Figure 5.3: Verification of MAC

1. Diagrammtyp & Architektur-Kontext

UML-Aktivitätsdiagramm zur Darstellung des Kontrollflusses bei der kryptografischen Verifikation eines Message Authentication Code (MAC) im Kontext des AUTOSAR Secure Onboard Communication (SecOC) Protokolls (AUTOSAR_PRS_SecOcProtocol). Das Diagramm modelliert den Entscheidungspfad und die Fehlerbehandlung auf Empfängerseite (RX) bei erfolgreicher Verifikation, Synchronisationsinkrementierung oder finalem Verifikationsfehlschlag.

2. Komponenten, Entitäten & Schnittstellen

Das Diagramm umfasst:

• Initialzustand (Initial Node): Einstiegspunkt für den Vorgang MAC Verification.
• Entscheidungsknoten (Decision Node / Raute): Verzweigung basierend auf dem Verifikationsergebnis und dem Zählerzustand.
• Aktionen (Action States):
  • Attempts++: Inkrementierung des Zählers für Synchronisations-/Verifikationsversuche.
  • most significant bits of FreshnessVerifyValue ++1: Erhöhung der höherwertigen Bits (MSB) des Freshness-Verifikationswerts zur Re-Synchronisation.
  • Drop message: Verwerfen der empfangenen Nachricht bei endgültigem Fehlschlag.
• Endzustände / Ausgänge:
  • continue (grün markierter Endzustand): Erfolgreicher Abschluss nach bestandenem MAC-Check.
  • step back (gelb markierter Endzustand): Rückkehr zur erneuten Verifikation nach Anpassung des Freshness-Werts.
  • abort (rot markierter Endzustand): Abbruch der Verarbeitung nach Verwerfen der Nachricht.
• Parameter und Schwellenwerte:
  • Attempts: Lokale Zählvariable der Synchronisationsversuche.
  • SecOCFreshnessValueSyncAttempts: Konfigurierter Schwellenwert für die maximal zulässige Anzahl an Synchronisationsversuchen.
  • FreshnessVerifyValue: Vollständiger Freshness-Wert für die Verifikation.

3. Dynamisches Verhalten & Sequenzablauf

1. Der Prozess beginnt am Initialknoten mit der Aktion MAC Verification.
2. Am nachfolgenden Verzweigungsknoten wird das Verifikationsergebnis ausgewertet:
   • Pfad passes: Die Verifikation ist erfolgreich. Der Kontrollfluss verzweigt direkt zum regulären Abschlusszustand continue, woraufhin die Nachricht weiterverarbeitet wird.
   • Pfad fails && [Attempts < SecOCFreshnessValueSyncAttempts]: Schlägt die Verifikation fehl und liegt die Anzahl bisheriger Versuche unter dem Schwellenwert SecOCFreshnessValueSyncAttempts, wird der Versuchszähler inkrementiert (Attempts++). Anschließend werden die Most Significant Bits des Verifikations-Freshness-Werts inkrementiert (most significant bits of FreshnessVerifyValue ++1). Der Kontrollfluss endet im Zustand step back, der einen erneuten Verifikationszyklus initiiert.
   • Pfad fails && [Attempts >= SecOCFreshnessValueSyncAttempts]: Schlägt die Verifikation fehl und hat die Anzahl der Versuche den Grenzwert SecOCFreshnessValueSyncAttempts erreicht oder überschritten, wird die Aktion Drop message ausgeführt und die Ausführung im Zustand abort beendet.

4. Normative Relevanz & Entwickler-Hinweise

Das Diagramm spezifiziert normativ das Verhalten des SecOC-Empfängers bei MAC-Prüfungen mit Freshness-Synchronisationsfenster. Für die Implementierung bedeutet dies:

• Es muss ein Zähler Attempts pro Verifikationsvorgang geführt und gegen den Konfigurationsparameter SecOCFreshnessValueSyncAttempts geprüft werden.
• Bei Freshness-Diskrepanzen dürfen wiederholte Verifikationsschleifen nur bis zum Erreichen von SecOCFreshnessValueSyncAttempts durchlaufen werden, um Replay-Angriffe und Denial-of-Service durch Rechenlast zu begrenzen.
• Bei jedem Wiederholungsversuch innerhalb des Fensters werden gezielt die MSBs von FreshnessVerifyValue um 1 erhöht, bevor eine erneute MAC-Berechnung/Prüfung stattfindet.
• Nach Überschreiten des Schwellenwerts ist die PDU zwingend zu verwerfen (Drop message) und der Prozess abzubrechen (abort).