보안 검사에 다음이 표시됩니다. 인증서 신뢰 저장소(Java)가 기본 또는 취약한 암호 세부 정보를 사용함

Bladelogic에서 제공한 보안 검사에서 Data Protection Advisor 애플리케이션 서버에 대해 다음과 같은 결과가 보고되었습니다.

인증서 신뢰 저장소(Java)는 기본 또는 취약한 암호 세부 정보를 사용합니다. 디렉토리 권한: -rwxrwxr-x 디렉토리 소유자: apollosuperuser 디렉토리 소유자 그룹: dpaservices

기술적 세부 사항 : /app/emc/dpa/services/_jre/lib/security/cacerts
 

cacerts 신뢰 저장소의 암호가 기본 암호를 사용하므로 충분히 강력하지 않습니다.

더 강력한 비밀번호를 얻기 위해 다음 단계를 사용하여 cacerts truststore와 해당 별칭 비밀번호를 모두 변경했습니다.

애플리케이션 서버:
1.cd "C:\Program Files\EMC\DPA\services_jre\bin"

2. 다음 명령을 사용하여 cacerts 신뢰 저장소 비밀번호를 변경합니다.
keytool.exe -storepasswd -keystore "C:\Program Files\EMC\DPA\services_jre lib\security\cacerts"
이전 암호는 "changeit"입니다.  메시지가 표시되면 새 암호를 입력합니다.

3. C:\Program Files\EMC\DPA\services_jre\lib\security\java.security:
javax.net.ssl.trustStorePassword=<new password>

4 파일의 끝에 새 비밀번호를 사용하여 아래 새 줄을 추가합니다. 아래 명령으로 새 cacerts 별칭 비밀번호를 변경합니다.
keytool.exe -keypasswd -keystore "C:\Program Files\EMC\DPA\services_jre\lib\security\cacerts" -storepass PASSWORD -alias <cacerts alias> -keypass changeit -new PASSWORD

여기서 PASSWORD는 2단계에서 만든 새 암호입니다.

5. DPA 애플리케이션을 재시작합니다.

보안을 강화하기 위해 cacerts 파일 권한도 444로 변경되었습니다. 

이러한 변경 후 보안 검사 소프트웨어는 더 이상 보안 경고를 감지하지 못했습니다.

cacerts는 DPA가 일반적으로 사용하는 키 저장소(apollo.keystore)가 아니며 /opt/emc/dpa/services/standalone/configuration에 있습니다.  cacerts는 신뢰할 수 있는 CA(Certificate Authority) 인증서 모음이 포함된 별도의 신뢰 저장소(키 저장소)입니다. Oracle은 JSSE(Java™ Secure Socket Extension) 도구 키트 및 JDK에 SSL 지원과 함께 cacerts 파일을 포함합니다. 

현재 자체 서명된 인증서의 경우 DPA는 신뢰 저장소에 의존하지 않습니다. 그러나 원격 엔드포인트(예: ESRS, 백업 애플리케이션 또는 데이터베이스)에 액세스할 때 이 신뢰 저장소를 사용할 수 있는 다른 타사가 있을 수 있습니다. CA에서 원격 애플리케이션의 인증서에 서명한 경우 이 신뢰 저장소로 확인됩니다.