인증서 네 종이 하는 일

두 가지 물음에 두 가지 인증서

기기를 집에 들일 때 묻는 것이 둘입니다. 하나는 **「너는 진짜 그 회사가 만든 그 물건이냐」**이고 다른 하나는 **「이제부터 우리 집에서 너를 무엇이라 부를까」**입니다. 물음이 다르니 인증서도 다릅니다.

앞엣것을 맡는 것이 DAC(Device Attestation Certificate)입니다. 기기마다 한 장씩 공장에서 심어 나오고, 이것을 PAI(제품군 단위 중간 CA)가 서명하고 PAI 를 다시 PAA(루트 인증기관)가 서명합니다. 세 장이 사슬을 이루므로 루트를 믿으면 끝의 기기까지 믿을 수 있습니다.

들어온 뒤에는 다른 것을 쓴다

뒤엣것을 맡는 것이 NOC(Node Operational Certificate)입니다. 커미셔닝을 마칠 때 그 Fabric 이 발급하고, 이후 집 안의 통신은 이것으로 합니다. DAC 는 들어올 때 한 번 확인하는 데 쓰고 평소 통신에는 쓰지 않습니다.

가르는 이유가 분명합니다. DAC 는 공장에서 정해져 바뀌지 않는 반면 NOC 는 Fabric 마다 새로 나고 지워집니다. 앞엣것이 신분증이라면 뒤엣것은 그 집의 출입증입니다.

어디에 무엇이 기록되나

루트를 믿을지 말지는 어떻게 정할까요. CSA 가 관리하는 공개 대장(DCL)에 유효한 루트 인증기관 목록이 실립니다. 컨트롤러는 이 목록을 참조해 기기가 내민 사슬이 믿을 만한지 판단합니다.

이 대장에는 인증서만 실리는 것이 아닙니다. 어떤 펌웨어 판이 유효한지도 등재되어 공개적으로 검증할 수 있게 되어 있습니다. 모듈 5 의 OTA 이야기가 여기 이어집니다.

⚠️ DAC 를 공장에서 어떻게 심고 개인키를 어디에 두느냐가 보안의 급소입니다. 이 이야기와 인증 절차는 코스 5 에서 다룹니다.

만드는 쪽이 미리 준비해야 하는 것은 DAC 쪽입니다. NOC 는 집에 들어간 뒤에 생깁니다.