereinrichtung. Der zweite Kommunikationskanal ist von dem ersten Kommunikationskanal getrennt.This object is achieved by a method for managing keys for secure communication between multiple communication participants, in which secure communication takes place via a first communication channel between the multiple communication participants. Communication for managing keys takes place via a second communication channel between a first communication participant of the plurality of communication participants, which includes a client device, and a key management server device. The second communication channel is separate from the first communication channel.

Mit der Erfindung wurde erkannt, dass es Verfahren zur sicheren Kommunikation gibt, die keinen Mechanismus zum Verwalten von Schlüsseln für die sichere Kommunikation aufweisen. Ein Verfahren dieser Art ist beispielsweise WireGuard. Eine Verwendung dieser Art von Verfahren zur sicheren Kommunikation ist jedoch in vielen Anwendungen wünschenswert, da diese performanter sein können und einen geringeren Konfigurationsaufwand erfordern. Das erfindungsgemäße Verfahren schafft für diese Art von Verfahren eine Lösung zum Verwalten der Schlüssel (über den zweiten Kommunikationskanal mit einer Schlüsselverwaltungs-Servereinrichtung).With the invention it was recognized that there are methods for secure communication that have no mechanism for managing keys for secure communication. A method of this type is WireGuard, for example. However, using this type of method for secure communication is desirable in many applications, since these can be more performant and require less configuration effort. The method according to the invention creates a solution for managing the keys (via the second communication channel with a key management server device) for this type of method.

Insbesondere wurde erkannt, dass Verfahren, die keinen Mechanismus zum Verwalten von Schlüsseln aufweisen, häufig über einen Fernzugriff mit geänderten (neuen) Schlüsseln versorgt werden müssen. Die erfindungsgemäße Lösung stellt demgegenüber eine Möglichkeit zur selbstständigen Verwaltung von Schlüsseln (ohne Fremdeingriff) dar. Dies ist besonders vorteilhaft in Szenarien, in denen ein Fremdeingriff nicht ständig möglich ist (beispielsweise aufgrund von zeitweise fehlender Konnektivität).In particular, it was recognized that methods that do not have a mechanism for managing keys often have to be supplied with changed (new) keys via remote access. In contrast, the solution according to the invention represents a possibility for independent management of keys (without external intervention). This is particularly advantageous in scenarios in which external intervention is not constantly possible (for example due to a temporary lack of connectivity).

Zudem basiert die Erfindung auf der Erkenntnis, dass während der Verwaltung von Schlüsseln, insbesondere bei einem Austausch der Schlüssel, beide Kommunikationsteilnehmer ihre Schlüssel aktualisieren müssen. Dafür ist eine Synchronisation zwischen der Schlüsselverwaltungs-Servereinrichtung und der Clienteinrichtung erforderlich. Diese Synchronisation kann die eigentliche sicherer Kommunikation beeinträchtigen. Beispielsweise kann eine Unterbrechung der sicheren Kommunikation für die Synchronisation erforderlich sein.In addition, the invention is based on the knowledge that during the management of keys, in particular when the keys are exchanged, both communication participants have to update their keys. This requires synchronization between the key management server device and the client device. This synchronization can affect the actual secure communication. For example, an interruption in secure communication may be required for synchronization.

Das erfindungsgemäße Verfahren behebt diese weiteren Probleme, indem die Kommunikation zum Verwalten von Schlüsseln über einen zweiten Kommunikationskanal zwischen einem ersten Kommunikationsteilnehmer und der Schlüsselverwaltungs-Servereinrichtung erfolgt. Der zweite Kommunikationskanal ist von dem ersten Kommunikationskanal getrennt.The method according to the invention eliminates these further problems in that the communication for managing keys takes place via a second communication channel between a first communication participant and the key management server device. The second communication channel is separate from the first communication channel.

Auf diese Weise kann eine Verwaltung von Schlüsseln ausgeführt werden, bei der die eigentliche sichere Kommunikation gar nicht oder zumindest in geringerem Umfang beeinträchtigt wird.In this way, keys can be managed in which the actual secure communication is not impaired at all or at least to a lesser extent.

Die sichere Kommunikation ist beispielsweise eine verschlüsselte Kommunikation. Vorzugsweise erfolgt die sichere Kommunikation über ein virtuelles privates Netzwerk (VPN: Virtual Private Network).The secure communication is, for example, an encrypted communication. The secure communication preferably takes place via a virtual private network (VPN: Virtual Private Network).

Die mehreren Kommunikationsteilnehmer sind beispielsweise Endgeräte, die datentechnisch mit einem Kommunikationsnetz verbunden sind und über dieses Kommunikationsnetz miteinander kommunizieren.The multiple communication participants are, for example, terminals that are connected to a communication network in terms of data technology and communicate with one another via this communication network.

Die Kommunikation zum Verwalten von Schlüsseln über den zweiten Kommunikationskanal erfolgt vorzugsweise unter Anwendung von HTTPS (Hypertext Transfer Protocol Secure). Beispielsweise baut jeder erste Kommunikationsteilnehmer, welcher als Client agiert, eine HTTPS-Verbindung mit der Schlüsselverwaltungs-Servereinrichtung auf. Dabei authentifiziert sich der Kommunikationsteilnehmer mit Hilfe eines X.509-Client-Zertifikats und beantragt einen Schlüssel. Die Schlüsselverwaltungs-Servereinrichtung validiert die Validität des Zertifikats und antwortet (basierend auf einem darin enthaltenen gemeinsamen Namen) mit einem entsprechenden Schlüssel für den Kommunikationsteilnehmer.The communication for managing keys via the second communication channel preferably takes place using HTTPS (Hypertext Transfer Protocol Secure). For example, each first communication participant, who acts as a client, establishes an HTTPS connection with the key management server device. The communication participant authenticates himself with the help of an X.509 client certificate and applies for a key. The key management The processing server device validates the validity of the certificate and responds (based on a common name contained therein) with a corresponding key for the communication party.

Der Fachmann versteht unter X.509-Client-Zertifikat vorzugsweise ein digitales Zertifikat gemäß dem Standard ISO/IEC 9594-8.The person skilled in the art understands X.509 client certificate to be preferably a digital certificate in accordance with the ISO/IEC 9594-8 standard.

Um die Datenübertragungsmengen zu reduzieren, kann die Schlüsselverwaltungs-Servereinrichtung HTTP-Caching über die Cachekontrolle und HTTP-ETag unterstützen. Dadurch wird der Kommunikationsteilnehmer in die Lage versetzt, den Schlüssel für eine vorgegebene Zeitdauer zu speichern und Datenübertragungsmengen zu reduzieren, wenn der Schlüssel sich nicht geändert hat. Diese Reduktion der Datenübertragungsmengen ist von besonderer Bedeutung, da das Verwalten von Schlüsseln auf diese Weise effizienter gestaltet wird. Dies führt wiederum zu einer Verringerung der Beeinträchtigung der eigentlichen (sicheren) Kommunikation über den ersten Kommunikationskanal.In order to reduce data transfer amounts, the key management server device can support HTTP caching via cache control and HTTP ETag. This enables the communication partner to store the key for a predetermined period of time and to reduce data transmission amounts if the key has not changed. This reduction in the amount of data transferred is of particular importance, as it makes managing keys more efficient. This in turn leads to a reduction in the impairment of the actual (secure) communication via the first communication channel.

