1. 引言 (Introduction)

TLS 知识证明 (TLS Proof of Knowledge, TLS-POK) 面向没有用户界面或用户界面受限的自举设备. 设备可能需要网络访问来获取凭据, 但又需要凭据才能接入基于 IEEE 802.1X / EAP 的网络, 因而形成自举循环.

如果设备拥有 public/private key pair, 且其 public key 可通过带外 (out-of-band) 方式可信获得, 设备即可向 TLS 服务器或 EAP 服务器进行认证. Device Provisioning Profile (DPP), 也称为 Wi-Fi Easy Connect, 覆盖 Wi-Fi 入网, 但不覆盖有线网络访问, 也未定义如何在 TLS 中使用 DPP key pair. TLS-POK 填补了这一空白.

TLS-POK 不应该用于无线网络的自举, 应该用于有线网络的自举.

1.1. 术语 (Terminology)

BSK 是 Bootstrap Key, 即适合 ECDSA 的椭圆曲线 public/private key pair. EPSK 表示 External Pre-Shared Key. TEAP 是 Tunnel Extensible Authentication Protocol. NAI 是 Network Access Identifier.

1.2. 自举概述 (Bootstrapping Overview)

BSK private key 仅设备知道. BSK public key 由设备所有者知道, 并配置到 TLS 服务器上. 服务器证明它知道 public key, 设备证明它知道 private key. 在 EAP 部署中, EAP 服务器应该为设备配置后续 EAP 认证使用的凭据.

1.3. EAP 网络访问 (EAP Network Access)

该自举交换可为设备提供足够的连接能力, 以便使用 TEAP 或其他注册机制获取后续 EAP 认证所需的凭据.

1.4. 支持的 EAP 方法 (Supported EAP Methods)

本文假定 TEAP 是受支持的 EAP 方法, 因为 TEAP 支持证书配置. 未来 EAP 方法若支持证书配置, 也可能使用 TLS-POK, 但相关定义不在本文范围内.