はじめに

最近、Renesas RXファミリ用 FreeRTOS-LTSサンプルプログラム (iot-reference-rx)がGitHub上に公開されました (iot-reference-rxには、FreeRTOS-v202210.01-LTSのライブラリを使用した各種デモプログラム/プロジェクトファイルが配置されています)。

renesas/iot-reference-rx

このiot-reference-rxで試すことができるデモプログラムは以下の3つです
これらのデモプログラムは複数を同時に実行することが可能なようです。

PubSub (AWS IoT Coreに簡単なMQTTメッセージを送信する)
OTA (AWS IoT Coreを使用してファームウェアアップデートを実行する)
Fleet Provisioning (共通の証明書/秘密鍵を使用してデバイス個別の証明書を取得する)

今回はiot-reference-rxを変更してデバイス個別の証明書を更新するデモを追加しました。
これを使えば有効期限が近い証明書を更新することができます。

既にAWS公式に証明書更新のためのアプローチが公開されています。
今回はこのアプローチに沿ってデモの実装を進めました。

AWS IoT を利用して IoT デバイスの証明書の更新を管理する方法

実装したデモは以下GitHubリポジトリに公開しています。

nizuki926/iot-reference-rx
Branch Name : v202210.01-lts-rx-1.1.2-update-cert

上記アプローチはスケジュールを組んで証明書の有効期限を確認しています。
今回は簡易的なデモで単純にデモ実行時に、デバイスからAWS IoT CoreにCSRリクエストを送信して、AWS Lambda上で証明書を更新して、作成された証明書をデバイスに送り返す実装になっています。

準備した環境は以下の通りです。

CK-RX65N (評価ボード)
e2 studio 2023-10 (統合開発環境)
CC-RX V3.05.00 (RXマイコン用コンパイラ)

証明書更新デモの実装

corePKCS11に更新用の証明書/鍵ペアの項目を増やす

更新された証明書および鍵ペアをデータフラッシュに格納するためcorePKCS11ライブラリに更新された証明書および鍵ペアの項目を増やします。
以下のソースコード変更に合わせてcore_pkcs11_config.hの各種設定も見直します。

rm_aws_pkcs11_pal_littlefs.c

enum eObjectHandles
{
    /* ... */
#if pkcs11configMAX_NUM_OBJECTS >= 10
    eAwsUpdateDevicePrivateKey,
#endif
#if pkcs11configMAX_NUM_OBJECTS >= 11
    eAwsUpdateDevicePublicKey,
#endif
#if pkcs11configMAX_NUM_OBJECTS >= 12
    eAwsUpdateDeviceCertificate,
#endif
};

uint8_t g_object_handle_dictionary[pkcs11configMAX_NUM_OBJECTS][pkcs11configMAX_LABEL_LENGTH + 1] =
{
    /* ... */
#if pkcs11configMAX_NUM_OBJECTS >= 10
    pkcs11configLABEL_UPDATE_DEVICE_PRIVATE_KEY_FOR_TLS,
#endif
#if pkcs11configMAX_NUM_OBJECTS >= 11
    pkcs11configLABEL_UPDATE_DEVICE_PUBLIC_KEY_FOR_TLS,
#endif
#if pkcs11configMAX_NUM_OBJECTS >= 12
    pkcs11configLABEL_UPDATE_DEVICE_CERTIFICATE_FOR_TLS,
#endif
};

またKVStoreの項目にも更新された証明書および鍵ペアの項目を追加します。
ただし、今回更新された証明書および鍵ペアはCLIで入力する必要がないため、この変更は必要ないかもしれません。

store.h

#define KVSTORE_KEYS                                       \
    {                                                      \
        [ KVS_CORE_THING_NAME ] = "thing_name",            \
        [ KVS_CORE_MQTT_ENDPOINT ] = "mqtt_endpoint",      \
        [ KVS_DEVICE_CERT_ID ] = pkcs11configLABEL_DEVICE_CERTIFICATE_FOR_TLS,                \
		[ KVS_DEVICE_PRIVKEY_ID ] = pkcs11configLABEL_DEVICE_PRIVATE_KEY_FOR_TLS,         \
		[ KVS_DEVICE_PUBKEY_ID ] = pkcs11configLABEL_DEVICE_PUBLIC_KEY_FOR_TLS,         \
		[ KVS_ROOT_CA_ID ] = "root_ca_id",         \
		[ KVS_TEMPLATE_NAME ] = "template_name",         \
		[ KVS_CLAIM_CERT_ID ] = pkcs11configLABEL_CLAIM_CERTIFICATE,         \
		[ KVS_CLAIM_PRIVKEY_ID ] = pkcs11configLABEL_CLAIM_PRIVATE_KEY,         \
		[ KVS_CODE_SIGN_CERT_ID ] = "code_sign_cert_id",         \
		[ KVS_UPDATE_DEVICE_CERT_ID ] = pkcs11configLABEL_UPDATE_DEVICE_CERTIFICATE_FOR_TLS,         \
		[ KVS_UPDATE_DEVICE_PRIVKEY_ID ] = pkcs11configLABEL_UPDATE_DEVICE_PRIVATE_KEY_FOR_TLS,         \
		[ KVS_UPDATE_DEVICE_PUBKEY_ID ] = pkcs11configLABEL_UPDATE_DEVICE_PUBLIC_KEY_FOR_TLS,         \
    }
#define CLICMDKEYS                                       \
    {                                                      \
        [ KVS_CORE_THING_NAME ] = "thingname",            \
        [ KVS_CORE_MQTT_ENDPOINT ] = "endpoint",      \
        [ KVS_DEVICE_CERT_ID ] = "cert",                \
		[ KVS_DEVICE_PRIVKEY_ID ] = "key",         \
		[ KVS_DEVICE_PUBKEY_ID ] = "pub",         \
		[ KVS_ROOT_CA_ID ] = "rootca",                \
		[ KVS_TEMPLATE_NAME ] = "template",         \
		[ KVS_CLAIM_CERT_ID ] = "claimcert",                \
		[ KVS_CLAIM_PRIVKEY_ID ] = "claimkey",         \
        [ KVS_CODE_SIGN_CERT_ID ] = "codesigncert",         \
        [ KVS_UPDATE_DEVICE_CERT_ID ] = "updatecert",         \
        [ KVS_UPDATE_DEVICE_PRIVKEY_ID ] = "updatekey",         \
        [ KVS_UPDATE_DEVICE_PUBKEY_ID ] = "updatepub",         \
    }

