Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Configuración del certificado de servidor para el OCSP grapado

AWS IoT Core admite el grapado del Protocolo de estado de certificados en línea (OCSP) para certificados de servidor, también conocido como grapado o OCSP grapado de certificados de servidor. OCSP Es un mecanismo de seguridad que se utiliza para comprobar el estado de revocación del certificado del servidor mediante un protocolo de enlace de Transport Layer Security (). TLS OCSPgraparlo te AWS IoT Core permite añadir un nivel adicional de verificación a la validez del certificado de servidor de tu dominio personalizado.

Puede habilitar el OCSP grapado del certificado del servidor AWS IoT Core para comprobar la validez del certificado consultando periódicamente al respondedor. OCSP La configuración de OCSP grapado forma parte del proceso de creación o actualización de una configuración de dominio con un dominio personalizado. OCSPel grapado comprueba el estado de revocación en el certificado del servidor de forma continua. Esto ayuda a comprobar que los clientes que se conectan a sus dominios personalizados ya no confíen en los certificados que hayan sido revocados por la CA. Para obtener más información, consulte Habilitar el certificado de servidor en OCSP AWS IoT Core.

El OCSP grapado de certificados de servidor permite comprobar el estado de revocación en tiempo real, reduce la latencia asociada a la comprobación del estado de revocación y mejora la privacidad y la fiabilidad de las conexiones seguras. Para obtener más información sobre las ventajas de utilizar el OCSP grapado, consulte. Ventajas de utilizar OCSP grapas en comparación con los cheques del lado del cliente OCSP

¿Qué es OCSP?

El Protocolo de estado de certificados en línea (OCSP) ayuda a proporcionar el estado de revocación de un certificado de servidor para un apretón de manos de Transport Layer Security (TLS).

Conceptos clave

Los siguientes conceptos clave proporcionan detalles sobre el Protocolo de estado de los certificados en línea ()OCSP.

OCSP

OCSPse utiliza para comprobar el estado de revocación del certificado durante el apretón de manos de Transport Layer Security (TLS). OCSPpermite la validación de los certificados en tiempo real. Esto confirma que el certificado no se ha revocado ni ha caducado desde su emisión. OCSPtambién es más escalable en comparación con las listas de revocación de certificados tradicionales ()CRLs. OCSPlas respuestas son más pequeñas y se pueden generar de manera eficiente, lo que las hace más adecuadas para infraestructuras de clave privada a gran escala (PKIs).

OCSPrespondedor

Un OCSP respondedor (también conocido como OCSP servidor) recibe y responde a OCSP las solicitudes de los clientes que desean verificar el estado de revocación de los certificados.

Del lado del cliente OCSP

En el lado del clienteOCSP, el cliente suele ponerse en contacto con un OCSP respondedor OCSP para comprobar el estado de revocación del certificado durante el apretón de manos. TLS

Del lado del servidor OCSP

En el lado del servidor OCSP (también conocido como OCSP grapado), el servidor está habilitado (y no el cliente) para realizar la solicitud al respondedor. OCSP El servidor grapa la OCSP respuesta al certificado y la devuelve al cliente durante el apretón de manos. TLS

OCSPdiagramas

El siguiente diagrama ilustra cómo funcionan el lado del cliente OCSP y el lado del servidorOCSP.

Cómo funciona el OCSP grapado

OCSPEl grapado se utiliza durante el TLS apretón de manos entre el cliente y el servidor para comprobar el estado de revocación del certificado del servidor. El servidor hace la OCSP solicitud al OCSP respondedor y grapa OCSP las respuestas a los certificados devueltos al cliente. Al hacer que el servidor haga la solicitud al OCSP respondedor, las respuestas se pueden almacenar en caché y, a continuación, se pueden utilizar varias veces para muchos clientes.

Cómo funciona el OCSP grapado en AWS IoT Core

El siguiente diagrama muestra cómo funciona el OCSP grapado del lado del servidor. AWS IoT Core

Ventajas de utilizar OCSP grapas en comparación con los cheques del lado del cliente OCSP

Algunas de las ventajas de utilizar el OCSP grapado de certificados de servidor son las siguientes:

Mejora de la privacidad

Sin OCSP grapar, el dispositivo del cliente puede exponer la información a terceros, lo que podría comprometer OCSP la privacidad del usuario. OCSPEl grapado mitiga este problema al hacer que el servidor obtenga la OCSP respuesta y la entregue directamente al cliente.

Mejora de la fiabilidad

OCSPel grapado puede mejorar la confiabilidad de las conexiones seguras porque reduce el riesgo de OCSP interrupciones del servidor. Cuando se grapan OCSP las respuestas, el servidor incluye la respuesta más reciente con el certificado. Esto permite a los clientes acceder al estado de revocación incluso si el OCSP respondedor no está disponible temporalmente. OCSPEl grapado ayuda a mitigar estos problemas, ya que el servidor busca OCSP las respuestas periódicamente e incluye las respuestas almacenadas en caché en el protocolo de enlace. TLS Esto reduce la dependencia de la disponibilidad en tiempo real de los socorristas. OCSP

Reducción de la carga del servidor

OCSPel engrapado reduce la carga de responder a las OCSP solicitudes de los OCSP respondedores al servidor. Esto puede ayudarle a distribuir la carga de manera más uniforme, lo que hace que el proceso de validación de certificados sea más eficiente y escalable.

Reducción de la latencia

OCSPel grapado reduce la latencia asociada a la comprobación del estado de revocación de un certificado durante el apretón de manos. TLS En lugar de que el cliente tenga que consultar un OCSP servidor por separado, el servidor envía la solicitud y adjunta la OCSP respuesta al certificado del servidor durante el apretón de manos.

