wifi模塊廠商樂鑫信息科技深圳代理商Matter安全模型,Matter 是一個關注安全與隱私的互聯協議,采用了密碼學機制,能夠確保安全地實現:
受信設備
受信控制器
隱私通訊
這篇文章中,我們將通過 Matter 的安全模型,向大家介紹如何在 Matter 中實現上述安全目標。
公鑰基礎設施 (PKI) 簡介
Matter 采用基于公鑰基礎設施 (PKI) 的安全模型。PKI 加密機制在互聯網中的應用非常廣泛,比如在使用 https 協議訪問網站時,該網站上的內容將受到網站證書的保護。
以樂鑫官網 www.espressif.com 為例,它的網站證書鏈證書鏈采用層級結構。證書鏈中的每份證書都由其頒發者 (issuer) 簽發,因此可以一路向上追溯至根證書。也就是說,一旦我們可以沿著某個網站的證書鏈向上追溯至一份可信的根證書,則視為該站點安全。
在各種會話建立協議 (session establishment protocol) 的配合下,PKI 可實現以下關鍵加密目標:
核實身份:設備的身份將由其證書頒發者進行核實。
保證數據的隱私性和完整性:所有通信均將采用一個獨一無二的密鑰進行加密,且每個會話均有自己的密鑰。
讀到這里,大家已經對 PKI 機制有所了解。接下來,我們將進一步介紹wifi模塊廠商樂鑫信息科技深圳代理商Matter 如何基于 PKI 機制實現各類安全目標,以及如何在手機 App 和設備之間分發證書。
wifi模塊廠商樂鑫信息科技深圳代理商Matter 協議中的各類證書
設備認證證書 (Device Attestation Certificate, DAC):設備如何證明“我是誰”?
所有 Matter 設備在出廠時均會被分配一份獨一無二的設備認證證書 (DAC)。通過追溯設備 DAC 證書的證書鏈,用戶可以得知手中的 Matter 設備是否的確來自于設備包裝上的生產廠家,快速鑒別假貨。
設備 DAC 證書的頒發者是產品認證中間證書 (Product Attestation Intermediate, PAI) ,通常由設備廠商持有。PAI 證書由產品認證根證書 (PAA) 簽發以保證受信。所有受信任的 PAA 證書均存儲在 CSA 連接標準聯盟 (Connectivity Standard Alliance) 提供的分布式合規分類賬 (Distributed Compliance Ledger, DCL) 中。有關 DCL 的詳細內容,敬請期待我們即將發布的博客。
DAC 和 PAI 證書會在生產過程中燒錄至設備中并永久儲存。在 commissioning 過程中,控制器將獲取 DAC 和 PAI 證書(及證書隨附的供應商/產品信息)并加以驗證,從而保證所有經過 commissioning 的 Matter 設備均可信。
節點操作憑證 (Node Operational Credentials, NOC):我與誰通信?
公鑰證書也被用于驗證其他設備的身份,同時保證 Matter 數據通信的隱私性和完整性。這時,我們需要用到節點操作憑證 (NOC)。NOC 既可以由中間證書頒發機構 (Intermediate Certificate Authority, ICA) 簽發,也可以直接由根證書頒發機構 (Root Certificate Authority, RCA) 簽發。RCA 通常由 commissioner 生成。NOC 和 RCA 會在 commissioning 過程中被安裝至設備。
當 App 或其他設備連接到該設備時,雙方開始交換證書信息。如果雙方使用同一份根證書,則可相互信任。所有擁有相同根證書的設備將由此形成一個 Matter fabric。在證書信息交換之后,設備之間將建立起加密會話。
wifi模塊廠商樂鑫信息科技深圳代理商Matter 的設備 commission 流程
接下來我們將介紹設備 commissioning 過程,即對開箱設備進行身份驗證、網絡設置并將 NOC 安裝至設備存儲。
新設備一旦上電,將通過 BLE 或 DNS-sd 服務進行廣播??刂破鹘邮盏綇V播時,會嘗試基于配對碼與設備建立加密會話。這個過程被稱為wifi模塊廠商樂鑫信息科技深圳代理商Matter 的密碼認證會話建立 (Password Authenticated Session Establishment, PASE)。通常情況下,在 PASE 過程中,App 需要通過掃描二維碼來獲取設備的唯一配對碼。
建立 PASE 會話后,控制器將驗證設備的 DAC 證書。如果通過驗證,則會簽發一個新的 NOC,并將其安裝至設備。此外,控制器還會告知設備需要加入的 Wi-Fi 或 Thread 網絡。設備配網完成后,PASE 會話將被關閉。此后,所有通信都將受到證書的保護。這種新的會話也被稱為 Matter 的證書認證會話建立 (Certificate Authenticated Session Establishment, CASE)。
在 CASE 會話中,設備之間將交換加鹽后的證書信息,從而相互驗證并協商一個用于對稱加密的密鑰。所有控制命令均由這個密鑰進行加密。
本文是wifi模塊廠商樂鑫信息科技深圳代理商樂鑫 Matter 系列文章的第七篇,敬請期待后續的更多內容。如果您想了解更多有關 Matter 的內容,請查閱樂鑫 Matter 系列文章。