鍵の保護

plug-and-trust パッケージには OpenSSL engine のライブラリが含まれており、 OpenSSL を利用して間接的に EdgeLock SE050 を操作することができます。 ここでは例として、EdgeLock SE050 のチップ製造時に書き込まれた鍵を使って OpenSSL で署名と署名の検証を行います。

まず、次のコマンドでリファレンスキーを取得します。

[container ~]# se05x_getkey 0xF0000100 refkey.pem /dev/i2c-2:0x48

	チップ製造時に書き込まれた鍵について 「事前書き込みされた鍵と X.509 証明書」 を参照してください。

	リファレンスキーについて 「リファレンスキー」 を参照してください。

次のコマンドで署名します。message.txt は任意のファイルを用意してください。 取得したリファレンスキーを利用します。

[container ~]# openssl dgst -sha256 -sign refkey.pem -out sig.bin message.txt
ssse-flw: EmbSe_Init(): Entry
App   :INFO :Using PortName='/dev/i2c-2:0x48' (ENV: EX_SSS_BOOT_SSS_PORT=/dev/i2c-2:0x48)
sss   :INFO :atr (Len=35)
      00 A0 00 00    03 96 04 03    E8 00 FE 02    0B 03 E8 08
      01 00 00 00    00 64 00 00    0A 4A 43 4F    50 34 20 41
      54 50 4F
sss   :WARN :Communication channel is Plain.
sss   :WARN :!!!Not recommended for production use.!!!
ssse-flw: Version: 1.0.5
ssse-flw: EmbSe_Init(): Exit
ssse-flw: Control Command EMBSE_LOG_LEVEL; requested log level = 4

署名が正しいかどうかを確認するために署名を検証します。

[container ~]# openssl dgst -sha256 -prverify refkey.pem -signature sig.bin message.txt
ssse-flw: EmbSe_Init(): Entry
App   :INFO :Using PortName='/dev/i2c-2:0x48' (ENV: EX_SSS_BOOT_SSS_PORT=/dev/i2c-2:0x48)
sss   :INFO :atr (Len=35)
      00 A0 00 00    03 96 04 03    E8 00 FE 02    0B 03 E8 08
      01 00 00 00    00 64 00 00    0A 4A 43 4F    50 34 20 41
      54 50 4F
sss   :WARN :Communication channel is Plain.
sss   :WARN :!!!Not recommended for production use.!!!
ssse-flw: Version: 1.0.5
ssse-flw: EmbSe_Init(): Exit
ssse-flw: Control Command EMBSE_LOG_LEVEL; requested log level = 4
Verified OK

	クラウドサービスに接続するために事前書き込みされた鍵と証明書を 利用する方法は以下を参照してください。 EdgeLock SE050 を使用して AWS IoT Core へ接続する https://armadillo.atmark-techno.com/howto/connect_to_aws_iot_core_for_aiot_g4 EdgeLock SE050 を使用して Azure IoT Hub へ接続する https://armadillo.atmark-techno.com/howto/connect_azure_iot_hub_for_aiot_g4

EdgeLock SE050 ではユーザーが生成した鍵を保存することもできます。 一度保存された鍵は、そのまま暗号処理に利用することができるようになります。 ここでは例として、ユーザー鍵を保存して openssl cms で暗号化と復号を実行してみます。

まず、ECC の曲線 prime256v1 の鍵を生成します。証明書の情報はお任せします。

[container ~]# openssl req -x509 -nodes -days 3650 -newkey ec \
-pkeyopt ec_paramgen_curve:prime256v1 -keyout key.pem -out cert.pem

生成した鍵と自己証明書を EdgeLock SE050 に保存します。 keyid は 1 から 0x7BFFFFFF の範囲が利用者に開放されています。

[container ~]# se05x_setkey -f 0x10 key.pem /dev/i2c-2:0x48
[container ~]# se05x_setkey -f 0x11 cert.pem /dev/i2c-2:0x48

	Secure Object についての詳しい情報は以下を参照してください。 SE050A/B/C/D/F APDU Specification https://www.nxp.com/search?keyword=AN12413

	秘密鍵を EdgeLock SE050 に保存に成功したあとは、利用する際に EdgeLock SE050 にアクセスすることになります。そのため、ファイルシステム上の key.pem は 基本的に必要ありません。セキュリティ上、削除することをお勧めします。

