Modul 7: Simulation der Hardware-Sicherheitsintegration

Wechseln Sie zum Root-Benutzer.

sudo su

Verwenden Sie die Handbuchseite, um den systemweiten softhsm2.conf-Speicherort zu suchen. Ein häufiger Speicherort ist /etc/softhsm/softhsm2.conf, jedoch kann der Speicherort auf einigen Systemen abweichen.

man softhsm2.conf

Erstellen Sie das Verzeichnis für die softhsm2-Konfigurationsdatei im systemweiten Speicherort. In diesem Beispiel nehmen wir an, der Speicherort lautet /etc/softhsm/softhsm2.conf.

mkdir -p /etc/softhsm

Erstellen Sie das Token-Verzeichnis im Verzeichnis /greengrass.

mkdir -p /greengrass/softhsm2/tokens

Konfigurieren Sie das Token-Verzeichnis.

echo "directories.tokendir = /greengrass/softhsm2/tokens" > /etc/softhsm/softhsm2.conf

Konfigurieren Sie eine Datei-basierte Backend.

echo "objectstore.backend = file" >> /etc/softhsm/softhsm2.conf

Initialisieren Sie das SoftHSM-Token.

softhsm2-util --init-token --slot 0 --label greengrass --so-pin 12345 --pin 1234

softhsm2-util --init-token --free --label greengrass --so-pin 12345 --pin 1234

Konvertieren Sie den privaten Schlüssel in ein Format, das vom SoftHSM-Import-Tool verwendet werden kann. Für dieses Tutorial konvertieren Sie den privaten Schlüssel, den Sie von der Option Default Group creation (Standard-Gruppenerstellung) in Modul 2 des Tutorials „Erste Schritte“ erhalten haben.

openssl pkcs8 -topk8 -inform PEM -outform PEM -nocrypt -in hash.private.key -out hash.private.pem

Importieren Sie den privaten Schlüssel in SoftHSM. Führen Sie nur einen der folgenden Befehle aus, je nach Ihrer softhsm2-Version.

Dieser Befehl identifiziert den Slot als 0 und definiert das Schlüssel-Label als iotkey. Sie brauchen diese Werte im nächsten Abschnitt.

Suchen Sie den Pfad zur SoftHSM-Anbieterbibliothek (libsofthsm2.so) auf Ihrem System:

1. Holen Sie sich die Liste der installierten Pakete für die Bibliothek.

   sudo dpkg -L libsofthsm2

   Die Datei libsofthsm2.so befindet sich im Verzeichnis softhsm.

2. Kopieren Sie den vollständigen Pfad in die Datei (z. B. /usr/lib/x86_64-linux-gnu/softhsm/libsofthsm2.so). Sie benötigen sie später.

Stoppen Sie den Greengrass-Daemon.

cd /greengrass/ggc/core/
sudo ./greengrassd stop

Öffnen Sie die Greengrass-Konfigurationsdatei. Dies ist die Datei config.json im Verzeichnis /greengrass/config.

Fügen Sie in das Objekt crypto.principals das folgende MQTT Server-Zertifikat-Objekt ein. Fügen Sie bei Bedarf ein Komma hinzu, um eine gültige JSON-Datei zu erstellen.

  "MQTTServerCertificate": {
    "privateKeyPath": "path-to-private-key"
  }

Fügen Sie in das Objekt crypto das folgende PKCS11-Objekt ein. Fügen Sie bei Bedarf ein Komma hinzu, um eine gültige JSON-Datei zu erstellen.

  "PKCS11": {
    "P11Provider": "/path-to-pkcs11-provider-so",
    "slotLabel": "crypto-token-name",
    "slotUserPin": "crypto-token-user-pin"
  }

Die Datei sollte wie folgt aussehen:

{
  "coreThing" : {
    "caPath" : "root.ca.pem",
    "certPath" : "hash.cert.pem",
    "keyPath" : "hash.private.key",
    "thingArn" : "arn:partition:iot:region:account-id:thing/core-thing-name",
    "iotHost" : "host-prefix.iot.region.amazonaws.com",
    "ggHost" : "greengrass.iot.region.amazonaws.com",
    "keepAlive" : 600
  },
  "runtime" : {
    "cgroup" : {
      "useSystemd" : "yes"
    }
  },
  "managedRespawn" : false,
  "crypto": {
    "PKCS11": {
      "P11Provider": "/path-to-pkcs11-provider-so",
      "slotLabel": "crypto-token-name",
      "slotUserPin": "crypto-token-user-pin"
    },
    "principals" : {
      "MQTTServerCertificate": {
        "privateKeyPath": "path-to-private-key"
      },
      "IoTCertificate" : {
        "privateKeyPath" : "file:///greengrass/certs/hash.private.key",
        "certificatePath" : "file:///greengrass/certs/hash.cert.pem"
      },
      "SecretsManager" : {
        "privateKeyPath" : "file:///greengrass/certs/hash.private.key"
      }
    },    
    "caPath" : "file:///greengrass/certs/root.ca.pem"
  }
}

Bearbeiten Sie das Objekt crypto:

1. Konfigurieren Sie das Objekt PKCS11.

   • Geben Sie für P11Provider den vollständigen Pfad zur Datei libsofthsm2.so ein.

   • Geben Sie unter slotLabel den Wert greengrass ein.

   • Geben Sie unter slotUserPin den Wert 1234 ein.

2. Konfigurieren Sie die privaten Schlüsselpfade im Objekt principals. Bearbeiten Sie die Eigenschaft certificatePath nicht.

   • Geben Sie für die Eigenschaften privateKeyPath den folgenden RFC 7512 PKCS#11-Pfad ein (der die Bezeichnung des Schlüssels angibt). Machen Sie dies für die Prinzipale von IoTCertificate, SecretsManager und MQTTServerCertificate.

     pkcs11:object=iotkey;type=private

3. Prüfen Sie das crypto-Objekt. Das sollte bei Ihnen ähnlich wie im folgenden Bild aussehen:

     "crypto": {
       "PKCS11": {
         "P11Provider": "/usr/lib/x86_64-linux-gnu/softhsm/libsofthsm2.so",
         "slotLabel": "greengrass",
         "slotUserPin": "1234"
       },
       "principals": {
         "MQTTServerCertificate": {
           "privateKeyPath": "pkcs11:object=iotkey;type=private"
         },
         "SecretsManager": {
           "privateKeyPath": "pkcs11:object=iotkey;type=private"
         },
         "IoTCertificate": {
           "certificatePath": "file://certs/core.crt",
           "privateKeyPath": "pkcs11:object=iotkey;type=private"
         }
       },
       "caPath": "file://certs/root.ca.pem"
     }

Entfernen Sie die Werte für caPath, certPath und keyPath aus dem coreThing-Objekt. Das sollte bei Ihnen ähnlich wie im folgenden Bild aussehen:

"coreThing" : {
  "thingArn" : "arn:partition:iot:region:account-id:thing/core-thing-name",
  "iotHost" : "host-prefix-ats.iot.region.amazonaws.com",
  "ggHost" : "greengrass-ats.iot.region.amazonaws.com",
  "keepAlive" : 600
}