การรับรอง

อุปกรณ์ที่ผ่านการรับรองคืออุปกรณ์ที่ผ่านกระบวนการรับรอง Connectivity Standards Alliance (Alliance) Matter

ในระหว่างกระบวนการจัดเตรียม อุปกรณ์ที่ผ่านการรับรองต้องรับรองตนเอง กล่าวอีกนัยหนึ่งคือ ผลิตภัณฑ์จะต้องพิสูจน์ว่าผลิตภัณฑ์เป็นผลิตภัณฑ์ที่อ้างหรือไม่ และเป็นผลิตภัณฑ์ของแท้ ดังนั้นอุปกรณ์ Matter ทุกเครื่องจะมีข้อมูลเข้าสู่ระบบซึ่งรวมคู่คีย์เอกสารรับรองและเชนใบรับรองที่เกี่ยวข้องไว้ ซึ่งใบรับรองเอกสารรับรองอุปกรณ์ (DAC) เป็นส่วนหนึ่งของเชนนี้ เมื่ออุปกรณ์ที่ได้รับการว่าจ้างให้ DAC แสดงต่อเจ้าหน้าที่แล้ว อุปกรณ์หลังจะต้องรับรองว่า

• ซึ่งผลิตโดยผู้ผลิตที่ผ่านการรับรอง
• แต่เป็นอุปกรณ์ของแท้
• ผ่านการทดสอบการปฏิบัติตามข้อกำหนด Matter รายการ

ในขั้นตอนการพัฒนา ผู้ผลิตจะทดสอบอุปกรณ์ได้โดยไม่ต้องผ่านกระบวนการรับรองที่สมบูรณ์ ผู้ทดสอบควรได้รับการแจ้งเตือนอย่างชัดแจ้งว่าอุปกรณ์อยู่ระหว่างการทดสอบ และยังไม่ได้รับการรับรองและเปิดตัว เมื่อผู้ผลิตเข้าสู่ขั้นตอนการใช้งานจริง ระบบนิเวศของผู้จัดสรรควรบังคับใช้ข้อกำหนดเกี่ยวกับเอกสารรับรองทั้งหมด

การยืนยันใช้โครงสร้างพื้นฐานคีย์สาธารณะ (PKI) ที่ใช้ประโยชน์จากผู้ออกใบรับรองรูทและใบรับรองกลางในทำนองเดียวกับใบรับรองการตรวจสอบสิทธิ์ของเซิร์ฟเวอร์ที่ใช้กันอย่างแพร่หลายซึ่งใช้สำหรับ SSL/TLS กระบวนการนี้เรียกว่าเชนใบรับรองการยืนยันอุปกรณ์

PKI ของเอกสารรับรองอุปกรณ์

DAC คือใบรับรอง X.509 v3 X.509 เวอร์ชันแรกได้รับการเผยแพร่ในปี 1988 โดย ITU-T X.509 v3 ที่มีใบรับรองโครงสร้างพื้นฐานคีย์สาธารณะและรายการยกเลิกใบรับรอง (CRL) ที่ใช้โดย Matter จะกำหนดโดย RFC5280 ซึ่งประกอบด้วย

• คีย์สาธารณะ
• ผู้ออก
• เรื่อง
• หมายเลขซีเรียลของใบรับรอง
• การมีผลใช้งาน โดยที่การหมดอายุอาจไม่แน่ชัด
• ลายเซ็น

รหัสผู้ให้บริการและรหัสผลิตภัณฑ์คือแอตทริบิวต์ของ MatterDACName ในเรื่อง DAC

DAC จะแตกต่างกันไปในแต่ละอุปกรณ์และเชื่อมโยงกับคู่คีย์เอกสารรับรองที่ไม่ซ้ำกันภายในผลิตภัณฑ์ หมายเลขนี้ออกโดย CA ที่เชื่อมโยงกับผู้ผลิตอุปกรณ์

ระบบจะตรวจสอบลายเซ็นของ DAC ตามใบรับรองกลางการยืนยันผลิตภัณฑ์ (PAI) ซึ่งออกโดย PAA ด้วย อย่างไรก็ตาม ผู้ให้บริการอาจเลือกสร้าง PAI 1 รายการต่อผลิตภัณฑ์ (สำหรับ PID โดยเฉพาะ) กลุ่มผลิตภัณฑ์ หรือผลิตภัณฑ์ทั้งหมดของตน

ที่ระดับรูทของเชนความน่าเชื่อถือ Product Attestation Authority (PAA) ผู้ออกใบรับรอง (CA) จะตรวจสอบลายเซ็นจาก PAI โปรดทราบว่า Trust Store ของ Matter ได้รับการรวมศูนย์ และชุดใบรับรอง PAA ที่คณะกรรมาธิการเชื่อถือจะเก็บรักษาไว้ในฐานข้อมูลที่เชื่อถือได้ส่วนกลาง (บัญชีแยกประเภทการปฏิบัติตามข้อกำหนดแบบกระจาย) การเข้าร่วม PAA ภายในชุดโปรแกรม Trusted จะต้องเป็นไปตามนโยบายใบรับรองที่จัดการโดย Alliance

นอกจากนี้ PAI ยังเป็นใบรับรอง X.509 v3 ที่ประกอบด้วย:

• คีย์สาธารณะ
• ผู้ออก
• เรื่อง
• หมายเลขซีเรียลของใบรับรอง
• การมีผลใช้งาน โดยที่การหมดอายุอาจไม่แน่ชัด
• ลายเซ็น

รหัสผู้ให้บริการและรหัสผลิตภัณฑ์ (ไม่บังคับ) คือแอตทริบิวต์ของ MatterDACName ในหัวข้อ DAC

สุดท้าย PAA คือใบรับรองรูทในเชนและเป็นใบรับรองแบบ Self-signed ซึ่งรวมถึง

• ลายเซ็น
• คีย์สาธารณะ
• ผู้ออก
• เรื่อง
• หมายเลขซีเรียลของใบรับรอง
• เวลาที่ใช้ได้

เอกสารเอกสารรับรองเพิ่มเติมและข้อความ

กระบวนการรับรองมีเอกสารและข้อความหลายรายการ รายการต่อไปนี้คือภาพรวมคร่าวๆ ของฟังก์ชันและองค์ประกอบ รูปภาพด้านล่างช่วยให้คุณเข้าใจลำดับชั้น

เอกสาร	คำอธิบาย
คำประกาศการรับรอง (CD)	CD อนุญาตให้อุปกรณ์ Matter พิสูจน์ว่าเป็นไปตามโปรโตคอล Matter เมื่อกระบวนการ Matter การรับรองเสร็จสิ้น Alliance จะสร้างซีดีสำหรับประเภทอุปกรณ์ เพื่อให้ผู้ให้บริการอาจรวมข้อมูลดังกล่าวไว้ในเฟิร์มแวร์ ซีดีประกอบด้วยข้อมูล ต่อไปนี้ VID PID (อย่างน้อย 1 รายการ) รหัสหมวดหมู่เซิร์ฟเวอร์ หมวดหมู่ลูกค้า ID ระดับการรักษาความปลอดภัย ความปลอดภัย ข้อมูล ประเภทการรับรอง (การพัฒนา ชั่วคราว หรืออย่างเป็นทางการ) ลายเซ็น
ข้อมูลเฟิร์มแวร์ (ไม่บังคับ)	ข้อมูลเฟิร์มแวร์ประกอบด้วยหมายเลขเวอร์ชัน CD และส่วนย่อยของคอมโพเนนต์อย่างน้อย 1 รายการในเฟิร์มแวร์ เช่น ระบบปฏิบัติการ ระบบไฟล์ และ Bootloader ไดเจสต์อาจเป็นแฮชของคอมโพเนนต์ซอฟต์แวร์ หรือแฮชของไฟล์ Manifest ที่มีการรับรองของคอมโพเนนต์ซอฟต์แวร์ก็ได้ ผู้ให้บริการอาจเลือกที่จะรวมไว้ในข้อมูลเฟิร์มแวร์ เฉพาะ "แฮชของแฮช" ของคอมโพเนนต์ แทนที่จะเป็นอาร์เรย์ของแฮชแต่ละรายการ ผู้ให้บริการของเฟิร์มแวร์มีการจัดการเป็นองค์ประกอบเสริมในระบบเอกสารรับรองและการประมวลผลข้อมูลยืนยัน
ข้อมูลเอกสารรับรอง	ข้อความจากคณะกรรมาธิการ ถึงกรรมาธิการดังกล่าว ข้อมูลการรับรองจะรวม TLV ที่มีองค์ประกอบเอกสารรับรองและลายเซ็นเอกสารรับรอง
องค์ประกอบเอกสารรับรอง	นี่คือ TLV ที่มี ใบรับรอง การประกาศ การประทับเวลา เอกสารรับรอง Nonce ข้อมูลเฟิร์มแวร์ (ไม่บังคับ) ข้อมูลเฉพาะผู้ให้บริการ (ไม่บังคับ)
การยืนยันเกี่ยวกับการยืนยัน	ชาเลนจ์นอกวงซึ่งมาจากระหว่างจัดตั้ง Passcode Authenticated Session Establishment (PASE)/Certificate Authenticated Session Establishment (CASE) เซสชัน และใช้เพื่อทำให้ขั้นตอนมีความปลอดภัยยิ่งขึ้นและหลีกเลี่ยงลายเซ็นที่เล่นซ้ำ มาจากเซสชัน CASE, PASE เซสชัน หรือเซสชัน CASE ที่กลับมาทำงานอีกครั้ง
เอกสารรับรอง TBS (ต้องลงนาม)	ข้อความที่มีองค์ประกอบ เอกสารรับรองและคำถามยืนยันความถูกต้อง
ลายเซ็นของเอกสารรับรอง	ลายเซ็นของ Attestation TBS ซึ่งลงนามโดยใช้คีย์ส่วนตัวสำหรับเอกสารรับรองอุปกรณ์

ขั้นตอนเอกสารรับรอง

คณะกรรมการมีหน้าที่รับรองคณะกรรมาธิการ โดยดำเนินการตามขั้นตอนต่อไปนี้

1. คณะกรรมาธิการจะสร้าง Nonce การรับรองขนาด 32 ไบต์แบบสุ่ม ในศัพท์เฉพาะด้านการเข้ารหัสลับ ค่านอนซ์ (ตัวเลขที่ใช้เพียงครั้งเดียว) คือหมายเลขสุ่มที่สร้างขึ้นในขั้นตอนการเข้ารหัส และมีไว้สำหรับใช้ครั้งเดียว
2. คณะกรรมาธิการจะส่งค่า Nonce ไปยัง DUT และขอข้อมูลเอกสารรับรอง
3. DUT จะสร้างข้อมูลการยืนยันและลงนามข้อมูลนั้นด้วยคีย์ส่วนตัวของเอกสารรับรอง
4. เจ้าหน้าที่จะกู้คืนใบรับรอง DAC และ PAI จากอุปกรณ์ และค้นหาใบรับรอง PAA จากแหล่งความน่าเชื่อถือ Matter ของอุปกรณ์
5. คณะกรรมการตรวจสอบข้อมูลเอกสารรับรอง เงื่อนไขสำหรับการตรวจสอบมีดังนี้
   • เชนใบรับรอง DAC ต้องได้รับการตรวจสอบ รวมถึงการตรวจสอบการเพิกถอนใน PAI และ PAA
   • VID ใน DAC ตรงกับ VID ใน PAI
   • ลายเซ็นของเอกสารรับรองถูกต้อง
   • Nonce ในองค์ประกอบการยืนยันอุปกรณ์ตรงกับค่า Nonce ที่ Commissioner ระบุ
   • ลายเซ็นประกาศใบรับรองถูกต้องโดยใช้คีย์ลงนามคำประกาศการรับรองซึ่งเป็นที่รู้จักของ Alliance
   • ข้อมูลเฟิร์มแวร์ (หากมีและได้รับการสนับสนุนโดยคณะกรรมาธิการ) ตรงกับรายการในบัญชีแยกประเภทการปฏิบัติตามข้อกำหนดแบบกระจาย
   • นอกจากนี้ยังมีการตรวจสอบ VID/PID เพิ่มเติมระหว่างคลัสเตอร์ข้อมูลพื้นฐานของอุปกรณ์ การประกาศการรับรอง และ DAC อีกด้วย