SSL /TLS Asjade Interneti automatiseerimine

Kui asjade Interneti (IoT) kindlustamine oleks lihtne ja arusaadav, ei loeks me igal nädalal kõrgetasemelisi lugusid ruuterid paljastatud privaatvõtmetega ja rikkus koduseid turvakaameraid. Selliste uudistega pole ime, et paljud tarbijad on endiselt Interneti-ühendusega seadmete suhtes kahtlased. Eeldatakse, et IoT-seadmete arv ületab 38 miljardit aastal 2020 (peaaegu kolmekordne tõus alates 2015. aastast) ning tootjatele ja müüjatele on kätte jõudnud aeg julgeolekuga tõsiselt suhtuda.

SSL.com on siin, et aidata teil seda teha! Avalikult usaldusväärse sertifikaadiasutusena (CA) ja CA / brauserifoorumi liikmena on SSL.com-l põhjalikud teadmised ja tõestatud tehnoloogia, mis aitab tootjatel oma IoT ja IIoT (tööstuslike asjade internet) seadmeid oma klassi parimate abil kaitsta. avaliku võtme infrastruktuur (PKI), automatiseerimine, haldamine ja jälgimine.

Kui teil on vaja väljastada ja hallata tuhandeid (või isegi sadu tuhandeid) avalikult või eraviisiliselt usaldusväärseid X.509 Interneti-ühendusega seadmete sertifikaadid, SSL-il on kõik vajalik.

Näide: traadita ruuteri turvamine

Lihtsa illustratsioonina kirjeldame stsenaariumi, milles on tüüpiline manustatud seade - kodune traadita ruuter. Tõenäoliselt teate kõike selle kohta, kuidas sellesse sisselogimine võib olla; kirjutad midagi sellist http://10.254.255.1 oma brauserisse (kui mäletate seda), klõpsake võib-olla turvahoiatuse kaudu ja loodate, et keegi ei nuhkige, kui sisestate oma sisselogimistunnused. Õnneks saavad IoT-tootjad nüüd oma klientidele pakkuda palju mugavamat - ja mis veelgi tähtsam - turvalist - kogemust SSL-i pakutavate tööriistade ja tehnoloogia kaudu.

Meie näitlikus stsenaariumis soovib tootja lasta oma klientidel ühenduse kaudu oma ruuteri administraatori liidesega turvaliselt ühendust luua HTTPS, mitte HTTP. Samuti soovib ettevõte lasta klientidel kasutada hõlpsasti meeldejäävat domeeninime (router.example.com), mitte seadme vaikekoha IP-aadress (192.168.1.1). SSL /TLS ruuteri sisemist veebiserverit kaitsev sertifikaat peab olema avalikult usaldatudvõi näevad kasutajad oma brauserites turvatõrketeateid. Veel üks keerukus on see, et iga avalikult usaldusväärne SSL /TLS Sertifikaadi väljastamisel on kõvakodeeritud eluiga (praegu piirab seda tõend) brauseri eeskirjad umbes aastani). Selle piirangu tõttu peab tootja lisama vahendid seadme turvasertifikaadi kaugesitamiseks, kui see on vajalik. Lõpuks soovib tootja teha kõiki neid asju oma klientidele minimaalsete või üldse ebamugavustega.

SSL-iga töötades võib tootja teha järgmised sammud, et varustada iga ruuteri sisemine veebiserver avalikult usaldusväärse, domeeniga valideeritud (DV) SSL-iga /TLS sertifikaat:

