umwelt-online: Archivdatei - VO (EWG) Nr. 3821/85 über das Kontrollgerät im Straßenverkehr (10)

zurück

8. Grundlegendes Prinzip

Mit der folgenden Matrix wird das Prinzip der SEF begründet. Hierzu wird verdeutlicht:

• welche SEF bzw. Mittel welchen Sicherheitsgefährdungen entgegenwirken,
• welche SEF welche IT-Sicherheitsziele erfüllen.

Allgemeine Sicherheitsanforderungen für die Fahrzeugeinheit (FE)

1. Einführung

In diesem Abschnitt werden die Fahrzeugeinheit, mögliche Sicherheitsgefährdungen sowie die zu erfüllenden Sicherheitsziele beschrieben. Außerdem enthält er Erläuterungen zu den zur Durchsetzung der Sicherheitsanforderungen erforderlichen Funktionen, und es erfolgt eine Auflistung der Mindestanforderungen an die Sicherheitsmechanismen und die erforderliche Gewährleistungsebene für Entwicklung und Evaluierung.

Die hier aufgeführten Anforderungen entsprechen den Anforderungen im Hauptteil von Anhang I B. Im Interesse einer besseren Verständlichkeit können sich Doppelungen zwischen den Anforderungen im Hauptteil von Anhang I B und den Sicherheitsanforderungen ergeben. Bei Diskrepanzen zwischen einer Sicherheitsanforderung und der Anforderung im Hauptteil von Anhang I B, auf die sich diese Sicherheitsanforderung bezieht, geht die Anforderung im Hauptteil von Anhang I B vor.

Anforderungen im Hauptteil von Anhang I B, auf die sich diese Sicherheitsanforderungen nicht beziehen, sind nicht Gegenstand der Funktionen zur Durchsetzung von Sicherheitsanforderungen.

Zwecks besserer Zuordnung zu den in der Dokumentation über Entwicklung und Evaluierung verwendeten Begriffen wurden für die Sicherheitsgefährdungen, die Ziele, Verfahrensmöglichkeiten und SEF-Spezifikationen eindeutige Bezeichnungen gewählt.

2. Abkürzungen, Begriffsbestimmungen und Referenzdokumente

2.1. Abkürzungen

2.2. Begriffsbestimmungen

2.3. Referenzdokumente

3. Grundprinzip des Produkts

3.1. Beschreibung und Verwendung der Fahrzeugeinheit

Die FE ist zum Einbau in Straßentransportfahrzeuge vorgesehen. Ihre Aufgabe
ist es, Daten über die Tätigkeit der Fahrer aufzuzeichnen, zu speichern, anzuzeigen, auszudrucken und auszugeben.

Sie ist an einen Weg- und/oder Geschwindigkeitsgeber angeschlossen, mit dem sie Daten über die Fahrzeugbewegung austauscht.

Die Benutzer identifizieren sich gegenüber der FE durch Kontrollgerätkarten.

Die FE zeichnet die Tätigkeitsdaten der Benutzer auf und legt sie in seinem Massenspeicher ab. Die Benutzerdaten werden außerdem auf Kontrollgerätkarten aufgezeichnet.

Die FE gibt die Daten an Anzeigegerät, Drucker und externe Geräte aus.

Die Betriebsumgebung einer im Fahrzeug installierten Fahrzeugeinheit wird in der folgenden Abbildung beschrieben:

Abbildung 2 Betriebsumgebung der FE

Allgemeine Merkmale, Funktionen und Betriebsarten der FE werden in Anhang I B, Kapitel II, beschrieben.

Die Funktionsanforderungen an die FE werden in Anhang I B, Kapitel III, beschrieben.

Eine typische FE ist in der folgenden Abbildung dargestellt:

Abbildung 3 Typische Fahrzeugeinheit (FE) (...) optional

Zu beachten ist, dass zwar der Druckermechanismus ein Teil des PO ist, das einmal ausgedruckte Dokument jedoch nicht mehr.