Habilitar el certificado de servidor en OCSP AWS IoT Core

Para habilitar el OCSP engrapado de certificados de servidor AWS IoT Core, cree una configuración de dominio para un dominio personalizado o actualice una configuración de dominio personalizada existente. Para obtener más información general sobre cómo crear una configuración de dominio con un dominio personalizado, consulte Creación y configuración de dominios administrados por el cliente.

Siga las instrucciones siguientes para habilitar el grapado OCSP de servidores mediante AWS Management Console o. AWS CLI

Configurar el certificado de servidor OCSP para puntos finales privados en AWS IoT Core

OCSPpara puntos de enlace privados le permite utilizar sus OCSP recursos privados dentro de su Amazon Virtual Private Cloud (AmazonVPC) para AWS IoT Core las operaciones. El proceso implica configurar una función Lambda que actúa como respondedor. OCSP La función Lambda puede utilizar sus OCSP recursos privados para elaborar OCSP respuestas que AWS IoT Core utilizará.

Función de Lambda

Antes de configurar el servidor OCSP para un punto final privado, cree una función Lambda que actúe como un respondedor del Protocolo de estado de certificados en línea (RFC) compatible con la 6960 () de solicitud de comentarios (OCSP) y que admita respuestas básicas. OCSP La función Lambda acepta una codificación en base64 de la OCSP solicitud en el formato Distinguished Encoding Rules (). DER La respuesta de la función Lambda también es una respuesta codificada en base64 en el formatoOCSP. DER El tamaño de la respuesta no debe superar los 4 kilobytes (KiB). La función Lambda debe estar en la misma configuración del dominio Cuenta de AWS y Región de AWS igual que ella. A continuación se muestran ejemplos de funciones Lambda.

Ejemplo de función de Lambda

JavaScript

import * as pkijs from 'pkijs';
console.log('Loading function');
 
export const handler = async (event, context) => {
    const requestBytes = decodeBase64(event);
    const ocspRequest = pkijs.OCSPRequest.fromBER(requestBytes);
 
    console.log("Here is a better look at the OCSP request");
    console.log(ocspRequest.toJSON());
 
    const ocspResponse = getOcspResponse();
    
    console.log("Here is a better look at the OCSP response");
    console.log(ocspResponse.toJSON());
 
   const responseBytes = ocspResponse.toSchema().toBER();
   return encodeBase64(responseBytes);
};
 
function getOcspResponse() {
    const responseString = "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";
    const responseBytes = decodeBase64(responseString);
    return pkijs.OCSPResponse.fromBER(responseBytes);
}
 
function decodeBase64(input) {
    const binaryString = atob(input);
 
    const byteArray = new Uint8Array(binaryString.length);
    for (var i = 0; i < binaryString.length; i++) {
        byteArray[i] = binaryString.charCodeAt(i);
    }
 
    return byteArray.buffer;
}
 
function encodeBase64(buffer) {
    var binary = '';
    const bytes = new Uint8Array( buffer );
    const len = bytes.byteLength;
 
    for (var i = 0; i < len; i++) {
        binary += String.fromCharCode( bytes[ i ] );
    }
 
    return btoa(binary);
}

Java

package com.example.ocsp.responder;
import com.amazonaws.services.lambda.runtime.Context;
import com.amazonaws.services.lambda.runtime.LambdaLogger;
import com.amazonaws.services.lambda.runtime.RequestHandler;
import org.bouncycastle.cert.ocsp.OCSPReq;
import org.bouncycastle.cert.ocsp.OCSPResp;
import java.io.IOException;
import java.io.InputStream;
import java.io.OutputStream;
import java.util.Base64;
 
public class LambdaResponderApplication implements RequestHandler<String, String> {
    @Override
    public String handleRequest(final String input, final Context context) {
        LambdaLogger logger = context.getLogger();
        
        byte[] decodedInput = Base64.getDecoder().decode(input);
 
        OCSPReq req;
        try {
            req = new OCSPReq(decodedInput);
        } catch (IOException e) {
            logger.log("Got an IOException creating the OCSP request: " + e.getMessage());
            throw new RuntimeException(e);
        }
 
        try {
            OCSPResp response = businessLogic.getMyResponse();
            String toReturn = Base64.getEncoder().encodeToString(response.getEncoded());
            return toReturn;
        } catch (Exception e) {
            logger.log("Got an exception creating the response: " + e.getMessage());
            return "";
        }
    }
}

Autorizar la invocación AWS IoT de la función Lambda

En el proceso de creación de la configuración del dominio con un OCSP respondedor Lambda, debe conceder AWS IoT permiso para invocar la función Lambda una vez creada la función. Para conceder el permiso, puede utilizar el comando add-permission. CLI

Configuración del OCSP grapado de servidores para puntos finales privados

Notas importantes sobre el uso del OCSP grapado de certificados de servidor en AWS IoT Core

Cuando utilice el certificado de servidor AWS IoT Core, tenga OCSP en cuenta lo siguiente:

Solución de problemas al OCSP grapar el certificado del servidor AWS IoT Core

AWS IoT Core emite la RetrieveOCSPStapleData.Success métrica y las entradas de RetrieveOCSPStapleData registro a. CloudWatch La métrica y las entradas de registro pueden ayudar a detectar problemas relacionados con la recuperación de las respuestasOCSP. Para obtener más información, consulte Métricas de OCSP grapado de certificados de servidor y Entradas de OCSP registro de certificados de servidor.