Identidad y registro de dispositivos

En los servicios de IoT de las dos nubes, un dispositivo se presenta con una credencial que solo debería poseer él: lo más habitual es un certificado X.509 con su clave privada, y también existen dispositivos que usan un secreto simétrico o una clave guardada en un módulo seguro (TPM, elemento seguro) de donde no sale. La nube verifica esa credencial y, según ella, decide qué puede publicar y qué puede leer, con una política asociada a esa identidad.

La idea que sostiene todo es la unicidad: una credencial por dispositivo. Si dos dispositivos comparten secreto, la nube no puede distinguirlos, no se puede revocar uno sin tumbar al otro, y quien extraiga el secreto de un aparato en una estantería puede hacerse pasar por todos los demás.

El registro automático permite que un dispositivo nuevo se inscriba solo la primera vez que enciende. Funciona bien si cada uno prueba quién es con algo propio (un certificado individual o un módulo seguro). Funciona mal si todos presentan el mismo secreto de inscripción: quien lo conozca puede inscribir los aparatos que quiera.

Abre SELECT * FROM grupos_inscripcion para ver cómo se inscribe cada línea y luego filtra el registro por las credenciales que no son únicas.

Un certificado tiene fecha de caducidad a propósito: obliga a renovar y limita cuánto tiempo sirve una credencial robada. Si el dispositivo sigue «activo» con una credencial vencida, hay dos explicaciones posibles: la nube no está comprobando la fecha, o el dispositivo no está conectando de verdad y el estado es solo una etiqueta antigua. Ninguna se ve en el inventario; las dos piden una pregunta al dueño de la línea.

El informe es del 7 de octubre de 2026.

La rotación de certificados de una flota se planifica con semanas de margen: renovar una credencial implica que el dispositivo la reciba, la instale y se reconecte, y los que están apagados o sin conexión no la reciben. Un calendario de vencimientos ordenado dice cuánto tiempo hay para cada lote.

Pide los vencimientos ordenados y cuenta los días desde la fecha del informe hasta la próxima credencial que todavía no ha vencido.

Las tres sondas de la línea de hornos no caducan nunca y se inscribieron sin aprobación humana con el mismo secreto. Arreglarlo sin parar la línea es un trabajo de semanas, no de una tarde: hay que dar a cada sonda una identidad propia, inscribirla y retirar el secreto común, sin dejar el horno sin medir.