3.2. Lebenszyklus der Fahrzeugeinheit

Der typische Lebenszyklus der FE ist in der folgenden Abbildung dargestellt:

Abbildung 4 Typischer Lebenszyklus der FE

3.3. Sicherheitsgefährdungen

In diesem Abschnitt werden mögliche Sicherheitsgefährdungen für die FE beschrieben.

3.3.1. Sicherheitsgefährdungen im Zusammenhang mit Identifizierung und Zugangskontrolle

3.3.2. Konstruktionsbedingte Sicherheitsgefährdungen

3.3.3. Betriebsbedingte Sicherheitsgefährdungen

3.4. Sicherheitsziele

Das wichtigste Sicherheitsziel des digitalen Fahrtenschreibersystems ist Folgendes:

3.5. Informationstechnische Sicherheitsziele

Die speziellen, zum Hauptsicherheitsziel beitragenden IT-Sicherheitsziele der FE sind Folgende:

3.6. Physische, personelle bzw. verfahrenstechnische Mittel

In diesem Abschnitt werden die physischen, personellen bzw. verfahrenstechnischen Anforderungen, die zur Sicherheit der FE beitragen, beschrieben.

3.6.1. Gerätekonstruktion

3.6.2. Auslieferung und Aktivierung der Geräte

3.6.3. Generierung und Lieferung der Sicherheitsdaten

3.6.4. Kartenübergabe

3.6.5. Einbau, Kalibrierung und Nachprüfung des Kontrollgeräts

3.6.6. Betrieb der Geräte

3.6.7. Kontrolle der Einhaltung von Vorschriften

3.6.8. Software-Upgrades

4. Sicherheitserzwingende Funktionen

4.1. Identifizierung und Authentisierung

4.1.1. Identifizierung und Authentisierung des Weg- und/oder Geschwindigkeitsgebers

UIA_201 Die FE ist in der Lage, für jede Interaktion die Identität des angeschlossenen Weg- und/oder Geschwindigkeitsgebers festzustellen.

UIA_202 Die Kennung des Weg- und/oder Geschwindigkeitsgebers setzt sich zusammen aus der Bauartgenehmigungsnummer und der Seriennummer des Weg- und/ oder Geschwindigkeitsgebers.

UIA_203 Die FE authentisiert den angeschlossenen Weg- und/oder Geschwindigkeitsgeber:

• bei Anschließen des Weg- und/oder Geschwindigkeitsgebers,
• bei jeder Kalibrierung des Kontrollgeräts,
• bei Wiederzuschalten der Stromversorgung.

Die Authentisierung erfolgt gegenseitig und wird durch die FE ausgelöst.

UIA_204 Die FE identifiziert und authentisiert in regelmäßigen Intervallen (Intervalldauer vom Hersteller noch festzulegen, jedoch häufiger als einmal pro Stunde) den angeschlossenen Weg- und/oder Geschwindigkeitsgeber erneut und stellt dabei sicher, dass der bei der zuletzt erfolgten Kalibrierung des Kontrollgeräts erkannte Weg- und/oder Geschwindigkeitsgeber nicht ausgetauscht wurde.

UIA_205 Die FE erkennt und verhindert den Gebrauch kopierter und wieder eingespielter Authentisierungsdaten.

UIA_206 Nach Erkennen einer (vom Hersteller noch festzulegenden, jedoch 20 nicht übersteigenden) Zahl von aufeinander folgenden erfolglosen Authentisierungsversuchen und/oder nach Erkennen, dass der Weg- und/oder Geschwindigkeitsgeber ohne Berechtigung (d. h. nicht während einer Kalibrierung des Kontrollgeräts) ausgewechselt wurde, wird die SEF:

• ein Auditprotokoll über das Ereignis anlegen,
• den Benutzer warnen,
• die vom Weg- und/oder Geschwindigkeitsgeber gesendeten ungesicherten Weg- und Geschwindigkeitsdaten weiterhin annehmen und nutzen.

4.1.2. Identifizierung und Authentisierung des Benutzers

UIA_207 Die FE wird die Identität von zwei Benutzern durch Überwachung der in den Kartensteckplatz des Fahrers bzw. in den Kartensteckplatz des zweiten Fahrers eingesteckten Kontrollgerätkarten ständig und ausgewählt nachprüfen.

