Helyi HTTPS-tanúsítvány beállítása

A DiKAS az üzlet hálózatában saját telephelyi tanúsítvánnyal védi a kapcsolatot. Minden üzletnek saját hitelesítésszolgáltatója (CA) van. Mielőtt egy böngésző figyelmeztetés nélkül megnyitná az állandó https://dikas-<SystemId>.local címet, az eszköznek egyszer meg kell bíznia ebben a CA-ban. Ez eszközönként csak egyszer szükséges.

Két út a tanúsítványhoz

Oldal	Cím	Mire való
Beállítási oldal	http://<LAN-IP>/zertifikat	Lépésről lépésre QR-kóddal, rövidített ujjlenyomattal és HTTPS-teszttel
Letöltési oldal	http://<LAN-IP>/installcerts	Minden fájl minden eszközhöz, teljes ujjlenyomat, Windows-telepítőszkript, minden egy ZIP-ben

Mindkét oldal bejelentkezés nélkül elérhető az üzlet hálózatának bármely eszközéről. Csak a telephelyi CA nyilvános tanúsítványát adják ki, titkos kulcsot soha. A LAN-IP-címet és a QR-kódot a főpénztár a DikasArch Zertifikate (Tanúsítványok) oldalán mutatja.

A letöltési oldalon elérhető:

Fájl	Mire
dikas-zertifikate.zip	Minden együtt, rövid útmutatóval (LIESMICH.txt) – kényelmes továbbadáshoz vagy több PC-hez
dikas-ca-installieren.cmd	Windows: egy dupla kattintással telepíti a tanúsítványt (útmutató)
dikas-local-ca.cer	Windows: tanúsítvány kézi telepítéshez
dikas-local-ca.mobileconfig	iPhone, iPad és Mac (útmutató)
dikas-local-ca.crt	Android (útmutató), Linux és minden más eszköz

A beállítás indítása

1. Csatlakoztassa az eszközt az üzlet WLAN-, illetve LAN-hálózatához.
2. A főpénztáron nyissa meg a DikasArch Zertifikate (Tanúsítványok) oldalát.
3. Olvassa be a QR-kódot, vagy nyissa meg a végponton a http://<megjelenített LAN-IP>/zertifikat, illetve a http://<megjelenített LAN-IP>/installcerts címet.
4. Hasonlítsa össze a megjelenített SHA-256-ujjlenyomatot a főpénztáron láthatóval.
5. Kövesse az Apple, a Windows vagy az Android útmutatóját.
6. A beállítási oldalon futtassa le a HTTPS-tesztet az állandó https://dikas-<SystemId>.local címre.

Az ujjlenyomatot mindig hasonlítsa össze

Egy CA-t csak akkor erősítsen meg vagy telepítsen, ha az ujjlenyomat megegyezik a főpénztáron láthatóval. A főpénztár és a beállítási oldal az első karaktercsoportokat mutatja, a letöltési oldal a teljes értéket – legalább a megjelenített csoportokat hasonlítsa össze. Megváltozott ujjlenyomatot a rendszer soha nem vesz át csendben.

A „Zertifikate” (Tanúsítványok) oldal a főpénztáron

A DikasArch Zertifikate oldalán ezt látja:

• Modus (mód) és Betrieb / Standort (üzlet / telephely) – melyik üzlethez tartozik a CA,
• CA-Fingerprint (CA-ujjlenyomat) és Server-Fingerprint (szerver-ujjlenyomat),
• CA gültig bis (CA érvényes eddig) és Server gültig bis (szerver érvényes eddig),
• Hauptadresse (fő cím, dikas-<SystemId>.local), LAN-IP és minden név és cím, amelyre a szervertanúsítvány érvényes (SANs).

A gombok: az Einrichtung & QR-Code (Beállítás és QR-kód) megnyitja a beállítási oldalt, a CA herunterladen (CA letöltése) közvetlenül letölti a tanúsítványt, az Alle Downloads (/installcerts) (Minden letöltés) megnyitja a letöltési oldalt, a HTTPS testen (HTTPS tesztelése) meghívja az állandó címet, a Jetzt prüfen (Ellenőrzés most) pedig azonnal egyezteti a tanúsítványt ahelyett, hogy az automatikus ellenőrzésre várna (például IP-cím-váltás után).

