Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Konfiguration des Serverzertifikats für das OCSP Heften

AWS IoT Core unterstützt das Heften mit dem Online Certificate Status Protocol (OCSP) für Serverzertifikate, auch bekannt als Heften von Serverzertifikaten OCSP oder Heften. OCSP Dabei handelt es sich um einen Sicherheitsmechanismus, der verwendet wird, um den Sperrstatus des Serverzertifikats in einem Transport Layer Security () TLS -Handshake zu überprüfen. OCSPDurch Stapling In AWS IoT Core können Sie die Gültigkeit des Serverzertifikats Ihrer benutzerdefinierten Domain um eine zusätzliche Überprüfungsebene erweitern.

Sie können das OCSP Einheften von Serverzertifikaten aktivieren AWS IoT Core , um die Gültigkeit des Zertifikats zu überprüfen, indem Sie den Responder OCSP regelmäßig abfragen. Die Einstellung zum OCSP Heften ist Teil des Prozesses zum Erstellen oder Aktualisieren einer Domänenkonfiguration mit einer benutzerdefinierten Domäne. OCSPStapling überprüft kontinuierlich den Sperrstatus des Serverzertifikats. Auf diese Weise können Sie überprüfen, ob alle Zertifikate, die von der Zertifizierungsstelle gesperrt wurden, von den Clients, die eine Verbindung zu Ihren benutzerdefinierten Domänen herstellen, nicht mehr als vertrauenswürdig eingestuft werden. Weitere Informationen finden Sie unter Serverzertifikat wird aktiviert in OCSP AWS IoT Core.

Das OCSP Stapling von Serverzertifikaten ermöglicht die Überprüfung des Sperrstatus in Echtzeit, reduziert die mit der Überprüfung des Sperrstatus verbundene Latenz und verbessert den Datenschutz und die Zuverlässigkeit sicherer Verbindungen. Weitere Informationen zu den Vorteilen der Verwendung von OCSP Heften finden Sie unter. Vorteile der Verwendung von OCSP Heftklammern im Vergleich zu Schecks auf Kundenseite OCSP

Was ist OCSP?

Das Online Certificate Status Protocol (OCSP) hilft bei der Bereitstellung des Sperrstatus eines Serverzertifikats für einen Transport Layer Security (TLS) -Handshake.

Die wichtigsten Konzepte

Die folgenden Schlüsselkonzepte enthalten Einzelheiten zum Online Certificate Status Protocol (OCSP).

OCSP

OCSPwird verwendet, um den Sperrstatus des Zertifikats während des Transport Layer Security (TLS) -Handshakes zu überprüfen. OCSPermöglicht die Validierung von Zertifikaten in Echtzeit. Dadurch wird bestätigt, dass das Zertifikat seit seiner Ausstellung nicht gesperrt wurde oder abgelaufen ist. OCSPist im Vergleich zu herkömmlichen Zertifikatssperrlisten (CRLs) auch besser skalierbar. OCSPDie Antworten sind kleiner und können effizient generiert werden, sodass sie sich besser für große private Schlüsselinfrastrukturen (PKIs) eignen.

OCSPResponder

Ein OCSP Responder (auch als OCSP Server bezeichnet) empfängt und beantwortet OCSP Anfragen von Clients, die versuchen, den Sperrstatus von Zertifikaten zu überprüfen.

Clientseitig OCSP

Auf der Clientseite kontaktiert der Client normalerweise einen OCSP ResponderOCSP, OCSP um den Sperrstatus des Zertifikats während des Handshakes zu überprüfen. TLS

Serverseitig OCSP

Serverseitig OCSP (auch bekannt als OCSP Stapling) ist der Server (und nicht der Client) in der Lage, die Anfrage an den Responder zu stellen. OCSP Der Server heftet die OCSP Antwort an das Zertifikat und sendet sie während des Handshakes an den Client zurück. TLS

OCSPDiagramme

Das folgende Diagramm zeigt, wie clientseitig OCSP und OCSP serverseitig funktionieren.

Wie funktioniert OCSP Heften

OCSPDas Heften wird während des TLS Handshakes zwischen dem Client und dem Server verwendet, um den Sperrstatus des Serverzertifikats zu überprüfen. Der Server stellt die OCSP Anfrage an den OCSP Responder und heftet die OCSP Antworten auf die an den Client zurückgegebenen Zertifikate. Wenn der Server die Anfrage an den OCSP Responder stellt, können die Antworten zwischengespeichert und dann für viele Clients mehrfach verwendet werden.