UIA_208 Die Benutzeridentität setzt sich zusammen aus:

• einer Benutzergruppe:
  • FAHRER (Fahrerkarte),
  • KONTROLLEUR (Kontrollkarte),
  • WERKSTATT (Werkstattkarte),
  • UNTERNEHMEN (Unternehmenskarte),
  • UNBEKANNT (keine Karte eingesteckt),
• einer Benutzerkennung, bestehend aus:
  • dem Code des die Karte ausstellenden Mitgliedstaats und der Kartennummer,
  • UNBEKANNT, falls die Benutzergruppe UNBEKANNT ist.

UNBEKANNTE Identitäten können implizit oder explizit bekannt sein.

UIA_209 Die FE authentisiert ihre Benutzer bei Einstecken der Karte.

UIA_210 Die FE authentisiert ihre Benutzer erneut:

• bei Wiederzuschalten der Stromversorgung,
• regelmäßig nach bestimmten Ereignissen (vom Hersteller noch festzulegen, jedoch öfter als einmal am Tag).

UIA_211 Die Authentisierung besteht in der Nachweisführung, dass die eingesteckte Karte eine gültige Kontrollgerätkarte ist, die über Sicherheitsdaten verfügt, die nur aus dem System selbst stammen können. Die Authentisierung erfolgt gegenseitig und wird durch die FE ausgelöst.

UIA_212 Zusätzlich ist auch eine erfolgreiche Authentisierung der Werkstätten mittels PIN-Prüfung erforderlich. Eine PIN umfasst mindestens 4 Zeichen.

Anmerkung: Falls die PIN durch ein in der Nähe der FE angeordnetes externes Gerät an die FE übertragen wird, ist ein Schutz der PIN während der Übertragung nicht erforderlich.

UIA_213 Die FE erkennt und verhindert den Gebrauch kopierter und wieder eingespielter Authentisierungsdaten.

UIA_214 Nach 5 aufeinander folgenden erfolglosen Authentisierungsversuchen wird die SEF:

• ein Auditprotokoll über das Ereignis anlegen,
• eine Warnung an den Benutzer ausgeben,
• davon ausgehen, dass der Benutzer UNBEKANNT und die Karte ungültig ist (Begriffsbestimmung z) und Anforderung 007).

4.1.3. Identifizierung und Authentisierung eines entfernt angeschlossenen Unternehmens

Die Fähigkeit zum entfernten Anschluss von Unternehmen ist optional. Dieser Absatz gilt daher nur, wenn dieses Merkmal implementiert ist.

UIA_215 Bei jeder Interaktion mit einem entfernt angeschlossenen Unternehmen muss die FE zur Feststellung der Identität des Unternehmens in der Lage sein.

UIA_216 Die Identität des entfernt angeschlossenen Unternehmens setzt sich aus dem Code des die Unternehmenskarte ausstellenden Mitgliedstaats und der Nummer seiner Unternehmenskarte zusammen.

UIA_217 Die FE muss das entfernt angeschlossene Unternehmen erst erfolgreich authentisieren, bevor sie jeglichen Datenexport an das Unternehmen zulässt.

UIA_218 Die Authentisierung besteht in der Nachweisführung, dass das Unternehmen im Besitz einer gültigen Unternehmenskarte ist, die über Sicherheitsdaten verfügt, die nur aus dem System selbst stammen können.

UIA_219 Die FE erkennt und verhindert den Gebrauch kopierter und wieder eingespielter Authentisierungsdaten.

UIA_220 Nach 5 aufeinander folgenden erfolglosen Authentisierungsversuchen sendet die FE:

• An das entfernt angeschlossene Unternehmen eine Warnung aus.

4.1.4. Identifizierung und Authentisierung des Verwaltungsgeräts

Die Hersteller der FE können spezielle Geräte für zusätzliche FE-Verwaltungsfunktionen vorsehen (z.B. für Software-Upgrade, Neuladen von Sicherheitsdaten, ...). Dieser Absatz gilt daher nur, wenn dieses Merkmal implementiert ist.

