Sikkerhetsskanning viser: Sertifikatklareringslager (Java) bruker standard eller svake passorddetaljer
Summary: En sikkerhetsskanning identifiserte Java Trust Store (cacerts) på DPA-serveren for bruk av standardpassordet "changeit" og tillatte filtillatelser, noe som skaper en risiko for eksponering av legitimasjon. ...
Symptoms
Sikkerhetsskanningen levert av Bladelogic rapporterte følgende for Data Protection Advisor Application-serveren:
Certificate Trust Store (Java) Uses Default or Weak Password Details: Directory Permissions: -rwxrwxr-x Directory Owner: apollosuperuser Directory Owner Group: dpaservices Technical Detail: /app/emc/dpa/services/_jre/lib/security/cacerts
Cause
Passordet for cacerts trust-butikken var ikke sterkt nok, da det brukte standardpassordet.
Resolution
For å få et sterkere passord ble både cacerts truststore og aliaspassordet endret ved å bruke følgende trinn.
På programserveren:
-
cd "C:\Program Files\EMC\DPA\services_jre\bin"
-
Endre cacerts trust store-passordet med følgende kommando.
keytool.exe -storepasswd -keystore "C:\Program Files\EMC\DPA\services_jre\lib\security\cacerts"
Merk: Det gamle passordet er "changeit". Skriv inn nytt passord når du blir bedt om det. -
Legg til den nye linjen nedenfor, med det nye passordet, på slutten av filen C: \ Program Files \ EMC \ DPA \ services_jre \ lib \ sikkerhet \ java.security:
javax.net.ssl.trustStorePassword=<new password>
-
Endre det nye passordet for cacerts-aliaset med kommandoen nedenfor.
keytool.exe -keypasswd -keystore "C:\Program Files\EMC\DPA\services_jre\lib\security\cacerts" -storepass PASSWORD -alias <cacerts alias> -keypass changeit -new PASSWORD
Der PASSWORD er det nye passordet som ble opprettet i trinn 2.
-
Start DPA-applikasjonen på nytt.
For ekstra sikkerhet ble cacerts-filtillatelsene også endret til 444.
Etter disse endringene oppdaget ikke Security Scan-programvaren lenger sikkerhetsadvarselen
Additional Information
Cacerts er ikke nøkkellageret (apollo.keystore) som DPA vanligvis bruker, og som ligger i /opt/emc/dpa/services/standalone/configuration. I stedet er cacerts et eget klareringslager (nøkkellager) som inneholder en samling av CA-sertifikater (Trusted Certificate Authority). Oracle inkluderer cacerts-filen med SSL-støtte i Java™ Secure Socket Extension (JSSE) verktøysett og JDK.
For gjeldende selvsignert sertifikat er ikke DPA avhengig av tillitslager. Imidlertid kan det være andre tredjeparter der vi kan stole på dette tillitslageret når vi får tilgang til eksterne endepunkter (det vil si ESRS, sikkerhetskopieringsapplikasjoner eller databaser). Hvis sertifikatet til det eksterne programmet er signert av CA, verifiseres det med dette klareringslageret.