Dispositivo incorporado habilitado para web SSL

Question

Para un dispositivo incrustado en desarrollo, tenemos un requisito para iniciar sesión en su web sin enviar credenciales de usuario en texto claro.

El aspecto del formulario de inicio de sesión debe ser personalizable, por lo que no es posible la autenticación resumida. La única opción restante, tal como la vemos, es usar HTTPS con SSL.

Por lo general, se accede al dispositivo desde la red local por su dirección IP, pero también se puede acceder desde Internet.

Mi pregunta es: ¿es posible evitar la advertencia del navegador "No se puede certificar", cuando no se asigna un nombre DNS al dispositivo al que se accede localmente? Según lo veo, un certificado SSL debe estar vinculado a un nombre DNS y certificado en una autoridad de certificación para que el navegador acepte completamente el certificado.

Soy plenamente consciente del hecho de que sin una certificación certificada, el navegador no puede autenticar el servidor web, lo que podría conducir a un ataque de "man-in-the-middle".

Cuando el dispositivo está completamente configurado, solo se accede muy raramente, pero debe ser de fácil acceso.

Answer 1

HTTPS permite que se emita un certificado a una dirección IP en lugar de un nombre de host. De hecho, la especificación HTTPS (RFC 2818) establece "En algunos casos, el URI se especifica como una dirección IP en lugar de un nombre de host. En este caso, el tema iPAddressAltName debe estar presente en el certificado y debe coincidir exactamente con la IP en el URI "

Por lo tanto, si puede obtener un certificado SSL/TLS de una CA que está vinculada a la dirección IP de su dispositivo, los clientes que se conectan deben aceptarlo como válido (1) el URI utilizado para acceder al dispositivo es la dirección IP que coincide con la que figura en el certificado, y (2) el certificado es emitido por una cadena de CA de confianza del dispositivo cliente.

Si solo necesita acceder a este dispositivo utilizando los clientes que controla, puede usar un autofirma, vinculado a la dirección IP, certificado que genera, pero deberá configurar cada cliente que lo accederá a Confíe explícitamente en ese certificado ya que no sería emitido por una CA confiable.