Matter 系列 #7 I Matter 安全模型
Matter 系列文章
Matter 系列 #1 I 智能家居互聯(lián)標(biāo)準(zhǔn) Matter 將帶來哪些好處？
Matter 系列 #2 I 智能家居互聯(lián)標(biāo)準(zhǔn) Matter 的數(shù)據(jù)模型
Matter 系列 #3 I Matter 賦能智能設(shè)備間的本地自動(dòng)化交互
Matter 系列 #4 I Matter 協(xié)議中的橋接機(jī)制
Matter 系列 #5 I Matter 中的 Thread 邊界路由器
Matter 系列 #6 I Matter 如何實(shí)現(xiàn)跨生態(tài)系統(tǒng)的互聯(lián)互通？
Matter 系列 #7 I Matter 安全模型
持續(xù)更新中......?
Matter 是一個(gè)關(guān)注安全與隱私的互聯(lián)協(xié)議，采用了密碼學(xué)機(jī)制，能夠確保安全地實(shí)現(xiàn)：
受信設(shè)備
受信控制器
隱私通訊
這篇文章中，我們將通過 Matter 的安全模型，向大家介紹如何在 Matter 中實(shí)現(xiàn)上述安全目標(biāo)。
公鑰基礎(chǔ)設(shè)施 (PKI) 簡(jiǎn)介
Matter 采用基于公鑰基礎(chǔ)設(shè)施 (PKI) 的安全模型。PKI 加密機(jī)制在互聯(lián)網(wǎng)中的應(yīng)用非常廣泛，比如在使用 https 協(xié)議訪問網(wǎng)站時(shí)，該網(wǎng)站上的內(nèi)容將受到網(wǎng)站證書的保護(hù)。
以樂鑫官網(wǎng) www.espressif.com 為例，它的網(wǎng)站證書鏈如下圖所示：
證書鏈采用層級(jí)結(jié)構(gòu)。證書鏈中的每份證書都由其頒發(fā)者 (issuer) 簽發(fā)，因此可以一路向上追溯至根證書。也就是說，一旦我們可以沿著某個(gè)網(wǎng)站的證書鏈向上追溯至一份可信的根證書，則視為該站點(diǎn)安全。
在各種會(huì)話建立協(xié)議 (session establishment protocol) 的配合下，PKI 可實(shí)現(xiàn)以下關(guān)鍵加密目標(biāo)：
核實(shí)身份：設(shè)備的身份將由其證書頒發(fā)者進(jìn)行核實(shí)。
保證數(shù)據(jù)的隱私性和完整性：所有通信均將采用一個(gè)獨(dú)一無二的密鑰進(jìn)行加密，且每個(gè)會(huì)話均有自己的密鑰。
讀到這里，大家已經(jīng)對(duì) PKI 機(jī)制有所了解。接下來，我們將進(jìn)一步介紹 Matter 如何基于 PKI 機(jī)制實(shí)現(xiàn)各類安全目標(biāo)，以及如何在手機(jī) App 和設(shè)備之間分發(fā)證書。
Matter 協(xié)議中的各類證書
設(shè)備認(rèn)證證書 (Device Attestation Certificate, DAC)：設(shè)備如何證明“我是誰”？
所有 Matter 設(shè)備在出廠時(shí)均會(huì)被分配一份獨(dú)一無二的設(shè)備認(rèn)證證書 (DAC)。通過追溯設(shè)備 DAC 證書的證書鏈，用戶可以得知手中的 Matter 設(shè)備是否的確來自于設(shè)備包裝上的生產(chǎn)廠家，快速鑒別假貨。
設(shè)備 DAC 證書的頒發(fā)者是產(chǎn)品認(rèn)證中間證書 (Product Attestation Intermediate, PAI) ，通常由設(shè)備廠商持有。PAI 證書由產(chǎn)品認(rèn)證根證書 (PAA) 簽發(fā)以保證受信。所有受信任的 PAA 證書均存儲(chǔ)在 CSA 連接標(biāo)準(zhǔn)聯(lián)盟 (Connectivity Standard Alliance) 提供的分布式合規(guī)分類賬 (Distributed Compliance Ledger, DCL) 中。有關(guān) DCL 的詳細(xì)內(nèi)容，敬請(qǐng)期待我們即將發(fā)布的博客。