So funktioniert OCSP Heften in AWS IoT Core

Das folgende Diagramm zeigt, wie serverseitiges OCSP Heften in funktioniert. AWS IoT Core

Vorteile der Verwendung von OCSP Heftklammern im Vergleich zu Schecks auf Kundenseite OCSP

Das OCSP Heften von Serverzertifikaten bietet unter anderem folgende Vorteile:

Verbesserter Datenschutz

Ohne OCSP Heften kann das Gerät des Kunden Informationen an Dritte weitergeben, wodurch möglicherweise OCSP die Privatsphäre der Benutzer gefährdet wird. OCSPStapling behebt dieses Problem, indem der Server die OCSP Antwort erhält und sie direkt an den Client weiterleitet.

Verbesserte Zuverlässigkeit

OCSPDurch Stapling kann die Zuverlässigkeit sicherer Verbindungen verbessert werden, da dadurch das Risiko von OCSP Serverausfällen verringert wird. Wenn OCSP Antworten geheftet werden, fügt der Server dem Zertifikat die neueste Antwort bei. Auf diese Weise haben Clients auch dann Zugriff auf den Sperrstatus, wenn OCSP der Responder vorübergehend nicht verfügbar ist. OCSPStapling trägt dazu bei, diese Probleme zu beheben, da der Server regelmäßig OCSP Antworten abruft und die zwischengespeicherten Antworten in den Handshake aufnimmt. TLS Dadurch wird die Abhängigkeit von der Verfügbarkeit von Respondern in Echtzeit verringert. OCSP

Geringere Serverlast

OCSPStapling entlastet den Server bei der Beantwortung von OCSP Anfragen von OCSP Respondern. Dies kann dazu beitragen, die Last gleichmäßiger zu verteilen, wodurch der Prozess der Zertifikatsvalidierung effizienter und skalierbarer wird.

Reduzierte Latenz

OCSPStapling reduziert die Latenz, die mit der Überprüfung des Sperrstatus eines Zertifikats während des TLS Handshakes verbunden ist. Anstatt dass der Client einen OCSP Server separat abfragen muss, sendet der Server die Anfrage und hängt die OCSP Antwort während des Handshakes mit dem Serverzertifikat an.

Serverzertifikat wird aktiviert in OCSP AWS IoT Core

Um das OCSP Einheften von Serverzertifikaten zu aktivieren AWS IoT Core, erstellen Sie eine Domänenkonfiguration für eine benutzerdefinierte Domäne oder aktualisieren Sie eine bestehende benutzerdefinierte Domänenkonfiguration. Allgemeine Informationen zum Erstellen einer Domänenkonfiguration mit einer benutzerdefinierten Domäne finden Sie unterVom Kunden verwaltete Domains erstellen und konfigurieren.

Verwenden Sie die folgenden Anweisungen, um das OCSP Serverheften mithilfe von AWS Management Console oder AWS CLI zu aktivieren.

Konfiguration des Serverzertifikats OCSP für private Endpunkte in AWS IoT Core

OCSPMit for private Endpoints können Sie Ihre privaten OCSP Ressourcen innerhalb Ihrer Amazon Virtual Private Cloud (AmazonVPC) für den AWS IoT Core Betrieb nutzen. Der Prozess beinhaltet die Einrichtung einer Lambda-Funktion, die als OCSP Responder fungiert. Die Lambda-Funktion verwendet möglicherweise Ihre privaten OCSP Ressourcen, um OCSP Antworten zu erstellen, die verwendet AWS IoT Core werden.

Lambda-Funktion

Bevor Sie einen Server OCSP für einen privaten Endpunkt konfigurieren, erstellen Sie eine Lambda-Funktion, die als Request for Comments (RFC) -kompatibler 6960-kompatibler Online Certificate Status Protocol (OCSP) -Responder fungiert und grundlegende Antworten unterstützt. OCSP Die Lambda-Funktion akzeptiert eine Base64-Kodierung der OCSP Anfrage im Format Distinguished Encoding Rules ()DER. Die Antwort der Lambda-Funktion ist ebenfalls eine Base64-kodierte OCSP Antwort im Format. DER Die Antwortgröße darf 4 Kilobyte (KiB) nicht überschreiten. Die Lambda-Funktion muss sich in derselben AWS-Konto und AWS-Region wie die Domänenkonfiguration befinden. Im Folgenden finden Sie Beispiele für Lambda-Funktionen.

