【ROS2】高级:安全-理解安全密钥库

目标：探索位于 ROS 2 安全密钥库中的文件。

 教程级别：高级

 时间：15 分钟

 内容

•  背景

• 安全工件位置

  •  公钥材料

  •  私钥材料

  • 域治理政策

  •  安全飞地

•  参加测验！

 背景 

在继续之前，请确保您已完成设置安全教程。

sros2 包可以用来创建启用 ROS 2 安全性所需的密钥、证书和策略。然而，安全配置非常灵活。对 ROS 2 安全密钥库的基本理解将允许与现有的 PKI（公钥基础设施）集成，并根据组织政策管理敏感密钥材料。

安全工件位置

在之前的教程中启用通信安全后，让我们来看看启用安全性时创建的文件。这些文件使加密成为可能。

cxy@cxy-Ubuntu2404:~/sros2_demo$ sudo apt install tree
cxy@cxy-Ubuntu2404:~/sros2_demo$ tree
.
└── demo_keystore
    ├── enclaves
    │   ├── governance.p7s
    │   ├── governance.xml
    │   └── talker_listener
    │       ├── listener
    │       │   ├── cert.pem
    │       │   ├── governance.p7s -> ../../governance.p7s
    │       │   ├── identity_ca.cert.pem -> ../../../public/identity_ca.cert.pem
    │       │   ├── key.pem
    │       │   ├── permissions_ca.cert.pem -> ../../../public/permissions_ca.cert.pem
    │       │   ├── permissions.p7s
    │       │   └── permissions.xml
    │       └── talker
    │           ├── cert.pem
    │           ├── governance.p7s -> ../../governance.p7s
    │           ├── identity_ca.cert.pem -> ../../../public/identity_ca.cert.pem
    │           ├── key.pem
    │           ├── permissions_ca.cert.pem -> ../../../public/permissions_ca.cert.pem
    │           ├── permissions.p7s
    │           └── permissions.xml
    ├── private
    │   ├── ca.key.pem
    │   ├── identity_ca.key.pem -> ca.key.pem
    │   └── permissions_ca.key.pem -> ca.key.pem
    └── public
        ├── ca.cert.pem
        ├── identity_ca.cert.pem -> ca.cert.pem
        └── permissions_ca.cert.pem -> ca.cert.pem


8 directories, 22 files

sros2 实用程序 ( ros2 security ... ) 将文件分为公共、私有和飞地密钥材料。

ROS 使用由环境变量 ROS_SECURITY_KEYSTORE 定义的目录作为密钥库。在本教程中，我们使用目录 ~/sros2_demo/demo_keystore 。

公钥材料

您将在 ~/sros2_demo/demo_keystore/public 的公共目录中找到三个加密证书；然而，身份和权限证书实际上只是指向证书颁发机构（CA）证书的链接。

在公钥基础设施中，证书颁发机构充当信任锚：它验证参与者的身份和权限。对于 ROS，这意味着所有参与 ROS 图的节点（可能扩展到整个单机器人舰队）。通过将证书颁发机构的证书（ ca.cert.pem ）放置在机器人上的适当位置，所有 ROS 节点都可以使用相同的证书颁发机构与其他节点建立相互信任。

虽然在我们的教程中我们会即时创建证书颁发机构，但在生产系统中，这应该根据预定义的安全计划进行。通常，生产系统的证书颁发机构将离线创建，并在初始设置期间放置在机器人上。它可能是每个机器人独有的，或者在一群机器人之间共享，所有这些机器人都旨在相互信任。

DDS（以及扩展的 ROS）支持身份和权限信任链的分离，因此每个功能都有自己的证书颁发机构。在大多数情况下，ROS 系统安全计划不需要在这些职责之间进行分离，因此安全实用程序生成一个用于身份和权限的单一证书颁发机构。

使用 openssl 查看此 x509 证书并将其显示为文本：

cd ~/sros2_demo/demo_keystore/public
openssl x509 -in ca.cert.pem -text -noout

输出应类似于以下内容：