本文字数: 1900, 阅读完需: 10 分钟

在”亚马逊云科技出海日2024”活动上,演讲者介绍了”安全合规基于亚马逊云科技搭建安全合规的MatterPKI体系”。在这个演讲中,演讲者讨论了如何基于亚马逊云科技构建安全合规的MatterPKI体系;具体解释了MatterPKI体系的三层证书架构、亚马逊云科技PrivateCA服务的优势,以及在实践过程中的最佳实践。该演讲重点阐述了亚马逊云科技如何使企业能够构建安全合规的MatterPKI体系,实现设备安全通信、降低成本和满足第三方安全审查要求。

以下是小编为您整理的本次演讲的精华，共1600字，阅读时间大约是8分钟。如果您想进一步了解演讲内容或者观看演讲全文，请观看演讲完整视频或者下面的演讲原文。

亚马逊云科技助力智能设备全价值链创新

在这场分享中,演讲者详细阐述了如何利用亚马逊云科技构建智能硬件企业的安全合规体系,确保智能设备在整个价值链上的创新。首先,演讲者简要介绍了其所在公司及旗下品牌aquara的业务情况。该公司成立于2009年,最初从事制冷节能环保行业,2014年加入小米生态链,推出一款爆品智能家居套装,当年销量就超过100万套。公司一直秉承”打造千人千面的智能家居生活方式”的理念,主要服务于ToC和ToB领域,覆盖智能楼宇、教育、养老、农业等多个垂直领域。截至去年年底,公司的产品SKU超过1000个,全球用户量超过1100万,出货量超过3600万台智能设备,业务范围覆盖北美、欧洲、俄罗斯、澳大利亚、新西兰、东南亚、韩国、日本等地区,可谓已经成为一家拥有丰富产品生态的国际化智能家居企业。

随后,演讲者重点介绍了公司如何从零开始构建Matter(前身为Project CHIP)的PK(Public Key,公钥)体系。在Matter生态中,存在着三类证书:设备证书(DAC)、中间证书和根证书。每一个Matter设备在出厂时都会内置一个设备证书,基于该设备证书生成中间证书,再由根证书对中间证书进行签名,从而形成一个三层证书链的体系结构。通过这个证书链,我们就可以逐层追溯,最终识别出该设备的制造商身份,并确认它是否通过了Matter联盟的安全认证,从而大大增强了设备的安全性,较之传统设备有了极大的提升。

Matter设备证书分为OneScopedKey和LoanScopedKey两种类型。OneScopedKey类型的证书只能用于某一特定厂商的设备,其ID是固定的;而LoanScopedKey类型的证书则可以为其他厂商颁发设备证书,具有更高的灵活性,如果公司具备这种能力,就可以为不想自建基础设施的企业提供证书服务,供其产品体系使用。

证书在智能设备的配网和局域网通信加密过程中扮演着关键作用。配网分为两个阶段:密码验证阶段和证书校验阶段。密码验证阶段主要验证设备端和控制器端的合法合规性;通过后进入证书校验阶段,如果满足证书交互要求,后续所有局域网设备的通信都将基于该证书链路进行加密,相较于其他非Matter解决方案而言,安全性得到了极大的增强。

对于Matter的PK体系架构,公司采用了经验证最佳的三层结构。第一层是根证书,位于顶层,由其签发中间证书;第二层是中间证书,公司可根据产品大类的不同定义不同的中间证书;第三层是设备证书,如DAC证书,每个证书可绑定特定产品ID等信息。这种三层架构可以很好地满足公司不同产品形态的需求。

利用Amazon Private CA服务,公司仅用两三个月时间就从零构建出了整个PK体系,避免了自建所需面临的高成本和复杂运维问题。演讲者坦言,如果自建,不仅需要维护传统CA服务器本身,还要保证其可审计性和可用性,对运维人员专业度要求极高,而且还需购买昂贵的硬件加密机。相比之下,Amazon Private CA作为一项安全的托管服务,可以随时在云上开通,支持灵活定义层次结构,提供公共API对接内部系统,允许定制化字段等,而且通过集中式管理,可极大降低证书使用成本,大规模使用时每张证书仅需分钱成本,基本可视为免费使用。

演讲者进一步分享了在使用Amazon Private CA服务的过程中总结出的一些最佳实践经验。首先,要做好账号分离,将管理证书的管理员账号和使用证书的使用者账号严格分开,避免之前曾经出现的安全隐患。其次,可以通过两个账号交叉管理根证书和中间证书,在一定程度上实现访问控制,按需付费使用,节省云服务成本。再者,整个证书体系需要接受第三方的审计和监管,公司需要对根证书的颁发记录、敏感操作等进行审计日志和告警。

