Data Domain — globalne uwierzytelnianie i szyfrowanie DD Boost

Lepsze szyfrowanie i uwierzytelnianie zależy od zgodności klienta. Zapoznaj się z informacjami i poniższą tabelą.
Ustawienia uwierzytelniania i szyfrowania można określić na trzy sposoby, które opisano w dalszej części tego dokumentu.

Szyfrowanie w locie
Szyfrowanie w locie umożliwia aplikacjom szyfrowanie kopii zapasowych w locie lub przywracanie danych przez sieć LAN z systemu ochrony. Ta funkcja została wprowadzona w celu zapewnienia bezpieczniejszego transportu danych.
Po skonfigurowaniu klient może używać protokołu TLS do szyfrowania sesji między klientem a systemem ochrony. Konkretny używany zestaw szyfrowania podano w poniższej tabeli.

DD Boost Client od 3.3 do 7.0 i 7.5 Po 7.5

DD Boost Client od 3.3 do 7.0 i 7.5 Po 7.5 (ciąg dalszy)

DD Boost Client od 7.1 do 7.4

DD Boost Client 7.1 do 7.4 (ciąg dalszy)

Globalne uwierzytelnianie i szyfrowanie
DD Boost oferuje globalne opcje uwierzytelniania i szyfrowania, aby chronić system przed atakami typu man-in-the-middle (MITM).
Opcje globalne zapewniają ochronę nowych klientów, ale także umożliwiają skonfigurowanie różnych wartości dla każdego klienta. Ponadto ustawienia klienta mogą tylko wzmocnić bezpieczeństwo, a nie je zmniejszyć.
Ustawienie trybu uwierzytelniania globalnego i siły szyfrowania określa minimalne poziomy uwierzytelniania i szyfrowania. Wszystkie próby połączenia przez wszystkich klientów muszą spełniać lub przekraczać te poziomy.

Domyślne opcje globalne są zgodne z poprzednimi wersjami, co oznacza, że:

• Nie trzeba aktualizować biblioteki DD Boost.
  Wszyscy istniejący klienci i aplikacje działają w ten sam sposób z domyślnymi ustawieniami nowych opcji.
• Nie ma to wpływu na wydajność, ponieważ nie ma dodatkowego szyfrowania.
• Klienci i aplikacje korzystające z certyfikatów z transport layer security (TLS) mogą nadal działać bez zmian.
  UWAGA: jeśli ustawienia globalne różnią się od ustawień domyślnych, może być konieczna aktualizacja istniejących klientów.

Metody ustawiania uwierzytelniania i szyfrowania
Ustawienia uwierzytelniania i szyfrowania można określić na trzy sposoby.

• Żądanie połączenia
  Odbywa się przy użyciu interfejsu API ddp_connect_with_config w aplikacji klienckiej.
• Ustawienia dla poszczególnych klientów
  Za pomocą poleceń CLI w systemie ochrony.
• Ustawienia globalne
  Za pomocą poleceń CLI w systemie ochrony.

Jeśli ustawiono zarówno wartości dla poszczególnych klientów, jak i globalne, wymuszane jest silniejsze lub wyższe ustawienie. Każdy klient, który próbuje połączyć się ze słabszym ustawieniem uwierzytelniania lub szyfrowania, jest odrzucany.

Ustawienia uwierzytelniania i szyfrowania
Przy podejmowaniu decyzji o ustawieniach uwierzytelniania i szyfrowania można wziąć pod uwagę kilka czynników. Zaleca się jednak, aby zawsze wybierać maksymalne dostępne ustawienie w celu zapewnienia maksymalnego bezpieczeństwa.
Maksymalne zabezpieczenia wpływają na wydajność. Jeśli masz kontrolowane środowisko, w którym nie są wymagane maksymalne zabezpieczenia, możesz użyć innych ustawień.

Ustawienia globalne
Ustawienie globalne określa minimalne poziomy uwierzytelniania i szyfrowania. Próby połączenia, które nie spełniają tych kryteriów, kończą się niepowodzeniem.

