הצהרה

מכשירים מאושרים הם מכשירים שעברו את תהליך האישור של Connectivity Standards Alliance (Alliance) Matter.

בתהליך ההזמנה, מכשיר מוסמך צריך לאמת את עצמו. במילים אחרות, עליו להוכיח שהוא מה שהוא טוען שהוא אכן מה שהוא באמת, ושהוא מוצר מקורי. לכן לכל מכשירי Matter יש פרטי כניסה שכוללים את זוג מפתחות האימות ושרשרת אישורים משויכת. אישור האימות של המכשיר (DAC) הוא חלק מהרשת הזו. לאחר שהמכשיר שבאחריותו יציג את ה-DAC לנציב שלו, המכשיר יאשר ש:

• היא נוצרה על ידי יצרן מוסמך.
• זהו מכשיר מקורי.
• הוא עבר Matter בדיקות תאימות.

בשלב הפיתוח, היצרן יכול לבדוק את המכשירים שלו ללא תהליך האימות המלא. יש להודיע לבודקים באופן מפורש שהמכשיר בבדיקה ושהוא עדיין לא אושר והושק. אחרי שהיצרן נכנס לשלב הייצור, הסביבה העסקית של המקצה צריכה לאכוף את כל דרישות האימות.

האימות משתמש בתשתית מפתח ציבורי (PKI) שמשתמשת ברשויות אישורים ברמה הבסיסית ובאישורי ביניים, בדומה לאישורי אימות השרת שנעשה בהם שימוש נרחב שמשמשים ל-SSL/TLS. התהליך הזה נקרא שרשרת אישורי אימות (attestation) של מכשירים.

PKI לאימות מכשירים

ה-DAC הוא אישור X.509 מגרסה 3. הגרסה הראשונה של X.509 פורסמה ב-1988 על ידי ITU-T. ה-X.509 v3 עם אישור תשתית של מפתח ציבורי ורשימת אישורים שבוטלו (CRL) שמשמשים את Matter מצוין על ידי RFC5280. היא כוללת:

• מפתח ציבורי
• הונפק על ידי
• Subject
• מספר סידורי של האישור
• תוקף, כאשר התפוגה יכולה להיות לא ידועה
• חתימה

מזהה הספק ומזהה המוצר הם המאפיינים של MatterDACName בנושא DAC.

ה-DAC הוא ייחודי לכל מכשיר ומשויך לזוג מפתחות האימות הייחודי במוצר. היא מונפקת על ידי רשות אישורים שמשויכת ליצרן המכשיר.

החתימה של ה-DAC מאומתת בהתאם לאישור הביניים לאימות מוצר (PAI), שגם הוא מונפק על ידי PAA. עם זאת, יכול להיות שספק אחד יבחר ליצור PAI אחד לכל מוצר (ספציפי ל-PID), לקבוצת מוצרים או לכל המוצרים שלו.

המפתח הציבורי של Product Attestation Authority (PAA) שנמצא בשורש שרשרת האמון, מאמת חתימות מה-PAI. CA (רשות האישורים). שימו לב שמאגר האישורים של Matter מאוחד, והקבוצה של אישורי ה-PAA שנחשבים כמהימנים על ידי השיטה מתוחזקת במסד נתונים מרכזי ומהימן (הספר האלקטרוני המבוזר לתאימות). כדי להזין PAA בקבוצה המהימנה, צריך לעמוד במדיניות אישורים שמנוהלת על ידי Alliance.

ה-PAI הוא גם אישור X.509 v3 שכולל:

• מפתח ציבורי
• הונפק על ידי
• Subject
• מספר סידורי של האישור
• תוקף, כאשר התפוגה יכולה להיות לא ידועה
• חתימה

מזהה הספק ומזהה המוצר (אופציונלי) הם מאפיינים של MatterDACName בנושא ה-DAC.

לסיום, ה-PAA הוא האישור הבסיסי בשרשרת והוא בחתימה עצמית. היא כוללת:

• חתימה
• מפתח ציבורי
• הונפק על ידי
• Subject
• מספר סידורי של האישור
• תוקף

הודעות ומסמכים נוספים של אימות

תהליך האימות כולל כמה מסמכים והודעות. בקטעים הבאים יש סקירה כללית קצרה על הפונקציה וההרכב שלהם. התמונה שלמטה עוזרת להבין את ההיררכיה.

