JWE formatını nasıl kullanıyoruz

Bu bölüm, sertifikalarınızdan ve anahtarlarınızdan blobları oluşturmak için kendi aracınızı oluşturabilmeniz için JWE'nin cihazlara girdi olarak nasıl oluşturulmasını beklediğimizi açıklamaktadır.

bkz. JSON Web Şifrelemesi (JWE)https://datatracker.ietf.org/doc/html/rfc7516ve JSON Web İmzası (JWS)https://datatracker.ietf.org/doc/html/rfc7515.

kullanıyoruz Kompakt Serileştirme JWE blobları oluşturmak için bir JSON belgesinin JWE blob'larını oluştururken eklemeniz gereken parametreler şunlardır:

• JOSE Başlık (korumalı). JSON Nesne İmzalama ve Şifreleme başlığında, aşağıdaki anahtar/değer çiftlerini eklemeniz ZORUNLUDUR:

  • "alg":"dir"

    Doğrudan algoritma, yükü şifrelemek için desteklediğimiz tek algoritmadır ve cihazın ilk istemci sırrını kullanmanız gerekir.

  • "enc":"A128GCM" veya "enc":"A256GCM"

    Bu iki şifreleme algoritmasını destekliyoruz.

  • "cisco-action": "add" veya "cisco-action": "populate" veya "cisco-action": "activate" veya "cisco-action": "deactivate"

    Bu özel bir anahtar ve alabileceği dört değerdir. Bu anahtarı, şifrelenmiş verilerin amacını hedef cihaza bildirmek için tanıttık. Değerler, şifrelenmiş verileri kullandığınız cihazdaki xAPI komutlarından sonra adlandırılır.

    adını biz koyduk cisco-action gelecekteki JWE uzantılarıyla olası çakışmaları azaltmak için.

  • "cisco-kdf": { "version": "1", "salt": "base64URLEncodedRandom4+Bytes" }

    Başka bir özel anahtar. Cihazda anahtar türetme için girdiğiniz değerleri girdi olarak kullanırız. Dosya version olmalı 1(anahtar türetme fonksiyonumuzun versiyonu). değeri salt en az 4 baytlık bir base64 URL kodlu dizisi olmalıdır. gerekir rastgele seçin.

• JWE Şifreli Anahtar . Bu alan boş. Cihaz, bunu başlangıçtaki ClientSecret.

• JWE Başlatma Vektörü . Yükün şifresini çözmek için bir base64url kodlu başlatma vektörü sağlamalısınız. IV ZORUNLU rastgele 12 baytlık bir değer olsun (IV'nin 12 bayt uzunluğunda olmasını gerektiren AES-GCM şifre ailesini kullanıyoruz).

• JWE AAD (kimliği doğrulanmış ek veriler). Kompakt Serileştirme'de desteklenmediğinden bu alanı atlamanız gerekir.

• JWE Şifreli Metin : Bu, gizli tutmak istediğiniz şifreli yüktür.

  Yük boş olabilir. Örneğin, istemci sırrını sıfırlamak için üzerine boş bir değer yazmanız gerekir.

  Cihazda ne yapmaya çalıştığınıza bağlı olarak farklı yük türleri vardır. Farklı xAPI komutları farklı yükler bekler ve yükün amacını cisco-action anahtar, aşağıdaki gibi:

  • ile "cisco-action":"populate" şifreli metin yeni ClientSecret.

  • ile " "cisco-action":"add" şifreli metin, sertifikayı ve onun özel anahtarını (birleştirilmiş) taşıyan bir PEM bloğudur.

  • ile " "cisco-action":"activate" şifreli metin, cihaz kimlik doğrulaması için etkinleştirdiğimiz sertifikanın parmak izidir (sha-1'in onaltılık gösterimi).

  • ile " "cisco-action":"deactivate" şifreli metin, cihaz kimliği doğrulaması için kullanılmasını devre dışı bıraktığımız sertifikanın parmak izidir (sha-1'in onaltılık gösterimi).

• JWE kimlik doğrulama etiketi: Bu alan, tüm JWE kompakt serileştirilmiş bloğun bütünlüğünü tespit etmek için kimlik doğrulama etiketini içerir.

kripto anahtarı aşağıdakilerden nasıl türetiyoruz? ClientSecret

Sırrın ilk popülasyonundan sonra, sırrı düz metin olarak kabul etmiyoruz veya çıkarmıyoruz. Bu, cihaza erişebilen birinin olası sözlük saldırılarını önlemek içindir.

Aygıt yazılımı, istemci sırrını bir anahtar türetme işlevine (kdf) bir girdi olarak kullanır ve ardından aygıtta içerik şifresinin çözülmesi/şifrelenmesi için türetilmiş anahtarı kullanır.

Bunun sizin için anlamı, JWE blobları üretme aracınızın istemci sırrından aynı şifreleme/şifre çözme anahtarını türetmek için aynı prosedürü izlemesi gerektiğidir.

Cihazların kullandığı şifrelemek anahtar türetme için (bkz.https://en.wikipedia.org/wiki/Scrypt ), aşağıdaki parametrelerle:

• Maliyet Faktörü (N) 32768'dir

• BlockSizeFactor (r) 8'dir

• Paralelleştirme Faktörü (p) 1'dir

• Tuz, en az 4 baytlık rastgele bir dizidir; bunu aynı şekilde tedarik etmelisin salt belirtirken cisco-kdf parametresini kullanabilirler.

