TLS-Zertifikatsverwaltung

Für die verschlüsselte HTTPS-Kommunikation werden zwei voneinander unabhängige TLS-Zertifikate verwendet – eines für die EasySightPro® API und eines für die WebHMI API. Beide funktionieren nach demselben Prinzip und werden über je eine eigene Konfigurationsdatei gesteuert.

Hinweis: Die hier beschriebenen Einstellungen sind für den normalen Betrieb nicht erforderlich. Sie sind nur relevant, wenn Browserwarungen wegen des Zertifikats unterdrückt oder ein eigenes Unternehmenszertifikat verwendet werden soll.

Speicherorte

Die Zertifikatskonfiguration und die exportierte Zertifikatsdatei befinden sich in folgenden Ordnern:

  • EasySightPro® API: C:\Program Files\RELISTE GesmbH\EasySightPro\Certificate

  • WebHMI API: C:\Program Files\RELISTE GesmbH\EasySightPro\WebHMI\Certificate

In jedem dieser Ordner liegen die Konfigurationsdatei certsettings.json sowie die exportierte Zertifikatsdatei (EasySightPro.cer bzw. WebHMI.cer).

Automatisches Zertifikat (Standardmodus)

Das Setup erstellt für WebAPI und WebHMI je ein selbstsigniertes Zertifikat, hinterlegt es im Windows-Zertifikatsspeicher des Rechners und richtet die HTTPS-Portbindung ein. EasySightPro® und WebHMI laufen danach ohne Administratorrechte. Das Zertifikat ist 398 Tage gültig. Die geplante Aufgabe „EasySightPro Zertifikate“ (läuft als SYSTEM, montags 03:00) erneuert es ab 30 Tage vor Ablauf; bis dahin wird das bisherige Zertifikat weiterverwendet. Das Protokoll steht in %PROGRAMDATA%\EasySightPro\CertificateSetup.log.

Die Aufgabe kann auch manuell gestartet werden (als Administrator): schtasks /Run /TN "EasySightPro Zertifikate"

Zusätzlich führt die geplante Aufgabe „EasySightPro Zertifikate (Systemstart)“ dieselbe Prüfung eine Minute nach jedem Systemstart aus. Bei aktivem Schreibfilter (UWF) geht eine Erneuerung beim Neustart verloren; diese Aufgabe stellt Zertifikat und HTTPS-Portbindung sofort wieder her.

Der private Schlüssel ist nicht exportierbar. Leserecht auf den Schlüssel haben nur SYSTEM und Administratoren, beim WebHMI zusätzlich interaktiv angemeldete Benutzer (das WebHMI läuft im Benutzerprozess). Zertifikate früherer Versionen mit exportierbarem Schlüssel werden beim Setup bzw. beim nächsten Lauf der Aufgabe einmalig durch ein neues Zertifikat ersetzt; die neue .cer-Datei muss dann erneut auf den zugreifenden Geräten installiert werden.

Hinweis: Da es sich um ein selbstsigniertes Zertifikat handelt, können Browser beim ersten Aufruf eine Sicherheitswarnung anzeigen. Dies ist erwartetes Verhalten und kein Fehler. Die Warnung kann durch das Installieren der .cer-Datei auf dem zugreifenden Gerät dauerhaft unterdrückt werden.

Hinweis: Ab Version 14.0 greift der Browser nur noch auf die WebHMI (Port 8080) zu. Auf den zugreifenden Geräten genügt deshalb das Zertifikat der WebHMI (WebHMI.cer). Das Zertifikat der WebAPI (EasySightPro.cer) ist nur nötig, wenn die WebAPI im Netzwerk freigegeben ist und ein anderes System sie direkt aufruft.

Zertifikat auf anderen Geräten als vertrauenswürdig einstufen

Damit Browser auf anderen Rechnern oder Tablets keine Sicherheitswarnung anzeigen, muss die .cer-Datei des jeweiligen Dienstes einmalig auf dem zugreifenden Gerät installiert werden. Die Datei befindet sich im oben genannten Zertifikatsordner auf dem Rechner, auf dem EasySightPro® installiert ist.

