Data Domain: Globalne uwierzytelnianie i szyfrowanie DD Boost

Poprawa szyfrowania i uwierzytelniania zależy od zgodności klienta. Zapoznaj się z poniższymi informacjami i tabelami.
Ustawienia uwierzytelniania i szyfrowania można określić na trzy sposoby, które opisano w dalszej części tego dokumentu.

Szyfrowanie w locie
Szyfrowanie w locie umożliwia aplikacjom szyfrowanie kopii zapasowych w locie lub przywracanie danych przez sieć LAN z systemu ochrony. Ta funkcja została wprowadzona w celu zapewnienia bezpieczniejszego transportu danych.
Po skonfigurowaniu klient może używać protokołu TLS do szyfrowania sesji między klientem a systemem ochrony. Konkretny używany zestaw szyfrowania podano w poniższej tabeli.

DD Boost Client od 3.3 do 7.0 i 7.5 Po 7.5

DD Boost Client od 3.3 do 7.0 i 7.5 Po 7.5 (ciąg dalszy)

DD Boost Client od 7.1 do 7.4

DD Boost Client 7.1 do 7.4 (ciąg dalszy)

W przypadku DDOS 7.12 i nowszych tryb uwierzytelniania w przypadku nowych instalacji domyślnie ustawia się na brak , a siła szyfrowania jest domyślnie średnia .

Domyślne opcje globalne są zgodne z poprzednimi wersjami, co oznacza, że:

•  Nie trzeba aktualizować biblioteki DD Boost. Wszyscy istniejący klienci i aplikacje działają w ten sam sposób z domyślnymi ustawieniami nowych opcji.
• Klienci i aplikacje korzystające z certyfikatów z transport layer security (TLS) mogą nadal działać bez zmian.

Globalne uwierzytelnianie i szyfrowanie
DD Boost oferuje globalne opcje uwierzytelniania i szyfrowania w celu ochrony systemów przed atakami typu man-in-the-middle (MITM).
Opcje globalne zapewniają ochronę nowych klientów, ale także umożliwiają skonfigurowanie różnych wartości dla każdego klienta. Ponadto ustawienia klienta mogą tylko wzmocnić bezpieczeństwo, a nie je zmniejszyć.
Ustawienie trybu uwierzytelniania globalnego i siły szyfrowania określa minimalne poziomy uwierzytelniania i szyfrowania. Wszystkie próby połączenia przez wszystkich klientów muszą spełniać lub przekraczać te poziomy.

Domyślne opcje globalne są zgodne z poprzednimi wersjami, co oznacza, że:

• Nie trzeba aktualizować biblioteki DD Boost.
  Wszyscy istniejący klienci i aplikacje działają w ten sam sposób z domyślnymi ustawieniami nowych opcji.
• Nie ma to wpływu na wydajność, ponieważ nie ma dodatkowego szyfrowania.
• Klienci i aplikacje korzystające z certyfikatów z transport layer security (TLS) mogą nadal działać bez zmian.
  jeśli ustawienia globalne różnią się od ustawień domyślnych, może być konieczna aktualizacja istniejących klientów.

Metody ustawiania uwierzytelniania i szyfrowania
Ustawienia uwierzytelniania i szyfrowania można określić na trzy sposoby.

• Prośba o
  połączenie Można to zrobić za pomocą przycisku ddp_connect_with_config Interfejs API w aplikacji klienckiej.
• Ustawienia
  dla poszczególnych klientów Można to zrobić za pomocą poleceń CLI w systemie ochrony.
• Ustawienia
  globalne Można to zrobić za pomocą poleceń CLI w systemie ochrony.

Jeśli ustawiono zarówno wartości dla poszczególnych klientów, jak i globalne, wymuszane jest silniejsze lub wyższe ustawienie. Każdy klient, który próbuje połączyć się ze słabszym ustawieniem uwierzytelniania lub szyfrowania, jest odrzucany.

Ustawienia uwierzytelniania i szyfrowania
Przy podejmowaniu decyzji o ustawieniach uwierzytelniania i szyfrowania można wziąć pod uwagę kilka czynników. Zaleca się jednak, aby zawsze wybierać maksymalne dostępne ustawienie w celu zapewnienia maksymalnego bezpieczeństwa.
Maksymalne zabezpieczenia wpływają na wydajność. Jeśli masz kontrolowane środowisko, w którym nie są wymagane maksymalne zabezpieczenia, możesz użyć innych ustawień.

