Geri bildiriminiz için teşekkürler.

JWE formatını nasıl kullanıyoruz

Bu bölümde JWE'nin cihazlara giriş olarak nasıl oluşturulmasını beklediğimizi açıklar, böylece sertifikalarınızdan ve anahtarlarınızdan blobları oluşturmak için kendi aracınızı oluşturabilirsiniz.

JSON Web Şifrelemesi (JWE) https://datatracker.ietf.org/doc/html/rfc7516 ve JSON Web İmzası (JWS) https://datatracker.ietf.org/doc/html/rfc7515 bölümüne bakın.

JWE blobları oluşturmak için bir JSON belgesinin Kompakt Serializ asyonunu kullanıyoruz. JWE bloblarını oluştururken eklemeniz gereken parametreler şunlardır:

• JOSE Baş lığı (korumalı). JSON Nesne İmzalama ve Şifreleme başlığında, aşağıdaki anahtar-değer çiftlerini eklemelisiniz:

  • “alg” :"dizin”

    Doğrudan algoritma, yükü şifrelemek için desteklediğimiz tek algoritmadır ve cihazın ilk istemci sırrını kullanmanız gerekir.

  • “enc”: “A128GCM” veya “enc”: “A256GCM”

    Bu iki şifreleme algoritmasını destekliyoruz.

  • “cisco-action”: “ekle” veya “cisco-action”: “doldurun” veya “cisco-action”: “etkinleştir” veya “cisco-action”: “devre dışı bırak”

    Bu tescilli bir anahtardır ve alabileceği dört değerdir. Şifrelenmiş verilerin amacını hedef cihaza bildirmek için bu anahtarı tanıttık. Değerler, şifrelenmiş verileri kullandığınız cihazdaki xAPI komutlarından sonra adlandırılır.

    Gelecekteki JWE uzantılarıyla olası çatış maları azaltmak için buna cisco-action adını verdik.

  • “cisco-kdf”: {“version”: “1", “salt”: “base64URLEncodeDrandom4+bayt”}

    Başka bir tescilli anahtar. Sağladığınız değerleri cihazdaki anahtar türetmesi için girdi olarak kullanıyoruz. Sürüm 1 olmalıdır (anahtar türetme fonksiyonumuzun sürümü). Tuzun değeri, rastgele seçmeniz gereken en az 4 baytlık base64 URL kodlu bir dizi olmalıdır.

• JWE Şifreli Anahtar. Bu alan boş. Cihaz bunu ilk ClientSec ret'ten türetir.

• JWE Başlatma Vektörü. Yükün şifresini çözmek için base64url kodlu bir başlatma vektörü sağlamalısınız. IV rastgele 12 baytlık bir değer OLMALIDIR (IV'ün 12 bayt uzunluğunda olmasını gerektiren AES-GCM şifre ailesini kullanıyoruz).

• JWE AAD (ek doğrulanmış veriler). Kompakt Serileştirmede desteklenmediği için bu alanı atlamanız gerekir.

• JWE Şifreli metin: Bu, gizli tutmak istediğiniz şifreli yük.

  Yük boş olabilir. Örneğin, istemci sırrını sıfırlamak için üzerine boş bir değerle yazmanız gerekir.

  Cihazda ne yapmaya çalıştığınıza bağlı olarak farklı yük türleri vardır. Farklı xAPI komutları farklı yükler bekler ve aşağıdaki gibi cisco-action anahtarıyla yükün amacını belirtmeniz gerekir:

  • “cisco-action” :"populate” ile şifreli metin yeni ClientSec ret'dir.

  • ““cisco-action” :"add” ile şifreli metin, sertifikayı ve özel anahtarını (birleştirilmiş) taşıyan bir PEM blobudur.

  • ““cisco-action” :"activate” ile şifreli metin, cihaz kimliği doğrulaması için etkinleştir diğimiz sertifikanın parmak izidir (sha-1'in onaltılık gösterimi).

