Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Configuration du certificat de serveur pour l’agrafage OCSP

AWS IoT Core prend en charge l'agrafage OCSP (Online Certificate Status Protocol) pour le certificat de serveur, également appelé agrafage OCSP du certificat de serveur ou agrafage OCSP. Il s'agit d'un mécanisme de sécurité utilisé pour vérifier l'état de révocation du certificat de serveur dans le cadre d'une liaison TLS (Transport Layer Security). L'agrafage OCSP vous AWS IoT Core permet d'ajouter une couche de vérification supplémentaire à la validité du certificat de serveur de votre domaine personnalisé.

Vous pouvez activer l'agrafage du certificat de serveur OCSP AWS IoT Core pour vérifier la validité du certificat en interrogeant régulièrement le répondeur OCSP. Le paramètre d'agrafage OCSP fait partie du processus de création ou de mise à jour d'une configuration de domaine avec un domaine personnalisé. L'agrafage OCSP vérifie en permanence l'état de révocation du certificat du serveur. Cela permet de vérifier que les certificats révoqués par l'autorité de certification ne sont plus approuvés par les clients qui se connectent à vos domaines personnalisés. Pour de plus amples informations, veuillez consulter Activation du certificat de serveur OCSP dans AWS IoT Core.

L'agrafage OCSP des certificats de serveur permet de vérifier l'état de révocation en temps réel, réduit la latence associée à la vérification de l'état de révocation et améliore la confidentialité et la fiabilité des connexions sécurisées. Pour plus d'informations sur les avantages de l'utilisation de l'agrafage OCSP, consultez. Avantages de l'utilisation de l'agrafage OCSP par rapport aux vérifications OCSP côté client

Qu'est-ce que l'OCSP ?

Le protocole OCSP (Online Certificate Status Protocol) permet de fournir l'état de révocation d'un certificat de serveur pour une prise de contact TLS (Transport Layer Security).

Concepts clés

Les concepts clés suivants fournissent des détails sur le protocole OCSP (Online Certificate Status Protocol).

OCSP

L'OCSP est utilisé pour vérifier l'état de révocation du certificat lors de la prise de contact TLS (Transport Layer Security). L'OCSP permet la validation en temps réel des certificats. Cela confirme que le certificat n'a pas été révoqué ou n'a pas expiré depuis sa délivrance. L'OCSP est également plus évolutif que les listes de révocation de certificats (CRL) traditionnelles. Les réponses OCSP sont plus petites et peuvent être générées efficacement, ce qui les rend plus adaptées aux infrastructures à clés privées (PKI) à grande échelle.

répondeur OCSP

Un répondeur OCSP (également appelé serveur OCSP) reçoit et répond aux demandes OCSP des clients qui cherchent à vérifier l'état de révocation des certificats.

Client-side OCSP

Dans l'OCSP côté client, le client utilise OCSP pour contacter un répondeur OCSP afin de vérifier l'état de révocation du certificat lors de la prise de contact TLS.

Server-side OCSP

Dans l'OCSP côté serveur (également appelé agrafage OCSP), le serveur est autorisé (plutôt que le client) à adresser la demande au répondeur OCSP. Le serveur agrafe la réponse OCSP au certificat et la renvoie au client lors de l'établissement de la liaison TLS.

Diagrammes OCSP

Le schéma suivant illustre le fonctionnement de l'OCSP côté client et de l'OCSP côté serveur.

Comment fonctionne l'agrafage OCSP

L'agrafage OCSP est utilisé lors de la prise de contact TLS entre le client et le serveur pour vérifier l'état de révocation du certificat du serveur. Le serveur envoie la demande OCSP au répondeur OCSP et agrafe les réponses OCSP aux certificats renvoyés au client. En demandant au serveur d'adresser la demande au répondeur OCSP, les réponses peuvent être mises en cache puis utilisées plusieurs fois pour de nombreux clients.

Comment fonctionne l'agrafage OCSP dans AWS IoT Core

Le schéma suivant montre comment fonctionne l'agrafage OCSP côté serveur dans. AWS IoT Core

Avantages de l'utilisation de l'agrafage OCSP par rapport aux vérifications OCSP côté client

L'utilisation de l'agrafage OCSP des certificats de serveur présente les avantages suivants :

Confidentialité améliorée

Sans agrafage OCSP, l'appareil du client peut exposer des informations à des répondeurs OCSP tiers, ce qui peut compromettre la confidentialité des utilisateurs. L'agrafage OCSP atténue ce problème en permettant au serveur d'obtenir la réponse OCSP et de la transmettre directement au client.

