Bezpečnostní kontrola zobrazuje: Úložiště důvěryhodných certifikátů (Java) používá podrobnosti o výchozím nebo slabém hesle.

Bezpečnostní kontrola poskytnutá společností Bladelogic nahlásila pro aplikační server Data Protection Advisor následující:

Úložiště důvěryhodných certifikátů (Java) používá výchozí nebo slabé heslo: Oprávnění adresáře: -rwxrwxr-x Vlastník adresáře: apollosuperuser Skupina vlastníků adresáře: dpaservices

Technické detaily: /app/emc/dpa/services/_jre/lib/security/cacerts
 

Heslo pro úložiště důvěryhodných certifikátů cacerts nebylo dostatečně silné, protože používalo výchozí heslo.

Aby bylo možné získat silnější heslo, bylo pomocí následujících kroků změněno úložiště důvěryhodnosti cacerts i jeho heslo aliasu.

Na aplikačním serveru:
1. cd "C:\Program Files\EMC\DPA\services_jre\bin"

2. Pomocí následujícího příkazu změňte heslo úložiště důvěryhodnosti cacerts.
keytool.exe -storepasswd -keystore "C:\Program Files\EMC\DPA\services_jre\lib\security\cacerts"
Všimněte si, že staré heslo je "changeit".  Po zobrazení výzvy zadejte nové heslo.

3. Přidejte nový řádek s novým heslem níže na konec souboru C:\Program Files\EMC\DPA\services_jre\lib\security\java.security:
javax.net.ssl.trustStorePassword=<nové heslo>

4. Změňte nové aliasové heslo cacerts pomocí následujícího příkazu.
keytool.exe -keypasswd -keystore "C:\Program Files\EMC\DPA\services_jre\lib\security\cacerts" -storepass PASSWORD -alias <cacerts alias> -keypass changeit -new PASSWORD

Kde PASSWORD je nové heslo vytvořené v kroku 2.

5. Restartujte aplikaci DPA.

Pro další zabezpečení byla oprávnění souboru cacerts také změněna na 444. 

Po provedení těchto změn již software Bezpečnostní kontrola nerozpoznal bezpečnostní výstrahu.

Cacerts není úložiště klíčů (apollo.keystore), které DPA obvykle používá a které je umístěno v umístění /opt/emc/dpa/services/standalone/configuration.  Místo toho je cacerts samostatným úložištěm důvěryhodných certifikátů (úložištěm klíčů), které obsahuje kolekci certifikátů důvěryhodných certifikačních autorit (CA). Společnost Oracle obsahuje soubor cacerts s podporou protokolu SSL v sadě nástrojů Java™ Secure Socket Extension (JSSE) a v sadě JDK. 

U aktuálního certifikátu podepsaného držitelem se DPA nespoléhá na úložiště důvěryhodných certifikátů. Mohou však existovat další třetí strany, u kterých se můžeme na toto úložiště důvěry spolehnout při přístupu ke vzdáleným koncovým bodům (tj. ESRS, zálohovacím aplikacím nebo databázím). Pokud je certifikát vzdálené aplikace podepsán certifikační autoritou, bude ověřen pomocí tohoto úložiště důvěryhodných certifikátů.