PASE 는 입장권 검사다

앞쪽 네 걸음

절차는 열 걸음 남짓인데 성격이 앞뒤로 갈립니다. 앞쪽은 모르는 기기와 말을 트고 그것이 진짜인지 보는 구간입니다.

첫째, 발견입니다. 새 기기가 자기를 알리고 그 알림에 앞에서 본 Discriminator 가 실립니다. 둘째, PASE 입니다. 셋째, 기기 정보 읽기로 어느 회사의 어떤 제품이고 무엇을 할 줄 아는지를 봅니다. 넷째, 인증서 확인으로 코스 2 의 DAC 와 PAI 를 받아 사슬을 따라 올라갑니다.

암호를 보내지 않고 아는지만 확인한다

둘째 걸음을 자세히 보겠습니다. PASE(Passcode-Authenticated Session Establishment)는 QR 코드에서 얻은 여덟 자리 숫자를 재료로 양쪽이 같은 열쇠를 만들어 내는 절차입니다.

핵심은 암호를 그대로 보내지 않는다는 것입니다. 이때 쓰는 통신은 아직 아무것도 잠겨 있지 않으므로, 암호를 실어 보내면 옆에서 듣던 쪽이 그것으로 기기에 붙을 수 있습니다. 그래서 암호를 노출하지 않고 서로 아는지만 검증하는 방식을 씁니다 — 이런 부류의 절차를 PAKE(Password-Authenticated Key Exchange)라 부르고, Matter 는 그중 SPAKE2+ 를 씁니다.

그 결과로 임시 세션 열쇠가 나오고, 이 보안 통로 위에서 셋째와 넷째 걸음이 진행됩니다.

근거는 「지식 증명」이다

여기서 성격을 짚어 두면 다음 과제가 쉬워집니다. PASE 가 확인하는 것은 **「너는 이 암호를 아느냐」**입니다. 소속이나 신원이 아니라 지식을 증명하는 것이지요. 종이에 적힌 암호를 아는 사람이면 누구나 통과합니다.

PASE 는 입장권 검사입니다. 입장권을 가진 사람이면 들여보냅니다.

커미셔닝 최초 1회에만 쓰이고, 통로도 대개 BLE 위입니다. 앞으로 계속 쓸 통로를 이렇게 둘 수는 없다는 것이 다음 과제의 출발점입니다.