klasse ara::diag::Authentication

De constructor initialiseert synchroon een object van de handlerklasse ara::diag::Authentication voor de afhandeling van diagnose-authenticatieverzoeken op een softwarepoort [SWS_DM_01124]. De parameter specifier verwijst naar de gemodelleerde PortPrototype, die via een DiagnosticAuthenticationPortMapping verplicht moet zijn getypeerd door een DiagnosticAuthenticationInterface [SWS_DM_01124]. Via de parameter concurrencyType wordt vastgelegd of het framework methode-aanroepen gelijktijdig (kConcurrent) of niet-thread-safe (kNotConcurrent) aflevert [SWS_DM_01124].

Omdat de functie gedeclareerd is als noexcept, worden foutieve aanroepen niet via excepties gemeld, maar veroorzaken deze framework-schendingen (violations) [SWS_DM_01124]:

• InstanceSpecifierMappingIntegrityViolation: De identifier kan in de context van het executable-bestand niet worden omgezet of refereert niet aan een PortPrototype [SWS_DM_01124].
• PortInterfaceMappingViolation: De gerefereerde PortPrototype is niet gemodelleerd als DiagnosticAuthenticationInterface [SWS_DM_01124].
• ProcessMappingViolation: Tijdens runtime wordt geen passend gemodelleerd proces gevonden [SWS_DM_01124].
• InstanceSpecifierAlreadyInUseViolation: De InstanceSpecifier werd in het actuele proces reeds gebruikt voor een instantie [SWS_DM_01124].

De constructor zelf is thread-safe en uitzonderingsveilig (exception safe) [SWS_DM_01124], terwijl de bijbehorende destructor ~Authentication() als niet thread-safe is gespecificeerd [SWS_DM_01125]. Onmiddellijk na de instantiatie worden er nog geen diagnoseverzoeken doorgestuurd: de applicatie moet eerst Offer() aanroepen om het doorsturen voor de UDS-dienst 0x29 (Authentication met PKI Certificate Exchange, APCE AUTOSAR_AP_SWS_Diagnostics Tab. 4.1 “Limitations of sub-functions of 0x19 ReadDTCInformation”) door de Diagnostic Manager te activeren [SWS_DM_01130]. De certificaatvalidatie wordt vervolgens afgehandeld via VerifyCertificateUnidirectional [SWS_DM_01126], VerifyCertificateBidirectional [SWS_DM_01127] en VerifyOwnership [SWS_DM_01128]. Vóór de vernietiging van het object moet het doorsturen met StopOffer() worden beëindigd [SWS_DM_01131].

Met de synchrone methode Offer() van de klasse ara::diag::Authentication ([SWS_DM_01130]) registreert een Adaptive Application haar authenticatie-handler bij Diagnostic Management (DM). Daardoor wordt DM geautoriseerd en in staat gesteld om binnenkomende verzoeken door te sturen naar deze handler (AUTOSAR_AP_SWS_Diagnostics §8.3.1.1.3.1 “Offer”). De functie accepteert geen overdrachtsparameters en signaleert de uitkomst van de operatie via het retourtype ara::core::Result<void>.

De aanroep is gedeclareerd als noexcept en daarmee uitzonderingsveilig ([SWS_DM_01130]). Mislukt de registratie doordat de service voor deze instantie al eerder beschikbaar is gesteld, dan wordt de specifieke foutcode DiagOfferErrc::kAlreadyOffered in het Result-object geretourneerd ([SWS_DM_01130]). Bovendien is de interface gespecificeerd als not thread-safe; parallelle toegangen op dezelfde instantie mogen vermoedelijk niet onbeschermd plaatsvinden en moeten aan applicatiezijde worden gesynchroniseerd. Vraag Q-51ab72e4e72a7351 (open)

In de levenscyclus van de diagnoseverwerking correspondeert Offer() direct met de tegenfunctie StopOffer() ([SWS_DM_01131], AUTOSAR_AP_SWS_Diagnostics §8.3.1.1.3.2 “StopOffer”), die het doorsturen van verzoeken weer beëindigt. Dit patroon volgt de uniforme beschikbaarstellingsaanpak van diagnostische handlers, zoals die bijvoorbeeld ook bij ara::diag::CommunicationControl::Offer ([SWS_DM_00809]) of ara::diag::DoIPPowerMode::Offer ([SWS_DM_00735]) toepassing vindt, waarbij verzoeken pas na expliciet aanbieden door de applicatie kunnen worden verwerkt ([SWS_DM_01525]).

Gebruik

De methode StopOffer van de klasse ara::diag::Authentication (gedefinieerd in ara/diag/authentication.h) deactiveert het doorsturen van verzoekberichten door de Diagnostic Manager (DM) naar de instantie [SWS_DM_01131]. De aanroep wordt synchroon uitgevoerd, vereist geen overdrachtsparameters en heeft geen retourwaarde AUTOSAR_AP_SWS_Diagnostics §8.3.1.1.3.2 “StopOffer”.

