Güvenlik Taraması şunları gösterir: Sertifika güven deposu (Java) varsayılan veya zayıf parola ayrıntıları kullanıyor

Bladelogic tarafından sağlanan güvenlik taraması, Data Protection Advisor Uygulama sunucusu için aşağıdakileri bildirdi:

Certificate Trust Store (Java) Uses Default or Weak Password Details: Directory Permissions: -rwxrwxr-x Directory Owner: apollosuperuser Directory Owner Group: dpaservices
Technical Detail: /app/emc/dpa/services/_jre/lib/security/cacerts

Cacerts güven deposunun parolası, varsayılanı kullandığından yeterince güçlü değildi.

Daha güçlü bir parola elde etmek için hem cacerts truststore hem de diğer ad parolası aşağıdaki adımlar kullanılarak değiştirildi.

Uygulama sunucusunda:

1. cd "C:\Program Files\EMC\DPA\services_jre\bin"

2. Cacerts trust store parolasını aşağıdaki komutla değiştirin.

   keytool.exe -storepasswd -keystore "C:\Program Files\EMC\DPA\services_jre\lib\security\cacerts"

   Not: Eski parola "changeit"tir. İstendiğinde yeni parolayı girin.

3. C:\Program Files\EMC\DPA\services_jre\lib\security\java.security dosyasının sonuna yeni parolayla birlikte aşağıdaki yeni satırı ekleyin:

   javax.net.ssl.trustStorePassword=<new password>

4. Yeni cacerts diğer ad parolasını aşağıdaki komutla değiştirin.

   keytool.exe -keypasswd -keystore "C:\Program Files\EMC\DPA\services_jre\lib\security\cacerts" -storepass PASSWORD -alias <cacerts alias> -keypass changeit -new PASSWORD

   Burada PASSWORD, 2. adımda oluşturulan yeni paroladır.

5. DPA Uygulamasını yeniden başlatın.

Ek güvenlik için cacerts dosya izinleri de 444 olarak değiştirildi.

Bu değişikliklerden sonra Güvenlik Taraması yazılımı artık güvenlik uyarısını algılamaz

Cacerts, DPA'nın tipik olarak kullandığı /opt/emc/dpa/services/standalone/configuration konumunda bulunan anahtar deposu (apollo.keystore) değildir. Bunun yerine cacerts, güvenilir sertifika yetkilisi (CA) sertifikalarının bir koleksiyonunu içeren ayrı bir güven deposudur (anahtar deposu). Oracle, cacerts dosyasını SSL desteğiyle birlikte Java™ Secure Socket Extension (JSSE) araç kitine ve JDK'ye dahil eder.

Geçerli kendinden imzalı sertifika için DPA, güven deposuna güvenmez. Ancak uzak uç noktalara (yani ESRS, yedekleme uygulamaları veya veri tabanları) erişirken bu güven deposuna güvenebileceğimiz başka üçüncü taraflar da olabilir. Uzak uygulamanın sertifikası CA tarafından imzalanmışsa, bu güven deposu tarafından doğrulanır.