Vorgehensweise auf einem Windows-Gerät:

  1. Die .cer-Datei auf das Zielgerät kopieren.

  2. Doppelklick auf die Datei → Zertifikat installieren.

  3. Speicherort Lokaler Computer wählen (erfordert Administratorrechte).

  4. Zertifikatsspeicher manuell auswählen: Vertrauenswürdige Stammzertifizierungsstellen.

  5. Installation abschließen und den Browser neu starten.

Hinweis: Wird das Zertifikat automatisch erneuert, muss die neue .cer-Datei erneut auf den Zielgeräten installiert werden.

Eigenes Zertifikat verwenden (Custom-Modus)

Soll statt des automatisch erstellten Zertifikats ein eigenes Unternehmens- oder Domänenzertifikat verwendet werden, ist der sogenannte Custom-Modus verfügbar. Dieser Vorgang erfordert Administratorrechte und muss für EasySightPro® und WebHMI jeweils separat durchgeführt werden.

Schritt 1 – Zertifikat importieren

Das Zertifikat muss als .pfx-Datei (mit privatem Schlüssel) in den Windows-Zertifikatsspeicher des Computers importiert werden. Dies geschieht einmalig als Administrator.

Über die Eingabeaufforderung (als Administrator):

certutil -importpfx -p <Passwort> <Pfad zur .pfx-Datei> NoExport

Alternativ über die Microsoft Management Console (MMC): Zertifikate → Computerkonto → Eigene Zertifikate. Dabei die Option „Schlüssel als exportierbar markieren“ nicht aktivieren.

Hinweis: Mit NoExport kann der private Schlüssel nicht mehr aus dem Rechner exportiert werden. Ist der Schlüssel eines eigenen Zertifikats exportierbar, wird es trotzdem verwendet, die Aufgabe „EasySightPro Zertifikate“ protokolliert aber eine Warnung.

Schritt 2 – Thumbprint ermitteln

Der Thumbprint (Fingerabdruck) ist eine eindeutige Kennung des Zertifikats, die für die Konfigurationsdatei benötigt wird.

Über die MMC: Zertifikat öffnen → Reiter Details → Feld Fingerabdruck.

Über PowerShell:

Get-ChildItem Cert:\LocalMachine\My

Schritt 3 – certsettings.json anpassen

Die Datei certsettings.json im jeweiligen Zertifikatsordner mit einem Texteditor öffnen und wie folgt anpassen:

  • Mode auf "Custom" setzen.

  • CustomThumbprint mit dem ermittelten Thumbprint befüllen – ohne Leerzeichen.

Beispiel:

{ "Mode": "Custom", "CustomThumbprint": "02B968986B9E9C5C6EF5178D8F16F09CE5C9F94B", "AutoThumbprint": "", "CerPath": "Certificate\\WebHMI.cer" }

Hinweis: Das Feld AutoThumbprint wird vom Programm selbst verwaltet und darf nicht manuell geändert werden.

Schritt 4 – Zertifikat übernehmen

Die Aufgabe „EasySightPro Zertifikate“ als Administrator starten (schtasks /Run /TN "EasySightPro Zertifikate"), damit die HTTPS-Portbindung auf das neue Zertifikat umgestellt wird. Danach EasySightPro® neu starten (WebHMI wird von EasySightPro® gestartet).

Übersicht der Konfigurationsfelder

  • Mode – Auto (Standard) oder Custom. Legt fest, welches Zertifikat verwendet wird.

  • CustomThumbprint – Thumbprint des eigenen Zertifikats. Wird nur im Custom-Modus ausgewertet.

  • AutoThumbprint – Wird automatisch vom Programm gesetzt. Nicht manuell ändern.

  • CerPath – Pfad, unter dem der öffentliche Schlüssel als .cer-Datei abgelegt wird.