Módulo 7: Simulación de la integración de seguridad del hardware

Cambie al usuario raíz.

sudo su

Utilice la página del manual para encontrar la ubicación softhsm2.conf en el sistema. Una ubicación común es /etc/softhsm/softhsm2.conf, pero la ubicación puede ser diferente en algunos sistemas.

man softhsm2.conf

Cree el directorio para el archivo de configuración softhsm2 en la ubicación del sistema. En este ejemplo, supondremos que la ubicación es /etc/softhsm/softhsm2.conf.

mkdir -p /etc/softhsm

Cree el directorio del token en el directorio /greengrass.

mkdir -p /greengrass/softhsm2/tokens

Configure el directorio del token.

echo "directories.tokendir = /greengrass/softhsm2/tokens" > /etc/softhsm/softhsm2.conf

Configure un backend basado en archivos.

echo "objectstore.backend = file" >> /etc/softhsm/softhsm2.conf

Inicializar el token de SoftHSM.

softhsm2-util --init-token --slot 0 --label greengrass --so-pin 12345 --pin 1234

softhsm2-util --init-token --free --label greengrass --so-pin 12345 --pin 1234

Convierta la clave privada en un formato que se pueda utilizar por la herramienta de importación de SoftHSM. Para este tutorial, puede convertir la clave privada que se obtuvo de la opción Default Group creation (Creación predeterminada de grupo) en el Módulo 2 del tutorial de introducción.

openssl pkcs8 -topk8 -inform PEM -outform PEM -nocrypt -in hash.private.key -out hash.private.pem

Importar la clave privada a SoftHSM. Ejecute solo uno de los siguientes comandos, en función de su versión de softhsm2-util.

Este comando identifica el slot como 0 y define la etiqueta de clave como iotkey. Usará estos valores en la sección siguiente.

Busque la ruta de la biblioteca del proveedor de SoftHSM (libsofthsm2.so) en el sistema:

1. Obtenga la lista de los paquetes instalados para la biblioteca.

   sudo dpkg -L libsofthsm2

   El archivo libsofthsm2.so se encuentra en el directorio softhsm.

2. Copie la ruta completa al archivo (por ejemplo, /usr/lib/x86_64-linux-gnu/softhsm/libsofthsm2.so). Usará este valor más tarde.

Detenga el daemon de Greengrass.

cd /greengrass/ggc/core/
sudo ./greengrassd stop

Abra el archivo de configuración de Greengrass. Este es el archivo config.json del directorio /greengrass/config.

En el objeto crypto.principals, inserte el siguiente objeto de certificado de servidor MQTT. Añada una coma cuando sea necesario para crear un archivo JSON válido.

  "MQTTServerCertificate": {
    "privateKeyPath": "path-to-private-key"
  }

En el objeto crypto, inserte el siguiente objeto PKCS11. Añada una coma cuando sea necesario para crear un archivo JSON válido.

  "PKCS11": {
    "P11Provider": "/path-to-pkcs11-provider-so",
    "slotLabel": "crypto-token-name",
    "slotUserPin": "crypto-token-user-pin"
  }

El archivo debe ser similar al siguiente:

{
  "coreThing" : {
    "caPath" : "root.ca.pem",
    "certPath" : "hash.cert.pem",
    "keyPath" : "hash.private.key",
    "thingArn" : "arn:partition:iot:region:account-id:thing/core-thing-name",
    "iotHost" : "host-prefix.iot.region.amazonaws.com",
    "ggHost" : "greengrass.iot.region.amazonaws.com",
    "keepAlive" : 600
  },
  "runtime" : {
    "cgroup" : {
      "useSystemd" : "yes"
    }
  },
  "managedRespawn" : false,
  "crypto": {
    "PKCS11": {
      "P11Provider": "/path-to-pkcs11-provider-so",
      "slotLabel": "crypto-token-name",
      "slotUserPin": "crypto-token-user-pin"
    },
    "principals" : {
      "MQTTServerCertificate": {
        "privateKeyPath": "path-to-private-key"
      },
      "IoTCertificate" : {
        "privateKeyPath" : "file:///greengrass/certs/hash.private.key",
        "certificatePath" : "file:///greengrass/certs/hash.cert.pem"
      },
      "SecretsManager" : {
        "privateKeyPath" : "file:///greengrass/certs/hash.private.key"
      }
    },    
    "caPath" : "file:///greengrass/certs/root.ca.pem"
  }
}

Edite el objeto crypto:

1. Configure el objeto PKCS11.

   • En P11Provider, introduzca la ruta completa a libsofthsm2.so.

   • En slotLabel, introduzca greengrass.

   • En slotUserPin, introduzca 1234.

2. Configure las rutas de clave privada en el objeto principals. No edite la propiedad certificatePath.

   • Para las propiedades de privateKeyPath, escriba la siguiente ruta RFC 7512 PKCS#11 (que especifica la etiqueta de la clave). Haga esto para los principales de IoTCertificate, SecretsManager y MQTTServerCertificate.

     pkcs11:object=iotkey;type=private

3. Compruebe el objeto crypto. Debería parecerse a lo que sigue:

     "crypto": {
       "PKCS11": {
         "P11Provider": "/usr/lib/x86_64-linux-gnu/softhsm/libsofthsm2.so",
         "slotLabel": "greengrass",
         "slotUserPin": "1234"
       },
       "principals": {
         "MQTTServerCertificate": {
           "privateKeyPath": "pkcs11:object=iotkey;type=private"
         },
         "SecretsManager": {
           "privateKeyPath": "pkcs11:object=iotkey;type=private"
         },
         "IoTCertificate": {
           "certificatePath": "file://certs/core.crt",
           "privateKeyPath": "pkcs11:object=iotkey;type=private"
         }
       },
       "caPath": "file://certs/root.ca.pem"
     }

Elimine los valores caPath, certPath y keyPath del objeto coreThing. Debería parecerse a lo que sigue:

"coreThing" : {
  "thingArn" : "arn:partition:iot:region:account-id:thing/core-thing-name",
  "iotHost" : "host-prefix-ats.iot.region.amazonaws.com",
  "ggHost" : "greengrass-ats.iot.region.amazonaws.com",
  "keepAlive" : 600
}