Foutafhandeling en uitvoeringsveiligheid

De functie is gespecificeerd als uitzonderingsveilig (noexcept); specifieke foutcodes of uitzonderingen zijn niet gedefinieerd [SWS_DM_01131].

Gelijktijdigheid en beperkingen

De bewerking is uitdrukkelijk aangeduid als niet-thread-safe („not thread-safe”) [SWS_DM_01131]. Concurrerende aanroepen op dezelfde instantie moeten door de aanroepende applicatie worden gesynchroniseerd.

Interactie en architectuurrelatie

Het ontwerppatroon van StopOffer wordt in de Adaptive Diagnostic Manager consistent gebruikt voor verschillende services en handlers, waaronder SecurityAccess [SWS_DM_00767], CommunicationControl [SWS_DM_00810], DownloadService [SWS_DM_00793] en EcuResetRequest [SWS_DM_01017]. Hoewel de naamgeving is gebaseerd op de servicelevering in ara::com, betreft het een diagnosespecifieke implementatie AUTOSAR_AP_SWS_Diagnostics §7.3.4.1.2 “Monitors”. Interpretatie: voorafgaand aan de deactivering door middel van StopOffer zal de instantie vermoedelijk eerder actief verzoeken hebben geaccepteerd via een aanbiedfunctie. Vraag Q-da990416e53707ed (open)

De zuiver virtuele callback-methode VerifyCertificateBidirectional van de interface ara::diag::Authentication ([SWS_DM_01127]) wordt door de Diagnostic Server aangeroepen zodra een diagnoseverzoek voor de UDS-dienst 0x29 (Authentication) met de subfunctie 0x02 (verifyCertificateBidirectional) binnenkomt en de initiële controles met succes zijn doorlopen ([SWS_DM_01235], AUTOSAR_AP_SWS_Diagnostics §7.3.2.8.11.3 “Service 0x29 – verifyCertificateBidirectional (0x02)”).

Gebruik en semantiek:\nDe server geeft de communicatieconfiguratie evenals de van de tester ontvangen certificaat- en challenge-gegevens door via communicationConfiguration, clientCertificate en clientChallenge, samen met metaInfo en de cancellationHandler ([SWS_DM_01127], [SWS_DM_01235]). De buffers van de invoer-spans blijven geldig totdat het geretourneerde ara::core::Future via de bijbehorende promise is vervuld of het proces wordt afgebroken ([SWS_DM_01127]). Asynchroon levert de methode een 4-tupel bestaande uit server-challenge, servercertificaat, berekende Proof-of-Ownership en de Ephemeral Public Key van de server terug aan de Diagnostic Server ([SWS_DM_01127]).

Afbreking en gelijktijdigheid:\nVia de cancellationHandler kan de applicatie de actuele status middels IsCanceled pollen of per SetNotifier een notificatiefunctie voor de verbindingsafbreking registreren ([SWS_DM_01127]). De interface is gedefinieerd als noexcept en mag met betrekking tot verzoeken van verschillende clients reentrant worden aangeroepen ([SWS_DM_01127]). Of de implementatie thread-safe moet zijn, wordt bepaald via de in de constructor meegegeven ConcurrencyType ([SWS_DM_01127]).

Foutafhandeling en samenspel:\nIn het geval van een fout geeft de applicatie een passende NRC conform ISO 14229-1 via DiagUdsNrcErrc terug; negatieve retourwaarden worden door de Diagnostic Server apart verwerkt ([SWS_DM_01127], [SWS_DM_01236]). Binnen de UDS-authenticatie ([SWS_DM_01226]) vormt de configuratie van deze subfunctie een noodzakelijke voorwaarde als DiagnosticProofOfOwnership is geconfigureerd ([SWS_DM_01227], [SWS_DM_01228]).

De callback-methode VerifyCertificateUnidirectional van de klasse ara::diag::Authentication wordt door de Diagnostic-Server-instantie aangeroepen zodra een verzoek voor de UDS-service 0x29 met de subfunctie verifyCertificateUnidirectional (0x01) is ontvangen en succesvol vooraf is gecontroleerd (SWS Diagnostics §7.3.2.8.11.2 “Service 0x29 – verifyCertificateUnidirectional (0x01)”, [SWS_DM_01230]). Ze realiseert de unidirectionele authenticatie via PKI-certificaatuitwisseling conform ISO 14229-1 ([SWS_DM_01226]).

Als parameters worden de communicatieconfiguratie (communicationConfiguration), het clientcertificaat (clientCertificate) en de client-challenge (clientChallenge) evenals meta-informatie en een CancellationHandler meegegeven ([SWS_DM_01126]). De overgedragen spans blijven geldig totdat het geretourneerde ara::core::Future is vervuld of de verwerking via de handler wordt afgebroken. De methode levert asynchroon een tupel bestaande uit de gegenereerde server-challenge en de efemere publieke sleutel van de server terug ([SWS_DM_01126]).

Treedt er bij de validatie een fout op, dan dient het future met een passende negatieve responsecode (NRC) via DiagUdsNrcErrc te worden beëindigd ([SWS_DM_01126]).

