Solution 1 : Utiliser le micrologiciel intégré du certificat d’autorité de certification auto-signé
1. Téléchargez le certificat d’autorité de certification intégré
Le micrologiciel dispose d’un certificat CA intégré, l’utilisateur peut télécharger le certificat à partir de la page Web, puis importer le certificat dans le système du PC.
Allez dans Paramètres -> Système -> Maintenance -> Configuration d’importation/exportation, cliquez sur « Exporter » pour exporter le certificat de l’autorité de certification.

Le certificat de l’autorité de certification est nommé « cacert.crt ».

2. Importez le certificat CA dans le système du PC
Sur un PC Windows, double-cliquez sur le fichier « cacert.crt » pour lancer l’installation.
Vous pouvez voir que la période de validité du certificat est de 10 ans, du 14/08/2023 au 11/08/2023.
Cliquez sur « Installer le certificat... » pour importer le certificat.

Sélectionnez « Machine locale » dans l’assistant d’importation, puis cliquez sur « Suivant ».

Sélectionnez « Placer tous les certificats dans le magasin suivant », puis cliquez sur « Parcourir... » et sélectionnez « Autorités de certification racine de confiance », puis cochez OK et passez à l’étape « Suivant ».

Cliquez sur « Terminer » pour terminer l’installation du certificat.

3. Vérifiez l’heure de l’appareil
Assurez-vous que l’heure de l’appareil est comprise dans la période de validité du certificat.
4. Redémarrez l’appareil
Si l’adresse IP de l’appareil est modifiée, veuillez redémarrer l’appareil afin que le navigateur affiche une connexion « sécurisée ».

Q1 : Après avoir changé l’adresse IP de l’appareil, pourquoi le navigateur affiche une connexion HTTPS « Non sécurisée » ?
R1 : Le micrologiciel dispose d’une autorité de certification racine et d’une clé privée d’autorité de certification racine. Par défaut, chaque fois que l’appareil démarre, il utilise l’autorité de certification racine et la clé privée pour générer un certificat de serveur et une clé privée de serveur en fonction de l’adresse IP actuelle de l’appareil.
Après avoir modifié l’adresse IP de l’appareil, l’adresse IP du certificat du serveur ne correspond pas à celle de l’appareil, puis le navigateur la considérera comme un certificat invalide, de sorte que la connexion affichera « Non sécurisé ».
Redémarrez l’appareil afin qu’il puisse générer à nouveau le certificat du serveur et la clé privée du serveur en fonction de la nouvelle adresse IP, puis la connexion affichera à nouveau « sécurisé ».
Q2 : Après l’importation du certificat CA intégré du micrologiciel dans le système PC, pourquoi le navigateur affiche toujours « Non sécurisé » ?
R2 : Si vous avez téléchargé votre propre certificat de serveur et votre clé privée de serveur dans l’appareil, il utilisera votre certificat, car votre certificat n’est pas signé par l’autorité de certification intégrée de l’appareil, la vérification a échoué et la connexion n’est donc pas sécurisée.
Vous pouvez importer l’autorité de certification racine qui a été utilisée pour générer votre certificat dans le système du PC, alors la connexion sera « sécurisée ».
Solution 2 : Utiliser un certificat d’autorité de certification auto-signé
1. Créez un certificat d’autorité de certification auto-signé
Installez OpenSSL sur une machine virtuelle Linux, puis utilisez les commandes des étapes ci-dessous pour créer un certificat d’autorité de certification auto-signé.
Étape 1 : Générer la clé privée de l’autorité de certification racine
Example command: OpenSSL Genrsa -Out rootCA.key 2048
(« rootCA.key » est le nom de la clé privée, vous pouvez définir vous-même)
Étape 2 : Utilisez la clé privée de l’autorité de certification racine pour générer une demande d’autorité de certification racine.
Example Command: openssl req -new -key rootCA.key -out rootCA.csr -subj « /C=CN/ST=GD/L=SZ/O=SNL/OU=TECH/CN= ipc.security.com »
(« rootCA.csr » est le nom du fichier de demande de l’autorité de certification racine, /C = code pays, /ST = code province, /L = code ville, /O = code d’organisation, /OU = code département, /CN = nom commun, il peut s’agir d’IP, de domaine ou d’organisation)
Étape 3 : Utilisez la demande d’autorité de certification racine et la clé privée de l’autorité de certification racine pour générer l’autorité de certification racine.
Example command: openssl x509 -req -days 365 -in rootCA.csr -signkey rootCA.key -out rootCA.crt
(365 signifie que la période de validité de cette AC est de 365 jours)

2. Générez la clé privée du serveur et le certificat du serveur.
Étape 1 : Générer la clé privée du serveur
Example command: OpenSSL Genrsa -Sortie server.key 2048
Étape 2 : Utiliser la clé privée du serveur pour générer la demande de certificat du serveur.
Example command: openssl req -new -key server.key -out server.csr -subj « /C=CN/ST=GD/L=SZ/O=SNL/OU=TECH/CN=192.168.1.120 » -addext « subjectAltName=IP :192.168.1.120 »
(The server certificate will be uploaded the device side, the subjectAltName should be device IP or domain, or both, for example: "subjectAltName=DNS:ipc.support.com,Adresse IP : 192.168.1.120 »)
Étape 3 : Utilisez l’autorité de certification racine, la clé privée de l’autorité de certification racine, la demande de certificat de serveur pour générer le certificat de serveur.
Example command: openssl x509 -req -in server.csr -CA rootCA.crt -CAkey rootCA.key -CAcreateserial -out server.crt -days 365 -sha256 -extfile <(echo "subjectAltName=Adresse IP : 192.168.1.120 »)

3. Téléchargez le certificat de serveur et la clé privée du serveur dans l’appareil
Allez dans Paramètres -> Système -> Sécurité -> Certificat HTTPS, sélectionnez le certificat et la clé privée de votre serveur, puis cliquez sur « Télécharger ».

