Bu sayfada Ethernet özellikleri için MACsec'in nasıl etkinleştirileceği açıklanmaktadır.
Farklı ECU üniteleri için araç içi bilgi-eğlence sistemi (IVI) tarafından kullanılan ethernet iletişimini doğrulamak ve şifrelemek için MACsec'i kullanın; verileri kurcalamaya, tekrar oynatmaya veya bilgilerin ifşa edilmesine karşı koruyun. Ethernet ağı için MACsec IEEE 802.11AE'yi etkinleştirerek bunu satın alın.
Genel Bakış
MACsec'i etkinleştirmek için, MACsec Anahtar Anlaşması (MKA) el sıkışmasını işlemek üzere arka plan programı olarak wpa_supplicant kullanılır. Bağlantı ilişkilendirme anahtarı (CAK) olarak adlandırılan MACsec ön paylaşımlı anahtarını güvenli bir şekilde depolamak için bir MACsec HAL tanımlanır. MACsec HAL yalnızca CAK'yi destekler. Satıcıya özel bu MACsec HAL, CAK'ı kurcalamaya karşı dayanıklı bir depolama alanında güvenli bir şekilde saklar. Anahtarın sağlanması satıcı uygulamasına bağlıdır.
MAC sn akışı
Şekil 1, ana ünitedeki MACsec akışını göstermektedir. 
MACsec'i etkinleştir
MACsec CAK anahtarıyla işlevsellik desteği sağlamak için, Ethernet için MACsec'in satıcıya özel bir MACsec HAL ile açıkça etkinleştirilmesi gerekir.
Özelliği etkinleştirmek için, wpa_supplicant_macsec ve satıcıya özel macsec-service PRODUCT_PACKAGES etkinleştirin ve wpa_supplicant_macsec için yapılandırma dosyasını etkinleştirin, init rc komut dosyasını PRODUCT_COPY_FILES başlatın.
Örneğin, bu [device-product].mk dosyası:
# MACSEC HAL
# This is a mock MACsec HAL implementation with keys embedded in it. Replace with vendor specific HAL
PRODUCT_PACKAGES += android.hardware.automotive.macsec-service
# wpa_supplicant build with MACsec support
PRODUCT_PACKAGES += wpa_supplicant_macsec
# configuration file for wpa_supplicant with MACsec
PRODUCT_COPY_FILES += \
$(LOCAL_PATH)/wpa_supplicant_macsec.conf:$(TARGET_COPY_OUT_VENDOR)/etc/wpa_supplicant_macsec.conf \
$(LOCAL_PATH)/wpa_supplicant_macsec.rc:$(TARGET_COPY_OUT_VENDOR)/etc/init/wpa_supplicant_macsec.rc
Örneğin, wpa_supplicant_macsec.conf .
# wpa_supplicant_macsec.conf
eapol_version=3
ap_scan=0
fast_reauth=1
# Example configuration for MACsec with preshared key
# mka_cak is not actual key but index for MACsec HAL to specify which key to use
# and make_cak must be either 16 digits or 32 digits depends the actually CAK key length.
network={
key_mgmt=NONE
eapol_flags=0
macsec_policy=1
macsec_replay_protect=1
macsec_replay_window=0
mka_cak=00000000000000000000000000000001
mka_ckn=31323334
mka_priority=128
}
eth0 üzerinde wpa_supplicant_macsec.conf örneği. Birden fazla ağ arayüzünün MACsec tarafından korunması gerektiğinde birden fazla hizmeti başlatabilirsiniz.
# wpa_supplicant_macsec.rc
service wpa_supplicant_macsec /vendor/bin/hw/wpa_supplicant_macsec \
-dd -i eth0 -Dmacsec_linux -c /vendor/etc/wpa_supplicant_macsec.conf
oneshot
Ethernet arayüzü hazır olduktan sonra wpa_supplicant_macsec başlatın. Sistem ethernet'i hazır değilse wpa_supplicant hemen bir hata döndürür. Yarış koşullarını önlemek amacıyla /sys//class/net/${eth_interface} için bir bekleme (varsayılan zaman aşımı beş (5) saniyedir) gerekebilir.
# init.target.rc
on late-fs
…
wait /sys/class/net/eth0
start wpa_supplicant_macsec
…
MACsec arayüzü için IP adresini yapılandırın
MACsec arayüzü IP adresinin konfigürasyonu, zigot başladıktan sonra sistem bağlantı yöneticisi tarafından yapılabilir. Bağlantı için örnek bir katman XML dosyasını burada bulabilirsiniz. MACsec arayüzünün IP adresinin zigot başlamadan önce hazır olması gerekiyorsa, sistem bağlantı yöneticisi yalnızca zigot başladıktan sonra başladığından dolayı satıcıya özel bir arka plan programının macsec0 arayüzünü dinlemesi ve bunun yerine onu yapılandırması gerekir.
