Bir cihaz, verisi kabul edilmeden önce kimliğini kanıtlamalı; bir kuruluş da eklemeden önce bir cihaza sahip olduğunu kanıtlamalı. Bu sayfa, Hermetry’nin bu iki adımı nasıl koruduğunu açıklar; fabrika kimliğine sahip lisanslı cihazlar (Licensed devices) ve bir hazırlama anahtarıyla kendini kaydeden cihazlar için geçerlidir. Uygulama adımları Adding and claiming devices sayfasında yer almaktadır.
Fabrika kimliği
Her lisanslı cihaz fabrikadan şunlarla çıkar:
| Öğe | Koruma |
|---|---|
| Seri numarası | 6 ila 32 harf, rakam ve tire. Cihaza ayrılmıştır: hiçbir kuruluş aynı ada sahip bir MQTT girişi oluşturamaz. |
| Anahtar çifti ve sertifika | Özel anahtar cihazda üretilir ve asla cihazdan çıkmaz. Sertifika Hermetry’nin CA’sından gelir. Bkz. The device certificate authority. |
| Sahiplenme sırrı | 20 karakterli bir kod. Hermetry yalnızca seri numarası ve kodun özetini (hash) saklar; hiçbir sayfa, API veya dışa aktarım kodu ya da özetini göstermez. |
Basılı bir sahiplenme etiketi yoktur. Sahiplenme QR kodu ve kodu yalnızca cihazın yerel panelinde, oturum açma ardında gösterilir; dolayısıyla cihazı bir rafta gören biri onu sahiplenemez.
Cihaz sahiplenilmeden önce
Sahiplenilmemiş bir cihaz hiçbir kuruluşa ait değildir. Sertifikasıyla Hermetry’ye ulaşabilir, ancak verisi bırakılır.
İlk bağlantı (bootstrap)
Henüz sertifikası olmayan bir cihaz, fabrika hazırlama anahtarıyla bağlanır ve tek kullanımlık bootstrap parolası alır:
- 32 rastgele karakter, 10 dakika geçerli, seri numarasına bağlı;
- tam olarak bir oturum tarafından kullanılabilir: aynı parolayla ikinci bir oturum reddedilir;
- cihaz sertifikasını aldığında tüketilir.
Cihaz daha sonra sertifika isteğini bootstrap oturumu üzerinden gönderir ve karşılıklı TLS ile devam eder. Hazırlama istekleri seri numarası ve anahtar başına hız sınırına tabidir; olağan dışı sık kullanılan bir anahtar, Hermetry operatörlerine uyarı gönderir.
Sahiplenme
Bir cihazı seri numarası ve sahiplenme kodu (veya QR) ile sahiplenirsiniz. Sahiplenmeyi birkaç kontrol korur:
| Kontrol | Neden |
|---|---|
| Sahiplenme penceresi | Cihazın sahibi, cihazın Cloud sayfasında Open claim window düğmesine basmalıdır. Pencere yalnızca cihazın kendisi tarafından, kendi sertifika oturumu üzerinden açılabilir ve en fazla 15 dakika açık kalır. Pencere kapalıyken çalınmış bir seri numarası ve kod işe yaramaz: “The claim window on the device is closed.” |
| Sahiplenme kodu | Sabit süreli karşılaştırma ile kontrol edilir. Yanlış kod sayılır ve denetim günlüğüne yazılır. |
| Deneme sınırları | Seri numarası başına en fazla 5, kişi başına 20 ve adres başına saatte 30 başarısız sahiplenme: “Too many attempts for now. Wait an hour, then try again.” Deneme çalıştırması (dry run), gerçek bir sahiplenme gibi sayılır. |
| Sahiplik | Başka bir kuruluşa ait cihaz sahiplenilemez: “This device is owned by another account. Ask the seller (or previous owner) to release it in their account, then try again.” |
| Cihaz limiti | Herhangi bir şey oluşturulmadan önce kontrol edilir; planınızın limiti okunamazsa sahiplenme reddedilir. |
Başarılı bir sahiplenme tek adımda; cihazı model profiliyle oluşturur, sertifikasını cihazın kimlik bilgisi olarak bağlar, cihazın havuz oturumunu sonlandırır ve birkaç saniye içinde cihazın sizin cihazınız olarak yeniden bağlanmasına izin verir. Yarım kalan bir sahiplenme dakikalar içinde otomatik olarak çözülür; bu süre içinde yeni bir deneme “This device is being added right now.” yanıtını verir.
Sahiplenme için Admin rolü gerekir (izin iot_provisioning.claim).
Serbest bırakma
Bir cihazı başka bir sahibine devretmek için, Ownership sekmesinde serbest bırakın (onaylamak için seri numarasını yazarsınız). Serbest bırakma cihazı fabrika havuzuna geri döndürür; bir sonraki sahibin yeni bir sahiplenme penceresi açması gerekir. Fabrika sıfırlaması bir cihazı serbest bırakmaz.
Bir cihaz kendi Cloud sayfasındaki Release düğmesiyle kendini de serbest bırakabilir. Bu durumda “A device released itself from your account” bildirimini alırsınız. Ekibinizden kimse bunu yapmadıysa, birisi cihazın yerel paneline erişmiştir: panel parolasını değiştirin ve destekle iletişime geçin.
Kendini kaydeden cihazlar
Fabrika kimliği olmayan bir cihaz, bir cihaz profilinin hazırlama anahtarıyla kendini kaydedebilir. Sızan bir anahtarın riskini iki strateji sınırlar:
| Strateji | Koruma |
|---|---|
| Yalnızca önceden hazırlanmış cihazlar | Anahtar yalnızca önceden oluşturduğunuz cihazlar için çalışır. |
| Yeni cihaz oluşturmaya izin ver | Yeni cihazlar Quarantined (karantina) durumunda oluşturulur: oturum açabilirler, ancak bir yönetici etkinleştirene kadar verileri bırakılır. Cihaz limitinize dahil edilirler; böylece bir seli görünür olur. |
Sızmış olabilecek bir hazırlama anahtarını döndürün; eski anahtar çalışmayı durdurur. Bkz. Quarantine for self-registered devices ve Device profiles.
Denetlenen olaylar
Açılan ve kapatılan sahiplenme pencereleri, sahiplenmeler, başarısız sahiplenme kodları, serbest bırakmalar (sizin veya cihaz tarafından), karantina etkinleştirmeleri, hazırlama anahtarı değişiklikleri ve sertifika olayları denetim günlüğünde yer alır. Bkz. What is audited.
Öneriler
- Lisanslı cihazların yerel panel parolasını gizli tutun ve varsayılanı değiştirin.
- Cihazları yalnızca kuruluşunuzun içinden sahiplenin ve satmadan veya iade etmeden önce serbest bırakın.
- Mümkün olduğunca kendi kendine kaydı Yalnızca önceden hazırlanmış cihazlar seçeneğinde tutun; aksi halde karantinayı açık bırakın.
- Seri numaralarınız için tekrarlanan başarısız sahiplenmeleri denetim günlüğünden izleyin.