Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Configurazione del certificato del server per la OCSP graffatura

AWS IoT Core supporta la pinzatura del protocollo Online Certificate Status Protocol (OCSP) per i certificati server, nota anche come pinzatura o OCSP graffatura dei certificati server. OCSP È un meccanismo di sicurezza utilizzato per verificare lo stato di revoca sul certificato del server tramite un handshake Transport Layer Security (). TLS OCSPstapling in AWS IoT Core consente di aggiungere un ulteriore livello di verifica alla validità del certificato del server del dominio personalizzato.

Puoi abilitare OCSP lo stapling del certificato del server AWS IoT Core per verificare la validità del certificato interrogando periodicamente il OCSP risponditore. L'impostazione OCSP Stapling fa parte del processo di creazione o aggiornamento di una configurazione di dominio con un dominio personalizzato. OCSPStamping controlla continuamente lo stato di revoca sul certificato del server. Ciò consente di verificare che i certificati revocati dalla CA non siano più considerati attendibili dai client che si connettono ai domini personalizzati. Per ulteriori informazioni, consulta Abilitazione del certificato del server in OCSP AWS IoT Core.

La memorizzazione dei OCSP certificati del server consente di controllare lo stato di revoca in tempo reale, riduce la latenza associata al controllo dello stato di revoca e migliora la privacy e l'affidabilità delle connessioni sicure. Per ulteriori informazioni sui vantaggi dell'utilizzo OCSP della pinzatura, vedere. Vantaggi dell'utilizzo della OCSP pinzatura rispetto ai controlli lato client OCSP

Cos'è OCSP?

L'Online Certificate Status Protocol (OCSP) aiuta a fornire lo stato di revoca di un certificato server per un handshake di Transport Layer Security (TLS).

Concetti chiave

I seguenti concetti chiave forniscono dettagli sull'Online Certificate Status Protocol ()OCSP.

OCSP

OCSPviene utilizzato per verificare lo stato di revoca del certificato durante l'handshake di Transport Layer Security (TLS). OCSPconsente la convalida in tempo reale dei certificati. Ciò conferma che il certificato non è stato revocato o scaduto da quando è stato emesso. OCSPè anche più scalabile rispetto ai tradizionali elenchi di revoca dei certificati (). CRLs OCSPle risposte sono più piccole e possono essere generate in modo efficiente, il che le rende più adatte per infrastrutture a chiave privata su larga scala (). PKIs

OCSPrisponditore

Un OCSP risponditore (noto anche come OCSP server) riceve e risponde alle OCSP richieste dei client che cercano di verificare lo stato di revoca dei certificati.

Lato client OCSP

Sul lato clientOCSP, il client contatta un OCSP risponditore OCSP per verificare lo stato di revoca del certificato durante l'handshake. TLS

Lato server OCSP

Sul lato server OCSP (noto anche come OCSP stapling), il server è abilitato (anziché il client) a inviare la richiesta al risponditore. OCSP Il server archivia la OCSP risposta al certificato e la restituisce al client durante l'handshake. TLS

OCSPdiagrammi

Il diagramma seguente illustra il funzionamento lato client OCSP e lato server. OCSP

Come funziona la OCSP pinzatura

OCSPlo stapling viene utilizzato durante l'TLShandshake tra il client e il server per verificare lo stato di revoca del certificato del server. Il server invia la OCSP richiesta al OCSP risponditore e archivia le OCSP risposte ai certificati restituiti al client. Facendo in modo che il server effettui la richiesta al OCSP risponditore, le risposte possono essere memorizzate nella cache e quindi utilizzate più volte per molti client.

Come funziona la OCSP pinzatura in AWS IoT Core

Il diagramma seguente mostra come funziona la pinzatura lato serverOCSP. AWS IoT Core

Vantaggi dell'utilizzo della OCSP pinzatura rispetto ai controlli lato client OCSP

Alcuni vantaggi dell'utilizzo della OCSP pinzatura dei certificati del server includono quanto segue:

Privacy migliorata

Senza OCSP graffatura, il dispositivo del cliente può esporre le informazioni a OCSP soccorritori di terze parti, compromettendo potenzialmente la privacy degli utenti. OCSPstapling mitiga questo problema facendo in modo che il server ottenga la OCSP risposta e la invii direttamente al client.

Affidabilità migliorata

OCSPla pinzatura può migliorare l'affidabilità delle connessioni sicure perché riduce il rischio di interruzioni del OCSP server. Quando OCSP le risposte vengono pinzate, il server include la risposta più recente con il certificato. In questo modo i client hanno accesso allo stato di revoca anche se il OCSP risponditore è temporaneamente non disponibile. OCSPlo stapling aiuta a mitigare questi problemi perché il server recupera periodicamente OCSP le risposte e include le risposte memorizzate nella cache nell'handshake. TLS Ciò riduce la dipendenza dalla disponibilità in tempo reale dei soccorritori. OCSP

Carico ridotto del server

OCSPlo stapling alleggerisce al server l'onere di rispondere alle OCSP richieste dei OCSP risponditori. Questo può aiutare a distribuire il carico in modo più uniforme, rendendo il processo di convalida dei certificati più efficiente e scalabile.

Latenza ridotta

OCSPlo stapling riduce la latenza associata al controllo dello stato di revoca di un certificato durante l'handshake. TLS Invece di dover interrogare un OCSP server separatamente, il client invia la richiesta e allega la OCSP risposta al certificato del server durante l'handshake.

