الإقرار

الأجهزة المعتمَدة هي الأجهزة التي خضعت لعملية اعتماد "Connectivity Standards Alliance (Alliance) Matter".

أثناء عملية التشغيل، يجب أن يُثبت الجهاز المعتمَد هويته. بعبارة أخرى، يجب أن يثبت أنّه المنتج الذي يدّعي أنّه هو وأنّه منتج أصلي. وبالتالي، تحتوي جميع أجهزة Matter على بيانات اعتماد تتضمّن مفتاحَي التشفير الخاصَّين بالمصادقة وسلسلة شهادات مرتبطة بهما. وتُعدّ شهادة مصادقة الجهاز (DAC) جزءًا من هذه السلسلة. بعد أن يقدّم الجهاز قيد التشغيل شهادة DAC إلى جهاز التشغيل، سيشهد الأخير على ما يلي:

• وأنّها من إنتاج شركة مصنّعة معتمَدة
• هو جهاز أصلي
• واجتازت Matter اختبار امتثال.

خلال مرحلة التطوير، يمكن للشركة المصنّعة اختبار أجهزتها بدون إجراء عملية المصادقة الكاملة. يجب إبلاغ المختبِرين صراحةً بأنّ "الجهاز" قيد الاختبار، ولم يتم اعتماده وإطلاقه بعد. بمجرد دخول الشركة المصنّعة في مرحلة الإنتاج، يجب أن يفرض النظام البيئي لمزوّد الخدمة جميع متطلبات المصادقة.

تستخدم المصادقة البنية الأساسية للمفتاح العام (PKI) التي تستفيد من مراجع تصديق شهادة الجذر والشهادات الوسيطة، بطريقة مشابهة لشهادات مصادقة الخادم المعتمدة على نطاق واسع والمستخدمة في بروتوكول طبقة المقابس الآمنة (SSL)/بروتوكول أمان طبقة النقل (TLS). تُعرف هذه العملية باسم "سلسلة شهادات مصادقة الجهاز".

البنية التحتية للمفاتيح العامة (PKI) لمصادقة الجهاز

شهادة DAC هي شهادة X.509 v3. تم نشر الإصدار الأول من معيار X.509 في عام 1988 من قِبل قطاع تقييس الاتصالات بالاتحاد الدولي للاتصالات (ITU-T). يتم تحديد معيار X.509 v3 مع شهادة البنية الأساسية للمفتاح العام و قائمة الشهادات الباطلة (CRL) التي يستخدمها Matter بواسطة RFC5280. ويشتمل على ما يلي:

• مفتاح عام
• جهة الإصدار
• الموضوع
• الرقم التسلسلي للشهادة
• الصلاحية، حيث يمكن أن يكون انتهاء الصلاحية غير محدد
• التوقيع

معرّف المورّد ومعرّف المنتج هما سمتان من سمات MatterDACName في موضوع DAC.

تكون شهادة DAC فريدة لكل جهاز ومرتبطة بزوج مفاتيح المصادقة الفريد داخل المنتج. ويتم إصدارها من قِبل هيئة إصدار شهادات مرتبطة بالشركة المصنّعة للجهاز.

يتم التحقّق من صحة توقيع شهادة DAC من خلال شهادة وسيطة لإثبات صحة المنتج (PAI)، والتي تصدر أيضًا عن هيئة PAA. ومع ذلك، قد يختار المورّد إنشاء معرّف PAI واحد لكل منتج (خاص بمعرّف PID) أو مجموعة من المنتجات أو لجميع منتجاته.

في جذر سلسلة الثقة، يتحقّق المفتاح العام لهيئة إصدار الشهادات (CA) التابعة لهيئة مصادقة المنتجات (PAA) من صحة التوقيعات الصادرة عن هيئة مصادقة المنتجات الوسيطة (PAI). يُرجى العِلم أنّ مخزن شهادات الجذر الموثوق بها Matter موحّد، ويتم الاحتفاظ بمجموعة شهادات PAA التي يثق بها المفوّضون في قاعدة بيانات مركزية موثوق بها (دفتر الأستاذ الموزّع للامتثال). يتطلب إدخال "مجموعة موثوق بها" (PAA) ضمن المجموعة الموثوق بها استيفاء سياسة الشهادة التي تديرها Alliance.

شهادة PAI هي أيضًا شهادة X.509 v3 تتضمّن ما يلي:

• مفتاح عام
• جهة الإصدار
• الموضوع
• الرقم التسلسلي للشهادة
• الصلاحية، حيث يمكن أن يكون انتهاء الصلاحية غير محدد
• التوقيع

معرّف المورِّد ومعرّف المنتج (اختياريًا) هما سمتان من سمات MatterDACName في موضوع DAC.

أخيرًا، شهادة PAA هي شهادة الجذر في السلسلة وهي موقَّعة ذاتيًا. ويشمل ذلك:

• التوقيع
• مفتاح عام
• جهة الإصدار
• الموضوع
• الرقم التسلسلي للشهادة
• الصلاحية

مستندات ورسائل إضافية خاصة بالإقرار

تتضمّن عملية المصادقة عدة مستندات ورسائل. العناصر التالية هي نظرة عامة موجزة عن وظيفتها وتكوينها. تساعد الصورة أدناه في فهم التسلسل الهرمي لها.

