Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Konfigurasi sertifikat server untuk stapling OCSP

AWS IoT Core mendukung stapling Online Certificate Status Protocol (OCSP) untuk sertifikat server, juga dikenal sebagai stapling OCSP sertifikat server, atau stapling OCSP. Ini adalah mekanisme keamanan yang digunakan untuk memeriksa status pencabutan pada sertifikat server dalam jabat tangan Transport Layer Security (TLS). Stapling OCSP AWS IoT Core memungkinkan Anda menambahkan lapisan verifikasi tambahan ke validitas sertifikat server domain kustom Anda.

Anda dapat mengaktifkan OCSP sertifikat server AWS IoT Core untuk memeriksa validitas sertifikat dengan menanyakan responder OCSP secara berkala. Pengaturan stapling OCSP adalah bagian dari proses untuk membuat atau memperbarui konfigurasi domain dengan domain khusus. Stapling OCSP memeriksa status pencabutan pada sertifikat server secara terus menerus. Ini membantu memverifikasi bahwa sertifikat apa pun yang telah dicabut oleh CA tidak lagi dipercaya oleh klien yang terhubung ke domain kustom Anda. Untuk informasi selengkapnya, lihat Mengaktifkan sertifikat server OCSP di AWS IoT Core.

Stapling OCSP sertifikat server menyediakan pemeriksaan status pencabutan waktu nyata, mengurangi latensi yang terkait dengan memeriksa status pencabutan, dan meningkatkan privasi dan keandalan koneksi aman. Untuk informasi lebih lanjut tentang manfaat menggunakan stapling OCSP, lihat. Manfaat menggunakan stapling OCSP dibandingkan dengan pemeriksaan OCSP sisi klien

Apa itu OCSP?

Protokol Status Sertifikat Online (OCSP) membantu dalam memberikan status pencabutan sertifikat server untuk jabat tangan Transport Layer Security (TLS).

Konsep Utama

Konsep kunci berikut memberikan rincian tentang Protokol Status Sertifikat Online (OCSP).

OCSP

OCSP digunakan untuk memeriksa status pencabutan sertifikat selama jabat tangan Transport Layer Security (TLS). OCSP memungkinkan validasi sertifikat secara real-time. Ini menegaskan bahwa sertifikat belum dicabut atau kedaluwarsa sejak dikeluarkan. OCSP juga lebih terukur dibandingkan dengan Daftar Pencabutan Sertifikat (CRL) tradisional. Respons OCSP lebih kecil dan dapat dihasilkan secara efisien, membuatnya lebih cocok untuk Infrastruktur Kunci Pribadi (PKI) skala besar.

OCSP responder

Responder OCSP (juga dikenal sebagai server OCSP) menerima dan menanggapi permintaan OCSP dari klien yang berusaha memverifikasi status pencabutan sertifikat.

Client-side OCSP

Di OCSP sisi klien, klien menggunakan OCSP untuk menghubungi responder OCSP untuk memeriksa status pencabutan sertifikat selama jabat tangan TLS.

Server-side OCSP

Dalam OCSP sisi server (juga dikenal sebagai OCSP stapling), server diaktifkan (bukan klien) untuk membuat permintaan ke responder OCSP. Server menempelkan respons OCSP ke sertifikat dan mengembalikannya ke klien selama jabat tangan TLS.

Diagram OCSP

Diagram berikut menggambarkan cara kerja OCSP sisi klien dan OCSP sisi server.

Cara kerja stapling OCSP

Stapling OCSP digunakan selama jabat tangan TLS antara klien dan server untuk memeriksa status pencabutan sertifikat server. Server membuat permintaan OCSP ke responder OCSP dan menempel tanggapan OCSP ke sertifikat yang dikembalikan ke klien. Dengan meminta server membuat permintaan ke responder OCSP, respons dapat di-cache dan kemudian digunakan beberapa kali untuk banyak klien.

Cara kerja stapling OCSP di AWS IoT Core

Diagram berikut menunjukkan cara kerja stapling OCSP sisi server. AWS IoT Core

Manfaat menggunakan stapling OCSP dibandingkan dengan pemeriksaan OCSP sisi klien

Beberapa keuntungan menggunakan stapling OCSP sertifikat server meliputi:

Peningkatan privasi

Tanpa OCSP stapling, perangkat klien dapat mengekspos informasi ke responden OCSP pihak ketiga, yang berpotensi membahayakan privasi pengguna. Stapling OCSP mengurangi masalah ini dengan meminta server mendapatkan respons OCSP dan mengirimkannya langsung ke klien.

Keandalan yang ditingkatkan

Stapling OCSP dapat meningkatkan keandalan koneksi aman karena mengurangi risiko pemadaman server OCSP. Ketika respons OCSP dijepit, server menyertakan respons terbaru dengan sertifikat. Hal ini agar klien memiliki akses ke status pencabutan meskipun responder OCSP sementara tidak tersedia. Stapling OCSP membantu mengurangi masalah ini karena server mengambil respons OCSP secara berkala dan menyertakan respons yang di-cache dalam jabat tangan TLS. Ini mengurangi ketergantungan pada ketersediaan real-time responden OCSP.

Mengurangi beban server

Stapling OCSP melepaskan beban menanggapi permintaan OCSP dari responder OCSP ke server. Ini dapat membantu mendistribusikan beban lebih merata, membuat proses validasi sertifikat lebih efisien dan dapat diskalakan.

Mengurangi latensi

Stapling OCSP mengurangi latensi yang terkait dengan memeriksa status pencabutan sertifikat selama jabat tangan TLS. Alih-alih klien harus menanyakan server OCSP secara terpisah, server mengirimkan permintaan dan melampirkan respons OCSP dengan sertifikat server selama jabat tangan.