Gemäß einer bevorzugten Ausführungsform des erfindungsgemäßen Verfahrens erfolgt die sichere Kommunikation über ein virtuelles privates Netzwerk und der zweite Kommunikationskanal liegt außerhalb des virtuellen privaten Netzwerks. Dies stellt eine besonders zweckmäßige Ausführungsform des erfindungsgemäßen Verfahrens dar.According to a preferred embodiment of the method according to the invention, the secure communication takes place via a virtual private network and the second communication channel is outside the virtual private network. This represents a particularly expedient embodiment of the method according to the invention.

Das virtuelle private Netzwerk wird fachmännisch häufig in englischer Sprache als „virtual private network“ bezeichnet und VPN abgekürzt. Die Kommunikationsverbindung zwischen zwei Kommunikationsteilnehmern, die durch das virtuelle private Netzwerk geschaffen wird, wird häufig als VPN-Tunnel bezeichnet.The virtual private network is often referred to in English as "virtual private network" and is abbreviated as VPN. The communication connection between two communication participants that is created by the virtual private network is often referred to as a VPN tunnel.

Bei einer weiteren bevorzugten Ausführungsform des erfindungsgemäßen Verfahrens erfolgt die sichere Kommunikation zwischen dem ersten Kommunikationsteilnehmer und einem zweiten Kommunikationsteilnehmer, welcher eine WireGuard-Servereinrichtung umfasst, unter Anwendung von WireGuard.In a further preferred embodiment of the method according to the invention, the secure communication between the first communication participant and a second communication participant, which includes a WireGuard server device, takes place using WireGuard.

Diese Ausführungsform basiert auf der Erkenntnis, dass ein auf WireGuard basiertes virtuelles privates Netzwerk bisher keinen Mechanismus zum Verwalten, insbesondere dem Austausch, von Schlüsseln aufweist und die Anwendung von WireGuard demnach darauf basiert, dass Schlüssel bereits verteilt wurden. Demnach ist die Anwendung des erfindungsgemäßen Verfahrens bei einem zweiten Kommunikationsteilnehmer, welcher eine WireGuard-Servereinrichtung umfasst und bei welcher die sichere Kommunikation unter Anwendung von WireGuard erfolgt, besonders vorteilhaft.This embodiment is based on the finding that a virtual private network based on WireGuard has not yet had a mechanism for managing, in particular for exchanging, keys and the use of WireGuard is therefore based on the fact that keys have already been distributed. Accordingly, the application of the method according to the invention is particularly advantageous for a second communication participant, which includes a WireGuard server device and in which the secure communication takes place using WireGuard.

Die Formulierung „unter Anwendung von WireGuard“ ist vorzugsweise dahingehend zu verstehen, dass das WireGuard-Protokoll bei der sicheren Kommunikation angewendet wird.The wording "using WireGuard" should preferably be understood to mean that the WireGuard protocol is used for secure communication.

Nach einer bevorzugten Weiterbildung dieser Ausführungsform umfasst der zweiten Kommunikationsteilnehmer die Schlüsselverwaltungs-Servereinrichtung. Mit anderen Worten: Der zweite Kommunikationsteilnehmer dient zum einen zur sicheren Kommunikation mit dem ersten Kommunikationsteilnehmer über den ersten Kommunikationskanal. Gleichzeitig kann der zweite Kommunikationsteilnehmer für die Verwaltung der Schlüssel über den zweiten Kommunikationskanal vorgesehen sein. Vorzugsweise umfasst der erste Kommunikationsteilnehmer eine Schlüsselverwaltungs-Clienteinrichtung, die für die Verwaltung der Schlüssel, insbesondere den Austausch von Schlüsseln mit der Schlüsselverwaltungs-Servereinrichtung, vorgesehen ist.According to a preferred development of this embodiment, the second communication participant includes the key management server device. In other words: the second communication participant is used on the one hand for secure communication with the first communication participant via the first communication channel. At the same time, the second communication participant can be provided for managing the key via the second communication channel. The first communication participant preferably includes a key management client device which is provided for managing the keys, in particular for exchanging keys with the key management server device.

Die oben beschriebene WireGuard-Servereinrichtung und die Schlüsselverwaltungs-Servereinrichtung können jeweils eine Softwarekomponente des zweiten Kommunikationsteilnehmers sein. Analog können die Clienteinrichtung und die Schlüsselverwaltungs-Clienteinrichtung jeweils eine Softwarekomponente des ersten Kommunikationsteilnehmers sein. The WireGuard server device described above and the key management server device can each be a software component of the second communication participant. Analogously, the client device and the key management client device can each be a software component of the first communication participant.

Der zweite Kommunikationskanal kann beispielsweise ein physikalisch von dem ersten Kommunikationskanal getrennter Kommunikationskanal sein. Nach einer bevorzugten Ausführungsform ist der zweite Kommunikationskanal logisch von dem ersten Kommunikationskanal getrennt.The second communication channel can be, for example, a communication channel that is physically separate from the first communication channel. According to a preferred embodiment, the second communication channel is logically separated from the first communication channel.

Auf diese Weise kann der zweite Kommunikationskanal auf demselben Kommunikationsnetz wie der erste Kommunikationskanal liegen. Das gemeinsame Kommunikationsnetz, auf dem der erste und zweite Kommunikationskanal liegt, ist beispielsweise ein Ethernet-Netzwerk.In this way, the second communication channel can be on the same communication network as the first communication channel. The common communications network on which the first and second communications channels are located is an Ethernet network, for example.

Der erste Kommunikationskanal für die sichere Kommunikation wendet beispielsweise das WireGuard-Protokoll an. Die logische Trennung wird beispielsweise dadurch erzielt, dass die Kommunikation zum Verwalten von Schlüsseln über den zweiten Kommunikationskanal unter Anwendung von HTTPS erfolgt.The first communication channel for secure communication uses the WireGuard protocol, for example. The logical separation is achieved, for example, in that the communication for managing keys takes place via the second communication channel using HTTPS.

Bei einer weiteren bevorzugten Ausführungsform des erfindungsgemäßen Verfahrens sind die Kommunikationsteilnehmer als Endgeräte ausgebildet, die datentechnisch mit einem Kommunikationsnetz eines Fahrzeugs und/oder einem landseitigen Kommunikationsnetz, welches zur Kommunikation mit dem Kommunikationsnetz des Fahrzeugs dient, verbunden sind.In a further preferred embodiment of the method according to the invention, the communication participants are in the form of terminals which, in terms of data technology, are connected to a communication Network of a vehicle and / or a land-based communication network, which is used for communication with the communication network of the vehicle are connected.

