Проверка сертификата центра IoT

Question

У нас есть следующая цепочка сертификатов:

• RootCA -> IntermProduction -> [листовые сертификаты]
• RootCA -> IntermTest -> [листовые сертификаты испытаний]

Имеет ли значение, если я:

• a) Загрузить в IoT-концентратор RootCA
• б) Загрузить в концентратор IoT оба IntermProduction и IntermTest (без RootCA)

Будут ли какие-либо различия в проверке конечных сертификатов устройств? Наша RootCA является корнем компании с собственной подписью.

Подоплекой вопроса является то, что я загрузил наш rootCA в IoT-хаб, следуя образцам MS здесь . Однако наш специалист по безопасности отказался подтвердить доказательство владения имуществом. Причина: наш rootCA заблокирован, и никакие субсерты не должны выдаваться. Он попросил меня указать в документации, где говорится, что мы ДОЛЖНЫ использовать rootCA. Я не нашел такой точки.

Поскольку я не знаю, что такое IoT Hub, я немного растерялся. Мы переходим от самостоятельного обслуживания к решению IoT. В нашей собственной службе я сам осуществил проверку цепочки сертификатов, и для этого мне понадобился корневой сертификат.

Кто-нибудь имел практический опыт работы с чем-то похожим?

Конечно, есть возможность просто загрузить два промежуточных файла и опробовать его, и у меня есть внутреннее чувство, что это сработает, так что вопрос скорее в том, создаю ли я потенциальное нарушение безопасности?

Answer 1

Извините за задержку ответа. Для вашего сценария вы можете использовать опцию (b) с промежуточным CA, загруженным в IoT Hub: • Используйте IntermProduction для вашего производственного концентратора и IntermTest для вашего тестового концентратора. • Конечные устройства проверяются, начиная с промежуточного ЦС, который связан с вашим корневым ЦС. • Ваш специалист по безопасности должен иметь возможность разрешить Proof-of-Possession (PoP) для промежуточного CA.

Использование этого параметра обеспечивает безопасность и гибкость использования промежуточного ЦС, в то же время ограничивая использование самого корневого ЦС (т. Е. Корневой ЦС не загружается в концентратор IoT).