Lisanslı cihazlar, Hermetry’nin kendi sertifika otoritesi (CA) tarafından verilen X.509 istemci sertifikalarıyla oturum açar. Bu sayfa, güvenlik incelemeleri için CA’nın nasıl kurulduğunu ve işletildiğini anlatır. Müşteri olarak gördüğünüz ve yaptığınız işlemler (sertifika listesi, yenileme, iptal) Cihaz sertifikaları bölümünde yer alır.
Hiyerarşi
| Seviye | Geçerlilik süresi | Özel anahtarının bulunduğu yer |
|---|---|---|
| Kök CA (G1), yedek kök (G2) sabitlenmiş durumda | 20 yıl (G1), 25 yıl (G2) | Yalnızca çevrimdışı, çıkarılabilir ortamda, iki yetkili arasında bölünmüş bir anahtarla sarmalanmış olarak. Hiçbir veritabanında ya da çevrimiçi sistemde bulunmaz. |
| Cihaz düzenleyen CA | 5 yıl, en fazla 24 ay boyunca sertifika düzenler | Yalnızca imzalayıcı süreci tarafından tutulan bir sarma anahtarıyla veritabanında mühürlü. |
| Sunucu düzenleyen CA | 5 yıl | Yukarıdakiyle aynı. Cihaz ana bilgisayarının kendi TLS sertifikasını düzenler. |
| Cihaz sertifikaları | Varsayılan olarak 365 gün (30 ile 825 arası, cihaz profilinde ayarlanır) | Yalnızca cihazda. |
Mevcut lisanslı cihazların tüm anahtarları ECDSA P-256’dır.
Kök anahtar töreni
Kök anahtarlar, hiçbir zaman ağa bağlanmayan özel bir makinede, kayda alınan bir törenle, iki yetkili ve bir tanık eşliğinde oluşturulur. Kök anahtarları sarmalayan anahtar iki yarıya bölünür; her yetkili bir yarıyı, iki sitedeki kasalarda tutulan zarflarda mühürlü olarak saklar. Hiçbir kişi ve hiçbir tek kasa iki yarıyı birden tutmaz. Çevrimiçi ortama yalnızca genel materyal (sertifikalar ve iptal listeleri) aktarılır. Kökün iptal listesi her yıl aynı yöntemle yeniden imzalanır.
İmzalayıcı
İmzalayıcı adı verilen, izole edilmiş tek bir süreç, düzenleyen CA’ların sarma anahtarını tutan tek taraftır. Yalnızca cihaz sertifikalarını ve iptal listelerini imzalar, başka bir şey imzalamaz. Cihaz ağ geçidi, istemci sertifikalarını CA zinciri ve iptal kümesine karşı denetler, hiçbir zaman bir CA anahtarını görmez.
Sertifika düzenleme
- Cihaz kendi anahtar çiftini oluşturur. Özel anahtar hiçbir zaman cihazdan çıkmaz.
- Cihaz, sağlama oturumu üzerinden bir sertifika imzalama isteği (CSR) gönderir.
- Sağlama çalışanı, isteği kimin yaptığını denetler ve isteği imzalayıcıya iletir.
- İmzalayıcı, ortak adı (CN) cihaz seri numarası olan bir sertifika düzenler ve bunu sertifika defterine kaydeder.
Defter, her sertifikanın nasıl düzenlendiğini kaydeder: İlk sertifika (fabrika), Yenileme, Kurtarma, Sunucu tarafından üretilen anahtar, Yüklenen veya Kayıt. Sunucu tarafından üretilen bir anahtarda anahtar bir kez teslim edilir ve hiçbir yerde saklanmaz: “Platform bu sertifikanın anahtarını üretti ve bir kez teslim etti. Cihazın kendi anahtarını üretmesi için yenileyin.”
