Security Scan näyttää: Varmenteen luottamussäilö (Java) käyttää oletussalasanaa tai heikkoa salasanaa

Bladelogicin toimittama tietoturvatarkistus raportoi Data Protection Advisor -sovelluspalvelimelle seuraavaa:

Certificate Trust Store (Java) käyttää oletus- tai heikkoja salasanatietoja: Hakemiston käyttöoikeudet: -rwxrwxr-x Hakemiston omistaja: apollosuperuser Hakemiston omistajaryhmä: dpaservices

Tekniset tiedot: /app/emc/dpa/services/_jre/lib/security/cacerts
 

Cacerts Trust -säilön salasana ei ollut riittävän vahva, koska se käytti oletussalasanaa.

Vahvemman salasanan saamiseksi sekä cacerts truststore että sen aliassalasana vaihdettiin seuraavasti.

Sovelluspalvelimella:
1. cd "C:\Program Files\EMC\DPA\services_jre\bin"

2. Vaihda cacerts trust -säilön salasana seuraavalla komennolla.
keytool.exe -storepasswd -keystore "C:\Program Files\EMC\DPA\services_jre\lib\security\cacerts"
Huomaa, että vanha salasana on changeit.  Anna uusi salasana pyydettäessä.

3. Lisää uusi rivi ja uusi salasana tiedoston C:\Program Files\EMC\DPA\services_jre\lib\security\java.security:
javax.net.ssl.trustStorePassword=<new password>

4. Vaihda uusi cacerts-aliaksen salasana alla olevalla komennolla.
keytool.exe -keypasswd -keystore "C:\Program Files\EMC\DPA\services_jre\lib\security\cacerts" -storepass PASSWORD -alias <cacerts alias> -keypass changeit -new PASSWORD

Tässä PASSWORD on vaiheessa 2 luotu uusi salasana.

5. Käynnistä DPA-sovellus uudelleen.

Turvallisuuden lisäämiseksi cacerts-tiedoston käyttöoikeuksiksi muutettiin myös 444. 

Näiden muutosten jälkeen Security Scan -ohjelmisto ei enää havainnut suojausvaroitusta.

Cacerts ei ole DPA:n tavallisesti käyttämä avainsäilö (apollo.keystore), joka sijaitsee kansiossa /opt/emc/dpa/services/standalone/configuration.  Sen sijaan cacerts on erillinen luottamussäilö (avainsäilö), joka sisältää kokoelman luotettujen varmenteiden myöntäjien (CA) varmenteita. Oracle sisällyttää cacerts-tiedoston SSL-tuellaan Java™ Secure Socket Extension (JSSE) -työkalusarjaan ja JDK:hon. 

Nykyisessä itse allekirjoitetussa varmenteessa DPA ei luota säilöön. Saattaa kuitenkin olla myös muita kolmansia osapuolia, joiden tietovarastoon voimme luottaa etäpäätepisteiden (esim. ESRS:n, varmuuskopiointisovellusten tai tietokantojen) käytössä. Jos varmenteiden myöntäjä allekirjoittaa etäsovelluksen varmenteen, se tarkistetaan tässä luottamussäilössä.