firmware support

Author: Anton-Dodonov

flows/sdd-https-vpn-ciphersuite-th/01-requirements.md

@@ -1,6 +1,6 @@
 # ข้อกำหนด: sdd-https-vpn-ciphersuite-th (ชุดรหัสลับสำหรับประเทศไทย)
 
-> เวอร์ชัน: 1.1  
+> เวอร์ชัน: 1.2  
 > สถานะ: ร่าง (DRAFT)  
 > อัปเดตล่าสุด: 2026-05-11
 
@@ -29,7 +29,11 @@
    - **Operational Use:** ใช้ Hybrid Ed25519/ECDSA + ML-DSA-65 สำหรับใบรับรองทั่วไป, Control API signing และ Signed config bundles
    - **Conservative Trust Anchor:** ใช้ SLH-DSA สำหรับ Root Manifest (Offline), Firmware Signing fallback และ Disaster Recovery keys
 
-3. **ระบบสำรอง (Backup):**
+3. **การลงนามเฟิร์มแวร์ (Firmware Signing):**
+   - **Integrity Protection:** ต้องมีเครื่องมือสำหรับลงนามไฟล์เฟิร์มแวร์ (`h2_firmware`) โดยใช้ SLH-DSA เพื่อป้องกันการแก้ไขจากคอมพิวเตอร์ควอนตัม
+   - **Multi-layer Signature:** รองรับการลงนามซ้อน (Double signing) ระหว่าง Ed25519 และ ML-DSA-65 สำหรับการตรวจสอบในหลายระดับ
+
+4. **ระบบสำรอง (Backup):**
    - ต้องมี HQC (Hamming Quasi-Cyclic) เป็น Backup KEM ในกรณีที่ ML-KEM พบช่องโหว่
 
 ### สิ่งที่ควรมี (Should Have)
@@ -61,3 +65,28 @@
 - [ ] ตรวจสอบโดย: [ชื่อ]
 - [ ] อนุมัติเมื่อ: [วันที่]
 - [ ] หมายเหตุ: [ข้อเสนอแนะเพิ่มเติม]
+
+## ข้อจำกัด (Constraints)
+
+- **Performance**: ML-KEM-1024 จะไม่ถูกใช้เป็นค่าเริ่มต้นสำหรับทราฟฟิกที่ไวต่อความหน่วง (Latency-sensitive) เนื่องจากขนาดกุญแจและภาระการประมวลผล
+- **Complexity**: การจัดการใบรับรองแบบ Hybrid จะมีความซับซ้อนเพิ่มขึ้นในการจัดการ Trust Chain
+
+## คำถามที่ยังไม่มีคำตอบ (Open Questions)
+
+- [ ] การจัดการขนาด MTU ของ VPN เมื่อใช้ SLH-DSA ซึ่งมีขนาดลายเซ็นที่ใหญ่มาก
+- [ ] ความพร้อมของ Library สำหรับ ML-DSA และ SLH-DSA ในเวอร์ชัน Production
+
+## เอกสารอ้างอิง (References)
+
+- FIPS 203: ML-KEM (Module-Lattice-Based Key-Encapsulation Mechanism)
+- FIPS 204: ML-DSA (Module-Lattice-Based Digital Signature Standard)
+- FIPS 205: SLH-DSA (Stateless Hash-Based Digital Signature Standard)
+- NIST PQC Project: HQC, Falcon (ongoing research)
+
+---
+
+## การอนุมัติ (Approval)
+
+- [ ] ตรวจสอบโดย: [ชื่อ]
+- [ ] อนุมัติเมื่อ: [วันที่]
+- [ ] หมายเหตุ: [ข้อเสนอแนะเพิ่มเติม]