Geräte-CA registrieren¶

Zweck¶

Laden Sie die Zertifizierungsstelle (CA) hoch, zu der Ihre Geburtszertifikate führen. Dann kann jedes Gerät dieser Charge seine Identität beweisen, ohne dass Sie den AK-Fingerprint jedes Geräts von Hand eintragen. Warum das je Charge und nicht je Gerät geschieht, erklärt Wie die Geräteidentität funktioniert. Welche Zertifikate ein Gateway trägt und was ein Hersteller je Charge liefert, steht unter Wie die Geräteidentität funktioniert.

Voraussetzungen¶

Sie sind angemeldet, und Orders (Menügruppe OEM) ist geöffnet, siehe Anmelden.
Die Rolle Org-Admin. Einen Vertrauensanker festzulegen ist eine Verwaltungsaufgabe, keine Bearbeitung. Ein Konto mit der Rolle Editor kann Geräte übernehmen und einrichten, aber nicht festlegen oder ändern, welchem Aussteller eine Charge vertraut.
Das Zertifikat Ihrer Geräte-CA im PEM-Format, passend zu den Geburtszertifikaten, die die Geräte Ihrer Charge tragen. Es muss eine echte CA sein (CA:TRUE), darf nicht abgelaufen sein und muss einen unterstützten Signaturalgorithmus verwenden.
Eine Möglichkeit, den Fingerprint nach dem Upload über einen zweiten Weg mit Ihrem Hersteller abzugleichen (siehe Schritt 6).

Schritte¶

Modus wählen¶

Öffnen Sie Orders und klicken Sie auf die Bestellung, die Sie einrichten.
Suchen Sie in den Details der Bestellung Advanced, „How devices in this batch are verified — usually set by the manufacturer“ (wie die Geräte dieser Charge geprüft werden, meist vom Hersteller festgelegt), und klicken Sie auf Show. Der Bereich Trust anchor öffnet sich. Eine neue Bestellung zeigt Not configured, und der Reiter Device CA ist vorausgewählt.

Der Reiter Allowlist nimmt stattdessen AK-Fingerprints an: einen pro Zeile, ganz ohne Zertifikat. Nutzen Sie ihn nur, wenn Sie keine Kette für Geburtszertifikate anbieten können. Den Reiter Device identity certificate beschreibt der Abschnitt weiter unten.

CA hochladen¶

Klicken Sie im Reiter Device CA auf Choose File und wählen Sie die PEM-Datei Ihrer CA. Der Bereich liest die Datei nur auf Ihrem Rechner und zeigt ihre Größe in Byte. Geprüft wird erst beim Speichern.
Klicken Sie auf Save trust anchor.
Prüfen Sie die Felder, die die Plattform aus Ihrem Zertifikat gelesen hat: Subject, Issuer, Validity, Algorithm, Fingerprint (SHA-256) und CRL status (der angegebene Verteilungspunkt, oder „No CRL distribution point declared on this certificate“, wenn das Zertifikat keinen enthält).
Bestätigen Sie, dass der angezeigte SHA-256-Fingerprint zu dem passt, was Ihr Hersteller tatsächlich ausgestellt hat. Tun Sie das per Anruf, per E-Mail oder auf jedem anderen Weg außer über diese Seite selbst, und zwar bevor Sie jemandem sagen, dass sich Geräte dieser Bestellung melden können. Die Plattform meldet nur, was sie aus der hochgeladenen Datei gelesen hat. Sie kann nicht unabhängig prüfen, ob diese Datei wirklich die CA Ihres Herstellers ist.

Ergebnis¶

Der Bereich Trust anchor zeigt Subject, Issuer, Gültigkeitszeitraum, Algorithmus, Fingerprint und CRL-Status Ihres Zertifikats. Außerdem gibt es jetzt beide Schaltflächen, Save trust anchor und Remove trust anchor.

CA ersetzen oder entfernen¶

Laden Sie eine neue Datei hoch und klicken Sie erneut auf Save trust anchor, wird der eingerichtete Vertrauensanker ersetzt. Eine eigene Aktion zum Ersetzen gibt es nicht.

Ein Klick auf Remove trust anchor zeigt eine Rückfrage des Browsers („Remove this order's trust anchor? Devices on this order will fall back to the default.“). Erst wenn Sie sie bestätigen, wird der Vertrauensanker entfernt. Danach zeigt der Bereich wieder „Not configured“.

