Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Konfiguration des Serverzertifikats für OCSP-Stapling

AWS IoT Core unterstützt das Online Certificate Status Protocol (OCSP) -Stapling für Serverzertifikate, auch bekannt als Serverzertifikat-OCSP-Stapling oder OCSP-Stapling. Es handelt sich um einen Sicherheitsmechanismus, der verwendet wird, um den Sperrstatus des Serverzertifikats in einem TLS-Handshake (Transport Layer Security) zu überprüfen. Mithilfe von OCSP-Stapling AWS IoT Core können Sie die Gültigkeit des Serverzertifikats Ihrer benutzerdefinierten Domain um eine zusätzliche Überprüfungsebene erweitern.

Sie können das OCSP-Stapling in für Serverzertifikate aktivieren, um die Gültigkeit des Zertifikats AWS IoT Core zu überprüfen, indem Sie den OCSP-Responder regelmäßig abfragen. Die OCSP-Stapling-Einstellung ist Teil des Prozesses zum Erstellen oder Aktualisieren einer Domänenkonfiguration mit einer benutzerdefinierten Domäne. OCSP-Stapling überprüft kontinuierlich den Sperrstatus des Serverzertifikats. Auf diese Weise können Sie überprüfen, ob die Clients, die eine Verbindung zu Ihren benutzerdefinierten Domänen herstellen, allen Zertifikaten, die von der CA gesperrt wurden, nicht mehr vertrauen. Weitere Informationen finden Sie unter Das Serverzertifikat OCSP wird aktiviert in AWS IoT Core.

Das OCSP-Stapling von Serverzertifikaten ermöglicht die Überprüfung des Sperrstatus in Echtzeit, reduziert die mit der Überprüfung des Sperrstatus verbundene Latenz und verbessert den Datenschutz und die Zuverlässigkeit sicherer Verbindungen. Weitere Informationen zu den Vorteilen der Verwendung von OCSP-Stapling finden Sie unter. Vorteile der Verwendung von OCSP-Stapling im Vergleich zu clientseitigen OCSP-Prüfungen

Was ist OCSP?

Das Online Certificate Status Protocol (OCSP) hilft dabei, den Sperrstatus eines Serverzertifikats für einen Transport Layer Security (TLS) -Handshake bereitzustellen.

Die wichtigsten Konzepte

Die folgenden Schlüsselkonzepte enthalten Einzelheiten zum Online Certificate Status Protocol (OCSP).

OCSP

OCSP wird verwendet, um den Zertifikatssperrstatus während des Transport Layer Security (TLS) -Handshakes zu überprüfen. OCSP ermöglicht die Validierung von Zertifikaten in Echtzeit. Dies bestätigt, dass das Zertifikat seit seiner Ausstellung nicht gesperrt wurde oder abgelaufen ist. OCSP ist im Vergleich zu herkömmlichen Zertifikatssperrlisten (CRLs) auch besser skalierbar. OCSP-Antworten sind kleiner und können effizient generiert werden, weshalb sie sich besser für umfangreiche Private-Key-Infrastrukturen (PKIs) eignen.

OCSP-Responder

Ein OCSP-Responder (auch als OCSP-Server bekannt) empfängt OCSP-Anfragen von Clients, die den Sperrstatus von Zertifikaten überprüfen möchten, und beantwortet diese.

Client-side OCSP

Bei clientseitigem OCSP verwendet der Client OCSP, um einen OCSP-Responder zu kontaktieren, um den Sperrstatus des Zertifikats während des TLS-Handshakes zu überprüfen.

Server-side OCSP

Bei serverseitigem OCSP (auch bekannt als OCSP-Stapling) ist der Server (und nicht der Client) in der Lage, die Anfrage an den OCSP-Responder zu stellen. Der Server heftet die OCSP-Antwort auf das Zertifikat und gibt sie während des TLS-Handshakes an den Client zurück.

