Los dispositivos certificados son aquellos que se sometieron al proceso de certificación Matter de CSA.
Durante el proceso de asignación, un dispositivo certificado debe certificarse. En otras palabras, debe probar que es lo que dice que es y es un producto genuino. Por lo tanto, todos los dispositivos Matter tienen credenciales que abarcan el par de claves de certificación y una cadena de certificados asociada. El certificado de certificación de dispositivo (DAC) forma parte de esta cadena. Una vez que el Dispositivo en cuestión presente el DAC a su Comisionado, este último certifica lo siguiente:
- Fue fabricado por un fabricante certificado.
- es un dispositivo genuino.
- aprobó Matter pruebas de cumplimiento.
Durante la fase de desarrollo, el fabricante puede probar sus dispositivos sin el proceso completo de certificación. Se debe informar explícitamente a los verificadores que el Dispositivo está en prueba y que todavía no se certificaron ni se lanzaron. Una vez que un fabricante ingresa a una fase de producción, el ecosistema del aprovisionador debe aplicar todos los requisitos de certificación.
La certificación usa una infraestructura de clave pública (PKI) que aprovecha las autoridades certificadas raíz y los certificados intermedios de manera similar a los certificados de autenticación del servidor de adopción general de SSL/TLS. Este proceso se denomina cadena de certificación de certificación de dispositivos.
PKI de certificación de dispositivo
El DAC es un certificado X.509 v3. La primera versión de X.509 se publicó en 1988 por ITU-T. RFC5280 especifica la X.509 v3 con el certificado de infraestructura de clave pública y la lista de revocación de certificados (CRL) que usa Matter. Contiene lo siguiente:
- Clave pública
- Emisor
- Subject
- Número de serie del certificado
- Validez, donde el vencimiento puede ser indeterminado
- Firma
El ID del proveedor y el ID del producto son atributos del MatterDACName en el sujeto DAC.
El DAC es único por dispositivo y se asocia con el par de claves de certificación único dentro del producto. La emite una CA asociada al fabricante del dispositivo.
La firma del DAC se valida según el Certificado intermedio de certificación de productos (PAI), que también se emite mediante un PAA. Sin embargo, un proveedor puede elegir crear un PAI por producto (específico de PID), grupo de productos o para todos sus productos.
En la raíz de la cadena de confianza, la clave pública de la Autoridad de certificación de productos (PAA) de la Autoridad de certificación (CA) valida las firmas desde la PAI. Ten en cuenta que el almacén de confianza Matter está federado y el conjunto de certificados de PAA en los que confían los responsables de la administración se mantiene en una base de datos de confianza central (el registro de cumplimiento distribuido). La entrada de un PAA dentro del conjunto de confianza requiere cumplir con una política de certificados administrada por el CSA.
PAI también es un certificado X.509 v3 que incluye lo siguiente:
- Clave pública
- Emisor
- Subject
- Número de serie del certificado
- Validez, donde el vencimiento puede ser indeterminado
- Firma
El ID del proveedor y el ID del producto (opcional) son atributos del MatterDACName en el asunto del DAC.
Por último, el PAA es el certificado raíz de la cadena y está autofirmado. Incluye lo siguiente:
- Firma
- Clave pública
- Emisor
- Subject
- Número de serie del certificado
- Validez
Documentos y mensajes de certificación adicionales
El proceso de certificación tiene varios documentos y mensajes. Los siguientes elementos son una descripción general breve de su función y composición. La siguiente imagen facilita la comprensión de su jerarquía.
| Para documentos | Descripción |
|---|---|
| Declaración de certificación (CD) | La CD permite que el dispositivo Matter pruebe su cumplimiento del protocolo Matter.
Cada vez que finalizan los procesos de certificación Matter, el CSA crea un CD para el tipo de dispositivo, de modo que el proveedor pueda incluirlo en el firmware. La CD incluye, entre otros, los siguientes datos:
|
| Información del firmware (opcional) | La información del firmware contiene el número de versión del CD y uno o más resúmenes de los componentes del firmware, como el SO, el sistema de archivos, el bootloader. Los resúmenes pueden ser un hash de los componentes de software o un manifiesto de los manifiestos firmados de los componentes de software. El proveedor también podría incluir en la información del firmware solo el hash de sus componentes, en lugar de un array de hashes individuales. La información de firmware es un elemento opcional del proceso de certificación y es aplicable cuando un proveedor de claves tiene un par seguro. |
| Información de certificación | Mensaje enviado por la persona encargada al comisionado. La información de certificación combina un TLV que contiene los elementos de certificación y una firma de certificación. |
| Elementos de certificación | Este es un TLV que contiene lo siguiente:
|
| Desafío de certificación | El desafío fuera de banda se deriva durante el establecimiento de la sesión Passcode Authenticated Session Establishment (PASE) o Certificate Authenticated Session Establishment (CASE) y se usa para asegurar aún más el procedimiento y evitar las firmas reproducidas. Proviene de una sesión de CASE, de PASE o de una sesión de CASE reanudada. |
| Por confirmar (a confirmar) | Mensaje que contiene los Elementos de certificación y el Desafío de certificación. |
| Firma de certificación | Firma del TBS de certificación, firmado con la clave privada de certificación de dispositivos. |
Procedimiento de certificación
El comisionado es responsable de certificar al comisionado. Ejecuta los siguientes pasos:
- El comisionado genera un nonce de certificación aleatorio de 32 bytes. En la jerga de criptografía, un nonce (número utilizado una vez) es un número aleatorio generado en el procedimiento criptográfico y que se usa una vez.
- El comisionado envía el nonce al DUT y solicita la información de certificación.
- El DUT genera la información de certificación y la firma con la clave privada de certificación.
- El comisionado recupera el certificado DAC y PAI del dispositivo y busca el certificado PAA de su almacén de confianza Matter.
- El comisionado valida la Información de Certificación. Estas son las condiciones para la validación:
- Se debe validar la cadena de certificados de DAC, incluidas las verificaciones de revocación en la PAI y el PAA.
- El VID del DAC coincide con el VID de la PAI.
- La firma del certificado es válida.
- El nonce de los elementos de certificación del dispositivo coincide con el nonce que proporciona el comisionado.
- La firma de la declaración de certificado es válida mediante una de las claves de firma de declaración de certificación de CSA.
- La información del firmware (si está presente y es compatible con el Comisionado) coincide con una entrada del Registro de cumplimiento distribuido.
- Las validaciones adicionales de VID/PID también tienen lugar entre el clúster de información básica del dispositivo, la declaración de certificación y el DAC.