Ustawienia globalne
Ustawienie globalne określa minimalne poziomy uwierzytelniania i szyfrowania. Próby połączenia, które nie spełniają tych kryteriów, kończą się niepowodzeniem.

Ustawienia dla poszczególnych klientów
Jeśli ustawienie jest zdefiniowane dla poszczególnych klientów, wybrane ustawienie musi być zgodne z maksymalnym ustawieniem uwierzytelniania według klienta i maksymalnym ustawieniem uwierzytelniania globalnego.
Na przykład:

• Jeśli klient jest skonfigurowany do wymagania two-way password uwierzytelnianie, a globalne ustawienie uwierzytelniania to two-way TLSNastępnie two-way TLS Należy użyć uwierzytelniania.
• Jeśli klient jest skonfigurowany z ustawieniem uwierzytelniania two-way TLS a otoczenie globalne to two-way passwordsNastępnie two-way TLS muszą być użyte.

Wartości określone przez wywołującego
Jeśli wartości określone przez obiekt wywołujący są niższe niż ustawienia globalne lub według klienta, połączenie nie jest dozwolone. Jeśli jednak wartości określone przez obiekt wywołujący są wyższe niż ustawienia globalne lub dla klienta, połączenie jest nawiązywane przy użyciu wartości określonych przez obiekt wywołujący.
Na przykład, jeśli obiekt wywołujący określi two-way-password Jednak wartość globalna lub na klienta to two-way, próba połączenia nie powiodła się. Jeśli jednak wywołujący określił two-way a wartości globalne i na klienta to two-way-password, two-way Używane jest uwierzytelnianie.

Opcje uwierzytelniania i szyfrowania
Możesz wybrać jedno z trzech dozwolonych ustawień zarówno dla ustawień globalnych, jak i ustawień uwierzytelniania i szyfrowania.
W przypadku ustawień dla poszczególnych klientów dozwolonych jest pięć ustawień uwierzytelniania i trzy ustawienia szyfrowania (takie same ustawienia szyfrowania jak w przypadku ustawień globalnych).

Globalne opcje uwierzytelniania i szyfrowania
Dostępnych jest wiele opcji, w tym global-authentication-mode i global-encryption-strength.

Ustawienia uwierzytelniania
Poniższa lista klasyfikuje wartości uwierzytelniania od najsłabszej do najsilniejszej:

1. none
   Niezabezpieczony; Jest to ustawienie domyślne.

2. anonymous
   Ta opcja nie jest zabezpieczona przed atakami MITM.
   Dane w locie są szyfrowane.

3. one-way
   Ta metoda wymaga użycia certyfikatów.
   Nie jest to zabezpieczenie przed atakami MITM.
   Dane w locie są szyfrowane.

4. two-way-password
   Ta opcja jest zabezpieczona przed atakami MITM.
   Dane w locie są szyfrowane.

5. two-way
   Ta opcja wymaga użytkownika certyfikatów.
   Jest to najbezpieczniejsza opcja, chroniąca przed atakami MITM.
   Dane w locie są szyfrowane.

Ustawienia szyfrowania
Poniższa lista klasyfikuje wartości szyfrowania od najsłabszej do najsilniejszej:

1. none
   Niezabezpieczony; Jest to ustawienie domyślne.
   Można określić tylko wtedy, gdy uwierzytelnianie ma wartość "none".

2. medium
   Wykorzystuje standardy AES 128 i SHA-1.

3. high
   Wykorzystuje AES 256 i SHA-1

Uwierzytelnianie globalne
Trzy opcje trybu uwierzytelniania globalnego oferują różne poziomy ochrony i zgodność z poprzednimi wersjami.
Globalne wartości uwierzytelniania i szyfrowania można ustawić tylko za pomocą poleceń interfejsu wiersza poleceń (CLI) na serwerze DD Boost. Polecenia interfejsu wiersza polecenia używane do ustawiania tych wartości zostały opisane w poniższych sekcjach.

brak

ddboost option set global-authentication-mode none
global-encryption-strength none

Jest to najmniej bezpieczna, ale najbardziej zgodna z poprzednimi wersjami opcja.
Możesz wybrać opcję none jeśli Twój system ma kluczowe wymagania dotyczące wydajności i nie potrzebujesz ochrony przed atakami MITM.
System może działać w taki sam sposób jak wcześniej bez pogorszenia wydajności z powodu protokołu TLS.
W przypadku wybrania innego ustawienia uwierzytelniania niż none, ustawienie szyfrowania nie może być none.

