Un appareil doit prouver son identité avant que ses données soient acceptées, et une organisation doit prouver qu’elle possède un appareil avant de pouvoir l’ajouter. Cette page explique comment Hermetry protège ces deux étapes, pour les appareils sous licence (avec une identité d’usine) et pour les appareils qui s’enregistrent eux-mêmes avec une clé de provisionnement. Le guide pratique se trouve dans Ajouter et revendiquer des appareils et Appareils sous licence.
Identité d’usine
Chaque appareil sous licence sort de l’usine avec :
| Élément | Protection |
|---|---|
| Un numéro de série | De 6 à 32 lettres, chiffres et tirets. Réservé à l’appareil : aucune organisation ne peut créer un identifiant MQTT portant le même nom. |
| Une paire de clés et un certificat | La clé privée est générée sur l’appareil et ne le quitte jamais. Le certificat provient de l’autorité de certification de Hermetry. Voir L’autorité de certification des appareils. |
| Un secret de revendication | Un code de 20 caractères. Hermetry ne stocke qu’un hachage du numéro de série et du code ; aucune page, aucune API ni aucun export n’affiche jamais le code ou son hachage. |
Il n’existe aucune étiquette de revendication imprimée. Le QR code et le code de revendication ne sont affichés que sur le panneau local de l’appareil, derrière son identifiant, si bien que quelqu’un qui voit l’appareil sur une étagère ne peut pas le revendiquer.
Avant la revendication d’un appareil
Un appareil non revendiqué n’appartient à aucune organisation. Il peut joindre Hermetry avec son certificat, mais ses données sont rejetées.
Première connexion (bootstrap)
Un appareil qui n’a pas encore de certificat se connecte avec sa clé de provisionnement d’usine et reçoit un mot de passe bootstrap à usage unique :
- 32 caractères aléatoires, valables 10 minutes, liés au numéro de série ;
- utilisables par une seule session exactement : une deuxième session avec le même mot de passe est refusée ;
- consommés lorsque l’appareil dispose de son certificat.
L’appareil envoie ensuite sa demande de certificat par la session bootstrap, puis poursuit avec le TLS mutuel. Les demandes de provisionnement sont limitées en débit par numéro de série et par clé, et une clé utilisée anormalement souvent déclenche une alerte auprès des opérateurs de Hermetry.
Revendication
Vous revendiquez un appareil avec son numéro de série et son code de revendication (ou le QR code). Plusieurs contrôles protègent la revendication :
| Contrôle | Pourquoi |
|---|---|
| Fenêtre de revendication | Le propriétaire de l’appareil doit appuyer sur Ouvrir la fenêtre de revendication sur la page Cloud de l’appareil. La fenêtre n’est ouverte que par l’appareil lui-même, via sa propre session de certificat, et reste ouverte 15 minutes au maximum. Un numéro de série et un code volés sont inutiles tant que la fenêtre est fermée : « La fenêtre de revendication de l’appareil est fermée. » |
| Code de revendication | Comparé en temps constant. Un mauvais code est comptabilisé et inscrit dans le journal d’audit. |
| Limites de tentatives | 5 revendications échouées au maximum par numéro de série, 20 par personne et 30 par adresse par heure : « Trop de tentatives pour le moment. Attendez une heure, puis réessayez. » Un essai à blanc compte comme une vraie revendication. |
| Propriété | Un appareil appartenant à une autre organisation ne peut pas être revendiqué : « Cet appareil appartient à un autre compte. Demandez au vendeur (ou à l’ancien propriétaire) de le libérer dans son compte, puis réessayez. » |
| Limite d’appareils | Vérifiée avant toute création ; si la limite de votre forfait ne peut pas être lue, la revendication est refusée. |
Une revendication réussie, en une seule étape, crée l’appareil avec le profil de son modèle, lie son certificat comme identifiant de l’appareil, met fin à sa session du pool et lui permet de se reconnecter comme votre appareil en quelques secondes. Une revendication interrompue à mi-parcours est résolue automatiquement en quelques minutes ; entre-temps, une nouvelle tentative répond « Cet appareil est en cours d’ajout. »
La revendication requiert le rôle Admin (permission iot_provisioning.claim).
Libération
Pour transmettre un appareil à un autre propriétaire, libérez-le depuis son onglet Propriété (vous saisissez le numéro de série pour confirmer). La libération renvoie l’appareil dans le pool d’usine ; le prochain propriétaire doit ouvrir une nouvelle fenêtre de revendication. Une réinitialisation d’usine ne libère pas un appareil.
Un appareil peut aussi se libérer lui-même avec le bouton Libérer sur sa propre page Cloud. Vous recevez alors l’avis « Un appareil s’est libéré de votre compte ». Si personne dans votre équipe n’a fait cela, quelqu’un a accès au panneau local de l’appareil : changez son mot de passe de panneau et contactez le support.
Appareils qui s’enregistrent eux-mêmes
Un appareil sans identité d’usine peut s’enregistrer lui-même avec la clé de provisionnement d’un profil d’appareil. Deux stratégies limitent le risque lié à une clé divulguée :
| Stratégie | Protection |
|---|---|
| Uniquement les appareils pré-provisionnés | La clé ne fonctionne que pour les appareils que vous avez créés au préalable. |
| Autoriser la création de nouveaux appareils | Les nouveaux appareils sont créés en quarantaine : ils peuvent se connecter, mais leurs données sont rejetées jusqu’à leur activation par un administrateur. Ils comptent dans votre limite d’appareils, afin qu’un afflux soit visible. |
Renouvelez une clé de provisionnement susceptible d’avoir fuité ; l’ancienne clé cesse de fonctionner. Voir Quarantaine pour les appareils auto-enregistrés et Profils d’appareils.
Ce qui est audité
L’ouverture et la fermeture des fenêtres de revendication, les revendications, les codes de revendication échoués, les libérations (par vous ou par l’appareil), les activations de quarantaine, les modifications de clés de provisionnement et les événements de certificats figurent tous dans le journal d’audit. Voir Ce qui est audité.
Recommandations
- Gardez secret le mot de passe du panneau local des appareils sous licence et modifiez celui par défaut.
- Ne revendiquez des appareils que depuis l’intérieur de votre organisation, et libérez-les avant de les vendre ou de les retourner.
- Gardez l’auto-enregistrement sur Uniquement les appareils pré-provisionnés dans la mesure du possible ; sinon, gardez la quarantaine activée.
- Surveillez le journal d’audit pour détecter les revendications répétées échouées de vos numéros de série.