Thiết bị được chứng nhận là Thiết bị đã trải qua Connectivity Standards Alliance (Alliance) Matter Quy trình chứng nhận.
Trong quá trình chạy thử, Thiết bị được chứng nhận cần tự chứng thực. Nói cách khác, sản phẩm đó cần chứng minh rằng nó đúng như những gì được tuyên bố và là một sản phẩm chính hãng. Do đó, tất cả Thiết bị Matter đều có thông tin xác thực bao gồm cặp khoá Chứng thực và chuỗi chứng chỉ liên quan. Chứng chỉ chứng thực thiết bị (DAC) là một phần của chuỗi này. Sau khi Thiết bị đang được uỷ quyền trình bày DAC cho Người uỷ quyền, Người uỷ quyền sẽ chứng nhận rằng:
- thiết bị do một nhà sản xuất được chứng nhận sản xuất.
- đó là thiết bị chính hãng.
- đã vượt qua Matter bài kiểm tra tuân thủ.
Trong giai đoạn phát triển, nhà sản xuất có thể thử nghiệm Thiết bị của họ mà không cần thực hiện toàn bộ quy trình Chứng thực. Nhân viên kiểm thử phải được thông báo rõ ràng rằng Thiết bị đang trong quá trình kiểm thử, chưa được chứng nhận và chưa ra mắt. Sau khi nhà sản xuất bước vào giai đoạn sản xuất, hệ sinh thái của trình cấp phép phải thực thi tất cả các yêu cầu về Chứng thực.
Quy trình chứng thực sử dụng Cơ sở hạ tầng khoá công khai (PKI) tận dụng Tổ chức phát hành chứng chỉ gốc và Chứng chỉ trung gian, tương tự như các chứng chỉ xác thực máy chủ được sử dụng rộng rãi cho SSL/TLS. Quá trình này được gọi là Chuỗi chứng chỉ chứng thực thiết bị.
Hạ tầng khoá công khai (PKI) chứng thực thiết bị
DAC là chứng chỉ X.509 v3. Phiên bản đầu tiên của X.509 được ITU-T xuất bản vào năm 1988. X.509 v3 có Chứng chỉ cơ sở hạ tầng khoá công khai và Danh sách thu hồi chứng chỉ (CRL) mà Matter sử dụng được quy định trong RFC5280. Mục này bao gồm:
- Khóa công cộng
- Tổ chức phát hành
- Tiêu đề
- Số sê-ri của chứng chỉ
- Hiệu lực, trong đó thời gian hết hạn có thể không xác định
- Chữ ký
Mã nhà cung cấp và Mã sản phẩm là các thuộc tính của MatterDACName trong chủ thể DAC.
DAC là duy nhất cho mỗi thiết bị và được liên kết với cặp khoá chứng thực duy nhất trong sản phẩm. Chứng chỉ này do một CA liên kết với nhà sản xuất thiết bị cấp.
Chữ ký của DAC được xác thực dựa trên Chứng chỉ trung gian chứng thực sản phẩm (PAI), cũng do PAA cấp. Tuy nhiên, nhà cung cấp có thể chọn tạo một PAI cho mỗi sản phẩm (dành riêng cho PID), nhóm sản phẩm hoặc cho tất cả sản phẩm của mình.
Ở gốc của chuỗi tin cậy, khoá công khai của Tổ chức phát hành chứng chỉ (CA) Cơ quan chứng thực sản phẩm (PAA) sẽ xác thực chữ ký từ PAI. Xin lưu ý rằng kho lưu trữ uy tín Matter được liên kết và tập hợp chứng chỉ PAA mà các uỷ viên tin tưởng được duy trì trong một cơ sở dữ liệu đáng tin cậy trung tâm (Sổ cái tuân thủ phân tán). Để nhập PAA trong nhóm đáng tin cậy, bạn phải đáp ứng chính sách chứng chỉ do Alliance quản lý.
PAI cũng là một chứng chỉ X.509 v3 bao gồm:
- Khóa công cộng
- Tổ chức phát hành
- Tiêu đề
- Số sê-ri của chứng chỉ
- Hiệu lực, trong đó thời gian hết hạn có thể không xác định
- Chữ ký
Mã nhà cung cấp và Mã sản phẩm (không bắt buộc) là các thuộc tính của MatterDACName trong
đối tượng DAC.
