Urządzenie osadzone z wbudowanym interfejsem SSL

Question

W przypadku wbudowanego urządzenia wymagamy zalogowania się do jego sieci bez wysyłania poświadczeń użytkownika w postaci zwykłego tekstu.

Wygląd logu w formularzu powinien być dostosowywany, więc uwierzytelnianie digest nie jest możliwe. Jedyną pozostałą opcją, jaką widzimy, jest użycie HTTPS z SSL.

Urządzenie jest zwykle dostępne z lokalnej sieci przez jego adres IP, ale może być również udostępnione z Internetu.

Moje pytanie brzmi: Czy można w ogóle zapobiec wyświetlaniu ostrzeżenia przeglądarki "Nie można certyfikować", jeśli nie przypisano nazwy DNS do urządzenia dostępnego lokalnie? Jak widzę, certyfikat SSL musi być związany z nazwą DNS i certyfikowany przez urząd certyfikacji, aby przeglądarka mogła w pełni akceptować certyfikat.

Jestem w pełni świadomy, że bez certyfikowanej certyfikacji przeglądarka nie może uwierzytelnić serwera, co może prowadzić do ataku typu "człowiek w środku".

Po pełnym skonfigurowaniu urządzenia dostęp do niego jest bardzo rzadki, ale powinien być łatwo dostępny.

Answer 1

HTTPS zezwala na wydawanie certyfikatu na adres IP zamiast na nazwę hosta. Rzeczywiście, specyfikacja HTTPS (RFC 2818) stwierdza: "W niektórych przypadkach identyfikator URI jest określony jako adres IP, a nie nazwa hosta.W takim przypadku nazwa obiektu podmiotu iPAddress musi znajdować się w certyfikacie i musi dokładnie odpowiadać adresowi IP w identyfikatorze URI . "

Jeśli więc można uzyskać certyfikat SSL/TLS z urzędu certyfikacji, który jest powiązany z adresem IP urządzenia, klienci łączący się z nim powinni zaakceptować go jako ważny (1) identyfikator URI używany do uzyskania dostępu do urządzenia jest adresem IP zgodnym z adresem zawartym w certyfikacie oraz (2) certyfikat jest wydawany przez łańcuch CA zaufany przez urządzenie klienta.

Jeśli potrzebujesz tylko dostępu do tego urządzenia za pomocą klientów, którymi sterujesz, możesz użyć samopodpisanego, powiązanego z adresem IP, generowanego certyfikatu, ale musisz skonfigurować każdego klienta, który miałby do niego dostęp, jawnie ufaj temu certyfikatowi, ponieważ nie zostałby wystawiony przez zaufany urząd certyfikacji.