Megjegyzések az oldal tetején:

• „Die CA dieses Betriebs hat sich geändert” (az üzlet CA-ja megváltozott) – minden végpontnak tudatosan meg kell erősítenie az új ujjlenyomatot (lásd CA-csere).
• „Die Standort-CA hat höchstens zwei Jahre Restlaufzeit” (a telephelyi CA legfeljebb két évig érvényes még) – meg kell tervezni az új CA-ra való átállást. Forduljon a DiKAS ügyfélszolgálatához.
• „Das Serverzertifikat wird erneuert” (a szervertanúsítvány megújul) – automatikusan történik, a végpontokon nincs teendő.

További eszközök és böngészők

A Firefox a beállítástól függően saját tanúsítványlistát használ. Ha a Firefox továbbra is figyelmeztetést mutat, pedig az operációs rendszer megbízik a CA-ban: Beállítások → Adatvédelem és biztonság → Tanúsítványok megtekintése → Hitelesítésszolgáltatók → Importálás, válassza ki a dikas-local-ca.crt fájlt, és jelölje be „A CA megbízható webhelyek azonosításához” lehetőséget.

Linux: töltse le a dikas-local-ca.crt fájlt, és rendszergazdaként helyezze el:

• Debian/Ubuntu: a /usr/local/share/ca-certificates/ mappába, utána sudo update-ca-certificates
• Arch: az /etc/ca-certificates/trust-source/anchors/ mappába, utána sudo trust extract-compat
• Fedora: az /etc/pki/ca-trust/source/anchors/ mappába, utána sudo update-ca-trust

A Chrome és a Chromium Linux alatt részben saját listát használ: Beállítások → Adatvédelem és biztonság → Biztonság → Tanúsítványok kezelése → Hitelesítésszolgáltatók → Importálás.

Több üzlet

Egy eszközön egyszerre több telephelyi CA is tárolható. A natív DiKAS-kliens üzletenként külön tárolja a megbízhatóságot. Egy további üzlet hozzáadása nem írja felül a meglévő bejegyzéseket.

CA-csere

Ha egy már ismert üzlet később másik CA-t jelent, a DiKAS megmutatja a régi és az új ujjlenyomatot. Tisztázza a cserét a főpénztárnál, és kifejezetten erősítse meg, vagy szakítsa meg. Ezután a végpontokon ugyanúgy telepítse az új CA-t, mint első alkalommal. Egy régi CA-t csak akkor távolítson el, ha már egyetlen eszköznek sem kell rajta keresztül elérnie ezt az üzletet.

Érvényességi idők

A telephelyi CA tíz évig érvényes. A rövid élettartamú szervertanúsítványok 90 napig érvényesek, és a DiKAS automatikusan megújítja őket – azonnal akkor is, ha a pénztár IP-címe vagy neve megváltozik. Ezekhez a szokásos megújításokhoz a CA-t nem kell újratelepíteni a végpontokon.

Ha nem sikerül

Amit lát	Teendő
A böngésző „A kapcsolat nem privát” / „A tanúsítvány nem megbízható” üzenetet jelez	A CA még nincs telepítve ezen az eszközön, vagy nincs megbízhatónak jelölve. Menjen végig újra az eszköz útmutatóján; iOS alatt kapcsolja be a teljes megbízhatóságot.
Figyelmeztetés csak Firefoxban	Importálja a tanúsítványt a Firefoxba is (lásd fent, „További eszközök és böngészők”).
Figyelmeztetés a telepített CA ellenére	Az eszköz esetleg az üzlet egy régi CA-ját ismeri. Hasonlítsa össze az ujjlenyomatot, és telepítse az aktuális CA-t (lásd CA-csere).
A https://dikas-<SystemId>.local egyáltalán nem nyílik meg	Az eszköz nincs az üzlet hálózatában, vagy nem oldja fel a .local neveket. Tesztelje a LAN-IP-címmel: https://<LAN-IP>/.
Az oldal „Die Standort-CA wird vorbereitet” (a telephelyi CA előkészítése folyamatban) üzenetet jelez	A pénztár indítása után röviddel ez normális. Egy perc múlva töltse újra az oldalt.
A Windows-szkript „dikas-local-ca.cer fehlt” (hiányzik) üzenetet jelez	A ZIP-et nem bontotta ki. Előbb Az összes kibontása, majd indítsa a szkriptet a kibontott mappából.