Geräteidentität und Sicherheit beim Beanspruchen

Ein Gerät muss sich ausweisen, bevor seine Daten angenommen werden, und eine Organisation muss nachweisen, dass sie ein Gerät besitzt, bevor sie es hinzufügen kann. Diese Seite erklärt, wie Hermetry beide Schritte absichert, und zwar für lizenzierte Geräte (mit werkseitiger Identität) sowie für Geräte, die sich mit einem Provisionierungsschlüssel selbst registrieren. Die Anleitung finden Sie unter Geräte hinzufügen und beanspruchen und Lizenzierte Geräte.

Werkseitige Identität

Jedes lizenzierte Gerät verlässt die Fabrik mit:

Element	Schutz
Eine Seriennummer	6 bis 32 Buchstaben, Ziffern und Bindestriche. Dem Gerät vorbehalten: Keine Organisation kann einen MQTT-Login mit demselben Namen anlegen.
Ein Schlüsselpaar und ein Zertifikat	Der private Schlüssel wird auf dem Gerät erzeugt und verlässt es nie. Das Zertifikat stammt von der CA von Hermetry. Siehe Die Zertifizierungsstelle für Geräte.
Ein Anspruchsgeheimnis	Ein 20-stelliger Code. Hermetry speichert nur einen Hash aus Seriennummer und Code; keine Seite, keine API und kein Export zeigt je den Code oder dessen Hash.

Es gibt kein gedrucktes Anspruchsetikett. Der QR-Code und der Code zum Beanspruchen werden nur im lokalen Bedienfeld des Geräts angezeigt, hinter dessen Anmeldung, sodass jemand, der das Gerät im Regal sieht, es nicht beanspruchen kann.

Bevor ein Gerät beansprucht wird

Ein nicht beanspruchtes Gerät gehört keiner Organisation. Es kann mit seinem Zertifikat Hermetry erreichen, seine Daten werden aber verworfen.

Erste Verbindung (Bootstrap)

Ein Gerät, das noch kein Zertifikat hat, verbindet sich mit seinem werkseitigen Provisionierungsschlüssel und erhält ein einmaliges Bootstrap-Passwort:

• 32 zufällige Zeichen, 10 Minuten gültig, an die Seriennummer gebunden;
• nur für genau eine Sitzung verwendbar: Eine zweite Sitzung mit demselben Passwort wird abgelehnt;
• wird verbraucht, sobald das Gerät sein Zertifikat hat.

Das Gerät sendet dann seine Zertifikatsanfrage über die Bootstrap-Sitzung und fährt mit gegenseitigem TLS fort. Provisionierungsanfragen sind pro Seriennummer und pro Schlüssel ratenbegrenzt, und ein Schlüssel, der ungewöhnlich oft verwendet wird, alarmiert die Betreiber von Hermetry.

Beanspruchen

Sie beanspruchen ein Gerät mit seiner Seriennummer und dem Anspruchscode (oder dem QR-Code). Mehrere Prüfungen schützen den Anspruch:

Prüfung	Warum
Anspruchsfenster	Der Eigentümer des Geräts muss auf der Cloud-Seite des Geräts Anspruchsfenster öffnen drücken. Das Fenster wird nur vom Gerät selbst über seine eigene Zertifikatsitzung geöffnet und bleibt höchstens 15 Minuten offen. Eine gestohlene Seriennummer und ein gestohlener Code nützen nichts, solange das Fenster geschlossen ist: „Das Anspruchsfenster auf dem Gerät ist geschlossen.“
Anspruchscode	Der Vergleich erfolgt in konstanter Zeit. Ein falscher Code wird gezählt und im Prüfprotokoll vermerkt.
Versuchsgrenzen	Höchstens 5 fehlgeschlagene Ansprüche pro Seriennummer, 20 pro Person und 30 pro Adresse je Stunde: „Zu viele Versuche im Moment. Warten Sie eine Stunde und versuchen Sie es dann erneut.“ Ein Probelauf zählt wie ein echter Anspruch.
Eigentum	Ein Gerät, das einer anderen Organisation gehört, kann nicht beansprucht werden: „Dieses Gerät gehört einem anderen Konto. Bitten Sie den Verkäufer (oder den vorherigen Eigentümer), es in seinem Konto freizugeben, und versuchen Sie es dann erneut.“
Geräte-Limit	Wird vor dem Anlegen von allem geprüft; kann das Limit Ihres Tarifs nicht gelesen werden, wird der Anspruch abgelehnt.