Abilitazione del certificato del server in OCSP AWS IoT Core

Per abilitare l'inserimento del OCSP certificato del server AWS IoT Core, crea una configurazione di dominio per un dominio personalizzato o aggiorna una configurazione di dominio personalizzata esistente. Per informazioni generali sulla creazione di una configurazione di dominio con un dominio personalizzato, consultaCreazione e configurazione di domini gestiti dai clienti.

Utilizza le seguenti istruzioni per abilitare la pinzatura OCSP del server utilizzando AWS Management Console o AWS CLI.

Configurazione del certificato del server OCSP per endpoint privati in AWS IoT Core

OCSPfor private endpoint ti consente di utilizzare le tue OCSP risorse private all'interno del tuo Amazon Virtual Private Cloud (AmazonVPC) per AWS IoT Core le operazioni. Il processo prevede l'impostazione di una funzione Lambda che funge da risponditore. OCSP La funzione Lambda potrebbe utilizzare le tue OCSP risorse private per creare OCSP risposte che AWS IoT Core utilizzerai.

Funzione Lambda

Prima di configurare il server OCSP per un endpoint privato, create una funzione Lambda che funga da risponditore Online Certificate Status Protocol RFC OCSP () conforme a Request for Comments () 6960, che supporta le risposte di base. OCSP La funzione Lambda accetta una codifica base64 della OCSP richiesta nel formato Distinguished Encoding Rules (). DER La risposta della funzione Lambda è anche una risposta con codifica base64 OCSP nel formato. DER La dimensione della risposta non deve superare i 4 kilobyte (KB). La funzione Lambda deve essere nella stessa configurazione Account AWS e nella stessa Regione AWS configurazione del dominio. Di seguito sono riportati alcuni esempi di funzioni Lambda.

Esempi di funzioni Lambda

JavaScript

import * as pkijs from 'pkijs';
console.log('Loading function');
 
export const handler = async (event, context) => {
    const requestBytes = decodeBase64(event);
    const ocspRequest = pkijs.OCSPRequest.fromBER(requestBytes);
 
    console.log("Here is a better look at the OCSP request");
    console.log(ocspRequest.toJSON());
 
    const ocspResponse = getOcspResponse();
    
    console.log("Here is a better look at the OCSP response");
    console.log(ocspResponse.toJSON());
 
   const responseBytes = ocspResponse.toSchema().toBER();
   return encodeBase64(responseBytes);
};
 
function getOcspResponse() {
    const responseString = "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";
    const responseBytes = decodeBase64(responseString);
    return pkijs.OCSPResponse.fromBER(responseBytes);
}
 
function decodeBase64(input) {
    const binaryString = atob(input);
 
    const byteArray = new Uint8Array(binaryString.length);
    for (var i = 0; i < binaryString.length; i++) {
        byteArray[i] = binaryString.charCodeAt(i);
    }
 
    return byteArray.buffer;
}
 
function encodeBase64(buffer) {
    var binary = '';
    const bytes = new Uint8Array( buffer );
    const len = bytes.byteLength;
 
    for (var i = 0; i < len; i++) {
        binary += String.fromCharCode( bytes[ i ] );
    }
 
    return btoa(binary);
}

Java

package com.example.ocsp.responder;
import com.amazonaws.services.lambda.runtime.Context;
import com.amazonaws.services.lambda.runtime.LambdaLogger;
import com.amazonaws.services.lambda.runtime.RequestHandler;
import org.bouncycastle.cert.ocsp.OCSPReq;
import org.bouncycastle.cert.ocsp.OCSPResp;
import java.io.IOException;
import java.io.InputStream;
import java.io.OutputStream;
import java.util.Base64;
 
public class LambdaResponderApplication implements RequestHandler<String, String> {
    @Override
    public String handleRequest(final String input, final Context context) {
        LambdaLogger logger = context.getLogger();
        
        byte[] decodedInput = Base64.getDecoder().decode(input);
 
        OCSPReq req;
        try {
            req = new OCSPReq(decodedInput);
        } catch (IOException e) {
            logger.log("Got an IOException creating the OCSP request: " + e.getMessage());
            throw new RuntimeException(e);
        }
 
        try {
            OCSPResp response = businessLogic.getMyResponse();
            String toReturn = Base64.getEncoder().encodeToString(response.getEncoded());
            return toReturn;
        } catch (Exception e) {
            logger.log("Got an exception creating the response: " + e.getMessage());
            return "";
        }
    }
}

Autorizzazione AWS IoT a richiamare la funzione Lambda

Nel processo di creazione della configurazione del dominio con un OCSP risponditore Lambda, è necessario concedere l' AWS IoT autorizzazione a richiamare la funzione Lambda dopo la creazione della funzione. Per concedere l'autorizzazione, è possibile utilizzare il comando add-permission. CLI

Configurazione OCSP dello stapling del server per endpoint privati

Note importanti per l'utilizzo del certificato del server in formato OCSP stapling AWS IoT Core

Quando utilizzi il certificato del server OCSP in AWS IoT Core, tieni presente quanto segue:

Risoluzione dei problemi relativi all'inserimento dei OCSP certificati del server AWS IoT Core

AWS IoT Core emette la RetrieveOCSPStapleData.Success metrica e le voci di RetrieveOCSPStapleData registro su. CloudWatch La metrica e le voci di registro possono aiutare a rilevare problemi relativi al recupero delle risposte. OCSP Per ulteriori informazioni, consulta Metriche di OCSP graffing dei certificati del server e voci di OCSP registro dei certificati del server.