Tématem Security Gateway jsme se poprvé zabývali v roce 2021, v červnovém vydání, kdy tuto relativní novinku popisoval školitel společnosti Bosch Matej Potocký. V tomto pokračování, které volně navazuje na zmíněný článek, se k zabezpečené diagnostice opět vracíme.
Oblast zabezpečené diagnostiky, pevně věřím, není mezi čtenáři AutoEXPERTU žádnou novinkou. Přesto se lze v praxi setkat se spoustou otazníků, co dělat v konkrétní diagnostické situaci. Článek na toto téma ve spojitosti se společností Bosch byl zveřejněn už v roce 2021. Tehdy šlo o novinku na trhu, kdy se de facto každý výrobce multiznačkové diagnostiky ze startu snažil pokrýt „alespoň něco“.
Dnes je situace poněkud jiná a rozhodně stojí za to toto důležité téma doplnit o aktuální dění. Zatímco jsou dílny zabezpečující servis fleetových vozidel vystavovány této problematice denně už několik let, pro mnohé menší dílny jde stále ještě o novinku. Navíc je nutno podotknout, že tato vozidla, dnes už povinně vybavená zabezpečenou diagnostikou, se postupně dostávají z firemních flotil do soukromého vlastnictví, a tím i k nezávislým servisům.
Kompletní informace k SDA a SGW naleznete ZDE.
Security Gateway v přístupu SDA
U společnosti Bosch nastal v tomto ohledu od té doby velice zásadní vývoj, kdy došlo ke sjednocení přístupu k zabezpečení jednotlivých značek. Pod názvem SDA (Secure Diagnostic Access) lze proto už dnes najít většinu běžně servisovaných značek a řada dalších přibývá s každou aktualizací diagnostického softwaru ESI[tronic] 2.0.
V praxi tak stačí, aby se každý mechanik, který vykonává s diagnostickým přístrojem úkony na vozidle, zaregistroval do SDA (obr. 1), čímž dojde k vytvoření identifikace osoby-mechanika pomocí SingleKeyID, a jednorázově tím splnil podmínky některých značek. V současné době vyžadují speciální přístup pouze vozidla VW Group a Mercedes. U ostatních značek tak mechanik krom velice rychlé registrace do SDA nemusí provádět žádné další úkony.
Registrace
Registrace je velice jednoduchá a rychlá, v pravé horní části obrazovky volí mechanik ikonu SDA (viz obr. 1), kde se následně registruje. Zde zadá svoji osobní e-mailovou adresu a klikne na „Pokračovat“ (obr. 2). Dojde k ověření, zda není jeho e-mailová adresa již v systému SDA použita. Pokud ne, zobrazí se možnost „Registrovat se“ (obr. 3). Následně si zvolí svoje heslo, které musí obsahovat alespoň jeden malý, jeden velký znak a číslici, s celkovým počtem osm znaků (obr. 4). Po zadání hesla v požadovaném tvaru a zvolení „Pokračovat“ je na registrovaný e-mail odeslán jednorázový bezpečnostní kód (obr. 5), který je nutno zadat do 30 minut (obr. 6).
Po úspěšné registraci se během prvního přihlášení bude navíc vyžadovat zadání jména a příjmení. Tak, jak je obecně u zahraničních webů a informačních systémů známo, se zde doporučuje zadávat jméno a příjmení bez háčků a čárek, tudíž bez diakritiky, a potvrdit podmínky používání (obr. 7).
Nutno podotknout, že mechanik musí striktně respektovat pokyny diagnostického zařízení a provádět diagnostiku dle určitých „pravidel slušnosti“. To znamená, že v první řadě vozidlo připojí ke zdroji napájení – nabíječce s funkcí podpůrného zdroje, která umožňuje udržovat palubní napětí nad stanovenou hodnotou (např. Bosch BAT 6120 (obr. 8) nebo BAT 690, v krajním případě BAT 645).
