Soluzione 1: utilizzare il firmware integrato del certificato CA autofirmato
1. Scarica il certificato CA integrato
Il firmware ha un certificato CA integrato, l'utente può scaricare il certificato dalla pagina web, quindi importare il certificato nel sistema del PC.
Vai su Impostazioni -> Sistema -> Manutenzione -> Importa/Esporta configurazione, fai clic su "Esporta" per esportare il certificato CA.

Il certificato CA è denominato "cacert.crt".

2. Importare il certificato CA nel sistema del PC
Su PC Windows, fare doppio clic sul file "cacert.crt" per avviare l'installazione.
Puoi vedere che il periodo di validità del certificato è di 10 anni, dal 14/08/2023 all'11/08/2023.
Fare clic su "Installa certificato..." per importare il certificato.

Selezionare "Computer locale" nella procedura guidata di importazione, quindi fare clic su "Avanti".

Seleziona "Posiziona tutti i certificati nel seguente store", quindi fai clic su "Sfoglia..." e seleziona "Autorità di certificazione radice attendibili", quindi seleziona OK e vai al passaggio "Successivo".

Fare clic su "Fine" per completare l'installazione del certificato.

3. Controlla l'ora del dispositivo
Assicurarsi che l'ora del dispositivo rientri nel periodo di validità del certificato.
4. Riavvia il dispositivo
Se l'IP del dispositivo viene modificato, riavvia il dispositivo in modo che il browser mostri una connessione "sicura".

Q1: Dopo aver modificato l'IP del dispositivo, perché il browser mostra la connessione HTTPS "Non sicura"
R1: Il firmware dispone di una CA radice e di una chiave privata CA radice. Per impostazione predefinita, ogni volta che il dispositivo viene avviato, utilizzerà la CA radice e la chiave privata per generare un certificato del server e una chiave privata del server in base all'IP del dispositivo corrente.
Dopo aver modificato l'IP del dispositivo, l'IP del certificato del server non corrisponde al dispositivo, quindi il browser lo considererà un certificato non valido, quindi la connessione mostrerà "Non sicuro".
Riavvia il dispositivo in modo che possa generare nuovamente il certificato del server e la chiave privata del server in base al nuovo IP, quindi la connessione mostrerà nuovamente "sicuro".
Q2: Dopo aver importato il certificato CA integrato nel firmware nel sistema PC, perché il browser mostra ancora "Non sicuro"?
R2: Se hai caricato il tuo certificato del server e la chiave privata del server nel dispositivo, utilizzerà il tuo certificato, poiché il tuo certificato non è firmato dalla CA integrata del dispositivo, la verifica non è riuscita quindi la connessione è "Non sicura".
È possibile importare la CA radice utilizzata per generare il certificato nel sistema PC, quindi la connessione sarà "sicura".
Soluzione 2: utilizzare un certificato CA autofirmato
1. Creare un certificato CA autofirmato
Installare OpenSSL in una macchina virtuale Linux, quindi usare i comandi descritti nei passaggi seguenti per creare un certificato CA autofirmato.
Passaggio 1: Generare la chiave privata della CA radice
Example command: OpenSSL Genrsa -out rootCA.key 2048
("rootCA.key" è il nome della chiave privata, che puoi definire da solo)
Passaggio 2: utilizzare la chiave privata della CA radice per generare la richiesta della CA radice.
Example Command: openssl req -new -key rootCA.key -out rootCA.csr -subj "/C=CN/ST=GD/L=SZ/O=SNL/OU=TECH/CN= ipc.security.com"
("rootCA.csr" è il nome del file di richiesta CA radice, /C=codice paese, /ST=codice provinciale, /L=codice città, /O=codice organizzazione, /OU=codice dipartimento, /CN=nome comune, può essere IP o dominio o nome organizzazione)
Passaggio 3: utilizzare la richiesta CA radice e la chiave privata CA radice per generare la CA radice.
Example command: openssl x509 -req -giorni 365 -in rootCA.csr -signkey rootCA.key -out rootCA.crt
(365 significa che il periodo di convalida di questa CA è di 365 giorni)

2. Generare la chiave privata del server e il certificato del server.
Passaggio 1: Generare la chiave privata del server
Example command: OpenSSL Genrsa -Out server.key 2048
Passaggio 2: utilizzare la chiave privata del server per generare la richiesta di certificato del server.
Example command: openssl req -new -key server.key -out server.csr -subj "/C=CN/ST=GD/L=SZ/O=SNL/OU=TECH/CN=192.168.1.120" -addext "subjectAltName=Codice: 192.168.1.120"
(The server certificate will be uploaded the device side, the subjectAltName should be device IP or domain, or both, for example: "subjectAltName=DNS:ipc.support.com,Codice: 192.168.1.120")
Passaggio 3: utilizzare la CA radice, la chiave privata CA radice, la richiesta di certificato del server per generare il certificato del server.
Example command: openssl x509 -req -in server.csr -CA rootCA.crt -CAkey rootCA.key -CAcreateserial -out server.crt -days 365 -sha256 -extfile <(echo "subjectAltName=Codice: 192.168.1.120")

3. Caricare il certificato del server e la chiave privata del server nel dispositivo
Vai su Impostazioni -> Sistema -> Sicurezza -> Certificato HTTPS, seleziona il certificato del server e la chiave privata del server, quindi fai clic su "Carica".