1. Tootja loob DNS-i A soovitud domeeninime seostavad kirjed (router.example.com) ja metamärk (*.router.example.com) valitud kohalikule IP-aadressile (192.168.1.1).
2. Tootja demonstreerib oma põhidomeeninime juhtimist (example.com) SSLO-le rakendatava kaudu domeeni valideerimine (DV) meetodit (sel juhul oleks sobiv kas e-posti kontakt või CNAME-i otsing).
3. SSL.com välja antud tehniliselt piiratud väljastamine alluv CA (või SubCA) (võta meiega ühendust Lisateabe saamiseks selle kohta, kuidas hankida oma tehniliselt piiratud väljastav alluv CA), on ettevõttel võimalik väljastada avalikult usaldusväärne SSL /TLS kinnitatud ruuteri domeeninime (de) sertifikaadid. Meie näite puhul peame kinni router.example.com, kuid sõltuvalt kasutusjuhust võib see olla ka metamärk, näiteks *.router.example.com. Rahatäht võimaldaks väljastada sertifikaate, mis hõlmavad alamdomeene nagu www.router.example.com or mail.router.example.com.
4. Tootmise ajal on igale seadmele varustatud ainulaadne krüptovõtmete paar ja avalikult usaldusväärne DV SSL /TLS kaitsev sertifikaat router.example.com.
5. Kui klient ühendab seadme esmakordselt Internetiga, on võimalik kaks stsenaariumi:
   1. Kaasasolev SSL /TLS sertifikaat pole seda teinud alates tootmisest aegunud Sel juhul saab kasutaja lihtsalt ruuteri juhtpaneeliga otse ühenduse luua aadressil https://router.example.com/ veebibrauseriga ega koge brauseri usaldusvigu.
   2. Kaasasolev SSL /TLS sertifikaat on alates tootmisest aegunud Aeguv sertifikaat tuleb asendada äsja välja antud sertifikaadiga. Sõltuvalt seadme võimalustest ja tootja eelistustest saab seade nüüd kas:
      1. Looge sisemiselt uus võtmepaari ja sertifikaadi allkirjastamise taotlus, seejärel esitage see allkirjastamiseks oma piiratud SubCA-le. Seejärel tagastab SubCA allkirjastatud SSL /TLS tunnistus.
      2. Väljastage uue võtmepaari taotlus ja CSR mis genereeritakse välises võtmehaldussüsteemis, millele on alla kirjutanud SubCA ja mis edastatakse seadmesse.
6. Kui seadme jaoks on vaja uut sertifikaati, saab seadme piiratud autentimisega subCA-ga autentimiseks kasutada kasutaja sisselogimisandmeid, kaasatud kliendisertifikaati ja / või võtme atesteerimisprotsessi.
7. Seadme eluea jooksul on selle SSL /TLS sertifikaat asendatakse enne kehtivusaja lõppu, regulaarsete ajavahemike järel. Sel moel saab kasutaja seadme kasutamise ajal pidevat juurdepääsu HTTPS-i kaudu.

Interneti-automaatika valikud

SSL.com pakub Interneti-seadmete tootjatele mitmeid võimsaid automatiseerimise ja haldamise tööriistu nende kohandatud SSL.com-ga töötamiseks väljastanud CA:

• SSL-i veebiteenuste (SWS) API: SSLO-de abil saate automatiseerida sertifikaatide väljaandmise ja elutsükli kõik aspektid RESTful API.
• ACME protokoll: ACME on väljakujunenud standardne protokoll domeeni valideerimiseks ja sertifikaatide haldamiseks koos paljude avatud lähtekoodiga kliendi rakendustega.

Olenemata sellest, milline automatiseerimistehnoloogia (või tehnoloogiate segu) on antud olukorras kõige sobivam, saavad tootjad ja müüjad oma seadmetes juurdepääsu sertifikaatide väljaandmise, elutsükli ja tühistamise haldamiseks ja jälgimiseks kõige kaasaegsematele tööriistadele. Iga uus Iot ja IIoT seade esitab oma ainulaadsed väljakutsed ning SSL.com on valmis, valmis ja võimeline töötama koos tootjatega, et luua optimeeritud lahendusi oma seadmete varustamiseks avalikult või eraviisiliselt usaldusväärsete X.509 sertifikaatidega. Kui see ühendatakse Internetiga, saame aidata teil seda kaitsta!