Los dispositivos certificados son aquellos que pasaron por el Connectivity Standards Alliance (Alliance) Matter proceso de certificación.
Durante el proceso de puesta en servicio, un dispositivo certificado debe certificarse. En otras palabras, debe demostrar que es lo que dice ser y que es un producto original. Por lo tanto, todos los dispositivos Matter Matter tienen credenciales que abarcan el par de claves de certificación y una cadena de certificados asociada. El certificado de certificación del dispositivo (DAC) forma parte de esta cadena. Una vez que el dispositivo en puesta en servicio presenta el DAC a su comisionado, este último certificará lo siguiente:
- Que lo fabricó un fabricante certificado
- Que es un dispositivo original
- Que pasó las pruebas de cumplimiento de Matter
Durante la fase de desarrollo, el fabricante puede probar sus dispositivos sin el proceso de certificación completo. Se debe informar explícitamente a los verificadores que el dispositivo está en prueba y que aún no se certificó ni se lanzó. Una vez que un fabricante ingresa a una fase de producción, el ecosistema del aprovisionador debe aplicar todos los requisitos de certificación.
La certificación usa una infraestructura de clave pública (PKI) que aprovecha las autoridades certificadoras raíz y los certificados intermedios, de manera similar a los certificados de autenticación del servidor ampliamente adoptados que se usan para SSL/TLS. Este proceso se denomina cadena de certificados de certificación del dispositivo.
PKI de certificación del dispositivo
El DAC es un certificado X.509 v3. La primera versión de X.509 fue publicada en 1988 por ITU-T. La versión X.509 v3 con el certificado de infraestructura de clave pública y la lista de revocación de certificados (CRL) que usa Matter se especifica en RFC5280. Contiene lo siguiente:
- Clave pública
- Entidad emisora
- Asunto
- Número de serie del certificado
- Validez, en la que el vencimiento puede ser indeterminado
- Firma
El ID del proveedor y el ID del producto son atributos de MatterDACName en el asunto del DAC.
El DAC es único por dispositivo y está asociado con el par de claves de certificación único dentro del producto. Lo emite una CA asociada con el fabricante del dispositivo.
La firma del DAC se valida con el certificado intermedio de certificación del producto (PAI), que también emite una PAA. Sin embargo, un proveedor puede optar por crear un PAI por producto (específico del PID), grupo de productos o para todos sus productos.
En la raíz de la cadena de confianza, la clave pública de la autoridad certificadora (CA) de la autoridad de certificación del producto (PAA) valida las firmas del PAI. Ten en cuenta que el almacén de confianza de Matter está federado y el conjunto de certificados de PAA en los que confían los comisionados se mantiene en una base de datos central de confianza (el libro de contabilidad de cumplimiento distribuido). Para ingresar una PAA en el conjunto de confianza, se debe cumplir con una política de certificados administrada por la Alliance.
El PAI también es un certificado X.509 v3 que incluye lo siguiente:
- Clave pública
- Entidad emisora
- Asunto
- Número de serie del certificado
- Validez, en la que el vencimiento puede ser indeterminado
- Firma
El ID del proveedor y el ID del producto (opcional) son atributos de MatterDACName en el asunto del DAC.
Por último, la PAA es el certificado raíz de la cadena y está autofirmada. Incluye lo siguiente:
- Firma
- Clave pública
- Entidad emisora
- Asunto
- Número de serie del certificado
- Validez
Documentos y mensajes de certificación adicionales
El proceso de certificación tiene varios documentos y mensajes. Los siguientes elementos son una breve descripción general de su función y composición. La siguiente imagen ayuda a comprender su jerarquía.
| Documento | Descripción |
|---|---|
| Declaración de certificación (CD) | La CD permite que el
Matter dispositivo
demuestre su cumplimiento con el
Matter protocolo.
Cuando finaliza el
Matter
proceso de certificación, la
Alliance crea una CD
para el tipo de dispositivo,
de modo que el proveedor pueda incluirla en el
firmware. La CD incluye, entre otra información, lo siguiente:
|
| Información sobre firmware (opcional) | La información sobre firmware contiene el número de versión de la CD y uno o más resúmenes de los componentes del firmware, como el SO, el sistema de archivos y el cargador de arranque. Los resúmenes pueden ser
un hash de los componentes de software o
un hash de los manifiestos firmados de los
componentes de software. El proveedor también puede optar por incluir en la información sobre firmware solo el "hash de hashes" de sus componentes, en lugar de un array de hashes individuales. La información sobre firmware es un elemento opcional en el proceso de certificación y se aplica cuando un proveedor tiene un entorno de arranque seguro que controla el par de claves de certificación. |
| Información de certificación | Mensaje enviado del comisionado al comisionado. La información de certificación combina un TLV que contiene los elementos de certificación y una firma de certificación. |
| Elementos de certificación | Este es un TLV que contiene lo siguiente:
|
| Desafío de certificación | Desafío fuera de banda derivado durante Passcode Authenticated Session Establishment (PASE)/ Certificate Authenticated Session Establishment (CASE) establecimiento de la sesión y que se usa para proteger aún más el procedimiento y evitar las firmas reproducidas. Proviene de una sesión CASE, una sesión PASE o una sesión reanudada CASE. |
| TBS de certificación (para firmar) | Mensaje que contiene los elementos de certificación y el desafío de certificación. |
| Firma de certificación | Firma del TBS de certificación, firmada con la clave privada de certificación del dispositivo. |
Procedimiento de certificación
El comisionado es responsable de certificar al comisionado. Ejecuta los siguientes pasos:
- El comisionado genera un nonce de certificación aleatorio de 32 bytes. En la jerga de la criptografía, un nonce (número usado una vez) es un número aleatorio que se genera en el procedimiento criptográfico y que se debe usar una vez.
- El comisionado envía el nonce al DUT y solicita la información de certificación.
- El DUT genera la información de certificación y la firma con la clave privada de certificación.
- El comisionado recupera el certificado DAC y PAI del dispositivo, y busca el certificado PAA en su Matter almacén de confianza.
- El comisionado valida la información de certificación. Estas son las condiciones para la validación:
- Se debe validar la cadena de certificados DAC, incluidas las verificaciones de revocación en el PAI y la PAA.
- El VID en el DAC coincide con el VID en el PAI.
- La firma de certificación es válida.
- El nonce en los elementos de certificación del dispositivo coincide con el nonce proporcionado por el comisionado.
- La firma de la declaración de certificado es válida con una de las Alliance's claves de firma de declaración de certificado conocidas.
- La información sobre firmware (si está presente y es compatible con el comisionado) coincide con una entrada en el libro de contabilidad de cumplimiento distribuido.
- También se realizan validaciones adicionales de VID/PID entre el clúster de información básica del dispositivo, la declaración de certificado y el DAC.