Pokud se mechanik úspěšně registroval a přihlásil (obr. 9), může u některých značek, které nevyžadují další ověření (tabulka 1), v diagnostice okamžitě spouštět chráněné funkce. Plný režim vždy vyžaduje přihlášení do SDA.
*V plánu pro nejbližší období.
Přehled značek integrovaných v rámci ESI[tronic] Abarth, Alfa Romeo, Audi, Cupra, Chrysler, Dacia, Dodge/Ram, Fiat, Ford, Hyundai, Jeep, Kia, Lancia, Porsche, Renault, Seat, Škoda, Volkswagen a Volvo, stav k 19. září 2023. Do konce roku přibudou ještě Nissan a Subaru. Další značky budou následovat.
Některá specifika registrace
U značky Mercedes musí mechanik absolvovat jednorázový proces ověření osoby pomocí občanského průkazu nebo taky cestovního pasu. Ten má možnost spustit po přihlášení do SDA vpravo dole tlačítkem „Identifikace uživatele“ (obr. 9). Pak volí buď možnost absolvování procesu v příslušném počítači (pokud je vybaven webkamerou), nebo naskenováním zobrazeného QR kódu pomocí chytrého telefonu s následným zadáním zobrazeného kódu (obr. 10). K autentizaci je nutno si nachystat občanský průkaz nebo cestovní pas (obr. 11). Postupně je mechanik veden procesem skenování průkazu totožnosti, kde se na konci pomocí aplikace vyfotí. Pokud je automatická autentizace úspěšná, je proces hotový a mechanik nemusí u vozidel Mercedes dále nic dalšího provádět. Při dalším použití diagnostiky se dle požadavků pouze přihlásí do SDA.
Pro vozidla VW Group (Škoda, VW, Audi, Seat, Cupra) je nutno při každém spuštění chráněných funkcí realizovat dvoufaktorové ověření mechanika. Zjednodušeně řečeno jde o podobný princip jako přihlášení do internet bankingu, kdy vám po zadání přihlašovacích údajů dorazí SMS kód k zadání do aplikace. V tomto případě však bude kód pro aktivaci chráněných funkcí automaticky generován v aplikaci chytrého telefonu. Nutno poznamenat, že zde musí mechanik striktně dodržovat pokyny diagnostického testeru. Po každé správné identifikaci vozidla je po přechodu do záložky „Diagnostika“ zobrazeno upozornění na nutnost otevření kapoty motoru – při řádném připojení nabíječky je podmínka automaticky splněna (obr. 12).
Další úroveň přístupu: SFD
Pokud bude mechanik chtít spustit funkci chráněnou druhým stupněm SFD (Schutz der Fahrzeugdiagnose), bude vyzván k jednorázovému procesu instalace dvoufaktorové autentizace do chytrého telefonu (obr. 13). Dle postupu si nainstaluje do telefonu jednu ze tří nabízených autentizačních aplikací a pomocí té nainstalované naskenuje zobrazený QR kód. Po naskenování vloží první vygenerovaný šestimístný kód (obr. 14) do vybrané autentizační aplikace a zvolí „Odeslat“ (obr. 15). Tento proces je jednorázový a po jeho absolvování dojde ke spárování SingleKeyID mechanika s konkrétním chytrým telefonem, který kódy generuje. Proces je požadován pouze jednou, při samotném používání během diagnostiky už mechanik žádný QR kód neskenuje, pouze na základě výzvy ESI[tronic] 2.0 (obr. 13 a obr. 16) zadává šestimístné kódy vygenerované z aplikace telefonu (obr. 14).
Na práci 90 minut
Tímto krokem jsou uvolněny veškeré chráněné funkce konkrétní řídicí jednotky, jako např. servisní poloha zadních brzdových třmenů parkovací brzdy nebo zadání výměny startovacího akumulátoru. Toto uvolnění je u vozidel VW Group platné 90 minut od momentu odblokování. Během této doby je v paměti závad příslušné řídicí jednotky uložena závada – „Uvolnění funkce – aktivní“. Nejde o závadu, ale o oznámení o odemčení funkcí po příslušnou dobu. Toto oznámení je možné předčasně odstranit opětovným zablokováním oprávnění k přístupu ve speciálních funkcích příslušné ŘJ (obr. 17). Pokud mechanik nezruší oprávnění k přístupu pro chráněné funkce ručně, tato „nezávada“ nejpozději po 90 minutách odezní a už ji v paměti závad neuvidíte.
