Figure 6.1: Communication with MKA Module in AUTOSAR Adaptive Platform.

1. Diagrammtyp & Architektur-Kontext

• Diagrammtyp: Schichten- und Komponentenmodell (Architektur-Blockschaltbild mit Protokollstapel- und Interface-Hierarchie).
• Technischer Zweck: Spezifikation der Einbettung des MKA-Moduls (MACsec Key Agreement) und der IEEE 802.1AE (MACsec)-Infrastruktur in das Betriebssystem und die Netzwerkarchitektur der AUTOSAR Adaptive Platform (AP).
• Funktionale Einordnung: Zeigt die Trennung zwischen Control Plane (MKA-Schlüsselaustausch über IEEE 802.1X-2010 via Raw-Sockets/DataLink) und Data Plane (verschlüsselter vs. unverschlüsselter Ethernet- und VLAN-Datenverkehr im OS-Kernel bzw. Hardware-PHY) sowie die Anbindung an ara::com (Communication Management).

2. Komponenten, Entitäten & Schnittstellen

• User Space (OS Host):
  • Adaptive Application: Anwendungsprozesse, die über standardisierte Service-Schnittstellen kommunizieren.
  • Communication Management (ara::com): Service-Oriented Communication (SOME/IP, DDS, IPC), bindet über POSIX-Sockets/Kernel-APIs an den Netzwerk-Stack an.
  • MKA module: Autonomer Daemon/Dienst (IEEE 802.1X-MKA), verantwortlich für Mutual Authentication, Key Derivation (CAK → SAK) und Session-Management.
  • MKA Config: Externe Konfigurationsquelle (z. B. AUTOSAR Manifeste/Execution- & Machine-Deployment) zur Parametrierung des MKA-Dienstes (Pre-shared Keys/PSK, MACsec-Modi, Port-Bindungen).
• Kernel Space (Kernel):
  • Communication Stack:
    • TCP/IP Stack: Layer-3/4-Prozessierung (IPv4/IPv6, TCP, UDP).
    • DataLink: Linux-Netzwerk-Subsystem (Layer 2, Socket-Buffer-Routing, Packet Socket Handling wie AF_PACKET).
  • Netzwerk-Interfaces & Virtualisierung:
    • eth0 / eth1: Physische Netzwerktreiber/Controller-Netdev-Instanzen.
    • macsec0: Virtuelles MACsec-Interface (IEEE 802.1AE SecY-Instanz; kapselt/entkapselt SecTAG, Encryption/Authentication ICV).
    • macsec0.12, macsec0.23: Virtuelle 802.1Q-VLAN-Subinterfaces über dem verschlüsselten Tunnel (VLAN-over-MACsec).
    • eth0.34: Unverschlüsseltes VLAN-Subinterface auf eth0 (Klartext-Bypass parallel zu MACsec).
    • eth1.45: Standardmäßiges VLAN-Interface auf dediziertem Standard-Interface eth1.
• Hardware Layer (unterhalb OS Host):
  • MACsec PHY: Physischer Transceiver mit Hardware-Offloading-Fähigkeit für Inline-MACsec-Transformation (Kryptografie direkt im PHY/MII-Pfad).
  • PHY: Konventioneller Standard-Ethernet-PHY ohne MACsec-Hardwareunterstützung.
• Schnittstellen & Interaktionspfade:
  • MKA Config → MKA module: Initialisierungsparameter via Deployment/IPC.
  • MKA module ↔ DataLink: Übertragung/Empfang von EAPOL-MKA-PDUs (EtherType 0x888E) über Raw Sockets (AF_PACKET) sowie Netlink-Kontrollschnittstelle (z. B. rtnetlink / Generic Netlink) zur Programmierung der SecY/SAK-Tabellen.
  • Communication Management ↔ TCP/IP Stack: POSIX-Socket-API (AF_INET/AF_INET6).

3. Dynamisches Verhalten & Sequenzablauf

1. Initialisierung & Konfiguration:
   • Das MKA module liest MKA Config (Connectivity Association Key / CAK, CKN, Cipher Suites).
   • Erzeugung des virtuellen Layer-2-Interface macsec0 über Netlink-Befehle auf dem Basis-Interface eth0.
2. MKA-Schlüsselaushandlung (Control Plane):
   • Senden und Empfangen von MKA-Frames (EtherType 0x888E) über das DataLink-Subsystem direkt am physischen Netdev eth0.
   • Nach erfolgreicher Authentifizierung generiert der Key-Server den SAK (Security Association Key) und verteilt ihn gesichert an die Teilnehmer.
3. Schlüsselprogrammierung (Offload vs. Host):
   • Der MKA-Daemon injiziert den aktiven SAK, Salt und Packet Number (PN) via Netlink in den Kernel-MACsec-Treiber oder konfiguriert den MACsec PHY über MDIO/I2C-Bypass für hardwarebasiertes Wire-Speed-Kryptieren.
4. Nutzdaten-Pfad (Data Plane):
   • MACsec-Traffic: Adaptive Application → ara::com → TCP/IP → DataLink → macsec0.12/macsec0.23 → macsec0 (SecTAG, Verschlüsselung) → eth0 → MACsec PHY → Bus.
   • Bypass-Traffic: Daten über eth0.34 umgehen die SecY-Instanz macsec0 und laufen unverschlüsselt auf Layer 2 an eth0 / MACsec PHY.
5. Re-Keying & Session Teardown:
   • Vor Erreichen des PN-Überlaufs (Replay Protection Window / 32-Bit bzw. 64-Bit XPN) initiiert das MKA-Modul automatisch einen SAK-Wechsel ohne Unterbrechung der Nutzdatenverbindung.

4. Normative Relevanz & Entwickler-Hinweise

• Architektur-Implikation (VLAN vs. MACsec Reihenfolge): Das Schaubild dokumentiert VLAN-over-MACsec (macsec0.12 auf macsec0): Die VLAN-Tags (IDs 12, 23) befinden sich innerhalb des geschützten MACsec-Payloads und sind vor Sniffing/Manipulation geschützt.
• Koexistenz & Co-Design: Auf demselben Port eth0 können gleichzeitig verschlüsselte (macsec0) und ungeschützte Kanäle (eth0.34) existieren. Entwickler müssen durch strikte Firewall- und Netfilter-/Routing-Regeln sicherstellen, dass sicherheitskritische Dienste (ara::com) ausschließlich an die Interfaces macsec0.x gebunden werden.
• Hardware-Offloading: Bei Nutzung eines MACsec PHY muss der BSP-/Treiber-Stack Netlink-MACsec-Offload-Flags (MACSEC_OFFLOAD_PHY / MACSEC_OFFLOAD_MAC) unterstützen; der MKA-Daemon benötigt ausreichende POSIX-Capabilities (CAP_NET_ADMIN, CAP_NET_RAW).
• ara::com Transparenz: Für die adaptive Applikation und den ara::com-Bindungs-Layer ist die MACsec-Kapselung vollkommen transparent, da die POSIX-Kommunikation auf Standard-IP-Endpunkten aufsetzt, die den virtuellen Interfaces zugewiesen sind.