解決策 1: 自己署名 CA 証明書の組み込みファームウェアを使用する
1. 組み込みの CA 証明書をダウンロードする
ファームウェアにはCA証明書が組み込まれており、ユーザーはWebページから証明書をダウンロードし、証明書をPCのシステムにインポートできます。
設定 -> システム -> メンテナンス -> インポート/エクスポート構成に移動し、[エクスポート] をクリックして CA 証明書をエクスポートします。
CA 証明書の名前は「cacert.crt」です。
2. CA証明書をPCのシステムにインポートする
Windows PCでは、「cacert.crt」ファイルをダブルクリックしてインストールを開始します。
証明書の有効期間は、2023 年 8 月 14 日から 2023 年 8 月 11 日までの 10 年間であることがわかります。
「証明書のインストール...」をクリックします。をクリックして証明書をインポートします。
インポートウィザードで「ローカルマシン」を選択し、「次へ」をクリックします。
「すべての証明書を次のストアに配置する」を選択し、「参照...」をクリックします。をクリックし、「信頼できるルート証明機関」を選択し、「OK」にチェックを入れて「次へ」ステップに進みます。
「完了」をクリックして、証明書のインストールを完了します。
3. デバイスの時刻を確認する
デバイスの時刻が証明書の有効期間内であることを確認してください。
4. デバイスを再起動する
デバイスのIPが変更された場合は、ブラウザに「安全な」接続が表示されるようにデバイスを再起動してください。
Q1:デバイスのIPを変更した後、ブラウザに「安全ではない」HTTPS接続と表示される理由
A1: ファームウェアにはルート CA とルート CA 秘密鍵があります。デフォルトでは、デバイスが起動するたびに、ルート CA と秘密鍵を使用して、現在のデバイス IP に従ってサーバー証明書とサーバー秘密鍵を生成します。
デバイス IP を変更した後、サーバー証明書の IP がデバイスと一致しない場合、ブラウザはそれを無効な証明書と見なすため、接続は「安全ではありません」と表示されます。
デバイスを再起動して、新しいIPに従ってサーバー証明書とサーバー秘密鍵を再度生成できるようにすると、接続が再び「セキュア」と表示されます。
Q2:ファームウェア内蔵CA証明書をPCシステムにインポートした後、ブラウザに「安全ではありません」と表示されるのはなぜですか?
A2: 独自のサーバー証明書とサーバー秘密鍵をデバイスにアップロードした場合、証明書は証明書を使用しますが、証明書はデバイスの組み込み CA によって署名されていないため、検証に失敗したため、接続は "安全ではありません" です。
証明書の生成に使用されたルートCAをPCシステムにインポートすると、接続は「安全」になります。
解決策 2: 自己署名 CA 証明書を使用する
1. 自己署名 CA 証明書を作成する
Linux 仮想マシンに OpenSSL をインストールし、以下の手順のコマンドを使用して自己署名 CA 証明書を作成します。
ステップ 1: ルート CA 秘密キーを生成する
Example command: OpenSSL GenRSA -アウト rootCA.key 2048
(“rootCA.key”is the private key name, you can define by yourself)
ステップ 2: ルート CA 秘密キーを使用して、ルート CA 要求を生成します。
ExampleCommand:openssl req -new -key rootCA.key -out rootCA.csr -subj "/C=CN/ST=GD/L=SZ/O=SNL/OU=TECH/CN= ipc.security.com"
(“rootCA.csr”is root CA request file name, /C=country code, /ST=province code, /L=city code, /O=organizationcode, /OU=department code, /CN=Common name, it can be IP or domain or org name)
Step 3:Use root CA request and root CA private key to generate root CA.
