Matter 系列文章

Matter 系列 #1 I 智能家居互聯(lián)標(biāo)準(zhǔn) Matter 將帶來哪些好處？

Matter 系列 #2 I 智能家居互聯(lián)標(biāo)準(zhǔn) Matter 的數(shù)據(jù)模型

Matter 系列 #3 I Matter 賦能智能設(shè)備間的本地自動(dòng)化交互

Matter 系列 #4 I Matter 協(xié)議中的橋接機(jī)制

Matter 系列 #5 I Matter 中的 Thread 邊界路由器

Matter 系列 #6 I Matter 如何實(shí)現(xiàn)跨生態(tài)系統(tǒng)的互聯(lián)互通？

Matter 系列 #7 I Matter 安全模型

Matter 系列 #8 I Matter 中的分布式合規(guī)設(shè)備總帳 (DCL)

Matter 系列 #9｜樂鑫 Matter 預(yù)配置服務(wù)加速設(shè)備生產(chǎn)

Matter 系列 #10｜Matter 的證書吊銷機(jī)制 持續(xù)更新中......?

在之前的多篇博客文章中，我們從不同方面介紹了 Matter，其中包括 Matter 的安全模型。簡(jiǎn)單回顧一下，Matter 的安全模型基于 PKI（即公鑰基礎(chǔ)設(shè)施）機(jī)制，可用于建立和管理數(shù)字證書、加密密鑰和安全通信框架。更多詳情，請(qǐng)查看

Matter 安全模型

。 為什么需要證書吊銷機(jī)制？

在 Matter 的世界中，每個(gè)設(shè)備都有自己的唯一身份標(biāo)識(shí)，即 DAC（Device Attestation Certificate，設(shè)備認(rèn)證證書）。只有具備 DAC 的設(shè)備才被視為有效的 Matter 設(shè)備。那么，如果出現(xiàn)設(shè)備證書被盜用、遭到篡改或不再有效的情況呢？此時(shí)，證書吊銷 (revocation) 機(jī)制即可發(fā)揮作用，幫助我們?cè)诘狡谇皩⑦@些證書標(biāo)記為“已吊銷”。 PKI 機(jī)制有多種方式來維護(hù)和傳播證書的狀態(tài)，其中包括 CRL（證書吊銷列表），而連接標(biāo)準(zhǔn)聯(lián)盟 (CSA) 也已決定使用 CRL 管理 Matter 中被吊銷的證書。CRL 可維護(hù)每個(gè)證書頒發(fā)機(jī)構(gòu)吊銷的證書列表，DCL（設(shè)備認(rèn)證列表）則維護(hù)指向 CRL 中已吊銷證書的鏈接。 證書吊銷的作用

當(dāng)一份證書被吊銷時(shí)，所有基于它頒發(fā)的證書（包括該證書本身）都將被吊銷。換句話說，如果一個(gè) PAI（產(chǎn)品認(rèn)證中間證書）被吊銷，那么該 PAI 以及所有基于它頒發(fā)的DAC（設(shè)備認(rèn)證證書）都將被立刻吊銷，不論原本的證書期限如何。 Matter 將支持通過 CRL 吊銷 PAI 和 DAC 證書。

用戶體驗(yàn)

對(duì)設(shè)備證書吊銷狀態(tài)的檢查不僅發(fā)生在每部設(shè)備的 commission 之初，而且在 commission 之后，也有可能迎來周期性檢查。 一旦發(fā)現(xiàn)設(shè)備證書已被吊銷，commissioner 可向用戶發(fā)送通知。后續(xù)，用戶可自行決定是否限制設(shè)備的全部或部分功能。最終，供應(yīng)商可通過更換設(shè)備 DAC 證書等方式徹底解決問題。 可提升 Matter 生態(tài)系統(tǒng)的可信度

如果沒有證書吊銷機(jī)制，偽造者可能會(huì)利用泄漏的密鑰和證書，制作以假亂真的仿冒品，但這些仿冒設(shè)備通常使用質(zhì)量差的組件，性能和安全性都無法保證，導(dǎo)致市場(chǎng)中的 Matter 產(chǎn)品良莠不齊。鑒于用戶很難區(qū)別真?zhèn)?，可能?huì)無意購買到仿冒品，有損用戶對(duì)所有 Matter 產(chǎn)品的信任。 在此背景下，證書吊銷機(jī)制可以禁用密鑰已經(jīng)泄漏的設(shè)備，確?？蛻糁皇盏劫|(zhì)量可靠的正品，從而維護(hù)這些正品及整個(gè) Matter 生態(tài)系統(tǒng)的聲譽(yù)。 接下來，我們將通過介紹一些技術(shù)細(xì)節(jié)，分享證書吊銷機(jī)制與 Matter 生態(tài)系統(tǒng)中各個(gè)環(huán)節(jié)的關(guān)系。 什么是 CRL ?

CRL（證書吊銷列表）是一個(gè)二進(jìn)制數(shù)據(jù)列表，其中包含了由 CA 頒發(fā)但已不再可信的證書。這些 CRL 由 CA 或?qū)?CA 簽署 CRL 的簽名機(jī)構(gòu)簽署。比如，DAC 證書的 CRL 即由 PAI（產(chǎn)品認(rèn)證中間證書）簽署。此外，這些 CRL 也將托管在 CA 中，從而便利大家的訪問。 以下是一份 CRL 示例：

從上面的示例中，我們可以看到： 證書編號(hào)為 “490B5C02EAF6285B60D5344076AA7204”的唯一證書已被吊銷，原因?yàn)?“密鑰泄漏”。 DCL 在吊銷中的作用

隨著 Matter 的廣泛采用，PAA 和 PAI 的數(shù)量已經(jīng)非常龐大且還在不斷增長(zhǎng)。每個(gè) CA 都將發(fā)布和維護(hù)自己的 CRL。作為CRL的使用者，commissioner 需要一個(gè)單一的真相來源，以獲取所有 CA 的 CRL，用以確定設(shè)備是否可信。 為了構(gòu)建這個(gè)單一的真相來源，CSA 決定采用

DCL（分布式合規(guī)設(shè)備總帳）

，其中每個(gè) CA 將具有指向其 CRL 的 URL，CA 管理員負(fù)責(zé)維護(hù)更新 CRL。更多詳情，請(qǐng)見

Matter 中的分布式合規(guī)設(shè)備總帳 (DCL)

。 考慮到 CRL 的數(shù)量眾多，建議各 commissioner 將 DCL 中的所有可用 CRL 集合起來，在各自的云端或本地應(yīng)用程序中統(tǒng)一維護(hù)，從而更輕松地鑒別某份證書的吊銷狀態(tài)，而無需每次都逐個(gè)輪詢所有 CRL。這有助于確保設(shè)備的平穩(wěn) commission 和后續(xù)使用。 Matter 規(guī)范中的描述

目前，Matter 規(guī)范版本 1.2（于 2023 年秋季發(fā)布）已經(jīng)增加了有關(guān)“證書吊銷”的內(nèi)容，規(guī)定所有 CA 必須在 DCL 上發(fā)布和維護(hù)CRL，自 2024 年 9 月 1 日生效。鑒于證書吊銷的潛在益處，我們認(rèn)為這是 Matter 規(guī)范的重要更新。

本文為樂鑫 Matter 系列文章的第十篇，敬請(qǐng)期待后續(xù)的更多內(nèi)容。若您剛剛接觸 Matter，或希望了解更多關(guān)于 Matter 的信息，可以查閱往期

樂鑫 Matter 系列文章

。