Figure 7.5: Verification of MAC

1. Diagrammtyp & Architektur-Kontext

• Klassifikation: UML-Aktivitätsdiagramm (Activity Diagram) mit expliziten Aktionsknoten (Action Nodes), Entscheidungsknoten (Decision Node), Kontrollflusskanten mit Rückkopplungsschleife und Aktivitätsendknoten (Activity Final Nodes).
• Funktionale Einordnung: AUTOSAR Classic Platform (ab Release R23-11), BSW Communication Services Layer, Modul SecOC (Secure Onboard Communication).
• Technischer Zweck: Spezifiziert den normativen Ablauf der MAC- bzw. Signaturverifikation einer empfangenen Secured I-PDU (Rx-Pfad) gemäß SWS_SecOC_00053. Bei fehlschlagender Verifikation steuert die Logik eine iterative Wiederholungsschleife unter sukzessiver Ermittlung des nächsten gültigen Freshness-Werts (Next valid Freshness Value), begrenzt durch den Konfigurationsparameter SecOCAuthenticationVerifyAttempts. Dies verallgemeinert das zuvor rein auf MSB-Inkrementierung basierende Resynchronisationsschema für beliebige Freshness-Algorithmen (z. B. FVM).

2. Komponenten, Entitäten & Schnittstellen

• Akteure & Module:
  • SecOC: Ausführende BSW-Entität im Communication Services Layer.
  • Crypto Service Manager (CSM): Unterlagerte Krypto-Schnittstelle zur kryptografischen Prüfung (Csm_MacVerify bzw. Csm_SignatureVerify).
  • PduR (PDU Router): Überlagerte Empfangsschicht zur Übergabe erfolgreich verifizierter PDUs (PduR_SecOCRxIndication).
  • Freshness Management (FVM / SW-C / BswM): Bereitstellung von Freshness-Werten und Synchronisationsinkrementen.
• Zustands- & Konfigurationsvariablen:
  • Attempts: Lokale Laufzeitvariable (Zähler der Verifikationsversuche, initial 0).
  • SecOCAuthenticationVerifyAttempts (an der Abbruchkante als SecOCAuthenticationVerifyAttempt beschriftet): ECUC-Konfigurationsparameter für die maximal zulässige Anzahl an Verifikationsiterationen.
  • Freshness Value: Vollständiger Authentifizierungs- und Frischevektor.
• Kontrollfluss-Knoten & Kanten:
  • Startknoten (Initial Node): Eintritt nach PDU-Empfang.
  • Aktionsknoten (Action Nodes): MAC verification, Attempts++, Next valid Freshness Value, Drop message.
  • Entscheidungsknoten (Decision Node, Raute): Verzweigung anhand von Testergebnis und Guard-Bedingungen.
  • Aktivitätsendknoten (Activity Final Nodes, Bullseye): continue (erfolgreiche Verifikation), abort (Abbruch nach Fehlversuchen).
  • Kontrollfluss-Rückkopplung: Explizite Kante von Next valid Freshness Value zurück zu MAC verification.

3. Dynamisches Verhalten & Sequenzablauf

1. Trigger & Eintritt: Empfang einer Secured I-PDU via SecOC_RxIndication(). Der Kontrollfluss tritt vom Startknoten unmittelbar in den Aktionsknoten MAC verification ein.
2. MAC Verification:
   • Ausführung der Krypto-Prüfung über Nutzdaten (Authentic I-PDU) und den aktuellen Freshness-Wert via CSM.
   • Weiterleitung des Kontrollflusses in den Entscheidungsknoten.
3. Verzweigung über Guard-Bedingungen:
   • Pfad passes:
     • Verifikation erfolgreich (MAC/Signatur ist gültig).
     • Kontrollfluss terminiert im Endknoten continue.
     • SecOC aktualisiert den lokalen Freshness-Status und leitet die Authentic I-PDU via PduR_SecOCRxIndication() an den PduR weiter.
   • Pfad fails && [Attempts < SecOCAuthenticationVerifyAttempts]:
     • Verifikation ungültig, Limit an Versuchen noch nicht erreicht.
     • Aktion 1: Attempts++ inkrementiert den Zähler.
     • Aktion 2: Next valid Freshness Value ermittelt den nächsten Erwartungswert für die Freshness.
     • Rücksprung: Der Kontrollfluss kehrt über die direkte Schleifenkante zur erneuten Ausführung von MAC verification zurück.
   • Pfad fails && [Attempts >= SecOCAuthenticationVerifyAttempt]:
     • Verifikation ungültig und maximale Versuchsanzahl erreicht bzw. überschritten.
     • Aktion: Drop message verwirft die PDU (optional Meldung an Det/IdsM).
     • Kontrollfluss terminiert im Endknoten abort.

4. Normative Relevanz & Entwickler-Hinweise

• Normative Zuordnung: Spezifikation des Rx-Verifikationsverhaltens gemäß SWS_SecOC_00053 und zugehöriger Anforderungen (SWS_SecOC_00022, SWS_SecOC_00057).
• Generalisierung des Freshness-Managements: Der Übergang von der festen MSB-Inkrementierung (most significant bits of FreshnessVerifyValue ++1) zur Aktion Next valid Freshness Value entkoppelt die Verifikationsschleife von einer spezifischen Bit-Aufteilung und unterstützt flexible Freshness-Algorithmen (z. B. profilbasierte FVM-Schnittstellen).
• WCET & DoS-Schutz: Der Konfigurationsparameter SecOCAuthenticationVerifyAttempts begrenzt die worst-case Rechenzeit im BSW-Rx-Pfad. Entwickler müssen den Wert restriktiv konfigurieren, um Denial-of-Service-Angriffe durch absichtlich fehlerhafte Botschaften mit hohem Krypto-Rechenaufwand zu verhindern.
• Asynchroner Modus: Bei asynchroner CSM-Verifikation muss die Rückkopplungsschleife im Treiber über Callbacks (SecOC_CsmMacVerifyCallbackNotification) reentrant und nicht-blockierend ausgeführt werden.
• Standardkonforme UML-Modellierung: Die Ersetzung informeller Konnektoren (step back) durch explizite Aktivitätskanten und standardkonforme Endknoten (continue, abort) präzisiert die formale Semantik für Codegeneratoren.