Menggunakan standar Matter

Standar konektivitas Matter menentukan konfigurasi sertifikat yang meningkatkan keamanan dan konsistensi perangkat internet of things (IoT). Sampel Java untuk membuat sertifikat CA root, CA perantara, dan entitas akhir yang sesuai dengan Matter dapat ditemukan di. Menggunakan AWS Private CA API untuk mengimplementasikan standar Matter (contoh Java)

Untuk membantu pemecahan masalah, pengembang Matter menyediakan alat verifikasi sertifikat yang disebut chip-cert. Kesalahan yang dilaporkan alat tercantum dalam tabel berikut dengan remediasi.

Kode kesalahan	Arti	Remediasi
0x00000305	BasicConstraints,KeyUsage, dan ExtensionKeyUsage ekstensi harus ditandai kritis.	Pastikan bahwa Anda telah memilih template yang benar untuk kasus penggunaan Anda.
0x00000050	Ekstensi pengenal kunci otoritas harus ada.	AWS Private CA tidak menyetel ekstensi pengenal kunci otoritas pada sertifikat root. Anda harus menghasilkan AuthorityKeyIdentifier nilai yang dikodekan Base64 menggunakan CSR dan kemudian meneruskannya melalui file. CustomExtension Untuk informasi selengkapnya, lihat Aktifkan Root CA untuk Node Operational Certificates (NOC). dan Aktifkan Otoritas Pengesahan Produk (PAA).
0x0000004E	Sertifikat kedaluwarsa.	Pastikan sertifikat yang Anda gunakan belum kedaluwarsa.
0x00000014	Kegagalan validasi rantai sertifikat.	Kesalahan ini mungkin terjadi jika Anda mencoba membuat sertifikat entitas akhir yang sesuai dengan Matter tanpa menggunakan contoh Java yang disediakan, yang menggunakan AWS Private CA API untuk meneruskan konfigurasi dengan benar. KeyUsage Secara default, AWS Private CA menghasilkan nilai KeyUsage ekstensi sembilan bit, dengan bit kesembilan menghasilkan byte tambahan. Matter mengabaikan byte ekstra selama konversi format, menyebabkan kegagalan validasi rantai. Namun, CustomExtensiondalam APIPassthrough template dapat digunakan untuk mengatur jumlah byte yang tepat dalam KeyUsage nilai. Sebagai contoh, lihat Membuat Node Operational Certificate (NOC). Jika Anda memodifikasi kode sampel atau menggunakan utilitas X.509 alternatif seperti OpenSSL, Anda perlu melakukan verifikasi manual untuk menghindari kesalahan validasi rantai. Untuk memverifikasi bahwa konversi lossless Gunakan openssl untuk memverifikasi bahwa sertifikat sertifikat node (end-entity) berisi rantai yang valid. Dalam contoh ini, rcac.pem adalah sertifikat CA root, icac.pem adalah sertifikat CA perantara, dan noc.pem merupakan sertifikat node. openssl verify -verbose -CAfile <(cat rcac.pem icac.pem) noc.pem Gunakan chip-cert untuk mengonversi sertifikat node berformat PEM ke format TLV (tag, panjang, nilai) dan kembali lagi. ./chip-cert convert-cert noc.pem noc.chip -c ./chip-cert convert-cert noc.chip noc_converted.pem -p File noc.pem dan noc_converted.pem harus persis sama seperti yang dikonfirmasi oleh alat perbandingan string.