Pianifica il tuo AWS Private CA metodo di revoca del certificato

Quando pianifichi la tua PKI privata CA privata AWS, dovresti considerare come gestire le situazioni in cui non desideri più che gli endpoint considerino attendibile un certificato emesso, ad esempio quando la chiave privata di un endpoint è esposta. Gli approcci più comuni a questo problema consistono nell'utilizzare certificati di breve durata o nel configurare la revoca dei certificati. Short-livedi certificati scadono in un periodo di tempo così breve, in ore o giorni, che la revoca non ha senso, in quanto il certificato diventa non valido all'incirca nello stesso tempo necessario per notificare un endpoint di revoca. Questa sezione descrive le opzioni di revoca per i CA privata AWS clienti, inclusa la configurazione e le migliori pratiche.

I clienti che cercano un metodo di revoca possono scegliere l'Online Certificate Status Protocol (OCSP), gli elenchi di revoca dei certificati (CRL) o entrambi.

Nota

Se crei la tua CA senza configurare la revoca, puoi sempre configurarla in un secondo momento. Per ulteriori informazioni, consulta Aggiorna una CA privata in Autorità di certificazione privata AWS.

• Online Certificate Status Protocol (OCSP)

  CA privata AWS fornisce una soluzione OCSP completamente gestita per notificare agli endpoint che i certificati sono stati revocati senza che i clienti debbano gestire autonomamente l'infrastruttura. I clienti possono abilitare OCSP su CA nuove o esistenti con un'unica operazione utilizzando la CA privata AWS console, l'API, la CLI o tramite. CloudFormation Mentre i CRL vengono archiviati ed elaborati sull'endpoint e possono diventare obsoleti, i requisiti di archiviazione ed elaborazione OCSP vengono gestiti in modo sincrono sul backend del risponditore.

  Quando abiliti OCSP per una CA, CA privata AWS include l'URL del risponditore OCSP nell'estensione Authority Information Access (AIA) di ogni nuovo certificato emesso. L'estensione consente a client come i browser Web di interrogare il risponditore e determinare se è attendibile un certificato CA subordinato o di entità finale. Il risponditore restituisce un messaggio di stato firmato crittograficamente per garantirne l'autenticità.

  Il risponditore CA privata AWS OCSP è conforme alla RFC 5019.

  Considerazioni OCSP

  • I messaggi di stato OCSP vengono firmati utilizzando lo stesso algoritmo di firma per cui è stata configurata la CA emittente. Le CA create nella CA privata AWS console utilizzano l'algoritmo di firma SHA256WITHRSA per impostazione predefinita. Altri algoritmi supportati sono disponibili nella documentazione dell'API. CertificateAuthorityConfiguration

  • I modelli di certificato APIPassThrough e CSRPassThrough non funzioneranno con l'estensione AIA se il risponditore OCSP è abilitato.

  • L'endpoint del servizio OCSP gestito è accessibile sulla rete Internet pubblica. I clienti che desiderano OCSP ma preferiscono non avere un endpoint pubblico dovranno gestire la propria infrastruttura OCSP.

• Elenchi di revoca dei certificati (CRL)

  Una lista di revoca dei certificati (CRL) è un file che contiene un elenco di certificati revocati prima della data di scadenza prevista. Il CRL contiene un elenco di certificati che non dovrebbero più essere considerati attendibili, il motivo della revoca e altre informazioni pertinenti.

  Quando configuri l'autorità di certificazione (CA), puoi scegliere se CA privata AWS creare un CRL completo o partizionato. La tua scelta determina il numero massimo di certificati che l'autorità di certificazione può emettere e revocare. Per ulteriori informazioni, consulta la pagina relativa alle quote di CA privata AWS.

  Considerazioni relative al CRL

  • Considerazioni sulla memoria e sulla larghezza di banda: i CRL richiedono più memoria rispetto a OCSP a causa dei requisiti locali di download ed elaborazione. Tuttavia, i CRL potrebbero ridurre la larghezza di banda della rete rispetto a OCSP memorizzando nella cache gli elenchi di revoca anziché controllare lo stato di ogni connessione. Per i dispositivi con limiti di memoria, come alcuni dispositivi IoT, prendi in considerazione l'utilizzo di CRL partizionati.

  • Modifica del tipo di CRL: quando si passa da un CRL completo a uno partizionato, CA privata AWS crea nuove partizioni in base alle esigenze e aggiunge l'estensione IDP a tutti i CRL, incluso l'originale. Il passaggio da partizionato a completo aggiorna solo un singolo CRL e impedisce la revoca futura dei certificati associati alle partizioni precedenti.

Nota

Sia OCSP che CRL presentano un certo ritardo tra la revoca e la disponibilità della modifica dello stato.

• Le risposte OCSP possono richiedere fino a 60 minuti per riflettere il nuovo stato quando si revoca un certificato. In generale, OCSP tende a supportare una distribuzione più rapida delle informazioni di revoca perché, a differenza dei CRL che possono essere memorizzati nella cache dai client per giorni, le risposte OCSP in genere non vengono memorizzate nella cache dai client.

• Generalmente un CRL viene aggiornato circa 30 minuti dopo che un certificato viene revocato. Se per qualsiasi motivo un aggiornamento del CRL fallisce, effettua ulteriori tentativi ogni 15 minuti. CA privata AWS

Requisiti generali per le configurazioni di revoca

I seguenti requisiti si applicano a tutte le configurazioni di revoca.

• Una configurazione che disabilita i CRL o l'OCSP deve contenere solo il parametro Enabled=False e non riesce se vengono inclusi altri parametri, ad esempio CustomCname o ExpirationInDays.

• In una configurazione CRL, il S3BucketName parametro deve essere conforme alle regole di denominazione dei bucket di Amazon Simple Storage Service.

• Una configurazione contenente un parametro Canonical Name (CNAME) personalizzato per CRL o OCSP deve essere conforme alle restrizioni RFC7230 sull'uso di caratteri speciali in un CNAME.

• In una configurazione CRL o OCSP, Il valore di un parametro CNAME non deve includere un prefisso di protocollo come “http://” o “https://”.

Argomenti

• Imposta un CRL per AWS Private CA

• Personalizza l'URL OCSP per AWS Private CA