Https para dispositivos integrados, direcciones locales

Estoy tratando de agregar https a los dispositivos integrados en los que estoy trabajando. A estos dispositivos generalmente se les asignan direcciones IP locales y, por lo tanto, no pueden obtener sus propios certificados SSL.

Entonces, esencialmente mi pregunta es ¿cómo se obtiene un certificado para un dispositivo sin una dirección IP global?

Suposiciones

Los navegadores no confiarán en los certificados a menos que hayan sido verificados por una CA confiable.

Sin embargo, solo puede obtener un certificado verificado para un dominio único globalmente.

Esos malditos clientes insisten en las direcciones IP locales.

Pregunta similar aquí

Hipótesis A:

1. Obtenga un certificado para el sitio web principal de la empresa
2. Copia ese certificado. + clave privada para todos los dispositivos
3. El usuario se conecta al dispositivo
4. El dispositivo envía cert. al usuario
5. El usuario ve cert. es confiable (ignora que no es para este servidor ??)
6. El usuario cifra http utilizando la clave pública en cert
7. El dispositivo usa clave privada

Resultados:

1. El navegador se queja por la falta de coincidencia de nombres
2. Los clientes tienen acceso a la clave privada de los demás
3. Poco seguro

Hipótesis B:

1. Obtenga un certificado para el sitio web principal de la empresa PARA CADA DISPOSITIVO
2. Copia un certificado. + clave privada para cada dispositivo
3. El usuario se conecta al dispositivo
4. El dispositivo envía cert. al usuario
5. El usuario ve cert. es confiable (ignora que no es para este servidor ??)
6. El usuario cifra http utilizando la clave pública en cert
7. El dispositivo usa clave privada

Resultados:

1. El navegador se queja por la falta de coincidencia de nombres
2. Seguro

Hipótesis C:

1. Crear certificado autofirmado para cada dispositivo
2. Copia un certificado. + clave privada para dispositivo
3. El usuario se conecta al dispositivo
4. El dispositivo envía cert. al usuario
5. Firefox tiene un canario
6. El usuario cifra http utilizando la clave pública en cert
7. El dispositivo usa clave privada

Resultados:

1. El navegador se queja de un certificado autofirmado
2. El certificado autofirmado podría ser un ataque de hombre en el medio

Si el cliente insiste en la conectividad IP local, ni siquiera necesita aprovechar una Infraestructura de clave pública mundial contactando a las Autoridades de Certificación "conocidas" .

Simplemente configure su propia PKI local con su propia CA local y distribuya el certificado de su CA a todos los clientes. Luego use esa CA para emitir certificados a los dispositivos y los clientes confiarán en ellos.

¿Es una opción obtener un certificado comodín y usarlo como un subdominio para sus dispositivos?

Mientras sus dispositivos estén en DNS localmente, las direcciones IP no deberían importar.