security - que - Dispositivo insertado habilitado para web SSL

ssl que es

Question

Para un dispositivo integrado en desarrollo, tenemos un requisito para iniciar sesión en su web sin enviar credenciales de usuario en texto claro.

El aspecto del formulario de inicio de sesión debe ser personalizable, por lo que no es posible la autenticación resumida. La única opción restante, tal como la vemos, es usar HTTPS con SSL.

Por lo general, se accede al dispositivo desde la red local por su dirección IP, pero también se puede acceder desde Internet.

Mi pregunta es: ¿es posible evitar la advertencia del navegador "No se puede certificar" cuando no se asigna un nombre DNS al dispositivo al que se accede localmente? Según lo veo, un certificado SSL debe estar vinculado a un nombre DNS y certificado en una autoridad de certificación para que el navegador acepte completamente el certificado.

Soy plenamente consciente del hecho de que sin una certificación certificada, el navegador no puede autenticar el servidor web, lo que podría conducir a un ataque de "hombre en el medio".

Cuando el dispositivo está completamente configurado, solo se accede muy raramente, pero debe ser de fácil acceso.

Answer 1

HTTPS permite que se emita un certificado a una dirección IP en lugar de un nombre de host. De hecho, la especificación HTTPS (RFC 2818) establece "En algunos casos, el URI se especifica como una dirección IP en lugar de un nombre de host. En este caso, el asunto iPAddressAltName debe estar presente en el certificado y debe coincidir exactamente con la IP en el URI "

Por lo tanto, si puede obtener un certificado SSL / TLS de una CA que esté vinculada a la dirección IP de su dispositivo, los clientes que se conectan deben aceptarlo tan válido como (1) el URI utilizado para acceder al dispositivo es la dirección IP que coincida con lo contenido en el certificado, y (2) el certificado sea emitido por una cadena de CA de confianza del dispositivo cliente.

Si solo necesita acceder a este dispositivo usando clientes que usted controla, puede usar un autofirma, vinculado a la dirección IP, certificado que genera, pero deberá configurar cada cliente que accederá a él para confiar explícitamente en ese certificado. ya que no sería emitido por una CA confiable.