UIA_221 Bei jeder Interaktion mit einem Verwaltungsgerät muss die FE zur Feststellung der Identität des Geräts in der Lage sein.

UIA_222 Die FE muss das Verwaltungsgerät erst erfolgreich authentisieren, bevor sie jegliche weitere Interaktion zulässt.

UIA_223 Die FE erkennt und verhindert den Gebrauch kopierter und wieder eingespielter Authentisierungsdaten.

4.2. Zugriffskontrolle

Die Zugriffskontrolle gewährleistet, dass nur speziell dazu berechtigte Personen Informationen aus dem PO auslesen sowie im PO anlegen bzw. nach Änderung in das PO einlesen.

Zu beachten ist, dass die von der FE aufgezeichneten Benutzerdaten zwar private bzw. kommerziell sensible Aspekte beinhalten, ihrem Wesen nach jedoch nicht vertraulich sind. Aus diesem Grund ist die auf das Zugriffsrecht zum Lesen von Daten bezogene funktionelle Anforderung (Anforderung 011) nicht Gegenstand einer sicherheitserzwingenden Funktion.

4.2.1. Zugriffsberechtigung

ACC_201 Die FE verwaltet und prüft die Zugriffsberechtigung auf Funktionen und Daten.

4.2.2. Funktionszugriffrechte

ACC_202 Die FE dient der Durchsetzung der Vorschriften zur Betriebsartauswahl (Anforderungen 006 bis 009).

ACC_203 Mit der FE werden ausgehend von der Betriebsart die Vorschriften für die Funktionszugriffskontrolle durchgesetzt (Anforderung 010).

4.2.3. Datenzugriffsrechte

ACC_204 Die FE dient der Durchsetzung der Vorschriften für den Schreibzugriff auf die FE-Kenndaten (Anforderung 076)

ACC_205 Die FE dient der Durchsetzung der Vorschriften für den Schreibzugriff auf die gekoppelten Weg- und/oder Geschwindigkeitsgeberkenndaten (Anforderungen 079 und 155)

ACC_206 Nach der FE-Aktivierung stellt die FE sicher, dass Kalibrierungsdaten einzig in der Betriebsart Kalibrierung in die FE eingegeben und in ihrem Massenspeicher abgelegt werden können (Anforderungen 154 und 156).

ACC_207 Nach der FE-Aktivierung sorgt die FE für die Durchsetzung der Vorschriften für den Schreib- und Löschzugriff auf die Kalibrierungsdaten (Anforderung 097).

ACC_208 Nach der FE-Aktivierung stellt die FE sicher, dass Zeiteinstellungsdaten einzig in der Betriebsart Kalibrierung in die FE eingegeben und in ihrem Massenspeicher abgelegt werden können. (Diese Anforderung trifft nicht auf geringfügige Zeiteinstellungen zu, wie sie im Rahmen der Anforderungen 157 und 158 gestattet sind.)

ACC_209 Nach der FE-Aktivierung sorgt die FE für die Durchsetzung der Vorschriften für den Schreib- und Löschzugriff auf die Zeiteinstellungsdaten (Anforderung 100).

ACC_210 Die FE gewährleistet angemessene Zugriffsrechte zum Lesen und Schreiben von Sicherheitsdaten (Anforderung 080).

4.2.4. Dateistruktur und -zugriffsbedingungen

ACC_211 Die Strukturen der Anwendungs- und Datendateien und die Zugriffsbedingungen auf diese Dateien werden bereits im Herstellungsprozess angelegt und gegen jegliche spätere Verfälschung bzw. Löschung gesperrt.

4.3. Zuordnungsmöglichkeit

ACT_201 Die FE stellt sicher, dass den Fahrern ihre Tätigkeiten zugeordnet werden können (Anforderungen 081, 084, 087, 105a, 105b, 109 und 109a).

ACT_202 Die FE speichert Kenndaten dauerhaft (Anforderung 075).

ACT_203 Die FE stellt sicher, dass den Werkstätten ihre Tätigkeiten zugeordnet werden können (Anforderungen 098, 101 und 109).

ACT_204 Die FE stellt sicher, dass den Kontrolleuren ihre Tätigkeiten zugeordnet werden können (Anforderungen 102, 103 und 109).

