Hvala na povratnim informacijama.

Kako koristimo JWE format

Ovaj odeljak opisuje kako očekujemo da će JWE biti kreiran kao ulaz za uređaje, tako da možete da napravite sopstveni alat za kreiranje blobova iz vaših sertifikata i ključeva.

Pogledajte JSON veb enkripciju (JVE) https://datatracker.ietf.org/doc/html/rfc7516 i JSON veb potpis (JVS) https://datatracker.ietf.org/doc/html/rfc7515.

Koristimo kompaktnu serijalizaciju JSON dokumenta za kreiranje JVE blobova. Parametri koje treba da uključite prilikom kreiranja JVE blobova su:

• JOSE Header (zaštićeno). U zaglavlju potpisivanja i šifrovanja objekata JSON, MORATE uključiti sledeće parove ključ-vrednost:

  • „alg“ :"dir“

    Direktni algoritam je jedini koji podržavamo za šifrovanje korisnog tereta i morate koristiti početnu tajnu klijenta uređaja.

  • „enc“ :"A128GCM“ ili „enc“ :"A256GCM“

    Podržavamo ova dva algoritma šifrovanja.

  • „cisco-action“: „dodaj“ ili „cisco-akcija“: „popuniti“ ili „cisco-akcija“: „aktivirati“ ili „cisco-akcija“: „deaktivirati“

    Ovo je vlasnički ključ i četiri vrednosti koje može uzeti. Uveli smo ovaj ključ da signaliziramo svrhu šifrovanih podataka ciljnom uređaju. Vrednosti su nazvane po KsAPI komandama na uređaju na kome koristite šifrovane podatke.

    Nazvali smo ga cisco-akci jom za ublažavanje potencijalnih sukoba sa budućim JWE proširenjima.

  • „cisco-kdf“: {„version“: „1", „salt“: „Base64UrlenCodeDrandom4+bajtova“}

    Još jedan vlasnički ključ. Koristimo vrednosti koje navedete kao ulaze za izvođenje ključeva na uređaju. Verzija mora biti 1 (verzija naše funkcije izvođenja ključeva). Vrednost soli mora biti base64 URL kodirana sekvenca od najmanje 4 bajta, koju morate izabrati nasumično.

• JWE šifrovani ključ. Ovo polje je prazno. Uređaj ga izvodi iz početnog Client Secret.

• Vektor inicijalizacije J VE. Morate dostaviti base64url kodirani vektor inicijalizacije za dešifrovanje korisnog tereta. IV MORA biti slučajna vrednost od 12 bajta (koristimo porodicu šifra AES-GCM, koja zahteva da IV bude dugačak 12 bajtova).

• JWE AAD (dodatni autentifikovani podaci). Morate izostaviti ovo polje jer nije podržano u Compact Serializaciji.

• JWE Ciphertext: Ovo je šifrovani korisni teret koji želite da čuvate u tajnosti.

  Korisni teret MOŽE biti prazan. Na primer, da biste resetovali tajnu klijenta, morate je prepisati praznom vrednošću.

  Postoje različite vrste korisnih tereta, u zavisnosti od toga šta pokušavate da uradite na uređaju. Različite KsAPI komande očekuju različita korisna opterećenja i morate navesti svrhu korisnog tereta pomoću tastera cisco- action, na sledeći način:

  • Sa „cisco-action“ :"popuniti“ šifrovani tekst je nova Client Secret.

  • Sa "„cisco-action“ :"add“ šifrovani tekst je PEM blob koji nosi sertifikat i njegov privatni ključ (spojen).

  • Sa "„cisco-action“ :"aktiviraj“ šifrovani tekst je otisak prsta (heksadecimalni prikaz sha-1) sertifikata koji aktiviramo radi verifikacije identiteta uređaja.

  • Sa "„cisco-action“ :"deaktiviraj“ šifrovani tekst je otisak prsta (heksadecimalni prikaz sha-1) sertifikata koji deaktiviramo da se koristi za verifikaciju identiteta uređaja.

• JVE oznaka za autentifikaciju: Ovo polje sadrži oznaku za autentifikaciju kako bi se utvrdio integritet čitavog JVE kompaktno serijalizovanog bloba

Kako izvodimo ključ za šifrovanje iz ClientSecret

Nakon prve populacije tajne, tajnu ne prihvatamo niti iznosimo kao običan tekst. Ovo je kako bi se sprečili potencijalni napadi rečnika od strane nekoga ko bi mogao pristupiti uređaju.

Softver uređaja koristi tajnu klijenta kao ulaz u funkciju izvođenja ključa (kdf), a zatim koristi izvedeni ključ za dešifrovanje/šifrovanje sadržaja na uređaju.

Ono što ovo znači za vas je da vaš alat za proizvodnju JWE blobova mora slediti istu proceduru da bi iz tajne klijenta izveo isti ključ za šifrovanje/dešifrovanje.

Uređaji koriste script za izvođenje ključeva (vidi https://en.wikipedia.org/wiki/Scrypt), sa sledećim parametrima:

• CostFactor (N) je 32768

• BlocksizeFactor (r) je 8

• Faktor paralelizacije (p) je 1

• Sol je slučajna sekvenca od najmanje 4 bajta; morate isporučiti istu sol kada odredite parametar cisco- kdf.

