Inhaltsverzeichnis
Werbung
Spezifikationen
4.7
SSL
TLS Standard
Das Gerät ist kompatibel zu den Standards TLS v1.1 bis TLS v1.3. W egen fehlender
Sicherheit sind SSL v3.0, TLS 1.0, sowie die Verschlüsselungen RC4, MD5, SHA1 und
DES deaktiviert. Alle Ciphers nutzen einen Diffie-Hellman Schlüsselaustausch (Perfect
Forward Secrecy).
TLS 1.3 Performance
Beim Zusammenspiel von TLS 1.3 und unsicheren Zertifikaten und einem W ebbrowser
mit Chromium Engine (Google Chrome oder MS Edge) kann es zu Performance-
Einbußen, und damit längeren Ladezeiten kommen. In dieser Konstellation unterstützt
die Chromium Engine nicht korrekt den SSL Session Cache (Session Tickets) und die
Mathematikeinheit der Embedded CPU kann mit andauernden RSA Operationen
überfordert sein. Mögliche Abhilfen:
· Einsatz von sicheren Zertifikaten (offizielle Zertifizierungsstelle oder im OS als sicher
markiert)
· oder Nutzung vom Firefox Browser
· oder Verwendung von ECC 256 (kein RSA) Zertifikaten
· oder auf "TLS v1.2 only" konfigurieren
Erstellen eigener Zertifikate
Der SSL Stack wird mit einem eigens neu generierten self-signed Zertifikat ausgeliefert.
Es gibt keine Funktion, um das lokale Zertifikat auf Knopfdruck neu zu erzeugen, da die
benötigten Zufallszahlen in einem Embedded Device meist nicht unabhängig genug sind.
Man kann jedoch selbst neue Zertifikate erzeugen und auf das Gerät importieren. Der
Server akzeptiert RSA (2048/4096) und ECC (Elliptic Curve Cryptography) Zertifikate.
Zum Erstellen eines SSL-Zertifikats wird meist OpenSSL verwendet. Für W indows gibt
es z.B. die Light-Version von Shining Light Productions. Dort eine Eingabeaufforderung
öffnen, in das Verzeichnis "C:\OpenSSL-Win32\bin" wechseln und diese Environment
Variablen setzen:
set openssl_conf=C:\OpenSSL-Win32\bin\openssl.cfg set
RANDFILE=C:\OpenSSL-Win32\bin\.rnd
Hier einige Beispiele zur Generierung mit OpenSSL:
Erstellung eines RSA 2048-Bit self-signed Zertifikats
openssl genrsa -out server.key 2048
openssl req -new -x509 -days 365 -key server.key -out server.crt
RSA 2048-Bit Zertifikat mit Sign Request:
openssl genrsa -out server.key 2048
openssl req -new -key server.key -out server.csr
openssl req -x509 -days 365 -key server.key -in server.csr -out server.crt
ANS3101RM
KESS Power Solutions GmbH
Werbung
Inhaltsverzeichnis
