Une étape fondamentale du processus d'authentification d'une VM SDV Android de pair consiste à déterminer si cette VM de pair s'exécute sur un appareil de confiance. Seules les VM exécutant des logiciels validés sur des appareils de confiance peuvent rejoindre le maillage sécurisé SDV. Pour en savoir plus sur le processus de vérification du logiciel pair, consultez le profil SDV pour DICE.
Pour la confiance des appareils, Android SDV définit deux autorités distinctes avec des pouvoirs différents :
Attribuer la confiance de l'appareil : seul l'OEM dispose de cette autorité.
Définissez l'ensemble des appareils dont les VM constituent le maillage sécurisé SDV d'un véhicule. L'OEM doit attribuer et contrôler l'accès. Le personnel qui remplace les pièces dispose de cette autorité.
Les sections suivantes décrivent en détail l'appartenance des appareils au réseau maillé et la confiance des appareils.
Fichier uds_pubs
Les appareils sont identifiés de manière univoque par leurs clés publiques respectives UDS (Unique Device Secret).
Lorsqu'une VM Android SDV rejoint le maillage sécurisé SDV, nous disons conceptuellement que l'appareil sur lequel cette VM s'exécute a rejoint le maillage sécurisé SDV.
Le fichier uds_pubs contient les clés publiques UDS de tous les appareils éligibles pour rejoindre le réseau maillé sécurisé SDV. Ce fichier est créé dans le flux de provisionnement d'usine et mis à jour dans le flux de remplacement des pièces.
Ce fichier se trouve dans la partition vvmtruststore.
L'inclusion dans cette liste n'implique pas la confiance. Pour qu'un appareil puisse rejoindre le maillage sécurisé SDV, deux conditions doivent être remplies :
- La ou les clés publiques UDS doivent être au format
uds_pubs. - L'appareil doit être approuvé.
Méthodes de confiance de l'appareil
Pour qu'une VM Android SDV fasse confiance à un appareil sur lequel une VM Android SDV homologue est en cours d'exécution, il existe deux méthodes :
- L'appareil est doté de certificats UDS. (méthode recommandée)
- Les appareils sont liés de manière permanente les uns aux autres lors du flux de provisionnement en usine. Cela est exprimé par le VVMFactoryTrust. Il s'agit de la méthode alternative que les OEM peuvent utiliser lorsqu'il n'est pas techniquement possible de fournir des certificats UDS aux appareils sur (ou avant) la chaîne de montage du véhicule.
Certificats UDS
La VM SDV Android de l'homologue peut présenter un certificat UDS pour sa clé publique UDS.
La clé publique de l'autorité de provisionnement racine UDS, qui sert d'ancre de confiance ultime pour l'authentification des appareils, est définie dans le fichier vvmconfig.
Les certificats UDS de la VM sont stockés dans le fichier uds_certs de la partition vvmtruststore.
La prise en charge de cette méthode de confiance de l'appareil est obligatoire.
Lier des appareils avec VVMFactoryTrust
Les appareils provisionnés ensemble peuvent être liés de manière permanente, ce qui crée un groupe de confiance qui ne dépend pas des certificats UDS. Vous n'avez ainsi plus besoin de l'infrastructure à clé publique associée pour générer ces certificats. Cette confiance inhérente est spécifique à ce groupe. Par conséquent, si un appareil de ce groupe lié est remplacé, la confiance établie pour l'ensemble du groupe est révoquée.
Cette liaison permanente est réalisée avec VVMFactoryTrust, qui est un hachage du fichier uds_pubs stocké dans la mémoire programmable une seule fois (OTP).
Plus précisément, il s'agit d'une valeur de 32 octets stockant le SHA256 de uds_pubs tel qu'il était lors du provisionnement. Cette valeur est transmise à Android SDV en tant que paramètre de noyau. Si le VVMFactoryTrust stocké correspond au hachage de uds_pubs, les appareils identifiés par ces clés publiques UDS sont approuvés.
Pour s'assurer que les personnes autorisées à effectuer uniquement des remplacements de pièces ne sont pas non plus autorisées à attribuer la confiance de l'appareil, elles ne doivent recevoir que des appareils dotés d'un VVMFactoryTrust qui ne peut pas être écrit. Sans cette précaution, un technicien d'atelier pourrait mélanger des appareils authentiques et non authentiques lors d'un remplacement complet des appareils d'un véhicule.
La prise en charge de cette méthode de confiance matérielle est facultative et ne doit être implémentée que si le provisionnement des certificats UDS sur (ou avant) la chaîne de montage du véhicule n'est pas possible.