Wie ein Gerät sich verbindet, bestimmt, wie gut seine Daten und seine Befehle auf dem Weg geschützt sind. Hermetry verschlüsselt den Gerätedatenverkehr standardmäßig, und jede schwächere Option behandelt Hermetry als Ausnahme, die Sie pro Geräteprofil einschalten müssen. Diese Seite fasst die Transportschutzmaßnahmen an einer Stelle zusammen; die feldweise Referenz finden Sie unter Gerspäteprofile (Reiter Transport & Authentifizierung).
Verschlüsselung
| Pfad | Standard | Details |
|---|---|---|
| MQTT | TLS auf Port 8883 | TLS 1.2 als Minimum, TLS 1.3 bevorzugt. TLS-1.2-Suiten nur mit Forward Secrecy (kein RSA-Schlüsselaustausch, kein CBC). Siehe MQTT. |
| Geräte-HTTP-API | HTTPS | Reines HTTP ist nur dort verfügbar, wo Ihre Installation es anbietet, und dann sind Befehle eingeschränkt (siehe unten). Siehe Geräte-HTTP-API. |
| LoRaWAN | LoRaWAN-Sitzungsschlüssel zwischen Sensor und Netzwerk | Wie sich jeder Gateway-Typ verbindet, steht unter LoRaWAN. |
| Abgefragte Endpunkte und Kameras | Hermetry verbindet sich nach außen | Zugangsdaten werden verschlüsselt gespeichert und nie wieder angezeigt. Siehe Protokollendpunkte. |
Ausnahmen, die Sie einschalten müssen
| Profileinstellung | Standard | Risiko | Wann verwenden |
|---|---|---|---|
| Unverschlüsseltes MQTT erlaubt (Port 1883) | Aus (nur TLS (Port 8883)) | Daten und Zugangsdaten werden im Klartext übertragen. | Nur für Geräte, die kein TLS können, in einem privaten Netz oder VPN. Die Rückkehr zu nur TLS beendet die unverschlüsselten Sitzungen sofort. |
| Token in der URL (Geräte, die keine Header senden können) | Aus | Das Token kann über Proxy-Protokolle und den Verlauf offengelegt werden. Ein solches Profil ist nur HTTP und seine Geräte erhalten nie Befehle. | Nur für Geräte, die keinen Authorization-Header setzen können. |
| Befehle ohne TLS erlaubt | Leer | Ein aufgeführter Befehl kann auf dem Weg gelesen oder erneut abgespielt werden. | Nur harmlose Befehle wie sys.info oder sys.ping, höchstens 32. |
Unabhängig vom Profil gilt:
- Befehle werden nur über TLS-Sitzungen gesendet, mit Ausnahme der unter Befehle ohne TLS erlaubt aufgeführten. Andere Befehle warten auf eine TLS-Sitzung oder auf ihren Ablauf.
- Firmware-Updates und Geräteeinstellungen werden nie im Klartext gesendet, und ein Werksreset wird überhaupt nie an ein Gerät gesendet.
- Setzen Sie
sys.reboot,ota.checkodercert.renewniemals als erlaubt ohne TLS.
Wer sich verbinden darf
| Steuerung | Wirkung |
|---|---|
| Erlaubte Authentifizierung | Die Zugangsdatentypen, die das Profil akzeptiert: Zugriffstoken, MQTT-Basis (Benutzername und Passwort), X.509-Zertifikat. Erlauben Sie nur, was Ihre Geräte verwenden. |
| Erlaubte Netze | Bis zu 64 IPv4- oder IPv6-Netze oder einzelne Adressen. Geräte außerhalb werden abgelehnt (MQTT CONNACK 5, HTTP 403). Verwenden Sie dies für Geräte an festen Standorten. |
| Gerätestatus | Ein deaktiviertes Gerät, ein Gerät einer gesperrten Organisation und ein widerrufener Zugangsdatensatz werden bei der Anmeldung abgelehnt, und offene Sitzungen enden sofort. |
| Ein Zugangsdatensatz pro Gerät | Jedes Gerät hat höchstens einen aktiven Zugangsdatensatz. Geheimnisse werden einmal angezeigt, und nur ein Hash wird gespeichert. |
| Zertifikate | Ein vorgelegtes Client-Zertifikat entscheidet immer; es gibt keinen Rückgriff auf ein Passwort. Siehe Die Zertifizierungsstelle für Geräte. |
Verwenden Sie X.509-Zertifikate, wo das Gerät sie unterstützt, danach MQTT-Basis, dann Zugriffstoken. Rotieren Sie Geheimnisse, wenn Mitarbeiter, die sie kannten, das Unternehmen verlassen. Siehe Gerätezugangsdaten.
Ratenbegrenzungen
Ratenbegrenzungen schützen Ihre Organisation und die Plattform vor einem fehlerhaften oder gekaperten Gerät:
| Grenzwert | Standard | Bei Überschreitung |
|---|---|---|
| Telemetrienachrichten pro Gerät | 10 pro Sekunde, 300 pro Minute | Bestätigt und verworfen |
| Telemetriepunkte pro Gerät | 200 pro Sekunde, 6.000 pro Minute | Bestätigt und verworfen |
| Attributaktualisierungen pro Gerät | 5 pro Sekunde, 60 pro Minute | Bestätigt und verworfen |
| Nachrichtengröße | 64 KiB, höchstens 1.000 Schlüssel-Wert-Punkte | Vollständig verworfen |
| Gesamte Organisation | Aus Ihrem Tarif | Bestätigt und verworfen; HTTP 429 |
Ein Gerät, das wiederholt sein Limit überschreitet (mehr als dreimal sein Minutenkontingent innerhalb einer Minute verworfen), wird in seiner Sitzung geschlossen. Eigentümer und Administratoren erhalten pro Gerät höchstens eine Benachrichtigung pro Stunde. Die Werte pro Gerät werden unter Limits des Profils festgelegt; die Raten der Organisation stehen unter Tarife und das IoT-Add-on.
Geräteadressen
Hermetry speichert die Adresse, von der sich ein Gerät verbindet, um sie am Gerät anzuzeigen und Untersuchungen zu unterstützen. Geräteadressen werden 30 Tage im Verbindungsprotokoll aufbewahrt und sind nie Teil eines Exports.
Härtungs-Checkliste für ein Profil
- Unverschlüsseltes MQTT: nur TLS (Port 8883).
- Token in der URL: aus.
- Befehle ohne TLS erlaubt: leer.
- Erlaubte Authentifizierung: nur der Typ, den Ihre Geräte verwenden; X.509 für lizenzierte Geräte.
- Erlaubte Netze: die öffentliche Adresse oder der Bereich des Standorts, sofern fest.
- Limits: auf das senken, was das Gerät tatsächlich sendet, damit ein Fehler schnell sichtbar wird.
- Beobachten Sie das Audit-Protokoll auf blockierte Geräteanmeldungen (zum Beispiel
iot_gateway.auth_blocked).