Cuối cùng, PAA là chứng chỉ gốc trong chuỗi và là chứng chỉ tự ký. Thư mục này bao gồm:
- Chữ ký
- Khóa công cộng
- Tổ chức phát hành
- Tiêu đề
- Số sê-ri của chứng chỉ
- Hiệu lực
Tài liệu và thông báo chứng thực bổ sung
Quy trình chứng thực có một số tài liệu và thông báo. Sau đây là thông tin tổng quan ngắn gọn về chức năng và thành phần của các mục này. Hình ảnh dưới đây giúp bạn hiểu rõ hơn về hệ phân cấp của các thành phần này.
| Tài liệu | Mô tả |
|---|---|
| Tuyên bố chứng nhận (CD) | CD cho phép thiết bị Matter chứng minh việc tuân thủ giao thức Matter.
Bất cứ khi nào
Matter
Quy trình chứng nhận kết thúc, Alliance sẽ tạo một CD
cho loại thiết bị
để Nhà cung cấp có thể đưa CD đó vào
phần mềm cơ sở. CD bao gồm các thông tin khác như:
|
| Thông tin về chương trình cơ sở (không bắt buộc) | Thông tin về chương trình cơ sở chứa
Số phiên bản CD và một hoặc nhiều
bản tóm tắt về các thành phần trong
chương trình cơ sở, chẳng hạn như hệ điều hành, hệ thống tệp,
trình tải khởi động. Bản tóm tắt có thể là
bản băm của các thành phần phần mềm hoặc
bản băm của tệp kê khai đã ký của
các thành phần phần mềm. Nhà cung cấp cũng có thể chọn chỉ đưa vào Thông tin về chương trình cơ sở "bản băm của các bản băm" của các thành phần, thay vì một mảng bản băm riêng lẻ. Thông tin về chương trình cơ sở là một phần tử không bắt buộc trong Quy trình chứng thực và áp dụng khi nhà cung cấp có một môi trường khởi động an toàn xử lý cặp khoá Chứng thực. |
| Thông tin chứng thực | Thông báo do Bên được uỷ quyền gửi cho Bên uỷ quyền. Thông tin chứng thực kết hợp một TLV chứa Phần tử chứng thực và Chữ ký chứng thực. |
| Phần tử chứng thực | Đây là một TLV chứa:
|
| Thử thách chứng thực | Thử thách ngoài băng tần được lấy trong quá trình thiết lập phiên Passcode Authenticated Session Establishment (PASE)/Certificate Authenticated Session Establishment (CASE) và được dùng để bảo mật thêm cho quy trình cũng như tránh chữ ký được phát lại. Bắt nguồn từ phiên CASE, phiên PASE hoặc phiên CASE được tiếp tục. |
| Chứng thực TBS (sẽ được ký) | Thông báo chứa các Phần tử chứng thực và Thử thách chứng thực. |
| Chữ ký chứng thực | Chữ ký của TBS chứng thực, được ký bằng Khoá riêng tư chứng thực thiết bị. |
Quy trình chứng thực
Bên uỷ quyền chịu trách nhiệm chứng thực cho Bên được uỷ quyền. Phương thức này thực thi các bước sau:
- Uỷ viên tạo một số chỉ dùng một lần để chứng thực ngẫu nhiên 32 byte. Trong thuật ngữ mật mã học, số dùng một lần (nonce) là một số ngẫu nhiên được tạo trong quy trình mật mã học và chỉ được dùng một lần.
- Uỷ viên gửi số chỉ dùng một lần đến DUT và yêu cầu Thông tin chứng thực.
- DUT tạo Thông tin chứng thực và ký thông tin đó bằng Khoá riêng tư chứng thực.
- Uỷ viên khôi phục chứng chỉ DAC và PAI từ Thiết bị, đồng thời tra cứu chứng chỉ PAA từ kho lưu trữ uy tín Matter của mình.
- Uỷ viên xác thực Thông tin chứng thực. Sau đây là các điều kiện
để xác thực:
- Chuỗi chứng chỉ DAC phải được xác thực, bao gồm cả việc kiểm tra trạng thái thu hồi trên PAI và PAA.
- VID trên DAC khớp với VID trên PAI.
- Chữ ký chứng thực hợp lệ.
- Số chỉ dùng một lần trong Phần tử chứng thực thiết bị khớp với số chỉ dùng một lần do Uỷ viên cung cấp.
- Chữ ký khai báo chứng chỉ hợp lệ khi sử dụng một trong các khoá ký khai báo chứng chỉ phổ biến của Alliance.
- Thông tin về chương trình cơ sở (nếu có và được Người uỷ quyền hỗ trợ) khớp với một mục trong Sổ cái tuân thủ phân tán.
- Các quy trình xác thực VID/PID bổ sung cũng diễn ra giữa Cụm thông tin cơ bản về thiết bị, Tuyên bố chứng nhận và DAC.