Von English mit KI übersetzt ·
Drei Dinge aus 2.2.2 im Sicherheitsbereich. Firmware-Rollouts und die Gateway-API gehören zum selben Release; meine Kollegen schreiben dazu separat.Gerätezertifikate haben jetzt eigene Bildschirme: eine Zertifikatsseite für die Organisation und einen Zertifikat-Tab auf jedem Gerät. Lizenzierte Geräte melden sich mit einem X.509-Client-Zertifikat der Geräte-CA von Hermetry an. Das Gerät erzeugt sein eigenes Schlüsselpaar, und der private Schlüssel verlässt es nie; der Common Name des Zertifikats ist die Seriennummer des Geräts. Die Standardlaufzeit beträgt 365 Tage (30 bis 825, im Geräteprofil einstellbar), und Geräte erneuern das Zertifikat spätestens 30 Tage vor Ablauf. Administratoren werden über Zertifikate informiert, die bald ablaufen und nicht erneuert wurden; diese Erneuerungshinweise kommen jetzt in Ihrer Sprache an.KI-Firewall: Vom Gateway erstellte und abgelehnte Child-Geräte zählen jetzt als Signale über dieses Gateway. Die Firewall bewertet jeden Akteur anhand seines eigenen normalen Verhaltens. Ein Gateway, das plötzlich Child-Geräte erstellt oder abgelehnt bekommt, erhöht daher seinen eigenen Score, und ein Vorfall wird geöffnet, sobald der Score hoch genug ist.Eine kleinere Änderung, die ich mag: Geräte, deren Profil besagt, dass sie sich nicht anmelden, erhalten keine Zugangsberechtigung mehr, die sie nie nutzen würden. Eine Zugangsberechtigung, die niemand nutzt, kann trotzdem von jemandem gestohlen werden.Dokumentation: Gerätezertifikate, Die Geräte-Zertifizierungsstelle, Die KI-Firewall.
Three things from 2.2.2 on the security side. Firmware rollouts and the gateway API are in the same release; my colleagues are posting about those separately.
Device certificates now have screens: a Certificates page for the organisation and a Certificate tab on each device. Licensed devices log in with an X.509 client certificate from Hermetry’s device CA. The device makes its own key pair and the private key never leaves it; the certificate’s common name is the device serial. The default lifetime is 365 days (30 to 825, set on the device profile), and devices renew at the latest 30 days before expiry. Administrators are told about certificates that are close to expiry and not renewed, and those renewal notices now arrive in your language.
AI firewall: a gateway’s created and refused child devices now count as signals about that gateway. The firewall scores every actor against its own normal behaviour, so a gateway that suddenly creates or gets refused children raises its own score, and an incident opens when the score is high enough.
One smaller change I like: devices whose profile says they do not log in no longer get an access credential they would never use. A credential nobody uses is still a credential somebody could steal.
Docs: Device certificates, The device certificate authority, The AI firewall.
Von English mit KI übersetzt ·
Wir bauen eigene Platinen um einen ESP32-S3 und nutzen in einem anderen Projekt bereits gegenseitiges TLS mit unserer eigenen CA. Können wir diese CA hochladen, damit unsere Geräte ebenfalls den Zertifikatspfad verwenden?
We build our own boards around an ESP32-S3 and already do mutual TLS with our own CA on another project. Can we upload that CA so our devices use the certificate path too?
Von English mit KI übersetzt ·
Nein. Das Hochladen einer eigenen CA für X.509-Geräte von Drittanbietern ist nicht verfügbar; Drittanbieter-Geräte verwenden Zugriffstoken oder MQTT basic. Der Zertifikatspfad ist für lizenzierte Geräte vorgesehen, deren Zertifikate bei der Bereitstellung von der CA von Hermetry stammen.
No. Uploading your own CA for third-party X.509 devices isn’t available; third-party devices use access tokens or MQTT basic. The certificate path is for licensed devices, whose certificates come from Hermetry’s CA at provisioning.
Von English mit KI übersetzt ·
Wie schnell wirkt ein Widerruf in der Praxis? Wenn ich ein Zertifikat widerrufe, bleibt das Gerät dann verbunden, bis es sich neu verbindet?
How fast is revocation in practice? If I revoke a cert, does the device stay connected until it reconnects?
Von English mit KI übersetzt ·
Die Verbindung wird sofort getrennt. Zertifikat widerrufen verlangt einen Grund (Schlüsselkompromittierung, Ersetzt, Gerät außer Betrieb genommen oder Nicht angegeben) sowie die Seriennummer des Geräts zur Bestätigung. Der Fingerabdruck wird in die Widerrufsliste jedes Gateway-Knotens aufgenommen, die aktive Verbindung wird getrennt, und der nächste Anmeldeversuch erhält CONNACK 5. Außerdem wird er in die nächste CRL aufgenommen; die Liste jeder ausstellenden CA ist 7 Tage gültig.Das ist nicht rückgängig zu machen. Das Gerät benötigt ein neues Zertifikat, bevor es sich wieder verbinden kann.
It’s disconnected at once. Revoke certificate asks for a reason (Key compromise, Superseded, Device retired or Unspecified) and for the device serial as confirmation. The fingerprint goes into the revocation set of every gateway node, the live connection is dropped, and the next login attempt gets CONNACK 5. It’s also listed in the next CRL; each issuing CA’s list is valid for 7 days.
It can’t be undone. The device needs a new certificate before it connects again.
Von English mit KI übersetzt ·
Zu den Gateway-Signalen: Handelt die Firewall selbstständig am Gateway, oder markiert sie es nur? Ich möchte nicht, dass ein Fehlalarm um 3 Uhr nachts eine ganze Linie von Modbus-Geräten offline nimmt.
On the gateway signals: does the firewall act on the gateway by itself, or only flag it? I don’t want a false positive taking a whole line of Modbus children offline at 3 am.
Von English mit KI übersetzt ·
Jede Firewall-Aktion beginnt im Observe-Modus, sofern Sie nichts anderes wählen, und Aktionen auf Geräten beginnen im Suggest-Modus, sodass ein Vorschlag auf einen Administrator wartet. Das Widerrufen der Zugangsdaten eines Geräts, das Beenden seiner Verbindung und das Widerrufen seines Zertifikats sind nur im Suggest-Modus möglich: Jeden Lauf genehmigt eine Person. Das Deaktivieren eines Geräts läuft nur dann von selbst, wenn Sie diese Aktion selbst auf Auto setzen.
Every firewall action starts in Observe unless you choose otherwise, and actions on devices start in Suggest, so a proposal waits for an administrator. Revoking a device’s credential, ending its connection and revoking its certificate are Suggest-only: a person approves every run. Disabling a device runs on its own only if you set that action to Auto yourself.
- Du musst angemeldet sein, um auf dieses Thema antworten zu können.
Mitdiskutieren
Melde dich an, um Fragen zu stellen und zu beantworten, hilfreiche Beiträge mit „Gefällt mir“ zu markieren und die Antwort zu kennzeichnen, die dein Problem gelöst hat. Jeder Beitrag bringt Punkte und Stufen.