ACT_205 Die FE zeichnet Kilometerstände (Anforderung 090) und Geschwindigkeitsdaten mit Detailangaben auf (Anforderung 093).

ACT_206 Die FE stellt sicher, dass die Anforderungen 081 bis 093 und 102 bis einschließlich 105b betreffende Benutzerdaten nach Aufzeichnung nicht mehr geändert werden, außer wenn diese zu den ältesten Daten werden, die bei erschöpftem Speicher durch neue Daten überschrieben werden.

ACT_207 Die FE darf bereits auf einer Kontrollgerätekarte gespeicherte Daten nicht ändern (Anforderungen 109 und 109a), außer beim Überschreiben der ältesten Daten durch neue Daten (Anforderung 110) bzw. im in der Anmerkung zu Absatz 2.1 in Anlage 1 beschriebenen Fall.

4.4. Audit

Die Möglichkeit der Durchführung von Audits ist nur für Ereignisse erforderlich, die auf einen Versuch der Manipulation bzw. Sicherheitsverletzung hindeuten. Für die übliche Ausübung von Rechten sind Auditfähigkeiten auch dann, wenn dies sicherheitserzwingend ist, nicht gefordert.

AUD_201 Die FE muss Ereignisse, die ihre Sicherheit beeinträchtigen, mit den dazugehörigen Daten aufzeichnen (Anforderungen 094, 096 und 109).

AUD_202 Folgende Ereignisse beeinträchtigen die Sicherheit der FE:

• Sicherheitsverletzende Versuche:
  • fehlgeschlagene Authentisierung des Weg- und/oder Geschwindigkeitsgebers,
  • fehlgeschlagene Authentisierung der Kontrollgerätkarte,
  • unberechtigtes Auswechseln des Weg- und/oder Geschwindigkeitsgebers,
  • Integritätsfehler der Karteneingabedaten,
  • Integritätsfehler der gespeicherten Benutzerdaten,
  • interner Datenübertragungsfehler,
  • unberechtigtes Öffnen des Gehäuses,
  • Hardwaremanipulation,
• Letzte Kartentransaktion nicht ordnungsgemäß abgeschlossen,
• Weg- und Geschwindigkeitsdatenfehlerereignis,
• Unterbrechung der Stromversorgung,
• FE-interne Störung.

AUD_203 Mit der FE werden die Speicherungsvorschriften für Auditprotokolle durchgesetzt (Anforderung 094 und 096).

AUD_204 Die FE legt die vom Weg- und/oder Geschwindigkeitsgeber generierten Auditprotokolls in ihrem Massenspeicher ab.

AUD_205 Es muss möglich sein, Auditprotokolle auszudrucken, anzuzeigen und zu übertragen.

4.5. Wiederverwendung von Speichermedien

REU_201 Die FE stellt sicher, dass Zwischenspeichermedien wiederverwendet werden können, ohne einen unzulässigen Informationsfluss zu beinhalten.

4.6. Genauigkeit

4.6.1. Maßnahmen zur Kontrolle des Informationsflusses

ACR_201 Die FE stellt sicher, dass die Anforderungen 081, 084, 087, 090, 093, 102, 104, 105, 105a und 109 betreffende Benutzerdaten nur verarbeitet werden, wenn sie von den richtigen Eingabequellen stammen:

• Weg- und Geschwindigkeitsdaten des Fahrzeugs,
• Echtzeituhr der FE,
• Kalibrierungsparameter des Kontrollgeräts,
• Kontrollgerätkarten,
• Eingaben durch Benutzer.

ACR_201a Die FE stellt sicher, dass die Anforderung 109a betreffende Benutzerdaten nur für den Zeitraum von der letzten Kartenentnahme bis zum derzeitigen Einstecken der Karte eingegeben werden können (Anforderung 050a).

4.6.2. Interne Datenübertragung

Die Anforderungen dieses Absatzes gelten nur, wenn die FE physisch getrennte Teile nutzt.

ACR_202 Werden Daten zwischen physisch getrennten Teilen der FE übertragen, müssen diese Daten gegen Verfälschungen geschützt werden.