Her bağlantıda denetimler
Sertifikalı her MQTT bağlantısında ağ geçidi şunları denetler:
- sertifikanın Hermetry’nin bir cihaz düzenleyen CA’sına zincirlendiği,
- sertifikanın iptal edilmemiş olduğu (iptal kümesi yüklenmediği sürece ağ geçidi her sertifikayı reddeder),
- sürenin dolmamış olduğu,
- parmak izinin cihazın etkin X.509 kimlik bilgisiyle eşleştiği ve CN = seri numarası = istemci kimliği olduğu.
Sunulan sertifika her zaman karar verir: parola ile geri dönüş yoktur. Güvenilmeyen bir sertifika TLS el sıkışmasını sonlandırır.
Yenileme
Cihazlar, sona ermeden önce sertifikalarını kendileri yeniler; en geç 30 gün önce. Ayrıca Sertifikayı yenile (cert.renew komutu) ile bir cihazdan yenilemesini isteyebilirsiniz; yeni sertifika kullanıma girene kadar mevcut sertifika korunur.
Yöneticiler, Son kullanma uyarısı (gün) (30 ile 180 arası, varsayılan 30) içinde sona erecek ve yenilenmemiş sertifikalar ile yenilemesi istenip yenilenmeyen cihazlar hakkında bilgilendirilir.
Kurtarma
Mevcut sertifikası hâlâ geçerliyken yeni bir sertifika isteyen bir cihaz klonlanmış olabilir. Hermetry bunu otomatik olarak düzenlemez:
- “Bir cihaz yeni bir sertifika istiyor” bildirimini alırsınız.
- Cihaz sayfasında Onayla, mevcut sertifikayı hemen iptal eder ve cihazın gösterilen anahtar için 7 gün içinde yeni bir sertifika almasına izin verir. Reddet, mevcut sertifikayı korur ve hiçbir şey düzenlemez.
- İstek açıkken cihaz başka anahtarlarla denediyse sayfa şu uyarıyı gösterir: “Yalnızca burada gösterilen anahtar onaylanabilir.”
Yalnızca cihazı sıfırladığınız veya onardığınız takdirde onaylayın.
İptal
Bir sertifikayı iptal etme (Sertifikayı iptal et, neden olarak Anahtar ele geçirildi, Yerine geçti, Cihaz kullanımdan kaldırıldı veya Belirtilmemiş):
- defterde sertifikayı iptal edilmiş olarak işaretler,
- parmak izini ağ geçidinin iptal kümesine ekler ve her ağ geçidi düğümünde cihazın bağlantısını hemen keser,
- bir sonraki iptal listesine ekler.
“Cihazın bağlantısı hemen kesilir ve bu sertifikayla bir daha bağlanamaz. Bu işlem geri alınamaz.” Onaylamak için cihaz seri numarasını yazarsınız.
Her düzenleyen CA, düzenli olarak yenilenen ve 7 gün geçerli olan imzalı bir sertifika iptal listesi (CRL) yayımlar. Liste zamanında yenilenmezse Hermetry uyarılır.
Düzenleyen CA’ların rotasyonu
Bir düzenleyen CA en fazla 24 ay boyunca sertifika düzenler, ardından yeni bir CA devralır. Eski CA, son sertifikasının süresi dolana kadar iptal listeleri yayımlamaya devam eder. Cihazlar köke güvendiği için rotasyon cihazlarda herhangi bir değişiklik gerektirmez.
Diğer yetkililerin sertifikaları
Üçüncü taraf cihazlar için kendi CA’nızı yüklemek kullanılabilir değildir. Üçüncü taraf cihazlar erişim belirteçleri ya da MQTT kullanıcı adı ve parolası kullanır. Bkz. Cihaz kimlik bilgileri.
Denetim
İptaller, yenileme istekleri, kurtarma istekleri ve onaylar ile sertifika aktarımları denetim günlüğüne yazılır (iot_pki.certificate.revoked, iot_pki.certificate.renewal_requested, iot_pki.recovery.requested, iot_pki.recovery.approved). Bkz. Neler denetlenir.