Módulo 7: Simular a integração de segurança de hardware

Mude para o usuário raiz.

sudo su

Use a página do manual para encontrar o softhsm2.conf no âmbito do sistema local. Um local comum é /etc/softhsm/softhsm2.conf, mas a localização pode ser diferente em alguns sistemas.

man softhsm2.conf

Crie o diretório para o arquivo de configuração softhsm2 no âmbito do sistema local. Neste exemplo, supomos que o local é /etc/softhsm/softhsm2.conf.

mkdir -p /etc/softhsm

Crie o diretório do token no diretório /greengrass.

mkdir -p /greengrass/softhsm2/tokens

Configure o diretório do token.

echo "directories.tokendir = /greengrass/softhsm2/tokens" > /etc/softhsm/softhsm2.conf

Configure um back-end baseado em arquivo.

echo "objectstore.backend = file" >> /etc/softhsm/softhsm2.conf

Inicialize o token do SoftHSM.

softhsm2-util --init-token --slot 0 --label greengrass --so-pin 12345 --pin 1234

softhsm2-util --init-token --free --label greengrass --so-pin 12345 --pin 1234

Converta a chave privada em um formato que possa ser usado pela ferramenta de importação do SoftHSM. Para este tutorial, converta a chave privada obtida na opção Default Group creation (Criação de grupo padrão) no Módulo 2 do tutorial de Conceitos básicos.

openssl pkcs8 -topk8 -inform PEM -outform PEM -nocrypt -in hash.private.key -out hash.private.pem

Importar a chave privada para o SoftHSM. Execute apenas um dos seguintes comandos, dependendo da sua versão do softhsm2-util.

Esse comando identifica o slot como 0 e define o rótulo de chave como iotkey. Você usa esses valores na próxima seção.

Encontre o caminho para a biblioteca do provedor SoftHSM (libsofthsm2.so) no seu sistema:

1. Obtenha a lista de pacotes instalados para a biblioteca.

   sudo dpkg -L libsofthsm2

   O arquivo libsofthsm2.so está localizado no diretório softhsm.

2. Copiar o caminho completo para o arquivo (por exemplo, /usr/lib/x86_64-linux-gnu/softhsm/libsofthsm2.so). Você usará esse valor posteriormente.

Pare o daemon do Greengrass.

cd /greengrass/ggc/core/
sudo ./greengrassd stop

Abra o arquivo de configuração do Greengrass. Este é o arquivo config.json no diretório /greengrass/config.

No objeto crypto.principals, insira o seguinte objeto de certificado do servidor MQTT. Adicione uma vírgula onde for preciso criar um arquivo JSON válido.

  "MQTTServerCertificate": {
    "privateKeyPath": "path-to-private-key"
  }

No objeto crypto, insira o seguinte objeto de PKCS11. Adicione uma vírgula onde for preciso criar um arquivo JSON válido.

  "PKCS11": {
    "P11Provider": "/path-to-pkcs11-provider-so",
    "slotLabel": "crypto-token-name",
    "slotUserPin": "crypto-token-user-pin"
  }

O arquivo deverá ser semelhante ao seguinte:

{
  "coreThing" : {
    "caPath" : "root.ca.pem",
    "certPath" : "hash.cert.pem",
    "keyPath" : "hash.private.key",
    "thingArn" : "arn:partition:iot:region:account-id:thing/core-thing-name",
    "iotHost" : "host-prefix.iot.region.amazonaws.com",
    "ggHost" : "greengrass.iot.region.amazonaws.com",
    "keepAlive" : 600
  },
  "runtime" : {
    "cgroup" : {
      "useSystemd" : "yes"
    }
  },
  "managedRespawn" : false,
  "crypto": {
    "PKCS11": {
      "P11Provider": "/path-to-pkcs11-provider-so",
      "slotLabel": "crypto-token-name",
      "slotUserPin": "crypto-token-user-pin"
    },
    "principals" : {
      "MQTTServerCertificate": {
        "privateKeyPath": "path-to-private-key"
      },
      "IoTCertificate" : {
        "privateKeyPath" : "file:///greengrass/certs/hash.private.key",
        "certificatePath" : "file:///greengrass/certs/hash.cert.pem"
      },
      "SecretsManager" : {
        "privateKeyPath" : "file:///greengrass/certs/hash.private.key"
      }
    },    
    "caPath" : "file:///greengrass/certs/root.ca.pem"
  }
}

Edite o objeto crypto:

1. Configure o objeto PKCS11.

   • Para P11Provider, insira o caminho completo para libsofthsm2.so.

   • Em slotLabel, digite greengrass.

   • Em slotUserPin, digite 1234.

2. Configure os caminhos da chave privada no objeto principals. Não edite a propriedade certificatePath.

   • Para as propriedades privateKeyPath, insira o seguinte caminho RFC 7512 PKCS#11 (que especifica o rótulo da chave). Faça isso para as entidades principais IoTCertificate, SecretsManager, e MQTTServerCertificate.

     pkcs11:object=iotkey;type=private

3. Verifique o objeto crypto. A aparência deve ser semelhante à seguinte:

     "crypto": {
       "PKCS11": {
         "P11Provider": "/usr/lib/x86_64-linux-gnu/softhsm/libsofthsm2.so",
         "slotLabel": "greengrass",
         "slotUserPin": "1234"
       },
       "principals": {
         "MQTTServerCertificate": {
           "privateKeyPath": "pkcs11:object=iotkey;type=private"
         },
         "SecretsManager": {
           "privateKeyPath": "pkcs11:object=iotkey;type=private"
         },
         "IoTCertificate": {
           "certificatePath": "file://certs/core.crt",
           "privateKeyPath": "pkcs11:object=iotkey;type=private"
         }
       },
       "caPath": "file://certs/root.ca.pem"
     }

Remova os valores caPath, certPath e keyPath do objeto coreThing. A aparência deve ser semelhante à seguinte:

"coreThing" : {
  "thingArn" : "arn:partition:iot:region:account-id:thing/core-thing-name",
  "iotHost" : "host-prefix-ats.iot.region.amazonaws.com",
  "ggHost" : "greengrass-ats.iot.region.amazonaws.com",
  "keepAlive" : 600
}