Сканування безпеки показує: Сховище довіри сертифікатів (Java) використовує стандартні або слабкі дані пароля
Summary: Сканування безпеки виявило Java-сховище довіри (cacerts) на сервері DPA для використання стандартного пароля «changeit» та дозволів на файли, що створювало ризик ризику розкриття облікових даних. ...
Symptoms
Сканування безпеки, надане Bladelogic, повідомило про наступне для сервера додатків Data Protection Advisor:
Certificate Trust Store (Java) Uses Default or Weak Password Details: Directory Permissions: -rwxrwxr-x Directory Owner: apollosuperuser Directory Owner Group: dpaservices Technical Detail: /app/emc/dpa/services/_jre/lib/security/cacerts
Cause
Пароль для cacerts trust store був недостатньо сильним, бо використовувався стандартний.
Resolution
Для отримання посиленого пароля як cacerts truststore, так і його псевдонім паролі змінювалися наступними кроками.
На сервері додатків:
-
cd "C:\Program Files\EMC\DPA\services_jre\bin"
-
Змініть пароль cacerts trust store за допомогою наступної команди.
keytool.exe -storepasswd -keystore "C:\Program Files\EMC\DPA\services_jre\lib\security\cacerts"
Примітка. Старий пароль — «changeit». Введіть новий пароль при запиті. -
Додайте новий рядок нижче, з новим паролем, у кінці файлу C:\Program Files\EMC\DPA\services_jre\lib\security\java.security:
javax.net.ssl.trustStorePassword=<new password>
-
Змініть новий пароль alias cacerts за допомогою команди нижче.
keytool.exe -keypasswd -keystore "C:\Program Files\EMC\DPA\services_jre\lib\security\cacerts" -storepass PASSWORD -alias <cacerts alias> -keypass changeit -new PASSWORD
Де PASSWORD — це новий пароль, створений на кроці 2.
-
Перезапустіть заявку на DPA.
Для додаткової безпеки дозволи на файли cacerts також були змінені на 444.
Після цих змін програмне забезпечення Security Scan більше не виявляло сповіщення безпеки
Additional Information
Cacerts — це не сховище ключів (apollo.keystore), яке зазвичай використовує DPA і розташоване у /opt/emc/dpa/services/standalone/configuration. Натомість cacerts є окремим сховищем довіри (keystore), який містить колекцію довірених сертифікатів центру сертифікації (CA). Oracle включає файл cacerts разом із підтримкою SSL у наборі інструментів Java™ Secure Socket Extension (JSSE) та JDK.
Для поточного самопідписаного сертифіката DPA не покладається на довірчий сховище. Однак можуть існувати й інші треті сторони, на яких ми могли б покладатися на це сховище довіри при доступі до віддалених кінцевих точок (тобто ESRS, резервних додатків або баз даних). Якщо сертифікат віддаленого додатку підписаний CA, він перевіряється цим сховищем довіри.