Modulo 7: Simulazione dell'integrazione di sicurezza hardware

Accedi come utente root.

sudo su

Utilizza la pagina del manuale per trovare la posizione softhsm2.conf a livello di sistema. Una posizione comune è /etc/softhsm/softhsm2.conf, ma la posizione potrebbe essere diversa su alcuni sistemi.

man softhsm2.conf

Crea la directory per il file di configurazione softhsm2 nella posizione a livello di sistema. In questo esempio si presuppone che la posizione sia /etc/softhsm/softhsm2.conf.

mkdir -p /etc/softhsm

Crea la directory del token nella directory /greengrass.

mkdir -p /greengrass/softhsm2/tokens

Configurare la directory del token.

echo "directories.tokendir = /greengrass/softhsm2/tokens" > /etc/softhsm/softhsm2.conf

Configurare un back-end basato su file.

echo "objectstore.backend = file" >> /etc/softhsm/softhsm2.conf

Inizializzare il token SoftHSM.

softhsm2-util --init-token --slot 0 --label greengrass --so-pin 12345 --pin 1234

softhsm2-util --init-token --free --label greengrass --so-pin 12345 --pin 1234

Convertire la chiave privata in un formato che possa essere utilizzato dallo strumento di importazione di SoftHSM. In questo tutorial, convertirai la chiave privata ottenuta con l'opzione Creazione gruppo predefinito del Modulo 2 del tutorial Nozioni di base.

openssl pkcs8 -topk8 -inform PEM -outform PEM -nocrypt -in hash.private.key -out hash.private.pem

Importare la chiave privata in SoftHSM. Eseguire solo uno dei seguenti comandi, a seconda della versione di softhsm2-util.

Questo comando identifica lo slot come 0 e definisce l'etichetta della chiave come iotkey. Utilizzerai questi valori nella sezione successiva.

Individuare il percorso della libreria del provider SoftHSM (libsofthsm2.so) nel sistema:

1. Ottenere l'elenco dei pacchetti installati per la libreria.

   sudo dpkg -L libsofthsm2

   Il file libsofthsm2.so è disponibile nella directory softhsm.

2. Copiare il percorso completo del file (ad esempio, /usr/lib/x86_64-linux-gnu/softhsm/libsofthsm2.so). Utilizzerai questo valore in un secondo momento.

Arrestare il daemon Greengrass.

cd /greengrass/ggc/core/
sudo ./greengrassd stop

Aprire il file di configurazione Greengrass. Si tratta del file config.json nella directory /greengrass/config.

Nell'oggetto crypto.principals, inserire il seguente oggetto del certificato del server MQTT. Aggiungere una virgola dove necessario per creare un file JSON valido.

  "MQTTServerCertificate": {
    "privateKeyPath": "path-to-private-key"
  }

Nell'oggetto crypto, inserisci il seguente oggetto PKCS11. Aggiungere una virgola dove necessario per creare un file JSON valido.

  "PKCS11": {
    "P11Provider": "/path-to-pkcs11-provider-so",
    "slotLabel": "crypto-token-name",
    "slotUserPin": "crypto-token-user-pin"
  }

Il file si presenta in maniera simile a quanto riportato di seguito:

{
  "coreThing" : {
    "caPath" : "root.ca.pem",
    "certPath" : "hash.cert.pem",
    "keyPath" : "hash.private.key",
    "thingArn" : "arn:partition:iot:region:account-id:thing/core-thing-name",
    "iotHost" : "host-prefix.iot.region.amazonaws.com",
    "ggHost" : "greengrass.iot.region.amazonaws.com",
    "keepAlive" : 600
  },
  "runtime" : {
    "cgroup" : {
      "useSystemd" : "yes"
    }
  },
  "managedRespawn" : false,
  "crypto": {
    "PKCS11": {
      "P11Provider": "/path-to-pkcs11-provider-so",
      "slotLabel": "crypto-token-name",
      "slotUserPin": "crypto-token-user-pin"
    },
    "principals" : {
      "MQTTServerCertificate": {
        "privateKeyPath": "path-to-private-key"
      },
      "IoTCertificate" : {
        "privateKeyPath" : "file:///greengrass/certs/hash.private.key",
        "certificatePath" : "file:///greengrass/certs/hash.cert.pem"
      },
      "SecretsManager" : {
        "privateKeyPath" : "file:///greengrass/certs/hash.private.key"
      }
    },    
    "caPath" : "file:///greengrass/certs/root.ca.pem"
  }
}

Modificare l'oggetto crypto:

1. Configurare l'oggetto PKCS11.

   • In P11Provider, immettere il percorso completo di libsofthsm2.so.

   • In slotLabel, immettere greengrass.

   • In slotUserPin, immettere 1234.

2. Configurare i percorsi delle chiavi private dell'oggetto principals. Non modificare la proprietà certificatePath.

   • Nelle proprietà privateKeyPath, immettere il seguente percorso PKCS#11 RFC 7512 (che specifica l'etichetta della chiave). Effettuare questa operazione per i principali IoTCertificate, SecretsManager e MQTTServerCertificate.

     pkcs11:object=iotkey;type=private

3. Controllare l'oggetto crypto. La schermata visualizzata dovrebbe risultare simile a quella nell'immagine seguente:

     "crypto": {
       "PKCS11": {
         "P11Provider": "/usr/lib/x86_64-linux-gnu/softhsm/libsofthsm2.so",
         "slotLabel": "greengrass",
         "slotUserPin": "1234"
       },
       "principals": {
         "MQTTServerCertificate": {
           "privateKeyPath": "pkcs11:object=iotkey;type=private"
         },
         "SecretsManager": {
           "privateKeyPath": "pkcs11:object=iotkey;type=private"
         },
         "IoTCertificate": {
           "certificatePath": "file://certs/core.crt",
           "privateKeyPath": "pkcs11:object=iotkey;type=private"
         }
       },
       "caPath": "file://certs/root.ca.pem"
     }

Rimuovere i valori caPath, certPath e keyPath dall'oggetto coreThing. La schermata visualizzata dovrebbe risultare simile a quella nell'immagine seguente:

"coreThing" : {
  "thingArn" : "arn:partition:iot:region:account-id:thing/core-thing-name",
  "iotHost" : "host-prefix-ats.iot.region.amazonaws.com",
  "ggHost" : "greengrass-ats.iot.region.amazonaws.com",
  "keepAlive" : 600
}