مستند	الوصف
إقرار الشهادة (CD)	يسمح CD لجهاز Matter بإثبات امتثاله لبروتوكول Matter. عندما تنتهي عمليات اعتماد "Matter"، تنشئ "Alliance" مستند CD لنوع الجهاز ليتمكّن المورّد من تضمينه في البرامج الثابتة. يتضمّن القرص المضغوط معلومات أخرى، منها: VID معرّف المنتج (واحد أو أكثر) رقم تعريف فئة الخادم رقم تعريف فئة العميل مستوى الأمان معلومات الأمان نوع الشهادة (تطوير أو مؤقتة أو رسمية) التوقيع
معلومات البرامج الثابتة (اختيارية)	تحتوي معلومات البرامج الثابتة على رقم إصدار CD وملخّص واحد أو أكثر للمكوّنات في البرامج الثابتة، مثل نظام التشغيل ونظام الملفات وبرنامج الإقلاع. قد تكون الملخّصات إما تجزئة لمكوّنات البرنامج أو تجزئة للبيانات الموقَّعة لمكوّنات البرنامج. قد يختار المورّد أيضًا تضمين "تجزئة التجزئات" لمكوّناته فقط في معلومات البرامج الثابتة، بدلاً من مصفوفة من التجزئات الفردية. تُعدّ معلومات البرامج الثابتة عنصرًا اختياريًا في عملية المصادقة وتنطبق عندما يكون لدى المورّد بيئة تشغيل آمنة تتعامل مع مفتاحَي التشفير للمصادقة.
معلومات الإقرار	رسالة مرسلة من المفوَّض إلى المفوِّض. تجمع معلومات المصادقة بين قيمة TLV التي تحتوي على عناصر المصادقة وتوقيع المصادقة.
عناصر الإقرار	هذا هو TLV يحتوي على: شهادة إقرار الطابع الزمني قيمة عشوائية للمصادقة معلومات البرامج الثابتة (اختياري) معلومات خاصة بالمورّد (اختيارية)
تحدّي المصادقة	يتم اشتقاق اختبار خارج النطاق أثناء إنشاء جلسة Passcode Authenticated Session Establishment (PASE)/Certificate Authenticated Session Establishment (CASE) ويُستخدم لتعزيز أمان الإجراء وتجنُّب التوقيعات المُعاد تشغيلها. يتم الحصول عليها من جلسة CASE أو جلسة PASE أو جلسة CASE مستأنفة.
الإقرار TBS (الذي سيتم توقيعه)	رسالة تحتوي على عناصر المصادقة وتحدّي المصادقة
توقيع الإقرار	توقيع شهادة TBS، الموقَّعة باستخدام المفتاح الخاص لشهادة الجهاز

إجراء المصادقة

يكون المفوِّض مسؤولاً عن التصديق على المفوَّض. وينفّذ الخطوات التالية:

1. ينشئ المفوِّض رقمًا عشوائيًا فريدًا لمرة واحدة (nonce) يتألف من 32 بايت. في مصطلحات التشفير، يُعدّ الرقم الخاص (رقم يُستخدم مرة واحدة) رقمًا عشوائيًا يتم إنشاؤه في إجراء التشفير ويُقصد استخدامه مرة واحدة.
2. يرسل المفوِّض الرمز الخاص إلى الجهاز قيد الاختبار ويطلب معلومات المصادقة.
3. ينشئ الجهاز قيد الاختبار معلومات المصادقة ويوقّعها باستخدام مفتاح المصادقة الخاص.
4. يستردّ المفوِّض شهادة DAC وشهادة PAI من الجهاز، ويبحث عن شهادة PAA من مخزن شهادات الجذر الموثوق بها Matter.
5. يتحقّق المفوّض من صحة معلومات المصادقة. في ما يلي شروط التحقّق:
   • يجب التحقّق من صحة سلسلة شهادات DAC، بما في ذلك عمليات التحقّق من الإبطال في PAI وPAA.
   • يتطابق رقم تعريف المورّد (VID) في شهادة DAC مع رقم تعريف المورّد في شهادة PAI.
   • توقيع المصادقة صالح.
   • يتطابق الرمز الفريد في "عناصر مصادقة الجهاز" مع الرمز الفريد الذي يقدّمه المفوَّض.
   • توقيع بيان الشهادة صالح باستخدام أحد مفاتيح توقيع بيان الشهادة المعروفة في Alliance.
   • تتطابق معلومات البرامج الثابتة (إذا كانت متوفّرة ومتوافقة مع جهاز المفوِّض) مع إدخال في دفتر الامتثال الموزَّع.
   • يتم أيضًا إجراء عمليات تحقّق إضافية من VID/PID بين مجموعة المعلومات الأساسية للجهاز وإقرار الاعتماد وشهادة مصادقة الجهاز.