Examplecommand: openssl x509 -req -days 365 -in rootCA.csr -signkey rootCA.key -out rootCA.crt
(365 は、この CA の検証期間が 365 日であることを意味します)
2.サーバー秘密鍵とサーバー証明書を生成します。
ステップ 1: サーバー秘密鍵を生成する
Examplecommand: OpenSSL GenRSA -out server.key 2048
ステップ2:サーバー秘密キーを使用して、サーバー証明書要求を生成します。
Examplecommand: openssl req -new -key server.key -out server.csr -subj "/C=CN/ST=GD/L=SZ/O=SNL/OU=TECH/CN=192.168.1.120" -addext "subjectAltName (サブジェクトアルト名)=IP:192.168.1.120インチ
(The server certificate will be uploaded the device side, the subjectAltName (サブジェクトアルト名)should be device IP or domain, or both, for example: "subjectAltName (サブジェクトアルト名)=DNS:ipc.support.com、IP:192.168.1.120インチ)
ステップ3:ルートCA、ルートCA秘密鍵、サーバー証明書要求を使用して、サーバー証明書を生成します。
Example command: openssl x509 -req -in server.csr -CA rootCA.crt -CAkey rootCA.key -CAcreateserial -out server.crt -days 365 -sha256 -extfile <(echo "subjectAltName (サブジェクトアルト名)=IP:192.168.1.120インチ)
3. サーバー証明書とサーバー秘密鍵をデバイスにアップロードします
Go to Setting -> System -> Security ->HTTPS Certificate, select your server certificateand server private key, then click on “Upload”.
4. 自己署名CA証明書をPCのシステムにインポートする
Refer to [Import the CA certificate into PC’s system]in Solution 1to import the self-signed CA certificate.
5. Change deviceIP and synchronizedevicetime
The deviceIP should be align with the IP address inside the certificate.If not, please change your deviceIP.
Thedevicetime should be withinthe server certificate valid period. If not, please change your devicetime.
解決策 3: パブリック CA 証明書を使用する
DigiCert、Sectigo、GlobalSignなどの公開認証局はたくさんあります。
Those public Certificate Authorities are trusted by the popular operation systems and browsers, so theywill embed their root CA certificates.
If a server is using a server certificate signed by the public Certificate Authority, then root CA doesn’t need to be manually importedinto system.
1. Input the certificaterequest information and then click on “Create”to generate certificate request.
(The Common Name should be the deviceIP address/domain)
2. Click on “Export”to download the certificate request file. The file is named as “certreq.pem”by default.
3. Send the certificate request file “certreq.pem”to a public Certificate Authority to generate/sign a server certificate.
Note: When Certificate Authority sign the server certificate, the server certificatemust contain subjectAltName (サブジェクトアルト名)(for example: "subjectAltName (サブジェクトアルト名)=DNS:ipc.support.com、IP:192.168.2.120") and the IP/Domain must be the same with deviceIP/Domian.
4. Select the server certificate signed by public Certificate Authority, the click on “Upload”to upload it to device.
5. Re-openthe browser and access device via HTTPS, the connection will show “secure”.
Q3: Certificate Authority providesserver certificate according to my CSR(certificate request file), can I upload the same certificate file to other devices?
A3: No. The server certificate is generated through a CSR, and the CSR is generated through the server private key. When you create CSR (certreq.pem) on device, itwill create a private key first. Each time the devicewill create a different private key and store inside, so your server certificate and devices private key is a pair.
If you restore the device, the previous private key will be deleted from it, next time the devicewill generate a new private key, therefore the old server certificate generated through the old CSR will not be valid any more.
Q4: 認証局の証明書を別のデバイスにアップロードするにはどうすればよいですか?
A4: If you want to apply for server certificate from Certificate Authority and upload the same certificate into different devices, then Don’t use deviceto create CSR, but create CSR and save the private key by yourself, or you can ask Certificate Authority to create both server certificate and server private key for you, then upload both files into the device.
Q5: How to check the server certificate information ondevice?
答え5:
Step 1. Enable HTTPSmode, then access the deviceweb page by HTTPS.
Step 2. Click on browser’s “Not secure”or “Secure”icon, then click on “Certificate details”to check the current certificate details.
ステップ 3.サーバー証明書の有効期間は「一般」にあります
You can find the server/deviceIP assigned to this server certificate.
Note: DeviceIP address must align with this server certificate IP, otherwise browser will not trust this server certificate and the HTTPSconnection willshow“Not secure”.
