Atestado

Dispositivos certificados são aqueles que passaram pela Processo de certificação em Connectivity Standards Alliance (Alliance) Matter.

Durante o processo de comissionamento, um dispositivo certificado precisa se atestar. Em outras palavras, ele precisa provar que é o que afirma ser e que é um produto genuíno. Portanto, todos os dispositivos Matter têm credenciais que abrangem o par de chaves de atestado e uma cadeia de certificados associada. O certificado de atestado do dispositivo (DAC) faz parte dessa cadeia. Quando o dispositivo em comissionamento apresentar o DAC ao comissário, este certificará que:

• por um fabricante certificado.
• é um dispositivo genuíno.
• ele foi aprovado em Matter testes de compliance.

Durante a fase de desenvolvimento, o fabricante pode testar seus dispositivos sem o processo completo de atestado. Os testadores devem ser explicitamente informados de que O dispositivo está em teste e ainda não foi certificado nem lançado. Uma vez um fabricante entra na fase de produção, o ecossistema do provisionador precisa aplicar todos os requisitos de atestado.

A atestação usa uma infraestrutura de chave pública (ICP) que aproveita autoridades certificadoras raiz e certificados intermediários, de forma semelhante aos certificados de autenticação de servidor amplamente adotados usados para SSL/TLS. Esse processo é chamado de cadeia de certificados de atestado do dispositivo.

ICP do atestado do dispositivo

O DAC é um certificado X.509 v3. A primeira versão do X.509 foi publicada em 1988 pela ITU-T. O X.509 v3 com certificado de infraestrutura de chave pública e A lista de revogação de certificado (CRL) usada por Matter é especificado por RFC5280. Ela contém:

• Chave pública
• Emissor
• Assunto
• Número de série do certificado
• Validade, em que a validade pode ser indeterminada
• Assinatura

O ID do fornecedor e o ID do produto são atributos de MatterDACName no DAC assunto.

O DAC é exclusivo por dispositivo e associado ao par exclusivo de chaves de atestado no produto. Ele é emitido por uma AC associada ao dispositivo fabricante.

A assinatura do DAC é validada em relação ao Atestado intermediário de produto Certificado (PAI), que também é emitido por um PAA. No entanto, um fornecedor pode escolha criar uma PAI por produto (específico de PID), grupo de produtos ou para todos os produtos.

Na raiz da cadeia de confiança, a Autoridade de Atestado de Produto A chave pública da Autoridade de certificação (CA, na sigla em inglês) valida assinaturas (PAA). da PAI. O repositório de confiança Matter é federado e o conjunto de certificados da PAA em que os comissários confiam é mantido em um no banco de dados central confiável (o Distributed Compliance Ledger). Entrada de um PAA dentro do conjunto confiável exige o cumprimento de uma política de certificado gerenciada pelo Alliance:

O PAI também é um certificado X.509 v3 que inclui:

• Chave pública
• Emissor
• Assunto
• Número de série do certificado
• Validade, em que a validade pode ser indeterminada
• Assinatura

Os IDs do fornecedor e do produto (opcional) são atributos de MatterDACName no assunto do DAC.

Por fim, o PAA é o certificado raiz na cadeia e é autoassinado. Ela inclui:

• Assinatura
• Chave pública
• Emissor
• Assunto
• Número de série do certificado
• Validade

Outros documentos e mensagens de atestado

O processo de atestado tem vários documentos e mensagens. Os itens a seguir uma breve visão geral de sua função e composição. A imagem abaixo ajuda entender sua hierarquia.

Documento	Descrição
Declaração de certificação (CD, na sigla em inglês)	A CD permite Matter dispositivo para comprovar a conformidade com Matter. Sempre que o Matter os Processos de certificação terminarem, os Alliance cria uma CD para o tipo de dispositivo para que o Fornecedor possa incluí-lo no pelo firmware. O CD inclui, entre outros, informação: VID PID (um ou mais) ID da categoria do servidor Categoria do cliente ID Nível de segurança Segurança Informações Tipo de certificação (desenvolvimento, provisório ou oficial) Assinatura
Informações do firmware (opcional)	As Informações de firmware contêm o número da versão do CD e um ou mais resumos dos componentes na como SO, sistema de arquivos, carregador de inicialização. Os resumos podem ser um hash dos componentes de software ou um hash dos manifestos assinados do componentes de software. Os o fornecedor também pode optar incluir apenas nas informações de firmware os "hash-of-hashes" do próprio em vez de uma matriz de hashes individuais. Firmware A informação é um elemento opcional o processo de atestado e aplicável quando um fornecedor tem ambiente de inicialização que cuida da Par de chaves de atestado.
Informações de atestado	Mensagem enviada pelo comissionado a o comissário. As informações de atestado combinam um TLV contendo os elementos de atestado e uma assinatura de atestado.
Elementos do atestado	Este é um TLV que contém: Declaração de certificado Carimbo de data/hora Atestado de uma vez Informações de firmware (opcional) Específico do fornecedor informações (opcional)
Desafio de atestado	Desafio fora de banda derivado durante Passcode Authenticated Session Establishment (PASE)/ Certificate Authenticated Session Establishment (CASE) sessão estabelecimento e usada para proteger ainda mais o procedimento e evite repetir assinaturas. Vem de CASE sessão, PASE ou uma sessão CASE sessão.
Atestado TBS (a ser assinado)	Mensagem contendo o atestado Elements and Attestation Challenge.
Assinatura do atestado	Assinatura do TBS de atestado, assinada usando a chave privada de atestado do dispositivo.

Procedimento de atestado

O comissário é responsável por atestar o comissionado. Ele executa seguintes etapas:

1. O comissário gera um valor de uso único de atestado aleatório de 32 bytes. Na criptografia jargão, um nonce (número usado uma vez) é um número aleatório gerado no criptográfico e precisa ser usado apenas uma vez.
2. O comissário envia o valor de uso único ao DUT e solicita o atestado Informações.
3. O DUT gera e assina as informações do atestado Chave privada.
4. O comissário recupera o certificado DAC e PAI do dispositivo e procura o certificado do PAA pela confiança Matter loja on-line.
5. O comissário valida as informações do atestado. Estas são as condições para validação:
   • A cadeia de certificados DAC precisa ser validada, incluindo verificações de revogação o PAI e o PAA.
   • O VID no DAC corresponde ao VID no PAI.
   • A assinatura do atestado é válida.
   • O valor de uso único nos elementos de atestado do dispositivo corresponde ao valor de uso único fornecido pelo Comissário.
   • A assinatura da declaração do certificado é válida usando um dos Assinatura da Declaração de Certificação do canal Alliance chaves.
   • As informações do firmware (se presentes e aceitas pelo comissário) correspondem a uma entrada no Distributed Compliance Ledger.
   • Outras validações de VID/PID também ocorrem entre o cluster de informações básicas do dispositivo, a declaração de certificação e o DAC.