הצהרה

מכשירים מאושרים הם מכשירים שעברו את תהליך האישור של Connectivity Standards Alliance (Alliance) Matter.

במהלך תהליך ההפעלה, מכשיר מאושר צריך לאמת את עצמו. במילים אחרות, צריך להוכיח שהמוצר הוא מה שהוא טוען שהוא, ושהוא מוצר מקורי. לכן לכל מכשירי Matter יש פרטי כניסה שכוללים את צמד המפתחות של האימות ואת שרשרת האישורים המשויכת. אישור האימות של המכשיר (DAC) הוא חלק מהשרשרת הזו. אחרי שהמכשיר בתהליך ההפעלה מציג את ה-DAC למפעיל, המפעיל מאשר את הדברים הבאים:

• הוא יוצר על ידי יצרן מוסמך.
• המכשיר מקורי.
• הוא עבר Matter בדיקות תאימות.

במהלך שלב הפיתוח, היצרן יכול לבדוק את המכשירים שלו בלי תהליך האימות המלא. חשוב להודיע לבודקים באופן מפורש שהמכשיר נמצא בבדיקה, ושהוא עדיין לא אושר ולא הושק. אחרי שיצרן נכנס לשלב הייצור, המערכת האקולוגית של ספק ההקצאות צריכה לאכוף את כל דרישות האימות.

אימות משתמש בתשתית מפתחות ציבוריים (PKI) שמסתמכת על רשויות אישורים של שורש ועל אישורים ביניים, בדומה לאישורי אימות שרת שנמצאים בשימוש נרחב עבור SSL/TLS. התהליך הזה נקרא שרשרת אישורי אימות המכשיר.

מערכת PKI לאימות מכשירים

ה-DAC הוא אישור X.509 בגרסה v3. הגרסה הראשונה של X.509 פורסמה בשנת 1988 על ידי ITU-T. אישור X.509 v3 עם אישור תשתית מפתח ציבורי (PKI) ורשימת אישורים שבוטלו (CRL) שמשמשים את Matter מוגדרים על ידי RFC5280. היא כוללת:

• מפתח ציבורי
• המוסד המנפיק
• נושא
• מספר סידורי של אישור
• תוקף, שבו התפוגה יכולה להיות לא מוגדרת
• חתימה

מזהה הספק ומזהה המוצר הם מאפיינים של MatterDACName בנושא DAC.

ה-DAC ייחודי לכל מכשיר ומשויך לזוג מפתחות אישור ייחודי בתוך המוצר. הוא מונפק על ידי רשות אישורים שמשויכת ליצרן המכשיר.

החתימה של ה-DAC מאומתת מול אישור הביניים של אימות המוצר (PAI), שמונפק גם הוא על ידי PAA. עם זאת, ספק יכול לבחור ליצור נתונים אישיים על מוצרים לכל מוצר (ספציפיים למזהה מוצר), לקבוצת מוצרים או לכל המוצרים שלו.

בבסיס שרשרת האמון, המפתח הציבורי של רשות האישורים (CA) של רשות אימות המוצר (PAA) מאמת חתימות מ-PAI. שימו לב שMatterמאגר הישויות האמינות הוא מאוחד, וקבוצת אישורי ה-PAA שרשויות המכס סומכות עליהם מתעדכנת במסד נתונים מרכזי של ישויות אמינות (הספר הראשי המבוזר של התאימות). כדי להזין PAA בתוך קבוצת המהימנים, צריך לעמוד במדיניות האישורים שמנוהלת על ידי Alliance.

ה-PAI הוא גם אישור X.509 v3 שכולל:

• מפתח ציבורי
• המוסד המנפיק
• נושא
• מספר סידורי של אישור
• תוקף, שבו התפוגה יכולה להיות לא מוגדרת
• חתימה

מזהה הספק ומזהה המוצר (אופציונלי) הם מאפיינים של MatterDACName בנושא DAC.

לבסוף, ה-PAA הוא אישור הבסיס בשרשרת והוא בחתימה עצמית. היא כוללת:

• חתימה
• מפתח ציבורי
• המוסד המנפיק
• נושא
• מספר סידורי של אישור
• תוקף

מסמכים והודעות נוספים לאישור

תהליך האישור כולל כמה מסמכים והודעות. בהמשך מופיעה סקירה כללית קצרה של הפונקציה וההרכב שלהם. התמונה שלמטה עוזרת להבין את ההיררכיה שלהם.