4. Importare il certificato CA autofirmato nel sistema del PC
Fare riferimento a [Importazione del certificato CA nel sistema del PC] nella Soluzione 1 per importare il certificato CA autofirmato.
5. Modificare l'IP del dispositivo e sincronizzare l'ora del dispositivo
L'IP del dispositivo deve essere allineato con l'indirizzo IP all'interno del certificato. In caso contrario, cambia l'IP del tuo dispositivo.
L'ora del dispositivo deve rientrare nel periodo di validità del certificato del server. In caso contrario, modifica l'ora del dispositivo.

Soluzione 3: utilizzare un certificato CA pubblico
Ci sono molte autorità di certificazione pubbliche, come DigiCert, Sectigo, GlobalSign, ecc.
Queste autorità di certificazione pubbliche sono considerate attendibili dai sistemi operativi e dai browser più diffusi, quindi incorporeranno i loro certificati CA radice.
Se un server utilizza un certificato server firmato dall'autorità di certificazione pubblica, non è necessario importare manualmente nel sistema la CA radice.
1. Immettere le informazioni sulla richiesta di certificato e quindi fare clic su "Crea" per generare la richiesta di certificato.
(Il nome comune deve essere l'indirizzo/dominio IP del dispositivo)

2. Fare clic su "Esporta" per scaricare il file di richiesta del certificato. Per impostazione predefinita, il file è denominato "certreq.pem".

3. Inviare il file di richiesta del certificato "certreq.pem" a un'autorità di certificazione pubblica per generare/firmare un certificato del server.
Nota: quando l'autorità di certificazione firma il certificato del server, il certificato del server deve contenere subjectAltName (ad esempio: "subjectAltName=DNS:ipc.support.com,IP:192.168.2.120") e l'IP/Dominio deve essere lo stesso del dispositivo IP/Domian.
4. Selezionare il certificato del server firmato dall'autorità di certificazione pubblica, quindi fare clic su "Carica" per caricarlo sul dispositivo.

5. Riaprire il browser e accedere al dispositivo tramite HTTPS, la connessione mostrerà "sicuro".


Q3: L'autorità di certificazione fornisce il certificato del server in base al mio CSR (file di richiesta del certificato), posso caricare lo stesso file di certificato su altri dispositivi?
R3: No. Il certificato del server viene generato tramite una CSR e la CSR viene generata tramite la chiave privata del server. Quando si crea CSR (certreq.pem) sul dispositivo, verrà creata prima una chiave privata. Ogni volta che il dispositivo creerà una chiave privata diversa e memorizzerà all'interno, quindi il certificato del server e la chiave privata del dispositivo sono una coppia.
Se si ripristina il dispositivo, la chiave privata precedente verrà eliminata da esso, la prossima volta il dispositivo genererà una nuova chiave privata, quindi il vecchio certificato del server generato tramite il vecchio CSR non sarà più valido.
Q4: Come caricare il certificato dell'autorità di certificazione su diversi dispositivi?
R4: Se desideri richiedere il certificato del server all'autorità di certificazione e caricare lo stesso certificato in dispositivi diversi, non utilizzare il dispositivo per creare CSR, ma crea CSR e salva la chiave privata da solo, oppure puoi chiedere all'autorità di certificazione di creare sia il certificato del server che la chiave privata del server per te, quindi caricare entrambi i file nel dispositivo.
Q5: Come controllare le informazioni sul certificato del server sul dispositivo?
A5:
Passaggio 1. Abilita la modalità HTTPS, quindi accedi alla pagina Web del dispositivo tramite HTTPS.

Passaggio 2. Fare clic sull'icona "Non sicuro" o "Sicuro" del browser, quindi fare clic su "Dettagli certificato" per controllare i dettagli del certificato corrente.


Passaggio 3. Il periodo di validità del certificato del server è riportato alla voce "Generale"

È possibile trovare l'IP del server/dispositivo assegnato a questo certificato del server.
Nota: l'indirizzo IP del dispositivo deve essere allineato con l'IP del certificato del server, altrimenti il browser non considererà attendibile il certificato del server e la connessione HTTPS mostrerà "Non sicuro".
