Certificado da CA revogado ainda ativo
Um certificado da CA foi revogado, mas ainda está ativo na AWS IoT.
Essa verificação aparece como REVOKED_CA_CERTIFICATE_STILL_ACTIVE_CHECK na CLI e na API.
Gravidade: Crítica
Detalhes
Um certificado da CA está marcado como revogado na lista de revogação de certificados mantida pela autoridade emissora, mas ainda está marcado como ACTIVE ou PENDING_TRANSFER na AWS IoT.
Os códigos de motivo a seguir são retornados quando essa verificação encontra um certificado da CA não compatível:
-
CERTIFICATE_REVOKED_BY_ISSUER
Por que isso importa?
Um certificado da CA não deve mais ser usado para assinar certificados de dispositivo. Ele pode ter sido revogado porque foi comprometido. Dispositivos recém-adicionados com certificados assinados usando esse certificado da CA podem representar uma ameaça à segurança.
Como corrigir
-
Use UpdateCACertificate para marcar o certificado da CA como INACTIVE no AWS IoT. Você também pode usar ações de mitigação para:
-
Aplicar a ação de mitigação
UPDATE_CA_CERTIFICATEem suas descobertas de auditoria para fazer essa mudança. -
Aplicar a ação de mitigação
PUBLISH_FINDINGS_TO_SNSpara implementar uma resposta personalizada em resposta à mensagem do Amazon SNS.
Para ter mais informações, consulte Ações de mitigação.
-
-
Revise as atividades de registro de certificado de dispositivo pelo período após o qual o certificado da CA foi revogado e considere a possibilidade de revogar todos os certificados de dispositivos que podem ter sido emitidos com ele durante esse período. Você pode usar ListCertificatesByCA para listar os certificados de dispositivo assinados pelo certificado da CA e UpdateCertificate para revogar um certificado de dispositivo.