Dies stellt eine besonders zweckmäßige Anwendung des erfindungsgemäßen Verfahrens dar. Denn insbesondere bei der Anwendung des erfindungsgemäßen Verfahrens für den Betrieb eines Fahrzeugs ist die Verwaltung von Schlüsseln über einen getrennten zweiten Kommunikationskanal besonders vorteilhaft, da die Beeinträchtigung der sicheren Kommunikation über den ersten Kommunikationskanal den Betrieb des Fahrzeugs beeinträchtigen kann. Auch ein Fernzugriff, der der Verwaltung von Schlüsseln dienen soll, ist bei der Anwendung in einem Fahrzeug (aufgrund der zeitweisen fehlenden Konnektivität) nachteilig. Aus diesem Grund ist das erfindungsgemäße Verfahren besonders zweckmäßig für einen teilautomatisierten oder automatisierten Betrieb eines Fahrzeugs für den auch die Verwaltung der Schlüssel selbstständig erfolgen kann.This represents a particularly useful application of the method according to the invention. In particular when using the method according to the invention for the operation of a vehicle, the management of keys via a separate second communication channel is particularly advantageous, since the impairment of secure communication via the first communication channel impairs the operation of the vehicle. Remote access, which is intended to manage keys, is also disadvantageous when used in a vehicle (due to the temporary lack of connectivity). For this reason, the method according to the invention is particularly expedient for partially automated or automated operation of a vehicle for which the keys can also be managed independently.

Vorzugsweise sind die Endgeräte drahtgebunden an das Kommunikationsnetz des Fahrzeugs und/oder an das landseitige Kommunikationsnetz angeschlossen.The terminals are preferably connected to the communication network of the vehicle and/or to the land-based communication network by wire.

Gemäß einer bevorzugten Weiterbildung ist das Fahrzeug ein spurgebundenes Fahrzeug, insbesondere ein Schienenfahrzeug.According to a preferred development, the vehicle is a track-bound vehicle, in particular a rail vehicle.

Nach einer weiteren bevorzugten Ausführungsform des erfindungsgemäßen Verfahrens umfasst der erste Kommunikationsteilnehmer eine Schlüsselverwaltung-Clienteinrichtung, wobei ein privater und ein öffentlicher Schlüssel für die sichere Kommunikation mittels der Schlüsselverwaltungs-Clienteinrichtung erzeugt wird und der öffentliche Schlüssel über den zweiten Kommunikationskanal an die Schlüsselverwaltung-Servereinrichtung gesendet wird.According to a further preferred embodiment of the method according to the invention, the first communication participant comprises a key management client device, with a private and a public key for secure communication being generated by means of the key management client device and the public key being sent to the key management server device via the second communication channel .

Bei dieser für die Anwendung des erfindungsgemäßen Verfahrens zweckmäßigen Konstellation ist der erste Kommunikationsteilnehmer in der Lage, einen privaten und öffentlichen Schlüssel selbst zu erzeugen. Der erzeugte Schlüssel wird an die Schlüsselverwaltungs-Servereinrichtung gesendet. Vorzugsweise quittiert die Schlüsselverwaltungs-Servereinrichtung den Erhalt des Schlüssels und versendet öffentliche Schlüssel weiterer Kommunikationsteilnehmern an den ersten Kommunikationsteilnehmer.In this constellation, which is expedient for the application of the method according to the invention, the first communication participant is able to generate a private and public key himself. The generated key is sent to the key management server device. The key management server device preferably acknowledges receipt of the key and sends the public keys of other communication participants to the first communication participant.

Der Fachmann versteht die Begriffe „privater“ und „öffentlicher“ Schlüssel vorzugsweise im Sinne einer asymmetrischen Verschlüsselung (auch Public-Key-Verschlüsselungsverfahren genannt).The person skilled in the art understands the terms “private” and “public” key preferably in the sense of an asymmetric encryption (also called public-key encryption method).

Bei einer weiteren bevorzugten Ausführungsform des erfindungsgemäßen Verfahrens wird ein privater und ein öffentlicher Schlüssel für die sichere Kommunikation mittels der Schlüsselverwaltungs-Servereinrichtung erzeugt und zumindest der private (und vorzugsweise öffentliche) Schlüssel über den zweiten Kommunikationskanal an den ersten Kommunikationsteilnehmer gesendet.In a further preferred embodiment of the method according to the invention, a private and a public key for secure communication are generated using the key management server device and at least the private (and preferably public) key is sent to the first communication participant via the second communication channel.

Bei dieser für die Anwendung des erfindungsgemäßen Verfahrens besonders zweckmäßigen Konstellation ist der erste Kommunikationsteilnehmer selbst nicht in der Lage, einen privaten Schlüssel zu erzeugen. Dies ist beispielsweise häufig bei Kommunikationsteilnehmern der Fall, die als eingebettete Geräte ausgebildet sind und keinen eigenen Zufallszahlengenerator aufweisen. Der erzeugte Schlüssel (insbesondere der private und öffentliche Schlüssel) wird an den ersten Kommunikationsteilnehmer gesendet. Zusätzlich werden vorzugsweise öffentliche Schlüssel weiterer Kommunikationsteilnehmer an den ersten Kommunikationsteilnehmer gesendet.In this constellation, which is particularly expedient for the application of the method according to the invention, the first communication participant is not able to generate a private key himself. This is often the case, for example, with communication participants that are in the form of embedded devices and do not have their own random number generator. The generated key (in particular the private and public key) is sent to the first communication participant. In addition, preferably public keys of other communication participants are sent to the first communication participant.

Die Erfindung betrifft ferner ein Computerprogramm, umfassend Programmbefehle, die bei der Ausführung des Programms durch eine Recheneinrichtung diese verlassen, das Verfahren der vorstehend beschriebenen Art auszuführen. Die Erfindung betrifft ferner ein Computerprogrammprodukt mit einem Computerprogramm der vorstehend beschriebenen Art.The invention also relates to a computer program, comprising program instructions which, when the program is executed by a computing device, leave the latter in order to carry out the method of the type described above. The invention also relates to a computer program product with a computer program of the type described above.

Die Erfindung betrifft ferner eine Bereitstellungsvorrichtung für das Computerprogramm der vorstehend beschriebenen Art. Die Bereitstellungsvorrichtung ist beispielsweise eine Speichereinheit, die das Computerprogramm speichert und/oder bereitstellt. Alternativ und/oder zusätzlich ist die Bereitstellungsvorrichtung beispielsweise ein Netzwerkdienst, ein Computersystem, ein Serversystem, insbesondere ein verteiltes, beispielsweise cloudbasiertes Computersystem und/oder virtuelles Rechnersystem, welches das Computerprogramm vorzugsweise in Form eines Datenstroms speichert und/oder bereitstellt.The invention also relates to a provision device for the computer program of the type described above. The provision device is, for example, a memory unit that stores and/or provides the computer program. Alternatively and/or additionally, the provision device is, for example, a network service, a computer system, a server system, in particular a distributed, for example cloud-based computer system and/or virtual computer system, which stores and/or provides the computer program preferably in the form of a data stream.

Die Bereitstellung erfolgt in Form eines Programmdatenblocks als Datei, insbesondere als Downloaddatei, oder als Datenstrom, insbesondere als Downloaddatenstrom, des Computerprogramms. Diese Bereitstellung kann beispielsweise aber auch als partieller Download erfolgen, der aus mehreren Teilen besteht. Ein solches Computerprogramm wird beispielsweise unter Verwendung der Bereitstellungsvorrichtung in ein System eingelesen, sodass das erfindungsgemäße Verfahren auf einem Computer zur Ausführung gebracht wird.The provision takes place in the form of a program data block as a file, in particular as a download file, or as a data stream, in particular as a download data stream, of the computer program. However, this provision can also be made, for example, as a partial download consisting of several parts. Such a computer program is read into a system, for example using the provision device, so that the method according to the invention is executed on a computer.

