Onay

Sertifikalı Cihazlar, Connectivity Standards Alliance (Alliance) Matter Sertifikasyon Süreci'nden geçmiş Cihazlar'dır.

Devreye alma işlemi sırasında, sertifikalı bir cihazın kendisini onaylaması gerekir. Başka bir deyişle, ürünün iddia ettiği şey olduğunu ve orijinal bir ürün olduğunu kanıtlaması gerekir. Bu nedenle, tüm Matter cihazlarda onay anahtar çiftini ve ilişkili bir sertifika zincirini kapsayan kimlik bilgileri bulunur. Cihaz Onay Sertifikası (DAC) bu zincirin bir parçasıdır. Yetkilendirme aşamasındaki cihaz, DAC'yi yetkilendirme görevlisine sunduktan sonra yetkilendirme görevlisi şunları onaylar:

• Sertifikalı bir üretici tarafından üretilmiş olması gerekir.
• orijinal cihaz olduğunu doğrular.
• Matter uygunluk testini geçti.

Geliştirme aşamasında üretici, cihazlarını tam Onay süreci olmadan test edebilir. Test kullanıcıları, Cihaz'ın test aşamasında olduğu, henüz sertifikalandırılmadığı ve piyasaya sürülmediği konusunda açıkça bilgilendirilmelidir. Üretici, üretim aşamasına geçtikten sonra temel hazırlık sağlayıcının ekosistemi tüm onay şartlarını zorunlu kılmalıdır.

Onay, SSL/TLS için kullanılan ve yaygın olarak benimsenen sunucu kimlik doğrulama sertifikalarına benzer şekilde, kök sertifika yetkililerinden ve ara sertifikalardan yararlanan bir ortak anahtar altyapısı (PKI) kullanır. Bu işleme Cihaz Onay Sertifikası Zinciri adı verilir.

Cihaz Onaylama PKI'sı

DAC, bir X.509 v3 sertifikasıdır. X.509'un ilk sürümü 1988'de ITU-T tarafından yayınlandı. Matter tarafından kullanılan Ortak Anahtar Altyapısı Sertifikası ve Sertifika İptal Listesi (CRL) ile X.509 v3, RFC5280 tarafından belirtilir. Şunları içerir:

• Ortak Anahtar
• Düzenleyen
• Konu
• Sertifika Seri Numarası
• Geçerlilik (son kullanma tarihi belirsiz olabilir)
• İmza

Satıcı kimliği ve ürün kimliği, DAC konusundaki MatterDACName özelliğidir.

DAC, her cihaz için benzersizdir ve üründeki benzersiz onay anahtarı çiftiyle ilişkilendirilir. Cihaz üreticisiyle ilişkili bir CA tarafından verilir.

DAC'nin imzası, yine bir PAA tarafından verilen Ürün Onayı Ara Sertifikası (PAI) ile doğrulanır. Ancak bir tedarikçi, ürün başına (PID'ye özel), ürün grubu için veya tüm ürünleri için bir PAI oluşturmayı seçebilir.

Güven zincirinin kökünde, Ürün Onay Yetkilisi (PAA) Sertifika Yetkilisi (CA) ortak anahtarı, PAI'den gelen imzaları doğrular. Matter güvenilir sertifika deposunun birleştirildiğini ve komisyon üyeleri tarafından güvenilen PAA sertifikaları grubunun merkezi bir güvenilir veritabanında (Dağıtılmış Uyumluluk Defteri) tutulduğunu unutmayın. Güvenilir gruptaki bir PAA'nın girişi, Alliance tarafından yönetilen bir sertifika politikasının karşılanmasını gerektirir.

PAI da aşağıdakileri içeren bir X.509 v3 sertifikasıdır:

• Ortak Anahtar
• Düzenleyen
• Konu
• Sertifika Seri Numarası
• Geçerlilik (son kullanma tarihi belirsiz olabilir)
• İmza

Satıcı kimliği ve ürün kimliği (isteğe bağlı), DAC konusundaki MatterDACName özellikleridir.

Son olarak, PAA, zincirdeki kök sertifikadır ve kendinden imzalıdır. Şunları içerir:

• İmza
• Ortak Anahtar
• Düzenleyen
• Konu
• Sertifika Seri Numarası
• Geçerlilik

Ek Onay Belgeleri ve Mesajları

Onay sürecinde çeşitli belgeler ve mesajlar kullanılır. Aşağıdaki öğeler, işlevleri ve bileşimleri hakkında kısa bir genel bakış sunar. Aşağıdaki resim, hiyerarşilerini anlamanıza yardımcı olur.