Beispiele für Lambda-Funktionen

JavaScript

import * as pkijs from 'pkijs';
console.log('Loading function');
 
export const handler = async (event, context) => {
    const requestBytes = decodeBase64(event);
    const ocspRequest = pkijs.OCSPRequest.fromBER(requestBytes);
 
    console.log("Here is a better look at the OCSP request");
    console.log(ocspRequest.toJSON());
 
    const ocspResponse = getOcspResponse();
    
    console.log("Here is a better look at the OCSP response");
    console.log(ocspResponse.toJSON());
 
   const responseBytes = ocspResponse.toSchema().toBER();
   return encodeBase64(responseBytes);
};
 
function getOcspResponse() {
    const responseString = "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";
    const responseBytes = decodeBase64(responseString);
    return pkijs.OCSPResponse.fromBER(responseBytes);
}
 
function decodeBase64(input) {
    const binaryString = atob(input);
 
    const byteArray = new Uint8Array(binaryString.length);
    for (var i = 0; i < binaryString.length; i++) {
        byteArray[i] = binaryString.charCodeAt(i);
    }
 
    return byteArray.buffer;
}
 
function encodeBase64(buffer) {
    var binary = '';
    const bytes = new Uint8Array( buffer );
    const len = bytes.byteLength;
 
    for (var i = 0; i < len; i++) {
        binary += String.fromCharCode( bytes[ i ] );
    }
 
    return btoa(binary);
}

Java

package com.example.ocsp.responder;
import com.amazonaws.services.lambda.runtime.Context;
import com.amazonaws.services.lambda.runtime.LambdaLogger;
import com.amazonaws.services.lambda.runtime.RequestHandler;
import org.bouncycastle.cert.ocsp.OCSPReq;
import org.bouncycastle.cert.ocsp.OCSPResp;
import java.io.IOException;
import java.io.InputStream;
import java.io.OutputStream;
import java.util.Base64;
 
public class LambdaResponderApplication implements RequestHandler<String, String> {
    @Override
    public String handleRequest(final String input, final Context context) {
        LambdaLogger logger = context.getLogger();
        
        byte[] decodedInput = Base64.getDecoder().decode(input);
 
        OCSPReq req;
        try {
            req = new OCSPReq(decodedInput);
        } catch (IOException e) {
            logger.log("Got an IOException creating the OCSP request: " + e.getMessage());
            throw new RuntimeException(e);
        }
 
        try {
            OCSPResp response = businessLogic.getMyResponse();
            String toReturn = Base64.getEncoder().encodeToString(response.getEncoded());
            return toReturn;
        } catch (Exception e) {
            logger.log("Got an exception creating the response: " + e.getMessage());
            return "";
        }
    }
}

Autorisieren AWS IoT zum Aufrufen Ihrer Lambda-Funktion

Bei der Erstellung der Domänenkonfiguration mit einem OCSP Lambda-Responder müssen Sie die AWS IoT Erlaubnis erteilen, die Lambda-Funktion aufzurufen, nachdem die Funktion erstellt wurde. Um die Berechtigung zu erteilen, können Sie den Befehl add-permission verwenden. CLI

OCSPServerstapling für private Endgeräte konfigurieren

Wichtige Hinweise zur Verwendung von OCSP Serverzertifikaten AWS IoT Core

Beachten Sie bei der Verwendung von Serverzertifikaten OCSP in AWS IoT Core Folgendes:

Problembehandlung beim OCSP Einheften von Serverzertifikaten AWS IoT Core

AWS IoT Core gibt die RetrieveOCSPStapleData.Success Metrik und die RetrieveOCSPStapleData Protokolleinträge an aus. CloudWatch Die Metrik und die Protokolleinträge können dabei helfen, Probleme im Zusammenhang mit dem Abrufen von OCSP Antworten zu erkennen. Weitere Informationen erhalten Sie unter Metriken zur Erfassung von OCSP Serverzertifikaten und OCSPProtokolleinträge für Serverzertifikate.