Ustawienia dla poszczególnych klientów
Jeśli ustawienie jest zdefiniowane dla poszczególnych klientów, wybrane ustawienie musi być zgodne z maksymalnym ustawieniem uwierzytelniania według klienta i maksymalnym ustawieniem uwierzytelniania globalnego.
Na przykład:

• Jeśli klient jest skonfigurowany do wymagania uwierzytelniania „dwukierunkowego hasła”, a ustawienie uwierzytelniania globalnego to dwukierunkowy protokół TLS, należy użyć dwukierunkowego uwierzytelniania TLS.
• Jeśli klient jest skonfigurowany z ustawieniem uwierzytelniania „dwukierunkowy protokół TLS”, a ustawienie globalne to „dwukierunkowe hasła”, należy użyć „dwukierunkowego protokołu TLS”.

Wartości określone przez wywołującego
Jeśli wartości określone przez obiekt wywołujący są niższe niż ustawienia globalne lub według klienta, połączenie nie jest dozwolone. Jeśli jednak wartości określone przez obiekt wywołujący są wyższe niż ustawienia globalne lub według klienta, połączenie jest nawiązywane przy użyciu wartości określonych przez obiekt wywołujący.
Jeśli na przykład obiekt wywołujący określa „hasło dwukierunkowe”, ale wartość globalna lub wartość dla klienta jest „dwukierunkowa”, próba połączenia zakończy się niepowodzeniem. Jeśli jednak obiekt wywołujący określił wartość „dwukierunkową”, a wartości globalne i według klienta to „hasło dwukierunkowe”, używane jest uwierzytelnianie „dwukierunkowe”.

Opcje uwierzytelniania i szyfrowania
Możesz wybrać jedno z trzech dozwolonych ustawień zarówno dla ustawień globalnych, jak i ustawień uwierzytelniania i szyfrowania.
W przypadku ustawień dla poszczególnych klientów dozwolonych jest pięć ustawień uwierzytelniania i trzy ustawienia szyfrowania (takie same ustawienia szyfrowania jak w przypadku ustawień globalnych).

Globalne opcje uwierzytelniania i szyfrowania
Dostępnych jest wiele opcji, w tym global-authentication-mode i global-encryption-strength.

Ustawienia uwierzytelniania
Poniższa lista klasyfikuje wartości uwierzytelniania od najsłabszej do najsilniejszej:

1. none
   Niezabezpieczone; jest to ustawienie domyślne.

2. anonymous
   Ta opcja nie jest zabezpieczona przed atakami MITM.

   Dane w locie są szyfrowane.

3. one-way
   Ta metoda wymaga użycia certyfikatów.
   Nie jest zabezpieczona przed atakami MITM.
   Dane w locie są szyfrowane.

4. two-way password
   Ta opcja jest zabezpieczona przed atakami MITM.
   Dane w locie są szyfrowane.

5. two-way
   Ta opcja wymaga użycia certyfikatów.
   Jest to najbezpieczniejsza opcja, zabezpieczona przed atakami MITM.
   Dane w locie są szyfrowane.

Ustawienia szyfrowania
Poniższa lista klasyfikuje wartości szyfrowania od najsłabszej do najsilniejszej:

1. none
   Niezabezpieczone; jest to ustawienie domyślne.
   Można określić tylko wtedy, gdy uwierzytelnianie ma wartość „none”.

2. średnie
   Wykorzystuje AES 128 i SHA-1.

3. wysokie
   Wykorzystuje AES 256 i SHA-1.

Uwierzytelnianie globalne
Trzy opcje trybu uwierzytelniania globalnego oferują różne poziomy ochrony i zgodność z poprzednimi wersjami.
Globalne wartości uwierzytelniania i szyfrowania można ustawić tylko za pomocą poleceń interfejsu wiersza poleceń (CLI) na serwerze DD Boost. Polecenia interfejsu wiersza polecenia używane do ustawiania tych wartości zostały opisane w poniższych sekcjach.

None

ddboost option set global-authentication-mode none
global-encryption-strength none

„None” to najmniej bezpieczna, ale najbardziej zgodna z poprzednimi modelami opcja.
Możesz wybrać opcję „none”, jeśli system ma kluczowe wymagania dotyczące wydajności i nie potrzebujesz ochrony przed atakami MITM.
System może działać w taki sam sposób jak wcześniej bez pogorszenia wydajności z powodu protokołu TLS.
Gdy uwierzytelnianie jest ustawione na „none”, szyfrowanie musi być ustawione na „none”. W przypadku wybrania innego ustawienia uwierzytelniania niż „none” ustawienie szyfrowania nie może mieć wartości „none”.

