mTLS in HSYCO 4.1: si connettono solo i client con un certificato valido

Da HSYCO 4.1 il server può richiedere un certificato a ogni client che si collega. Con il Mutual TLS (mTLS) non è più solo il client a verificare l’identità del server: anche HSYCO verifica quella del client, e una connessione senza un certificato valido viene rifiutata prima ancora che compaia la pagina di accesso.

Per chi integra sistemi di building automation significa poter limitare l’accesso a dispositivi precisi, come il tablet del manutentore, il PC della sala controllo o un sistema esterno che usa l’interfaccia HTTP, in aggiunta alla normale autenticazione con utente e password.

Dove si attiva

mTLS si attiva separatamente per due interfacce, con due parametri di configurazione:

• RequireMTLSWebUI, per l’interfaccia web;
• RequireMTLSHttpRaw, per l’interfaccia HTTP raw.

Certificati gestiti da HSYCO

I certificati dei client si gestiscono dalle impostazioni del Manager, senza strumenti esterni:

• generazione di certificati autofirmati (RSA a 2048 bit, firma SHA-256), esportati in un file PKCS#12 con password facoltativa, da installare sul dispositivo client;
• importazione di certificati esistenti in formato PKCS#12, PEM o DER. Si può importare anche il certificato di un’autorità di certificazione: HSYCO accetta allora ogni client con un certificato firmato da quella CA;
• revoca: si elimina il certificato dall’elenco dei client fidati, e le connessioni successive di quel client vengono rifiutate.

L’elenco dei certificati fidati sta in un file a parte, clients.keys. HSYCO lo ricarica da solo quando cambia, senza riavvio, e negli impianti in alta affidabilità lo sincronizza fra Master e Slave.

Validità e scadenza

A ogni connessione HSYCO controlla che il certificato sia fra quelli fidati e che sia nel suo periodo di validità. Un certificato scaduto viene rifiutato come uno sconosciuto, e ogni rifiuto finisce nel log con l’indirizzo IP del client.

La data di scadenza di ogni certificato si vede nel Manager. Il rinnovo non è automatico: il certificato va sostituito prima che scada. Il controllo dipende dall’orologio del server, quindi conviene tenerlo sincronizzato via NTP.

Prima di attivarlo

• Con mTLS attivo sull’interfaccia web, se l’unico certificato di amministrazione scade o viene eliminato, l’accesso web si perde. Si recupera solo dal file system, via SSH o console, impostando RequireMTLSWebUI=false in hsyco.ini.
• clients.keys è l’unica copia dell’elenco dei client fidati e va incluso nei backup.

La configurazione completa è nella documentazione: Client certificates (mTLS).