אמינות של מכשיר

שלב בסיסי בתהליך האימות של מכונה וירטואלית מקבילה של Android SDV הוא לקבוע אם המכונה הווירטואלית המקבילה פועלת במכשיר מהימן. רק מכונות וירטואליות שמריצות תוכנה מאומתת במכשירים מהימנים יכולות להצטרף לרשת המאובטחת של ה-SDV. פרטים על תהליך האימות של תוכנת עמיתים זמינים בפרופיל SDV ל-DICE.

ב-Android SDV, אמינות המכשיר מוגדרת על ידי שתי רשויות נפרדות עם סמכויות שונות:

  • הקצאת מהימנות למכשיר: רק ל-OEM יש את הסמכות הזו.

  • הגדרת קבוצת המכשירים שהמכונות הווירטואליות שלהם יוצרות רשת מאובטחת של SDV ברכב. יצרן הציוד המקורי חייב להקצות את הגישה ולשלוט בה. לאנשי הצוות שמחליפים חלקים יש את הסמכות הזו.

בקטעים הבאים מוסבר בפירוט על החברות ברשת ועל האמון במכשירים.

קובץ uds_pubs

המכשירים מזוהים באופן חד-משמעי באמצעות המפתחות הציבוריים של הסוד הייחודי של המכשיר (UDS).

כשמכונה וירטואלית של Android SDV מצטרפת לרשת המאובטחת של SDV, אנחנו אומרים באופן רעיוני שהמכשיר שבו המכונה הווירטואלית פועלת הצטרף לרשת המאובטחת של SDV.

הקובץ uds_pubs מכיל את המפתחות הציבוריים של ה-UDS של כל המכשירים שיכולים להצטרף לרשת המאובטחת של ה-SDV. הקובץ הזה נוצר בתהליך ההקצאה במפעל ומתעדכן בתהליך החלפת החלקים. הקובץ הזה נמצא במחיצה vvmtruststore.

הכללה ברשימה הזו לא מעידה על מהימנות. כדי שמכשיר יצטרף לרשת המאובטחת של SDV, צריכים להתקיים שני תנאים:

  • המפתח הציבורי (או המפתחות הציבוריים) של UDS חייב להיות ב-uds_pubs.
  • המכשיר חייב להיות מהימן.

שיטות להגדרת אמינות של מכשירים

יש שתי שיטות שמאפשרות למכונה וירטואלית של Android SDV לתת אמון במכשיר שבו פועלת מכונה וירטואלית מקבילה של Android SDV:

  • המכשיר כולל אישורי UDS. זו השיטה המועדפת.
  • המכשירים מקושרים זה לזה באופן קבוע במהלך תהליך ההקצאה במפעל. הדבר בא לידי ביטוי ב-VVMFactoryTrust. זו השיטה החלופית שבה יצרני ציוד מקורי יכולים להשתמש כשאין אפשרות טכנית לספק אישורי UDS למכשירים בקו הייצור של הרכב (או לפניו).

אישורי UDS

ה-VM של ה-SDV ב-Android יכול להציג אישור UDS למפתח הציבורי של ה-UDS.

המפתח הציבורי של רשות הקצאת השורש של ה-UDS, שמשמשת כישות העוגן האמינה האולטימטיבית לאימות המכשיר, מוגדר בקובץ vvmconfig.

אישורי ה-UDS של המכונה הווירטואלית מאוחסנים בקובץ uds_certs במחיצה vvmtruststore.

חובה לתמוך בשיטה הזו לאימות המכשיר.

קישור מכשירים באמצעות VVMFactoryTrust

מכשירים שהוקצו יחד יכולים להיות מקושרים באופן קבוע, וכך ליצור קבוצה מהימנה שלא מסתמכת על אישורי UDS. כך לא צריך ליצור את האישורים האלה בתשתית המפתח הציבורי המשויכת. האמון המובנה הזה הוא ספציפי לקבוצה הזו. לכן, אם מחליפים מכשיר כלשהו בקבוצה המקושרת הזו, האמון שנוצר לכל הקבוצה מבוטל.

הקישור הקבוע הזה מתבצע באמצעות VVMFactoryTrust, שהוא גיבוב (hash) של הקובץ uds_pubs שמאוחסן בזיכרון שניתן לתכנות באופן חד-פעמי (OTP).

באופן ספציפי יותר, זהו ערך של 32 בייטים שמאחסן את ה-SHA256 של uds_pubs כפי שהיה במהלך ההקצאה. הערך הזה מועבר ל-Android SDV כפרמטר ליבה. אם ה-VVMFactoryTrust שמאוחסן תואם לגיבוב של uds_pubs, המכשירים שמזוהים על ידי המפתחות הציבוריים האלה של ה-UDS נחשבים מהימנים.

כדי לוודא שמי שמורשה לבצע רק החלפת חלקים לא יקבל גם את הסמכות להקצות אמון במכשיר, הוא צריך לקבל רק מכשירים עם VVMFactoryTrust שלא ניתן לכתוב. בלי אמצעי הזהירות הזה, טכנאי במוסך עלול לערבב בין מכשירים מקוריים ולא מקוריים במהלך החלפת מכשיר ברכב.

התמיכה בשיטת האמון הזו בחומרה היא אופציונלית, וצריך להטמיע אותה רק אם אי אפשר להקצות אישורי UDS בקו ההרכבה של הרכב (או לפניו).