Autenticación del servidor

Cuando el dispositivo u otro cliente intenta conectarse a AWS IoT Core, el servidor de AWS IoT Core enviará un certificado X.509 que el dispositivo utiliza para autenticar el servidor. La autenticación se lleva a cabo en la capa TLS mediante la validación de la cadena de certificados X.509. Este es el mismo método que utiliza el navegador cuando visita una URL HTTPS. Si desea utilizar certificados de su propia autoridad de certificación, consulte Administración de sus certificados de entidad de certificación.

Cuando sus dispositivos u otros clientes establecen una conexión TLS con un punto de conexión de AWS IoT Core, AWS IoT Core presenta una cadena de certificados que los dispositivos utilizan para verificar si se están comunicando con AWS IoT Core y no con otro servidor que suplante a AWS IoT Core . La cadena que se presenta depende de una combinación del tipo de punto de conexión al que se conecta el dispositivo y del conjunto de cifrado que el cliente y AWS IoT Core negociaron durante el protocolo TLS.

Tipo de punto de conexión

AWS IoT Core admite iot:Data-ATS. Los puntos de conexión iot:Data-ATS incluyen un certificado de servidor firmado por una entidad de certificación de Amazon Trust Services.

Los certificados presentados por los puntos de conexión de ATS están firmados por Starfield. Algunas implementaciones de cliente TLS requieren la validación de la raíz de confianza y requieren que los certificados de CA de Starfield estén instalados en los almacenes de confianza del cliente.

Puede utilizar el comando describe-endpoint para crear el punto de conexión de ATS.

aws iot describe-endpoint --endpoint-type iot:Data-ATS

El comando describe-endpoint devuelve un punto de conexión en el formato siguiente.

account-specific-prefix.iot.your-region.amazonaws.com

Crear un IotDataPlaneClient con el AWS SDK para Java

Para crear un IotDataPlaneClient que utilice un punto de conexión iot:Data-ATS, debe hacer lo siguiente.

En el ejemplo siguiente se realizan ambas operaciones.

public void setup() throws Exception {
        IotClient client = IotClient.builder().credentialsProvider(CREDENTIALS_PROVIDER_CHAIN).region(Region.US_EAST_1).build();
        String endpoint = client.describeEndpoint(r -> r.endpointType("iot:Data-ATS")).endpointAddress();
        iot = IotDataPlaneClient.builder()
                                .credentialsProvider(CREDENTIALS_PROVIDER_CHAIN)
                                .endpointOverride(URI.create("https://" + endpoint))
                                .region(Region.US_EAST_1)
                                .build();
}

Certificados de entidad de certificación para autenticación de servidor

En función del tipo de punto de conexión de datos que esté utilizando y del conjunto de cifrado que haya negociado, los certificados de autenticación del servidor de AWS IoT Core estarán firmados por uno de los siguientes certificados de la entidad de certificación raíz:

Puntos de enlace de Amazon Trust Services (preferidos)

Todos estos certificados tienen firma cruzada del Certificado Starfield Root CA. A partir del lanzamiento de AWS IoT Core en la región de Asia Pacífico (Mumbai) el 9 de mayo de 2018, todas las regiones nuevas de AWS IoT Core proporcionan exclusivamente certificados de ATS.

Puntos de enlace de VeriSign (heredados)

Directrices de autenticación de servidores

Hay muchas variables que pueden afectar a la capacidad de un dispositivo para validar el certificado de autenticación del servidor de AWS IoT Core. Por ejemplo, los dispositivos pueden tener demasiada memoria limitada para contener todos los certificados de CA raíz posibles, o los dispositivos pueden implementar un método no estándar de validación de certificados. Por estas razones, sugerimos seguir estas directrices: