Attestation

Les Appareils certifiés sont des Appareils qui ont été soumis au processus de certification Matter Connectivity Standards Alliance (Alliance).

Au cours du processus de mise en service, un Appareil certifié doit s'authentifier lui-même. En d'autres termes, elle doit prouver qu'il s'agit bien de ce qu'elle prétend et qu'il s'agit d'un produit authentique. Ainsi, tous les appareils Matter possèdent des identifiants qui incluent la paire de clés d'attestation et une chaîne de certificats associée. Le certificat d'attestation de l'appareil (DAC) fait partie de cette chaîne. Une fois que l'appareil mis en service a présenté le DAC à son commissaire, celui-ci certifie que:

• elle a été fabriquée par un fabricant certifié.
• il s'agit d'un appareil authentique.
• il a réussi Matter tests de conformité.

Pendant la phase de développement, le fabricant peut tester ses appareils sans le processus d'attestation complet. Les testeurs doivent être explicitement informés que l'Appareil est en cours de test et qu'il n'a pas encore été certifié ni lancé. Une fois qu'un fabricant entre dans une phase de production, l'écosystème de l'approvisionneur doit appliquer toutes les exigences d'attestation.

L'attestation utilise une infrastructure à clé publique (PKI) qui exploite les autorités de certification racine et les certificats intermédiaires, de la même manière que les certificats d'authentification de serveur largement adoptés pour SSL/TLS. Ce processus s'appelle la chaîne de certificats d'attestation des appareils.

PKI d'attestation des appareils

Le DAC est un certificat X.509 v3. La première version de X.509 a été publiée en 1988 par l'UIT-T. Le code X.509 v3 avec certificat d'infrastructure à clé publique et liste de révocation de certificats (LRC) utilisés par Matter est spécifié par le document RFC5280. Il contient:

• Clé publique
• Émetteur
• Objet
• Numéro de série du certificat
• La validité, où l'expiration peut être indéterminée
• Signature

L'ID de fournisseur et l'ID produit sont des attributs du MatterDACName dans l'objet DAC.

Le DAC est unique pour chaque appareil et associé à la paire de clés d'attestation unique au sein du produit. Il est délivré par une autorité de certification associée au fabricant de l'appareil.

La signature du DAC est validée par rapport au Certificat intermédiaire d'attestation de produit (PAI), qui est également délivré par une PAA. Toutefois, un fournisseur peut choisir de créer une PAI par produit (spécifique au PID), par groupe de produits ou pour tous ses produits.

À la racine de la chaîne de confiance, la clé publique de l'autorité de certification (CA) de l'autorité d'attestation des produits (PAA) valide les signatures de la PAI. Notez que le magasin de confiance Matter est fédéré et que l'ensemble de certificats PAA approuvés par les commissaires est conservé dans une base de données centrale de confiance (le Distributed Compliance Ledger). L'entrée d'un PAA au sein de l'ensemble de confiance nécessite de respecter une stratégie de certificat gérée par Alliance.

Le certificat PAI est également un certificat X.509 v3 qui inclut les éléments suivants:

• Clé publique
• Émetteur
• Objet
• Numéro de série du certificat
• La validité, où l'expiration peut être indéterminée
• Signature

L'ID de fournisseur et l'ID produit (facultatif) sont des attributs du MatterDACName dans l'objet DAC.

Enfin, le PAA est le certificat racine de la chaîne et est autosigné. Il inclut les éléments suivants:

• Signature
• Clé publique
• Émetteur
• Objet
• Numéro de série du certificat
• Validité

Documents et messages d'attestation supplémentaires

Le processus d'attestation comporte plusieurs documents et messages. Les éléments suivants offrent un bref aperçu de leur fonction et de leur composition. L’image ci-dessous aide à comprendre leur hiérarchie.

Document	Description
Déclaration de certification	Le CD permet à l'appareil Matter de prouver sa conformité avec le protocole Matter. Chaque fois que le processus de certification Matter est terminé, Alliance crée un CD pour le type d'appareil afin que le fournisseur puisse l'inclure dans le micrologiciel. Le CD inclut, entre autres, les informations suivantes: VID PID (un ou plusieurs) ID de catégorie du serveur ID de catégorie du client Niveau de sécurité Informations sur la sécurité Type de certification (développement, provisoire ou officiel) Signature
Informations sur le micrologiciel (facultatif)	Les informations du micrologiciel contiennent le numéro de version du CD, ainsi qu'un ou plusieurs condensés des composants du micrologiciel, tels que l'OS, le système de fichiers et le bootloader. Les condensés peuvent être soit un hachage des composants logiciels, soit un hachage des fichiers manifestes signés des composants logiciels. Le fournisseur peut choisir de n'inclure dans les Informations du micrologiciel que le "hachage de hachage" de ses composants, plutôt qu'un tableau de hachages individuels. Les informations sur le micrologiciel sont un élément facultatif dans le processus d'attestation et l'environnement de démarrage lorsqu'un fournisseur de clés de démarrage sécurisé gère la paire de clés applicable.
Informations sur l'attestation	Message envoyé par le commissionné au commissaire. Les informations d'attestation combinent un TLV contenant les éléments d'attestation et une signature d'attestation.
Éléments d'attestation	Il s'agit d'une TLV contenant: Déclaration de certificat Code temporel Nonce d'attestation Informations sur le micrologiciel (facultatif) Informations spécifiques sur le fournisseur (facultatif)
Défi d'attestation	Défi hors bande dérivé lors de l'établissement de la session Passcode Authenticated Session Establishment (PASE)/Certificate Authenticated Session Establishment (CASE), utilisé pour sécuriser davantage la procédure et éviter les signatures relancées. Provient d'une session CASE, d'une session PASE ou d'une session CASE reprise.
Attestation TOS (à signer)	Message contenant les éléments d'attestation et la question d'attestation d'attestation.
Signature d'attestation	Signature de l'attestation TBS, signée à l'aide de la clé privée d'attestation d'appareil.

Procédure d'attestation

Le Commissaire est chargé d'attester. Il exécute les étapes suivantes:

1. Commissioner génère un nonce d'attestation aléatoire de 32 octets. Dans le jargon de la cryptographie, un nonce (nombre utilisé une fois) est un nombre aléatoire généré lors de la procédure cryptographique et destiné à être utilisé une seule fois.
2. Commissioner envoie le nonce à l'appareil testé et demande les informations d'attestation.
3. L'appareil DUT génère les informations d'attestation et les signe avec la clé privée d'attestation.
4. Le commissaire récupère les certificats DAC et PAI à partir de l'appareil, puis recherche le certificat PAA dans son magasin de confiance Matter.
5. Le commissaire valide les informations d'attestation. Voici les conditions de validation :
   • La chaîne de certificats DAC doit être validée, y compris les contrôles de révocation sur les PAI et PAA.
   • Le VID sur le DAC correspond à celui sur la PAI.
   • La signature d'attestation est valide.
   • Le nonce dans les éléments d'attestation d'appareil correspond au nonce fourni par le Commissioner.
   • La signature de la déclaration de certification est valide avec l'une des clés de signature de déclaration de certification connues de Alliance.
   • Les informations du micrologiciel (si présentes et prises en charge par Commissioner) correspondent à une entrée du registre de conformité distribué.
   • D'autres validations VID/PID ont également lieu entre le cluster d'informations de base sur l'appareil, la déclaration de certification et le DAC.