Die Erfindung betrifft ferner ein System zum Verwalten von Schlüsseln für eine sichere Kommunikation zwischen mehreren Kommunikationsteilnehmern. Das System umfasst einen ersten Kommunikationskanal, welcher ausgebildet ist, eine sichere Kommunikation zwischen den mehreren Kommunikationsteilnehmern zu unterstützen. Das System umfasst ferner einen zweiten Kommunikationskanal, welcher von dem ersten Kommunikationskanal getrennt und ausgebildet ist, eine Kommunikation zum Verwalten von Schlüsseln zwischen einem ersten Kommunikationsteilnehmer der mehreren Kommunikationsteilnehmer, welcher eine Clienteinrichtung umfasst, und einer Schlüsselverwaltungs-Servereinrichtung zu unterstützen.The invention also relates to a system for managing keys for secure communication between a number of communication participants. The system includes a first communication channel, which is designed to support secure communication between the multiple communication participants. The system further includes a second communication channel that is separate from the first communication channel and configured to support communication for managing keys between a first communication party of the plurality of communication parties, which includes a client device, and a key management server device.

Gemäß einer bevorzugten Ausführungsform des erfindungsgemäßen Systems ist der erste Kommunikationsteilnehmer datentechnisch an ein Kommunikationsnetz eines Fahrzeugs angeschlossen und der zweite Kommunikationsteilnehmer datentechnisch an ein landseitiges Kommunikationsnetz, welches zur Kommunikation mit dem Kommunikationsnetz des Fahrzeugs dient, angeschlossen.According to a preferred embodiment of the system according to the invention, the first communication participant is connected in terms of data technology to a communication network of a vehicle and the second communication participant is connected in terms of data technology to a land-based communication network which is used for communication with the communication network of the vehicle.

Nach einer weiteren bevorzugten Ausführungsform des erfindungsgemäßen Systems ist der erste Kommunikationsteilnehmer datentechnisch an ein landseitiges Kommunikationsnetz, welches zur Kommunikation mit einem Kommunikationsnetz eines Fahrzeugs dient, angeschlossen und der zweite Kommunikationsteilnehmer datentechnisch an ein Kommunikationsnetz des Fahrzeugs angeschlossen.According to a further preferred embodiment of the system according to the invention, the first communication participant is connected in terms of data to a land-based communication network, which is used for communication with a communication network of a vehicle, and the second communication participant is connected in terms of data to a communication network of the vehicle.

Zu Vorteilen, Ausführungsformen und Ausgestaltungsdetails des erfindungsgemäßen Computerprogramms, der erfindungsgemäßen Bereitstellungsvorrichtung und des erfindungsgemäßen Systems kann auf die vorstehende Beschreibung zu den entsprechenden Merkmalen des erfindungsgemäßen Verfahrens verwiesen werden.For advantages, embodiments and configuration details of the computer program according to the invention, the provision device according to the invention and the system according to the invention, reference can be made to the above description of the corresponding features of the method according to the invention.

Ausführungsbeispiele der Erfindung werden anhand der Zeichnungen erläutert. Es zeigen:

  • 1 schematisch den Aufbau eines Ausführungsbeispiels des erfindungsgemäßen Systems,
  • 2 schematisch den Ablauf eines Ausführungsbeispiels des erfindungsgemäßen Verfahrens,
  • 3 schematisch den Ablauf eines weiteren Ausführungsbeispiels des erfindungsgemäßen Verfahrens und
  • 4 schematisch den Aufbau eines Ausführungsbeispiels eines Fahrzeugs und einer landseitigen Einrichtung, die ein erfindungsgemäßes System bilden.
Embodiments of the invention are explained with reference to the drawings. Show it:
  • 1 schematically the structure of an embodiment of the system according to the invention,
  • 2 schematically the sequence of an embodiment of the method according to the invention,
  • 3 schematically shows the sequence of a further embodiment of the method according to the invention and
  • 4 schematically shows the structure of an embodiment of a vehicle and a land-based device that form a system according to the invention.

1 zeigt eine schematische Ansicht eines Systems 1 mit mehreren Kommunikationsteilnehmern 2, 4 und 6. 2 zeigt ein schematisches Ablaufdiagramm, welches den Ablauf des Ausführungsbeispiels des erfindungsgemäßen Verfahrens darstellt. 1 shows a schematic view of a system 1 with several communication participants 2, 4 and 6. 2 shows a schematic flowchart which shows the sequence of the exemplary embodiment of the method according to the invention.

Der Kommunikationsteilnehmer 2 ist als Server vorgesehen und umfasst eine WireGuard-Servereinrichtung 12 zur sicheren Kommunikation mit den Kommunikationsteilnehmern 4 und 6 sowie eine Schlüsselverwaltungs-Servereinrichtung 22.The communication participant 2 is provided as a server and includes a WireGuard server device 12 for secure communication with the communication participants 4 and 6 as well as a key management server device 22.

Der Kommunikationsteilnehmer 4 bzw. 6 ist als Client vorgesehen und umfasst jeweils eine Clienteinrichtung 14 bzw. 16 zur sicheren Kommunikation mit dem Kommunikationsteilnehmer 2 und eine Schlüsselverwaltungs-Clienteinrichtung 24 bzw. 26.The communication participant 4 or 6 is provided as a client and each includes a client device 14 or 16 for secure communication with the communication participant 2 and a key management client device 24 or 26.

1 zeigt einen einzigen Kommunikationsteilnehmer 2, der als Server vorgesehen ist, und zwei Kommunikationsteilnehmer 4 und 6, die als Client vorgesehen sind. Eine Konstellation mit mehr als einem bzw. mehr als zwei Kommunikationsteilnehmern 2 bzw. 4, 6 ist jedoch von dem Gedanken der Erfindung umfasst. 1 shows a single communication participant 2, which is intended as a server, and two communication participants 4 and 6, which are intended as clients. However, a constellation with more than one or more than two communication participants 2 or 4, 6 is covered by the concept of the invention.

Die Kommunikationsteilnehmer 4 und 6 werden im Folgenden unter anderem jeweils als erster Kommunikationsteilnehmer bezeichnet und der Kommunikationsteilnehmer 2 wird im Folgenden jeweils als zweiter Kommunikationsteilnehmer bezeichnet.The communication participants 4 and 6 are referred to below as the first communication participant, among other things, and the communication participant 2 is referred to below as the second communication participant.

Die sichere Kommunikation zwischen dem Kommunikationsteilnehmer 2 und den Kommunikationsteilnehmern 4 und 6 ist unter Anwendung des WireGuard-Protokolls über einen ersten Kommunikationskanal 10 vorgesehen. Die Clienteinrichtung 14 bzw. 16 ist demnach als WireGuard-Client vorgesehen.The secure communication between the communication participant 2 and the communication participants 4 and 6 is provided using the WireGuard protocol via a first communication channel 10 . The client device 14 or 16 is therefore provided as a WireGuard client.

