Erzwungener MID-Server-FIPS-Modus
Der MID-Server unterstützt die IL-5-Umgebung (National Security Cloud, NSC), die eine FIPS-Validierung aller verwendeten Kryptografie erfordert. Der MID-Server kann im erzwungenen FIPS-Modus ausgeführt werden, in dem nur kryptografische Algorithmen verwendet werden, die FIPS validiert sind.
Die Bundesinformationsverarbeitungsstandards sind eine Gruppe von Standards, die vom National Institute of Standards and Technology für die Verwendung in Computersystemen zusammengestellt werden. Es gibt viele FIPS-Veröffentlichungen, aber aus Gründen dieser Diskussion beziehen wir uns speziell auf diese FIPS 140-2: Sicherheitsanforderungen für kryptografische Module . Kryptografische Algorithmen können einen vom NIST angegebenen Validierungsprozess durchlaufen. Für die Zwecke unserer neuen sicheren Cloud-Umgebung verwendet der MID-Server Algorithmen, die von einem solchen Prozess validiert wurden.
Nur MID-Server der Rom-Releasefamilie oder höher mit einer JRE-Version von 11.0,9+11 oder höher können so festgelegt werden, dass sie im erzwungenen FIPS-Modus ausgeführt werden.
Erzwungener FIPS-Modus
Die folgenden Algorithmen sind nicht für die Verwendung in diesen SSH-Funktionen durch den MID-Server im erzwungenen FIPS-Modus verfügbar.
- Schlüsselaustausch:
- diffie-hellman-group1-sha1
- Mac:
- hmac-md5
- hmac-md5-96
Die folgenden Einschränkungen gelten jetzt für SNMP zur Verwendung durch den MID-Server im erzwungenen FIPS-Modus.
- SNMP v1 und v2 sind vollständig deaktiviert.
- Für SNMP v3 sind die folgenden Protokollverwendungen vom MID-Server im erzwungenen FIPS-Modus nicht zulässig:
- Authentifizierungsprotokoll: Keine oder MD5
- Datenschutzprotokoll: Keine oder DES
Andere Funktionen, die den MID-Server verwenden, können betroffen sein, wenn sie im erzwungenen FIPS-Modus ausgeführt werden. Weitere Informationen finden Sie in der spezifischen Dokumentation dieser Funktionalität.
Aktivieren Sie den erzwungenen MID-Server-FIPS-Modus
Der MID-Server kann im erzwungenen FIPS-Modus ausgeführt werden, in dem nur kryptografische Algorithmen verwendet werden, die FIPS validiert sind.
Vorbereitungen
Erforderliche Rolle: Administrator
Prozedur
Nächste Maßnahme
Der Modus, in dem der MID ausgeführt wird, kann mit zwei Methoden bestätigt werden:
- Überprüfen Sie die Agenten-Protokolle nach dem Start, und suchen Sie nach der folgenden Protokollzeile:
Wird im erzwungenen FIPS-Modus ausgeführt - Überprüfen Sie die Tabelle „ecc_Agent“ in der Instanz, und suchen Sie nach dem Wert von FIPS erzwungen boolesche Spalte.
Konvertieren Sie den MID-Server manuell in den erzwungenen FIPS-Modus
Der MID-Server kann im erzwungenen FIPS-Modus ausgeführt werden, in dem nur kryptografische Algorithmen verwendet werden, die FIPS-validiert sind.
Vorbereitungen
Erforderliche Rolle: Administrator
Warum und wann dieser Vorgang ausgeführt wird
Konvertieren Sie den TrustStore der JRE in den BCFKS-Typ.
Legen Sie den standardmäßigen Schlüsselspeichertyp der JRE auf BCFKS fest.
Legen Sie die Kennzeichnung für erzwungenen FIPS-Modus in der Konfigurationsdatei des MID-Servers fest.