Anonymous Authenticated Car-to-X Communication Vom Fachbereich Informatik der Technischen Universität Darmstadt genehmigte Dissertation zur Erlangung des akademischen Grades eines Doktor-Ingenieurs (Dr.-Ing.) von Carsten Gerhard Büttner, M.Sc. geboren in Aschaffenburg, Deutschland Referenten der Arbeit: Prof. Dr.-Ing. Sorin A. Huss Technische Universität Darmstadt Prof. Dr.-Ing. Delphine Reinhardt Rheinische Friedrich-Wilhelms-Universität Bonn Prof. Dr. rer. nat. Max Mühlhäuser Technische Universität Darmstadt Tag der Einreichung: 22. September 2016 Tag der mündlichen Prüfung: 04. November 2016 Darmstädter Dissertation 2016 D 17 Erklärung zur Dissertation Hiermit versichere ich, die vorliegende Dissertation selbständig nur mit den ange- gebenen Quellen und Hilfsmitteln angefertigt zu haben. Alle Stellen, die aus den Quellen entnommen wurden, sind als solche kenntlich gemacht worden. Diese Ar- beit hat in gleicher oder ähnlicher Form noch keiner Prüfungsbehörde vorgelegen. Darmstadt, den 22. September 2016 Carsten Gerhard Büttner Acknowledgment I would like to thank Prof. Dr.-Ing. Sorin A. Huss for his guidance and support. Especially for his effort in improving my scientific writing in English. I also thank Prof. Dr.-Ing. Delphine Reinhardt to be available as the second and Prof. Dr. rer. nat. Max Mühlhäuser to be available as third assessor of this thesis. Additionally, I thank Prof. Dr. phil. Iryna Gurevych, Prof. Dr.-Ing. Andreas Koch, and Prof. Dr. rer. nat. Andy Schürr to be part of my committee. Thanks to my Ph.D. colleagues at the Adam Opel AG, namely Lena Rittger, Jens Ferdinand, Thomas Streubel, Rami Zarife, Jonas Firl, Boliang Yi, Bernhard Wandt- ner, and Maximilian Harr. Moreover, I would like to thank my colleagues at the Integrated Circuits and Systems Lab at TU Darmstadt, Tolga Arul, Attila Jaeger, Alexander Biedermann, Zheng Lu, and Qizhi Tian as well as my colleague Marco Grimm at CASED. I further thank my students for their contributions - namely Friederike Bartels, Marc Schiller, Christoph Brenner, Jakob Laenge, Johannes Wagener, Yasser Aziza, Josef Daher, and Matthias Braun. Many thanks to Harald Berninger, who supervised my work at the Adam Opel AG and reviewed parts of this thesis. Furthermore, I would like to thank Bernd Büchs for his helpful advices in the practical implementations and our endless discussions about privacy and security not limited to Car-to-X Communication. Special thanks to Tobias Rückelt for all the discussions about the topic and review- ing this thesis and many papers. I further thank Frank Englert, Heike Perko, Sabine Schäfer, Norman Göttert, and Burkhard Hauck for reviewing parts of this thesis. I also thank my friends who encouraged me on my way. Additionally, I would like to thank my family for their support during the whole time. Carsten Abstract Two current trends in the automotive industry are the increasing number of connected vehicles and automated driving. The former enables the use of different applications within the vehicle. These applications might be restricted to vehicles with certain features such as manufacturer or model. To enable automated driving, the vehicle needs information about the road ahead. This information might be provided by an application. In order to keep the street information up to date connected vehicles share their sensor data. This data is then aggregated on a central server. Furthermore, it has a restricted spatial and temporal validity. Therefore, the vehicles also need to provide the corresponding time and position information. When reporting position data, it is possible, for example, to generate movement profiles or to identify sensitive locations. Hence, it is critical which information different applications reveal about the corresponding vehicles. Therefore, in this thesis we propose four different schemes which restrict the infor- mation applications can obtain from vehicles. The first scheme addresses the prob- lem how a vehicle can authenticate itself privacy preserving based on attributes at an application without revealing all its attributes. The second scheme provides a solu- tion for the question how two vehicles can authenticate each other for an application and exchange confidential data without disclosing their identity. The third scheme obfuscates the identity of a vehicle while sharing sensor data with a central server. The fourth scheme is related to the question how data can be distributed by a central server to all vehicles equipped with a particular application and located within a cer- tain area without tracking the vehicles and knowing their subscribed applications. In addition, we outline how these schemes can be combined. We demonstrate that each scheme is practical by presenting prototype