Was „fall back to the default“ bedeutet

Ist für eine Bestellung kein eigener Vertrauensanker mehr eingerichtet, prüft die Plattform ein Gerät dieser Bestellung stattdessen gegen ihre eigene, globale Voreinstellung. Das ist ein einziger Modus (Geräte-CA oder Allowlist) mit einem einzigen Satz an Herstellerdaten, den der Plattformbetreiber einmal für die ganze Installation eingerichtet hat, unabhängig von jeder Bestellung. Wenn Sie den Vertrauensanker Ihrer Bestellung entfernen, steht sie damit nicht beliebigen Geräten offen: Sie fällt auf diese plattformweite Grundeinstellung zurück, und die lässt nur zu, was der Betreiber hinterlegt hat. Ein Gerät eines Herstellers, den die plattformweite Voreinstellung nicht kennt, wird abgewiesen und nicht etwa großzügig zugelassen. Fragen Sie Ihren Plattformbetreiber, was die aktuelle Voreinstellung tatsächlich abdeckt, bevor Sie sich für irgendetwas darauf verlassen.

Häufige Fehler¶

Genaue Meldung in der Oberfläche	Was zu tun ist
`certificate is not a CA (BasicConstraints ca=false) — upload the issuing CA, not a device certificate`	Sie haben ein Geräte- bzw. Endzertifikat hochgeladen. Laden Sie stattdessen die CA hoch, die Ihre Geburtszertifikate ausgestellt hat.
`certificate has already expired`	Prüfen Sie den Gültigkeitszeitraum der CA (`openssl x509 -noout -dates -in your-ca.pem`) und besorgen Sie sich bei Ihrem Hersteller eine aktuelle CA.

Fehler: Das hochgeladene Zertifikat ist keine CA

Fehler: Das hochgeladene Zertifikat ist bereits abgelaufen

Fehler bei Schlüsselstärke und Kette¶

Genaue Meldung in der Oberfläche	Was zu tun ist
`RSA key is 1024 bits; a trust-anchor CA must be at least 2048 bits`	Besorgen Sie sich bei Ihrem Hersteller einen stärkeren Schlüssel. RSA muss mindestens 2048 Bit haben.
`EC curve secp224r1 is not accepted for a trust-anchor CA; use one of ['secp256r1', 'secp384r1', 'secp521r1']`	Verwenden Sie eine CA mit P-256, P-384 oder P-521.
`certificate is signed with SHA-1, which is not accepted for a trust-anchor CA`	Lassen Sie die CA mit einem aktuellen Signaturalgorithmus neu ausstellen.
`upload contains private key material — upload the CA certificate only, never its private key`	Sie haben eine Datei mit einem privaten Schlüssel darin hochgeladen (Ihrem oder dem des Herstellers). Entfernen Sie den Schlüsselblock und laden Sie nur das Zertifikat hoch. Behandeln Sie diesen Schlüssel ab jetzt wie jeden anderen privaten Schlüssel; war es ein echter, tauschen Sie ihn also auch aus.
`unsupported certificate key type for a trust-anchor CA; use RSA (>= 2048 bits) or ECDSA (P-256, P-384, or P-521)`	Es wurde ein Ed25519-Schlüssel (oder ein anderer Schlüsseltyp) hochgeladen. Für eine CA als Vertrauensanker werden nur RSA und ECDSA angenommen.
`certificate 0 in the bundle is not signed by certificate 1; upload the device-facing CA first, then each issuer up to the root, in order`	Die Zertifikate in Ihrem Bündel stehen in der falschen Reihenfolge oder bilden gar keine Kette. Die Reihenfolge zählt, siehe Kette hochladen unten.
`CA chain is incomplete: the last certificate is not a self-signed root`	Ein Bündel aus mehreren Zertifikaten muss mit einer selbst signierten Wurzel enden. Eine einzelne CA ohne Kette ist für sich allein weiterhin in Ordnung, siehe unten.

Eine Mindeststärke ist Pflicht

RSA-Schlüssel müssen mindestens 2048 Bit haben; ECDSA muss P-256, P-384 oder P-521 verwenden. SHA-1-Signaturen werden abgewiesen. Auch Ed25519 wird abgewiesen, obwohl andere Wege zum Hochladen von Zertifikaten auf dieser Plattform es annehmen. Für eine CA als Vertrauensanker werden ausdrücklich nur RSA und ECDSA angenommen. Ein Zertifikat, dessen privater Schlüssel in derselben Datei liegt, wird sofort abgewiesen, noch bevor etwas gespeichert wird.