Doküman	Açıklama
Sertifika Beyanı (CD)	CD, Matter cihazının Matter protokolüne uygunluğunu kanıtlamasına olanak tanır. Matter Sertifikasyon Süreçleri tamamlandığında Alliance, cihaz türü için bir CD oluşturur. Böylece Tedarikçi, bunu donanım yazılımına dahil edebilir. CD'de diğer bilgilerin yanı sıra şunlar yer alır: VID PID (bir veya daha fazla) Sunucu kategorisi kimliği Müşteri Kategorisi Kimliği Güvenlik Seviyesi Güvenlik Bilgileri Sertifika türü (geliştirme, geçici veya resmi) İmza
Donanım Yazılımı Bilgileri (isteğe bağlı)	Donanım Yazılımı Bilgileri, CD Sürüm Numarası'nı ve donanım yazılımındaki bileşenlerin (ör. işletim sistemi, dosya sistemi, bootloader) bir veya daha fazla özetini içerir. Özetler, yazılım bileşenlerinin karması veya yazılım bileşenlerinin imzalı manifestlerinin karması olabilir. Tedarikçi, Donanım Yazılımı Bilgileri'ne ayrı karmalardan oluşan bir dizi yerine yalnızca bileşenlerinin "karmalarının karmasını" eklemeyi de seçebilir. Donanım Yazılımı Bilgileri, Onay Süreci'nde isteğe bağlı bir öğedir ve tedarikçinin, Onay anahtar çiftini işleyen güvenli bir başlatma ortamı olduğunda geçerlidir.
Onay Bilgileri	Mesaj, görevliden görev verene gönderilir. Onay Bilgileri, Onay Öğeleri'ni içeren bir TLV ile Onay İmzası'nı birleştirir.
Onay Öğeleri	Bu, şunları içeren bir TLV'dir: Sertifika Beyanı Zaman damgası Onay Tek seferlik rastgele sayı Donanım Yazılımı Bilgisi (isteğe bağlı) Tedarikçiye özel bilgiler (isteğe bağlı)
Onaylama Doğrulaması	Oturum oluşturma sırasında türetilen ve prosedürün güvenliğini daha da artırmak ve tekrarlanan imzaları önlemek için kullanılan bant dışı sorgu.Passcode Authenticated Session Establishment (PASE)/ Certificate Authenticated Session Establishment (CASE) CASE oturumundan, PASE oturumundan veya devam ettirilen bir CASE oturumundan gelir.
Onay TBS (imzalanacak)	Onay Öğeleri ve Onay Sınaması'nı içeren mesaj.
Onay İmzası	Cihaz Onaylama Özel Anahtarı kullanılarak imzalanmış Onaylama TBS'sinin imzası.

Onay prosedürü

Yetki veren, yetki alanın kimliğini doğrulamakla yükümlüdür. Aşağıdaki adımları uygular:

1. Yetkili, rastgele 32 baytlık bir onay tek seferlik rastgele sayısı oluşturur. Kriptografi jargonunda nonce (tek seferlik rastgele sayı), kriptografik prosedürde oluşturulan ve bir kez kullanılması amaçlanan rastgele bir sayıdır.
2. Yetkilendirme görevlisi, tek seferlik rastgele sayıyı DUT'ye gönderir ve Onay Bilgileri'ni ister.
3. DUT, Onay Bilgileri'ni oluşturur ve Onay Özel Anahtarı ile imzalar.
4. Commissioner, cihazdan DAC ve PAI sertifikasını alır ve Matter güvenilir sertifika deposundan PAA sertifikasını arar.
5. Yetkili, Onay Bilgileri'ni doğrular. Doğrulama koşulları şunlardır:
   • PAI ve PAA'da iptal kontrolleri de dahil olmak üzere DAC sertifika zinciri doğrulanmalıdır.
   • DAC'deki VID, PAI'deki VID ile eşleşir.
   • Onay imzası geçerlidir.
   • Cihaz Onay Öğeleri'ndeki tek seferlik rastgele sayı, yetkili tarafından sağlanan tek seferlik rastgele sayıyla eşleşir.
   • Sertifika Beyanı İmzası, Alliance tarafından bilinen Sertifika Beyanı imzalama anahtarlarından biri kullanılarak doğrulanır.
   • Donanım yazılımı bilgileri (varsa ve Commissioner tarafından destekleniyorsa) Dağıtılmış Uyumluluk Defteri'ndeki bir girişle eşleşir.
   • Cihaz Temel Bilgi Kümesi, Sertifika Beyanı ve DAC arasında ek VID/PID doğrulamaları da yapılır.