OCSP-Diagramme

Das folgende Diagramm veranschaulicht, wie clientseitiges OCSP und serverseitiges OCSP funktionieren.

So funktioniert OCSP-Stapling

OCSP-Stapling wird während des TLS-Handshakes zwischen dem Client und dem Server verwendet, um den Sperrstatus des Serverzertifikats zu überprüfen. Der Server stellt die OCSP-Anfrage an den OCSP-Responder und heftet die OCSP-Antworten auf die an den Client zurückgegebenen Zertifikate. Wenn der Server die Anfrage an den OCSP-Responder stellt, können die Antworten zwischengespeichert und dann für viele Clients mehrfach verwendet werden.

So funktioniert OCSP-Stapling in AWS IoT Core

Das folgende Diagramm zeigt, wie serverseitiges OCSP-Stapling in funktioniert. AWS IoT Core

Vorteile der Verwendung von OCSP-Stapling im Vergleich zu clientseitigen OCSP-Prüfungen

Die Verwendung von OCSP-Stapling für Serverzertifikate bietet unter anderem die folgenden Vorteile:

Verbesserter Datenschutz

Ohne OCSP-Stapling kann das Gerät des Kunden Informationen an OCSP-Responder von Drittanbietern weitergeben, wodurch möglicherweise die Privatsphäre der Benutzer gefährdet wird. OCSP-Stapling mindert dieses Problem, indem der Server die OCSP-Antwort erhält und sie direkt an den Client sendet.

Verbesserte Zuverlässigkeit

OCSP-Stapling kann die Zuverlässigkeit sicherer Verbindungen verbessern, da es das Risiko von OCSP-Serverausfällen reduziert. Wenn OCSP-Antworten geheftet werden, fügt der Server dem Zertifikat die neueste Antwort bei. Auf diese Weise können Clients auch dann auf den Sperrstatus zugreifen, wenn der OCSP-Responder vorübergehend nicht verfügbar ist. OCSP-Stapling hilft, diese Probleme zu mindern, da der Server regelmäßig OCSP-Antworten abruft und die zwischengespeicherten Antworten in den TLS-Handshake einbezieht. Dadurch wird die Abhängigkeit von der Echtzeitverfügbarkeit der OCSP-Responder verringert.

Reduzierte Serverlast

OCSP-Stapling entlastet die OCSP-Responder bei der Beantwortung von OCSP-Anfragen auf den Server. Dies kann dazu beitragen, die Last gleichmäßiger zu verteilen und den Zertifikatsvalidierungsprozess effizienter und skalierbarer zu machen.

Reduzierte Latenz

OCSP-Stapling reduziert die Latenz, die mit der Überprüfung des Sperrstatus eines Zertifikats während des TLS-Handshakes verbunden ist. Anstatt dass der Client einen OCSP-Server separat abfragen muss, sendet der Server die Anfrage und hängt die OCSP-Antwort während des Handshakes an das Serverzertifikat an.

Das Serverzertifikat OCSP wird aktiviert in AWS IoT Core

Um das OCSP Stapling in das Serverzertifikat zu aktivieren AWS IoT Core, erstellen Sie eine Domänenkonfiguration für eine benutzerdefinierte Domäne oder aktualisieren Sie eine vorhandene benutzerdefinierte Domänenkonfiguration. Allgemeine Informationen zum Erstellen einer Domänenkonfiguration mit einer benutzerdefinierten Domäne finden Sie unter. Vom Kunden verwaltete Domains erstellen und konfigurieren

Verwenden Sie die folgenden Anweisungen, um das OCSP-Server-Stapling mithilfe von AWS-Managementkonsole oder zu aktivieren. AWS CLI