DAC 和 PAI 證書會(huì)在生產(chǎn)過程中燒錄至設(shè)備中并永久儲(chǔ)存。在 commissioning 過程中，控制器將獲取 DAC 和 PAI 證書（及證書隨附的供應(yīng)商/產(chǎn)品信息）并加以驗(yàn)證，從而保證所有經(jīng)過 commissioning 的 Matter 設(shè)備均可信。
節(jié)點(diǎn)操作憑證 (Node Operational Credentials, NOC)：我與誰通信？
公鑰證書也被用于驗(yàn)證其他設(shè)備的身份，同時(shí)保證 Matter 數(shù)據(jù)通信的隱私性和完整性。這時(shí)，我們需要用到節(jié)點(diǎn)操作憑證 (NOC)。
NOC 既可以由中間證書頒發(fā)機(jī)構(gòu) (Intermediate Certificate Authority, ICA) 簽發(fā)，也可以直接由根證書頒發(fā)機(jī)構(gòu) (Root Certificate Authority, RCA) 簽發(fā)。RCA 通常由 commissioner 生成。NOC 和 RCA 會(huì)在 commissioning 過程中被安裝至設(shè)備。
當(dāng) App 或其他設(shè)備連接到該設(shè)備時(shí)，雙方開始交換證書信息。如果雙方使用同一份根證書，則可相互信任。所有擁有相同根證書的設(shè)備將由此形成一個(gè) Matter fabric。在證書信息交換之后，設(shè)備之間將建立起加密會(huì)話。
Matter 的設(shè)備 commission 流程
接下來我們將介紹設(shè)備 commissioning 過程，即對(duì)開箱設(shè)備進(jìn)行身份驗(yàn)證、網(wǎng)絡(luò)設(shè)置并將 NOC 安裝至設(shè)備存儲(chǔ)。
新設(shè)備一旦上電，將通過 BLE 或 DNS-sd 服務(wù)進(jìn)行廣播?？刂破鹘邮盏綇V播時(shí)，會(huì)嘗試基于配對(duì)碼與設(shè)備建立加密會(huì)話。這個(gè)過程被稱為 Matter 的密碼認(rèn)證會(huì)話建立 (Password Authenticated Session Establishment, PASE)。通常情況下，在 PASE 過程中，App 需要通過掃描二維碼來獲取設(shè)備的唯一配對(duì)碼。
建立 PASE 會(huì)話后，控制器將驗(yàn)證設(shè)備的 DAC 證書。如果通過驗(yàn)證，則會(huì)簽發(fā)一個(gè)新的 NOC，并將其安裝至設(shè)備。此外，控制器還會(huì)告知設(shè)備需要加入的 Wi-Fi 或 Thread 網(wǎng)絡(luò)。設(shè)備配網(wǎng)完成后，PASE 會(huì)話將被關(guān)閉。此后，所有通信都將受到證書的保護(hù)。這種新的會(huì)話也被稱為 Matter 的證書認(rèn)證會(huì)話建立 (Certificate Authenticated Session Establishment, CASE)。
在 CASE 會(huì)話中，設(shè)備之間將交換加鹽后的證書信息，從而相互驗(yàn)證并協(xié)商一個(gè)用于對(duì)稱加密的密鑰。所有控制命令均由這個(gè)密鑰進(jìn)行加密。
下圖概括了 Matter 設(shè)備開箱后的典型配對(duì)流程，展示了 PKI 在 Matter 安全模型中的重要作用。
本文是樂鑫 Matter 系列文章的第七篇，敬請(qǐng)期待后續(xù)的更多內(nèi)容。
