Data Domain – FIPS-konfiguration og bedste fremgangsmåde

authorization policy set security-officer enabled

# system fips-mode disable
# system fips-mode enable

The DD file system, SMS, Apache HTTP service, LDAP client, and SSH Daemon use FIPS 140-2 compliant algorithms when FIPS is enabled.
To enable FIPS compliance mode, run the following command: system fips-mode enable.
NOTE: Enabling or disabling FIPS compliance mode results in a system reboot and interrupts any ongoing backup or replication activities.
NOTE: Enabling FIPS mode invalidates all local users passwords. The passwords for sysadmin and one of the security officers are forced to change during enabling FIPS mode. 
The other local users require sysadmin to change their passwords for them by running user change password.
NOTE: All backup application using DD local users must restart the backups using new DD local user passwords. This is applicable for all protocols.
DDOS uses FIPS certified libraries including Dell OpenSSL Cryptographic Library, BSafe, Crypto J, Cert-J, and SSL-K.
● Dell OpenSSL Cryptographic Library v2.5
● EMC Crypto-C Micro Edition 4.1.4 cryptographic module
To disable FIPS compliance mode, run the following command: system fips-mode disable.

SSH-cifre, MAC'er og nøgleudvekslingsalgoritmer

Når FIPS er aktiveret:
● Kun FIPS 140-2-godkendte SSH-cifre og MAC'er kan indstilles. Brugerroller admin og limited-admin kan indstille cifre og
MAC er, som kan konfigureres ved hjælp af følgende kommando: adminaccess ssh grupperet cifre
● Krypteringslisten, MAC-listen og KEX-listen (Key Exchange Algorithms) i SSHD-konfigurationsfilsættene til en standardliste over
FIPS-kompatible cifre, MAC'er og KEX'er. De gamle indstillinger går tabt.
Når FIPS-overholdelsestilstand er deaktiveret, indstilles krypteringslisten, MAC-listen og KEX-listen (Key Exchange Algorithms) i SSHD-konfigurationsfilerne
til systemets standardliste over cifre, MAC'er og KEX'er. De gamle indstillinger går tabt.

Følgende cifre understøttes på systemer eller DDVE, der kører DDOS med FIPS aktiveret:
Ciphers, MAC'er og nøgleudvekslingsalgoritmer

The cipher list can always be changed by running the adminaccess ssh options set ciphers command. 
When FIPS is enabled, users can only configure SSH service to use FIPS complaint SSH ciphers. 
If non-FIPS compliant ciphers are used, user would see an error. 

The MAC list can always be changed by running the adminaccess ssh options set macs command. 
When FIPS is enabled, users can only configure SSH service to use FIPS complaint SSH macs. 
If non-FIPS compliant macs are used, user would see an error.

HTTPS

HTTPS Apache-tjenesten bruger den samme liste over chiffer som SMS.

Kryptering

af inaktive data Hvis kryptering af inaktive data er aktiveret, er den som standard FIPS-kompatibel.

TLS cipher-list for management communications and replication control path
In case of replication, data-path is FIPS-compliant when it is enabled with two-way authentication. If FIPS mode is enabled on
the destination DD system, then Replication will not be allowed from DD systems running DDOS versions prior to DDOS 7.0.
When FIPS mode is enabled, even if other ciphers were set with the adminaccess option set cipher-list command,
DDOS only uses FIPS-compliant ciphers for the following communication interfaces:
● For DDMC communications to managed DD-systems
● For Replication control path
● By the Data Domain System Management (GUI)
● For REST APIs
The cipher list can be configured with the adminaccess option set cipher-list command.

When FIPS is enabled, the LDAP client that runs on a system or DDVE must use TLS.
# authentication ldap ssl enable method start_tls
Otherwise, enabling FIPS compliance mode fails.
On a fresh install and upgrade, LDAP SSL ciphers are not explicitly set.
When FIPS compliance mode is enabled, the LDAP SSL ciphers are set to the following:

● ECDHE-RSA-AES256-GCM-SHA384
● ECDHE-RSA-AES256-SHA384
● DHE-RSA-AES256-GCM-SHA384
● DHE-RSA-AES256-SHA256
● AES256-GCM-SHA384
● AES256-SHA256
● ECDHE-RSA-AES128-GCM-SHA256
● ECDHE-RSA-AES128-SHA256
● DHE-RSA-AES128-GCM-SHA256
● DHE-RSA-AES128-SHA256
● AES128-GCM-SHA256
● AES128-SHA256

The configured cipher-list should be:
ECDHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-SHA384:DHE-RSA-AES256-GCM-SHA384:DHE-RSAAES256-SHA256:AES256-GCM-SHA384:AES256-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-RSAAES128-SHA256:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES128-SHA256:AES128-GCM-SHA256:AES128-
SHA256
When FIPS is disabled, it is set to "", an empty string.