4. Importez le certificat de l’autorité de certification auto-signé dans le système du PC
Reportez-vous à [Importer le certificat d’autorité de certification dans le système du PC] dans la Solution 1 pour importer le certificat d’autorité de certification auto-signé.
5. Modifiez l’adresse IP de l’appareil et synchronisez l’heure de l’appareil
L’adresse IP de l’appareil doit être alignée sur l’adresse IP à l’intérieur du certificat. Si ce n’est pas le cas, veuillez modifier l’adresse IP de votre appareil.
L’heure de l’appareil doit être comprise dans la période de validité du certificat de serveur. Si ce n’est pas le cas, veuillez modifier l’heure de votre appareil.

Solution 3 : Utiliser un certificat d’autorité de certification publique
Il existe de nombreuses autorités de certification publiques, comme DigiCert, Sectigo, GlobalSign, etc.
Ces autorités de certification publiques sont approuvées par les systèmes d’exploitation et les navigateurs populaires, de sorte qu’elles intégreront leurs certificats d’autorité de certification racine.
Si un serveur utilise un certificat de serveur signé par l’autorité de certification publique, il n’est pas nécessaire d’importer manuellement l’autorité de certification racine dans le système.
1. Entrez les informations de la demande de certificat, puis cliquez sur « Créer » pour générer une demande de certificat.
(Le nom commun doit être l’adresse IP/le domaine de l’appareil)

2. Cliquez sur « Exporter » pour télécharger le fichier de demande de certificat. Le fichier est nommé par défaut « certreq.pem ».

3. Envoyez le fichier de demande de certificat « certreq.pem » à une autorité de certification publique pour générer/signer un certificat de serveur.
Remarque : Lorsque l’autorité de certification signe le certificat du serveur, celui-ci doit contenir subjectAltName (par exemple : « subjectAltName=DNS:ipc.support.com,IP :192.168.2.120 ») et l’adresse IP/le domaine doit être le même que l’adresse IP/Dom de l’appareil.
4. Sélectionnez le certificat de serveur signé par l’autorité de certification publique, puis cliquez sur « Télécharger » pour le télécharger sur l’appareil.

5. Rouvrez le navigateur et accédez à l’appareil via HTTPS, la connexion affichera « sécurisé ».


Q3 : L’autorité de certification fournit un certificat de serveur en fonction de mon CSR (fichier de demande de certificat), puis-je télécharger le même fichier de certificat sur d’autres appareils ?
R3 : Non. Le certificat de serveur est généré par le biais d’une CSR et la CSR est générée par le biais de la clé privée du serveur. Lorsque vous créez CSR (certreq.pem) sur l’appareil, il créera d’abord une clé privée. À chaque fois, l’appareil créera une clé privée différente et la stockera à l’intérieur, de sorte que le certificat de votre serveur et la clé privée de votre appareil forment une paire.
Si vous restaurez l’appareil, la clé privée précédente en sera supprimée, la prochaine fois que l’appareil générera une nouvelle clé privée, donc l’ancien certificat de serveur généré par l’ancien CSR ne sera plus valide.
Q4 : Comment télécharger le certificat de l’autorité de certification sur différents appareils ?
R4 : Si vous souhaitez demander un certificat de serveur auprès de l’autorité de certification et télécharger le même certificat sur différents appareils, n’utilisez pas l’appareil pour créer une demande de signature de certificat, mais créez une demande de signature de certificat et enregistrez la clé privée par vous-même, ou vous pouvez demander à l’autorité de certification de créer à la fois un certificat de serveur et une clé privée de serveur pour vous, puis téléchargez les deux fichiers dans l’appareil.
Q5 : Comment vérifier les informations du certificat de serveur sur l’appareil ?
R5 :
Étape 1. Activez le mode HTTPS, puis accédez à la page Web de l’appareil par HTTPS.

Étape 2. Cliquez sur l’icône « Non sécurisé » ou « Sécurisé » du navigateur, puis cliquez sur « Détails du certificat » pour vérifier les détails du certificat actuel.


Étape 3. La durée de validité du certificat de serveur se trouve sous « Général »

Vous pouvez trouver l’adresse IP du serveur/de l’appareil attribuée à ce certificat de serveur.
Remarque : L’adresse IP de l’appareil doit correspondre à l’adresse IP de ce certificat de serveur, sinon le navigateur ne fera pas confiance à ce certificat de serveur et la connexion HTTPS affichera « Non sécurisé ».
