Sikkerhetsskanning viser: Sertifikatklareringslager (Java) bruker standard eller svake passorddetaljer

Sikkerhetsskanningen levert av Bladelogic rapporterte følgende for Data Protection Advisor Application-serveren:

Certificate Trust Store (Java) bruker standard eller svake passorddetaljer: Katalogtillatelser: -rwxrwxr-x Directory Eier: apollosuperuser Directory Eier Group: dpaservices

Tekniske detaljer: /app/emc/dpa/services/_jre/lib/security/cacerts
 

Passordet for cacerts trust-butikken var ikke sterkt nok, da det brukte standardpassordet.

For å få et sterkere passord ble både cacerts truststore og aliaspassordet endret ved å bruke følgende trinn.

På programserveren:
1. cd "C:\Program Files\EMC\DPA\services_jre\bin"

2. Endre cacerts trust store-passordet med følgende kommando.
keytool.exe -storepasswd -keystore "C:\Program Files\EMC\DPA\services_jre\lib\security\cacerts"
Merk at det gamle passordet er "changeit".  Skriv inn nytt passord når du blir bedt om det.

3. Legg til den nye linjen nedenfor, med det nye passordet, på slutten av filen C: \ Program Files \ EMC \ DPA \ services_jre \ lib \ sikkerhet \ java.security:
javax.net.ssl.trustStorePassword =< nytt passord>

4. Endre det nye passordet for cacerts-aliaset med kommandoen nedenfor.
keytool.exe -keypasswd -keystore "C:\Program Files\EMC\DPA\services_jre\lib\security\cacerts" -storepass PASSWORD -alias <cacerts alias> -keypass changeit -new PASSWORD

Der PASSWORD er det nye passordet som ble opprettet i trinn 2.

5. Start DPA-applikasjonen på nytt.

For ekstra sikkerhet ble cacerts-filtillatelsene også endret til 444. 

Etter disse endringene oppdaget ikke Security Scan-programvaren lenger sikkerhetsvarselet.

Cacerts er ikke nøkkellageret (apollo.keystore) som DPA vanligvis bruker, og som ligger i /opt/emc/dpa/services/standalone/configuration.  I stedet er cacerts et eget klareringslager (nøkkellager) som inneholder en samling av CA-sertifikater (Trusted Certificate Authority). Oracle inkluderer cacerts-filen med SSL-støtte i Java™ Secure Socket Extension (JSSE) verktøysett og JDK. 

For gjeldende selvsignert sertifikat er ikke DPA avhengig av klareringslager. Det kan imidlertid være andre tredjeparter der vi kan stole på dette tillitslageret når vi får tilgang til eksterne endepunkter (dvs. ESRS, sikkerhetskopieringsapplikasjoner eller databaser). Hvis sertifikatet til det eksterne programmet er signert av CA, blir det verifisert med dette klareringslageret.