Fiabilité améliorée

L'agrafage OCSP peut améliorer la fiabilité des connexions sécurisées car il réduit le risque de panne du serveur OCSP. Lorsque les réponses OCSP sont agrafées, le serveur inclut la réponse la plus récente avec le certificat. Cela permet aux clients d'accéder à l'état de révocation même si le répondeur OCSP est temporairement indisponible. L'agrafage OCSP permet d'atténuer ces problèmes car le serveur extrait les réponses OCSP périodiquement et inclut les réponses mises en cache dans l'établissement de liaison TLS. Cela réduit la dépendance à l'égard de la disponibilité en temps réel des répondeurs OCSP.

Charge de serveur réduite

L'agrafage OCSP décharge le serveur de la charge que représente la réponse aux requêtes OCSP des répondeurs OCSP. Cela peut contribuer à répartir la charge de manière plus uniforme, ce qui rend le processus de validation des certificats plus efficace et évolutif.

Latence réduite

L'agrafage OCSP réduit la latence associée à la vérification de l'état de révocation d'un certificat lors de la prise de contact TLS. Au lieu que le client ait à interroger un serveur OCSP séparément, le serveur envoie la demande et joint la réponse OCSP au certificat du serveur lors de la prise de contact.

Activation du certificat de serveur OCSP dans AWS IoT Core

Pour activer l'agrafage du certificat de serveur OCSP AWS IoT Core, créez une configuration de domaine pour un domaine personnalisé ou mettez à jour une configuration de domaine personnalisée existante. Pour des informations générales sur la création d'une configuration de domaine avec un domaine personnalisé, consultezCréation et configuration de domaines gérés par le client.

Suivez les instructions suivantes pour activer l'agrafage du serveur OCSP à l'aide de ou. Console de gestion AWS AWS CLI

Configuration du certificat de serveur OCSP pour les terminaux privés dans AWS IoT Core

L'OCSP pour les points de terminaison privés vous permet d'utiliser vos ressources OCSP privées au sein de votre Amazon Virtual Private Cloud (Amazon VPC) pour les opérations. AWS IoT Core Le processus implique la configuration d'une fonction Lambda qui agit comme un répondeur OCSP. La fonction Lambda peut utiliser vos ressources OCSP privées pour créer des réponses OCSP qui AWS IoT Core utiliseront.

Fonction Lambda

Avant de configurer l'OCSP du serveur pour un point de terminaison privé, créez une fonction Lambda qui agit comme un répondeur OCSP (Online Certificate Status Protocol) conforme à la norme Request for Comments (RFC) 6960 et prenant en charge les réponses OCSP de base. La fonction Lambda accepte un codage base64 de la requête OCSP au format DER (Distinguished Encoding Rules). La réponse de la fonction Lambda est également une réponse OCSP codée en base64 au format DER. La taille de la réponse ne doit pas dépasser 4 kilo-octets (KiB). La fonction Lambda doit être identique Compte AWS à la configuration du domaine. Région AWS Voici des exemples de fonctions Lambda.

Exemples de fonctions Lambda

JavaScript

import * as pkijs from 'pkijs';
console.log('Loading function');
 
export const handler = async (event, context) => {
    const requestBytes = decodeBase64(event);
    const ocspRequest = pkijs.OCSPRequest.fromBER(requestBytes);
 
    console.log("Here is a better look at the OCSP request");
    console.log(ocspRequest.toJSON());
 
    const ocspResponse = getOcspResponse();
    
    console.log("Here is a better look at the OCSP response");
    console.log(ocspResponse.toJSON());
 
   const responseBytes = ocspResponse.toSchema().toBER();
   return encodeBase64(responseBytes);
};
 
