Https para dispositivos incorporados, endereços locais

Estou tentando adicionar https aos dispositivos incorporados em que estou trabalhando. Esses dispositivos geralmente recebem endereços IP locais e, portanto, não podem obter seus próprios certificados SSL.

Então, basicamente, minha pergunta é como obter um certificado para um dispositivo sem um endereço IP global?

Premissas:

Os navegadores não confiarão nos certificados, a menos que tenham sido verificados por uma CA confiável.

No entanto, você só pode obter um certificado verificado para um domínio globalmente exclusivo.

Esses malditos clientes insistem em endereços IP locais.

Pergunta semelhante aqui

Hipótese A:

1. Obter um certificado para o site principal da empresa
2. Copie esse certificado. + chave privada para todos os dispositivos
3. O usuário se conecta ao dispositivo
4. O dispositivo envia cert. ao usuário
5. O usuário vê cert. é confiável (ignora que não é para este servidor ??)
6. Usuário criptografa http usando chave pública em cert
7. O dispositivo usa chave privada

Resultados:

1. Navegador reclama de incompatibilidade de nome
2. Os clientes têm acesso à chave privada um do outro
3. Não é muito seguro

Hipótese B:

1. Obtenha um certificado para o site principal da empresa PARA CADA DISPOSITIVO
2. Copie um certificado. + chave privada para cada dispositivo
3. O usuário se conecta ao dispositivo
4. O dispositivo envia cert. ao usuário
5. O usuário vê cert. é confiável (ignora que não é para este servidor ??)
6. Usuário criptografa http usando chave pública em cert
7. O dispositivo usa chave privada

Resultados:

1. Navegador reclama de incompatibilidade de nome
2. Seguro

Hipótese C:

1. Criar certificado autoassinado para cada dispositivo
2. Copie um certificado. + chave privada para o dispositivo
3. O usuário se conecta ao dispositivo
4. O dispositivo envia cert. ao usuário
5. Firefox tem um canário
6. Usuário criptografa http usando chave pública em cert
7. O dispositivo usa chave privada

Resultados:

1. Navegador reclama de certificado autoassinado
2. Certificado autoassinado pode ser ataque man-in-middle

Se o cliente insistir na conectividade IP local, você nem precisará aproveitar uma Infraestrutura de Chave Pública mundial , entrando em contato com as Autoridades de Certificação "conhecidas" .

Basta configurar sua própria PKI local com sua própria CA local e distribuir o certificado da CA a todos os clientes. Em seguida, use essa CA para emitir certificados para os dispositivos e eles serão confiáveis ​​pelos clientes.

A opção de obter um certificado curinga e usá-lo como subdomínio para seus dispositivos é uma opção?

Enquanto seus dispositivos estiverem no DNS localmente, os endereços IP não deverão importar.