此外,演讲者深有体会地分享了在亚马逊云科技的责任共担模型下,公司在构建Matter PK体系过程中获得的安全合规保障。他表示,如果完全自建,公司需要通过Matter联盟的严格安全审查,压力之大可想而知;而借助Amazon Private CA服务,特别是在硬件安全模块、密钥管理、证书生命周期管理等方面,可以与亚马逊云科技共同分担责任,极大缓解了公司的安全合规压力。正如他所说:“在这一块里面,其实对亚马逊的这个安全责任共担模型,在这个PK里面,我是一个体会是非常深刻的。”

最后,演讲者总结了采用Amazon Private CA服务构建Matter PK体系的四大优势:

首先,它完全符合Matter联盟对安全合规的严格要求,而很多国内企业在业务发展过程中,对安全准则的遵循可能不够到位,存在合规风险。

其次,服务采用按需付费的模式,对于初创企业或首次使用证书的企业而言,成本可控,使用越多成本越低,大规模使用时每张证书仅需分钱成本,基本可视为免费。

第三点,Amazon Private CA服务提供强大的安全保障,私钥的存储采用硬件安全模块,完全满足FIPS 140-2的安全标准,能够通过第三方的安全合规审查。

最后,对于研发实力较强的企业,如一些车企,也可以采用结合Amazon CloudHSM和自建软件的方式构建PK体系,获得更高的灵活性,可将私钥导出,甚至未来从云上迁移到本地也是可行的。

通过这场分享,我们可以看到,借助亚马逊云科技强大的云服务能力,智能硬件企业能够高效构建出安全合规的Matter PK体系,确保智能设备在整个价值链上的创新,助力智能家居生态的持续发展。这不仅为企业节省了大量资源,也为用户带来了更安全可靠的智能家居体验。

值得一提的是,在分享中,演讲者还举例说明了公司在使用亚马逊云科技相关服务时的具体实践。他提到,在使用Amazon Private CA服务之前,公司就已经在很多产品和云服务中使用过亚马逊云科技的私有CA服务,比如用于云资源通信加密、设备与App链路加密、Kubernetes容器安全通道、身份认证等场景。这些成功实践无疑增加了公司对亚马逊云科技服务的信心。

此外,演讲者还透露,在构建Matter PK体系时,公司一度考虑过完全自建整个系统,但最终放弃了这种方案。原因是自建需要解决诸多问题,比如维护传统CA服务器的复杂性、保证可审计性和可用性的高成本、缺乏专业运维人员、购买昂贵硬件加密机等,而借助Amazon Private CA服务则能够避免这些问题。

可以说,这些细节无疑增加了分享的说服力,让人更加相信亚马逊云科技在智能家居安全领域的助力作用。通过真实的客户案例和实践经验,我们更加清晰地看到了亚马逊云科技服务在构建安全合规体系中的价值所在。

总的来说,这场分享内容丰富、条理清晰,数据详实、案例生动,不仅系统地介绍了如何借助亚马逊云科技服务构建安全合规的Matter PK体系,还深入分享了公司的实践经验,为在场人员提供了极具参考价值的一手资料,展现了亚马逊云科技在智能家居创新等垂直领域的强大助力作用。

下面是一些演讲现场的精彩瞬间：

亚马逊云科技 领导分享了智能硬件企业在出海时必须解决的安全合规问题,这是一个枯燥但重要的话题。

截至去年年底,亚马逊云科技产品 SKU 超过 1,000 个,全球用户量超过 1,100 万,智能设备出货量超过 3,600 万,覆盖全球主要地区和国家,今年增长速度更快。

亚马逊云服务团队在短短两三个月内就从零到一构建了私有证书服务,这项服务在许多产品和云服务中都得到了应用。

亚马逊云科技 控制台提供了一个安全且灵活的托管服务,可以根据组织架构定义层次结构,并支持与内部系统和云服务集成,满足客户的个性化需求。

亚马逊云服务在责任共担模型方面提供了极大的安全保障,缓解了公司应对安全问题的压力。

对于研发实力强的公司,亚马逊提供了一年加密机服务,可灵活构建自己的证书体系,私钥可导出并迁移到本地。

亚马逊云科技为企业出海提供了安全合规的解决方案,通过构建基于MatterPKI的证书体系。这个体系包含三层证书:设备证书、中间证书和根证书,形成了一个安全可靠的证书链。企业可以利用亚马逊云科技的私有证书服务快速构建这一体系,节省了自建的高昂成本和专业人员需求。该解决方案符合Matter安全合规要求,成本可控,具有强大的安全保障,并且可根据企业需求进行定制和扩展。通过与亚马逊云科技的合作,企业能够高效构建出海所需的安全合规基础设施,满足全球化发展的需求。

亚马逊云科技的私有证书服务为企业提供了一种简单、经济、安全的方式来管理整个证书生命周期。在实践过程中,建议进行账号分离、访问控制和审计日志记录,以确保系统的安全性。通过责任共担模型,企业可以借助亚马逊云科技的安全功能,极大缓解了自建系统时需要应对的安全挑战。总的来说,与亚马逊云科技合作构建MatterPKI体系,不仅满足了出海的合规需求,而且具有成本可控、安全保障强大、灵活扩展等优势,是企业出海的理想选择。