Die sichere Kommunikation über den ersten Kommunikationskanal 10 setzt voraus, dass Schlüsselmaterial an die Kommunikationsteilnehmer verteilt wurde bzw. zwischen diesen ausgetauscht wurde. Dazu ist der Kommunikationsteilnehmer 2 jeweils über einen zweiten Kommunikationskanal 20 mit dem Kommunikationsteilnehmer 4 und 6 verbunden. Dieser zweite Kommunikationskanal 20 ist logisch von dem ersten Kommunikationskanal 10 getrennt. Beispielsweise liegen der erste und zweite Kommunikationskanal 10 und 20 auf einem gemeinsamen Kommunikationsnetz 30, beispielsweise einem Ethernet-Netzwerk.Secure communication via the first communication channel 10 presupposes that key material has been distributed to the communication participants or has been exchanged between them. For this purpose, the communication participant 2 is connected to the communication participant 4 and 6 via a second communication channel 20 in each case. This second communication channel 20 is logically separated from the first communication channel 10 . For example, the first and second communication channels 10 and 20 are on a common communication network 30, for example an Ethernet network.

In einem Verfahrensschritt A erzeugt die Schlüsselverwaltungs-Servereinrichtung 22 Schlüsselmaterial für die sichere Kommunikation.In a method step A, the key management server device 22 generates key material for secure communication.

Die Kommunikation zum Verwalten von Schlüsseln erfolgt in einem Verfahrensschritt B über den zweiten Kommunikationskanal 20, der von dem ersten Kommunikationskanal 10 getrennt ist. Insbesondere erfolgt die sichere Kommunikation über ein virtuelles privates Netzwerk (auch genannt VPN: Virtual Private Network) unter Anwendung von WireGuard über den ersten Kommunikationskanal 10, wobei der zweite Kommunikationskanal 20 außerhalb des virtuellen privaten Netzwerks liegt.The communication for managing keys takes place in a method step B via the second communication channel 20 which is separate from the first communication channel 10 . In particular, the secure communication takes place via a virtual private network (also called VPN: Virtual Private Network) using WireGuard via the first communication channel 10, with the second communication channel 20 being outside the virtual private network.

Diese Kommunikation zum Verwalten von Schlüsseln ist gemäß dem gezeigten Ausführungsbeispiel eine Kommunikation zum Austausch von Schlüsseln und erfolgt unter Anwendung von HTTPS (Hypertext Transfer Protocol Secure). Dazu baut der erste Kommunikationsteilnehmer 4 bzw. 6 in einem Verfahrensschritt B1 eine HTTPS-Verbindung mit der Schlüsselverwaltungs-Servereinrichtung 22 auf. In einem Verfahrensschritt B2 authentifiziert sich der erste Kommunikationsteilnehmer 4 bzw. 6 mit Hilfe eines X.509-Client-Zertifikats und beantragt einen Schlüssel. Die Schlüsselverwaltungs-Servereinrichtung 22 validiert die Validität des Zertifikats in einem Verfahrensschritt B3. Basierend auf einem darin enthaltenen gemeinsamen Namen stellt die Schlüsselverwaltungs-Servereinrichtung 22 in einem Verfahrensschritt B4 einen privaten und öffentlichen Schlüssel, die von dem ersten Kommunikationsteilnehmer 4 bzw. 6 für die folgende sichere Kommunikation verwendet werden, bereit. In einem Verfahrensschritt B5 antwortet die Schlüsselverwaltungs-Servereinrichtung 22 mit einem entsprechenden Schlüssel für den Kommunikationsteilnehmer 4 bzw. 6: Dabei sendet die Schlüsselverwaltungs-Servereinrichtung 22 einen privaten und einen öffentlichen Schlüssel an den ersten Kommunikationsteilnehmer 4 bzw. 6.According to the exemplary embodiment shown, this communication for managing keys is a communication for exchanging keys and takes place using HTTPS (Hypertext Transfer Protocol Secure). For this purpose, the first communication participant 4 or 6 sets up an HTTPS connection with the key management server device 22 in a method step B1. In a method step B2, the first communication participant 4 or 6 authenticates itself using an X.509 client certificate and requests a key. The key management server device 22 validates the validity of the certificate in a method step B3. Based on a common name contained therein, the key management server device 22 provides a private and public key in a method step B4, which are used by the first communication participant 4 or 6 for the subsequent secure communication. In a method step B5, the key management server device 22 responds with a corresponding key for the communication participant 4 or 6: The key management server device 22 sends a private key and a public key to the first communication participant 4 or 6.

Zudem werden in einem Verfahrensschritt B6 öffentliche Schlüssel weiterer Kommunikationsteilnehmer 6 bzw. 4 an den Kommunikationsteilnehmer 4 bzw. 6 übertragen.In addition, public keys of further communication participants 6 or 4 are transmitted to the communication participant 4 or 6 in a method step B6.

Um die Datenübertragungsmengen zu reduzieren, unterstützt die Schlüsselverwaltungs-Servereinrichtung 22 HTTP-Caching über die Cachekontrolle und HTTP-ETag. Dadurch wird der Kommunikationsteilnehmer 4 bzw. 6 in die Lage versetzt, den Schlüssel für eine vorgegebene Zeitdauer zu speichern und Datenübertragungsmengen zu reduzieren, wenn der Schlüssel sich nicht geändert hat.To reduce data transfer amounts, the key management server device 22 supports HTTP caching via cache control and HTTP ETag. This puts the communication participant 4 or 6 in a position to store the key for a predetermined period of time and to reduce data transmission volumes if the key has not changed.

In einem Verfahrensschritt B7 wird die Verbindung zwischen dem ersten Kommunikationsteilnehmer 4 bzw. 6 und der Schlüsselverwaltungs-Servereinrichtung 22 abgebaut.In a method step B7, the connection between the first communication subscriber 4 or 6 and the key management server device 22 is cleared.

Nun liegen die Voraussetzungen für die sichere Kommunikation zwischen dem Kommunikationsteilnehmer 2 und den Kommunikationsteilnehmern 4 und 6 vor. Diese erfolgt in einem Verfahrensschritt C unter Anwendung des WireGuard-Protokolls über den ersten Kommunikationskanal 10.The prerequisites for secure communication between communication participant 2 and communication participants 4 and 6 are now in place. This takes place in a method step C using the WireGuard protocol via the first communication channel 10.

Das in 3 gezeigte schematische Ablaufdiagramm stellt ein weiteres Ausführungsbeispiel des erfindungsgemäßen Verfahrens dar. Dieses geht von einer Konstellation aus, bei dem die Schlüsselverwaltungs-Clienteinrichtung 24 einen Zufallszahlengenerator 25 (in 1 gestrichelt dargestellt) aufweist und in der Lage ist, Schlüsselmaterial selbst zu erzeugen. Die gestrichelte Darstellung des Zufallszahlengenerators 25 in 1 soll verdeutlichen, dass bei dem in Bezug auf 2 beschriebenen Ausführungsbeispiel des erfindungsgemäßen Verfahrens ein Zufallszahlengenerator 25 nicht vorhanden ist.This in 3 The schematic flowchart shown represents a further exemplary embodiment of the method according to the invention. This is based on a constellation in which the key management client device 24 has a random number generator 25 (in 1 shown in dashed lines) and is able to generate key material itself. The dashed representation of the random number generator 25 in 1 is intended to clarify that in relation to 2 described embodiment of the method according to the invention a random number generator 25 is not available.

Demnach erzeugt die Schlüsselverwaltungs-Clienteinrichtung 24 in einem Verfahrensschritt AA Schlüsselmaterial, insbesondere einen privaten und öffentlichen Schlüssel, für die sichere Kommunikation.Accordingly, in a method step AA, the key management client device 24 generates key material, in particular a private and public key, for secure communication.