• Anahtar uzunlukları 16 bayt ( AES-GCM 128 algoritmasını seçerseniz) veya 32 bayttır ( AES-GCM 256 algoritmasını seçerseniz)

• Maksimum bellek sınırı 64MB

Bu parametre seti tek yapılandırmadır. şifrelemek cihazlardaki anahtar türetme işleviyle uyumludur. Cihazlarda bu kdf denir "version":"1" tarafından şu anda alınan tek sürüm olan cisco-kdf parametresini kullanabilirler.

Çalışılan örnek

JWE şifreleme işleminizin cihazlarda oluşturduğumuz işlemle aynı şekilde çalıştığını doğrulamak için izleyebileceğiniz bir örnek.

Örnek senaryo, cihaza bir PEM bloğu eklemektir (tam sertifika + anahtarı yerine çok kısa bir dizeyle sertifika eklemeyi taklit eder). Örnekteki istemci sırrı şudur: ossifrage.

1. Bir şifreleme şifresi seçin. Bu örnek kullanır A128GCM(Galois Sayaç Modunda 128 bit anahtarlı AES ). aracınız kullanabilir A256GCM tercih ederseniz.

2. Bir tuz seçin (en az 4 baytlık rastgele bir dizi olmalıdır). Bu örnek (onaltılık bayt) kullanır E5 E6 53 08 03 F8 33 F6. Base64url almak için diziyi kodlar 5eZTCAP4M_Y(base64 dolgusunu çıkarın).

3. İşte bir örnek scrypt içerik kripto anahtarı (cek) oluşturmak için arayın:

   cek=scrypt(password="ossifrage", salt=4-byte-sequence, N=32768, r=8, p=1, keylength=16)

   Türetilmiş anahtar aşağıdaki gibi 16 bayt (hex) olmalıdır: 95 9e ba 6d d1 22 01 05 78 fe 6a 9d 22 78 ff ac hangi base64url'nin kodladığı lZ66bdEiAQV4_mqdInj_rA.

4. Başlatma vektörü olarak kullanmak için rastgele bir 12 bayt dizisi seçin. Bu örnek (hex) kullanır 34 b3 5d dd 5f 53 7b af 2d 92 95 83 hangi base64url'nin kodladığı NLNd3V9Te68tkpWD.

5. JOSE başlığını kompakt serileştirme ile oluşturun (burada kullandığımız parametrelerin aynı sırasını izleyin) ve ardından base64url kodlayın:

   {"alg":"dir","cisco-action":"add","cisco-kdf":{"salt":"5eZTCAP4M_Y","version":"1"},"enc":"A128GCM"}

   base64url kodlu JOSE başlığı eyJhbGciOiJkaXIiLCJjaXNjby1hY3Rpb24iOiJhZGQiLCJjaXNjby1rZGYiOnsic2FsdCI6IjVlWlRDQVA0TV9ZIiwidmVyc2lvbiI6IjEifSwiZW5jIjoiQTEyOEdDTSJ9

   Bu, JWE bloğunun ilk öğesi olacaktır.

6. JWE kripto anahtarı sağlamadığımız için JWE bloğunun ikinci öğesi boş.

7. JWE bloğunun üçüncü öğesi, başlatma vektörüdür. NLNd3V9Te68tkpWD.

8. Şifrelenmiş bir yük ve etiket oluşturmak için JWE şifreleme aracınızı kullanın. Bu örnekte, şifrelenmemiş yük, sahte PEM blobu olacaktır. this is a PEM file

   Kullanmanız gereken şifreleme parametreleri şunlardır:

   • Yük (şimdiki değeri) this is a PEM file

   • Şifreleme şifresi AES 128 GCM'dir

   • Base64url, JOSE başlığını Ek Doğrulanmış Veri (AAD) olarak kodladı

   Base64url, şifrelenmiş yükü kodlar, bu da sonuçlanması gereken f5lLVuWNfKfmzYCo1YJfODhQ

   Bu, JWE bloğundaki dördüncü öğedir (JWE Şifreli Metin).

9. Base64url, 8. adımda oluşturduğunuz etiketi kodlar; PE-wDFWGXFFBeo928cfZ1Q

   Bu, JWE bloğundaki beşinci öğedir.

10. JWE bloğunun beş öğesini noktalarla (JOSEheader..IV.Ciphertext.Tag) birleştirin ve şunu elde edin:

    eyJhbGciOiJkaXIiLCJjaXNjby1hY3Rpb24iOiJhZGQiLCJjaXNjby1rZGYiOnsic2FsdCI6IjVlWlRDQVA0TV9ZIiwidmVyc2lvbiI6IjEifSwiZW5jIjoiQTEyOEdDTSJ..9NLNd3V9Te68tkpWD.f5lLVuWNfKfmzYCo1YJfODhQ.PE-wDFWGXFFBeo928cfZ1Q

11. Burada gösterdiğimiz gibi aynı base64url kodlu değerleri kendi araçlarınızı kullanarak türetdiyseniz, E2E şifrelemesini ve cihazlarınızın doğrulanmış kimliğini güvenceye almak için bunları kullanmaya hazırsınız.

12. Bu örnek aslında işe yaramayacak, ancak prensipte bir sonraki adımınız, sertifikayı ekleyen cihazdaki x komutuna giriş olarak yukarıda oluşturduğunuz JWE bloğunu kullanmak olacaktır:

    xCommand Security Certificates Add eyJhbGciOiJkaXIiLCJjaXNjby1hY3Rpb24iOiJhZGQiLCJjaXNjby1rZGYiOnsic2FsdCI6IjVlWlRDQVA0TV9ZIiwidmVyc2lvbiI6IjEifSwiZW5jIjoiQTEyOEdDTSJ..9NLNd3V9Te68tkpWD.f5lLVuWNfKfmzYCo1YJfODhQ.PE-wDFWGXFFBeo928cfZ1Q