  • ““cisco-action” :"disabled” ile şifreli metin, cihaz kimlik doğrulaması için kullanılmasını devre dışı bırak tığımız sertifikanın parmak izidir (sha-1'in onaltılık gösterimi).

• JWE kimlik doğrulama etiketi: Bu alan, tüm JWE kompakt bir şekilde serileştirilmiş blob bütünlüğünü belirlemek için kimlik doğrulama etiketini içerir

Şifreleme anahtarını ClientSecret'ten nasıl türetiyoruz

Sırrın ilk popülasyonundan sonra, sırrı düz metin olarak kabul etmiyoruz veya çıkarmıyoruz. Bu, cihaza erişebilecek birinin olası sözlük saldırılarını önlemek içindir.

Aygıt yazılımı, istemci sırrını bir anahtar türetme işlevine (kdf) giriş olarak kullanır ve ardından cihazdaki içerik şifre çözme/şifreleme için türetilen anahtarı kullanır.

Bunun sizin için anlamı, JWE blobları üretme aracınızın istemci sırrından aynı şifreleme/şifre çözme anahtarını türetmek için aynı prosedürü izlemesi gerektiğidir.

Cihazlar, aşağıdaki parametrelerle anahtar türetimi için scrypt kullanır (bkz. https://en.wikipedia.org/wiki/Scrypt):

• Maliyet Faktörü (N) 32768'dir

• BlockSizeFactor (r) 8'dir

• ParalelizationFactor (p) 1'dir

• Tuz, en az 4 baytlık rastgele bir dizidir; cisco-kdf parametresini belir tir ken aynı tuzu sağlamalısınız.

• Anahtar uzunlukları 16 bayttır (AES-GCM 128 algoritmasını seçerseniz) veya 32 bayttır (AES-GCM 256 algoritmasını seçerseniz)

• Maksimum bellek sınırı 64MB'dir

Bu parametre kümesi, cihazlardaki anahtar türetme işleviyle uyumlu olan tek scrypt yapılandırmasıdır. Cihazlardaki bu kdf, şu anda cisco-kdf parametresi tarafından alınan tek sürüm olan “version” :"1" olarak adlandırılır.

Çalışan örnek

İşte JWE şifreleme işleminizin cihazlarda oluşturduğumuz işlemle aynı şekilde çalıştığını doğrulamak için izleyebileceğiniz bir örnek.

Örnek senaryo cihaza bir PEM blobu eklemektir (tam bir cert+ anahtarı yerine çok kısa bir dize ile sertifika eklemeyi taklit eder). Örnekteki istemci sırrı ossi frage'dir.

1. Bir şifreleme şifresi seçin. Bu örnekte A128GCM (Galois Sayaç Modunda 128 bit tuşlara sahip AES) kullanılır. Aracınız isterseniz A256GCM kullanabilir.

2. Bir tuz seçin (en az 4 baytlık rastgele bir dizi olmalıdır). Bu örnek (onaltılık bayt) E5 E6 53 08 03 F8 33 F 6 kullanır. Base64URL, 5eztcap4 m_y almak için diziyi kodlar (base64 dolgusunu kaldırın).

3. İşte içerik şifreleme anahtarını (cek) oluşturmak için örnek bir scrypt çağrısı:

   cek=scrypt(password="ossifrage", salt=4-byte-sequence, N=32768, r=8, p=1, keylength=16)

   Türetilmiş anahtar aşağıdaki gibi 16 bayt (hex) olmalıdır: 95 9e ba 6d d1 22 01 05 78 fe 6a 9d 22 78 ff ac, base64url Lz66bdeiaqv4_mqdinj_RA olarak kodlar.

4. Bir başlatma vektörü olarak kullanmak için 12 baytlık rastgele bir dizi seçin. Bu örnek, base64url nLnd3v9 te68tkpwd olarak kodlayan (hex) 34 b3 5d dd 5f 53 7b af 2d 92 95 83 kullanır.