Die Kommunikation zum Verwalten von Schlüsseln erfolgt in einem Verfahrensschritt BB über den zweiten Kommunikationskanal 20:

  • In einem Verfahrensschritt BB1 baut der erste Kommunikationsteilnehmer 4 eine HTTPS-Verbindung mit der Schlüsselverwaltungs-Servereinrichtung 22 auf. In einem Verfahrensschritt BB2 stellt die Schlüsselverwaltungs-Clienteinrichtung 24 einen öffentlichen Schlüssel (auf Basis des eigenständig in Verfahrensschritt AA erzeugten Schlüsselmaterials) zur Übertragung an die Schlüsselverwaltungs-Servereinrichtung 22 zur Verfügung und sendet diesen an die Schlüsselverwaltungs-Servereinrichtung 22. In einem Verfahrensschritt BB3 stellt die Schlüsselverwaltungs-Servereinrichtung 22 ihren öffentlichen Schlüssel zur Übertragung an die Schlüsselverwaltungs-Clienteinrichtung 24 bereit.
The communication for managing keys takes place in a method step BB via the second communication channel 20:
  • In a method step BB1, the first communication participant 4 establishes an HTTPS connection with the key management server device 22. In a method step BB2, the key management client device 24 provides a public key (based on the key material generated independently in method step AA) for transmission to the key management server device 22 and sends it to the key management server device 22. In a method step BB3, the Key management server device 22 ready their public key for transmission to the key management client device 24.

Zudem wird in einem Verfahrensschritt BB4 der öffentliche Schlüssel des weiteren Kommunikationsteilnehmers 6 an den Kommunikationsteilnehmer 4 übertragen.In addition, the public key of the further communication participant 6 is transmitted to the communication participant 4 in a method step BB4.

In einem Verfahrensschritt BB5 wird die Verbindung zwischen dem ersten Kommunikationsteilnehmer 4 und der Schlüsselverwaltungs-Servereinrichtung 22 abgebaut.In a method step BB5, the connection between the first communication subscriber 4 and the key management server device 22 is cleared.

Nun liegen die Voraussetzungen für die sichere Kommunikation zwischen dem Kommunikationsteilnehmer 2 und dem Kommunikationsteilnehmer 4 vor. Diese erfolgt in einem Verfahrensschritt CC unter Anwendung des WireGuard-Protokolls über den ersten Kommunikationskanal 10.The prerequisites for secure communication between the communication participant 2 and the communication participant are now in place more 4 before. This takes place in a method step CC using the WireGuard protocol via the first communication channel 10.

4 zeigt eine schematische Ansicht eines Systems 1 mit einem Fahrzeug 103 und einer landseitigen Einrichtung 105. Das Fahrzeug 103 ist ein spurgebundenes Fahrzeug 107, insbesondere ein Schienenfahrzeug 109. Die landseitige Einrichtung 105 ist Teil einer Betriebsleitzentrale. 4 shows a schematic view of a system 1 with a vehicle 103 and a land-based device 105. The vehicle 103 is a rail vehicle 107, in particular a rail vehicle 109. The land-based device 105 is part of an operations control center.

Das spurgebundene Fahrzeug 105 weist ein Kommunikationsnetz 30 auf, welches beispielsweise als Ethernet-Netz ausgebildet ist. An das Kommunikationsnetz 30 sind unter anderem ein Endgerät 9 sowie eine Servereinrichtung 110 datentechnisch angeschlossen. Beispielsweise ist das Endgerät 9 eine Fahrgastzähleinrichtung, die gemeinsam mit der Servereinrichtung 110 ein sogenanntes automatisches Fahrgastzählsystem (fachmännisch häufig AFZS abgekürzt) bildet. Zudem ist ein Kommunikationsgateway 111 an das Kommunikationsnetz 30 angeschlossen. Das Kommunikationsgateway 111 ist beispielsweise ein sogenanntes Mobile-Communication-Gateway (MCG). Das Kommunikationsgateway 111 ist mit einer drahtlosen Kommunikationsschnittstelle 113 verbunden. Das Kommunikationsgateway 111 bildet zusammen mit der drahtlosen Kommunikationsschnittstelle 113 eine Kommunikationseinrichtung 115, welche ausgebildet ist, Daten an die landseitige Einrichtung 105 zu senden und Daten von der landseitigen Einrichtung 105 zu empfangen.The rail-bound vehicle 105 has a communication network 30 which is designed, for example, as an Ethernet network. Among other things, a terminal device 9 and a server device 110 are connected to the communication network 30 in terms of data technology. For example, the terminal 9 is a passenger counting device which, together with the server device 110, forms a so-called automatic passenger counting system (often abbreviated as AFZS by experts). In addition, a communication gateway 111 is connected to the communication network 30 . The communication gateway 111 is, for example, what is known as a mobile communication gateway (MCG). The communication gateway 111 is connected to a wireless communication interface 113 . The communication gateway 111 together with the wireless communication interface 113 forms a communication device 115 which is designed to send data to the land-side device 105 and to receive data from the land-side device 105 .

Die landseitige Einrichtung 105 weist ein Kommunikationsnetz 117 auf, welches als Ethernet-Netz ausgebildet ist. An das Kommunikationsnetz 117 sind beispielsweise eine landseitige Servereinrichtung 119 und ein Endgerät 120 angeschlossen. Zudem ist ein Ground-Communication-Gateway 121 an das Kommunikationsnetz 117 angeschlossen, welches mit einer drahtlosen Kommunikationsschnittstelle 123 verbunden ist. Das Ground-Communication-Gateway 121 bildet zusammen mit der drahtlosen Kommunikationsschnittstelle 123 eine Kommunikationseinrichtung 125, welche ausgebildet ist, Daten von dem Fahrzeug 103 zu empfangen.The land-based device 105 has a communication network 117 which is in the form of an Ethernet network. A land-side server device 119 and a terminal 120 are connected to the communication network 117, for example. In addition, a ground communication gateway 121 is connected to the communication network 117 which is connected to a wireless communication interface 123 . Together with the wireless communication interface 123, the ground communication gateway 121 forms a communication device 125 which is designed to receive data from the vehicle 103.

Die Kommunikationseinrichtungen 115 und 125 bilden gemeinsam eine Kommunikationsverbindung 130 zum Übertragen von Daten zwischen dem spurgebundenen Fahrzeug 107 und der landseitigen Einrichtung 105.The communication devices 115 and 125 together form a communication link 130 for transmitting data between the rail-bound vehicle 107 and the land-based device 105.

Die sichere Kommunikation gemäß dem Verfahrensschritt A erfolgt beispielsweise zwischen dem Endgerät 9 (als erster Kommunikationsteilnehmer) und der landseitigen Servereinrichtung 119 (als zweiter Kommunikationsteilnehmer). Der erste Kommunikationskanal (nicht in 4 gezeigt) und zweite Kommunikationskanal (nicht in 4 gezeigt) liegen dabei auf dem Kommunikationsnetz 30, der Kommunikationsverbindung 130 und dem landseitigen Kommunikationsnetz 117.The secure communication according to method step A takes place, for example, between the terminal 9 (as the first communication participant) and the land-side server device 119 (as the second communication participant). The first communication channel (not in 4 shown) and second communication channel (not in 4 shown) lie on communication network 30, communication link 130 and land-based communication network 117.

