Identité des appareils à grande échelle
Provisionnez, renouvelez et révoquez les certificats d'appareils avec EST et CMP, de la ligne de production au parc installé.
Briques de base
| Besoin | EST (RFC 7030) | CMP (RFC 4210, profil RFC 9483, sur HTTP) |
|---|---|---|
| Point de terminaison des appareils | POST /.well-known/est/<slug>/simpleenroll, /simplereenroll, /serverkeygen, GET /cacerts, /csrattrs | POST /.well-known/cmp/<alias>, Content-Type: application/pkixcmp |
| Configuration | Configuration EST sur la CA et un point de terminaison de service EST (son slug est le segment d'URL) | Un alias CMP et un point de terminaison de service CMP (son slug est le nom de l'alias) |
| Identifiant d'amorçage | HTTP Basic : utilisateur = identité de l'appareil, mot de passe = secret du point de terminaison (stocké sous forme de vérificateur, comparé en temps constant) ; un jeton bearer est aussi accepté | Secret partagé : protection PBM (RFC 4210) ou PBMAC1 (RFC 9480) des messages ir / cr |
| Renouvellement | simplereenroll | kur signé avec le certificat actuel de l'appareil, ou protégé par le secret partagé |
| Révocation | API de gestion ou console ; publication dans la CRL et l'OCSP | rr avec une réponse rp signée ; API de gestion |
| Génération de clé côté serveur | serverkeygen | Non prise en charge (réponse de rejet signée) |
Provisionnement en usine
Utiliser une CA dédiée aux appareils
Créez (ou importez) une CA émettrice pour les appareils, distincte des CA serveurs et utilisateurs, afin de pouvoir la révoquer et la renouveler indépendamment. Envisagez une clé de CA résidente dans un vault.
Configurer le protocole
EST : approbation automatique, secret de point de terminaison robuste, validité maximale. CMP : secret HMAC, mise à jour de clé autorisée, validité maximale. Démarrez le point de terminaison de service.
Enrôler sur la ligne
Chaque appareil génère sa paire de clés (dans son élément sécurisé s'il en a un), construit un CSR (EST) ou une demande CRMF (CMP) avec son numéro de série comme sujet, et s'enrôle avec l'identifiant d'amorçage. Donnez à chaque appareil sa propre identité dans le nom d'utilisateur HTTP Basic : la limite EST par identité en dépend.
Stocker le résultat
Stockez le certificat émis et la chaîne de la CA (/cacerts, ou caPubs dans la réponse CMP) sur l'appareil.
Renouveler le secret d'amorçage
Renouvelez le secret d'amorçage par lot ou par ligne. Il n'autorise que l'enrôlement ; le changer n'affecte pas les certificats émis.
Renouvellement et révocation
- CMP : renouvelez avec un
kursigné par la clé actuelle de l'appareil et portant son certificat actuel. Cockpit vérifie la chaîne jusqu'à la CA de l'alias, et que le certificat est connu et non révoqué : un secret d'amorçage volé ne suffit pas à renouveler l'identité d'un autre appareil par ce moyen. - EST :
simplereenrollest authentifié avec le même identifiant de point de terminaison que le premier enrôlement. Cockpit ne termine pas lui-même l'authentification TLS client et ne lie donc pas le réenrôlement au certificat renouvelé. Si ce lien est nécessaire, terminez le TLS mutuel sur l'ingress, ou utilisez CMPkur. - Révocation : révoquez un certificat d'appareil depuis la console, l'API de gestion ou avec CMP
rr. Les parties de confiance le voient dans la CRL suivante ou via OCSP.
Limites de débit
| Limite | Valeur |
|---|---|
| Par adresse client, tous protocoles d'enrôlement publics confondus | 1 000 requêtes par minute par défaut ; les déploiements sur site peuvent la régler de 60 à 100 000 avec DKE_PROTOCOL_RATE_LIMIT_PER_MIN |
| Par identité EST et point de terminaison | 20 requêtes par minute |
| Par alias CMP | La limite propre de l'alias (0 = aucune) |
L'adresse client est le pair TCP, ou l'adresse transmise lorsque la requête passe par un proxy de confiance. Une ligne de provisionnement ou un parc derrière une seule adresse NAT partage un seul budget par adresse : par défaut, il ne peut pas dépasser 1 000 enrôlements par minute (60 000 par heure), quelle que soit la capacité du serveur. Pour ces déploiements, relevez la limite par adresse (sur les tenants hébergés par DuoKey, demandez au support DuoKey) ou répartissez les appareils sur plusieurs adresses derrière un ingress qui transmet l'adresse du client. Les limites par identité et par alias continuent de s'appliquer.
Débit
Le débit d'enrôlement dépend de l'emplacement de la clé de CA (logiciel, HSM ou MPC), de la base de données et du réseau. DuoKey dispose d'un banc de mesure qui sollicite toute la pile Cockpit — EST simpleenroll et simplereenroll, CMP ir, cr et kur — avec une identité et une adresse client par appareil simulé, et contrôle chaque réponse. Contactez DuoKey pour dimensionner un déploiement selon les rythmes d'enrôlement et de renouvellement de votre parc ; DuoKey ne publie pas de chiffres de débit tant qu'ils n'ont pas été mesurés sur une version de production et une infrastructure dédiée.