Mengaktifkan sertifikat server OCSP di AWS IoT Core

Untuk mengaktifkan OCSP sertifikat server AWS IoT Core, buat konfigurasi domain untuk domain kustom atau perbarui konfigurasi domain kustom yang ada. Untuk informasi umum tentang membuat konfigurasi domain dengan domain khusus, lihatMembuat dan mengonfigurasi domain yang dikelola pelanggan.

Gunakan petunjuk berikut untuk mengaktifkan stapling server OCSP menggunakan Konsol Manajemen AWS atau. AWS CLI

Mengkonfigurasi sertifikat server OCSP untuk titik akhir pribadi di AWS IoT Core

OCSP untuk titik akhir pribadi memungkinkan Anda menggunakan sumber daya OCSP pribadi Anda dalam Amazon Virtual Private Cloud (Amazon VPC) untuk operasi. AWS IoT Core Proses ini melibatkan pengaturan fungsi Lambda yang bertindak sebagai responder OCSP. Fungsi Lambda mungkin menggunakan sumber daya OCSP pribadi Anda untuk membuat respons OCSP yang AWS IoT Core akan digunakan.

Fungsi lambda

Sebelum Anda mengonfigurasi OCSP server untuk titik akhir pribadi, buat fungsi Lambda yang bertindak sebagai responder Protokol Status Sertifikat Online (OCSP) yang sesuai dengan Request for Comments (RFC) 6960, mendukung respons OCSP dasar. Fungsi Lambda menerima base64-encoding dari permintaan OCSP dalam format Distinguished Encoding Rules (DER). Respons fungsi Lambda juga merupakan respons OCSP yang dikodekan base64 dalam format DER. Ukuran respons tidak boleh melebihi 4 kilobyte (KiB). Fungsi Lambda harus sama Akun AWS dan Wilayah AWS seperti konfigurasi domain. Berikut ini adalah contoh fungsi Lambda.

Contoh fungsi Lambda

JavaScript

import * as pkijs from 'pkijs';
console.log('Loading function');
 
export const handler = async (event, context) => {
    const requestBytes = decodeBase64(event);
    const ocspRequest = pkijs.OCSPRequest.fromBER(requestBytes);
 
    console.log("Here is a better look at the OCSP request");
    console.log(ocspRequest.toJSON());
 
    const ocspResponse = getOcspResponse();
    
    console.log("Here is a better look at the OCSP response");
    console.log(ocspResponse.toJSON());
 
   const responseBytes = ocspResponse.toSchema().toBER();
   return encodeBase64(responseBytes);
};
 
function getOcspResponse() {
    const responseString = "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";
    const responseBytes = decodeBase64(responseString);
    return pkijs.OCSPResponse.fromBER(responseBytes);
}
 
function decodeBase64(input) {
    const binaryString = atob(input);
 
    const byteArray = new Uint8Array(binaryString.length);
    for (var i = 0; i < binaryString.length; i++) {
        byteArray[i] = binaryString.charCodeAt(i);
    }
 
    return byteArray.buffer;
}
 
function encodeBase64(buffer) {
    var binary = '';
    const bytes = new Uint8Array( buffer );
    const len = bytes.byteLength;
 
    for (var i = 0; i < len; i++) {
        binary += String.fromCharCode( bytes[ i ] );
    }
 
    return btoa(binary);
}

Java

package com.example.ocsp.responder;
import com.amazonaws.services.lambda.runtime.Context;
import com.amazonaws.services.lambda.runtime.LambdaLogger;
import com.amazonaws.services.lambda.runtime.RequestHandler;
import org.bouncycastle.cert.ocsp.OCSPReq;
import org.bouncycastle.cert.ocsp.OCSPResp;
import java.io.IOException;
import java.io.InputStream;
import java.io.OutputStream;
import java.util.Base64;
 
public class LambdaResponderApplication implements RequestHandler<String, String> {
    @Override
    public String handleRequest(final String input, final Context context) {
        LambdaLogger logger = context.getLogger();
        
        byte[] decodedInput = Base64.getDecoder().decode(input);
 
        OCSPReq req;
        try {
            req = new OCSPReq(decodedInput);
        } catch (IOException e) {
            logger.log("Got an IOException creating the OCSP request: " + e.getMessage());
            throw new RuntimeException(e);
        }
 
        try {
            OCSPResp response = businessLogic.getMyResponse();
            String toReturn = Base64.getEncoder().encodeToString(response.getEncoded());
            return toReturn;
        } catch (Exception e) {
            logger.log("Got an exception creating the response: " + e.getMessage());
            return "";
        }
    }
}

Mengotorisasi AWS IoT untuk memanggil fungsi Lambda Anda

Dalam proses membuat konfigurasi domain dengan responder Lambda OCSP, Anda harus memberikan AWS IoT izin untuk memanggil fungsi Lambda setelah fungsi dibuat. Untuk memberikan izin, Anda dapat menggunakan perintah CLI add-permissions.

Mengkonfigurasi stapling OCSP server untuk titik akhir pribadi

Catatan penting untuk menggunakan stapling OCSP sertifikat server di AWS IoT Core

Saat Anda menggunakan sertifikat server OCSP di AWS IoT Core, ingatlah hal-hal berikut:

Memecahkan masalah penjepitan OCSP sertifikat server di AWS IoT Core

AWS IoT Core memancarkan entri RetrieveOCSPStapleData.Success metrik dan RetrieveOCSPStapleData log ke CloudWatch. Metrik dan entri log ini dapat membantu mendeteksi masalah yang terkait dengan pengambilan respons OCSP. Lihat informasi yang lebih lengkap di Metrik stapling OCSP sertifikat server dan Entri log OCSP sertifikat server.