各デモタスクを起動するメインタスクを変更する

各デモタスクを起動するメインタスクを変更します。
iot-reference-rxでは必要に応じてFleet Provisioningデモ起動後、デバイス個別の証明書を取得してから、PubSubデモおよびOTAデモを起動します。
今回の変更では、Fleet Provisioningデモの代わりに証明書の更新デモを起動することで、デバイス個別の証明書を更新して、PubSubデモおよびOTAデモを起動するように仕様を変更しました。
PubSubデモおよびOTAデモは更新された証明書を使用してAWSに接続します。

main.c

	if(ApplicationCounter(Time2Wait))
	{
		/* Remove CLI task before going to demo. */
		/* CLI and Log tasks use common resources but are not exclusively controlled. */
		/* For this reason, the CLI task must be deleted before executing the Demo. */
		vTaskDelete(xCLIHandle);

		if( !Connect2AP())
		{
			configPRINTF( ( "Cellular init failed" ) );
		}
		else
		{

			vTaskDelay(300);

			configPRINTF( ( "Initialise the RTOS's TCP/IP stack\n" ) );

			configPRINTF( ( "---------STARTING DEMO---------\r\n" ) );

        #if (ENABLE_FLEET_PROVISIONING_DEMO == 1)
           vStartFleetProvisioningDemo();
        #elif (ENABLE_FLEET_PROVISIONING_DEMO == 2)
           vStartUpdateCertificateDemo();
        #else
           xSetMQTTAgentState( MQTT_AGENT_STATE_INITIALIZED );
        #endif

        vStartMQTTAgent (appmainMQTT_AGENT_TASK_STACK_SIZE, appmainMQTT_AGENT_TASK_PRIORITY);

        vStartSimplePubSubDemo ();

        #if (ENABLE_OTA_UPDATE_DEMO == 1)
                  vStartOtaDemo();
        #endif
		}
	}

	while( 1 )
	{
		vTaskSuspend( NULL );
	}

更新された証明書を使用するようにMQTT-Agentタスクを変更する

MQTT-Agentタスクで更新された証明書がある場合、それを使用してAWSに接続するよう仕様を変更します。
もし更新された証明書がない場合は、既存の証明書を使用してAWSに接続します。

mqtt_agent_task.c

        if ( (xPkcs11Ret == CKR_OK) && ((xClientCertificate == CK_INVALID_HANDLE) || (xPrivateKey == CK_INVALID_HANDLE)) )
        {
            LogInfo( ( "Using first device certificate and key" ) );
            xNetworkCredentials.pClientCertLabel = pkcs11configLABEL_DEVICE_CERTIFICATE_FOR_TLS;
            xNetworkCredentials.pPrivateKeyLabel = pkcs11configLABEL_DEVICE_PRIVATE_KEY_FOR_TLS;
        }
        else if ( (xPkcs11Ret == CKR_OK) && ((xClientCertificate != CK_INVALID_HANDLE) && (xPrivateKey != CK_INVALID_HANDLE)) )
        {
            LogInfo( ( "Using updated device certificate and key" ) );
            xNetworkCredentials.pClientCertLabel = pkcs11configLABEL_UPDATE_DEVICE_CERTIFICATE_FOR_TLS;
            xNetworkCredentials.pPrivateKeyLabel = pkcs11configLABEL_UPDATE_DEVICE_PRIVATE_KEY_FOR_TLS;
        }
        else
        {
            LogError( ( "Failed to get state." ) );
        }

証明書の更新デモの実装

UpdateCertOverMqttDemoExample.cに証明書の更新デモタスクを実装します。
どのように上記デモタスクを実装したかは以下の通りです。

デバイス内部で鍵ペアとCSRを生成する

今回のデモはデバイス内部で鍵ペアとCSRを作成します。
その後、CSRのみMQTTメッセージとしてAWSに送信して、AWS Lambdaで送信されたCSRから証明書を作成して、ポリシーにアタッチします。
そのため、デバイス内部で鍵ペアとCSRを作成する処理を実装します。
これらの処理はFleet Provisioningデモの関数を流用することで簡単に実装することができます。