Traducido del English por IA ·
Tres cosas de la 2.2.2 en el ámbito de seguridad. Los despliegues de firmware y la API del gateway están en la misma versión; mis compañeros publicarán sobre ellos por separado.Los certificados de dispositivo ahora tienen pantallas: una página de Certificados para la organización y una pestaña Certificado en cada dispositivo. Los dispositivos con licencia inician sesión con un certificado de cliente X.509 de la CA de dispositivos de Hermetry. El dispositivo genera su propio par de claves y la clave privada nunca sale de él; el nombre común del certificado es el número de serie del dispositivo. La duración predeterminada es de 365 días (de 30 a 825, configurable en el perfil del dispositivo), y los dispositivos renuevan el certificado como máximo 30 días antes de que expire. Se avisa a los administradores de los certificados próximos a caducar que no se han renovado, y esos avisos de renovación ahora llegan en tu idioma.Cortafuegos de IA: los dispositivos hijos creados y rechazados por un gateway ahora cuentan como señales sobre ese gateway. El cortafuegos puntúa a cada actor según su propio comportamiento normal, así que un gateway que de repente crea o ve rechazados hijos eleva su propia puntuación, y se abre un incidente cuando la puntuación es lo bastante alta.Un cambio más pequeño que me gusta: los dispositivos cuyo perfil indica que no inician sesión ya no reciben una credencial de acceso que nunca usarían. Una credencial que nadie usa sigue siendo una credencial que alguien podría robar.Documentación: Certificados de dispositivo, La autoridad de certificación de dispositivos, El cortafuegos de IA.
Three things from 2.2.2 on the security side. Firmware rollouts and the gateway API are in the same release; my colleagues are posting about those separately.
Device certificates now have screens: a Certificates page for the organisation and a Certificate tab on each device. Licensed devices log in with an X.509 client certificate from Hermetry’s device CA. The device makes its own key pair and the private key never leaves it; the certificate’s common name is the device serial. The default lifetime is 365 days (30 to 825, set on the device profile), and devices renew at the latest 30 days before expiry. Administrators are told about certificates that are close to expiry and not renewed, and those renewal notices now arrive in your language.
AI firewall: a gateway’s created and refused child devices now count as signals about that gateway. The firewall scores every actor against its own normal behaviour, so a gateway that suddenly creates or gets refused children raises its own score, and an incident opens when the score is high enough.
One smaller change I like: devices whose profile says they do not log in no longer get an access credential they would never use. A credential nobody uses is still a credential somebody could steal.
Docs: Device certificates, The device certificate authority, The AI firewall.
Traducido del English por IA ·
Diseñamos nuestras propias placas basadas en un ESP32-S3 y ya usamos TLS mutuo con nuestra propia CA en otro proyecto. ¿Podemos cargar esa CA para que nuestros dispositivos también usen la ruta de certificados?
We build our own boards around an ESP32-S3 and already do mutual TLS with our own CA on another project. Can we upload that CA so our devices use the certificate path too?
Traducido del English por IA ·
No. No está disponible la carga de su propia CA para dispositivos X.509 de terceros; los dispositivos de terceros usan tokens de acceso o MQTT basic. La vía de certificados es para dispositivos con licencia, cuyos certificados provienen de la CA de Hermetry durante el aprovisionamiento.
No. Uploading your own CA for third-party X.509 devices isn’t available; third-party devices use access tokens or MQTT basic. The certificate path is for licensed devices, whose certificates come from Hermetry’s CA at provisioning.
Traducido del English por IA ·
¿Qué tan rápida es la revocación en la práctica? Si revoco un certificado, ¿el dispositivo sigue conectado hasta que vuelva a conectarse?
How fast is revocation in practice? If I revoke a cert, does the device stay connected until it reconnects?
Traducido del English por IA ·
Se desconecta de inmediato. Revocar certificado pide un motivo (Compromiso de clave, Reemplazado, Dispositivo retirado o Sin especificar) y el número de serie del dispositivo como confirmación. La huella digital se añade al conjunto de revocación de cada nodo gateway, se cierra la conexión activa y el siguiente intento de inicio de sesión recibe CONNACK 5. También aparece en la siguiente CRL; la lista de cada CA emisora es válida durante 7 días.No se puede deshacer. El dispositivo necesita un nuevo certificado antes de volver a conectarse.
It’s disconnected at once. Revoke certificate asks for a reason (Key compromise, Superseded, Device retired or Unspecified) and for the device serial as confirmation. The fingerprint goes into the revocation set of every gateway node, the live connection is dropped, and the next login attempt gets CONNACK 5. It’s also listed in the next CRL; each issuing CA’s list is valid for 7 days.
It can’t be undone. The device needs a new certificate before it connects again.
Traducido del English por IA ·
Sobre las señales de la puerta de enlace: ¿el cortafuegos actúa por sí mismo sobre la puerta de enlace o solo la marca? No quiero que un falso positivo deje fuera de línea toda una línea de dispositivos Modbus a las 3 de la madrugada.
On the gateway signals: does the firewall act on the gateway by itself, or only flag it? I don’t want a false positive taking a whole line of Modbus children offline at 3 am.
Traducido del English por IA ·
Toda acción del firewall empieza en modo Observe, a menos que usted elija otra cosa, y las acciones sobre dispositivos empiezan en modo Suggest, por lo que una propuesta espera a un administrador. Revocar la credencial de un dispositivo, terminar su conexión y revocar su certificado solo funcionan en modo Suggest: una persona aprueba cada ejecución. Desactivar un dispositivo solo se ejecuta por sí mismo si usted configura esa acción en Auto.
Every firewall action starts in Observe unless you choose otherwise, and actions on devices start in Suggest, so a proposal waits for an administrator. Revoking a device’s credential, ending its connection and revoking its certificate are Suggest-only: a person approves every run. Disabling a device runs on its own only if you set that action to Auto yourself.
- Debes estar registrado para responder a este debate.
Únete a la conversación
Inicia sesión para preguntar y responder, dar me gusta a las publicaciones útiles y marcar la respuesta que resolvió tu problema. Cada aportación suma puntos y niveles.