Konfiguration des Serverzertifikats OCSP für private Endpunkte in AWS IoT Core

Mit OCSP für private Endpunkte können Sie Ihre privaten OCSP-Ressourcen in Ihrer Amazon Virtual Private Cloud (Amazon VPC) für den Betrieb verwenden. AWS IoT Core Der Prozess beinhaltet die Einrichtung einer Lambda-Funktion, die als OCSP-Responder fungiert. Die Lambda-Funktion verwendet möglicherweise Ihre privaten OCSP-Ressourcen, um OCSP-Antworten zu erstellen, die verwendet werden. AWS IoT Core

Lambda-Funktion

Bevor Sie Server-OCSP für einen privaten Endpunkt konfigurieren, erstellen Sie eine Lambda-Funktion, die als Request for Comments (RFC) 6960-kompatibler OCSP-Responder (Online Certificate Status Protocol) fungiert und grundlegende OCSP-Antworten unterstützt. Die Lambda-Funktion akzeptiert eine Base64-Kodierung der OCSP-Anforderung im DER-Format (Distinguished Encoding Rules). Die Antwort der Lambda-Funktion ist ebenfalls eine Base64-kodierte OCSP-Antwort im DER-Format. Die Größe der Antwort darf 4 Kilobyte (KiB) nicht überschreiten. Die Lambda-Funktion muss sich in derselben Konfiguration AWS-Region wie die AWS-Konto Domänenkonfiguration befinden. Im Folgenden finden Sie Beispiele für Lambda-Funktionen.

Beispiele für Lambda-Funktionen

JavaScript

import * as pkijs from 'pkijs';
console.log('Loading function');
 
export const handler = async (event, context) => {
    const requestBytes = decodeBase64(event);
    const ocspRequest = pkijs.OCSPRequest.fromBER(requestBytes);
 
    console.log("Here is a better look at the OCSP request");
    console.log(ocspRequest.toJSON());
 
    const ocspResponse = getOcspResponse();
    
    console.log("Here is a better look at the OCSP response");
    console.log(ocspResponse.toJSON());
 
   const responseBytes = ocspResponse.toSchema().toBER();
   return encodeBase64(responseBytes);
};
 
function getOcspResponse() {
    const responseString = "MIIC/woBAKCCAvgwggL0BgkrBgEFBQcwAQEEggLlMIIC4TCByqFkMGIxJzAlBgNVBAoMHlJpY2hhcmQncyBEaXNjb3VudCBMYW1iZGEgT0NTUDEZMBcGA1UEAwwQcm91bmRhYm91dE5hdGlvbjEPMA0GA1UEBwwGQ2FybWVsMQswCQYDVQQGEwJJThgPMjAyNDA0MjMxODUzMjVaMFEwTzA6MAkGBSsOAwIaBQAEFD2L7Ol/6ieNMaJbwRbxFWFweXGPBBSzSThwzTc3/p5w7WOtPjp3otNtVgIBAYAAGA8yMDI0MDQyMzE4NTMyNVowDQYJKoZIhvcNAQELBQADggIBAJFRyjDAHfazNejo704Ra3FOsGq/+s82R1spDarr3k7Pzkod9jJhwsZ2YgushlS4Npfe4lHCdwFyZR75WXrW55aXFddy03KLz01ZLNYyxkleW3f5dgrUcRU3PMW9TU2gZ0VOV8L5pmxKBoBRFt6EKtyh4CbiuqkTpLdLIMZmTyanhl5GVyU5MBHdbH8YWZoT/DEBiyS7ZsyhKo6igWU/SY7YMSKgwBvFsqSDcOa/hRYQkxWKWJ19gcz8CIkWN7NvfIxCs6VrAdzEJwmE7y3v+jdfhxW9JmI4xStE4K0tAR9vVOOfKs7NvxXj7oc9pCSG60xl96kaEE6PaY1YsfNTsKQ7pyCJ0s7/2q+ieZ4AtNyzw1XBadPzPJNv6E0LvI24yQZqN5wACvtut5prMMRxAHbOy+abLZR58wloFSELtGJ7UD96LFv1GgtC5s+2QlzPc4bEEof7Lo1EISt3j2ibNch8LxhqTQ4ufrbhsMkpSOTFYEJVMJF6aKj/OGXBUUqgc0Jx6jjJXNQd+l5KCY9pQFeb/wVUYC6mYqZOkNNMMJxPbHHbFnqb68yO+g5BE9011N44YXoPVJYoXxBLFX+OpRu9cqPkT9/vlkKd+SYXQknwZ81agKzhf1HsBKabtJwNVMlBKaI8g5UGa7Bxi6ewH3ezdWiERRUK7F56OM53wto/";
    const responseBytes = decodeBase64(responseString);
    return pkijs.OCSPResponse.fromBER(responseBytes);
}
 
