이 페이지에서는 이더넷 기능을 위한 MACsec을 사용 설정하는 방법을 설명합니다.
MACsec을 사용하여 다양한 ECU의 차량용 인포테인먼트(IVI)에서 사용되는 이더넷 통신을 인증하고 암호화하므로 데이터 조작이나 재생, 정보 공개를 방지할 수 있습니다. 이더넷 네트워크용 MACsec IEEE 802.11AE를 사용 설정하면 됩니다.
개요
MACsec을 사용 설정하기 위해 wpa_supplicant
가 MACsec Key Agreement(MKA) 핸드셰이크를 처리하는 데 데몬으로 사용됩니다. MACsec HAL은 Connectivity Association Key(CAK)라고 하는 MACsec 사전 공유 키를 안전하게 저장하기 위해 정의됩니다. MACsec HAL은 CAK만 지원합니다. 이 공급업체별 MACsec HAL은 조작 방지 저장소에 CAK를 안전하게 저장합니다. 키 프로비저닝은 공급업체 구현에 따라 다릅니다.
MACsec 흐름
그림 1은 헤드 단위의 MACsec 흐름을 보여줍니다.
![](https://source.android.com/static/docs/automotive/images/macsec-01.png?authuser=0&hl=ko)
MACsec 사용 설정
MACsec CAK 키를 사용하여 기능을 지원하려면 공급업체별 MACsec HAL로 이더넷용 MACsec을 명시적으로 사용 설정해야 합니다.
이 기능을 사용 설정하려면 wpa_supplicant_macsec
과 PRODUCT_PACKAGES
의 공급업체별 macsec-service
, PRODUCT_COPY_FILES
에 대한 wpa_supplicant_macsec
, init rc
스크립트 구성 파일을 사용 설정합니다.
예를 들어 이 [device-product].mk
파일은 다음과 같습니다.
# MACSEC HAL # This is a mock MACsec HAL implementation with keys embedded in it. Replace with vendor specific HAL PRODUCT_PACKAGES += android.hardware.automotive.macsec-service # wpa_supplicant build with MACsec support PRODUCT_PACKAGES += wpa_supplicant_macsec # configuration file for wpa_supplicant with MACsec PRODUCT_COPY_FILES += \ $(LOCAL_PATH)/wpa_supplicant_macsec.conf:$(TARGET_COPY_OUT_VENDOR)/etc/wpa_supplicant_macsec.conf \ $(LOCAL_PATH)/wpa_supplicant_macsec.rc:$(TARGET_COPY_OUT_VENDOR)/etc/init/wpa_supplicant_macsec.rc
wpa_supplicant_macsec.conf
를 예로 들 수 있습니다.
# wpa_supplicant_macsec.conf eapol_version=3 ap_scan=0 fast_reauth=1 # Example configuration for MACsec with preshared key # mka_cak is not actual key but index for MACsec HAL to specify which key to use # and make_cak must be either 16 digits or 32 digits depends the actually CAK key length. network={ key_mgmt=NONE eapol_flags=0 macsec_policy=1 macsec_replay_protect=1 macsec_replay_window=0 mka_cak=00000000000000000000000000000001 mka_ckn=31323334 mka_priority=128 }
eth0
의 wpa_supplicant_macsec.conf
샘플. 여러 네트워크 인터페이스를 MACsec으로 보호해야 하면 여러 서비스를 시작하며 됩니다.
# wpa_supplicant_macsec.rc service wpa_supplicant_macsec /vendor/bin/hw/wpa_supplicant_macsec \ -dd -i eth0 -Dmacsec_linux -c /vendor/etc/wpa_supplicant_macsec.conf oneshot
이더넷 인터페이스가 준비되면 wpa_supplicant_macsec
을 시작합니다. 시스템 이더넷이 준비되지 않은 경우 wpa_supplicant
는 즉시 오류를 반환합니다.
경합 상태를 피하려면 /sys//class/net/${eth_interface}
를 기다려야 할 수 있습니다(기본 제한 시간 5초).
# init.target.rc on late-fs … wait /sys/class/net/eth0 start wpa_supplicant_macsec …
MACsec 인터페이스의 IP 주소 구성
MACsec 인터페이스 IP 주소는 zygote가 시작되면 시스템 연결 관리자에서 구성할 수 있습니다. 다음은 연결을 위한 오버레이 XML 파일을 보여주는 예입니다. MACsec 인터페이스 IP 주소가 zygote가 시작되기 전에 준비되어야 하면 공급업체별 데몬이 macsec0 인터페이스를 수신 대기하고 대신 구성해야 합니다. zygote가 시작된 후에만 시스템 연결 관리자가 시작되기 때문입니다.
