Schutz der Privatsphäre in Ad-hoc-Fahrzeugnetzen

Abstract

Fahrzeugnetze können eine Vielzahl unterschiedlicher Dienste ermöglichen, die dazu beitragen, Unfälle zu verhindern oder ihre Folgen abzumildern, Reisen oder Flottenmanagement effizienter zu gestalten und den Insassen eines Fahrzeugs Zugang zum Internet bereitzustellen. In den kommenden Jahren sollen die ersten Fahrzeuge mit einer entsprechenden Ausstattung in die Serienfertigung gehen, was den Beginn der Vernetzung von Fahrzeugen untereinander markiert.

Allerdings ist ein Schutz der Kommunikationswege dringend erforderlich, damit ein Missbrauch des Netzes unterbunden werden kann oder zumindest erkennbar ist, um den Störer sanktionieren zu können. Die zu diesem Zweck eingesetzten Schutzmaßnahmen führen in der Regel zu einer Identifizierbarkeit der Nutzer und einer Verkettbarkeit ihrer Handlungen. Dies hat zur Folge, dass die Privatsphäre der Teilnehmer eines Fahrzeugnetzes empfindlich beeinträchtigt wird, da jede ihrer Bewegungen aufgezeichnet und ausgewertet werden kann.

Aus diesem Spannungsfeld ergeben sich zwei Teilprobleme, die in dieser Arbeit identifiziert werden: die Sicherstellung einer Erreichbarkeit von Teilnehmern über Positionsdienste ohne ihre Privatsphäre einzuschränken und der Schutz vor Beobachtung und Verfolgung der Bewegungen von Nutzern des Netzes. Um eine datenschutzfreundliche Nutzung von Fahrzeugnetzen zu gewährleisten, gilt es, beide Problemstellungen zu lösen. Bereits existente Lösungsansätze aus der Literatur werden analysiert und auf ihre Eignung hin untersucht.

Es zeigt sich, dass alle Konzepte, die einen datenschutzfreundlichen Positionsdienst vorschlagen, keinerlei Schutz vor dem Betreiber des Dienstes bieten können. Aus diesem Grund wird ein eigener Ansatz vorgestellt, der dieses Problem mit Hilfe von über Chaum\'sche Mixe transportierten verschlüsselten Nachrichten und einer hierarchischen Struktur beseitigen kann. Eine Evaluation des Konzepts zeigt, dass ein Einsatz in der Praxis mit dem aktuellen Stand der Technik möglich ist.

Die Ansätze zur Verhinderung der Verfolgbarkeit von Teilnehmern in Ad-hoc-Fahrzeugnetzen bewegen sich in einem Spannungsfeld zwischen dem Schutz der Privatsphäre durch Pseudonymwechsel unter Funkstille auf der einen und der Aufrechterhaltung der Funktionalität von Fahrassistenzsystemen auf der anderen Seite. Zur effektiven Unterbindung einer Verfolgung ist es unerlässlich, dass eine Weile Funkstille gewahrt und das Pseudonym gewechselt wird. Dies führt jedoch zu einer vorübergehenden Unverfügbarkeit der durch das Fahrzeugnetz bereitgestellten Dienste und Assistenzsysteme. Da es keinem der in der Literatur bekannten Ansätze gelingt, an dieser Stelle einen geeigneten Kompromiss zu finden, wird mit der ProMix-Zone ein eigenes Konzept erarbeitet. Dieses zeigt unter Berücksichtigung der Angreifermodelle und Anforderungen einen Weg auf, den Schutz der Privatsphäre deutlich zu verbessern und dennoch eine ausreichende Funktionalität des Fahrzeugnetzes für Fahrassistenzsysteme zu bieten. Die Balance gelingt dabei auf eine flexible Art und Weise, da das Schutzniveau und die Verfügbarkeit von Fahrassistenzsystemen an die jeweilige Verkehrssituation des Einsatzgebietes angepasst werden können.

Um die Konzepte zum Schutz der Privatsphäre auch empirisch untersuchen zu können, wurde ein VANET-Simulator entwickelt, der die Simulation von Straßen- und Datenverkehr auf realem Kartenmaterial von OpenStreetMap ermöglicht und zudem neben der ProMix-Zone drei weitere bekannte Konzepte -- die Mix-Zone, Silent Periods und SLOW -- implementiert. Diese werden in einer Simulationsreihe aus 450 Durchläufen in drei städtischen Szenarien auf ihre Effektivität bezüglich des Schutzes vor Angreifern in Abhängigkeit von ihrer Positionierung, der Verkehrsdichte und individuellen Konfigurationsparametern hin untersucht. Dabei zeigt sich, dass das SLOW-Konzept in einem urbanen Szenario ein relativ hohes Schutzniveau für Teilnehmer eines Ad-hoc-Fahrzeugnetzes bieten kann.

Insgesamt zeigen die Ergebnisse dieser Arbeit, dass es in der Praxis gelingen kann, den Schutz der Privatsphäre in Ad-hoc-Fahrzeugnetzen sicherzustellen, sofern die gewonnenen Erkenntnisse bereits bei der Konzeption Berücksichtigung finden.

Inter-vehicle communication can provide several services that have the potential to prevent accidents or reduce their consequences, to improve the efficiency of traveling or fleet management and supply passengers with internet access. In the next few years, the first serial production of communication-enabled vehicles will commence which marks the dawn of inter-vehicle networks.

The protection of the communication links is crucial to prevent misuses of the network or at least provide necessary information to sanction adversaries. All techniques for this purpose generally lead to identification of users and therefore to linkability of their actions. As a result, the privacy of users is compromised since each movement might be recorded and exploited.

Concerning this interplay, two subproblems emerge: The participants\' reachability has to be ensured by location services without reducing their privacy and tracking of users has to be prevented. These two subproblems have to be addressed in order to provide a privacy-friendly usage of inter-vehicle networks. Several approaches are provided in the literature for both problems. They are investigated to determine their applicability as a solution in this work.

Surprisingly, all concepts that propose a privacy-aware location service are not able to provide protection against the service provider. For this reason, a new approach is presented that resolves this issue with the usage of Chaum\'s mix network, encrypted storage of data and a hierarchical structure of the network. An evaluation demonstrates that a practical application is possible with today\'s hardware.

The concepts to prevent tracking of users in inter-vehicle networks aim to strike a balance between privacy protection (ensured by pseudonym changes during radio silence) and sustaining of the driver assistance systems\' functionality. An effective prevention of tracking requires pseudonym changes during radio silence which causes temporary unavailability of services and assistance systems provided by the network. None of the published approaches is able to compromise, so a new concept is presented -- the ProMix Zone. This concept offers a balance between privacy protection and availability of driver assistance systems while considering threat models and (functional) requirements. This is possible since the level of protection might be adapted according to traffic situations in the field of application.

To facilitate empirical analysis of the concepts for privacy protection, a VANET Simulator is developed that allows the simulation of road and network traffic on real road networks provided by the OpenStreetMap project. Additionally, the ProMix Zone and three further well-known concepts -- the Mix Zone, Silent Periods and SLOW -- are implemented. These approaches are examined in a series of 450 simulations in three urban scenarios to work out the effectivity of their privacy protection against adversaries according to their positioning, the traffic density and individual configuration parameters. It appears that the SLOW concept offers a relatively high level of privacy protection for participants in vehicular ad hoc networks in an urban scenario.

Overall the results of this work show that privacy protection in vehicular ad hoc networks is possible in practice as long as the gained insights are taken into account during the concept phase of a VANET.