Das Fingerprint-Feld im Reiter Allowlist wird genauso geprüft: Jeder Eintrag muss aus 64 Hex-Zeichen in Kleinbuchstaben bestehen, sonst wird das ganze Speichern abgewiesen.

Kette hochladen (Wurzel + Zwischen-CA)¶

Führen Ihre Geburtszertifikate über eine Zwischen-CA zu einer Wurzel, laden Sie das ganze Bündel als eine PEM-Datei hoch. Das ist der übliche Fall, wenn die CA eines Herstellers selbst einen Aussteller hat. Die Reihenfolge: zuerst die CA, die die Gerätezertifikate ausstellt, dann jedes Zertifikat, das die vorige ausgestellt hat, und am Ende die selbst signierte Wurzel. Der Bereich zeigt jedes Glied der Kette und kennzeichnet die Wurzel am Ende:

Eine einzelne CA ohne weitere Kette (die ursprüngliche Form, die weiterhin unterstützt wird) funktioniert genau wie bisher. Ein Bündel brauchen Sie nur, wenn die ganze Kette abgebildet und geprüft werden soll.

Vertrauensanker mit Kette: oben die Felder der CA, die die Gerätezertifikate ausstellt, darunter der Abschnitt zur Kette mit der Wurzel

Geräteidentitätszertifikat¶

Nutzen Sie diesen Modus, wenn Ihre Gateways ein Identitätszertifikat einer CA tragen, die Sie oder der Hersteller betreiben. Was der Modus tut und wann „nur Zertifikat“ vertretbar ist, erklärt Geräteidentitätszertifikat.

Einrichten¶

Wählen Sie im Bereich Trust anchor der Bestellung den Reiter Device identity certificate. Certificate + TPM ist vorausgewählt.
Klicken Sie unter Issuing CA chain auf Choose File und wählen Sie die öffentliche CA-Kette (PEM): die ausstellende CA, optional gefolgt von jedem Aussteller bis zur Wurzel. Eine Datei mit privatem Schlüssel wird sofort abgewiesen, bevor etwas gesendet wird.
Wählen Sie unter Where the EUI is in the device certificate das Feld. Zur Kontrolle fügen Sie ein Gerätezertifikat in Check a sample device certificate ein: Der Bereich zeigt die EUI, der die Plattform es zuordnen würde. Das Zertifikat wird nur in Ihrem Browser gelesen, nie gespeichert oder gesendet.
Geben Sie optional die Revocation list URL ein (http oder https).
Behalten Sie Certificate + TPM oder wählen Sie Certificate only, siehe unten.
Klicken Sie auf Save trust anchor. Der Bereich zeigt die Richtlinie, wo die EUI steht, die Sperrliste und für jedes Zertifikat der Kette Subject, Aussteller, Ablauf und SHA-256-Fingerprint. Bestätigen Sie den Fingerprint mit dem Aussteller der Zertifikate über einen zweiten Kanal.

Nur Zertifikat¶

Die Wahl von Certificate only öffnet eine Bestätigung. Use certificate only bleibt gesperrt, bis Sie ankreuzen, dass der Aussteller bei jedem ausgestellten Zertifikat prüft, dass der Schlüssel im TPM des Gateways erzeugt wurde und es nie verlässt. Speichern Sie danach wie gewohnt.

Bestätigung für Certificate only mit dem Pflicht-Kontrollkästchen

Der Wechsel wird festgehalten: Audit history zeigt ihn als Trust settings changed, mit Modus, Richtlinie und dass er bestätigt wurde.

Eintrag im Audit-Verlauf für den Wechsel zu Certificate only

Meldungen¶

Meldung	Was Sie tun
`This file contains a private key. Upload only the public CA certificate chain — never a private key. Nothing was sent.`	Entfernen Sie den Schlüsselblock und laden Sie nur die Zertifikate hoch. Betrachten Sie den Schlüssel als offengelegt, falls er je ein echter war.
`Certificate only needs the confirmation. Tick the box in the dialog and save again.`	Wählen Sie Certificate only erneut, kreuzen Sie die Bestätigung an und speichern Sie.
`The revocation list address must be a full http or https URL.`	Geben Sie die vollständige Adresse ein, einschließlich `https://`.