● The DD Boost client on that operating system must be version >=7.1.
● The password hash for users on all DD systems that this client connects to must be sha512. 
   This can be changed using the adminaccess option set password-hash sha512 CLI.

Hvis FIPS-tilstand er aktiveret på operativsystemet uden en af ovenstående konfigurationer, vil alle forbindelser fra denne klient til et DD-system mislykkes.

DD Boost-klient med FIPS-tilstand aktiveret

Når FIPS-tilstand er aktiveret på systemet, skal programmer, der har adgang til systemet ved hjælp af DD Boost-protokollen, bruge version 7.3 af DD Boost-klientbibliotekerne. Dette garanterer, at driften er FIPS-kompatibel og bruger FIPS-kompatible algoritmer. Nogle gange kan programmet få DD Boost-klientbiblioteker til at gå i FIPS-tilstand, hvis programmet er FIPS-kompatibelt og er blevet opdateret til at gå i FIPS-tilstand i klientbiblioteket. I så fald vil ikke kun FIPS-kompatible algoritmer blive brugt til, men implementeringerne af disse algoritmer bruger FIPS-certificerede biblioteker.

Når FIPS-tilstand er aktiveret, skal de adgangskoder, der er angivet på det system, som bruges af DD Boost til at få adgang til systemet, have hash SHA512-værdier. En bruger med en adgangskode med en MD5-hash kan ikke oprette forbindelse til et FIPS-aktiveret system.

SEDDEL: Det Boost-klientbibliotek, som et program bruger, skal være version >=7.1, for at programmet kan oprette forbindelse til et DD-system, der kører en DDOS-version >=7.1 med FIPS-tilstand aktiveret. Den DD Boost-klientbiblioteksversion, der leveres sammen med et program, bestemmes af programudbyderen. Du kan få en liste over alle Boost-klienter, der har oprettet forbindelse til DD-systemet inden for de seneste 24 timer, fra kommandolinjegrænsefladen for DDboost show-forbindelser. Kolonnen Pluginversion skal vises for at afgøre, om en klient med et Boost-plug-in, der er ældre end 7.1.x.x, i øjeblikket opretter forbindelse til dette DD-system. Alle disse klienter kan ikke oprette forbindelse, når FIPS-tilstand er aktiveret på DD-systemet og skal opgraderes. Kontakt programleverandøren for at finde ud af, hvilken version af DD Boost-klientbiblioteket en bestemt programversion bruger, for at se, om programmet kan bruges sammen med et DD-system med FIPS-tilstand aktiveret.

Telnet
Telnet er ikke FIPS-kompatibelt og er deaktiveret som standard.

FTP/FTPS
FTP/FTPS er ikke FIPS-kompatibel og er deaktiveret som standard.

Active Directory
Active Directory er ikke FIPS-kompatibelt.
Active Directory fortsætter med at fungere, når det er konfigureret, og når FIPS er aktiveret.

CIFS
CIFS-serveren på DDOS er agnostisk over for FIPS-tilstandsindstillingen. Selvom kunden aktiverer FIPS-tilstand, fortsætter CIFS med at arbejde i
ikke-FIPS-kompatibel tilstand.
Sådan deaktiveres eller forhindres CIFS i at acceptere forbindelser fra klienterne:sysadmin@localhost#

cifs disable

NFS
NFS er ikke FIPS-kompatibel.
● NFS fungerer fortsat i en ikke-FIPS-kompatibel tilstand.
● NFS kan deaktiveres med kommandoen nfs deaktivering.

Secure Connect Gateway (SCG)
SCG er en sikker tovejsforbindelse mellem Dell EMC-produkter og Dell EMC's kundesupport. SCG er deaktiveret som standard og fungerer fortsat i ikke-FIPS-kompatibel tilstand.

DISA STIG standarder

Systemet skal bruge en FIPS 140-2-godkendt kryptografik
hashingalgoritme til generering af hashværdier for kontoadgangskode.
Systemer skal anvende kryptografiske hashes til adgangskoder
ved hjælp af SHA-2-familien af algoritmer eller FIPS 140-2-godkendt
Efterfølgere. Brug af ikke-godkendte algoritmer kan resultere i
Svage adgangskodehashes er mere sårbare over for kompromittering.

BEMÆRK: DDOS-kommandoreferencevejledningen beskriver, hvordan du bruger 

adminaccess option set password-hash {md5 | sha512}

til at indstille den FIPS 140-2-godkendte kryptografiske hashing på systemet. 

Ændring af hashalgoritmen ændres ikke
hashværdien for eventuelle eksisterende adgangskoder. Eventuelle eksisterende
Adgangskoder, der blev hashkrypteret med MD5, vil stadig have MD5
hashværdier efter ændring af password-hash-algoritmen
til sha512. Disse adgangskoder skal nulstilles, så en ny
SHA512-hashværdien beregnes.