Alternativ kann die sichere Kommunikation gemäß dem Verfahrensschritt A beispielsweise zwischen dem Endgerät 120 (als erster Kommunikationsteilnehmer) und der Servereinrichtung 110 (als zweiter Kommunikationsteilnehmer) erfolgen. Auch bei dieser Alternative liegen der erste Kommunikationskanal und zweite Kommunikationskanal auf dem Kommunikationsnetz 30, der Kommunikationsverbindung 130 und dem landseitigen Kommunikationsnetz 117.Alternatively, the secure communication according to method step A can take place, for example, between the terminal 120 (as the first communication participant) and the server device 110 (as the second communication participant). In this alternative, too, the first communication channel and second communication channel are on communication network 30, communication link 130 and land-side communication network 117.

Obwohl die Erfindung im Detail durch das bevorzugte Ausführungsbeispiel näher illustriert und beschrieben wurde, so ist die Erfindung nicht durch die offenbarten Beispiele eingeschränkt und andere Variationen können vom Fachmann hieraus abgeleitet werden, ohne den Schutzumfang der Erfindung zu verlassen.Although the invention has been illustrated and described in detail by the preferred embodiment, the invention is not limited by the disclosed examples and other variations can be derived therefrom by those skilled in the art without departing from the scope of the invention.

Claims (14)

Verfahren zum Verwalten von Schlüsseln für eine sichere Kommunikation zwischen mehreren Kommunikationsteilnehmern (2, 4, 6), bei welchem - die sichere Kommunikation über einen ersten Kommunikationskanal (10) zwischen den mehreren Kommunikationsteilnehmern (2, 4, 6) erfolgt (C, CC) und - eine Kommunikation zum Verwalten von Schlüsseln über einen von dem ersten Kommunikationskanal (10) getrennten zweiten Kommunikationskanal (20) zwischen o einem ersten Kommunikationsteilnehmer (4, 6) der mehreren Kommunikationsteilnehmer, welcher eine Clienteinrichtung (14, 16) umfasst, und o einer Schlüsselverwaltungs-Servereinrichtung (22) erfolgt (B, BB).Method for managing keys for secure communication between multiple communication participants (2, 4, 6), in which - Secure communication takes place via a first communication channel (10) between the plurality of communication participants (2, 4, 6) (C, CC) and - A communication for managing keys via one of the first communication channel (10) separate second communication channel (20) between o a first communication participant (4, 6) of the plurality of communication participants, which includes a client device (14, 16), and o a key management server device (22) (B, BB). Verfahren nach Anspruch 1, bei welchem die sichere Kommunikation über ein virtuelles privates Netzwerk erfolgt und der zweite Kommunikationskanal (20) außerhalb des virtuellen privaten Netzwerks liegt.procedure after claim 1 , in which the secure communication takes place via a virtual private network and the second communication channel (20) is outside the virtual private network. Verfahren nach Anspruch 1 oder 2, bei welchem die sichere Kommunikation zwischen dem ersten Kommunikationsteilnehmer (4, 6) und einem zweiten Kommunikationsteilnehmer (2), welcher eine WireGuard-Servereinrichtung (12) umfasst, unter Anwendung von WireGuard erfolgt.procedure after claim 1 or 2 , in which the secure communication between the first communication participant (4, 6) and a second communication participant (2), which includes a WireGuard server device (12), takes place using WireGuard. Verfahren nach Anspruch 3, bei welchem der zweite Kommunikationsteilnehmer (2) die Schlüsselverwaltungs-Servereinrichtung (22) umfasst.procedure after claim 3 , in which the second communication participant (2) includes the key management server device (22). Verfahren nach wenigstens einem der vorhergehenden Ansprüche, bei welchem der zweite Kommunikationskanal (20) logisch von dem ersten Kommunikationskanal (10) getrennt ist.Method according to at least one of the preceding claims, in which the second communication channel (20) is logically separated from the first communication channel (10). Verfahren nach wenigstens einem der vorhergehenden Ansprüche, bei welchem die Kommunikationsteilnehmer (2, 4, 6) als Endgeräte ausgebildet sind, die datentechnisch mit - einem Kommunikationsnetz (30) eines Fahrzeugs (103) und/oder - einem landseitigen Kommunikationsnetz (117), welches zur Kommunikation mit dem Kommunikationsnetz (30) des Fahrzeugs (103) dient, verbunden sind.Method according to at least one of the preceding claims, in which the communication participants (2, 4, 6) are designed as terminals which, in terms of data technology, - A communication network (30) of a vehicle (103) and/or - A land-side communication network (117), which is used for communication with the communication network (30) of the vehicle (103), are connected. Verfahren nach Anspruch 6, bei welchem das Fahrzeug (103) ein spurgebundenes Fahrzeug (107), insbesondere ein Schienenfahrzeug (109), ist.procedure after claim 6 , In which the vehicle (103) is a rail vehicle (107), in particular a rail vehicle (109). Verfahren nach wenigstens einem der vorhergehenden Ansprüche, bei welchem - der erste Kommunikationsteilnehmer (4, 6) eine Schlüsselverwaltungs-Clienteinrichtung (24) umfasst, - ein privater und ein öffentlicher Schlüssel für die sichere Kommunikation mittels der Schlüsselverwaltungs-Clienteinrichtung (24) erzeugt wird (AA) und - der öffentliche Schlüssel über den zweiten Kommunikationskanal an die Schlüsselverwaltungs-Servereinrichtung (22) gesendet wird (BB2).Method according to at least one of the preceding claims, in which - the first communication participant (4, 6) comprises a key management client device (24), - a private and a public key for the secure communication by means of the key management client device (24) is generated (AA) and - the public key is sent (BB2) to the key management server device (22) via the second communication channel. Verfahren nach wenigstens einem der vorhergehenden Ansprüche 1 bis 7, bei welchem - ein privater und ein öffentlicher Schlüssel für die sichere Kommunikation mittels der Schlüsselverwaltungs-Servereinrichtung (22) erzeugt wird (A) und - zumindest der private Schlüssel über den zweiten Kommunikationskanal an den ersten Kommunikationsteilnehmer gesendet wird (B5).Method according to at least one of the preceding Claims 1 until 7 , in which - a private and a public key for secure communication is generated by means of the key management server device (22) (A) and - at least the private key is sent to the first communication participant via the second communication channel (B5). Computerprogramm, umfassend Programmbefehle, die bei der Ausführung des Programms durch eine Recheneinrichtung diese veranlassen, das Verfahren nach wenigstens einem der Ansprüche 1 bis 9 auszuführen.Computer program, comprising program instructions which, when the program is executed by a computing device, cause the latter to carry out the method according to at least one of Claims 1 until 9 to execute. Bereitstellungsvorrichtung für das Computerprogramm nach Anspruch 10, wobei die Bereitstellungsvorrichtung das Computerprogramm speichert und/oder bereitstellt.Provision device for the computer program claim 10 , wherein the provision device stores and/or provides the computer program. System zum Verwalten von Schlüsseln für eine sichere Kommunikation zwischen mehreren Kommunikationsteilnehmern (2,4, 6), umfassend: - einen ersten Kommunikationskanal (10), welcher ausgebildet ist, eine sichere Kommunikation zwischen den mehreren Kommunikationsteilnehmern (2, 4, 6) zu unterstützen, - einen zweiten Kommunikationskanal (20), welcher von dem ersten Kommunikationskanal (10) getrennt und ausgebildet ist, eine Kommunikation zum Verwalten von Schlüsseln zwischen o einem ersten Kommunikationsteilnehmer (4, 6) der mehreren Kommunikationsteilnehmer (2, 4, 6), welcher eine Clienteinrichtung (14, 16) umfasst, und o einer Schlüsselverwaltungs-Servereinrichtung (22) zu unterstützen.System for managing keys for secure communication between multiple communication participants (2.4, 6), comprising: - a first communication channel (10), which is designed to support secure communication between the plurality of communication participants (2, 4, 6), - A second communication channel (20), which is separate from the first communication channel (10) and is designed to communicate between for managing keys o a first communication participant (4, 6) of the plurality of communication participants (2, 4, 6), which includes a client device (14, 16), and o to support a key management server device (22). System nach Anspruch 12, bei welchem - der erste Kommunikationsteilnehmer (4, 6) datentechnisch an ein Kommunikationsnetz (30) eines Fahrzeugs (103) angeschlossen ist und - der zweite Kommunikationsteilnehmer (2) datentechnisch an ein landseitiges Kommunikationsnetz (117), welches zur Kommunikation mit dem Kommunikationsnetz des Fahrzeugs (103) dient, angeschlossen ist.system after claim 12 , in which - the first communication participant (4, 6) is connected to a communication network (30) of a vehicle (103) in terms of data technology and - the second communication participant (2) is connected in terms of data technology to a land-based communication network (117) which is used for communication with the communication network of the Vehicle (103) is used, is connected. System nach Anspruch 12, bei welchem - der erste Kommunikationsteilnehmer (4, 6) datentechnisch an ein landseitiges Kommunikationsnetz (117), welches zur Kommunikation mit einem Kommunikationsnetz eines Fahrzeugs (103) dient, angeschlossen ist und - der zweite Kommunikationsteilnehmer (2) datentechnisch an ein Kommunikationsnetz (30) des Fahrzeugs (103) angeschlossen ist.system after claim 12 , in which - the first communication participant (4, 6) is connected in terms of data to a land-based communication network (117) which is used for communication with a communication network of a vehicle (103) and - the second communication participant (2) is connected in terms of data to a communication network (30 ) of the vehicle (103) is connected.
DE102021206755.7A 2021-06-29 2021-06-29 Management of keys for secure communication between communication participants via a separate communication channel Pending DE102021206755A1 (en)