Hasło dwukierunkowe

ddboost option set global-authentication-mode two-way-password
global-encryption-strength {medium | high}

Metoda hasła dwukierunkowego przeprowadza uwierzytelnianie dwukierunkowe przy użyciu protokołu TLS z uwierzytelnianiem za pomocą klucza wstępnego (PSK). Zarówno klient, jak i system ochrony są uwierzytelniane za pomocą wcześniej ustalonych haseł. Po wybraniu tej opcji wszystkie dane i komunikaty między klientem a systemem ochrony są szyfrowane.
Ta opcja jest jedyną bezpieczną opcją dostępną w DD Boost for OpenStorage i chroni w pełni przed atakami typu man-in-the-middle (MITM).
Siła szyfrowania musi być średnia lub wysoka.
Uwierzytelnianie dwukierunkowym hasłem jest unikatowe, ponieważ jest to jedyna metoda, która jest zarówno zabezpieczona przed MITM, jak i może być wykonana bez określania jej przez dzwoniącego.

Dwukierunkowe

ddboost option set global-authentication-mode two-way
global-encryption-strength {medium | high}

Jest to najbezpieczniejsza opcja.
Opcja dwukierunkowa wykorzystuje protokół TLS z certyfikatami. Uwierzytelnianie dwukierunkowe odbywa się przy użyciu certyfikatów udostępnianych przez aplikację.
To ustawienie jest zgodne z istniejącym użyciem certyfikatów. Ustawianie uwierzytelniania globalnego na two-way Wymaga, aby wszystkie aplikacje łączące się z systemem ochrony obsługiwały i dostarczały certyfikaty.
Dowolna aplikacja, która nie obsługuje certyfikatów i nie określa uwierzytelniania dwukierunkowego oraz udostępnia certyfikaty za pośrednictwem ddp_connect_with_config Interfejs API kończy się niepowodzeniem.

Scenariusze zgodności z poprzednimi wersjami
Starszy klient i nowy system ochrony
W takim przypadku aplikacja korzystająca z biblioteki Boost jest używana z DDOS 6.1 lub nowszym. W tym scenariuszu klient nie może wykonywać uwierzytelniania dwukierunkowego za pomocą hasła, co ma następujące konsekwencje:

• Wszystkie globalne ustawienia uwierzytelniania muszą mieć wartość none lub two-way Ponieważ klient nie może wykonać two-way-password Uwierzytelniania.
  Ustawienia uwierzytelniania dla poszczególnych klientów mogą mieć dowolną wartość z wyjątkiem two-way-password z tego samego powodu.
• Wszelkie globalne ustawienia hasła dwukierunkowego lub dla poszczególnych klientów powodują niepowodzenie aplikacji ze starszymi bibliotekami klienckimi.
• Nowy system ochrony obsługuje istniejące protokoły połączeń dla starych klientów.

Nowy klient i starszy system
ochronyStarszy system ochrony nie może działać two-way-password uwierzytelnianie, które ma następujące konsekwencje:

• Brak globalnych ustawień uwierzytelniania i szyfrowania.
• Ustawienie uwierzytelniania systemu ochrony poszczególnych klientów nie może być two-way password.
• Klient najpierw spróbuje użyć nowego protokołu połączenia lub RPC. Po awarii klient powraca do starego protokołu.
• Klient może łączyć się za pomocą innych metod uwierzytelniania z wyjątkiem two-way-password.

Przykłady
ustawień uwierzytelniania i szyfrowaniaW poniższych tabelach przedstawiono przykłady, w których ustawienia są określane przy użyciu wywołań, ustawień dla klienta i ustawień globalnych oraz czy te ustawienia mogą zakończyć się pomyślnie.
W tych przykładach założono, że klient DD Boost ma połączenie z systemem ochrony z DDOS 6.1 lub nowszym. Przykłady te nie dotyczą sytuacji opisanych w scenariuszach zgodności z poprzednimi wersjami.

Jedno ustawienie

Wiele ustawień

Data Domain: Domyślny tryb uwierzytelniania dla klientów DDBoost nie zapewnia szyfrowania za pośrednictwem sieci przewodowej.
Data Domain — zarządzanie certyfikatami dla DD Boost