Die Zertifizierungsstelle für Gerätezertifikate

Lizenzierte Geräte melden sich mit X.509-Client-Zertifikaten an, die von der eigenen Zertifizierungsstelle (CA) von Hermetry ausgestellt werden. Diese Seite beschreibt, wie die CA aufgebaut ist und betrieben wird, für Sicherheitsprüfungen. Was Sie als Kunde sehen und tun (die Zertifikatsliste, Erneuern, Sperren), finden Sie unter Gerätezertifikate.

Die Hierarchie

Ebene	Gültigkeitsdauer	Wo ihr privater Schlüssel liegt
Root-CA (G1) mit einem angepinnten Ersatz-Root (G2)	20 Jahre (G1), 25 Jahre (G2)	Nur offline, auf Wechselmedien, verschlüsselt unter einem Schlüssel, der auf zwei Verwahrer aufgeteilt ist. Niemals in einer Datenbank oder einem Online-System.
Geräte-Ausstellende CA	5 Jahre, Ausstellung für höchstens 24 Monate	In der Datenbank versiegelt unter einem Wrap-Schlüssel, den nur der Signer-Prozess besitzt.
Server-Ausstellende CA	5 Jahre	Wie oben. Stellt das eigene TLS-Zertifikat des Geräte-Hosts aus.
Gerätezertifikate	Standardmäßig 365 Tage (30 bis 825, im Geräteprofil festgelegt)	Nur auf dem Gerät.

Alle Schlüssel sind für aktuell lizenzierte Geräte ECDSA P-256.

Die Root-Schlüsselzeremonie

Root-Schlüssel werden in einer protokollierten Zeremonie auf einem dedizierten Rechner erzeugt, der niemals am Netzwerk hängt, mit zwei Verwahrern und einem Zeugen. Der Schlüssel, der die Root-Schlüssel umhüllt, ist in zwei Hälften geteilt; jeder Verwahrer hält eine Hälfte, versiegelt in Umschlägen, die in Tresoren an zwei Standorten aufbewahrt werden. Keine einzelne Person und kein einzelner Tresor besitzt jemals beide Hälften. Nur öffentliches Material (Zertifikate und Sperrlisten) wird online importiert. Die Sperrliste des Root wird jährlich auf die gleiche Weise neu signiert.

Der Signer

Ein isolierter Prozess, der Signer, ist als Einziger im Besitz des Wrap-Schlüssels für die ausstellenden CAs. Er signiert ausschließlich Gerätezertifikate und Sperrlisten und sonst nichts. Das Geräte-Gateway prüft Client-Zertifikate gegen die CA-Kette und den Sperrsatz, ohne jemals einen CA-Schlüssel zu sehen.

Ausstellung eines Zertifikats

1. Das Gerät erzeugt sein eigenes Schlüsselpaar. Der private Schlüssel verlässt das Gerät niemals.
2. Das Gerät sendet eine Zertifikatsignierungsanforderung (CSR) über seine Provisionierungssitzung.
3. Der Provisionierungs-Worker prüft, wer anfragt, und übergibt die Anforderung an den Signer.
4. Der Signer stellt ein Zertifikat aus, dessen Common Name (CN) die Geräteseriennummer ist, und trägt es im Zertifikatsregister ein.

Das Register erfasst, wie jedes Zertifikat ausgestellt wurde: Erstes Zertifikat (Werk), Erneuerung, Wiederherstellung, Serverseitig erzeugter Schlüssel, Hochgeladen oder Registrierung. Bei einem serverseitig erzeugten Schlüssel wird der Schlüssel nur einmal übergeben und nie gespeichert: „Die Plattform hat den Schlüssel dieses Zertifikats erzeugt und einmalig übergeben. Erneuern Sie es, damit das Gerät einen eigenen Schlüssel erzeugt.“

Prüfungen bei jeder Verbindung

Bei jeder MQTT-Verbindung mit Zertifikat prüft das Gateway, ob:

• das Zertifikat auf eine ausstellende Geräte-CA von Hermetry zurückführt,
• es nicht gesperrt ist (das Gateway lehnt jedes Zertifikat ab, solange sein Sperrsatz nicht geladen ist),
• es nicht abgelaufen ist,
• sein Fingerabdruck mit dem aktiven X.509-Berechtigungsnachweis des Geräts übereinstimmt und CN = Seriennummer = Client-ID gilt.