function decodeBase64(input) {
    const binaryString = atob(input);
 
    const byteArray = new Uint8Array(binaryString.length);
    for (var i = 0; i < binaryString.length; i++) {
        byteArray[i] = binaryString.charCodeAt(i);
    }
 
    return byteArray.buffer;
}
 
function encodeBase64(buffer) {
    var binary = '';
    const bytes = new Uint8Array( buffer );
    const len = bytes.byteLength;
 
    for (var i = 0; i < len; i++) {
        binary += String.fromCharCode( bytes[ i ] );
    }
 
    return btoa(binary);
}

Java

package com.example.ocsp.responder;
import com.amazonaws.services.lambda.runtime.Context;
import com.amazonaws.services.lambda.runtime.LambdaLogger;
import com.amazonaws.services.lambda.runtime.RequestHandler;
import org.bouncycastle.cert.ocsp.OCSPReq;
import org.bouncycastle.cert.ocsp.OCSPResp;
import java.io.IOException;
import java.io.InputStream;
import java.io.OutputStream;
import java.util.Base64;
 
public class LambdaResponderApplication implements RequestHandler<String, String> {
    @Override
    public String handleRequest(final String input, final Context context) {
        LambdaLogger logger = context.getLogger();
        
        byte[] decodedInput = Base64.getDecoder().decode(input);
 
        OCSPReq req;
        try {
            req = new OCSPReq(decodedInput);
        } catch (IOException e) {
            logger.log("Got an IOException creating the OCSP request: " + e.getMessage());
            throw new RuntimeException(e);
        }
 
        try {
            OCSPResp response = businessLogic.getMyResponse();
            String toReturn = Base64.getEncoder().encodeToString(response.getEncoded());
            return toReturn;
        } catch (Exception e) {
            logger.log("Got an exception creating the response: " + e.getMessage());
            return "";
        }
    }
}

Autorisieren AWS IoT um Ihre Lambda-Funktion aufzurufen

Bei der Erstellung der Domänenkonfiguration mit einem Lambda-OCSP-Responder müssen Sie die AWS IoT Erlaubnis zum Aufrufen der Lambda-Funktion erteilen, nachdem die Funktion erstellt wurde. Um die Berechtigung zu erteilen, können Sie den CLI-Befehl add-permission verwenden.

Konfiguration des Server-OCSP-Staplings für private Endpunkte

Wichtige Hinweise zur Verwendung von OCSP Stapling für Serverzertifikate in AWS IoT Core

Beachten Sie Folgendes, wenn Sie das Serverzertifikat OCSP in AWS IoT Core verwenden:

Problembehandlung beim Einheften von Serverzertifikaten durch OCSP AWS IoT Core

AWS IoT Core gibt das RetrieveOCSPStapleData.Success Messobjekt und die RetrieveOCSPStapleData Logeinträge an aus. CloudWatch Die Kennzahl und die Protokolleinträge können dabei helfen, Probleme im Zusammenhang mit dem Abrufen von OCSP-Antworten zu erkennen. Weitere Informationen erhalten Sie unter OCSP-Stapling-Metriken für Serverzertifikate und OCSP-Protokolleinträge des Serverzertifikats.