Provisioning & Device Identity (WIP)¶

Mỗi thiết bị cần một danh tính riêng, không giả mạo được, để cloud biết đang giao tiếp với thiết bị nào. Trang này mô tả cách tạo, lưu và dùng danh tính đó, từ dây chuyền sản xuất đến lúc thiết bị kết nối lần đầu.

Danh tính thiết bị¶

TODO

Vì sao không dùng mật khẩu chung hay API key chung
X.509 client certificate cho từng thiết bị, CN/SAN chứa device ID
PKI cho IoT: root CA, intermediate CA, vòng đời chứng chỉ

Lưu khóa an toàn¶

TODO

Secure element (ví dụ ATECC608, SE050) qua I2C, PKCS#11
TPM 2.0 trên gateway, tpm2-tools, tpm2-pkcs11
TEE (OP-TEE) và lưu khóa trong eFuse / OTP, xem Secure boot và TrustZone

Quy trình sản xuất¶

TODO

Sinh khóa trong thiết bị, ký CSR tại trạm sản xuất
Chứng chỉ sẵn trong secure element từ nhà cung cấp

Onboarding¶

TODO

Just-in-time registration, fleet provisioning trên cloud
Zero-touch provisioning, FIDO Device Onboard (FDO)
Chuyển quyền sở hữu thiết bị

Vận hành¶

TODO

Xoay vòng và thu hồi chứng chỉ
Xử lý thiết bị bị đánh cắp, decommission