在硬件設備上保護websockets

Question

我有一個通過websockets與瀏覽器進行通信的硬件設備。 問題是我想要一個安全的連接，不幸的是瀏覽器沒有連接到自簽名證書。 問題是每個硬件設備都可以擁有另一個IP，並且域上的證書是有限的。 我不能為每個硬件購買證書..那么我該怎么辦？

Answer 1

問題是我想要一個安全的連接，不幸的是瀏覽器沒有連接到自簽名證書。

證書用於安全地識別對等方。 必須正確識別以確保不會發生中間人攻擊。 因此，在100個不同的機器中共享相同的證書是沒有意義的，並且無論如何您都會遇到保持相同私鑰安全的問題。

替代方案是自簽名證書。 但是在這種情況下，瀏覽器不會在沒有警告的情況下進行連接，因為如果他們中間人攻擊是微不足道的。 這意味着用戶必須明確地將此證書確認為受信任，並且您必須教育用戶如何使用各種瀏覽器完成此操作。

如果瀏覽器和設備都在一個控件下（例如在公司范圍內推出），您可以使用自己的PKI結構，其中所有證書都由您自己的CA頒發，並且所有瀏覽器都信任此CA.

問題是每個硬件設備都可以擁有另一個IP，並且域上的證書是有限的。

不，也可以生成證書來識別IP地址。 您通常不會通過公共CA獲取這些證書，但私有CA可以頒發此類證書，並且自簽名證書也可以。 當然，如果IP在很長一段時間內保持不變，那么使用IP地址而不是名稱才有意義。