# Example of com.google.android.connectivity.resources overlay config
<?xml version="1.0" encoding="utf-8"?>
<!-- Resources to configure the connectivity module based on each OEM's preference. -->
<resources xmlns:xliff="urn:oasis:names:tc:xliff:document:1.2">
<!-- Whether the internal vehicle network should remain active even when no
apps requested it. -->
<bool name="config_vehicleInternalNetworkAlwaysRequested">true</bool>
<string-array translatable="false" name="config_ethernet_interfaces">
<!-- Not metered, trusted, not vpn, vehicle, not vcn managed, restricted -->
<item>macsec0;11,14,15,27,28;ip=10.10.10.2/24 gateway=10.10.10.1 dns=4.4.4.4,8.8.8.8</item>
</string-array>
<string translatable="false" name="config_ethernet_iface_regex">macsec\\d</string>
</resources>
MACsec HAL
MACsec satıcısına özel HAL, CAK anahtarını korumak için aşağıdaki işlevleri uygulamalıdır. Anahtarla yapılan tüm şifreleme ve şifre çözme işlemleri, anahtarı wpa_supplicant maruz bırakmadan doğrudan yapılır.
/**
* MACSEC pre-shared key plugin for wpa_applicant
*
* The goal of this service is to provide function for using the MACSEC CAK
*
*/
@VintfStability
interface IMacsecPSKPlugin {
/**
* For xTS test only, not called in production
*
* @param keyId is key id to add
* @param CAK, CAK key to set
* @param CKN, CKN to set
*
* @return ICV.
*/
void addTestKey(in byte[] keyId, in byte[] CAK, in byte[] CKN);
/**
* Use ICV key do AES CMAC same as ieee802_1x_icv_aes_cmac in wpa_supplicant
*
* @param keyId is key id to be used for AES CMAC
* @param data
*
* @return ICV.
*/
byte[] calcICV(in byte[] keyId, in byte[] data);
/**
* KDF with CAK key to generate SAK key same as ieee802_1x_sak_aes_cmac in wpa_supplicant
*
* @param keyId is key id to be used for KDF
* @param seed is key seed (random number)
* @param sakLength generated SAK length (16 or 32)
*
* @return SAK key.
*/
byte[] generateSAK(in byte[] keyId, in byte[] data, in int sakLength);
/**
* Encrypt using KEK key, this is same as aes_wrap with kek.key in wpa_supplicant
* which used to wrap a SAK key
*
* @param keyId is key id to be used for encryption
* @param sak is SAK key (16 or 32 bytes) to be wrapped.
*
* @return wrapped data using KEK key.
*/
byte[] wrapSAK(in byte[] keyId, in byte[] sak);
/**
* Decrypt using KEK key, this is same as aes_unwrap with kek.key in wpa_supplicant
* which used to unwrap a SAK key
*
* @param keyId is key id to be used for decryption
* @param sak is wrapped SAK key.
*
* @return unwrapped data using KEK key.
*/
byte[] unwrapSAK(in byte[] keyId, in byte[] sak);
}
Referans uygulaması
hardware/interfaces/macsec/aidl/default dosyasında, HAL'nin içine gömülü anahtarlarla yazılım uygulamasını sağlayan bir referans uygulaması sağlanmıştır. Bu uygulama, anahtarlar kurcalamaya karşı korumalı depolamayla desteklenmediğinden HAL'ye yalnızca işlevsel bir referans sağlar.
MACsec HAL'yi test edin
hardware/interfaces/automotive/macsec/aidl/vts/functional bir MACsec HAL testi sağlanır.
Testi çalıştırmak için:
$ atest VtsHalMacsecPskPluginV1Test
Bu, HAL'ye bir test anahtarı eklemek ve calcIcv , generateSak , wrapSak ve unwrapSak için beklenen değerlere göre doğrulama yapmak için addTestKey -- öğesini çağırır.
Entegrasyon testleri amacıyla MACsec'in çalıştığını doğrulamak için MACsec arayüzündeki iki makine arasında ping işlemi yapın:
# ping -I macsec0 10.10.10.1
Mürekkep balığını ana bilgisayarla test etmek için, MACsec için gereken LLDP çerçevelerinin geçişine izin vermek amacıyla ana bilgisayarda echo 8 > /sys/devices/virtual/net/cvd-ebr/bridge/group_fwd_mask gereklidir.