Yapay zekâ tarafından English dilinden çevrildi ·
Güvenlik tarafında 2.2.2 ile ilgili üç şey. Firmware dağıtımları ve ağ geçidi API’si aynı sürümde; meslektaşlarım bunlar hakkında ayrıca yazıyor.Cihaz sertifikaları artık ekranlara sahip: kuruluş için bir Sertifikalar sayfası ve her cihazda bir Sertifika sekmesi. Lisanslı cihazlar, Hermetry’nin cihaz CA’sından alınan bir X.509 istemci sertifikasıyla giriş yapar. Cihaz kendi anahtar çiftini üretir ve özel anahtar hiçbir zaman cihazdan çıkmaz; sertifikanın ortak adı (common name) cihaz seri numarasıdır. Varsayılan geçerlilik süresi 365 gündür (30 ile 825 arasında, cihaz profilinde ayarlanır) ve cihazlar en geç son kullanma tarihinden 30 gün önce yenilenir. Yöneticilere, son kullanma tarihi yaklaşan ve yenilenmemiş sertifikalar hakkında bildirim gönderilir; bu yenileme bildirimleri artık sizin dilinizde gelir.AI güvenlik duvarı: bir ağ geçidinin oluşturduğu ve reddedilen alt cihazları artık o ağ geçidi hakkında sinyal olarak sayılır. Güvenlik duvarı her aktörü kendi normal davranışına göre puanlar; bu nedenle aniden alt cihaz oluşturan veya alt cihazları reddedilen bir ağ geçidi kendi puanını yükseltir ve puan yeterince yüksek olduğunda bir olay açılır.Beğendiğim daha küçük bir değişiklik: profilinde oturum açmadığı belirtilen cihazlar artık asla kullanmayacakları bir erişim kimlik bilgisi almıyor. Kimsenin kullanmadığı bir kimlik bilgisi yine de çalınabilir.Belgeler: Cihaz sertifikaları, Cihaz sertifika yetkilisi, AI güvenlik duvarı.
Three things from 2.2.2 on the security side. Firmware rollouts and the gateway API are in the same release; my colleagues are posting about those separately.
Device certificates now have screens: a Certificates page for the organisation and a Certificate tab on each device. Licensed devices log in with an X.509 client certificate from Hermetry’s device CA. The device makes its own key pair and the private key never leaves it; the certificate’s common name is the device serial. The default lifetime is 365 days (30 to 825, set on the device profile), and devices renew at the latest 30 days before expiry. Administrators are told about certificates that are close to expiry and not renewed, and those renewal notices now arrive in your language.
AI firewall: a gateway’s created and refused child devices now count as signals about that gateway. The firewall scores every actor against its own normal behaviour, so a gateway that suddenly creates or gets refused children raises its own score, and an incident opens when the score is high enough.
One smaller change I like: devices whose profile says they do not log in no longer get an access credential they would never use. A credential nobody uses is still a credential somebody could steal.
Docs: Device certificates, The device certificate authority, The AI firewall.
Yapay zekâ tarafından English dilinden çevrildi ·
Kendi kartlarımızı ESP32-S3 etrafında tasarlıyoruz ve başka bir projede zaten kendi CA’mızla karşılıklı TLS kullanıyoruz. Cihazlarımızın da sertifika yolunu kullanabilmesi için bu CA’yı yükleyebilir miyiz?
We build our own boards around an ESP32-S3 and already do mutual TLS with our own CA on another project. Can we upload that CA so our devices use the certificate path too?
Yapay zekâ tarafından English dilinden çevrildi ·
Hayır. Üçüncü taraf X.509 cihazları için kendi CA’nızı yüklemek mümkün değil; üçüncü taraf cihazlar erişim belirteçleri veya MQTT basic kullanır. Sertifika yolu, lisanslı cihazlar içindir ve bu cihazların sertifikaları, sağlama sırasında Hermetry’nin CA’sından gelir.
No. Uploading your own CA for third-party X.509 devices isn’t available; third-party devices use access tokens or MQTT basic. The certificate path is for licensed devices, whose certificates come from Hermetry’s CA at provisioning.
Yapay zekâ tarafından English dilinden çevrildi ·
Pratikte iptal ne kadar hızlı gerçekleşiyor? Bir sertifikayı iptal edersem, cihaz yeniden bağlanana kadar bağlı kalmaya devam ediyor mu?
How fast is revocation in practice? If I revoke a cert, does the device stay connected until it reconnects?
Yapay zekâ tarafından English dilinden çevrildi ·
Bağlantı hemen kesilir. Sertifikayı iptal et seçeneği bir neden ister (Anahtar ele geçirildi, Yerine geçti, Cihaz kullanımdan kaldırıldı veya Belirtilmemiş) ve onay olarak cihazın seri numarasını ister. Parmak izi, her ağ geçidi düğümünün iptal kümesine eklenir, canlı bağlantı düşürülür ve bir sonraki oturum açma denemesi CONNACK 5 alır. Ayrıca bir sonraki CRL listesine de eklenir; her veren CA’nın listesi 7 gün geçerlidir.Bu işlem geri alınamaz. Cihazın yeniden bağlanabilmesi için yeni bir sertifikaya ihtiyacı vardır.
It’s disconnected at once. Revoke certificate asks for a reason (Key compromise, Superseded, Device retired or Unspecified) and for the device serial as confirmation. The fingerprint goes into the revocation set of every gateway node, the live connection is dropped, and the next login attempt gets CONNACK 5. It’s also listed in the next CRL; each issuing CA’s list is valid for 7 days.
It can’t be undone. The device needs a new certificate before it connects again.
Yapay zekâ tarafından English dilinden çevrildi ·
Ağ geçidi sinyalleri konusunda: güvenlik duvarı ağ geçidine kendi başına müdahale ediyor mu, yoksa yalnızca işaretliyor mu? Yanlış bir pozitifin gece 3’te bütün bir Modbus alt cihaz hattını devre dışı bırakmasını istemem.
On the gateway signals: does the firewall act on the gateway by itself, or only flag it? I don’t want a false positive taking a whole line of Modbus children offline at 3 am.
Yapay zekâ tarafından English dilinden çevrildi ·
Güvenlik duvarındaki her eylem, siz aksini seçmediğiniz sürece Observe modunda başlar; cihazlara yönelik eylemler ise Suggest modunda başlar, dolayısıyla bir öneri bir yönetici onayını bekler. Bir cihazın kimlik bilgisini iptal etmek, bağlantısını sonlandırmak ve sertifikasını iptal etmek yalnızca Suggest modunda çalışır: her çalıştırmayı bir kişi onaylar. Bir cihazı devre dışı bırakmak, yalnızca bu eylemi kendiniz Auto olarak ayarlarsanız kendiliğinden çalışır.
Every firewall action starts in Observe unless you choose otherwise, and actions on devices start in Suggest, so a proposal waits for an administrator. Revoking a device’s credential, ending its connection and revoking its certificate are Suggest-only: a person approves every run. Disabling a device runs on its own only if you set that action to Auto yourself.
- Bu konuyu yanıtlamak için giriş yapmış olmalısınız.
Sohbete katılın
Soru sormak ve yanıtlamak, yararlı gönderileri beğenmek ve sorununuzu çözen yanıtı işaretlemek için oturum açın. Her katkı puan ve seviye kazandırır.