5. JOSE başlığını kompakt serileştirme ile oluşturun (burada kullandığımız parametrelerin aynı sırasını izleyin) ve ardından base64url kodlayın:

   {"alg” :"dir”, "cisco-action” :"add”, "cisco-kdf”: {"salt” :"5eztcap4M_y”, "version” :"1"}, "enc” :"A128GCM "}

   Base64url kodlu JOSE başlığı eyjhbgcioIJkAxiiLcJjaXnJBY1hy3rpb24ioiJhzgqILcJjaXnjby1rzGyionSiC2fsdCi6ijvLwLrdqva0tV9ziiWIDmVyc2LvBii6iJEifsWiZw5jiJoiqTeYoEddTSj9

   Bu, JWE blobunun ilk öğesi olacaktır.

6. JWE blobunun ikinci öğesi boş, çünkü bir JWE şifreleme anahtarı sağlamıyoruz.

7. JWE blobunun üçüncü öğesi, başlatma vektörü NlnD3v9TE68tkpwd.

8. Şifrelenmiş bir yük ve etiket oluşturmak için JWE şifreleme aracınızı kullanın. Bu örnek için, şifrelenmemiş yük sahte PEM blobu olacak, bu bir PEM dosyasıdır

   Kullanmanız gereken şifreleme parametreleri şunlardır:

   • Payload bu bir PEM dosyasıdır

   • Şifreleme şifresi AES 128 GCM'dir

   • base64url, JOSE üstbilgisini Ek Kimlik Doğrulanmış Veri (AAD) olarak kodladı

   Base64URL şifrelenmiş yükü kodlar, bu da f5llVUwnfkfmzyco1yjFODHQ ile sonuçlanmalıdır

   Bu, JWE blobundaki dördüncü öğedir (JWE Ciphertext).

9. Base64url, 8. adımda ürettiğiniz etiketi kodlar, bu da PE-Wdfwgxffbeo928cfz1q ile sonuçlanmalıdır

   Bu, JWE blobundaki beşinci öğedir.

10. Aşağıdakileri elde etmek için JWE blobunun beş öğesini noktalarla birleştirin (JoseHeader.. iv.CipherText.tag):

    EYJhbgCIoIJkAXiiLCJaxnjbY1hy3rpb24ioiJhzgQiLCJjaXnJbY1RzgyiOnSiC2fsdCi6ijVLrdQva0tV9ziiWIDmVyC2LvBiI6iJeiFsWiZw5jiJoiqTeyOeddTSj.. 9nLnd3v9TE68pWlLd.f5tKf5tKlLd.9nLnd3v9TE68pWf5lld.pWf5tKf5tKlLd.9nLnd3v9TE68pWf5lld.pWf5tKf5tKf5tKlLfVUWNfkfmzyco1yjfodhq.pe-wdfwgxffbeo928cfz1q

11. Burada gösterdiğimiz gibi aynı base64url kodlu değerleri kendi araçlarınızı kullanarak türettiyseniz, cihazlarınızın E2E şifrelemesini ve doğrulanmış kimliğini güvence altına almak için bunları kullanmaya hazırsınız demektir.

12. Bu örnek aslında işe yaramayacak, ancak prensipte bir sonraki adımınız yukarıda oluşturduğunuz JWE blobunu sertifikayı ekleyen cihazdaki xcommand girişi olarak kullanmak olacaktır:

    XCommand Güvenlik Sertifikaları EyJhbGcioIJkaxiiLcJjaXnJBY1hy3rpb24ioiJhzgQiLCJjaXnjby1rzGYiOnSiC2fsdci6ijVLWLrdQva0tV9ziiWIDmVyC2LvBii6iJEifswizw5JIjoiqt EYoEDdTsJ.. 9nLnND3v9tK68TkJ.. pwd. F5LLVUWNfkfmzyco1yjfodhq.pe-wdfwg xffbeo928cfz1q