מסמך	התיאור
הצהרת אישור (CD)	ה-CD מאפשר למכשיר Matter להוכיח את התאימות שלו לפרוטוקול Matter. בכל פעם שתהליך Matter ההסמכה מסתיים, Alliance יוצר תקליטור לסוג המכשיר כדי שהספק עשוי לכלול אותו בקושחה. התקליטור כולל, בין היתר: מזהה VID PID (אחד או יותר) מזהה קטגוריית שרת מזהה קטגוריית לקוח רמת אבטחה מידע על אבטחה סוג האישור (פיתוח, זמני או רשמי) חתימה
מידע על הקושחה (אופציונלי)	השדה Firmware Information מכיל את מספר גרסת ה-CD ותקציר אחד או יותר של רכיבי הקושחה, כמו מערכת ההפעלה, מערכת הקבצים ותוכנת האתחול. התקצירים יכולים להיות גיבוב (hash) של רכיבי התוכנה או גיבוב של המניפסטים החתומים של רכיבי התוכנה. הספק יכול גם לבחור לכלול ב-Firmware Information רק את ערכי "hash-of-hash" של הרכיבים שלו, במקום מערך של גיבובים נפרדים. מידע על הקושחה הוא רכיב אופציונלי בפרוץ אימות של ספק, שבו יש רכיב אופציונלי לאתחול של ספק.
פרטי אימות (attestation)	הודעה שנשלחה מהוועדה אל הנציב. בפרטי האימות משולבים קובץ TLV שמכיל את רכיבי האימות וחתימת אימות.
רכיבי אימות (attestation)	זה TLV שמכיל: הצהרת אישור חותמת זמן אימות (Nonce) פרטי הקושחה (אופציונלי) מידע ספציפי לספק (אופציונלי)
אתגר האימות	אתגר מחוץ למסגרת שנגזר במהלך הקמת הסשן של Passcode Authenticated Session Establishment (PASE)/Certificate Authenticated Session Establishment (CASE), ומשמש לשיפור ההליך ולמניעת חתימות שמושמעות שוב ושוב. מקור הערך: סשן אחד (CASE), סשן אחד (PASE) או סשן חוזר של CASE.
אימות (attestation) TBS (לחתימה)	הודעה שמכילה את רכיבי האימות ואתגר האימות.
חתימת האימות	חתימה של TBS לאימות, שנחתמה באמצעות המפתח הפרטי לאימות (attestation) של המכשיר.

הליך האימות

הנציב אחראי לאימות הוועדה. הוא מבצע את השלבים הבאים:

1. Commiter יוצר קוד אקראי לאימות (unceation) של 32 בייט. בשפת הקריפטוגרפיה, מספר חד-פעמי (מספר חד-פעמי) הוא מספר אקראי שנוצר בתהליך הקריפטוגרפי ומיועד לשימוש פעם אחת.
2. הנציב שולח את ה-nonce ל-DUT ומבקש את המידע על האימות.
3. DUT יוצר את פרטי האימות וחותם עליו באמצעות המפתח הפרטי לאימות.
4. הנציב משחזר מהמכשיר את אישורי DAC ו-PAI, ומחפש את אישור ה-PAA ב-Matter שלו.
5. הנציב מאמת את פרטי האימות. אלה התנאים לאימות:
   • יש לאמת את רשת אישורי ה-DAC, כולל בדיקות ביטול ב-PAI וב-PAA.
   • VID ב-DAC תואם ל-VID ב-PAI.
   • חתימת האימות תקפה.
   • ה-Nonce ברכיבי אימות המכשיר תואם לצופן החד-פעמי (nonce) שסופק על ידי הנציב.
   • החתימה על הצהרת האישור תקפה באמצעות אחד ממפתחות החתימה המוכרים של הצהרת האישור של Alliance.
   • 'פרטי הקושחה' (אם קיימים ונתמכים על ידי הנציב) תואמים לערך ב'ספר התאימות המבוזר'.
   • אימותים נוספים של VID/PID מתבצעים גם בין אשכול המידע הבסיסי של המכשיר, הצהרת האישור וה-DAC.