De functie is gespecificeerd als exception safe en mag reentrant worden aangeroepen voor verzoeken van verschillende diagnose-clients ([SWS_DM_01126]). De thread-safety is voorwaardelijk; of de implementatie thread-safe moet zijn, bepaalt de in de constructor vastgelegde ConcurrencyType ([SWS_DM_01126]). In het totale proces is de configuratie van deze controle een dwingende voorwaarde als de subfunctie DiagnosticProofOfOwnership wordt geconfigureerd ([SWS_DM_01227]).

Gebruik en aanroepcontext

De zuiver virtuele methode VerifyOwnership van de klasse ara::diag::Authentication wordt door de Diagnostic Server aangeroepen zodra een authenticatieverzoek van de UDS-dienst 0x29 met de subfunctie proofOfOwnership (0x03) is ontvangen en de voorbereidende controles succesvol zijn verlopen [SWS_DM_01240]. Het is de taak van de implementatie om het door de tester verzonden eigendomsbewijs (Proof of Ownership) aan de hand van de openbare sleutel uit het vooraf uitgewisselde clientcertificaat te verifiëren tegen de gegenereerde server-challenge [SWS_DM_01128].

Bij de aanroep draagt de Diagnostic Server de relevante cryptografische invoergegevens en contextobjecten over AUTOSAR_AP_SWS_Diagnostics §8.3.1.1.3.5 “VerifyOwnership”:

• clientPOWN: Bevat de door de diagnosetester geleverde Proof of Ownership voor de voorgaande server-challenge.
• clientEphemeralPublicKey: De efemere openbare sleutel van de client voor de Diffie-Hellman-sleutelovereenkomst volgens ISO 14229-1:2020.
• metaInfo: Metagegevens van het huidige diagnoseverzoek.
• cancellationHandler: Maakt het opvragen van een eventuele annulering (cancellationHandler.IsCanceled) en het registreren van een notificatiefunctie (cancellationHandler.SetNotifier) mogelijk.

De functie werkt asynchroon en retourneert een ara::core::Future die bij succes de sessiesleutelinformatie als bytevector beschikbaar stelt [SWS_DM_01128].

Foutafhandeling

Indien de eigendomscontrole niet succesvol kan worden uitgevoerd, plaatst de applicatie via DiagUdsNrcErrc een passende negatieve UDS-retourwaarde (NRC) conform ISO 14229-1 in de geretourneerde future [SWS_DM_01128]. Retourneert de methode een dergelijke gedefinieerde foutcode, dan stuurt de Diagnostic Server een Negative Response met de bijbehorende NRC naar de client [SWS_DM_01241].

Gelijktijdigheid en randvoorwaarden

De interface is gedefinieerd als noexcept. Wat threadveiligheid betreft, geldt het gedrag als voorwaardelijk (conditional): of de methode threadveilig moet worden geïmplementeerd, wordt bepaald door de bij de constructie van de instantie gespecificeerde ConcurrencyType [SWS_DM_01128]. Voor de buffers clientPOWN en clientEphemeralPublicKey is gewaarborgd dat hun geheugenbereik geldig blijft totdat de promise is vervuld of de verwerking via de cancellationHandler wordt geannuleerd [SWS_DM_01128].

De virtuele destructor ~Authentication() sluit de levenscyclus van een instantie van de klasse ara::diag::Authentication af en geeft de resources ervan vrij [SWS_DM_01125]. De methode is gedeclareerd in het headerbestand #include "ara/diag/authentication.h" van de module Diagnostics AUTOSAR_AP_SWS_Diagnostics §8.3.1.1.1.3 “Destructor”.

De functie accepteert geen parameters, levert geen retourwaarde op en wordt bij het afbreken van het object synchroon aangeroepen [SWS_DM_01125]. Door de kwalificatie als virtual wordt gewaarborgd dat bij polymorfe verwijdering via pointers of referenties naar basisklassen ook de resources van afgeleide klassen correct worden opgeruimd.

Wat betreft foutafhandeling is de methode gespecificeerd als exception safe en draagt de specificator noexcept [SWS_DM_01125]. Fout- of statuscodes worden niet teruggegeven, en er treden gegarandeerd geen C++-excepties naar buiten toe op.

Met betrekking tot gelijktijdigheid is ~Authentication() geclassificeerd als not thread-safe [SWS_DM_01125]. De vernietiging mag daarom in geen geval gelijktijdig met andere methode-aanroepen op dezelfde instantie plaatsvinden. Interpretatie: De toepassende applicatie dient vermoedelijk verplicht te zijn om voorafgaand aan de vernietiging alle lopende authenticatie- of diagnoseprocessen te voltooien en de aanroep extern tegen parallelle toegangen te beveiligen. Vraag Q-41b1c115c1056759 (open) De destructor implementeert de bovenliggende eis RS_Diag_04251 AUTOSAR_AP_SWS_Diagnostics §8.3.1.1.1.3 “Destructor”.