ACR_203 Bei Erkennen eines Datenübertragungsfehlers im Verlauf einer internen Datenübertragung wird die Übertragung wiederholt und über das Ereignis ein Auditprotokoll durch die SEF angelegt.

4.6.3. Integrität der Speicherdaten

ACR_204 Die FE prüft die in ihrem Speicher abgelegten Benutzerdaten auf Integritätsfehler.

ACR_205 Bei Erkennen eines Integritätsfehlers der Benutzerdaten generiert die SEF ein Auditprotokoll.

4.7. Zuverlässigkeit während des Betriebs

4.7.1. Prüfungen

RLB_201 Sämtliche speziell für den Prüfbedarf während der Herstellungsphase der FE erforderlichen Befehle, Handlungen bzw. Prüfpunkte werden vor Aktivierung der FE deaktiviert oder entfernt. Es darf nicht möglich sein, sie zum späteren Gebrauch wiederherzustellen.

RLB_202 Die FE führt zur Funktionsprüfung beim ersten Einschalten sowie während des normalen Betriebs Selbsttests durch. Die Selbsttests der FE beinhalten eine Integritätsprüfung der Sicherheitsdaten sowie eine Integritätsprüfung des gespeicherten Ausführungscodes (sofern dieser nicht im ROM gespeichert ist).

RLB_203 Bei Erkennen einer internen Fehlfunktion während der Selbstprüfung wird die SEF:

• ein Auditprotokoll erstellen (außer in der Betriebsart Kalibrierung) (FE-interne Störung),
• die Speicherdatenintegrität wahren.

4.7.2. Software

RLB_204 Es darf keine Möglichkeit gegeben sein, die Software nach Aktivierung der FE bei der Praxisanwendung zu analysieren bzw. auszutesten.

RLB_205 Eingaben aus externen Quellen dürfen als Ausführungscode nicht akzeptiert werden.

4.7.3. Physischer Schutz

RLB_206 Falls die Konstruktionsweise der FE ein Öffnen des Gehäuses erlaubt, muss die FE jedes Öffnen des Gehäuses feststellen, selbst wenn die externe Stromversorgung bis zu 6 Monate unterbrochen ist. Die SEF legt in diesem Fall ein Auditprotokoll an (hierbei ist zulässig, dass das Auditprotokoll erst nach Wiederzuschalten der Stromversorgung erstellt und gespeichert wird).

Ist die FE so konstruiert, dass sie nicht geöffnet werden kann, muss ihre Bauweise dennoch jeden Versuch der physischen Manipulation leicht erkennen lassen (z.B. durch Sichtprüfung).

RLB_207 Die FE muss nach ihrer Aktivierung bestimmte (vom Hersteller noch festzulegende) Formen der Hardwaremanipulation erkennen.

RLB_208 In vorgenannten Fall erstellt die SEF ein Auditprotokoll und wird die FE ... (vom Hersteller noch festzulegen).

4.7.4. Unterbrechung der Stromversorgung

RLB_209 Die FE erkennt Abweichungen von den festgelegten Stromwerten einschließlich einer Unterbrechung der Stromversorgung.

RLB_210 Im vorgenannten Fall wird die SEF:

• ein Auditprotokoll erstellen (außer in der Betriebsart Kalibrierung),
• den Sicherheitsstatus der FE wahren,
• die Sicherheitsfunktionen für die noch in Betrieb befindlichen Komponenten bzw. noch laufenden Prozesse aufrechterhalten,
• die Speicherdatenintegrität wahren.

4.7.5. Rücksetzbedingungen

RLB_211 Bei einer Unterbrechung der Stromversorgung, beim Abbruch einer Transaktion vor deren Vollendung bzw. bei Vorliegen jeder sonstigen Rücksetzbedingung muss die FE sauber zurückgesetzt werden

4.7.6. Datenbereitstellung

RLB_212 Die FE stellt sicher, dass auf den Datenbestand bei Bedarf zugegriffen werden kann und dass die Daten weder unnötig abgerufen noch zurückgehalten werden.

