Gerätezertifikate

Lizenzierte Geräte melden sich mit einem X.509-Client-Zertifikat statt mit einem Passwort an. Hermetry betreibt dafür eine eigene Zertifizierungsstelle (CA) für Geräte. Diese Seite erklärt, was Sie als Kunde sehen und tun. Der Aufbau der CA ist unter Die Geräte-Zertifizierungsstelle beschrieben.

So funktioniert es

• Das Gerät erzeugt sein eigenes Schlüsselpaar. Der private Schlüssel verlässt das Gerät niemals.
• Das Gerät sendet eine Zertifikatsignierungsanforderung (CSR) über v1/csr an Hermetry und erhält sein Zertifikat über v1/cert.
• Der Common Name (CN) des Zertifikats ist die Geräteseriennummer.
• Bei jeder Anmeldung prüft Hermetry, ob das Zertifikat auf die Geräte-CA zurückführbar ist, nicht widerrufen und nicht abgelaufen ist und ob CN = Seriennummer = Client-ID gilt.

Die Root-Schlüssel der CA werden offline aufbewahrt. Online-Signierschlüssel sind versiegelt und werden von einem isolierten Prozess verwahrt. Hermetry zeigt oder exportiert niemals einen privaten CA-Schlüssel.

Gültigkeitsdauer des Zertifikats

Element	Wert
Gültigkeitsdauer	Standardmäßig 365 Tage (30 bis 825, im Profil des Geräts festgelegt)
Erneuerung	Beginnt spätestens 30 Tage vor Ablauf. Die Cloud kann ein Gerät auch mit dem Befehl cert.renew zur Erneuerung auffordern.
Schlüsseltyp	ECDSA P-256 für aktuelle lizenzierte Geräte

Ein Gerät, dessen Zertifikat abgelaufen, widerrufen oder verloren gegangen ist, durchläuft die Wiederherstellung: Es wird erneut bereitgestellt und fordert ein neues Zertifikat an. Ein Gerät, das ein neues Zertifikat anfordert, während das aktuelle noch gültig ist, benötigt Ihre Genehmigung: Sie erhalten die Meldung „Ein Gerät fordert ein neues Zertifikat an“ und genehmigen sie auf der Geräteseite, wenn Sie das Gerät zurückgesetzt oder repariert haben.

Wo Sie Zertifikate sehen

Sie benötigen die Berechtigung zum Anzeigen von Zertifikaten (standardmäßig Administratoren).

• Geräte > ⋯ > Zertifikate listet die Gerätezertifikate Ihrer Organisation mit ihrem Status auf: Aktiv, Ersetzt, Widerrufen oder Abgelaufen, sowie die Anzahl der verbleibenden Tage.
• Der Reiter Zertifikat eines MQTT-Geräts zeigt sein Zertifikat, wie es ausgestellt wurde (Erstes Zertifikat (Werk), Erneuerung, Wiederherstellung, Serverseitig erzeugter Schlüssel, Hochgeladen, Registrierung) und seine Gültigkeit.
• Unter Gerätezertifikat-Einstellungen legen Sie die Ablaufwarnung (Tage) fest (30 bis 180, standardmäßig 30): Administratoren werden über Zertifikate informiert, die innerhalb dieser Anzahl von Tagen ablaufen und noch nicht erneuert wurden.

Ein Zertifikat als Zugangsdaten eines Geräts verwenden

Lizenzierte Geräte, die Sie beanspruchen, erhalten ihre Zertifikatsdaten automatisch. Um ein anderes Gerät auf sein Zertifikat umzustellen, verwenden Sie die API: PUT …/api/iot/devices/{deviceId}/credentials mit {"type": "X509_CERTIFICATE", "certificateId": "…"}. Das Zertifikat muss aktiv sein, zu Ihrer Organisation gehören und die Geräteseriennummer als CN haben. Siehe Gerätezugangsdaten.

Ein Zertifikat widerrufen

1. Öffnen Sie das Zertifikat.
2. Wählen Sie Zertifikat widerrufen und geben Sie den Grund an: Schlüsselkompromittierung, Ersetzt, Gerät außer Betrieb oder Nicht angegeben.

„Das Gerät wird sofort getrennt und kann sich mit diesem Zertifikat nicht erneut verbinden. Dies kann nicht rückgängig gemacht werden.“ Bei seiner nächsten Anmeldung wird es abgelehnt (CONNACK 5). Widerrufe werden in der Widerrufsliste der CA veröffentlicht.

Zertifikate anderer Zertifizierungsstellen

Das Hochladen Ihrer eigenen CA für X.509-Fremdgeräte ist nicht verfügbar. Fremdgeräte verwenden Zugriffstoken oder MQTT Basic.