Un dispositivo debe demostrar quién es antes de que sus datos sean aceptados, y una organización debe demostrar que es propietaria de un dispositivo antes de poder añadirlo. Esta página explica cómo Hermetry protege ambos pasos, para los dispositivos con licencia (con identidad de fábrica) y para los dispositivos que se registran por sí mismos con una clave de aprovisionamiento. La guía paso a paso está en Añadir y reclamar dispositivos y Dispositivos con licencia.
Identidad de fábrica
Cada dispositivo con licencia sale de fábrica con:
| Elemento | Protección |
|---|---|
| Un número de serie | De 6 a 32 letras, dígitos y guiones. Reservado para el dispositivo: ninguna organización puede crear un inicio de sesión MQTT con el mismo nombre. |
| Un par de claves y un certificado | La clave privada se genera en el dispositivo y nunca sale de él. El certificado procede de la CA de Hermetry. Consulte La autoridad de certificados de dispositivos. |
| Un secreto de reclamación | Un código de 20 caracteres. Hermetry almacena solo un hash del número de serie y del código; ninguna página, API o exportación muestra nunca el código ni su hash. |
No hay etiqueta de reclamación impresa. El QR y el código de reclamación solo se muestran en el panel local del dispositivo, detrás de su inicio de sesión, por lo que alguien que vea el dispositivo en una estantería no puede reclamarlo.
Antes de reclamar un dispositivo
Un dispositivo no reclamado no pertenece a ninguna organización. Puede llegar a Hermetry con su certificado, pero sus datos se descartan.
Primera conexión (bootstrap)
Un dispositivo que aún no tiene certificado se conecta con su clave de aprovisionamiento de fábrica y recibe una contraseña de arranque de un solo uso:
- 32 caracteres aleatorios, válida durante 10 minutos, vinculada al número de serie;
- utilizable por exactamente una sesión: una segunda sesión con la misma contraseña es rechazada;
- consumida cuando el dispositivo obtiene su certificado.
A continuación, el dispositivo envía su solicitud de certificado a través de la sesión de arranque y continúa con TLS mutuo. Las solicitudes de aprovisionamiento están limitadas por frecuencia por número de serie y por clave, y una clave usada con una frecuencia inusual alerta a los operadores de Hermetry.
Reclamación
Usted reclama un dispositivo con su número de serie y código de reclamación (o el QR). Varias comprobaciones protegen la reclamación:
| Comprobación | Motivo |
|---|---|
| Ventana de reclamación | El propietario del dispositivo debe pulsar Abrir ventana de reclamación en la página Cloud del dispositivo. La ventana solo la abre el propio dispositivo a través de su sesión con certificado, y permanece abierta como máximo 15 minutos. Un número de serie y un código robados no sirven mientras la ventana esté cerrada: «La ventana de reclamación del dispositivo está cerrada.» |
| Código de reclamación | Se compara en tiempo constante. Un código incorrecto se cuenta y se registra en el registro de auditoría. |
| Límites de intentos | Como máximo 5 reclamaciones fallidas por número de serie, 20 por persona y 30 por dirección por hora: «Demasiados intentos por ahora. Espere una hora y vuelva a intentarlo.» Una simulación cuenta igual que una reclamación real. |
| Propiedad | No se puede reclamar un dispositivo que pertenece a otra organización: «Este dispositivo pertenece a otra cuenta. Pida al vendedor (o al propietario anterior) que lo libere en su cuenta y vuelva a intentarlo.» |
| Límite de dispositivos | Se comprueba antes de crear nada; si no se puede leer el límite de su plan, la reclamación se rechaza. |
Una reclamación correcta, en un solo paso, crea el dispositivo con el perfil de su modelo, vincula su certificado como credencial del dispositivo, finaliza su sesión del pool y permite que se reconecte como su dispositivo en pocos segundos. Una reclamación que se detiene a mitad se resuelve automáticamente en minutos; mientras tanto, un nuevo intento responde «Este dispositivo se está añadiendo en este momento.»
Reclamar requiere el rol Admin (permiso iot_provisioning.claim).
Liberación
Para pasar un dispositivo a otro propietario, libérelo desde su pestaña Propiedad (escriba el número de serie para confirmar). La liberación devuelve el dispositivo al pool de fábrica; el siguiente propietario debe abrir una nueva ventana de reclamación. Un restablecimiento de fábrica no libera un dispositivo.
Un dispositivo también puede liberarse a sí mismo con el botón Liberar en su propia página Cloud. Entonces recibe el aviso «Un dispositivo se liberó a sí mismo de su cuenta». Si nadie de su equipo lo hizo, alguien tiene acceso al panel local del dispositivo: cambie su contraseña del panel y póngase en contacto con soporte.
Dispositivos que se registran por sí mismos
Un dispositivo sin identidad de fábrica puede registrarse por sí mismo con la clave de aprovisionamiento de un perfil de dispositivo. Dos estrategias limitan el riesgo de una clave filtrada:
| Estrategia | Protección |
|---|---|
| Solo dispositivos preaprovisionados | La clave solo funciona con dispositivos que haya creado previamente. |
| Permitir crear dispositivos nuevos | Los dispositivos nuevos se crean en cuarentena: pueden iniciar sesión, pero sus datos se descartan hasta que un administrador los active. Cuentan para su límite de dispositivos, de modo que una avalancha es visible. |
Rote una clave de aprovisionamiento que pueda haberse filtrado; la clave antigua deja de funcionar. Consulte Cuarentena para dispositivos autorregistrados y Perfiles de dispositivo.
Qué se audita
Las ventanas de reclamación abiertas y cerradas, las reclamaciones, los códigos de reclamación fallidos, las liberaciones (por usted o por el dispositivo), las activaciones de cuarentena, los cambios de clave de aprovisionamiento y los eventos de certificados constan todos en el registro de auditoría. Consulte Qué se audita.
Recomendaciones
- Mantenga en secreto la contraseña del panel local de los dispositivos con licencia y cámbiela si es la predeterminada.
- Reclame dispositivos solo desde dentro de su organización, y libérelos antes de venderlos o devolverlos.
- Mantenga el autorregistro en Solo dispositivos preaprovisionados siempre que sea posible; si no, mantenga activa la cuarentena.
- Revise el registro de auditoría por si hay reclamaciones fallidas repetidas de sus números de serie.