# Example of com.google.android.connectivity.resources overlay config <?xml version="1.0" encoding="utf-8"?> <!-- Resources to configure the connectivity module based on each OEM's preference. --> <resources xmlns:xliff="urn:oasis:names:tc:xliff:document:1.2"> <!-- Whether the internal vehicle network should remain active even when no apps requested it. --> <bool name="config_vehicleInternalNetworkAlwaysRequested">true</bool> <string-array translatable="false" name="config_ethernet_interfaces"> <!-- Not metered, trusted, not vpn, vehicle, not vcn managed, restricted --> <item>macsec0;11,14,15,27,28;ip=10.10.10.2/24 gateway=10.10.10.1 dns=4.4.4.4,8.8.8.8</item> </string-array> <string translatable="false" name="config_ethernet_iface_regex">macsec\\d</string> </resources>
MACsec HAL
MACsec 공급업체별 HAL은 다음 기능을 구현하여 CAK 키를 보호해야 합니다. 키를 사용한 모든 암호화와 복호화는 키를 wpa_supplicant
에 노출하지 않고 직접 실행됩니다.
/** * MACSEC pre-shared key plugin for wpa_applicant * * The goal of this service is to provide function for using the MACSEC CAK * */ @VintfStability interface IMacsecPSKPlugin { /** * For xTS test only, not called in production * * @param keyId is key id to add * @param CAK, CAK key to set * @param CKN, CKN to set * * @return ICV. */ void addTestKey(in byte[] keyId, in byte[] CAK, in byte[] CKN);
/** * Use ICV key do AES CMAC same as ieee802_1x_icv_aes_cmac in wpa_supplicant * * @param keyId is key id to be used for AES CMAC * @param data * * @return ICV. */ byte[] calcICV(in byte[] keyId, in byte[] data);
/** * KDF with CAK key to generate SAK key same as ieee802_1x_sak_aes_cmac in wpa_supplicant * * @param keyId is key id to be used for KDF * @param seed is key seed (random number) * @param sakLength generated SAK length (16 or 32) * * @return SAK key. */ byte[] generateSAK(in byte[] keyId, in byte[] data, in int sakLength);
/** * Encrypt using KEK key, this is same as aes_wrap with kek.key in wpa_supplicant * which used to wrap a SAK key * * @param keyId is key id to be used for encryption * @param sak is SAK key (16 or 32 bytes) to be wrapped. * * @return wrapped data using KEK key. */ byte[] wrapSAK(in byte[] keyId, in byte[] sak);
/** * Decrypt using KEK key, this is same as aes_unwrap with kek.key in wpa_supplicant * which used to unwrap a SAK key * * @param keyId is key id to be used for decryption * @param sak is wrapped SAK key. * * @return unwrapped data using KEK key. */ byte[] unwrapSAK(in byte[] keyId, in byte[] sak); }
참조 구현
참조 구현은 hardware/interfaces/macsec/aidl/default
에 제공되며 이는 내부에 삽입된 키를 사용한 HAL의 소프트웨어 구현을 제공합니다. 이 구현은 HAL에 대한 기능 참조만 제공합니다. 키가 조작 방지 저장소로 지원되지 않기 때문입니다.
MACsec HAL 테스트
MACsec HAL 테스트는 hardware/interfaces/automotive/macsec/aidl/vts/functional
에 제공됩니다.
테스트를 실행하려면 다음을 실행하세요.
$ atest VtsHalMacsecPskPluginV1Test
이는 addTestKey
를 호출하여 테스트 키를 HAL에 삽입하고 calcIcv
, generateSak
, wrapSak
, unwrapSak
의 예상 값을 확인합니다.
MACsec이 작동하는지 확인하려면 통합 테스트의 경우 MACsec 인터페이스의 두 시스템 간에 핑합니다.
# ping -I macsec0 10.10.10.1
호스트에서 Cuttlefish를 테스트하려면 MACsec에 필요한 LLDP 프레임 패스 스루를 허용하기 위해 호스트의 echo 8 > /sys/devices/virtual/net/cvd-ebr/bridge/group_fwd_mask
가 필요합니다.