リファレンスキーを取得します。

[container ~]# se05x_getkey 0x10 refkey.pem /dev/i2c-2:0x48

	リファレンスキーについて 「リファレンスキー」 を参照してください。

自己証明書に含まれる公開鍵を使って暗号化します。 message.txt は任意のファイルを用意してください。

[container ~]# openssl cms -encrypt -binary -aes256 -in message.txt \
-out message.enc cert.pem

以下はあくまで例ですが、暗号化されたファイルは以下のような内容になります。

[container ~]# cat message.enc
MIME-Version: 1.0
Content-Disposition: attachment; filename="smime.p7m"
Content-Type: application/pkcs7-mime; smime-type=enveloped-data; name="smime.p7m"
Content-Transfer-Encoding: base64

MIIBmQYJKoZIhvcNAQcDoIIBijCCAYYCAQIxggERoYIBDQIBA6BRoU8wCQYHKoZI
zj0CAQNCAARdx2h5MMEe0e7MgYHg179QPxxJvuLTOPONM9NF10V7/3AjgxE1D2XS
Fjgt/btA17HU9l13f6NVRFbZzNVHtxX2MBgGCSuBBRCGSD8AAjALBglghkgBZQME
AS0wgZowgZcwazBTMQswCQYDVQQGEwJKUDEMMAoGA1UECAwDTi9BMQwwCgYDVQQH
DANOL0ExDDAKBgNVBAoMA04vQTEaMBgGA1UEAwwRYXRtYXJrIHRlY2hubyxpbmMC
FA2ES6jQVjVE5fv9KjfD4QqM5hrLBChc/Z1uATls1oxl6aPyYcqf1tns3pR41gko
sturG2/iRRjjQNbwaa2gMGwGCSqGSIb3DQEHATAdBglghkgBZQMEASoEEMl596FU
hh1Rs4sHBcqwmTyAQPyYZLqHHSr1np9CnCxtzcRztheo0gtkC+8elS97GPzKcbpU
gWoOECwNNwyOpTRGxEJ9Mx+C4yW7J7Jiz/XvgDs=

EdgeLock SE050 のキーストレージにある秘密鍵を使って復号します。

[container ~]# openssl cms -decrypt -in message.enc -out message.dec \
-inkey refkey.pem

EdgeLock SE050 のフラッシュメモリにはチップ製造時に書き込まれた チップ固有な鍵と NXP に署名された X.509 証明書を保持しています。 それらの鍵や証明書は Armadillo-IoT ゲートウェイ G4 を購入後に すぐにそのままの状態でクラウドサービスなどの PKI に利用できます。 事前に書き込みがされた状態で空き容量はあるので、ユーザーの鍵や証明書を追加することも可能です。

	事前書き込みされた鍵と証明書については以下のドキュメントを参照してください。 利用可能な keyid、鍵の種類、想定する用途が記載されています。 なお、Armadillo-IoT ゲートウェイ G4 に搭載されている EdgeLock SE050 は Variant C です。 SE050 configuration https://www.nxp.com/search?keyword=AN12436

EdgeLock SE050 は秘密鍵が外部に露出しません。 これは、いったん鍵を EdgeLock SE050 に書き込むと秘密鍵を抜き出すこと ができない (削除や書き換えは可能) という仕様で実現されています。 攻撃者がチップの中にある、どこかのサイトの認証資格などを有する証明書を 得るためには、物理的にチップ自体も必要ということになってきます。

秘密鍵を抜き出すことができない仕様で、どのように秘密鍵を利用するかというと、 リファレンスキーと呼ばれる特殊なファイルで代用します。 リファレンスキーは秘密鍵のフォーマットで保存されますが、 公開鍵部分のみ有効で、それ以外の値は管理用やダミーの情報になっています。 リファレンスキーをファイルシステムに置いておいて、EdgeLock SE050 を利用する時に そのファイルを秘密鍵のように使うと、Plug & Trust Middleware に含まれる OpenSSL の engine のライブラリがフックして EdgeLock SE050 にアクセスします。

se05x-tools は EdgeLock SE050 をキーストレージとして利用するためのツールです。 アットマークテクノから Armadillo Base OS 向けにリリースされています。 se05x-tools の内部では Plug & Trust Middleware を利用しています。 バージョン 1.0.0 ではサポートする Secure Object は非対称暗号鍵のみです。

対応する非対称暗号鍵の種類は以下のとおりです。

se05x-tools でサポートされる ECC カーブ

se05x-tools でサポートされる RSA 鍵長

	Secure Object についての詳しい情報は以下を参照してください。 SE050A/B/C/D/F APDU Specification https://www.nxp.com/search?keyword=AN12413