Priority Applications (3)

Application Number Priority Date Filing Date Title
DE102021206755.7A DE102021206755A1 (en) 2021-06-29 2021-06-29 Management of keys for secure communication between communication participants via a separate communication channel
EP22735346.3A EP4327506A1 (en) 2021-06-29 2022-06-09 Managing keys for secure communication between communication subscribers via a separate communication channel
PCT/EP2022/065679 WO2023274678A1 (en) 2021-06-29 2022-06-09 Managing keys for secure communication between communication subscribers via a separate communication channel

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
DE102021206755.7A DE102021206755A1 (en) 2021-06-29 2021-06-29 Management of keys for secure communication between communication participants via a separate communication channel

Publications (1)

Publication Number Publication Date
DE102021206755A1 true DE102021206755A1 (en) 2022-12-29

Family

ID=82321569

Family Applications (1)

Application Number Title Priority Date Filing Date
DE102021206755.7A Pending DE102021206755A1 (en) 2021-06-29 2021-06-29 Management of keys for secure communication between communication participants via a separate communication channel

Country Status (3)

Country Link
EP (1) EP4327506A1 (en)
DE (1) DE102021206755A1 (en)
WO (1) WO2023274678A1 (en)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN117640289A (en) * 2023-11-27 2024-03-01 长扬科技(北京)股份有限公司 Gateway architecture and equipment based on user mode WirelGuard protocol

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN116389105B (en) * 2023-03-30 2023-12-01 广东省城乡规划设计研究院有限责任公司 Remote access management platform and management method

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20150033016A1 (en) 2013-07-23 2015-01-29 Battelle Memorial Institute Systems and methods for securing real-time messages
US9178706B1 (en) 2010-03-19 2015-11-03 F5 Networks, Inc. Proxy SSL authentication in split SSL for client-side proxy agent resources with content insertion

Family Cites Families (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11463410B2 (en) * 2019-10-31 2022-10-04 Cisco Technology, Inc. Cloud-native VPN service

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US9178706B1 (en) 2010-03-19 2015-11-03 F5 Networks, Inc. Proxy SSL authentication in split SSL for client-side proxy agent resources with content insertion
US20150033016A1 (en) 2013-07-23 2015-01-29 Battelle Memorial Institute Systems and methods for securing real-time messages

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN117640289A (en) * 2023-11-27 2024-03-01 长扬科技(北京)股份有限公司 Gateway architecture and equipment based on user mode WirelGuard protocol

Also Published As

Publication number Publication date
EP4327506A1 (en) 2024-02-28
WO2023274678A1 (en) 2023-01-05

Similar Documents

Publication Publication Date Title
DE60212289T2 (en) Management of Private Virtual Networks (VPN)
DE60108927T2 (en) Computer systems, in particular virtual private networks
EP2593897B1 (en) Method for certificate-based authentication
WO2023274678A1 (en) Managing keys for secure communication between communication subscribers via a separate communication channel
EP3753205B1 (en) Data transmission in time-sensitive data networks
DE102005032692A1 (en) Arrangement and method for configuring interfaces of a wireless connection for data transmission and a corresponding computer program and a corresponding computer-readable storage medium
WO2016045885A1 (en) Method for transmitting data, and associated network node and associated network
EP3572965A1 (en) Operating a software defined network by synchronizing the view of the network via a blockchain
DE102020213017A1 (en) Method for providing a status channel
DE102004047371A1 (en) Method for distributing software and configuration data and corresponding data network
DE102009032466A1 (en) Security in networks
DE102006003167B3 (en) Real-time communication protecting method for e.g. automation system, involves producing and managing code in discrete device for protecting real-time communication that takes place by protecting unit in connection layer of reference model
DE102011080676A1 (en) Configuration of a communication network
DE102021123326A1 (en) Method for configuring a plurality of gateway controllers of a vehicle, computer-readable medium, system, and vehicle
DE102022001115B3 (en) System for secure data transmission between a motor vehicle and a cloud service
EP2070285A2 (en) Method for optimizing nsis signaling in mobike-based mobile applications
DE60015942T2 (en) Communication management table transmission system, management device, encryptor and communication management table transmission method
EP3800517A1 (en) Redundant automation system, method for providing such an automation system, computer program and computer-readable medium
EP1537719B1 (en) Updating of software stored in a computer of a data communication system
EP3881486B1 (en) Method for providing proof of origin for a digital key pair
DE102021209505A1 (en) System and method for upgrading an outdated client/server application for secure and confidential data transmission
DE102017203202A1 (en) Method for transmitting messages in a communication network, gateway and communication network
DE102022124174A1 (en) Computer program, device and method for controlling a data transmission rate of several participants in a communication network
WO2023036493A1 (en) Method for securely configuring a plurality of gateway controllers of a vehicle, computer-readable medium, system, and vehicle
EP4252405A1 (en) Method for communication between a third-party component on a user device and a service component in the cloud, and network arrangement for implementing the method

Legal Events

Date Code Title Description
R012 Request for examination validly filed