Güvenlik Taraması şunları gösterir: Sertifika güven deposu (Java) varsayılan veya zayıf parola ayrıntıları kullanıyor

Bladelogic tarafından sağlanan güvenlik taraması, Data Protection Advisor Uygulama sunucusu için aşağıdakileri bildirdi:

Sertifika güven deposu (Java) varsayılan veya zayıf parola ayrıntıları kullanıyor: Dizin İzinleri: -rwxrwxr-x Dizin Sahibi: apollosuperuser Dizin Sahibi Grubu: dpaservices

Teknik detay: /app/emc/dpa/services/_jre/lib/security/cacerts
 

Cacerts güven deposunun parolası, varsayılanı kullandığından yeterince güçlü değildi.

Daha güçlü bir parola elde etmek için hem cacerts truststore hem de diğer ad parolası aşağıdaki adımlar kullanılarak değiştirildi.

Uygulama sunucusunda:
1. cd "C:\Program Files\EMC\DPA\services_jre\bin"

2. Cacerts trust store parolasını aşağıdaki komutla değiştirin.
keytool.exe -storepasswd -keystore "C:\Program Files\EMC\DPA\services_jre\lib\security\cacerts
Eski parolanın "changeit" olduğunu unutmayın.  İstendiğinde yeni parolayı girin.

3. C:\Program Files\EMC\DPA\services_jre\lib\security\java.security:
javax.net.ssl.trustStorePassword=<new password 4 dosyasının sonuna yeni parolayla>

birlikte aşağıdaki yeni satırı ekleyin. Yeni cacerts diğer ad parolasını aşağıdaki komutla değiştirin.
keytool.exe -keypasswd -keystore "C:\Program Files\EMC\DPA\services_jre\lib\security\cacerts" -storepass PASSWORD -alias <cacerts alias> -keypass changeit -new PASSWORD

Burada PASSWORD, 2. adımda oluşturulan yeni paroladır.

5. DPA Uygulamasını yeniden başlatın.

Ek güvenlik için cacerts dosya izinleri de 444 olarak değiştirildi. 

Bu değişikliklerden sonra Güvenlik Taraması yazılımı artık güvenlik uyarısını algılamadı.

Cacerts, DPA'nın tipik olarak kullandığı /opt/emc/dpa/services/standalone/configuration konumunda bulunan anahtar deposu (apollo.keystore) değildir.  Bunun yerine cacerts, güvenilir sertifika yetkilisi (CA) sertifikalarının bir koleksiyonunu içeren ayrı bir güven deposudur (anahtar deposu). Oracle, cacerts dosyasını SSL desteğiyle birlikte Java™ Secure Socket Extension (JSSE) araç kitine ve JDK'ye dahil eder. 

DPA, kendinden imzalı geçerli sertifika için güven deposuna bağlı değildir. Ancak, uzak uç noktalara (ör. ESRS, yedekleme uygulamaları veya veritabanları) erişirken bu güven deposuna güvenebileceğimiz başka üçüncü taraflar da olabilir. Uzak uygulamanın sertifikası CA tarafından imzalandıysa bu güven deposu tarafından doğrulanır.