TLS プロトコルセキュリティポリシー AWS IoT Coreのトランスポートセキュリティに関する重要な注意事項 LoRaWAN ワイヤレスデバイスのトランスポートセキュリティ

のトランスポートセキュリティ AWS IoT Core

TLS (Transport Layer Security) は、コンピュータネットワーク上での安全な通信のために設計された暗号化プロトコルです。 AWS IoT Core Device Gateway では、デバイスから Gateway への接続に TLS を使用して、転送中にすべての通信を暗号化する必要があります。TLS は、 AWS IoT Coreでサポートされているアプリケーションプロトコル (MQTT、HTTP、および WebSocket) の機密性を達成するために使用されます。TLS サポートは、多くのプログラミング言語とオペレーティングシステムで使用できます。内のデータは、特定の AWS サービスによって暗号化 AWS されます。他の AWS サービスでのデータ暗号化の詳細については、そのサービスのセキュリティドキュメントを参照してください。

TLS プロトコル

AWS IoT Core は、TLS プロトコルの次のバージョンをサポートしています。

TLS 1.3
TLS 1.2

を使用すると AWS IoT Core、ドメイン設定で TLS 設定 (TLS 1.2 および TLS 1.3 の場合) を設定できます。詳細については、「ドメインTLS設定での設定」を参照してください。

セキュリティポリシー

セキュリティポリシーは、クライアントとサーバー間の TLS ネゴシエーション中にサポートされるプロトコルと暗号を決定する TLS プロトコルとその暗号の組み合わせです。必要に応じて、事前定義されたセキュリティポリシーを使用するようにデバイスを設定できます。 AWS IoT Core はカスタムセキュリティポリシーをサポートしていないことに注意してください。

デバイスの事前定義されたセキュリティポリシーの 1 つを接続時に選択できます AWS IoT Core。の最新の事前定義されたセキュリティポリシーの名前には、リリースされた年月に基づくバージョン情報 AWS IoT Core が含まれます。事前に定義されたデフォルトのセキュリティポリシーは IoTSecurityPolicy_TLS13_1_2_2022_10 です。セキュリティポリシーを指定するには、 AWS IoT コンソールまたはを使用できます AWS CLI。詳細については、「ドメインTLS設定での設定」を参照してください。

次の表は、 AWS IoT Core でサポートされる、事前に定義された最新のセキュリティポリシーの詳細を示しています。見出し行に収まるようにポリシー名から IotSecurityPolicy_ を削除しました。

セキュリティポリシー	TLS13_1_3_2022_10	TLS13_1_2_2022_10	TLS12_1_2_2022_10	TLS12_1_0_2016_01*		TLS12_1_0_2015_01*
TCP ポート	443/8443/8883	443/8443/8883	443/8443/8883	443	8443/8883	443	8443/8883
TLS Protocols
TLS 1.2		✓	✓	✓	✓	✓	✓
TLS 1.3	✓	✓
TLS Ciphers
TLS_AES_128_GCM_SHA256	✓	✓
TLS_AES_256_GCM_SHA384	✓	✓
TLS_CHACHA20_POLY1305_SHA256	✓	✓
ECDHE-RSA-AES128- GCM-SHA256		✓	✓	✓	✓	✓	✓
ECDHE-RSA-AES128-SHA256		✓	✓	✓	✓	✓	✓
ECDHE-RSA-AES128-SHA		✓	✓	✓	✓	✓	✓
ECDHE-RSA-AES256-GCM-SHA384		✓	✓	✓	✓	✓	✓
ECDHE-RSA-AES256-SHA384		✓	✓	✓	✓	✓	✓
ECDHE-RSA-AES256-SHA		✓	✓	✓	✓	✓	✓
AES128-GCM-SHA256		✓	✓	✓	✓	✓	✓
AES128-SHA256		✓	✓	✓		✓	✓
AES128-SHA		✓	✓	✓	✓	✓	✓
AES256-GCM-SHA384		✓	✓	✓	✓	✓	✓
AES256-SHA256		✓	✓	✓	✓	✓	✓
AES256-SHA		✓	✓	✓	✓	✓	✓
DHE-RSA-AES256-SHA						✓	✓
ECDHE-ECDSA-AES128- GCM-SHA256		✓	✓	✓	✓	✓	✓
ECDHE-ECDSA-AES128-SHA256		✓	✓	✓	✓	✓	✓
ECDHE-ECDSA-AES128-SHA		✓	✓	✓	✓	✓	✓
ECDHE-ECDSA-AES256- GCM-SHA384		✓	✓	✓	✓	✓	✓
ECDHE-ECDSA-AES256-SHA384		✓	✓	✓	✓	✓	✓
ECDHE-ECDSA-AES256-SHA		✓	✓	✓	✓	✓	✓

注記

TLS12_1_0_2016_01 は、 AWS リージョン ap-east-1、ap-northeast-2、ap-south-1、ap-southeast-2、ca-central-1、cn-north-1、cn-northwest-1、eu-north-1、eu-west-2、eu-west-3、me-south-1、sa-east-1、us-east-2、us-gov-west-1、us-gov-west-2、us-west-1 でのみ使用できます。

TLS12_1_0_2015_01 は、 AWS リージョン ap-northeast-1、ap-southeast-1、eu-central-1、eu-west-1、us-east-1、us-west-2 でのみ使用できます。

AWS IoT Coreのトランスポートセキュリティに関する重要な注意事項

MQTT AWS IoT Core を使用してに接続するデバイスの場合、TLS はデバイスとブローカー間の接続を暗号化し、TLS クライアント認証 AWS IoT Core を使用してデバイスを識別します。詳細については、「クライアント認証」を参照してください。HTTP AWS IoT Core を使用してに接続するデバイスの場合、TLS はデバイスとブローカー間の接続を暗号化し、認証は AWS 署名バージョン 4 に委任されます。詳細については、「AWS 全般のリファレンス」の「署名バージョン 4 でリクエストに署名する」をご参照ください。

デバイスをに接続する場合 AWS IoT Core、Server Name Indication (SNI) 拡張機能の送信は必須ではありませんが、強くお勧めします。マルチアカウント登録、カスタムドメイン、VPC エンドポイント、設定された TSL ポリシーなどの機能を使用するには、SNI 拡張機能を使用し、host_name フィールドに完全なエンドポイントアドレスを指定する必要があります。host_name フィールドには、呼び出すエンドポイントが含まれている必要があります。そのエンドポイントは、次のいずれかである必要があります。

endpointAddress によって返される aws iot describe-endpoint --endpoint-type iot:Data-ATS
domainName によって返される aws iot describe-domain-configuration –-domain-configuration-name "domain_configuration_name"

正しくない、または無効なhost_name値を持つデバイスによって試行された接続は失敗します。 AWS IoT Core は、カスタム認証の認証タイプの失敗を CloudWatch に記録します。

AWS IoT Core は SessionTicket TLS 拡張機能をサポートしていません。

LoRaWAN ワイヤレスデバイスのトランスポートセキュリティ

LoRaWAN デバイスは、LoRaWAN ™ SECURITY: Gemalto、Actility、および Semtech による LoRa Alliance™ 向けに作成されたホワイトペーパーで説明されているセキュリティプラクティスに従います。

LoRaWAN デバイスでのトランスポートセキュリティの詳細については、「LoRaWAN データおよびトランスポートセキュリティ」を参照してください。

ブラウザで JavaScript が無効になっているか、使用できません。

AWS ドキュメントを使用するには、JavaScript を有効にする必要があります。手順については、使用するブラウザのヘルプページを参照してください。

ドキュメントの表記規則

データ保護

データ暗号化