La forma en que se conecta un dispositivo determina el nivel de protección de sus datos y de sus comandos durante el trayecto. Hermetry cifra el tráfico de los dispositivos por defecto y trata cualquier opción más débil como una excepción que debe activar en cada perfil de dispositivo. Esta página reúne en un solo lugar las protecciones del transporte; la referencia campo por campo está en Perfiles de dispositivo (pestaña Transporte y autenticación).
Cifrado
| Vía | Predeterminado | Detalles |
|---|---|---|
| MQTT | TLS en el puerto 8883 | TLS 1.2 como mínimo, TLS 1.3 preferido. Conjuntos TLS 1.2 solo con secreto hacia adelante (sin intercambio de claves RSA, sin CBC). Consulte MQTT. |
| API HTTP de dispositivos | HTTPS | El HTTP sin cifrar solo funciona donde su instalación lo ofrezca, y en ese caso los comandos están limitados (véase más abajo). Consulte API HTTP de dispositivos. |
| LoRaWAN | Claves de sesión LoRaWAN entre el sensor y la red | El modo de conexión de cada tipo de pasarela se describe en LoRaWAN. |
| Endpoints sondeados y cámaras | Hermetry se conecta hacia afuera | Las credenciales se almacenan cifradas y nunca se vuelven a mostrar. Consulte Endpoints de protocolo. |
Excepciones que debe activar
| Ajuste del perfil | Predeterminado | Riesgo | Cuándo usarlo |
|---|---|---|---|
| MQTT sin cifrar permitido (puerto 1883) | Desactivado (Solo TLS (puerto 8883)) | Los datos y las credenciales viajan en claro. | Solo para dispositivos que no pueden usar TLS, en una red privada o VPN. Volver a Solo TLS termina de inmediato las sesiones sin cifrar. |
| Token en la URL (dispositivos que no pueden enviar cabeceras) | Desactivado | El token puede filtrarse a través de los registros e historiales de los proxies. Un perfil así es solo HTTP y sus dispositivos nunca reciben comandos. | Solo para dispositivos que no pueden definir una cabecera Authorization. |
| Comandos permitidos sin TLS | Vacío | Un comando de la lista puede leerse o reproducirse en el trayecto. | Solo comandos inofensivos como sys.info o sys.ping, como máximo 32. |
Independientemente de lo que indique el perfil:
- Los comandos solo se envían por sesiones TLS, salvo los incluidos en Comandos permitidos sin TLS. Los demás comandos esperan a una sesión TLS o a su caducidad.
- Las actualizaciones de firmware y los ajustes del dispositivo nunca se envían en claro, y un restablecimiento de fábrica nunca se envía a ningún dispositivo.
- Nunca incluya
sys.reboot,ota.checknicert.renewcomo permitidos sin TLS.
Quién puede conectarse
| Control | Efecto |
|---|---|
| Autenticación permitida | Los tipos de credencial que acepta el perfil: Token de acceso, MQTT básico (usuario y contraseña), Certificado X.509. Permita solo los que usan sus dispositivos. |
| Redes permitidas | Hasta 64 redes o direcciones individuales IPv4 o IPv6. Los dispositivos externos son rechazados (MQTT CONNACK 5, HTTP 403). Úselo para dispositivos en sedes con IP fija. |
| Estado del dispositivo | Un dispositivo deshabilitado, un dispositivo de una organización suspendida y una credencial revocada son rechazados en el inicio de sesión, y las sesiones abiertas terminan de inmediato. |
| Una credencial por dispositivo | Cada dispositivo tiene como máximo una credencial activa. Los secretos se muestran una sola vez y solo se almacena un hash. |
| Certificados | Un certificado de cliente presentado siempre decide; no hay vuelta atrás a una contraseña. Consulte La autoridad de certificados de dispositivos. |
Use certificados X.509 donde el dispositivo los admita, después MQTT básico y por último tokens de acceso. Rote los secretos cuando salga de la organización el personal que los conocía. Consulte Credenciales de dispositivo.
Límites de tasa
Los límites de tasa protegen a su organización y a la plataforma de un dispositivo averiado o secuestrado:
| Límite | Predeterminado | Al superar el límite |
|---|---|---|
| Mensajes de telemetría por dispositivo | 10 por segundo, 300 por minuto | Confirmados y descartados |
| Puntos de telemetría por dispositivo | 200 por segundo, 6.000 por minuto | Confirmados y descartados |
| Actualizaciones de atributos por dispositivo | 5 por segundo, 60 por minuto | Confirmados y descartados |
| Tamaño del mensaje | 64 KiB, como máximo 1.000 puntos clave-valor | Descartado completo |
| Organización completa | Según su plan | Confirmados y descartados; HTTP 429 |
Un dispositivo que sigue superando su límite (más de tres veces su cupo por minuto descartado dentro de un minuto) ve cerrada su sesión. Los propietarios y administradores reciben un aviso por dispositivo como máximo cada hora. Los valores por dispositivo se definen en Límites del perfil; las tasas de la organización están en Planes y el complemento IoT.
Direcciones de dispositivo
Hermetry registra la dirección desde la que se conecta un dispositivo, para mostrarla en el dispositivo y para apoyar las investigaciones. Las direcciones de dispositivo se conservan 30 días en el registro de conexiones y nunca forman parte de una exportación.
Lista de verificación de endurecimiento para un perfil
- MQTT sin cifrar: Solo TLS (puerto 8883).
- Token en la URL: desactivado.
- Comandos permitidos sin TLS: vacío.
- Autenticación permitida: solo el tipo que usen sus dispositivos; X.509 para los dispositivos con licencia.
- Redes permitidas: la dirección pública o el rango de la sede, cuando sea fija.
- Límites: bájelos a lo que el dispositivo envía realmente, para que un fallo se detecte rápido.
- Revise el registro de auditoría por si hay inicios de sesión de dispositivos bloqueados (por ejemplo
iot_gateway.auth_blocked).