function getOcspResponse() {
    const responseString = "MIIC/woBAKCCAvgwggL0BgkrBgEFBQcwAQEEggLlMIIC4TCByqFkMGIxJzAlBgNVBAoMHlJpY2hhcmQncyBEaXNjb3VudCBMYW1iZGEgT0NTUDEZMBcGA1UEAwwQcm91bmRhYm91dE5hdGlvbjEPMA0GA1UEBwwGQ2FybWVsMQswCQYDVQQGEwJJThgPMjAyNDA0MjMxODUzMjVaMFEwTzA6MAkGBSsOAwIaBQAEFD2L7Ol/6ieNMaJbwRbxFWFweXGPBBSzSThwzTc3/p5w7WOtPjp3otNtVgIBAYAAGA8yMDI0MDQyMzE4NTMyNVowDQYJKoZIhvcNAQELBQADggIBAJFRyjDAHfazNejo704Ra3FOsGq/+s82R1spDarr3k7Pzkod9jJhwsZ2YgushlS4Npfe4lHCdwFyZR75WXrW55aXFddy03KLz01ZLNYyxkleW3f5dgrUcRU3PMW9TU2gZ0VOV8L5pmxKBoBRFt6EKtyh4CbiuqkTpLdLIMZmTyanhl5GVyU5MBHdbH8YWZoT/DEBiyS7ZsyhKo6igWU/SY7YMSKgwBvFsqSDcOa/hRYQkxWKWJ19gcz8CIkWN7NvfIxCs6VrAdzEJwmE7y3v+jdfhxW9JmI4xStE4K0tAR9vVOOfKs7NvxXj7oc9pCSG60xl96kaEE6PaY1YsfNTsKQ7pyCJ0s7/2q+ieZ4AtNyzw1XBadPzPJNv6E0LvI24yQZqN5wACvtut5prMMRxAHbOy+abLZR58wloFSELtGJ7UD96LFv1GgtC5s+2QlzPc4bEEof7Lo1EISt3j2ibNch8LxhqTQ4ufrbhsMkpSOTFYEJVMJF6aKj/OGXBUUqgc0Jx6jjJXNQd+l5KCY9pQFeb/wVUYC6mYqZOkNNMMJxPbHHbFnqb68yO+g5BE9011N44YXoPVJYoXxBLFX+OpRu9cqPkT9/vlkKd+SYXQknwZ81agKzhf1HsBKabtJwNVMlBKaI8g5UGa7Bxi6ewH3ezdWiERRUK7F56OM53wto/";
    const responseBytes = decodeBase64(responseString);
    return pkijs.OCSPResponse.fromBER(responseBytes);
}
 
function decodeBase64(input) {
    const binaryString = atob(input);
 
    const byteArray = new Uint8Array(binaryString.length);
    for (var i = 0; i < binaryString.length; i++) {
        byteArray[i] = binaryString.charCodeAt(i);
    }
 
    return byteArray.buffer;
}
 
function encodeBase64(buffer) {
    var binary = '';
    const bytes = new Uint8Array( buffer );
    const len = bytes.byteLength;
 
    for (var i = 0; i < len; i++) {
        binary += String.fromCharCode( bytes[ i ] );
    }
 
    return btoa(binary);
}

Java

package com.example.ocsp.responder;
import com.amazonaws.services.lambda.runtime.Context;
import com.amazonaws.services.lambda.runtime.LambdaLogger;
import com.amazonaws.services.lambda.runtime.RequestHandler;
import org.bouncycastle.cert.ocsp.OCSPReq;
import org.bouncycastle.cert.ocsp.OCSPResp;
import java.io.IOException;
import java.io.InputStream;
import java.io.OutputStream;
import java.util.Base64;
 
public class LambdaResponderApplication implements RequestHandler<String, String> {
    @Override
    public String handleRequest(final String input, final Context context) {
        LambdaLogger logger = context.getLogger();
        
        byte[] decodedInput = Base64.getDecoder().decode(input);
 
        OCSPReq req;
        try {
            req = new OCSPReq(decodedInput);
        } catch (IOException e) {
            logger.log("Got an IOException creating the OCSP request: " + e.getMessage());
            throw new RuntimeException(e);
        }
 
        try {
            OCSPResp response = businessLogic.getMyResponse();
            String toReturn = Base64.getEncoder().encodeToString(response.getEncoded());
            return toReturn;
        } catch (Exception e) {
            logger.log("Got an exception creating the response: " + e.getMessage());
            return "";
        }
    }
}

Autorisation AWS IoT pour appeler votre fonction Lambda

Lors de la création de la configuration de domaine à l'aide d'un répondeur OCSP Lambda, vous devez AWS IoT autoriser l'appel de la fonction Lambda une fois celle-ci créée. Pour accorder l'autorisation, vous pouvez utiliser la commande CLI add-permission.

Configuration de l'agrafage OCSP du serveur pour les terminaux privés

Remarques importantes concernant l'utilisation de l'agrafage OCSP du certificat de serveur dans AWS IoT Core

Lorsque vous utilisez le certificat de serveur OCSP dans AWS IoT Core, tenez compte des points suivants :

Résolution des problèmes liés à l'agrafage d'un certificat de serveur OCSP AWS IoT Core

AWS IoT Core envoie la RetrieveOCSPStapleData.Success métrique et les entrées du RetrieveOCSPStapleData journal à CloudWatch. La métrique et les entrées de journal peuvent permettre de détecter les problèmes liés à l’extraction des réponses OCSP. Pour plus d'informations, consultez Métriques d'agrafage OCSP des certificats de serveur et Entrées du journal OCSP du certificat de serveur.