Eksternt signerede certifikater
CA (Certificate Authority) er i PEM-format (Public Certificate) for at oprette en pålidelig forbindelse mellem den eksterne enhed og hvert system.
Hvis systemet bruger den eksterne nøglehåndtering, kræver det et PKCS12-værtscertifikat og CA-certifikat i PEM-format (offentlig nøgle) for at oprette en pålidelig forbindelse mellem den eksterne nøglehåndteringsserver og hvert system, det administrerer.
Certifikatsigneringen kræver PKCS10-format. Den offentlige certifikatnøgle kan enten have PKCS12 (offentlig plus en privat nøgle) eller PEM-format. PEM-formatet for værtscertifikatet bruges kun sammen med CSR-funktionen (Certificate Signing Request).
Individuelle værtscertifikater kan importeres til HTTPS og kommunikation med ekstern nøglehåndtering.
Import af værtscertifikatet i PKCS12-format understøttes. Hvis der er en CSR på systemet, kan du importere værtscertifikatet i PEM-format, efter at CSR'en er underskrevet af en certifikatmyndighed.
SEDDEL: Systemadgangsudtrykket er påkrævet for at importere certifikatet.
På et FIPS-aktiveret DD-system skal PKCS12-filen være FIPS-kompatibel. Under kryptering af PKCS12-filen skal der anvendes kompatible krypteringsalgoritmer. Vi anbefaler at bruge "PBE-SHA1-3DES" til kryptering af nøgle og certifikat i PKCS12-fil.

DD-kryptering giver indbygget kryptering, hvilket betyder, at når data indtages, deduplikeres, komprimeres og krypteres strømmen ved hjælp af en krypteringsnøgle, før den skrives til RAID-gruppen. DD-krypteringssoftwaren bruger RSA BSAFE-biblioteker, som er FIPS 140-2-validerede.

Secure Connect Gateway (SCG)
Secure Connect Gateway er en IP-baseret automatiseret Connect Home- og Remote Support-løsning, der skaber både en samlet arkitektur og et fælles adgangspunkt for fjernsupportaktiviteter, der udføres på produktet. SCG IP-løsningen
gør følgende:
● Giver løbende overvågning, diagnose og reparation af mindre hardwareproblemer.
● Bruger den mest avancerede kryptering, godkendelse, revision og autorisation til fjernsupport med ultrahøj sikkerhed.
● Adresserer overholdelse af virksomheds- og statslige regler ved at levere logfiler over alle adgangshændelser.
● Giver nem integration og konfiguration med lagerstyringsnetværket og firewalls.
● Giver maksimal beskyttelse af informationsinfrastruktur. IP-baserede sessioner muliggør hurtig informationsoverførsel og -opløsning.
● Konsoliderer fjernsupport til oplysningerne med SCG-klienten.
● Giver fjernadgang til stedet for genoprettelse efter nedbrud og gør gendannelse efter uplanlagte hændelser problemfri.
● Beskytter information i bevægelse eller i hvile. AES 256-kryptering under informationsoverførsel beskytter oplysningerne.
● Reducerer omkostninger og rod i datacenteret og fremskynder løsningstiden. Afskaffelsen af modem / telefonlinjeomkostninger betyder lavere omkostninger.
SEDDEL: SCG er ikke FIPS-kompatibel.
SEDDEL: Brug af FTP eller usikker e-mail, mens du opretter forbindelse til SCG, kan være en sikkerhedsrisiko.

Tilføjelse af en skyenhed til Amazon Web Services S3

AWS tilbyder en række lagringsklasser. Cloud Providers Compatibility Matrix, som er tilgængelig fra E-Lab Navigator, indeholder opdaterede oplysninger om de understøttede storageklasser.

Om denne opgave
For forbedret sikkerhed bruger Cloud Tier-funktionen signaturversion 4 til alle AWS-anmodninger. Signatur Version 4-signering er aktiveret som standard.
Følgende slutpunkter bruges af AWS-cloududbyderen, afhængigt af lagerklasse og region. Sørg for, at DNS kan fortolke disse værtsnavne, før du konfigurerer cloudenheder.

FIPS-kompatible slutpunkter er tilgængelige for AWS Government Cloud.

Fra og med DDOS 7.8 understøtter området US-East-1 ikke længere det ældre slutpunkt s3.amazonaws.com. US-east-1-området kræver nu slutpunktet s3.us-east-1.amazonaws.com. Kontroller, at firewallen er åben for at nå det nye slutpunkt, før du opgraderer til DDOS 7.8.

S3.FIPS.us-gov-west-1.amazonaws.com