• Dužine ključeva su ili 16 bajtova (ako odaberete AES-GCM 128 algoritam) ili 32 bajta (ako odaberete AES-GCM 256 algoritam)

• Maksimalna memorijska kapica je 64MB

Ovaj skup parametara je jedina konfiguracija script-a koja je kompatibilna sa funkcijom izvođenja ključa na uređajima. Ovaj kdf na uređajima se zove „version“ :"1", što je jedina verzija koju trenutno uzima parametar ci sco-kdf.

Radni primer

Evo primera koji možete slediti da biste proverili da li vaš JVE proces šifrovanja funkcioniše isto kao i proces koji smo kreirali na uređajima.

Primer scenarija je dodavanje PEM bloba uređaju (oponaša dodavanje sertifikata, sa vrlo kratkim nizom umesto punog tastera cert +). Tajna klijenta u primeru je osifrage.

1. Izaberite šifru za šifrovanje. Ovaj primer koristi A128GCM (A ES sa 128-bitnim tasterima u režimu Galois brojača). Vaš alat bi mogao da koristi A256GCM ako želite.

2. Izaberite so (mora biti slučajna sekvenca od najmanje 4 bajta). Ovaj primer koristi (šesterokutni bajtovi) E5 E6 53 08 03 F8 33 F 6. Base64URL kodira sekvencu da biste dobili 5eztcap4 m_I (uklonite podlogu base64).

3. Evo primera script poziva za kreiranje ključa za šifrovanje sadržaja (cek):

   cek=scrypt(password="ossifrage", salt=4-byte-sequence, N=32768, r=8, p=1, keylength=16)

   Izvedeni ključ treba da bude 16 bajtova (hex) na sledeći način: 95 9e ba 6d d1 22 01 05 78 fe 6a 9d 22 78 ff ac koji base64url kodira na LZ66bdeiAKV4_MKdinj_RA.

4. Izaberite slučajni niz od 12 bajtova koji ćete koristiti kao vektor inicijalizacije. Ovaj primer koristi (hex) 34 b3 5d dd 5f 53 7b af 2d 92 95 83 koji base64url kodira na nlnd3v9te68tkpvd.

5. Kreirajte JOSE zaglavlje sa kompaktnom serijalizacijom (sledite isti redosled parametara koji koristimo ovde), a zatim ga base64url kodirajte:

   {"alg“ :"dir“, "cisco-akcija“ :"add“, "cisco-kdf“: {"salt“ :"5eZtcap4m_i“, "verzija“ :"1"}, "enc“ :"A128GCM "}

   Base64url kodirano JOSE zaglavlje je eijHBgCioijkAKSIilCJjAKNjBi1Hi3rpb24ioijhzgKiLcJjAKNjBi1rZgIIonsic2fsdci6ijvlvlrdkva0tv9ziividmvic2lvbii6IJeifSVizv5JijoiKTEioeddtsj9

   Ovo će biti prvi element JVE bloba.

6. Drugi element JWE bloba je prazan, jer ne isporučujemo JVE ključ za šifrovanje.

7. Treći element JVE bloba je vektor inicijalizacije NLnd3v9te68tkpvd.

8. Koristite svoj JWE alat za šifrovanje da biste proizveli šifrovani korisni teret i oznaku. Za ovaj primer, nešifrovani korisni teret biće lažna PEM blob, ovo je PEM datoteka

   Parametri šifrovanja koje treba da koristite su:

   • Korisni teret je ovo PEM datoteka

   • Šifra za šifrovanje je AES 128 GCM

   • Base64url kodirao je JOSE zaglavlje kao dodatni autentifikovani podaci (AAD)

   Base64URL kodira šifrovani korisni teret, što bi trebalo da rezultira f5LLvUVnfkFMZiCO1IJfODHK

   Ovo je četvrti element (JVE Ciphertext) u JVE blobu.

9. Base64URL kodira oznaku koju ste proizveli u koraku 8, što bi trebalo da rezultira PE-VDFVGKSFFBEO928CFZ1K

   Ovo je peti element u JWE blobu.

10. Spojite pet elemenata JVE bloba sa tačkama (JoseHeader.. iv.CipherTekt.tag) da biste dobili:

    EiJHBgCioIjkAKSiilCjjAKNjBi1Hi3RPB24ioIJhZgKiLcJjAKNjBi1rZgiionsIC2fSDCI6IJvlvlrdkvA0tv9ziividmvic2lVBiI6IJeifSVizv5JijoiKTeioeddtsj.. 9nlnd3v9te68tkpvd.f5llvUVud.f5lVuvuD.f5lLvUVud.f5llvUVuDtSj.. FKfMZiCO1iJFODHK.PE-VDFVGKSFFBEO928CFZ1K

11. Ako ste izveli iste base64url kodirane vrednosti kao što prikazujemo ovde, koristeći sopstvene alate, spremni ste da ih koristite da biste osigurali E2E enkripciju i verifikovani identitet vaših uređaja.

12. Ovaj primer zapravo neće raditi, ali u principu bi vaš sledeći korak bio da koristite JVE blob koji ste kreirali gore kao ulaz u kmand na uređaju koji dodaje sertifikat:

    KSCommand bezbednosni sertifikati Dodaj eijHBgCioijkAKSiilCjjAKNjBi1Hi3RPB24ioijhzgKiLcJjAKNjBi1rZgIionsIC2FSDCI6IJvVLVLRDKVa0TV9ziividmvic2LVbii6IJeifSVizv5JiJoiKTEioeddtsJ.. 9NLnd3v9te68pVtkd.F5LL vUVnfKfMZiCO1iJFODHK.PE-VDFVgKSFFBEO928CFz1K