implemen- tations. Additionally, we simulate the second and third scheme in order to assess the impact on the vehicles privacy. Zusammenfassung Zwei aktuelle Trends in der Automobilindustrie sind einerseits die zunehmende Ver- netzung der Fahrzeuge und andererseits das automatisierte Fahren. Durch ersteres wird es ermöglicht, verschiedene Anwendungen im Fahrzeug zu nutzen. Diese An- wendungen können auf Fahrzeuge mit bestimmten Eigenschaften wie Hersteller oder Modell beschränkt sein. Das automatisierte Fahren benötigt Informationen über die voraus liegende Stre- cke, welche über eine Anwendung bereitgestellt werden. Um die Straßeninforma- tionen auf aktuellem Stand zu halten, stellen die vernetzten Fahrzeuge Sensordaten bereit, die schließlich auf einem zentralen Server gesammelt werden. Da diese Daten eine begrenzte räumliche und zeitliche Gültigkeit haben muss das Fahrzeug auch die zugehörigen Zeit- und Positionsinformationen bereitstellen Durch die Weitergabe von Positionsdaten können jedoch beispielsweise Bewe- gungsprofile erstellt oder sensible Orte identifiziert werden. Daher ist es ein kri- tischer Aspekt, welche Informationen die verschiedenen Anwendungen über die Fahrzeuge preisgeben. Deshalb werden in dieser Arbeit vier Verfahren vorgestellt, um die weitergegebe- nen Informationen gezielt einzuschränken: Das erste Verfahren beschäftigt sich mit der Frage, wie sich ein Fahrzeug bei gleichzeitiger Wahrung der Privatsphäre, ba- sierend auf Attributen für eine Anwendung, authentifizieren kann, ohne alle seine Eigenschaften zu offenbaren. Das zweite Verfahren erlaubt es, dass sich zwei Fahr- zeuge gegenseitig für eine Anwendung authentifizieren und vertrauliche Daten aus- tauschen, ohne ihre Identität zu offenbaren. Das dritte Verfahren verschleiert die Identität eines Fahrzeuges, welches Sensordaten an einen zentralen Server sendet. Das vierte Verfahren ermöglicht es einem Server, Informationen an alle Fahrzeuge mit einer speziellen Anwendung in einem bestimmten Gebiet zu senden, ohne den Standort der Fahrzeuge oder die installierten Anwendungen zu kennen. Zusätzlich zeigen wir, wie diese Verfahren miteinander kombiniert werden können. Mithilfe prototypischer Implementierungen demonstrieren wir, dass jedes dieser Verfahren praxistauglich ist. Für das zweite und dritte Verfahren führen wir zur Beurteilung der Auswirkungen auf die Privatsphäre zusätzlich Simulationen durch. Contents 1. Introduction1 1.1. Motivation . .2 1.2. Requirements and Challenges . .5 1.3. Structure and Contributions . .7 2. Foundations 11 2.1. Privacy . 11 2.2. Security and Cryptography . 13 2.3. Car-to-X Communication . 18 2.3.1. GeoNetworking . 20 2.3.2. Certificate Format . 23 2.3.3. Public Key Infrastructure . 24 2.3.4. Messages . 26 2.4. Multimedia Broadcast Multicast Service . 27 3. Related Work 29 3.1. Anonymous Credentials . 29 3.2. Anonymous Key Agreement and Authentication Protocols . 31 3.3. Path Hiding . 34 3.4. Geocast . 35 4. Attribute Based Authentication 39 4.1. Motivation . 39 4.2. Entities . 40 4.3. System . 41 4.3.1. Enrolment Certificate and Anonymous Credential Request . 42 4.3.2. Money Request . 44 4.3.3. Attribute-Based Authorization Ticket Request . 44 4.3.4. Application Usage . 47 Anonymous Authenticated Car-to-X Communication XI Contents 4.3.5. Revocation . 48 4.4. Implementation . 49 4.5. Evaluation . 51 4.5.1. Comparison . 51 4.5.2. Performance . 52 4.6. Summary . 55 5. Anonymous Data Exchange 59 5.1. Motivation . 59 5.2. Protocol . 61 5.2.1. Applied Cryptographic Mechanisms . 62 5.2.2. Notation . 64 5.2.3. Protocol Steps . 64 5.2.4. Message Format . 66 5.3. A-Priori Assessment . 67 5.4. Simulation of Privacy Properties . 69 5.4.1. Scenario . 69 5.4.2. Considered Parameters . 71 5.4.3. Attacker Behavior . 73 5.4.4. Influence of Considered Parameters . 76 5.5. Real-World Evaluation . 80 5.5.1. Implementation . 81 5.5.2. Measurement Setup . 82 5.5.3. Signature Size . 83 5.5.4. Message Size . 83 5.5.5. Execution Time . 88 5.5.6. Faulty Messages . 93 5.5.7. Multiple Communication Partners . 94 5.5.8. Real Payload . 94 5.6. Summary . 95 6. Anonymous Data Reporting 99 6.1. Motivation . 100 6.2. Application Scenario . 103 6.2.1. Attacker Model . 103 6.3. Scenario . 104 6.4. Proposed Strategies . 105 6.4.1. Exchange Based . 106 6.4.2. Distance Based . 107 6.4.3. Orthogonal Parameters . 108 XII Anonymous Authenticated Car-to-X Communication Contents 6.5. Simulation Scenario . 109 6.6. Evaluation . 109 6.6.1. Metrics . 109 6.6.2. Results . 110 6.6.3. Recommendations . 114 6.6.4. Real Hardware . 114 6.7. Summary . 114 7. Anonymous Geocast 117 7.1. Motivation . 117 7.2. Requirements . 119 7.3. Scheme . 121 7.3.1. IVS Registration . 121 7.3.2. Message Distribution . 122 7.3.3. Message Format . 124 7.3.4. Overhead . 126 7.3.5. Billing . 127