Sjednocení zabezpečení zatím chybí
Nelze si nevšimnout, že každý výrobce tuto problematiku pojal jinak, povinnost zabezpečení je daná dle EHK/OSN 155, bohužel už se zde neuvádí způsob jednotné realizace zabezpečení. Nedá se proto minimálně v nejbližší budoucnosti očekávat případné sjednocení na úrovni výrobců vozidel. Toto sjednocení tedy zůstává na straně výrobců multidiagnostických zařízení, kde se každý z výrobců diagnostiky snaží obsáhnout co nejširší spektrum značek. S ohledem na to, že každý výrobce automobilu využívá jiné řešení, představuje implementace specifické nároky na změny v softwaru diagnostiky.
Jak postupovat při výměně telefonu?
Některým z vás určitě taky hlodá hlavou otázka – co když si vyměním telefon? QR kód pro synchronizaci aplikace v telefonu u VW Group se přece dle článku zobrazí pouze jednou. V tomto případě je nutno odeslat ESI Ticket (v ESI[tronic] 2.0 klikněte vpravo nahoře – hlavní menu – ESI Ticket), do popisu závady uvedete „Reset SDA 2FA – váš e–mail“, kde jako e-mail uvedete login, respektive e-mailovou adresu SingleKeyID toho mechanika, který vyžaduje opětovnou autentizaci. Proces bude následně při nejbližší snaze o odemčení spuštěn znovu (počínaje obr. 15).
Typické problémy odemčení funkcí
Jelikož jsme jako školitelé zároveň i v roli hot-line, nelze nepřipomenout několik chyb ze strany uživatelů, kterým je dobré se vyhnout.
Velká část neúspěšných odemčení zabezpečených funkci je, bohužel, způsobena nesprávnou identifikací vozidla. Zde se doporučuje identifikace dle VIN se správnou volbou modelu a motoru (pokud ve VIN není jednoznačně uvedeno).
Další chybou je nesprávně nastavený čas v používaném PC – zde se doporučuje nechat nastavení času na automatickém, jelikož i malý nesoulad času působí pro ověřovací server nedůvěryhodně.
Jiným problémem může být nesplnění základních předpokladů, jako např. spuštění vozidla do diagnostického režimu (Volvo a BMW). Tyto postupy je možno najít v nabídce „Důležité ke značce“ (obr. 18) pod položkou „Zapnutí zapalování u vozidel s tlačítkem start/stop nebo s pasivním systémem startu“. Zde je uvedeno, že uživatel musí např. 3× rychle stisknout tlačítko start (BMW, řada F a G) nebo ho pět sekund držet (Volvo).
Někdy to bez hot-line nejde
V případě jakýchkoli potíží neváhejte kontaktovat hot-line na čísle +420 255 706 289, která je k dispozici každý všední den od 8.00 do 16.30. Doporučujeme sledovat ESI News ke každé aktualizaci ESI[tronic] 2.0, čímž se dovíte, kdy dojde k doplnění dalších značek do systému SDA.
Další informace
Pokud by vás zajímaly detaily z tohoto nebo i jiných témat, doporučujeme sledovat stránky školicího střediska společnosti Robert Bosch – https://www.skoleniaabosch.cz, kde najdete další informace o školeních EDC (vznětové systémy vstřikování) a JET (zážehové systémy vstřikování), PassThru pro různé značky vozidel, ADAS (asistenční systémy řidiče ve vozidlech), kalibrace používaných snímačů a různá další technická školení.
Autor je spolupracovníkem redakce.
Tento článek najdete v časopise AutoEXPERT, vydání č. 10/2023.