מסמך	תיאור
הצהרת אישור (CD)	CD מאפשר למכשיר Matter להוכיח את התאימות שלו לפרוטוקול Matter. בסיום תהליכי האישור של Matter, נוצר תקליטור לסוג המכשיר, כדי שהספק יוכל לכלול אותו בקושחה.Alliance הדיסק כולל, בין היתר, את המידע הבא: VID ‫PID (one or more) מזהה קטגוריית השרת מזהה קטגוריית לקוח רמת אבטחה מידע על אבטחה סוג האישור (פיתוח, זמני או רשמי) חתימה
מידע על הקושחה (אופציונלי)	פרטי הקושחה כוללים את מספר הגרסה של ה-CD וערכי גיבוב (digest) של רכיבים בקושחה, כמו מערכת ההפעלה, מערכת הקבצים, טוען האתחול (bootloader). התקצירים יכולים להיות גיבוב של רכיבי התוכנה או גיבוב של המניפסטים החתומים של רכיבי התוכנה. הספק יכול גם לבחור לכלול ב-Firmware Information רק את הגיבוב של הגיבובים של הרכיבים שלו, במקום מערך של גיבובים נפרדים. Firmware Information הוא רכיב אופציונלי בתהליך האימות, והוא רלוונטי אם לספק יש סביבת אתחול מאובטחת שמטפלת בצמד המפתחות של האימות.
פרטי האימות	הודעה שנשלחה מהממונה אל הממונה. המידע על האישור משלב בין TLV שמכיל את רכיבי האישור לבין חתימת האישור.
רכיבי אימות (attestation)	זהו TLV שמכיל: אישור הצהרה חותמת זמן Attestation Nonce מידע על הקושחה (אופציונלי) מידע ספציפי לספק (אופציונלי)
אתגר האימות	אתגר מחוץ לפס שנוצר במהלך Passcode Authenticated Session Establishment (PASE)/ Certificate Authenticated Session Establishment (CASE) הקמת הסשן ומשמש לאבטחה נוספת של התהליך ולמניעת חתימות ששוחזרו. מגיע מסשן CASE, מסשן PASE או מסשן CASE שהופעל מחדש.
אימות (Attestation) TBS (לצורך חתימה)	הודעה שמכילה את רכיבי האישור ואת אתגר האישור.
חתימת האימות	חתימה של ה-TBS של האימות, שנחתמה באמצעות המפתח הפרטי של אימות המכשיר.

תהליך האימות (Attestation)

הנציב אחראי לאישור של מקבל העמלה. הוא מבצע את השלבים הבאים:

1. הנציב יוצר ערך חד-פעמי אקראי של 32 בייט לאישור. בז'רגון של קריפטוגרפיה, nonce (מספר שמשמש פעם אחת) הוא מספר אקראי שנוצר בהליך קריפטוגרפי ונועד לשימוש חד-פעמי.
2. הנציב שולח את ה-nonce אל ה-DUT ומבקש את פרטי האימות.
3. מכשיר ה-DUT יוצר את פרטי האימות וחותם עליהם באמצעות המפתח הפרטי של האימות.
4. הנציב מאחזר את אישור ה-DAC ואת אישור ה-PAI מהמכשיר, ומחפש את אישור ה-PAA במאגר המהימנות Matter שלו.
5. הנציב מאמת את פרטי האישור. אלה התנאים לאימות:
   • צריך לאמת את שרשרת האישורים של DAC, כולל בדיקות ביטול של PAI ו-PAA.
   • ה-VID ב-DAC זהה ל-VID ב-PAI.
   • החתימה של האישור תקינה.
   • הערך החד-פעמי (nonce) באלמנטים של אימות המכשיר תואם לערך החד-פעמי שסופק על ידי הנציב.
   • החתימה של הצהרת האישור תקפה באמצעות אחד ממפתחות החתימה המוכרים של הצהרת האישור של Alliance.
   • מידע על הקושחה (אם קיים ונתמך על ידי הנציב) תואם לרשומה בפנקס המבוזר של התאימות.
   • בנוסף, מתבצעים אימותים של VID/PID בין Device Basic Information Cluster,‏ Certification Declaration ו-DAC.