Ein erfolgreicher Anspruch legt in einem Schritt das Gerät mit dem Profil seines Modells an, bindet sein Zertifikat als Berechtigungsnachweis des Geräts, beendet seine Poolsitzung und lässt es sich innerhalb von Sekunden als Ihr Gerät neu verbinden. Ein Anspruch, der auf halbem Weg stehen bleibt, wird innerhalb von Minuten automatisch aufgelöst; bis dahin antwortet ein neuer Versuch: „Dieses Gerät wird gerade hinzugefügt.“

Zum Beanspruchen wird die Rolle Admin benötigt (Berechtigung iot_provisioning.claim).

Freigabe

Um ein Gerät an einen anderen Eigentümer weiterzugeben, geben Sie es auf dem Reiter Eigentum frei (Sie geben zur Bestätigung die Seriennummer ein). Die Freigabe gibt das Gerät an den Werkspool zurück; der nächste Eigentümer muss ein neues Anspruchsfenster öffnen. Ein Zurücksetzen auf Werkseinstellungen gibt ein Gerät nicht frei.

Ein Gerät kann sich auch selbst freigeben, über die Schaltfläche Freigeben auf seiner eigenen Cloud-Seite. Sie erhalten dann den Hinweis „Ein Gerät hat sich selbst aus Ihrem Konto freigegeben“. Hat niemand in Ihrem Team dies getan, hat jemand Zugriff auf das lokale Bedienfeld des Geräts: Ändern Sie dessen Passwort für das Bedienfeld und kontaktieren Sie den Support.

Geräte, die sich selbst registrieren

Ein Gerät ohne werkseitige Identität kann sich mit dem Provisionierungsschlüssel eines Geräteprofils selbst registrieren. Zwei Strategien begrenzen das Risiko eines durchgesickerten Schlüssels:

Strategie	Schutz
Nur vorab bereitgestellte Geräte	Der Schlüssel funktioniert nur für Geräte, die Sie zuvor angelegt haben.
Anlegen neuer Geräte erlauben	Neue Geräte werden in Quarantäne angelegt: Sie können sich anmelden, ihre Daten werden jedoch verworfen, bis ein Administrator sie aktiviert. Sie zählen zu Ihrem Geräte-Limit, sodass eine Flut sichtbar wird.

Rotieren Sie einen Provisionierungsschlüssel, der möglicherweise durchgesickert ist; der alte Schlüssel funktioniert dann nicht mehr. Siehe Quarantäne für selbst registrierte Geräte und Geräteprofile.

Was protokolliert wird

Geöffnete und geschlossene Anspruchsfenster, Ansprüche, fehlgeschlagene Anspruchscodes, Freigaben (durch Sie oder durch das Gerät), Aktivierungen aus der Quarantäne, Änderungen an Provisionierungsschlüsseln und Zertifikatsereignisse werden alle im Prüfprotokoll erfasst. Siehe Was protokolliert wird.

Empfehlungen

1. Halten Sie das Passwort für das lokale Bedienfeld lizenzierter Geräte geheim und ändern Sie das Standardpasswort.
2. Beanspruchen Sie Geräte nur innerhalb Ihrer Organisation und geben Sie sie frei, bevor Sie sie verkaufen oder zurückgeben.
3. Stellen Sie die Selbstregistrierung wo möglich auf Nur vorab bereitgestellte Geräte; andernfalls lassen Sie die Quarantäne aktiv.
4. Überwachen Sie das Prüfprotokoll auf wiederholt fehlgeschlagene Ansprüche Ihrer Seriennummern.