Two-way password

ddboost option set global-authentication-mode two-way-password
global-encryption-strength {medium | high}

Metoda hasła dwukierunkowego przeprowadza uwierzytelnianie dwukierunkowe przy użyciu protokołu TLS z uwierzytelnianiem za pomocą klucza wstępnego (PSK). Zarówno klient, jak i system ochrony są uwierzytelniane za pomocą wcześniej ustalonych haseł. Po wybraniu tej opcji wszystkie dane i komunikaty między klientem a systemem ochrony są szyfrowane.
Ta opcja jest jedyną bezpieczną opcją dostępną w DD Boost for OpenStorage i chroni w pełni przed atakami typu man-in-the-middle (MITM).
Siła szyfrowania musi być średnia lub wysoka.
Uwierzytelnianie dwukierunkowym hasłem jest unikatowe, ponieważ jest to jedyna metoda, która jest zarówno zabezpieczona przed MITM, jak i może być wykonana bez określania jej przez dzwoniącego.

Two-way

ddboost option set global-authentication-mode two-way
global-encryption-strength {medium | high}

Jest to najbezpieczniejsza opcja.
Opcja dwukierunkowa wykorzystuje protokół TLS z certyfikatami. Uwierzytelnianie dwukierunkowe odbywa się przy użyciu certyfikatów udostępnianych przez aplikację.
To ustawienie jest zgodne z istniejącym użyciem certyfikatów. Ustawienie globalnego ustawienia uwierzytelniania na „dwukierunkowe” wymaga, aby wszystkie aplikacje łączące się z systemem ochrony obsługiwały i dostarczały certyfikaty.
Każda aplikacja, która nie obsługuje certyfikatów i nie określa uwierzytelniania dwukierunkowego oraz nie udostępnia certyfikatów za pośrednictwem interfejsu API ddp_connect_with_config, zakończy się niepowodzeniem.

Scenariusze zgodności z poprzednimi wersjami
Starszy klient i nowy system ochrony
W takim przypadku aplikacja korzystająca z biblioteki Boost jest używana z DDOS 6.1 lub nowszym. W tym scenariuszu klient nie może wykonywać uwierzytelniania dwukierunkowego za pomocą hasła, co ma następujące konsekwencje:

• Wszystkie ustawienia uwierzytelniania globalnego muszą mieć ustawienie „none” lub „two-way”, ponieważ klient nie może przeprowadzać uwierzytelniania „two-way-password”.
  Ustawienia uwierzytelniania dla poszczególnych klientów mogą mieć dowolną wartość z wyjątkiem „two-way-password” z tego samego powodu.
• Wszelkie globalne ustawienia hasła dwukierunkowego lub dla poszczególnych klientów powodują niepowodzenie aplikacji ze starszymi bibliotekami klienckimi.
• Nowy system ochrony obsługuje istniejące protokoły połączeń dla starych klientów.

Nowy klient i starszy system ochrony
Starsze systemy ochrony nie mogą przeprowadzać uwierzytelniania „two-way-password”, co ma następujące konsekwencje:

• Brak globalnych ustawień uwierzytelniania i szyfrowania.
• Ustawieniem uwierzytelniania systemu ochrony dla poszczególnych klientów nie może być ustawienie „two-way-password”.
• Klient najpierw spróbuje użyć nowego protokołu połączenia lub RPC; po niepowodzeniu klient powraca do starego protokołu.
• Klient może łączyć się za pomocą innych metod uwierzytelniania z wyjątkiem „two-way-password”.

Przykłady ustawień uwierzytelniania i szyfrowania
W poniższych tabelach przedstawiono przykłady, w których ustawienia są określane przy użyciu wywołań, ustawień dla klienta i ustawień globalnych oraz czy te ustawienia mogą zakończyć się pomyślnie.
W tych przykładach założono, że klient DD Boost ma połączenie z systemem ochrony z DDOS 6.1 lub nowszym. Przykłady te nie dotyczą sytuacji opisanych w scenariuszach zgodności z poprzednimi wersjami.

Jedno ustawienie

Wiele ustawień

Data Domain: Domyślny tryb uwierzytelniania dla klientów DDBoost nie zapewnia szyfrowania za pośrednictwem sieci przewodowej.
Data Domain — zarządzanie certyfikatami dla DD Boost