• 状态
  • 已锁定 已锁定
  • 回复 8 回复
  • 订户 0 订户
  • 视图 0 视图
  • 用户 0 会员在此处
选项
选项
相关

This thread has been locked.

If you have a related question, please click the "Ask a related question" button in the top right corner. The newly created question will be automatically linked to this question.

[参考译文] CC3200：使用 Amazon Root CA 1 时、CC3200 TLS 与 AWS IoT 的连接失败（已弃用 Starfield 2 类）

admin
Guru**** 2837190 points

Other Parts Discussed in Thread: CC3200, CC3100

请注意，本文内容源自机器翻译，可能存在语法或其它翻译错误，仅供参考。如需获取准确内容，请参阅链接中的英语原文或自行翻译。

https://e2e.ti.com/support/wireless-connectivity/wi-fi-group/wifi/f/wi-fi-forum/1614481/cc3200-cc3200-tls-connection-to-aws-iot-fails-with-amazon-root-ca-1-starfield-class-2-deprecated

部件号： CC3200
Thread 中讨论的其他器件： CC3100

我们使用 CC3200 与连接 基于 TLS 的 AWS IoT Core 。  过去、此连接使用正常工作 Starfield 2 类根 CA AWS IoT 以前支持这些功能。  AWS 现在已弃用 Starfield Class 2 信任链,并要求客户端信任 亚马逊根 CA 1（亚马逊信任服务） 对于 ATS 端点。当我们用替换 Starfield Class 2 时 亚马逊根 CA 1. 在 CC3200 上、TLS 握手失败、器件无法连接到 AWS IoT Core。

 

观察到的行为

 

  • TLS 连接 典型工作原理 根 CA 的根证书
  • TLS 连接 失败 亚马逊根 CA 1
  • 在 TLS 握手/证书验证期间发生故障
  • 使用 SNTP 正确设置系统时间
  • 密码套件符合 AWS IoT 要求
  • 相同的 Amazon Root CA 1 可在其他平台上正常工作

 

预期行为

 

CC3200 应该能够使用与 AWS IoT Core 建立 TLS 连接 亚马逊根 CA 1. （按照 AWS 的要求）。

 

其他技术详细信息

 

  • AWS IoT 现在使用链接到的证书 亚马逊根 CA 1.
  • CC3200 TLS 堆栈似乎无法验证亚马逊信任服务证书链
  • CC3200 仅支持有限的 TLS 功能（无 CRL、通过装订限制的 OCSP）
  • 证书链验证没有应用程序级控制

 

问题：

 

  1. 是 正式支持 Amazon Root CA 1 访问产品？
  2. 都有 已知限制 在 CC3200 TLS 中与亚马逊信任服务根相关？
  3. 嗯 进行任何固件/服务包更新 计划支持亚马逊根 CA 1？

 

  • 0
    TI__Guru**** 2837190 points
    请注意，本文内容源自机器翻译，可能存在语法或其它翻译错误，仅供参考。如需获取准确内容，请参阅链接中的英语原文或自行翻译。

    您好、

    这让我想起了由于同样的原因我最近处理的一个问题。

    如您所述、亚马逊更改了证书链、并 从新证书中删除了`Starfield Class 2 认证机构`。

    可以在此处 https://aws.amazon.com/es/blogs/security/acm-will-no-longer-cross-sign-certificates-with-starfield-class-2-starting-august-2024 阅读。

    一种解决方案是实现“部分链验证“、但 CC3200 系列不支持此功能。

    我可以建议（这也适用于另一个客户）添加支持、在同一个文件上设置几个根 CA 证书。

    这样、您就可以设置多个根 CA 文件、因为您不知道 ACM 服务器将使用哪个链。

    在实施方面、它对应用是透明的。

    您只需创建一个带有所需根 CA 证书的 PEM 链接文件、并通过常规 API 对其进行设置。

    根 CA 证书必须是受信任的证书、即自签名的根 CA 证书。

    文件的结构应如下所示、其中顺序不重要、因为它实际上并不是一个链、而只是一个列表：

    ----- BEGIN CERTIFICATE-----

                   ：

                   ：

    ----- END CERTIFICATE-----

    ----- BEGIN CERTIFICATE-----

                   ：

                   ：

    ----- END CERTIFICATE-----

    ----- BEGIN CERTIFICATE-----

                   ：

                   ：

    ----- END CERTIFICATE-----

    请查看随附的调试服务包 v1.1.15-2.16.0.1。

    此致、

    Shlomi

  • 0
    TI__Guru**** 2837190 points
    请注意，本文内容源自机器翻译，可能存在语法或其它翻译错误，仅供参考。如需获取准确内容，请参阅链接中的英语原文或自行翻译。

    似乎封装被丢弃。

    我会通过电子邮件将其发送到内部论坛、并将其转发给您。

    此致、

    Shlomi

  • 0
    TI__Guru**** 2837190 points
    请注意，本文内容源自机器翻译，可能存在语法或其它翻译错误，仅供参考。如需获取准确内容，请参阅链接中的英语原文或自行翻译。

    Hi Shlomi、您能否确认此服务包是否已正式发布？

  • 0
    TI__Guru**** 2837190 points
    请注意，本文内容源自机器翻译，可能存在语法或其它翻译错误，仅供参考。如需获取准确内容，请参阅链接中的英语原文或自行翻译。

    您好、

    它已经过客户测试并确认、但尚未正式发布。

    发布新版本、以便您使用。

    此致、

    Shlomi

  • 0
    TI__Guru**** 2837190 points
    请注意，本文内容源自机器翻译，可能存在语法或其它翻译错误，仅供参考。如需获取准确内容，请参阅链接中的英语原文或自行翻译。

    您还可以向我发送更新的 servicepack 吗? 即使我面临同样的问题、

    此致

    Chiranth Murthy

    电子邮件：chiranth@gluon.com

  • 0
    TI__Guru**** 2837190 points
    请注意，本文内容源自机器翻译，可能存在语法或其它翻译错误，仅供参考。如需获取准确内容，请参阅链接中的英语原文或自行翻译。

    您好、

    通常我们不会通过电子邮件发送。

    让我看看我们的数字营销需要多长时间才能在线上传此版本。

    此致、

    Shlomi

  • 0
    TI__Guru**** 2837190 points
    请注意，本文内容源自机器翻译，可能存在语法或其它翻译错误，仅供参考。如需获取准确内容，请参阅链接中的英语原文或自行翻译。

    您好、

    这个问题也发生在 CC3100 上,在 AWS 区域 Oregon 服务器中,它无法在 Virginia 服务器上工作。

    如果 TI 正在发布 servicepack update、它的 shoudl 还包括用于 CC3100 芯片的吗？

    此致
    Chiranth

  • 0
    TI__Guru**** 2837190 points
    请注意，本文内容源自机器翻译，可能存在语法或其它翻译错误，仅供参考。如需获取准确内容，请参阅链接中的英语原文或自行翻译。

    您好、

    当然、就服务包而言、CC3100 和 CC3200 之间没有区别。

    此致、

    Shlomi