Ein vorgelegtes Zertifikat entscheidet immer: Es gibt keinen Rückfall auf ein Passwort. Ein nicht vertrauenswürdiges Zertifikat beendet den TLS-Handshake.

Erneuerung

Geräte erneuern ihr Zertifikat selbst, bevor es abläuft, spätestens 30 Tage vorher. Sie können ein Gerät auch mit Zertifikat erneuern (der Befehl cert.renew) zur Erneuerung auffordern; es behält das aktuelle Zertifikat, bis das neue in Benutzung ist.

Administratoren werden über Zertifikate informiert, die innerhalb der Ablaufwarnung (Tage) (30 bis 180, Standard 30) ablaufen und noch nicht erneuert wurden, sowie über Geräte, die zur Erneuerung aufgefordert wurden und es nicht getan haben.

Wiederherstellung

Ein Gerät, das ein neues Zertifikat anfordert, während sein aktuelles noch gültig ist, könnte ein Klon sein. Hermetry stellt es nicht automatisch aus:

• Sie erhalten die Meldung „Ein Gerät fordert ein neues Zertifikat an“.
• Auf der Geräteseite widerruft Genehmigen das aktuelle Zertifikat sofort und lässt das Gerät innerhalb von 7 Tagen ein neues für den angezeigten Schlüssel erhalten. Ablehnen behält das aktuelle Zertifikat und stellt nichts aus.
• Hat das Gerät während der offenen Anforderung mit anderen Schlüsseln versucht zu verbinden, warnt die Seite: „Nur der hier angezeigte Schlüssel kann genehmigt werden.“

Genehmigen Sie nur, wenn Sie das Gerät zurückgesetzt oder repariert haben.

Sperrung

Sperren eines Zertifikats (Zertifikat sperren, mit dem Grund Schlüsselkompromittierung, Ersetzt, Gerät außer Betrieb oder Nicht angegeben):

1. markiert es im Register als gesperrt,
2. fügt seinen Fingerabdruck dem Sperrsatz des Gateways hinzu und trennt das Gerät sofort auf jedem Gateway-Knoten,
3. nimmt es in die nächste Sperrliste auf.

„Das Gerät wird sofort getrennt und kann sich mit diesem Zertifikat nicht erneut verbinden. Dies kann nicht rückgängig gemacht werden.“ Zur Bestätigung geben Sie die Seriennummer des Geräts ein.

Jede ausstellende CA veröffentlicht eine signierte Zertifikatssperrliste (CRL), die regelmäßig erneuert wird und 7 Tage gültig ist. Hermetry wird alarmiert, wenn eine Liste nicht rechtzeitig erneuert wird.

Rotation der ausstellenden CAs

Eine ausstellende CA stellt für höchstens 24 Monate aus, danach übernimmt eine neue. Die alte CA veröffentlicht weiterhin Sperrlisten, bis ihr letztes Zertifikat abgelaufen ist. Geräte vertrauen dem Root, daher erfordert eine Rotation keine Änderung auf den Geräten.

Zertifikate anderer Zertifizierungsstellen

Das Hochladen Ihrer eigenen CA für Drittanbieter-Geräte ist nicht verfügbar. Drittanbieter-Geräte verwenden Zugriffstoken oder MQTT-Benutzername und Passwort. Siehe Gerätezugangsdaten.

Audit

Sperrungen, Erneuerungsanfragen, Wiederherstellungsanfragen und Genehmigungen sowie Zertifikatsübertragungen werden im Audit-Protokoll erfasst (iot_pki.certificate.revoked, iot_pki.certificate.renewal_requested, iot_pki.recovery.requested, iot_pki.recovery.approved). Siehe Was protokolliert wird.