RLB_213 Die FE muss gewährleisten, dass die Kartenfreigabe erst erfolgt, nachdem die relevanten Daten auf die Karten gespeichert wurden (Anforderungen 015 und 016).

RLB_214 Im vorgenannten Fall wird die SEF ein Auditprotokoll über das Ereignis anlegen.

4.7.7. Multifunktionsgeräte

RLB_215 Falls die FE neben der Kontrollgerätfunktion noch weitere Anwendungen bietet, müssen alle diese Anwendungen physisch und/oder logisch voneinander getrennt sein. Jede dieser Anwendungen muss auf eigene Sicherheitsdaten zurückgreifen, und es darf immer nur eine Funktion aktiv sein.

4.8. Datenaustausch

Dieser Absatz betrifft den Datenaustausch zwischen der FE und angeschlossenen Geräten.

4.8.1. Datenaustausch mit dem Weg- und/oder Geschwindigkeitsgeber

DEX_201 Die FE prüft die Integrität und Authentizität der vom Weg- und/oder Geschwindigkeitsgeber importierten Daten.

DEX_202 Bei Erkennen eines Integritäts- bzw. Authentizitätsfehlers der Weg- und Geschwindigkeitsdaten wird die SEF:

• ein Auditprotokoll generieren,
• die importierten Daten weiterhin verwenden.

4.8.2. Datenaustausch mit Kontrollgerätkarten

DEX_203 Die FE prüft die Integrität und Authentizität der von den Kontrollgerätkarten importierten Daten.

DEX_204 Bei Erkennen eines Integritäts- bzw. Authentizitätsfehlers der Weg- und Geschwindigkeitsdaten wird die FE:

• ein Auditprotokoll generieren,
• die Daten nicht verwenden.

DEX_205 Die FE exportiert die Daten mit den zugehörigen Sicherheitsattributen an die Kontrollgerätkarten, so dass die Karte die Integrität und Authentizität der Daten prüfen kann.

4.8.3. Datenaustausch mit externen Datenträgern (Übertragungsfunktion)

DEX_206 Die FE generiert für an externe Datenträger übertragene Daten einen Herkunftsnachweis.

DEX_207 Die FE stellt dem Empfänger der übertragenen Daten eine Fähigkeit zur Prüfung des Herkunftsnachweises bereit.

DEX_208 Die FE exportiert die Daten mit den zugehörigen Sicherheitsattributen an den externen Datenträger, so dass sich Integrität und Authentizität der Daten prüfen lassen.

4.9. Kryptografische Unterstützung

Je nach Sicherheitsmechanismus und vom Hersteller gewählten Lösungen gelten die Anforderungen dieses Absatzes nur soweit erforderlich.

CSP_201 Jede von der FE durchgeführte kryptografische Operation entspricht einem genau festgelegten Algorithmus und einer genau festgelegten Schlüsselgröße.

CSP_202 Falls die FE kryptografische Schlüssel generiert, müssen diese genau festgelegten Schlüsselgenerierungsalgorithmen und genau festgelegten Schlüsselgrößen entsprechen.

CSP_203 Falls die FE kryptografische Schlüssel vergibt, muss dies nach genau festgelegten Schlüsselvergabemethoden erfolgen.

CSP_204 Falls die FE auf kryptografische Schlüssel zugreift, muss dies nach genau festgelegten Schlüsselzugriffsmethoden erfolgen.

CSP_205 Falls die FE kryptografische Schlüssel vernichtet, muss dies nach genau festgelegten Schlüsselvernichtungsmethoden erfolgen.

5. Beschreibung der Sicherheitsmechanismen

Die geforderten Sicherheitsmechanismen werden in Anlage 11 beschrieben. Alle sonstigen Sicherheitsmechanismen werden durch die Hersteller festgelegt.

6. Mindestrobustheit der Sicherheitsmechanismen

Die Mindestrobustheit der Sicherheitsmechanismen der Fahrzeugeinheit ist Hoch, gemäß Definition in ITSEC.

7. Gewährleistungsebene

Die für die Fahrzeugeinheit vorgegebene Gewährleistungsebene ist die ITSECEbene E3, gemäß Definition in ITSEC.

weiter .