Traduit de English par IA ·
Trois points de la 2.2.2 côté sécurité. Les déploiements de firmware et l’API de la passerelle font partie de la même version ; mes collègues en parlent séparément.Les certificats d’appareils disposent désormais d’écrans : une page Certificats pour l’organisation et un onglet Certificat sur chaque appareil. Les appareils sous licence se connectent avec un certificat client X.509 émis par l’autorité de certification des appareils de Hermetry. L’appareil génère sa propre paire de clés, et la clé privée ne quitte jamais l’appareil ; le nom commun du certificat correspond au numéro de série de l’appareil. La durée de validité par défaut est de 365 jours (de 30 à 825, à définir dans le profil de l’appareil), et les appareils renouvellent leur certificat au plus tard 30 jours avant l’expiration. Les administrateurs sont informés des certificats proches de l’expiration et non renouvelés, et ces avis de renouvellement arrivent désormais dans votre langue.Pare-feu IA : les appareils enfants créés et refusés par une passerelle comptent désormais comme signaux concernant cette passerelle. Le pare-feu évalue chaque acteur par rapport à son propre comportement habituel ; ainsi, une passerelle qui crée soudainement des enfants ou dont des enfants sont refusés voit son propre score augmenter, et un incident s’ouvre lorsque le score est suffisamment élevé.Un petit changement que j’apprécie : les appareils dont le profil indique qu’ils ne se connectent pas ne reçoivent plus d’identifiant d’accès qu’ils n’utiliseraient jamais. Un identifiant que personne n’utilise reste un identifiant que quelqu’un pourrait voler.Documentation : Certificats d’appareils, L’autorité de certification des appareils, Le pare-feu IA.
Three things from 2.2.2 on the security side. Firmware rollouts and the gateway API are in the same release; my colleagues are posting about those separately.
Device certificates now have screens: a Certificates page for the organisation and a Certificate tab on each device. Licensed devices log in with an X.509 client certificate from Hermetry’s device CA. The device makes its own key pair and the private key never leaves it; the certificate’s common name is the device serial. The default lifetime is 365 days (30 to 825, set on the device profile), and devices renew at the latest 30 days before expiry. Administrators are told about certificates that are close to expiry and not renewed, and those renewal notices now arrive in your language.
AI firewall: a gateway’s created and refused child devices now count as signals about that gateway. The firewall scores every actor against its own normal behaviour, so a gateway that suddenly creates or gets refused children raises its own score, and an incident opens when the score is high enough.
One smaller change I like: devices whose profile says they do not log in no longer get an access credential they would never use. A credential nobody uses is still a credential somebody could steal.
Docs: Device certificates, The device certificate authority, The AI firewall.
Traduit de English par IA ·
Nous concevons nos propres cartes autour d’un ESP32-S3 et utilisons déjà le TLS mutuel avec notre propre CA sur un autre projet. Pouvons-nous importer cette CA afin que nos appareils utilisent également le chemin des certificats ?
We build our own boards around an ESP32-S3 and already do mutual TLS with our own CA on another project. Can we upload that CA so our devices use the certificate path too?
Traduit de English par IA ·
Non. Le téléversement de votre propre autorité de certification (CA) pour les appareils X.509 tiers n’est pas disponible ; les appareils tiers utilisent des jetons d’accès ou MQTT basic. La voie des certificats est réservée aux appareils sous licence, dont les certificats proviennent de la CA de Hermetry lors du provisionnement.
No. Uploading your own CA for third-party X.509 devices isn’t available; third-party devices use access tokens or MQTT basic. The certificate path is for licensed devices, whose certificates come from Hermetry’s CA at provisioning.
Traduit de English par IA ·
En pratique, la révocation est-elle rapide ? Si je révoque un certificat, l’appareil reste-t-il connecté jusqu’à ce qu’il se reconnecte ?
How fast is revocation in practice? If I revoke a cert, does the device stay connected until it reconnects?
Traduit de English par IA ·
La déconnexion est immédiate. Révoquer le certificat demande un motif (Compromission de clé, Remplacé, Appareil retiré ou Non spécifié) ainsi que le numéro de série de l’appareil pour confirmation. L’empreinte est ajoutée à la liste de révocation de chaque nœud de passerelle, la connexion active est coupée, et la prochaine tentative de connexion reçoit CONNACK 5. Elle figure aussi dans la prochaine CRL ; la liste de chaque CA émettrice est valable 7 jours.Cette action est irréversible. L’appareil doit obtenir un nouveau certificat avant de pouvoir se reconnecter.
It’s disconnected at once. Revoke certificate asks for a reason (Key compromise, Superseded, Device retired or Unspecified) and for the device serial as confirmation. The fingerprint goes into the revocation set of every gateway node, the live connection is dropped, and the next login attempt gets CONNACK 5. It’s also listed in the next CRL; each issuing CA’s list is valid for 7 days.
It can’t be undone. The device needs a new certificate before it connects again.
Traduit de English par IA ·
Concernant les signaux de la passerelle : le pare-feu agit-il de lui-même sur la passerelle, ou se contente-t-il de la signaler ? Je ne veux pas qu’un faux positif mette hors ligne toute une ligne d’équipements Modbus à 3 h du matin.
On the gateway signals: does the firewall act on the gateway by itself, or only flag it? I don’t want a false positive taking a whole line of Modbus children offline at 3 am.
Traduit de English par IA ·
Chaque action du pare-feu commence en mode Observe, sauf si vous choisissez autrement, et les actions sur les appareils commencent en mode Suggest, de sorte qu’une proposition attend un administrateur. La révocation des identifiants d’un appareil, la fin de sa connexion et la révocation de son certificat ne sont disponibles qu’en mode Suggest : une personne approuve chaque exécution. La désactivation d’un appareil ne s’exécute automatiquement que si vous réglez vous-même cette action sur Auto.
Every firewall action starts in Observe unless you choose otherwise, and actions on devices start in Suggest, so a proposal waits for an administrator. Revoking a device’s credential, ending its connection and revoking its certificate are Suggest-only: a person approves every run. Disabling a device runs on its own only if you set that action to Auto yourself.
- Vous devez être connecté pour répondre à ce sujet.
Rejoignez la discussion
Connectez-vous pour poser et répondre à des questions, aimer les messages utiles et marquer la réponse qui a résolu votre problème. Chaque contribution rapporte des points et des niveaux.